Linux Server-Sicherheit

KAPITEL 4 Sichere Remote-Administration (S. 132-133)

Sie haben Ihren Server zu einem Bastion-Host gemacht. Er befindet sich in einem DMZNetzwerk, das hinter einer Firewall steht. Die Dienste auf dem Server wurden laufend mit neuen Patches aktualisiert, und die Sicherheitseinstellungen sind optimal. Sie haben Ihren Server gerade in einem Server-Raum installiert, der von bis an die Zähne bewaffneten Wärtern bewacht wird und nur nach Überprüfung durch einen Netzhautscanner und gründlicher Leibesvisitation betreten werden kann. Es ist aber nicht wirklich Ihre Absicht, persönlich den Raum zu betreten. Dank des guten alten Telnet ist es nämlich kein Problem, Ihre administrativen Aufgaben bequem von Ihrem Schreibtisch aus zu erledigen.

Was ist falsch an diesem Bild?

Warum es an der Zeit ist, Klartext-Administrations-Tools in den Ruhestand zu schicken

Die Administration von TCP/IP-Netzen war noch nie einfach. Trotzdem können sich viele von uns noch an die Zeit erinnern, als man mit dem Anschließen eines Rechners an »das Netzwerk« lediglich das eigene Local Area Network (LAN) meinte. Das eigene Netz war mit hoher Wahrscheinlichkeit nicht mit dem Internet (das ursprünglich fast ausschließlich der akademischen Welt und dem Militär vorbehalten war) oder irgendeinem anderen externen Netzwerk verbunden.

Dementsprechend waren die potenziellen Gefahren, mit denen Netzwerk- und Systemadministratoren damals konfrontiert waren, etwas kleiner als heute: Angriffe aus externen Netzen hatten weitaus geringere Bedeutung. Das soll jedoch nicht heißen, dass die interne Sicherheit simpel oder unwichtig sei. Im Allgemeinen hat man nur weitaus weniger Einflussmöglichkeiten darauf.

Jedenfalls verwendeten wir zu diesen Zeiten telnet, rlogin, rsh, rcp und das X Window- System, um unsere Systeme per Remote-Zugriff zu administrieren. Das war aufgrund der zuvor erwähnten geringeren Gefahren und auch deswegen möglich, weil die heute ver fügbaren benutzerfreundlichen Paket-Sniffer mit grafischer Benutzeroberfläche noch nicht existierten. (Diese Paket-Sniffer können dazu benutzt werden, Passwörter abzufangen, die von den oben genannten Anwendungen unverschlüsselt übertragen werden.)

Diese Zeiten sind jedoch vorbei. Die Netzwerke sind größer und mit wesentlich höherer Wahrscheinlichkeit an das Internet angeschlossen. Es ist daher viel eher möglich, dass Pakete über nicht vertrauenswürdige Kanäle übertragen werden. Außerdem können heute selbst relativ unbedarfte Benutzer Paket-Sniffer und andere Tools zur Netzwerküberwachung bedienen. Die meisten dieser Tools verfügen mittlerweile sogar über grafische Benutzeroberflächen und Online-Hilfen. Sich »in der Öffentlichkeit zu verstecken« ist nicht länger möglich.

Sie sollten diese Hinweise nicht für nostalgisch halten. Auch wenn Netzwerke früher geringeren und weniger gefährlichen Sicherheitsbedrohungen ausgesetzt waren, konnte man mit diesen frühen Netzwerken auch viel weniger interessante Sachen machen. Mit der Flexibilität und der Leistungsfähigkeit wächst die Komplexität, und mit zunehmender Komplexität steigen die Möglichkeiten, Unheil anzurichten.

Um es auf den Punkt zu bringen: Die Authentifizierung mit Benutzername/Passwort im Klartext ist veraltet. (Ebenso verhält es sich mit der Übertragung von allen außer den trivialsten Daten im Klartext. Und glauben Sie mir, es gibt nur sehr wenige Bestandteile einer Administrationssitzung, die auf potenzielle Cracker keine Faszination ausüben.) Es ist einfach zu leicht geworden, Netzwerk-Pakete abzufangen und sie sich anzusehen.