Sichere Debian CD kaufen

[smutbert]

Den Aluhut habe ich ins Spiel gebracht, fürchte ich, Entschuldigung.

Aber wenn man alles, was in dem Thread bereits steht, summiert, kann man nur zu dem Schluss kommen, dass es keinen Weg gibt zu einer sicheren Installations-CD zu kommen (die Firmware der CD/DVD-Laufwerke hat dabei noch gar niemand berücksichtigt).

Das beste, was man meiner Meinung nach machen kann, ist sich die iso-Datei selbst herunterzuladen und die Prüfsummen zu vergleichen. Mit dem sicheren System, das dafür vonnöten ist, steht man wieder vor dem Henne-Ei-Problem, aber das läßt sich nun einmal nicht lösen.

[Cae]

Soweit ich weis sind all diese Prüfsummendingensmethoden schon gehackt also nicht ganz sicher

Nein, das stimmt so nicht. Es gibt bestimmte Hashfunktionen, bei denen man mittlerweile mit vertretbarem Aufwand sogenannte Kollisionen berechnen kann, darunter faellt MD5. Man hat also zwei Dateien, die dieselbe MD5-Pruefsumme haben, aber nicht dieselben Daten enthalten. Sehr viel schwieriger ist es allerdings, wenn die zweite Kollision ganz bestimmte Daten enthalten oder veraendert haben soll, aber das nur am Rande. Das Problem bei Hash-Kollisionen ist, dass nur die Hashes signiert sind (auch wenn man mit gpg eine Signatur von einer Datei macht, wird da intern erst eine Pruefsumme berechnet und diese signiert), d.h. man hat dann ploetzlich zwei Dateien mit gueltiger Signatur drauf.

Die Vertreter der SHA-Familie [1], darunter SHA1SUM, SHA256SUM und SHA512SUM sind heute allesamt als sicher anzusehen.

Gruss Cae

[1] https://en.wikipedia.org/wiki/Secure_Hash_Algorithm

[Saxman]

Aber wenn man alles, was in dem Thread bereits steht, summiert, kann man nur zu dem Schluss kommen, dass es keinen Weg gibt zu einer sicheren Installations-CD zu kommen (die Firmware der CD/DVD-Laufwerke hat dabei noch gar niemand berücksichtigt)..

Eine Diskussion kann durchaus auch zu dem Ergebnis führen, dass es keine brauchbare Lösung gibt. Es geht mir aber vorwiegend darum, sich nicht gegenseitig anzugreifen oder die Fragen unnötig ins lächerliche zu ziehen. Nach dem letzten systemd Thread habe ich aktuell eine niedrige Toleranzschwelle, wenn es um offensives Verhalten geht. Im Übrigen bin ich auch ein Verfechter der "ISO/md5-Hash Fraktion" und halte das für den praktikabelsten Weg hier.

[scientific]

Bist du *wirklich *ganz *sicher, dass Linux und im speziellen Debian/GNU/Linux das richtige für dich ist?

Lieber Scientific, wenn du dem Threadersteller nicht bei seinem Problem helfen möchtest, unterlasse es doch bitte den Threadersteller anzugreifen. Irgendwelche Aluhutkommentare bringen hier niemanden weiter.

Auf meine Frage, was denn für den Threadersteller als "sicher" gilt, kam leider auch nichts.

Auf die Anregung, darüber nachzudenken, woher seine Hardware kommt, und wie er prüft, ob die denn "sicher" sei (selbiges Problem der Definition wie grad eben) kam auch nix.

Auf den Einwand meinerseits, wie er mit Bios-Viren ala Bluepill im Zusammenhang mit "sicheren" Downloads umzugehen gedenke (wenn sich der TE bzgl. Sicherheit von Debiandownloads solche umfassenden Gedanken macht, gilt es sowas auch zu berücksichtigen!), dachte er, ich wolle ihn verarschen...

Ich nehme ihn ernst, zeige ihm noch weitere Felder auf, die er berücksichtigen MUSS, wenn er am Thema so interessiert ist... Er antwortet pickiert...

Es tut mir leid, auf diesen Trigger angesprungen zu sein... Aber den Aluhut würd ich ihm schon verkaufen...

Ganz im ernst. Bei all den Backdoors in Hard- und Software... Da ist das Thema des sicheren Downloads wie vom TE angerissen, eher ein Nebenschauplatz.
Nur wenn ICH dem Download von einem offiziellen Debianrepo nicht vertrauen kann, kann es auch ein offizieller Händler genausowenig.

Wenn ich meiner Hardware zum Brennen nicht vertrauen kann, kann ich auch der Hardware von einem Kernelmaintainer auch nicht vertrauen. Selbst wenn ich den besuchen gehe und mir die einzelnen Bits in ein dickes Notizbuch schreibe...

Mehr als auf ein offizielles Repo mit offiziellen md5-Hashes verweisen, kann ich auch nicht. Aber das taten schon andere... Also sah ich meine Aufgabe darin, den Focus etwas umzulenken auf wesentlichere Fragen als eine ev. geknackte Vertrauenskette bei signierten Downloads...

Ok?

[Saxman]

Ich nehme ihn ernst,[...]

Es tut mir leid, [...]

Ok?

Wenn das so gemeint war, dann Ja, Ok..

[Yphs]

Auf meine Frage, was denn für den Threadersteller als "sicher" gilt, kam leider auch nichts.

Auf die Anregung, darüber nachzudenken, woher seine Hardware kommt, und wie er prüft, ob die denn "sicher" sei (selbiges Problem der Definition wie grad eben) kam auch nix.

Auf den Einwand meinerseits, wie er mit Bios-Viren ala Bluepill im Zusammenhang mit "sicheren" Downloads umzugehen gedenke (wenn sich der TE bzgl. Sicherheit von Debiandownloads solche umfassenden Gedanken macht, gilt es sowas auch zu berücksichtigen!), dachte er, ich wolle ihn verarschen...

Wenn man von Sicherheit und vertrauen redet dann steht in Frage "ob man jemanden Vertraut", "ob er Vertrauenswürdig ist" und "wieviel man ihm Vertrauen kann".

Redet man nur von Sicherheit dann kann man weitere Gespräche über Sicherheit ausschließen wenn das Installationsmedium nicht garantiert sicher ist, dann kan sich alles weitere sparen wenn man da nicht garantiert sicher sein keinn. Also gibt es hier nur "absolute Sicherheit", eine 1 oder eine 0. Alles was danach kommt während und nach der Installation ist dann relative Sicherheit.

Auf den Einwand meinerseits, wie er mit Bios-Viren ala Bluepill im Zusammenhang mit "sicheren" Downloads umzugehen gedenke (wenn sich der TE bzgl. Sicherheit von Debiandownloads solche umfassenden Gedanken macht, gilt es sowas auch zu berücksichtigen!), dachte er, ich wolle ihn verarschen...

Womit er sich

Auf meine Frage, was denn für den Threadersteller als "sicher" gilt, kam leider auch nichts.

schon selbst beantwortet.

Ich nehme ihn ernst, zeige ihm noch weitere Felder auf, die er berücksichtigen MUSS, wenn er am Thema so interessiert ist... Er antwortet pickiert...

Sorichtig ernst genommen fühle ich mich nicht, denn:

Es tut mir leid, auf diesen Trigger angesprungen zu sein... Aber den Aluhut würd ich ihm schon verkaufen...

Jemanden einen Aluhut aufzusetzen zeugt von wenig ernsthaftigkeit.

Und hier denke ich mir schonwieder er will uns verarschen oder an der Nase herumführen. Er bringt den Aluhut schonwieder in den Thread.

Auf den Einwand meinerseits, wie er mit Bios-Viren ala Bluepill im Zusammenhang mit "sicheren" Downloads umzugehen gedenke (wenn sich der TE bzgl. Sicherheit von Debiandownloads solche umfassenden Gedanken macht, gilt es sowas auch zu berücksichtigen!), dachte er, ich wolle ihn verarschen...

Habe ich doch auch schon beantwortet, ich sagte man soll sich keinen unsicheren Mist auf den Rechner hauen wozu es noch mehrere Kommentare gab das man das Bios von Windows aus updaten kann. Du solltest vielleicht nochmal genauer Nachdenken und langsamer lesen bevor du schreibst, im ernst.

Ganz im ernst. Bei all den Backdoors in Hard- und Software... Da ist das Thema des sicheren Downloads wie vom TE angerissen, eher ein Nebenschauplatz.
Nur wenn ICH dem Download von einem offiziellen Debianrepo nicht vertrauen kann, kann es auch ein offizieller Händler genausowenig.

Wenn ich meiner Hardware zum Brennen nicht vertrauen kann, kann ich auch der Hardware von einem Kernelmaintainer auch nicht vertrauen. Selbst wenn ich den besuchen gehe und mir die einzelnen Bits in ein dickes Notizbuch schreibe...

Das Thema des sicheren Downloads bzw. der sicheren Installation ist wo das Wort "Sicherheit" mit einem "S" beginnt wenn man von Software redet, nützt natürlich alles nichts wenn die Hardware schon im Vorfeld infiziert wurde. Hardware zu manipulieren ist jedenfalls aufwendiger als Software zu manipulieren insbesondere dann wenn man nicht genau weis wo das Ziel denn dann die Hardware kaufen wird und wenn man auffliegt hat das wohl gravierendere Folgen als wenn ne unsichere Software aufdeckt wird. Was die Hardware angeht gelten wohl ähnliche Probleme wie eine saubere Software zu bekommen wobei die doch deutlich einfacher zu manipulieren ist. Eine IP kann man ganz leicht kriegen und dann Sicherheitslücken ausnutzen.

Mehr als auf ein offizielles Repo mit offiziellen md5-Hashes verweisen, kann ich auch nicht. Aber das taten schon andere... Also sah ich meine Aufgabe darin, den Focus etwas umzulenken auf wesentlichere Fragen als eine ev. geknackte Vertrauenskette bei signierten Downloads...

Ok?

Worin ja auch der Sinn des Threads lag, eine saubere Installations-CD zu bekommen ist hier Thema also auch eventuelle Fragen der Hardware wenn man die sich selbst brennen muss.

Witzige oder sarkastische Kommentare sind schon in Ordnung, ich finde es nur Sch**** wenn die dann den ganzen Thread herunter ziehen. Vorallem weis ich jetzt sachen die ich eigentlich garnicht wissen wollte und nach denen ich auch garnicht gefragt habe. Obwohl ich es Interessant fand...

Am liebsten würde ich eine verschweiste, mit Wasserzeichen versehene und versiegelte Hardware kaufen und denn eventuell mit dafür vorgesehenen Prüfgeräten auf Manipulationsfreiheit überprüfen, nen Speicher von nem Bioschip auszulesen ist nicht besonders viel und aufwendig und booten aus dem Internet mit einer solchen Hardware wäre noch ne Super Lösung gewesen... Vielleicht fällt ja noch jemanden was wichtiges ein was funktionieren würde. Bloß weil die nichts anderes als ne offizielle Repo mit md5-Hash einfällt muss das nicht heisen das es da nichts anderes als Lösung gibt.

[spiralnebelverdreher]

Am liebsten würde ich ja eine verschweiste, mit Wasserzeichen versehene und versiegelte Hardware kaufen und denn eventuell mit dafür vorgesehenen Prüfgeräten auf Manipulationsfreiheit überprüfen, nen Speicher von nem Bioschip auszulesen ist nicht besonders viel und aufwendig. Das Booten aus dem Internet mit einer solchen Hardware wäre dann noch ne Super Lösung gewesen... Vielleicht fällt ja noch jemanden was wichtiges ein was funktionieren würde. Bloß weil die nichts anderes als ne offizielle Repo mit md5-Hash einfällt muss das nicht heisen das es da nichts anderes als Lösung gibt.

Im Spaß: Genau so eine DVD biete ich dir an. Ich schweiße sie selbst zu, verpacke sie in eine reißfeste Hülle und mache meinen Siegellack warm. Dann drücke ich noch mein Siegel drauf und bring das Ding persönlich zur Post und schicke es an dich per Übergabeeinschreiben. Natürlich nachdem du mir $$ dafür überwiesen hast. Löst das dein Problem wirklich? Wenn ja, schick mir ne PN und ich geh DVD Rohlinge kaufen.

Im Ernst: Mit welcher Methode prüfst die physische Wasserzeichen und Siegel auf Authentizität und Unversehrtheit? Woher bekommst du deine Vergleichsmuster? Und worauf stützt sich deine Annahme, dass ich ein ehrlicher Mensch bin und eine sichere DVD bei der Post eingeliefert habe? Weil ich einen Batzen Geld von dir nehme und eine Adresse und Bankkonto in Deutschland habe? Und schickes Briefpapier mit Wasserzeichen?

Einen Speicher vom BIOS auszulesen mag vielleicht noch eine fast triviale Aufgabe sein - aber womit vergleichst du die gefundenen Bytes? Hat dein BIOS-Hersteller diesbezüglich Informationen veröffentlicht? Sind die auf sicherem Wege zu dir gekommen?

[Yphs]

Und schonwieder ein Sinnfreier Kommentar von einem Klugsch*****, mir fällt jetzt kein anderes Wort ein aber als Beleidigung ist es nicht gemeint. Darüber hatten wir doch die ganze Zeiit schon davor geredet und es gibt sehr wohl Methoden wie derartige Siegel und all sowas Überprüft und verifiziert in dem man entsprechende Messmethoden und Messgeräte verwendet und außerdem redeten wir hier von absicherung der Hardware. Wenn man das Thema Sicherheit ernst nimmt dann hat man auch solche Prüfmethoden und versteht wie man sie anwendet, ggf. könnte man direkt einmal im Jahr zu einem Hersteller oder Behörde/Prüfstelle fahren um irgendeine Form von abgleich oder Verifizierung vorzunehmen bzw. sich nen Codezettel zu besorgen mit der/dem man dann bis ins nächste Jahr durchkommt. Im nächsten Jahr nimmste dann alles was du seit dem heruntergeladen/gekauft hast mit und lässt es dort untersuchen(gegen nen entgelt versteht sich) und nimmst dir wieder ne neue Version oder Schlüssel zum Verifizieren mit. Muss ich's jetzt noch ganz detailiert beschreiben für die ganz doofen? (ist fast schon ne beleidigung aber es nervt )

[eggy]

Ja bitte.
Ich sag nur Halteproblem.
Hardwareverifikation ist etwa in der gleichen Liga.

[deberik]

Die Frage ist wirklich wem du vertraust: Vertraust du dem Staat und dessen Prüfstellen? Oder irgenwelchen anderen Prüfstellen/Behören? Verwenden die sichere Software/Hardware?

Wenn du gezielt überwacht wirst, dann ist eine Debian-CD das geringste Problem. Wenn du denkst, dass theoretisch Software für alle manipuliert wird, dann bringt dir eine sichere CD auch nichts. Denn selbst wenn die CD zu 100% sicher ist, ist es die Software darauf noch lange nicht.

Über die Sicherheit von Prüfsummen (die ich empfehlen würde) hat Cae schon etwas geschrieben (siehe viewtopic.php?f=37&t=152675&start=15#p1016388). Was ist dir an dieser Methode nicht sicher genug?

[scientific]

Ich bin raus hier.

[Saxman]

Und schonwieder ein Sinnfreier Kommentar von einem Klugsch*****, mir fällt jetzt kein anderes Wort ein aber als Beleidigung ist es nicht gemeint

Meine Anmerkungen weiter Oben gelten im Übrigen auch für dich. Wenn du hier postest, solltest du dich anständig verhalten. Hinter Sternchen versteckte Beleidigungen bleiben Beleidigungen. Auch wenn du neu in unserem Forum bist, musst du dich an unsere Regeln halten. Weil du neu bist, nimm das zuerstmal als freundlichen Hinweis auf. Dein Neulingsbonus ist jetzt aber aufgebraucht. Lies bitte unsere Verhaltensregeln. Beim nächsten Mal werde ich nicht mehr so nachsichtig sein.

[Yphs]

Das Wort ist eine Beleidigung, richtig. Ich schrieb auch das ich kein anderes Wort als dieses weis das etwas ähnliches bedeutet weswegen ich sagte das es nicht als Beleidigung gemeint ist, bitte entschuldige.

Dieser Thread kann von mir aus noch weiter gehen aber ich lese hier ebenfalls nicht weiter, kommt nichts mehr sinnvolles dabei raus.

Und ein danke an die Vorposter, fand die Kommentare bis auf den Sinnfreien Teil sehr hilfreich.

[spiralnebelverdreher]

Die Frage ist wirklich wem du vertraust: Vertraust du dem Staat und dessen Prüfstellen? Oder irgenwelchen anderen Prüfstellen/Behören? Verwenden die sichere Software/Hardware?

Wenn du gezielt überwacht wirst, dann ist eine Debian-CD das geringste Problem. Wenn du denkst, dass theoretisch Software für alle manipuliert wird, dann bringt dir eine sichere CD auch nichts. Denn selbst wenn die CD zu 100% sicher ist, ist es die Software darauf noch lange nicht.

Über die Sicherheit von Prüfsummen (die ich empfehlen würde) hat Cae schon etwas geschrieben (siehe viewtopic.php?f=37&t=152675&start=15#p1016388). Was ist dir an dieser Methode nicht sicher genug?

Sehe ich auch so und verstehe nicht, was genau der Thread-Owner daran auszusetzen hat.
Habe noch mal beim amerikanischen Normungsinstitut NIST nachgeschaut, was die in ihren IT-Standards dazu empfehlen. Und das entspricht der bei debian praktizierte Vorgehensweise, sich mittels Hashsummen zu vergewissern. dass auf dem Weg vom Quellserver zum Medium nichts verändert wurde und weiterhin mittels der Signaturen nachzuprüfen, dass der Quellserver authentifizierten Inhalt enthält.

[scientific]

Die Frage ist wirklich wem du vertraust: Vertraust du dem Staat und dessen Prüfstellen? Oder irgenwelchen anderen Prüfstellen/Behören? Verwenden die sichere Software/Hardware?

Wenn du gezielt überwacht wirst, dann ist eine Debian-CD das geringste Problem. Wenn du denkst, dass theoretisch Software für alle manipuliert wird, dann bringt dir eine sichere CD auch nichts. Denn selbst wenn die CD zu 100% sicher ist, ist es die Software darauf noch lange nicht.

Über die Sicherheit von Prüfsummen (die ich empfehlen würde) hat Cae schon etwas geschrieben (siehe viewtopic.php?f=37&t=152675&start=15#p1016388). Was ist dir an dieser Methode nicht sicher genug?

Sehe ich auch so und verstehe nicht, was genau der Thread-Owner daran auszusetzen hat.
Habe noch mal beim amerikanischen Normungsinstitut NIST nachgeschaut, was die in ihren IT-Standards dazu empfehlen. Und das entspricht der bei debian praktizierte Vorgehensweise, sich mittels Hashsummen zu vergewissern. dass auf dem Weg vom Quellserver zum Medium nichts verändert wurde und weiterhin mittels der Signaturen nachzuprüfen, dass der Quellserver authentifizierten Inhalt enthält.

Auf die Gefahr hinauf, mich unbeliebt zu machen... Wenn man wo ein Problem sehen möchte, ist es für den menschlichen Verstand ein Leichtes, sich eines zu konstruieren und das dann sogar noch zu glauben.

Mein Eindruck bzgl. dieses Threads ist, dass der Threadersteller einfach nur einen <°))))><( möchte.
Ich verstehe seine Bedenken sehr wohl. Denn gerade im Zusammenhang mit den Offenlegungen durch die NSA-Affäre und dem Wissen und Vermuten, was sonst noch so alles hinter verschlossenen Türen abgeht, ist Vorsicht durchaus sehr angebracht. Paranoia ist aber noch nie ein guter Ratgeber gewesen. Angst im übrigen auch nicht. Und ich kann mich des Eindrucks nicht erwehren, dass der TE voll von beidenm ist.

Gerade das Einleitungspost, dass er gerne eine Debian-CD von einem vertrauenswürdigen Händler "kaufen" will, weil ihm die Downloads mit Prüfsumme und Zertifikat zu unsicher erscheinen zeigt zumindest mir, dass der TE offenbar wenig Gedanken darauf verschwendet hat, darüber nachzudenken, wie denn ein "vertrauenswürdiger" Händler an seine Images kommt. Wie er dann weiter reagiert hat, legt zumindest mir offen, dass er lieber einen <°))))><( möchte, als sich mit den Gegebenheiten auseinanderzusetzen.

Und er war der Einzige, der Schimpfwörter verwendete und auch so meinte.

lg scientific

[Saxman]

Da der Threadersteller bereits erklärt hat, dass dieses Thema für Ihn abgeschlossen ist, ist hier Schluss.