Abo
  • Services:

Security: Linux-Desktops brauchen bessere Verteidigung

Die Sicherheit von Desktop-Umgebungen unter Linux könnte besser sein. Der Sicherheitsforscher und Google-Angestellte Matthew Garrett stellt deshalb Verteidigungsstrategien vor. Deren vollständige Umsetzung wird aber wohl noch Jahre dauern.

Ein Bericht von veröffentlicht am
Die Gnome-Community sorgt sich um die Sicherheit des Linux-Desktops.
Die Gnome-Community sorgt sich um die Sicherheit des Linux-Desktops. (Bild: Gnome)

Fehlende Isolierung, kaputte Parser, jahrzehntealter Code ohne Sicherheitskonzepte - die Probleme für die Sicherheit von Linux-Desktops sind so zahlreich, dass einige Forscher sogar Windows 10 für sicherer halten als Linux. Der bei Google für die Sicherheit der Unternehmensrechner zuständige Matthew Garrett beschreibt deshalb auf der Gnome-Konferenz Guadec einige Strategien, um diese Probleme zu lösen.

Inhalt:
  1. Security: Linux-Desktops brauchen bessere Verteidigung
  2. Richtige Kombination von Buzzwords

Wie zuvor bereits der Mitbegründer des Gnome-Projekts Federico Mena Quintero weist auch Garrett in seinen Ausführungen darauf hin, dass C eine "schreckliche" Programmiersprache und der Code von Parsern meist "furchtbar" sei. Beides vereint sei einfach nur "extrem schlecht". Als Abhilfe hierfür empfiehlt Garrett wie Mena die Verwendung der Sprache Rust.

Doch eine sichere Sprache allein löse nicht alle Probleme, sagt Garrett. So werde es immer Fehler in der Software geben, etwa in der Logik des Programms. Deshalb sei es natürlich wichtig, Updates für Programme zu erstellen und diese auch einzuspielen. Aber auch Updates seien nicht ausreichend.

Denn viele Nutzer, auch technisch versierte, meiden nach Darstellung von Garrett das unmittelbare Einspielen von Updates, etwa weil dies den Arbeitsablauf unterbricht. Updates werden auch deshalb vermieden, weil damit oft nicht nur Sicherheitslücken behoben, sondern auch neue Funktionen in die Software eingepflegt werden, die Nutzer eventuell nicht wollen. Letztlich gilt laut Garrett auch die banale Tatsache, dass "Angreifer nicht auf Updates warten", sondern versuchen, die Lücken vorher auszunutzen.

Vorwärtsverteidigung unter Linux

Stellenmarkt
  1. STW Sensor-Technik Wiedemann GmbH, Kaufbeuren
  2. Robert Bosch GmbH, Dresden

Das Angriffsrisiko muss Garrett zufolge also so weit wie möglich reduziert werden. Dafür muss aktiv an bestimmten Techniken und Ideen gearbeitet werden. Als Beispiel hierfür dient nicht nur der Port der Bibliothek Librsvg von C nach Rust, sondern auch die inzwischen umgesetzten Arbeiten an dem Prozess, der Thumbnails auf dem Gnome-Desktops erzeugt.

Statt wie bisher einfach alle mögliche Dateien vollautomatisiert in einem Prozess der aktuellen Desktop-Sitzung zu parsen, kann sich dieser Vorgang theoretisch für jeden einzelnen Parse-Vorgang isolieren lassen. Dank diverser Wrapper und "Hunderter Zeilen von Boilerplate-Code" passiert künftig genau das. Genutzt wird hierfür eine Kombination aus Bubblewrap und Seccomp, das zum Filtern von Systemaufrufen verwendet wird. Details zu der Technik finden sich im Blog des zuständigen Entwicklers Bastien Nocera.

Isolation für alle

Ein derartige Isolation sollte, so Garrett, möglichst weitreichend in der Desktop-Sitzung umgesetzt werden. Und zwar nicht nur für Hintergrunddienste wie den Thumbnail-Ersteller, sondern eben für alle grafischen Anwendungen. Beispielhaft illustriert Garrett hier die theoretischen Auswirkungen einer vollständigen Isolation für den Dokumententenbetrachter Evince.

Auch wenn es Angreifern gelingen würde, Evince etwa über ein manipuliertes PDF zu übernehmen, wäre das idealerweise auch schon alles, was damit erreicht werden könnte, da der Zugriff auf den Rest der Sitzung durch eine gut umgesetzte Isolation verhindert wird. Das umfasst etwa den Zugriff auf das Dateisystem oder bestimmte Ressourcen wie Passwörter, die anderweitig zur Verfügung gestellt werden, aber dank der Isolation geschützt sind.

Richtige Kombination von Buzzwords 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. mit den Gutscheinen: DELL10 (für XPS13/XPS15) und DELL100 (für G3/G5)
  2. mit Gutschein: ASUSZONE (u. a. VivoBook 15.6" FHD mit i3-5005U/8 GB/128 GB für 270,74€ statt...
  3. (u. a. Canon EOS 200D mit Objektiv 18-55 mm für 477€)
  4. 12,49€

Teebecher 03. Aug 2017

Root Account aktivieren. Administrative Sachen per ssh von einer 2. Kiste aus machen...

lear 03. Aug 2017

Oder Programme installieren - das ist der zentrale Schutz gegen Malware: Du läßt sie gar...

Technik Schaf 03. Aug 2017

kommt darauf an wie groß die schnittmenge von Designer und Programmierern ist. und ein...

Technik Schaf 03. Aug 2017

ist die größere Provokation nicht dieser thread hier? heee warum streitet ihr nicht...

Anonymer Nutzer 02. Aug 2017

die features gibt es, aber sie werden zu wenig flächendeckend angewendet.


Folgen Sie uns
       


Siri auf Deutsch auf dem Homepod

Wir haben uns die deutsche Version von Siri auf dem Homepod angehört. Bei den Funktionen hinkt Siri der Konkurrenz von Alexa und Google Assistant hinterher. Und auch an der Aussprache gibt es noch einiges zu feilen. Apples erster smarter Lautsprecher kostet 350 Euro.

Siri auf Deutsch auf dem Homepod Video aufrufen
Automatisiertes Fahren: Der schwierige Weg in den selbstfahrenden Stau
Automatisiertes Fahren
Der schwierige Weg in den selbstfahrenden Stau

Der Staupilot im neuen Audi A8 soll der erste Schritt auf dem Weg zum hochautomatisierten Fahren sein. Doch die Verhandlungen darüber, was solche Autos können müssen, sind sehr kompliziert. Und die Tests stellen Audi vor große Herausforderungen.
Ein Bericht von Friedhelm Greis

  1. Nach tödlichem Unfall Uber entlässt 100 Testfahrer für autonome Autos
  2. Autonomes Fahren Daimler und Bosch testen fahrerlose Flotte im Silicon Valley
  3. Kooperationen vereinbart Deutschland setzt beim Auto der Zukunft auf China

Segelschiff: Das Vindskip steckt in der Flaute
Segelschiff
Das Vindskip steckt in der Flaute

Hochseeschiffe gelten als große Umweltverschmutzer. Neue saubere Antriebe sind gefragt. Der Norweger Terje Lade hat ein futuristisches Segelschiff entwickelt. Doch solch ein neuartiges Konzept umzusetzen, ist nicht so einfach.
Ein Bericht von Werner Pluta

  1. Energy Observer Toyota unterstützt Weltumrundung von Brennstoffzellenschiff
  2. Hyseas III Schottische Werft baut Hochseefähre mit Brennstoffzelle
  3. Kreuzschifffahrt Wie Brennstoffzellen Schiffe sauberer machen

Krankenversicherung: Der Papierkrieg geht weiter
Krankenversicherung
Der Papierkrieg geht weiter

Die Krankenversicherung der Zukunft wird digital und direkt, aber eine tiefgreifende Disruption des Gesundheitswesens à la Amazon wird in Deutschland wohl ausbleiben. Die Beharrungskräfte sind zu groß.
Eine Analyse von Daniel Fallenstein

  1. Imagen Tech KI-System Osteodetect erkennt Knochenbrüche
  2. Medizintechnik Implantat wird per Ultraschall programmiert
  3. Telemedizin Neue Patienten für die Onlinepraxis

    •  /