Sicherheit OpenBSD > FreeBSD ?

BrainPain

Well-Known Member
Hey Leute,

ich habe immer wieder gelesen das OpenBSD im Punkt Sicherheit besser sein soll als FreeBSD. Ich kann das nicht ganz nachvollziehen, da ja FreeBSD auch schon ziemlich viel an Sicherheitsmechanismen bietet, daher fände ich es ganz nett wenn mir jemand mal etwas genauer erläutern könnte wo denn die größere Sicherheit herkommt bzw. wo FreeBSD schwächelt.

Grüße
 
Das liegt vor allem daran, das in OpenBSD so ziemlich alles erst mal abgeschaltet ist (ist auch richtig so). Und an regelmäßigen Code-Audits. Von denen dann natürlich auch andere Projekte profitieren (z.B. Xorg).
 
Sicherheit ist immer so relativ.
Ein System ist nur so sicher, wie sein Admin paranoid.
 
Was verstehts DU unter Sicherheit? Worauf kommt es Dir an?

Rein akademisch wird mit so Begriff wie:
- authentification/authorization
- integrity
- confidentiality
- availibility
- ...
um sich geworfen.

Nehmen wir doch mal das Thema Vertraulichkeit (confidentiality).
In FreeBSD kannst Du verhindern das andere Nutzer sehen,
welche Prozesse Du ausführst: security.bsd.see_other_gids=0.

Das geht in OpenBSD NICHT. Du müsstest erst den Kerneln patch und selber bauen.
Etwas wo von Dir die OpenBSD-Entwickler aber abraten.
 
das ist wirklich sehr relativ...

die wirklich wichtigen (jetzt beschwehrt sich gleich jemand) beiträge des openbsd projekts, wie OpenSSH und PF gibts ja gottseidank auch für freebsd.
ansonsten, hat freebsd m.e. auch in puncto sicherheit viele vorteile, zumindest der bereich von sicherheit der mir wichtig ist: GELI-festplatten-verschlüsselung, jails und ähnliches...
das gibts für openbsd nicht ;)

in anderen punkten kann openbsd durchaus sicherer sein, aber damit kenne ich mich nicht gut genug aus... bzw. ist mir nicht so wichtig.
 
BrainPain schrieb:
Sicherheit OpenBSD > FreeBSD ?
nein.

Sicherheit OpenBSD >> FreeBSD (Teewurst).

Die Qualität des Quelltextes von OpenBSD, sorgt für mehr Sicherheit, mehr Stabilität und Leistung(Effizienz). Weiterhin gibt es zahlreiche Mechanismen, Anwendungen, die von OpenBSD Entwickelern ersonnen wurden und in OpenBSD einflossen, die die Sicherheit weiter steigern: OpenSSh, W^X und PF seien hier nur stellvertretend genannt. Diese sind wiederum so gut, daß die beiden anderen großen BSDs z.B. die pf übernommen haben. W^X wird bei Lunix unter dem Namen ExecShild vermarktet...

Eine pf Firewall/Router auf zum Beispiel auf Basis von FreeBSD zu betreiben ist in meinen Augen widersinnig! Zum einen hängt die Übernahme(Portierung) der aktuellen Version von pf hinterher und zum anderen kann man gleich das Original(OpenBSD) benutzen. Zu mal es noch schöne Dinge gibt wie OpenBGPD und OpenOSPFD gibt und seinen Cisco-M!st auch gleich mit entsorgen kann.

An: Kamikaze installiere bitte erstmal OpenBSD, bevor Du dich dazu äusserst.
An soul_rebel: OpenBSD bietet, da nicht amerikanisch (kanadisch) STARKE-Verschlüsselung: Kryptographie unter OpenBSD
 
Zuletzt bearbeitet:
@*Sheep:
Die Exportrestriktionen auf starke Krypto gelten nicht mehr in der Art,
dass sie die Stärke von FreeBSD-Krypto beinflussen würden.
http://www.wassenaar.org
http://www.bis.doc.gov/encryption/default.htm
http://groups.google.ch/group/maili...f877c3d657?lnk=st&q=&rnum=11#b07c5bf877c3d657
...falls es dich interessiert.

Abschliessend kann man die Frage nicht beantworten, welches System 'sicherer' ist.

Am nächsten kommt IMHO asgs Aussage, dass schlussendlich der Sysadmin die Musik macht.
 
*Sheep schrieb:
Eine pf Firewall/Router auf zum Beispiel auf Basis von FreeBSD zu betreiben ist in meinen Augen widersinnig! Zum einen hängt die Übernahme(Portierung) der aktuellen Version von pf hinterher und zum anderen kann man gleich das Original(OpenBSD) benutzen. Zu mal es noch schöne Dinge gibt wie OpenBGPD und OpenOSPFD gibt und seinen Cisco-M!st auch gleich mit entsorgen kann.

Das muss keinesfalls widersinnig sein. Sicher hinkt die Version etwas hinterher, aber das ist auch schon alles.
Ein Sysadmin der sich mit FBSD bestens auskennt, mit OBSD kaum bis gar nicht, ist wohl besser damit beraten das OS zu nehmen mit dem er sich besser auskennt, wenn es die gleichen Features, hier PF, bietet. Denn das ist der Punkt den ich meine mit meiner obigen Aussage.
Kennt man sich nicht aus, so kann man mehr "kaputt" machen als dass man das System sicher macht.

So, warum geht mein CARP noch nicht...
 
Eine Standardinstallation OpenBSD und FreeBSD verglichen, wo die Einstellungen (Partitionsgröße, IP-Adressen (GW, DNS-Server etc.) korrekt sind, vorrausgesetzt: ist OpenBSD als sicherer einzuschätzen! OpenBSD überzeugt auch durch Einfachheit in der Benutzung. Einfachheit ist ebenfalls ein Sicherheitsaspekt, da wenig fehleranfällig und überschaubar.

Wer sich für PF als Firewalllösung entscheidet und nicht OpenBSD als Basis benutzt, ist ein Tor(im Sinne von Narr und nicht als Einfallspunkt für Angriffe). OpenBSD ist in fünf Minuten installiert. Hat mein keine Erfahrung mit der Installation und zieht: die Installationsanleitung (deutsch) zu Rate, sind es 15 min. Probiert es ruhig mal aus!

Einen (exponierten) Server mit PF zu betreiben, halte ich sehr wohl für sinnvoll (z.B. auch bei FreeBSD). FreeBSD hat als Lastenesel/Rechenknecht auf einer Mehrprozessormaschine halt seine Vorteile. OpenBSD ist als Basis für
  • Firewall
  • Router
  • Webserver
  • DNS-Server
  • NTPD
  • ähnliche Netzwerkdienste
zu bevorzugen. Dafür ist OpenBSD auch gemacht.

asg schrieb:
So, warum geht mein CARP noch nicht...
...FreeBSD? Sonst helfen sicher: die CARP HGF weiter.
 
*Sheep schrieb:
Eine Standardinstallation OpenBSD und FreeBSD verglichen, wo die Einstellungen (Partitionsgröße, IP-Adressen (GW, DNS-Server etc.) korrekt sind, vorrausgesetzt: ist OpenBSD als sicherer einzuschätzen! OpenBSD überzeugt auch durch Einfachheit in der Benutzung. Einfachheit ist ebenfalls ein Sicherheitsaspekt, da wenig fehleranfällig und überschaubar.
Genau das meinte ich. Ständig wird behauptet das OpenBSD sicherer ist. Aber mir (Anfänger) fehlt da irgendwo das Wieso. Und genau das wollte ich durch den Thread herausbekommen. Wobei ich zugeben muss dass die Diskussion schon sehr interessant geworden ist und ich mit Sicherheit schlauer bin als vorher.

*Sheep schrieb:
Wer sich für PF als Firewalllösung entscheidet und nicht OpenBSD als Basis benutzt, ist ein Tor(im Sinne von Narr und nicht als Einfallspunkt für Angriffe).
Wo wären denn diese Angriffspunkte welche scheinbar bei OpenBSD nicht vorhanden sind?

*Sheep schrieb:
OpenBSD ist in fünf Minuten installiert. Hat mein keine Erfahrung mit der Installation und zieht: die Installationsanleitung (deutsch) zu Rate, sind es 15 min. Probiert es ruhig mal aus!
Ist für mich irgendwie nicht wirklich ein Argument, da ich (Anfänger) auch FreeBSD in 5min installiert habe...geht wie von selbst.

Na dann...weiter gehts...
 
moin

naja also sicherheit ist relativ ........ sprich was nutzt mir die beste firewall
wenn der apache hoffnugnslos veraltert ist und darueber ich ne shell auf der maschine bekomme.

grundsaetzlich nutze ich mittlerweile openbsd nur noch im sicherheitsbereich
( firewall , vpn ) warum ..........

ich nutze das orginal von dem die meisten portieren ( pf etc )
freebsd ist mittlerweile mit vielen funktionen ausgestattet und etwas ueberladen
die intregration von loesungen die carp, sasyncd bgpd ist am besten unter openbsd
geloest ( wer hat´s erfunden ) .

documentation ( naja ist nicht wirklich ein argument weil freebsd fast genauso documentiert ist )

schlank ( wenn ich bedenke das ich zu hause nen komplette obsd auf ne 256 mb flash
karte betreibe incl perl )

ich denke einiges geht mittlerweile auch mit freebsd aber was die ideen zu sicherheits und hochverfuegbarkeits loesungen betrifft und deren umsetzung
hat zz defenitiv openbsd die nase vorne .

somit haengt es davon ab was du willst .
wenn du fuer dich zuhause oder fuer einkleines office ne firewall brauchst
gibt es nicht wirklich ein argument fuer oder wider eines der systeme.

wenn du aber gezielt eine hochverfuegbare firewall haben willst das nimm
openbsd weil du dort mit dem orginal arbeitest .


holger
 
*Sheep schrieb:
Eine Standardinstallation OpenBSD und FreeBSD verglichen, wo die Einstellungen (Partitionsgröße, IP-Adressen (GW, DNS-Server etc.) korrekt sind, vorrausgesetzt: ist OpenBSD als sicherer einzuschätzen! OpenBSD überzeugt auch durch Einfachheit in der Benutzung. Einfachheit ist ebenfalls ein Sicherheitsaspekt, da wenig fehleranfällig und überschaubar.

Ich habe sicher nichts gegen OBSD und das es sicher ist, ich tue mich nur schwer mit dem "sicherer" ;-)
Anders ausgedrückt, wo ist es explizit "sicherer"? Wo ist es einfacher zu bedienen (was immer subjektiv ist und daher kaum eine Rolle spielt - wie ich schon schrieb wenn man sich mit Sys A besser auskennt, warum dann Sys B nehmen, so es keinen nennenswerten Sicherheitsvorteil bietet?), wo weniger fehleranfällig?

Wer sich für PF als Firewalllösung entscheidet und nicht OpenBSD als Basis benutzt, ist ein Tor(im Sinne von Narr und nicht als Einfallspunkt für Angriffe).

Dann bin ich wohl ein Tor. Und ja, ich nutze es weil ich mich mit FBSD deutlich besser auskenne. Warum dann OBSD nehmen, sich dort wieder reindenken (Zeit) wenn ich PF, wenn auch etwas hinterher, auch auf FBSD bekomme und dann mit securelevel und securityflags das System zunagel?

OpenBSD ist in fünf Minuten installiert. Hat mein keine Erfahrung mit der Installation und zieht: die Installationsanleitung (deutsch) zu Rate, sind es 15 min. Probiert es ruhig mal aus!

Braucht man für FBSD weniger? Und, was hat das mit der Sicherheit zu tun?

Einen (exponierten) Server mit PF zu betreiben, halte ich sehr wohl für sinnvoll (z.B. auch bei FreeBSD). FreeBSD hat als Lastenesel/Rechenknecht auf einer Mehrprozessormaschine halt seine Vorteile. OpenBSD ist als Basis für
  • Firewall
  • Router
  • Webserver
  • DNS-Server
  • NTPD
  • ähnliche Netzwerkdienste
zu bevorzugen. Dafür ist OpenBSD auch gemacht.

Ahja, für was sind dann NBSD, FBSD und Co gemacht ;-)?
Was spricht, um beim Vergleich OBSD vs FBSD zu bleiben, nun wirklich gegen FBSD aus Sicherheitsaspekten bei den von Dir genannten Diensten?

...FreeBSD? Sonst helfen sicher: die CARP HGF weiter.

Jaja, alles bekannt.
Die zwei Rechner die ich gerade habe wollen aber nicht wirklich. Sprich fliecht der eine weg, übernimmt der andere nicht wirklich. Mir fliegt dann ssh, irc und co weg.
 
BrainPain: Dann sammele einfach Erfahrungen und mache Dir dein eigenes Bild. Es wurden hinreichend Argumente hier aufgeführt. Wenn Du die Schlagworte wie tib sie genannt hatte:
  • authentification/authorization
  • integrity
  • confidentiality
  • availibility
nicht werten kannst.
 
*Sheep schrieb:
BrainPain: Dann sammele einfach Erfahrungen und mache Dir dein eigenes Bild. Es wurden hinreichend Argumente hier aufgeführt. Wenn Du die Schlagworte wie tib sie genannt hatte:
  • authentification/authorization
  • integrity
  • confidentiality
  • availibility
nicht werten kannst.
Wer sagt dass ich diese Schlagworte nicht werten kann? (Dipl.Inf.)
Mir geht es lediglich um eine Erläuterung der sich ständig wiederholenden Behauptung das OpenBSD besser als FreeBSD wäre in Punkt Sicherheit und nicht um Allgemeinwissen im Bereich Sicheheit. OpenBSD >> FreeBSD würde ich übrigens an deiner Stelle nicht schreiben, da "<<" und ">>" eigentlich für den binären Schiebeoperator steht.
Und warum bezeichnest du FreeBSD ständig als Teewurst?

Ich vermute mal dass du gerade die Antwort an asg verfasst, oder?

Grüße
 
Ich muss als FreeBSD-, NetBSD- und OpenBSD-Nutzer hier auch mal meinen Senf dazu geben.

Ich sehe die Vorteile von OpenBSD nicht so kritiklos wie es Sheep tut.

Wie komme ich zu dieser Meinung?
1.) OpenBSD hat sich bisher in der Stabilität bei mir noch nicht so hervorgetan. Das heißt nicht, dass es nicht stabil ist, NetBSD hat auf gleicher Hardware (gleiche Maschine, nicht nur identische Hardware) bessere Ergebnisse erreicht. Zugegeben das war bei OpenBSD 3.1 bis 3.3, seitdem nichtmehr. Aber im Hinterkopf habe ich die Ergebnisse noch.

2.) Die Sicherheit betrifft nicht nur das OS, sondern auch die Anwendungen und da hinken die OpenBSD-ports, was Aktualität und Umfang angeht, den FreeBSD-ports bzw. pkgsrc nach.

3.) FreeBSD und NetBSD sind mindestens genauso einfach handzuhaben.

Und wie schon asg sagt, mit entscheidend für die Sicherheit eines Systems ist das Wissen des Betreuers über das eingesetzte OS.

Gruß c.
 
Zuletzt bearbeitet:
authentification/authorization
integrity
confidentiality
availibility
Mit diesem marketing-buzzwords soll ein einsteiger überzeugt werden? Setzten, Sechs.
In der ganzen Diskussion ist bisher nicht hinreichend erklärt worden, WAS wirklich an OpenBSD sicherer sein soll, wo sind die Sicherheitslücken bei FreeBSD?
 
BrainPain: Das es ein mathematisches Symbol ist kann man auch als Informatiker wissen, da wir uns im Kontext eines Vergleiches bewegen.

Ich persönlich bezeiche analog zu (alten) Realtek-Netzwerkkarten FreeBSD hin und wieder als Teewurst. Interpretiere es wie Du willst.

crotchmaster: Die Stabilitätsschwächen kann ich keinster Weise nachvollziehen.
Das NetBSD effizienter arbeitet, liegt unter anderem daran, daß bei OpenBSD auf Grund von Sicherheitsmechanismen ein Leistungseinbruch von wenigen Prozent durchaus in Kauf genommen wird. Und 3.3 liegt ja nun schon Jahre zurück.

Den zweiten Punkt, den Du angesprochen hast: OpenBSD definiert sich als Betriebssystem, dass heißt es gehören Anwendungen mit zum "Lieferumfang"
  • X.org 6.9.0, die X-Window-Umgebung - mit lokalen Patches. Für i386 werden auch XFree86-Server in Version 3.3 mitgeliefert, um mehr Grafikkartenchips zu unterstützen. Die X-Window-Umgebung wird durch die x*.tgz-Installationsdateisets installiert.
  • GCC in den Versionen 2.95.3 und 3.3.5. GNU C-Kompiler. Das OpenBSD-Team hat zusätzlich die »Propolice Stack Protection«-Technologie eingebaut, die standardmäßig eingeschaltet ist und sowohl im OpenBSD-Userland als auch bei allen Anwendungen genutzt wird, die unter OpenBSD übersetzt werden. Der GNU C-Kompiler wird als Teil des comp39.tgz-Dateisets installiert.
  • Perl 5.8.6 mit Patches und Verbesserungen des OpenBSD-Teams.
  • Apache-1.3.29-Webserver. Das OpenBSD-Team hat standardmäßiges Chrooting, Privilegienabgabe und andere sicherheitsrelevante Verbesserungen eingefügt. Er beinhaltet auch mod_ssl 2.8.16 und Unterstützung für DSO.
  • OpenSSL 0.9.7g mit Patches und Verbesserungen des OpenBSD-Teams.
  • Groff-1.15-Textprozessor.
  • Sendmail-8.13.4-Mailserver (mit libmilter).
  • BIND-9.3.1-DNS-Server. OpenBSD hat viele Verbesserungen im Chroot-Betrieb und andere sicherheitsrelevante Dinge eingefügt.
  • Lynx-2.8.5rel.4-Textwebbrowser mit HTTPS-Unterstützung und zusätzlichen Patches des OpenBSD-Teams.
  • Sudo v1.6.8p9, das den Benutzern erlaubt, einzelne Kommandos als root auszuführen.
  • Ncurses 5.2.
  • KAME IPv6.
  • Heimdal 0.7 mit Patches
  • Arla 0.35.7
  • OpenSSH 4.3
  • gdb 6.3
Diese genannten Anwendungen werden von den Projektmitgliedern überprüft und gegebenfalls angepaßt um ein höchstmaß an Sicherheit zu erreichen. Welchen Grund sollte es geben auf eine aktuellere Version zu wechseln, wenn keine "Features" der neuen Version gebraucht werden und kein Sicherheitsproblem vorliegt? Dies schätze ich übrigens sehr.

Zu Punkt drei: EBEN! Es gibt also keinen Grund um beim Beispiel Firewall zu bleiben, sich für FreeBSD als Grundlage zu entscheiden. Es sei denn FreeBSD bietet mehr an Sicherheitstechnologie:
  • strlcpy() und strlcat()
  • Speicherschutz veredelt
    • W^X
    • .rodata-Segment
    • Guard pages
    • Randomisiertes malloc()
    • Randomisiertes mmap()
    • atexit()- und stdio-Schutz
  • Privilegientrennung
  • Privilegienrückgabe
  • Chroot jailing
  • Neue Uids
  • ProPolice
  • ... und andere


Qullen:
http://www.openbsd.org/faq/de/faq1.html
http://www.openbsd.org/de/security.html
 
Immerhin ist doch noch recht ordentlicher Beitrag von Dir rübergekommen ist. Damit kann ein EINSTEIGER doch immerhin mehr anfangen.
 
Hallo!

Es hieß ja mal, dass NetBSD die wenigsten (bekannten!) Sicherheitslücken auf ner Liste stehen hat. Stimmt das noch? Welche war das?

Versetze dich mal in die Lage das Angreifers. Der aller einfachste weg waere es im Internet nach bekannten(!) Luecken in Daemonen zu suchen, die du laufen hast und nach aussen hin offen sind.
Dagegen kannst du dich aber auch am einfachsten schützen, wenn du dein System aktuell hältst und dich informierst. Bei NetBSD wäre es zum Beispiel gut die News und passenden Mailinglisten zu lesen. Es wäre sicher sinnvoll audit-packages zu installieren. Damit hast du einen relativ aktuellen Überblick über Lücken von den aus pkgsrc installieren Paketen. In den anderen BSD-Projekten wird es doch sicher ähnliches geben.

Am schnellsten bist du aber, wenn du gleich die Listen der von dir verwendeten Programme abonnierst. Wenn du noch mehr Sicherheit willst kannst du ja auch selbst den Code durchleuchten.

Wie es bei OpenBSD standardmaessig ist wuerde ich auch bei allen anderen BSDs alle nicht benoetigten Daemonen deaktivieren.

Eine andere bekannte Massnahme ist es dem Angreifer dadurch das Leben zu erschweren, dass du auf selten benutzte Programme und Betriebssysteme setzt. Da hast du aber das Problem, dass es meist mehr nicht bekannte Lücken gibt und er im Falle von groesserem Aufwand schneler fuendig werden koennte. Wie auch immer, sollte ein Angreifer (um einiges) mehr als den Standardweg waehlen bist du immer gut beraten sehr darauf zu achten keine Man in the Middle Attacken zuzulassen. Das heisst immer den Fingerprint ueberprufen, sonst bringt die die beste Verschluesselung nichts.
Ansonsten kann ich dir empfehlen dich weiterzubilden. Fuer die gute Dokumentation sind die BSDs ja bekannt. Damit mein ich nicht nur einzelne Programme, es gibt ja auch 'man security' (in Free- und DragonFlyBSD, welches ich hier als (freies) Standardwerk empfehlen wuerde (ist uebrigens von Matthew Dillon, genau so wie man tuning *g*).

Dann gibt es noch Honeypots zum Ablenken, etc. Es soll sogar Leute geben, die "sichere" Windowsserver betreiben!

Letzten Endes kommt es auf deinen Aufwand, deine Situation, dein Sicherheitsbeduerfnis und dein Wissen an. Machen kannst du immer was!

lg, Athaba
 
Es muß jedem klar sein, daß wir Themen hier im Forum, die so komplex sind wie "Sicherheit" nur relativ oberflächlich beleuchten können. Man muß Eigeninitiative zeigen und sich mit dem Thema auseinandersetzen. Das brauch mit unter Jahre. Da muß man sich mit Schlagworten einfach zufrieden geben. -EdD-
 
*Sheep schrieb:
crotchmaster: Die Stabilitätsschwächen kann ich keinster Weise nachvollziehen.
Das NetBSD effizienter arbeitet, liegt unter anderem daran, daß bei OpenBSD auf Grund von Sicherheitsmechanismen ein Leistungseinbruch von wenigen Prozent durchaus in Kauf genommen wird. Und 3.3 liegt ja nun schon Jahre zurück.
Sicher, liegt das schon Jahre zurück. Aber OpenBSD behaupt das auch seit Jahren von sich.

Nur zwei Beispiele für Ports die auf einer Firewall-Maschine bzw. im Sicherheitsbereich vorkommen können und bei FreeBSD aktueller sind:
OpenBSD
squid-2.5.STABLE12p1
snort-2.4.3


FreeBSD
squid-2.5.14_2
snort-2.4.5

Das das OpenBSD-Team sich um die Sicherheit einiger anderer Projekte mitkümmert, ist ja sehr löblich, aber in meinen Augen verzetteln sie sich da. Die Entwicklung dieser Projekte bleibt ja auch nicht stehen, z.B. apache 1.3, perl-5.8.x, openssl-0.9.x, bind, sendmail usw.

Gruß c.
 
Zuletzt bearbeitet:
marzl schrieb:
Mit diesem marketing-buzzwords soll ein einsteiger überzeugt werden? Setzten, Sechs.
1.
Ich war der Erste in dem Thread der die Fragen "Was verstehts DU unter Sicherheit? Worauf kommt es Dir an?" gestellt hat!
Diese Fragen wurden bis jetzt NICHT beantwortet.
Auch NICHT von DIR!

2.
Du hast noch nie ein Buch über IT-Security gelesen!
Daher hälst Du sicher "privilege separtion" für eine tolle Erfindung der Apache-Webserver-Entwickler.
Dabei haben die NUR 25 Jahre benötigt um etwas lange zuvor formuliertes umzusetzen.

In der ganzen Diskussion ist bisher nicht hinreichend erklärt worden, WAS wirklich an OpenBSD sicherer sein soll, wo sind die Sicherheitslücken bei FreeBSD?
Da schliesse ich mich natürlich 100 %ig an.
 
Zurück
Oben