Oliver Fandrich schrieb:
Koennte ich nicht zb, die folgenden Schritte unternehmen:Hallo Gerhard,
Es geht zb. um folgende Problemstellung:
einige Journalsten (und moeglicherweise auch Anwaelte) moechten einen abhoersicheren Kommunikationskanal zu Informanten / Mandanten. Dies
a) den Zugriff auf bestimmte Serverdienste (verschluesselte Kommunikation) und deren Prozessdaten und Logs fuer root ausschliessen (bis auf einen Neustart / Reinitialisierung), zb. mit Rechten: Prozessdaten: keine, Logs: nur lesen
b) sudo-Zugriffe auf die fraglichen Prozesse kontrollieren bzw. unterbinden und ansonsten protokollieren
c) alle manipulierenden Zugriffe von root auf das System oder einzelne Dateien ausnahmslos und manipulationssicher protokollieren (zb. auf CD-R)
d) Veranderungen des Systems ausschliesslich fuer Security-Updates zulassen
damit sehe ich keine Moeglichkeiten mehr fuer root, unueberwachte Eingriffe zu unternehmen.
Frueher wurde im Uebrigen oft von der Moeglichkeit Gebrauch gemacht, den Administrator nur per ISDN-Einwahl von einer festgelegten Nummer zuzulassen.
*snip*
Sorry, gibt es nicht. Am allerwenigsten bei der IT. Wenn Du was zwecks
verschlüsselter Telefonverbindung suchst, dann schau Dir mal die
LineCrypt-Palette der T-TeleSec an. Die bieten von GSM-Handyverschlüsselung;
S2M-, ISDN- und Analog-Verschlüsselung und LAN-Verschlüsselung untereinander
kompatible Produkte an. Rhode & Schwarz (ehemals Siemens) ebenfalls. Diese
Lösungen sind zertifiziert und kommen auch bei Behörden zum Einsatz.
Nachteil: Umständlich und nicht ohne Kosten.
Eine der groessten Sicherheitsluecken besteht beim Server: wenn der Admin nicht als absolut zuverlaessig gelten kann und eine regelmaessige / permanente Ueberwachung des Servers besteht.
Dann schau Dir mal http://www.nsa.gov/selinux/ an. Was man davon halten kann, überlasse ich jedem selber. Ich würde jedenfalls die Finger davon lassen. Ansonsten schau Dir einfach mal das Paket bastille an: http://www.bastille-linux.org/ Das gibts sogar für Debian im stable-, testing- und unstable-Zweig. Oder http://www.trusteddebian.org/ (deutschsprachige Informationen unter http://www.kefk.net/Linux/Distributionen/Firewall-Router/Trusted-Debian/index.asp)
Administrator (als Angestellten eines Providers, der sich im Zweifel ueber einen unversteuerten Nebenverdienst freut) oder hackt sich in das System.
Dieses Problem wirst Du immer haben. Untersuchungen von PriceWaterHouseCoopers und anderen Wirtschaftsprüfungsunternehmen gehen von 80% Innentäter im Bereich Wirtschaftskriminalität aus. Ich glaube kaum, das der Prozentsatz im IT-Bereich niedriger anzusetzen ist.
Vor eniger Zeit hatten wir auch einen Spiegel-Bericht zur Industriespionage: betroffene Unternehmen, deren Patente vor der Anmeldung auf "unerklaerlichen Wegen" die Konkurrenz erreichten, haben z.T. jeglichen elektronischen Verkehr deshalb abgestellt.
Ohne email arbeitet es sich manchesmal auch wesentlich effizienter... ;-)
Die Variante "zuverlaessiger, unbestechlicher, unermuedlicher Administrator" ist so ziemlich die teuerste, die man sich vorstellen kann (sieht uebers Jahr gerechnet nach einem 6-stelligen Etat aus).
Wenn der Admin sich mit der Firma identifiziert und glücklich fühlt, kommst Du meist auch mit weniger aus.
Wenn eine solche Blackbox zb. im Rythmus von 1 - 2 Monaten upgedatet wird, wobei der Vorgang des Updates ebenfalls vollstaendig der Ueberwachung unterliegt (dem Operator keine weiteren Moeglichkeiten zum Eingriff bietet), dann waere dies eine vergleichsweise pflegeleichte Variante.
Wer überwacht da eigentlich wen??? *Kopfkratz* Wer sichert Dir zu, das nicht
einer von der Mafia bezahlter Entwickler ein kleines "Feature" in sein
Programmpaket eingebaut hat was noch keiner entdeckt hat? Nur so ein Gedanke
weil wir gerade beim paranoidschen denken waren...
Oder ein System, das wie Knoppix von CD laeuft, und damit Veraenderungen weitestgehend ausschliesst.
Schau Dir mal Sina von Secunet an:
http://www.secunet.de/content.php?ln=1&text=k_sina und
http://www.rwtuev.de/d/1179/archiv_eid_is_/
Die einzigen "Black-Boxen" die ich eigentlich kenne und eine Zulassung
haben. Aber hier haben wir den Nachteil: Teuer
Mir scheint, dass es hier durchaus noch unblutige Moeglichkeiten gibt (also ohne Administratorerschiessung) , mit einem solchen Auftrag ans Ziel zu kommen.
Ja, trenn die Ethernetverbindung des Servers mit einer Axt, bau die
Grafikkarte (wenn vorhanden) aus, etc. :-)
Gruß Olli
--
Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/
Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject "unsubscribe". Probleme? Mail an [EMAIL PROTECTED] (engl)
