Linux ist sicher – aber nur, wenn User und Programmierer mithelfen. Sie schützen ihre eigenen Rechner und verhindern, dass sich Schadprogramme ausbreiten.

Wer unter Windows mit Internet Explorer und Outlook Express online geht, auf Antiviren-Software und Personal Firewall aber verzichtet, gilt gemeinhin als fahrlässig. Was unter Windows stimmt, ist für Linux noch lange nicht richtig: Statt sich mit Virenscanner & Co. einzudecken, setzen die Freunde des Pinguins auf andere Schutztechniken. Allen voran stehen Sicherheits-Updates, sichere Konfiguration und vorsichtiger Umgang mit Mail und Web. Wer mehr will, aktiviert die Firewall und sperrt seine Programme in möglichst enge Käfige (etwa AppArmor).

Fremdkörper

Virenscanner sind unter Linux zwar anzutreffen – aber nicht auf dem Desktop, sondern im E-Mail- oder Datei-Server. Dort schützen sie Windows-Clients und nicht die Linux-Maschine. Theoretisch könnten Viren zwar auch das freie System bedrohen, praktisch passiert das so gut wie nie. Die Gründe dafür sind vor allem in der Technik zu suchen.

Viren verändern vorhandene Programme und sorgen dafür, dass jeder Start auch den Viren-Code ausführt. Das funktioniert auch unter Linux. Um sich weiter zu verbreiten, infiziert ein Virus andere Programme, die er im Dateisystem findet. Ältere Windows-Versionen lassen ihm dabei freie Hand, Linux bremst ihn. So lange sich das Programm mit User-Rechten begnügt und nicht als Root läuft, darf es andere Programmdateien nicht überschreiben. Dem Virus fehlt damit ein Ausbreitungsweg.

Dazu kommt, dass sich Linux-Anwender kaum gegenseitig fertig kompilierte Programme zuschicken. Daran wird sich so schnell nichts ändern: Bei frei verfügbarer Software sind Warez (Raubkopien) uninteressant. Originalsoftware lädt man leichter und schneller von der Distributions-DVD, einer Heft-CD oder der Originalseite der Entwickler.

Kosten und Nutzen

In der Kosten-Nutzen-Rechnung der Virenschreiber schneiden Linux-Viren somit schwach ab. Verschiedene Distributionen auf unterschiedlichen Architekturen, kaum Verbreitungsmöglichkeiten und unbestreitbar mehr Windows-Maschinen, die bereitwillig auf Viren warten – all das sorgt dafür, dass andere Angriffe auf Linux wesentlich mehr Erfolg versprechen.

Wer trotzdem auf seinen Virenwächter nicht verzichten möchte, weil der ein komfortables Gefühl der Sicherheit vermittelt und vermeintlich nicht schaden kann, der irrt: Jedes Stück Software, das auf einem Rechner läuft, stellt eine potenzielle Gefahrenquelle dar. Virenscanner bilden keine Ausnahme, ganz im Gegenteil. Sie analysieren quasi jedes Dateiformat, egal wie vertrackt es sich gestaltet, packen Archive aus und durchsuchen den Inhalt mit komplexen Suchoperationen. Das Ganze muss zudem flott ablaufen. Da wundert es nicht, dass auch Scanner Sicherheitslücken aufweisen und selbst zum Angriffsziel mutieren.

Riskanter Scanner

Securitytracker listet beispielsweise beim freien Virenscanner ClamAV im Jahr 2005 fünf Lücken [8]. Auch die kommerzielle Closed-Source-Konkurrenz bleibt von Fehlern nicht verschont. Dabei setzen sich Scanner sogar gezielt der Gefahr aus – schließlich müssen sie potenzielle Schadsoftware analysieren. Die Risikoschätzung für Virenscanner lautet damit: Unter Windows überwiegen die Vorteile, dort also lieber mit Scanner. Auf einem Mail- oder File-Server, der Windows-Clients bedient, genauso. Ein reiner Linux-Desktop ist ohne Virenwächter besser dran.

Abbildung 1: OpenOffice 2 informiert, dass sich in diesem Dokument Makros befinden. Der Benutzer kann wählen, ob er den Makros vertraut und sie startet oder auf Nummer Sicher geht und diese Funktionen abstellt.

Bei Makroviren verhält es sich ähnlich. Es sind durchaus Viren denkbar, die sich in OpenOffice-Dateien einnisten. Allerdings warnt OpenOffice den Benutzer, bevor es Makros in Dokumenten aktiviert (siehe Abbildung 1). Word-Makroviren haben sowieso keine Chance, da OpenOffice keine Microsoft-Makros (weder Word Basic noch VBA) ausführt. Das Verhalten von OpenOffice ist recht detailliert festlegbar: Extras / Optionen / OpenOffice.org / Sicherheit / Makrosicherheit.

Wurmkur

Im Gegensatz zu Viren benötigen Würmer kein Wirtsprogramm, sie laufen selbständig. Um sich zu verbreiten, missbrauchen sie fremde Programme und deren Sicherheitslücken. Der bekannteste Wurmträger ist wohl das E-Mail-Programm Outlook unter Windows. Ein typischer E-Mail-Wurm versendet sich an alle Personen aus dem Adressbuch. Er richtet beim Empfänger aber nur Schaden an, wenn der sorglos den Anhang öffnet oder wenn der Wurm eine Sicherheitslücke im Mailer findet.

Beides könnte auch unter Linux geschehen, allerdings verstellen zahlreiche Hürden den Weg. Die Anwender benutzen viele verschiedene Mail-Programme. Ein E-Mail-Wurm wäre bei den meisten Empfängern unwirksam und würde sich daher langsamer verbreiten als seine Outlook-Verwandtschaft. Linux-Mailer gehen mit Anhängen vorsichtig um; sie zeigen den kompletten Namen und fragen in der Regel, bevor sie den Inhalt an einen Betrachter übergeben.

Viele E-Mail-Clients ignorieren HTML-Anhänge oder setzen sichere Programmmodule ein, um HTML-Code anzuzeigen. Outlook nutzt den Internet Explorer als HTML-Komponente und ist folglich für ähnliche Sicherheitslücken anfällig. Ähnlich gefährlich verhält sich Thunderbird. Er verwendet die voll ausgestattete Mozilla-HTML-Komponente und ist daher anfällig für Firefox-Lücken.

Es gilt für alle Mail-Programme unter Linux die bekannte Warnung: Anhänge von suspekten E-Mails besser nicht öffnen und vor allem keine unerwartet eintreffenden Programme starten. Damit würde der Benutzer einen eventuellen Wurm selbst in seinen Rechner einsetzen.

Saubermänner

Ob ein Programm schädlich ist oder nicht bleibt oft unklar. Bei einem einfachen E-Mail-Wurm ist die Sachlage noch recht eindeutig. Manch bösartige Funktion verstecken sich aber in harmlos wirkenden Programmen; das Gespann nennt sich trojanisches Pferd.

Eventuell weiß nicht einmal der Programmautor von den verborgenen Programmteilen, etwa wenn ein Angreifer den Computer des Entwicklers geknackt hat und unbemerkt Zusatzfunktionen in die Software einfügt. In anderen Fällen ist es der Autor selbst, der dunkle Ziele verfolgt. Bei Open-Source-Software stehen die Chancen aber gut, dass andere Entwickler getarnte Fallen aufdecken und die Linux-Gemeinde warnen. Die Distributoren beauftragen meist mehrere Entwickler, Programme zu untersuchen und Schwachstellen, Sicherheitslücken und Hintertüren aufzuspüren.

Für die Lückenjäger bedeutet die Linux-typische Vielfalt (viele Programme für die gleiche Aufgabe) mehr Arbeit – das trifft aber auch auf die Angreifer zu. Im Ernstfall finden sie weniger Opfer, dan nicht jeder Computer mit der identischen Software ausgestattet ist.

Abbildung 2: Das Suse-Update verdient Lob und Tadel zugleich. Es informiert ausführlich über anstehende Patches (links oben), klassifiziert sie nach Sicherheitskorrekturen (rot), funktionalen Fehlern (blau) und weiteren Updates (schwarz), liefert eine Patch-Beschreibung mit Größenangaben (links unten) und listet die Komponenten des Patch-Pakets (rechts). Leider hat Suse das Fenster mit den vielen Informationen völlig überladen.

Update nicht vergessen

Wird eine Lücke bekannt, dann heißt es: Löcher stopfen, am besten das betroffene Programmpaket aktualisieren oder komplett deinstallieren. Beim Patchen (Korrekturen einspielen) helfen moderne Distributionen (zum Beispiel Suse, siehe Abbildung 2). Deren Online-Update sucht nach Korrekturen für installierte Pakete.

Besonders kritisch sind Sicherheitslücken in Server-Programmen. Die warten darauf, dass sich ein Client mit ihnen in Verbindung setzt. Jedes schwarze Schaf kann sich über das Internet mit einem Server verbinden und sein Unwesen treiben. Dazu braucht es noch nicht einmal die Adresse zu kennen, es durchsucht einfach große Teile des Netzes und hofft darauf, Opfer zu finden. Erschwerend kommt hinzu, dass Server oft mit Root-Rechten laufen – nach einem Einbruch übernimmt der Angreifer die Rechte des Opfers und kontrolliert damit den Computer.

Bei dem Angreifer kann es sich um einen Menschen mit dunklen Absichten handeln (meist als Cracker tituliert), der den Computer direkt attackiert. Es kann aber auch ein Stück Software sein, in Form eines Wurms. Ramen, Lion und Slapper haben zu größerer Verbreitung gebracht. Der Ramen-Wurm [5] griff 2001 WuFTP-Server an, während Lion [6] eine Sicherheitslücke im DNS-Server Bind nutzte. Anno 2002 nistete sich Slapper [7] in Apache/SSL-Installationen ein. In allen Fällen waren die Lücken bekannt, nur hatten die Betreiber vieler Unix- und Linux-Computer die Updates nicht eingespielt.

Abbildung 3: Eine Firewall verhindert, dass Clients eine verbotene Verbindungen zu einem Server herstellen. Ob die Verbindung erlaubt ist oder nicht, gibt der Administrator vor.

Feuerschutz

Um sich vor Angriffswellen zu schützen, verwenden viele Netze Firewalls (Abbildung 3). Diese Schutzwälle lassen nur Datenpakete durch, die bestimmten Kriterien genügen: Welcher Computer darf mit welchem anderen kommunizieren, welche Protokolle dürfen sie verwenden. Der Schutz einer Firewall bleibt aber begrenzt: Wenn sie eine Verbindung zulassen, dann müssen sich weiterhin die Client- und Server-Programme selbst verteidigen. Der beste Schutz ist daher, nur die wirklich benötigten Server zu installieren und zu starten.

Neben Server-Programmen sind auch die Clients gefährdet. Sie müssen zwar zunächst von sich aus eine Verbindung öffnen, über diesen Weg kann sie dann aber der Server angreifen.

Solide Basis

Linux wehrt sich gegen Eindringlinge aus dem Untergrund der Datennetze. Die Mithilfe des Anwenders und Admins vorausgesetzt, ist diese Abwehr auch sehr erfolgreich: So gilt Linux zu Recht als sicheres Betriebssystem mit verantwortungsvollen Benutzern.