Abo
  • IT-Karriere:

Kernel.org

Zugang künftig nur über Gitolite

Die Administratoren von Kernel.org haben Konsequenzen aus dem jüngsten Einbruch in die Server gezogen, auf denen der Sourcecode des Linux-Kernels liegt. Künftig sind Shell-Zugänge über SSH nicht mehr erlaubt. Stattdessen müssen die Entwickler des Linux-Kernels Gitolite verwenden.

Artikel veröffentlicht am ,
Die Webseite Kernel.org soll bald wieder erreichbar sein.
Die Webseite Kernel.org soll bald wieder erreichbar sein. (Bild: Kernel.org)

Die Administratoren der Kernel.org-Server, auf denen der Quellcode des Linux-Kernels bereitgestellt wurde, melden sich nach mehrwöchigem Schweigen: Die Server sollen Anfang Oktober 2011 wieder erreichbar sein. Sie wurden nach einem Einbruch vor fast einem Monat abgeschaltet. Das Team will diese Woche die ersten Sourcecode-Zweige wiederherstellen. Anfang Oktober 2011 soll der Zugang wieder vollständig hergestellt sein.

Stellenmarkt
  1. über experteer GmbH, Frankfurt am Main
  2. Bundesnachrichtendienst, Rheinhausen

Indirekt bestätigen die Administratoren damit, dass sich der Angreifer über einen entwendeten SSH-Schlüssel Zugang zu den Servern verschafft hat. Denn künftig werden direkte Shell-Zugänge über SSH gesperrt. Kernel-Hacker erhalten stattdessen einen Zugang über die Git-Erweiterung Gitolite, um ihren Code in den Entwicklungszweigen einzureichen. Gitolite verwaltet Zugänge zum Versionierungssystem Git, mit dem der Sourcecode des Linux-Kernels verwaltet wird.

Neue Schlüssel für Entwickler

Die Betreuer der Kernel.org-Server um Peter Anvin haben begonnen, neue SSH-Schlüssel an die mehr als 450 aktiven Entwickler zu versenden. Diese werden für den Zugang über Gitolite benötigt. Anvin warnt in seiner Mail an die Kernel-Mailingliste jedoch, dass die serverseitigen Skripting-Funktionen von Gitolite begrenzt sind. Entwickler, die bislang Git-Hooks zum Einpflegen von Quellcode verwendet haben, müssen nun prüfen, ob diese auch mit Gitolite funktionieren.

Der Einbruch geschah Ende August 2011. Damals waren Unbekannte über einen kompromittierten Nutzeraccount in den Zentralrechner "Hera" eingedrungen und hatten Root-Rechte erlangt. Die Angreifer hatten Dateien für den SSH-Zugriff verändert, Nutzerbewegungen aufgezeichnet und die Skripte zum Starten der Rechner geändert. Die Angreifer konnten sich mit den auf Kernel.org erbeuteten SSH-Schlüsseln auch Zugang zu den Servern der Linux-Foundation verschaffen, die ebenfalls vom Netz genommen wurden.

Zunächst war Kernel.org noch erreichbar, bis die Administratoren die Server kurz darauf vollständig vom Netz nahmen. Zwischenzeitlich hatte Linus Torvalds eine Vorabversion des kommenden Linux-Kernels 3.1 auf seinem eigenen Git-Server gehostet. Torvalds hatte vergangenen Freitag den Erscheinungstermin von Linux 3.1 auf mindestens Mitte Oktober 2011 verschoben, auch, um den Administratoren Zeit zu geben, die Server wieder betriebsbereit zu machen.

Linux-Code war nicht betroffen

Zwar wird über Kernel.org unter anderem der Quellcode des Linux-Kernels vertrieben, dennoch ist es unwahrscheinlich, dass Code verändert wurde, denn jeder Kernelentwickler hat eine Kopie des Quellcodes auf seinem lokalen Rechner.

Dazu kommt, dass Git-Dateien über einen SHA-1-Hashwert überprüft werden und zusätzlich der gesamte Quellcode eines Entwicklungszweigs gehasht wird. Da mehrere tausend Entwickler häufig mehrmals täglich ihre Quellen überprüfen und mit dem Kernel.org-Repository vergleichen, würde veränderter Code sofort auffallen. Da ist sich auch Kernel-Hacker Jonathan Corbet sicher: "Wenn wir sagen, der Quellcode auf Kernel.org wurde nicht kompromittiert, wissen wir es auch wirklich."

Darüber, wie die Angreifer sich Zugang zu dem Server verschafft haben, gibt es noch keine konkreten Informationen. Bislang wird vermutet, dass der Angreifer über einen kompromittierten Benutzerzugang auf den Server eingebrochen ist und sich über Sicherheitslücken Root-Rechte verschafft hat.



Anzeige
Top-Angebote
  1. (u. a. Inno3D Geforce RTX 2070 X2 OC für 399,00€, Zotac Gaming Geforce RTX 2080 AMP Extreme...
  2. 199,90€ (Bestpreis!)
  3. ab 794,99€ und damit günstiger als bei Apple (Release am 20.09.)
  4. ab 1.144,99€ und damit günstiger als bei Apple (Release am 20.09.)

maple2 26. Sep 2011

Es könnte aber auch sein, dass sie das unabhängig vom Einbruch für wichtig gehalten...


Folgen Sie uns
       


NXP Autoschlüssel erklärt

VW hat ein Konzeptauto mit einem Schließsystem ausgestattet, das vor Hackerangriffen sicher sein soll. Das Video stellt das System vor.

NXP Autoschlüssel erklärt Video aufrufen
Apple TV+: Apples Videostreamingdienst ist nicht konkurrenzfähig
Apple TV+
Apples Videostreamingdienst ist nicht konkurrenzfähig

Bei so einem mickrigen Angebot hilft auch ein mickriger Preis nicht: Apples Streamingdienst hat der Konkurrenz von Netflix, Amazon und bald Disney nichts entgegenzusetzen - und das wird sich auf Jahre nicht ändern.
Eine Analyse von Ingo Pakalski

  1. Apple TV+ Disney-Chef tritt aus Apple-Verwaltungsrat zurück
  2. Apple TV+ Apples Streamingangebot kostet 4,99 Euro im Monat
  3. Videostreaming Apple TV+ startet mit fünf Serien für 10 US-Dollar monatlich

Manipulierte Zustimmung: Datenschützer halten die meisten Cookie-Banner für illegal
Manipulierte Zustimmung
Datenschützer halten die meisten Cookie-Banner für illegal

Nur die wenigsten Cookie-Banner entsprechen den Vorschriften der DSGVO, wie eine Studie feststellt. Die Datenschutzbehörden halten sich mit Sanktionen aber noch zurück.
Ein Bericht von Christiane Schulzki-Haddouti

  1. Chrome & Privacy Google möchte uns in Zukunft anders tracken
  2. Tracking Google und Facebook tracken auch auf vielen Pornoseiten
  3. Android Apps kommen auch ohne Berechtigung an Trackingdaten

Elektrautos auf der IAA: Die Gezeigtwagen-Messe
Elektrautos auf der IAA
Die Gezeigtwagen-Messe

IAA 2019 Viele klassische Hersteller fehlen bei der IAA oder zeigen Autos, die man längst gesehen hat. Bei den Elektroautos bekommen alltagstaugliche Modelle wie VW ID.3, Opel Corsa E und Honda E viel Aufmerksamkeit.
Ein Bericht von Dirk Kunde

  1. Elektromobilität Stromwirtschaft will keine Million öffentlicher Ladesäulen
  2. Umfrage Kunden fühlen sich vor Elektroautokauf schlecht beraten
  3. Batterieprobleme Auslieferung des e.Go verzögert sich

    •  /