Re: UEFI Secure Boot => Kernel Lockdown => kein Tiefschlaf. Warum?
Ulf Volmer - 06.03.21, 14:55:42 CET:
> On 06.03.21 14:23, Martin Steigerwald wrote:
> > Ulf Volmer - 06.03.21, 13:59:51 CET:
> >> Prinzipiell hat der Kernel halt höhere Rechte als der root User.
> >> Insofern ist der Lockdown da meiner Einschätzung nach nicht so
> >> verkehrt.
> >
> > Was für konkrete Vorteile hat das? Was ist hier das konkrete (!)
> > Angriffs-Szenario, vor dem das schützen soll? Was zum Geier
> > interessiert mich der Kernel? Dort habe ich keine sensiblen Daten
> > gespeichert. Mich interessiert die Integrität des Gesamt-Systems,
> > aber ich muss den Kernel nicht vor mir selbst beschützen.
>
> Das Laden von bösartigen Kernel Code wird halt unterbunden.
Wer soll den denn laden, wenn außer mir niemand Root-Rechte auf dem
System hat und wenn außer mir und vertrauenswürdigen Personen niemand
ein Benutzer-Konto auf dem System hat?
> >> Und die Kenntniss des LUKS Passworts hat auch nichts mit root
> >> Rechten
> >> zu tun. Das kennen hier auch User, die keine root- Rechte haben.
> >
> > Sicherlich… aber in Bezug auf die Daten, ist es für mich dasselbe,
> > inwiefern jemand das LUKS-Passwort weiß oder *bei laufendem* System
> > Zugriff auf Root oder den gewünschten Benutzer erlangt. Also ja,
> > Benutzer-Zugriff zählt hier natürlich auch dazu.
>
> Für Dich mag das zutreffen. Für Mehrbenutzer- Systeme eher weniger.
Auch da sehe ich nicht, wie Kernel Lockdown wesentlich zur Sicherheit
beiträgt.
Bei Servern die 24/7 am Netz hängen… könnte ich mir das eher noch
vorstellen. Oder bei Systemen, die Software aus wenig vertrauenswürdigen
Quellen ausführen.
Naja, wie dem auch sei, bislang überzeugen mich die Argumente für
Kernel-Lockdown nicht. Da würde ein abgestuftes Konzept für das
Einräumen von Root-Rechten viel eher Sinn machen. Teilweise gibt es das
mit Capabilities. Aber ansonsten ist es immer noch so uid = 0, dann
darf.
Ciao,
--
Martin
Reply to: