/me

2009-03-18 08:26:24 (UTC)

Local Privilege Escalation

Aus der Meldung zu einem Sicherheitsupdate:

[zitat]
Unfortunately some DBus services actually relied
on the insecure default setting and break with the new
policy.
Therefore quite a number of packages is affected by this
DBus
update.

The updated DBus daemon now logs access violations via
syslog. If you see log entries about rejected messages of
type "method_call"
during normal operation the application that caused it
likely needs an updated DBus policy. Please contact the
application vendor in this case.
[/zitat]


(In etwa: Wir haben DBus wegen einer Sicherheitslücke
aktualisiert. Leider hängt die Funktionstüchtigkeit einiger
Programme vom Fortbestehen dieser Sicherheitslücke ab. Wenn
Sie feststellen, daß ein Programm nach dem DBus-Update
nicht mehr funktioniert, wenden Sie sich bitte an der
Hersteller der betroffenen Software.)

Es geht hier nur um eine Ausweitung der Rechte des lokalen
Users. Insofern werde ich, bevor ich update, mal ein paar
Tage abwarten um zu sehen, ob irgendwer über Fehlfunktionen
meckert.

Das verträgt sich durchaus ganz gut mit meiner Paranoia,
denn um den Fehler ausnutzen zu können, müßte der böse Bube
sich in einen bestehenden Useraccount einschleichen und von
dort aus seine Berechtigungen ausweiten. Zu diesem Behufe
(tolles Wort, gell?) müßte er hier am Rechner sitzen.

Allerdings, wenn jemand physischen Zugriff auf einen
Rechner hat, ist es sowieso zu spät. Er muß sich der Mühe,
den Account zu knacken, nicht unterziehen, sondern kann
einfach von einer LiveCD booten und darüber auf die Daten
der Festplatte zugreifen. Als Gegenwehr hülfe die komplette
Verschlüsselung der Festplatte, doch lese ich vermehrt
Berichte über User, die, weil Truecrypt nicht mehr
funktioniert, auf ihre Daten nicht mehr zugreifen können.
Die sind ziemlich in den Arsch gekniffen. Dm-Crypt mit
LuKs-Setup (oder wie das heißt) ist genauso kompliziert wie
seine Schreibweise.

Man könnte außerdem im BIOS das Booten von CD etc.
verbieten, sprich, nur das Booten von der Bootpartition der
Festplatte gestatten. Wenn der böse Bube die Festplatte
aber aus- und in einen anderen Rechner (der ja auch ein
anderes BIOS hat) wieder einbaut, ist auch dieser Schutz
geknackt. Deshalb ziehe ich es vor, einzelne Dateien zu
verschlüsseln. Das ist weniger aufwendig und man kann für
jede Datei ein anderes Paßwort wählen, was die Sicherheit
enorm erhöht.

Merke:
Paranoid zu sein bedeutet nicht, daß sie nicht hinter dir
her sind.