Der Umstieg auf Linux

[Ildikó]

irgendwas mit so nem Drachen

Vermutlich ist hier Garuda Linux gemeint. Diese gibt es in verschiedenen "Geschmacksrichtungen".

https://garudalinux.org/editions

Ich nutze Garuda Mokka, da dies nicht so quietschbunt daher kommt wie Dr460nized.

 

[zelect0r]

Könnte auch KALi sein

 

[Asgorahth]

Vermutlich ist hier Garuda Linux gemeint.

Genau war Garuda

 

[csch92]

Verdammt ist Cachy OS schnell mit den Updates. Hab gerade gesehen das eine Neue Kernel version erschienen is und hab sie direkt im terminal installiert. Man kann sich echt dran gewöhnen

 

[areiland]

@csch92
Naja, das ist wie bei Windows auch, ich brauche nicht jedes Update sofort. Ich warte da lieber, bis mir sowas dann auch wirklich zur Installation angeboten wird.

 

[csch92]

Aber es geht einfach deutlich schneller
Unter Windows 11 haben Updates gefüllt immer ewig gebraucht bis sie trotz schnellen Internet erst geladen sind

 

[areiland]

@csch92
Die Zeiten gigabytegrosser Update sind bei Windows schon lange vorbei, weil die Änderungen schon viel früher mit den Patchdays ankommen und dann nach und nach aktiviert werden. Mit den geeigneten Einstellungen wird man bei Windows Update dann auch nur noch zur Installation und dem Neustart aufgefordert. Vom eigentlichen Download bekommt man da sehr wenig mit, weil der im Hintergrund läuft.

Eigentlich ist mir das sogar lieber, als die Updates die bei meinem Mint teilweise mehrmals am Tag aufschlagen und meine Aufmerksamkeit anfordern, weil ich dann mein Root Passwort angeben muss. Hier gebe ich Windows Update klar den Vorzug, weil das nicht ständig Updates liefert.

 

[csch92]

Trotzdem dauern Updates (Nach meiner Erfahrung) deutlich länger unter Windows

 

[andy_m4]

Wobei, genau genommen sind es vielleicht 10 "Firmen" die auch Entwickeln - der Platzhirsch ist Red Hat, gefolgt von SUSE und Canonical, des weiteren wären da noch Debian, Arch, Slackware, Gentoo und BSD

Was entwickelt denn "BSD" für Linux?

Also klar kann man sagen, das z.B. openssh welches aus dem OpenBSD-Projekt stammt auch in vielen Linux-Distributionen verwendet wird. Aber nach der Logik könnte man ja jedes Programm welches sich auf irgendeine Weise unter Linux benutzen lässt als "für Linux entwickeln" bezeichnen. Und eine solche Definition wäre sinnlos.

Als "für Linux entwickelt" würde ich eher solche Dinge sehen, die explizit für Linux (zum Beispiel Kernel-Beiträge) oder das Linux-Ökosystem (Bsp: systemd) gedacht sind.

Und klar sind die Übergänge da manchmal fließend.
Aber dennoch würde mich mal interessieren, an was Du da genau denkst wenn Du das so sagst.

 

[foofoobar]

Als "für Linux entwickelt" würde ich eher solche Dinge sehen, die explizit für Linux (zum Beispiel Kernel-Beiträge) oder das Linux-Ökosystem (Bsp: systemd) gedacht sind.

Das ist ein Port von BSD -> Linux: https://docs.kernel.org/scsi/ncr53c8xx.html

 

[andy_m4]

Das ist ein Port von BSD -> Linux

Finde es ja spannend, das man in die 90er Jahre zurück gehen muss um irgendein Beispiel zu finden.
Mein Punkt wäre aber auch nicht, das so was nicht vorkommt.
Ist ja auch irgendwie eine Sache des Umfangs. Ich meine, da wird im gleichen Atemzug Redhat, SuSE, Canonical, Debian usw. genannt. Also Organisationen die auch regelmäßig Patches abliefern.
Und "BSD" passt da halt meines Erachtens nicht wirklich in die Reihung mit rein. Und da nützt es auch nix, wenn man mal ein einzelnen Treiber von annodazumal als Beispiel nennen kann.

Hängt ja, wie gesagt, sicher auch ein bisschen davon ab wie man es definiert (hatte ich ja erklärt und selbst ein Beispiel gebracht). Und das hätte ich gerne nachvollziehbar erklärt, wie man darauf kommt.
Wie "mal irgendwo ein Patch eingereicht" oder "mal irgendwo ein Treiber geliefert" da lassen sich ja auch andere Beispiele finden. Da wäre es ja noch deutlich vertretbar zu sagen: Intel entwickelt für Linux. Intel fehlt aber in der Aufzählung aber "BSD" ist drin. Das check ich halt nicht.

 

[foofoobar]

Finde es ja spannend, das man in die 90er Jahre zurück gehen muss um irgendein Beispiel zu finden.

(E)BFP vergessen?

 

[andy_m4]

@foofoobar Ich könnte wetten, das das E klein geschrieben werden muss.
Interessanterweise gab es ja gerade zu dem eBPF welches in Linux implementiert wurde die Überlegung das nach FreeBSD zu bringen.


Abgesehen davon: Du hast das Beispiel mit dem Treiber gebracht. Also darfst Du Dich auch nicht beschweren, wenn ich das anmerke.
BPF selbst ist übrigens auch wieder ein Beispiel von annodazumal (würde auf Schlag sagen: länger als 10 Jahre her).

Mein Posting ja aus mehr. Sich da einen einzelnen Satz rauszufischen ohne die Gesamtaussage des Postings zu berücksichtigen bringt jetzt genau was?

 

[DefinitivEinBot]

Wie sieht eigentlich euer Sicherheitskonzept für Lunix aus? Nutzt ihr die Standardeinstellungen? Habt ihr noch zusätzlichen Aufwand betrieben um euer System zu "härten"?

Da ich nur mäßig Durchblick habe in der Materie, habe ich ein LLM dazu benutzt.

Geändert wurde die ufw config von Ubuntu (deny (incoming), allow (outgoing) ). Noson und Local Send ports wurden so eingestellt, dass sich die Rechner nur gegenseitig auf den benötigten Ports sehen können (Innerhalb des Netztwerks). SSH und CUPS abgeschaltet, weil ich beides nicht nutze.

Eine config wurde noch erstellt mit folgendem Inhalt:

# /etc/sysctl.d/99-hardening.conf

# --- Network ---

# IP spoofing / Source validation
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# ICMP redirects nicht akzeptieren
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0

# Keine ICMP redirects senden
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0

# Source routing deaktivieren
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0
net.ipv6.conf.default.accept_source_route = 0

# Sichere Redirects nicht akzeptieren
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0

# SYN-Flood-Schutz
net.ipv4.tcp_syncookies = 1


# --- Kernel ---

# Kernel-Adressen nicht an Userprozesse verraten
kernel.kptr_restrict = 2

# Kernel-Messages nur für root
kernel.dmesg_restrict = 1

# BPF härten
net.core.bpf_jit_harden = 2
kernel.unprivileged_bpf_disabled = 1


# --- Filesystem ---

fs.protected_fifos = 2
fs.protected_regular = 2
fs.protected_hardlinks = 1
fs.protected_symlinks = 1

Unbeaufsichtigte Updates wurden aktiviert und starten den Rechner 03:00 Uhr neu, falls es nötig ist und ich den Rechner um die Zeit nicht nutze.

Habe dann ein Lunis Audit gemacht mit dem Ergebnis 69 Punkten 😏. Kenne meinen Ausgangswert aber nicht mehr. Den habe ich mir nicht gemerkt.

Was soll das alles bringen? Die automatisch installieren Updates sollten klar sein. Gepatchte Lücken im Kernel und Apps sind immer gut. Sollte doch ein Angriff stattfinden, können jetzt nicht einfach Kernel-Adressen und Meldungen ausgelesen werden. Auch lokale Angriffe über Dateirechte auszubrechen werden damit erschwert.

Maleware Scanner habe ich nicht. Software wird nur aus offiziellen Repos geladen oder bekannte Prgraqmme wie Helium Browser und Brave Origin. Ansonsten nicht einfach alles blind laden und einfach öffnen.

Bringt das im Alltag gegenüber einem vanilla System Vorteile? Maybe. Vielleicht in irgendwelchen selten Szenarien. Kevin, das KALi Script Kiddy kann mich jetzt nicht so einfach hacken, weil kaum Ports nach Außen offen sind. Nur Noson und Local Send. Kein SSH. Sollte er doch durch eine Zeroday Lücke Zugriff bekommen, greift die oben genannte Config und verhindert weiteren Schaden. Wie gesagt: Alles eher ein edge case, aber macht trotzdem Spaß am System zu schrauben.

 

[csch92]

Brain.exe
oh warte mal...

 

[DefinitivEinBot]

Brain.exe ist wirklich sehr nützlich. Nicht einfach jedes unbekannte PDF öffnen und Programme installieren, die man nicht kennt. Aber manchmal klappt es halt doch. Deswegen ist es gut seine Angriffsfläche zu verkleinern. Aber die oben aufgeführte config kann auch Nachteile haben (Docker, VM, Performance-Monitoring wie Mangohud), bei manchen Setups. Da ich das aber alles nicht nutze, verursacht es bei mit keine Probleme. Wenn man solche Sachen modifiziert, kann es auch sein, dass normale Programme nicht mehr richtig funktionieren. Deshalb sollte man immer schauen, was man ändert und ob da noch andere Sachen hinten dran hängen.

 

[csch92]

Brain.exe ist aber nicht mit Linux kompatibel außer man nutzt wine/proton

 

[areiland]

Brain.exe ist mit jedem OS kompatibel!

 

[sedot]

Habt ihr noch zusätzlichen Aufwand betrieben um euer System zu "härten"?

Nur nebenbei, ich mag die Begrifflichkeit nicht wirklich, weil Security suggeriert wird aber nicht immer auch nachgewiesen wird.

Ich nutze Tumbleweed, dass ist/war nach der default Installation schon ziemlich verrammelt, vermutlich auch weil es die upstream Distribution von/für andere openSUSE bzw. SUSE Distributionen ist. Mehrere kleine Löcher musste ich bohren um bessere Usability für meine Anwendungszwecke herzustellen. Ansonsten ist so viel wie möglich in Containern bzw. Sandboxen und hat eingeschränkte Rechte. Ist natürlich immer eine Gratwanderung zwischen Security und Benutzerfreundlichkeit im Alltag.
Davon ab hab ich nur beim Browser mehr Zeit investiert um Tracking zu erschweren, ist eher ein Tropfen auf den heißen Stein vermutlich.

Meiner brain.exe allein vertraue ich null, dafür ist die IT Welt zu komplex.

 

[DefinitivEinBot]

Ja, stimmt schon. Es ist nicht so, dass ein ungehärtetes (oder nicht weiter konfiguriertes) Linux unsicherer ist. Man kann durchaus Ubuntu (oder jedes andere Linux) ootb nutzen.

Ich habe basically auch nur die Firewall angeschalten und konfiguriert, dass sie alles blockt außer Local Send und Sonos. Dann noch Kernelfunktionen (nennt man das so?), die ich nicht benötige eingeschränkt oder ausgeschaltet. Angriffsfläche verringern. Nur für den Fall der Fälle, dass wenn doch mal etwas durchrutscht, nicht so viel Schaden angerichtet werden kann.

Die LLM hat es so erklärt (um mal genauer auf die Funktionen oben einzugehen):

Wie rp_filter & ICMP-Settings blockieren:Kevin versucht, gefälschte Datenpakete mit gefälschter Absender-IP (IP-Spoofing) oder ICMP-Redirects zu senden, um deinen Datenverkehr über sein Kali Linux umzuleiten (Man-in-the-Middle).

• net.ipv4.conf.all.rp_filter = 1 prüft, ob das Paket über den logischen Weg reinkommt. Wenn nicht: Sofort verworfen.

Exploit-Vorbeugung via Kernel-Leaks (kptr_restrict, dmesg_restrict):Kevin lädt ein vorgefertigtes Kali-Skript herunter, das nach Kernel-Speicheradressen sucht, um einen Pufferüberlauf (Buffer Overflow) präzise zu platzieren.

• kptr_restrict = 2 und dmesg_restrict = 1 verheimlichen alle Kernel-Zeiger und System-Logs vor seinem Prozess. Der Exploit weiß nicht, wo er ansetzen soll, und schlägt fehl oder bringt im schlimmsten Fall nur das einzelne Programm zum Absturz, statt Root zu erlangen.

Brauche ich das wirklich alles, wenn ich keine shady Programme aus fragwürdigen Quellen lade, sondern nur aus offiziellen Repos? Wahrscheinlich nicht. Ist es nice to have und macht es Spaß sein System zu tweaken, wenn man ein Nerd ist? Hell Yeah!