Digital

28 mal hintereinander die Backspace-Taste drücken – und man hatte Zugriff auf den Computer.
bild: shutterstock

Merkwürdiger Linux-Bug: Während sechs Jahren konnte man Rechner mit der «Zurück»-Taste knacken

Immer wieder treten kuriose Sicherheitslücken bei Computern zutage. Nun hat es das Open-Source-System Linux erwischt. IT-Experte Marc Ruef nimmt Stellung.

17.12.15, 19:55 18.12.15, 11:38

Linux wird von vielen als das super-sichere Betriebssystem angesehen. Die Software mit dem freundlichen Pinguin als Maskottchen wurde ursprünglich vom finnischen Programmierer Linus Torvalds entwickelt und fristet neben Windows und Mac OS X (auf Desktop-Rechnern) ein Nischendasein.

Im Gegensatz zu den Systemen von Microsoft und Apple ist Linux in verschiedenen Varianten als Open Source frei verfügbar. Wie ein Mitte Dezember publik gemachte Schwachstelle zeigt, war das von vielen Freiwilligen entwickelte System während Jahren mit einem einfachen Trick zu überlisten. Ein Angreifer musste nur 28 mal hintereinander die «Zurück»-Taste («Backspace») drücken, um reinzukommen.

Wer also (vorübergehend) physischen Zugriff auf einen Linux-Computer hatte, konnte unbemerkt auf die gespeicherten Daten zugreifen oder Malware installieren. Sehr unschön: Das Problem bestand offenbar während mehr als sechs Jahren ...

«Dies wird einmal mehr die Diskussion befeuern, ob Open Source nun wirklich so viel transparenter und sicherer ist.»

Marc Ruef, IT-Sicherheitsexperte

Es besteht kein Grund zur Panik. Die Entdecker der Schwachstelle haben umgehend einen Notfall-Patch veröffentlicht. Und die Anbieter der populären Linux-Systeme Ubuntu, Red Hat und Debian haben ihrerseits mit Software-Updates reagiert, um die Lücke zu schliessen.

Update 18. Dezember: Das Techportal heise.de hält fest, dass der betroffene Bootloader (Grub) auf sehr vielen Linux-Systemen im Einsatz sei, «die verwundbare Anmelde-Methode aber eher nicht».

Absichtliche «Hintertür»?

Wir haben den Schweizer IT-Sicherheitsexperten Marc Ruef von der Firma Scip AG um eine Einschätzung gebeten. Der erfahrene Hacker meint, es gebe einige spannende Aspekte rund um die Sicherheitslücke. Der Angriff sei zwar sehr simpel, setze jedoch physischen Zugriff auf das System voraus. «Immer, wenn solch einfache Schwachstellen auftauchen, stellt sich die Frage, ob diese nicht absichtlich als Hintertür etabliert wurden.»

Weiter gibt Ruef zu Bedenken, dass die Schwachstelle im Dezember 2009 eingeführt worden sei und knapp sechs Jahre unbemerkt existierte. «Dies wird einmal mehr die Diskussion befeuern, ob Open Source nun wirklich so viel transparenter und sicherer ist.»

Die Scip AG führt die Linux-Schwachstelle übrigens in ihrer online zugänglichen «Vulnerabilities»-Datenbank. Im entsprechenden Eintrag wird auch der Wert der Schwachstelle eingeschätzt. Als sie noch nicht öffentlich bekannt war, soll sie bis zu 25'000 Dollar wert gewesen sein. Heute seien es noch 2000 bis 5000 Dollar.

via Lifehacker

So viel Stromkosten pro Jahr verursachen Handy, PC, TV, Kühlschrank und andere Geräte wirklich

Abonniere unseren NewsletterNewsletter-Abo
30Alle Kommentare anzeigen
30
Um mit zudiskutieren oder Bilder und Youtube-Videos zu posten, musst du eingeloggt sein.
Youtube-Videos und Links einfach ins Textfeld kopieren.
600
  • saukaibli 18.12.2015 13:17
    Highlight Über GRUB lässt sich auch Windows starten, d.h. der Titel ist könnte auch "Merkwürdiger Windows-Bug..." heissen. Auch BSD und andere Unix-Systeme verwenden teilweise GRUB. Linux heisst eigentlich ja eh nur der Kernel, Red Hat, Ubuntu und co. sind sog. GNU/Linux-Systeme.
    8 1 Melden
    • sentir 19.12.2015 14:00
      Highlight richtig. Ich frage mich auch, warum dieser "Sicherheitsexperte" mit Gratiswerbung seiner Firma so gegen Linux schiesst. Denn wie bemerkt, hat dieser Bug nichts mit dem Betriebssystem Linux zu tun.
      Seit weit über 15 Jahren hatte ich mit verschiedenen Linux-Derivaten, noch nie Sicherheitsprobleme.
      Ohne Angst um die eigenen Daten surfen? Linux vom Stick booten...
      2 0 Melden
    600
  • Madison Pierce 18.12.2015 08:12
    Highlight Wie soll eine Lücke 2000-5000 Dollar wert sein, wenn sie bekannt ist und man keinen Exploit braucht, sondern nur eine Taste ein paar Mal drücken muss?
    4 1 Melden
    • E. Edward Grey 18.12.2015 09:11
      Highlight Unwissende User mit ungepatchten System sind noch angreifbar.
      3 3 Melden
    • Madison Pierce 18.12.2015 09:37
      Highlight Ja, aber da der böse Hacker jetzt weiss, wie er die Lücke ausnutzen kann, muss er niemandem 2000 Dollar dafür bezahlen. Kaufen tut man sonst Exploits, also z.B. ein präpariertes Java-Applet, welches eine Lücke ausnutzt. Aber in diesem Fall ist das ja nicht nötig.
      2 0 Melden
    • E. Edward Grey 18.12.2015 10:10
      Highlight Es ist ein Exploit im BootLoader, nicht im Betriebssystem. Ein Applet bringt Ihnen dort rein gar nix.
      3 2 Melden
    • Alex_Steiner 18.12.2015 15:13
      Highlight @Christian Grey: Verstehen sie die Frage wirklich nicht oder wollen sie ihn verarschen? Er fragt wie ein bekannter Fehler noch einen Wert haben kann.
      Würden sie 2000-5000 Dollar für die Lücke bezahlen obwohl sie hier gratis die gesammte Lücke erklärt bekommen haben? Vermutlich nicht.
      1 0 Melden
    • E. Edward Grey 18.12.2015 17:07
      Highlight Es geht nicht um den Wert der Kenntnis dieser Lücke sondern um den Wert deren Anwendbarkeit. Dieser ist mit den Patches gefallen, aber da es immer noch viele so eingerichtete Systeme gibt hat die Art des Angriffs immer noch Chancen auf Erfolg, damit einen Wert. Nimmt man nun hinzu welche Art von Systemen so geschützt werden (die Wahrscheinlichkeit für sensible Daten ist hoch) ergibt die Rechnung sehr wohl einen Sinn.
      0 1 Melden
    • Alnothur 19.12.2015 08:38
      Highlight Keiner, der alle Tassen im Schrank hat, schützt seine sensiblen Daten mit einem GRUB-Passwort, das ist selten dämlich. Und wer physischen Zugriff auf das System hat, braucht auch diesen ollen Trick nicht.
      3 0 Melden
    • E. Edward Grey 19.12.2015 09:43
      Highlight Wir reden hier von Serversystemen, nicht Homecomputern.
      0 1 Melden
    • Alnothur 19.12.2015 13:11
      Highlight Dasselbe gilt auch dort. Umso mehr, als dort sowieso der Grundsatz gilt: hatte jemand Unvorgesehenes physischen Zugriff auf das System, ist es kompromittiert. Server laufen sowieso fast nonstop, der Bootloader ist quasi irrelevant.
      Und gerade auf Servern der letzten Jahre kommt sowieso das UEFI mit integriertem Bootloader zum Einsatz, da wird dann gar kein GRUB mehr verwendet. Gilt analog auch für VPS.
      2 0 Melden
    600
  • Gilbert Schiess 18.12.2015 07:53
    Highlight <Verschwörungstheorie> Der Autor ist vermutlich ein enger Freund, des sogenannten "IT-Sicherheitsexperten Marc Ruef" desen Firma Scip AG verzweifelt nach Auftragen lechzt. <\Verschwörungstheorie>

    Fuck, jetzt habe ich auch noch Werbung für diese Klitsche gemacht.
    9 0 Melden
    600
  • ⚡ ⚡ ⚡☢❗andre ☢ ⚡⚡ 17.12.2015 23:48
    Highlight TL;DR: Künstlerisch reisserischer Artikel.
    LR: Also man kann das Passwort im Bootloader umgehen, immerhin hat es eine Passwort-Funktion, das hat weder der Mac noch der Windoof Bootloader.
    Und eine Diskverschlüsselung erfordert das Passwort beim mounten und nicht das Grub Passwort, ausser man möchte es extra unsicher machen :-)
    19 5 Melden
    600
  • Stephan Locher 17.12.2015 23:12
    Highlight Könnt Ihr bitte den Artikel korrigieren?

    Es ist nur ein bei Linux Erhaltener Bootloader betroffen.

    Das ist etwa so wie wenn man über das "wollen sie Windows im abgesicherten Modus starten" hinauskommt.
    28 4 Melden
    600
  • st_IGNUcius 17.12.2015 23:02
    Highlight Herr Schurter sollte den reisserischen Titel anpassen. Seine Ausführungen im Artikel sind schlicht und einfach technisch nicht korrekt. Der angesprochene Bug befindet sich im Bootloader GRUB (Ein Bootloader ist ein Programm, welches unmittelbar nach dem Systemstart (der BIOS POST) gestartet wird. Der Bootloader startet danach jeweils das gewünschte Betriebssystem). Der Bug befindet sich also nicht im Linux Kernel. Man kann nun auch nicht implizieren, dass jedes Linux System von der Lücke betroffen ist. So verwendet Android z.B. einen anderen Bootloader.
    42 3 Melden
    600
  • dä dingsbums 17.12.2015 22:04
    Highlight Linux fristet auf den Desktop ein Nischendasein. Die Mehrheit der Webseiten im Internet laufen aber unter Linux und auch Android hat einen Linux Unterbau. IBM, HP, Red Hat und Suse setzen Milliarden mit Linux um. Das nur um die Relationen richtig zu stellen.
    Eine Lücke die nur mit physischem Zugang auszunüzen ist, ist aber nicht wirklich kritisch. Jedes RZ hat heute Zutritskontrolle, Vereinzelungsanlage, etc.
    Übrigens scheint sogar watson.ch auf Linux Server zu laufen und wude nicht gehackt. Habt ihr den Patch schon eingespielt?
    33 6 Melden
    • E. Edward Grey 18.12.2015 09:19
      Highlight Nur weil man das Rechenzentrum gegen unberechtigten Zutritt gesichert hat, heisst das nicht, dass man seinem Personal willenlos vertraut.
      4 4 Melden
    • dä dingsbums 18.12.2015 11:36
      Highlight Nur das Personal, dem man vertraut, lässt man in die Nähe von kritischen Systemen. Eigentlich logisch.
      6 0 Melden
    600
  • Gilbert Schiess 17.12.2015 22:00
    15 1 Melden
    600
  • Abnaxos 17.12.2015 21:49
    Highlight Wie p4trick schon geschrieben hat, hat das mit Linux gar nichts zu tun, es geht um den Bootloader Grub.

    Dass die Lücke so lange nicht gefunden wurde, lässt sich ganz einfach erklären: Niemand, der auch nur annähernd bei Verstand ist, «schützt» seinen Rechner mit einem Passwort im Bootloader. Ich wusste gar nicht, dass Grub so eine Funktion hat und ich verstehe nicht, wozu das gut sein soll.
    23 1 Melden
    • PewPewPew 17.12.2015 22:06
      Highlight Über die Grub Rescue Funktion lässt sich ein darüber gebootetes (auch verschlüsseltes) Linux mit Malware verseuchen. Passwort-Funktion macht dafür schon Sinn.
      4 5 Melden
    • Abnaxos 17.12.2015 22:24
      Highlight @PewPewPew Wenn ich physikalischen Zugriff auf den Rechner habe, kann ich jederzeit einen eigenen Boot-Stick booten und mit dem System (das beinhaltet Grub) tun und lassen, was ich will. Das Booten von einem anderen Medium könnte das BIOS vielleicht verhindern, nicht aber Grub.

      Aber Heise hat ja geschrieben, wann ein Grub-Passwort sinnvoll sein könnte: Bei Embedded- oder Kiosk-Systemen.

      Für Otto Normalbenutzer oder Otto Normalserverbetreiber ist es aber komplett irrelevant.
      18 2 Melden
    • Joe putz 18.12.2015 08:10
      Highlight auch wenn du deinen rechner mit der bios dafür schützt das man ihn von einem stick booten kann, lässt sich immernoch mit der grub rescue funktion tricksen, es braucht beides damit der rechner einigermassen sicher ist wenn ihm jemand in die finger bekommt.
      3 0 Melden
    • Alnothur 19.12.2015 02:29
      Highlight Wenn jemand den Rechner in die Finger bekommt, ist er kompromittiert, fertig. Einmaleins der Sicherheitstechnik.
      1 0 Melden
    • Joe putz 19.12.2015 09:11
      Highlight ja, da stimme ich 100% zu :) mache meinen laptop auch nur auf die Art sicher weil der gedanke das ein wenig bis garnicht technisch versierter Dieb, nach stundenlangem probieren immernoch keinen zugriff auf den rechner hat, mich zu sehr belustigt :D
      0 0 Melden
    600
  • Gelöschter Benutzer 17.12.2015 21:12
    Highlight Es geht um Grub, das ist das Bootmenu. Erklärt mir bitte wie ihr mit Grub ein System "hacken" wollt.
    Und Grundsätzlich, solange die Daten nicht verschlüsselt sind komme ich an alle Daten von jedem System egal ob Win, Mac oder Linux solange ich lokalen Zugang habe.
    36 3 Melden
    600
  • Typu 17.12.2015 20:32
    Highlight ?? Das ist schon sehr seltsam. Sicher ists nicht 42??
    10 3 Melden
    600

Disney steigt bei Netflix aus ++ Emoji für Rothaarige kommt

Die Digital-News im Überblick:

Es sind Breaking-News für einige Smartphone-Nutzerinnen und -Nutzer: Endlich kommt das Emoji für Rothaarige.

Die Diskriminierung von rund 2 Prozent der Weltbevölkerung mit entsprechender Haarfarbe soll allerdings erst in rund einem Jahr ein Ende haben. Dabei wird das Rothaar-Emoji schon sehr lange und mit zunehmender Vehemenz gefordert.

Nun sind offenbar die Vorarbeiten beim Emoji-Unterausschuss des Unicode-Konsortiums weiter fortgeschritten. In einer kürzlich …

Artikel lesen