Abo
  • Services:
Anzeige
Die Gnome-Community sorgt sich um die Sicherheit des Linux-Desktops.
Die Gnome-Community sorgt sich um die Sicherheit des Linux-Desktops. (Bild: Gnome)

Security: Linux-Desktops brauchen bessere Verteidigung

Die Gnome-Community sorgt sich um die Sicherheit des Linux-Desktops.
Die Gnome-Community sorgt sich um die Sicherheit des Linux-Desktops. (Bild: Gnome)

Die Sicherheit von Desktop-Umgebungen unter Linux könnte besser sein. Der Sicherheitsforscher und Google-Angestellte Matthew Garrett stellt deshalb Verteidigungsstrategien vor. Deren vollständige Umsetzung wird aber wohl noch Jahre dauern.
Ein Bericht von Sebastian Grüner

Fehlende Isolierung, kaputte Parser, jahrzehntealter Code ohne Sicherheitskonzepte - die Probleme für die Sicherheit von Linux-Desktops sind so zahlreich, dass einige Forscher sogar Windows 10 für sicherer halten als Linux. Der bei Google für die Sicherheit der Unternehmensrechner zuständige Matthew Garrett beschreibt deshalb auf der Gnome-Konferenz Guadec einige Strategien, um diese Probleme zu lösen.

Anzeige

Wie zuvor bereits der Mitbegründer des Gnome-Projekts Federico Mena Quintero weist auch Garrett in seinen Ausführungen darauf hin, dass C eine "schreckliche" Programmiersprache und der Code von Parsern meist "furchtbar" sei. Beides vereint sei einfach nur "extrem schlecht". Als Abhilfe hierfür empfiehlt Garrett wie Mena die Verwendung der Sprache Rust.

Doch eine sichere Sprache allein löse nicht alle Probleme, sagt Garrett. So werde es immer Fehler in der Software geben, etwa in der Logik des Programms. Deshalb sei es natürlich wichtig, Updates für Programme zu erstellen und diese auch einzuspielen. Aber auch Updates seien nicht ausreichend.

Denn viele Nutzer, auch technisch versierte, meiden nach Darstellung von Garrett das unmittelbare Einspielen von Updates, etwa weil dies den Arbeitsablauf unterbricht. Updates werden auch deshalb vermieden, weil damit oft nicht nur Sicherheitslücken behoben, sondern auch neue Funktionen in die Software eingepflegt werden, die Nutzer eventuell nicht wollen. Letztlich gilt laut Garrett auch die banale Tatsache, dass "Angreifer nicht auf Updates warten", sondern versuchen, die Lücken vorher auszunutzen.

Vorwärtsverteidigung unter Linux

Das Angriffsrisiko muss Garrett zufolge also so weit wie möglich reduziert werden. Dafür muss aktiv an bestimmten Techniken und Ideen gearbeitet werden. Als Beispiel hierfür dient nicht nur der Port der Bibliothek Librsvg von C nach Rust, sondern auch die inzwischen umgesetzten Arbeiten an dem Prozess, der Thumbnails auf dem Gnome-Desktops erzeugt.

Statt wie bisher einfach alle mögliche Dateien vollautomatisiert in einem Prozess der aktuellen Desktop-Sitzung zu parsen, kann sich dieser Vorgang theoretisch für jeden einzelnen Parse-Vorgang isolieren lassen. Dank diverser Wrapper und "Hunderter Zeilen von Boilerplate-Code" passiert künftig genau das. Genutzt wird hierfür eine Kombination aus Bubblewrap und Seccomp, das zum Filtern von Systemaufrufen verwendet wird. Details zu der Technik finden sich im Blog des zuständigen Entwicklers Bastien Nocera.

Isolation für alle

Ein derartige Isolation sollte, so Garrett, möglichst weitreichend in der Desktop-Sitzung umgesetzt werden. Und zwar nicht nur für Hintergrunddienste wie den Thumbnail-Ersteller, sondern eben für alle grafischen Anwendungen. Beispielhaft illustriert Garrett hier die theoretischen Auswirkungen einer vollständigen Isolation für den Dokumententenbetrachter Evince.

Auch wenn es Angreifern gelingen würde, Evince etwa über ein manipuliertes PDF zu übernehmen, wäre das idealerweise auch schon alles, was damit erreicht werden könnte, da der Zugriff auf den Rest der Sitzung durch eine gut umgesetzte Isolation verhindert wird. Das umfasst etwa den Zugriff auf das Dateisystem oder bestimmte Ressourcen wie Passwörter, die anderweitig zur Verfügung gestellt werden, aber dank der Isolation geschützt sind.

Richtige Kombination von Buzzwords 

eye home zur Startseite
Teebecher 03. Aug 2017

Root Account aktivieren. Administrative Sachen per ssh von einer 2. Kiste aus machen...

Themenstart

lear 03. Aug 2017

Oder Programme installieren - das ist der zentrale Schutz gegen Malware: Du läßt sie gar...

Themenstart

Technik Schaf 03. Aug 2017

kommt darauf an wie groß die schnittmenge von Designer und Programmierern ist. und ein...

Themenstart

Technik Schaf 03. Aug 2017

ist die größere Provokation nicht dieser thread hier? heee warum streitet ihr nicht...

Themenstart

bjs 02. Aug 2017

die features gibt es, aber sie werden zu wenig flächendeckend angewendet.

Themenstart

Kommentieren



Anzeige

Stellenmarkt
  1. Rundfunk Berlin-Brandenburg (rbb), Potsdam, Berlin
  2. bintec elmeg GmbH, Nürnberg, Peine, Berlin, Landsberg
  3. Ratbacher GmbH, München
  4. PHOENIX CONTACT GmbH & Co. KG, Blomberg


Anzeige
Blu-ray-Angebote
  1. (u. a. Reign, Person of Interest, Gossip Girl, The Clone Wars)
  2. 29,99€ (Vorbesteller-Preisgarantie)
  3. (u. a. Predator 2 und Predators für je 3€ und Fight Club für 2,96€+ jeweils 5€ FSK-18...

Folgen Sie uns
       


  1. Neue Firmware

    Zwangsupdate für DJIs Spark-Drohne gegen Abstürze

  2. High Speed Rail

    Chinas Züge fahren bald wieder mit 350 km/h

  3. iPhone am Steuer

    Apple will an Autounfällen nicht schuld sein

  4. Filmfriend

    Kostenloses Videostreaming für Bibliothekskunden

  5. EMotion

    Fisker-Elektroauto soll in 9 Minuten Strom für 200 km laden

  6. Electronic Arts

    Hunde, Katzen und Weltraumschlachten

  7. Microsoft

    Age of Empires 4 angekündigt

  8. Google

    Android 8.0 heißt Oreo

  9. KI

    Musk und andere fordern Verbot von autonomen Kampfrobotern

  10. Playerunknown's Battlegrounds

    Bluehole über Camper, das Wetter und die schussfeste Pfanne



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Sysadmin Day 2017: Zum Admin-Sein fehlen mir die Superkräfte
Sysadmin Day 2017
Zum Admin-Sein fehlen mir die Superkräfte

Ausweis: Prepaid-Registrierung bislang nicht konsequent umgesetzt
Ausweis
Prepaid-Registrierung bislang nicht konsequent umgesetzt
  1. 10 GBit/s Erste 5G-Endgeräte sind noch einen Kubikmeter groß
  2. Verbraucherzentrale Datenlimits bei EU-Roaming wären vermeidbar
  3. Internet Anbieter umgehen Wegfall der EU-Roaming-Gebühren

Orange Pi 2G IoT ausprobiert: Wir bauen uns ein 20-Euro-Smartphone
Orange Pi 2G IoT ausprobiert
Wir bauen uns ein 20-Euro-Smartphone
  1. Odroid HC-1 Bastelrechner besser stapeln im NAS
  2. Bastelrechner Nano Pi im Test Klein, aber nicht unbedingt oho

  1. Re: Stand vom neuen Codec?

    sg (Golem.de) | 11:05

  2. Re: Halten wir fest: VW baut garnichts!

    oxybenzol | 11:05

  3. Re: "Überraschendes Aus"

    Muhaha | 11:04

  4. Re: Und hier ist das nervige Problem

    My1 | 11:04

  5. Re: Parallele Filmleihe

    Kleba | 11:04


  1. 10:58

  2. 10:21

  3. 09:52

  4. 09:02

  5. 07:49

  6. 07:23

  7. 07:06

  8. 20:53


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel