Open Source im professionellen Einsatz
Linux-Magazin 06/2015
© Jane-Andoko, 123RF

© Jane-Andoko, 123RF

Debian-Pakete reproduzierbar bauen

Baugleich

Debians Reproducible-Builds-Projekt will technisch feststellen, ob ein Binärpaket auch tatsächlich aus dem zugehörigen Quellcode gebaut wurde. Das erhöht den Schutz vor Malware, aber auch den Aufwand.

336

Offene Software besitzt für die Nutzer einen entscheidenden Sicherheitsvorteil: Der Quellcode ist, anders als bei proprietärer Software, kein Betriebsgeheimnis, jeder kann ihn einsehen. Die erdrückende Mehrheit der Anwender installiert jedoch die vorgebauten Softwarepakete ihrer Linux-Distributionen. Sie verlässt sich darauf, dass die Systementwickler und Paketbetreuer dafür sorgen, dass die Binärpakete keinen von den Quellen abweichenden, bösartigen Code enthalten.

Bislang fehlte auch ein technischer Weg, um die Identität von Binär- und Quellpaket festzustellen. Das möchte Debians Reproducible-Builds-Projekt (RBP, [1]) längerfristig ändern (Abbildung 1).

Abbildung 1: Ist das Buildsystem kompromittiert, erhält das damit erzeugte Binärpaket im Reproducible-Build-System einen abweichenden Hashwert (roter Eintrag).

Angriffsszenarien

Als populäre Linux-Distribution verteilt Debian die eigene Software an eine große Anzahl von Nutzern weltweit. Die Abnehmer sind nicht nur Privatanwender, sondern auch Organisationen, Forschungseinrichtungen und Unternehmen. Das macht die Softwareverteilung zu einem interessanten Angriffsziel, um den ahnungslosen Anwendern bösartigen Code unterzuschieben.

Ein einleuchtendes Angriffsszenario besteht in der gezielten Manipulation von DEB-Binärpaketen. Wie der Open-SSH-Bug CVE-2002-0083 [2] zeigt, genügt es mitunter, ein einzelnes Bit zu verändern, um eine Hintertür in ein Programm einzubauen [3].

Für aufwändige Angriffe auf eine bestimmte Software ließe sich auch ein Kernel-Rootkit auf dem Rechner eines Paketbetreuers platzieren, das beim Kompilieren unbemerkt den Code verändert. Aktuell würde das Debian-Projekt dieses manipulierte Binärpaket nach bestem Wissen und Gewissen der System- und Paketbetreuer verteilen, ohne dass es zunächst auffiele. Die Auswirkungen der Manipulation zeigen sich, wenn überhaupt, erst später.

Binärpakete sichern

Die Idee, Binärpakete für Debian reproduzierbar zu machen, existiert bereits seit 2007 [4]. Anfangs stieß sie auf wenig Resonanz, bis dann entscheidende Impulse aus Projekten mit hohen Sicherheitsanforderungen kamen. So hat das Tor-Projekt den reproduzierbaren Paketbau vorangetrieben [5].

Seit den Snowden-Enthüllungen interessieren sich deutlich mehr Benutzer für den damit verbundenen Sicherheitsgewinn. Auch im Kreise der Bitcoin-Entwickler besteht ein besonderes Interesse daran, die Geldbörsen-Software, die das virtuelle Geld verwaltet, sicher an die Anwender zu verteilen.

Diesen Artikel als PDF kaufen

Express-Kauf als PDF

Umfang: 3 Heftseiten

Preis € 0,99
(inkl. 19% MwSt.)

Linux-Magazin kaufen

Einzelne Ausgabe
 
Abonnements
 
TABLET & SMARTPHONE APPS
Bald erhältlich
Get it on Google Play

Deutschland

Ähnliche Artikel

comments powered by Disqus

Stellenmarkt

Artikelserien und interessante Workshops aus dem Magazin können Sie hier als Bundle erwerben.