Gerade in Intranets oder bei Tests ist es auch oft gebräuchlich, nur bestimmte IP-Bereiche mit Allow und Deny zu erlauben oder zu verbieten. So kann man schnell bestimmte Störer einfach sperren.  Oder bei Tests mit dem neuen Design mal kurz nur den eigenen PC oder das Büro freischalten.

Genauso einfach jedoch weniger bekannt ist die Kombination aus beidem: Man gibt bestimmte Bereiche (z.B. das Entwicklerbüro) anhand der IP-Adresse frei und erlaubt allen anderen den Zugang nur per Passwort. So läßt sich die Entwicklung ohne Klimmzüge wie im Live-Betrieb testen, eingeladene Tester von unbekannten IP-Adressen können die Seite mit einem Passwort vorab sehen und alle anderen bleiben aussen vor.

# HTTP Basic Access Authentication
AuthType Basic
AuthName "Dieser Bereich ist passwortgeschuetzt. [www.butschek.de]"
AuthUserFile /path/to/your/.htpasswd
require valid-user

# Erlaube einige IP-Bereichen (10.1.75.x sowie 192.168.x.x)
# und verbiete alle anderen Anfragen
Order deny,allow
Deny from all
Allow from 10.1.75.
Allow from 192.168.

# Nur EINE der Bedingungen oben muss erfuellt sein.
Satisfy ANY

Der Aufbau der .htaccess Datei ist einfach: Zuerst kommt die übliche Sperre für den Passwortschutz. Danach folgt die IP-Sperre. Zuletzt legt die Satisfy-Regel fest, dass nicht alle (=ALL) sondern nur irgendeine (=ANY) der obenstehenden Regeln zutreffen muss, um den Zugriff zu erlauben.

#!/bin/bash
echo -n Starting firewall.

while true; do
sleep 1
echo -n .
if [ $(($RANDOM%13)) -eq 2 ]; then break; fi
done

echo
echo "Your system is now secure!"

while true; do
sleep $(($RANDOM%53))
HOST="$(($RANDOM%256)).$(($RANDOM%256)).$((RANDOM%256)).$(($RANDOM%256))"
PORT="$(($RANDOM%65535+1))"
echo "Blocked attack from host $HOST on port $PORT!!!"
done

Die Website www.fakenamegenerator.com ermöglicht das Erstellen einer falschen Identität. Und dabei wurde scheinbar an alles gedacht: Name, Adresse, Telefon, Geburtstag, Beruf, Geburtsname der Mutter, ja sogar die Kreditkartennummer ist dabei.

Das tolle daran: Die Daten sind in sich schlüssig. Die Straße existiert in der angegebenen Stadt, die Stadt paßt zur Postleitzahl und die wiederrum zur Vorwahl. Zur Auswahl stehen übrigens mehrere Länder und auch Namens-Sets aus mehreren ländern, damit wäre also auch ein in Finnland lebender Schwede machbar.

Ob diese Daten nun zur pseudonymisierung im Internet oder per Massen-Job für als Testdaten für die Software-Entwicklung genutzt werden, bleibt dem Benutzer überlassen.

Wir gehen von einer normalen Debian Lenny installation aus. Ich habe sda in 3 Partitionen unterteilt: Swap (2 GB), Root-FS (10 GB) und /home (Rest). Die dritte Partition werde ich verschlüsseln.

Zuerst installieren wir die Software und laden das nötige Kernel-Modul. Dies ist beim Einrichten einmalig manuell nötig, beim späteren Öffnen des Containers wird das Modul automatisch geladen:

apt-get install cryptsetup
modprobe dm_crypt

Nun starten wir die Einrichtung:

cryptsetup luksFormat /dev/sda3

Mit luksOpen öffnen wir den verschlüsselten Bereich. Dadurch entsteht ein neues Gerät namens /dev/mapper/{name} welches das “geöffnete” /dev/sda3 repräsentiert, jedoch in nichtverschlüsselter Form. Wir benutzen also künftig /dev/mapper/{name}, wobei alles, was wir dorthin speichern transparant verschlüsselt und nach /dev/sda3 geschrieben wird.

cryptsetup luksOpen /dev/sda3 private

Wir haben der Partition also nun den Gerätenamen ‘privat’ gegeben, daher finden wir unsere lesbare “Partition” nun unter /dev/mapper/private. Nun formatieren wir die Partition:

mkfs.xfs -L sda3-priv /dev/mapper/private

Fertig, schon kann die Partition gemountet und genutzt werden:

mount /dev/mapper/private /home

Was ich an dieser Stelle gerne empfehle ist das vollständige Überschreiben der Festplatte. Beim luksFormat wird der Bereich nämlich nicht überschrieben, es wird nur der leere Index angelegt. Die zuvor unverschlüsselt gespeicherten Daten sind also noch rekonstruierbar.

Das “Ausnullen” (Überschreiben mit lauter 0×00 Bytes) vermeide ich hier, da ein Angreifer sonst verschlüsselte und unverschlüsselte Daten großer Teile der Platte kennen könnte und somit gezielt nach dem Schlüssel suchen könnte. Daher benutze ich hier /dev/urandom:

dd if=/dev/urandom of=/home/fillup.dat bs=1M
rm /home/fillup.dat

Eine interessante Sache übrigens: Das Füllen mit Zufallsdaten könnte theoretisch auch vor dem luksFormat direkt auf /dev/sda3 erfolgen, man könnte sogar annehmen, dass dies schneller geht, weil die Zufalldaten dann nicht verschlüsselt geschrieben werden müßten. Da die Verschlüsselung jedoch die Entropie der Zufallszahlen ganz vewaltig in die Höhe treibt, geht das Erzeugen von Zufallszahlen beim Überschreiben des gecrypteten Bereiches in der Tat schneller als beim Überschreiben der Platte sda3.

Meine Messwerte:

So, um die Partition nach dem Entmounten wieder zu “schließen”, also das Mapper Device wieder zu entfernen, damit nicht mehr auf die Daten zugegriffen werden kann, wird das Kommando luksClose genutzt:

umount /dev/mapper/private
cryptsetup luksClose private

Durch einen Reboot ist das Laufwerk übrigens auch geschlossen, wenn also jemand mit lokalen Zugang zum PC kein Passwort hat, wird er künftig keine Daten aus /home mehr auf dem Rechner finden, denn selbst ein Reboot mit init=/bin/bash ist nun wirkungslos.

Fertig ist das streng geheime Home-Verzeichnis – was übrigend auch mit jedem anderen Verzeichnis klappt – zumindest solange es kein System-Verzeichnis ist, welches zum Booten schon benötigt wird.

TIPP: Ein Blick ins Manual von cryptsetup ist übrigens sehr zu empfehlen. Hier wied auch verraten, wie man mit den luks*Key Kommandos mehrere Passwörter anlegen (z.B. für mehrere Leute, jeder hat SEIN Passwort) oder wie man mit Key-Files (z.B. auf dem USB-Stick) arbeiten kann. Auch Scripting ist dank isLuks und luksUUID problemlos möglich…

Die Notfall-Lösung beherrscht keine Online-Updates oder sonstige Features einer Desktop-Suite. Die 140 MB große Datei wird heruntergeladen und doppelgeklickt. Nach dem Entpacken startet der Scanner und untersucht den kompletten PC. Dabei geht er wirklich sehr gründlich vor, geprüft wird Boot-Bereich, laufende Prozess, Festplatte (inkl. des Bereichs für die Systemwiederherstellung) sowie die Registry.

Testlauf:

Beim Scannen gab das Programm unsinnigerweise seitenweise Dateinamen von geprüfen Dateien aus, dabei sah ich in roter Farbe auch meine Mainboard-Treiber vorbeilaufen. Diese werden aufgrund einer Download-Routine von vielen Scannern fälschlicherweise als Virus eingestuft. Warum man nicht einfach nur die wichtigen Informationen ausgibt, die man dann vielleicht auch lesen könnte, wurde mir nicht klar. Immerhin zeigt dieser False-Positive, dass Vipre aktuelle Pattern einsetzt – lobenswert!

Nach etwa etwa einer halben Stunde war mein Rechner dann komplett gescannt, die Abschlußmeldung auf der Konsole ist nur leider wenig aussagekräftig:

Scan completed.
Scan time: 00:31:08
Rootkits: **** scanned, 0 found
Processes: ** scanned, 0 found
Modules: **** scanned, 0 found
Folders: **** scanned, 0 found
Files: **** scanned, 7 found
Registry: **** scanned, 0 found
Total: **** scanned, 7 found
7 threat traces were detected.
Starting clean.
Quarantine {5b456ca4-42f2-8456-629d-f96b1854c0cf} completed.
Quarantine {b657c909-0d8b-29ca-fe3d-377447d960d6} completed.

Clean completed.
Clean time: 00:00:01
2 threats were cleaned.

Im Quarantäne-Verzeichnis fand ich 7 Dateien benannt in Hexadezimal-Ziffern und ohne Dateiendung (scheinbar die o.g. 7 Files) sowie 2 XML-Dateien benannt nach der Ausgabe oben “Quarantine {…} completed”.

Die 7 Dateien waren wirklich meine Mainboard-Treiber, die 2 XML-Dateien protokollierten Originalname, Quarantäne-Name, Prüfsumme und den Grund der Sicherstellung. Ob ich diese Dateien überhaupt in Quarantäne schieben will, wurde ich nicht gefragt.

Fazit:

Als Versuch der letzten Rettung bei einem halbtoten Windows-System ist der Scanner wirklich gut zu gebrauchen. Er entsorgt zumindest alles virenverdächtige und erlaubt daher das sichere Übernehmen der restlichen Daten.

Für ein noch genutztes System ist der Scanner absolut nicht zu gebrauchen, da er ohne Rücksicht auf Verluste und ohne Rückfrage Dateien umbenennt und in Quarantäne nimmt, die man ohne gute Kenntnisse in XML kaum wieder zurückbekommt. In meinem Fall waren es Mainboard-Treiber (bzw. dessen Installer) und hätte ich nicht genauer hingeschaut, wäre mir das wohl nie aufgefallen, dass hier plötzlich 7 Dateien fehlen. Doch bei der nächsten Neuinstallation hätte ich wohl geflucht und die Welt nicht mehr verstanden.

Sorry, Sunbelt Software, setzen 6!

Plus-Punkte:

• Einfache Bedienung
• Keine Installation nötig
• Läuft auch in der Rettungskonsole (DOS)

Minus-Punkte:

• Ausgabe unübersichtlich
• Absolut keine Rückfrage
• Protokoll nur in XML-Datei (keine für Nicht-Programmierer lesbare Text-Fassung)

Schade, denn die negativen Punkte ließen sich von den Entwicklern wohl in 30 Minuten beheben. Zumindest für den Notfall, wenn Windows gar nicht mehr startet, ist die Software wirklich gut zu gebrauchen:

VIPRE Rescue Program Download:
http://live.sunbeltsoftware.com/

Um dies zu verbindern gibt es Tools wie shred. Es überschreibt den Inhalt einer Datei mit Zufallsdaten und sorgt so dafür, dass eine Datei unwiederbringlich gelöscht ist. Dazu ruft man shred genauso wie rm auf, wobei es einige interessante Parameter gibt:

• Mit -v wird die ausführliche Ausgabe aktiviert. Eigentlich unnötig, aber interessant, um die Funktion zu sehen. Auch bei sehr großen Dateien ist es eventuell hilfreich, um grob zu wissen, wo das Programm gerade steckt.
• Mit -n legt man die Anzahl der Durchläufe fest, also wie oft die Daten überschrieben werden sollen. Nachdem Forensikexperte Craig Wright 2008 feststellte, dass einmaliges Überschreiben der Daten absolut genügt, sollte wir also -n1 nutzen. Alles andere verwendet nur Zeit und Strom.
• Mit -z gibt man an, dass die Datei nach dem letzten Durchlauf nochmal ausgenullt werden soll. Dies ist zwar nicht nötig, doch monkische Menschen wie ich mögen die Ordnung.
• Mit -u wird die Datei nicht nur überschrieben, sondern am Ende auch gleich gelöscht. Das spart ein nachträgliches aufrufen von rm.

In der Shell sieht das dann wie folgt aus:

# shred -v -n1 -z -u secret
shred: secret: pass 1/2 (random)...
shred: secret: pass 2/2 (000000)...
shred: secret: removed

Freien Speicher löschen

Falls eine Datei aus Versehen schon gelöscht wurde, kann man sie nicht mehr mit shred behandeln. Es hilft dann jedoch, einfach den gesamten freien Platz der Festplatte zu überschreiben. Da man den freien Platz nicht mit einem Namen ansprechen kann, legen wir einfach mit dd eine Datei an, die die ganze Platte füllt:

dd if=/dev/urandom of=/fillup.dat bs=1k

Die Angabe ohne den count-Parameter sorgt dafür, dass dd die Platte so lange mit zufälligen Daten von /dev/urandom beschreibt, bis sie voll ist. Danach kann die Daten mit rm wieder gelöscht werden: rm /fillup.dat

Partition oder ganz Festplatte löschen

Möchte man eine Partition (z.B. /dev/sda3) oder eine ganze Festplatte (z.B. /dev/sda) löschen, kann man einfach deren Gerätenamen in Kombination mit shred einsetzen:

shred -v -n1 -z /dev/...

Hier ist aber unbedingt auf korrekte Angaben zu achten, ist die falsche Partition erstmal überschrieben, gibt es kein Zurück mehr!

Einschränkungen

Moderne Dateisysteme (XFS, ReiserFS, JFS, …) speichern im Journal Daten zwischen, die auf die Festplatte geschrieben werden sollen. Dieses Journal wird von shred nicht gelöscht und kann damit unter umständen noch bereits gelöschte geglaubte Informationen erhalten.

Auch bei EXT3/4 tritt dieses Problem auf, wenn das Dateisystem mit der Option data=journal gemountet wurde. Dies läßt sich einfach durch Eingabe von ‘mount’ prüfen.

Gut, im Journal wird sich in der Praxis nach kurzer Zeit (einigen Schreibvorgängen) nicht mehr viel finden lassen. Wer dennoch auf Nummer Sicher gehen will, dem bleibt nur noch das Auslöschen der ganzen Partition, wie oben beschrieben. Damit werden nämlich nicht nur Dateien, sondern das ganze Filesystem (inkl. Verzeichnis und Journal) gelöscht.

Eine weitere Einschränkung sind die genutzten Festplatten selbst. Diese können nämlich defekte Sektoren für den Computer ausblenden und stattdessen andere, für diesen Zweck reservierte Sektoren, dorthin mappen. Somit ist es möglich, dass sich auch nach komplettem Löschen der Platte noch Informationen darauf befinden, die ein Datenretter wieder herstellen könnte.

Für alte Festplatten gilt daher: Vernichten statt verkaufen. Ein guter Vorschlaghammer genügt dafür übrigens

Link-Prefetching ist eine Technologie, mit der verlinkte Webseiten schon im Voraus geladen werden.

Zur Zeit wird dieses Feature nur von wenigen Webseiten benutzt, es wird allerdings schon von Google (http://www.google.de) verwendet, um die Suchergebnisse im Hintergrund zu laden, damit diese schneller geladen werden können.

Für den Anwender ein nettes Feature, doch kann es schnell zu unerwünschten Nebenwirkungen kommen, z.B. wenn die eigene IP-Adresse in Logfiles von Seiten auftaucht, die man selbst nie besucht hat. Auch dies ist dokumentiert:

Ein Problem beim Link-Prefetching ist, dass Seiten heruntergeladen werden, die vielleicht gar nicht aufgerufen werden.

Leider ist das dem normalen Anwender nicht bekannt, wenn er Firefox installiert. Doch Prefetching läßt sich abschalten: Einfach ‘about:config’ öffnen und network.prefetch-next auf false setzen. Schon ist’s mit dem Vorladen vorbei. Ich nutze es übrigens schon lange und habe in der Geschwindigkeit nie einen Unterschied bemerkt.

Zuerst hole ich mir mit dd zufällige Daten, sagen wir mal 10 kByte. Diese schicke ich durch eine RegEx und entferne alle Zeichen, die nicht den gewünschten Zeichen entsprechen. Ich nehme hier im Beispiel nur Buchstaben und Zahlen. Nun muss ich nur noch dafür sorgen, dass nur so viele Zeichen wie benötigt ankommen, was ebenfalls wieder durch eine RegEx passiert.

Das Ergebnis sieht dann so aus:

dd if=/dev/urandom bs=1024 count=10 2>/dev/null
  | perl -pe "s/[^a-zA-Z0-9]//g"
  | perl -pe "s/^(.{12}).*$/1/g"

Nun gibt es aber einen Sonderfall, bei dem ich weitere Ausnahmen mache: Das Root-Kennwort.

Ein externer Login (via SSH) mit Passwort ist bei meinen Systemen nicht möglich (nur via Public Key). Das Passwort wird bei mir also nur benötigt, wenn ein Techniker es im Rechenzentrum lokal eingeben muss. Daher sollten alle Zeichen einfach tippbar sein, âáà sind das bei nodeadkeys meist nicht. Außerdem sollte man an die Verwechslungsgefahr denken: Der Techie mit dem Ausdruck des Passwortes in seiner Hand kann bei typischer RZ-Beleuchtung sicher keinen Unterschied zwischen | und l erkennen.

Folgende Zeichen der oben generierten Passworter erachte ich als Störend:

• Kleines Ludwig (l), großes Ida (I), die Zahl Eins (1), das Pipe-Symbol: lI1|
• Großes Otto (O), die Zahl Null (0): O0
• Das Ypselon und das Zet (weil auf US-Keyboards vertauscht)

So würde das nun aussehen, wenn wir diese Zeichen nun entfernen:

dd if=/dev/urandom bs=1024 count=10 2>/dev/null
  | perl -pe "s/[^a-zA-Z0-9]//g"
  | perl -pe "s/[lI1O0yYzZ]//g"
  | perl -pe "s/^(.{12}).*$/1/g"

Die beiden RegEx könnte man zusammenfassen, indem man schon beim ersten nur gewünschte Zeichenbereiche freigibt. Aber ich finde es so leichter lesbar und besser zu bearbeiten.