Meine Sicherheitsbedenken

[Jochen3120]

Hallo,
ich habe neulich gelesen das man auf der Pandora immer root ist.
Ich Anbetracht auf die Internetnutzung, Datenaustausch, Softwarenutzung,... währe dies eine riesige Sicherheitslücke.
Ich hoffe das das nicht so ist, wenn ja dann hoffe ist das es die Möglichkeit gibt Benutzer anzulegen.

Gruß, Jochen

 

[Seraptin]

Ja mit etwas gefrickel sollte man alles so hinbekommen das ein normaler user gut genutzt werden kann.

Ich denke das der root Account standardmaessig genutzt wird liegt an der einfachkeit... so muss nicht jeder sobald er seinen Pandora bekommt erstmal einen Nutzer anlegen... Wobei mit einer kleinen GUI und vorgefertigten Rechten sollte das auch ganz gut gehen. Ich lass mich ueberraschen

 

[Anonymous]

Hallo,
ich habe neulich gelesen das man auf der Pandora immer root ist.
Ich Anbetracht auf die Internetnutzung, Datenaustausch, Softwarenutzung,... währe dies eine riesige Sicherheitslücke.

Welchen Schadcode für ARM-Prozessoren erwartest Du denn? )

Mal ehrlich, was soll denn an der Pandora sicherheitsrelevant sein? Sämtliche Daten, falls man das Gerät als Arbeitsgerät benutzt, sollte man eh regelmäßig synchen. Meine TANs fürs Online-Banking würde ich da eher nicht drauf speichern, jedenfalls nicht unverschlüsselt...

 

[wejp]

Das wäre aber wirklich eine extrem dumme Idee, immer als root zu arbeiten. Ich hoffe doch mal stark, dass das nur ein Gerücht ist. Die Situation ist ja eine andere, als auf dem GP2X. Dort ist es noch zu verschmerzen, dass man alle Programme als root ausführt, auf der Pandora wäre das aber wirklich nicht akzeptabel.

Welchen Schadcode für ARM-Prozessoren erwartest Du denn? )

Da reicht doch ein einfaches Shell-Script. Damit kann man schon unglaublichen Schaden anrichten und sei es bloß dass damit das ganze NAND gelöscht wird. Selbst wenn man das wieder reparieren kann, lustig ist das sicher nicht. Es sind aber auch diverse andere Dinge denkbar.

 

[Anonymous]

Da reicht doch ein einfaches Shell-Script. Damit kann man schon unglaublichen Schaden anrichten und sei es bloß dass damit das ganze NAND gelöscht wird.

Um das NAND zu löschen, bräuchte man sicherlich einen maßgeschneiderten Angriff. Ich kann mir nicht vorstellen, dass das jemand machen würde. Aber vielleicht bin ich in dieser Hinsicht etwas abgestumpft, weil ich genügend embedded Geräte kenne, bei denen alles als root läuft.

 

[wejp]

Da reicht doch ein einfaches Shell-Script. Damit kann man schon unglaublichen Schaden anrichten und sei es bloß dass damit das ganze NAND gelöscht wird.

Um das NAND zu löschen, bräuchte man sicherlich einen maßgeschneiderten Angriff. Ich kann mir nicht vorstellen, dass das jemand machen würde. Aber vielleicht bin ich in dieser Hinsicht etwas abgestumpft, weil ich genügend embedded Geräte kenne, bei denen alles als root läuft.

Man sollte aber nicht die Zielgruppe der Pandora vergessen. Ich könnte mir vorstellen, dass die Wahrscheinlichkeit, dass hier Scriptkiddies aus Spaß irgend welche bösartigen Scripte erstellen und als angeblich tolles Spiel verbreiten, weitaus größer ist, als bei vielen anderen Embedded-Geräten. Abgesehen davon ist die Tatsache, dass andere Geräte das genau so machen, nicht unbedingt ein gutes Argument dafür, dass auch so zu machen. Besonders vor dem Hintergrund, dass die Pandora ja nicht bloß als Spielkonsole geeignet ist, sondern auch für andere Anwendungen genutzt werden kann und sogar Internetzugriff haben kann.

 

[Balzac2m]

Ich hab davon noch gar nichts gehört, aber finde die Idee auch grauenvoll. Da schreibt einer mal aus Spaß rm -rf / im IRC als Tip und Schwupp steht einer ohne Daten da.
Also ich halte das für eine grauenvolle Idee, die auch dem Anspruch UMPC absolut nicht gerecht wird. Aber da ich das englische Forum eigentlich recht ausführlich beobachte, würde ich mich wundern, davon noch nichts gehört zu haben. Gibt's da ne Quelle zu?

 

[subnet_zero]

Es sollte doch möglich sein das zu lösen ohne dauernd root sein zu müssen. Klappt ja bei anderen Sachen auch.

 

[PandoraSuechtig]

Das mit dem IRC Tipp ist ein Social Engineering Problem und dagegen hiflt keine Softwaretechnische Absicherung.
Ein Grund warum ich mich bei der Pandora so sicher fühle ist auch, dass es einfach kein x86 ist! Nebenbei auch die geringe Verbreitung der Pandora und, dass in der Zielgruppe kaum irgendwelche "Übeltäter" vorhanden sein werden. Die Plattform ist schlichtwegs ein zu kleines Ziel. Und Datenbklau auf einer Pandora? Bei den meisten wird nichts zu holen sein.
Das wird ziemlich lange gut gehen, bis ARM/TI/... nächstes Jahr anfangen ihre Netbooks mit ARM zu vertreiben. Wenn die wirklich so billig und lang ausdauernd sein werden, wie viele erwarten und sie den Markt aufrollen, sind wir keine Nische mehr...
Dazu noch "MID"s mit ARMs, auch Nvidia hackt in dieselbe Kerbe mit einer Zusammenarbeit mit ARM.

Ob ich generell gegen die root Variante bin? hmmm, die Performanceeinbusse durch Usereinschränkungen dürften winzig sein. Aber für ein Gerät, dass auch viele nur Retro-Gamer anspricht eine Multiuserumgebung aufzudrängen...
Wer nicht happy ist, kann sich ja einen User einrichten oder? Mich interessiert stärker wie weit firealls/PFs laufen werden wenn ich mit der Pandora online gehe...

 

[wejp]

Das mit dem IRC Tipp ist ein Social Engineering Problem und dagegen hiflt keine Softwaretechnische Absicherung.

Man muss es dem Social-Engineer aber auch nicht unnötig einfach machen.

Ein Grund warum ich mich bei der Pandora so sicher fühle ist auch, dass es einfach kein x86 ist!

Dass es kein x86er ist, hilft in vielen Fällen gar nichts. Shell-Scripte lassen sich, wie bereits gesagt, völlig unabhängig von der Architektur ausführen und damit lässt sich schon genug Schaden anrichten.

Nebenbei auch die geringe Verbreitung der Pandora und, dass in der Zielgruppe kaum irgendwelche "Übeltäter" vorhanden sein werden. Die Plattform ist schlichtwegs ein zu kleines Ziel. Und Datenbklau auf einer Pandora? Bei den meisten wird nichts zu holen sein.

Das ist eine Vermutung. Die Pandora eignet sich aber durchaus etwa als Terminkalender oder E-Mail-Client. In beiden Fällen könnten durchaus interessante Daten zu holen sein.

Ob ich generell gegen die root Variante bin? hmmm, die Performanceeinbusse durch Usereinschränkungen dürften winzig sein. Aber für ein Gerät, dass auch viele nur Retro-Gamer anspricht eine Multiuserumgebung aufzudrängen...
Wer nicht happy ist, kann sich ja einen User einrichten oder? Mich interessiert stärker wie weit firealls/PFs laufen werden wenn ich mit der Pandora online gehe...

Was hat das mit Aufdrängen zu tun? Man kann das System sogar so einrichten, dass der Benutzer sich beim Start gar nicht anmelden muss, sondern automatisch als nicht-root-User angemeldet wird. Ohne irgend etwas dafür tun zu müssen. Sollte es dann mal nötig sein, Super-User-Rechte zu bekommen, was für den Durchschnittsbenutzer eigentlich gar nicht auftreten dürfte, kann man ja immer noch nach einem Passwort fragen.

 

[Anonymous]

Dass es kein x86er ist, hilft in vielen Fällen gar nichts. Shell-Scripte lassen sich, wie bereits gesagt, völlig unabhängig von der Architektur ausführen

Wie stellst Du Dir das denn im Detail vor? Normalerweise führe ich auch Shell-Code über irgendeinen Exploit aus, der dann einen system-Aufruf mit meinem Schad-Shell-Code macht. Einen Exploit auszunutzen ist aber wieder von der CPU abhängig.

 

[wejp]

Dass es kein x86er ist, hilft in vielen Fällen gar nichts. Shell-Scripte lassen sich, wie bereits gesagt, völlig unabhängig von der Architektur ausführen

Wie stellst Du Dir das denn im Detail vor? Normalerweise führe ich auch Shell-Code über irgendeinen Exploit aus, der dann einen system-Aufruf mit meinem Schad-Shell-Code macht. Einen Exploit auszunutzen ist aber wieder von der CPU abhängig.

Viel simpler. Es braucht nur jemand einen Link zu einem Spiel für die Pandora in einem der Foren zu posten. Bis auffällt, dass es sich dabei um Schadsoftware handelt, vergeht zumindest eine kleine Weile, in der sich potentiell schon mehrere Leute ihre Pandora, durch manuelles Ausführen des Scripts, ihr System zerstört haben. Dazu braucht man keinen Exploit oder ähnliches. Die nötigen Rechte, um alles zu löschen, hat das Script ja schon - dank root-User-Rechten.

 

[Anonymous]

Viel simpler. Es braucht nur jemand einen Link zu einem Spiel für die Pandora in einem der Foren zu posten. Bis auffällt, dass es sich dabei um Schadsoftware handelt, vergeht zumindest eine kleine Weile, in der sich potentiell schon mehrere Leute ihre Pandora, durch manuelles Ausführen des Scripts, ihr System zerstört haben. Dazu braucht man keinen Exploit oder ähnliches. Die nötigen Rechte, um alles zu löschen, hat das Script ja schon - dank root-User-Rechten.

Ist das nicht bei jedem RPM für eine gewöhnliche Linuxdistribution so, die aus einer nicht-vertrauenswürdigen Quelle stammt? Kann man einen Paketmanager sinnvoll machen, der keine root-Rechte hat? (Anmerkung: ich bin tendenziell auch eher für ein saubere Mehrbenutzersystem, wäre aber nicht schockiert, wenn man das nicht durchzieht; ich plane eh mehr den Einsatz einer Linuxdistribution auf der Pandora, die würde das dann sowieso mitbringen).

 

[subnet_zero]

Man kann das System sogar so einrichten, dass der Benutzer sich beim Start gar nicht anmelden muss, sondern automatisch als nicht-root-User angemeldet wird. Ohne irgend etwas dafür tun zu müssen. Sollte es dann mal nötig sein, Super-User-Rechte zu bekommen, was für den Durchschnittsbenutzer eigentlich gar nicht auftreten dürfte, kann man ja immer noch nach einem Passwort fragen.

Das sehe ich auch so. Ubuntu kommt sogar völlig ohne root aus und arbeite nur mit dem sudo + Passwort. Damit lässt sich auch ohne Einschränkungen arbeiten. Wenns mal kritisch wird, sollte sowieso nachgefragt werden. Das lässt noch einen Moment zum Nachdenken über das was man gerade tut. Eine bessere Lösung als gleich root, wo man davon ausgeht, dass man sich immer im klaren darüber ist, was man gerade anstellt.

 

[wejp]

Ist das nicht bei jedem RPM für eine gewöhnliche Linuxdistribution so, die aus einer nicht-vertrauenswürdigen Quelle stammt?

Ja, natürlich. Ein versierter Benutzer wird wohl nicht achtlos ein Paket (RPM oder was auch immer) aus einer dubiosen Quelle installieren. Wenn aber ein neues (interessantes) Programm für die Pandora angekündigt wird, hat der normale User eigentlich nur drei Möglichkeiten: Das Programm einfach auszuprobieren, zu warten, bis es andere getan haben (dann verschiebt sich das Problem ja nur), oder das Programm zu ignorieren.

Kann man einen Paketmanager sinnvoll machen, der keine root-Rechte hat?

Auf der Pandora ist es ja so vorgesehen, dass man gar keinen Paketmanager braucht, sondern einfach seine Anwendungen auf die SD-Karte kopiert und gleich starten kann. Gerade dieser Mechanismus würde ja um so mehr dafür sprechen, nicht als root zu arbeiten, weil es dazu gar keinen Grund gibt. Sollte jetzt ein Schadprogramm versuchen etwas zu beschädigen, wäre im schlimmsten Fall die SD-Karte leer. Wer auf Nummer sicher gehen will, könnte für so einen Fall neue Programme auf eine Karte ohne oder nur mit unwichtigen Daten, kopieren.

 

[Anonymous]

Sollte jetzt ein Schadprogramm versuchen etwas zu beschädigen, wäre im schlimmsten Fall die SD-Karte leer. Wer auf Nummer sicher gehen will, könnte für so einen Fall neue Programme auf eine Karte ohne oder nur mit unwichtigen Daten, kopieren.

Okay, es stimmt schon, dass man ja prinzipiell alles erlauben kann, außer eben den Zugriff aufs NAND. Dazu bräuchte man nur einen mächtigen User, aber keinen allmächtigen. Die ganzen Devices und sehr viele Dienste könnten im Zweifel Userzugriff erlauben oder suid laufen, solange der Zugriff auf das Filesystem im NAND ro ist und nur root an das Device randarf. Das wäre ein minimales Sicherheitskonzept, dass dennoch einiges bringen würde. Und die SD-Karten kann man doch immer noch manuell auf ro schalten, oder?

 

[jonai]

Ich bin persoenlich auch gegen einen root-Zugriff in der Standardkonfiguration.

Bitte bedenkt, dass es ja nicht immer gleich ein böswilliger Angriff durch eine
Sicherheitslücke oder Scripte seine muss !!
Auch versierte Unix-Profis (und nicht nur die...) machen mal fehler, und das ist
wenn Sie diese mit root-Rechten begehen, meist wesentlich schlimmer.
(zB. wenn der Admin sich als root mal vertippt und das home verzeichnis löscht....)
Außerdem kann es gerade bei OpenSource wie es bei Pandora und in der HomebrewSzene
praktiziert wird schon auch mal zu kritischen Abstürzen mit unvorhersehbaren Folgen
kommen (man denke an die Betatest-Versionen von neuen Programmen...).

 

[Holliefant]

Das mit dem SD-Karten auf RO stellen geht, aber leider ist dann mit Zwischenstände speichern auch nix mehr

Also wenn das echt so sein sollte das die Pandora nur einen root user haben sollte....
Dann werde ich mir mit Sicherheit einen normalen User anlegen der das wichtigste kann.
Wobei ich nicht glaube das diejenigen die gerade an der FW arbeiten so was machen.
Das wäre ja wirklich zu einfach... vorallem da die Pandora ja auch für Leute sein soll
die keine Ahnung haben von Linux. Ich würde ja jemanden den ich gerade nicht leiden kann
ohne Probleme sein Spielzeug außer Gefecht setzen können. Nicht das ich das machen würde

 

[fahrstuhl]

Immer-Root halte ich für einen riesen Designfehler. Jetzt hat man schon Linux auf dem Gerät und macht den selben Fehler wie Windows. Es ist einfach keine gute Idee, wirklich nicht. Lieber eine Anleitung beilegen, wie man ein Passwort eingibt, um was Neues installieren zu können. Selbst wenn es kein x86, ein unbekanntes Gerät, ein Linux-Betriebssystem und eine nette Zielgruppe ist, sollte man das Schicksal nicht so herausfordern.

Edit: Allerdings halte ich das sowieso für ein Gerücht. Ich bezweifle wirklich, dass die Software-Crew des Pandora Teams nicht so weit denkt.

 

[infiltr8]

Hallo,

das ist doch irgenwie quark ... adduser .. usw .... man kann doch rechte vergeben wie sonst auch, fertig!

mfg
tom