Warum Sie Linux-Kernel-Updates automatisieren sollten

Software ist komplex und verändert sich ständig. Bugs sind unvermeidlich. Vor dem Internetzeitalter waren Bugs lediglich Fehler, die es zu beheben galt. Jetzt sind sie eine Chance, eine der Möglichkeiten für Hacker, sich unbefugt Zugang zu Systemen zu verschaffen. Die Cybersicherheitsbranche lebt von dieser Bedrohung. Ihre Produkte "verteidigen" und "schützen", können aber eine einfache Sicherheitslücke nicht schließen: die Ausnutzung von Schwachstellen, die in veralteten und nicht gepatchten Betriebssystemen und Anwendungen bestehen.

Dieser Artikel beschreibt die Hintergründe dieses Problems und gibt Tipps, wie man es mit unbeaufsichtigten Update-Paketen für Ubuntu, Red Hat und Fedora und Live-Patching-Lösungen von KernelCare, Kgraft, Ksplice und Livepatch beheben kann.

Veränderung auf Steroiden

In der Softwareentwicklung herrscht eine stille Krise.

Für Programmierer war es noch nie so gut wie heute. Ihre Arbeit berührt so viele Menschen in fast allen Bereichen des Lebens. Die Chancen für Entwickler sind enorm, und die Möglichkeiten für uns, die Nutzer, sind verblüffend.

Paradoxerweise war es für Programmierer noch nie so schwer wie heute. Der Druck auf sie, neue Dinge zu lernen und zu entwickeln, war noch nie so groß. Lange bevor sie auch nur eine einzige Codezeile schreiben, verbringen sie Stunden damit, Sprachen zu lesen und zu lernen, sie lesen sie erneut und lernen sie neu, wenn sich APIs und Verhaltensweisen ändern. Sprachen haben sogar ihre eigene monatliche "Hitparade" (www.tiobe.com), und Programmierer, die sich bei Tech-Giganten bewerben, müssen mindestens sechs Sprachen in ihrem Lebenslauf haben, um eine Chance auf ein Vorstellungsgespräch zu haben. Vorbei sind die Zeiten, in denen man mit einem abgewetzten K&R und einem fotokopierten SQL-Spickzettel einen Job bekam.

Keine Helden mehr, mehr

Und es gibt keine Helden mehr. Jetzt arbeiten sie alle in Teams und bauen auf der Arbeit von Teams auf. Ihre Mitglieder sind weit verstreut und flexibel, vernetzt und eifrig, aber nur wenige von ihnen treffen sich jemals persönlich. Von ihnen fließt der Code kaskadenartig in andere Teams, die ihn testen und erweitern und ihr Bestes tun, um ihn zu verbessern.

Das alles braucht Zeit, aber es gibt keine Zeit, denn Sie und ich warten auf das neue Material, die nächste Iteration, das letzte Update. Wir bekommen es als Code, der zu einem großen Ball aus konzentrierter menschlicher Anstrengung, einer Veröffentlichung, zusammengewachsen ist. Es ist das Produkt vieler Menschen, die Code in vielen Sprachen schreiben. Es ist Veränderung auf Steroiden, und der Preis dafür ist Fortschritt.

Lesen Sie weiter: Einhaltung von Vorschriften durch schnelleres Patch-Management

Das Gute, das Schlechte und das Kuschelige

Wie Software-Komplexität zum Risiko wird.

Zunächst einmal sollten wir uns darauf einigen, dass Fortschritt gut ist. Wenn also Fortschritt gut ist, dann ist auch Veränderung gut. Aber Veränderung bedeutet Risiko, und das ist nicht gut, denn Code, der sich ständig ändert, birgt ein größeres Risiko von Fehlern. Vor dem Zeitalter des Internets waren Fehler einfach nur Fehler. Auch wenn in unbeabsichtigten und unentdeckten Fehlern Risiken lauerten, gab es eine Grenze für ihren Umfang und ihre Auswirkungen. Im Zeitalter des Internets gelten diese Grenzen nicht mehr.

Mit der explosionsartigen Zunahme der Interkonnektivität zwischen Anwendungen sind Fehler nicht mehr nur lästig. Sie sind zu einer Chance für eine Spezies von Programmierern geworden, deren Talent dem der Programmierer entspricht. Das sind Programmierer, die versuchen, den Code zu knacken. Sie haben verschiedene Namen und arbeiten auf verschiedene Ziele hin. Der beliebteste Name ist Hacker, und ihre Ziele sind vielfältig.

Ich sehe drei Arten von Hackern: die Guten, die Bösen und die Kuscheligen. Die Guten sind die aktive Forschungsgemeinschaft, die ständig neue und alte Software auf der Suche nach Schwachstellen untersucht. Die Knuddeligen tun es aus Spaß und Nervenkitzel, aus Reputation und Bildung. Die Bösen tun es aus all diesen Gründen, vor allem aber wegen des Geldes oder dessen Äquivalent, den Daten.

Der blinde Fleck der Cybersicherheit

Veraltete Software ist ein Schlupfloch für die Cybersicherheit.

Die Cybersicherheit ist ein großer und wachsender Sektor. Es gibt eine Fülle von Produkten, die alle bis zu einem gewissen Grad dazu beitragen, Computersysteme vor illegaler Infiltration und Ausbeutung zu schützen. Diese Produkte verfügen über Malware- und Virenscanner, Firewalls verschiedener Art, Login-Checker, Passwort-Checker und Data-Sniffer, also über verschiedene Komponenten, die jeweils gegen eine andere Angriffsmethode oder einen anderen Angriffsvektor schützen sollen.

Aber sie haben einen blinden Fleck. Selbst das ausgefeilteste Sicherheitsprodukt kann ein veraltetes System nicht vollständig schützen. Es sollte einfach sein, Software immer auf dem neuesten Stand zu halten, aber wir tun es nicht. Das zeigt sich an den zahlreichen Vorfällen, bei denen Systeme durch Schwachstellen in veralteter Software kompromittiert wurden.

Fragen wir uns also: "Warum werden Systeme veraltet?"

Die naheliegendste Antwort ist, dass wir sie gewähren lassen. Es kostet Zeit und Mühe, Systeme zu installieren und zu aktualisieren. Wir müssen Ausfallzeiten einplanen, uns anmelden, Befehle ausführen oder eine grafische Benutzeroberfläche verwenden. Das ist fummelig und langweilig. Möglicherweise müssen wir dies viele Male pro Jahr auf Dutzenden oder sogar Hunderten von Servern wiederholen.

Mit Tools für die Verwaltung der Serverkonfiguration ist diese Aufgabe einfacher. Auf diese Weise werden alle Server zur gleichen Zeit aktualisiert. Aber die guten kosten Geld, und die kostenlosen sind zeitaufwändig zu erlernen - nur wenige von uns können sich beides leisten. Wir können Skripte erstellen, aber dazu braucht man Programmierkenntnisse, die einige von uns nicht haben.

Die Linux-Perspektive

Linux kann sich nicht selbst aktualisieren, wie es andere Betriebssysteme können.

Bis jetzt gilt alles, was ich gesagt habe, für die meisten modernen, gängigen, nicht mobilen Computerplattformen. Ich möchte mich nun auf eine Untergruppe von ihnen konzentrieren, die Gemeinschaft der Linux-Server. Linux hat sich anders entwickelt als andere Betriebssysteme. Es begann als Hobby, aufbauend auf MINIX. Es wuchs durch die Bemühungen der Gemeinschaft, meist nicht kommerziell. Mit der zunehmenden Anzahl aktiver Linux-Plattformen wuchs auch die Attraktivität für die Hacker-Gemeinschaft. Ein weiterer Anreiz war die Beliebtheit von Linux als billige und flexible Hosting-Plattform. Hacker lieben diese: Auf einem einzigen Server werden oft Hunderte von Websites gehostet, und eine gehackte Site kann zu einem Gateway für andere Sites auf demselben Server werden.

Linux verfügt über ein großes Reservoir an freier und gut unterstützter Software und eine Fülle aktiver Distributionen- das sind die Vorteile der Open-Source-Community-Entwicklung. Der Nachteil ist, dass sich die Funktionen nur langsam weiterentwickeln, möglicherweise aufgrund des Phänomens der Entwurf durch einen Ausschussmöglicherweise, weil die meisten Entwickler umsonst arbeiten.

Zum Beispiel fehlt Linux immer noch ein vollständig integriertes, automatisches, sich selbst aktualisierendes Software-Verwaltungstool, obwohl es Möglichkeiten dazu gibt, von denen wir einige später sehen werden. Selbst damit kann der Kernel des Kernsystems nicht automatisch ohne Neustart aktualisiert werden.

Und hier sehen wir einen weiteren Grund, warum Systeme so leicht veraltet sind: der Drang, Ausfallzeiten zu vermeiden. Serveradministratoren entscheiden möglicherweise, dass ihre aktiven Benutzer und kritischen Anwendungen Vorrang haben und schieben die Installation von Patches, die einen Neustart des Systems erfordern, auf.

Das Geflüster eines Paranoikers

Aber von allen Gründen gibt es einen, den Systemadministratoren lieber nicht laut aussprechen. Es ist die Angst, dass der Server nicht mehr hochfährt, dass ein Patch etwas kaputt macht. Das wird nicht immer zugegeben, denn es hat den Beigeschmack von Paranoia und ist unmöglich zu beweisen.

Meiner Meinung nach ist dies eine berechtigte Sorge. Ein Kernel-Patch ist schließlich eine Änderung am Kern des Betriebssystems. Es gibt schlecht geschriebene Patches, und es ist nicht ungewöhnlich, dass Patches ein System beschädigen oder subtil verändern. Ob es sich nun um eine Änderung der Leistung oder der Funktionalität handelt, für die meisten Manager, die sich um die laufenden Systeme kümmern, ist beides nicht akzeptabel.

Schließen der Linux-Sicherheitslücke

Die Sicherheit wird durch die Automatisierung von Linux-Updates verbessert.

Sie können Linux-Anwendungen und -Kernel selbst automatisch aktualisieren, indem Sie ein Zeitplanungsprogramm, wie cronmit dem Paketbetreuer Ihrer Plattform, z. B. yum, apt, oder dnf. Einige Linux-Anbieter haben dies getan, indem sie Pakete erstellt haben, die unbeaufsichtigtes Aktualisieren für Sie. Und wie bei allem in Linux macht es jede Variante anders.

• Debian und Ubuntu haben die unattended-upgrades Paket.
• Fedora hat dnf-automatic für automatische Updates.
• Red Hat bietet yum-cron an (nur über den Supplementary Channel erhältlich, d.h. gegen Gebühr).

Jeder, der diese Geräte benutzt, ohne die Einstellungen zu ändern, wird wahrscheinlich irgendwann einen Schock wie diesen bekommen:

The computer needs to restart to finish installing updates.

Denn im Gegensatz zu Anwendungen können Sie bei unbeaufsichtigten Updates keine Kernel-Updates ohne Neustart installieren.

Und dann ist da noch die Sicherheitslücke. Niemand möchte will willkürlich Server neu starten, die gerade in Betrieb sind. Aus diesem Grund werden Kernel bei unbeaufsichtigten Aktualisierungskonfigurationen in der Regel ausgeschlossen. Aber veraltete Kernel sind angreifbar, und angreifbare Kernel sind anfällig für Angriffe.

Verwandter Beitrag: 5 schlechte Gründe, Ihren Kernel zu aktualisieren

Fehlende Verbindungen und Lücken

Die Antwort auf dieses Dilemma ist Live-Patching. Es ist eine Möglichkeit, den Kernel auf dem neuesten Stand der Sicherheits-Patches zu halten, ohne dass ein Neustart erforderlich ist oder Ausfallzeiten in Kauf genommen werden müssen. Es ist das fehlende Glied in der Strategie zur vollständigen Automatisierung der Aktualisierung Ihres Linux-Systems.

Wie bei der unbeaufsichtigten Aktualisierung geht jeder Linux-Anbieter mit Live-Patching anders um. Außerdem ist es nicht einfach, es kostenlos zu machen; Live-Patching wurde zu nützlich, um eine Kommerzialisierung zu vermeiden.

Für Ubuntu installiert der Canonical Livepatch Service Sicherheits-Patches für den Linux-Kernel ohne Neustart. Red Hat brachte Kpatch und SUSE Kgraft auf den Markt, beide für den gleichen Zweck. Die beiden Anbieter wurden erst aktiv, als Oracle Ksplice kaufte, nur um dann die Unterstützung für alles außer ihren eigenen Varianten zurückzuziehen. Ein unwahrscheinlicher Retter tauchte 2014 auf, als KernelCare auf den Markt kam und alle großen Anbieter und Kernel ab 2.6.18 unterstützte.

Erhalten Sie eine KOSTENLOSE 7-Tage-Testversion von KernelCare 

Schlussfolgerung

Automatisieren Sie Ihre Linux-Updates aus Gründen der Sicherheit, nicht der Bequemlichkeit.

Die Art und Weise, wie Linux entwickelt wird, ist sowohl ein Vorteil als auch ein Nachteil. Keine noch so große Sorge um die Cybersicherheit kann das Problem der ungepatchten Sicherheitslücken lösen.

Es gibt zwar Lösungen für die automatische Aktualisierung von Anwendungen, aber der Kernel bleibt die Schwachstelle - eine Aktualisierung bedeutet fast immer einen Neustart.

Live-Patching füllt die Lücke in den Strategien zur automatischen Aktualisierung. Sie sollten es als wesentlichen Bestandteil Ihrer Linux-Server-Sicherheitsstrategie betrachten, nicht nur als Bequemlichkeit.