Aktuelle Themen:
28 mal hintereinander die Backspace-Taste drücken – und man hatte Zugriff auf den Computer.
bild: shutterstock
Immer wieder treten kuriose Sicherheitslücken bei Computern zutage. Nun hat es das Open-Source-System Linux erwischt. IT-Experte Marc Ruef nimmt Stellung.
Linux wird von vielen als das super-sichere Betriebssystem angesehen. Die Software mit dem freundlichen Pinguin als Maskottchen wurde ursprünglich vom finnischen Programmierer Linus Torvalds entwickelt und fristet neben Windows und Mac OS X (auf Desktop-Rechnern) ein Nischendasein.
Im Gegensatz zu den Systemen von Microsoft und Apple ist Linux in verschiedenen Varianten als Open Source frei verfügbar. Wie ein Mitte Dezember publik gemachte Schwachstelle zeigt, war das von vielen Freiwilligen entwickelte System während Jahren mit einem einfachen Trick zu überlisten. Ein Angreifer musste nur 28 mal hintereinander die «Zurück»-Taste («Backspace») drücken, um reinzukommen.
Wer also (vorübergehend) physischen Zugriff auf einen Linux-Computer hatte, konnte unbemerkt auf die gespeicherten Daten zugreifen oder Malware installieren. Sehr unschön: Das Problem bestand offenbar während mehr als sechs Jahren ...
Marc Ruef, IT-Sicherheitsexperte
Es besteht kein Grund zur Panik. Die Entdecker der Schwachstelle haben umgehend einen Notfall-Patch veröffentlicht. Und die Anbieter der populären Linux-Systeme Ubuntu, Red Hat und Debian haben ihrerseits mit Software-Updates reagiert, um die Lücke zu schliessen.
Update 18. Dezember: Das Techportal heise.de hält fest, dass der betroffene Bootloader (Grub) auf sehr vielen Linux-Systemen im Einsatz sei, «die verwundbare Anmelde-Methode aber eher nicht».
Wir haben den Schweizer IT-Sicherheitsexperten Marc Ruef von der Firma Scip AG um eine Einschätzung gebeten. Der erfahrene Hacker meint, es gebe einige spannende Aspekte rund um die Sicherheitslücke. Der Angriff sei zwar sehr simpel, setze jedoch physischen Zugriff auf das System voraus. «Immer, wenn solch einfache Schwachstellen auftauchen, stellt sich die Frage, ob diese nicht absichtlich als Hintertür etabliert wurden.»
Weiter gibt Ruef zu Bedenken, dass die Schwachstelle im Dezember 2009 eingeführt worden sei und knapp sechs Jahre unbemerkt existierte. «Dies wird einmal mehr die Diskussion befeuern, ob Open Source nun wirklich so viel transparenter und sicherer ist.»
Die Scip AG führt die Linux-Schwachstelle übrigens in ihrer online zugänglichen «Vulnerabilities»-Datenbank. Im entsprechenden Eintrag wird auch der Wert der Schwachstelle eingeschätzt. Als sie noch nicht öffentlich bekannt war, soll sie bis zu 25'000 Dollar wert gewesen sein. Heute seien es noch 2000 bis 5000 Dollar.
via Lifehacker
Cannot GET /_watsui/filler/
Da du bis hierhin gescrollt hast, gehen wir davon aus, dass dir unser journalistisches Angebot gefällt. Wie du vielleicht weisst, haben wir uns kürzlich entschieden, bei watson keine Login-Pflicht einzuführen. Auch Bezahlschranken wird es bei uns keine geben. Wir möchten möglichst keine Hürden für den Zugang zu watson schaffen, weil wir glauben, es sollten sich in einer Demokratie alle jederzeit und einfach mit Informationen versorgen können. Falls du uns dennoch mit einem kleinen Betrag unterstützen willst, dann tu das doch hier.
Würdest du gerne watson und Journalismus unterstützen?
(Du wirst zu stripe.com umgeleitet um die Zahlung abzuschliessen)
Weil wir die Kommentar-Debatten weiterhin persönlich moderieren möchten, sehen wir uns gezwungen, die Kommentarfunktion 48 Stunden nach Publikation einer Story zu schliessen. Vielen Dank für dein Verständnis! 
Highlight
Herr Schurter sollte den reisserischen Titel anpassen. Seine Ausführungen im Artikel sind schlicht und einfach technisch nicht korrekt. Der angesprochene Bug befindet sich im Bootloader GRUB (Ein Bootloader ist ein Programm, welches unmittelbar nach dem Systemstart (der BIOS POST) gestartet wird. Der Bootloader startet danach jeweils das gewünschte Betriebssystem). Der Bug befindet sich also nicht im Linux Kernel. Man kann nun auch nicht implizieren, dass jedes Linux System von der Lücke betroffen ist. So verwendet Android z.B. einen anderen Bootloader. Highlight
Linux fristet auf den Desktop ein Nischendasein. Die Mehrheit der Webseiten im Internet laufen aber unter Linux und auch Android hat einen Linux Unterbau. IBM, HP, Red Hat und Suse setzen Milliarden mit Linux um. Das nur um die Relationen richtig zu stellen. Highlight
Über GRUB lässt sich auch Windows starten, d.h. der Titel ist könnte auch "Merkwürdiger Windows-Bug..." heissen. Auch BSD und andere Unix-Systeme verwenden teilweise GRUB. Linux heisst eigentlich ja eh nur der Kernel, Red Hat, Ubuntu und co. sind sog. GNU/Linux-Systeme. Highlight
richtig. Ich frage mich auch, warum dieser "Sicherheitsexperte" mit Gratiswerbung seiner Firma so gegen Linux schiesst. Denn wie bemerkt, hat dieser Bug nichts mit dem Betriebssystem Linux zu tun. Highlight
Wie soll eine Lücke 2000-5000 Dollar wert sein, wenn sie bekannt ist und man keinen Exploit braucht, sondern nur eine Taste ein paar Mal drücken muss? Highlight
Ja, aber da der böse Hacker jetzt weiss, wie er die Lücke ausnutzen kann, muss er niemandem 2000 Dollar dafür bezahlen. Kaufen tut man sonst Exploits, also z.B. ein präpariertes Java-Applet, welches eine Lücke ausnutzt. Aber in diesem Fall ist das ja nicht nötig. Highlight
@Christian Grey: Verstehen sie die Frage wirklich nicht oder wollen sie ihn verarschen? Er fragt wie ein bekannter Fehler noch einen Wert haben kann. Highlight
<Verschwörungstheorie> Der Autor ist vermutlich ein enger Freund, des sogenannten "IT-Sicherheitsexperten Marc Ruef" desen Firma Scip AG verzweifelt nach Auftragen lechzt. <\Verschwörungstheorie> Highlight
TL;DR: Künstlerisch reisserischer Artikel. Highlight
Herr Schurter sollte den reisserischen Titel anpassen. Seine Ausführungen im Artikel sind schlicht und einfach technisch nicht korrekt. Der angesprochene Bug befindet sich im Bootloader GRUB (Ein Bootloader ist ein Programm, welches unmittelbar nach dem Systemstart (der BIOS POST) gestartet wird. Der Bootloader startet danach jeweils das gewünschte Betriebssystem). Der Bug befindet sich also nicht im Linux Kernel. Man kann nun auch nicht implizieren, dass jedes Linux System von der Lücke betroffen ist. So verwendet Android z.B. einen anderen Bootloader. Highlight
Linux fristet auf den Desktop ein Nischendasein. Die Mehrheit der Webseiten im Internet laufen aber unter Linux und auch Android hat einen Linux Unterbau. IBM, HP, Red Hat und Suse setzen Milliarden mit Linux um. Das nur um die Relationen richtig zu stellen. Highlight
hier noch eine etwas detailliertere Erklärung. Highlight
Wie p4trick schon geschrieben hat, hat das mit Linux gar nichts zu tun, es geht um den Bootloader Grub. Highlight
@PewPewPew Wenn ich physikalischen Zugriff auf den Rechner habe, kann ich jederzeit einen eigenen Boot-Stick booten und mit dem System (das beinhaltet Grub) tun und lassen, was ich will. Das Booten von einem anderen Medium könnte das BIOS vielleicht verhindern, nicht aber Grub. Highlight
auch wenn du deinen rechner mit der bios dafür schützt das man ihn von einem stick booten kann, lässt sich immernoch mit der grub rescue funktion tricksen, es braucht beides damit der rechner einigermassen sicher ist wenn ihm jemand in die finger bekommt. 
