Original-URL des Artikels: https://www.golem.de/news/debian-unterbau-aus-ubuntu-privacy-remix-wird-discreete-linux-1612-125135.html    Veröffentlicht: 20.12.2016 10:00    Kurz-URL: https://glm.io/125135

Debian-Unterbau

Aus Ubuntu Privacy Remix wird Discreete-Linux

Ein Offline-Linux für Menschen mit ganz speziellen Sicherheitsbedürfnissen. Das will Discreete-Linux sein, der Nachfolger des Ubuntu Privacy Remix. Wir haben mit den Machern gesprochen.

Die erste Betaversion von Discreete-Linux steht zum Download bereit. Das System ist der Nachfolger des nicht mehr weiter gepflegten Ubuntu Privacy Remix. Wir haben mit den Machern des Linux-Derivats über deren Ziele gesprochen und schildern die wichtigsten Funktionen des Betriebssystems.

Discreete-Linux setzt zur Sicherung der Nutzerdaten auf radikale Mittel. Auf eine Internetverbindung wird komplett verzichtet, dafür gibt es verschlüsselte Container auf dem Live-USB-Stick. Hauptziel des Projektes, so Mark Zorko aus dem Discreete-Team, sei es, eine Umgebung zu schaffen, die ein sicheres Bearbeiten von Dokumenten für Whistleblower, Dissidenten und andere Menschen mit erhöhten Sicherheitsanforderungen ermöglicht. Das System wird auf einen USB-Stick kopiert und hinterlässt ähnlich wie andere Live-Betriebssysteme keine Spuren auf dem Rechner der Nutzer.

Die Motivation zum Wechsel auf Debian als Grundlage beschreibt Zorko wie folgt: "Wir fühlen uns der Philosophie von freier Software eng verbunden. Der wichtigste Grund für die Entscheidung war, dass Debian die Idee freier Software beispielhaft umsetzt, im Gegensatz zum immer mehr kommerzialisierten Ubuntu." Außerdem würde Ubuntu Sicherheitsaktualisierungen auch bei LTS-Versionen nur für den Main-Zweig bereitstellen, aber nicht für das Universe-Repository.

Internetfreie Zone

Die komplett internetfreie Zone ist nach Angaben von Zorko nötig, weil Angreifer wie die NSA mit verschiedenen Programmen versuchen, massenhaft automatisierte Trojanerinstallationen auszubringen. Den Nutzen einer isolierten, sicheren Umgebung sieht das Team nicht nur darin, dass das System für bestimmte Office-Arbeiten genutzt wird, vielmehr könnte auch die Verwaltung wichtiger Schlüssel und die Ausgabe von Signaturen auf einem solchen System erfolgen. Die benötigten Dateien können dann auf einem USB-Stick exportiert und weitergegeben werden.

Will der Nutzer Dateien speichern, erfolgt dies in sogenannten Cryptoboxen. Diese können bei der Einrichtung des Systems auf dem restlichen verfügbaren Speicher des USB-Sticks oder auf anderen Datenträgern angelegt werden. Die Cryptoboxen setzen zur Verschlüsselung wahlweise auf LUKS- oder Veracrypt-Container und sollen es Nutzern möglichst einfach machen, die eigenen Daten vor fremdem Zugriff zu schützen. Die Cryptoboxen können nach Angabe des Teams nur mit Discreete-Linux-Systemen geöffnet werden. Veracrypt ist der inoffizielle Nachfolger von Truecrypt.

Wer Dateien mit anderen Nutzern austauschen will, kann dies mit einem gewöhnliche USB-Stick tun. Um den sicheren Datenaustauch zu vereinfachen, hat das Team ein eigenes Frontend entwickelt, das die Verschlüsselung von Daten mittels Gnupg vereinfachen soll.

Manipulationen durch Festplatten-Firmware soll ausgeschlossen werden

Um auszuschließen, dass Nutzer sich über Wechseldatenträger mit Schadsoftware infizieren, werden alle Datenträger mit dem Parameter -noexec gemountet. In der kommenden Version Beta 2 soll der Schutz vor bösartigen USB-Geräten ausgebaut werden.

Daher sollen zum Beispiel neu angeschlossene USB-Tastaturen vom Nutzer manuell bestätigt werden, um BadUSB-Angriffe zu verhindern. Das BSI hatte vor ähnlichen Angriffen durch E-Zigaretten gewarnt. Die Unterstützung für andere eventuell vorhandene Ports, zum Beispiel Firewire, wird auf Kernelseite deaktiviert. Die Firma Finfisher bietet eine Version ihrer Trojanersoftware an, die über Firewire verbreitet wird. Auch diese Funktion soll aber erst in der kommenden zweiten Betaversion eingebaut werden.

Kein Kernel-Support für normale Festplatten

Auch der Support für normale ATA-Festplatten wurde aus dem angepassten Kernel komplett entfernt. So sollen Angriffe wie die Manipulation von Festplatten-Firmware nicht auf das Live-System übergreifen können. Eine Untersuchung der Sicherheitsfirma Kaspersky aus dem Jahr 2015 zeigt, dass die der NSA zugeordnete Hackergruppe Equation Group seit Jahren versucht, manipulierte Firmware bei Festplatten aller großen Hersteller zu platzieren.

Sollte es trotz allem zu einer Infektion kommen, soll wenigstens die Persistenz verhindert werden. Die ISO-Datei liegt im nur lesbaren Format ISO 9660 auf dem USB-Stick. Nach einem Neustart wird also wieder das saubere System gebootet. Auch Funktionen wie Sudo sind auf dem System abgeschaltet, damit kein unberechtigter Root-Zugriff möglich ist.

Künftig nur noch signierte Kernel-Module

In der zweiten Betaversion sollen zudem nur noch signierte Kernel-Module geladen werden können, damit Angreifer nicht durch Manipulationen im Hintergrund doch noch Treiber für Netzwerksupport laden können.

Alle Mitglieder des Discreete-Linux-Teams arbeiten ehrenamtlich für das Projekt, die Kosten für das Hosting werden durch Spenden finanziert. Wer mitarbeiten will, kann das zum Beispiel über Github tun. Die Webseite des Projektes ist zurzeit noch in englischer Sprache gehalten, soll aber bald auch auf Deutsch übersetzt werden. Als Betaversion ist die Software derzeit noch nicht für den Produktivbetrieb gedacht, Feedback ist ausdrücklich willkommen.  (hg)


Verwandte Artikel:
Linuxboot: Google und Facebook ersetzen Server-UEFI mit Linux   
(29.01.2018, https://glm.io/132454 )
Sicherheit: Tails 2.11 und 3.0 Beta2 freigegeben   
(10.03.2017, https://glm.io/126648 )
Project Zero: NTFS-Treiber ermöglicht Linux-Rootzugriff   
(13.02.2017, https://glm.io/126147 )
Virtualisierung: Microsoft will einfach nutzbare Ubuntu-Gäste für Hyper-V   
(01.03.2018, https://glm.io/133082 )
Microsoft Quantum: Q# kommt für MacOS, Linux und mit Python-Unterstützung   
(27.02.2018, https://glm.io/133020 )

© 1997–2020 Golem.de, https://www.golem.de/