Installation Guide for Paranoid Dummies

pietinger · Last edited by pietinger on Sat Nov 25, 2023 10:34 am; edited 25 times in total

Willst Du ein möglichst sicheres Linux-System, auch wenn dies bedeutet auf das letzte Prozent Performance zu verzichten ?
Ist Dir ein sicherer Kernel - und auch ein sicheres Gesamt-System - wichtiger als Komfort, wie z.B. Hibernation, 32-bit-Unterstützung oder eine automatisierte Kernel-Konfiguration ?
Willst Du wissen, was in Deinem Rechner los ist und magst deshalb keine Installations-Skripte, bei denen nicht klar ist, was sie alles tun ?
Bist Du auch ein Fan vom KISS Prinzip ?

Falls Du jetzt denkst: "Eigentlich schon, aber ich bin noch ziemlich neu bei Gentoo und traue mich nicht den Kernel selbst zu konfigurieren", dann könnte dieser Guide genau richtig für Dich sein, denn ich habe ihn zweigeteilt. Im ersten Teil wird erstmal "nur" ein grundsolides Gentoo installiert (jedoch bereits im Hinblick auf Sicherheit). Dieses kann dann auch ohne irgendeine Erweiterung aus dem zweiten Teil benutzt werden.

Falls Du noch zögerst, lies erstmal das Kapitel "Manuelle Konfiguration des Kernels". Wenn Du danach denkst: "Das schaffe ich", dann lies hier weiter.

Falls Du noch zögerst weil Dein Wissen über Netzwerke noch sehr gering ist, dann wirf einen Blick hier hinein: X.1 Netzwerk Kompendium

Der komplette erste Teil orientiert sich strikt nach dem offiziellen Gentoo Handbuch für AMD64:
https://wiki.gentoo.org/wiki/Handbook:AMD64
Ich habe deshalb für alle Schritte einen Link zur jeweiligen Seite beigefügt, so dass Du dort überprüfen kannst, wo ich abweiche und warum. Bitte lese diese auch, da dieser Guide das Handbuch nur ergänzt und nicht ersetzen soll und will. Zusätzlich habe ich so ziemlich alles verlinkt, was ich selbst verwendet habe ... also das halbe Gentoo Wiki, einige Forums-Beiträge und etliche externe Seiten.

Im zweiten Teil werde ich schrittweise zusätzliche Sicherheit bauen, wie z.B. Firewall oder SecureBoot. Im Gegensatz zu den Teilen von (A) sind diese jedoch unabhängig voneinander und können wahlweise eingesetzt werden. Alte Gentoo-Hasen dürften sich daher nur für diese interessieren, sollten aber doch wenigstens kurz den ersten Teil lesen, damit sie wissen, worauf ich im zweiten Teil aufsetze.

Aufteilung / Inhalt:
A) Grund-Installation - "the dummy part" (komplett)
1. Tips und Beginn der Installation
2. Manuelle Konfiguration des Kernels I.
3. Ende der Installation bis zur Installation von KDE (Plasma) und Backup
4. Sicherheit
B) Zusätzliche Sicherheit - "the paranoid part" (wahlweise)
1. Firewall und Proxy-Server (iptables / privoxy)
2. Manuelle Konfiguration des Kernels II.
3. Umstellung auf SecureBoot
4. Verschlüsselung der Festplatte
5. Privacy mit Falkon ("sandbox")
6. Privacy mit unbound / DNS over TLS

Voraussetzungen:
- Ein neuer PC, oder ein älterer PC mit leerer Festplatte, oder ein älterer mit einer Festplatte die gelöscht werden darf (weil die Daten unwichtig sind, oder gesichert wurden) :-)

- Du brauchst einen zusätzlichen PC mit Internet-Anbindung und Browser (darf auch ein Windows-Rechner sein), schon allein auch deswegen, damit Du Dir die CD zum booten brennen kannst. Falls Du keinen hast, frage einen Freund. Ohne ist es zwar nicht unmöglich, aber doch schon sehr mühselig (Du müsstest sehr viel vorher ausdrucken).
- Stift und Papier (... viel Papier).
- Du solltest wissen, welche Komponenten in Deinem neuen Rechner stecken (zumindest grob).
- Für Teil B.4 zwei USB-Sticks, wenn Du die alte dmcrypt-Methode verwendest; nicht wenn Du die neue fscrypt-Methode verwenden willst.
- THINK ! (tm) by IBM. Wenn Du von Teilen der Installation abweichen willst - oder musst, weil Du z.B. einen AMD Prozessor hast - werde ich nicht jede mögliche Konstellation beschreiben; die Links sollten Dir aber weiterhelfen. Übernimm nicht blind jeden Befehl - überlege was der Befehl macht. Wenn Du eine Zeile wie z.B. diese "# ln -s net.lo net.enpXXXXXX" findest, kannst Du Dir sicher sein, dass dieser Befehl von Dir noch angepasst werden muss (auf den Namen Deiner Ethernet-Schnittstelle). Und natürlich darf der Name Deines PC nicht "hal" sein; so heißt ja schon meiner ... (joke ... ok poor joke).

Diese Anleitung erstellt folgende System-Konfiguration und wurde so auf diesem Notebook installiert:

pietinger · Last edited by pietinger on Tue Jan 24, 2023 9:59 am; edited 8 times in total

Installation Guide for Paranoid Experts

In diesem und dem folgendem Artikel bauen wir IMA und AppArmor. Falls Dir DAC und MAC unbekannt sind, lese das Kapitel "Zugriffsklassen" in https://de.wikipedia.org/wiki/Zugriffsrecht

Danach empfehle ich diesen englischen Vortrag: "Overview of the Linux Kernel Security Subsystem" https://www.youtube.com/watch?v=L7KHvKRfTzc

Eine weitere schöne Übersicht der verschiedenen LSM bietet:
https://www.starlab.io/blog/a-brief-tour-of-linux-security-modules

Die Unterschiede der vier Module, die MAC bieten (SELinux, AppArmor, SMACK und Tomoyo) ist auf den Seiten 6 und 7 dieses PDFs dargestellt:
http://osdn.jp/projects/tomoyo/docs/PacSec2007-en-no-demo.pdf

Nachdem Du nun die Teile B.1, B.2 und B.3 (und B.4 für Dein Notebook) gemacht hast, und insbesondere auch A.4 und B.4 gelesen hast, fragst Du Dich möglicherweise wie sicher Du jetzt bist. Sollte man nicht noch ein RAID-1 installieren ? Was ist mit SELinux oder AppArmor ? Warum haben wir kein IMA und EVM installiert ? Warum nutzen wir kein TPM, obwohl vorhanden ? Benötigen wir nicht noch den Kernel Lockdown ?

Tatsächlich bist Du jetzt nur zu einem gewissen Teil geschützt. Du könntest Dir immer noch ein böses mp4-Video einfangen, welches einen unbekannten Bug in VLC ausnutzt um unerwünschte Dinge zu tun ... Das werden wir nun schrittweise auch ausschalten (soweit möglich). Zuerst aber noch eine Übersicht, wovor wir geschützt sind und was noch fehlt - was möglich ist und was nicht. Damit das nicht zu trocken wird, soll ein bischen Humor nicht fehlen - obwohl der erste Punkt durchaus der Realität entspricht. Ich fange deshalb mit dem Super-GAU an:

1. Schutz vor Geheimdiensten

Unwirksam: a) Festplattenvollverschlüsselung mit externen USB-Stick, und/oder b) SecureBoot mit IMA/EVM mit TPM, und/oder c) Einsatz von Wechselplatte(-n)
Grund: a) Kein Schutz gegen den Einbau von Hardware-Keyloggern, und b) Kein Schutz gegen Deine Festnahme (Zugriff) in dem Moment als Du Dich gerade angemeldet hast und Dein /home nun unverschlüsselt ist und Du den Stick nicht mehr schnell genug vernichten kannst
Wirksam: a) Leg Dich nicht mit Geheimdiensten an, oder b) Wandere nach Rußland aus ...

Edit 2022-10-16: Falls Du beim Stichwort "Rußland" an den derzeitgen Krieg denkst, hast Du leider das Stichwort "Auswandern" überlesen ... denn dies war damals - und ist es auch heute noch - eine Anspielung auf: https://de.wikipedia.org/wiki/Edward_Snowden#Flucht !!!

2. Schutz vor Zerstörung oder Löschung Deiner Daten

Unwirksam: Ein "total" abgesicherter Computer mit RAID-1 in einem Bunker
Grund: a) Erdbeben, Feuersbrunst und Atomschlag, oder b) Trojaner der alle Sicherheitstechniken überwunden hat - weil es nunmal keine "total" abgesicherten Computer gibt - und nun alle Deine Dateien auf Deinem RAID-1 verschlüsselt hat
Wirksam: Einzig BACKUPs an einem anderen Ort - und sonst nichts !! (Wenn Du meinst ein RAID wäre ein Ersatz für Backups lies diesen kurzen Post: https://forums.gentoo.org/viewtopic-t-1142412-highlight-.html )

3. Schutz vor Offline-Attacken (offline tampering)

3.1. ... mit der Möglichkeit die Festplatte(-n) (unbemerkt) auszubauen

Unwirksam: Verschlüsseltes home und SecureBoot
Grund: Die ausgebaute Platte wird gemountet und es wird Dir ein Software-Keylogger und/oder eine komplette Suite installiert (wobei hier schon Experten-Wissen benötigt wird um auch Deine Firewall zu umgehen)
Wirksam: a) Festplattenvollverschlüsselung mit externen USB-Stick (sofern kein Zugriff auf diesen möglich ist), oder b) SecureBoot mit IMA/EVM mit TPM, oder c) Einsatz von Wechselplatte(-n)( sofern kein Zugriff auf diese(-n) möglich ist)

Benötigt für: Unbeaufsichtigte (ungesicherte) Server und Workstation, unbeaufsichtigte Notebooks die nach der Attacke weiter von Dir benutzt werden
Nicht benötigt für: a) Räumlich gesicherte Computer, oder b) gestohlene oder verloren gegangene Notebooks, die Du nie wieder siehst (hier genügt Dir B.4 komplett; B.3 ist nice-to-have)

3.2. ... ohne der Möglichkeit die Festplatte(-n) (unbemerkt) auszubauen

3.2.1 ... mit genügend Zeit um das BIOS zu resetten (Aufschrauben des Computers und Ausbau der Batterie vom Mainboard)

Unwirksam: a) BIOS-Bootpasswort, oder b) Verschlüsseltes home und SecureBoot mit unaufmerksamen User
Grund: Nach dem Ausschalten von SecureBoot im BIOS wird ein modifiziertes Linux gebootet und gewisse Programme in root angepasst ...
Wirksam: a) Verschlüsseltes home und SecureBoot + User startet den Computer nach jedem Verlassen neu und prüft, ob das BIOS einen SecureBoot meldet (was dann nämlich nicht mehr der Fall sein wird, da die Schlüssel im UEFI gelöscht wurden), oder b) Verschlüsseltes home und BIOS-Bootpasswort + User startet den Computer nach jedem Verlassen neu und prüft, ob das BIOS noch ein Bootpasswort benötigt.

3.2.2 ... ohne Zeit das BIOS zu resetten

Wirksam: a) SecureBoot, oder b) BIOS-Bootpasswort (nicht zu verwecheln mit dem BIOS-Passwort um IN DAS BIOS zu kommen; Unterscheidung ist meistens: USER / ADMIN)

4. Schutz vor Online-Attacken

Unwirksam: Windows 10, Linux mit Full Disk Encryption
Besser: Linux mit gehärtetem Kernel
Noch besser: Linux mit gehärtetem Kernel, ordentlicher Firewall, Integritätsmanagement und Einsatz von Mandatory Access Control (MAC), z.B. SELinux oder AppArmor. Siehe auch: https://de.wikipedia.org/wiki/Zugriffsrecht
Am besten: Linux mit gehärtetem Kernel, ordentlicher Firewall, Integritätsmanagement und Einsatz von Mandatory Access Control (MAC) und ein intelligenter Benutzer ... :-)

IMA (Integrity Measurement Architecture)

Wenn wir uns nun ansehen was wir bis jetzt erreicht haben, stellen wir fest, dass unser Schutz vor Online-Attacken noch sehr spärlich ist. Wir benötigen mindestens noch zwei Dinge: Integritätsmanagement und SELinux oder AppArmor. Letzteres ist nicht so dringend, wenn wir wenigstens unseren Browser in einer Sandbox laufen lassen. Das bedeutet wir werden als erstes ein Integritätsmanagement bauen. Dieses nutzen wir aber "nur" als Schutz vor Online-Angriffe und nicht als Schutz vor Offline Tampering. Es gibt zwar schon Lösungen hierfür (AIDE, tripwire), aber wenn der Kernel uns das bereits eingebaut bietet, sollte dies die eleganteste Lösung sein. Wir bauen daher als erstes IMA im Kernel.

Lies bitte alle 4 Teile bevor Du anfängst, da diese aufeinander aufbauen - auch C.1 (selbst wenn Du meinst, C.1 mache ich nicht und brauche ich nicht). Aber in C.1. erkläre ich was ich meine mit einer "Überprüfung" mittels "dmesg | grep command" ...

Aufteilung / Inhalt:
C) IMA und/oder Kernel Lockdown (linear)
1. Rescue Boot von USB-Stick (evtl. IMA Measure)
2. Kernel Konfiguration III für Lockdown und IMA
3. Konfiguration IMA und Aktivierung Appraise
4. IMA und Portage (update mit emerge -u @world)
Neu:
5. Umstellung auf Signed IMA
Auch Neu:
6 Embedded Initramfs für signed IMA

.

pietinger · Last edited by pietinger on Sun Mar 13, 2022 6:53 am; edited 2 times in total

AppArmor

Braucht man das wirklich, und wenn ja, warum gerade AppArmor ?

Ich sage, Ja. Und ich habe mich für AppArmor aus mehreren Gründen entschieden:

1. Ich bin der Meinung, dass SELinux zwar sehr mächtig ist, aber auch zu komplex, und für einen Desktop oder ein Notebook eigentlich einen Overkill darstellt. Ich kenne einige RedHat-User die nach einer Neu-Installation als erstes SELinux deaktivieren ... Toll, was ?! Für einen Server würde ich es unbedingt empfehlen - aber das machen wir hier nicht.

2. Die Installation von SELinux, AppArmor, Smack oder Tomoyo ist ähnlich einfach: Einfach in der Kernel Konfig ein paar Optionen enabeln und ein paar Packages emergen. Das ist einfach - das Problem sind die Profile. Mach doch mal eine Suche mit "emerge -s selinux" und dann "emerge -s apparmor".

3. Ich habe den Anspruch komplett verstehen zu wollen, was das LSM macht und wie es funktioniert und wirkt, damit ich beurteilen kann wovor es schützt. Das konnte ich bei AA erreichen, während ... Außerdem haben wir für SELinux eh' unser Gentoo Hardened Team.

4. Es gibt auf jeden Desktop Programme die gefährdet sind einer Online-Attacke zum Opfer zu fallen - aber auch viele die gar nicht geschützt werden müssen. Jedes Programm welches externe Daten bearbeitet, könnte kompromittiert werden. Mein "kcalc" (Taschenrechner aus KDE) sicher nicht, da dieser weder mit dem Internet spricht, noch gefährliche Dateien öffnet. Ein Pfad-basierendes LSM ist daher m.M. passender.

Warum brauche ich MAC ?

(https://de.wikipedia.org/wiki/Zugriffsrecht -> https://de.wikipedia.org/wiki/Mandatory_Access_Control)

Es gab mal eine Zeit, da war der Mensch an der Tastatur handelndes Subjekt und alle Dateien und Programme passive Objekte. Da sich viele Menschen einen von drei weltweit existierenden Großrechnern teilten, mussten natürlich Berechtigungen vergeben werden, denn es könnte ja sein, dass jemand auf die Dateien eines anderen zugreifen will. Programme jedoch machen immer nur das, was sie sollen; und falls doch ein Bug im Programm sein sollte wird es nur abstürzen - sonst hat es keine Auswirkungen. Erst viel später (ich glaube so um 1980) erkannte man, dass "böse" Menschen auch "böse" Programme schreiben können. Und dass Programmfehler ausgenutzt werden können, um ein Programm zu veranlassen etwas anderes zu tun als eigentlich ursprünglich programmiert. So gesehen sitzen an Deiner Tastatur eigentlich zwei Subjekte: Du und das gerade benutzte Programm. Historisch bedingt nutzt Linux jedoch das gleiche wie Unix: DAC (https://de.wikipedia.org/wiki/Discretionary_Access_Control). Der Mensch vererbt seine Rechte komplett an das gerade gestartete Programm.

Natürlich will ich - der Mensch - das ganze Internet besuchen und auf alle meine Daten in meinem /home zugreifen. Das soll aber nicht für die von mir genutzten Programme gelten. Ein "vlc" soll mir eine Video-Datei decodieren und anzeigen, hat aber nichts im Internet verloren. Ein "falkon" (KDE-Webbrowser) darf zwar ins Internet, hat aber nichts in meinem /home zu suchen (außer natürlich für seine eigene Config und im Ordner "Downloads"). Im Normalfall machen die beiden ja auch keinen Unsinn ... zumindest solange bis sie nicht durch einen Bug, ausgenutzt von einem Trojaner in einer mp4-Datei, oder beim Besuch einer bösen Webseite, umprogrammiert werden.

Wie soetwas funktionieren kann will ich Dir am Beispiel von "OpenSMTPD" (ein E-Mailer) zeigen. Der Fehler wurde im Januar 2020 gefunden - war aber seit Mai 2018 da drin ... und wurde auch ausgenutzt ! Ich zitiere mal aus dem CVE:

pietinger · Posted: Tue May 11, 2021 12:54 pm Post subject: Gentoo aktuell halten

Gentoo aktuell halten

... oder: Mein "Big Cheat Sheet" für Updates. Ich habe auf meinen beiden Kisten alles von A.1 bis C. und D. installiert. So sieht mein "all-umfassendes" Cheat Sheet aus:

1. Ich gehe alle zwei bis drei Tage in meine KDE-Konsole, melde mich als "root" an und mache einen "emerge --sync" wie im 4. Post von B.1 beschrieben:

pietinger · Edit 2024-02-08

Portage und Link-Empfehlungen

Portage

Nachdem Du nun Gentoo erfolgreich installiert hast und auch schon ein Update durchgeführt hast, willst Du Dich vielleicht etwas tiefer in Portage einlesen. Hier möchte ich alle wichtigen Links sammeln. Dabei sind auch einige die zwar nichts mit Portage zu tun haben, jedoch anderweitig interessant sind.

Ich habe Dir bereits in A.1 den Link zum CheatSheet gegeben. Zur Sicherheit nochmal: https://wiki.gentoo.org/wiki/Gentoo_Cheat_Sheet

Zuerst solltest Du Dir dann dies ansehen:
https://wiki.gentoo.org/wiki/Portage

Du könntest Dir auch das ansehen, ich will Dich aber nicht erschrecken:
https://wiki.gentoo.org/wiki/Category:Portage

Die Übersicht des Gentoolkits ist nicht so wichtig, da wir hier nur "euse" nutzen und ich "eclean" auch nicht nutze (revdep-rebuild ist ja sowieso deprecated und nicht mehr notwendig):
https://wiki.gentoo.org/wiki/Gentoolkit

Danach die Übersicht aller wichtigen Tools von Portage:
https://wiki.gentoo.org/wiki/Useful_Portage_tools

In dieser Übersicht findest Du insbesondere die Links zu:
https://wiki.gentoo.org/wiki/Eix
https://wiki.gentoo.org/wiki/Equery
https://wiki.gentoo.org/wiki/Eselect
und
https://wiki.gentoo.org/wiki/Q_applets
sowie
https://wiki.gentoo.org/wiki//etc/portage/patches

Ich habe Dir diese gegeben, weil es leider immer wieder mal Verwirrung mit @world und @system gibt. Probiere mal folgende Kommandos:

disquz · n00b Joined: 09 Feb 2019 Posts: 20

Hi,

ich hätte da eine Frage bezüglich multilib...

Ich würde meinen Rechner (nach langer Zeit) gerne mal wieder nach diesem Tutorial einrichten aber ich hätte trotzdem gerne die Möglichkeit multilib (32bit-Programme) zu nutzen.

Gibt es eine Möglichkeit dies trotzdem zu realisieren? Welche Vor- und Nachteile würden dadurch entstehen?

Danke vorab und vielen dank für dieses geniale Tutorial!

Viele Grüße
m41

pietinger · Posted: Sat Feb 10, 2024 4:56 pm Post subject:

Hi disquiz,

erstmal vielen Dank für das Kompliment.

Wenn Du 32bit-Programme benötigst solltest Du wirklich das (derzeit noch) standardmäßige Multilib installieren (irgendwann wird es sicherlich sterben). Vorteil ist klar: Du hast auch 32bit. Ein weiterer Vorteil: Du kannst beim "eselect profile set X" gleich "default/linux/amd64/17.1/desktop/plasma (stable)" setzen und benötigst nicht mehr die Verknüpfung vom Profil "No-Multilib" mit dem Profil "Plasma" (A.3.6)

Es hat m.M. nach jetzt keine "riesigen" Nachteile ... möglicherweise ist so ein System nicht "ganz so sicher" wie ein Kernel ohne 32bit-Unterstützung - aber es gibt eh' keine 100% Sicherheit.

Außerdem werden ein paar (ganz wenige) Pakete zusätzlich installiert. Also nichts was ich als kritisch sehen würde, WENN man 32bit benötigt. Natürlich lässt Du dann auch die 32bit-Unterstützung im Kernel drin (ist ja in der default-config bereits aktiviert) und ansonsten gibt es keine Unterschiede zu dem Guide hier ;-)

_________________
https://wiki.gentoo.org/wiki/User:Pietinger

disquz · n00b Joined: 09 Feb 2019 Posts: 20

Na das ging aber flott...

Alles klar, dann mache ich es so.

Plasma brauche ich eigentlich nicht, da ich den i3-wm als Window Manager nutze...

Vielen Dank nochmal!