Duell der Datenbanken: In einem Shootout messen sich MySQL und PostgreSQL. Der Schwerpunkt vom ADMIN 06/2011 überprüft, wer schneller ist und gibt einen ... (mehr)

Security Policy Framework

Das Militär ist typischerweise extrem paranoid, wenn es um Datenschutz und Sicherheit geht. Vermutlich weil sie wissen, wie effektiv es ist, an die Daten des Gegners zu kommen. Aus diesem Grund hat die NSA die Entwicklung von SELinux [6] gesponsort, einem System, das Mandatory Access Control (MAC) für Linux implementiert. Die meisten Administratoren begrüßen die Idee von SELinux: Man kann die Berechtigungen einzelner Anwendungen und Dienste so beschränken, dass ein Angreifer selbst dann keinen großen Schaden anrichten kann, wenn er sich Zugriff zu diesen Anwendungen verschafft.

In der Praxis finden die meisten Administratoren SELinux dann weniger toll, denn es erschwert die Arbeit und behindert die Funktion vieler Dienste. Ich musste SELinux abschalten, weil damit Samba (mit nicht standardisierten Shares) und einige Webanwendungen nicht mehr funktionierten. Für Service-Provider, insbesondere Anbieter von PaaS, ist SELinux dennoch eine sehr nützliche Sicherheitsmaßnahme.

Die meisten dieser Sicherheitsmaßnahmen helfen Kunden wenig, wenn sie sich mit einem böswilligen Provider konfrontiert sehen. Die meisten Verschlüsselungsverfahren basieren auf der Geheimhaltung eines Schlüssels. Interessiert sich der Provider für die Daten des Kunden, ist es ein Leichtes, im Speicher den Schlüssel zu finden. Oder er spiegelt die entsprechenden Ports der Netzwerk-Switches und schneidet den kompletten Traffic mit. Wenn er an den Schlüssel gelangt ist, kann er leicht alle Informationen entschlüsseln, etwa gespeicherte Kreditkarteninformationen.

Ein Einbrecher kann natürlich dieselben Methoden anwenden, wenn er einmal entsprechende Rechte erlangt hat. Provider müssen deshalb Maßnahmen gegen solche Angriffe treffen.

Die gute Nachricht

Trotz der erwähnten Herausforderungen bei der Absicherung von Cloud-Systemen, stellt Linux eine gute Basis für sichere Clouds dar. SELinux beispielsweise gibt es nun schon seit mehr als zehn Jahren und ist entsprechend ausgereift. Auch in den Hypervisor-Systemen wurden bisher keine kritischen Bugs gefunden. Jetzt ist es nur noch eine Frage der richtigen Anwendung der passenden Tools, um genügend Sicherheit in der Cloud zu gewährleisten. (ofr)

Infos

  1. Cloud computing, law enforcement, and business continuity: http://berkeleyclouds.blogspot.com/2009/04/cloud-computing-law-enforcement-and.html
  2. Sanitizing SSDs: http://nvsl.ucsd.edu/sanitize/
  3. FTC-Vereinbarung mit Toysmart.com: http://www.ftc.gov/opa/2000/07/toysmart2.shtm
  4. 5 Lessons We've Learned Using AWS: http://techblog.netflix.com/2010/12/5-lessons-weve-learned-using-aws.html
  5. Ksplice: http://www.ksplice.com
  6. Thorsten Scherf, SELinux-Workshop, ADMIN 02/2008, S. 22

Der Autor

Kurt Seifried hat sich als Security-Consultat auf Linux und Netzwerke spezialisiert. Er fragt sich oft, wieso Technologie im großen Maßstab funktioniert, aber so häufig im Detail doch versagt.

Ähnliche Artikel

comments powered by Disqus
Mehr zum Thema

Forscher warnen vor Cloud-Speicherdiensten

Forscher des Fraunhofer Institute for Secure Information Technology (SIT) die Ende letzten und Anfang diesen Jahres die Cloud-Speicherdienste CloudMe, CrashPlan, Dropbox, Mozy, TeamDrive, Ubuntu One und Wuala unter die Lupe nahmen, warnen vor deren Gebrauch. Kein einziger Dienst erfülle auch nur alle grundlegenden Sicherheitsanforderungen.

Artikel der Woche

Eigene Registry für Docker-Images

Wer selber Docker-Images herstellt, braucht auch eine eigene Registry. Diese gibt es ebenfalls als Docker-Image, aber nur mit eingeschränkter Funktionalität. Mit einem Auth-Server wird daraus ein brauchbares Repository für Images. (mehr)
Einmal pro Woche aktuelle News, kostenlose Artikel und nützliche ADMIN-Tipps.
Ich habe die Datenschutzerklärung gelesen und bin einverstanden.

Konfigurationsmanagement

Ich konfiguriere meine Server

  • von Hand
  • mit eigenen Skripts
  • mit Puppet
  • mit Ansible
  • mit Saltstack
  • mit Chef
  • mit CFengine
  • mit dem Nix-System
  • mit Containern
  • mit anderer Konfigurationsmanagement-Software

Ausgabe /2022