Hi
"Eindringen von außen"
Dazu muß ein potentieller Eindringling erst einmal speziell Deine Kiste ausgucken, über Deinen Router, die Suse-Firewall, ggf. noch apparmor überwinden und dann Deinen Account kapern, dann gehört ihm natürlich auch die Konsole und mit deren root-Rechten praktisch Dein PC.
Andererseits laufen auf Deinem Rechner zwangsläufig auch andere Prozesse permanent mit root-Rechten (rufe einmal top auf) und Internetzugriff, da besteht das Problem praktisch genauso, das sich wegen einer Sicherheitslücke jemand einklinkt und den PC übernimmt.
Um z.B. Yast zu starten, mußt Du auch root werden, dann läuft Yast mit root-Rechten, so gesehen ist also jedes Programm in dieser Hinsicht ein Sicherheitsrisiko.
Die Wahrscheinlichkeit, das ausgerechnet Dein Rechner ausgerechnet zum Zeitpunkt der Konsole mit root angegriffen wird nach Überwinden der Barrieren von außen ist allerdings m.E. so niedrig, das es vernachlässigt werden kann.
Dann kannst Du für Deine Netzwerkverbindung zusätzlich in Yast einstellen, welcher Zone sie zugeordnet ist (ging meines Wissens jedenfalls in 10.3 auch schon).
Ein rootkit in diesem Sinne wird sich also kaum über die Konsole einhacken, da es als solches auffällt, wenn die Konsole durch den Prozeß blockiert ist, falls es die Eingabe nicht automatisch mit freigibt und im Hintergrund verschwindet, außerdem stirbt mit dem Abmelden oder Schließen i.d.R. auch der Prozeß, welcher aus der jeweiligen Konsole gestartet wurde (gut, auch das kann umgangen werden, aber das zeigt bereits, wie theoretisch dieser Ansatz ist).
Grundsätzlich wird sich ein rootkit also bereits in den Systemstart versuchen einzubauen und von dort unbemerkt seine Aktivitäten ausführen, auch wenn noch kein Useraccount läuft, indem es sich als notwendiger Prozeß tarnt oder einen anderen übernimmt, um dann weiteren Schadcode auszuführen.
Daher ist auch ein großes Bemühen unter Linux, soviel wie möglich im Userspace laufen zu lassen, um den eigentlichen Kernelspace vor derartigen Kompromittierungen zu schützen.
Als root bewegst Du Dich nach Möglichkeit natürlich trotzdem nur so oft wie nötig, aber Angst brauchst Du deswegen nicht zu haben, kritischer ist da eher wie im Fall Opensuse 10.3 nicht mehr aktualisierte Software anzusehen.
Und ein Hack ist immer möglich, wie der Angriff bei Kernel.org gezeigt hat, der ist übrigens über einen kompromittierten Useraccount erfolgt:
http://www.heise.de/open/meldung/Einbruch-bei-Kernel-org-1334583.html
fakiauso
fakiauso
Kuehlwalda
