Mehr Sicherheit für Linux (Fortsetzung)

Alternative AppArmor
Der amerikanische Softwarehersteller Novell, der inzwischen ja die aus Deutschland stammende Linux-Distribution von Suse unter seinen Fittichen hat, adressiert die Sicherheitsprobleme des quelloffenen Betriebssystems ebenfalls und bietet mit AppArmor seit kurzem eine Alternative zu SELinux. App-Armor kommt von dem im Mai über-nommenen,auf Linux-Sicherheit spezialisierten Unternehmen Immunix und beruht auf dem LSM-Standard des Linux-Kernels, mit dem auch SELinux arbeitet. Novell hebt hervor, dass sich AppArmor durch seine besonders einfache Konfiguration auszeichne. Roman Drahtmüller, Security Architect bei Novell,erklärt:»Auch weniger erfahrene Systemadministratoren können AppArmor konfigurieren. Application Containment kommt dem Prinzip,Applikationen mit möglichst geringen Rechten auszuführen, am nächsten, ohne durch zu große Komplexität die Sicherheit schon im Konzept zu gefährden.« Application Containment schränkt ein Programm auf Ressourcen des Betriebssystems ein, die es zur Ausführung seiner Aufgaben braucht,und verwehrt diesem Programm den Zugriff auf andere Betriebsmittel. Die dazu notwendige Erstellung eines Profils ist Drahtmüller zufolge durch AppArmor mit übersichtlichen Mitteln und zum Teil automatisch möglich. Auch das Einspielen von Security Patches, die neu entdeckte Schwachstellen beheben, werde durch die Novell-Software für die Unternehmen zu einer planbaren Aktivität,»ohne Zeitdruck im Rücken«.
Daniel Riek, hierzulande Solution Architect bei Red Hat, hält dagegen: »Mit SELinux sind neben dem Strict-Policy-Modus für alle Betriebssystemkomponenten wie mit AppArmor Target Policies, dort Application Containment genannt, für ausgesuchte Systemprogramme möglich.« Über solche Target Policies kann also auch unter SELinux der Administrationsaufwand heruntergefahren werden. Mit der Novell-Lösung hingegen sei ohne die Unterstützung von Strict Policies eine Einbindung aller Betriebssystemkomponenten unter den Schutzschirm kaum machbar. Rubenschuh von Ernst & Young begrüßt jede Verbesserung der IT-Sicherheit. Er empfiehlt den Sicherheitsverantwortlichen in den Firmen und Behörden, die Vor- und Nachteile von leichter anpassbaren Regeln (wie bei AppArmor) und vorparametrisierten Systemen (wie bei SELinux) abzuwägen: »Im ersten Fall können Anpassungen mit überschaubarem Aufwand durchgeführt werden. Dafür birgt diese höhere Flexibilität Sicherheitsrisiken in sich: Sie kann in der Praxis schnell zu einem unübersichtlichen Zugriffsregelwerk führen.« Im zweiten Fall müssten viele der Einstellungen mit jedem Upgrade erneut eingegeben werden.