Archiv der Kategorie: Möglichkeiten

Diese Seite zeigt alle Beiträge an, die Möglichkeiten zur Verbesserung der IT-Security aufzeigen bzw. erläutern.

© violetkaipa - Fotolia.com

DNSCrypt für mehr Sicherheit und Privatsphäre

DNSCrypt ist eine interessante Möglichkeit für PCs, Server und Android-Smartphones, die Sicherheit, Integrität und Privatsphäre im Internet deutlich zu erhöhen. DNSCrypt geht auf eine Initiative von OpenDNS zurück, ein globaler, öffentlicher DNS Anbieter.

Die Relevanz der Sicherheit von DNS Anfragen wird häufig von Administratoren und sicherheitsbewussten IT Nutzern übersehen, obwohl die Manipulationen von DNS Antworten eines der häufigsten und einfachsten Möglichkeiten darstellt, ein System zu kompromittieren.

DNSSEC war ein erstes Vorhaben, die Authentizität und Integrität der DNS Daten sicherzustellen.

Was ist DNS, wie funktioniert es?

Ein kurzer Abriss zu den Funktionsweisen des DNS Systems, ich beschreibe im Folgenden die Standardfunktionsweise der Namensauflösung unter Windows, Linux und Android:

DNS Aufloesung ohne DNSCrypt als Flussdiagramm

DNS Auflösung ohne DNSCrypt als Flussdiagramm

Das Diagramm ist einfach verständlich, die Schwachstellen liegen vor allem an den Punkten 1 und 2, worauf ich gleich näher eingehen werde. DNS Anfragen und Antworten werden grundsätzlich im Klartext über das Internet versendet, für jeden lesbar. Mit einem Netzwerk-Sniffer extrahiert, sieht die Anfrage (Punkt 1 in der oberen Darstellung) wie folgt aus: Weiterlesen

© Maksim Kabakou - Fotolia.com

Ein gehärteter Linux Kernel mit PaX und Grsecurity

Pax Tux

Das Linux-Maskottchens in der PaX Variante.

Einen eigenen, sicheren Linux Kernel mit PaX und Grsecurity zu kompilieren hat eine Menge Vorteile, insbesondere bei öffentlich erreichbaren Servern. Ich kann jedem nur empfehlen, seinen Computer mit diesen beiden Kernel-Patchsammlungen zu härten.

In der IT-Sicherheit gibt es das Prinzip, optimiert-minimalistisch vorzugehen. Minimalistisch bedeutet, dass die Anzahl der Services, Anwendungen und Dateien auf einem Server und auf dem Netzwerkpfad auf dem Weg dorthin quantitativ möglichst gering gehalten werden sollte. Jedes Netzwerkgerät, jede Firewall, jeder Virenscanner und jedes Intrusion Detection System das sich in einem Netzwerk oder auf einem Computer befindet, kann prinzipiell Schwachstellen enthalten und angreifbar sein.

Optimiert vorzugehen bedeutet, das die notwendigen Tools hochsicher konfiguriert worden, in einer sicheren Umgebung kontrolliert laufen und, wenn möglich, gehärtet worden sind.

Zusammenfassung: Viele Tools zur Absicherung sind oftmals unsicherer als wenige, hoch optimierte und gehärtete Komponenten!

Auf jedem Linux Server ist ein Linux-Kernel vorhanden, es handelt sich daher um eine notwendige Komponente, die es im Folgenden zu härten gilt.

Was ist ein Kernel?

Der Kernel ist der "essentielle Kern" eines jeden Betriebssystems. Es ist der "unterste Teil" des Betriebssystems, der jedoch mit den höchsten Rechten läuft. Sollte dieses Grundwissen über den Kernel nicht vorhanden sein, empfehle ich jedem, sich vor einer Härtung mit PaX & Co. ein grundlegendes Wissen zu der Thematik anzueignen. Ein falsch konfigurierter, selbst kompilierter, gehärteter Kernel kann anfälliger sein, als der Kernel der Distribution!

Was ist PaX?

PaX beinhaltet eine Reihe von Patches, die für den Linux Kernel entwickelt worden sind. Die Patches bieten eine Reihe Vorteile, neue Funktionalitäten und einige Verbesserung vorhandener Kernel-Features. Als Schutz vor Exploits bietet PaX beispielsweise eine verbesserte ASLR (Address Space Layout Randomization).

Was ist Grsecurity?

Grsecurity sind weitere Patches für den Linux Kernel. PaX und Grsecurity wurden für eine Zusammenarbeit entwickelt und bedingen einander. Die Hauptfeatures von Grsecurity sind:

  1. Ein RBAC-System (eine Rollenbasierte Zugriffskontrolle)
  2. Memory Execution Prevention (NX-Bit), Memory Randomization (ASLR) und eine Verhinderung des Ausnutzens von Buffer-Overflows (über die PaX Patches)
  3. Trusted Path Execution.
  4. Zusätzliche chroot (Change Root) Härtung
  5. Randomisierungen (TCP/IP Stack und Prozess-IDs)
  6. Eingeschränkte Sichtbarkeit von Prozessen (z.B. den Kernel Threads)

Die Funktionalitäten lassen sich über Sysctl konfigurieren.

Weiterlesen

© ganko - Fotolia.com

OpenPGP für Outlook 2013: Outlook Privacy Plugin

Lange habe ich nach einem Plugin gesucht, welches es mir ermöglicht, E-Mails in Outlook 2010 bzw. Outlook 2013 mit OpenPGP zu verschlüsseln. Die meisten Plugins die ich gefunden habe, waren nur bis zur Version Outlook 2007 geeignet, Outlook selber unterstützt nur S/MIME.

Das Outlook Privacy Plugin zur OpenPGP Verschlüsselung in Outlook

Fündig wurde ich beim Open Source Projekt Outlook Privacy Plugin. Das Plugin bietet zahlreiche Features, ein Auszug von der Webseite (Quelle: https://code.google.com/p/outlook-privacy-plugin/, abgerufen am 27.Juli 2013):

Features
Microsoft Outlook 2010 and 2013
Support for both 32bit & 64bit versions of Office
Encrypt and decrypt email using OpenPGP standard
Supports encrypted attachments
Supports multiple recipients
Decrypts PGP-MIME
Decrypts OpenPGP blocks in HTML email
Multiple email accounts (based on sender/receiver email)

Zusammen mit der Software Gpg4win funktioniert das Outlook Privacy Plugin tadellos. Als Schlüsselmanager habe ich Kleopatra installiert, welcher im Rahmen der gpg4win Installation ausgewählt werden kann. Nach der Installation des Tools finden sich in Outlook einige neue Symbole:

Outlook Privacy Plugin in Outlook

Weiterlesen

© momius - Fotolia.com

E-Mail Verschlüsselung: Die Grundlagen

Da das Thema der E-Mail Verschlüsselung in den letzten Tagen häufiger in der Presse war, möchte ich dies in meinem IT Security Blog aufgreifen. Für Anfänger ist das Thema der E-Mail Verschlüsselung (leider) nicht ganz so einfach zu durchschauen, was auch an den verschiedenen, zueinander inkompatiblen Standards liegt. Beginnen möchte ich mit einer allgemeinen Frage: Was bringt eigentlich E-Mail Verschlüsselung? Reicht es nicht, wenn ich zu meinem Mailserver eine verschlüsselte Verbindung herstelle?

Der Weg einer E-Mail im Internet

Exemplarisch möchte ich den Weg einer E-Mail anhand einer Graphik erläutern:

Weg einer E-Mail

Ähnlich der oberen Graphik würde wahrscheinlich eine schulbuchmäßige Darstellung aussehen: Der Sender verbindet sich mit seinem Mailserver, entweder

  • mit Hilfe eines E-Mailclients wie Thunderbird, Outlook oder dem Mailclient seines Handys oder
  • direkt mit dem Webmailer, also über die Webseite des Anbieters.

Der Mailanbieter nimmt die E-Mail des Senders entgegen, und sendet diese an den Mailserver des Empfängers. Dort wird sie in den Posteingang des Empfänger gelegt und wartet darauf, durch den Empfänger geöffnet zu werden. Genauer möchte ich nun die Wolke "Internet" betrachten, die in zahlreichen Graphiken auftaucht, aber selten beschrieben wird.

Weiterlesen

© Sikov - Fotolia.com

TextSecure für Android: Verschlüsselte SMS nutzen

Ein interessantes Tool für die SMS Verschlüsselung ist TextSecure vom Unternehmen WhisperSystems. Das Tool ist Open Source und lässt sich aus den Git-Sourcen kompilieren. Es lässt sich vollständig als Ersatz für den Android SMS Client nutzen und kann sowohl verschlüsselte als auch nicht-verschlüsselte SMS versenden und empfangen.

Eigene Erfahrungen mit TextSecure

Ich verwende das Tool schon eine ganze Weile, einige meiner Freunde inzwischen auch. Jemanden von der Nutzung zu überzeugen ist deutlich einfacher als bei anderen Tools zur sicheren Kommunikation, denn es ist keine weitere "zusätzliche App" die ein User installieren muss, sondern ein Ersatz für den Android SMS Client. Hin und wieder gibt es an der ein oder anderen Stelle noch einige Bugs, aber es werden mit jedem Release weniger. Eine gute Übersicht über das verwendete Protokoll findet sich hier. Die Verschlüsselung basiert auf einer Elliptic Curve Cryptography (ECC).

Textsecure Import Settings Textsecure Export Settings

Beim Einsatz muss berücksichtigt werden, dass eine Verschlüsselung von SMS Kurznachrichten mit TextSecure naturgemäß keinen Schutz der Metadaten bieten kann. Der Provider erfährt auch durch den Einsatz von TextSecure wer wann mit wem Nachrichten ausgetauscht hat. Für eine Anonymisierung ist TextSecure weder programmiert, noch nutzbar. Aber Schutz vor neugierigen Blicken oder automatisierten Analysen bietet es alle Mal.

Bezugsquellen von TextSecure

Das Tool gibt es kostenlos im Google Play Store. Die App kann und sollte als Standards SMS / MMS Client verwendet werden, den originalen SMS Client habe ich über die App-Einstellungen von Android bei mir deaktiviert. Bevor eine verschlüsselte SMS Kommunikation statt finden kann, muss mit dem jeweiligen Nutzer eine verschlüsselte Sitzung aufgebaut werden - den erfolgreichen Abschluss und die verschlüsselten Nachrichten können leicht an dem Schloss neben den Nachrichten erkannt werden.

Ein ebenfalls interessantes Tool ist die App RedPhone, vom selben Hersteller WhisperSystems. Die App ermöglicht die Verschlüsselung von Telefongesprächen, welche durch das Tool über die Internetleitung des Handys realisiert werden.

Bildnachweis:

  • Beitragsbild: © Sikov - Fotolia.com