quantumleeks schrieb:
Mich wundert nur, dass FreeBSD nicht auch damit wirbt, seit so und so vielen Jahren in der Standardinstalltion kein remote hole gehabt zu haben. Es gibt nur eine Erklärung dafür: Es gab tatsächlich mehrere remote holes in der Standardinstallation.
Die anderen haben ja schon wichtige Sachen gesagt, aber ich möchte dennoch an dieser Stelle noch mal ein paar Dinge deutlich machen, einfach weil diese Frage immer und immer wieder auftaucht.
Ich finde die Arbeit des OpenBSD Teams total klasse. Und ich finde den Ansatz "secure by default" absolut richtig.
Aber man darf das auch nicht überbewerten. Jeder auf Sicherheit bedachte Admin installiert und konfiguriert ein System offline oder nur mit Zugriff auf ein geschütztes Netz und verbindet das neue System erst dann mit einem öffentlichen Netz, wenn es soweit ist und nicht früher. Eine sichere Defaultkonfiguration mag ihm vielleicht ein wohliges Gefühl verschaffen, aber das Deaktivieren unnötiger Dienste benötigt auch nur zwei Minuten zusätzliche Zeit.
Dieser oft zitierte OpenBSD Spruch hat leider so gut wie keine Aussagekraft. Denn in der Standardinstallation laufen halt eben nur sehr wenige Netzwerkdienste. Im wesentlichen betrifft das nur die Sicherheit von OpenSSH, denn das ist AFAIR der einzige komplexe Dienst, der bei OpenBSD in der Standardinstallation lauscht. Im übrigen hat es durchaus noch die eine oder andere zusätzliche ferne Root-Verwundbarkeit in Diensten des Basissystems gegeben (konkret erinnern kann ich mich an die Root-Lücke beim ftpd). Diese Dienste wurden jedoch in der Standardkonfiguration nicht automatisch gestartet und zählten daher nicht für den Spruch. Ganz schön spitzfindig. Ach ja, noch etwas: Es hat auch durchaus einige Sicherheitslücken in OpenSSH gegeben, die die Ausführung beliebigen Codes ermöglicht haben, aber nur einen klaren Fall von "remote root hole". Dieser Fall konnte unmöglich geleugnet werden, weil damals reihenweise OpenBSD-Systeme kompromittiert worden sind. Ich weiß nicht genau, warum die anderen Lücken, die die Ausführung beliebigen Codes ermöglicht haben nicht gezählt haben, kann mir aber denken, daß die anderen Lücken entweder keine Root-Rechte ermöglicht haben (etwa wegen privsep) oder weil die anfällige OpenSSH-Release nicht bei einer OpenBSD-Release verwendet worden ist. Wie auch immer, auch das ist ziemlich spitzfindig.
Dabei ist das mit den wenigen lauschen Ports überhaupt nichts besonderes. Wenn ich mich recht erinnere, hat NetBSD in der Standardinstallation ohne X überhaupt keine lauschenden Ports. Und bei FreeBSD wird man während der Installation darauf aufmerksam gemacht, daß standardmäßig gestartete Dienste ein Sicherheitsrisiko bedeuten können. Man hat dann an dieser Stelle die Möglichkeit, eine Konfiguration zu wählen, bei der kein Dienst von außen erreichbar ist.
Und nur mal, um die Gemüter noch weiter anzuheizen: Gentoo Linux hat ebenfalls 0 lauschende Ports in der Standardinstallation. Kein Dienst wird automatisch gestartet, wenn er installiert worden ist. Ein weiteres Kommando ist nötig, um den Dienst zu starten. Und noch ein anderes Kommando ist nötig, um den Dienst automatisch beim Systemstart starten zu lassen. Beides geschieht nicht automatisch, sondern erst nach einer bewussten Entscheidung des Benutzers.
Zusammenfassung:
Ich finde den OpenBSD Spruch spitzfindig und irreführend. Im Internet gibt es extrem viele Leute, die den Spruch nicht richtig verstehen und ihm wesentlich mehr Bedeutung beimessen, als er eigentlich besitzt. Sie nehmen das dann als Zeichen für die Sicherheit von OpenBSD und denken irgendwie, daß das die Gesamtzahl aller sicherheitskritischen Bugs betrifft oder so etwas in der Art. Dabei hat der Spruch eine sehr geringe Aussagekraft und bezieht sich nur auf eine ganz spezielle sportliche Disziplin ("Minimierung der Anzahl der lauschenden Ports in der Standardkonfiguration nach der Installation"). In dieser Disziplin wird es obendrein noch von NetBSD und Gentoo ganz klar geschlagen. Und diese Systeme posaunen es nicht so wie OpenBSD hinaus.
Ich finde diesen Spruch also peinlich und ärgerlich, insbesondere deswegen, weil die OpenBSD Leute schon eine ganze Reihe sehr ehrgeiziger und krasser Sachen gemacht haben. Der Spruch ist nicht nur irreführend, sondern lenkt auch von den wirklichen Leistungen ab.
finde.
