Pflichtenheft aktuell (1)

[Alexander Dubielczyk]

Am Sam, 2003-05-17 um 14.12 schrieb Wieland Poser:

Hallo Wieland,

leider war ich am Wochenende noch mit ein paar anderen Sachen
beschäftigt, daher die etwas verspätete Reaktion.

> das letztere mag sein. Andererseits habe ich nicht daran gedacht, 
> Sicherheit gegen Kompfort einzutauschen. Ich schreibe meine mails bei
> GMX - ein ganz öffentlicher Mailserver. Scheint doch zu gehen.
> Ich setze mal voraus, das es hier kompetente Entwickler sind und eine
> sichere Voreinstellung hinbekommen.

Der Vergleich passt leider nicht ganz. Das System von GMX kannst ja
nirgendwo so einfach im Laden kaufen oder Dir als .iso runterladen, um
es dann schnell irgendwo zu installieren. Da sind ja auch nicht nur
Entwickler am Werk, sondern auch Netzwerkspezialisten, die nichts
anderes tun, als die Infrastruktur von dem Laden abzusichern.

> ich setze weiter Voraus, das Debian ein sichers System ist.
> Weiter habe ich mir sagen lassen, das es bei Debian soetwas gibt, das
> man die sicherheitspatches einfach übers netz einspielt, also sollte
> man so ein automatisches Update für den Skoleserver doch auch 
> hinbekommen  und dann gehe ich davon aus, das ich ja auch noch ein
> bischen meiner Verantwortung gerecht werden - ja was dann eigentlich?
> (also sollte eine Doku sein.)

Diese Update-Möglichkeiten sind auch für mich einer der großen Vorteile
von Debian. Damit kannst Du die ganzen Standard-Pakete auf einem
aktuellen Stand halten. Sicherheitsupdates sind da meist schnell
verfügbar. Was machst Du aber mit Erweiterungen, die durch die
Skole-Entwickler kommen? Oder einfach Einstellungen der Standard-Pakete,
die sich irgendwann als sicherheitskritisch herausstellen? Kann man da
immer so sicher sein, dass Skole-Entwickler schnell genug
Sicherheitslöcher erkennen und entsprechende Bugfixes bereitstellen? 

Natürlich muss man sich immer vor Augen halten, dass es hier um "nur"
einen Schulserver geht und nicht um ein sensibles Firmensystem.
Allerdings steigen in meinen Augen die Anforderungen an die Sicherheit,
wenn man es nicht nur mit potenziellen "Bedrohungen" aus dem LAN sondern
auch mit "professionellen" Hackern aus dem Netz zu tun bekommt. Geht man
von einer größeren Verbreitung bei den Schulen aus (nochmal: siehe, was
im Moment bei den ODS-Servern los ist...), so könnten gewisse Leute das
doch als lohnendes Angriffsziel auffassen, wenn auf einen Streich durch
ein dummes Sicherheitsloch gleich viele Systeme ausgehebelt werden
könnten, um sie dann für solche Dinge wie distributed denial of server
attacs zu missbrauchen.

> Ich will doch nicht das es alle machen - ich wöllte es gern (das
> wäre eigentlich die Daeinsberechtigung für einen 2. Server, denn wir
> haben winNT. so schlecht ist der nun auch nicht. Er bietet allerdings
> nicht so viel wie hier aufgelistet, aber das ist auch noch nicht da.)
> 
> Und wenn diese Router ein Firewall-Rechner ist, dann sollte das doch
> gehen. Davon habe ich auch keine Ahnung. Aber hier werden soviele
> Rechner vorkonfiguriert, da sollte das doch auch noch abspringen.
> 
> > 
> > Programme/Server, die Dienste zum Internet hin zur Vefügung stellen,
> > brauchen regelmäßige Kontrolle bzgl. der Aktivitäten und
> > Sicherheitsupdates. Obwohl es scheinbar mehrere Schulen gibt, die
> > Benutzern einen externen Zugriff ermöglichen (z.b. via FTP), halte ich
> > das Vorgehen für extrem leichtsinnig, da es wahrscheinlich an vielen
> > Stellen an dem eigentlich nötigen Know-How fehlt, um solch einen Zugang
> > abzusichern.
> 
> Gut FTP ist wohl nicht das gelbe vom Ei, aber es dürften sich doch
> Alternativen finden lassen. Und wenn ich von jedem der das nutzen
> will vorher eine Unterschrift hole, an was der sich zu halten hat.

OK, das Beispiel war nicht so toll. Fiel mir nur ein, weil ich von
Leuten gehört habe, die genau das in der Schule für den externen Zugriff
benutzen. *grusel*
 
> > Ich sage nicht, dass es unter bestimmten Voraussetzungen unmöglich ist
> > einen relativ sicheren Zugang zu schaffen, 
> 
> und welches sind die bestimmten Bedingungen?

Zunächst würde ich von wirklichen Sicherheitsexperten mal beurteilen
lassen, ob das bisherige Konzept wirklich auf sichere Weise um die
Funktionalität des externen Zugriffs erweitert werden kann.
Grundsätzlich könnte ich mir vorstellen, dass Probleme in der Tatsache
liegen, dass die bisherigen Planungen ja viele Dienste auf ein und
derselben Maschine vorsehen (oder zumindest die Möglichkeit dazu...).
Das ergibt unterm Strich ein recht komplexes System. Je komplexer das
System aber wird, desto schwieriger ist es alle Details im Bezug auf
Sicherheit im Auge zu behalten.

Worauf ich hinaus will: Aus meinem Gefühl heraus würde ich nie den
zentralen Schulserver als Anlaufstelle für externe Zugriffe wählen
sondern das ganze auf ein zweites System auslagern, welches über eine
möglichst minimale Konfiguration verfügt, welche gut überschaubar ist.
Diesen Rechner würde ich dann kontrolliert auf den eigentlichen Server
zugreifen lassen. Vorteile: Die Einbruchmöglichkeiten werden auf Grund
einer einfachen und solideren Konfiguration von vorne herein verringert
und falls es doch mal zu einem Einbruch kommt, dann betrifft es mit
etwas Glück nur den Server für die externen Dienste. Es existiert immer
noch eine zweite Hürde, um Manipulationen (die sich dann vielleicht
unbemerkt auf Dinge wie die Klausurumgebung auswirken könnten!) auf dem
zentralen Server durchzuführen.

Weiter könnte man Probleme entsprechender Wahl der Konzepte für den
Zugriff vermeiden. Ich denke hier würden sich solche Techniken wie
SSH-Tunnel oder VPN-Verbindungen eignen. Wie einfach sich sowas aber
durch die externen Nutzer einrichten und bedienen läßt ist fraglich.

Gruß,
		Alex


-- 

Alexander Dubielczyk <Alexander.Dubielczyk at gmx.de>

Public PGP/GPG Key: http://www.rep-intern.de/keys/alexdu.gpg
Key fingerprint = 61BA 2C78 3503 B7ED 9B00 61DA D8D8 6C8F 3F2B 1302