Angeblich Sicherheitsproblem bei Debian trotz aktuellem OpenSSL

Kann auch ein FP sein, ggf ist Deine VErsion gepatcht, aber hat eine falsche Versionsnummer die als ungepatcht gilt.

Gruß

Chonta

Hi,

SSLlabs hat nen internen cache und scannt nicht jedesmal neu. Vllt wird dir noch der alte Scan angezeigt.

mfg

Cthluhu

Hallo,

Debian ist nicht unbedingt dafür bekannt mit Fixen und Updates oder gar Upgrades schnell bei der
Hecke zu sein. und von daher würde ich immer andere Linux Distros bei einem Server mit Internetkontakt
vorschlagen wollen. Denn eines ist jetzt schon sicher, man bekommt sehr oft das schlechte Bauchgefühl
nicht mehr weg oder bleibt verunsichert. Wir halten das bei uns wie folgt;
- Große Server mit Internetkontakt - RedHat
- Große Server im LAN ohne Internetkontakt - OpenSUSE
- Kleinere / Mittlere Abteilungsserver ohne Internetkontakt - Debian
- Kleinere / Mittlere Server jeglicher Art mit Internetkontakt - CentOS

- RedHat kostet hat aber schnell ein Update parat
- OpenSUSE kostet hat aber in der Regel auch recht schnell ein Update parat
- Debian kommt nicht so schnell hinterher aber bei einem Abteilungsserver ist das weniger kritisch
- CentOS von vorne herein ("ab Werk") schon gehärtet und bekommt auch recht flott Updates und Upgrades

Kann auch bei dem Testserver der Fall sein! Ich meine zu der IP und/oder MAC Adresse das da noch etwas
in deren Cache vorhanden ist, oder aber der Test selber nicht mehr aktuell oder Fehler behaftet ist.

Gruß
Dobby

Moin,

Wenn du wirklich wissen willst, womit du es zu tun hast, wie diese Sicehrheitslücke funktioniert und wie du selbst testen kannst, ob du davon betroffen bist oder nicht, empfehle ich dir folgenden Artikel zu lesen:
https://blog.cloudflare.com/yet-another-padding-oracle-in-openssl-cbc-ci ...

Ganz davon abgesehen, solltest du deine Cipher ggf. überarbeiten. dazu empfehle ich dir folgende Seite:
https://mozilla.github.io/server-side-tls/ssl-config-generator/

Damit solltest du die Kommunikation mit deinem Server sicherer bekommen.

Dass du Debian nutzt, ist an sicher kein Problem. Sicherheitslücken haben hier ebenso wie bei anderen Distributionen höchste Priorität und werden über die Security Repositories auch sauber verteilt. Allerdings baut man bei Debian auf "solide Software" mit anderen Worten, man wartet bis bewiesen ist, dass das Zeug wirklich läuft. Früher war dass sehr empfehlenswert heute haben sich ja zum Glück automatisierte Tests durchgesetzt. Dennoch macht man damit wenig falsch, solange die Entwickler mit Debian zusammenarbeiten. Denn wenn eine Sicherheitslücke irgendwo intern in einer Version gefixt wird, und nicht annonced, dann bleibt eben eine ungefixte Version im Debian Repo, bis zum nächsten Stable release oder bekannt werden der Lücke. (Wenn man mal mit den Package Managern dort zu tun hat, stellt man fest, dass sie eigentlich sehr zuvorkommend sind ;) Man muss halt nur mal mit ihnen sprechen :D)

CentOS funktioniert aufgrund seiner Nähe zu RedHat Enterprise Linux natürlich bestens und ist deshalb auch in Security Dingen sehr weit vorne dabei. Warum man sich OpenSUSE antun will, sehe ich jetzt zwar nicht, aber wer drauf steht ^^ Dann doch lieber ein Ubuntu, dass aber aufgrund seiner init-Struktur bei mir eher unten durch ist. Inzwischen verlasse ich mich allgemein einfach auf CoreOS, aber das ist abhängig vom Usecase und für klassische Server eher ungeeignet.

Gruß aus der Cloud ;)
Chris

Hallo,

die Versionsnummer lässt keine Rückschlüsse auf die Qualität bzw. den Sicherheitslevel der Software zu.

Ob ich jetzt Version 10 mit Sicherheitspatch 1, Sicherheitspatch 2 und Sicherheitspatch 3 installiert habe oder Version 11 (die die drei Patches bereits beinhaltet) ist letztendlich "Jacke wie Hose".

Gruß,
Jörg

Mag sein aber auf der Arbeit oder privat sind auch Unterschiede wie Tag und Nacht. Wenn private
Daten flöten gehen oder missbraucht werden muss ich das mit mir selber abmachen, und wenn
das auf der Arbeit passiert ist das eben ganz was anderes. und ich unterscheide nicht zwischen
privat und Arbeit sondern zwischen Internetkontakt und nicht Internetkontakt. Und CentOS kommt
schon "gehärtet" "ab Werk"!!! Und das tut Ubuntu nicht!

Bei bei RedHat kommt auch keine neue Version auf den Markt nur weil es irgend wo ein Problem
gibt, nur ob man bei einem Apache Server darauf wrten möchte oder kann oder sogar darf ist doch
hier die Frage.

Debian ist deswegen nicht schlechter, aber sie haben eben nicht immer die neuste Version
parat und wenn man etwas über das Internet verfügbar machen möchte ist dies halt mitunter
unerlässlich.

Ich sehe das halt anders herum, ich möchte nicht erst noch ein OS härten und bei Problemen
noch lange warten auf Patches, Updates/Upgrades und Hilfen.

Macht halt jeder wie er will, kann und darf. ist ja auch nicht weiter schlimm.

Gruß
Dobby

Hallo,



Ein schönes Beispiel: Ich habe bei einem Kunden einen Linux-Server vorgefunden und musste etwas via Shell fixen.

Da SSH nicht lief, habe ich einen Monitor im Serverraum angeschlossen, mich auf der grafischen Konsole eingeloggt und wollte unter Gnome das Terminalprogramm starten.

Mangels Maus habe ich unter Gnome die Windows-Taste gedrückt, "Term..." getippt und wirklich nicht schlecht gestaunt, als mir das Teil Werbelinks (sic!) für Terminator-DVDs bei Amazon präsentiert hat. Wohlgemerkt - auf einem Server...

Sorry wenn ich das so direkt sage - aber meiner Meinung nach ist Ubuntu ein Klicki-Bunti-Linux für Leute, denen man auf der ersten Seite von der Bedienungsanleitung schreiben muss, dass die silberne Seite vom Datenträger nach unten gehört. Auf der Monats-CD von der ComputerBILD mag es gut aufgehoben sein (solange man es nicht installiert), aber im gewerblichen Einsatz taugt das maximal für "Unterstützungsprozesse ohne Netzwerkverbindung und Sicherheitsanspruch".


Debian ist in den meisten Fällen eine gute, konservative Lösung - zumal viele Anleitungen, HowTos usw. auf Debian und deren Derivate bezogen sind. Allerdings resultiert der Konservativismus(?) auch darin, dass man öfter mal nach Problemen sucht, die man unter anderen Distributionen nicht hat (ich sag' nur "HTTP Error 500 bei Verwendung der soap-Schnittstelle vom Mantis Touch").


Was bei CentOS schön ist, ist, dass es ein relativ sauber konfiguriertes SELinux mitbringt. Wenn der Administrator nicht dem Wahnsinn unterliegt und SELinux konfiguriert (...statt es abzuschalten...), dann hat man relativ fix ein gut abgesichertes System.


Gruß,
Jörg

Hallo,


Also dann ist das nicht Ubuntu Server sondern Ubuntu Desktop oder man hat den Desktop nachinstalliert.
Ubuntu Desktop =! Ubuntu Server.
Konfiguration und Pakete (z.B. fehlender ssh Server) sagen schon worauf das abziehlt, Desktopeinsatz.

Richtig und wer aktuellere Software und deren Funktionen braucht verwendet UbuntuServer oder wenn man ne GUI braucht, ohne Gnome3 oder Unity (das war warscheinlich das mit den Amazonliks für Terminator)

Und die VErwendung TLS 1.2 oder nicht hat nix mit der Version von Openssl zu tun... Sondern ob der Webserver TLS 1.0 oder 1.1 erlaubt oder nicht.

Ich persöhnlich mag deb basierte Systeme mehr als rpm

Gruß

Chonta

Hallo,


Unabhängig davon ist es ein eindeutiges Indiz dafür, dass die für die Distribution Verantwortlichen keinerlei Verständnis für die Ansprüche an ein halbwegs sicheres und intuitiv bedienbares Computerbetriebssystem haben.

Das Vertrauen in den Namen ist weg - ausdieMaus.


Ich persönlich lege eher Wert auf den Inhalt der Pakete und nicht auf das Format, in dem sie gepackt sind.

Gruß,
Jörg