Wie sicher sind VMs noch, Stichwort ausbruch?

[13579]

Hallo,
ich nutze VMs schon länger, aber wie sicher sind VMs punkto Ausbruchsgefahr in das Host-System heutzutage noch, gibt es dazu Zahlen oder bekannte Schätzungen wie viele Schädlinge VMs erkennen und ausbrechen können, oder sind die heutzutage noch immer eine verschwindend geringe minderheit wo man sagen muss das man eher vom Blitz getroffen wird?
Danke!
MfG

 

[burglar225]

Hi,
nicht mehr oder weniger sicher wie früher.
Sicherheitslücken, die einem beim Ausbruch aus der VM helfen sind mir jetzt nur Spectre und Meltdown bekannt.
Allerdings sind mir jetzt keine Angriffe bekannt bisher. Ich denke eher, dass Schädlinge die eine der beiden Lücken ausnutzen, hochspezialisierte Software für gezielte Angriffe sind, die keiner von uns je zu Gesicht bekommt. Das liegt vor allem daran, dass es extrem komplexe Angriffe sind.
Das kann sich natürlich in Zukunft noch ändern, im Moment ist mir diesbezüglich aber nichts bekannt.
Gruß

 

[entropie88]

Kommt auf den Hypervisor an.

kvm aus dem linux Kernel halte ich für sehr sicher. Spectre und Meltdown fixes sind im kernel. xen sollte auch sicher sein.

Der rest ist ja eher für Heimanwender wo die Sicherheit nicht so wichtig ist, würde ich mich nicht drauf verlassen.

 

[Brett0R.420]

Sicherheitslücken, die einem beim Ausbruch aus der VM helfen sind mir jetzt nur Spectre und Meltdown bekannt.
Allerdings sind mir jetzt keine Angriffe bekannt bisher.

Bei Oracle VM wurde vor einiger Zeit ein schwerer Fehler entdeckt. Man konnte dadurch Zugriff auf den Host bekommen, soweit mir bekannt wurde das in den letzten Versionen allerdings gefixt. Daher immer Updates installieren. Ausschliessen kann man aber nichts, wenn man wirklich kritisch an die Sache ran geht muss man sagen das VMs nur noch einen Teilschutz bieten. Ich vertrete jedenfalls die Meinung, es ist weit unsicherer geworden, da mittlerweile versucht wird alles irgendwie auszuhebeln.

Ein gutes Beispiel ist btw auch Adware, die sogar merkt ob es sich in einer VM befindet oder nicht und dann total anders reagiert. Also wer vorher etwa stesten will in der VM und denkt es ist sicher und startet es dann auf dem Host, ist auch nicht mehr sicher... im Prinzip sind daher viele Funktionen von VMs total obsolet, zumindest im Privatbereich.

 

[Simon#G]

Viele Schädlinge können erkennen, wenn sie in VMs ausgeführt werden. Dabei geht es aber nicht auszubrechen und das Host-System zu infizieren. Es ist vielmehr eine Maßnahme um Analysen von Sicherheitsforschern zu entgehen. Wird eine VM oder Sandbox erkannt, wird der Schadcode dann gar nicht erst ausgeführt bzw. nachgeladen. Das soll verhindern, dass die Malware von AV-Firmen entdeckt wird. Genau wie ein VW-Diesel versucht sie die Malware auf dem Prüfstand unauffällig zu verhalten.

Ich halte VMs nach wie vor für ziemlich sicher. Auch Malware-Programmierer müssen ökonomisch handeln die Zielgruppe der VM-Nutzer ist einfach zu klein als dass sich ein Hypervisor-Exploit lohnen würde. Wie @burglar225 schon gesagt hat. Das sind sehr komplexe Angriffe. Für einen Hypervisor-Exploit könnte man auf dem Schwarzmarkt für viel Geld bekommen. Es ist selten, dass sowas den Weg in die "freie Wildbahn" findet und wird dann meist sehr rasch gepatcht. Die übliche Wald- und Wiesen Malware, die man im Internet findet, zielt auf unvorsichtige Nutzer mit veralteten Systemen ab.

 

[yxcvb]

Die sind überhaupt nicht sicher:
https://www.google.de/search?source=hp&ei=4ShDXKe3BM3bwAK69pmoDg&q=ausburch+aus+vm&btnK=Google-Suche

Sicherheitslücken ohne Ende, was will man erwarten, warum sollten die besser als die Programmierer von Microsoft oder von Linux-Systemen?

 

[emeraldmine]

Erfahrung seit gestern -> Das Subsystem von Windows (Programme und Features)
verka... Mir meine Netzwerkverbindung zum Router.

 

[martinallnet]

Ich würde eher sagen, das VMs noch nie wirklich ein Sicherheitsfeature waren, eher um halt mehrere Dienste parallel auf einem Host laufen zu lassen.
Wenn es sicher sein soll, hilft nur dedizierte Hardware.
Aber dieser Grad an Sicherheit ist für die meisten "Privat"-Anwender wohl nicht so relevant.
Wobei wohl nur wenige Privatnutzer überhaupt einen Virtualisierungsserver zu Hause haben, das ist doch eher eine Minderheit.

 

[burglar225]

Sicherheitslücken ohne Ende, was will man erwarten, warum sollten die besser als die Programmierer von Microsoft oder von Linux-Systemen?

Was soll uns das zeigen? Alles was ich da sehe, sind behobene Sicherheitslücken.

Ich würde eher sagen, das VMs noch nie wirklich ein Sicherheitsfeature waren, eher um halt mehrere Dienste parallel auf einem Host laufen zu lassen.

Ganz im Gegenteil. Die allermeisten VMs werden in Rechenzentren eingesetzt und dort ist es absolut unerlässlich, dass keiner aus seiner VM ausbrechen kann.

Wenn man aber nur VMs auf seinem lokalem PC betreiben will, dann braucht man sich um Sicherheit keine Gedanken zu machen.

 

[Snowi]

Ich behaupte an der Stelle mal, dass VMs sehr sicher sind, solange du aktuelle Software benutzt, um diese zu "betreiben".
Klar gibt es dort Sicherheitslücken, gar nicht so wenige. Allerdings sind das immer sehr, sehr spezielle Sicherheitslücken, und wie Simon#G schon erwähnt hat: Diese Lücken wird niemand für einen simplen "Virus" benutzen, den man dann Millionenfach per Mail verschickt. Die Userbase die du damit erreichst, ist viel zu gering für den Wert der Lücke. Jeder, der sowas sucht und auch findet, weiß, dass er diese Lücke sehr viel besser verkaufen kann, bsp. an Nachrichtendienste (Hab gehört die NSA ist da immer sehr interessiert).
Was an der Stelle wichtig ist: Das Host-System darf nicht verwundbar sein für Spectre & Co. Durch diese Lücken ist es theoretisch möglich, auf Daten aus anderen VMs zuzugreifen, d.h. entweder patcht man das BIOS des Systems, das Betriebssystem, oder man deaktiviert Hyperthreading komplett (So wie es OpenBSD tut).

Dabei sollte man halt bedenken, dass Virtualisierung nur eine zusätzliche Schutzebene darstellt, aber nicht unüberwindbar ist. Zudem brauchst du i.d.R. relativ leistungsstarke Hardware. Wenn sich deine Fälle für VMs in Grenzen halten, also zB nur 3-4 VMs anfallen, könntest du über einen Banana Pi oder Raspberry Pi (Zero) nachdenken. Die Raspi Zero kosten in DE ab 5-10€, mit Zubehör bist du bei ca. 30-40€. Und dann halt einen Raspberry Pi für jeden Einsatzzweck, also zB einen fürs Banking, einen für Social Media, ...
Ob es das Wert ist, muss jeder für sich selbst einschätzen.

Ich arbeite mit Qubes OS, was quasi auf Virtualisierung basiert. Fedora+Xen als Basis, mit ein paar netten Gimmicks damit es nicht ganz so kompliziert wird.

 

[andy_m4]

Das Problem bei Virtualisierung ist eben, dass Du einen großen Overhead hast. Es läuft viel Zeug mit, was eben auch sicher sein muss und noch potentiell mehr Angriffsfläche rein bringt.
Schlanke auf Sicherheit getrimmte Container minimieren die Problematik ein wenig.
Exemplarisch seien hier mal die sehr ausgereiften FreeBSD-Jails genannt.
Bietet sozusagen zweifachen Schutz. Erstens sehr erprobte Technik. Zweitens ein Betriebssystem, welche nur wenige Angreifer auf dem Radar haben.