Linux-Paketmanager sind nicht sicher

Forscher der Universität Arizona haben in einer Studie die Sicherheit von Paketverwaltungen für Linux- und BSD-Systeme untersucht. Die Paketmanager haben dabei nicht gut abgeschnitten, da sie Angreifern ein leichtes Ziel bieten um Sicherheitslücken zu implementieren. Die meisten Paketmanagementsysteme verwenden inzwischen signierte Pakete oder Repositorys. Es ist aber durchaus möglich, zwar korrekt signierte, aber veraltete Pakete auszuliefern. Wenn diese dann Sicherheitslücken enthalten, lassen sich ohne weiteres Angriffe auf das System ausführen. Da die meisten Distributoren die Mirror-Betreiber höchstens unzureichend prüfen, ist es für potentielle Angreifer kein Problem in die offiziellen Mirror-Listen aufgenommen zu werden. Die Forscher haben dies mit einem selbst aufgesetzten und manipulierten Mirror-Server geschafft, den sie unter einem imaginären Firmennamen betrieben haben. Zu den Distributoren, die sich von dem manipulierten Server täuschen ließen, gehören CentOS, Debian, Fedora, OpenSuse und Ubuntu. Auf die Weise hätten manipulierte Pakete an tausende Nutzer, darunter auch das US-Militär und die US-Regierung, ausgeliefert werden können. Auch wenn einige Distributoren den Inhalt der Server prüfen, sei es kein Problem, unterschiedliche Datenbestände auszuliefern und Anwender so an der Installation von Sicherheitsaktualisierungen zu hindern. Die Paketmanager, die mit unsignierten Metadaten arbeiten, seien sogar noch weiteren Angriffen ausgeliefert. Als Fazit ihrer Untersuchung raten die Forscher, nur auf Repositorys von vertrauenswürdigen Organisationen (z.B. Universitäten) zuzugreifen. Anwender sollten sich eigenhändig über Sicherheitsupdates informieren und diese manuell installieren. Mit einer verschlüsselten Verbindung zwischen PC und Repository ließen sich zudem Man-in-the-Middle-Angriffe verhindern. Langfristig soll der von den Wissenschaftlern entwickelte Paketmanager Stork für mehr Sicherheit sorgen, falls die Linux-Distributionen ihn einsetzen.

0 Kommentar(e)

Zum Posten von Kommentaren bitte