Inwieweit können wir uns in Bezug auf die Sicherheit auf die Dateisystemberechtigungen verlassen?

Question

Meine Frage betrifft die Dateisystemberechtigungen (insbesondere die Berechtigungen im Unix-Stil) und deren Beziehung zur Sicherheit.

Angenommen, ich habe Zugriff auf einen Computer mit einem Gastbenutzerkonto und einem Benutzer namens Bob. Ich kenne Bobs Passwort nicht, kann aber das Gastkonto verwenden. Das Gastkonto hat keinerlei Leseberechtigung für alle Dateien von Bob, daher kann ich keine von Bobs Dateien lesen, während ich als Gast angemeldet bin.

Aus der Perspektive eines echten „Gegners“ habe ich jedoch vollen Zugriff auf diese unverschlüsselte Festplatte. Ich könnte ein Image davon erstellen, es für später speichern, ein anderes Betriebssystem ausführen, um einfach Bobs Dateien zu lesen und dabei die Berechtigungseinstellungen des Dateisystems zu ignorieren.

Daraus leite ich nun die Frage ab:

1. Eine Dateisystemberechtigungseinstellung auf einer unverschlüsselten Festplatte ist doch nur ein Flag, oder? Und das Einzige, was mich daran hindert, Dateien zu lesen, für die ich keine Berechtigung habe, ist die Tatsache, dass das Betriebssystem sagen wird: „Oh, das können Sie nicht lesen, Sie haben keine Berechtigung.“ Diese Datei befindet sich noch in Rohform auf der Festplatte und ich könnte sie lesen, indem ich die Dateisystemflags einfach ignoriere (sagen wir, über ein zwielichtiges bootfähiges Betriebssystem, das Berechtigungen einfach ignoriert). Ist das alles richtig?

Nehmen wir nun an, ich habe keinen direkten Zugriff auf die Festplatte und melde mich nur per SSH bei einem Rechner an. Ich habe keine Berechtigung, Bobs Dateien zu lesen. Da kann ich wirklich nichts machen, oder?

2. Angesichts meiner eingeschränkten Berechtigungen kann ich einfach nicht auf Bobs Dateien zugreifen, egal wie sehr ich es versuche, oder? Was passiert, wenn ich einen Exploit verwende, um Root-Zugriff zu erhalten? Kann ich jetzt die Berechtigungsflags des Betriebssystems umgehen? Passiert das jemals?

Answer 1

Kürzere Antwort.

Wenn Sie physischen Zugriff auf ein Computersystem (PC oder Datenspeichersystem) haben und der einzige „Schutz“ die Dateiberechtigungen sind, haben Sie absolut keinen Schutz.

Diese unverschlüsselten Daten können mit minimalem Aufwand und fast ohne Werkzeuge kopiert und geklont werden. Sie benötigen lediglich ein anderes Gerät, das Sie an das Systemlaufwerk anschließen können, um eine Kopie der Daten zu erstellen.

Und ja,möglicherweiseEinige beweisrelevante Aspekte des physischen Eindringens müssen möglicherweise beim Zugriff auf physischer Ebene berücksichtigt werden. So muss sichergestellt werden, dass keine Fingerabdrücke hinterlassen werden und dass auch alle „manipulationssicheren“ Siegel berücksichtigt werden. Aber ehrlich gesagt können die Laufwerke bei den meisten Systemen physisch entfernt werden, um eine physische Kopie der Daten zu erstellen, ohne dass der Endbenutzer es besser weiß. Wenn Sie das Laufwerk haben, haben Sie das Laufwerk und dann auch die Daten, wenn sie unverschlüsselt sind.

Aus diesem Grund sind Verschlüsselung pro Benutzer oder die vollständige Festplattenverschlüsselung heutzutage so ein großes Thema; Laptops und andere tragbare Computergeräte haben heutzutage einen so großen Marktanteil, dass das Risiko eines Datenverlusts durch Gerätediebstahl oder das gelegentliche Ausleihen eines PCs viel höher ist als jemals zuvor.

Wenn die Festplatte unverschlüsselt ist, sind die Daten darauf ein offenes Buch, das gelesen werden kann. Dieses Konzept ist nicht auf Linux/Unix-Rechner beschränkt, sondern gilt für alle Betriebssysteme. Wenn Sie physischen Zugriff auf ein unverschlüsseltes System haben, besitzen Sie das System.

Das heißt, DateiberechtigungenSindeine nützliche Sicherheitsmaßnahme für Remote-Server aller Art.

Längere Antwort.

Meine Frage betrifft die Dateisystemberechtigungen (insbesondere die Berechtigungen im Unix-Stil) und deren Beziehung zur Sicherheit.

Bedenken Sie zunächst, dass die Sicherheit von Computern – und allen anderen Dingen – eigentlich nur ein Abschreckungsmittel ist, das die Dinge verlangsamt und nicht unbedingt absolute Sicherheit bietet.

Das schwächste Element der Sicherheit in jedem Gebäude ist beispielsweise die Tür, die man beim Betreten/Verlassen öffnen muss, oder das Fenster, das man öffnen muss, um Luft hereinzulassen. Ja, man kann Türen und Fenster abschließen und Alarmanlagen einrichten, aber wenn jemand wirklichwillZugang zu etwas haben – und sie verfügen über die Zeit, die Mittel, den Wohlstand und die Anstrengung, es zu verfolgen –, dann werden sie Zugang dazu bekommen.

Angenommen, ich habe Zugriff auf einen Computer mit einem Gastbenutzerkonto und einem Benutzer namens Bob. Ich kenne Bobs Passwort nicht, kann aber das Gastkonto verwenden. Das Gastkonto hat keinerlei Leseberechtigung für alle Dateien von Bob, daher kann ich keine von Bobs Dateien lesen, während ich als Gast angemeldet bin.

Das Problem ist hier der Kontext des Zugriffs. Wenn SiePhysischer Zugangan einen Computer, so ziemlichirgendetwasist möglich. Wenn Sie jedoch nur über eine Remote-Verbindung verbunden sind – über ein Netzwerk irgendeiner Art – dann ist der Dateisystembesitzdefinitiveine effektive Sicherheitsmethode. Und im Fall von Linux/Unix-Servern sind Berechtigungen und Eigentumsrechte effektive Formen der Sicherheit, um Remote-Eindringlinge zu verhindern.

Deshalb rootgilt in der Linux/Unix-Welt der Zugriff auf ein Remote-System als eine so große Auszeichnung. Wenn Sie rootauf ein Remote-System zugreifen, haben Sie tatsächlich etwas getan, das Ihnen besseren Zugriff verschafft, ohne in ein Rechenzentrum gehen und ein Laufwerk klonen zu müssen.

Aus der Perspektive eines echten „Gegners“ habe ich jedoch vollen Zugriff auf diese unverschlüsselte Festplatte. Ich könnte ein Image davon erstellen, es für später speichern, ein anderes Betriebssystem ausführen, um einfach Bobs Dateien zu lesen und dabei die Berechtigungseinstellungen des Dateisystems zu ignorieren.

Ja, genau. Wenn Sie physischen Zugriff auf die Maschine haben, ist – wie eingangs erklärt – alles möglich. Sie können mit wenig bis gar keinem technischen Aufwand auf die Dateien und Verzeichnisse anderer zugreifen, indem Sie ein Image der Festplatte erstellen oder einfach nur den Rohinhalt der Festplatte selbst abrufen.

Wer Ihnen beispielsweise seinen PC leiht und ohne über dieses Szenario nachzudenken ein neues Konto nur für Sie einrichtet, gibt im Grunde alle auf seinem Rechner gespeicherten persönlichen Daten preis, ohne es wirklich zu wissen.

Leicht abschweifend, aber ich glaube, das ist der Grund, warum so viele Gelegenheitsnutzer alte PCs spenden, ohne sich auch nur die geringste Mühe zu machen, die Daten auf der Festplatte zu löschen. Sie richten ein Benutzerkennwort ein und gehen davon aus, dass ihre Daten damit so sicher sind, dass sie die Festplatte einfach in den Müll werfen können, ohne zweimal darüber nachzudenken. In Wirklichkeit ist es so, dass ohne echte Verschlüsselung oder Datenlöschung jede Festplatte, die in den Müll geworfen oder gebraucht verkauft wird, von jedem überall gelesen werden kann, ohne dass viel Aufwand oder technischer Aufwand erforderlich ist.

Answer 2

Ihre drei Punkte:

1. Wenn Sie sich als normaler Benutzer per SSH anmelden, haben Sie keinen Zugriff auf das Raw-Festplattengerät. Normalerweise benötigen Sie rooteine Berechtigung, um auf die Raw- und logischen Festplattengeräte zuzugreifen.

2. Wenn du bekommstWurzeldurch einen Exploit, dann sind Sie der mächtigste Benutzer des Systems und haben Zugriff auf fast alles, einschließlich des Geräts. Da Sie Root sind, können Sie direkt auf Bobs Dateien zugreifen, Sie müssen also nicht auf das Festplattengerät zugreifen.

3. Physischer Zugriff ist besser root. Root ist eine logische Ebene. Sie können es bei physischem Zugriff auf die Festplatte ignorieren. Dazu gehört das Laden der Festplatte in einem separaten Betriebssystem, in dem Sie Root sind.

Natürlich sollten Systeme gegen rootExploits geschützt sein, aber täglich kommen neue Exploits auf den Markt. Kein System ist 100 % sicher, aber Sie können es aus praktischen Gründen absichern, indem Sie den Zugriff beschränken.

Dateisystemberechtigungen funktionieren voraussichtlich nur in Situationen mit eingeschränktem Benutzerzugriff, in denen das Betriebssystem nicht kompromittiert ist. Es handelt sich um ein System, das „ehrliche (und typische) Benutzer ehrlich halten soll“, wie Fahrradschlösser. Es dient eher der Verhinderung von „Gelegenheitsverbrechen“ als einem ausfallsicheren Komplettschutz.