Archlinux World Domination Inc.

[demonicmaniac]

Hallo.
Ich dachte ich mache mal einen Thread für alle Archer hier, im Chat war ich ja schon auf einige gestoßen
Wie in Signatur ersichtlich nutze ich Archlinux exklusiv auf allen meinen Thinkpads, was anderes kommt mir nicht mehr ins Haus, weder laptop noch OS-wise

Zeigt euren support, Archlinux World Domination now! ^^

mfg demonicmaniac

 

[Schmitti]

Was sollen diese Optimierungen bringen? Der Wiki-Artikel macht mich irgendwie nicht schlau. :-(

 

[Evilandi666]

So gehts mir auch, der BFS (Brain Fuck Scheduler fehlt) und die Architekturoptimierungen sind eben mit entspr. gcc Flags kompiliert. Aber was das ck patchset (ohne BFS) bringt .. kp?

 

[Schmitti]

Demonicmaniac meinte vorhin im Chat, dass in Verbindung mit Nvidia-Grafik die Kernel zu Paniken neigen. Ich glaube, ich spare mir das Experimentieren.

 

[Evilandi666]

Heute wieder etwas herausgefunden:
Arch nutzt standardmäßig nur md5 Hashes. Keine andere Distro (die relevant ist) macht das, nochmal Debian..
Ich kam eig. durch einen zufälligen Artikel in der C't darauf, und dachte "schauste mal bei Arch". ...
Kann man aber ändern, ist aber irgendwie traurig, dass man nicht standardmäßig sha512 mit k*1000 Runden einsetzt.
https://wiki.archlinux.org/index.php/SHA_password_hashes

 

[kalibari]

Heute wieder etwas herausgefunden:
Arch nutzt standardmäßig nur md5 Hashes. Keine andere Distro (die relevant ist) macht das, nochmal Debian..
Ich kam eig. durch einen zufälligen Artikel in der C't darauf, und dachte "schauste mal bei Arch". ...
Kann man aber ändern, ist aber irgendwie traurig, dass man nicht standardmäßig sha512 mit k*1000 Runden einsetzt.
https://wiki.archlinux.org/index.php/SHA_password_hashes

Find ich jetzt nicht so tragisch. Aber man kann ja auch nicht wirklich Arch mit Debian vergleichen wenn es um Security geht ;-) Arch ist eben eher als Spielwiese gedacht.

 

[buddabrod]

Was bringt das? Wenn jemand die Platte mitnimmt ist der Algorithmus egal. Dann logge ich mich per chroot ein und ändere alle Passwörter. Fertig.

Für Heimcomputer ist das mMn uninteressant.

PS: Fedora und Scientific Linux nutzen sha512.

 

[linrunner]

Wer sagt, daß Arch nur auf Clients zum Einsatz kommt? Es könnte sich trotzdem jemand remote Zugriff auf die /etc/shadow verschaffen. In solch elementaren, leicht zu ändernden Dingen nach dem Stand der Technik unsichere Defaults zu setzen ist einfach schludrig.

 

[buddabrod]

Wer sagt, daß Arch nur auf Clients zum Einsatz kommt? Es könnte sich trotzdem jemand remote Zugriff auf die /etc/shadow verschaffen. In solch elementaren, leicht zu ändernden Dingen nach dem Stand der Technik unsichere Defaults zu setzen ist einfach schludrig.

Wer Arch auf Servern o.ä. einsetzt, sollte sich einer *elementaren* Sache bewusst sein:
Das Arch KISS Prinzip.

Es wird quasi alles auf default gelassen und nichts vorkonfiguriert. Und genau deswegen ist das so

 

[Evilandi666]

Was bringt das? Wenn jemand die Platte mitnimmt ist der Algorithmus egal. Dann logge ich mich per chroot ein und ändere alle Passwörter. Fertig.

Für Heimcomputer ist das mMn uninteressant.

PS: Fedora und Scientific Linux nutzen sha512.

Genau, wenn man zufällig sein Homeverzeichnis mit eCryptFS verschlüsselt und der Key mit dem Loginpw entsperrt wird ist das nicht sonderlich toll, wenn md5 (womöglich noch ohne zusätzliche Runden) zum Einsatz kommt und man das in 5 min mit Rainbowtables gebrochen hat ...
(Falls es wen interessiert: In der C't 13/2011 ist ein 2 oder 3 seitiger Artikel zu den verschiedenen Hashverfahren, welche verschiedene OS/Distris einsetzen).

Ausserdem ist es ein elemtarer Unterschied ob man das PW ändern kann, oder ob man es im Klartext kennt.*

Man kann natürlich argumentieren, dass der Fehler nicht bei Arch sondern bei pm-utils usw. liegt, weil die da halt in der 0815 Standardconfig nur md5 drin stehen haben, das stimmt schon.

P.S. Feodra setzt auf bcrypt -> Blowfish basierend. (Hab ich gelesen!)
Sollte aber schnell erkennbar sein: cat /etc/shadow und die entspr. Passwort Zeilen der User anschauen
fängts mit $2a$ an -> bcrypt
fängts mit $1$ an -> md5
fängts mit $5$ an -> sha256
fängt mit $6$ an -> sha512

P.S.#2: KISS sagt mMn übrigens nicht aus, dass es unsicher sein darf/muss/kann, wenn die Steigerung der Sicherheit nur ne Sache von 3 Buchstaben ist. Ebensowenig, dass man nicht irgendwas anpassen kann ggü. upstream... (wenn man das will, dann wäre KIO besser = Keep it original..) (Natürlich sollte es keine Ubuntu Ausmaße annehmen - klar).

*= Beispiel aus der C't: Passwort "P4ssw0r7" mit md5: nach 14 Stunden geknackt, sha512: nach 58 Tage geknackt. (Herausgefunden durch Universität von Amsterdam)

Genug dazu

 

[linrunner]

Es wird quasi alles auf default gelassen und nichts vorkonfiguriert. Und genau deswegen ist das so

Also mal zugespitzt: Arch Linux ist eine Sammlung von potentiellen Sicherheitslücken, weil den Maintainern Reinheit der Pakete wichtiger ist als eine vernünftige, sichere Grundkonfiguration? Eigentlich schade.

 

[demonicmaniac]

Arch ist was Du draus machst, so einfach ist das. Wer Arch installiert sollte eben alle Wiki Einträge mit Relevanz lesen, zum ssh pw ausschalten und nur keys zulassen etc. Da finde ich es viel schlimmer wenn manche Distros SSH mit Passwort zugang automatisch starten und der DAU user nichts von mitbekommt was er fuer ne dicke sicherheitslücke fährt.

mfg demonicmaniac

 

[Evilandi666]

Das stimmt allerdings auch.

 

[buddabrod]

Genau, wenn man zufällig sein Homeverzeichnis mit eCryptFS verschlüsselt und der Key mit dem Loginpw entsperrt wird ist das nicht sonderlich toll, wenn md5 (womöglich noch ohne zusätzliche Runden) zum Einsatz kommt und man das in 5 min mit Rainbowtables gebrochen hat ...

Das ist pure Dummheit. Siehe auch die momentanen lulzec "Hacks".
Gegen Angreifbarkeit mit Rainbowtables hilft kein Algorithmus.

Ausserdem ist es ein elemtarer Unterschied ob man das PW ändern kann, oder ob man es im Klartext kennt.*

Das ist wahr. Aber denke mal über die Schwäche von md5 nach. Du kannst auch Treffer in der Hashsumme landen, die eben _nicht_ dem PW entsprechen

P.S. Feodra setzt auf bcrypt -> Blowfish basierend. (Hab ich gelesen!)
Sollte aber schnell erkennbar sein: cat /etc/shadow und die entspr. Passwort Zeilen der User anschauen
fängts mit $2a$ an -> bcrypt
fängts mit $1$ an -> md5
fängts mit $5$ an -> sha256
fängt mit $6$ an -> sha512

Definitiv sha512. Laut /etc/pam.d/system-auth und auch nach obiger Tabelle in der /etc/shadow.

Also mal zugespitzt: Arch Linux ist eine Sammlung von potentiellen Sicherheitslücken, weil den Maintainern Reinheit der Pakete wichtiger ist als eine vernünftige, sichere Grundkonfiguration? Eigentlich schade.

Es ist deutlich bedenklicher einfach ssh Server default zu aktivieren* und zig andere Daemons. Bei Arch wird man dazu angehalten, alles zu konfigurieren, bei den anderen wird eine gute, sichere Grundconfig vorgegaukelt.

Wie gesagt, ich nutze Arch schon länger nicht mehr (nur auf der Dockstar).

* Gerade weil ich leider viele Leute kenne, die das root Passwort "root" nennen. Oder ähnlich einfach. Selbiges gilt für das User Passwort.

 

[Evilandi666]

1) Das ist pure Dummheit. Siehe auch die momentanen lulzec "Hacks".
Gegen Angreifbarkeit mit Rainbowtables hilft kein Algorithmus.

2)Definitiv sha512. Laut /etc/pam.d/system-auth und auch nach obiger Tabelle in der /etc/shadow.

1) Natürlich hilft gegen Rainbowtables ein Algorithmus. Wenn du 100 Jahre brauchst um das PW zu berechnen, bringt mir das durchaus was. Und genau das erreicht man mit genügend Hashrunden. Weiterhin verlangsamt dir sha512 um Faktor 100 die Berechnung (siehe letztes Post). Das hilft schon, finde ich. Wieso sollte das Verfahren Dummheit sein? Das ist Gang und Gäbe wenn man nur 1 PW eingeben will, das macht sogar MS so bei ihrer Bitlocker Geschichte

2) Okay .. dann schreibt heise schrott (Hast du vllt. von F14 upgegradet und nie das PW geändert seit dem? Vllt. ist das erst mit F15 gekommen.)

 

[demonicmaniac]

Schau dir mal die Radeons an, was sie raushauen. Ein Rack oder einfach distributed ueber 1000 Radeon 5870/6950 schmeisst dir fuer pures md5 an die 400000000000 md5s raus. oder meite dir ein paar amazon instances noch dazu. Rechenpower in fast unendlichen quantitaeten ist kein grosses problem auch bei faktor hundert wenn du es ordentlich distributest bzw gpgpu in großem Maße nutzt. Ein Botnetz mit nen paar GPU usern missbrauchen, nehmen wir ein mittleres mit 100000 rechnern und vielleicht mittelklasse gpus kommst du immer noch mit cpu dazu auf locker ne trillion md5s.

mfg demonicmaniac

 

[buddabrod]

1) Natürlich hilft gegen Rainbowtables ein Algorithmus. Wenn du 100 Jahre brauchst um das PW zu berechnen, bringt mir das durchaus was. Und genau das erreicht man mit genügend Hashrunden. Weiterhin verlangsamt dir sha512 um Faktor 100 die Berechnung (siehe letztes Post). Das hilft schon, finde ich. Wieso sollte das Verfahren Dummheit sein? Das ist Gang und Gäbe wenn man nur 1 PW eingeben will, das macht sogar MS so bei ihrer Bitlocker Geschichte

Ok, bei sha werden die Rainbowtables wohl ähnlich Komplex wie der Schlüssel selbst, damit wohl uninteressant.

Das Verfahren ist Dummheit, weil ich meinen fetten Tresor ja auch nicht mit nem, 2€ Schloss aus dem Aldi sichere. Die MS Logik ist selten der beste Weg.

2) Okay .. dann schreibt heise schrott (Hast du vllt. von F14 upgegradet und nie das PW geändert seit dem? Vllt. ist das erst mit F15 gekommen.)

Wenns um F15 geht muss ich passen. Ich habe hier nur F14 parallel zu SL6, werde aber bald upgraden.

Blowfish bzw. Twofish ist übrigens toll Damit ist seit Jahren meine /home verschlüsselt

 

[kalibari]

Da finde ich es viel schlimmer wenn manche Distros SSH mit Passwort zugang automatisch starten und der DAU user nichts von mitbekommt was er fuer ne dicke sicherheitslücke fährt.
mfg demonicmaniac

Welche Distri installiert automatisch einen SSH-Server und wird von DAUs genutzt?

 

[demonicmaniac]

Ein paar Live CDs wenn ich mich recht entsinne. Aus dem Stegreif weiss ich auch keine Distro die es default startet, bin kein Hopper. Laut Google fast alle Rescue Live CDs und ne SUSE livecd.

mfg demonicmaniac

 

[Evilandi666]

Schau dir mal die Radeons an, was sie raushauen. Ein Rack oder einfach distributed ueber 1000 Radeon 5870/6950 schmeisst dir fuer pures md5 an die 400000000000 md5s raus. oder meite dir ein paar amazon instances noch dazu. Rechenpower in fast unendlichen quantitaeten ist kein grosses problem auch bei faktor hundert wenn du es ordentlich distributest bzw gpgpu in großem Maße nutzt. Ein Botnetz mit nen paar GPU usern missbrauchen, nehmen wir ein mittleres mit 100000 rechnern und vielleicht mittelklasse gpus kommst du immer noch mit cpu dazu auf locker ne trillion md5s.

Ja das stimmt schon irgendwoher. Aber Faktor 5000 Schneller musst du eben mit Faktor 5000 mehr Hashrunden wieder ausgleichen (Natürlich sollte der Login keine 10 Minuten dauern..*g*).

Das Verfahren ist Dummheit, weil ich meinen fetten Tresor ja auch nicht mit nem, 2€ Schloss aus dem Aldi sichere. Die MS Logik ist selten der beste Weg.

Irgendwie find ich deine Denkweise komisch. Du benutzt doch bei jeder Verschlüsselung ein Passwort und einen Schlüssel welcher damit "verschlüsselt" ist und ein Hashalgorithmus der das PW hasht. Ob das nun TC,Luks oder Pam macht ist doch vollkommen Latte. Abhängig ist das doch nur vom Hashverfahren und v.a. vom Passwort.

Zur Fedorasache:
Okay, dann ist das vllt. bei F15 so - ich hab hier nur die Live DVD - passwd root ergibt ein md5 pw in /etc/shadow - denke mal ist wegen dem LiveDVD OS.

 

[buddabrod]

Irgendwie find ich deine Denkweise komisch. Du benutzt doch bei jeder Verschlüsselung ein Passwort und einen Schlüssel welcher damit "verschlüsselt" ist und ein Hashalgorithmus der das PW hasht. Ob das nun TC,Luks oder Pam macht ist doch vollkommen Latte. Abhängig ist das doch nur vom Hashverfahren und v.a. vom Passwort.

Meine Passwörter bei /home sind mit sha2 gehasht, woraus sich der Schlüssel ergibt.
Sollte mein Login PW gleich sein, aber nur mit md5 gehasht sein, habe ich ein Problem.

Zur Fedorasache:
Okay, dann ist das vllt. bei F15 so - ich hab hier nur die Live DVD - passwd root ergibt ein md5 pw in /etc/shadow - denke mal ist wegen dem LiveDVD OS.

Das LiveImage wird direkt auf die HDD kopiert. Das wäre echt komisch, wenn die diesen "Rückschritt" gehen.