Download Debian GNU/Linux Anwenderhandbuch Frank

Kapitel 20. Systemsicherheit
20.2.1.3. Superuser Passwort
Während der Installation wird nach einem Passwort für den Superuser (root) gefragt. Zusätzlich kann ein
Benutzer dem System hinzugefügt, auch für diesen ist dann ein Passwort einzugeben. Auch wenn es möglich ist
hier ein sehr einfaches Passwort zu verwenden, so ist dies natürlich nicht empfehlenswert. Die Auswahl eines
guten Passwortes ist auf vielen Webseiten im Netz beschrieben, es sind dabei nur einige einfache Regeln zu
beachten. Eine Suche nach „auswahl gutes passwort“ mittels Google führt schnell zum Erfolg.
Grundsätzlich sollte auf jedem System neben dem Account für den Superuser auch ein Account für einen
Benutzer angelegt werden der nicht alle Rechte hat. Dieser Benutzeraccount sollte für alle Logins auf dem
System verwendet werden und nur wenn für eine bestimmte Aufgabe die Zugriffsrechte nicht ausreichend sind
sollte mittels des Kommandos su die Identität gewechselt werden. Nach Beendigung der Arbeiten als Superuser
sollte man sich umgehend wieder als normaler Benutzer im System bewegen.
20.2.1.4. Shadow- und MD5 Passwörter
Während der Installation erfolgt eine Abfrage ob „Shadow Passwords“ aktiviert werden sollen. Wenn die Frage
positiv beantwortet wird, werden die Passwörter in der Datei /etc/shadow verschlüsselt gespeichert. Diese
Datei kann nur vom Superuser und der Gruppe „shadow“ gelesen werden, somit kann kein Benutzer des
Systems die verschlüsselten Passwörter lesen und versuchen diese mit Hilfe einer Software zu entschlüsseln.
Diese Einstellung kann später mit dem Programm shadowconfig rückgängig gemacht werden. Weiterhin
besteht die Möglichkeit die Passwörter mit einer MD5 Verschlüsselung zu speichern, dies ist generell eine gute
Idee, da so ein Angriff weiterhin erschwert wird und längere Passwörter möglich sind.
20.2.1.5. Aktivierte Dienste
Wie bereits beschrieben sollten nur die absolut notwendigen Dienste auf einem System aktiviert werden. Jeder
neue Dienst schafft möglicherweise ein neues Sicherheitsloch, welches vielleicht erst später zu einem Problem
wird. Werden bestimmte Dienste nur selten benötigt, so können diese über die update-Kommandos
(beispielsweise update-inetd) gezielt aktiviert und deaktiviert werden.
20.2.1.6. Mailinglisten
Lesen Sie die Debian Security Mailinglisten. Relevant sind in diesem Zusammenhang
debian-security-announce, dort werden Sicherheitslücken bekanntgegeben und es wird über Bugfixes
dagegen informiert, sowie [email protected], dort werden alle Sicherheitstemen rund
um Debian behandelt.
Wenn Sie Meldungen über Sicherheitsupdates per E-Mail bekommen wollen, so senden Sie eine Mail an:
[email protected] mit dem Wort „subscribe“ im Betreff der Mail. Die
Anmeldung zu dieser Mailingliste ist auch über die Webseite http://www.debian.org/MailingLists/subscribe
möglich.
Auf dieser Mailingliste kommen nur sehr wenige Mails, man erfährt dort aber sehr schnell über Probleme mit
Paketen informiert und erfahren eine Adresse an der eine fehlerbereinigte Version zur Verfügung steht.
20.2.2. Nach der Installation
Nachdem das System mit allen benötigten Programmen eingerichtet ist, kann mit einigen weiteren Aktionen die
Sicherheit des Systems weiter erhöht werden.
20.2.2.1. Absicherung des Bootloaders
Jede Person die Zugang zur Tastatur des Systems hat kann eine Superuser-Shell bekommen und beispielsweise
alle Passwörter ändern, indem am Bootprompt dateiname-des-bootkernels init=/bin/sh eingegeben
wird. Um dies zu verhindern kann ein Passwort für den Boot-Loader gesetzt werden. Dies kann global für alle
Boot-Images geschehen oder individuell für jedes einzelne.
614