Hacking Ubuntu? Der Recovery Modus…

Gestern war Halloween und nicht nur die Kids trollten durch die Straßen, anscheinend kroch auch der ein oder andere Forentroll aus seinem Loch und hatte seinen Spaß… Lustig wurde es beim Thema Recovery Modus unter Ubuntu Linux. Manch einer denkt, dass dies ein Bug und kein Feature wäre. Möchtegern-Hacker aLiEnTxC demonstriert das Ganze dann gleich in einem Video [UPDATE: Das Video wurde wohl in der Zwischenzeit entfernt] und verkündet es der Welt…

So what is all the fuss about?

Der Recovery Modus ist – wie der Name schon sagt – für Notfälle vorgesehen. Das System bootet und unterbricht den Startprozess sehr früh, bevor eventuell problematische Dienste gestartet werden. Ubuntus Recovery Modus bietet dann verschiedene Problemlösungen an und schließlich eine Root-Shell, so dass man beispielsweise vergessene Passwörter ändern kann. Das Ganze ohne dass man sich vorher authentifizieren musste.

OMG!!Eins!Elf!!, möge manch einer sagen. Lokale Sicherheit – Also Sicherheit gegenüber Angreifern mit direkten Zugang zum System – lässt sich nicht durch das Setzen eines Root-Passwortes erreichen. Durch simples Hinzufügen der Werte „single init=/bin/bash“ zur Kernelzeile innerhalb des Boot-Managers Grub, gelangt man ebenfalls zu einer Root-Shell. Solange kein Passwort für Grub gesetzt wurde, ist dies für jede Linux-Distribution gültig, die mit Grub arbeitet (Für Lilo gibts jedoch einen ähnlichen Weg…) Wer das nicht glaubt, der möge sich bitte das Video, wo dies an einem Debian demonstriert wird, ansehen.

[UPDATE: Das Video gibt es leider nicht mehr.]

Dies ist auch kein geheimes Hackerfeature. Jede Distribution gibt Hinweise, wie man auf ein System trotz verlorener Zugangsdaten zugreifen kann. Seinen Rechner schützt man nicht über ein Root-Passwort oder ein noch so sicheres Benutzerpasswort vor unbefugtem direkten Zugriff. Zugangsdaten dienen primär zur:

• Unterscheidung einzelner Benutzer des System
• Autorisierung von Prozessen, die Root-Rechte erlangen möchten
• Zugangskontrolle über entfernte Dienste wie SSH, FTP und Co.

Wenn ein potentieller Angreifer genug – eventuell kriminelle – Energie und direkten Zugang zu einem Rechner hat, dann kommt er auch an die Daten. Ob nun über einen Recovery Modus, über init=/bin/bash über eine Linux Live-CD oder letztendlich durch den Ausbau der Festplatte. Wege gibt es genug.

Was hilft dagegen? Die einzig wirklich gültige Antwort ist das Verschlüsseln seiner Daten. Debian und Ubuntu bieten mittlerweile während der Installation an, das System von Haus aus komplett (bis auf /boot) zu verschlüsseln. Die Performance leidet darunter praktisch nicht. Ich denke wir sollten mehr Werbung für solch wichtige Funktionen machen, sonst kommen die Trolle nächsten Halloween wieder zu uns…