harden-doc - en to de translation catalogue (1962 entries)

note: type: definition of entity &language;
en: en
de: de

note: type: definition of entity &docdate;
en: Sun, 03 Nov 2013 15:39:02 -0400
de: Son, 03 Nov 2013 15:39:02 -0400

note: type: definition of entity &gplhomev2;
en: http://www.gnu.org/licenses/old-licenses/gpl-2.0.html
de: http://www.gnu.org/licenses/old-licenses/gpl-2.0.de.html

note: type: <version></version>
en: &version;, built on &docdate;
de: &version;, &docdate;

note: type: <abstract></abstract>
en: This document describes security in the Debian project and in the Debian operating system. Starting with the process of securing and hardening the default Debian GNU/Linux distribution installation, it also covers some of the common tasks to set up a secure network environment using Debian GNU/Linux, gives additional information on the security tools available and talks about how security is enforced in Debian by the security and audit team.
de: Dieses Dokument handelt von der Sicherheit im Debian-Projekt und im Betriebssystem Debian. Es beginnt mit dem Prozess, eine Standardinstallation der Debian GNU/Linux-Distribution abzusichern und zu härten. Es behandelt auch die normalen Aufgaben, um eine sichere Netzwerkumgebung mit Debian GNU/Linux zu schaffen, und liefert zusätzliche Informationen über die verfügbaren Sicherheitswerkzeuge. Es befasst sich auch damit, wie die Sicherheit in Debian vom Sicherheits- und Auditteam gewährleistet wird.

note: type: <p></p>
en: Some sections are copyright &copy; their respective authors, for details please refer to <ref id="credits">.
de: Manche Abschnitte unterliegen einem Copyright &copy; der jeweiligen Autoren. Genaueres erfahren Sie unter <ref id="credits">.

note: type: <p></p>
en: Permission is granted to copy, distribute and/or modify this document under the terms of the <url id="&gplhomev2;" name="GNU General Public License, Version 2"> or any <url id="&gplhome;" name="later version"> published by the Free Software Foundation. It is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY.
de: Permission is granted to copy, distribute and/or modify this document under the terms of the <url id="&gplhomev2;" name="GNU General Public License, Version 2"> or any <url id="&gplhome;" name="later version"> published by the Free Software Foundation. It is distributed in the hope that it will be useful, but WITHOUT ANY WARRANTY.<footnote><p>Unverbindliche Übersetzung: Es ist erlaubt, dieses Dokument unter den Bedingungen der <url id="&gplhomev2;" name="GNU General Public License, Version 2"> oder jeder <url id="&gplhome;" name="späteren Version">, die von der Free Software Foundation veröffentlicht wird, zu kopieren, zu verbreiten und/oder zu verändern. Es wird in der Hoffnung veröffentlicht, dass es sich als nützlich erweisen könnte, aber OHNE JEDE GEWÄHRLEISTUNG. d.Ü.</p></footnote>

note: type: <p></p>
en: Permission is granted to make and distribute verbatim copies of this document provided the copyright notice and this permission notice are preserved on all copies.
de: Permission is granted to make and distribute verbatim copies of this document provided the copyright notice and this permission notice are preserved on all copies.<footnote><p>Unverbindliche Übersetzung: Es ist erlaubt, unveränderte Kopien dieses Dokuments zu erstellen und zu vertreiben, vorausgesetzt, der Copyright-Hinweis und diese Genehmigung bleiben in allen Kopien erhalten. d.Ü.</p></footnote>

note: type: <p></p>
en: Permission is granted to copy and distribute modified versions of this document under the conditions for verbatim copying, provided that the entire resulting derived work is distributed under the terms of a permission notice identical to this one.
de: Permission is granted to copy and distribute modified versions of this document under the conditions for verbatim copying, provided that the entire resulting derived work is distributed under the terms of a permission notice identical to this one.<footnote><p>Unverbindliche Übersetzung: Es ist erlaubt, veränderte Kopien dieses Dokuments unter den Voraussetzungen für unverändertes Kopieren zu erstellen und zu vertreiben, sofern die gesamte resultierende Arbeit unter den Bedingungen einer Genehmigung identisch zu dieser vertrieben wird. d.Ü.</p></footnote>

note: type: <p></p>
en: Permission is granted to copy and distribute translations of this document into another language, under the above conditions for modified versions, except that this permission notice may be included in translations approved by the Free Software Foundation instead of in the original English.
de: Permission is granted to copy and distribute translations of this document into another language, under the above conditions for modified versions, except that this permission notice may be included in translations approved by the Free Software Foundation instead of in the original English.<footnote><p>Unverbindliche Übersetzung: Es ist erlaubt, Übersetzungen dieses Dokuments in eine andere Sprache, unter den obigen Bedingungen für veränderte Versionen, zu kopieren und zu verteilen, mit der Ausnahme, dass diese Genehmigung übersetzt, statt im ursprünglichem Englisch, eingebunden werden kann, sofern diese Übersetzung (des Copyrights) von der Free Software Foundation genehmigt ist. d.Ü.</p></footnote>

note: type: <heading></heading>
en: Introduction
de: Einleitung

note: type: <p></p>
en: One of the hardest things about writing security documents is that every case is unique. Two things you have to pay attention to are the threat environment and the security needs of the individual site, host, or network. For instance, the security needs of a home user are completely different from a network in a bank. While the primary threat a home user needs to face is the script kiddie type of cracker, a bank network has to worry about directed attacks. Additionally, the bank has to protect their customer's data with arithmetic precision. In short, every user has to consider the trade-off between usability and security/paranoia.
de: Eines der schwierigsten Dinge beim Schreiben über Sicherheit besteht darin, dass jeder Fall einzigartig ist. Sie müssen zwei Dinge beachten: Die Gefahrenlage und das Bedürfnis auf Sicherheit bei Ihnen, Ihres Rechners oder Ihres Netzwerkes. So unterscheiden sich zum Beispiel die Sicherheitsbedürfnisse eines Heimanwenders grundlegend von den Sicherheitsbedürfnissen des Netzwerkes einer Bank. Während die Hauptgefahr eines Heimanwenders von »Script-Kiddies« ausgeht, muss sich das Netzwerk einer Bank wegen direkter Angriffe Sorgen machen. Zusätzlich muss eine Bank die Daten ihrer Kunden mit mathematischer Präzision beschützen. Um es kurz zu machen: Jeder Benutzer muss selbst zwischen Benutzerfreundlichkeit und Sicherheit/Paranoia abwägen.

note: type: <p></p>
en: Note that this manual only covers issues relating to software. The best software in the world can't protect you if someone can physically access the machine. You can place it under your desk, or you can place it in a hardened bunker with an army in front of it. Nevertheless the desktop computer can be much more secure (from a software point of view) than a physically protected one if the desktop is configured properly and the software on the protected machine is full of security holes. Obviously, you must consider both issues.
de: Beachten Sie bitte, dass diese Anleitung nur Software-Themen behandelt. Die beste Software der Welt kann Sie nicht schützen, wenn jemand direkten Zugang zu Ihrem Rechner hat. Sie können ihn unter Ihren Schreibtisch stellen oder Sie können ihn in einen starken Bunker mit einer ganzen Armee davor stellen. Trotzdem kann der Rechner unter Ihrem Schreibtisch weitaus sicherer sein &ndash; von der Software-Seite aus gesehen &ndash; als der eingebunkerte, wenn Ihr Schreibtisch-Rechner richtig konfiguriert und die Software des eingebunkerten Rechners voller Sicherheitslöcher ist. Sie müssen beide Möglichkeiten betrachten.

note: type: <p></p>
en: This document just gives an overview of what you can do to increase the security of your Debian GNU/Linux system. If you have read other documents regarding Linux security, you will find that there are common issues which might overlap with this document. However, this document does not try to be the ultimate source of information you will be using, it only tries to adapt this same information so that it is meaningful to a Debian GNU/Linux system. Different distributions do some things in different ways (startup of daemons is one example); here, you will find material which is appropriate for Debian's procedures and tools.
de: Dieses Dokument gibt Ihnen lediglich einen kleinen Überblick, was Sie tun können, um die Sicherheit Ihres Debian GNU/Linux Systems zu erhöhen. Wenn Sie bereits andere Dokumente über Sicherheit unter Linux gelesen haben, werden Sie feststellen, dass es einige Überschneidungen gibt. Dieses Dokument soll aber auch nicht die allumfassende Informationsquelle sein, es versucht nur, die gleichen Informationen so aufzubereiten, dass sie gut zu einem Debian GNU/Linux System passen. Unterschiedliche Distributionen erledigen manche Dinge auf unterschiedliche Weise (zum Beispiel den Aufruf von Daemons); hier finden Sie Material, das zu Debians Prozeduren und Werkzeugen passt.

note: type: <heading></heading>
en: Authors
de: Autoren

note: type: <p></p>
en: The current maintainer of this document is <url id="mailto:jfs@debian.org" name="Javier Fernández-Sanguino Peña">. Please forward him any comments, additions or suggestions, and they will be considered for inclusion in future releases of this manual.
de: Der aktuelle Betreuer dieses Dokuments ist <url id="mailto:jfs@debian.org" name="Javier Fernández-Sanguino Peña">. Falls Sie Kommentare, Ergänzungen oder Vorschläge haben, schicken Sie ihm diese bitte. Sie werden dann in künftigen Ausgaben dieses Handbuchs berücksichtigt werden. Bei Fehlern in dieser Übersetzung wenden Sie sich bitte an den aktuellen deutschen Übersetzer <url id="mailto:sbrandmair@gmx.net" name="Simon Brandmair"> oder (wenn dieser nicht erreichbar ist) an die <url id="mailto:debian-l10n-german@lists.debian.org" name="deutsche Mailingliste" > (d.Ü.).

note: type: <p><list>
en: This manual was started as a <em>HOWTO</em> by <url id="mailto:ar@rhwd.de" name="Alexander Reelsen">. After it was published on the Internet, <url id="mailto:jfs@debian.org" name="Javier Fernández-Sanguino Peña"> incorporated it into the <url id="http://www.debian.org/doc" name="Debian Documentation Project">. A number of people have contributed to this manual (all contributions are listed in the changelog) but the following deserve special mention since they have provided significant contributions (full sections, chapters or appendices):
de: Dieses Handbuch wurde als <em>HOWTO</em> von <url id="mailto:ar@rhwd.de" name="Alexander Reelsen"> ins Leben gerufen. Nachdem es im Internet veröffentlicht wurde, gliederte es <url id="mailto:jfs@debian.org" name="Javier Fernández-Sanguino Peña"> in das <url id="http://www.debian.org/doc" name="Debian Documentation Project"> ein. Zahlreiche Menschen haben etwas zu diesem Handbuch beigesteuert (alle Beiträge sind im Changelog aufgeführt), aber die folgenden haben gesonderte Erwähnung verdient, da sie bedeutende Beiträge geleistet haben (ganze Abschnitte, Kapitel oder Anhänge):

note: type: <heading></heading>
en: Where to get the manual (and available formats)
de: Wo Sie diese Anleitung bekommen (und verfügbare Formate)

note: type: <p></p>
en: You can download or view the latest version of the Securing Debian Manual from the <url id="http://www.debian.org/doc/manuals/securing-debian-howto/" name="Debian Documentation Project">. If you are reading a copy from another site, please check the primary copy in case it provides new information. If you are reading a translation, please review the version the translation refers to to the latest version available. If you find that the version is behind please consider using the original copy or review the <ref id="changelog"> to see what has changed.
de: Sie können sich die neueste Version der »Anleitung zum Absichern von Debian« beim <url id="http://www.debian.org/doc/manuals/securing-debian-howto/" name="Debian Documentation Project"> herunterladen oder anschauen. Wenn Sie eine Kopie von einer anderen Seite lesen, überprüfen Sie bitte die Hauptversion, ob sie neue Informationen enthält. Wenn Sie eine Übersetzung lesen (was Sie im Moment tun, d.Ü.), vergleichen Sie bitte die Version der Übersetzung mit der neuesten Version. Falls Sie feststellen, dass die Übersetzung veraltet ist, sollten Sie in Betracht ziehen, die Originalversion zu verwenden oder zumindest <ref id="changelog"> durchsehen, um zu wissen, was geändert wurde.

note: type: <p></p>
en: If you want a full copy of the manual you can either download the <url id="http://www.debian.org/doc/manuals/securing-debian-howto/securing-debian-howto.en.txt" name="text version"> or the <url id="http://www.debian.org/doc/manuals/securing-debian-howto/securing-debian-howto.en.pdf" name="PDF version"> from the Debian Documentation Project's site. These versions might be more useful if you intend to copy the document over to a portable device for offline reading or you want to print it out. Be forewarned, the manual is over two hundred pages long and some of the code fragments, due to the formatting tools used, are not wrapped in the PDF version and might be printed incomplete.
de: Wenn Sie eine vollständige Kopie des Handbuchs wollen, können Sie die <url id="http://www.de.debian.org/doc/manuals/securing-debian-howto/securing-debian-howto.de.txt" name="Text-Version"> oder die <url id="http://www.de.debian.org/doc/manuals/securing-debian-howto/securing-debian-howto.de.pdf" name="PDF-Version"> von der Site des Debian Documentation Projects herunterladen. Diese Versionen können sinnvoller sein, wenn Sie das Dokument auf ein tragbares Medium kopieren oder ausdrucken wollen. Seien Sie aber gewarnt, das Dokument ist über 200 Seiten lang und einige Code-Abschnitte werden in der PDF-Version wegen den eingesetzten Formatierungswerkzeugen nicht richtig umgebrochen und könnte daher nur unvollständig ausgedruckt werden.

note: type: <p></p>
en: The document is also provided in text, html and PDF formats in the <url id="http://packages.debian.org/harden-doc" name="harden-doc"> package. Notice, however, that the package maybe not be completely up to date with the document provided on the Debian site (but you can always use the source package to build an updated version yourself).
de: Das Dokument ist auch in den Formaten Text, HTML und PDF im Paket <url id="http://packages.debian.org/harden-doc" name="harden-doc"> enthalten. Beachten Sie allerdings, dass das Paket nicht genauso aktuell sein muss wie das Dokument, das Sie auf der Debian-Seite finden (Sie können sich aber immer eine aktuelle Version aus dem Quellpaket bauen).

note: type: <p><example>
en: This document is part of the documents distributed by the <url id="https://www.debian.org/doc/ddp" name="Debian Documentation Project">. You can review the changes introduced in the document using a web browser and obtaining information from the <url id="http://anonscm.debian.org/viewvc/ddp/manuals/trunk/securing-howto" name="version control logs online">. You can also checkout the code using SVN with the following call in the command line:
de: Dieses Dokument gehört zu den Dokumenten, die vom <url id="https://alioth.debian.org/projects/ddp/" name="Debian Documentation Project"> bereit gestellt werden. Sie können die an dem Dokument vorgenommenen Änderungen mit einem Webbrowser über <url name="die Onlineprotokolle der Versionskontrolle (engl.)" id="http://anonscm.debian.org/viewvc/ddp/manuals/trunk/securing-howto"> verfolgen. Sie können auch den Code mit SVN mit folgendem Befehl herunterladen:

note: type: <heading></heading>
en: Organizational notes/feedback
de: Organisatorisches / Feedback

note: type: <p></p>
en: Now to the official part. At the moment I (Alexander Reelsen) wrote most paragraphs of this manual, but in my opinion this should not stay the case. I grew up and live with free software, it is part of my everyday use and I guess yours, too. I encourage everybody to send me feedback, hints, additions or any other suggestions you might have.
de: Nun kommt der offizielle Teil. Derzeit sind die meisten Teile dieser Anleitung noch von mir (Alexander Reelsen) geschrieben, aber meiner Meinung nach sollte dies nicht so bleiben. Ich wuchs mit freier Software auf und lebe mit ihr, sie ist ein Teil meiner alltäglichen Arbeit und ich denke, auch von Ihrer. Ich ermutige jedermann, mir Feedback, Tipps für Ergänzungen oder andere Vorschläge, die Sie haben, zuzuschicken.

note: type: <p></p>
en: If you think, you can maintain a certain section or paragraph better, then write to the document maintainer and you are welcome to do it. Especially if you find a section marked as FIXME, that means the authors did not have the time yet or the needed knowledge about the topic. Drop them a mail immediately.
de: Wenn Sie glauben, dass Sie einen bestimmten Abschnitt oder Absatz besser pflegen können, dann schreiben Sie dem Dokumenten-Betreuer und Sie dürfen es gerne erledigen. Insbesondere, wenn Sie einen Abschnitt finden, der mit »FIXME« markiert wurde &ndash; was bedeutet, dass die Autoren noch nicht die Zeit hatten oder sich noch Wissen über das Thema aneignen müssen &ndash; schicken Sie ihnen sofort eine E-Mail.

note: type: <p></p>
en: The topic of this manual makes it quite clear that it is important to keep it up to date, and you can do your part. Please contribute.
de: Der Titel dieser Anleitung macht es sehr deutlich, dass es wichtig ist, dass sie auf dem neusten Stand gehalten wird. Auch Sie können Ihren Teil dazu beitragen. Bitte unterstützen Sie uns.

note: type: <heading></heading>
en: Prior knowledge
de: Vorwissen

note: type: <p></p>
en: The installation of Debian GNU/Linux is not very difficult and you should have been able to install it. If you already have some knowledge about Linux or other Unices and you are a bit familiar with basic security, it will be easier to understand this manual, as this document cannot explain every little detail of a feature (otherwise this would have been a book instead of a manual). If you are not that familiar, however, you might want to take a look at <ref id="references"> for where to find more in-depth information.
de: Die Installation von Debian GNU/Linux ist nicht sehr schwer und Sie sollten in der Lage gewesen sein, es zu installieren. Wenn Ihnen andere Linux-Distributionen, Unixe oder grundsätzliche Sicherheitskonzepte ein wenig vertraut sind, wird es Ihnen leichter fallen, diese Anleitung zu verstehen, da nicht auf jedes einzelne Detail eingegangen werden kann (oder dies wäre ein Buch geworden und keine Anleitung). Wenn Sie jedoch mit diesen Dingen noch nicht so vertraut sind, sollten Sie vielleicht einen Blick in <ref id="references"> für tiefer gehende Informationen werfen.

note: type: <heading></heading>
en: Things that need to be written (FIXME/TODO)
de: Dinge, die noch geschrieben werden müssen (FIXME/TODO)

note: type: <p></p>
en: This section describes all the things that need to be fixed in this manual. Some paragraphs include <em>FIXME</em> or <em>TODO</em> tags describing what content is missing (or what kind of work needs to be done). The purpose of this section is to describe all the things that could be included in the future in the manual, or enhancements that need to be done (or would be interesting to add).
de: Dieses Kapitel beschreibt die Dinge, welche in diesem Handbuch noch verbessert werden müssen. Einige Abschnitte beinhalten <em>FIXME</em>- oder <em>TODO</em>-Markierungen, in denen beschrieben wird, welche Dinge fehlen (oder welche Aufgaben erledigt werden müssen). Der Zweck dieses Kapitels ist es, die Dinge, die zukünftig in dieses Handbuch aufgenommen werden könnten, und die Verbesserungen, die durchgeführt werden müssen (oder bei denen es interessant wäre, sie einzufügen) zu beschreiben.

note: type: <p><list>
en: If you feel you can provide help in contributing content fixing any element of this list (or the inline annotations), contact the main author (<ref id="authors">).
de: Wenn Sie glauben, dass Sie Hilfe leisten könnten, den auf dieser Liste aufgeführten Punkten (oder solchen im Text) abzuhelfen, setzen Sie sich mit dem Hauptautor (siehe <ref id="authors">) in Verbindung.

note: type: <p></p>
en: This document has yet to be updated based on the latest Debian releases. The default configuration of some packages need to be adapted as they have been modified since this document was written.
de: Dieses Dokument muss noch auf Grundlage der aktuellen Debian-Veröffentlichung aktualisiert werden. Die Standardkonfiguration einiger Pakete muss angepasst werden, da sie verändert wurden, seitdem dieses Dokument geschrieben wurde.

note: type: <p></p>
en: Expand the incident response information, maybe add some ideas derived from Red Hat's Security Guide's <url id="http://www.redhat.com/docs/manuals/linux/RHL-9-Manual/security-guide/ch-response.html" name="chapter on incident response">.
de: Erweiterung der Informationen zur Reaktion auf einen Vorfall, unter Umständen auch mit einigen Vorschlägen von Red Hats Sicherheitsanleitung <url id="http://www.redhat.com/docs/manuals/linux/RHL-9-Manual/security-guide/ch-response.html" name="chapter on incident response">

note: type: <p></p>
en: Write about remote monitoring tools (to check for system availability) such as <package>monit</package>, <package>daemontools</package> and <package>mon</package>. See <url id="http://linux.oreillynet.com/pub/a/linux/2002/05/09/sysadminguide.html">.
de: Vorstellen von Überwachungswerkzeugen in der Ferne (um die Erreichbarkeit des Systems zu überprüfen) wie <package>monit</package>, <package>daemontools</package> und <package>mon</package>; vergleiche <url id="http://linux.oreillynet.com/pub/a/linux/2002/05/09/sysadminguide.html">

note: type: <p></p>
en: Consider writing a section on how to build Debian-based network appliances (with information such as the base system, <package>equivs</package> and FAI).
de: Prüfen, ob ein Abschnitt zu schreiben ist, wie man auf Debian basierende Netzgeräte erstellt (mit Informationen etwa zum Basissystem, <package>equivs</package> und FAI)

note: type: <p></p>
en: Check if <url id="http://www.giac.org/practical/gsec/Chris_Koutras_GSEC.pdf"> has relevant info not yet covered here.
de: Überprüfung, ob <url id="http://www.giac.org/practical/gsec/Chris_Koutras_GSEC.pdf"> wichtige Informationen hat, die hier noch nicht behandelt werden

note: type: <p></p>
en: Add information on how to set up a laptop with Debian <url id="http://www.giac.org/practical/gcux/Stephanie_Thomas_GCUX.pdf">.
de: Informationen, wie man einen Laptop mit Debian einrichtet <url id="http://www.giac.org/practical/gcux/Stephanie_Thomas_GCUX.pdf">, hinzufügen

note: type: <p></p>
en: Add information on how to set up a firewall using Debian GNU/Linux. The section regarding firewalling is oriented currently towards a single system (not protecting others...) also talk on how to test the setup.
de: Informationen, wie man unter Debian GNU/Linux eine Firewall aufsetzt, hinzufügen. Der Firewalls betreffende Abschnitt orientiert sich derzeit an Einzelplatz-Systemen (die keine anderen Systeme schützen müssen); auch auf das Testen der Installation eingehen.

note: type: <p></p>
en: Add information on setting up a proxy firewall with Debian GNU/Linux stating specifically which packages provide proxy services (like <package>xfwp</package>, <package>ftp-proxy</package>, <package>redir</package>, <package>smtpd</package>, <package>dnrd</package>, <package>jftpgw</package>, <package>oops</package>, <package>pdnsd</package>, <package>perdition</package>, <package>transproxy</package>, <package>tsocks</package>). Should point to the manual for any other info. Note that <package>zorp</package> is now available as a Debian package and <em>is</em> a proxy firewall (they also provide Debian packages upstream).
de: Hinzufügen, wie man eine Proxy-Firewall unter Debian GNU/Linux aufsetzt, unter der Angabe, welche Pakete Proxy-Dienste anbieten (zum Beispiel <package>xfwp</package>, <package>ftp-proxy</package>, <package>redir</package>, <package>smtpd</package>, <package>dnrd</package>, <package>jftpgw</package>, <package>oops</package>, <package>pdnsd</package>, <package>perdition</package>, <package>transproxy</package>, <package>tsocks</package>). Sollte zu der Anleitung mit weiteren Informationen verweisen. Erwähnenswert ist, dass <package>zorp</package> jetzt Teil von Debian ist und eine Proxy-Firewall <em>ist</em> (und auch der Programmautor Debian-Pakete zur Verfügung stellt).

note: type: <p></p>
en: Information on service configuration with file-rc.
de: Informationen über die Service-Konfiguration mit file-rc

note: type: <p></p>
en: Check all the reference URLs and remove/fix those no longer available.
de: Alle Referenzen und URLs prüfen und die nicht mehr verfügbaren aktualisieren oder entfernen

note: type: <p><list>
en: Add information on available replacements (in Debian) for common servers which are useful for limited functionality. Examples:
de: Informationen über möglichen Ersatz (unter Debian) für häufig eingesetzte Server, die bei eingeschränktem Funktionsumfang nützlich sind, hinzufügen. Beispiele:

note: type: <p></p>
en: local lpr with cups (package)?
de: lokaler Lpr mit Cups (Paket)?

note: type: <p></p>
en: remote lrp with lpr
de: Lrp in der Ferne mit Lpr

note: type: <p></p>
en: bind with dnrd/maradns
de: bind mit dnrd/maradns

note: type: <p></p>
en: apache with dhttpd/thttpd/wn (tux?)
de: apache mit dhttpd/thttpd/wn (tux?)

note: type: <p></p>
en: exim/sendmail with ssmtpd/smtpd/postfix
de: exim/sendmail mit ssmtpd/smtpd/postfix

note: type: <p></p>
en: squid with tinyproxy
de: squid mit tinyproxy

note: type: <p></p>
en: ftpd with oftpd/vsftp
de: ftpd mit oftpd/vsftp

note: type: <p></p>
en: ...
de: …

note: type: <p><list>
en: More information regarding security-related kernel patches in Debian, including the ones shown above and specific information on how to enable these patches in a Debian system.
de: Mehr Informationen über sicherheitsrelevante Patches des Kernels unter Debian einschließlich der oben aufgeführten und insbesondere, wie man diese Patches unter einem Debian-System benutzt

note: type: <p></p>
en: Linux Intrusion Detection (<package>kernel-patch-2.4-lids</package>)
de: Erkennung von Eindringlingen (Linux Intrusion Detection <package>kernel-patch-2.4-lids</package>)

note: type: <p></p>
en: Linux Trustees (in package <package>trustees</package>)
de: Linux Trustees (im Paket <package>trustees</package>)

note: type: <p></p>
en: Details of turning off unnecessary network services (besides <prgn>inetd</prgn>), it is partly in the hardening procedure but could be broadened a bit.
de: Details, wie man unnötige Netzwerkdienste deaktiviert (abgesehen von <prgn>inetd</prgn>), dies ist teilweise Teil des Härtungsprozesses, könnte aber etwas ausgeweitet werden

note: type: <p></p>
en: Information regarding password rotation which is closely related to policy.
de: Informationen über Passwort-Rotation, was sehr nah mit Sicherheitsrichtlinien (Policies) zusammenhängt

note: type: <p></p>
en: Policy, and educating users about policy.
de: Sicherheitsrichtlinie und die Aufklärung der Benutzer über die Sicherheitsrichtlinie

note: type: <p></p>
en: More about tcpwrappers, and wrappers in general?
de: Mehr über tcpwrapper und Wrapper im Allgemeinen?

note: type: <p></p>
en: <file>hosts.equiv</file> and other major security holes.
de: <file>hosts.equiv</file> und andere wichtige Sicherheitslöcher

note: type: <p></p>
en: Issues with file sharing servers such as Samba and NFS?
de: Probleme bei der Dateifreigabe wie z.B. mit Samba und NFS?

note: type: <p></p>
en: suidmanager/dpkg-statoverrides.
de: suidmanager/dpkg-statoverrides

note: type: <p></p>
en: lpr and lprng.
de: lpr und lprng

note: type: <p></p>
en: Switching off the GNOME IP things.
de: Abschalten der GNOME-IP-Dinge

note: type: <p></p>
en: Talk about pam_chroot (see <url id="http://lists.debian.org/debian-security/2002/debian-security-200205/msg00011.html">) and its usefulness to limit users. Introduce information related to <url id="http://online.securityfocus.com/infocus/1575">. <package>pdmenu</package>, for example is available in Debian (whereas flash is not).
de: Erwähnen von pam_chroot (siehe <url id="http://lists.debian.org/debian-security/2002/debian-security-200205/msg00011.html">) und sein Nutzen, Benutzer einzuschränken. Einführende Informationen in Verbindung mit <url id="http://online.securityfocus.com/infocus/1575">. <package>pdmenu</package> ist zum Beispiel bereits unter Debian verfügbar (während flash das nicht ist).

note: type: <p></p>
en: Talk about chrooting services, some more info on <url id="http://www.linuxfocus.org/English/January2002/article225.shtml">.
de: Darüber reden, Dienste mit einer chroot-Umgebung zu versehen, mehr Informationen dazu unter <url id="http://www.linuxfocus.org/English/January2002/article225.shtml">

note: type: <p></p>
en: Talk about programs to make chroot jails. <package>compartment</package> and <package>chrootuid</package> are waiting in incoming. Some others (makejail, jailer) could also be introduced.
de: Programme erwähnen, die Chroot-Gefängnisse (chroot jails) herstellen. <package>compartment</package> und <package>chrootuid</package> warten noch in Incoming. Einige andere (makejail, jailer) könnten ebenfalls eingeführt werden.

note: type: <p></p>
en: More information regarding log analysis software (i.e. logcheck and logcolorise).
de: Mehr Informationen über Software zur Analyse von Protokoll-Dateien (log-Dateien, logs; zum Beispiel <package>logcheck</package> und logcolorise)

note: type: <p></p>
en: 'advanced' routing (traffic policing is security related).
de: »Fortgeschrittenes« Routing (Traffic-Regelungen sind sicherheitsrelevant)

note: type: <p></p>
en: limiting <prgn>ssh</prgn> access to running certain commands.
de: Zugang über <prgn>ssh</prgn> so einschränken, dass man nur bestimmte Befehle ausführen kann

note: type: <p></p>
en: using dpkg-statoverride.
de: Benutzung von dpkg-statoverride

note: type: <p></p>
en: secure ways to share a CD burner among users.
de: Sichere Möglichkeiten, um mehreren Benutzern den Zugriff auf einen CD-Brenner zu erlauben

note: type: <p></p>
en: secure ways of providing networked sound in addition to network display capabilities (so that X clients' sounds are played on the X server's sound hardware).
de: Sichere Wege, um Töne zusammen mit graphischer Darstellung über ein Netzwerk zu leiten (so dass die Töne eines X-Clients über die Sound-Hardware eines X-Servers abgespielt werden)

note: type: <p></p>
en: securing web browsers.
de: Absichern von Web-Browsern

note: type: <p></p>
en: setting up ftp over <prgn>ssh</prgn>.
de: Aufsetzen von ftp über <prgn>ssh</prgn>

note: type: <p></p>
en: using crypto loopback file systems.
de: Benutzung von verschlüsselten Loopback-Dateisystemen

note: type: <p></p>
en: encrypting the entire file system.
de: Verschlüsselung eines ganzen Dateisystems

note: type: <p></p>
en: steganographic tools.
de: Steganographie-Werkzeuge

note: type: <p></p>
en: setting up a PKA for an organization.
de: Aufsetzen einer PKA für eine Organisation <!-- Public Key Authority -->

note: type: <p></p>
en: using LDAP to manage users. There is a HOWTO of ldap+kerberos for Debian at <url id="http://www.bayour.com"> written by Turbo Fredrikson.
de: Einsatz von LDAP zur Verwaltung der Benutzer. Es gibt ein HOWTO zu ldap+kerberos für Debian auf <url id="http://www.bayour.com"> von Turbo Fredrikson.

note: type: <p></p>
en: How to remove information of reduced utility in production systems such as <file>/usr/share/doc</file>, <file>/usr/share/man</file> (yes, security by obscurity).
de: Wie man Informationen mit begrenztem Nutzen wie z.B. <file>/usr/share/doc</file> oder <file>/usr/share/man</file> auf Produktivsystemen entfernt (jawohl, security by obscurity)

note: type: <p></p>
en: More information on lcap based on the packages README file (well, not there yet, see <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=169465" name="Bug #169465">) and from the article from LWN: <url id="http://lwn.net/1999/1202/kernel.php3" name="Kernel development">.
de: Mehr Informationen über lcap, die sich auf die README-Datei des Pakets stützen (gut, die Datei ist noch nicht vorhanden, vergleiche <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=169465" name="Bug #169465">) und diesen Artikel der LWN: <url id="http://lwn.net/1999/1202/kernel.php3" name="Kernel development">

note: type: <p></p>
en: Add Colin's article on how to setup a chroot environment for a full sid system (<url id="http://people.debian.org/~walters/chroot.html">).
de: Colins Artikel hinzufügen, wie man eine Chroot-Umgebung für ein komplettes Sid-System aufsetzt (<url id="http://people.debian.org/~walters/chroot.html">)

note: type: <p></p>
en: Add information on running multiple <prgn>snort</prgn> sensors in a given system (check bug reports sent to <package>snort</package>).
de: Informationen darüber hinzufügen, wie man mehrere <prgn>snort</prgn>-Sensoren in einem System betreibt (prüfe die Fehlerberichte zu <package>snort</package>)

note: type: <p></p>
en: Add information on setting up a honeypot (<package>honeyd</package>).
de: Informationen hinzufügen, wie man einen Honigtopf (honeypot) einrichtet (<package>honeyd</package>)

note: type: <p></p>
en: Describe situation wrt to FreeSwan (orphaned) and OpenSwan. VPN section needs to be rewritten.
de: Darstellung der Situation von FreeSwan (verwaist) und OpenSwan. Der Abschnitt über VPN muss überarbeitet werden.

note: type: <p></p>
en: Add a specific section about databases, current installation defaults and how to secure access.
de: Einen gesonderten Abschnitt über Datenbanken hinzufügen, ihre Standardwerte und, wie man den Zugriff absichert

note: type: <p></p>
en: Add a section about the usefulness of virtual servers (Xen et al).
de: Einen Abschnitt über den Nutzen von virtuellen Servern (wie Xen u.a.) hinzufügen

note: type: <p></p>
en: Explain how to use some integrity checkers (AIDE, integrit or samhain). The basics are simple and could even explain some configuration improvements.
de: Erklären, wie Programme zur Überprüfung der Integrität verwendet werden (AIDE, integrit oder samhain). Die Grundlagen sind einfach und könnten sogar einige Verbesserungen der Konfiguration erklären.

note: type: <heading></heading>
en: Changelog/History
de: Änderungsübersicht/Changelog/Geschichte

note: type: <heading></heading>
en: Version 3.17 (June 2013)
de: Version 3.17 (Juni 2013)

note: type: <p><list>
en: Changes by Javier Fernández-Sanguino Peña.
de: Änderung von Javier Fernández-Sanguino Peña

note: type: <p></p>
en: Point to the Basille sourceforge project instead of the bastille-unix.org site as it is not responding.
de: Verweis auf das Bastille-Projekt bei Sourceforge anstelle der Site bastille-unix.org, da diese nicht mehr antwortet

note: type: <heading></heading>
en: Version 3.16 (January 2013)
de: Version 3.16 (Januar 2013)

note: type: <p></p>
en: Indicate that the document is not updated with latest versions.
de: Hinweis, dass das Dokument nicht in Hinblick auf die neusten Versionen aktualisiert ist

note: type: <p></p>
en: Update pointers to current location of sources.
de: Verweise auf aktuelle Quellen aktualisiert

note: type: <p></p>
en: Update information on security updates for newer releases.
de: Informationen zu Sicherheitsaktualisierungen für neuere Veröffentlichungen aktualisiert

note: type: <p></p>
en: Point information for Developers to online sources instead of keeping the information in the document, to prevent duplication.
de: Verweis von Informationen für Entwickler auf Online-Quellen, anstatt die Informationen im Dokument zu belassen, um Dubletten zu vermeiden

note: type: <p></p>
en: Extend the information regarding securing console access, including limiting the Magic SysRq key.
de: Informationen über die Sicherung des Konsolenzugangs erweitert einschließlich der Beschränkung der Magischen S-Abf-Taste

note: type: <p></p>
en: Update the information related to PAM modules including how to restrict console logins, use cracklib and use the features avialable in /etc/pam.d/login. Remove the references to obsolete variables in /etc/login.defs.
de: Informationen zu PAM-Modulen aktualisiert einschließlich, wie man Anmeldungen an der Konsole einschränkt, cracklib verwendet und die in /etc/pam.d/login verfügbaren Eigenschaften einsetzt; veraltete Verweise auf Variablen in /etc/login.defs entfernt

note: type: <p></p>
en: Reference some of the PAM modules available to use double factor authentication, for administrators that want to stop using passwords altogether.
de: Hinweis auf einige PAM-Module, die eine Zweifaktor-Anmeldung durchführen können, für Administratoren, die vollständig auf Passwörter verzichten wollen

note: type: <p></p>
en: Fix shell script example in Appendix.
de: Beispielshellskript im Anhang korrigiert

note: type: <p></p>
en: Fix reference errors.
de: Fehler bei Verweisen korrigiert

note: type: <heading></heading>
en: Version 3.15 (December 2010)
de: Version 3.15 (Dezember 2010)

note: type: <p></p>
en: Change reference to Log Analysis' website as this is no longer available.
de: Verweis auf die Website von Log Analysis geändert, da nicht länger verfügbar

note: type: <heading></heading>
en: Version 3.14 (March 2009)
de: Version 3.14 (März 2009)

note: type: <p></p>
en: Change the section related to choosing a filesystem: note that ext3 is now the default.
de: Abschnitt über die Auswahl des Dateisystems geändert: Hinweis, dass ext3 jetzt der Standard ist

note: type: <p></p>
en: Change the name of the packages related to enigmail to reflect naming changes introduced in Debian.
de: Name der Pakete, die mit enigmail zusammenhängen, geändert, damit sie den geänderten Namen in Debian entsprechen

note: type: <heading></heading>
en: Version 3.13 (February 2008)
de: Version 3.13 (Februar 2008)

note: type: <p></p>
en: Change URLs pointing to Bastille Linux to www.Bastille-UNIX.org since the domain has been <url id="http://bastille-linux.sourceforge.net/press-release-newname.html" name="purchased by a cybersquatter">.
de: URLs, die auf Bastille-Linux verweisen, zu www.Bastille-UNIX.org geändert, da die Domain von einem <url id="http://bastille-linux.sourceforge.net/press-release-newname.html" name="Domänenbesetzer gekauft wurde">

note: type: <p></p>
en: Fix pointers to Linux Ramen and Lion worms.
de: Verweise auf Linux-Ramen- und Lion-Wurm ausgebessert

note: type: <p></p>
en: Use linux-image in the examples instead of the (old) kernel-image packages.
de: In den Beispielen linux-image anstelle der (alten) Pakete kernel-image verwendet

note: type: <p></p>
en: Fix typos spotted by Francesco Poli.
de: Von Francesco Poli gemeldete Tippfehler ausgebessert

note: type: <p></p>
en: Update the information related to security updates. Drop the text talking about Tiger and include information on the update-notifier and adept tools (for Desktops) as well as debsecan. Also include some pointers to other tools available.
de: Informationen über Sicherheitsaktualisierungen erneuert; Text über Tiger entfernt und Informationen zu Update-notifier und Expertenwerkzeuge (für Desktops) sowie zu Debsecan eingefügt; auch einige Verweis auf andere verfügbare Werkzeuge eingefügt

note: type: <p></p>
en: Divide the firewall applications based on target users and add fireflier to the Desktop firewall applications list.
de: Die Firewall-Anwendungen nach Zielgruppen aufgeteilt und Fireflier zur Liste der Firewall-Anwendungen für den Desktop hinzugefügt

note: type: <p></p>
en: Remove references to libsafe, it's not in the archive any longer (was removed January 2006).
de: Verweis auf Libsafe entfernt, es ist nicht mehr im Archiv (wurde im Januar 2006 entfernt)

note: type: <p></p>
en: Fix the location of syslog's configuration, thanks to John Talbut.
de: Den Ort der Konfiguration von Syslog berichtigt, vielen Dank an John Talbut

note: type: <heading></heading>
en: Version 3.11 (January 2007)
de: Version 3.11 (Januar 2007)

note: type: <p><list>
en: Changes by Javier Fernández-Sanguino Peña. Thanks go to Francesco Poli for his extensive review of the document.
de: Änderung von Javier Fernández-Sanguino Peña. Vielen Dank an Francesco Poli für die umfangreiche Durchsicht dieses Dokuments.

note: type: <p></p>
en: Remove most references to the woody release as it is no longer available (in the archive) and security support for it is no longer available.
de: Die meisten Verweise auf Woody entfernt, da es nicht länger im Archiv verfügbar ist und es dafür auch keine Unterstützung der Sicherheit mehr gibt

note: type: <p></p>
en: Describe how to restrict users so that they can only do file transfers.
de: Beschrieben, wie Benutzer eingeschränkt werden, so dass sie nur Dateiübertragungen durchführen können

note: type: <p></p>
en: Added a note regarding the debian-private declasiffication decision.
de: Einen Hinweise auf die Entscheidung der Änderung der Vertraulichkeit der Mailingliste debian-private hinzugefügt

note: type: <p></p>
en: Updated link of incident handling guides.
de: Den Verweis auf die Anleitung zum Umgang mit Vorfällen aktualisiert

note: type: <p></p>
en: Added a note saying that development tools (compilers, etc.) are not installed now in the default 'etch' installation.
de: Einen Hinweis darauf eingefügt, dass Entwicklerwerkzeuge (wie Compiler) nicht mehr standardmäßig in Etch installiert werden

note: type: <p></p>
en: Fix references to the master security server.
de: Den Verweis auf den Master-Security-Server korrigiert

note: type: <p></p>
en: Add pointers to additional APT-secure documentation.
de: Einen Hinweis auf die Dokumentation zu APT-secure eingefügt

note: type: <p></p>
en: Improve the description of APT signatures.
de: Die Erläuterung der APT-Signaturen verbessert

note: type: <p></p>
en: Comment out some things which are not yet final related to the mirror's official public keys.
de: Einige Stellen auskommentiert, die sich auf noch nicht fertig gestellte Abschnitte der offiziellen öffentlichen Schlüssel von Spiegelservern bezogen

note: type: <p></p>
en: Fixed name of the Debian Testing Security Team.
de: Den Namen des Debian-Testing-Sicherheitsteams korrigiert

note: type: <p></p>
en: Remove reference to sarge in an example.
de: In einem Beispiel den Verweis auf Sarge entfernt

note: type: <p></p>
en: Update the antivirus section, clamav is now available on the release. Also mention the f-prot installer.
de: Den Abschnitt über Antivirus aktualisiert: ClamAV ist jetzt in der Veröffentlichung enthalten. Erwähnte auch den Installer für F-prot

note: type: <p></p>
en: Removes all references to freeswan as it is obsolete.
de: Alle Verweise auf Freeswan entfernt, da es veraltet ist

note: type: <p></p>
en: Describe issues related to ruleset changes to the firewall if done remotely and provide some tips (in footnotes).
de: Probleme beschrieben, die beim Verändern der Firewall-Regeln aus der Ferne auftreten können, und gab einige Tipps (in Fußnoten)

note: type: <p></p>
en: Update the information related to the IDS installation, mention BASE and the need to setup a logging database.
de: Informationen zur IDS-Installation aktualisiert, BASE und das Bedürfnis nach einer Protokollierungsdatenbank erwähnt

note: type: <p></p>
en: Rewrite the "running bind as a non-root user" section as this no longer applies to Bind9. Also remove the reference to the init.d script since the changes need to be done through /etc/default.
de: Den Abschnitt »Bind nicht als Root laufen lassen« neu geschrieben, da dies nicht mehr auf Bind9 zutrifft. Entfernte auch Verweise auf das init.d-Skript, da die Änderungen in /etc/default vorgenommen werden müssen.

note: type: <p></p>
en: Remove the obsolete way to setup iptables rulesets as woody is no longer supported.
de: Eine veraltete Möglichkeit, Regeln für die Firewall einzurichten, entfernt, da Woody nicht länger unterstützt wird

note: type: <p></p>
en: Revert the advice regarding LOG_UNKFAIL_ENAB it should be set to 'no' (as per default).
de: Zu dem früheren Hinweis bezüglich LOG_UNKFAIL_ENAB zurückgekehrt, nämlich dass es auf »no« (wie es standardmäßig ist) gesetzt werden sollte

note: type: <p></p>
en: Added more information related to updating the system with desktop tools (including update-notifier) and describe aptitude usage to update the system. Also note that dselect is deprecated.
de: Informationen hinzugefügt, wie das System mit Werkzeugen für den Desktop (einschließlich Update-notifier) aktualisiert wird, und beschrieben, wie man mit Aptitude das System aktualisiert. Angemerkt, dass dselect veraltet ist

note: type: <p></p>
en: Updated the contents of the FAQ and remove redundant paragraphs.
de: Die FAQ aktualisiert und überflüssige Abschnitte  entfernt

note: type: <p></p>
en: Review and update the section related to forensic analysis of malware.
de: Den Abschnitt über die forensische Analyse von Schadsoftware überarbeitet und aktualisiert

note: type: <p></p>
en: Remove or fix some dead links.
de: Einige tote Verweise entfernt oder korrigiert

note: type: <p></p>
en: Fix many typos and gramatical errors reported by Francesco Poli.
de: Viele Tipp- und Grammatikfehler verbessert, die von Francesco Poli mitgeteilt wurden

note: type: <p></p>
en: Provide examples using apt-cache's rdepends as suggested by Ozer Sarilar.
de: Beispiele gegeben, wie rdepends von Apt-cache verwendet wird. Wurde von Ozer Sarilar vorgeschlagen

note: type: <p></p>
en: Fix location of Squid's user's manual because of its relocation as notified by Oskar Pearson (its maintainer).
de: Den Verweis auf das Benutzerhandbuch von Squid auf Grund seines Umzugs korrigiert. Wurde von Oskar Pearson (dem Betreuer) mitgeteilt

note: type: <p></p>
en: Fix information regarding umask, it's logins.defs (and not limits.conf) where this can be configured for all login connections. Also state what is Debian's default and what would be a more restrictive value for both users and root. Thanks to Reinhard Tartler for spotting the bug.
de: Informationen über umask korrigiert, es kann in logins.defs (nicht limits.conf) für alle Anmelde-Verbindung konfiguriert werden. Auch dargestellt, was Debians Vorgabe ist und was restriktivere Werte für sowohl »user« als auch »root« wären. Vielen Dank an Reinhard Tartler für das Auffinden des Fehlers

note: type: <heading></heading>
en: Version 3.9 (October 2006)
de: Version 3.9 (Oktober 2006)

note: type: <p></p>
en: Add information on how to track security vulnerabilities and add references to the Debian Testing Security Tracker.
de: Informationen hinzugefügt, wie man Sicherheitslücken verfolgt. Hinweis auf den Debian-Testing-Sicherheits-Tracker hinzugefügt

note: type: <p></p>
en: Add more information on the security support for testing.
de: Weitere Informationen über die Sicherheitsunterstützung für Testing hinzugefügt

note: type: <p></p>
en: Fix a large number of typos with a patch provided by Simon Brandmair.
de: Eine große Anzahl von Tippfehlern mit einem Patch von Simon Brandmair korrigiert

note: type: <p></p>
en: Added section on how to disable root prompt on initramfs provided by Max Attems.
de: Einen Abschnitt hinzugefügt, wie der Root-Prompt bei Initramfs abgestellt wird. Wurde von Max Attems beigesteuert

note: type: <p></p>
en: Remove references to queso.
de: Verweise auf Queso entfernt

note: type: <p></p>
en: Note that testing is now security-supported in the introduction.
de: Hinweis in der Einleitung hinzugefügt, dass nun auch Testing vom Sicherheitsteam unterstützt wird

note: type: <heading></heading>
en: Version 3.8 (July 2006)
de: Version 3.8 (Juli 2006)

note: type: <p></p>
en: Rewrote the information on how to setup ssh chroots to clarify the different options available, thank to Bruce Park for bringing up the different mistakes in this appendix.
de: Die Hinweise neugeschrieben, wie man SSH in einer Chroot-Umgebung einsperrt, um die verschiedenen Optionen deutlicher herauszustellen. Vielen Dank an Bruce Park, der auf verschiedene Fehler in diesem Anhang hinwies

note: type: <p></p>
en: Fix lsof call as suggested by Christophe Sahut.
de: Den Aufruf von lsof verbessert, wie es von Christophe Sahut vorgeschlagen wurde

note: type: <p></p>
en: Include patches for typo fixes from Uwe Hermann.
de: Patches von Uwe Hermann zur Verbesserung von Tippfehlern eingefügt

note: type: <p></p>
en: Fix typo in reference spotted by Moritz Naumann.
de: Einen Tippfehler in einer Referenz verbessert, der von Moritz Naumann entdeckt wurde

note: type: <p></p>
en: Add a section on Debian Developer's best practices for security.
de: Einen Abschnitt über die bewährten Methoden der Debian-Entwickler in Hinblick auf Sicherheitsfragen hinzugefügt

note: type: <p></p>
en: Ammended firewall script with comments from WhiteGhost.
de: Ein Firewall-Skript mit Kommentaren von WhiteGhost hinzugefügt

note: type: <heading></heading>
en: Version 3.6 (March 2006)
de: Version 3.6 (März 2006)

note: type: <p></p>
en: Included a patch from Thomas Sjögren which describes that <tt>noexec</tt> works as expected with "new" kernels, adds information regarding tempfile handling, and some new pointers to external documentation.
de: Einen Patch von Thomas Sjögren eingefügt, der beschreibt, dass <tt>noexec</tt> wie erwartet mit »neuen« Kernel arbeitet, der Informationen über den Umgang mit temporären Dateien und einige Verweise auf externe Dokumentationen hinzufügt

note: type: <p></p>
en: Add a pointer to Dan Farmer's and Wietse Venema's forensic discovery web site, as suggested by Freek Dijkstra, and expanded a little bit the forensic analysis section with more pointers.
de: Nach einem Vorschlag von Freek Dijkstra einen Verweis auf Dan Farmers und Wietse Venemas Website über forensische Entdeckungen eingefügt und den Abschnitt über forensische Analyse mit weiteren Verweisen etwas erweitert

note: type: <p></p>
en: Fixed URL of Italy's CERT, thanks to Christoph Auer.
de: Dank Christoph Auer die URL des italienischen CERT korrigiert

note: type: <p></p>
en: Reuse Joey Hess' information at the wiki on secure apt and introduce it in the infrastructure section.
de: Wieder Joey Hess' Informationen aus dem Wiki über Secure Apt verwendet und sie in den Infrastrukturabschnitt eingefügt

note: type: <p></p>
en: Review sections referring to old versions (woody or potato).
de: Abschnitte in Hinblick auf ältere Versionen (Woody oder Potato) überarbeitet

note: type: <p></p>
en: Fix some cosmetic issues with patch from Simon Brandmair.
de: Einige Darstellungsprobleme mit einem Patch von Simon Brandmair ausgebessert

note: type: <p></p>
en: Included patches from Carlo Perassi: acl patches are obsolete, openwall patches are obsolete too, removed fixme notes about 2.2 and 2.4 series kernels, hap is obsolete (and not present in WNPP), remove references to Immunix (StackGuard is now in Novell's hands), and fix a FIXME about the use of bsign or elfsign.
de: Patches von Carlo Perassi eingepflegt: ACL-Patches sind überflüssig, ebenso wie die Openwall-Patches, Fixme-Anmerkungen über die Kernelserien 2.2 und 2.4 entfernt, hap ist überflüssig (und nicht in WNPP), Verweise auf Immunix entfernt (StackGuard gehört jetzt Novell) und verbesserte ein FIXME über der Verwendung von bsign oder elfsign

note: type: <p></p>
en: Updated references to SElinux web pages to point to the Wiki (currently the most up to date source of information).
de: Verweise auf die Webseiten von SELinux aktualisiert, so dass sie auf das Wiki verweisen (derzeit die aktuellste Informationsquelle)

note: type: <p></p>
en: Include file tags and make a more consistent use of "MD5 sum" with a patch from Jens Seidel.
de: Dateimarkierungen eingefügt und eine einheitlichere Verwendung von »MD5 sum« mit einem Patch von Jens Seidel hergestellt

note: type: <p></p>
en: Patch from Joost van Baal improving the information on the firewall section (pointing to the wiki instead of listing all firewall packages available) (Closes: #339865).
de: Patch von Joost van Baal angewendet, mit dem die Informationen im Firewall-Abschnitt verbessert werden (Verweis auf das Wiki anstatt alle verfügbaren Firewall-Paket aufzulisten) (schließt: #339865)

note: type: <p></p>
en: Review the FAQ section on vulnerability stats, thanks to Carlos Galisteo de Cabo for pointing out that it was out of date.
de: Den FAQ-Abschnitt über die Verwundbarkeitsstatistiken überarbeitet, dank Carlos Galisteo de Cabos Hinweis, dass der Abschnitt veraltet ist

note: type: <p></p>
en: Use the quote from the Social Contract 1.1 instead of 1.0 as suggested by Francesco Poli.
de: Das Zitat des Social Contracts 1.1 anstatt von 1.0 verwendet, wie von Francesco Poli vorgeschlagen

note: type: <p></p>
en: Note on the SSH section that the chroot will not work if using the nodev option in the partition and point to the latest ssh packages with the chroot patch, thanks to Lutz Broedel for pointing these issues out.
de: Hinweis im SSH-Abschnitt eingefügt, dass Chroot nicht funktioniert, wenn die Option nodev mit der Partition verwendet wird, und auf das neuste ssh-Paket mit dem chroot-Patch verwiesen. Vielen Dank an Lutz Broedel für diese Hinweise

note: type: <p></p>
en: Fix typo spotted by Marcos Roberto Greiner (md5sum should be sha1sum in code snippet).
de: Einen Tippfehler ausgebessert, der von Marcos Roberto Greiner entdeckt wurde (md5sum sollte sha1sum im Code-Schnipsel sein)

note: type: <p></p>
en: Included Jens Seidel's patch fixing a number of package names and typos.
de: Jens Seidels Patch eingefügt, der eine Anzahl von Paketnamen und Tippfehlern verbesserte

note: type: <p></p>
en: Slightly update of the tools section, removed tools no longer available and added some new ones.
de: Kleine Aktualisierung des Werkzeugabschnitts, Werkzeuge entfernt, die nicht länger verfügbar sind, und einige neue hinzugefügt

note: type: <p></p>
en: Rewrite parts of the section related to where to find this document and what formats are available (the website does provide a PDF version). Also note that copies on other sites and translations might be obsolete (many of the Google hits for the manual in other sites are actually out of date).
de: Teile des Abschnitts neu geschrieben, in dem es darum geht, wo und in welchen Formaten dieses Dokument erhältlich ist (die Website stellt eine PDF-Version zur Verfügung). Auch angemerkt, dass Kopien auf anderen Sites und Übersetzungen veraltet sein könnten (viele der Treffer auf Google für dieses Handbuch auf anderen Sites sind tatsächlich veraltet).

note: type: <p></p>
en: Improved the after installation security enhancements related to kernel configuration for network level protection with a sysctl.conf file provided by Will Moy.
de: Die Verbesserung der Sicherheit nach der Installation im Zusammenhang mit der Kernelkonfiguration für den Schutz der Netzwerkebene mit der Datei sysctl.conf verbessert. Wurde von Will Moy zur Verfügung gestellt.

note: type: <p></p>
en: Improved the gdm section, thanks to Simon Brandmair.
de: Den Abschnitt über Gdm dank Simon Brandmair verbessert

note: type: <p></p>
en: Typo fixes from Frédéric Bothamy and Simon Brandmair.
de: Ausbesserungen von Tippfehlern, die von Frédéric Bothamy und Simon Brandmair entdeckt wurden

note: type: <p></p>
en: Improvements in the after installation sections related to how to generate the MD5 (or SHA-1) sums of binaries for periodic review.
de: Verbesserungen im Abschnitt »Nach der Installation« im Zusammenhang, wie MD5-Summen (oder SHA-1-Summen) für periodische Überprüfungen erstellt werden

note: type: <p></p>
en: Updated the after installation sections regarding checksecurity configuration (was out of date).
de: Den Abschnitt »Nach der Installation« in Hinblick auf die Konfiguration von Checksecurity (war veraltet) aktualisiert

note: type: <heading></heading>
en: Version 3.3 (June 2005)
de: Version 3.3 (Juni 2005)

note: type: <p></p>
en: Added a code snippet to use grep-available to generate the list of packages depending on Perl. As requested in #302470.
de: Einen Code-Schnipsel hinzugefügt, um mit Grep-available eine Liste von Paketen zu erstellen, die von Perl abhängen. Wurde so in #302470 erbeten

note: type: <p></p>
en: Rewrite of the section on network services (which ones are installed and how to disable them).
de: Den Abschnitt über Netzwerkdienste neu geschrieben (welche installiert sind und wie man sie abschaltet)

note: type: <p></p>
en: Added more information to the honeypot deployment section mentioning useful Debian packages.
de: Weitere Informationen zum Abschnitt über die Entwicklung eines Honigtopfs hinzugefügt, indem nützliche Debian-Pakete erwähnt werden

note: type: <heading></heading>
en: Version 3.2 (March 2005)
de: Version 3.2 (März 2005)

note: type: <p></p>
en: Expanded the PAM configuration limits section.
de: Den Abschnitt über die Konfiguration von Limits mit PAM erweitert

note: type: <p></p>
en: Added information on how to use pam_chroot for openssh (based on pam_chroot's README).
de: Informationen hinzugefügt, wie pam_chroot für Openssh eingesetzt wird (auf Grundlage der README von pam_chroot)

note: type: <p></p>
en: Fixed some minor issues reported by Dan Jacobson.
de: Einige kleinere Dinge korrigiert, die von Dan Jacobson gemeldet wurden

note: type: <p></p>
en: Updated the kernel patches information partially based on a patch from Carlo Perassi and also by adding deprecation notes and new kernel patches available (adamantix).
de: Die Informationen über Kernelpatches aktualisiert, teilweise auf Grundlage eines Patches von Carlo Perassi sowie durch Anmerkungen zu aufgegebenen Teilen des Kernels und zu neuen Kernelpatches (adamantix)

note: type: <p></p>
en: Included patch from Simon Brandmair that fixes a sentence related to login failures in terminal.
de: Einen Patch von Simon Brandmair eingefügt, der einen Satz im Zusammenhang mit Login-Fehlern auf dem Terminal ausbesserte

note: type: <p></p>
en: Added Mozilla/Thunderbird to the valid GPG agents as suggested by Kapolnai Richard.
de: Mozilla/Thunderbird zu den gültigen GPG-Agenten hinzugefügt, wie von Kapolnai Richard vorgeschlagen wurde

note: type: <p></p>
en: Expanded the section on security updates mentioning library and kernel updates and how to detect when services need to be restarted.
de: Den Abschnitt über Sicherheitsaktualisierungen, die Aktualisierung von Bibliotheken und des Kernels betreffen, und wie man herausfindet, ob Dienste neu gestartet werden müssen, erweitert

note: type: <p></p>
en: Rewrote the firewall section, moved the information that applies to woody down and expand the other sections including some information on how to manually set the firewall (with a sample script) and how to test the firewall configuration.
de: Den Abschnitt über die Firewall neu geschrieben, die Informationen, die Woody betreffen, nach unten verschoben und die übrigen Abschnitte erweitert, einschließlich Hinweisen dazu, wie man von Hand eine Firewall einrichtet (mit einem Beispielsskript) und wie man die Konfiguration der Firewall testen kann

note: type: <p></p>
en: Added some information preparing for the 3.1 release.
de: Einige Informationen bezüglich der Veröffentlichung von Debian 3.1 hinzugefügt

note: type: <p></p>
en: Added more detailed information on kernel upgrades, specifically targeted at those that used the old installation system.
de: Ausführlichere Hinweise zu Kernelupgrades hinzugefügt, die sich besonders an diejenigen richten, die das alte Installationssystem verwenden

note: type: <p></p>
en: Added a small section on the experimental apt 0.6 release which provides package signing checks. Moved old content to the section and also added a pointer to changes made in aptitude.
de: Einen kurzen Abschnitt über die experimentelle Veröffentlichung von Apt 0.6 eingefügt, die die Überprüfung von Paketsignaturen enthält. Den alten Inhalt in den Abschnitt verschoben und auch einen Verweis auf die Veränderungen, die in Aptitude vorgenommen wurden, hinzugefügt

note: type: <p></p>
en: Typo fixes spotted by Frédéric Bothamy.
de: Ausbesserungen von Tippfehlern, die von Frédéric Bothamy entdeckt wurden

note: type: <p></p>
en: Initial release.
de: Erste Veröffentlichung

note: type: <heading></heading>
en: Credits and thanks!
de: Danksagungen

note: type: <p></p>
en: Alexander Reelsen wrote the original document.
de: Alexander Reelsen schrieb die ursprüngliche Version.

note: type: <p></p>
en: Javier Fernández-Sanguino added more info to the original doc.
de: Javier Fernández-Sanguino fügte der Originalversion einiges an Informationen hinzu.

note: type: <p></p>
en: Robert van der Meulen provided the quota paragraphs and many good ideas.
de: Robert van der Meulen stellte den Abschnitt über Quota und viele seiner guten Ideen zur Verfügung.

note: type: <p></p>
en: Ethan Benson corrected the PAM paragraph and had some good ideas.
de: Ethan Benson korrigierte den PAM-Abschnitt und hatte einige gute Ideen.

note: type: <p></p>
en: Dariusz Puchalak contributed some information to several chapters.
de: Dariusz Puchalak trug Informationen zu verschiedenen Kapiteln bei.

note: type: <p></p>
en: Gaby Schilders contributed a nice Genius/Paranoia idea.
de: Gaby Schilders trug eine nette Genius/Paranoia-Idee bei.

note: type: <p></p>
en: Era Eriksson smoothed out the language in a lot of places and contributed the checklist appendix.
de: Era Eriksson gab dem Ganzen an vielen Stellen den sprachlichen Feinschliff und trug zur Checkliste im Anhang bei.

note: type: <p></p>
en: Philipe Gaspar wrote the LKM information.
de: Philipe Gaspar schrieb die LKM-Informationen.

note: type: <p></p>
en: Yotam Rubin contributed fixes for many typos as well as information regarding bind versions and MD5 passwords.
de: Yotam Rubin trug sowohl Korrekturen für viele Tippfehler bei als auch Informationen über die Versionen von Bind und MD5-Passwörter.

note: type: <p></p>
en: Francois Bayart provided the appendix describing how to set up a bridge firewall.
de: Francois Bayart stellte den Anhang zur Verfügung, in dem beschrieben wird, wie man eine Bridge-Firewall aufsetzt.

note: type: <p></p>
en: Joey Hess wrote the section describing how Secure Apt works on the <url id="http://wiki.debian.org/SecureApt" name="Debian Wiki">.
de: Joey Hess schrieb im <url id="http://wiki.debian.org/SecureApt" name="Debian-Wiki"> den Abschnitt, der erklärt, wie Secure Apt funktioniert.

note: type: <p></p>
en: Martin F. Krafft wrote some information on his blog regarding fingerprint verification which was also reused for the Secure Apt section.
de: Martin F. Krafft schrieb in seinem Blog etwas darüber, wie die Verifizierung von Fingerabdrücken funktioniert. Dies wurde im Abschnitt über Secure Apt verwendet.

note: type: <p></p>
en: Francesco Poli did an extensive review of the manual and provided quite a lot of bug reports and typo fixes which improved and helped update the document.
de: Francesco Poli sah dieses Dokument umfassend durch und stellte eine große Anzahl von Fehlerberichten und Ausbesserungen von Tippfehlern zur Verfügung, mit denen dieses Dokument verbessert und aktualisiert werden konnte.

note: type: <p></p>
en: All the people who made suggestions for improvements that (eventually) were included here (see <ref id="changelog">).
de: All den Leuten, die Verbesserungen vorschlugen, die (letzten Endes) eingeflossen sind (siehe <ref id="changelog">).

note: type: <p></p>
en: (Alexander) All the folks who encouraged me to write this HOWTO (which was later turned into a manual).
de: (Alexander) All den Leuten, die mich ermutigten, dieses HOWTO zu schreiben (das später zu einer ganzen Anleitung wurde).

note: type: <p></p>
en: The whole Debian project.
de: Dem ganzen Debian-Projekt

note: type: <heading></heading>
en: Before you begin
de: Bevor Sie beginnen

note: type: <heading></heading>
en: What do you want this system for?
de: Wofür möchten Sie dieses System benutzen?

note: type: <p></p>
en: Securing Debian is not very different from securing any other system; in order to do it properly, you must first decide what you intend to do with it. After this, you will have to consider that the following tasks need to be taken care of if you want a really secure system.
de: Das Absichern von Debian ist nicht viel anders als das Absichern von irgendeinem anderen System. Um es richtig zu machen, müssen Sie zunächst entscheiden, was Sie mit Ihrem System machen möchten. Anschließend müssen Sie sich klarmachen, dass Sie die folgenden Schritte sorgfältig ausführen müssen, um ein wirklich sicheres System zu erhalten.

note: type: <p><list>
en: You will find that this manual is written from the bottom up, that is, you will read some information on tasks to do before, during and after you install your Debian system. The tasks can also be thought of as:
de: Sie werden feststellen, dass diese Anleitung von der Pike auf geschrieben ist. Sie werden die Informationen zu einer Aufgabe, die Sie vor, während und nach der Debian-Installation ausführen sollten, in der entsprechenden Reihenfolge vorgestellt bekommen. Die einzelnen Aufgaben können wie folgt beschrieben werden:

note: type: <p></p>
en: Decide which services you need and limit your system to those. This includes deactivating/uninstalling unneeded services, and adding firewall-like filters, or tcpwrappers.
de: Entscheiden Sie, welche Dienste Sie benötigen, und beschränken Sie Ihr System auf diese. Das schließt das Deaktivieren oder Deinstallieren von überflüssigen Diensten und das Installieren von firewall-ähnlichen Filtern oder TCP-Wrappern ein.

note: type: <p></p>
en: Limit users and permissions in your system.
de: Einschränken der Nutzer- und Zugriffsrechte auf Ihrem System

note: type: <p></p>
en: Harden offered services so that, in the event of a service compromise, the impact to your system is minimized.
de: Abhärten der angebotenen Dienste, damit der Einfluss auf Ihr System im Falle einer Kompromittierung möglichst gering ist

note: type: <p></p>
en: Use appropriate tools to guarantee that unauthorized use is detected so that you can take appropriate measures.
de: Benutzen Sie die passenden Werkzeuge, um sicherzustellen, dass ein unautorisierter Zugriff auf Ihr System entdeckt wird, so dass Sie geeignete Gegenmaßnahmen ergreifen können

note: type: <heading></heading>
en: Be aware of general security problems
de: Seien Sie wachsam gegenüber generellen Sicherheitsproblemen!

note: type: <p></p>
en: The following manual does not (usually) go into the details on why some issues are considered security risks. However, you might want to have a better background regarding general UNIX and (specific) Linux security. Take some time to read over security related documents in order to make informed decisions when you are encountered with different choices. Debian GNU/Linux is based on the Linux kernel, so much of the information regarding Linux, as well as from other distributions and general UNIX security also apply to it (even if the tools used, or the programs available, differ).
de: Diese Anleitung geht (normalerweise) nicht im Detail darauf ein, warum bestimmte Sachen als Sicherheitsrisiko betrachtet werden. Es wäre aber sicherlich von Vorteil, wenn Sie mehr Hintergrundwissen von der Sicherheit in Unix im Allgemeinen und von der in Linux im Besonderen haben. Nehmen Sie sich die Zeit, um sicherheitsrelevante Dokumente zu lesen, um Entscheidungen informiert treffen zu können, wenn Sie eine Auswahl treffen müssen. Debian GNU/Linux basiert auf dem Linux-Kernel, so dass viele Informationen über Linux, und sogar über andere Distributionen und allgemeine UNIX-Sicherheit, auch hierauf zutreffen (sogar wenn sich die benutzten Werkzeuge oder die verfügbaren Programme unterscheiden).

note: type: <p><list>
en: Some useful documents include:
de: Ein paar nützliche Dokumente sind:

note: type: <p></p>
en: The <url id="http://www.tldp.org/HOWTO/Security-HOWTO/" name="Linux Security HOWTO"> (also available at <url id="http://www.linuxsecurity.com/docs/LDP/Security-HOWTO.html" name="LinuxSecurity">) is one of the best references regarding general Linux security.
de: Das <url name="Linux Security HOWTO" id="http://www.tldp.org/HOWTO/Security-HOWTO/"> (auch unter<url id="http://www.linuxsecurity.com/docs/LDP/Security-HOWTO.html" name="LinuxSecurity"> verfügbar) ist eine der besten Referenzen über allgemeine Linux-Sicherheit.

note: type: <p></p>
en: The <url id="http://www.tldp.org/HOWTO/Security-Quickstart-HOWTO/" name="Security Quick-Start HOWTO for Linux"> is also a very good starting point for novice users (both to Linux and security).
de: Das <url name="Security Quick-Start HOWTO for Linux" id="http://www.tldp.org/HOWTO/Security-Quickstart-HOWTO/"> ist auch ein sehr guter Einstieg für unerfahrene Benutzer (sowohl bezüglich Linux als auch bezüglich Sicherheit).

note: type: <p></p>
en: The <url id="http://seifried.org/lasg/" name="Linux Security Administrator's Guide"> is a complete guide that touches all the issues related to security in Linux, from kernel security to VPNs. Note that it has not been updated since 2001, but some information is still relevant. <footnote><p>At a given time it was superseded by the "Linux Security Knowledge Base". This documentation is also provided in Debian through the <package>lskb</package> package. Now it's back as the <em>Lasg</em> again.</p></footnote>
de: Der <url id="http://seifried.org/lasg/" name="Linux Security Administrator's Guide"> ist eine komplette Anleitung, die alle Sicherheitsangelegenheiten von Linux behandelt, von Sicherheit im Kernel bis hin zu VPNs. Beachten Sie bitte, dass er seit 2001 nicht mehr aktualisiert wurde, trotzdem sind einige Informationen immer noch sachdienlich. <footnote><p>Irgendwann wurde er von der »Linux Security Knowledge Base« abgelöst. Dieses Dokument wird ebenfalls durch das Paket <package>lakb</package> zur Verfügung gestellt. Jetzt wird der Guide wieder unter dem Namen <em>Lasg</em> verbreitet. </p></footnote>

note: type: <p></p>
en: Kurt Seifried's <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Securing Linux Step by Step">.
de:  Kurt Seifrieds <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Securing Linux Step by Step">

note: type: <p></p>
en: In <url id="http://www.tldp.org/links/p_books.html#securing_linux" name="Securing and Optimizing Linux: RedHat Edition"> you can find a similar document to this manual but related to Red Hat, some of the issues are not distribution-specific and also apply to Debian.
de: In <url name="Securing and Optimizing Linux: RedHat Edition" id="http://www.tldp.org/links/p_books.html#securing_linux"> finden Sie eine Dokumentation ähnlich zu dieser, bezogen auf Red Hat. Manche behandelten Sachen sind nicht distributionsspezifisch, passen also auch auf Debian.

note: type: <p></p>
en: Another Red Hat related document is <url id="http://ltp.sourceforge.net/docs/RHEL-EAL3-Configuration-Guide.pdf" name="EAL3 Evaluated Configuration Guide for Red Hat Enterprise">.
de: Ein anderes Red Hat bezogenes Dokument ist der <url name="EAL3 Evaluated Configuration Guide for Red Hat Enterprise" id="http://ltp.sourceforge.net/docs/RHEL-EAL3-Configuration-Guide.pdf">.

note: type: <p></p>
en: IntersectAlliance has published some documents that can be used as reference cards on how to harden Linux servers (and their services), the documents are available at <url id="http://www.intersectalliance.com/projects/index.html" name="their site">.
de: IntersectAlliance hat einige Dokumente veröffentlicht, die als Referenz benutzt werden können, wie man einen Linux-Server (und seine Dienste) abhärtet. Diese Dokumente sind auf <url id="http://www.intersectalliance.com/projects/index.html" name="ihrer Seite"> verfügbar.

note: type: <p></p>
en: For network administrators, a good reference for building a secure network is the <url id="http://www.linuxsecurity.com/docs/LDP/Securing-Domain-HOWTO/" name="Securing your Domain HOWTO">.
de: Für Netzwerk-Administratoren ist das <url name="Securing your Domain HOWTO" id="http://www.linuxsecurity.com/docs/LDP/Securing-Domain-HOWTO/"> ein gutes Handbuch, wie man sein Netzwerk absichert.

note: type: <p></p>
en: If you want to evaluate the programs you are going to use (or want to build up some new ones) you should read the <url id="http://www.tldp.org/HOWTO/Secure-Programs-HOWTO/" name="Secure Programs HOWTO"> (master copy is available at <url id="http://www.dwheeler.com/secure-programs/">, it includes slides and talks from the author, David Wheeler)
de: Wenn Sie die Programme, die Sie benutzen möchten (oder die Sie neu schreiben wollen), bezüglich der Sicherheit evaluieren wollen, sollten Sie das <url name="Secure Programs HOWTO" id="http://www.tldp.org/HOWTO/Secure-Programs-HOWTO/"> durchlesen (das Originaldokument ist unter <url id="http://www.dwheeler.com/secure-programs/"> verfügbar. Es beinhaltet Präsentationen und Kommentare des Autors David Wheeler).

note: type: <p></p>
en: If you are considering installing firewall capabilities, you should read the <url id="http://www.tldp.org/HOWTO/Firewall-HOWTO.html" name="Firewall HOWTO"> and the <url id="http://www.tldp.org/HOWTO/IPCHAINS-HOWTO.html" name="IPCHAINS HOWTO"> (for kernels previous to 2.4).
de: Wenn Sie erwägen, eine Firewall zu installieren, sollten Sie das <url name="Firewall HOWTO" id="http://www.tldp.org/HOWTO/Firewall-HOWTO.html"> und das <url name="IPCHAINS HOWTO" id="http://www.tldp.org/HOWTO/IPCHAINS-HOWTO.html"> (bei Kerneln vor Version 2.4) lesen.

note: type: <p></p>
en: Finally, a good card to keep handy is the <url id="http://www.linuxsecurity.com/docs/QuickRefCard.pdf" name="Linux Security ReferenceCard">.
de: Schließlich kann es sinnvoll sein, die <url id="http://www.linuxsecurity.com/docs/QuickRefCard.pdf" name="Linux Security ReferenceCard"> griffbereit zu haben.

note: type: <p></p>
en: In any case, there is more information regarding the services explained here (NFS, NIS, SMB...) in many of the HOWTOs of the <url id="http://www.tldp.org/" name="The Linux Documentation Project">. Some of these documents speak on the security side of a given service, so be sure to take a look there too.
de: Auf jedem Fall gibt es mehr Informationen über die hier behandelten Dienste (NFS, NIS, SMB, ...) in den vielen HOWTOs, die Sie beim <url name="Linux-Dokumentations-Projekt" id="http://www.tldp.org/"> finden. Manche dieser Dokumente gehen auf die Sicherheitsaspekte von bestimmten Diensten ein. Sie sollten auch hierauf einen Blick werfen.

note: type: <p></p>
en: The HOWTO documents from the Linux Documentation Project are available in Debian GNU/Linux through the installation of the <package>doc-linux-text</package> (text version) or <package>doc-linux-html</package> (HTML version). After installation these documents will be available at the <file>/usr/share/doc/HOWTO/en-txt</file> and <file>/usr/share/doc/HOWTO/en-html</file> directories, respectively.
de: Die HOWTO-Dokumente des Linux-Dokumentations-Projekts sind unter Debian GNU/Linux durch Installation der Pakete <package>doc-linux-text</package> (englische Text-Version) oder <package>doc-linux-de</package> (HTML-Version) verfügbar. Nach der Installation sind diese Dokumente in den Verzeichnissen <file>/usr/share/doc/HOWTO/en-txt</file> bzw. <file>/usr/share/doc/HOWTO/de-html</file> vorhanden.

note: type: <p><list>
en: Other recommended Linux books:
de: Andere empfohlene Linux-Bücher:

note: type: <p></p>
en: Maximum Linux Security : A Hacker's Guide to Protecting Your Linux Server and Network. Anonymous. Paperback - 829 pages. Sams Publishing. ISBN: 0672313413. July 1999.
de: Maximum Linux Security: A Hacker's Guide to Protecting Your Linux Server and Network. Anonymous. Paperback - 829 pages. Sams Publishing. ISBN: 0672313413. Juli 1999.

note: type: <p></p>
en: Linux Security By John S. Flowers. New Riders; ISBN: 0735700354. March 1999.
de: Linux Security von John S. Flowers. New Riders; ISBN: 0735700354. März 1999.

note: type: <p></p>
en: <url id="http://www.linux.org/books/ISBN_0072127732.html" name="Hacking Linux Exposed"> By Brian Hatch. McGraw-Hill Higher Education. ISBN 0072127732. April, 2001
de: <url id="http://www.linux.org/books/ISBN_0072127732.html" name="Hacking Linux Exposed"> By Brian Hatch. McGraw-Hill Higher Education. ISBN 0072127732. April 2001

note: type: <p><list>
en: Other books (which might be related to general issues regarding UNIX and security and not Linux specific):
de: Andere Bücher (auch über allgemeine Aspekte von Sicherheit unter Unix, nicht nur linuxspezifisch):

note: type: <p></p>
en: Firewalls and Internet Security Cheswick, William R. and Bellovin, Steven M.; Addison-Wesley; 1994; ISBN 0-201-63357-4; 320pp.
de: Firewalls and Internet Security von Cheswick, William R. and Bellovin, Steven M.; Addison-Wesley; 1994; ISBN 0-201-63357-4; 320pp.

note: type: <p><list>
en: Some useful web sites to keep up to date regarding security:
de: Andere nützliche Websites, um sich bezüglich Sicherheit auf dem Laufenden zu halten:

note: type: <p></p>
en: <url id="http://csrc.nist.gov/fasp/index.html" name="NIST Security Guidelines">.
de: <url id="http://csrc.nist.gov/fasp/index.html" name="NIST Security Guidelines">

note: type: <p></p>
en: <url id="http://www.securityfocus.com" name="Security Focus"> the server that hosts the Bugtraq vulnerability database and list, and provides general security information, news and reports.
de: <url name="Security Focus" id="http://www.securityfocus.com">: Dort wird die Bugtraq-Schwachstellen-Datenbank und -Mailingliste bereitgestellt und es gibt allgemeine sicherheitsrelevante Informationen, Neuigkeiten und Berichte.

note: type: <p></p>
en: <url id="http://www.linuxsecurity.com/" name="Linux Security">. General information regarding Linux security (tools, news...). Most useful is the <url id="http://www.linuxsecurity.com/resources/documentation-1.html" name="main documentation"> page.
de: <url name="Linux Security" id="http://www.linuxsecurity.com/">: Allgemeine Informationen zu Sicherheit von Linux (Werkzeuge, Neuigkeiten ...). Die Seite <url name="main documentation" id="http://www.linuxsecurity.com/resources/documentation-1.html"> ist überaus nützlich.

note: type: <p></p>
en: <url id=" http://www.linux-firewall-tools.com/linux/" name="Linux firewall and security site">. General information regarding Linux firewalls and tools to control and administrate them.
de: <url name="Linux firewall and security site" id=" http://www.linux-firewall-tools.com/linux/">: allgemeine Informationen zu Linux-Firewalls und Werkzeuge, diese zu steuern und zu administrieren.

note: type: <heading></heading>
en: How does Debian handle security?
de: Wie geht Debian mit der Sicherheit um?

note: type: <p><list>
en: Just so you have a general overview of security in Debian GNU/Linux you should take note of the different issues that Debian tackles in order to provide an overall secure system:
de: Um einen allgemeinen Überblick über die Sicherheit unter Debian GNU/Linux zu bekommen, sollten Sie sich ansehen, was Debian unternimmt, um ein insgesamt sicheres System bereitzustellen.

note: type: <p></p>
en: Debian problems are always handled openly, even security related. Security issues are discussed openly on the debian-security mailing list. Debian Security Advisories (DSAs) are sent to public mailing lists (both internal and external) and are published on the public server. As the <url id="http://www.debian.org/social_contract" name="Debian Social Contract"> states:
de: Debians Probleme werden immer öffentlich behandelt, sogar wenn sie die Sicherheit betreffen. Sicherheitsfragen werden öffentlich auf der debian-security-Mailingliste diskutiert. Debian-Sicherheits-Ankündigungen (DSA) werden an öffentliche Mailinglisten (sowohl intern als auch extern) versendet und auf dem öffentlichen Server bekannt gegeben. Wie der <url name="Debian-Gesellschaftsvertrag" id="http://www.debian.org/social_contract"> sagt:

note: type: <p></p>
en: <em>We will not hide problems</em>
de: <em>Wir werden Probleme nicht verbergen.</em>

note: type: <p></p>
en: <em>We will keep our entire bug report database open for public view at all times. Reports that people file online will promptly become visible to others.</em>
de: <em>Wir werden unsere Fehlerdatenbank immer öffentlich betreiben. Fehlermeldungen, die von Personen online abgeschickt werden, sind augenblicklich für andere sichtbar.</em>

note: type: <p></p>
en: Debian follows security issues closely. The security team checks many security related sources, the most important being <url id="http://www.securityfocus.com/cgi-bin/vulns.pl" name="Bugtraq">, on the lookout for packages with security issues that might be included in Debian.
de: Debian verfolgt Sicherheitsangelegenheiten sehr aufmerksam. Das Sicherheits-Team prüft viele sicherheitsrelevante Quellen, die wichtigste davon <url name="Bugtraq" id="http://www.securityfocus.com/cgi-bin/vulns.pl">, wobei es Pakete mit Sicherheitsproblemen sucht, die ein Teil von Debian sein können.

note: type: <p></p>
en: Security updates are the first priority. When a security problem arises in a Debian package, the security update is prepared as fast as possible and distributed for our stable, testing and unstable releases, including all architectures.
de: Sicherheitsaktualisierungen genießen höchste Priorität. Wenn ein Sicherheitsproblem in einem Debian-Paket entdeckt wird, wird eine Sicherheitsaktualisierung so schnell wie möglich vorbereitet und für den Stable-, Testing- und Unstable-Zweig, einschließlich aller Architekturen, veröffentlicht.

note: type: <p></p>
en: Information regarding security is centralized in a single point, <url id="http://security.debian.org/">.
de: Alle Informationen über Sicherheit sind an einer zentralen Stelle zu finden: <url id="http://security.debian.org/">.

note: type: <p></p>
en: Debian is always trying to improve the overall security of the distribution by starting new projects, such as automatic package signature verification mechanisms.
de: Debian versucht immer, die gesamte Sicherheit seiner Distribution mittels neuer Projekte zu verbessern, beispielsweise durch automatische Paket-Signierungs- und Verifikations-Mechanismen.

note: type: <p></p>
en: Debian provides a number of useful security related tools for system administration and monitoring. Developers try to tightly integrate these tools with the distribution in order to make them a better suite to enforce local security policies. Tools include: integrity checkers, auditing tools, hardening tools, firewall tools, intrusion detection tools, etc.
de: Debian stellt eine Reihe von brauchbaren sicherheitsrelevanten Werkzeugen für die Systemadministration und -überwachung zur Verfügung. Entwickler versuchen, diese Werkzeuge fest mit der Distribution zu verbinden, um sie zu einer besseren Einheit zur Durchsetzung lokaler Sicherheitsrichtlinien zu machen. Diese Werkzeuge schließen Folgendes mit ein: integritätsprüfende Programme, Überwachungswerkzeuge, Werkzeuge zum Abhärten, Werkzeuge für Firewalls, Eindringlings-Erkennungs-Werkzeuge und vieles andere.

note: type: <p></p>
en: Package maintainers are aware of security issues. This leads to many "secure by default" service installations which could impose certain restrictions on their normal use. Debian does, however, try to balance security and ease of administration - the programs are not de-activated when you install them (as it is the case with say, the BSD family of operating systems). In any case, prominent security issues (such as <tt>setuid</tt> programs) are part of the <url id="http://www.debian.org/doc/debian-policy/" name="Debian Policy">.
de: Paketbetreuer sind sich der Sicherheitsprobleme bewusst. Dies führt oft zur »voreingestellt sicheren« Installation von Diensten, die sie manchmal in ihrer normalen Benutzung etwas einschränken können. Dennoch versucht Debian, Sicherheitsaspekte und Einfachheit der Administration abzuwägen, zum Beispiel werden Dienste nicht inaktiv installiert (wie es bei den Betriebssystemen der BSD-Familie üblich ist). Auf jeden Fall sind bedeutende Sicherheitsaspekte, wie zum Beispiel <tt>setuid</tt>-Programme, Teil der <url id="http://www.debian.org/doc/debian-policy/" name="Debian Policy">.

note: type: <p></p>
en: By publishing security information specific to Debian and complementing other information-security documents related to Debian (see <ref id="references">), this document aims to produce better system installations security-wise.
de: Dieses Dokument versucht, eine bessere Installation von Computersystemen hinsichtlich der Sicherheit zu erzielen, indem es Informationen über Sicherheit veröffentlicht, die auf Debian zugeschnitten sind, und diese durch andere Dokumente ergänzt, die sicherheitsspezifische Angelegenheiten im Zusammenhang mit Debian behandeln (vergleiche <ref id="references">).

note: type: <heading></heading>
en: Before and during the installation
de: Vor und während der Installation

note: type: <heading></heading>
en: Choose a BIOS password
de: Setzen Sie ein Passwort im BIOS

note: type: <p></p>
en: Before you install any operating system on your computer, set up a BIOS password. After installation (once you have enabled bootup from the hard disk) you should go back to the BIOS and change the boot sequence to disable booting from floppy, CD-ROM and other devices that shouldn't boot. Otherwise a cracker only needs physical access and a boot disk to access your entire system.
de: Bevor Sie irgendein Betriebssystem auf Ihrem Computer installieren, setzen Sie ein Passwort im BIOS. Nach der Installation (sobald Sie von der Festplatte booten können) sollten Sie zurück ins BIOS gehen und die Boot-Reihenfolge ändern, so dass Sie nicht von Diskette, CD-ROM oder sonstigen Geräten booten können, von denen dies nicht gehen sollte. Andernfalls benötigt ein Cracker nur physischen Zugang und eine Bootdiskette, um Zugriff auf Ihr ganzes System zu bekommen.

note: type: <p></p>
en: Disabling booting unless a password is supplied is even better. This can be very effective if you run a server, because it is not rebooted very often. The downside to this tactic is that rebooting requires human intervention which can cause problems if the machine is not easily accessible.
de: Es ist noch besser, wenn das System beim Booten immer ein Passwort verlangt. Dies kann sehr effektiv sein, wenn Sie einen Server laufen lassen, der selten neu gestartet wird. Der Nachteil dieser Vorgehensweise ist, dass das Neustarten einen menschlichen Eingriff benötigt, was zu Problemen führen kann, wenn das System nicht leicht zugänglich ist.

note: type: <p></p>
en: Note: many BIOSes have well known default master passwords, and applications also exist to retrieve the passwords from the BIOS. Corollary: don't depend on this measure to secure console access to system.
de: Hinweis: Viele BIOS-Varianten haben bekannte Master-Passwörter und es gibt sogar Programme, um Passwörter aus dem BIOS wieder auszulesen. Folglich können Sie sich nicht auf diese Maßnahme verlassen, um den Zugriff auf das System zu beschränken.

note: type: <heading></heading>
en: Partitioning the system
de: Partitionieren des Systems

note: type: <heading></heading>
en: Choose an intelligent partition scheme
de: Wählen Sie eine intelligente Partitionierung

note: type: <p><list>
en: An intelligent partition scheme depends on how the machine is used. A good rule of thumb is to be fairly liberal with your partitions and to pay attention to the following factors:
de: Was eine sinnvolle Partitionierung ist, hängt davon ab, wie die Maschine benutzt wird. Eine gute Faustregel ist, mit Ihren Partitionen eher großzügig zu sein und die folgenden Faktoren zu berücksichtigen:

note: type: <p></p>
en: Any directory tree which a user has write permissions to, such as e.g. <file>/home</file>, <file>/tmp</file> and <file>/var/tmp/</file>, should be on a separate partition. This reduces the risk of a user DoS by filling up your "/" mount point and rendering the system unusable (Note: this is not strictly true, since there is always some space reserved for root which a normal user cannot fill), and it also prevents hardlink attacks. <footnote><p>A very good example of this kind of attacks using /tmp is detailed in <url id="http://www.hackinglinuxexposed.com/articles/20031111.html" name="The mysteriously persistently exploitable program (contest)"> and <url id="http://www.hackinglinuxexposed.com/articles/20031214.html" name="The mysteriously persistently exploitable program explained"> (notice that the incident is Debian-related). It is basicly an attack in which a local user <em>stashes</em> away a vulnerable setuid application by making a hard link to it, effectively avoiding any updates (or removal) of the binary itself made by the system administrator. Dpkg was recently fixed to prevent this (see <url id="http://bugs.debian.org/225692" name="225692">) but other setuid binaries (not controlled by the package manager) are at risk if partitions are not setup correctly. </p></footnote>
de: Jeder Verzeichnisbaum, auf den ein Benutzer Schreibzugriff hat (wie zum Beispiel <file>/home</file>, <file>/tmp</file> und <file>/var/tmp/</file>) sollte auf einer separaten Partition liegen. Dies reduziert das Risiko eines DoS (Denial of Service, »Dienstverweigerung«) durch einen Benutzer, indem er Ihren »/«-Einhängepunkt vollschreibt und so das gesamte System unbenutzbar macht. <footnote><p>Eigentlich ist das so nicht ganz richtig, da immer etwas Platz für Root reserviert wird, den ein normaler Benutzer nicht belegen kann.</p></footnote> Außerdem verhindert dieses Vorgehen Hardlink-Angriffe.<footnote><p>Ein sehr gutes Beispiel dieser Art von Angriff, der das /tmp-Verzeichnis benutzt, ist ausführlich auf <url id="http://www.hackinglinuxexposed.com/articles/20031111.html" name="The mysteriously persistently exploitable program (contest)"> und auf <url id="http://www.hackinglinuxexposed.com/articles/20031214.html" name="The mysteriously persistently exploitable program explained"> beschrieben (beachten Sie, dass dieser Vorfall in einem Zusammenhang mit Debian steht). Im Prinzip ist das ein Angriff, bei dem ein lokaler Benutzer eine angreifbare Setuid-Anwendung <em>versteckt</em>, indem er einen harten Link zu ihr einrichtet. So kann er wirksam verhindern, dass diese Anwendung vom Systemadministrator aktualisiert (oder entfernt) wird. Dpkg wurde kürzlich verbessert, um das zu verhindern (vergleiche <url id="http://bugs.debian.org/225692" name="225692">). Aber andere Setuid-Anwendungen, die nicht vom Paketverwaltungsprogramm gesteuert werden, bleiben ein Risiko, wenn Partitionen nicht richtig eingerichtet werden.</p></footnote>

note: type: <p></p>
en: Any partition which can fluctuate, e.g. <file>/var</file> (especially <file>/var/log</file>) should also be on a separate partition. On a Debian system, you should create <file>/var</file> a little bit bigger than on other systems, because downloaded packages (the apt cache) are stored in <file>/var/cache/apt/archives</file>.
de: Außerdem sollte jeder Verzeichnisbaum, dessen Größe schwanken kann, zum Beispiel <file>/var</file> (insbesondere <file>/var/log</file>) eine separate Partition bekommen. Auf einem Debian-System sollten Sie der /var-Partition etwas mehr Platz als auf anderen Systemen geben, da heruntergeladene Pakete (der Zwischenspeicher von apt) unter <file>/var/cache/apt/archives</file> gespeichert werden.

note: type: <p></p>
en: Any partition where you want to install non-distribution software should be on a separate partition. According to the File Hierarchy Standard, this is <file>/opt</file> or <file>/usr/local</file>. If these are separate partitions, they will not be erased if you (have to) reinstall Debian itself.
de: Jede Partition, in der Sie Nicht-Distributions-Software installieren wollen, sollte separat sein. Nach dem File-Hierarchy-Standard wären dies <file>/opt</file> oder <file>/usr/local</file>. Wenn dies separate Partitionen sind, werden sie nicht gelöscht, falls Sie einmal Ihr Debian neu installieren (müssen).

note: type: <p></p>
en: From a security point of view, it makes sense to try to move static data to its own partition, and then mount that partition read-only. Better yet, put the data on read-only media. See below for more details.
de: Rein sicherheitstechnisch ist es sinnvoll, zu versuchen, statische Daten auf eine eigene Partition zu legen und diese dann als nur-lesbar einzuhängen (mounten). Oder noch besser: Legen Sie diese Daten auf einem rein-lesbaren Medium ab. Lesen Sie dazu die Ausführungen weiter unten.

note: type: <p></p>
en: In the case of a mail server it is important to have a separate partition for the mail spool. Remote users (either knowingly or unknowingly) can fill the mail spool (<file>/var/mail</file> and/or <file>/var/spool/mail</file>). If the spool is on a separate partition, this situation will not render the system unusable. Otherwise (if the spool directory is on the same partition as <file>/var</file>) the system might have important problems: log entries will not be created, packages cannot be installed, and some programs might even have problems starting up (if they use <file>/var/run</file>).
de: Im Falle eines Mailservers ist es wichtig, eine separate Partition für die Mail-Warteschlange (mail spool) anzulegen. Nicht-Lokale Benutzer können (wissentlich oder unwissentlich) diese Verzeichnisse (<file>/var/mail</file> oder <file>/var/spool/mail</file>) füllen. Liegt dieses Verzeichnis auf einer separaten Partition, würde dies das System nicht sofort unbenutzbar machen. Anderenfalls (wenn das Verzeichnis auch auf der <file>/var</file>-Partition liegt) hat das System ein großes Problem: Protokoll-Einträge (logs) können nicht erstellt werden, Pakete können nicht installiert werden und es könnten sogar ein paar Programme Probleme mit dem Starten haben (wenn sie <file>/var/run</file> benutzen).

note: type: <p></p>
en: Also, for partitions in which you cannot be sure of the needed space, installing Logical Volume Manager (<package>lvm-common</package> and the needed binaries for your kernel, this might be either <package>lvm10</package>, <package>lvm6</package>, or <package>lvm5</package>). Using <tt>lvm</tt>, you can create volume groups that expand multiple physical volumes.
de: Außerdem sollten Sie für Partitionen, deren Platzbedarf Sie noch nicht abschätzen können, den Logical-Volume-Manager (<package>lvm-common</package> und die benötigten ausführbaren Programme, entweder <package>lvm10</package> oder <package>lvm2</package>) installieren. Durch Benutzen von <tt>lvm</tt> können Sie Datenträger-Gruppen erstellen, die über mehrere Festplatten verteilt sind.

note: type: <heading></heading>
en: Selecting the appropriate file systems
de: Auswahl der passenden Dateisysteme

note: type: <p><list>
en: During the system partitioning you also have to decide which file system you want to use. The default file system<footnote><p>Since Debian GNU/Linux 4.0, codename <tt>etch</tt></p></footnote> selected in the Debian installation for Linux partitions is <tt>ext3</tt>, a journaling file system. It is recommended that you always use a journaling file system, such as <tt>ext3</tt>, <tt>reiserfs</tt>, <tt>jfs</tt> or <tt>xfs</tt>, to minimize the problems derived from a system crash in the following cases:
de: Während der Partitionierung des Systems müssen Sie sich ebenfalls entscheiden, welche Dateisysteme Sie benutzen möchten. Als Standard-Dateisystem<footnote><p>Seit Debian GNU/Linux 4.0 mit dem Codenamen <tt>Etch</tt>.</p></footnote> wird während der Installation für Linux-Partitionen <tt>ext3</tt> ausgewählt, das ein »Journaling Dateisystem« ist. Es ist empfehlenswert, immer ein solches Dateisystem zu verwenden, wie zum Beispiel <tt>ext3</tt>, <tt>reiserfs</tt>, <tt>jfs</tt> oder <tt>xfs</tt>. Dadurch verringern Sie Probleme nach einen Absturz des Systems in folgenden Fällen:

note: type: <p></p>
en: for laptops in all the file systems installed. That way if you run out of battery unexpectedly or the system freezes due to a hardware issue (such as X configuration which is somewhat common) you will be less likely to lose data during a hardware reboot.
de: Auf Laptops auf allen Dateisystemen. Auf diese Art reduzieren Sie die Wahrscheinlichkeit eines Datenverlustes, wenn beispielsweise unerwartet Ihr Akku leer wird oder das System aufgrund eines Hardware-Problems (etwa durch die X-Konfiguration, was relativ häufig auftritt) neu gestartet werden muss.

note: type: <p></p>
en: for production systems which store large amounts of data (like mail servers, ftp servers, network file systems...) it is recommended on these partitions. That way, in the event of a system crash, the server will take less time to recover and check the file systems, and data loss will be less likely.
de: Auf produktiven Systemen, die große Mengen von Daten speichern (zum Beispiel Mail-Server, FTP-Server, Netzwerk-Dateiserver, ...), ist es empfehlenswert, ein Journaling-Dateisystem auf diesen Partitionen einzusetzen. Wenn das System abstürzt, benötigt der Server so weniger Zeit, um das Dateisystem wieder herzustellen und zu prüfen, und die Wahrscheinlichkeit eines Datenverlustes wird verringert.

note: type: <p></p>
en: Leaving aside the performance issues regarding journalling file systems (since this can sometimes turn into a religious war), it is usually better to use the <tt>ext3</tt> file system. The reason for this is that it is backwards compatible with <tt>ext2</tt>, so if there are any issues with the journalling you can disable it and still have a working file system. Also, if you need to recover the system with a bootdisk (or CD-ROM) you do not need a custom kernel. If the kernel is 2.4 or 2.6 <tt>ext3</tt> support is already available, if it is a 2.2 kernel you will be able to boot the file system even if you lose journalling capabilities. If you are using other journalling file systems you will find that you might not be able to recover unless you have a 2.4 or 2.6 kernel with the needed modules built-in. If you are stuck with a 2.2 kernel on the rescue disk, it might be even more difficult to have it access <tt>reiserfs</tt> or <tt>xfs</tt>.
de: Lassen wir mal die Betrachtung der Leistung von Journaling-Dateisystemen beiseite (da dies oft in quasi-religiöse Glaubenskriege ausartet). In der Regel ist es besser, das <tt>ext3</tt>-Dateisystem zu benutzen. Der Grund dafür ist die Abwärtskompatibilität zu <tt>ext2</tt>. So können Sie, wenn es Probleme mit dem Journal gibt, dieses einfach abschalten und haben immer noch ein funktionierendes Dateisystem. Außerdem müssen Sie, wenn Sie das System mal mit einer Boot-Diskette (oder CD-ROM) wiederherstellen müssen, keinen speziellen Kernel benutzen. Wenn es sich um einen 2.4er oder 2.6er Kernel handelt, ist Unterstützung für <tt>ext3</tt> bereits vorhanden. Wenn es sich um einen 2.2er-Kernel handelt, können Sie trotzdem Ihr Dateisystem booten, auch wenn Sie die Journaling-Fähigkeiten einbüßen. Wenn Sie ein anderes Journaling-Dateisystem benutzen, werden Sie feststellen, dass eine Wiederherstellung nicht möglich ist, bis Sie einen 2.4er oder 2.6er Kernel mit den benötigten Modulen haben. Wenn Sie einen 2.2er Kernel auf der Rettungsdiskette verwenden müssen, kann es sich als noch schwerer erweisen, auf <tt>reiserfs</tt> oder <tt>xfs</tt> zuzugreifen.

note: type: <p></p>
en: In any case, data integrity might be better under <tt>ext3</tt> since it does file-data journalling while others do only meta-data journalling, see <url id="http://lwn.net/2001/0802/a/ext3-modes.php3">.
de: Auf jeden Fall ist die Datenintegrität unter <tt>ext3</tt> besser, da es auch Datei-Daten protokolliert, während andere Dateisysteme lediglich Meta-Daten protokollieren (siehe auch <url id="http://lwn.net/2001/0802/a/ext3-modes.php3">).

note: type: <p></p>
en: Notice, however, that there are some partitions that might not benefit from using a journaling filesystem. For example, if you are using a separate partition for <file>/tmp/</file> you might be better off using a standard <tt>ext2</tt> filesystem as it will be cleaned up when the system boots.
de: Beachten Sie aber, dass es auch einige Partitionen gibt, die von einem Journaling-Dateisystem nicht profitieren könnten. Wenn Sie beispielsweise eine eigene Partition für <file>/tmp/</file> verwenden, könnte ein übliches <tt>ext2</tt>-Dateisystem besser sein, weil es bei einem Neustart des Systems ohnehin geleert wird.

note: type: <heading></heading>
en: Do not plug to the Internet until ready
de: Gehen Sie nicht ins Internet, bevor Sie nicht bereit sind

note: type: <p></p>
en: The system should not be immediately connected to the Internet during installation. This could sound stupid but network installation is a common method. Since the system will install and activate services immediately, if the system is connected to the Internet and the services are not properly configured you are opening it to attack.
de: Während der Installation sollten Sie das System nicht sofort mit dem Internet verbinden. Dies hört sich vielleicht komisch an, aber die Installation über das Netzwerk ist eine gängige Methode. Da das System einige Dienste installiert und diese sofort aktiviert werden, könnten Sie Ihr System für Angriffe öffnen, wenn das System mit dem Internet verbunden ist und die Dienste nicht geeignet konfiguriert sind.

note: type: <p></p>
en: Also note that some services might have security vulnerabilities not fixed in the packages you are using for installation. This is usually true if you are installing from old media (like CD-ROMs). In this case, the system could even be compromised before you finish installation!
de: Außerdem sollten Sie beachten, dass manche Pakete noch Sicherheitsprobleme haben können, weil das Installationsmedium nicht auf dem aktuellen Stand ist. Dies ist für gewöhnlich dann der Fall, wenn Sie von älteren Medien (wie CD-ROMs) installieren. In diesem Fall könnte Ihr System bereits kompromittiert sein, bevor Sie mit der Installation fertig sind!

note: type: <p></p>
en: Since Debian installation and upgrades can be done over the Internet you might think it is a good idea to use this feature on installation. If the system is going to be directly connected to the Internet (and not protected by a firewall or NAT), it is best to install without connection to the Internet, using a local packages mirror for both the Debian package sources and the security updates. You can set up package mirrors by using another system connected to the Internet with Debian-specific tools (if it's a Debian system) like <package>apt-move</package> or <package>apt-proxy</package>, or other common mirroring tools, to provide the archive to the installed system. If you cannot do this, you can set up firewall rules to limit access to the system while doing the update (see <ref id="fw-security-update">).
de: Da die Debian-Installation und die Upgrades über das Internet durchgeführt werden können, denken Sie vielleicht, es sei eine gute Idee, dies gleich während der Installation zu nutzen. Wenn das System direkt mit dem Internet verbunden ist (und nicht von einer Firewall oder NAT geschützt wird), ist es besser, das System ohne Internet-Verbindung zu installieren. Benutzen Sie sowohl für die zu installierenden Pakete als auch für die Sicherheitsaktualisierungen eine lokale Quelle (Spiegel). Sie können einen Paket-Spiegel aufsetzen, indem Sie ein anderes System nutzen, dass mit dem Internet verbunden ist und für Debian spezifische Werkzeuge (falls es sich um ein Debian-System handelt) wie <package>apt-move</package> oder <package>apt-proxy</package> oder andere gebräuchliche Werkzeuge zur Erstellung von Spiegeln verwendet. Damit kann das Archiv für das installierte System zur Verfügung gestellt werden. Sollte dies nicht möglich sein, sollten Sie Firewall-Regeln aufsetzen, die den Zugriff auf Ihr System beschränken, während Sie die Aktualisierung durchführen (siehe <ref id="fw-security-update">).

note: type: <heading></heading>
en: Set a root password
de: Setzen Sie ein Passwort für Root

note: type: <p></p>
en: Setting a good root password is the most basic requirement for having a secure system. See <manref name="passwd" section="1"> for some hints on how to create good passwords. You can also use an automatic password generation program to do this for you (see <ref id="user-pwgen">).
de: Die wichtigste Grundlage für ein sicheres System ist ein gutes Root-Passwort. Siehe <manref section="1" name="passwd"> für einige Tipps, wie man gute Passwörter auswählt. Sie können auch automatische Passwort-Generatoren verwenden (siehe <ref id="user-pwgen">).

note: type: <p></p>
en: Plenty of information on choosing good passwords can be found on the Internet; two that provide a decent summary and rationale are Eric Wolfram's <url id="http://wolfram.org/writing/howto/password.html" name="How to: Pick a Safe Password"> and Walter Belgers' <url id="http://www.belgers.com/write/pwseceng.txt" name="Unix Password Security">
de: Im Internet gibt es zahlreiche Hinweise dazu, wie man gute Passwörter wählt. Zwei Seiten, die eine angemessene Übersicht und Begründung bieten, sind Eric Wolframs <url name="How to: Pick a Safe Password" id="http://wolfram.org/writing/howto/password.html"> und Walter Belgers <url name="Unix Password Security" id="http://www.belgers.com/write/pwseceng.txt">.

note: type: <heading></heading>
en: Activate shadow passwords and MD5 passwords
de: Aktivieren Sie Shadow- und MD5-Passwörter

note: type: <p></p>
en: At the end of the installation, you will be asked if shadow passwords should be enabled. Answer yes to this question, so passwords will be kept in the file <file>/etc/shadow</file>. Only the root user and the group shadow have read access to this file, so no users will be able to grab a copy of this file in order to run a password cracker against it. You can switch between shadow passwords and normal passwords at any time by using <tt>shadowconfig</tt>.
de: Gegen Ende der Installation werden Sie gefragt, ob Schatten-Passworte (»shadow passwords«) aktivieren werden sollen. Beantworten Sie diese Frage mit »ja«, werden die Passwörter in der Datei <file>/etc/shadow</file> gespeichert. Nur Root und die Gruppe shadow haben Lesezugriff auf diese Datei. So ist es keinem Benutzer möglich, sich eine Kopie dieser Datei zu besorgen, um einen Passwort-Cracker auf sie loszulassen. Sie können mit dem Befehl <tt>shadowconfig</tt> jederzeit zwischen »shadow passwords« und normalen Passwörtern wechseln.

note: type: <p></p>
en: Read more on shadow passwords in <url id="http://www.tldp.org/HOWTO/Shadow-Password-HOWTO.html" name="Shadow Password"> (<file>/usr/share/doc/HOWTO/en-txt/Shadow-Password.txt.gz</file>).
de: Mehr zum Thema Shadow-Passwörter finden Sie unter <url name="Shadow Password" id="http://www.tldp.org/HOWTO/Shadow-Password-HOWTO.html"> (<file>/usr/share/doc/HOWTO/en-txt/Shadow-Password.txt.gz</file>).

note: type: <p></p>
en: Furthermore, the installation uses MD5 hashed passwords per default. This is generally a very good idea since it allows longer passwords and better encryption. MD5 allows for passwords longer than 8 characters. This, if used wisely, can make it more difficult for attackers to brute-force the system's passwords. Regarding MD5 passwords, this is the default option when installing the latest <package>passwd</package> package. You can recognize MD5 passwords in the <file>/etc/shadow</file> file by their $1$ prefix.
de: Des Weiteren verwendet die Installation standardmäßig Passwörter, welche als MD5-Hashwerte gespeichert werden. Dies ist im Allgemeinen eine sehr gute Idee, da es längere Passwörter und bessere Verschlüsselung erlaubt. Mit MD5 sind Passwörter möglich, die länger als 8 Zeichen sind. Auf diese Weise kann man es einem Angreifer schwieriger machen, mit Brute-Force-Methoden an die Passwörter heranzukommen. Dies ist die Standardeinstellung in den neuesten Versionen des Pakets <package>passwd</package>. Sie erkennen MD5-Passwörter übrigens in der <file>/etc/shadow</file> an dem Anfang $1$.

note: type: <p><example>
en: This, as a matter of fact, modifies all files under <file>/etc/pam.d</file> by substituting the password line and include md5 in it:
de: Dies verändert alle Dateien im Verzeichnis <file>/etc/pam.d</file> und ergänzt in der »password«-Zeile den Eintrag »md5«:

note: type: <p></p>
en: If <tt>max</tt> is not set over 8 the change will not be useful at all. For more information on this read <ref id="auth-pam">.
de: Wird für <tt>max</tt> nicht ein Wert größer als 8 gewählt, ist diese Änderung ziemlich sinnlos. Weitere Informationen dazu finden Sie unter <ref id="auth-pam">.

note: type: <p></p>
en: Note: the default configuration in Debian, even when activating MD5 passwords, does not modify the previously set <tt>max</tt> value.
de: Hinweis: Die Standardeinstellung in Debian verändert nicht den vorher gewählten <tt>max</tt>-Wert, auch dann nicht, wenn MD5 aktiviert wird.

note: type: <heading></heading>
en: Run the minimum number of services required
de: Lassen Sie so wenige Dienste wie möglich laufen

note: type: <p></p>
en: Services are programs such as ftp servers and web servers. Since they have to be <em>listening</em> for incoming connections that request the service, external computers can connect to yours. Services are sometimes vulnerable (i.e. can be compromised under a given attack) and hence present a security risk.
de: Dienste sind Programme wie FTP- und Web-Server. Da sie auf eingehende Verbindungsanfragen, die den Dienst anfordern, <em>warten</em> müssen, können sich externe Computer mit Ihrem Computer verbinden. Dienste sind manchmal verwundbar (das heißt, durch einen bestimmten Angriff kompromittierbar) und stellen dadurch ein Sicherheitsrisiko dar.

note: type: <p></p>
en: You should not install services which are not needed on your machine. Every installed service might introduce new, perhaps not obvious (or known), security holes on your computer.
de: Sie sollten keine Dienste installieren, die Sie nicht unbedingt auf dem System brauchen. Jeder installierte Dienst könnte neue, vielleicht nicht gerade offensichtliche (oder bekannte) Sicherheitslöcher auf Ihrem Computer öffnen.

note: type: <p></p>
en: As you may already know, when you install a given service the default behavior is to activate it. In a default Debian installation, with no services installed, the number of running services is quite low and the number of network-oriented services is even lower. In a default Debian 3.1 standard installation you will end up with OpenSSH, Exim (depending on how you configured it) and the RPC portmapper available as network services<footnote><p>The footprint in Debian 3.0 and earlier releases wasn't as tight, since some <prgn>inetd</prgn> services were enabled by default. Also standard installations of Debian 2.2 installed the NFS server as well as the telnet server.</p></footnote>. If you did not go through a standard installation but selected an expert installation you can end up with no active network services. The RPC portmapper is installed by default because it is needed for many services, for example NFS, to run on a given system. However, it can be easily removed, see <ref id="rpc"> for more information on how to secure or disable RPC services.
de: Wie Sie vielleicht schon wissen, wird ein Dienst, sobald er installiert wird, auch gleich automatisch aktiviert. Bei einer Standardinstallation ohne weitere installierte Dienste ist die Anzahl der laufenden Dienste ziemlich gering. Und die Anzahl der Dienste, die im Netzwerk angeboten werden, ist noch niedriger. In einer Standardinstallation von Debian 3.1 werden Sie mit OpenSSH, Exim (abhängig davon, wie Sie ihn konfiguriert haben) und dem RPC-Portmapper als Netzwerkdienste auskommen.<footnote><p>Die Zahl war bei Debian 3.0 und davor nicht so niedrig, da einige <prgn>inetd</prgn>-Dienste standardmäßig aktiviert waren. Außerdem war in Debian 2.2 der NFS-Server wie auch der Telnet-Server Bestandteil der Standardinstallation.</p></footnote> Wenn Sie nicht eine Standard-, sondern eine Experten-Installation durchgeführt haben, kann es sein, dass Sie überhaupt keine aktiven Netzwerkdienste haben. Der RPC-Portmapper ist standardmäßig installiert, da er für viele Dienste wie zum Beispiel NFS benötigt wird. Er kann allerdings sehr leicht entfernt werden. Weitere Informationen, wie Sie RPC-Dienste absichern oder abschalten, finden Sie unter <ref id="rpc">.

note: type: <p></p>
en: When you install a new network-related service (daemon) in your Debian GNU/Linux system it can be enabled in two ways: through the <prgn>inetd</prgn> superdaemon (i.e. a line will be added to <file>/etc/inetd.conf</file>) or through a standalone program that binds itself to your network interfaces. Standalone programs are controlled through the <file>/etc/init.d</file> files, which are called at boot time through the SysV mechanism (or an alternative one) by using symlinks in <file>/etc/rc?.d/*</file> (for more information on how this is done read <file>/usr/share/doc/sysvinit/README.runlevels.gz</file>).
de: Wenn Sie einen neuen Netzwerkdienst (Daemon) auf Ihrem Debian GNU/Linux System installieren, kann er auf zwei Arten gestartet werden: durch den Superdaemon <prgn>inetd</prgn> (d. h. eine Zeile wird zu <file>/etc/inetd.conf</file> hinzugefügt) oder durch ein eigenständiges Programm, das sich selbst an die Netzwerkschnittstelle bindet. Eigenständige Programme werden durch <file>/etc/init.d</file> gesteuert. Sie werden beim Hochfahren durch den Sys-V-Mechanismus gestartet, der die symbolischen Links in <file>/etc/rc?.d/*</file> benutzt. Weitere Informationen dazu finden Sie in <file>/usr/share/doc/sysvinit/README.runlevels.gz</file>.

note: type: <p></p>
en: If you want to keep some services but use them rarely, use the <prgn>update-*</prgn> commands, e.g. <prgn>update-inetd</prgn> and <prgn>update-rc.d</prgn> to remove them from the startup process. For more information on how to disable network services read <ref id="disableserv">. If you want to change the default behaviour of starting up services on installation of their associated packages<footnote><p>This is desirable if you are setting up a development chroot, for example.</p></footnote> use <prgn>policy-rc.d</prgn>, please read <file>/usr/share/doc/sysv-rc/README.policy-rc.d.gz</file> for more information.
de: Wenn Sie Dienste installieren möchten, diese aber selten benutzen, entfernen Sie sie mit den update-Befehlen wie <prgn>update-inetd</prgn> oder <prgn>update-rc.d</prgn> aus dem Startvorgang. Weitere Informationen, wie Sie Netzwerkdienste abschalten, finden Sie unter <ref id="disableserv">. Wenn Sie das Standardverhalten des Startens von Diensten nach der Installation von ihren Paketen ändern wollen<footnote><p>Dies ist z.B. wünschenswert, wenn Sie eine Chroot-Umgebung zur Entwicklung einrichten.</footnote>, lesen Sie bitte für weiterführende Informationen <file>/usr/share/doc/sysv-rc/README.policy-rc.d.gz</file>.

note: type: <p></p>
en: <prgn>invoke-rc.d</prgn> support is mandatory in Debian, which means that for Debian 4.0 <em>etch</em> and later releases you can write a policy-rc.d file that forbids starting new daemons before you configure them. Although no such scripts are packaged yet, they are quite simple to write. See <package>policyrcd-script-zg2</package>.
de: Die Unterstützung von <prgn>invoke-rc.d</prgn> ist bei Debian nun zwingend. Dies bedeutet, dass Sie seit Debian 4.0 <em>Etch</em> eine <prgn>policy-rc.d</prgn>-Datei anlegen können, die das Starten von Daemons verbietet, bevor Sie sie konfiguriert haben. Zwar sind derartige Skripte noch nicht in Paketen enthalten, sie sind aber ziemlich leicht zu schreiben. Sehen Sie sich auch <package>policyrcd-script-zg2</package> an.

note: type: <heading></heading>
en: Disabling daemon services
de: Daemons abschalten

note: type: <p></p>
en: Disabling a daemon service is quite simple. You either remove the package providing the program for that service or you remove or rename the startup links under <file>/etc/rc${runlevel}.d/</file>. If you rename them make sure they do not begin with 'S' so that they don't get started by <prgn>/etc/init.d/rc</prgn>. Do not remove all the available links or the package management system will regenerate them on package upgrades, make sure you leave at least one link (typically a 'K', i.e. kill, link). For more information read <url id="http://www.debian.org/doc/manuals/reference/ch-system.en.html#s-custombootscripts" name="Customizing runlevels"> section of the Debian Reference (Chapter 2 - Debian fundamentals).
de: Das Abschalten eines Daemons ist sehr einfach. Entweder Sie entfernen das Paket, welches das Programm für diesen Dienst anbietet, oder Sie entfernen oder benennen die Startlinks unter <file>/etc/rc${runlevel}.d/</file> um. Wenn Sie sie umbenennen, stellen Sie sicher, dass sie nicht mehr mit einem »S« beginnen, damit sie nicht von <prgn>/etc/init.d/rc</prgn> ausgeführt werden. Entfernen Sie nicht alle verfügbaren Links, denn sonst wird das Paketverwaltungssystem sie bei dem nächsten Upgrade des Pakets wieder herstellen. Gehen Sie also sicher, dass zumindest ein Link übrig bleibt (typischerweise ein »K«-Link, »K« steht für »kill«). Zusätzliche Informationen finden Sie im Abschnitt <url id="http://www.debian.org/doc/manuals/reference/ch-system#s-custombootscripts" name="Anpassen des Bootvorgangs"> der Debian-Referenz (2. Kapitel - Debian-Grundlagen).

note: type: <p><example>
en: You can remove these links manually or using <tt>update-rc.d</tt> (see <manref name="update-rc.d" section="8">). For example, you can disable a service from executing in the multi-user runlevels by doing:
de: Sie können diese Links manuell entfernen oder Sie benutzen <tt>update-rc.d</tt> (siehe auch <manref section="8" name="update-rc.d">). So können Sie zum Beispiel einen Dienst in den Multi-User-Runleveln abschalten:

note: type: <p><example>
en: Where <em>XX</em> is a number that determines when the stop action for that service will be executed. Please note that, if you are <em>not</em> using <package>file-rc</package>, <tt>update-rc.d -f <var>service</var> remove</tt> will not work properly, since <em>all</em> links are removed, upon re-installation or upgrade of the package these links will be re-generated (probably not what you wanted). If you think this is not intuitive you are probably right (see <url id="http://bugs.debian.org/67095" name="Bug 67095">). From the manpage:
de: Wobei <em>XX</em> eine Zahl ist, die bestimmt, wann die Stop-Aktion für diesen Dienst ausgeführt wird. Bitte beachten Sie, dass <tt>update-rc.d -f <var>Dienst</var> remove</tt> nicht korrekt arbeiten wird, wenn Sie <em>nicht</em> <package>file-rc</package> benutzen, da <em>alle</em> Verknüpfungen entfernt werden. Nach einer Neuinstallation oder einem Upgrade dieses Paketes werden diese Verknüpfungen neu angelegt (was Sie vermutlich nicht wollen). Wenn Sie denken, dass dies nicht sehr intuitiv ist, haben Sie wahrscheinlich recht (siehe <url id="http://bugs.debian.org/67095" name="Bug 67095">). Aus der Handbuchseite:

note: type: <example></example>
en:   If any files /etc/rc<var>runlevel</var>.d/[SK]??name already exist then
      update-rc.d does nothing.  This is so that the system administrator 
      can rearrange the  links,  provided that  they  leave  at  least one
      link remaining, without having their configuration overwritten.
de:   If any files /etc/rc<var>runlevel</var>.d/[SK]??name already exist then
      update-rc.d does nothing.  This is so that the system administrator 
      can rearrange the  links,  provided that  they  leave  at  least one
      link remaining, without having their configuration overwritten. <!-- SB: Keine deutsche Übersetzung der Manpage? -->

note: type: <p></p>
en: If you are using <package>file-rc</package> all the information regarding services bootup is handled by a common configuration file and is maintained even if packages are removed from the system.
de: Wenn Sie <package>file-rc</package> benutzen, werden alle Informationen über das Starten von Diensten durch eine gemeinsame Konfigurationsdatei verarbeitet und sogar nach der Deinstallation von Paketen beibehalten.

note: type: <p><example>
en: You can use the TUI (Text User Interface) provided by <package>sysv-rc-conf</package> to do all these changes easily (<prgn>sysv-rc-conf</prgn> works both for <package>file-rc</package> and normal System V runlevels). You will also find similar GUIs for desktop systems. You can also use the command line interface of <package>sysv-rc-conf</package>:
de: Sie können das TUI (Text User Interface, textbasierte Benutzungsoberfläche) des Paketes <package>sysv-rc-conf</package> benutzen, um all diese Änderungen einfach zu erledigen (<package>sysv-rc-conf</package> arbeitet sowohl mit <package>file-rc</package> als auch mit normalen System-V-Runleveln). Es gibt auch vergleichbare GUIs für Desktop-Systeme. Sie können auch die Befehlszeile von <package>sysv-rc-conf</package> verwenden:

note: type: <p><example>
en: The advantage of using this utility is that the rc.d links are returned to the status they had before the 'off' call if you re-enable the service with:
de: Der Vorteil dieses Werkzeugs ist, dass die rc.d-Links wieder auf den Status zurückgesetzt werden, die sie vor dem Aufruf von »off« hatten, wenn Sie den Dienst wieder aktivieren mit:

note: type: <p><list>
en: Other (less recommended) methods of disabling services are:
de: Andere (weniger empfohlene) Methoden zum Abschalten eines Dienstes sind:

note: type: <p><example>
en: Removing the <file>/etc/init.d/<var>service_name</var></file> script and removing the startup links using:
de: Löschen Sie das Skript <file>/etc/init.d/<var>service_name</var></file> und entfernen Sie die Start-Links mit:

note: type: <p></p>
en: Move the script file (<file>/etc/init.d/<var>service_name</var></file>) to another name (for example <file>/etc/init.d/OFF.<var>service_name</var></file>). This will leave dangling symlinks under <file>/etc/rc${runlevel}.d/</file> and will generate error messages when booting up the system.
de: Benennen Sie die Skriptdatei (<file>/etc/init.d/<var>Dienst</var></file>) um (zum Beispiel in <file>/etc/init.d/OFF.<var>Dienst</var></file>). Da das zu Verweisen führt, die kein Ziel mehr haben (dangling symlinks), werden beim Systemstart Fehlermeldungen erzeugt.

note: type: <p></p>
en: Remove the execute permission from the <file>/etc/init.d/<var>service_name</var></file> file. That will also generate error messages when booting.
de: Entfernen Sie das Ausführungsrecht von der Datei <file>/etc/init.d/<var>Dienst</var></file>. Auch das wird beim Booten Fehlermeldungen verursachen.

note: type: <p></p>
en: Edit the <file>/etc/init.d/<var>service_name</var></file> script to have it stop immediately once it is executed (by adding an <prgn>exit 0</prgn> line at the beginning or commenting out the <tt>start-stop-daemon</tt> part in it). If you do this, you will not be able to use the script to startup the service manually later on.
de: Editieren Sie die Datei <file>/etc/init.d/<var>Dienst</var></file>, so dass sich das Skript sofort beendet, sobald es gestartet wird, indem Sie die Zeile <prgn>exit 0</prgn> am Anfang einfügen oder den <tt>start-stop-daemon</tt>-Abschnitt auskommentieren. Falls Sie dies tun, können Sie das Skript nicht später dazu verwenden, um den Dienst von Hand zu starten.

note: type: <p></p>
en: Nevertheless, the files under <file>/etc/init.d</file> are configuration files and should not get overwritten due to package upgrades if you have made local changes to them.
de: Jedoch handelt es sich bei allen Dateien unter <file>/etc/init.d</file> um Konfigurationsdateien und sollten daher bei einem Upgrade des Pakets nicht überschrieben werden.

note: type: <p></p>
en: Unlike other (UNIX) operating systems, services in Debian cannot be disabled by modifying files in <file>/etc/default/<var>service_name</var></file>.
de: Sie können im Gegensatz zu anderen (UNIX-)Betriebssystemen Dienste unter Debian nicht abschalten, indem Sie die Dateien unter <file>/etc/default/<var>Dienst</var></file> modifizieren.

note: type: <heading></heading>
en: Disabling <prgn>inetd</prgn> or its services
de: Abschalten von <prgn>Inetd</prgn> oder seinen Diensten

note: type: <p></p>
en: You should check if you really need the <prgn>inetd</prgn> daemon nowadays. Inetd was always a way to compensate for kernel deficiencies, but those have been taken care of in modern Linux kernels. Denial of Service possibilities exist against <prgn>inetd</prgn> (which can increase the machine's load tremendously), and many people always preferred using stand-alone daemons instead of calling services via <prgn>inetd</prgn>. If you still want to run some kind of <prgn>inetd</prgn> service, then at least switch to a more configurable Inet daemon like <prgn>xinetd</prgn>, <prgn>rlinetd</prgn> or <prgn>openbsd-inetd</prgn>.
de: Sie sollten überprüfen, ob Sie heutzutage den <prgn>inetd</prgn>-Daemon überhaupt brauchen. Inetd war früher eine Möglichkeit, Unzulänglichkeiten des Kernels auszugleichen. Diese sind aber in modernen Linux-Kerneln nicht mehr vorhanden. Gegen <prgn>inetd</prgn> gibt es die Möglichkeit von Angriffen, die zur Dienstverweigerung führen (Denial of Service), welche die Last des Rechners unglaublich erhöhen. Viele Leute ziehen es vor, einzelne Daemonen zu benutzen, anstatt einen Dienst über <prgn>inetd</prgn> zu starten. Wenn Sie immer noch einen <prgn>inetd</prgn>-Dienst laufen lassen wollen, wechseln Sie wenigstens zu einem besser zu konfigurierenden Inet-Daemonen wie <prgn>xinetd</prgn>, <prgn>rlinetd</prgn> oder <prgn>openbsd-inetd</prgn>.

note: type: <p></p>
en: You should stop all unneeded Inetd services on your system, like <prgn>echo</prgn>, <prgn>chargen</prgn>, <prgn>discard</prgn>, <prgn>daytime</prgn>, <prgn>time</prgn>, <prgn>talk</prgn>, <prgn>ntalk</prgn> and r-services (<prgn>rsh</prgn>, <prgn>rlogin</prgn> and <prgn>rcp</prgn>) which are considered HIGHLY insecure (use <prgn>ssh</prgn> instead).
de: Sie sollten alle nicht benötigten Inetd-Dienste auf Ihrem System abschalten, wie zum Beispiel <prgn>Echo</prgn>, <prgn>Chargen</prgn>, <prgn>Discard</prgn>, <prgn>Daytime</prgn>, <prgn>Time</prgn>, <prgn>Talk</prgn>, <prgn>Ntalk</prgn> und die r-Dienste (<prgn>Rsh</prgn>, <prgn>Rlogin</prgn> und <prgn>Rcp</prgn>), die als SEHR unsicher gelten (benutzen Sie stattdessen <prgn>Ssh</prgn>).

note: type: <p><example>
en: You can disable services by editing <file>/etc/inetd.conf</file> directly, but Debian provides a better alternative: <tt>update-inetd</tt> (which comments the services in a way that it can easily be turned on again). You could remove the <prgn>telnet</prgn> daemon by executing this commands to change the config file and to restart the daemon (in this case the <prgn>telnet</prgn> service is disabled):
de: Sie können Dienste abschalten, indem Sie direkt <file>/etc/inetd.conf</file> editieren, aber Debian stellt Ihnen einen besseren Weg zur Verfügung: <tt>update-inetd</tt> (womit die Dienste auf eine Art auskommentiert werden, in der sie leicht wieder aktiviert werden können). Sie können den <prgn>Telnet</prgn>-Daemon sehr leicht mit dem folgenden Kommando abschalten, so dass die Konfigurationsdateien angepasst und der Daemon neu gestartet wird:

note: type: <p></p>
en: If you do want services listening, but do not want to have them listen on all IP addresses of your host, you might want to use an undocumented feature on <prgn>inetd</prgn> (replace service name with service@ip syntax) or use an alternative <prgn>inetd</prgn> daemon like <prgn>xinetd</prgn>.
de: Wenn Sie Dienste starten wollen, aber nur auf bestimmten IP-Adressen Ihres Systems, können Sie auf eine undokumentierte Funktion des <package>inetd</package> zurückgreifen (Austausch des Namens des Dienstes durch dienst@ip). Alternativ können Sie einen Daemon wie <prgn>xinetd</prgn> benutzen.

note: type: <heading></heading>
en: Install the minimum amount of software required
de: Installieren Sie möglichst wenig Software

note: type: <p></p>
en: Debian comes with <em>a lot</em> of software, for example the Debian 3.0 <em>woody</em> release includes 6 or 7 (depending on architecture) CD-ROMs of software and thousands of packages, and the Debian 3.1 <em>sarge</em> release ships with around 13 CD-ROMs of software. With so much software, and even if the base system installation is quite reduced <footnote><p>For example, in Debian woody it is around 400-500 Mbs, try this: <example> $ size=0 $ for i in `grep -A 1 -B 1 "^Section: base" /var/lib/dpkg/available | grep -A 2 "^Priority: required" |grep "^Installed-Size" |cut -d : -f 2 `; do size=$(($size+$i)); done $ echo $size 47762</example></p></footnote> you might get carried away and install more than is really needed for your system.
de: Debian bietet <em>sehr viel</em> Software an. Debian 3.0 (<em>Woody</em>) enthält sechs oder sieben (je nach Architektur) CDs mit Software und tausenden Paketen. Debian 3.1 <em>Sarge</em> wird mit etwa 13 CD-ROMs ausgeliefert. Bei so viel Software, selbst wenn Sie die Installation auf das Basis-System reduzieren <footnote><p>Unter Debian-Woody ist das Basis-System etwa 400-500MB groß. Probieren Sie Folgendes: <example> $ size=0 $ for i in `grep -A 1 -B 1 "^Section: base" /var/lib/dpkg/available | grep -A 2 "^Priority: required" |grep "^Installed-Size" |cut -d : -f 2 `; do size=$(($size+$i)); done $ echo $size 47762 </example>.</p></footnote>, könnten Sie auf Abwege geraten und mehr installieren, als Sie wirklich benötigen.

note: type: <p></p>
en: Since you already know what the system is for (don't you?) you should only install software that is really needed for it to work. Any unnecessary tool that is installed might be used by a user that wants to compromise the system or by an external intruder that has gotten shell access (or remote code execution through an exploitable service).
de: Da Sie bereits wissen, was Sie mit Ihrem System machen wollen (oder etwa nicht?), sollten Sie nur Software installieren, die Sie wirklich für den Betrieb benötigen. Jedes unnötig installierte Programm könnte von einem Benutzer, der Ihr System kompromittieren will, genutzt werden &ndash; oder von einem externen Eindringling, der Shell-Zugriff bekommen hat (oder der Code von außerhalb durch einen fehlerhaften Dienst ausführen kann).

note: type: <p><list>
en: The presence, for example, of development utilities (a C compiler) or interpreted languages (such as <prgn>perl</prgn> - but see below -, <prgn>python</prgn>, <prgn>tcl</prgn>...) may help an attacker compromise the system even further:
de: Zum Beispiel kann das Vorhandensein von Hilfsprogrammen für Programmierer (ein C-Compiler) oder Interpretern (wie <prgn>Perl</prgn> siehe allerdings unten, <prgn>Python</prgn>, <prgn>tcl</prgn>, ...) einem Angreifer helfen, das System weiter zu kompromittieren:

note: type: <p></p>
en: allowing him to do privilege escalation. It's easier, for example, to run local exploits in the system if there is a debugger and compiler ready to compile and test them!
de: Der Angreifer kann seine Privilegien auf dem System erweitern. Es ist beispielsweise leichter, eine lokale Sicherheitslücke des Systems auszunutzen, wenn man einen Debugger und Compiler zur Verfügung hat, um den eigenen Exploit (ein Programm, das eine Sicherheitslücke ausnutzt) zu kompilieren und zu testen.

note: type: <p></p>
en: providing tools that could help the attacker to use the compromised system as a <em>base of attack</em> against other systems. <footnote><p>Many intrusions are made just to get access to resources to do illegitimate activity (denial of service attacks, spam, rogue ftp servers, dns pollution...) rather than to obtain confidential data from the compromised system.</p></footnote>
de: Man könnte dem Angreifer Werkzeuge zur Verfügung stellen, die ihm helfen könnten, das kompromittierte System als <em>Basis für Angriffe</em> auf andere Systeme zu benutzen. <footnote><p>Häufig werden fremde Systeme nur deshalb gehackt, weil sie zu weiteren illegitimen Aktivitäten benutzt werden sollen (DoS-Angriffe, Spam, geheime FTP-Server, DNS-Schweinereien, ...). Der Angreifer möchte meist gar nicht an die vertraulichen Daten auf dem kompromittierten System herankommen.</p></footnote>

note: type: <p></p>
en: Of course, an intruder with local shell access can download his own set of tools and execute them, and even the shell itself can be used to make complex programs. Removing unnecessary software will not help <em>prevent</em> the problem but will make it slightly more difficult for an attacker to proceed (and some might give up in this situation looking for easier targets). So, if you leave tools in a production system that could be used to remotely attack systems (see <ref id="vuln-asses">) you can expect an intruder to use them too if available.
de: Natürlich kann ein Eindringling mit lokalem Shell-Zugriff seine eigenen Programme herunterladen und ausführen. Und sogar die Shell selbst kann benutzt werden, um komplexere Programme zu schreiben. Das Entfernen unnötiger Programme wird also nicht helfen, das Problem zu <em>verhindern</em>. Jedoch wird es für den Angreifer etwas schwieriger, das System zu kompromittieren (und manchmal wird er in dieser Situation aufgeben und sich ein leichteres Ziel suchen). Wenn Sie also auf einem produktivem System Werkzeuge lassen, die benutzt werden können, um andere Systeme anzugreifen (siehe <ref id="vuln-asses">), müssen Sie davon ausgehen, dass ein Angreifer sie auch benutzen wird.

note: type: <p><example>
en: Please notice that a default installation of Debian <em>sarge</em> (i.e. an installation where no individual packages are selected) will install a number of development packages that are not usually needed. This is because some development packages are of <em>Standard</em> priority. If you are not going to do any development you can safely remove the following packages from your system, which will also help free up some space:
de: Beachten Sie bitte, dass eine Standardinstallation von Debian <em>Sarge</em> (d.h. eine Installation, bei der nicht individuell Pakete ausgewählt werden) eine Reihe von Paketen zur Softwareentwicklung installiert, die normalerweise nicht benötigt werden. Das liegt daran, dass einige Pakete zur Softwareentwicklung die Priorität <em>Standard</em> haben. Wenn Sie keine Software entwickeln, können Sie ohne Bedenken die folgenden Pakete von Ihrem System entfernen, was nebenbei auch etwas Platz schafft:

note: type: <example></example>
en: Package                    Size
    ------------------------+--------
    gdb                     2,766,822
    gcc-3.3                 1,570,284
    dpkg-dev                  166,800
    libc6-dev               2,531,564
    cpp-3.3                 1,391,346
    manpages-dev            1,081,408
    flex                      257,678
    g++                         1,384 (Note: virtual package)
    linux-kernel-headers    1,377,022
    bin86                      82,090
    cpp                        29,446
    gcc                         4,896 (Note: virtual package)
    g++-3.3                 1,778,880
    bison                     702,830
    make                      366,138
    libstdc++5-3.3-dev        774,982
de: Paket                     Größe
    ------------------------+--------
    gdb                     2,766,822
    gcc-3.3                 1,570,284
    dpkg-dev                  166,800
    libc6-dev               2,531,564
    cpp-3.3                 1,391,346
    manpages-dev            1,081,408
    flex                      257,678
    g++                         1,384 (Hinweis: virtuelles Paket)
    linux-kernel-headers    1,377,022
    bin86                      82,090
    cpp                        29,446
    gcc                         4,896 (Hinweis: virtuelles Paket)
    g++-3.3                 1,778,880
    bison                     702,830
    make                      366,138
    libstdc++5-3.3-dev        774,982

note: type: <p></p>
en: This is something that is fixed in releases post-sarge, see <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=301273" name="Bug #301273"> and <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=301138" name="Bug #301138">. Due to a bug in the installation system this did not happen when installing with the installation system of the Debian 3.0 <em>woody</em> release.
de: Dieses Verhalten wurde in den Veröffentlichungen nach Sarge verändert. Für weitere Informationen sehen Sie sich <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=301273" name="Fehler #301273"> und <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=301138" name="Fehler #301138"> an. Wegen eines Fehlers im Installationssystem ist dies nicht geschehen, wenn mit dem Installationssystem von Debian 3.0 <em>Woody</em> installiert wird.

note: type: <heading></heading>
en: Removing Perl
de: Entfernen von Perl

note: type: <p></p>
en: You must take into account that removing <prgn>perl</prgn> might not be too easy (as a matter of fact it can be quite difficult) in a Debian system since it is used by many system utilities. Also, the <package>perl-base</package> is <em>Priority: required</em> (that about says it all). It's still doable, but you will not be able to run any <prgn>perl</prgn> application in the system; you will also have to fool the package management system to think that the <package>perl-base</package> is installed even if it's not. <footnote><p>You can make (on another system) a dummy package with <package>equivs</package>.</p></footnote>
de: Sie müssen bedenken, dass es nicht gerade einfach ist, <prgn>Perl</prgn> von einem Debian-System zu entfernen (in der Tat kann es ziemlich schwierig werden), da es von vielen Dienstprogrammen benutzt wird. <package>perl-base</package> hat außerdem <em>Priority: required</em> (und das sagt eigentlich schon alles). Es ist aber trotzdem machbar. Allerdings können Sie auf diesem System keine <prgn>Perl</prgn>-Anwendung mehr laufen lassen. Außerdem müssen Sie auch das Paketverwaltungssystem hereinlegen, damit es weiterhin denkt, dass <package>perl-base</package> installiert ist, auch wenn es das nicht mehr ist. <footnote><p>Sie können (auf einem anderen System) eine Paket-Attrappe mit <package>equivs</package> erstellen.</p></footnote>

note: type: <p><example>
en: Which utilities use <prgn>perl</prgn>? You can see for yourself:
de: Welche Dienstprogramme benutzen <prgn>Perl</prgn>? Sie können es selbst herausfinden:

note: type: <p><list>
en: These include the following utilities in packages with priority <em>required</em> or <em>important</em>:
de: Diese Liste schließt die folgenden Dienstprogramme mit der Priorität <em>required</em> oder <em>important</em> ein:

note: type: <p></p>
en: <file>/usr/bin/chkdupexe</file> of package <package>util-linux</package>.
de: <file>/usr/bin/chkdupexe</file> aus dem Paket <package>util-linux</package>

note: type: <p></p>
en: <file>/usr/bin/replay</file> of package <package>bsdutils</package>.
de: <file>/usr/bin/replay</file> aus dem Paket <package>bsdutils</package>

note: type: <p></p>
en: <file>/usr/sbin/cleanup-info</file> of package <package>dpkg</package>.
de: <file>/usr/sbin/cleanup-info</file> aus dem Paket <package>dpkg</package>

note: type: <p></p>
en: <file>/usr/sbin/dpkg-divert</file> of package <package>dpkg</package>.
de: <file>/usr/sbin/dpkg-divert</file> aus dem Paket <package>dpkg</package>

note: type: <p></p>
en: <file>/usr/sbin/dpkg-statoverride</file> of package <package>dpkg</package>.
de: <file>/usr/sbin/dpkg-statoverride</file> aus dem Paket <package>dpkg</package>

note: type: <p></p>
en: <file>/usr/sbin/install-info</file> of package <package>dpkg</package>.
de: <file>/usr/sbin/install-info</file> aus dem Paket <package>dpkg</package>

note: type: <p></p>
en: <file>/usr/sbin/update-alternatives</file> of package <package>dpkg</package>.
de: <file>/usr/sbin/update-alternatives</file> aus dem Paket <package>dpkg</package>

note: type: <p></p>
en: <file>/usr/sbin/update-rc.d</file> of package <package>sysvinit</package>.
de: <file>/usr/sbin/update-rc.d</file> aus dem Paket <package>sysvinit</package>

note: type: <p></p>
en: <file>/usr/bin/grog</file> of package <package>groff-base</package>.
de: <file>/usr/bin/grog</file> aus dem Paket <package>groff-base</package>

note: type: <p></p>
en: <file>/usr/sbin/adduser</file> of package <package>adduser</package>.
de: <file>/usr/sbin/adduser</file> aus dem Paket <package>adduser</package>

note: type: <p></p>
en: <file>/usr/sbin/debconf-show</file> of package <package>debconf</package>.
de: <file>/usr/sbin/debconf-show</file> aus dem Paket <package>debconf</package>

note: type: <p></p>
en: <file>/usr/sbin/deluser</file> of package <package>adduser</package>.
de: <file>/usr/sbin/deluser</file> aus dem Paket <package>adduser</package>

note: type: <p></p>
en: <file>/usr/sbin/dpkg-preconfigure</file> of package <package>debconf</package>.
de: <file>/usr/sbin/dpkg-preconfigure</file> aus dem Paket <package>debconf</package>

note: type: <p></p>
en: <file>/usr/sbin/dpkg-reconfigure</file> of package <package>debconf</package>.
de: <file>/usr/sbin/dpkg-reconfigure</file> aus dem Paket <package>debconf</package>

note: type: <p></p>
en: <file>/usr/sbin/exigrep</file> of package <package>exim</package>.
de: <file>/usr/sbin/exigrep</file> aus dem Paket <package>exim</package>

note: type: <p></p>
en: <file>/usr/sbin/eximconfig</file> of package <package>exim</package>.
de: <file>/usr/sbin/eximconfig</file> aus dem Paket <package>exim</package>

note: type: <p></p>
en: <file>/usr/sbin/eximstats</file> of package <package>exim</package>.
de: <file>/usr/sbin/eximstats</file> aus dem Paket <package>exim</package>

note: type: <p></p>
en: <file>/usr/sbin/exim-upgrade-to-r3</file> of package <package>exim</package>.
de: <file>/usr/sbin/exim-upgrade-to-r3</file> aus dem Paket <package>exim</package>

note: type: <p></p>
en: <file>/usr/sbin/exiqsumm</file> of package <package>exim</package>.
de: <file>/usr/sbin/exiqsumm</file> aus dem Paket <package>exim</package>

note: type: <p></p>
en: <file>/usr/sbin/keytab-lilo</file> of package <package>lilo</package>.
de: <file>/usr/sbin/keytab-lilo</file> aus dem Paket <package>lilo</package>

note: type: <p></p>
en: <file>/usr/sbin/liloconfig</file> of package <package>lilo</package>.
de: <file>/usr/sbin/liloconfig</file> aus dem Paket <package>lilo</package>

note: type: <p></p>
en: <file>/usr/sbin/lilo_find_mbr</file> of package <package>lilo</package>.
de: <file>/usr/sbin/lilo_find_mbr</file> aus dem Paket <package>lilo</package>

note: type: <p></p>
en: <file>/usr/sbin/syslogd-listfiles</file> of package <package>sysklogd</package>.
de: <file>/usr/sbin/syslogd-listfiles</file> aus dem Paket <package>sysklogd</package>

note: type: <p></p>
en: <file>/usr/sbin/syslog-facility</file> of package <package>sysklogd</package>.
de: <file>/usr/sbin/syslog-facility</file> aus dem Paket <package>sysklogd</package>

note: type: <p></p>
en: <file>/usr/sbin/update-inetd</file> of package <package>netbase</package>.
de: <file>/usr/sbin/update-inetd</file> aus dem Paket <package>netbase</package>

note: type: <p></p>
en: So, without Perl and, unless you remake these utilities in shell script, you will probably not be able to manage any packages (so you will not be able to upgrade the system, which is <em>not a Good Thing</em>).
de: Ohne Perl und solange Sie diese Dienstprogramme nicht in einem Shell-Skript neu schreiben, werden Sie also wahrscheinlich keine Pakete mehr verwalten können (und so kein Upgrade des Systems durchführen können, was <em>keine gute Idee</em> ist).

note: type: <p></p>
en: If you are determined to remove Perl from the Debian base system, and you have spare time, submit bug reports to the previous packages including (as a patch) replacements for the utilities above written in shell script.
de: Wenn Sie fest dazu entschlossen sind, Perl aus dem Debian-Basissystem zu entfernen und ein wenig Freizeit haben, schicken Sie uns doch Fehlerberichte zu den aufgezählten Paketen, die (als ein Patch) einen Ersatz dieser Dienstprogramme als Shell-Skript enthalten.

note: type: <p><example>
en: If you wish to check out which Debian packages depend on Perl you can use
de: Wenn Sie wissen wollen, welche Debian-Pakete von Perl abhängen, können Sie Folgendes verwenden:

note: type: <p><example>
en: or
de: oder

note: type: <heading></heading>
en: Read the Debian security mailing lists
de: Lesen Sie Debians Sicherheits-Mailinglisten

note: type: <p></p>
en: It is never wrong to take a look at either the debian-security-announce mailing list, where advisories and fixes to released packages are announced by the Debian security team, or at <url id="mailto:debian-security@lists.debian.org">, where you can participate in discussions about things related to Debian security.
de: Es ist niemals falsch, einen Blick in die Mailingliste debian-security-announce zu werfen, auf der Anleitungen und Problemlösungen durch das Debian-Sicherheits-Team bekannt gemacht werden, oder sich an <url id="mailto:debian-security@lists.debian.org"> zu beteiligen, wo Sie an Diskussionen zu sicherheitsrelevanten Fragen teilnehmen können.

note: type: <p></p>
en: In order to receive important security update alerts, send an email to <url id="mailto:debian-security-announce-request@lists.debian.org" name="debian-security-announce-request@lists.debian.org"> with the word "subscribe" in the subject line. You can also subscribe to this moderated email list via the web page at <url id="http://www.debian.org/MailingLists/subscribe" name="http://www.debian.org/MailingLists/subscribe">.
de: Um wichtige Warnungen zu Sicherheitsaktualisierungen zu erhalten, senden Sie eine E-Mail an <url name="debian-security-announce-request@lists.debian.org" id="mailto:debian-security-announce-request@lists.debian.org"> mit dem Wort »subscribe« in der Betreffzeile. Sie können diese moderierte E-Mail-Liste unter <url name="http://www.de.debian.org/MailingLists/subscribe" id="http://www.de.debian.org/MailingLists/subscribe"> auch über das Web abonnieren.

note: type: <p></p>
en: This mailing list has very low volume, and by subscribing to it you will be immediately alerted of security updates for the Debian distribution. This allows you to quickly download new packages with security bug fixes, which is very important in maintaining a secure system (see <ref id="security-update"> for details on how to do this).
de: Diese Mailingliste hat ein sehr geringes Aufkommen und, indem Sie sie abonnieren, werden Sie sofort über Sicherheitsaktualisierungen der Debian-Distribution informiert. Dies erlaubt Ihnen sehr schnell, neue Pakete mit Sicherheitsaktualisierungen herunterzuladen, was sehr wichtig ist, um ein sicheres System zu verwalten (siehe <ref id="security-update"> für weitere Details, wie Sie dies durchführen).

note: type: <heading></heading>
en: After installation
de: Nach der Installation

note: type: <p></p>
en: Once the system is installed you can still do more to secure the system; some of the steps described in this chapter can be taken. Of course this really depends on your setup but for physical access prevention you should read <ref id="bios-boot">,<ref id="lilo-passwd">,<ref id="kernel-root-prompt">, <ref id="restrict-console-login">, and <ref id="restrict-reboots">.
de: Wenn das System installiert ist, können Sie es noch weiter absichern, indem Sie einige der in diesem Kapitel beschriebenen Schritte ausführen. Natürlich hängt dies vor allem von Ihrer Einrichtung ab, aber um physischen Zugriff zu verhindern, sollten Sie <ref id="bios-boot">, <ref id="lilo-passwd">, <ref id="kernel-root-prompt">, <ref id="restrict-console-login"> und <ref id="restrict-reboots"> lesen.

note: type: <p></p>
en: Before connecting to any network, especially if it's a public one you should, at the very least, execute a security update (see <ref id="security-update">). Optionally, you could take a snapshot of your system (see <ref id="snapshot">).
de: Bevor Sie sich mit einem Netzwerk verbinden, insbesondere wenn es sich um ein öffentliches Netzwerk handelt, sollten Sie wenigstens eine Sicherheitsaktualisierung (siehe <ref id="security-update">) durchführen. Daneben können Sie auch einen Schnappschuss Ihres Systems machen (siehe <ref id="snapshot">).

note: type: <heading></heading>
en: Subscribe to the Debian Security Announce mailing list
de: Abonnement der Security-Announce-Mailingliste von Debian

note: type: <p></p>
en: In order to receive information on available security updates you should subscribe yourself to the debian-security-announce mailing list in order to receive the Debian Security Advisories (DSAs). See <ref id="debian-sec-team"> for more information on how the Debian security team works. For information on how to subscribe to the Debian mailing lists read <url id="http://lists.debian.org">.
de: Um Informationen zu verfügbaren Sicherheitsaktualisierungen und die Debian-Sicherheits-Ankündigungen (DSA) zu erhalten, sollten Sie Debians Security-Announce-Mailingliste abonnieren. Lesen Sie <ref id="debian-sec-team"> für weitere Informationen, wie das Sicherheitsteam von Debian arbeitet. Hinweise, wie Sie die Mailinglisten von Debian abonnieren, finden Sie unter <url id="http://lists.debian.org">.

note: type: <p></p>
en: DSAs are signed with the Debian Security Team's signature which can be retrieved from <url id="http://security.debian.org">.
de: DSAs werden mit der Signatur des Sicherheitsteams von Debian unterschrieben, die unter <url id="http://security.debian.org"> erhältlich ist.

note: type: <p></p>
en: You should consider, also, subscribing to the <url id="http://lists.debian.org/debian-security" name="debian-security mailing list"> for general discussion on security issues in the Debian operating system. You will be able to contact other fellow system administrators in the list as well as Debian developers and upstream developers of security tools who can answer your questions and offer advice.
de: Sie sollten in Betracht ziehen, auch die <url id="http://lists.debian.org/debian-security" name="Mailingliste debian-security"> zu abonnieren. Dort finden allgemeine Diskussionen zu Sicherheitsthemen im Betriebssystem Debian statt. Sie können auf der Liste sowohl mit gleichgesinnten Systemadministratoren als auch mit Entwicklern von Debian und Programmautoren in Kontakt treten. Diese werden Ihre Fragen beantworten und Ihnen Ratschläge geben.

note: type: <heading></heading>
en: Execute a security update
de: Ausführen von Sicherheitsaktualisierungen

note: type: <p></p>
en: As soon as new security bugs are detected in packages, Debian maintainers and upstream authors generally patch them within days or even hours. After the bug is fixed, a new package is provided on <url id="http://security.debian.org" name="http://security.debian.org">.
de: Sobald neue Sicherheitslöcher in einem Paket entdeckt wurden, reparieren sie Debians Paketbetreuer und Originalautoren im Allgemeinen innerhalb von Tagen oder sogar Stunden. Nachdem das Loch gestopft wurde, werden neue Pakete unter <url name="http://security.debian.org" id="http://security.debian.org"> bereit gestellt.

note: type: <p></p>
en: If you are installing a Debian release you must take into account that since the release was made there might have been security updates after it has been determined that a given package is vulnerable. Also, there might have been minor releases (there have been four for the Debian 3.0 <em>sarge</em> release) which include these package updates.
de: Wenn Sie eine Debian-Veröffentlichung installieren, müssen Sie berücksichtigen, dass es seit der Veröffentlichung Sicherheitsaktualisierungen gegeben haben könnte, nachdem entdeckt wurde, dass ein bestimmtes Paket verwundbar ist. Ebenso könnte es Zwischenveröffentlichungen gegeben haben, die diese Paketaktualisierungen enthalten. Für Debian 3.1 <em>Sarge</em> gab es vier Zwischenveröffentlichungen.

note: type: <p></p>
en: During installation security updates are configured for your system and pending updates downloaded and applied, unless you specifically opt out of this or the system was not connected to the Internet. The updates are applied even before the first boot, so the new system starts its life as up to date as possible.
de: Während der Installation werden Sicherheitsaktualisierungen für Ihr System eingerichtet, offene Sicherheitsaktualisierungen heruntergeladen und Ihrem System hinzugefügt, sofern Sie sich nicht explizit dagegen entscheiden oder keine Internetverbindung besteht. Die Aktualisierungen werden noch vor dem ersten Systemstart eingespielt, damit das neue System sein Leben so aktuell wie möglich beginnt.

note: type: <p><example>
en: To manually update the system, put the following line in your <file>sources.list</file> and you will get security updates automatically, whenever you update your system. Replace <em>[CODENAME]</em> with the release codename, e.g. <em>squeeze</em>.
de: Um Ihr System manuell zu aktualisieren, fügen Sie die folgende Zeile in Ihre <file>/etc/apt/sources.list</file> ein. So werden Sie Sicherheitsaktualisierungen automatisch erhalten, wann immer Sie Ihr System aktualisieren. Ersetzen Sie <em>[CODENAME]</em> mit dem Namen der Veröffentlichung, z.B. mit <em>squeeze</em>.

note: type: <p></p>
en: <em>Note</em>: If you are using the <em>testing</em> branch use the security testing mirror sources as described in <ref id="security-support-testing">.
de: <em>Hinweis:</em> Falls Sie den <em>Testing</em>-Zweig einsetzen, sollten Sie die Sicherheitsspiegel für Testing verwenden. Das wird unter <ref id="security-support-testing"> beschrieben.

note: type: <p><list>
en: Once you've done this you can use multiple tools to upgrade your system. If you are running a desktop system you will have<footnote><p>In <em>Etch</em> and later releases</p></footnote> an application called <prgn>update-notifier</prgn> that will make it easy to check if new updates are available, by selecting it you can make a system upgrade from the desktop (using <prgn>update-manager</prgn>). For more information see <ref id="update-desktop">. In desktop environments you can also use <package>synaptic</package> (GNOME), <package>kpackage</package> or <package>adept</package> (KDE) for more advanced interfaces. If you are running a text-only terminal you can use <package>aptitude</package>, <package>apt</package> or <package>dselect</package> (deprecated) to upgrade:
de: Wenn Sie dies erledigt haben, stehen Ihnen zahlreiche Werkzeuge zur Verfügung, mit denen Sie Ihr System aktualisieren können. Wenn Sie ein Desktop-System einsetzen, können Sie eine Anwendung mit dem Namen <prgn>Update-notifier</prgn> verwenden<footnote><p>Ab <em>Etch</em> und den folgenden Veröffentlichungen.</p></footnote>, mit der Sie leicht prüfen können, ob neue Aktualisierungen verfügbar sind. Damit können Sie Ihr System auch über den Desktop auf den neusten Stand bringen (mit <prgn>update-manager</prgn>). Weitere Informationen finden Sie unter <ref id="update-desktop">. Für den Desktop können Sie auch <package>Synaptic</package> (GNOME), <package>Kpackage</package> oder <package>Adept</package> (KDE) einsetzen, die einen größeren Funktionsumfang aufweisen. Wenn Sie auf einem textbasierten Terminal arbeiten, stehen Ihnen <package>Aptitude</package>, <package>Apt</package> und <package>Dselect</package>, wobei letzteres veraltet ist, zur Verfügung:

note: type: <p><example>
en: If you want to use <package>aptitude</package>'s text interface you just have to press <em>u</em> (update) followed by <em>g</em> (to upgrade). Or just do the following from the command line (as root):
de: Falls Sie die textbasierte Oberfläche von <package>Aptitude</package> verwenden wollen, müssen Sie zunächst <em>u</em> (für Update) und dann <em>g</em> (für Upgrade) eingeben. Oder Sie führen auf der Befehlszeile Folgendes als Root aus:

note: type: <p></p>
en: If you want to use <package>apt</package> do just like with aptitude but substitute the <prgn>aptitude</prgn> lines above with <prgn>apt-get</prgn>.
de: Falls Sie <package>Apt</package> einsetzen möchten, müssen Sie obige Zeilen von <prgn>Aptitude</prgn> nur mit <prgn>apt-get</prgn> ersetzen.

note: type: <p></p>
en: If you want to use <package>dselect</package> then first [U]pdate, then [I]nstall and finally, [C]onfigure the installed/upgraded packages.
de: Falls Sie <package>dselect</package> verwenden wollen, müssen Sie zuerst aktualisieren ([U] für Update), dann installieren ([I] für Install) und schließlich die installieren/aktualisierten Pakete konfigurieren ([C] für Configure).

note: type: <p></p>
en: If you like, you can add the deb-src lines to <file>/etc/apt/sources.list</file> as well. See <manref name="apt" section="8"> for further details.
de: Wenn Sie möchten, können Sie der Datei <file>/etc/apt/sources.list</file> die Zeilen mit deb-src hinzufügen. Weitere Details finden Sie unter <manref name="apt" section="8">.

note: type: <heading></heading>
en: Security update of libraries
de: Sicherheitsaktualisierungen für Bibliotheken

note: type: <p><example>
en: Once you have executed a security update you might need to restart some of the system services. If you do not do this, some services might still be vulnerable after a security upgrade. The reason for this is that daemons that are running before an upgrade might still be using the old libraries before the upgrade <footnote><p>Even though the libraries have been removed from the filesystem the inodes will not be cleared up until no program has an open file descriptor pointing to them.</p></footnote>. In order to detect which daemons might need to be restarted you can use the <prgn>checkrestart</prgn> program (available in the <package>debian-goodies</package> package) or use this one liner<footnote><p>Depending on your lsof version you might need to use $8 instead of $9</p></footnote> (as root):
de: Wenn Sie eine Sicherheitsaktualisierung durchgeführt haben, müssen Sie gegebenenfalls einige Dienste des Systems neu starten. Wenn Sie das nicht tun, könnten Dienste auch nach der Sicherheitsaktualisierung immer noch verwundbar sein. Das liegt daran, dass Daemonen, die schon vor einem Upgrade liefen, immer noch die alten Bibliotheken vor dem Upgrade verwenden könnten.<footnote><p>Selbst wenn die Bibliotheken aus dem Dateisystem entfernt wurden, werden die Inodes nicht beseitigt, bis kein Programm mehr einen offenen Dateideskriptor mit Verweis auf sie hat.</p></footnote> Um herauszufinden, welche Daemonen neu gestartet werden müssen, können Sie das Programm <prgn>Checkrestart</prgn> (ist im Paket <package>debian-goodies</package> enthalten) oder diesen Einzeiler (als Root) verwenden:<footnote><p>Je nach der Version von Lsof müssen Sie $8 statt $9 verwenden.</p></footnote>

note: type: <example></example>
en: # lsof | grep &lt;the_upgraded_library&gt; | awk '{print $1, $9}' | uniq | sort -k 1
de: # lsof | grep &lt;die_aktualisierte_Bibliothek&gt; | awk '{print $1, $9}' | uniq | sort -k 1

note: type: <p></p>
en: Some packages (like <package>libc6</package>) will do this check in the postinst phase for a limited set of services specially since an upgrade of essential libraries might break some applications (until restarted)<footnote><p>This happened, for example, in the upgrade from libc6 2.2.x to 2.3.x due to NSS authentication issues, see <url id="http://lists.debian.org/debian-glibc/2003/debian-glibc-200303/msg00276.html">.</p></footnote>.
de: Einige Pakete (wie <package>libc6</package>) werden diesen Test in der Postinst-Phase für eine begrenzte Anzahl von Diensten durchführen, da ein Upgrade von notwendigen Bibliotheken einige Anwendungen unbrauchbar machen kann, wenn sie nicht neu gestartet werden <footnote><p>Das passierte z.B. beim Upgrade von Libc6 2.2.x auf 2.3.x wegen Problemen mit der NSS-Authentifizierung, siehe <url id="http://lists.debian.org/debian-glibc/2003/debian-glibc-200303/msg00276.html">. </p></footnote>.

note: type: <p></p>
en: Bringing the system to run level 1 (single user) and then back to run level 3 (multi user) should take care of the restart of most (if not all) system services. But this is not an option if you are executing the security upgrade from a remote connection (like ssh) since it will be severed.
de: Indem das System auf Runlevel 1 (Single User) und dann zurück auf Runlevel 3 (Multi User) gebracht wird, sollten die meisten (wenn nicht alle) Systemdienste neu gestartet werden. Dies ist aber keine Option, wenn Sie die Sicherheitsaktualisierung über eine Verbindung aus der Ferne (z.B. mit Ssh) vornehmen, da diese getrennt werden würde.

note: type: <p></p>
en: Excercise caution when dealing with security upgrades if you are doing them over a remote connection like ssh. A suggested procedure for a security upgrade that involves a service restart is to restart the SSH daemon and then, inmediately, attempt a new ssh connection without breaking the previous one. If the connection fails, revert the upgrade and investigate the issue.
de: Lassen Sie Vorsicht walten, wenn Sie es mit Sicherheitsaktualisierungen über eine Verbindung aus der Ferne wie mit SSH zu tun haben. Die empfohlene Vorgehensweise für Sicherheits-Upgrades, die Dienste betreffen, ist, den SSH-Daemon neu zu starten und sofort zu versuchen, eine neue SSH-Verbindung herzustellen, ohne die alte zu beenden. Falls der Verbindungsversuch scheitern sollte, machen Sie das Upgrade rückgängig und untersuchen Sie das Problem.

note: type: <heading></heading>
en: Security update of the kernel
de: Sicherheitsaktualisierung des Kernels

note: type: <p><example>
en: First, make sure your kernel is being managed through the packaging system. If you have installed using the installation system from Debian 3.0 or previous releases, your kernel is <em>not</em> integrated into the packaging system and might be out of date. You can easily confirm this by running:
de: Stellen Sie zunächst sicher, dass Ihr Kernel durch das Paketsystem verwaltet wird. Wenn Sie die Installation mit dem Installationssystem von Debian 3.0 oder früher durchgeführt haben, ist Ihr Kernel <em>nicht</em> in das Paketsystem integriert und könnte veraltet sein. Sie können das leicht überprüfen, indem Sie Folgendes ausführen:

note: type: <p></p>
en: If your kernel is not being managed you will see a message saying that the package manager did not find the file associated to any package instead of the message above, which says that the file associated to the current running kernel is being provided by the <package>linux-image-2.6.18-4-686</package>. So first, you will need to manually install a kernel image package. The exact kernel image you need to install depends on your architecture and your prefered kernel version. Once this is done, you will be able to manage the security updates of the kernel just like those of any other package. In any case, notice that the kernel updates will <em>only</em> be done for kernel updates of the same kernel version you are using, that is, <prgn>apt</prgn> will not automatically upgrade your kernel from the 2.4 release to the 2.6 release (or from the 2.4.26 release to the 2.4.27 release<footnote><p>Unless you have installed a kernel metapackage like <package>linux-image-2.6-686</package> which will always pull in the latest kernel minor revision for a kernel release and a given architecture.</p></footnote>).
de: Wenn Ihr Kernel nicht vom Paketsystem verwaltet wird, werden Sie anstatt der obigen Nachricht die Rückmeldung bekommen, dass das Paketverwaltungsprogramm kein Paket finden konnte, das mit der Datei verbunden ist. Die obige Meldung besagt, dass die Datei, die mit dem laufenden Kernel verbunden ist, vom Paket <package>linux-image-2.6.18-4-686</package> zur Verfügung gestellt wird. Sie müssen also zuerst ein Paket mit einem Kernel-Image von Hand installieren. Das genaue Kernel-Image, das Sie installieren sollten, hängt von Ihrer Architektur und Ihrer bevorzugten Kernelversion ab. Wenn Sie das einmal erledigt haben, können Sie die Sicherheitsaktualisierungen des Kernels wie die jedes anderen Pakets durchführen. Beachten Sie allerdings, dass Kernelaktualisierungen <em>nur</em> für Aktualisierungen der gleichen Kernelversion wie der Ihrigen durchgeführt werden. D.h. <prgn>apt</prgn> wird nicht automatisch Ihren Kernel von 2.4 auf 2.6 aktualisieren (oder von 2.4.26 auf 2.4.27 <footnote><p>Es sei denn, Sie haben ein Kernel-Metapaket wie <package>linux-image-2.6-686</package> installiert, welches immer die neueste Minor-Version des Kernels einer Architektur installieren wird. </footnote>).

note: type: <p><example>
en: The installation system of recent Debian releases will handle the selected kernel as part of the package system. You can review which kernels you have installed by running:
de: Das Installationssystem von aktuellen Debian-Veröffentlichungen wird den gewählten Kernel als Teil des Paketsystems behandeln. So können Sie überprüfen, welche Kernel Sie installiert haben:

note: type: <p><example>
en: To see if your kernel needs to be updated run:
de: Um festzustellen, ob Ihr Kernel aktualisiert werden muss, führen Sie Folgendes aus:

note: type: <example></example>
en: $ kernfile=`readlink -f /vmlinuz`
    $ kernel=`dpkg -S $kernfile | awk -F : '{print $1}'`
    $ apt-cache policy $kernel
    linux-image-2.6.18-4-686:
      Installed: 2.6.18.dfsg.1-12
      Candidate: 2.6.18.dfsg.1-12
      Version table:
     *** 2.6.18.dfsg.1-12 0
            100 /var/lib/dpkg/status
de: $ kernfile=`readlink -f /vmlinuz`
    $ kernel=`dpkg -S $kernfile | awk -F : '{print $1}'`
    $ apt-cache policy $kernel
    linux-image-2.6.18-4-686:
      Installiert: 2.6.18.dfsg.1-12
      Installationskandidat: 2.6.18.dfsg.1-12
      Versionstabelle:
     *** 2.6.18.dfsg.1-12 0
            100 /var/lib/dpkg/status

note: type: <p></p>
en: If you are doing a security update which includes the kernel image you <em>need</em> to reboot the system in order for the security update to be useful. Otherwise, you will still be running the old (and vulnerable) kernel image.
de: Wenn Sie eine Sicherheitsaktualisierung durchführen, die auch das Kernel-Image umfasst, <em>müssen</em> Sie das System neu starten, damit die Sicherheitsaktualisierung Wirkung zeigen kann. Anderenfalls lassen Sie immer noch das alte (und verwundbare) Kernel-Image laufen.

note: type: <p></p>
en: If you need to do a system reboot (because of a kernel upgrade) you should make sure that the kernel will boot up correctly and network connectivity will be restored, specially if the security upgrade is done over a remote connection like ssh. For the former you can configure your boot loader to reboot to the original kernel in the event of a failure (for more detailed information read <url id="http://www.debian-administration.org/?article=70" name="Remotely rebooting Debian GNU/Linux machines">). For the latter you have to introduce a network connectivity test script that will check if the kernel has started up the network subsystem properly and reboot the system if it did not<footnote><p>A sample script called <url id="http://www.debian-administration.org/articles/70/testnet" name="testnet"> is available in the <url id="http://www.debian-administration.org/?article=70" name="Remotely rebooting Debian GNU/Linux machines"> article. A more elaborate network connectivity testing script is available in the <url id="http://www.debian-administration.org/?article=128" name="Testing network connectivity"> article.</p></footnote>. This should prevent nasty surprises like updating the kernel and then realizing, after a reboot, that it did not detect or configure the network hardware properly and you need to travel a long distance to bring the system up again. Of course, having the system serial console <footnote><p>Setting up a serial console is beyond the scope of this document, for more information read the <url id="http://www.tldp.org/HOWTO/Serial-HOWTO.html" name="Serial HOWTO"> and the <url id="http://www.tldp.org/HOWTO/Remote-Serial-Console-HOWTO/index.html" name="Remote Serial Console HOWTO">.</p></footnote> in the system connected to a console or terminal server should also help debug reboot issues remotely.
de: Wenn Sie das System neu starten müssen (wegen eines Kernel-Upgrades), sollten Sie sicherstellen, dass der Kernel fehlerfrei booten wird und die Netzwerkverbindungen hergestellt werden, besonders wenn die Sicherheitsaktuali
    sierung über eine Verbindung aus der Ferne wie mit SSH durchgeführt wird. Für den ersten Fall können Sie Ihren Boot-Loader so konfigurieren, dass er den Originalkernel lädt, wenn ein Fehler auftritt (für weiterführende Informationen sollten Sie <url id="http://www.debian-administration.org/?article=70" name="Remotely rebooting Debian GNU/Linux machines"> lesen). Im zweiten Fall müssen Sie ein Skript verwenden, das die Netzwerkverbindungen testen kann und überprüft, ob der Kernel das Netzwerksystem korrekt gestartet hat, und, wenn das nicht geschehen ist, das System neu startet <footnote><p> Ein Beispielskript mit dem Namen <url id="http://www.debian-administration.org/articles/70/testnet" name="testnet"> ist im Artikel <url id="http://www.debian-administration.org/?article=70" name="Remotely rebooting Debian GNU/Linux machines"> enthalten. Ein ausgereifteres Testskript befindet sich im Artikel <url id="http://www.debian-administration.org/?article=128" name="Testing network connectivity">.</p></footnote>. Dies sollte böse Überraschungen verhindern, wie wenn Sie den Kernel aktualisieren und dann nach einem Reboot merken, dass die Netzwerkhardware nicht richtig erkannt oder konfiguriert wurde, und Sie daher eine weite Strecke reisen müssen, um das System wieder zum Laufen zu bringen. Natürlich hilft es beim Debuggen von Reboot-Problemen aus der Ferne, wenn die serielle Konsole des Systems <footnote><p>Das Einrichten einer seriellen Konsole würde den Rahmen dieses Dokuments sprengen. Informationen dazu finden Sie im <url id="http://www.tldp.org/HOWTO/Serial-HOWTO.html" name="Serial HOWTO"> und im <url id="http://www.tldp.org/HOWTO/Remote-Serial-Console-HOWTO/index.html" name="Remote Serial Console HOWTO">. </footnote> mit einem Konsolen- oder Terminalserver verbunden ist.

note: type: <heading></heading>
en: Change the BIOS (again)
de: Änderen Sie das BIOS (noch einmal)

note: type: <p></p>
en: Remember <ref id="bios-passwd">? Well, then you should now, once you do not need to boot from removable media, to change the default BIOS setup so that it <em>only</em> boots from the hard drive. Make sure you will not lose the BIOS password, otherwise, in the event of a hard disk failure you will not be able to return to the BIOS and change the setup so you can recover it using, for example, a CD-ROM.
de: Erinnern Sie sich an <ref id="bios-passwd">? Nun, jetzt sollten Sie, nachdem Sie nicht mehr von Wechseldatenträgern booten müssen, die Standard-BIOS-Einstellung ändern, so dass das System <em>ausschließlich</em> von der Festplatte bootet. Gehen Sie sicher, dass Sie Ihr BIOS-Passwort nicht verlieren, oder Sie werden nicht mehr ins BIOS zurückkehren können, um die Einstellung wieder zu ändern, damit Sie im Falle eines Festplattenfehlers Ihr System wiederherstellen können, indem Sie zum Beispiel eine CD-ROM benutzen.

note: type: <p></p>
en: Another less secure but more convenient way is to change the setup to have the system boot up from the hard disk and, if it fails, try removable media. By the way, this is often done because most people don't use the BIOS password that often; it's easily forgotten.
de: Eine andere, weniger sichere, aber bequemere Möglichkeit ist es, das BIOS so einzustellen, dass es von der Festplatte bootet, und nur falls dies fehlschlägt zu versuchen, von austauschbaren Datenträgern zu booten. Übrigens wird dies oft so gemacht, weil viele Leute ihr BIOS-Passwort nur selten benutzen, so dass sie es leicht vergessen.

note: type: <heading></heading>
en: Set a LILO or GRUB password
de: Ein Passwort für LILO oder GRUB einstellen

note: type: <p></p>
en: Anybody can easily get a root-shell and change your passwords by entering <tt>&lt;name-of-your-bootimage&gt; init=/bin/sh</tt> at the boot prompt. After changing the passwords and rebooting the system, the person has unlimited root-access and can do anything he/she wants to the system. After this procedure you will not have root access to your system, as you do not know the root password.
de: Jeder kann sehr einfach eine Root-Shell auf Ihrem System bekommen, indem er einfach <tt>&lt;Name-Ihres-Bootimages&gt; init=/bin/sh</tt> am Bootprompt eingibt. Nachdem die Passwörter geändert und das System neu gestartet wurde, hat die Person uneingeschränkten Root-Zugang und kann nach Belieben alles auf Ihrem System machen. Nach dieser Prozedur haben Sie keinen Root-Zugang mehr zu Ihrem System, weil Sie das Root-Passwort nicht kennen.

note: type: <p></p>
en: To make sure that this cannot happen, you should set a password for the boot loader. You can choose between a global password or a password for a certain image.
de: Um sicher zu stellen, dass dies nicht passieren kann, sollten Sie den Boot-Loader mit einem Passwort schützen. Sie können zwischen einem globalen Passwort und Passwörtern für bestimmte Images wählen.

note: type: <p><example>
en: For LILO you need to edit the config file <file>/etc/lilo.conf</file> and add a <tt>password</tt> and <tt>restricted</tt> line as in the example below.
de: Für LILO müssen Sie die Konfigurationsdatei <file>/etc/lilo.conf</file> bearbeiten und eine <tt>password</tt>- und <tt>restricted</tt>-Zeile, wie im folgenden Beispiel, einfügen:

note: type: <example></example>
en:   image=/boot/2.2.14-vmlinuz
         label=Linux
         read-only
         password=hackme
         restricted
de:   image=/boot/2.2.14-vmlinuz
         label=Linux
         read-only
         password=hackmich
         restricted

note: type: <p></p>
en: Then, make sure that the configuration file is not world readable to prevent local users from reading the password. When done, rerun lilo. Omitting the <tt>restricted</tt> line causes lilo to always prompt for a password, regardless of whether LILO was passed parameters. The default permissions for <file>/etc/lilo.conf</file> grant read and write permissions to root, and enable read-only access for <file>lilo.conf</file>'s group, root.
de: Stellen Sie danach sicher, dass die Konfigurationsdatei nicht für alle lesbar ist, um zu verhindern, dass lokale Benutzer das Passwort lesen können. Haben Sie dies getan, rufen Sie lilo auf. Wenn Sie die <tt>restricted</tt>-Zeile weglassen, wird LILO immer nach dem Passwort fragen, egal ob LILO Parameter übergeben wurden oder nicht. Die Standard-Zugriffsrechte auf <file>/etc/lilo.conf</file> erlauben Root das Lesen und Schreiben und der Gruppe von lilo.conf, ebenfalls Root, das Lesen.

note: type: <p><example>
en: If you use GRUB instead of LILO, edit <file>/boot/grub/menu.lst</file> and add the following two lines at the top (substituting, of course <tt>hackme</tt> with the desired password). This prevents users from editing the boot items. <tt>timeout 3</tt> specifies a 3 second delay before <prgn>grub</prgn> boots the default item.
de: Wenn Sie GRUB anstelle von LILO verwenden, bearbeiten Sie <file>/boot/grub/menu.lst</file> und fügen Sie die folgenden zwei Zeilen am Anfang ein (dabei ersetzen Sie natürlich <tt>hackmich</tt> mit dem vorgesehenen Passwort). Dies verhindert, dass Benutzer die Booteinträge verändern können. <tt>timeout 3</tt> legt eine Wartedauer von 3 Sekunden fest, bevor <prgn>Grub</prgn> den Standard-Eintrag bootet.

note: type: <example></example>
en:   timeout 3
      password hackme
de:   timeout 3
      password hackmich

note: type: <p><example>
en: To further harden the integrity of the password, you may store the password in an encrypted form. The utility <prgn>grub-md5-crypt</prgn> generates a hashed password which is compatible with GRUB's encrypted password algorithm (MD5). To specify in <prgn>grub</prgn> that an MD5 format password will be used, use the following directive:
de: Um die Integrität Ihres Passwortes zusätzlich abzusichern, können Sie Ihr Passwort verschlüsselt ablegen. Das Dienstprogramm <prgn>grub-md5-crypt</prgn> erzeugt ein gehashtes Passwort, das mit GRUBs Verschlüsselungsalgorithmus (MD5) kompatibel ist. Um <prgn>Grub</prgn> mitzuteilen, dass ein Passwort im MD5-Format verwendet wird, benutzen Sie die folgende Anweisung:

note: type: </example></p>
en: The --md5 parameter was added to instruct <prgn>grub</prgn> to perform the MD5 authentication process. The provided password is the MD5 encrypted version of hackme. Using the MD5 password method is preferable to choosing its clear-text counterpart. More information about <prgn>grub</prgn> passwords may be found in the <package>grub-doc</package> package.
de: Der Parameter --md5 wurde hinzugefügt, um bei <prgn>Grub</prgn> einen MD5-Authentifizierungsprozess zu erzwingen. Das angegebene Passwort ist die mit MD5 verschlüsselte Version von »hackmich«. MD5-Passwörter sind Klartext-Passwörtern vorzuziehen. Weitere Informationen über <prgn>Grub</prgn>-Passwörter können Sie im Paket <package>grub-doc</package> finden.

note: type: <heading></heading>
en: Disable root prompt on the initramfs
de: Entfernen des Root-Prompts von Initramfs

note: type: <p></p>
en: Note: This applies to the default kernels provided for releases after Debian 3.1
de: Hinweis: Dies betrifft alle Standard-Kernel, die nach Debian 3.1 veröffentlicht wurden.

note: type: <p><example>
en: Linux 2.6 kernels provide a way to access a root shell while booting which will be presented during loading the initramfs on error. This is helpful to permit the administrator to enter a rescue shell with root permissions. This shell can be used to manually load modules when autodetection fails. This behavior is the default for <prgn>initramfs-tools</prgn> generated initramfs. The following message will appear:
de: Die Linux-Kernel 2.6 enthalten die Möglichkeit, während des Bootvorgangs auf eine Root-Shell zuzugreifen. Dies geschieht, wenn beim Laden von Initramfs ein Fehler auftritt. Dadurch kann der Administrator auf eine Rettungs-Shell mit Root-Rechten zugreifen. Mit dieser Shell können von Hand Module geladen werden, falls eine automatische Erkennung scheitern sollte. Dieses Verhalten ist Standard für ein von <prgn>Initramfs-tools</prgn> erzeugtes Initramfs. Folgende Fehlermeldung wird auftreten:

note: type: <example></example>
en:   "ALERT!  /dev/sda1 does not exist.  Dropping to a shell!
de:   "ALERT!  /dev/sda1 does not exist.  Dropping to a shell! <!-- SB: keine deutsche Übersetzung? -->

note: type: <p></p>
en: In order to remove this behavior you need to set the following boot argument:<em>panic=0</em>. Either add it to the kopt section of <file>/boot/grub/menu.lst</file> and issue <prgn>update-grub</prgn> or to the append section of <file>/etc/lilo.conf</file>.
de: Um dieses Verhalten abzuschalten, müssen Sie folgenden Boot-Parameter setzen: <em>panic=0</em>. Sie können ihn entweder in den Abschnitt »kopt« in <file>/boot/grub/menu.lst</file> eintragen und <prgn>update-grub</prgn> ausführen oder ihn dem Abschnitt »append« von <file>/etc/lilo.conf</file> hinzufügen. <!-- SB: in grub2 in /etc/default/grub -->

note: type: <heading></heading>
en: Remove root prompt on the kernel
de: Entfernen des Root-Promptes aus dem Kernel

note: type: <p></p>
en: Note: This does not apply to the kernels provided for Debian 3.1 as the timeout for the kernel delay has been changed to 0.
de: Hinweis: Dies trifft nicht auf Kernel zu, die in Debian 3.1 enthalten sind, da die Wartezeit auf Null verändert wurde.

note: type: <p><example>
en: Linux 2.4 kernels provide a way to access a root shell while booting which will be presented just after loading the cramfs file system. A message will appear to permit the administrator to enter an executable shell with root permissions, this shell can be used to manually load modules when autodetection fails. This behavior is the default for <prgn>initrd</prgn>'s <file>linuxrc</file>. The following message will appear:
de: Linux 2.4-Kernel bieten kurz nach dem Laden des Cramfs einen Weg, Zugriff auf eine Root-Shell zu bekommen, also während das System bootet. Es erscheint eine Meldung, die dem Administrator erlaubt, eine ausführbare Shell mit Root-Privilegien zu öffnen. Diese Shell kann dazu benutzt werden, manuell Module zu laden, falls die automatische Erkennung fehlschlägt. Dies ist das Standard-Verhalten bei <prgn>initrd</prgn>'s <file>linuxrc</file>. Die folgende Meldung wird erscheinen:

note: type: <example></example>
en:   Press ENTER to obtain a shell (waits 5 seconds)
de:   Press ENTER to obtain a shell (waits 5 seconds) <!-- SB: keine deutsche Übersetzung? -->

note: type: <p><example>
en: In order to remove this behavior you need to change <file>/etc/mkinitrd/mkinitrd.conf</file> and set:
de: Um dieses Verhalten zu entfernen, müssen Sie <file>/etc/mkinitrd/mkinitrd.conf</file> bearbeiten und folgenden Eintrag setzen:

note: type: <example></example>
en:   # DELAY  The  number  of seconds the linuxrc script should wait to
      # allow the user to interrupt it before the system is brought up
      DELAY=0
de:   # DELAY  Anzahl Sekunden, die das linuxrc Skript warten soll, 
      # um den Benutzer Eingriffe zu erlauben, bevor das System hochgefahren
      # wird
      DELAY=0

note: type: <p><example>
en: Then regenerate your ramdisk image. You can do this for example with:
de: Erstellen Sie anschließend Ihr Ramdisk-Image neu. Dies können Sie zum Beispiel so tun:

note: type: <p><example>
en: or (preferred):
de: oder (vorzugsweise) so:

note: type: <heading></heading>
en: Restricting console login access
de: Einschränkung der Anmeldemöglichkeiten an der Konsole

note: type: <p><list>
en: Some security policies might force administrators to log in to the system through the console with their user/password and then become superuser (with <prgn>su</prgn> or <prgn>sudo</prgn>). This policy is implemented in Debian by editing the <file>/etc/pam.d/login</file> and the <file>/etc/securetty</file> when using PAM:
de: Manche Sicherheitsrichtlinien können Administratoren dazu zwingen, sich erst als Benutzer mit ihrem Passwort auf dem System einzuloggen und dann Superuser zu werden (mit <prgn>Su</prgn> oder <prgn>Sudo</prgn>). Eine solche Richtlinie wird in Debian durch Bearbeitung der Dateien <file>/etc/pam.d/login</file> und <file>/etc/securetty</file> (falls Sie PAM verwenden) implementiert.

note: type: <p></p>
en: <file>/etc/pam.d/login</file> <footnote><p>In older Debian releases you would need to edit <file>login.defs</file>, and use the CONSOLE variable which defines a file or list of terminals on which root logins are allowed.</p></footnote> enables the pam_securetty.so module. This module, when properly configured will not ask for a password when the root user tries to login on an insecure console, rejecting access as this user.
de: Die Datei <file>/etc/pam.d/login</file> <footnote><p>In älteren Debian-Veröffentlichungen müssen Sie in der Datei <file>login.defs</file> die CONSOLE-Variable ändern, die eine Datei oder eine Liste von Terminals definiert, an denen sich Root anmelden darf.</p></footnote> aktiviert das Modul pam_securetty.so. Wenn es richtig konfiguriert ist, wird Root, wenn er sich auf einer unsicheren Konsole anmelden will, nicht nach einem Passwort gefragt, sondern sein Anmeldeversuch wird abgelehnt.

note: type: <p></p>
en: <file>securetty</file> <footnote><p>The <file>/etc/securetty</file> is a configuration file that belongs to the <package>login</package> package.</p></footnote> by adding/removing the terminals to which root access will be allowed. If you wish to allow only local console access then you need <em>console</em>, <em>ttyX</em><footnote><p>Or <em>ttyvX</em> in GNU/FreeBSD, and <em>ttyE0</em> in GNU/KNetBSD.</p></footnote> and <em>vc/X</em> (if using <em>devfs</em> devices), you might want to add also <em>ttySX</em><footnote><p>Or <em>comX</em> in GNU/Hurd, <em>cuaaX</em> in GNU/FreeBSD, and <em>ttyXX</em> in GNU/KNetBSD.</p></footnote> if you are using a serial console for local access (where X is an integer, you might want to have multiple instances. The default configuration for <em>Wheezy</em> <footnote><p>The default configuration in <em>woody</em> includes 12 local tty and vc consoles, as well as the <em>console</em> device but does not allow remote logins. In <em>sarge</em> the default configuration provides 64 consoles for tty and vc consoles.</p></footnote> includes many tty devices, serial ports, vc consoles as well as the X server and the <em>console</em> device. You can safely adjust this if you are not using that many consoles. You can confirm the virtual consoles and the tty devices you have by reviewing <file>/etc/inittab</file> <footnote><p>Look for the <em>getty</em> calls.</p></footnote> . For more information on terminal devices read the <url id="http://tldp.org/HOWTO/Text-Terminal-HOWTO-6.html" name="Text-Terminal-HOWTO">.
de: In <file>securetty</file><footnote><p> Die Datei <file>/etc/securetty</file> ist eine Konfigurationsdatei, die zum Paket <package>login</package> gehört.</p></footnote> entfernen Sie oder fügen Sie Terminals hinzu, auf denen sich Root anmelden darf. Falls Sie nur lokalen Zugang zur Konsole erlauben wollen, benötigen Sie <em>console</em>, <em>ttyX</em> <footnote> <p>Oder <em>ttyvX</em> unter GNU/FreeBSD und <em>ttyE0</em> unter GNU/KNetBSD.</p> </footnote> und <em>vc/X</em> (falls Sie die <em>devfs</em>-Schnittstelle verwenden). Sie sollten auch <em>ttySX</em> <footnote> <p>Oder <em>comX</em> unter GNU/Hurd, <em>cuaaX</em> unter GNU/FreeBSD und <em>ttyXX</em> unter GNU/KNetBSD. </p></footnote> hinzufügen, wenn Sie eine serielle Konsole für den lokalen Zugang verwenden (wobei X eine ganze Zahl ist; es kann wünschenswert sein, mehrere Instanzen zu verwenden). Die Standardeinstellung in <em>Wheezy</em> <footnote> <p>Die Standardeinstellung in <em>Woody</em> beinhaltet zwölf lokale tty- und virtuelle Konsolen und die <em>console</em>-Schnittstelle. Anmeldungen aus der Ferne sind nicht erlaubt. In <em>Sarge</em> stellt die Standardeinstellung 64 Konsolen für tty- und virtuelle Konsolen zu Verfügung. </p></footnote> beinhaltet viele tty-Konsolen, serielle Schnittstellen und virtuelle Konsolen sowie den X-Server und das <em>console</em>-Gerät. Sie können das ohne Probleme anpassen, wenn Sie nicht derartige viele Konsolen benutzen. Sie können die Anzahl der Konsolen und Schnittstellen in <file>/etc/inittab</file> überprüfen <footnote> <p>Achten Sie auf die <em>getty</em> Einträge. </p></footnote>. Weiterführende Informationen zu Terminal-Schnittstellen finden Sie im <url id="http://tldp.org/HOWTO/Text-Terminal-HOWTO-6.html" name="Text-Terminal-HOWTO">.

note: type: <p><example>
en: When using PAM, other changes to the login process, which might include restrictions to users and groups at given times, can be configured in <file>/etc/pam.d/login</file>. An interesting feature that can be disabled is the possibility to login with null (blank) passwords. This feature can be limited by removing <em>nullok</em> from the line:
de: Wenn Sie PAM benutzen, können Sie auch andere Änderungen am Login-Prozess, die auch Einschränkungen für einzelne Benutzer oder Gruppen zu bestimmten Zeiten enthalten können, durch Konfiguration der Datei <file>/etc/pam.d/login</file> vornehmen. Eine interessante Eigenschaft, die man auch abschalten kann, ist die Möglichkeit, sich mit einem leeren Passwort (Null-Passwort) anzumelden. Diese Eigenschaft kann eingeschränkt werden, indem Sie <em>nullok</em> aus folgender Zeile entfernen:

note: type: <heading></heading>
en: Restricting system reboots through the console
de: Einschränkung des System-Neustarts von der Konsole aus

note: type: <p></p>
en: If your system has a keyboard attached to it anyone (yes <em>anyone</em>) with physical access to the system can reboot the system through it without login in just pressing the <em>Ctrl+Alt+Delete</em> keyboard combination, also known as the <em>three finger salute</em>. This might, or might not, adhere to your security policy.
de: Wenn eine Tastatur an Ihr System angeschlossen ist, kann es jeder (ja, wirklich <em>jeder</em>) mit physischem Zugang zu Ihrem System neu starten, ohne sich an Ihrem System anmelden zu müssen, einfach indem er die Tastenkombination <em>Strg+Alt+Entf</em> drückt (auch als <em>Affengriff</em> bekannt). Dies könnte gegen Ihre Sicherheitsrichtlinien verstoßen (oder auch nicht).

note: type: <p></p>
en: This is aggravated in environments in which the operating system is running virtualised. In these environments, the possibility extends to users that have access to the virtual console (which might be accessed over the network). Also note that, in these environments, this keyboard combination is used constantly (to open a login shell in some GUI operating systems) and an administrator might <em>virtually</em> send it and force a system reboot.
de: Dies ist schwerwiegender, wenn das Betriebssystem in einer virtuellen Umgebung läuft. Dann erstreckt sich diese Fähigkeit auch auf Benutzer, die Zugriff auf die virtuelle Konsole haben (was auch über das Netzwerk geschehen könnte). Beachten Sie zudem, dass in einer solchen Umgebung diese Tastenkombination ständig verwendet wird (um in einigen grafischen Benutzeroberflächen eine Login-Shell zu öffnen), so dass ein Systemadministrator sie <em>virtuell</em> auslösen kann und das System neu startet.

note: type: <p><list>
en: There are two ways to restrict this:
de: Es gibt zwei Möglichkeiten, dies einzuschränken:

note: type: <p></p>
en: configure it so that only <em>allowed</em> users can reboot the system,
de: mit einer Konfiguration, mit der nur <em>bestimmte</em> Benutzer das System neu starten dürfen,

note: type: <p></p>
en: disable this feature completely.
de: diese Eigenschaft vollständig zu deaktivieren.

note: type: <p></p>
en: If you want to restrict this, you must check the <file>/etc/inittab</file> so that the line that includes <tt>ctrlaltdel</tt> calls <prgn>shutdown</prgn> with the <tt>-a</tt> switch.
de: Wenn Sie dies einschränken wollen, müssen Sie in <file>/etc/inittab</file> sicherstellen, dass die Zeile, die <tt>ctrlaltdel</tt> enthält, <prgn>shutdown</prgn> mit der Option <tt>-a</tt> aufruft.

note: type: <p><example>
en: The default in Debian includes this switch:
de: Standardmäßig enthält Debian diese Optionen:

note: type: <p></p>
en: The <tt>-a</tt> switch, as the <manref name="shutdown" section="8"> manpage describes,makes it possible to allow <em>some</em> users to shutdown the system. For this the file <file>/etc/shutdown.allow</file> must be created and the administrator has to include there the name of users which can boot the system. When the <em>three finger salute</em> combination is pressed in a console the program will check if any of the users listed in the file are logged in. If none of them is, <prgn>shutdown</prgn> will <em>not</em> reboot the system.
de: Die Option <tt>-a</tt> ermöglicht es, <em>einigen</em> Benutzern zu erlauben, das System neu zu starten (vgl. die Handbuchseite <manref section="8" name="shutdown">). Dazu müssen Sie die Datei <file>/etc/shutdown.allow</file> erstellen und die Namen der Benutzer, die das System neu booten dürfen, eintragen. Wenn der <em>Affengriff</em> in einer Konsole ausgeführt wird, wird geprüft, ob irgendeiner der Benutzer, die in der Datei aufgelistet sind, angemeldet ist. Wenn es keiner von ihnen ist, wird <prgn>Shutdown</prgn> das System <em>nicht</em> neu starten.

note: type: <p></p>
en: If you want to disable the Ctrl+Alt+Del combination you just need to comment the line with the <em>ctrlaltdel</em> definition in the <file>/etc/inittab</file>.
de: Wenn Sie die Tastenkombination Strg+Alt+Entf deaktivieren möchten, müssen Sie nur die Zeile mit <em>ctrlaltdel</em> in <file>/etc/inittab</file> auskommentieren.

note: type: <p></p>
en: Remember to run <tt>init q</tt> after making any changes to the <file>/etc/inittab</file> file for the changes to take effect.
de: Vergessen Sie nicht, <tt>init q</tt> auszuführen, nachdem Sie diese Datei bearbeitet haben, damit die Änderungen wirksam werden.

note: type: <heading></heading>
en: Restricting the use of the Magic SysRq key
de: Einschränkung der Tastenkombination Magische S-Abf

note: type: <p></p>
en: The <em>Magic SysRq key</em> is a key combination that allows users connected to the system console of a Linux kernel to perform some low-level commands. These low-level commands are sent by pressing simultaneously <em>Alt+SysRq</em> and a command key. The SysRq key in many keyboards is labeled as the <em>Print Screen</em> key.
de: Die Tastenkombination <em>Magische S-Abf</em> (Magic SysRq) erlaubt es Benutzern einer Konsole eines Linux-Systems, bestimmte systemnahe Befehle auszuführen, indem gleichzeitig <em>Alt+S-Abf</em> und eine bestimmte Taste gedrückt wird. Die Taste S-Abf wird auf vielen Tastaturen mit <em>Druck</em> bezeichnet.

note: type: <p><example>
en: Since the Etch release, the Magic SysRq key feature is enabled in the Linux kernel to allow console users certain privileges. You can confirm this by checking if the <file>/proc/sys/kernel/sysrq</file> exists and reviewing its value:
de: Seit der Veröffentlichung von Etch ist die Tastenkombination Magische S-Abf im Linux-Kernel aktiviert, damit die Benutzer einer Konsole bestimmte Privilegien erhalten können. Ob dies auf Ihr System zutrifft, erkennen Sie daran, ob <file>/proc/sys/kernel/sysrq</file> existiert, und an dessen Wert:

note: type: <p></p>
en: The default value shown above allows all of the SysRq functions except for the possibility of sending signals to processes. For example, it allow users connected to the console to remount all systems read-only, reboot the system or cause a kernel panic. In all the features are enabled, or in older kernels (earlier than 2.6.12) the value will be just 1.
de: Der oben gezeigte Standardwert erlaubt alle S-Abf-Funktionen mit Ausnahme der Möglichkeit, Signale an Prozesse zu senden. Zum Beispiel können Benutzer, die an der Konsole angemeldet sind, alle Systeme nur-lesend neu einhängen, das System neu starten oder eine Kernelpanik auslösen. Wenn alle Fähigkeit aktiviert sind oder in älteren Kernel-Versionen (früher als 2.6.12), wird der Wert einfach 1 sein.

note: type: <p><example>
en: You should disable this functionality ifaccess to the console is not restricted to authorised users: the console is connected to a modem line, there is easy physical access to the system or it is running in a virtualised environment and other users access the console. To do this edit the <file>/etc/sysctl.conf</file> and add the following lines:
de: Sie sollten diese Fähigkeit deaktivieren, wenn der Zugang zur Konsole nicht auf angemeldete Benutzer beschränkt ist, nämlich wenn die Konsole an ein Modem angebunden ist, es leichten physischen Zugang zum System gibt oder es in einer virtuellen Umgebung läuft und andere Benutzer auf die Konsole zugreifen können. Dafür müssen Sie <file>/etc/sysctl.conf</file> bearbeiten und folgende Zeile einfügen:

note: type: <example></example>
en: # Disables the magic SysRq key
    kernel.sysrq = 0
de: # Schaltet die Magische S-Abf-Taste ab
    kernel.sysrq = 0

note: type: <p></p>
en: For more information, read <url id="http://tldp.org/HOWTO/Remote-Serial-Console-HOWTO/security-sysrq.html" name="security chapter in the Remote Serial Console HOWTO">, <url id="http://kernel.org/doc/Documentation/sysrq.txt" name="Kernel SysRQ documentation">. and the <url id="http://en.wikipedia.org/wiki/Magic_SysRq_key" name="Magic_SysRq_key wikipedia entry">.
de: Weitere Informationen finden Sie im <url id="http://tldp.org/HOWTO/Remote-Serial-Console-HOWTO/security-sysrq.html" name="security chapter in the Remote Serial Console HOWTO">, in der <url id="http://kernel.org/doc/Documentation/sysrq.txt" name="Kernel SysRQ documentation"> und dem <url id="https://de.wikipedia.org/wiki/Magische_S-Abf-Taste" name="Wikipedia-Eintrag zur Magischen S-Abf-Taste">.

note: type: <heading></heading>
en: Mounting partitions the right way
de: Partitionen auf die richtige Art einhängen

note: type: <p><example>
en: When mounting an <tt>Ext</tt> file system (<tt>ext2</tt>, <tt>ext3</tt> or <tt>ext4</tt>), there are several additional options you can apply to the mount call or to <file>/etc/fstab</file>. For instance, this is my fstab entry for the <file>/tmp</file> partition:
de: Wenn Sie ein <tt>Ext</tt>-Dateisystem (<tt>ext2</tt>, <tt>ext3</tt> oder <tt>ext4</tt>) einhängen, können Sie verschiedene Optionen mit dem mount-Befehl oder in <file>/etc/fstab</file> verwenden. Dies ist zum Beispiel mein fstab-Eintrag für meine <file>/tmp</file>-Partition:

note: type: <p><list>
en: You see the difference in the options sections. The option <tt>nosuid</tt> ignores the setuid and setgid bits completely, while <tt>noexec</tt> forbids execution of any program on that mount point, and <tt>nodev</tt> ignores device files. This sounds great, but it:
de: Achten Sie auf den Abschnitt mit den Optionen. Die Option <tt>nosuid</tt> ignoriert komplett alle setuid- und setgid-Bits, während <tt>noexec</tt> das Ausführen von Programmen unterhalb des Einhängepunkts verbietet und <tt>nodev</tt> Gerätedateien ignoriert. Das hört sich toll an, aber:

note: type: <p></p>
en: only applies to <tt>ext2</tt> or <tt>ext3</tt> file systems
de: ist nur auf <tt>ext2</tt> oder <tt>ext3</tt>-Dateisysteme anwendbar,

note: type: <p></p>
en: can be circumvented easily
de: kann leicht umgangen werden.

note: type: <p><example>
en: The <tt>noexec</tt> option prevents binaries from being executed directly, but was easily circumvented in earlier versions of the kernel:
de: Die Option <tt>noexec</tt>, die verhindert, dass Programme ausgeführt werden können, ließ sich in früheren Kernelversionen leicht umgehen:

note: type: <example></example>
en:   alex@joker:/tmp# mount | grep tmp
      /dev/hda7 on /tmp type ext2 (rw,noexec,nosuid,nodev)
      alex@joker:/tmp# ./date
      bash: ./date: Permission denied
      alex@joker:/tmp# /lib/ld-linux.so.2 ./date
      Sun Dec  3 17:49:23 CET 2000
de:   alex@joker:/tmp# mount | grep tmp
      /dev/hda7 on /tmp type ext2 (rw,noexec,nosuid,nodev)
      alex@joker:/tmp# ./date
      bash: ./date: Keine Berechtigung
      alex@joker:/tmp# /lib/ld-linux.so.2 ./date
      So 3. Dec 17:49:23 CET 2000

note: type: <p><example>
en: Newer versions of the kernel do however handle the <tt>noexec</tt> flag properly:
de: Neuere Versionen des Kernels verarbeiten aber die Option <tt>noexec</tt> richtig:

note: type: <example></example>
en:   angrist:/tmp# mount | grep /tmp
      /dev/hda3 on /tmp type ext3 (rw,noexec,nosuid,nodev)
      angrist:/tmp# ./date
      bash: ./tmp: Permission denied 
      angrist:/tmp# /lib/ld-linux.so.2 ./date 
      ./date: error while loading shared libraries: ./date: failed to map segment 
      from shared object: Operation not permitted
de:   angrist:/tmp# mount | grep /tmp
      /dev/hda3 on /tmp type ext3 (rw,noexec,nosuid,nodev)
      angrist:/tmp# ./date
      bash: ./tmp: Keine Berechtigung
      angrist:/tmp# /lib/ld-linux.so.2 ./date 
      ./date: error while loading shared libraries: ./date: failed to map segment 
      from shared object: Operation not permitted

note: type: <p></p>
en: However, many script kiddies have exploits which try to create and execute files in <file>/tmp</file>. If they do not have a clue, they will fall into this pit. In other words, a user cannot be tricked into executing a trojanized binary in <file>/tmp</file> e.g. when he incidentally adds <file>/tmp</file> into his PATH.
de: Wie auch immer, viele Skript-Kiddies haben Exploits, die versuchen, eine Datei in <file>/tmp</file> zu erstellen und auszuführen. Falls sie keine Ahnung haben, werden sie in dieser Grube hängen bleiben. Mit anderen Worten: Ein Benutzer kann nicht hereingelegt werden, einen ausführbaren Trojaner in <file>/tmp</file> laufen zu lassen, zum Beispiel, indem er zufällig <file>/tmp</file> in seinen Suchpfad (PATH) aufnimmt.

note: type: <p></p>
en: Also be forewarned, some script might depend on <file>/tmp</file> being executable. Most notably, Debconf has (had?) some issues regarding this, for more information see Bug <url id="http://bugs.debian.org/116448" name="116448">.
de: Seien Sie sich auch bewusst, dass manche Skripte darauf aufbauen, dass <file>/tmp</file> ausführbare Rechte hat. Bemerkenswerterweise hatte (oder hat?) Debconf Probleme bei dieser Sache, weitere Informationen enthält Fehler <url id="http://bugs.debian.org/116448" name="116448">.

note: type: <p><example>
en: The following is a more thorough example. A note, though: <file>/var</file> could be set noexec, but some software <footnote><p>Some of this includes the package manager <package>dpkg</package> since the installation (post,pre) and removal (post,pre) scripts are at <file>/var/lib/dpkg/</file> and Smartlist</p></footnote> keeps its programs under in <file>/var</file>. The same applies to the nosuid option.
de: Nachfolgend ein gründlicheres Beispiel. Eine Anmerkung dazu: <file>/var</file> könnte auch noexec enthalten, aber manche Software <footnote> <p>Einiges davon trifft auf den Paketverwalter <package>Dpkg</package> zu, da die Installations- oder Deinstallationsanweisungen (post, pre) unter <file>/var/lib/dpkg/</file> liegen, und auch auf Smartlist. </p></footnote> verwahrt ihre Programme unterhalb von <file>/var</file>. Dasselbe gilt für die Option nosuid.

note: type: <heading></heading>
en: Setting <file>/tmp</file> noexec
de: <file>/tmp</file> noexec setzen

note: type: <p></p>
en: Be careful if setting <file>/tmp</file> noexec when you want to install new software, since some programs might use it for installation. <package>apt</package> is one such program (see <url id="http://bugs.debian.org/116448">) if not configured properly <tt>APT::ExtractTemplates::TempDir</tt> (see <manref name="apt-extracttemplates" section="1">). You can set this variable in <file>/etc/apt/apt.conf</file> to another directory with exec privileges other than <file>/tmp</file>.
de: Seien Sie vorsichtig, wenn Sie <file>/tmp</file> noexec setzen und neue Software installieren wollen, da manche Software es während der Installation benutzt. <package>Apt</package> ist ein solches Programm (siehe <url id="http://bugs.debian.org/116448">), wenn nicht <tt>APT::ExtractTemplates::TempDir</tt> (siehe <manref name="apt-extracttemplates" section="1">) passend konfiguriert wurde. Sie können diese Variable in <file>/etc/apt/apt.conf</file> auf ein anderes Verzeichnis als <file>/tmp</file> mit exec-Privilegien setzen.

note: type: <heading></heading>
en: Setting /usr read-only
de: /usr auf nur-lesend setzen

note: type: <p></p>
en: If you set <file>/usr</file> read-only you will not be able to install new packages on your Debian GNU/Linux system. You will have to first remount it read-write, install the packages and then remount it read-only. <package>apt</package> can be configured to run commands before and after installing packages, so you might want to configure it properly.
de: Wenn Sie auf <file>/usr</file> nur lesenden Zugriff erlauben, werden Sie nicht in der Lage sein, neue Pakete auf Ihrem Debian-GNU/Linux-System zu installieren. Sie werden es erst mit Schreibzugriff erneut einhängen müssen, die Pakete installieren und dann wieder nur mit lesendem Zugriff einhängen. <package>Apt</package> kann so konfiguriert werden, dass Befehle vor und nach dem Installieren von Paketen ausgeführt werden. Daher müssen Sie es passend konfigurieren.

note: type: <p><example>
en: To do this modify <file>/etc/apt/apt.conf</file> and add:
de: Dafür müssen Sie <file>/etc/apt/apt.conf</file> bearbeiten und Folgendes einfügen:

note: type: <p><example>
en: Note that the Post-Invoke may fail with a "/usr busy" error message. This happens mainly when you are using files during the update that got updated. You can find these programs by running
de: Beachten Sie, dass das Post-Invoke mit der Fehlermeldung »/usr ist belegt« scheitern kann. Dies passiert vorwiegend, wenn Sie eine Datei benutzen, die aktualisiert wurde. Sie können diese Programme finden, indem Sie Folgendes ausführen:

note: type: <p></p>
en: Stop or restart these programs and run the Post-Invoke manually. <em>Beware!</em> This means you'll likely need to restart your X session (if you're running one) every time you do a major upgrade of your system. You might want to reconsider whether a read-only <file>/usr</file> is suitable for your system. See also this <url id="http://lists.debian.org/debian-devel/2001/11/threads.html#00212" name="discussion on debian-devel about read-only /usr">.
de: Halten Sie diese Programme an oder starten Sie sie erneut und rufen dann Post-Invoke manuell auf. <em>Achtung!</em> Das bedeutet, dass Sie wahrscheinlich jedes Mal Ihre Sitzung von X (falls Sie eine laufen haben) neu starten müssen, wenn Sie ein größeres Upgrade Ihres Systems durchführen. Sie müssen entscheiden, ob ein nur lesbares <file>/usr</file> zu Ihrem System passt. Vergleichen Sie auch diese <url id="http://lists.debian.org/debian-devel/2001/11/threads.html#00212" name="discussion on debian-devel about read-only /usr">.

note: type: <heading></heading>
en: Providing secure user access
de: Den Benutzerzugang absichern

note: type: <heading></heading>
en: User authentication: PAM
de: Benutzerauthentifizierung: PAM

note: type: <p></p>
en: PAM (Pluggable Authentication Modules) allows system administrators to choose how applications authenticate users. Note that PAM can do nothing unless an application is compiled with support for PAM. Most of the applications that are shipped with Debian have this support built in (Debian did not have PAM support before 2.2). The current default configuration for any PAM-enabled service is to emulate UNIX authentication (read <file>/usr/share/doc/libpam0g/Debian-PAM-MiniPolicy.gz</file> for more information on how PAM services <em>should</em> work in Debian).
de: PAM (Pluggable Authentication Modules) erlaubt Systemadministratoren, auszuwählen, wie Anwendungen Benutzer authentifizieren. Beachten Sie, dass PAM nichts machen kann, solange die Anwendung nicht mit Unterstützung für PAM kompiliert wurde. Die meisten Anwendungen, die mit Debian geliefert werden, haben diese Unterstützung eingebaut. Vor Version 2.2 hatte Debian keine Unterstützung für PAM. Die derzeitige Standardkonfiguration für jeden Dienst, der PAM benutzt, ist es, UNIX-Authentifizierung zu emulieren (lesen Sie <file>/usr/share/doc/libpam0g/Debian-PAM-MiniPolicy.gz</file>, um mehr darüber zu erfahren, wie PAM-Dienste unter Debian arbeiten <em>sollten</em>).

note: type: <p><list>
en: Each application with PAM support provides a configuration file in <file>/etc/pam.d/</file> which can be used to modify its behavior:
de: Jede Anwendung mit PAM-Unterstützung stellt eine Konfigurationsdatei unter <file>/etc/pam.d/</file> zur Verfügung, in welcher Sie ihr Verhalten einstellen können:

note: type: <p></p>
en: what backend is used for authentication.
de: welches Verfahren zur Authentifizierung benutzt wird

note: type: <p></p>
en: what backend is used for sessions.
de: welches Verfahren innerhalb einer Sitzung benutzt wird

note: type: <p></p>
en: how do password checks behave.
de: wie Passwörter überprüft werden

note: type: <p></p>
en: The following description is far from complete, for more information you might want to read the <url id="http://www.linux-pam.org/Linux-PAM-html/" name="Linux-PAM Guides"> as a reference. This documentation is available in the system if you install the <package>libpam-doc</package> at <file>/usr/share/doc/libpam-doc/html/</file>.
de: Die folgende Beschreibung ist weit davon entfernt, vollständig zu sein. Für weitere Informationen können Sie die <url id="http://www.linux-pam.org/Linux-PAM-html/" name="Linux-PAM Guides"> lesen. Diese Dokumentation ist auf Ihrem System unter <file>/usr/share/doc/libpam-doc/html/</file> verfügbar, wenn Sie <package>libpam-doc</package> installieren.

note: type: <p></p>
en: PAM offers you the possibility to go through several authentication steps at once, without the user's knowledge. You could authenticate against a Berkeley database and against the normal <file>passwd</file> file, and the user only logs in if he authenticates correct in both. You can restrict a lot with PAM, just as you can open your system doors very wide. So be careful. A typical configuration line has a control field as its second element. Generally it should be set to <tt>requisite</tt>, which returns a login failure if one module fails.
de: PAM bieten Ihnen die Möglichkeit, durch mehrere Authentifizierungsschritte auf einmal zu gehen, ohne dass der Benutzer es weiß. Sie können gegen eine Berkeley-Datenbank und gegen die normale <file>passwd</file>-Datei authentifizieren, und der Benutzer kann sich nur anmelden, wenn er beide Male korrekt authentifiziert wurde. Sie können mit PAM viel einschränken, genauso wie Sie Ihr System weit öffnen können. Seien Sie also vorsichtig. Eine typische Konfigurationszeile hat ein Steuerfeld als zweites Element. Generell sollte es auf <tt>requisite</tt> gesetzt werden, so wird ein Anmeldefehler erzeugt, wenn eines der Module versagt.

note: type: <heading></heading>
en: Password security in PAM
de: Passwortsicherheit in PAM

note: type: <p></p>
en: Review the <file>/etc/pam.d/common-password</file>, included by <file>/etc/pam.d/passwd</file> <footnote><p>In old Debian releases the configuration of the modules was defined directly in <file>/etc/pam.d/passwd</file>.</p></footnote> . This file is included by other files in <file>/etc/pam.d/</file> to define the behaviour of password use in subsystems that grant access to services in the machine, like the console login (<tt>login</tt>), graphical login managers (such as <tt>gdm</tt> or <tt>lightdm</tt>), and remote login (such as <tt>sshd</tt>). This definition is
de: Sehen Sie sich <file>/etc/pam.d/common-password</file> an, die von <file>/etc/pam.d/passwd</file> eingebunden wird. <footnote><p>In früheren Debian-Veröffentlichungen befand sich die Konfiguration der Module direkt in <file>/etc/pam.d/passwd</file>.</p></footnote> Andere Dateien in <file>/etc/pam.d/</file> lesen diese Datei ein, um die Verwendung eines Passworts durch Programme, die einen Zugriff auf das System erlauben, wie etwa das Konsolen-Login (<tt>Login</tt>), grafische Login-Manager (z.B. <tt>Gdm</tt> oder <tt>Lightdm</tt>) und Login aus der Ferne (etwa mit <tt>Sshd</tt>), zu definieren.

note: type: <p></p>
en: You have to make sure that the pam_unix.so module uses the "sha512" option to use encrypted passwords. This is the default in Debian Squeeze.
de: Sie müssen sicherstellen, dass das Modul pam_unix.so die Option »sha512« verwendet, damit die Passwörter verschlüsselt werden. In Debian Squeeze ist dies standardmäßig eingerichtet.

note: type: <p><example>
en: The line with the definition of the pam_unix module will look something like:
de: Die Zeile mit der Konfiguration des Moduls pam_unix sollte etwa so aussehen:

note: type: <p><list>
en: This definition:
de: Dieser Ausdruck

note: type: <p></p>
en: Enforces password encryption when storing passwords, using the SHA-512 hash function (option <em>sha512</em>),
de: erzwingt die Verschlüsselung von Passwörtern mit der Hashfunktion SHA-512, wenn sie gespeichert werden (Option <em>sha512</em>),

note: type: <p></p>
en: Enables password complexity checks (option <em>obscure</em>) as defined in the <manref name="pam_unix" section="8"> manpage,
de: aktiviert die Überprüfung der Komplexität eines Passworts, wie sie in der Handbuchseite <manref name="pam_unix" section="8"> beschrieben wird (Option <em>obscure</em>),

note: type: <p></p>
en: Imposes a minimum password length (option <em>min</em>) of 8.
de: erfordert, dass das Passwort mindestens acht Zeichen lang ist (Option <em>min</em>).

note: type: <p></p>
en: You have to ensure that encrypted passwords are used in PAM applications, since this helps protect against dictionary cracks. Using encryption also makes it possible to use passwords longer than 8 characters.
de: Sie müssen sicherstellen, dass in PAM-Anwendungen verschlüsselte Passwörter verwendet werden, weil dies Wörterbuchangriffe erschwert. Zugleich wird es dadurch möglich, Passwörter mit mehr als acht Zeichen einzusetzen.

note: type: <p><example>
en: Since this module is also used to define how passwords are changed (it is included by <tt>chpasswd</tt>) you can strengthen the password security in the system by installing <package>libpam-cracklib</package> and introducing this definition in the <file>/etc/pam.d/common-password</file> configuration file:
de: Da mit diesem Modul auch definiert wird, wie Passwörter geändert werden, weil es von <tt>Chpasswd</tt> eingebunden wird, können Sie die Passwortsicherheit Ihres Systems erhöhen, indem sie <package>libpam-cracklib</package> installieren und folgenden Ausdruck in die Konfigurationsdatei <file>/etc/pam.d/common-password</file> eintragen:

note: type: <example></example>
en:   # Be sure to install libpam-cracklib first or you will not be able to log in
      password   required     pam_cracklib.so retry=3 minlen=12 difok=3
      password   [success=1 default=ignore]      pam_unix.so obscure minlen=8 sha512 use_authok
de:   # Gehen Sie sicher, dass Sie libpam-cracklib zuerst installiert haben,
      # sonst werden Sie sich nicht einloggen können
      password   required     pam_cracklib.so retry=3 minlen=12 difok=3
      password   [success=1 default=ignore]      pam_unix.so obscure minlen=8 sha512 use_authok

note: type: <p></p>
en: So, what does this incantation do? The first line loads the cracklib PAM module, which provides password strength-checking, prompts for a new password with a minimum size <footnote><p>The <em>minlen</em> option is not entirely straightforward and is not exactly the number of characters in the password. A tradeoff can be defined between complexity and length by adjusting the "credit" parameters of different character classes. For more information read the <manref name="pam_cracklib" section="8"> manpage.</p></footnote> of 12 characters, and difference of at least 3 characters from the old password, and allows 3 retries. Cracklib depends on a wordlist package (such as <package>wenglish</package>, <package>wspanish</package>, <package>wbritish</package>, ...), so make sure you install one that is appropriate for your language or cracklib might not be useful to you at all.
de: Also, was macht diese Beschwörungsformel nun genau? Die erste Zeile lädt das PAM-Modul cracklib, welches einen Passwort-Sicherheitscheck bereitstellt. Es fragt nach einem neuen Passwort mit mindestens zwölf Zeichen <footnote><p>Die Option <em>minlen</em> ist nicht auf Anhieb völlig verständlich, weil sie nicht die genaue Anzahl der Zeichen eines Passworts ist. Ein Kompromiss zwischen Komplexität und Länge eines Passworts kann mit dem Parameter »credit« für verschiedene Arten von Zeichen erreicht werden. Weitere Informationen finden Sie in der Handbuchseite <manref name="pam_cracklib" section="8">.</p></footnote>, einer Differenz von mindestens drei Zeichen zum alten Passwort und erlaubt drei Versuche. Cracklib benötigt ein Paket mit Wörterlisten (wie <package>wngerman</package>, <package>wenglish</package>, <package>wspanish</package>, ...). Stellen Sie also sicher, dass Sie ein passendes Paket für Ihre Sprache installiert haben. Ansonsten ist Cracklib nicht verwendbar.

note: type: <p></p>
en: The second line (using the pam_unix.so module) is the default configuration in Debian, as described above, save for the <em>use_authok</em> option. The <em>use_authok</em> option is required if pam_unix.so is stacked after pam_cracklib.so, and is used to hand over the password from the previous module. Otherwise, the user would be prompted for the password twice.
de: Die zweite Zeile (mit dem Module pam_unix.so) ist &ndash; wie oben beschrieben &ndash; der Standard in Debian mit Ausnahme der Option <em>use_authok</em>. Diese Option ist notwendig, wenn pam_unix.so nach pam_cracklib.so aufgerufen wird, damit das Passwort vom zuerst aufgerufenen Modul weitergereicht wird. Anderenfalls muss der Benutzer sein Passwort zweimal eingegeben.

note: type: <p></p>
en: For more information about setting up Cracklib, read the <manref name="pam_cracklib" section="8"> manpage and the article <url id="http://www.deer-run.com/~hal/sysadmin/pam_cracklib.html" name="Linux Password Security with pam_cracklib"> by Hal Pomeranz.
de: Weitere Informationen über die Konfiguration von Cracklib finden Sie in der Handbuchseite <manref name="pam_cracklib" section="8"> und dem Artikel <url id="http://www.deer-run.com/~hal/sysadmin/pam_cracklib.html" name="Linux Password Security with pam_cracklib"> von Hal Pomeranz.

note: type: <p></p>
en: By enabling the cracklib PAM module you setup a policy that forces uses to use strong passwords.
de: Mit dem PAM-Modul Cracklib richten Sie eine Richtlinie ein, welche die Verwendung guter Passwörter erzwingt.

note: type: <p></p>
en: Alternatively, you can setup and configure PAM modules to use double factor authentication such as: <package>libpam-barada</package>, <package>libpam-google-authenticator</package>, <package>libpam-oath</package>, <package>libpam-otpw</package>, <package>libpam-poldi</package>, <package>libpam-usb</package> or <package>libpam-yubico</package>. The configuration of these modules would make it possible to access the system using external authentication mechanisms such as smartcards, external USB keys, or One-Time-Passwords generated by external applications running, for example, in the user's mobile phone.
de: Als Alternative können Sie auch PAM-Module einsetzen, die eine Zwei-Faktor-Authentifizierung verwenden, wie z.B. <package>libpam-barada</package>, <package>libpam-google-authenticator</package>, <package>libpam-oath</package>, <package>libpam-otpw</package>, <package>libpam-poldi</package>, <package>libpam-usb</package> oder <package>libpam-yubico</package>. Diese Module ermöglichen es, sich mit einer externen Authentifizierungsmethode am System anzumelden, etwa mit einer Chipkarte, einem USB-Stick oder Einmal-Passwörtern, die mit einer externen Anwendung, z.B. auf einem Mobiltelefon, erzeugt wurden.

note: type: <p></p>
en: Please note that these restrictions apply to all users but <em>not</em> to the password changes done by the root user. The root user will be able to set up any password (any length or complexity) for himself or others regardless of the restrictions defined here.
de: Denken Sie daran, dass diese Einschränkungen alle Benutzer betreffen <em>außer</em> Änderungen von Passwörtern, die der Benutzer Root vornimmt. Dieser kann unabhängig von den eingerichteten Beschränkungen jedes Passwort (in Hinblick auf Länge oder Komplexität) für sich oder andere Benutzer vergeben.

note: type: <heading></heading>
en: User access control in PAM
de: Steuerung des Benutzerzugangs in PAM

note: type: <p><example>
en: To make sure that the user root can only log into the system from local terminals, the following line should be enabled in <file>/etc/pam.d/login</file>:
de: Um sicher zu stellen, dass sich der Benutzer Root nur an lokalen Terminals anmelden kann, sollten Sie die folgende Zeile in <file>/etc/pam.d/login</file> einfügen:

note: type: <p></p>
en: Then you should modify the list of terminals on which direct root login is allowed in <file>/etc/securetty</file> (as described in <ref id="restrict-console-login">). Alternatively, you could enable the <tt>pam_access</tt> module and modify <file>/etc/security/access.conf</file> which allows for a more general and fine-tuned access control, but (unfortunately) lacks decent log messages (logging within PAM is not standardized and is particularly unrewarding problem to deal with). We'll return to <file>access.conf</file> a little later.
de: Danach sollten Sie die Liste der Terminals in <file>/etc/securetty</file> ändern, auf denen sich Root unmittelbar anmelden darf (wie in <ref id="restrict-console-login"> beschrieben). Alternativ dazu können Sie auch das <tt>pam_access</tt>-Modul aktivieren und <file>/etc/security/access.conf</file> bearbeiten. Dieses Vorgehen erlaubt eine allgemeinere und feiner abgestimmte Zugangssteuerung, leider fehlen aber vernünftige Protokollmeldungen (diese sind in PAM nicht standardisiert und sind ein besonders unbefriedigendes Problem). Wir werden zu <file>access.conf</file> in Kürze zurückkehren.

note: type: <heading></heading>
en: User limits in PAM
de: Höchstgrenzen für Benutzer in PAM

note: type: <p><example>
en: he following line should be enabled in <file>/etc/pam.d/login</file> to set up user resource limits.
de: Die folgende Zeile sollte in <file>/etc/pam.d/login</file> aktiviert werden, um den Benutzern Grenzen ihrer Systemressourcen zu setzen. <!--SB: fix English version -->

note: type: <p></p>
en: This restricts the system resources that users are allowed (see below in <ref id="user-limits">). For example, you could restrict the number of concurrent logins (of a given group of users, or system-wide), number of processes, memory size etc.
de: Dies schränkt die Systemressourcen ein, die ein Benutzer nutzen darf (siehe <ref id="user-limits"> weiter unten). Sie können zum Beispiel die Anzahl der Logins, die man haben kann, einschränken (für eine Gruppe von Benutzern oder systemweit), die Anzahl der Prozesse, den belegten Speicher etc.

note: type: <heading></heading>
en: Control of su in PAM
de: Steuerung von su in PAM

note: type: <p><example>
en: If you want to protect <prgn>su</prgn>, so that only some people can use it to become root on your system, you need to add a new group "wheel" to your system (that is the cleanest way, since no file has such a group permission yet). Add root and the other users that should be able to <prgn>su</prgn> to the root user to this group. Then add the following line to <file>/etc/pam.d/su</file>:
de: Wenn Sie <prgn>Su</prgn> schützen möchten, so dass nur manche Leute es benutzen können, um Root auf Ihrem System zu werden, müssen Sie eine neue Gruppe »wheel« zu Ihrem System hinzufügen (das ist der sauberste Weg, da keine Datei solche Gruppenrechte bisher benutzt). Fügen Sie Root und die anderen Benutzer, die zu Root <prgn>su</prgn>en können sollen, zu dieser Gruppe hinzu. Ergänzen Sie anschließend <file>/etc/pam.d/su/</file> um die folgende Zeile:

note: type: <p></p>
en: This makes sure that only people from the group "wheel" can use <prgn>su</prgn> to become root. Other users will not be able to become root. In fact they will get a denied message if they try to become root.
de: Dies stellt sicher, dass nur Personen aus der Gruppe »wheel« <prgn>su</prgn> benutzen können, um Root zu werden. Andere Benutzer wird es nicht möglich sein, Root zu werden. Tatsächlich werden sie eine ablehnende Nachricht bekommen, wenn sie versuchen, Root zu werden.

note: type: <p><example>
en: If you want only certain users to authenticate at a PAM service, this is quite easy to achieve by using files where the users who are allowed to login (or not) are stored. Imagine you only want to allow user 'ref' to log in via <prgn>ssh</prgn>. So you put him into <file>/etc/sshusers-allowed</file> and write the following into <file>/etc/pam.d/ssh</file>:
de: Wenn Sie es nur bestimmten Benutzern erlauben wollen, sich bei einem PAM-Dienst zu authentifizieren, ist dies sehr leicht zu erreichen, indem Sie Dateien benutzen, in denen die Benutzer, denen es erlaubt ist, sich anzumelden (oder nicht), gespeichert sind. Stellen Sie sich vor, Sie möchten lediglich dem Benutzer »ref« erlauben, sich mittels <prgn>ssh</prgn> anzumelden. Sie schreiben ihn also in eine Datei <file>/etc/ssh-users-allowed</file> und schreiben das Folgende in <file>/etc/pam.d/ssh</file>:

note: type: <heading></heading>
en: Temporary directories in PAM
de: Temporäre Verzeichnisse in PAM

note: type: <p><example>
en: Since there have been a number of so called insecure tempfile vulnerabilities, thttpd is one example (see <url id="http://www.debian.org/security/2005/dsa-883" name="DSA-883-1">), the <package>libpam-tmpdir</package> is a good package to install. All you have to do is add the following to <file>/etc/pam.d/common-session</file>:
de: Da es eine Reihe von Sicherheitslücken mit so genannten unsicheren temporären Dateien zum Beispiel in Thttpd (vgl. <url id="http://www.debian.org/security/2005/dsa-883" name="DSA-883-1">) gab, lohnt es sich, das Paket <package>libpam-tmpdir</package> zu installieren. Sie müssen dann lediglich Folgendes zu <file>/etc/pam.d/common-session</file> hinzuzufügen:

note: type: <p></p>
en: There has also been a discussion about adding this by default in Debian configuration, but it s. See <url id="http://lists.debian.org/debian-devel/2005/11/msg00297.html"> for more information.
de: Es gab auch eine Diskussion, dies standardmäßig in Debian einzufügen. Sehen Sie sich <url id="http://lists.debian.org/debian-devel/2005/11/msg00297.html"> für weitere Informationen an.

note: type: <heading></heading>
en: Configuration for undefined PAM applications
de: Konfiguration für nicht definierte PAM-Anwendungen

note: type: <p><example>
en: Finally, but not least, create <file>/etc/pam.d/other</file> and enter the following lines:
de: Zuletzt, aber nicht am unwichtigsten, erstellen Sie <file>/etc/pam.d/other</file> mit den folgenden Zeilen:

note: type: <p></p>
en: These lines will provide a good default configuration for all applications that support PAM (access is denied by default).
de: Diese Zeilen stellen für alle Anwendungen, die PAM unterstützen, eine gute Standardkonfiguration dar (Zugriff wird standardmäßig verweigert).

note: type: <heading></heading>
en: Limiting resource usage: the <file>limits.conf</file> file
de: Ressourcen-Nutzung begrenzen: Die Datei <file>limits.conf</file>

note: type: <p></p>
en: You should really take a serious look into this file. Here you can define user resource limits. In old releases this configuration file was <file>/etc/limits.conf</file>, but in newer releases (with PAM) the <file>/etc/security/limits.conf</file> configuration file should be used instead.
de: Sie sollten sich wirklich ernsthaft mit dieser Datei beschäftigen. Hier können Sie Ihren Benutzern Ressourcengrenzen vorgeben. In alten Veröffentlichungen war die Konfigurationsdatei <file>/etc/limits.conf</file>. Aber in neueren Versionen (mit PAM) sollte stattdessen die Konfigurationsdatei <file>/etc/security/limits.conf</file> benutzt werden.

note: type: <p></p>
en: If you do not restrict resource usage, <em>any</em> user with a valid shell in your system (or even an intruder who compromised the system through a service or a daemon going awry) can use up as much CPU, memory, stack, etc. as the system can provide. This <em>resource exhaustion</em> problem can be fixed by the use of PAM.
de: Wenn Sie die Ressourcennutzung nicht einschränken, kann <em>jeder</em> Benutzer mit einer gültigen Shell auf Ihrem System (oder sogar ein Einbrecher, der das System durch einen Dienst kompromittierte, oder ein außer Kontrolle geratener Daemon) so viel CPU, Speicher, Stack etc. benutzen, wie das System zur Verfügung stellen kann. Dieses Problem der <em>Überbeanspruchung von Ressourcen</em> kann mit der Nutzung von PAM gelöst werden.

note: type: <p></p>
en: There is a way to add resource limits to some shells (for example, <prgn>bash</prgn> has <prgn>ulimit</prgn>, see <manref name="bash" section="1">), but since not all of them provide the same limits and since the user can change shells (see <manref name="chsh" section="1">) it is better to place the limits on the PAM modules as they will apply regardless of the shell used and will also apply to PAM modules that are not shell-oriented.
de: Es gibt einen Weg, Ressourcengrenzen zu manchen Shells hinzuzufügen (zum Beispiel hat <prgn>Bash</prgn> <prgn>ulimit</prgn>, siehe <manref section="1" name="bash">). Aber da nicht alle die gleichen Höchstgrenzen zur Verfügung stellen und der Benutzer seine Shell ändern kann (siehe <manref section="1" name="chsh">), ist es besser, die Höchstgrenzen in den PAM-Modulen zu platzieren, da diese unabhängig von der verwendeten Shell Anwendung finden und auch PAM-Module betreffen, die nicht shellorientiert sind.

note: type: <p><example>
en: Resource limits are imposed by the kernel, but they need to be configured through the <file>limits.conf</file> and the PAM configuration of the different services need to load the appropriate PAM. You can check which services are enforcing limits by running:
de: Ressourcengrenzen werden vom Kernel verhängt, aber sie müssen durch <file>limits.conf</file> konfiguriert werden und die PAM-Konfiguration der verschiedenen Dienste muss das passende PAM laden. Sie können herausfinden, welche Dienste Höchstgrenzen durchsetzen, indem Sie Folgendes ausführen:

note: type: <p></p>
en: Commonly, <file>login</file>, <file>ssh</file> and the graphic session managers (<file>gdm</file>, <file>kdm</file> or <file>xdm</file>) should enforce user limits but you might want to do this in other PAM configuration files, such as <file>cron</file>, to prevent system daemons from taking over all system resources.
de: Für gewöhnlich setzen <file>Login</file>, <file>Ssh</file> und die grafischen Sitzungsmanager (<file>Gdm</file>, <file>Kdm</file> und <file>Xdm</file>) Benutzerhöchstgrenzen durch, aber Sie sollte dies auch in anderen Konfigurationsdateien für PAM wie für <file>Cron</file> vornehmen, um zu verhindern, dass System-Daemons alle Systemressourcen aufbrauchen.

note: type: <p></p>
en: The specific limits settings you might want to enforce depend on your system's resources, that's one of the main reasons why no limits are enforced in the default installation.
de: Die konkreten Begrenzungen, die Sie festlegen wollen, hängt von den Ressourcen Ihres Systems ab. Das ist einer der Hauptgründe, warum keine Höchstgrenzen in der Standardinstallation enthalten sind.

note: type: <p></p>
en: For example, the configuration example below enforces a 100 process limit for all users (to prevent <em>fork bombs</em>) as well as a limit of 10MB of memory per process and a limit of 10 simultaneous logins. Users in the <tt>adm</tt> group have higher limits and can produce core files if they want to (there is only a <em>soft</em> limit).
de: So setzt die Konfiguration im Beispiel unten eine Begrenzung von 100 Prozessen für alle Benutzer (um <em>Fork-Bomben</em> <footnote><p>Programme, die immer mehr Prozesse erzeugen, um so das System zum Absturz zu bringen, d.Ü.</p></footnote> zu vermeiden), eine Begrenzung auf 10 MB Speicher pro Prozess und ein Höchstgrenze von 10 gleichzeitigen Logins durch. Benutzer in der Gruppe <tt>adm</tt> haben höhere Begrenzungen und können Dateien mit einem Speicherabbild schreiben, wenn sie das wollen (es gibt also nur eine <em>weiche</em> Begrenzung).

note: type: <p><example>
en: These would be the limits a default user (including system daemons) would have:
de: Dies könnten die Höchstgrenzen eines Standardbenutzers (einschließlich der System-Daemons) sein:

note: type: <p><example>
en: And these are the limits for an administrative user:
de: Und dies die Höchstgrenzen für einen Administrator:

note: type: <p><list>
en: For more information read:
de: Lesen Sie für weitere Informationen:

note: type: <p></p>
en: <url id="http://www.samag.com/documents/s=1161/sam0009a/0009a.htm" name="PAM configuration article">.
de: <url id="http://www.samag.com/documents/s=1161/sam0009a/0009a.htm" name="PAM configuration article">

note: type: <p></p>
en: <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Seifried's Securing Linux Step by Step"> on the <em>Limiting users overview</em> section.
de: <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Seifried's Securing Linux Step by Step"> in dem Abschnitt <em>Limiting users overview</em>

note: type: <p></p>
en: <url id="http://seifried.org/lasg/users/" name="LASG"> in the <em>Limiting and monitoring users</em> section.
de: <url id="http://seifried.org/lasg/users/" name="LASG"> in dem Abschnitt <em>Limiting and monitoring users</em>

note: type: <heading></heading>
en: User login actions: edit <file>/etc/login.defs</file>
de: Aktionen bei der Benutzeranmeldung: Bearbeiten von <file>/etc/login.defs</file>

note: type: <p><example>
en: The next step is to edit the basic configuration and action upon user login. Note that this file is not part of the PAM configuration, it's a configuration file honored by <tt>login</tt> and <tt>su</tt> programs, so it doesn't make sense tuning it for cases where neither of the two programs are at least indirectly called (the <prgn>getty</prgn> program which sits on the consoles and offers the initial login prompt <em>does</em> invoke <prgn>login</prgn>).
de: Der nächste Schritt ist es, die grundlegende Konfiguration und die Aktionen bei der Benutzeranmeldung zu bearbeiten. Beachten Sie, dass diese Datei kein Bestandteil der PAM-Konfiguration ist. Sie ist eine Konfigurationsdatei, die von den Programmen <tt>Login</tt> und <tt>Su</tt> berücksichtigt wird. Es ist also wenig sinnvoll, sie auf Fälle abzustimmen, in denen keines der beiden Programme wenigstens indirekt aufgerufen wird (Das Programm <prgn>Getty</prgn>, welches auf der Konsole läuft und die anfängliche Anmeldeaufforderung zu Verfügung stellt, <em>ruft</em> <prgn>Login</prgn> auf).

note: type: </example><example>
en: If you enable this variable, failed logins will be logged. It is important to keep track of them to catch someone who tries a brute force attack.
de: Wenn Sie diese Variable einschalten, werden fehlgeschlagene Anmeldeversuche protokolliert. Es ist wichtig, hier auf dem Laufendem zu bleiben, um jemanden zu ermitteln, der einen Brute-Force-Angriff versucht.

note: type: <p><example>
en: If you set this variable to 'yes' it will record unknown usernames if the login failed. It is best if you use 'no' (the default) since, otherwise, user passwords might be inadvertenly logged here (if a user mistypes and they enter their password as the username). If you set it to 'yes', make sure the logs have the proper permissions (640 for example, with an appropriate group setting such as adm).
de: Wenn Sie diese Variable auf »yes« setzen, werden unbekannte Benutzernamen protokolliert, wenn eine Anmeldung scheitert. Es ist zu empfehlen, sie auf »no« (den Standard) zu belassen, da anderenfalls das Passwort eines Benutzers aufgezeichnet werden könnte (falls er nämlich versehentlich anstatt seines Benutzernames sein Passwort eingibt). Falls Sie sie dennoch auf »yes« setzen, müssen Sie sicherstellen, dass die Protokolldateien angemessene Zugriffsrechte haben (zum Beispiel 640, mit einer passenden Gruppenzugehörigkeit wie adm).

note: type: <p><example>
en: This one enables logging of <prgn>su</prgn> attempts to <file>syslog</file>. Quite important on serious machines but note that this can create privacy issues as well.
de: Dies schaltet das Mitprotokollieren von <prgn>su</prgn>-Versuchen im <file>Syslog</file> ein. Sehr wichtig auf ernsthaft betriebenen Maschinen, aber beachten Sie, dass dies auch die Privatsphäre verletzen kann.

note: type: <p><example>
en: The same as <var>SYSLOG_SU_ENAB</var> but applies to the <prgn>sg</prgn> program.
de: Das gleiche wie bei <var>SYSLOG_SU_ENAB</var>, aber für das Programm <prgn>Sg</prgn>.

note: type: <p></p>
en: As stated above, encrypted passwords greatly reduce the problem of dictionary attacks, since you can use longer passwords. This definition has to be consistent with the value defined in <file>/etc/pam.d/common-password</file>.
de: Wie bereits erklärt, reduziert eine Verschlüsselung von Passwörtern die Gefahr von Wörterbuchangriffen erheblich, da Sie längere Passwörter benutzen können. Diese Definition muss mit dem Wert in <file>/etc/pam.d/common-password</file> übereinstimmen.

note: type: <heading></heading>
en: User login actions: edit <file>/etc/pam.d/login</file>
de: Aktionen bei der Benutzeranmeldung: <file>/etc/pam.d/login</file> bearbeiten

note: type: <p><example>
en: You can adjust the login configuration file to implement an stricter policy. For example, you can change the default configuration and increase the delay time between login prompts. The default configuration sets a 3 seconds delay:
de: Sie können die Datei zur Konfiguration des Anmeldevorgangs anpassen, um eine strengere Richtlinie festzuschreiben. Zum Beispiel können Sie die Wartezeit zwischen zwei Anmeldeversuchen im Vergleich zur Standardkonfiguration erhöhen. Diese Standardvorgabe setzt eine Wartezeit von drei Sekunden:

note: type: <p></p>
en: Increasing the <em>delay</em> value to a higher value to make it harder to use the terminal to log in using brute force. If a wrong password is typed in, the possible attacker (or normal user!) has to wait longer seconds to get a new login prompt, which is quite time consuming when you test passwords. For example, if you set <em>delay=10000000</em>, users will have to wait 10 seconds if they type a wrong password.
de: Wenn Sie den Wert von <em>delay</em> erhöhen, wird es schwieriger, sich durch bloßes Ausprobieren von Passwörtern (brute force) erfolgreich am Terminal anzumelden. Wenn ein falsches Passwort eingegeben wird, muss ein möglicher Angreifer (oder ein normaler Benutzer!) viele Sekunden warten, bis er wieder eine Eingabeaufforderung erhält, wodurch das Durchprobieren von Passwörtern sehr zeitaufwendig werden kann. So müssen etwa Benutzer bei <em>delay=10000000</em> zehn Sekunden warten, wenn sie das falsche Passwort eingeben.

note: type: <p><example>
en: In this file you can also set the system to present a message to users before a user logs in. The default is disabled, as shown below:
de: In dieser Datei können Sie auch einrichten, dass das System dem Benutzer vor einer Anmeldung eine Nachricht anzeigt. Standardmäßig ist dies deaktiviert, wie Sie hier sehen können:

note: type: <p><list>
en: If required by your security policy, this file can be used to show a standard message indicating that access to the system is restricted and user acess is logged. This kind of disclaimer might be required in some environments and jurisdictions. To enable it, just include the relevant information in the <file>/etc/issue</file> <footnote><p>The default content of this file provides information about the operating system and version run by the system, which you might not want to provide to anonymous users.</p></footnote> file and uncomment the line enabling the pam_issue.so module in <file>/etc/pam.d/login</file>. In this file you can also enable additional features which might be relevant to apply local security policies such as:
de: Falls es Ihre Sicherheitsrichtlinie erfordert, können Sie mit dieser Datei eine Standardnachricht, dass der Zugang zum System beschränkt und der Benutzerzugang protokolliert wird, anzeigen lassen. Ein solcher Hinweis kann in bestimmten Regionen und nach der jeweiligen Rechtsprechung notwendig sein. Um dies zu aktivieren, müssen Sie nur die entsprechende Mitteilung in die Datei <file>/etc/issue</file> <footnote><p>Der Standardinhalt dieser Datei enthält Informationen über das Betriebssystem und dessen Version, die Sie möglicherweise unbekannten Benutzern nicht mitteilen möchten.</p></footnote> eintragen und das Kommentarzeichen in der Zeile in <file>/etc/pam.d/login</file> entfernen, um das Modul pam_issue.so zu aktivieren. In dieser Datei können Sie weitere Einstellungen vornehmen, die für Ihre Sicherheit relevant sein könnten, wie zum Beispiel:

note: type: <p></p>
en: setting rules for which users can access at which times, by enabling the <em>pam_time.so</em> module and configuring <file>/etc/security/time.conf</file> accordingly (disabled by default),
de: Regeln erstellen, welcher Benutzer zu welchen Zeiten auf das System zugreifen kann, indem Sie das Modul <em>pam_time.so</em> aktivieren und <file>/etc/security/time.conf</file> entsprechend konfigurieren (standardmäßig deaktiviert),

note: type: <p></p>
en: setup login sessions to use user limits as defined in <file>/etc/security/limits.conf</file> (enabled by default),
de: den Anmeldevorgang so einrichten, dass Benutzerbegrenzungen, die in <file>/etc/security/limits.conf</file> definiert sind, verwendet werden (standardmäßig aktiviert),

note: type: <p></p>
en: present the user with the information of previous login information (enabled by default),
de: dem Benutzer Informationen über die vorangegangene Anmeldung anzeigen (standardmäßig aktiviert),

note: type: <p></p>
en: print a message (<file>/etc/motd</file> and <file>/run/motd.dynamic</file>) to users after login in (enabled by default),
de: nach erfolgter Anmeldung den Benutzern eine Nachricht (<file>/etc/motd</file> und <file>/run/motd.dynamic</file>) anzeigen (standardmäßig aktiviert).

note: type: <heading></heading>
en: Restricting ftp: editing <file>/etc/ftpusers</file>
de: Ftp einschränken: bearbeiten von <file>/etc/ftpusers</file>

note: type: <p></p>
en: The <file>/etc/ftpusers</file> file contains a list of users who are not allowed to log into the host using ftp. Only use this file if you really want to allow ftp (which is not recommended in general, because it uses clear-text passwords). If your daemon supports PAM, you can also use that to allow and deny users for certain services.
de: Die Datei <file>/etc/ftpusers</file> enthält eine Liste von allen Benutzern, denen es <em>nicht</em> erlaubt ist, sich auf dem Rechner mit Ftp einzuloggen. Benutzen Sie diese Datei nur, wenn Sie wirklich Ftp erlauben wollen (wozu im Allgemeinen nicht geraten wird, da es Klartext-Passwörter benutzt). Wenn Ihr Ftp-Daemon PAM unterstützt, können Sie dies ebenfalls benutzen, um Benutzern bestimmte Dienste zu erlauben oder zu verbieten.

note: type: <p></p>
en: FIXME (BUG): Is it a bug that the default <file>ftpusers</file> in Debian does <em>not</em> include all the administrative users (in <package>base-passwd</package>).
de: FIXME (FEHLER): Ist es ein Fehler, dass <file>ftpusers</file> in Debian standardmäßig <em>nicht</em> die Benutzer mit Administratorenrecht (in <package>base-passwd</package>) beinhaltet?

note: type: <p><example>
en: A convenient way to add all system accounts to the <file>/etc/ftpusers</file> is to run
de: Folgender Befehl ist ein bequemer Weg, alle Systemkonten zu <file>/etc/ftpusers</file> hinzuzufügen:

note: type: <heading></heading>
en: Using su
de: Verwendung von Su

note: type: <p></p>
en: If you really need users to become the super user on your system, e.g. for installing packages or adding users, you can use the command <prgn>su</prgn> to change your identity. You should try to avoid any login as user root and instead use <prgn>su</prgn>. Actually, the best solution is to remove <prgn>su</prgn> and switch to the <prgn>sudo</prgn> mechanism which has a broader logic and more features than <prgn>su</prgn>. However, <prgn>su</prgn> is more common as it is used on many other Unices.
de: Wenn es wirklich benötigt wird, dass Benutzer der Super-User (also Root, d.Ü.) auf Ihrem System werden, zum Beispiel um Pakete zu installieren oder neue Benutzer anzulegen, können Sie das Programm <prgn>Su</prgn> benutzen, um Ihre Identität zu wechseln. Sie sollten jeden Login als Benutzer Root vermeiden und stattdessen das Programm <prgn>Su</prgn> benutzen. Eigentlich ist die beste Lösung, <prgn>Su</prgn> zu entfernen und zu <prgn>Sudo</prgn> zu wechseln, da es eine feinere Steuerung und mehr Möglichkeiten bietet als <prgn>Su</prgn>. Wie auch immer, <prgn>Su</prgn> ist verbreiteter und wird auf vielen Unices eingesetzt.

note: type: <heading></heading>
en: Using sudo
de: Verwendung von Sudo

note: type: <p></p>
en: <prgn>sudo</prgn> allows the user to execute defined commands under another user's identity, even as root. If the user is added to <file>/etc/sudoers</file> and authenticates himself correctly, he is able to run commands which have been defined in <file>/etc/sudoers</file>. Violations, such as incorrect passwords or trying to run a program you don't have permission for, are logged and mailed to root.
de: <prgn>Sudo</prgn> erlaubt es dem Benutzer, bestimmte Befehle unter einer anderen Benutzeridentität auszuführen, sogar als Root. Wenn der Benutzer zu <file>/etc/sudoers</file> hinzugefügt ist und sich korrekt authentifiziert, ist er in der Lage, Befehle, die in <file>/etc/sudoers</file> definiert wurden, auszuführen. Sicherheitsverletzungen, wie ein inkorrektes Passwort oder der Versuch ein Programm auszuführen, für das die Rechte nicht ausreichen, werden protokolliert und an Root gemailt.

note: type: <heading></heading>
en: Disallow remote administrative access
de: Administrativen Fernzugriff verweigern

note: type: <p></p>
en: You should also modify <file>/etc/security/access.conf</file> to disallow remote logins to administrative accounts. This way users need to invoke <prgn>su</prgn> (or <prgn>sudo</prgn>) to use any administrative powers and the appropriate audit trace will always be generated.
de: Sie sollten <file>/etc/security/access.conf</file> ebenfalls so verändern, dass ein Login aus der Ferne in ein administratives Konto nicht erlaubt wird. Auf diese Weise müssen Benutzer das Programm <prgn>Su</prgn> (oder <prgn>Sudo</prgn>) aufrufen, um Administratorenrechte zu bekommen, so dass es immer eine nachprüfbare Spur gibt.

note: type: <p><example>
en: You need to add the following line to <file>/etc/security/access.conf</file>, the default Debian configuration file has a sample line commented out:
de: Sie müssen die folgende Zeile zu Ihrer <file>/etc/security/access.conf</file> hinzufügen, in Debians Standardkonfigurationsdatei ist ein Beispiel auskommentiert:

note: type: <p></p>
en: Remember to enable the <tt>pam_access</tt> module for every service (or default configuration) in <file>/etc/pam.d/</file> if you want your changes to <file>/etc/security/access.conf</file> honored.
de: Vergessen Sie nicht, in <file>/etc/pam.d/</file> das <tt>pam_access</tt>-Module für jeden Dienst (oder die Standardkonfiguration) anzuschalten, wenn Sie wollen, dass Ihre Änderungen an <file>/etc/security/access.conf</file> berücksichtigt werden.

note: type: <heading></heading>
en: Restricting users's access
de: Den Benutzerzugang einschränken

note: type: <p></p>
en: Sometimes you might think you need to have users created in your local system in order to provide a given service (pop3 mail service or ftp). Before doing so, first remember that the PAM implementation in Debian GNU/Linux allows you to validate users with a wide variety of external directory services (radius, ldap, etc.) provided by the libpam packages.
de: Manchmal werden Sie denken, dass Sie einen Benutzer auf Ihrem System erstellen müssen, um einen bestimmten Dienst (Pop3-E-Mail-Server oder Ftp) anzubieten. Bevor Sie dies tun, denken Sie zuerst daran, dass die PAM-Implementierung in Debian GNU/Linux Ihnen erlaubt, Benutzer mit einer breiten Auswahl von externen Verzeichnisdiensten (Radius, LDAP etc.) zu überprüfen. Dies wird vom Paket libpam bewerkstelligt.

note: type: <p></p>
en: If users need to be created and the system can be accessed remotely take into account that users will be able to log in to the system. You can fix this by giving users a null (<file>/dev/null</file>) shell (it would need to be listed in <file>/etc/shells</file>). If you want to allow users to access the system but limit their movements, you can use the <file>/bin/rbash</file>, equivalent to adding the <tt>-r</tt> option in <prgn>bash</prgn> (<em>RESTRICTED SHELL</em> see <manref name="bash" section="1">). Please note that even with restricted shell, a user that access an interactive program (that might allow execution of a subshell) could be able to bypass the limits of the shell.
de: Wenn Sie einen Benutzer anlegen müssen und auf Ihr System aus der Ferne zugegriffen werden kann, beachten Sie, dass es Benutzern möglich sein wird, sich anzumelden. Sie können dies beheben, indem Sie diesen Benutzern Null (<file>/dev/null</file>) als Shell (sie muss in <file>/etc/shells</file> aufgelistet sein) zuweisen. Wenn Sie den Benutzern erlauben wollen, auf das System zuzugreifen, aber ihre Bewegungen einschränken wollen, können Sie <file>/bin/rbash</file> benutzen. Dies hat das gleiche Ergebnis, wie wenn Sie die Option <tt>-r</tt> der <prgn>Bash</prgn> (<em>RESTRICTED SHELL</em>, siehe <manref name="bash" section="1">) verwendet hätten. Beachten Sie bitte, dass sogar mit einer beschränkten Shell ein Benutzer, der auf ein interaktives Programm zugreifen kann (das ihm erlaubt, eine Subshell auszuführen), diese Limitierung der Shell umgehen kann.

note: type: <p></p>
en: Debian currently provides in the unstable release (and might be included in the next stable releases) the <file>pam_chroot</file> module (in the <package>libpam-chroot</package>). An alternative to it is to <prgn>chroot</prgn> the service that provides remote logging (<prgn>ssh</prgn>, <prgn>telnet</prgn>). <footnote><p><package>libpam-chroot</package> has not been yet thoroughly tested, it does work for <prgn>login</prgn> but it might not be easy to set up the environment for other programs</p></footnote>
de: Debian bietet zurzeit in seiner Unstable-Veröffentlichung (und wird es vielleicht der nächsten Stable-Veröffentlichung hinzufügen) das Modul <file>pam_chroot</file> (in <package>libpam-chroot</package>) an. Eine Alternative hierzu ist es, die Dienste, die eine Fernanmeldung ermöglichen (<prgn>Ssh</prgn> und <prgn>Telnet</prgn>), in einer <prgn>Chroot</prgn>-Umgebung laufen zu lassen. <footnote><p><package>libpam-chroot</package> wurden noch nicht vollständig getestet. Es funktioniert mit <prgn>Login</prgn>, aber es dürfte nicht leicht sein, diese Umgebung für andere Programme einzurichten.</p></footnote>

note: type: <p></p>
en: If you wish to restrict <em>when</em> users can access the system you will have to customize <file>/etc/security/access.conf</file> for your needs.
de: Wenn Sie einschränken wollen, <em>wann</em> ein Benutzer auf das System zugreifen kann, müssen Sie <file>/etc/security/access.conf</file> an Ihre Bedürfnisse anpassen.

note: type: <p></p>
en: Information on how to <prgn>chroot</prgn> users accessing the system through the <prgn>ssh</prgn> service is described in <ref id="chroot-ssh-env">.
de: Informationen, wie man Benutzer, die auf das System mittels des Dienstes <prgn>Ssh</prgn> zugreifen, in eine <prgn>Chroot</prgn>-Umgebung einsperrt, wird in <ref id="chroot-ssh-env"> beschrieben.

note: type: <heading></heading>
en: User auditing
de: Überprüfen der Benutzer

note: type: <p></p>
en: If you are really paranoid you might want to add a system-wide configuration to audit what the users are doing in your system. This sections presents some tips using diverse utilities you can use.
de: Wenn Sie wirklich paranoid sind, sollten Sie eine systemweite Einrichtung verwenden, um zu überwachen, was die Benutzer auf Ihrem System tun. In diesem Abschnitt werden einige Tipps vorgestellt, wie Sie verschiedene Werkzeuge verwenden.

note: type: <heading></heading>
en: Input and output audit with script
de: Überwachung von Ein- und Ausgabe mittels eines Skripts

note: type: <p><example>
en: You can use the <prgn>script</prgn> command to audit both what the users run and what are the results of those commands. You cannot setup <prgn>script</prgn> as a shell (even if you add it to <file>/etc/shells</file>). But you can have the shell initialization file run the following:
de: Um sowohl die von den Benutzern ausgeführten Programme als auch deren Ergebnisse zu überwachen, können Sie den Befehl <prgn>script</prgn> verwenden. Sie können <prgn>script</prgn> nicht als eine Shell einsetzen (auch dann nicht, wenn Sie es zu <file>/etc/shells</file> hinzufügen). Aber Sie können in die Datei, welche den Startvorgang der Shell steuert, folgendes eintragen:

note: type: <p></p>
en: Of course, if you do this system wide it means that the shell would not continue reading personal initialization files (since the shell gets overwritten by <prgn>script</prgn>). An alternative is to do this in the user's initialization files (but then the user could remove this, see the comments about this below)
de: Wenn Sie dies systemweit vornehmen, bedeutet dies natürlich, dass die Shell die weiteren persönlichen Startdateien nicht abarbeitet (weil die Shell von <prgn>script</prgn> überschrieben wird). Eine Alternative ist, dies in den Startdateien des Benutzers vorzunehmen (dann kann der Benutzer aber dies entfernen, vgl. dazu die Anmerkungen unten).

note: type: <p></p>
en: You also need to setup the files in the audit directory (in the example <file>/var/log/sessions/</file>) so that users can write to it but cannot remove the file. This could be done, for example, by creating the user session files in advance and setting them with the <em>append-only</em> flag using <prgn>chattr</prgn>.
de: Sie müssen auch die Dateien im Überwachungsverzeichnis (im Beispiel <file>/var/log/sessions/</file>) so einrichten, dass die Benutzer in sie schreiben, sie aber nicht löschen können. Dies kann zum Beispiel bewerkstelligt werden, indem die Sitzungsdateien der Benutzer vorab erstellt und mit <prgn>chattr</prgn> auf <em>append-only</em> (nur anfügen) gesetzt werden.

note: type: <p><example>
en: A useful alternative for sysadmins, which includes date information would be:
de: Eine sinnvolle Alternative für Systemadministratoren, die auch Zeitinformationen enthält, ist:

note: type: <heading></heading>
en: Using the shell history file
de: Die Chronikdatei der Shell benutzen

note: type: <p></p>
en: If you want to review what does the user type in the shell (but not what the result of that is) you can setup a system-wide <file>/etc/profile</file> that configures the environment so that all commands are saved into a history file. The system-wide configuration needs to be setup in such a way that users cannot remove audit capabilities from their shell. This is somewhat shell specific so make sure that all users are using a shell that supports this.
de: Wenn Sie auswerten wollen, was die Benutzer in die Shell eingeben (aber nicht was das Ergebnis ist), können Sie eine systemweite <file>/etc/profile</file> so einrichten, dass alle Befehle in einer Chronikdatei gespeichert werden. Die systemweite Einstellung muss so eingerichtet werden, dass Benutzer die Überwachungsfähigkeit nicht aus ihrer Shell entfernen können. Ob dies möglich ist, hängt von der Art der Shell ab. Sie müssen also sicherstellen, dass alle Benutzer eine Shell verwenden, die das unterstützt.

note: type: <p><example>
en: For example, for bash, the <file>/etc/profile</file> could be set as follows <footnote><p>Setting HISTSIZE to a very large number can cause issues under some shells since the history is kept in memory for every user session. You might be safer if you set this to a high-enough value and backup user's history files (if you need all of the user's history for some reason)</p></footnote> :
de: Für die Bash zum Beispiel könnte <file>/etc/profile</file> folgendermaßen aufgebaut werden <footnote><p> Wenn HISTSIZE eine sehr große Zahl zugewiesen wird, kann dies bei einigen Shells zu Problemen führen, da der Verlauf für jede Sitzung eines Benutzers im Speicher abgelegt wird. Sie sind auf der sichereren Seite, wenn Sie HISTSIZE auf einen ausreichend großen Wert setzen und eine Kopie der Chronikdatei des Benutzers anlegen (falls Sie aus irgendwelchen Gründen den ganzen Verlauf von einem Benutzer benötigen). </p></footnote>:

note: type: <example></example>
en:   HISTFILE=~/.bash_history
      HISTSIZE=10000
      HISTFILESIZE=999999
      # Don't let the users enter commands that are ignored
      # in the history file
      HISTIGNORE=""
      HISTCONTROL=""
      readonly HISTFILE
      readonly HISTSIZE
      readonly HISTFILESIZE
      readonly HISTIGNORE
      readonly HISTCONTROL
      export HISTFILE HISTSIZE HISTFILESIZE HISTIGNORE HISTCONTROL
de:   HISTFILE=~/.bash_history
      HISTSIZE=10000
      HISTFILESIZE=999999
      # Verhindert, dass Benutzer Befehle eintragen,
      # die in die Verlaufsdatei ignoriert werden
      HISTIGNORE=""
      HISTCONTROL=""
      readonly HISTFILE
      readonly HISTSIZE
      readonly HISTFILESIZE
      readonly HISTIGNORE
      readonly HISTCONTROL
      export HISTFILE HISTSIZE HISTFILESIZE HISTIGNORE HISTCONTROL

note: type: <p></p>
en: For this to work, the user can only append information to <file>.bash_history</file> file. You need <em>also</em> to set the <em>append-only</em> option using <prgn>chattr</prgn> program for <file>.bash_history</file> for all users. <footnote><p>Without the append-only flag users would be able to empty the contents of the history file running <tt> > .bash_history</tt></p></footnote>.
de: Damit dies funktioniert, dürfen die Benutzer nur Informationen zur <file>.bash_history</file>-Datei hinzufügen. Sie müssen daher <em>zusätzlich</em> die Option <em>append-only</em> (nur anfügen) mittels des Programms <prgn>Chattr</prgn> für die <file>.bash_history</file> aller Benutzer setzen <footnote><p> Ohne das Append-Only-Flag wäre es den Benutzern möglich, den Inhalt des Verlaufs zu löschen, indem sie <tt> > .bash_history</tt> ausführen. </p></footnote>.

note: type: <p></p>
en: Note that you could introduce the configuration above in the user's <file>.profile</file>. But then you would need to setup permissions properly in such a way that prevents the user from modifying this file. This includes: having the user's home directories <em>not</em> belong to the user (since he would be able to remove the file otherwise) but at the same time enable them to read the <file>.profile</file> configuration file and write on the <file>.bash_history</file>. It would be good to set the <em>immutable</em> flag (also using <prgn>chattr</prgn>) for <file>.profile</file> too if you do it this way.
de: Beachten Sie, dass Sie obige Konfiguration auch in <file>.profile</file> des Benutzers eintragen können. Dann müssten Sie aber die Rechte korrekt vergeben, so dass der Benutzer daran gehindert ist, diese Datei zu verändern. Dies schließt ein, dass das Home-Verzeichnis des Benutzers diesem <em>nicht</em> gehört (sonst könnte er die Datei einfach löschen). Gleichzeitig müsste ihm ermöglicht werden, die Konfigurationsdatei <file>.profile</file> zu lesen und in <file>.bash_history</file> zu schreiben. Falls Sie diese Variante wählen wollen, wäre es auch gut, den Schalter <em>immutable</em> (unveränderbar) für <file>.profile</file> zu setzen (auch dazu verwenden Sie <prgn>Chattr</prgn>).

note: type: <heading></heading>
en: Complete user audit with accounting utilities
de: Vervollständigung der Benutzerüberwachung durch Accounting-Werkzeuge

note: type: <p></p>
en: The previous example is a simple way to configure user auditing but might be not useful for complex systems or for those in which users do not run shells at all (or exclusively). If this is your case, you need to look at <package>acct</package>, the accounting utilities. These utilities will log all the commands run by users or processes in the system, at the expense of disk space.
de: Die vorherigen Beispiele stellen eine einfache Art dar, um die Überwachung von Benutzern einzurichten. Sie eignen sich aber nicht unbedingt für komplexe Systeme oder für solche, auf denen die Benutzer überhaupt keine (oder ausschließlich) Shells am Laufen haben. Sollte dies der Fall sein, schauen Sie sich das Paket <package>acct</package> an, das Werkzeuge zur Auswertung (accounting utilities) enthält. Diese werden alle Befehle, die ein Benutzer oder ein Prozess auf dem System ausführt, &ndash; auf die Kosten von Plattenplatz &ndash; aufzeichnen.

note: type: <p></p>
en: When activating accounting, all the information on processes and users is kept under <file>/var/account/</file>, more specifically in the <file>pacct</file>. The accounting package includes some tools (<prgn>sa</prgn>, <prgn>ac</prgn> and <prgn>lastcomm</prgn>) to analyse this data.
de: Wenn Sie diese Auswertung aktivieren, werden alle Informationen über Prozesse und Benutzer unter <file>/var/account/</file> gespeichert, genauer gesagt in <file>pacct</file>. Das Accounting-Paket enthält einige Werkzeuge (<prgn>Sa</prgn>, <prgn>Ac</prgn> und <prgn>Lastcomm</prgn>) zur Analyse dieser Daten.

note: type: <heading></heading>
en: Other user auditing methods
de: Andere Methoden zur Benutzerüberwachung

note: type: <p></p>
en: If you are completely paranoid and want to audit every user's command, you could take <prgn>bash</prgn> source code, edit it and have it send all that the user typed into another file. Or have <package>ttysnoop</package> constantly monitor any new ttys <footnote><p>Ttys are spawned for local logins and remote logins through ssh and telnet</p></footnote> and dump the output into a file. Other useful program is <package>snoopy</package> (see also <url id="http://sourceforge.net/projects/snoopylogger/" name="the project page">) which is a user-transparent program that hooks in as a library providing a wrapper around <var>execve()</var> calls, any command executed is logged to <prgn>syslogd</prgn> using the <tt>authpriv</tt> facility (usually stored at <file>/var/log/auth.log</file>).
de: Wenn Sie wirklich paranoid sind und jeden Befehl jedes Benutzers protokollieren wollen, können Sie den Quellcode der <prgn>Bash</prgn> so ändern, dass sie alles, was der Benutzer eingibt, in einer anderen Datei ablegt. Oder Sie lassen <package>Ttysnoop</package> ununterbrochen jedes neue tty<footnote><p>Ttys werden für lokale Anmeldungen und solche aus der Ferne mit Ssh und Telnet erzeugt. </p></footnote> überwachen und die Ausgaben in einer Datei speichern. Ein anderes nützliches Programm ist <package>snoopy</package> (vergleichen Sie auch <url id="http://sourceforge.net/projects/snoopylogger/" name="the project page">). Dies ist ein für den Benutzer transparentes Programm, das sich als eine Bibliothek einhängt und eine Hülle um <var>execve()</var>-Aufrufe bildet. Jeder ausgeführte Befehl wird im <prgn>syslogd</prgn> aufgezeichnet, indem die <tt>authpriv</tt>-Möglichkeit benutzt wird (üblicherweise wird dies unter <file>/var/log/auth.log</file> gespeichert).

note: type: <heading></heading>
en: Reviewing user profiles
de: Nachprüfung der Benutzerprofile

note: type: <p></p>
en: If you want to <em>see</em> what users are actually doing when they logon to the system you can use the <file>wtmp</file> database that includes all login information. This file can be processed with several utilities, amongst them <prgn>sac</prgn> which can output a profile on each user showing in which timeframe they usually log on to the system.
de: Wenn Sie <em>sehen</em> wollen, was Benutzer tatsächlich tun, wenn sie sich am System anmelden, können Sie die <file>wtmp</file>-Datenbank benutzen, die alle Anmeldeinformationen enthält. Diese Datei kann mit verschiedenen Werkzeugen weiterverarbeitet werden, unter ihnen <prgn>Sac</prgn>, das ein Profil für jeden Benutzer ausgeben kann und zeigt, in welchem Zeitfenster sie sich für gewöhnlich auf dem System anmelden.

note: type: <p></p>
en: In case you have accounting activated, you can also use the tools provided by it in order to determine when the users access the system and what do they execute.
de: Für den Fall, dass Sie Accounting aktiviert haben, können Sie auch die mitgelieferten Werkzeuge verwenden, um festzustellen, wann Benutzer auf das System zugreifen und was sie ausführen.

note: type: <heading></heading>
en: Setting users umasks
de: Umasks der Benutzer einstellen

note: type: <p></p>
en: Depending on your user policy you might want to change how information is shared between users, that is, what the default permissions of new files created by users are.
de: Abhängig von Ihren Benutzerrichtlinien möchten Sie ändern, wie Benutzer Informationen gemeinsam benutzen können. Dabei geht es um die Standardrechte von neu erstellten Dateien.

note: type: <p></p>
en: Debian's default <tt>umask</tt> setting is <em>022</em> this means that files (and directories) can be read and accessed by the user's group and by any other users in the system. This definition is set in the standard configuration file <file>/etc/profile</file> which is used by all shells.
de: Das Standardwert von <tt>Umask</tt> ist in Debian <em>022</em>. Das bedeutet, dass die Gruppe des Benutzers und alle anderen Benutzers auf dem System die Dateien (und Verzeichnisse) lesen und darauf zugreifen kann. Dieser Wert wird in der Standardkonfigurationsdatei <file>/etc/profile</file> gesetzt, die von allen Shells verwendet wird.

note: type: <p></p>
en: If Debian's default value is too permissive for your system you will have to change the umask setting for all the shells. More restrictive umask settings include 027 (no access is allowed to new files for the <em>other</em> group, i.e. to other users in the system) or 077 (no access is allowed to new files to the members the user's group). Debian (by default<footnote><p>As defined in <file>/etc/adduser.conf</file> (USERGROUPS=yes). You can change this behaviour if you set this value to no, although it is not recommended</p></footnote>) creates one group per user so that only the user is included in its group. Consequently 027 and 077 are equivalent as the user's group contains only the user himself.
de: Wenn die Standardwerte von Debian für Ihr System zu großzügig sind, müssen Sie die Umask-Einstellungen für alle Shells ändern. Strengere Umask-Einstellungen sind 027 (kein Zugriff der Gruppe <em>other</em> auf neue Dateien, dazu zählen andere Benutzer auf dem System) oder 077 (kein Zugriff der Mitglieder der Gruppe des Benutzers). Debian erzeugt (standardmäßig<footnote><p>Wird in <file>/etc/adduser.conf</file> festgelegt (USERGROUPS=yes). Sie ändern dieses Verhalten, wenn Sie den Wert auf »no« setzen. Dies wird aber nicht empfohlen.</p></footnote>) für jeden Benutzer eine eigene Gruppe, so dass das einzige Gruppenmitglied der Benutzer selbst ist. Daher ergibt sich zwischen 027 und 077 kein Unterschied, da die Benutzergruppe nur den Benutzer selbst enthält.

note: type: <p></p>
en: This change is set by defining a proper <tt>umask</tt> setting for all users. You can change this by introducing an <prgn>umask</prgn> call in the shell configuration files: <file>/etc/profile</file> (source by all Bourne-compatible shells), <file>/etc/csh.cshrc</file>, <file>/etc/csh.login</file>, <file>/etc/zshrc</file> and probably some others (depending on the shells you have installed on your system). You can also change the <var>UMASK</var> setting in <file>/etc/login.defs</file>, Of all of these the last one that gets loaded by the shell takes precedence. The order is: the default system configuration for the user's shell (i.e. <file>/etc/profile</file> and other system-wide configuration files) and then the user's shell (his <file>~/.profile</file>, <file>~/.bash_profile</file>, etc...). Some shells, however, can be executed with a <em>nologin</em> value which might skip sourcing some of those files. See your shell's manpage for additional information.
de: Dies ändern Sie, indem Sie eine passende <tt>Umask</tt> für alle Benutzer einstellen. Dazu müssen Sie einen <prgn>umask</prgn>-Aufruf in den Konfigurationsdateien aller Shells einfügen: <file>/etc/profile</file> (wird von allen Shells beachtet, die kompatibel mit Bourne sind), <file>/etc/csh.cshrc</file>, <file>/etc/csh.login</file>, <file>/etc/zshrc</file> und wahrscheinlich noch ein paar andere (je nachdem, welche Shells Sie auf Ihrem System installiert haben). Sie können auch die <var>UMASK</var>-Einstellung in <file>/etc/login.defs</file> verändern. Von all diesen Dateien erlangt die letzte, die von der Shell geladen wird, Vorrang. Die Reihenfolge lautet: die Standard-Systemkonfiguration für die Shell des Benutzers (d.h. <file>/etc/profile</file> und andere systemweite Konfigurationsdateien),  dann die Shell des Benutzers (seine <file>~/.profile</file>) und <file>~/.bash_profile</file> etc.). Allerdings können einige Shells mit dem <em>nologin</em>-Wert ausgeführt werden, was verhindern kann, dass einige dieser Dateien ausgewertet werden. Sehen Sie in der Handbuchseite Ihrer Shell für weitere Informationen nach.

note: type: <p></p>
en: For connections that make use of <prgn>login</prgn> the UMASK definition in <file>/etc/login.defs</file> is used before any of the others. However, that value does not apply to user executed programs that do not use <prgn>login</prgn> such as those run through <prgn>su</prgn>, <prgn>cron</prgn> or <prgn>ssh</prgn>.
de: Bei Anmeldungen, die von <prgn>Login</prgn> Gebrauch machen, erhält die UMASK-Festlegung in <file>/etc/login.defs</file> Vorrang vor allen anderen Einstellungen. Dieser Wert wird aber nicht von Anwendungen des Benutzers beachtet, die nicht <prgn>Login</prgn> verwenden, wie z.B. solche, die durch <prgn>Su</prgn>, <prgn>Cron</prgn> oder <prgn>Ssh</prgn> ausgeführt werden.

note: type: <p></p>
en: Don't forget to review and maybe modify the dotfiles under <file>/etc/skel/</file> since these will be new user's defaults when created with the <prgn>adduser</prgn> command. Debian default dotfiles do not include any <prgn>umask</prgn> call but if there is any in the dotfiles newly created users might a different value.
de: Vergessen Sie nicht, die Dateien unter <file>/etc/skel/</file> zu überprüfen und gegebenenfalls anzupassen, da dort die Standards für Benutzer festgelegt werden, die mit dem Befehl <prgn>adduser</prgn> erstellt werden. Standardmäßig enthalten die Dateien in Debian keinen Aufruf von <prgn>umask</prgn>. Wenn sich aber ein solcher in Konfigurationsdateien befindet, sind neue Benutzer eher geneigt, ihn ihren Bedürfnissen anzupassen.

note: type: <p></p>
en: Note, however that users can modify their own <tt>umask</tt> setting if they want to, making it more permissive or more restricted, by changing their own dotfiles.
de: Beachten Sie allerdings, dass ein Benutzer seine <tt>Umask</tt>-Einstellung ändern kann, wenn er es möchte, um sie großzügiger oder einschränkender zu machen, indem er seine Konfigurationsdateien verändert.

note: type: <p><example>
en: The <package>libpam-umask</package> package adjusts the users' default <tt>umask</tt> using PAM. Add the following, after installing the package, to <file>/etc/pam.d/common-session</file>:
de: Das Paket <package>libpam-umask</package> passt die Standard-<tt>Umask</tt> eines Benutzers mit Hilfe von PAM an. Nachdem Sie das Paket installiert haben, tragen Sie Folgendes in <file>/etc/pam.d/common-session</file> ein:

note: type: <p></p>
en: Finally, you should consider changing root's default 022 umask (as defined in <file>/root/.bashrc</file>) to a more strict umask. That will prevent the system administrator from inadvertenly dropping sensitive files when working as root to world-readable directories (such as <file>/tmp</file>) and having them available for your average user.
de: Zu guter Letzt sollte Sie in Betracht ziehen, die Standard-Umask von Root (022, wird in <file>/root/.bashrc</file> festgelegt) auf einen strengeren Wert zu verändern. Damit kann verhindert werden, dass der Systemadministrator als Root sensible Dateien in von allen lesbaren Verzeichnissen (wie z.B. <file>/tmp</file>) ablegt und sie so dem Durchschnittsbenutzer zugänglich macht.

note: type: <heading></heading>
en: Limiting what users can see/access
de: Beschränken, was Benutzer sehen und worauf sie zugreifen können

note: type: <p></p>
en: FIXME: Content needed. Describe the consequences of changing packages permissions when upgrading (an admin this paranoid should <prgn>chroot</prgn> his users BTW) if not using <prgn>dpkg-statoverride</prgn>.
de: FIXME: Inhalt benötigt. Aufzeigen der Folgen beim Upgraden, wenn die Paketrechte verändert werden, falls nicht <prgn>dpkg-statoverride</prgn> verwendet wird (übrigens sollte ein derartig paranoider Administrator seine Benutzer in eine <prgn>Chroot</prgn>-Umgebung einsperren).

note: type: <p><list>
en: If you need to grant users access to the system with a shell think about it very carefully. A user can, by default unless in a severely restricted environment (like a <tt>chroot</tt> jail), retrieve quite a lot of information from your system including:
de: Wenn Sie einem Benutzer Zugriff auf das System mit einer Shell gewähren müssen, sollten Sie vorsichtig sein. Ein Benutzer kann normalerweise, wenn er sich nicht in einer streng abgeschirmten Umgebung befindet (z.B. in einem <tt>Chroot</tt>-Gefängnis), ziemlich viel Informationen über Ihr System sammeln. Darunter fallen:

note: type: <p></p>
en: some configuration files in <file>/etc</file>. However, Debian's default permissions for some sensitive files (which might, for example, contain passwords), will prevent access to critical information. To see which files are only accessible by the root user for example <tt>find /etc -type f -a -perm 600 -a -uid 0</tt> as superuser.
de: Einige Konfigurationsdateien unter <file>/etc</file>. Jedoch werden Debians Standardrechte für sensible Dateien (die zum Beispiel Passwörter enthalten könnten) den Zugriff auf kritische Informationen verhindern. Um zu sehen, auf welche Dateien nur der Root-Benutzer zugreifen kann, führen Sie zum Beispiel <tt>find /etc -type f -a -perm 600 -a -uid 0</tt> als Superuser aus.

note: type: <p></p>
en: your installed packages, either by looking at the package database, at the <file>/usr/share/doc</file> directory or by guessing by looking at the binaries and libraries installed in your system.
de: Ihre installierten Pakete. Indem entweder die Paketdatenbank und das Verzeichnis <file>/usr/share/doc/</file> angesehen wird oder indem versucht wird, dies durch Anschauen der auf Ihrem System installierten Programme und Bibliotheken zu raten.

note: type: <p></p>
en: some log files at <file>/var/log</file>. Note also that some log files are only accessible to root and the <tt>adm</tt> group (try <tt>find /var/log -type f -a -perm 640</tt>) and some are even only available to the root user (try <tt>find /var/log -type f -a -perm 600 -a -uid 0</tt>).
de: Einige Protokolle unter <file>/var/log</file>. Beachten Sie, dass auf einige Protokolle nur Root und die <tt>adm</tt>-Gruppe zugreifen kann (versuchen Sie <tt>find /var/log -type f -a -perm 640</tt>). Manche sind sogar ausschließlich für Root verfügbar (sehen Sie sich <tt>find /var/log -type f -a -perm 600 -a -uid 0</tt> an).

note: type: <p><example>
en: What can a user see in your system? Probably quite a lot of things, try this (take a deep breath):
de: Was kann ein Benutzer von Ihrem System sehen? Wahrscheinlich ziemlich viele Sachen, versuchen Sie mal Folgendes (und jetzt tief durchatmen):

note: type: <p></p>
en: The output is the list of files that a user can <em>see</em> and the directories to which he has access.
de: Was Sie sehen, ist eine Liste von allen Dateien, die ein Benutzer <em>einsehen</em> kann, und von den Verzeichnissen, auf die er Zugriff hat.

note: type: <heading></heading>
en: Limiting access to other user's information
de: Begrenzung des Zugangs zu Informationen anderer Benutzer

note: type: <p></p>
en: If you still grant shell access to users you might want to limit what information they can view from other users. Users with shell access have a tendency to create quite a number of files under their $HOMEs: mailboxes, personal documents, configuration of X/GNOME/KDE applications...
de: Wenn Sie immer noch Benutzern einen Shellzugang zur Verfügung stellen wollen, sollten Sie die Informationen begrenzen, die man über anderen Benutzern einholen kann. Benutzer mit einer Shell haben die Neigung, eine ziemlich große Anzahl von Dateien in ihrem $HOME zu erstellen: Mailboxen, persönliche Daten, Konfigurationen für X/GNOME/KDE-Anwendungen ...

note: type: <p></p>
en: In Debian each user is created with one associated group, and no two users belong to the same group. This is the default behavior: when an user account is created, a group of the same name is created too, and the user is assigned to it. This avoids the concept of a common <em>users</em> group which might make it more difficult for users to hide information from other users.
de: Unter Debian wird jeder Benutzer mit einer zugehörigen Gruppe erstellt. Verschiedene Benutzer gehören dabei nie zur selben Gruppe. Folgendes ist das Standardverhalten: Wenn ein Benutzerkonto angelegt wird, wird auch eine Gruppe mit dem gleichen Namen erstellt. Dieser Gruppe wird der Benutzer zugewiesen. Damit wird die Idee einer allgemeinen <em>users</em>-Gruppe überflüssig, die es Benutzern erschweren könnte, Informationen vor anderen Benutzern zu verstecken.

note: type: <p></p>
en: However, users' <var>$HOME</var> directories are created with 0755 permissions (group-readable and world-readable). The group permissions is not an issue since only the user belongs to the group, however the world permissions might (or might not) be an issue depending on your local policy.
de: Allerdings wird das <var>$HOME</var>-Verzeichnis der Benutzer mit 0755-Rechten (lesbar von der Gruppe, lesbar von der Welt) erstellt. Die Rechte für die Gruppe sind kein Thema, da nur der Benutzer zu dieser Gruppe gehört. Allerdings könnten die Rechte für die Welt ein Problem darstellen, wobei dies von Ihren lokalen Richtlinien abhängt.

note: type: <p></p>
en: You can change this behavior so that user creation provides different <var>$HOME</var> permissions. To change the behavior for <em>new</em> users when they get created, change <em>DIR_MODE</em> in the configuration file <file>/etc/adduser.conf</file> to 0750 (no world-readable access).
de: Sie können dieses Verhalten so abändern, dass das Erstellen eines Benutzers andere Rechte für <var>$HOME</var> liefert. Um dieses Verhalten für <em>neue</em> Benutzer zu ändern, wenn sie erstellt werden, ändern Sie in der Konfigurationsdatei <file>/etc/adduser.conf</file> <em>DIR_MODE</em> auf 0750 (nicht lesbar für die Welt) ab.

note: type: <p></p>
en: Users can still share information, but not directly in their <var>$HOME</var> directories unless they change its permissions.
de: Benutzer können immer noch Informationen austauschen, aber nicht mehr unmittelbar in ihrem <var>$HOME</var>-Verzeichnis, es sei denn, dass sie dessen Recht verändert haben.

note: type: <p></p>
en: Note that disabling world-readable home directories will prevent users from creating their personal web pages in the <file>~/public_html</file> directory, since the web server will not be able to read one component in the path - namely their <var>$HOME</var> directory. If you want to permit users to publish HTML pages in their <file>~/public_html</file>, then change <em>DIR_MODE</em> to 0751. This will allow the web server to access the final <file>public_html</file> directory (which itself should have a mode of 0755) and provide the content published by users. Of course, we are only talking about a default configuration here; users can generally tune modes of their own files completely to their liking, or you could keep content intended for the web in a separate location which is not a subdirectory of user's <var>$HOME</var> directory.
de: Wenn Sie den Lesezugriff auf die Home-Verzeichnisse für die Welt verhindert, sollten Sie beachten, dass dann Benutzer ihre persönlichen Webseiten nicht unter <file>~/public_html</file> erstellen können, da der Webserver einen Teil des Pfads nicht lesen kann &ndash; und zwar das <var>$HOME</var>-Verzeichnis. Wenn Sie es Benutzern erlauben wollen, ihre HTML-Seiten in ihrem <file>~/public_html</file> zu veröffentlichen, sollten Sie <em>DIR_MODE</em> auf 0751 setzen. Das ermöglicht dem Webserver Zugriff auf das eigentliche <file>public_html</file>-Verzeichnis (welches selbst die Rechte 0755 haben sollte). So kann er den von den Benutzern veröffentlichten Inhalt anbieten. Natürlich sprechen wir hier nur über die Standardeinstellung. Benutzer können grundsätzlich die Rechte für ihre eigenen Dateien nach ihrem Gutdünken vergeben. Oder Sie können die Dinge, die für das Web bestimmt sind, in einem getrennten Ort ablegen, der kein Unterverzeichnis vom <var>$HOME</var>-Verzeichnis des Benutzers ist.

note: type: <heading></heading>
en: Generating user passwords
de: Erstellen von Benutzerpasswörtern

note: type: <p></p>
en: There are many cases when an administrator needs to create many user accounts and provide passwords for all of them. Of course, the administrator could easily just set the password to be the same as the user's account name, but that would not be very sensitive security-wise. A better approach is to use a password generating program. Debian provides <package>makepasswd</package>, <package>apg</package> and <package>pwgen</package> packages which provide programs (the name is the same as the package) that can be used for this purpose. <prgn>Makepasswd</prgn> will generate true random passwords with an emphasis on security over pronounceability while <prgn>pwgen</prgn> will try to make meaningless but pronounceable passwords (of course this might depend on your mother language). <prgn>Apg</prgn> has algorithms to provide for both (there is a client/server version for this program but it is not included in the Debian package).
de: In vielen Fällen muss ein Administrator viele Benutzerkonten erstellen und alle mit Passwörtern ausstatten. Der Administrator könnte natürlich einfach als Passwort den Namen des Benutzerkontos vergeben. Dies wäre aber unter Sicherheitsgesichtspunkten nicht sehr klug. Ein besseres Vorgehen ist es, ein Programm zur Erzeugung von Passwörtern zu verwenden. Debian stellt die Pakete <package>makepasswd</package>, <package>apg</package> und <package>pwgen</package> zur Verfügung, die Programme liefern (deren Name ist der gleiche wie der des Pakets), die zu diesem Zweck verwendet werden können. <prgn>Makepasswd</prgn> erzeugt wirklich zufällige Passwörter, gibt also der Sicherheit gegenüber der Aussprechbarkeit den Vorzug. Dagegen versucht <prgn>pwgen</prgn>, bedeutungslose, aber aussprechbare Passwörter herzustellen (dies hängt natürlich auch von Ihrer Muttersprache ab). <prgn>Apg</prgn> liefert Algorithmen für beide Möglichkeiten (Es gibt auch eine Client/Server-Version dieses Programms. Diese befindet sich aber nicht im Debian-Paket).

note: type: <p></p>
en: <prgn>Passwd</prgn> does not allow non-interactive assignation of passwords (since it uses direct tty access). If you want to change passwords when creating a large number of users you can create them using <prgn>adduser</prgn> with the <tt>--disabled-login</tt> option and then use <prgn>usermod</prgn> or <prgn>chpasswd</prgn> <footnote><p><prgn>Chpasswd</prgn> cannot handle MD5 password generation so it needs to be given the password in encrypted form before using it, with the <tt>-e</tt> option.</p></footnote> (both from the <package>passwd</package> package so you already have them installed). If you want to use a file with all the information to make users as a batch process you might be better off using <prgn>newusers</prgn>.
de: <prgn>Passwd</prgn> erlaubt nur die interaktive Zuweisung von Passwörtern (da es direkt den tty-Zugang benutzt). Wenn Sie Passwörter ändern wollen, wenn Sie eine große Anzahl von Benutzern erstellen, können Sie diese unter der Verwendung von <prgn>adduser</prgn> mit der <tt>--disabled-login</tt>-Option erstellen, und danach <prgn>usermod</prgn> oder <prgn>chpasswd</prgn> <footnote><p> <prgn>Chpasswd</prgn> kann keine MD5-Passwörter erzeugen. Daher muss ihm das Passwort in verschlüsselter Form mit der Option <tt>-e</tt> übergeben werden. </p></footnote> benutzen (beide Programme stammen aus dem <package>passwd</package>-Paket. Sie haben sie also schon installiert). Wenn Sie lieber eine Datei verwenden, die alle Informationen zur Erstellung von Benutzern als Batch-Prozess enthält, sind Sie vielleicht mit <prgn>newusers</prgn> besser dran.

note: type: <heading></heading>
en: Checking user passwords
de: Überprüfung der Benutzerpasswörter

note: type: <p></p>
en: User passwords can sometimes become the <em>weakest link</em> in the security of a given system. This is due to some users choosing weak passwords for their accounts (and the more of them that have access to it the greater the chances of this happening). Even if you established checks with the cracklib PAM module and password limits as described in <ref id="auth-pam"> users will still be able to use weak passwords. Since user access might include remote shell access (over <prgn>ssh</prgn>, hopefully) it's important to make password guessing as hard as possible for the remote attackers, especially if they were somehow able to collect important information such as usernames or even the <file>passwd</file> and <file>shadow</file> files themselves.
de: Die Passwörter der Benutzer sind manchmal die <em>schwächste Stelle</em> der Sicherheit eines Systems. Das liegt daran, dass manche Benutzer schwache Passwörter für ihr Konto wählen (und je mehr Benutzer Zugang zum System haben, umso größer die Chance, dass das passiert). Selbst wenn Sie Überprüfungen mit dem PAM-Module cracklib und Grenzen für Passwörter einsetzen, wie in <ref id="auth-pam"> beschrieben wird, ist es Benutzern immer noch möglich, schwache Passwörter zu verwenden. Da der Zugang der Benutzer auch den Zugang aus der Ferne (hoffentlich über <prgn>Ssh</prgn>) umfassen kann, ist es wichtig, dass das Erraten von Passwörtern für Angreifer aus der Ferne so schwierig wie möglich ist. Dies gilt insbesondere dann, wenn es ihnen gelungen sein sollte, Zugriff auf wichtigen Informationen wie den Benutzernamen oder sogar den Dateien <file>passwd</file> und <file>shadow</file> selbst zu bekommen.

note: type: <p></p>
en: A system administrator must, given a big number of users, check if the passwords they have are consistent with the local security policy. How to check? Try to crack them as an attacker would if he had access to the hashed passwords (the <file>/etc/shadow</file> file).
de: Ein Systemadministrator muss bei einer großen Anzahl von Benutzern überprüfen, ob deren Passwörter mit den lokalen Sicherheitsrichtlinien in Einklang stehen. Und wie überprüft man das? Indem man versucht, sie wie ein Angreifer zu knacken, der Zugriff auf die gehashten Passwörter hat (also auf die Datei <file>/etc/shadow</file>).

note: type: <p></p>
en: An administrator can use <package>john</package> or <package>crack</package> (both are brute force password crackers) together with an appropriate wordlist to check users' passwords and take appropriate action when a weak password is detected. You can search for Debian GNU packages that contain word lists using <prgn>apt-cache search wordlist</prgn>, or visit the classic Internet wordlist sites such as <url id="ftp://ftp.ox.ac.uk/pub/wordlists"> or <url id="ftp://ftp.cerias.purdue.edu/pub/dict">.
de: Ein Administrator kann <package>john</package> oder <package>crack</package> (beide benutzen Brute-Force (rohe Gewalt) zum Knacken von Passwörtern) zusammen mit einer passenden Wörterliste verwenden, um die Passwörter der Benutzer zu überprüfen, und falls ein schlechtes Passwort entdeckt wird, geeignete Schritte unternehmen. Sie können mit <prgn>apt-cache search wordlist</prgn> nach Debian/GNU-Paketen suchen, die Wörterlisten enthalten, oder Sie besuchen die klassischen Internetseiten mit Wörterlisten wie <url id="ftp://ftp.ox.ac.uk/pub/wordlists"> oder <url id="ftp://ftp.cerias.purdue.edu/pub/dict">.

note: type: <heading></heading>
en: Logging off idle users
de: Abmelden von untätigen Benutzern

note: type: <p><list>
en: Idle users are usually a security problem, a user might be idle maybe because he's out to lunch or because a remote connection hung and was not re-established. For whatever the reason, idle users might lead to a compromise:
de: Untätige (idle) Benutzer stellen für gewöhnlich ein Sicherheitsproblem dar. Ein Benutzer kann untätig sein, da er Mittagessen ist, oder weil eine Verbindung aus der Ferne hängen blieb und nicht wieder hergestellt wurde. Unabhängig von den Gründen können untätige Benutzer zu einer Kompromittierung führen:

note: type: <p></p>
en: because the user's console might be unlocked and can be accessed by an intruder.
de: weil die Konsole des Benutzers vielleicht nicht verriegelt ist und damit ein Eindringling darauf zugreifen kann.

note: type: <p></p>
en: because an attacker might be able to re-attach himself to a closed network connection and send commands to the remote shell (this is fairly easy if the remote shell is not encrypted as in the case of <prgn>telnet</prgn>).
de: weil ein Angreifer an eine schon beendete Netzwerkverbindung anknüpfen und Befehle an die Shell in der Ferne schicken kann (das ist ziemlich einfach, wenn die Shell in der Ferne, wie bei <prgn>Telnet</prgn>, nicht verschlüsselt ist).

note: type: <p></p>
en: Some remote systems have even been compromised through an idle (and detached) <prgn>screen</prgn>.
de: In einige  Systeme in der Ferne wurde sogar schon durch ein untätiges (und abgelöstes) <prgn>Screen</prgn> eingedrungen.

note: type: <p><list>
en: Automatic disconnection of idle users is usually a part of the local security policy that must be enforced. There are several ways to do this:
de: Die automatische Trennung von untätigen Benutzern ist gewöhnlich ein Teil der lokalen Sicherheitsrichtlinie, die durchgesetzt werden muss. Es gibt mehrere Arten, dies zu erreichen:

note: type: <p></p>
en: If <prgn>bash</prgn> is the user shell, a system administrator can set a default <tt>TMOUT</tt> value (see <manref name="bash" section="1">) which will make the shell automatically log off remote idle users. Note that it must be set with the <tt>-o</tt> option or users will be able to change (or unset) it.
de: Wenn die Shell des Benutzers die <prgn>Bash</prgn> ist, kann ein Systemadministrator <tt>TMOUT</tt> einen Standardwert zuweisen (vergleich <manref section="1" name="bash">). Das hat zur Folge, dass die Shell automatisch untätige Benutzer aus der Ferne abmeldet. Beachten Sie, dass der Wert mit der Option <tt>-o</tt> gesetzt werden muss. Ansonsten ist es den Benutzern möglich, ihn zu verändern (oder zu löschen).

note: type: <p></p>
en: Install <package>timeoutd</package> and configure <file>/etc/timeouts</file> according to your local security policy. The daemon will watch for idle users and time out their shells accordingly.
de: Installieren Sie <package>Timeoutd</package> und konfigurieren Sie <file>/etc/timeouts</file> passend zu Ihren lokalen Sicherheitsrichtlinien. Der Daemon achtet auf untätige Benutzer und beendet entsprechend ihre Shells.

note: type: <p></p>
en: Install <package>autolog</package> and configure it to remove idle users.
de: Installieren Sie <package>Autolog</package> und richten Sie es so ein, dass es untätige Benutzer entfernt.

note: type: <p></p>
en: The <prgn>timeoutd</prgn> or <prgn>autolog</prgn> daemons are the preferred method since, after all, users can change their default shell or can, after running their default shell, switch to another (uncontrolled) shell.
de: Vorzugswürdige Methoden sind die Daemonen <prgn>Timeoutd</prgn> oder <prgn>Autolog</prgn>, da letzten Endes die Benutzer ihre Standardshell ändern können oder zu einer anderen (unbeschränkten) Shell wechseln können, nachdem sie ihre Standardshell gestartet haben.

note: type: <heading></heading>
en: Using tcpwrappers
de: Die Nutzung von Tcpwrappers STOPP

note: type: <p></p>
en: TCP wrappers were developed when there were no real packet filters available and access control was needed. Nevertheless, they're still very interesting and useful. The TCP wrappers allow you to allow or deny a service for a host or a domain and define a default allow or deny rule (all performed on the application level). If you want more information take a look at <manref name="hosts_access" section="5">.
de: TCP-Wrapper (Schutzumschläge für TCP) wurden entwickelt, als es noch keine echten Paketfilter gab, aber Zugangskontrollen notwendig waren. Trotzdem sind sie immer noch hoch interessant und nützlich. Ein TCP-Wrapper erlaubt Ihnen, einem Host oder einer Domain einen Dienst anzubieten oder zu verweigern, und standardmäßig Zugriff zu erlauben oder zu verweigern (das alles wird auf der Anwendungsebene durchgeführt). Wenn Sie mehr Informationen haben möchten, sehen Sie sich <manref name="hosts_access" section="5"> an.

note: type: <p><list>
en: Many services installed in Debian are either:
de: Viele der unter Debian installierten Dienste

note: type: <p></p>
en: launched through the tcpwrapper service (<file>tcpd</file>)
de: werden entweder durch den TCP-Wrapper Service (<file>tcpd</file>) aufgerufen,

note: type: <p></p>
en: compiled with libwrapper support built-in.
de: oder wurden mit Unterstützung für libwrapper (Bibliothek für TCP-Wrapper)  kompiliert.

note: type: <p></p>
en: On the one hand, for services configured in <file>/etc/inetd.conf</file> (this includes <prgn>telnet</prgn>, <prgn>ftp</prgn>, <prgn>netbios</prgn>, <prgn>swat</prgn> and <prgn>finger</prgn>) you will see that the configuration file executes <prgn>/usr/sbin/tcpd</prgn> first. On the other hand, even if a service is not launched by the <prgn>inetd</prgn> superdaemon, support for the tcp wrappers rules can be compiled into it. Services compiled with tcp wrappers in Debian include <prgn>ssh</prgn>, <prgn>portmap</prgn>, <prgn>in.talk</prgn>, <prgn>rpc.statd</prgn>, <prgn>rpc.mountd</prgn>, <prgn>gdm</prgn>, <prgn>oaf</prgn> (the GNOME activator daemon), <prgn>nessus</prgn> and many others.
de: Einerseits werden Sie bei manchen Diensten (einschließlich <prgn>telnet</prgn>, <prgn>ftp</prgn>, <prgn>netbios</prgn>, <prgn>swat</prgn> und <prgn>finger</prgn>), die in <file>/etc/inetd.conf</file> konfiguriert werden, sehen, dass die Konfigurationsdatei zuerst <prgn>/usr/sbin/tcpd</prgn> aufruft. Andererseits, selbst wenn ein Dienst nicht über den <prgn>inetd</prgn>-Superdaemon ausgeführt wird, kann die Unterstützung von TCP-Wrapper einkompiliert werden. Dienste, die unter Debian mit TCP-Wrappern kompiliert wurden, sind <prgn>ssh</prgn>, <prgn>portmap</prgn>, <prgn>in.talk</prgn>, <prgn>rpc.statd</prgn>, <prgn>rpc.mountd</prgn>, <prgn>gdm</prgn>, <prgn>oaf</prgn> (der GNOME-Aktivierungs-Daemon), <prgn>nessus</prgn> und viele andere.

note: type: <p><example>
en: To see which packages use tcpwrappers <footnote><p>On older Debian releases you might need to do this: <example> $ apt-cache showpkg libwrap0 | egrep '^[[:space:]]' | sort -u | \ sed 's/,libwrap0$//;s/^[[:space:]]\+//'</example></p></footnote> try:
de: Um herauszufinden, welche Pakete TCP-Wrapper benutzen<footnote><p>Bei älteren Veröffentlichungen von Debian sollte Sie Folgendes ausführen: <example> $ apt-cache showpkg libwrap0 | egrep '^[[:space:]]' | sort -u | \ sed 's/,libwrap0$//;s/^[[:space:]]\+//'</example></p></footnote>, geben Sie Folgendes ein:

note: type: <p></p>
en: Take this into account when running <prgn>tcpdchk</prgn> (a very useful TCP wrappers config file rule and syntax checker). When you add stand-alone services (that are directly linked with the wrapper library) into the <file>hosts.deny</file> and <file>hosts.allow</file> files, <prgn>tcpdchk</prgn> will warn you that it is not able to find the mentioned services since it only looks for them in <file>/etc/inetd.conf</file> (the manpage is not totally accurate here).
de: Beachten Sie bitte Folgendes, wenn Sie <prgn>tcpchk</prgn> (ein sehr nützliches Programm zur Überprüfung der TCP-Wrapper-Konfiguration und -Syntax) laufen lassen. Wenn Sie Stand-Alone-Dienste (alleinstehende Dienste, also solche, die direkt mit der Wrapper-Bibliothek verbunden sind) der <file>host.deny</file>- oder <file>host.allow</file>-Datei hinzufügen, wird <prgn>tcpchk</prgn> Sie warnen, dass er sie nicht finden kann, da er sie nur in <file>/etc/inetd.conf</file> sucht (die Handbuchseite ist an dieser Stelle nicht sehr genau).

note: type: <p><example>
en: Now, here comes a small trick, and probably the smallest intrusion detection system available. In general, you should have a decent firewall policy as a first line, and tcp wrappers as the second line of defense. One little trick is to set up a <var>SPAWN</var> <footnote><p>be sure to use uppercase here since <em>spawn</em> will not work</p></footnote> command in <file>/etc/hosts.deny</file> that sends mail to root whenever a denied service triggers wrappers:
de: Jetzt kommt ein kleiner Trick und vielleicht die kleinste Alarmanlage zur Erkennung von Eindringlingen: Im Allgemeinen sollten Sie eine anständige Firewall als erste und TCP-Wrapper als zweite Verteidigungslinie haben. Der Trick besteht nun darin, ein <var>SPAWN</var>-Kommando <footnote><p>Beachten Sie hier die Schreibweise, da <em>spawn</em> nicht funktionieren wird.</footnote> in <file>/etc/hosts.deny</file> einzutragen, das immer dann eine Mail an Root schickt, wenn ein Dienst abgewiesen wurde:

note: type: <example></example>
en:   ALL: ALL: SPAWN ( \
        echo -e "\n\
        TCP Wrappers\: Connection refused\n\
        By\: $(uname -n)\n\
        Process\: %d (pid %p)\n\
        User\: %u\n\
        Host\: %c\n\
        Date\: $(date)\n\
      " | /usr/bin/mail -s "Connection to %d blocked" root) &
de:   ALL: ALL: SPAWN ( \
        echo -e "\n\
        TCP Wrappers\: Verbindungsaufbau abgelehnt\n\
        Von\: $(uname -n)\n\
        Prozess\: %d (pid %p)\n\
        Benutzer\: %u\n\
        Host\: %c\n\
        Datum\: $(date)\n\
      " | /usr/bin/mail -s "Verbindung zu %d blockiert" root) &

note: type: <p></p>
en: <em>Beware</em>: The above printed example is open to a DoS attack by making many connections in a short period of time. Many emails mean a lot of file I/O by sending only a few packets.
de: <em>Achtung</em>: Das obige Beispiel kann sehr leicht zu DoS (Denial of Service, Verbindungsaufbau abgelehnt) führen, indem man versucht, sehr viele Verbindungen in kurzer Zeit aufzubauen. Viele E-Mails bedeuten viel Dateiaktivität, die lediglich durch das Senden von ein paar Paketen erreicht wird.

note: type: <heading></heading>
en: The importance of logs and alerts
de: Die Wichtigkeit von Protokollen und Alarmen

note: type: <p></p>
en: It is easy to see that the treatment of logs and alerts is an important issue in a secure system. Suppose a system is perfectly configured and 99% secure. If the 1% attack occurs, and there are no security measures in place to, first, detect this and, second, raise alarms, the system is not secure at all.
de: Es ist leicht einzusehen, dass die Behandlung von Protokollen und Alarmen eine wichtige Angelegenheit in einem sicheren System ist. Stellen Sie sich vor, ein System ist perfekt konfiguriert und zu 99% sicher. Wenn ein Angriff unter dieses 1% fällt, und es keine Sicherheitsmaßnahmen gibt, dies erstens zu erkennen und zweitens einen Alarm auszulösen, so ist das System überhaupt nicht sicher.

note: type: <p><example>
en: Debian GNU/Linux provides some tools to perform log analysis, most notably <package>swatch</package>, <footnote><p>there's a very good article on it written by <url id="http://www.spitzner.net/swatch.html" name="Lance Spitzner"></p></footnote> <package>logcheck</package> or <package>log-analysis</package> (all will need some customisation to remove unnecessary things from the report). It might also be useful, if the system is nearby, to have the system logs printed on a virtual console. This is useful since you can (from a distance) see if the system is behaving properly. Debian's <file>/etc/syslog.conf</file> comes with a commented default configuration; to enable it uncomment the lines and restart <prgn>syslogd</prgn> (<tt>/etc/init.d/syslogd restart</tt>):
de: Debian GNU/Linux stellt Werkzeuge zur Verfügung, die die Analyse von Protokolldateien übernehmen. Am beachtenswertesten sind <package>swatch</package> <footnote><p>Es gibt darüber einen ziemlich guten Artikel von <url id="http://www.spitzner.net/swatch.html" name="Lance Spitzner">. </footnote>, <package>logcheck</package> oder <package>loganalysis</package> (alle Pakete werden ein wenig Anpassung benötigen, um unnötige Dinge aus den Berichten zu entfernen). Wenn sich das System in Ihrer Nähe befindet, könnte es nützlich sein, das System-Protokoll auf einer virtuellen Konsole auszugeben. Die ist nützlich, da Sie so (auch von weiter weg oder im Vorbeigehen) sehen können, ob sich das System richtig verhält. Debians <file>/etc/syslog.conf</file> wird mit einer auskommentierten Standardkonfiguration ausgeliefert. Um diese Ausgabe einzuschalten, entfernen Sie die Kommentarzeichen vor den entsprechenden Zeilen und starten <prgn>syslog</prgn> neu (<tt>/etc/init.d/syslogd restart</tt>):

note: type: <p></p>
en: To colorize the logs, you could take a look at <package>colorize</package>, <package>ccze</package> or <package>glark</package>. There is a lot to log analysis that cannot be fully covered here, so a good information resource would be books should as <url id="http://books.google.com/books?id=UyktqN6GnWEC" name="Security log management: identifying patterns in the chaos">. In any case, even automated tools are no match for the best analysis tool: your brain.
de: Um die Protokolle farbig zu gestalten, sollten Sie einen Blick auf <package>colorize</package>, <package>ccze</package> oder <package>glark</package> werfen. Es gibt noch eine Menge über die Analyse von Protokollen zu sagen, das hier nicht behandelt werden kann. Eine gute Quelle für weitere Informationen sind Bücher wie <url name="Security log management: identifying patterns in the chaos" id="http://books.google.com/books?id=UyktqN6GnWEC">. In jedem Fall sind selbst automatische Werkzeuge dem besten Analysewerkzeug nicht gewachsen: Ihrem Gehirn.

note: type: <heading></heading>
en: Using and customizing <prgn>logcheck</prgn>
de: Nutzung und Anpassung von <prgn>logcheck</prgn>

note: type: <p></p>
en: The <prgn>logcheck</prgn> package in Debian is divided into the three packages <package>logcheck</package> (the main program), <package>logcheck-database</package> (a database of regular expressions for the program) and <package>logtail</package> (prints loglines that have not yet been read). The Debian default (in <file>/etc/cron.d/logcheck</file>) is that <prgn>logcheck</prgn> is run every hour and after reboots.
de: Das Paket <prgn>logcheck</prgn> ist in Debian auf drei  Pakete verteilt: <package>logcheck</package> (das Hauptprogramm), <package>logcheck-database</package> (eine Datenbank regulärer Ausdrücke für das Programm) und  <package>logtail</package> (gibt Protokollzeilen aus, die noch nicht gelesen wurden). Der Standard unter Debian (in <file>/etc/cron.d/logcheck</file>) ist, dass <prgn>logcheck</prgn> jede Stunde und nach jedem Neustart ausgeführt wird.

note: type: <p></p>
en: This tool can be quite useful if properly customized to alert the administrator of unusual system events. <prgn>Logcheck</prgn> can be fully customized so that it sends mails based on events found in the logs and worthy of attention. The default installation includes profiles for ignored events and policy violations for three different setups (workstation, server and paranoid). The Debian package includes a configuration file <file>/etc/logcheck/logcheck.conf</file>, sourced by the program, that defines which user the checks are sent to. It also provides a way for packages that provide services to implement new policies in the directories: <file>/etc/logcheck/cracking.d/_packagename_</file>, <file>/etc/logcheck/violations.d/_packagename_</file>, <file>/etc/logcheck/violations.ignore.d/_packagename_</file>, <file>/etc/logcheck/ignore.d.paranoid/_packagename_</file>, <file>/etc/logcheck/ignore.d.server/_packagename_</file>, and <file>/etc/logcheck/ignore.d.workstation/_packagename_</file>. However, not many packages currently do so. If you have a policy that can be useful for other users, please send it as a bug report for the appropriate package (as a <em>wishlist</em> bug). For more information read <file>/usr/share/doc/logcheck/README.Debian</file>.
de: Wenn dieses Werkzeug in  geeigneter Weise angepasst wurde, kann es sehr nützlich sein, um den Administrator zu alarmieren, wenn etwas ungewöhnliches auf dem System passiert. <prgn>Logcheck</prgn> kann vollständig angepasst werden, so dass es Mails über Ereignisse aus den Protokollen sendet, die Ihrer Aufmerksamkeit bedürfen. Die Standard-Installation umfasst Profile zum Ignorieren von Ereignissen und Verstößen gegen die Sicherheitsrichtlinie für drei unterschiedliche Einsatzbereiche (Workstation, Server und paranoid). Das Debian-Paket umfasst die Konfigurationsdatei <file>/etc/logcheck/logcheck.conf</file>, die vom Programm eingelesen wird, und die definiert, an welchen Benutzer die Testergebnisse geschickt werden sollen. Es stellt außerdem einen Weg für Pakete zur Verfügung, um neue Regeln in folgenden Verzeichnisses zu erstellen: <file>/etc/logcheck/cracking.d/_packagename_</file> <file>/etc/logcheck/violations.d/_packagename_</file>, <file>/etc/logcheck/violations.ignore.d/_packagename_</file>, <file>/etc/logcheck/ignore.d.paranoid/_packagename_</file>, <file>/etc/logcheck/ignore.d.server/_packagename_</file>, und <file>/etc/logcheck/ignore.d.workstation/_packagename_</file>. Leider benutzen das noch nicht viele Pakete. Wenn Sie ein Regelwerk entwickelt haben, dass für andere Benutzer nützlich sein könnte, schicken Sie bitte einen Fehlerbericht für das entsprechende Paket (als ein <em>wishlist</em>-Fehler). Mehr Informationen finden Sie unter <file>/usr/share/doc/logcheck/README.Debian</file>.

note: type: <p></p>
en: The best way to configure <prgn>logcheck</prgn> is to edit its main configuration file <file>/etc/logcheck/logcheck.conf</file> after installation. Change the default user (root) to whom reports should be mailed. You should set the reportlevel in there, too. <package>logcheck-database</package> has three report levels of increasing verbosity: workstation, server, paranoid. "server" being the default level, paranoid is only recommended for high-security machines running as few services as possible and workstation for relatively sheltered, non-critical machines. If you wish to add new log files just add them to <file>/etc/logcheck/logcheck.logfiles</file>. It is tuned for default syslog install.
de: <prgn>logcheck</prgn> konfiguriert man am besten, indem man nach der Installation die Hauptkonfigurationsdatei <file>/etc/logcheck/logcheck.conf</file> bearbeitet. Verändern Sie den Benutzer, an den die Berichte geschickt werden (standardmäßig ist das Root). Außerdem sollten Sie auch den Schwellenwert für Berichte festlegen. <package>logcheck-database</package> hat drei Schwellenwerte mit steigender Ausführlichkeit: Workstation (Arbeitsplatz), Server und paranoid. »server« ist der Standardwert, »paranoid« wird nur für Hochsicherheitsmaschinen empfohlen, auf denen so wenig Dienste wie möglich laufen. »workstation« eignet sich für relativ geschützte, nicht kritische Maschinen. Wenn Sie neue Protokoll-Dateien hinzufügen wollen, müssen Sie diese nur zu <file>/etc/logcheck/logcheck.logfiles</file> hinzufügen. Es ist für die standardmäßige Syslog-Installation eingerichtet.

note: type: <p></p>
en: Once this is done you might want to check the mails that are sent, for the first few days/weeks/months. If you find you are sent messages you do not wish to receive, just add the regular expressions (see <manref name="regex" section="7"> and <manref name="egrep" section="1">) that correspond to these messages to the <file>/etc/logcheck/ignore.d.<var>reportlevel</var>/local</file>. Try to match the whole logline. Details on howto write rules are explained in <file>/usr/share/doc/logcheck-database/README.logcheck-database.gz</file>. It's an ongoing tuning process; once the messages that are sent are always relevant you can consider the tuning finished. Note that if <prgn>logcheck</prgn> does not find anything relevant in your system it will not mail you even if it does run (so you might get a mail only once a week, if you are lucky).
de: Wenn Sie dies geschafft haben, sollten Sie die nächsten Tage/Wochen/Monate die verschickten Mails überprüfen. Falls Sie Nachrichten finden, die Sie nicht erhalten wollen, fügen Sie die regulären Ausdrücke (regular expressions, vergleiche <manref name="regex" section="7"> und <manref name="egrep" section="1">), die zu diesen Nachrichten passen, in <file>/etc/logcheck/ignore.d.<var>reportlevel</var>/local</file> ein. Versuchen Sie, dass der reguläre Ausdruck mit der gesamten Protokollzeile übereinstimmt. Details, wie man Regeln schreibt, finden Sie in <file>/usr/share/doc/logcheck-database/README.logcheck-database.gz</file>. Das ist ein andauernder Prozess der Abstimmung. Wenn nur noch relevante Meldungen verschickt werden, können Sie davon ausgehen, dass dieser Prozess beendet ist. Beachten Sie, dass <prgn>logcheck</prgn>, selbst wenn er läuft, Ihnen keine Mail schickt, wenn er nichts Relevantes auf Ihrem System findet (so bekommen Sie höchstens eine Mail pro Woche, wenn Sie Glück haben).

note: type: <heading></heading>
en: Configuring where alerts are sent
de: Konfiguration, wohin Alarmmeldungen geschickt werden

note: type: <p></p>
en: Debian comes with a standard <tt>syslog</tt> configuration (in <file>/etc/syslog.conf</file>) that logs messages to the appropriate files depending on the system facility. You should be familiar with this; have a look at the <file>syslog.conf</file> file and the documentation if not. If you intend to maintain a secure system you should be aware of where log messages are sent so they do not go unnoticed.
de: Debian wird mit einer Standardkonfiguration für <tt>Syslog</tt> (in <file>/etc/syslog.conf</file>) ausgeliefert, so dass Meldungen je nach System in die passenden Dateien geschrieben werden. Das sollte Ihnen bereits bekannt sein. Falls nicht, werfen Sie einen Blick auf die Datei <file>syslog.conf</file> und deren Dokumentation. Wenn Sie ein sicheres System betreuen wollen, sollte Ihnen bekannt sein, wohin Protokoll-Meldungen geschickt werden, so dass sie nicht unbeachtet bleiben.

note: type: <p></p>
en: For example, sending messages to the console also is an interesting setup useful for many production-level systems. But for many such systems it is also important to add a new machine that will serve as loghost (i.e. it receives logs from all other systems).
de: Zum Beispiel ist es für viele Produktiv-Systeme sinnvoll, Meldungen auch auf der Konsole auszugeben. Aber bei vielen solcher Systeme ist es wichtig, eine neue Maschine zu haben, die für die anderen als ein Loghost fungiert (d.h. sie empfängt die Protokolle aller anderen Systeme).

note: type: <p></p>
en: Root's mail should be considered also, many security controls (like <package>snort</package>) send alerts to root's mailbox. This mailbox usually points to the first user created in the system (check <file>/etc/aliases</file>). Take care to send root's mail to some place where it will be read (either locally or remotely).
de: Sie sollten auch an Mails für Root denken, da viele Programme zur Sicherheitskontrolle (wie <package>snort</package>) ihre Alarme an die Mailbox von Root senden. Diese Mailbox zeigt normalerweise auf den ersten Benutzer, der auf dem System erstellt wurde (prüfen Sie dazu <file>/etc/aliases</file>). Sorgen Sie dafür, dass Roots Mails irgendwo hin geschickt werden, wo sie auch gelesen werden (lokal oder in der Ferne).

note: type: <p></p>
en: There are other role accounts and aliases on your system. On a small system, it's probably simplest to make sure that all such aliases point to the root account, and that mail to root is forwarded to the system administrator's personal mailbox.
de: Es gibt noch andere Konten mit besonderen Funktionen und andere Aliase auf Ihrem System. Auf einem kleinen System ist es wohl am einfachsten, sicherzustellen, dass alle Aliase auf das Root-Konto verweisen, und dass Mails an Root in das persönliche Postfach des Systemadministrators weiter geleitet werden.

note: type: <heading></heading>
en: Using a loghost
de: Nutzen eines Loghosts

note: type: <p><example>
en: A loghost is a host which collects syslog data remotely over the network. If one of your machines is cracked, the intruder is not able to cover his tracks, unless he hacks the loghost as well. So, the loghost should be especially secure. Making a machine a loghost is simple. Just start the <prgn>syslogd</prgn> with <tt>syslogd -r</tt> and a new loghost is born. In order to do this permanently in Debian, edit <file>/etc/default/syslogd</file> and change the line
de: Ein Loghost ist ein Server, der die syslog-Daten über ein Netzwerk sammelt. Wenn eine Ihrer Maschinen geknackt wird, kann der Eindringling seine Spuren nicht verwischen, solange er den Loghost nicht ebenfalls geknackt hat. Demzufolge muss der Loghost besonders sicher sein. Aus einer Maschine einen Loghost zu machen, ist relativ einfach: Starten Sie den <prgn>syslogd</prgn> einfach mit <tt>syslogd -r</tt> und ein neuer Loghost ist geboren. Um dies unter Debian dauerhaft zu machen, editieren Sie <file>/etc/default/syslogd</file> und ändern Sie die Zeile

note: type: </example><example>
en: to
de: in

note: type: </example><example>
en: Next, configure the other machines to send data to the loghost. Add an entry like the following to <file>/etc/syslog.conf</file>:
de: Als nächstes konfigurieren Sie die anderen Maschinen, so dass sie ihre Daten an den Loghost zu senden. Fügen Sie einen Eintrag, ähnlich dem Folgenden, zu der <file>/etc/syslog.conf</file> hinzu:

note: type: <example></example>
en:   facility.level            @your_loghost
de:   facility.level            @Ihr_Loghost

note: type: </example><example>
en: See the documentation for what to use in place of <em>facility</em> and <em>level</em> (they should not be entered verbatim like this). If you want to log everything remotely, just write:
de: Schauen Sie in die Dokumentation, um zu erfahren, wodurch Sie <em>facility</em> und <em>level</em> ersetzen können; sie sollten nicht wörtlich übernommen werden. Wenn Sie alles in der Ferne mitprotokollieren wollen, schreiben Sie einfach:

note: type: <example></example>
en:   *.*                       @your_loghost
de:   *.*                       @Ihr_Loghost

note: type: </example></p>
en: into your <file>syslog.conf</file>. Logging remotely as well as locally is the best solution (the attacker might presume to have covered his tracks after deleting the local log files). See the <manref name="syslog" section="3">, <manref name="syslogd" section="8"> and <manref name="syslog.conf" section="5"> manpages for additional information.
de: in Ihre <file>syslog.conf</file>. Sowohl lokal als auch aus der Ferne mitzuprotokollieren, ist die beste Lösung (ein Angreifer könnte davon ausgehen, dass er seine Spuren verwischt hat, nachdem er die lokale Log-Datei gelöscht hat). Für weitere Informationen sehen Sie sich die Handbuchseiten <manref name="syslog" section="3">, <manref name="syslogd" section="8"> und <manref name="syslog.conf" section="5"> an.

note: type: <heading></heading>
en: Log file permissions
de: Zugriffsrechte auf Protokolldateien

note: type: <p></p>
en: It is not only important to decide how alerts are used, but also who has read/modify access to the log files (if not using a remote loghost). Security alerts which the attacker can change or disable are not worth much in the event of an intrusion. Also, you have to take into account that log files might reveal quite a lot of information about your system to an intruder if he has access to them.
de: Es ist nicht nur wichtig zu entscheiden, wie Warnungen genutzt werden, sondern auch, wer hierauf Zugriff hat, d.h. wer Protokolldateien (falls Sie nicht einen Loghost verwenden) lesen oder verändern kann. Sicherheitsalarme, die ein Angreifer verändern oder abschalten kann, sind im Falle eines Eindringens nicht viel wert. Außerdem sollten Sie berücksichtigen, dass Protokolldateien einem Eindringling ziemlich viel Informationen über Ihr System verraten, wenn er auf sie Zugriff hat.

note: type: <p><example>
en: Some log file permissions are not perfect after the installation (but of course this really depends on your local security policy). First <file>/var/log/lastlog</file> and <file>/var/log/faillog</file> do not need to be readable by normal users. In the <file>lastlog</file> file you can see who logged in recently, and in the <file>faillog</file> you see a summary of failed logins. The author recommends <prgn>chmod 660</prgn> for both. Take a brief look at your log files and decide very carefully which log files to make readable/writable for a user with a UID other than 0 and a group other than 'adm' or 'root'. You can easily check this in your system with:
de: Einige Zugriffsrechte auf Protokolldateien sind nach der Installation nicht gerade perfekt (aber das hängt natürlich von Ihrer lokalen Sicherheitsrichtlinie ab). Zuerst einmal müssen <file>/var/log/lastlog</file> und <file>/var/log/faillog</file> nicht für normale Benutzer lesbar sein. In der Datei <file>lastlog</file> können Sie sehen, wer sich zuletzt angemeldet hat. In <file>faillog</file> befindet sich eine Zusammenfassung fehlgeschlagener Anmeldeversuche. Der Autor empfiehlt, die Rechte von beiden auf 660 zu setzen (mit <prgn>chmod 660</prgn>). Werfen Sie einen kurzen Blick auf Ihre Protokolldateien und entscheiden Sie sehr vorsichtig, welche Protokolldateien Sie les- oder schreibbar für einen Benutzer mit einer anderen UID als 0 und einer anderen Gruppe als »adm« oder »root« machen. Sie können dies sehr leicht auf Ihrem System überprüfen:

note: type: <example></example>
en:   #  find /var/log -type f -exec ls -l {} \; | cut -c 17-35 |sort -u
      (see to what users do files in /var/log belong)
      #  find /var/log -type f -exec ls -l {} \; | cut -c 26-34 |sort -u
      (see to what groups do files in /var/log belong)
      # find /var/log -perm +004
      (files which are readable by any user)
      #  find /var/log \! -group root \! -group adm -exec ls -ld {} \;
      (files which belong to groups not root or adm)
de:   #  find /var/log -type f -exec ls -l {} \; | cut -c 17-35 |sort -u
      (überprüfen, welchen Benutzern die Dateien unter /var/log gehören)
      #  find /var/log -type f -exec ls -l {} \; | cut -c 26-34 |sort -u
      (überprüfen, welchen Gruppen die Dateien unter /var/log gehören)
      # find /var/log -perm +004
      (Dateien, die von jedem Benutzer gelesen werden können)
      #  find /var/log \! -group root \! -group adm -exec ls -ld {} \;
      (Dateien, die nicht der Gruppe root oder adm gehören)

note: type: <p></p>
en: To customize how log files are created you will probably have to customize the program that generates them. If the log file gets rotated, however, you can customize the behavior of creation and rotation.
de: Um anzupassen, wie neue Protokolldateien erstellt werden, müssen Sie wahrscheinlich das Programm anpassen, das sie erstellt. Wenn die Protokolldateien ausgewechselt werden, können Sie das Verhalten der Erstellung und Auswechslung anpassen.

note: type: <heading></heading>
en: Adding kernel patches
de: Den Kernel patchen

note: type: <p><list>
en: Debian GNU/Linux provides some of the patches for the Linux kernel that enhance its security. These include:
de: Debian GNU/Linux stellt verschiedene Patches für den Linux-Kernel zur Verfügung, welche die Sicherheit erhöhen:

note: type: <p></p>
en: <url id="http://www.lids.org" name="Linux Intrusion Detection"> provided in the <package>kernel-patch-2.4-lids</package> package. This kernel patch makes the process of hardening your Linux system easier by allowing you to restrict, hide and protect processes, even from root. It implements mandatory access control capabilities.
de: Erkennung von Eindringlingen für Linux (<url id="http://www.lids.org" name="Linux Intrusion Detection">, enthalten im Paket <package>lids-2.2.19</package>). Dieser Kernelpatch erleichtert Ihnen, Ihr Linuxsystem abzuhärten, indem er Ihnen ermöglicht, Prozesse einzuschränken, zu verstecken und zu schützten, sogar vor Root. Er führt Fähigkeiten für eine zwingende Zugangskontrolle ein.

note: type: <p></p>
en: <url id="http://trustees.sourceforge.net/" name="Linux Trustees">, provided in package <package>trustees</package>. This patch adds a decent advanced permissions management system to your Linux kernel. Special objects (called trustees) are bound to every file or directory, and are stored in kernel memory, which allows fast lookup of all permissions.
de: <url id="http://trustees.sourceforge.net/" name="Linux Trustees"> (im Paket <package>trustees</package>). Dieser Patch fügt ein ordentliches, fortgeschrittenes Rechtemanagement Ihrem Linux-Kernel hinzu. Besondere Objekte, die »trustees« (Treuhänder) genannt werden, sind mit jeder Datei oder Verzeichnis verbunden. Sie werden im Speicher des Kernels abgelegt und erlauben so eine schnelle Abfrage aller Rechte.

note: type: <p></p>
en: NSA Enhanced Linux (in package <package>selinux</package>). Backports of the SElinux-enabled packages are available at <url id="http://selinux.alioth.debian.org/">. More information available at <url id="http://wiki.debian.org/SELinux" name="SElinux in Debian Wiki page">, at <url id="http://www.golden-gryphon.com/software/security/selinux.xhtml" name="Manoj Srivastava's"> and <url id="http://www.coker.com.au/selinux/" name="Russell Cookers's"> SElinux websites.
de: NSA Enhanced Linux (im Paket <package>selinux</package>. Backports von Paketen, die SELinux unterstützen, sind unter <url id="http://selinux.alioth.debian.org/"> erhältlich. Weiterführende Informationen können Sie auf der <url id="http://wiki.debian.org/SELinux" name="SELinux in Debian Wiki Seite"> und auf <url id="http://www.golden-gryphon.com/software/security/selinux.xhtml" name="Manoj Srivastavas"> und <url id="http://www.coker.com.au/selinux/" name="Russell Cookers'"> SELinux-Webseiten finden.

note: type: <p></p>
en: The <url id="http://people.redhat.com/mingo/exec-shield/" name="exec-shield patch"> provided in the <package>kernel-patch-exec-shield</package> package. This patch provides protection against some buffer overflows (stack smashing attacks).
de: Der <url id="http://people.redhat.com/mingo/exec-shield/" name="Exec-Shield-Patch"> aus dem Paket <package>kernel-patch-exec-shield</package>. Dieser Patch schützt vor einigen Pufferüberläufen (stack smashing attacks).

note: type: <p></p>
en: The <url id="http://www.grsecurity.net/" name="Grsecurity patch">, provided by the <package>kernel-patch-2.4-grsecurity</package> and <package>kernel-patch-grsecurity2</package> packages <footnote><p>Notice that this patch conflicts with patches already included in Debian's 2.4 kernel source package. You will need to use the stock vanilla kernel. You can do this with the following steps: <example># apt-get install kernel-source-2.4.22 kernel-patch-debian-2.4.22 # tar xjf /usr/src/kernel-source-2.4.22.tar.bz2 # cd kernel-source-2.4.22 # /usr/src/kernel-patches/all/2.4.22/unpatch/debian</example></p><p>For more information see <url id="http://bugs.debian.org/194225" name="#194225">, <url id="http://bugs.debian.org/199519" name="#199519">, <url id="http://bugs.debian.org/206458" name="#206458">, <url id="http://bugs.debian.org/203759" name="#203759">, <url id="http://bugs.debian.org/204424" name="#204424">, <url id="http://bugs.debian.org/210762" name="#210762">, <url id="http://bugs.debian.org/211213" name="#211213">, and the <url id="http://lists.debian.org/debian-devel/2003/debian-devel-200309/msg01133.html" name="discussion at debian-devel"></p></footnote> implements Mandatory Access Control through RBAC, provides buffer overflow protection through PaX, ACLs, network randomness (to make OS fingerprinting more difficult) and <url id="http://www.grsecurity.net/features.php" name="many more features">.
de: Der <url id="http://www.grsecurity.net/" name="Grsecurity-Patch"> aus den Paketen <package>kernel-patch-2.4-grsecurity</package> und <package>kernel-patch-grsecurity2</package> <footnote><p> Beachten Sie, dass ein Konflikt zwischen diesem Patch und den Patches besteht, die schon im Quellpaket des Kernels 2.4 von Debian enthalten sind. Sie werden den Vanilla-Kernel verwenden müssen. Dazu führen Sie folgende Schritte durch: <example># apt-get install kernel-source-2.4.22 kernel-patch-debian-2.4.22 # tar xjf /usr/src/kernel-source-2.4.22.tar.bz2 # cd kernel-source-2.4.22 # /usr/src/kernel-patches/all/2.4.22/unpatch/debian </example> <p>Für weitere Informationen siehe <url id="http://bugs.debian.org/194225" name="#194225">, <url id="http://bugs.debian.org/199519" name="#199519">, <url id="http://bugs.debian.org/206458" name="#206458">, <url id="http://bugs.debian.org/203759" name="#203759">, <url id="http://bugs.debian.org/204424" name="#204424">, <url id="http://bugs.debian.org/210762" name="#210762">, <url id="http://bugs.debian.org/211213" name="#211213"> und die <url id="http://lists.debian.org/debian-devel/2003/debian-devel-200309/msg01133.html" name="Diskussion auf debian-devel">. </p></footnote> verwirklicht Mandatory Access Control durch RBAC und stellt Schutz vor Pufferüberläufen durch PaX, ACLs, Zufälligkeit im Netzwerk (um die Erkennung von Spuren des OS zu erschweren) und <url id="http://www.grsecurity.net/features.php" name="noch viele Features mehr"> zur Verfügung.

note: type: <p></p>
en: The <package>kernel-patch-adamantix</package> provides the patches developed for <url id="http://www.adamantix.org/" name="Adamantix">, a Debian-based distribution. This kernel patch for the 2.4.x kernel releases introduces some security features such as a non-executable stack through the use of <url id="http://pageexec.virtualave.net/" name="PaX"> and mandatory access control based on <url id="http://www.rsbac.org/" name="RSBAC">. Other features include: <url id="http://www.vanheusden.com/Linux/sp/" name="the Random PID patch">, AES encrypted loop device, MPPE support and an IPSEC v2.6 backport.
de: <package>kernel-patch-adamantix</package> bietet die Patches an, die für die Debian-Distribution <url id="http://www.adamantix.org/" name="Adamantix"> entwickelt wurden. Dieser Patch für den Kernel 2.4.x führt einige Sicherheitsfähigkeiten wie nichtausführbaren Speicher durch den Einsatz von <url id="http://pageexec.virtualave.net/" name="PaX"> und Mandatory Access Control auf Grundlage von <url id="http://www.rsbac.org/" name="RSBAC" > ein. Andere Features sind <url name="der Random-PID-Patch" id="http://www.vanheusden.com/Linux/sp/">, ein mit AES verschlüsseltes Loop-Gerät, Unterstützung von MPPE und eine Zurückportierung von IPSEC v2.6.

note: type: <p></p>
en: <package>cryptoloop-source</package>. This patches allows you to use the functions of the kernel crypto API to create encrypted filesystems using the loopback device.
de: <package>cryptoloop-source</package>: Dieser Patch erlaubt Ihnen, die Fähigkeiten der Crypto-API des Kernels zu verwenden, um verschlüsselte Dateisysteme mit dem Loopback-Gerät zu erstellen.

note: type: <p></p>
en: IPSEC kernel support (in package <package>linux-patch-openswan</package>). If you want to use the IPsec protocol with Linux, you need this patch. You can create VPNs with this quite easily, even to Windows machines, as IPsec is a common standard. IPsec capabilities have been added to the 2.5 development kernel, so this feature will be present by default in the future Linux Kernel 2.6. Homepage: <url id="http://www.openswan.org">. <em>FIXME</em>: The latest 2.4 kernels provided in Debian include a backport of the IPSEC code from 2.5. Comment on this.
de: Kernel-Unterstützung von IPSEC (im Paket <package>kernel-patch-openswan</package>). Wenn Sie das IPsec-Protokoll mit Linux verwenden wollen, benötigen Sie diesen Patch. Damit können Sie ziemlich leicht VPNs erstellen, sogar mit Windows-Rechnern, da IPsec ein verbreiteter Standard ist. IPsec-Fähigkeiten wurden in den Entwicklungskernel 2.5 eingefügt, so dass dieses Feature standardmäßig im zukünftigen Kernel 2.6 enthalten sein wird. Homepage: <url id="http://www.openswan.org">. <em>FIXME</em>: Der neuste Kernel 2.4 in Debian enthält eine Rückeinbindung des IPSEC-Codes aus 2.5. Kommentar dazu.

note: type: <p><list>
en: The following security kernel patches are only available for old kernel versions in woody and are deprecated:
de: Die folgenden Sicherheitspatches für den Kernel sind nur noch für alte Kernelversionen in Woody verfügbar und werden nicht mehr weiterentwickelt:

note: type: <p></p>
en: <url id="http://acl.bestbits.at/" name="POSIX Access Control Lists"> (ACLs) for Linux provided in the package <package>kernel-patch-acl</package>. This kernel patch adds access control lists, an advanced method for restricting access to files. It allows you to control fine-grain access to files and directory.
de: <url id="http://acl.bestbits.at/" name="POSIX Access Control Lists"> (ACLs, Listen zur Zugangskontrolle) für Linux im Paket <package>kernel-patch-acl</package>. Dieser Kernelpatch stellt Listen zur Zugangskontrolle zur Verfügung. Das ist eine fortgeschrittene Methode, um den Zugang zu Dateien einzuschränken. Es ermöglicht Ihnen, den Zugang zu Dateien und Verzeichnisses fein abzustimmen.

note: type: <p></p>
en: The <url id="http://www.openwall.com/linux/" name="Openwall"> linux kernel patch by Solar Designer, provided in the <package>kernel-patch-2.2.18-openwall</package> package. This is a useful set of kernel restrictions, like restricted links, FIFOs in <file>/tmp</file>, a restricted <file>/proc</file> file system, special file descriptor handling, non-executable user stack area and other features. Note: This package applies to the 2.2 release, no packages are available for the 2.4 release patches provided by Solar.
de: Der Patch für den Linux-Kernel <url name="Openwall" id="http://www.openwall.com/linux/"> von Solar Designer, der im Paket <package>kernel-patch-2.2.18-openwall</package> enthalten ist. Er enthält eine nützliche Anzahl von Beschränkungen des Kernels wie eingeschränkte Verweise, FIFOs in <file>/tmp</file>, ein begrenztes <file>/proc</file>-Dateisystem, besondere Handhabung von Dateideskriptoren, einen nichtausführbaren Bereich des Stapelspeichers des Benutzers und andere Fähigkeiten. Hinweis: Dieser Patch ist nur auf die Kernelversion 2.2 anwendbar, für 2.4 werden von Solar keine Pakete angeboten.

note: type: <p></p>
en: <package>kernel-patch-int</package>. This patch also adds cryptographic capabilities to the Linux kernel, and was useful with Debian releases up to Potato. It doesn't work with Woody, and if you are using Sarge or a newer version, you should use a more recent kernel which includes these features already.
de: <package>kernel-patch-int</package>. Auch dieser Patch fügt kryptografische Fähigkeiten zum Linux-Kernel hinzu. Er war bis zu den Debian-Releases bis Potato nützlich. Er funktioniert nicht mehr mit Woody. Falls Sie Sarge oder eine neuere Version verwenden, sollten Sie einen aktuelleren Kernel einsetzen, in dem diese Features bereits enthalten sind.

note: type: <p></p>
en: However, some patches have not been provided in Debian yet. If you feel that some of these should be included please ask for it at the <url id="http://www.debian.org/devel/wnpp/" name="Work Needing and Prospective Packages">.
de: Wie auch immer, einige Patches werden von Debian noch nicht zur Verfügung gestellt. Wenn Sie denken, dass manche von ihnen hinzugefügt werden sollten, fragen Sie danach auf <url name="Arbeit-bedürfende und voraussichtliche Pakete" id="http://www.de.debian.org/devel/wnpp/">.

note: type: <heading></heading>
en: Protecting against buffer overflows
de: Schutz vor Pufferüberläufen

note: type: <p></p>
en: <em>Buffer overflow</em> is the name of a common attack to software <footnote><p>So common, in fact, that they have been the basis of 20% of the reported security vulnerabilities every year, as determined by <url id="http://icat.nist.gov/icat.cfm?function=statistics" name="statistics from ICAT's vulnerability database"></p></footnote> which makes use of insufficient boundary checking (a programming error, most commonly in the C language) in order to execute machine code through program inputs. These attacks, against server software which listen to connections remotely and against local software which grant higher privileges to users (<tt>setuid</tt> or <tt>setgid</tt>) can result in the compromise of any given system.
de: <em>Pufferüberlauf</em> (buffer overflow) wird eine verbreitete Art von Angriffen auf Software <footnote><p> Sie sind in der Tat so verbreitet, dass sie die Grundlage für 20% aller gemeldeten Sicherheitsmängel pro Jahr darstellen, wie von <url id="http://icat.nist.gov/icat.cfm?function=statistics" name="statistics from ICAT's vulnerability database"> herausgefunden wurde. </p></footnote> genannt, welche die unzureichende Überprüfung von Eingabegrenzen ausnutzen (ein Programmierfehler, der häufig bei der Programmiersprache C auftritt), um durch Programmeingaben Befehle auf der Maschine auszuführen. Diese Attacken über Server, die auf Verbindungen warten, oder über lokal installierte Software, die einem Benutzer größere Privilegien gewährt (<tt>setuid</tt> oder <tt>setgid</tt>) kann zu einem kompromittierten System führen.

note: type: <p><list>
en: There are mainly four methods to protect against buffer overflows:
de: Es gibt hauptsächlich vier Methoden, um sich gegen Pufferüberläufe zu schützen:

note: type: <p></p>
en: patch the kernel to prevent stack execution. You can use either: Exec-shield, OpenWall or PaX (included in the Grsecurity and Adamantix patches).
de: Patchen Sie den Kernel, um das Ausführen des Stapelspeichers zu verhindern. Sie können entweder Exec-Shield, OpenWall oder PaX (ist in den Grsecurity- und Adamantixpatches enthalten) verwenden.

note: type: <p></p>
en: fix the source code by using tools to find fragments of it that might introduce this vulnerability.
de: Verbessern Sie den Quellcode, indem Sie Werkzeuge einsetzen, die Teile finden, die zu dieser Verwundbarkeit führen könnten.

note: type: <p></p>
en: recompile the source code to introduce proper checks that prevent overflows, using the <url id="http://www.research.ibm.com/trl/projects/security/ssp/" name="Stack Smashing Protector (SSP)"> patch for GCC (which is used by <url id="http://www.adamantix.org" name="Adamantix">)
de: Übersetzen Sie den Quellcode neu, um vernünftige Prüfungen einzuführen, um Überläufe zu verhindern. Benutzen Sie dazu den <url id="http://www.research.ibm.com/trl/projects/security/ssp/" name="Stack Smashing Protector (SSP)"> Patch für GCC (der von <url id="http://www.adamantix.org" name="Adamantix"> verwendet wird).

note: type: <p></p>
en: Debian GNU/Linux, as of the 3.0 release, provides software to introduce all of these methods except for the protection on source code compilation (but this has been requested in <url id="http://bugs.debian.org/213994" name="Bug #213994">).
de: Debian GNU/Linux liefert bis einschließlich der Veröffentlichung 3.0 Software, um alle diese Methoden bis auf den Schutz bei der Übersetzung des Quellcodes (das wurde aber schon in <url id="http://bugs.debian.org/213994" name="Fehler #213994"> nachgefragt) zu implementieren.

note: type: <p></p>
en: Notice that even if Debian provided a compiler which featured stack/buffer overflow protection all packages would need to be recompiled in order to introduce this feature. This is, in fact, what the Adamantix distribution does (among other features). The effect of this new feature on the stability of software is yet to be determined (some programs or some processor architectures might break due to it).
de: Beachten Sie, dass selbst wenn Debian einen Compiler zur Verfügung stellen würde, der Schutz vor Stapel- und Pufferüberläufen bieten würde, so doch alle Pakete neu übersetzt werden müssten, um diese Eigenschaft einzuführen. Tatsächlich ist das die Aufgabe der Distribution Adamantix (unter anderen Fähigkeiten). Die Auswirkungen dieses neuen Features auf die Stabilität der Software muss aber noch ermittelt werden (einige Programme und einige Prozessoren werden vielleicht deswegen nicht mehr funktionieren).

note: type: <p></p>
en: In any case, be aware that even these workarounds might not prevent buffer overflows since there are ways to circumvent these, as described in phrack's magazine <url id="http://packetstorm.linuxsecurity.com/mag/phrack/phrack58.tar.gz" name="issue 58"> or in CORE's Advisory <url id="http://online.securityfocus.com/archive/1/269246" name="Multiple vulnerabilities in stack smashing protection technologies">.
de: Seien Sie auf jeden Fall gewarnt, dass selbst diese Umgehungen des Problems nicht vor Pufferüberläufen schützen können, da es Möglichkeiten gibt, diese zu überlisten, wie in <url name="Ausgabe 58" id="http://packetstorm.linuxsecurity.com/mag/phrack/phrack58.tar.gz"> des phrack-Magazins oder in COREs Advisory <url id="http://online.securityfocus.com/archive/1/269246" name="Multiple vulnerabilities in stack smashing protection technologies"> beschrieben.

note: type: <p></p>
en: If you want to test out your buffer overflow protection once you have implemented it (regardless of the method) you might want to install the <package>paxtest</package> and run the tests it provides.
de: Wenn Sie Ihren Schutz gegen Pufferüberläufe (unabhängig von der gewählten Methode) testen wollen, können Sie <package>paxtest</package> installieren und die angebotenen Tests laufen lassen.

note: type: <heading></heading>
en: Kernel patch protection for buffer overflows
de: Kernelpatch zum Schutz vor Pufferüberläufen

note: type: <p></p>
en: Kernel patches related to buffer overflows include the Openwall patch provides protection against buffer overflows in 2.2 linux kernels. For 2.4 or newer kernels, you need to use the Exec-shield implementation, or the PaX implementation (provided in the grsecurity patch, <package>kernel-patch-2.4-grsecurity</package>, and in the Adamantix patch, <package>kernel-patch-adamantix</package>). For more information on using these patches read the the section <ref id="kernel-patches">.
de: Ein Kernelpatch, der Schutz vor Pufferüberläufen bietet, ist der Openwall-Patch, der diese im Linux-Kernel 2.2 verhindern soll. Für 2.4 oder neuere Kernel müssen Sie die Umsetzung von Exec-Shield oder die von PaX (ist im Grsecurity-Patch <package>kernel-patch-2.4-grsecurity</package> und im Adamantix-Patch <package>kernel-patch-adamantix</package> enthalten) benutzen. Für weitere Informationen zum Einsatz dieser Patches lesen Sie <ref id="kernel-patches">.

note: type: <heading></heading>
en: Testing programs for overflows
de: Prüfprogramme für Pufferüberläufe

note: type: <p></p>
en: The use of tools to detect buffer overflows requires, in any case, of programming experience in order to fix (and recompile) the code. Debian provides, for example: <package>bfbtester</package> (a buffer overflow tester that brute-forces binaries through command line and environment overflows). Other packages of interest would also be <package>rats</package>, <package>pscan</package>, <package>flawfinder</package> and <package>splint</package>.
de: Zur Nutzung von Werkzeugen zum Aufspüren von Pufferüberläufen benötigen Sie in jedem Fall Programmiererfahrung, um den Quellcode zu reparieren (und neu zu kompilieren). Debian stellt beispielsweise <package>bfbtester</package> (einen Überlauftester, der Programme per Brute-Force (durch Testen aller Möglichkeiten) nach Überläufen der Kommandozeile und von Umgebungsvariablen durchtestet) <!-- FIXME: Where is it? und <package>njamd</package> --> bereit. Andere interessante Pakete sind auch <package>rats</package>, <package>pscan</package>, <package>flawfinder</package> und <package>splint</package>.

note: type: <heading></heading>
en: Secure file transfers
de: Sichere Übertragung von Dateien

note: type: <p></p>
en: During normal system administration one usually needs to transfer files in and out from the installed system. Copying files in a secure manner from a host to another can be achieved by using the <package>ssh</package> server package. Another possibility is the use of <package>ftpd-ssl</package>, a ftp server which uses the <em>Secure Socket Layer</em> to encrypt the transmissions.
de: Während der normalen Systemadministration müssen Sie immer mal wieder Dateien auf Ihr System spielen oder von diesem holen. Auf sichere Art und Weise Dateien von einem Host zu einem anderen zu kopieren, wird durch die Benutzung des Paketes <package>ssh</package> erreicht. Eine andere Möglichkeit ist die Nutzung von <package>ftpd-ssl</package>, einem ftp-Server der <em>Secure Socket Layer</em> benutzt, um Übertragungen zu verschlüsseln.

note: type: <p></p>
en: Any of these methods need special clients. Debian does provide client software, such as <prgn>scp</prgn> from the <package>ssh</package> package, which works like <prgn>rcp</prgn> but is encrypted completely, so the <em>bad guys</em> cannot even find out WHAT you copy. There is also a <package>ftp-ssl</package> package for the equivalent server. You can find clients for these software even for other operating systems (non-UNIX), <prgn>putty</prgn> and <prgn>winscp</prgn> provide secure copy implementations for any version of Microsoft's operating system.
de: Jede dieser Methoden benötigt natürlich einen speziellen Client. Debian stellt Ihnen solche zur Verfügung, zum Beispiel enthält das Paket <package>ssh</package> das Programm <prgn>scp</prgn>. Es arbeitet wie <prgn>rcp</prgn>, aber ist komplett verschlüsselt, so dass die <em>bösen Jungs</em> noch nicht einmal herausbekommen können, WAS Sie kopieren. Passend zu dem Server gibt es auch ein <package>ftp-ssl</package> Client-Paket. Sie können Clients für diese Software sogar für andere (nicht-UNIXoide) Betriebssysteme finden. <prgn>putty</prgn> und <prgn>winscp</prgn> stellen eine secure-copy-Implementierung für jede Version von Microsoft-Betriebssystemen zur Verfügung.

note: type: <p></p>
en: Note that using <prgn>scp</prgn> provides access to the users to all the file system unless <prgn>chroot</prgn>'ed as described in <ref id="ssh-chroot">. FTP access can be <prgn>chroot</prgn>'ed, probably easier depending on you chosen daemon, as described in <ref id="ftp-secure">. If you are worried about users browsing your local files and want to have encrypted communication you can either use an ftp daemon with SSL support or combine clear-text ftp and a VPN setup (see <ref id="vpn">).
de: Beachten Sie, dass die Verwendung von <prgn>scp</prgn> den Benutzern Zugang zum gesamten Dateisystem ermöglicht, es sei denn, dass es in eine <prgn>chroot</prgn>-Umgebung eingesperrt ist, wie es in <ref id="ssh-chroot"> beschrieben wird. Wahrscheinlich sogar leichter (abhängig vom verwendeten Daemon) kann auch der FTP in eine <prgn>chroot</prgn>-Umgebung eingesperrt werden. Das wird in <ref id="ftp-secure"> beschrieben. Falls Sie sich sorgen, dass Benutzer Ihre lokalen Dateien durchsehen, und Sie verschlüsselte Kommunikation wünschen, können Sie einen FTP-Daemon mit Unterstützung für SSL einrichten oder FTP mit Klartext und VPN verbinden (siehe <ref id="vpn">.

note: type: <heading></heading>
en: File system limits and control
de: Einschränkung und Kontrolle des Dateisystems

note: type: <heading></heading>
en: Using quotas
de: Benutzung von Quotas

note: type: <p></p>
en: Having a good quota policy is important, as it keeps users from filling up the hard disk(s).
de: Es ist wichtig, eine gute Quota-Regelung zu haben, da es die Benutzer daran hindert, die Festplatten zu füllen.

note: type: <p></p>
en: You can use two different quota systems: user quota and group quota. As you probably figured out, user quota limits the amount of space a user can take up, group quota does the equivalent for groups. Keep this in mind when you're working out quota sizes.
de: Sie können zwei Arten von Quota-Systemen benutzen: Benutzer-Quota und Gruppen-Quota. Wie Sie sich sicher denken können, begrenzt ein User-Quota den Plattenplatz, den ein Benutzer belegen kann, und ein Gruppen-Quota macht dasselbe für Gruppen. Beachten Sie dies, wenn Sie die Größe der Quotas festlegen.

note: type: <p><list>
en: There are a few important points to think about in setting up a quota system:
de: Es gibt ein paar wichtige Punkte, die Sie erwägen sollten, wenn Sie ein Quota-System aufsetzen:

note: type: <p></p>
en: Keep the quotas small enough, so users do not eat up your disk space.
de: Halten Sie die Quotas klein genug, so dass die Benutzer Ihren Festplattenplatz nicht aufzehren können.

note: type: <p></p>
en: Keep the quotas big enough, so users do not complain or their mail quota keeps them from accepting mail over a longer period.
de: Halten Sie die Quotas groß genug, so dass Benutzer sich nicht beschweren oder dass Ihr Mail-Quota Sie daran hindert, nach einer Weile Mails anzunehmen.

note: type: <p></p>
en: Use quotas on all user-writable areas, on <file>/home</file> as well as on <file>/tmp</file>.
de: Nutzen Sie Quotas auf allen Bereichen, die Benutzer beschreiben können, auf <file>/home</file> ebenso wie auf <file>/tmp</file>.

note: type: <p></p>
en: Every partition or directory to which users have full write access should be quota enabled. Calculate and assign a workable quota size for those partitions and directories which combines usability and security.
de: Für jede Partition und jedes Verzeichnis, auf das Benutzer Schreibzugriff haben, sollte ein Quota eingerichtet werden. Berechnen Sie eine sinnvolle Quota-Größe, die Benutzerfreundlichkeit und Sicherheit kombiniert, und weisen Sie diese zu.

note: type: <p></p>
en: So, now you want to use quotas. First of all you need to check whether you enabled quota support in your kernel. If not, you will need to recompile it. After this, control whether the package <package>quota</package> is installed. If not you will need this one as well.
de: Sie wollen also Quotas benutzen. Zuerst müssen Sie prüfen, ob Ihr Kernel Quota unterstützt. Wenn nicht, müssen Sie ihn neu kompilieren. Prüfen Sie anschließend, ob das Paket <package>quota</package> installiert ist. Wenn nicht, installieren Sie es.

note: type: <p></p>
en: Enabling quota for the respective file systems is as easy as modifying the <tt>defaults</tt> setting to <tt>defaults,usrquota</tt> in your <file>/etc/fstab</file> file. If you need group quota, substitute <tt>usrquota</tt> to <tt>grpquota</tt>. You can also use them both. Then create empty quota.user and quota.group files in the roots of the file systems you want to use quotas on (e.g. <tt>touch /home/quota.user /home/quota.group</tt> for a <file>/home</file> file system).
de: Um Quota für die entsprechenden Dateisysteme einzuschalten, müssen Sie nur die Einstellung <tt>defaults</tt> in Ihrer <file>/etc/fstab</file> zu <tt>defaults,usrquota</tt> ändern. Wenn Sie Gruppen-Quotas benötigen, ersetzen Sie <tt>usrquota</tt> durch <tt>grpquota</tt>. Sie können auch beides verwenden. Erstellen Sie dann leere <file>quota.user</file> und <file>quota.group</file> in den Hauptverzeichnissen der Dateisysteme, auf denen Sie Quotas einführen möchten (d.h. <tt>touch /home/quota.user /home/quota.group</tt> für das Dateisystem <file>/home</file>).

note: type: <p></p>
en: Restart <prgn>quota</prgn> by doing <tt>/etc/init.d/quota stop;/etc/init.d/quota start</tt>. Now quota should be running, and quota sizes can be set.
de: Starten Sie <prgn>quota</prgn> neu, indem Sie <tt>/etc/init.d/quota stop;/etc/init.d/quota start</tt> ausführen. Nun sollte quota laufen und die Größen können festgelegt werden.

note: type: <p></p>
en: Editing quotas for a specific user can be done by <tt>edquota -u &lt;user&gt;</tt>. Group quotas can be modified with <tt>edquota -g &lt;group&gt;</tt>. Then set the soft and hard quota and/or inode quotas as needed.
de: Bearbeiten der Quotas eines bestimmten Benutzer wird mit <tt>edquota -u &lt;user&gt;</tt> gemacht. Gruppen-Quotas können mit <tt>edquota -g &lt;group&gt;</tt> geändert werden. Setzen Sie dann die weiche und die harte Grenze und inode-Quotas, falls Sie es benötigen.

note: type: <p></p>
en: For more information about quotas, read the quota man page, and the quota mini-howto (<file>/usr/share/doc/HOWTO/en-html/mini/Quota.html</file>). You may also want to look at <file>pam_limits.so</file>.
de: Mehr Informationen über Quotas finden Sie im Handbuch von quot und im Mini-Howto von quota (<file>/usr/share/doc/HOWTO/de-html/mini/DE-Quota-HOWTO.html</file>). Sie sollten auch einen Blick auf <file>pam_limits.so</file> werfen.

note: type: <heading></heading>
en: The ext2 filesystem specific attributes (chattr/lsattr)
de: Die für das ext2-Dateisystem spezifischen Attribute (chattr/lsattr)

note: type: <p></p>
en: In addition to the usual Unix permissions, the ext2 and ext3 filesystems offer a set of specific attributes that give you more control over the files on your system. Unlike the basic permissions, these attributes are not displayed by the usual <prgn>ls -l</prgn> command or changed using <prgn>chmod</prgn>, and you need two other utilities, <prgn>lsattr</prgn> and <prgn>chattr</prgn> (in package <package>e2fsprogs</package>) to manage them. Note that this means that these attributes will usually not be saved when you backup your system, so if you change any of them, it may be worth saving the successive <prgn>chattr</prgn> commands in a script so that you can set them again later if you have to restore a backup.
de: Zusätzlich zu den normalen Unix-Rechten bieten die ext2- und ext3-Dateisysteme eine Anzahl von besonderen Attributen, die Ihnen mehr Kontrolle über die Dateien auf Ihrem System erlauben. Im Gegensatz zu den gewöhnlichen Rechten werden diese Attribute nicht vom gebräuchlichen Befehl <prgn>ls -l</prgn> angezeigt und können auch nicht mit <prgn>chmod</prgn> geändert werden. Um sie zu verwalten, brauchen Sie zwei weitere Programme, nämlich <prgn>lsattr</prgn> und <prgn>chattr</prgn> (im Paket <package>e2fsprogs</package>). Beachten Sie, dass das bedeutet, dass diese Attribute normalerweise bei einem Backup des Systems nicht gespeichert werden. Wenn Sie also eines verändern, könnte es sich lohnen, die aufeinander folgenden <prgn>chattr</prgn>-Befehle in einem Skript zu speichern, damit Sie sie später wieder zuweisen können, falls Sie ein Backup zurückspielen müssen.

note: type: <p><list>
en: Among all available attributes, the two that are most important for increasing security are referenced by the letters 'i' and 'a', and they can only be set (or removed) by the superuser:
de: Unter allen Attributen werden die zwei, die für die Erhöhung der Sicherheit am bedeutendsten sind, mit den Buchstaben »i« und »a« bezeichnet. Sie können nur vom Superuser vergeben (oder entfernt) werden:

note: type: <p></p>
en: The 'i' attribute ('immutable'): a file with this attribute can neither be modified nor deleted or renamed and no link can be created to it, even by the superuser.
de: Das Attribut »i« (»immutable«, unveränderlich): Eine Datei mit diesem Attribut kann weder verändert noch gelöscht oder umbenannt werden, nicht einmal vom Superuser. Auch ein Link auf sie kann nicht angelegt werden.

note: type: <p></p>
en: The 'a' attribute ('append'): this attribute has the same effect that the immutable attribute, except that you can still open the file in append mode. This means that you can still add more content to it but it is impossible to modify previous content. This attribute is especially useful for the log files stored in <file>/var/log/</file>, though you should consider that they get moved sometimes due to the log rotation scripts.
de: Das Attribut »a« (»append«, anfügen): Dieses Attribut hat den gleichen Effekt wie das Attribut immutable, allerdings mit der Ausnahme, dass Sie immer noch die Datei im Anfügen-Modus öffnen können. Das bedeutet, dass Sie ihr immer noch Inhalt hinzufügen, aber den vorhanden Inhalt nicht verändern können. Dieses Attribut ist besonders für die Protokolldateien nützlich, die unter <file>/var/log/</file> gespeichert werden. Beachten Sie aber, dass sie durch Log-Rotations-Skripte manchmal verschoben werden.

note: type: <p></p>
en: These attributes can also be set for directories, in which case everyone is denied the right to modify the contents of a directory list (e.g. rename or remove a file, ...). When applied to a directory, the append attribute only allows file creation.
de: Diese Attribute können auch für Verzeichnisse vergeben werden. In diesem Fall ist es jedem unmöglich, den Inhalt des Verzeichnisses zu verändern, also beispielsweise eine Datei umzubenennen oder zu löschen. Wenn das append-Attribut einem Verzeichnis zugewiesen wird, können nur noch Dateien erstellt werden.

note: type: <p></p>
en: It is easy to see how the 'a' attribute improves security, by giving to programs that are not running as the superuser the ability to add data to a file without modifying its previous content. On the other hand, the 'i' attribute seems less interesting: after all, the superuser can already use the basic Unix permissions to restrict access to a file, and an intruder that would get access to the superuser account could always use the <prgn>chattr</prgn> program to remove the attribute. Such an intruder may first be confused when he sees that he is not able to remove a file, but you should not assume that he is blind - after all, he got into your system! Some manuals (including a previous version of this document) suggest to simply remove the <prgn>chattr</prgn> and <prgn>lsattr</prgn> programs from the system to increase security, but this kind of strategy, also known as "security by obscurity", is to be absolutely avoided, since it provides a false sense of security.
de: Es ist leicht einzusehen, wie das Attribut »a« die Sicherheit verbessert, indem es Programmen, die nicht vom Superuser ausgeführt werden, die Fähigkeit einräumt, Daten hinzuzufügen, aber verhindert, dass älterer Inhalt verändert wird. Dem gegenüber erscheint das Attribut »i« uninteressanter. Schließlich kann der Superuser ja schon die normalen Unix-Rechte verwenden, um den Zugang zu Dateien einzuschränken. Und ein Angreifer, der Zugang zum Konto des Superusers hat, kann immer das Programm <prgn>chattr</prgn> benutzen, um die Attribute zu entfernen. Ein solcher Eindringlich ist vielleicht zunächst verwirrt, wenn er feststellt, dass er eine Datei nicht löschen kann. Aber Sie sollten nicht davon ausgehen, dass er blind ist &ndash; immerhin hat er es geschafft, in Ihr System einzudringen! Einige Handbücher (einschließlich früherer Versionen dieses Dokuments) empfehlen, einfach die Programme <prgn>chattr</prgn> und <prgn>lsattr</prgn> vom System zu entfernen, um die Sicherheit zu erhöhen. Aber diese Strategie, die auch als »security by obscurity« (Sicherheit durch Verschleierung) bekannt ist, sollte unter allen Umständen vermieden werden, da sie ein falsches Gefühl von Sicherheit vermittelt.

note: type: <p><enumlist numeration="arabic">
en: A secure way to solve this problem is to use the capabilities of the Linux kernel, as described in <ref id="proactive">. The capability of interest here is called <tt>CAP_LINUX_IMMUTABLE</tt>: if you remove it from the capabilities bounding set (using for example the command <tt>lcap CAP_LINUX_IMMUTABLE</tt>) it won't be possible to change any 'a' or 'i' attribute on your system anymore, even by the superuser ! A complete strategy could be as follows:
de: Dieses Problem lösen Sie auf sichere Art und Weise, indem Sie die Fähigkeiten des Linux-Kernel verwenden, wie es in <ref id="proactive"> beschrieben wird. Die hier interessante Fähigkeit heißt <tt>CAP_LINUX_IMMUTABLE</tt>: Wenn Sie es vom Satz der Fähigkeiten entfernen (indem Sie zum Beispiel den Befehl <tt>lcap CAP_LINUX_IMMUTABLE</tt> verwenden, ist es nicht mehr möglich, irgendwelche »a« oder »i« Attribute auf Ihrem System zu verändern, auch nicht durch den Superuser! Ein umfassende Strategie könnte also folgendermaßen aussehen:

note: type: <p></p>
en: Set the attributes 'a' and 'i' on any file you want;
de: Vergeben Sie die Attribute »a« und »i« an von Ihnen gewünschte Dateien.

note: type: <p></p>
en: Add the command <tt>lcap CAP_LINUX_IMMUTABLE</tt> (as well as <tt>lcap CAP_SYS_MODULE</tt>, as suggested in <ref id="proactive">) to one of the startup scripts;
de: Fügen Sie den Befehl <tt>lcap CAP_LINUX_IMMUTABLE</tt> einem der Skripten, die den Start des Systems steuern (startup scripts), hinzu.

note: type: <p></p>
en: Set the 'i' attribute on this script and other startup files, as well as on the <prgn>lcap</prgn> binary itself;
de: Setzen Sie das Attribut »i« für dieses Skript, andere Startdateien und auch das Programm <prgn>lcap</prgn> selbst.

note: type: <p></p>
en: Execute the above command manually (or reboot your system to make sure everything works as planned).
de: Führen Sie den oben genannten Befehl per Hand aus (oder starten Sie Ihr System neu, um sicherzustellen, dass alles wie gewünscht funktioniert).

note: type: <p></p>
en: Now that the capability has been removed from the system, an intruder cannot change any attribute on the protected files, and thus cannot change or remove the files. If he forces the machine to reboot (which is the only way to restore the capabilities bounding set), it will easily be detected, and the capability will be removed again as soon as the system restarts anyway. The only way to change a protected file would be to boot the system in single-user mode or using another bootdisk, two operations that require physical access to the machine !
de: Da nun die Fähigkeit von dem System entfernt wurde, kann ein Eindringling keine Attribute der geschützten Dateien ändern und daher diese nicht verändern oder löschen. Wenn er einen Neustart der Maschine erzwingt (was der einzige Weg ist, die Fähigkeiten wieder herzustellen), wird dies leicht zu bemerken sein. Außerdem werden die Fähigkeiten bei einem Neustart sofort wieder entfernt werden. Die einzige Möglichkeit, eine geschützte Datei zu ändern, ist, das System im Single-User-Modus zu starten oder ein anderes Bootmedium zu verwenden. Beides erfordert physischen Zugang zur Maschine!

note: type: <heading></heading>
en: Checking file system integrity
de: Prüfung der Integrität des Dateisystems

note: type: <p></p>
en: Are you sure <file>/bin/login</file> on your hard drive is still the binary you installed there some months ago? What if it is a hacked version, which stores the entered password in a hidden file or mails it in clear-text version all over the Internet?
de: Sind Sie sich sicher, dass <file>/bin/login</file> auf Ihrer Festplatte immer noch dasselbe Programm ist, das Sie vor ein paar Monaten installiert haben? Was wäre, wenn es sich um eine gehackte Version handelt, die eingegebene Passwörter in einer versteckten Datei ablegt oder sie als Klartext im ganzen Internet herummailt?

note: type: <p></p>
en: The only method to have some kind of protection is to check your files every hour/day/month (I prefer daily) by comparing the actual and the old md5sum of this file. Two files cannot have the same md5sum (the MD5 digest is 128 bits, so the chance that two different files will have the same md5sum is roughly one in 3.4e3803), so you're on the safe site here, unless someone has also hacked the algorithm that creates md5sums on that machine. This is, well, extremely difficult and very unlikely. You really should consider this auditing of your binaries as very important, since it is an easy way to recognize changes at your binaries.
de: Die einzige Methode, um einen gewissen Schutz dafür zu haben, ist es, die Dateien jede(n) Stunde/Tag/Monat (ich ziehe täglich vor) zu prüfen, indem man deren aktuelle und alte MD5-Summe vergleicht. Zwei unterschiedliche Dateien können keine gleichen MD5-Summen haben (die MD5-Summe umfasst 128 Bits, so ist die Wahrscheinlichkeit, dass zwei unterschiedliche Dateien eine gleiche MD5-Summe haben etwa 1 zu 3,4e3803). So sind Sie sicher, solange niemand den Algorithmus gehackt hat, der die MD5-Summen auf Ihrer Maschine erstellt. Dies ist, nun ja, extrem schwer und sehr unwahrscheinlich. Sie sollten diese Überprüfung Ihrer Programme als sehr wichtig ansehen.

note: type: <p></p>
en: Common tools used for this are <package>sxid</package>, <package>aide</package> (Advanced Intrusion Detection Environment), <package>tripwire</package>, <package>integrit</package> and <package>samhain</package>. Installing <prgn>debsums</prgn> will also help you to check the file system integrity, by comparing the md5sums of every file against the md5sums used in the Debian package archive. But beware: those files can easily be changed by an attacker and not all packages provide md5sums listings for the binaries they provided. For more information please read <ref id="periodic-integrity"> and <ref id="snapshot">.
de: Weit verbreitete Werkzeuge hierfür sind <package>sxid</package>, <package>aide</package> (Advanced Intrusion Detection Environment, fortgeschrittene Umgebung zur Erkennung von Eindringlingen), <package>tripwire</package>, <package>integrit</package> und <package>samhain</package>. Das Installieren von <prgn>debsums</prgn> wird Ihnen helfen, die Integrität des Dateisystems zu überprüfen, indem Sie die MD5-Summen jeder Datei gegen die MD5-Summe aus dem Debian-Archiv-Paket vergleichen. Seien Sie aber gewarnt, dass diese Dateien sehr leicht von einem Angreifer geändert werden können. Außerdem stellen nicht alle Pakete MD5-Summen für die in ihnen enthaltenen Programme zur Verfügung. Weitere Informationen finden Sie unter <ref id="periodic-integrity"> und <ref id="snapshot">.

note: type: <p></p>
en: You might want to use <prgn>locate</prgn> to index the whole filesystem, if so, consider the implications of that. The Debian <package>findutils</package> package contains <prgn>locate</prgn> which runs as user nobody, and so it only indexes files which are visible to everybody. However, if you change it's behaviour you will make all file locations visible to all users. If you want to index all the filesystem (not the bits that the user nobody can see) you can replace <prgn>locate</prgn> with the package <package>slocate</package>. slocate is labeled as a security enhanced version of GNU locate, but it actually provides additional file-locating functionality. When using <prgn>slocate</prgn>, the user only sees the files he really has access to and you can exclude any files or directories on the system. The <package>slocate</package> package runs its update process with higher privledges than locate, and indexes every file. Users are then able to quickly search for every file which they are able to see. <prgn>slocate</prgn> doesn't let them see new files; it filters the output based on your UID.
de: Sie benutzen vielleicht <prgn>locate</prgn>, um das gesamte Dateisystem zu indizieren. Wenn das so ist, sollten Sie die Auswirkungen davon berücksichtigen. Das Debianpaket <package>findutils</package> enthält <prgn>locate</prgn>, das als Benutzer nobody läuft. Daher indiziert es nur Dateien, die von jedermann eingesehen werden können. Wenn Sie dieses Verhalten verändern, werden allerdings alle Orte von Dateien für alle Benutzer sichtbar. Wenn Sie das gesamte Dateisystem indizieren wollen (und nicht nur die Stückchen, die der Benutzer nobody sehen kann), können Sie <prgn>locate</prgn> durch das Paket <package>slocate</package> ersetzen. slocate wird als eine um Sicherheit erweiterte Version von GNU locate bezeichnet, hat aber tatsächlich weitere Funktionen zum Auffinden von Dateien. Wenn Sie <prgn>slocate</prgn> benutzen, sieht ein Benutzer nur Dateien, auf die er auch Zugriff hat, während Sie Dateien und Verzeichnisse des gesamten Systems ausschließen können. Das Paket <package>slocate</package> führt seinen Aktualisierungsprozess mit höheren Rechten aus als locate. Außerdem indiziert es jede Datei. Benutzern wird es dadurch ermöglicht, schnell nach jeder Datei zu suchen, die sie sehen können. <prgn>slocate</prgn> zeigt ihnen keine neuen Dateien an; es filtert die Ausgabe auf Grundlage der UID.

note: type: <p></p>
en: You might want to use <package>bsign</package> or <package>elfsign</package>. <package>elfsign</package> provides an utility to add a digital signature to an ELF binary and a second utility to verify that signature. The current implementation uses PKI to sign the checksum of the binary. The benefits of doing this are that it enables one to determine if a binary has been modified and who created it. <package>bsign</package> uses GPG, <package>elfsign</package> uses PKI (X.509) certificates (OpenSSL).
de: Sie sollten auch <package>bsign</package> oder <package>elfsign</package> einsetzen. <package>elfsign</package> bietet die Möglichkeit, digitale Signaturen an ELF-Binaries anzufügen und diese Signaturen zu überprüfen. Die aktuelle Fassung verwendet PKI, um die Checksummen der Binaries zu signieren. Dies hat den Vorteil, dass festgestellt werden kann, ob das Binary verändert wurde und wer es erstellt hat. <package>bsign</package> verwendet GPG, <package>elfsign</package> benutzt PKI-(X.509)-Zertifikate (OpenSSL).

note: type: <heading></heading>
en: Setting up setuid check
de: Aufsetzen einer Überprüfung von setuid

note: type: <p></p>
en: The Debian <package>checksecurity</package> package provides a <prgn>cron</prgn> job that runs daily in <file>/etc/cron.daily/checksecurity</file> <footnote><p>In previous releases, checksecurity was integrated into cron and the file was <file>/etc/cron.daily/standard</file></p></footnote>. This <prgn>cron</prgn> job will run the <prgn>/usr/sbin/checksecurity</prgn> script that will store information of this changes.
de: Das Debian-Paket <package>checksecurity</package> enthält einen <prgn>Cron</prgn>-Job, der täglich in <file>/etc/cron.daily/checksecurity</file> ausgeführt wird. <footnote><p> In älteren Veröffentlichungen war checksecurity in cron integriert und die Datei hieß <file>/etc/cron.daily/standard</file>. </p></footnote>. Dieser <prgn>Cron</prgn>-Job führt das Skript <prgn>/usr/sbin/checksecurity</prgn> aus, das Informationen über Änderungen sichert.

note: type: <p></p>
en: The default behavior does not send this information to the superuser but, instead keeps daily copies of the changes in <file>/var/log/setuid.changes</file>. You should set the MAILTO variable (in <file>/etc/checksecurity.conf</file>) to 'root' to have this information mailed to him. See <manref name="checksecurity" section="8"> for more configuration info.
de: Das Standardverhalten sendet diese Informationen nicht an den Superuser. Stattdessen erstellt es eine tägliche Kopie dieser Änderungen unter <file>/var/log/setuid.changes</file>. Sie sollten die Variable MAILTO (in <file>/etc/checksecurity.conf</file>) auf »root« setzen, damit diese Informationen an ihn gemailt werden. Sehen Sie sich auch <manref name="checksecurity" section="8"> für weitere Konfigurations-Informationen an.

note: type: <heading></heading>
en: Securing network access
de: Absicherung des Netzwerkzugangs

note: type: <p></p>
en: FIXME: More (Debian-specific) content needed.
de: FIXME: mehr (für Debian spezifischer) Inhalt benötigt

note: type: <heading></heading>
en: Configuring kernel network features
de: Konfiguration der Netzwerkfähigkeiten des Kernels

note: type: <p><example>
en: Many features of the kernel can be modified while running by echoing something into the <file>/proc</file> file system or by using <prgn>sysctl</prgn>. By entering <tt>/sbin/sysctl -A</tt> you can see what you can configure and what the options are, and it can be modified running <tt>/sbin/sysctl -w variable=value</tt> (see <manref name="sysctl" section="8">). Only in rare cases do you need to edit something here, but you can increase security that way as well. For example:
de: Viele Fähigkeiten des Kernels können während des Betriebs verändert werden, indem etwas an das <file>/proc</file>-Dateisystem geschickt wird, oder indem <prgn>sysctl</prgn> benutzt wird. Wenn Sie <tt>/sbin/sysctl -A</tt> eingeben, können Sie sehen, was Sie einstellen können und welches die Optionen sind. Veränderungen werden vorgenommen, indem <tt>/sbin/sysctl -w variable=value</tt> ausgeführt wird (vergleiche <manref section="8" name="sysctl">). Nur in seltenen Fällen müssen Sie hier etwas bearbeiten. Aber auch hier können Sie die Sicherheit erhöhen. Zum Beispiel:

note: type: <p></p>
en: This is a <em>Windows emulator</em> because it acts like Windows on broadcast ping if this option is set to 1. That is, ICMP echo requests sent to the broadcast address will be ignored. Otherwise, it does nothing.
de: Dies ist ein <em>Windows-Emulator</em>, weil es sich wie Windows bei Rundrufen (Broadcast-Ping) verhält, wenn es auf 1 gesetzt wird. Das bedeutet, dass ICMP-Echo-Anfragen, die an die Rundrufadresse geschickt werden, ignoriert werden. Anderenfalls macht es gar nichts.

note: type: <p><example>
en: If you want to prevent you system from answering ICMP echo requests, just enable this configuration option:
de: Falls Sie verhindern wollen, dass Ihr System auf ICMP-Echo-Anfragen antwortet, müssen Sie nur diese Konfigurationsoption anschalten:

note: type: <p><example>
en: To log packets with impossible addresses (due to wrong routes) on your network use:
de: Verwenden Sie Folgendes, um Pakete mit unmöglichen Adressen (erzeugt durch falsche Routen) in Ihrem Netzwerk zu protokollieren:

note: type: <p></p>
en: For more information on what things can be done with <file>/proc/sys/net/ipv4/*</file> read <file>/usr/src/linux/Documentation/filesystems/proc.txt</file>. All the options are described thoroughly under <file>/usr/src/linux/Documentation/networking/ip-sysctl.txt</file> <footnote><p>In Debian the <package>kernel-source-<var>version</var></package> packages copy the sources to <file>/usr/src/kernel-source-<var>version</var>.tar.bz2</file>, just substitute <var>version</var> to whatever kernel version sources you have installed</p></footnote>.
de: Für weiterführende Informationen, welche Sachen mit <file>/proc/sys/net/ipv4/*</file> angestellt werden können, sollten Sie <file>/usr/src/linux/Documentation/filesystems/proc.txt</file> lesen. Alle Optionen werden gründlich in <file>/usr/src/linux/Documentation/networking/ip-sysctl.txt</file> <footnote><p> In Debian kopiert das Paket <package>kernel-source-<var>version</var></package> die Kernelquellen nach <file>/usr/src/kernel-source-<var>version</var>.tar.bz2</file>. Ersetzen Sie einfach <var>version</var> mit der installierten Kernelversion. </p></footnote> beschrieben.

note: type: <heading></heading>
en: Configuring syncookies
de: Konfiguration von Syncookies

note: type: <p><example>
en: This option is a double-edged sword. On the one hand it protects your system against syn packet flooding; on the other hand it violates defined standards (RFCs).
de: Diese Option ist ein zweischneidiges Schwert. Auf der einen Seite schützt es Ihr System vor dem Überfluten mit syn-Paketen. Auf der anderen Seite verletzt es definierte Standards (RFCs).

note: type: <p><example>
en: If you want to change this option each time the kernel is working you need to change it in <tt>/etc/network/options</tt> by setting <tt>syncookies=yes</tt>. This will take effect when ever <tt>/etc/init.d/networking</tt> is run (which is typically done at boot time) while the following will have a one-time effect until the reboot:
de: Wenn Sie das dauerhaft für den Kernel festlegen wollen, müssen Sie in <tt>/etc/network/options</tt> <tt>syncookies=yes</tt> festlegen. Jedes Mal, wenn <tt>/etc/init.d/networking</tt> ausgeführt wird (was typischerweise beim Booten geschieht), wird diese Option wirksam. Dagegen wird folgendes nur eine einmalige Wirkung bis zum nächsten Neustart haben:

note: type: <p><example>
en: This option will only be available if the kernel is compiled with the <tt>CONFIG_SYNCOOKIES</tt>. All Debian kernels are compiled with this option builtin but you can verify it running:
de: Diese Option ist nur verfügbar, wenn der Kernel mit <tt>CONFIG_SYNCOOKIES</tt> übersetzt wurde. Alle Kernel von Debian wurden mit dieser Option kompiliert. Sie können das folgendermaßen überprüfen:

note: type: <p></p>
en: For more information on TCP syncookies read <url id="http://cr.yp.to/syncookies.html">.
de: Weitere Informationen zu TCP-Syncookies finden Sie unter <url id="http://cr.yp.to/syncookies.html">.

note: type: <heading></heading>
en: Securing the network on boot-time
de: Absicherung des Netzwerks beim Hochfahren

note: type: <p></p>
en: When setting configuration options for the kernel networking you need configure it so that it's loaded every time the system is restarted. The following example enables many of the previous options as well as other useful options.
de: Wenn Sie die Netzwerkoptionen des Kernels konfigurieren, müssen Sie dafür sorgen, dass sie bei jedem Neustart des Systems geladen werden. Das nachfolgende Beispiel aktiviert neben vielen der oben vorgestellten Optionen auch noch ein paar andere nützliche Optionen.

note: type: <p></p>
en: There are actually two ways to configure your network at boot time. You can configure <file>/etc/sysctl.conf</file> (see: <manref name="sysctl.conf" section="5">) or introduce a script that is called when the interface is enabled. The first option will be applied to all interfaces, whileas the second option allows you to configure this on a per-interface basis.
de: Tatsächlich gibt es zwei Möglichkeiten, Ihr Netzwerk beim Booten einzurichten. Sie können entweder <file>/etc/sysctl.conf</file> konfigurieren (siehe <manref section="5" name="sysctl.conf">) oder ein Skript einsetzen, das beim Aktivieren der Netzwerkschnittstellen aufgerufen wird. Die erste Möglichkeit wird auf alle Schnittstellen angewendet, die zweite erlaubt es Ihnen, die Konfiguration für jede Schnittstelle separat zu wählen.

note: type: <p><example>
en: An example of a <file>/etc/sysctl.conf</file> configuration that will secure some network options at the kernel level is shown below. Notice the comment in it, <file>/etc/network/options</file> might override some values if they contradict those in this file when the <file>/etc/init.d/networking</file> is run (which is later than <file>procps</file> on the startup sequence).
de: Ein Beispiel einer Konfiguration von <file>/etc/sysctl.conf</file>, die einige Netzwerkoptionen auf der Kernelebene absichert, wird unten gezeigt. Beachten Sie darin den Kommentar, dass <file>/etc/network/options</file> beim Ausführen von <file>/etc/init.d/networking</file> (dies ist in der Startsequenz nach <file>procps</file>) einige Werte überschreiben könnte, wenn sich Werte in dieser Datei widersprechen.

note: type: <p><example>
en: To use the script you need to first create the script, for example, in <file>/etc/network/interface-secure</file> (the name is given as an example) and call it from <file>/etc/network/interfaces</file> like this:
de: Um dieses Skript verwenden zu können, müssen Sie es zuerst unter z.B. <file>/etc/network/interface-secure</file> (der Name ist nur ein Beispiel) erstellen und es wie folgt aus <file>/etc/network/interfaces</file> aufrufen:

note: type: <p><example>
en: In this example, before the interface eth0 is enabled the script will be called to secure all network interfaces as shown below.
de: In diesem Beispiel wird das Skript aufgerufen, um alle Netzwerkschnittstellen abzusichern, wie unten gezeigt wird, bevor die Schnittstelle eth0 aktiviert wird.

note: type: <example></example>
en: #!/bin/sh -e
    # Script-name: /etc/network/interface-secure
    #
    # Modifies some default behavior in order to secure against 
    # some TCP/IP spoofing & attacks for all interfaces.
    #
    # Contributed by Dariusz Puchalak.
    #
    echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 
                                               # Broadcast echo protection enabled.
    echo 0 > /proc/sys/net/ipv4/conf/all/forwarding
                                               # IP forwarding disabled.
    echo 1 > /proc/sys/net/ipv4/tcp_syncookies # TCP syn cookies protection enabled.
    echo 1 >/proc/sys/net/ipv4/conf/all/log_martians # Log strange packets.
    # (this includes spoofed packets, source routed packets, redirect packets)
    # but be careful with this on heavy loaded web servers.
    echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses 
                                               # Bad error message protection enabled.
    
    # IP spoofing protection.
    echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
    
    # Disable ICMP redirect acceptance.
    echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
    echo 0 > /proc/sys/net/ipv4/conf/all/send_redirects
    
    # Disable source routed packets.
    echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
    
    exit 0
de: #!/bin/sh -e
    # Skriptname: /etc/network/interface-secure
    #
    # Verändert das Standardverhalten für alle Schnittstellen in einigen Bereichen,
    # um vor TCP/IP-Spoofing und Angriffen zu schützen.
    #
    # Wurde von Dariusz Puchalak beigesteuert
    #
    echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts 
                                               # Broadcast echo protection enabled.
    echo 0 > /proc/sys/net/ipv4/conf/all/forwarding
                                               # IP forwarding disabled.
    echo 1 > /proc/sys/net/ipv4/tcp_syncookies # TCP syn cookies protection enabled.
    echo 1 >/proc/sys/net/ipv4/conf/all/log_martians # Log strange packets.
    # (this includes spoofed packets, source routed packets, redirect packets)
    # but be careful with this on heavy loaded web servers.
    echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses 
                                               # Bad error message protection enabled.
    
    # IP spoofing protection.
    echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
    
    # Disable ICMP redirect acceptance.
    echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
    echo 0 > /proc/sys/net/ipv4/conf/all/send_redirects
    
    # Disable source routed packets.
    echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
    
    exit 0

note: type: <p><example>
en: Notice that you can actually have per-interface scripts that will enable different network options for different interfaces (if you have more than one), just change the pre-up line to:
de: Beachten Sie, dass Sie auch verschiedene Netzwerkoptionen für verschiedene Schnittstellen (falls Sie mehr als eine haben) setzten können, indem Sie die pre-up-Zeile verändern:

note: type: <p><example>
en: And use a script which will only apply changes to a specific interface, not to all of the interfaces available. Notice that some networking options can only be enabled globally, however. A sample script is this one:
de: Zusätzlich müssen Sie ein Skript verwenden, das Änderungen nur auf eine bestimmte Schnittstelle anwendet und nicht auf alle Schnittstellen. Beachten Sie aber, dass einige Netzwerkoptionen nur global gesetzt werden können. Dies ist ein Beispielsskript:

note: type: <example></example>
en: #!/bin/sh -e
    # Script-name: /etc/network/interface-secure
    #
    # Modifies some default behavior in order to secure against 
    # some TCP/IP spoofing & attacks for a given interface.
    #
    # Contributed by Dariusz Puchalak.
    #
    
    IFACE=$1
    if [ -z "$IFACE" ] ; then
       echo "$0: Must give an interface name as argument!"
       echo "Usage: $0 &lt;interface&gt;"
       exit 1
    fi
    
    if [ ! -e /proc/sys/net/ipv4/conf/$IFACE/ ]; then
       echo "$0: Interface $IFACE does not exit (cannot find /proc/sys/net/ipv4/conf/)"
       exit 1
    fi
    
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/forwarding  # IP forwarding disabled.
    echo 1 >/proc/sys/net/ipv4/conf/$IFACE/log_martians # Log strange packets.
    # (this includes spoofed packets, source routed packets, redirect packets)
    # but be careful with this on heavy loaded web servers.
    
    # IP spoofing protection.
    echo 1 > /proc/sys/net/ipv4/conf/$IFACE/rp_filter
    
    # Disable ICMP redirect acceptance.
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/accept_redirects
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/send_redirects
    
    # Disable source routed packets.
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/accept_source_route
    
    exit 0
de: #!/bin/sh -e
    # Skriptname: /etc/network/interface-secure
    #
    # Verändert das Standardverhalten für alle Schnittstellen in einigen Bereichen,
    # um vor TCP/IP-Spoofing und Angriffen zu schützen.
    #
    # Wurde von Dariusz Puchalak beigesteuert
    #
    
    IFACE=$1
    if [ -z "$IFACE" ] ; then
       echo "$0: Must give an interface name as argument!"
       echo "Usage: $0 &lt;interface&gt;"
       exit 1
    fi
    
    if [ ! -e /proc/sys/net/ipv4/conf/$IFACE/ ]; then
       echo "$0: Interface $IFACE does not exit (cannot find /proc/sys/net/ipv4/conf/)"
       exit 1
    fi
    
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/forwarding  # IP forwarding disabled.
    echo 1 >/proc/sys/net/ipv4/conf/$IFACE/log_martians # Log strange packets.
    # (this includes spoofed packets, source routed packets, redirect packets)
    # but be careful with this on heavy loaded web servers.
    
    # IP spoofing protection.
    echo 1 > /proc/sys/net/ipv4/conf/$IFACE/rp_filter
    
    # Disable ICMP redirect acceptance.
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/accept_redirects
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/send_redirects
    
    # Disable source routed packets.
    echo 0 > /proc/sys/net/ipv4/conf/$IFACE/accept_source_route
    
    exit 0

note: type: <p></p>
en: An alternative solution is to create an <tt>init.d</tt> script and have it run on bootup (using <prgn>update-rc.d</prgn> to create the appropriate <tt>rc.d</tt> links).
de: Eine andere Lösungsmöglichkeit ist es, ein <tt>init.d</tt>-Skript zu erstellen und es beim Booten auszuführen (verwenden Sie <prgn>update-rc.d</prgn>, um die passenden <tt>rc.d</tt>-Links herzustellen).

note: type: <heading></heading>
en: Configuring firewall features
de: Konfiguration der Firewall

note: type: <p></p>
en: In order to have firewall capabilities, either to protect the local system or others <em>behind</em> it, the kernel needs to be compiled with firewall capabilities. The standard Debian 2.2 kernel (Linux 2.2) provides the packet filter <prgn>ipchains</prgn> firewall, Debian 3.0 standard kernel (Linux 2.4) provides the <em>stateful</em> packet filter <prgn>iptables</prgn> (netfilter) firewall.
de: Um die Möglichkeiten einer Firewall zu haben, damit entweder das lokale System oder andere <em>dahinter</em> beschützt werden, muss der Kernel mit Firewall-Unterstützung kompiliert worden sein. Der Standardkernel von Debian 2.2 (Linux 2.2) stellt die Paketfilter-Firewall <prgn>ipchains</prgn> zur Verfügung. Der Standardkernel von Debian 3.0 (Linux 2.4) enthält die <em>stateful</em> Paketfilter-Firewall <prgn>iptables</prgn> (netfilter).

note: type: <p></p>
en: In any case, it is pretty easy to use a kernel different from the one provided by Debian. You can find pre-compiled kernels as packages you can easily install in the Debian system. You can also download the kernel sources using the <package>kernel-source-<var>X</var></package> and build custom kernel packages using <prgn>make-kpkg</prgn> from the <package>kernel-package</package> package.
de: In jedem Fall ist es recht einfach, einen anderen als den mit Debian gelieferten Kernel zu benutzen. Sie finden vorkompilierte Kernel als Pakete vor, die Sie leicht auf Ihrem Debian-System installieren können. Mit Hilfe des Pakets <package>kernel-source-<var>X</var></package> können Sie auch die Kernelquellen herunterladen und einen maßgeschneiderten Kernel kompilieren, indem Sie <prgn>make-kpkg</prgn> aus dem Paket <package>kernel-package</package> benutzen.

note: type: <p></p>
en: Setting up firewalls in Debian is discussed more thoroughly in <ref id="firewall-setup">.
de: Auf das Aufsetzen einer Firewall unter Debian wird unter <ref id="firewall-setup"> ausführlich eingegangen.

note: type: <heading></heading>
en: Disabling weak-end hosts issues
de: Lösung des Problems der Weak-End-Hosts <!-- SB (20050306): "Disabling weak-end hosts issues" - Gibt's dafür eine vernünftige Übersetzung? "Week-end host" wäre wohl "Kneipe" ;-) -->

note: type: <p></p>
en: Systems with more than one interface on different networks can have services configured so that they will bind only to a given IP address. This usually prevents access to services when requested through any other address. However, this does not mean (although it is a common misconception) that the service is bound to a given <em>hardware</em> address (interface card). <footnote><p>To reproduce this (example provided by Felix von Leitner on the Bugtraq mailing list): <example> host a (eth0 connected to eth0 of host b): ifconfig eth0 10.0.0.1 ifconfig eth1 23.0.0.1 tcpserver -RHl localhost 23.0.0.1 8000 echo fnord host b: ifconfig eth0 10.0.0.2 route add 23.0.0.1 gw 10.0.0.1 telnet 23.0.0.1 8000</example></p><p>It seems, however, not to work with services bound to 127.0.0.1, you might need to write the tests using raw sockets.</p></footnote>
de: Auf Systemen mit mehr als einer Schnittstelle zu verschiedenen Netzwerken können Dienste so eingerichtet werden, dass sie Verbindungen nur zu einer bestimmten IP-Adresse zulassen. Normalerweise verhindert das den Zugang zu diesen Diensten, wenn an sie Anfragen über andere Adressen gestellt werden. Allerdings bedeutet das nicht, dass der Dienst an eine bestimmte <em>Hardware</em>-Adresse (Netzwerkkarte) gebunden ist (ein verbreiteter Irrtum). <footnote><p> Um das nachzuvollziehen folgendes Beispiel, das von Felix von Leitner auf der Bugtraq-Mailingliste vorgestellt wurde: <example>   host a (eth0 connected to eth0 of host b):      ifconfig eth0 10.0.0.1      ifconfig eth1 23.0.0.1      tcpserver -RHl localhost 23.0.0.1 8000 echo fnord     host b:      ifconfig eth0 10.0.0.2      route add 23.0.0.1 gw 10.0.0.1      telnet 23.0.0.1 8000 </example> <p>Das scheint allerdings nicht mit Diensten zu funktionieren, die mit 127.0.0.1 verbunden sind. Sie sollten vielleicht für die Tests raw sockets verwenden. </p></footnote>

note: type: <p></p>
en: This is not an ARP issue and it's not an RFC violation (it's called <em>weak end host</em> in <url id="ftp://ftp.isi.edu/in-notes/rfc1122.txt" name="RFC1122">, section 3.3.4.2). Remember, IP addresses have nothing to do with physical interfaces.
de: Das ist kein Problem von ARP und auch keine Verletzung eines RFCs (es wird in <url id="ftp://ftp.isi.edu/in-notes/rfc1122.txt" name="RFC1122">, Abschnitt 3.3.4.2 als <em>weak end host</em> bezeichnet). Vergessen Sie nicht, dass IP-Adressen nichts mit dem physischen Schnittstellen zu tun haben.

note: type: <p><example>
en: On 2.2 (and previous) kernels this can be fixed with:
de: Im Kernel 2.2 (und davor) konnte dieses Problem so gelöst werden:

note: type: <p><list>
en: On later kernels this can be fixed either with:
de: Bei späteren Kernel kann das folgendermaßen gelöst werden:

note: type: <p></p>
en: iptables rules.
de: Regeln für iptables

note: type: <p></p>
en: properly configured routing. <footnote><p>The fact that this behavior can be changed through routing was described by Matthew G. Marsh in the Bugtraq thread: <example>eth0 = 1.1.1.1/24 eth1 = 2.2.2.2/24 ip rule add from 1.1.1.1/32 dev lo table 1 prio 15000 ip rule add from 2.2.2.2/32 dev lo table 2 prio 16000 ip route add default dev eth0 table 1 ip route add default dev eth1 table 2</example></p></footnote>
de: richtig konfiguriertes Routing <footnote><p> Die Tatsache, dass dieses Verhalten durch Routing geändert werden kann, wurde von Matthew G. Marsh in dem Bugtraq-Thread beschrieben: <example>   eth0 = 1.1.1.1/24   eth1 = 2.2.2.2/24   ip rule add from 1.1.1.1/32 dev lo table 1 prio 15000   ip rule add from 2.2.2.2/32 dev lo table 2 prio 16000   ip route add default dev eth0 table 1   ip route add default dev eth1 table 2 </example> </p></footnote> oder

note: type: <p></p>
en: kernel patching. <footnote><p>There are some patches available for this behavior as described in Bugtraq's thread at <url id="http://www.linuxvirtualserver.org/~julian/#hidden"> and <url id="http://www.fefe.de/linux-eth-forwarding.diff">.</p></footnote>
de: Patchen des Kernels <footnote><p> Wie im Bugtraq-Thread beschrieben, gibt es dafür einige Patches auf <url id="http://www.linuxvirtualserver.org/~julian/#hidden"> und <url id="http://www.fefe.de/linux-eth-forwarding.diff">. </footnote>

note: type: <p></p>
en: Along this text there will be many occasions in which it is shown how to configure some services (sshd server, apache, printer service...) in order to have them listening on any given address, the reader should take into account that, without the fixes given here, the fix would not prevent accesses from within the same (local) network. <footnote><p>An attacker might have many problems pulling the access through after configuring the IP-address binding if he is not on the same broadcast domain (same network) as the attacked host. If the attack goes through a router it might be quite difficult for the answers to return somewhere.</p></footnote>
de: In diesem Text finden sich viele Fälle, in denen gezeigt wird, wie man einige Dienste (sshd-Server, apache, Druckserver, ...) so konfiguriert, dass sie nur auf einer bestimmten Adresse lauschen. Der Leser sollte in Betracht ziehen, dass das den Zugang aus dem gleichen (lokalen) Netzwerk nicht verhindern kann, wenn nicht die in diesem Abschnitt vorgeschlagenen Schritte ergriffen werden. <footnote><p> Ein Angreifer, der nicht in der gleichen Broadcast-Domain (also dem gleichen Netzwerk) wie der angegriffene Host ist, kann auf viele Probleme bei Zugang stoßen, nachdem die Anbindung der IP-Adressen konfiguriert wurde. Wenn der Angriff über einen Router läuft, kann es sich als ziemlich schwer herausstellen, die Antworten zurückzubekommen. </footnote>

note: type: <heading></heading>
en: Protecting against ARP attacks
de: Schutz vor ARP-Angriffen

note: type: <p></p>
en: When you don't trust the other boxes on your LAN (which should always be the case, because it's the safest attitude) you should protect yourself from the various existing ARP attacks.
de: Wenn Sie den anderen Kisten in Ihrem LAN nicht trauen (das sollte immer so sein, da es die sicherste Einstellung ist), sollten Sie sich vor den verschiedenen ARP-Angriffen schützen.

note: type: <p></p>
en: As you know the ARP protocol is used to link IP addresses to MAC addresses (see <url id="ftp://ftp.isi.edu/in-notes/rfc826.txt" name="RFC826"> for all the details). Every time you send a packet to an IP address an ARP resolution is done (first by looking into the local ARP cache then if the IP isn't present in the cache by broadcasting an ARP query) to find the target's hardware address. All the ARP attacks aim to fool your box into thinking that box B's IP address is associated to the intruder's box's MAC address; Then every packet that you want to send to the IP associated to box B will be send to the intruder's box...
de: Wie Sie wissen, wird das ARP-Protokoll dazu verwendet, IP-Adressen mit MAC-Adressen zu verknüpfen (für alle Details siehe <url name="RFC826" id="ftp://ftp.isi.edu/in-notes/rfc826.txt">). Jedes Mal, wenn Sie ein Paket an eine IP-Adresse schicken, wird eine ARP-Auflösung vorgenommen (zuerst wird in den lokalen ARP-Speicher geschaut, und falls die IP nicht im Speicher ist, wird ein Rundruf (Broadcast) mit der ARP-Anfrage verschickt), um die Hardware-Adresse des Ziels zu finden. Alle ARP-Angriffe zielen darauf ab, Ihrem Rechner vorzugaukeln, dass die IP-Adresse des Rechners B mit der MAC-Adresse des Computers des Angreifers verbunden ist. Dadurch wird jedes Paket, das Sie an den Rechner B, der mit der IP-Adresse verbunden ist, schicken wollen, an den Computer des Eindringlings umgeleitet ...

note: type: <p></p>
en: Those attacks (ARP cache poisoning, ARP spoofing...) allow the attacker to sniff the traffic even on switched networks, to easily hijack connections, to disconnect any host from the network... ARP attacks are powerful and simple to implement, and several tools exists, such as <prgn>arpspoof</prgn> from the <package>dsniff</package> package or <url id="http://arpoison.sourceforge.net/" name="arpoison">.
de: Diese Angriffe (Verfälschung des ARP-Speichers, ARP-Spoofing, ...) ermöglichen dem Angreifer, auf Netzwerken den Verkehr abzuhören (selbst bei Netzwerken, die über einen Switch laufen). Er kann sich leicht in eine Verbindung einschleusen oder einen Host vom Netzwerk nehmen oder ... ARP-Angriffe sind leistungsfähig und einfach durchzuführen. Es gibt dafür auch einige Werkzeuge wie <prgn>arpspoof</prgn> aus dem Paket <package>dsniff</package> oder <url name="arpoison" id="http://arpoison.sourceforge.net/">.

note: type: <p><list>
en: However, there is always a solution:
de: Allerdings gibt es immer eine Lösung:

note: type: <p><example>
en: Use a static ARP cache. You can set up "static" entries in your ARP cache with:
de: Verwenden Sie einen statischen ARP-Speicher. So erstellen Sie »statische« Einträge in Ihrem ARP-Speicher:

note: type: <p></p>
en: By setting static entries for each important host in your network you ensure that nobody will create/modify a (fake) entry for these hosts (static entries don't expire and can't be modified) and spoofed ARP replies will be ignored.
de: Indem Sie statische Einträge für jeden wichtigen Host in Ihrem Netzwerk vergeben, stellen Sie sicher, dass niemand einen (falschen) Eintrag für diese Hosts erstellen oder verändern kann (statische Einträge verfallen nicht und können nicht verändert werden). Auch gefälschte ARP-Antworten werden ignoriert.

note: type: <p></p>
en: Detect suspicious ARP traffic. You can use <package>arpwatch</package>, <package>karpski</package> or more general IDS that can also detect suspicious ARP traffic (<package>snort</package>, <url id="http://www.prelude-ids.org" name="prelude">...).
de: Entdecken Sie verdächtigen ARP-Verkehr. Sie können dazu <package>arpwatch</package>, <package>karpski</package> oder allgemeinere IDS, die auch verdächtigen ARP-Verkehr entdecken können wie <package>snort</package> oder <url name="prelude" id="http://www.prelude-ids.org">, einsetzen.

note: type: <p></p>
en: Implement IP traffic filtering validating the MAC address.
de: Verwenden Sie einen IP-Filter, der die MAC-Adressen überprüft.

note: type: <heading></heading>
en: Taking a snapshot of the system
de: Einen Schnappschuss des Systems erstellen

note: type: <p></p>
en: Before putting the system into production system you could take a snapshot of the whole system. This snapshot could be used in the event of a compromise (see <ref id="after-compromise">). You should remake this upgrade whenever the system is upgraded, especially if you upgrade to a new Debian release.
de: Bevor Sie das System in produktiven Betrieb nehmen, können Sie einen Schnappschuss des gesamten Systems erstellen. Diesen Schnappschuss können Sie im Falle einer Kompromittierung (siehe <ref id="after-compromise">) benutzen. Sie sollten den Schnappschuss immer dann erneuern, wenn Sie das System aktualisieren, insbesondere wenn Sie auf eine neue Debian-Veröffentlichung upgraden.

note: type: <p></p>
en: For this you can use a writable removable-media that can be set up read-only, this could be a floppy disk (read protected after use), a CD on a CD-ROM unit (you could use a rewritable CD-ROM so you could even keep backups of md5sums in different dates), or a USB disk or MMC card (if your system can access those and they can be write protected).
de: Hierfür können Sie beschreibbare, austauschbare Datenträger benutzen, die Sie schreibschützen können. Dies kann eine Diskette (die nach der Benutzung schreibgeschützt wird), eine CD in einem CD-ROM-Laufwerk (Sie können auch wiederbeschreibbare CD-ROMs benutzen, so können Sie sogar alte Sicherheitskopien Ihrer MD5-Summen behalten), eine USB-Platte oder eine MMC-Karte (wenn Ihr System auf diese zugreifen kann und sie schreibgeschützt werden können) sein.

note: type: <p><example>
en: The following script creates such a snapshot:
de: Das folgende Skript erstellt einen solchen Schnappschuss:

note: type: <example></example>
en: #!/bin/bash
    /bin/mount /dev/fd0 /mnt/floppy
    trap "/bin/umount /dev/fd0" 0 1 2 3 9 13 15
    if [ ! -f /usr/bin/md5sum ] ; then
    	echo "Cannot find md5sum. Aborting."
    	exit 1
    fi
    /bin/cp /usr/bin/md5sum /mnt/floppy
    echo "Calculating md5 database"
    >/mnt/floppy/md5checksums.txt
    for dir in /bin/ /sbin/ /usr/bin/ /usr/sbin/ /lib/ /usr/lib/
    do
       find $dir -type f | xargs /usr/bin/md5sum >>/mnt/floppy/md5checksums-lib.txt
    done
    echo "post installation md5 database calculated"
    if [ ! -f /usr/bin/sha1sum ] ; then
    	echo "Cannot find sha1sum"
            echo "WARNING: Only md5 database will be stored"
    else
    	/bin/cp /usr/bin/sha1sum /mnt/floppy
    	echo "Calculating SHA-1 database"
    	>/mnt/floppy/sha1checksums.txt
    	for dir in /bin/ /sbin/ /usr/bin/ /usr/sbin/ /lib/ /usr/lib/
    	do
    	   find $dir -type f | xargs /usr/bin/sha1sum >>/mnt/floppy/sha1checksums-lib.txt
    	done
    	echo "post installation sha1 database calculated"
    fi
    exit 0
de: #!/bin/bash
    /bin/mount /dev/fd0 /mnt/floppy
    trap "/bin/umount /dev/fd0" 0 1 2 3 9 13 15
    if [ ! -f /usr/bin/md5sum ] ; then
    	echo "Kann md5sum nicht finden. Breche ab."
    	exit 1
    fi
    /bin/cp /usr/bin/md5sum /mnt/floppy
    echo "Erstelle MD5-Datenbank"
    >/mnt/floppy/md5checksums.txt
    for dir in /bin/ /sbin/ /usr/bin/ /usr/sbin/ /lib/ /usr/lib/
    do
       find $dir -type f | xargs /usr/bin/md5sum >>/mnt/floppy/md5checksums-lib.txt
    done
    echo "MD5-Datenbank (nach der Installation) erstellt"
    if [ ! -f /usr/bin/sha1sum ] ; then
    	echo "Kann sha1sum nicht finden"
            echo "WARNUNG: nur die md5-Datenbank wird gespeichert"
    else
    	/bin/cp /usr/bin/sha1sum /mnt/floppy
    	echo "Erstelle SHA-1-Datenbank"
    	>/mnt/floppy/sha1checksums.txt
    	for dir in /bin/ /sbin/ /usr/bin/ /usr/sbin/ /lib/ /usr/lib/
    	do
    	   find $dir -type f | xargs /usr/bin/sha1sum >>/mnt/floppy/sha1checksums-lib.txt
    	done
    	echo "SHA-1-Datenbank (nach der Installation) erstellt"
    fi
    exit 0

note: type: <p></p>
en: Note that the md5sum binary (and sha1sum, if available) is placed on the floppy drive so it can be used later on to check the binaries of the system (just in case it gets trojaned). However, if you want to make sure that you are running a legitimate binary, you might want to either compile a static copy of the md5sum binary and use that one (to prevent a trojaned libc library from interfering with the binary) or to use the snapshot of md5sums only from a clean environment such as a rescue CD-ROM or a Live-CD (to prevent a trojaned kernel from interfering). I cannot stress this enough: if you are on a compromised system you cannot trust its output, see <ref id="after-compromise">.
de: Beachten Sie, dass das Programm md5sum (und sha1sum, falls verfügbar) auch auf der Diskette gesichert werden muss, so dass Sie es später benutzen können, um die anderen Programme Ihres Systems zu prüfen (für den Fall, dass md5sum oder sha1sum einen Trojaner enthalten). Wenn Sie aber sicher sein wollen, dass Sie eine gültige Kopie von md5sum verwenden, sollten Sie eine statische Kopie von md5sum erstellen und diese verwenden (damit wird verhindert, dass eine manipulierte libc-Bibliothek das Programm beeinträchtigt) oder md5sum nur in einer sauberen Umgebung einsetzen, die Sie etwa mit einer Rettungs-CD-ROM oder einer Live-CD erzeugen können (damit wird verhindert, dass ein manipulierter Kernel das Programm beeinflusst). Ich kann es nicht genug betonen: Wenn Sie ein System haben, in das eingebrochen wurde, können Sie den Ausgaben nicht vertrauen. Sehen Sie sich auch <ref id="after-compromise"> an.

note: type: <p><list>
en: The snapshot does not include the files under <file>/var/lib/dpkg/info</file> which includes the MD5 hashes of installed packages (in files ending with <file>.md5sums</file>). You could copy this information along too, however you should notice:
de: Dieser Schnappschuss enthält nicht die Dateien unterhalb von <file>/var/lib/dpkg/info</file>, wo MD5-Summen installierter Pakete enthalten sind (die Dateien enden mit <file>.md5sums</file>). Sie können diese Informationen zusätzlich kopieren, aber Sie sollten Folgendes beachten:

note: type: <p></p>
en: the md5sums files include the md5sum of all files provided by the Debian packages, not just system binaries. As a consequence, that database is bigger (5 Mb versus 600 Kb in a Debian GNU/Linux system with a graphical system and around 2.5 Gb of software installed) and will not fit in small removable media (like a single floppy disk, but would probably fit in a removable USB memory).
de: Die Dateien mit den MD5-Summen enthalten die MD5-Summen aller Dateien, die ein Debian-Paket enthält, nicht nur die der Systemprogramme. Das hat zur Folge, dass diese Datenbank viel größer ist (5 MB statt 600 KB auf einem Debian GNU/Linux System mit grafischen Subsystem und etwa 2,5 GB Software installiert) und nicht auf ein kleines, transportables Medium wie eine Diskette passt, aber wohl auf einen tragbaren USB-Speicher.

note: type: <p><example>
en: not all Debian packages provide md5sums for the files installed since it is not (currently) mandated policy. Notice, however, that you can generate the md5sums for all packages using <package>debsums</package> after you've finished the system installation:
de: Nicht alle Debian-Pakete stellen MD5-Summen der installierten Dateien zur Verfügung, da es (derzeit) nicht in der Richtlinie verlangt wird. Sie können allerdings nach der Installation die MD5-Summen aller Pakete mit <package>debsums</package> erstellen:

note: type: <p></p>
en: Once the snapshot is done you should make sure to set the medium read-only. You can then store it for backup or place it in the drive and use it to drive a <prgn>cron</prgn> check nightly comparing the original md5sums against those on the snapshot.
de: Sobald der Schnappschuss erstellt wurde, sollten Sie sicherstellen, dass das entsprechende Medium schreibgeschützt ist. Sie können es dann als Sicherheitskopie verwenden oder in ein Laufwerk stecken, um jede Nacht mit <prgn>cron</prgn> die MD5-Summen des Systems mit Ihrem Schnappschuss zu vergleichen.

note: type: <p></p>
en: If you do not want to setup a manual check you can always use any of the integrity systems available that will do this and more, for more information please read <ref id="periodic-integrity">.
de: Wenn Sie keine Überprüfung von Hand einrichten wollen, können Sie immer eines der Integritätssysteme verwenden, die diese Aufgabe und noch vieles mehr für Sie erledigen werden. Weitere Informationen finden Sie unter <ref id="periodic-integrity">.

note: type: <heading></heading>
en: Other recommendations
de: Andere Empfehlungen

note: type: <heading></heading>
en: Do not use software depending on svgalib
de: Benutzen Sie keine Software, die von svgalib abhängt

note: type: <p></p>
en: SVGAlib is very nice for console lovers like me, but in the past it has been proven several times that it is very insecure. Exploits against <prgn>zgv</prgn> were released, and it was simple to become root. Try to prevent using SVGAlib programs wherever possible.
de: SVGAlib ist ganz nett für Konsolen-Liebhaber wie mich, aber in der Vergangenheit wurde mehrfach gezeigt, dass es ziemlich unsicher ist. Exploits durch <prgn>zgv</prgn> wurden veröffentlicht und es war einfach, Root zu werden. Versuchen Sie die Nutzung von SVGAlib-Programmen wann immer nur möglich zu vermeiden.

note: type: <heading></heading>
en: Securing services running on your system
de: Absichern von Diensten, die auf Ihrem System laufen

note: type: <p><list>
en: Services can be secured in a running system in two ways:
de: Dienste können auf zwei Arten in einem laufenden System abgesichert werden:

note: type: <p></p>
en: Making them only accessible at the access points (interfaces) they need to be in.
de: Sie so einstellen, dass auf sie nur von Zugangspunkten (Interfaces) zugegriffen werden kann, von denen es nötig ist.

note: type: <p></p>
en: Configuring them properly so that they can only be used by legitimate users in an authorized manner.
de: Sie so konfigurieren, dass sie nur von legitimierten Benutzern auf autorisierte Art und Weise benutzt werden können.

note: type: <p></p>
en: Restricting services so that they can only be accessed from a given place can be done by restricting access to them at the kernel (i.e. firewall) level, configure them to listen only on a given interface (some services might not provide this feature) or using some other methods, for example the Linux vserver patch (for 2.4.16) can be used to force processes to use only one interface.
de: Dienste können durch Zugriffsbeschränkungen auf Kernel-Ebene (durch eine Firewall) eingeschränkt werden, so dass auf sie nur von bestimmten Orten aus zugegriffen werden kann. Konfigurieren Sie sie, so dass sie nur auf einer bestimmten Schnittstelle horchen (einige Dienste bieten diese Fähigkeiten nicht). Oder verwenden Sie eine andere Methode, zum Beispiel den Linux-vserver-Patch (für 2.4.16), mit dem Prozesse an eine bestimmte Schnittstelle gebunden werden können.

note: type: <p><example>
en: Regarding the services running from <prgn>inetd</prgn> (<prgn>telnet</prgn>, <prgn>ftp</prgn>, <prgn>finger</prgn>, <prgn>pop3</prgn>...) it is worth noting that <prgn>inetd</prgn> can be configured so that services only listen on a given interface (using <tt>service@ip</tt> syntax) but that's an undocumented feature. One of its substitutes, the <prgn>xinetd</prgn> meta-daemon includes a <tt>bind</tt> option just for this matter. See <manref name="xinetd.conf" section="5">.
de: Was die Dienste angeht, die von <prgn>inetd</prgn> aufgerufen werden (<prgn>telnet</prgn>, <prgn>ftp</prgn>, <prgn>finger</prgn>, <prgn>pop3</prgn>, ...), so ist es wert zu erwähnen, dass <prgn>inetd</prgn> so konfiguriert werden kann, dass er nur auf eine bestimmte Schnittstelle reagiert (unter Verwendung der <tt>service@ip</tt>-Syntax). Dies ist jedoch eine nicht dokumentierte Eigenschaft. Ein Ersatz, der Meta-Daemon <prgn>xinetd</prgn>, kennt eine <tt>bind</tt>-Option nur für diesen Zweck. Lesen Sie dazu bitte <manref name="xinetd.conf" section="5">.

note: type: <p></p>
en: The following sections detail how specific individual services can be configured properly depending on their intended use.
de: Die folgenden Abschnitte gehen detaillierter darauf ein, wie bestimmte Dienste abhängig von der beabsichtigten Benutzung passend konfiguriert werden.

note: type: <heading></heading>
en: Securing ssh
de: Absichern von ssh

note: type: <p></p>
en: If you are still running telnet instead of ssh, you should take a break from this manual and change this. Ssh should be used for all remote logins instead of telnet. In an age where it is easy to sniff Internet traffic and get clear-text passwords, you should use only protocols which use cryptography. So, perform an <tt>apt-get install ssh</tt> on your system now.
de: Wenn Sie immer noch telnet statt ssh benutzen, sollten Sie dieses Handbuch kurz beiseitelegen und dies ändern. Ssh sollte anstelle von telnet für alle Anmeldungen aus der Ferne benutzt werden. In einer Zeit, in der es leicht ist, Internet-Verkehr mitzuschnüffeln und an Klartext-Passwörter heranzukommen, sollten Sie lediglich Protokolle verwenden, die Verschlüsselung benutzen. Also führen Sie sofort ein <tt>apt-get install ssh</tt> auf Ihrem System aus.

note: type: <p><list>
en: Encourage all the users on your system to use ssh instead of telnet, or even better, uninstall telnet/telnetd. In addition you should avoid logging into the system using ssh as root and use alternative methods to become root instead, like <prgn>su</prgn> or <prgn>sudo</prgn>. Finally, the <file>sshd_config</file> file, in <file>/etc/ssh</file>, should be modified to increase security as well:
de: Ermuntern Sie alle Benutzer Ihres Systems, ssh anstelle von telnet zu benutzen, oder noch besser: deinstallieren Sie telnet/telnetd. Zusätzlich sollten Sie es vermeiden, sich mit ssh als Root einzuloggen, und lieber andere Methoden benutzen, um Root zu werden. Wie zum Beispiel <prgn>su</prgn> oder <prgn>sudo</prgn>. Schließlich sollten Sie noch die Datei <file>/etc/ssh/sshd_config</file> für mehr Sicherheit modifizieren:

note: type: <p></p>
en: Have ssh listen only on a given interface, just in case you have more than one (and do not want ssh available on it) or in the future add a new network card (and don't want ssh connections from it).
de: Lassen Sie ssh nur auf einer bestimmten Schnittstelle lauschen, falls Sie mehrere haben (und ssh nicht auf allen verfügbar sein soll) oder Sie in Zukunft eine neue Netzwerkkarte einbauen werden (und keine ssh-Verbindungen auf ihr erlauben wollen).

note: type: <p></p>
en: Try not to permit Root Login wherever possible. If anyone wants to become root via ssh, now two logins are needed and the root password cannot be brute forced via SSH.
de: Versuchen Sie so wenige Anmeldungen als Root wie möglich zu erlauben. Wenn nun jemand Root werden will, benötigt er zwei Anmeldungen. So kann das Root-Passwort nicht so leicht ausgetestet werden.

note: type: <p></p>
en: <tt>Port 666</tt> or <tt>ListenAddress 192.168.0.1:666</tt>
de: <tt>Port 666</tt> oder <tt>ListenAddress 192.168.0.1:666</tt>

note: type: <p></p>
en: Change the listen port, so the intruder cannot be completely sure whether a sshd daemon runs (be forewarned, this is security by obscurity).
de: Verändern Sie den Port, auf dem ssh lauscht, so dass ein Eindringling nicht wirklich sicher sein kann, ob ein sshd-Daemon läuft (aber beachten Sie, dass dies lediglich »Sicherheit durch Verschleierung« ist).

note: type: <p></p>
en: Empty passwords make a mockery of system security.
de: Nicht gesetzte Passwörter spotten jeglicher Systemsicherheit.

note: type: <p></p>
en: <tt>AllowUsers alex ref me@somewhere</tt>
de: <tt>AllowUsers alex ref ich@irgendwo</tt>

note: type: <p></p>
en: Allow only certain users to have access via ssh to this machine. <tt>user@host</tt> can also be used to restrict a given user from accessing only at a given host.
de: Erlauben Sie nur bestimmten Benutzern sich via ssh auf der Maschine anzumelden. <tt>benutzer@host</tt> kann auch verwendet werden, um einen bestimmten Benutzer dazu zu zwingen, nur von einem bestimmten Host aus zuzugreifen.

note: type: <p></p>
en: Allow only certain group members to have access via ssh to this machine. AllowGroups and AllowUsers have equivalent directives for denying access to a machine. Not surprisingly they are called "DenyUsers" and "DenyGroups".
de: Erlauben Sie nur bestimmten Gruppenmitgliedern sich via ssh auf der Maschine einzuloggen. AllowGroups und AllowUsers haben äquivalente Verfahrensweisen, um den Zugang zu der Maschine zu verwehren. Es wird nicht überraschen, dass es sich hierbei um »DenyUsers« und »DenyGroups« handelt.

note: type: <p></p>
en: It is completely your choice what you want to do. It is more secure to only allow access to the machine from users with ssh-keys placed in the <file>~/.ssh/authorized_keys</file> file. If you want so, set this one to "no".
de: Es ist allein Ihre Wahl, was Sie hier eintragen. Es ist sicherer, Zugriff nur Benutzern zu erlauben, die ssh-Schlüssel in der Datei <file>~/.ssh/authorized_keys</file> haben. Wenn Sie dies wollen, setzen Sie es auf »no«.

note: type: <p></p>
en: Disable any form of authentication you do not really need, if you do not use, for example <tt>RhostsRSAAuthentication</tt>, <tt>HostbasedAuthentication</tt>, <tt>KerberosAuthentication</tt> or <tt>RhostsAuthentication</tt> you should disable them, even if they are already by default (see the manpage <manref name="sshd_config" section="5">).
de: Schalten Sie jede Art der Authentifizierung ab, die Sie nicht wirklich benötigen, zum Beispiel <tt>RhostsRSAAuthentication</tt>, <tt>HostbasedAuthentication</tt>, <tt>KerberosAuthentication</tt> oder <tt>RhostsAuthentication</tt>. Sie sollten sie abschalten, auch wenn sie es standardmäßig bereits sind (siehe dazu die Handbuch-Seite <manref name="sshd_config" section="5">).

note: type: <p></p>
en: Disable the protocol version 1, since it has some design flaws that make it easier to crack passwords. For more information read <url id="http://earthops.net/ssh-timing.pdf" name="a paper regarding ssh protocol problems"> or the <url id="http://xforce.iss.net/static/6449.php" name="Xforce advisory">.
de: Deaktivieren Sie die Protokollversion 1, da diese einige Designschwächen hat, die es einfacher zu machen, Passwörter zu knacken. Für weitere Informationen lesen Sie <url id="http://earthops.net/ssh-timing.pdf" name="a paper regarding ssh protocol problems"> oder das  <url id="http://xforce.iss.net/static/6449.php" name="Xforce advisory">.

note: type: <p></p>
en: <tt>Banner <file>/etc/<var>some_file</var></file></tt>
de: <tt>Banner <file>/etc/<var>eine_Datei</var></file></tt>

note: type: <p></p>
en: Add a banner (it will be retrieved from the file) to users connecting to the ssh server. In some countries sending a warning before access to a given system about unauthorized access or user monitoring should be added to have legal protection.
de: Fügen Sie einen Bannertext (er wird aus der Datei bezogen) für Benutzer, die sich mit dem ssh-Server verbinden, hinzu. In einigen Ländern sollte das Senden einer Warnung über unautorisierten Zugriff oder Benutzerüberwachung vor dem Zugriff zu einem bestimmten System erfolgen, um sich rechtlich abzusichern.

note: type: <p><example>
en: You can also restrict access to the ssh server using <tt>pam_listfile</tt> or <tt>pam_wheel</tt> in the PAM control file. For example, you could keep anyone not listed in <file>/etc/loginusers</file> away by adding this line to <file>/etc/pam.d/ssh</file>:
de: Sie können den Zugriff auf den ssh-Server auch mittels <tt>pam_listfile</tt> oder <tt>pam_wheel</tt> in der PAM-Kontrolldatei beschränken. Zum Beispiel können Sie jeden abhalten, der nicht in der Datei <file>/etc/loginusers</file> aufgelistet ist, durch Hinzufügen folgender Zeile zu <file>/etc/pam.d/ssh</file>:

note: type: <p></p>
en: As a final note, be aware that these directives are from a OpenSSH configuration file. Right now, there are three commonly used SSH daemons, ssh1, ssh2, and OpenSSH by the OpenBSD people. Ssh1 was the first ssh daemon available and it is still the most commonly used (there are rumors that there is even a Windows port). Ssh2 has many advantages over ssh1 except it is released under a closed-source license. OpenSSH is completely free ssh daemon, which supports both ssh1 and ssh2. OpenSSH is the version installed on Debian when the package <package>ssh</package> is chosen.
de: Abschließend beachten Sie bitte, dass diese Direktiven von einer OpenSSH-Konfigurationsdatei stammen. Derzeit gibt es drei weit verbreitete ssh-Daemonen: ssh1, ssh2 und OpenSSH von den OpenBSD-Leuten. Ssh1 war der erste verfügbare ssh-Daemon und er ist noch der weit verbreitetste (Gerüchten zufolge gibt es sogar eine Windows-Version). Ssh2 hat gegenüber ssh1 viele Vorteile, abgesehen davon, dass es unter einer unfreien Lizenz veröffentlicht wurde. OpenSSH ist ein völlig freier ssh-Daemon, der sowohl ssh1 als auch ssh2 unterstützt. OpenSSH ist die Version, die installiert wird, wenn Sie auf Debian das Paket <package>ssh</package> auswählen.

note: type: <p></p>
en: You can read more information on how to set up SSH with PAM support in the <url id="http://lists.debian.org/debian-security/2001/debian-security-200111/msg00395.html" name="security mailing list archives">.
de: Mehr Informationen, wie Sie SSH mit Unterstützung für PAM aufsetzen, finden Sie hier: <url id="http://lists.debian.org/debian-security/2001/debian-security-200111/msg00395.html" name="security mailing list archives">.

note: type: <heading></heading>
en: Chrooting ssh
de: SSH in ein Chroot-Gefängnis einsperren

note: type: <p></p>
en: Currently OpenSSH does not provide a way to chroot automatically users upon connection (the commercial version does provide this functionality). However there is a project to provide this functionality for OpenSSH too, see <url id="http://chrootssh.sourceforge.net">, it is not currently packaged for Debian, though. You could use, however, the <file>pam_chroot</file> module as described in <ref id="user-restrict">.
de: Zurzeit bietet OpenSSH keine Möglichkeit, automatisch Benutzer bei der Verbindung in ein Chroot-Gefängnis einzusperren (die kommerzielle Version bietet diese Funktionalität). Wie dem auch sei, es gibt auch ein Projekt, das diese Funktionalität für OpenSSH anbietet, vergleiche <url id="http://chrootssh.sourceforge.net">. Es ist aber aktuell noch nicht als Debianpaket verfügbar. Sie sollten stattdessen das <file>pam_chroot</file>-Modul, wie in <ref id="user-restrict"> beschrieben, verwenden.

note: type: <p></p>
en: In <ref id="chroot-ssh-env"> you can find several options to make a chroot environment for SSH.
de: In <ref id="chroot-ssh-env"> können Sie verschiedene Optionen finden, um Chroot-Umgebungen für SSH zu erstellen.

note: type: <heading></heading>
en: Ssh clients
de: Ssh-Clients

note: type: <p></p>
en: If you are using an SSH client against the SSH server you must make sure that it supports the same protocols that are enforced on the server. For example, if you use the <package>mindterm</package> package, it only supports protocol version 1. However, the sshd server is, by default, configured to only accept version 2 (for security reasons).
de: Wenn Sie einen SSH-Client mit einem SSH-Server verwenden, müssen Sie sicherstellen, dass er die selben Protokolle, die vom Server erzwungen werden, unterstützt. Wenn Sie beispielsweise das Paket <package>mindterm</package> verwenden, unterstützt dies nur Protokollversion 1. Jedoch ist der sshd-Server standardmäßig so konfiguriert, nur Version 2 (aus Sicherheitsgründen) zu akzeptieren.

note: type: <heading></heading>
en: Disallowing file transfers
de: Verbieten der Übertragung von Dateien

note: type: <p></p>
en: If you do <em>not</em> want users to transfer files to and from the ssh server you need to restrict access to the <prgn>sftp-server</prgn> <em>and</em> the <prgn>scp</prgn> access. You can restrict <prgn>sftp-server</prgn> by configuring the proper <tt>Subsystem</tt> in the <file>/etc/ssh/sshd_config</file>.
de: Wenn Sie <em>nicht</em> möchten, das Benutzer Dateien zum und vom ssh-Server übertragen, müssen Sie den Zugang zu <prgn>sftp-server</prgn> <em>und</em> zu <prgn>scp</prgn> einschränken. Sie können dies für <prgn>sftp-server</prgn> tun, indem Sie den korrekten <tt>Subsystem</tt>-Wert in <file>/etc/ssh/sshd_config</file> eintragen.

note: type: <p></p>
en: You can also chroot users (using <package>libpam-chroot</package> so that, even if file transfer is allowed, they are limited to an environment which does not include any system files.
de: Sie können auch Benutzer mittels <package>libpam-chroot</package> in eine Chroot-Umgebung einsperren, so dass sie, selbst wenn Dateitransfers erlaubt sind, auf eine bestimmte Umgebung festgelegt sind, die keine Systemdateien enthält.

note: type: <heading></heading>
en: Restricing access to file transfer only
de: Beschränkung des Zugangs auf Dateientransfers

note: type: <p><list>
en: You might want to restrict access to users so that they can only do file transfers and cannot have interactive shells. In order to do this you can either:
de: Sie können den Zugang von Benutzern der Gestalt beschränken, dass sie nur Dateien übertragen können, aber keine interaktive Shell erhalten. Dies können Sie mit den folgenden Methoden erreichen:

note: type: <p></p>
en: disallow users from login to the ssh server (as described above either through the configuration file or PAM configuration).
de: den Benutzern verbieten, sich auf dem ssh-Server einzuloggen (wie oben beschrieben entweder durch die Konfigurationsdatei oder die PAM-Konfiguration), oder

note: type: <p></p>
en: give users a restricted shell such as <package>scponly</package> or <package>rssh</package>. These shells restrict the commands available to the users so that they are not provided any remote execution priviledges.
de: den Benutzern nur eine eingeschränkte Shell wie <package>scponly</package> oder <package>rssh</package> zuweisen. Diese Shells schränken die Befehle ein, die den Benutzern zur Verfügung stehen, so dass sie auf dem entfernten Rechner keine Befehle ausführen können.

note: type: <heading></heading>
en: Securing Squid
de: Absichern von Squid

note: type: <p><example>
en: Squid is one of the most popular proxy/cache server, and there are some security issues that should be taken into account. Squid's default configuration file denies all users requests. However the Debian package allows access from 'localhost', you just need to configure your browser properly. You should configure Squid to allow access to trusted users, hosts or networks defining an Access Control List on <file>/etc/squid/squid.conf</file>, see the <url id="http://www.deckle.co.za/squid-users-guide/Main_Page" name="Squid User's Guide"> for more information about defining ACLs rules. Notice that Debian provides a minimum configuration for Squid that will prevent anything, except from <em>localhost</em> to connect to your proxy server (which will run in the default port 3128). You will need to customize your <file>/etc/squid/squid.conf</file> as needed. The recommended minimum configuration (provided with the package) is shown below:
de: Squid ist einer der verbreitetsten Proxy/Cache-Server und es gibt ein paar Sicherheitsaspekte, die Sie beachten sollten. Squids Standard-Konfiguration lehnt alle Anfragen von Benutzern ab. Dennoch erlaubt das Debian-Paket Zugriff von »localhost«, Sie müssen nur Ihren Browser richtig konfigurieren. Sie sollten Squid so konfigurieren, dass er Zugriffe von vertrauenswürdigen Benutzern, Computern oder Netzwerken erlaubt, indem Sie eine Zugriffs-Kontroll-Liste (ACL, Access Control List) in <file>/etc/squid/squid.conf</file> definieren. Mehr Informationen, wie Sie ACLs definieren, finden Sie im <url name="Squid User's Guide" id="http://www.deckle.co.za/squid-users-guide/Main_Page">. Ein gute deutsche Dokumentation ist das <url name="Squid-Handbuch" id="http://www.squid-handbuch.de/">. Beachten Sie, dass Debian eine minimale Konfiguration für Squid bereitstellt, die alles verhindert, mit der Ausnahme, dass <em>localhost</em> sich mit Ihrem Proxy-Server (der standardmäßig mit dem Port 3128 läuft) verbinden kann. Sie müssen Ihre <file>/etc/squid/squid.conf</file>-Datei wie gewünscht anpassen. Die empfohlene minimale Konfiguration (mit dem Paket vertrieben) sieht wie folgt aus:

note: type: <example></example>
en: acl all src 0.0.0.0/0.0.0.0
    acl manager proto cache_object
    acl localhost src 127.0.0.1/255.255.255.255
    acl SSL_ports port 443 563
    acl Safe_ports port 80          # http
    acl Safe_ports port 21          # ftp
    acl Safe_ports port 443 563     # https, snews
    acl Safe_ports port 70          # gopher
    acl Safe_ports port 210         # wais
    acl Safe_ports port 1025-65535  # unregistered ports
    acl Safe_ports port 280         # http-mgmt
    acl Safe_ports port 488         # gss-http
    acl Safe_ports port 591         # filemaker
    acl Safe_ports port 777         # multiling http
    acl Safe_ports port 901         # SWAT
    acl purge method PURGE
    acl CONNECT method CONNECT
    (...)
    # Only allow cachemgr access from localhost
    http_access allow manager localhost
    http_access deny manager
    # Only allow purge requests from localhost
    http_access allow purge localhost
    http_access deny purge
    # Deny requests to unknown ports
    http_access deny !Safe_ports
    # Deny CONNECT to other than SSL ports
    http_access deny CONNECT !SSL_ports
    #
    # INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
    #
    http_access allow localhost
    # And finally deny all other access to this proxy
    http_access deny all
    #Default:
    # icp_access deny all
    #
    #Allow ICP queries from everyone
    icp_access allow all
de: acl all src 0.0.0.0/0.0.0.0
    acl manager proto cache_object
    acl localhost src 127.0.0.1/255.255.255.255
    acl SSL_ports port 443 563
    acl Safe_ports port 80          # http
    acl Safe_ports port 21          # ftp
    acl Safe_ports port 443 563     # https, snews
    acl Safe_ports port 70          # gopher
    acl Safe_ports port 210         # wais
    acl Safe_ports port 1025-65535  # unregistered ports
    acl Safe_ports port 280         # http-mgmt
    acl Safe_ports port 488         # gss-http
    acl Safe_ports port 591         # filemaker
    acl Safe_ports port 777         # multiling http
    acl Safe_ports port 901         # SWAT
    acl purge method PURGE
    acl CONNECT method CONNECT
    (...)
    # Erlaube nur cachemgr Zugriff von localhost
    http_access allow manager localhost
    http_access deny manager
    # Erlaube nur purge Anfragen von localhost
    http_access allow purge localhost
    http_access deny purge
    # Verbiete Anfragen zu unbekannten Ports
    http_access deny !Safe_ports
    # Verbiete CONNECT zu anderen als SSL-Ports
    http_access deny CONNECT !SSL_ports
    #
    # INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
    #
    http_access allow localhost
    # And finally deny all other access to this proxy
    http_access deny all
    #Default:
    # icp_access deny all
    #
    #Allow ICP queries from everyone
    icp_access allow all

note: type: <p></p>
en: You should also configure Squid based on your system resources, including cache memory (option <tt>cache_mem</tt>), location of the cached files and the amount of space they will take up on disk (option <tt>cache_dir</tt>).
de: Sie sollten Squid auch entsprechend Ihren System-Ressourcen konfigurieren einschließlich des Cache-Speichers (Option <tt>cache_mem</tt>), der Lage der zwischengespeicherten Dateien und der verwendeten Speichermenge auf der Platte (Option <tt>cache_dir</tt>).

note: type: <p></p>
en: Notice that, if not properly configured, someone may relay a mail message through Squid, since the HTTP and SMTP protocols are designed similarly. Squid's default configuration file denies access to port 25. If you wish to allow connections to port 25 just add it to Safe_ports lists. However, this is <em>NOT</em> recommended.
de: Beachten Sie, dass es bei ungeeigneter Konfiguration vorkommen kann, dass jemand eine Mail über Squid weiterleitet, da die Protokolle HTTP und SMTP ein ähnliches Design haben. Squids Standardkonfiguration verweigert Zugriffe auf Port 25. Wenn Sie Verbindungen an Port 25 erlauben wollen, fügen Sie ihn einfach zu der Safe_ports-Liste hinzu. Dies ist aber <em>NICHT</em> empfohlen.

note: type: <p><list>
en: Setting and configuring the proxy/cache server properly is only part of keeping your site secure. Another necessary task is to analyze Squid's logs to assure that all things are working as they should be working. There are some packages in Debian GNU/Linux that can help an administrator to do this. The following packages are available in Debian 3.0 and Debian 3.1 (sarge):
de: Passendes Aufsetzen und Konfigurieren des Proxy/Cache-Servers ist nur ein Teil der Absicherung Ihrer Site. Eine andere notwendige Aufgabe ist es, Squids Log-Dateien zu analysieren, um sicher zu gehen, dass alles so arbeitet, wie es soll. Es gibt ein paar Pakete in Debian GNU/Linux, die einem Administrator hierbei helfen können. Die folgenden Pakete sind in Debian 3.0 (Woody) und Debian 3.1 (Sarge) verfügbar:

note: type: <p></p>
en: <package>calamaris</package> - Log analyzer for Squid or Oops proxy log files.
de: <package>calamaris</package> &ndash; Log-Datei-Analysator für Squid- oder Oops-Proxy-Log-Dateien

note: type: <p></p>
en: <package>modlogan</package> - A modular logfile analyzer.
de: <package>modlogan</package> &ndash; ein modularer Log-Datei-Analysator

note: type: <p></p>
en: <package>sarg</package> - Squid Analysis Report Generator.
de: <package>sarg</package> &ndash; Squid Analysis Report Generator

note: type: <p></p>
en: <package>squidtaild</package> - Squid log monitoring program.
de: <package>squidtaild</package> &ndash; Squid-Log-Beobachtungsprogramm

note: type: <p></p>
en: When using Squid in Accelerator Mode it acts as a web server too. Turning on this option increases code complexity, making it less reliable. By default Squid is not configured to act as a web server, so you don't need to worry about this. Note that if you want to use this feature be sure that it is really necessary. To find more information about Accelerator Mode on Squid see the <url id="http://www.deckle.co.za/squid-users-guide/Accelerator_Mode" name="Squid User's Guide - Accelerator Mode">
de: Wenn Squid im »Accelerator Mode« betrieben wird, agiert er auch als Web-Server. Aktivieren dieser Option erhöht die Komplexität des Codes, was ihn weniger vertrauenswürdig macht. Standardmäßig ist Squid nicht dazu konfiguriert, als Web-Server zu arbeiten, Sie müssen sich darüber also keine Gedanken machen. Sie sollen sicher sein, dass es wirklich nötig ist, wenn Sie diese Eigenschaft nutzen wollen. Weitere Informationen über den »Accelerator Mode« in Squid finden Sie im <url name="Squid User's Guide - Accelerator Mode" id="http://www.deckle.co.za/squid-users-guide/Accelerator_Mode">.

note: type: <heading></heading>
en: Securing FTP
de: Absichern von FTP

note: type: <p><example>
en: If you really have to use FTP (without wrapping it with sslwrap or inside a SSL or SSH tunnel), you should chroot ftp into the ftp users' home directory, so that the user is unable to see anything else than their own directory. Otherwise they could traverse your root file system just like if they had a shell in it. You can add the following line in your <file>proftpd.conf</file> in your global section to enable this chroot feature:
de: Wenn Sie wirklich FTP benutzen müssen (ohne ihn mit sslwrap zu umhüllen oder innerhalb eines SSL- oder SSH-Tunnels), sollten Sie ftp in das Home-Verzeichnis der FTP-Benutzer mit chroot einsperren, so dass diese nichts anderes sehen können als ihr eigenes Verzeichnis. Andernfalls können sie die Wurzel Ihres Dateisystems durchforsten, als hätten sie Shell-Zugriff darauf. Sie können die folgende Zeile in Ihre <file>proftpd.conf</file>-Datei im globalen Abschnitt hinzufügen, um die chroot-Fähigkeiten zu nutzen:

note: type: <p></p>
en: Restart ProFTPd by <tt>/etc/init.d/proftpd restart</tt> and check whether you can escape from your homedir now.
de: Starten Sie ProFTPd neu, indem Sie <tt>/etc/init.d/proftpd restart</tt> eingeben, und prüfen Sie, ob Sie noch aus Ihrem Home-Verzeichnis heraus kommen können.

note: type: <p></p>
en: To prevent ProFTPd DoS attacks using ../../.., add the following line in <file>/etc/proftpd.conf</file>: <tt>DenyFilter \*.*/</tt>
de: Um ProFTPd-DoS-Angriffe durch ../../../ zu verhindern, fügen Sie die folgende Zeile Ihrer <file>/etc/proftpd.conf</file> hinzu: <tt>DenyFilter \*.*/</tt>

note: type: <p></p>
en: Always remember that FTP sends login and authentication passwords in clear text (this is not an issue if you are providing an anonymous public service) and there are better alternatives in Debian for this. For example, <prgn>sftp</prgn> (provided by <package>ssh</package>). There are also free implementations of SSH for other operating systems: <url id="http://www.chiark.greenend.org.uk/~sgtatham/putty/" name="putty"> and <url id="http://www.cygwin.com" name="cygwin"> for example.
de: Vergessen Sie nicht, dass FTP Login- und Authentifizierungs-Passwort als Klartext sendet (dies ist kein Problem, wenn Sie einen anonymen, öffentlichen Dienst anbieten) und es gibt bessere Alternativen in Debian hierzu. Zum Beispiel <prgn>sftp</prgn> (aus dem Paket <package>ssh</package>). Es gibt auch freie Implementierungen von SSH für andere Betriebssysteme, zum Beispiel <url id="http://www.chiark.greenend.org.uk/~sgtatham/putty/" name="putty"> oder <url id="http://www.cygwin.com" name="cygwin">.

note: type: <p></p>
en: However, if you still maintain the FTP server while making users access through SSH you might encounter a typical problem. Users accessing anonymous FTP servers inside SSH-secured systems might try to log in the <em>FTP server</em>. While the access will be refused, the password will nevertheless be sent through the net in clear form. To avoid that, ProFTPd developer TJ Saunders has created a patch that prevents users feeding the anonymous FTP server with valid SSH accounts. More information and patch available at: <url id="http://www.castaglia.org/proftpd/#Patches" name="ProFTPD Patches">. This patch has been reported to Debian too, see <url id="http://bugs.debian.org/145669" name="Bug #145669">.
de: Wenn Sie dennoch einen FTP-Server verwalten, während Sie den Benutzern Zugriff via SSH gewähren, könnten Sie auf ein typisches Problem stoßen. Benutzer, die innerhalb eines mit SSH abgesicherten Systems auf einen anonymen FTP-Server zugreifen wollen, können versuchen, sich auf dem <em>FTP-Server</em> einzuloggen. Während der Zugriff verweigert werden wird, wird das Passwort trotzdem als Klartext über das Netz gesendet. Um dies zu verhindern, hat der ProFTPd-Entwickler TJ Saunders einen Patch erstellt, der verhindert, dass Benutzer den anonymen FTP-Server mit gültigen SSH-Zugangsdaten füttern. Mehr Informationen und den Patch finden Sie unter: <url id="http://www.castaglia.org/proftpd/#Patches" name="ProFTPD Patches">. Dieser Patch wurde auch an Debian gesandt, vergleiche <url id="http://bugs.debian.org/145669" name="Fehler #145669">.

note: type: <heading></heading>
en: Securing access to the X Window System
de: Zugriff auf das X-Window-System absichern

note: type: <p></p>
en: Today, X terminals are used by more and more companies where one server is needed for a lot of workstations. This can be dangerous, because you need to allow the file server to connect to the clients (X server from the X point of view. X switches the definition of client and server). If you follow the (very bad) suggestion of many docs, you type <tt>xhost +</tt> on your machine. This allows any X client to connect to your system. For slightly better security, you can use the command <tt>xhost +hostname</tt> instead to only allow access from specific hosts.
de: Heutzutage werden X-Terminals in immer mehr Unternehmen benutzt, wo ein Server für viele Arbeitsplätze benötigt wird. Dies kann gefährlich sein, weil Sie dem Datei-Server erlauben müssen, sich mit den X-Clients zu verbinden (X-Server aus Sicht von X. X vertauscht die Definition von Client und Server). Wenn Sie dem (sehr schlechten) Vorschlag von vielen Dokumentationen folgen, geben Sie auf Ihrer Maschine <tt>xhost +</tt> ein. Dies erlaubt jedem X-Client, sich mit Ihrem System zu verbinden. Für etwas bessere Sicherheit können Sie stattdessen das Kommando <tt>xhost +Rechnername</tt> verwenden, um den Zugriff auf bestimmte Rechner zu begrenzen.

note: type: <p></p>
en: A much more secure solution, though, is to use ssh to tunnel X and encrypt the whole session. This is done automatically when you ssh to another machine. For this to work, you have to configure both the ssh client and the ssh server. On the ssh client, <tt>ForwardX11</tt> should be set to <tt>yes</tt> in <file>/etc/ssh/ssh_config</file>. On the ssh server, <tt>X11Forwarding</tt> should be set to <tt>yes</tt> in <file>/etc/ssh/sshd_config</file> and the package <package>xbase-clients</package> should be installed because the ssh server uses <file>/usr/X11R6/bin/xauth</file> (<file>/usr/bin/xauth</file> on Debian unstable) when setting up the pseudo X display. In times of SSH, you should drop the xhost based access control completely.
de: Allerdings ist es eine viel sicherere Lösung, SSH zu benutzen, um X zu tunneln und die gesamte Sitzung zu verschlüsseln. Dies geschieht automatisch, wenn Sie sich an einer anderen Maschine via ssh anmelden. Damit dies funktioniert, müssen Sie den ssh-Client und den ssh-Server konfigurieren. Auf dem ssh-Client muss <tt>ForwardX11</tt> in <file>/etc/ssh/ssh_config</file> auf <tt>yes</tt> gesetzt sein. Auf dem ssh-Server muss <tt>X11Forwarding</tt> in <file>/etc/ssh/sshd_config</file> auf <tt>yes</tt> gesetzt sein und das Paket <package>xbase-clients</package> muss installiert sein. Dies liegt daran, dass der SSH-Server <file>/usr/X11R6/bin/xauth</file> (bei Debian-Unstable (<file>/usr/bin/xauth</file>) verwendet, wenn er das Pseudo-X-Display aufsetzt. In den Zeiten von SSH sollten Sie die xhost-basierte Zugriffskontrolle komplett über Bord werfen.

note: type: <p><example>
en: For best security, if you do not need X access from other machines, switch off the binding on TCP port 6000 simply by typing:
de: Wenn Sie keinen X-Zugriff von anderen Maschinen benötigen, ist es für die Sicherheit am besten, die Bindung auf dem TCP-Port 6000 abzuschalten, indem Sie einfach Folgendes eingeben:

note: type: <p><example>
en: This is the default behavior in Xfree 4.1.0 (the Xserver provided in Debian 3.0 and 3.1). If you are running Xfree 3.3.6 (i.e. you have Debian 2.2 installed) you can edit <file>/etc/X11/xinit/xserverrc</file> to have it something along the lines of:
de: Dies ist das Standard-Verhalten unter XFree 4.1.0 (dem Xserver aus Debian 3.0 und 3.1). Wenn Sie XFree 3.3.6 laufen lassen (d.h. wenn Sie Debian 2.2 benutzen), können Sie <file>/etc/X11/xinit/xserverrc</file> editieren, damit Sie etwas erhalten wie:

note: type: <p></p>
en: If you are using XDM set <file>/etc/X11/xdm/Xservers</file> to: <tt>:0 local /usr/bin/X11/X vt7 -dpi 100 -nolisten tcp</tt>. If you are using Gdm make sure that the <tt>DisallowTCP=true</tt> option is set in the <file>/etc/gdm/gdm.conf</file> (which is the default in Debian). This will basically append <tt>-nolisten tcp</tt> to every X command line <footnote><p>Gdm will <em>not</em> append <tt>-nolisten tcp</tt> if it finds a <tt>-query</tt> or <tt>-indirect</tt> on the command line since the query wouldn't work.</p></footnote>.
de: Wenn Sie XDM benutzen, setzen Sie <file>/etc/X11/xdm/Xservers</file> auf <tt>:0 local /usr/bin/X11/X vt7 -dpi 100 -nolisten tcp</tt>. Wenn Sie GDM benutzen, stellen Sie sicher, dass die Option <tt>DisallowTCP=true</tt> in <file>/etc/gdm/gdm.conf</file> eingetragen ist (was standardmäßig unter Debian der Fall ist). Dies wird grundsätzlich an jede X-Befehlszeile <tt>-nolisten tcp</tt> anhängen <footnote><p> GDM wird <tt>-nolisten tcp</tt> <em>nicht</em> anhängen, wenn es <tt>-query</tt> oder <tt>-indirect</tt> in der Befehlszeile findet, da sonst die Anfrage nicht funktionieren würde. </footnote>.

note: type: <p><example>
en: You can also set the default's system timeout for <prgn>xscreensaver</prgn> locks. Even if the user can override it, you should edit the <file>/etc/X11/app-defaults/XScreenSaver</file> configuration file and change the lock line:
de: Sie können außerdem eine standardmäßige Zeitgrenze für die <prgn>xscreensaver</prgn>-Bildschirmsperre setzen. Auch wenn der Benutzer sie aufheben kann, sollten Sie die Konfigurationsdatei <file>/etc/X11/app-defaults/XScreenSaver</file> editieren und die lock-Zeile von

note: type: <p><example>
en: (which is the default in Debian) to:
de: (das ist der Standardwert unter Debian) auf Folgendes ändern:

note: type: <p></p>
en: Read more on X Window security in <url id="http://www.tldp.org/HOWTO/XWindow-User-HOWTO.html" name="XWindow-User-HOWTO"> (<file>/usr/share/doc/HOWTO/en-txt/XWindow-User-HOWTO.txt.gz</file>).
de: Lesen Sie mehr zur Sicherheit von X Window in <url name="XWindow-User-HOWTO" id="http://www.tldp.org/HOWTO/XWindow-User-HOWTO.html"> (<file>/usr/share/doc/HOWTO/en-txt/XWindow-User-HOWTO.txt.gz</file>).

note: type: <heading></heading>
en: Check your display manager
de: Überprüfen Ihres Display-Managers

note: type: <p><example>
en: If you only want to have a display manager installed for local usage (having a nice graphical login, that is), make sure the XDMCP (X Display Manager Control Protocol) stuff is disabled. In XDM you can do this with this line in <tt>/etc/X11/xdm/xdm-config</tt>:
de: Wenn Sie einen Display-Manager lediglich zur lokalen Nutzung (für ein schönes graphisches Anmeldefenster) haben wollen, gehen Sie sicher, dass der XDMCP (X Display Manager Control Protocol) Krempel abgeschaltet ist. Unter XDM können Sie dies mit der folgenden Zeile in <tt>/etc/X11/xdm/xdm-config</tt> erreichen:

note: type: <p><example>
en: For GDM there should be in your gdm.conf:
de: Für GDM müssen Sie in Ihre gdm.conf Folgendes eintragen:

note: type: <p></p>
en: Normally, all display managers are configured not to start XDMCP services per default in Debian.
de: Normalerweise sind unter Debian alle Display-Manager so konfiguriert, dass sie standardmäßig keine XDMCP-Dienste starten.

note: type: <heading></heading>
en: Securing printing access (the lpd and lprng issue)
de: Absichern des Druckerzugriffs (die lpd- und lprng-Problematik)

note: type: <p></p>
en: Imagine, you arrive at work, and the printer is spitting out endless amounts of paper because someone is DoSing your line printer daemon. Nasty, isn't it?
de: Stellen Sie sich vor, Sie kommen zur Arbeit und der Drucker spuckt endlose Mengen von Papier aus, weil jemand eine DoS-Attacke gegen Ihren Drucker-Daemon durchführt. Unangenehm, oder?

note: type: <p></p>
en: In any UNIX printing architecture, there has to be a way to get the client's data to the host's print server. In traditional <prgn>lpr</prgn> and <prgn>lp</prgn>, the client command copies or symlinks the data into the spool directory (which is why these programs are usually SUID or SGID).
de: In jeder UNIX-Druck-Architektur muss es einen Weg geben, um die Daten des Clients zu dem Druck-Server zu schicken. Traditionell machen dies <prgn>lpr</prgn> und <prgn>lp</prgn> so, dass das Client-Kommando die Daten in das Spool-Verzeichnis kopiert oder symbolisch verlinkt (weshalb diese Programme normalerweise SUID oder SGID sind).

note: type: <p></p>
en: In order to avoid any issues you should keep your printer servers especially secure. This means you need to configure your printer service so it will only allow connections from a set of trusted servers. In order to do this, add the servers you want to allow printing to your <file>/etc/hosts.lpd</file>.
de: Um jede Gefahr zu vermeiden, sollen Sie Ihren Druck-Server besonders sicher halten. Dies heißt, dass Sie Ihren Druckdienst so konfigurieren müssen, dass er nur Aufträge von vertrauenswürdigen Rechnern annimmt. Hierzu müssen Sie die Rechner, von denen Sie Druckaufträge entgegennehmen möchten, in die Datei <file>/etc/hosts.lpd</file> eintragen.

note: type: <p></p>
en: However, even if you do this, the <prgn>lpr</prgn> daemon accepts incoming connections on port 515 of any interface. You should consider firewalling connections from networks/hosts which are not allowed printing (the <prgn>lpr</prgn> daemon cannot be limited to listen only on a given IP address).
de: Allerdings akzeptiert der <prgn>lpr</prgn>-Daemon auch, wenn Sie dies getan haben, Verbindungen auf Port 515 auf jeder Schnittstelle. Sie sollten sich überlegen, ob Sie Verbindungen von Netzwerken/Rechnern, die nicht drucken dürfen, mittels Firewall blocken wollen (der <prgn>lpr</prgn>-Daemon kann nicht so konfiguriert werden, dass er nur auf eine bestimmte IP-Adresse lauscht).

note: type: <p></p>
en: <prgn>Lprng</prgn> should be preferred over <prgn>lpr</prgn> since it can be configured to do IP access control. And you can specify which interface to bind to (although somewhat weirdly).
de: Sie sollten <prgn>Lprng</prgn> gegenüber <prgn>lpr</prgn> vorziehen, da er so konfiguriert werden kann, dass er Zugangskontrolle über IP beherrscht. Und Sie können spezifizieren, auf welche Schnittstelle er sich binden soll (wenn auch etwas sonderbar).

note: type: <p></p>
en: If you are using a printer in your system, but only locally, you will not want to share this service over a network. You can consider using other printing systems, like the one provided by <package>cups</package> or <url id="http://pdq.sourceforge.net/" name="PDQ"> which is based on user permissions of the <file>/dev/lp0</file> device.
de: Wenn Sie Ihren Drucker nur lokal auf Ihrem System benutzen, werden Sie diesen Dienst nicht über ein Netzwerk anbieten wollen. Sie sollten dann überlegen, ein anderes Druck-System, wie zum Beispiel das aus dem Paket <package>cups</package> oder <url name="PDQ" id="http://pdq.sourceforge.net/">, das auf den Zugriffsrechten des Gerätes <file>/dev/lp0</file> beruht, einzusetzen.

note: type: <p></p>
en: In <package>cups</package>, the print data is transferred to the server via the HTTP protocol. This means the client program doesn't need any special privileges, but does require that the server is listening on a port somewhere.
de: Bei <package>cups</package> werden die Druckaufträge mit dem HTTP-Protokoll zum Server übertragen. Dadurch muss der Client nicht über spezielle Privilegien verfügen, aber dies erfordert, dass der Server auf irgendeinem Port lauscht.

note: type: <p><example>
en: However, if you want to use <prgn>cups</prgn>, but only locally, you can configure it to bind to the loopback interface by changing <file>/etc/cups/cupsd.conf</file>:
de: Wenn Sie <prgn>cups</prgn> jedoch nur lokal benutzen möchten, können Sie ihn so konfigurieren, dass er nur auf der Loopback-Schnittstelle lauscht, indem Sie Folgendes in Ihrer <file>/etc/cups/cupsd.conf</file> ändern:

note: type: <p><example>
en: There are many other security options like allowing or denying networks and hosts in this config file. However, if you do not need them you might be better off just limiting the listening port. <prgn>Cups</prgn> also serves documentation through the HTTP port, if you do not want to disclose potential useful information to outside attackers (and the port is open) add also:
de: Es gibt noch andere Sicherheitsoptionen in dieser Konfigurationsdatei, wie zum Beispiel das Erlauben oder Verweigern von Netzwerken oder Rechnern. Wenn Sie sie allerdings nicht benötigen, belassen Sie es am besten dabei, einfach nur den Port, auf dem gelauscht wird, einzuschränken. <prgn>Cups</prgn> liefert auch Dokumentation über den HTTP-Port. Wenn Sie diese potenziell nützlichen Informationen einem Angreifer von außerhalb nicht enthüllen wollen (und der Port offen ist), fügen Sie außerdem Folgendes hinzu:

note: type: <p></p>
en: This configuration file can be modified to add some more features including SSL/TLS certificates and crypto. The manuals are available at http://localhost:631/ or at <url id="cups.org">.
de: Die Konfigurationsdatei kann so angepasst werden, dass zusätzliche Fähigkeiten einschließlich SSL- und TLS-Zertifikate oder Verschlüsselung möglich werden. Die Handbücher finden Sie unter http://localhost:631/ oder <url id="http://cups.org">.

note: type: <heading></heading>
en: Securing the mail service
de: Absichern des Mail-Dienstes

note: type: <p></p>
en: If your server is not a mailing system, you do not really need to have a mail daemon listening for incoming connections, but you might want local mail delivered in order, for example, to receive mail for the root user from any alert systems you have in place.
de: Wenn Ihr Server kein Mail-System ist, müssen Sie nicht wirklich einen Mail-Daemon haben, der auf eingehende Verbindungen reagiert. Aber Sie wollen lokale Mails ausliefern, um beispielsweise Mails an den Root-User von irgendwelchen Alarmsystemen zu erhalten.

note: type: <p></p>
en: If you have <prgn>exim</prgn> you do not need the daemon to be working in order to do this since the standard <prgn>cron</prgn> job flushes the mail queue. See <ref id="disableserv"> on how to do this.
de: Wenn Sie <prgn>exim</prgn> haben, müssen Sie den Daemon nicht laufen lassen, um dies zu erreichen, da der Standard-<prgn>cron</prgn>-Job die Mails abarbeitet. Sehen Sie in <ref id="disableserv">, wie man dies erledigt.

note: type: <heading></heading>
en: Configuring a Nullmailer
de: Konfiguration eines Nullmailers

note: type: <p></p>
en: You might want to have a local mailer daemon so that it can relay the mails sent locally to another system. This is common when you have to administer a number of systems and do not want to connect to each of them to read the mail sent locally. Just as all logging of each individual system can be centralized by using a central syslog server, mail can be sent to a central mailserver.
de: Sie brauchen vielleicht einen lokalen Mail-Daemon, damit er die Mails, die vom lokalen Rechner zu einem anderen System geschickt wurden, versenden kann. Dies ist üblich, wenn Sie eine Anzahl von Systemen zu administrieren haben und nicht zu jedem von diesen eine Verbindung aufbauen wollen, um die dort lokal verschickten Mails zu lesen. Genau wie all das Protokollieren eines jeden individuellen Systems durch einen zentralen syslog-Server zentralisiert werden kann, so kann auch Mail zu einem zentralen Mail-Server gesandt werden.

note: type: <p></p>
en: Such a <em>relay-only</em> system should be configured properly for this. The daemon could, as well, be configured to only listen on the loopback address.
de: Solch ein <em>nur sendendes</em> System sollte sorgfältig dafür eingerichtet werden. Der Daemon kann ebenso konfiguriert werden, nur an der Loopback-Adresse zu lauschen.

note: type: <p></p>
en: The following configuration steps only need to be taken to configure the <package>exim</package> package in the Debian 3.0 release. If you are using a later release (such as 3.1 which uses <package>exim4</package>) the installation system has been improved so that if the mail transport agent is configured to only deliver local mail it will automatically only allow connections from the local host and will not permit remote connections.
de: Die folgenden Konfigurationsschritte müssen nur zur Konfiguration des <package>exim</package>-Pakets in der Debian 3.0 Version vorgenommen werden. Wenn Sie eine neuere Version verwenden (wie z.B. 3.1, das <package>exim4</package> verwendet), so wurde das Installationssystem verbessert, so dass, wenn der Mail-Transport-Agent konfiguriert wurde, nur lokale Mails zu versenden, es automatisch nur Verbindungen vom lokalen Rechner und keine Verbindungen aus der Ferne zulässt.

note: type: <p><example>
en: In a Debian 3.0 system using <package>exim</package>, you will have to remove the SMTP daemon from <prgn>inetd</prgn>:
de: In einem Debian 3.0 System mit <package>exim</package> muss man den SMTP-Daemon aus <prgn>inetd</prgn> wie folgt entfernen:

note: type: <p><example>
en: and configure the mailer daemon to only listen on the loopback interface. In <prgn>exim</prgn> (the default MTA) you can do this by editing the file <file>/etc/exim.conf</file> and adding the following line:
de: und den Mail-Daemon so konfigurieren, dass er nur auf der loopback-Schnittstelle lauscht. In <prgn>exim</prgn> (dem Standard-Mail-Transport-Agent (MTA) unter Debian) tun Sie dies, indem Sie in der Datei <file>/etc/exim.conf</file> folgende Zeile hinzufügen:

note: type: <p></p>
en: Restart both daemons (inetd and exim) and you will have exim listening on the 127.0.0.1:25 socket only. Be careful, and first disable inetd, otherwise, exim will not start since the inetd daemon is already handling incoming connections.
de: Starten Sie beide Daemonen neu (inetd und exim) und exim wird lediglich auf den Socket 127.0.0.1:25 lauschen. Seien Sie vorsichtig und deaktivieren Sie erst inetd, oder exim wird nicht neu starten, da der inetd-Daemon bereits eingehende Verbindungen behandelt.

note: type: <p><example>
en: For <prgn>postfix</prgn> edit <file>/etc/postfix/main.conf</file>:
de: Bei <prgn>postfix</prgn> editieren Sie <file>/etc/postfix/main.conf</file>:

note: type: <p></p>
en: If you only want local mail, this approach is better than tcp-wrapping the mailer daemon or adding firewalling rules to limit anybody accessing it. However, if you do need it to listen on other interfaces, you might consider launching it from inetd and adding a tcp wrapper so incoming connections are checked against <file>/etc/hosts.allow</file> and <file>/etc/hosts.deny</file>. Also, you will be aware of when an unauthorized access is attempted against your mailer daemon, if you set up proper logging for any of the methods above.
de: Wenn Sie lediglich lokale Mails wollen, ist dieses Herangehen besser als den Mailer-Daemon in einen tcp-Wrapper zu hüllen oder Firewall-Regeln einzufügen, die den Zugang für alle limitieren. Wenn Sie jedoch auch auf andere Schnittstellen reagieren müssen, sollten Sie überlegen, ihn vom inetd aufrufen zu lassen und einen tcp-Wrapper einzusetzen, so dass eingehende Verbindungen gegen <file>/etc/hosts.allow</file> und <file>/etc/hosts.deny</file> geprüft werden. Außerdem werden Sie vor unautorisierten Zugriffsversuchen gegen Ihren Mail-Daemon durch angemessenes Protokollieren gewarnt werden wollen.

note: type: <p><example>
en: In any case, to reject mail relay attempts at the SMTP level, you can change <file>/etc/exim/exim.conf</file> to include:
de: In jedem Fall können Sie Mail-Zustellversuche auf dem SMTP-Level ablehnen, indem Sie die <file>/etc/exim/exim.conf</file> abändern, damit Sie Folgendes enthält:

note: type: <p></p>
en: Even if your mail server will not relay the message, this kind of configuration is needed for the relay tester at <url id="http://www.abuse.net/relay.html"> to determine that your server is <em>not</em> relay capable.
de: Auch wenn Ihr Mail-Server keine Mails zustellen wird, ist diese Konfiguration für den Relay-Tester auf <url id="http://www.abuse.net/relay.html"> nötig, um festzustellen, dass Ihr Server <em>nicht</em> relaisfähig ist.

note: type: <p></p>
en: If you want a relay-only setup, however, you can consider changing the mailer daemon to programs that can <em>only</em> be configured to forward the mail to a remote mail server. Debian provides currently both <package>ssmtp</package> and <package>nullmailer</package> for this purpose. In any case, you can evaluate for yourself any of the mail transport agents <footnote><p>To retrieve the list of mailer daemons available in Debian try: <example>$ apt-cache search mail-transport-agent</example></p><p>The list will not include <prgn>qmail</prgn>, which is distributed only as source code in the <package>qmail-src</package> package.</p></footnote> provided by Debian and see which one suits best to the system's purposes.
de: Wenn Sie Mails nur weiterleiten möchten, können Sie in Erwägung ziehen, den Mail-Daemon durch Programme zu ersetzen, die <em>nur</em> zum Weiterleiten der Mail zu einem entfernten Mail-Server konfiguriert werden können. Debian stellt zurzeit <package>ssmtp</package> und <package>nullmailer</package> für diese Zwecke zur Verfügung. Auf jeden Fall können Sie für sich selbst alle von Debian angebotenen Mail-Transport-Agents testen <footnote><p> Die Liste der in Debian verfügbaren Mail-Daemons erhalten Sie wie folgt: <example> $ apt-cache search mail-transport-agent </example> <p>Die Liste wird <prgn>qmail</prgn> nicht enthalten, da dies nur im Quellcode im Paket <package>qmail-src</package> vertrieben wird. </p></footnote> und sehen, welcher davon am besten auf Ihr System zugeschnitten ist.

note: type: <heading></heading>
en: Providing secure access to mailboxes
de: Anbieten eines sicheren Zugangs zu Mailboxen

note: type: <p></p>
en: If you want to give remote access to mailboxes there are a number of POP3 and IMAP daemons available.<footnote><p>A list of servers/daemons which support these protocols in Debian can be retrieved with: <example>$ apt-cache search pop3-server $ apt-cache search imap-server</example></p></footnote> However, if you provide IMAP access note that it is a general file access protocol, it can become the equivalent of a shell access because users might be able to retrieve any file that they can through it.
de: Wenn Sie entfernten Zugriff auf Mailboxen erlauben wollen, gibt es eine Anzahl von möglichen POP3- und IMAP-Daemonen.<footnote><p> Eine Liste von Servern/Daemonen die diese Protokolle in Debian anbieten, kann wie folgt erhalten werden: <example> $ apt-cache search pop3-server $ apt-cache search imap-server </example> </p></footnote> Wenn Sie IMAP-Zugriff anbieten, beachten Sie jedoch, dass es ein allgemeines Dateizugriffsprotokoll ist. Es kann das Äquivalent zu einem Shell-Zugang werden, da Benutzer in der Lage sein könnten, Zugang zu beliebigen Dateien zu erhalten, auf die sie durch ihn zugreifen können.

note: type: <p></p>
en: Try, for example, to configure as your inbox path <tt>{server.com}/etc/passwd</tt> if it succeeds your IMAP daemon is not properly configured to prevent this kind of access.
de: Versuchen Sie beispielsweise, <tt>{server.com}/etc/passwd</tt> als Ihren Eingabepfad zu konfigurieren. Wenn dies gelingt, ist Ihr IMAP-Daemon nicht richtig konfiguriert, um diese Art von Zugriff zu verhindern.

note: type: <p></p>
en: Of the IMAP servers in Debian the <prgn>cyrus</prgn> server (in the <package>cyrus-imapd</package> package) gets around this by having all access to a database in a restricted part of the file system. Also, <prgn>uw-imapd</prgn> (either install the <package>uw-imapd</package> or better, if your IMAP clients support it, <package>uw-imapd-ssl</package>) can be configured to chroot the users mail directory but this is not enabled by default. The documentation provided gives more information on how to configure it.
de: Unter den IMAP-Servern in Debian vermeidet der <prgn>cyrus</prgn>-Server (im Paket <package>cyrus-imapd</package>) dies, indem er den gesamten Zugriff zu einer Datenbasis in einem beschränkten Teil des Dateisystems limitiert. Auch <prgn>uw-imapd</prgn> (installieren Sie entweder das <package>uw-imapd</package>- oder besser, wenn Ihre IMAP-Clients es unterstützen, das <package>uw-imapd-ssl</package>-Paket) kann konfiguriert werden, das Mailverzeichnis der Benutzer in ein Chroot-Gefängnis einzusperren, dies ist jedoch nicht standardmäßig aktiviert. Die angebotene Dokumentation enthält mehr Informationen, wie man dies konfiguriert.

note: type: <p></p>
en: Also, you might want to run an IMAP server that does not need valid users to be created on the local system (which would grant shell access too), <package>courier-imap</package> (for IMAP) and <package>courier-pop</package>, <package>teapop</package> (for POP3) and <package>cyrus-imapd</package> (for both POP3 and IMAP) provide servers with authentication methods beside the local user accounts. <prgn>cyrus</prgn> can use any authentication method that can be configured through PAM while <prgn>teapop</prgn> might use databases (such as <package>postgresql</package> and <package>mysql</package>) for user authentication.
de: Es ist ebenso empfehlenswert, einen IMAP-Server laufen zu haben, der keine neuen Benutzer im lokalen System erfordert (dies würde auch einen Shell-Zugang ermöglichen). Sowohl <package>courier-imap</package> (für IMAP) und <package>courier-pop</package>, <package>teapop</package> (für POP3) und <package>cyrus-imapd</package> (für POP3 und IMAP) bieten Server mit Authentifizierungsmethoden neben den lokalen Benutzerkonten. <prgn>cyrus</prgn> kann alle Authentifizierungsmethoden, die mittels PAM konfiguriert werden können, verwenden, währenddessen <prgn>teapop</prgn>-Datenbanken (wie <package>postgresql</package> und <package>mysql</package>) für die Benutzerauthentifizierung nutzen kann.

note: type: <heading></heading>
en: Receiving mail securely
de: Sicherer Empfang von Mails

note: type: <p><example>
en: Reading/receiving mail is the most common clear-text protocol. If you use either POP3 or IMAP to get your mail, you send your clear-text password across the net, so almost anyone can read your mail from now on. Instead, use SSL (Secure Sockets Layer) to receive your mail. The other alternative is SSH, if you have a shell account on the box which acts as your POP or IMAP server. Here is a basic <file>fetchmailrc</file> to demonstrate this:
de: Das Lesen und Empfangen von Mails ist das gebräuchlichste Klartext-Protokoll. Wenn Sie POP3 oder IMAP benutzen, um Ihre Mails zu erhalten, senden Sie ein Klartext-Passwort über das gesamte Netz, so dass ziemlich jeder Ihre Mails von nun an lesen kann. Benutzen Sie stattdessen SSL (Secure Sockets Layer), um Ihre Mails zu empfangen. Wenn Sie einen Shell-Account auf dem Rechner, der als POP oder IMAP-Server agiert, haben, ist die andere Alternative SSH. Hier ist eine beispielhafte <file>fetchmailrc</file>, um dies zu zeigen:

note: type: <example></example>
en: poll my-imap-mailserver.org via "localhost"
      with proto IMAP port 1236
          user "ref" there with password "hackme" is alex here warnings 3600
        folders
          .Mail/debian
        preconnect 'ssh -f -P -C -L 1236:my-imap-mailserver.org:143 -l ref
         my-imap-mailserver.org sleep 15 &lt;/dev/null &gt; /dev/null'
de: poll my-imap-mailserver.org via "localhost"
      with proto IMAP port 1236
          user "ref" there with password "hackmich" is alex here warnings 3600
        folders
          .Mail/debian
        preconnect 'ssh -f -P -C -L 1236:my-imap-mailserver.org:143 -l ref
         my-imap-mailserver.org sleep 15 &lt;/dev/null &gt; /dev/null'

note: type: <p></p>
en: The preconnect is the important line. It fires up an ssh session and creates the necessary tunnel, which automatically forwards connections to localhost port 1236 to the IMAP mail server, but encrypted. Another possibility would be to use <prgn>fetchmail</prgn> with the SSL feature.
de: Die wichtige Zeile ist die preconnect-Zeile. Sie startet eine SSH-Verbindung und erstellt den notwendigen Tunnel, durch den automatisch alle Verbindungen zum lokalen Port 1236 verschlüsselt an den IMAP-Mail-Server weitergeleitet werden. Eine andere Möglichkeit wäre es, <prgn>fetchmail</prgn> mit SSL-Unterstützung zu benutzen.

note: type: <p><example>
en: If you want to provide encrypted mail services like POP and IMAP, <tt>apt-get install stunnel</tt> and start your daemons this way:
de: Wenn Sie verschlüsselte Mail-Dienste wie POP oder IMAP anbieten möchten, <tt>apt-get install stunnel</tt> und starten Sie Ihren Daemon auf diese Weise:

note: type: <p></p>
en: This command wraps the provided daemon (-l) to the port (-d) and uses the specified SSL certificate (-p).
de: Dieses Kommando bindet den angegebenen Daemon (-l) an den Port (-d) und benutzt ein bestimmtes SSL-Zertifikat (-p).

note: type: <heading></heading>
en: Securing BIND
de: Absichern von BIND

note: type: <p><list>
en: There are different issues that can be tackled in order to secure the Domain server daemon, which are similar to the ones considered when securing any given service:
de: Es gibt verschiedene Dinge, mit denen Sie sich auseinander setzen sollten, um einen Domain-Server-Daemon abzusichern, die ähnlich zu den Überlegungen sind, wie man einen anderen Dienst absichert:

note: type: <p></p>
en: configuring the daemon itself properly so it cannot be misused from the outside (see <ref id="configure-bind">). This includes limiting possible queries from clients: zone transfers and recursive queries.
de: Konfigurieren Sie den Daemon selbst, so dass er von außen nicht missbraucht werden kann (siehe auch <ref id="configure-bind">). Dies schließt das Einschränken von Abfragen durch Clients ein: Zonen-Transfers und rekursive Abfragen.

note: type: <p></p>
en: limit the access of the daemon to the server itself so if it is used to break in, the damage to the system is limited. This includes running the daemon as a non-privileged user (see <ref id="user-bind">) and chrooting it (see <ref id="chroot-bind">).
de: Einschränken des Zugriffs des Daemon auf den Server selbst, so dass dem Schaden für das System im Falle eines Einbruchs Grenzen gesetzt sind. Hierzu gehört auch, den Daemon als nicht-privilegierten Benutzer laufen zu lassen (siehe <ref id="user-bind">) und ihn in ein Chroot-Gefängnis einzusperren (siehe <ref id="chroot-bind">).

note: type: <heading></heading>
en: Bind configuration to avoid misuse
de: Bind-Konfiguration um Missbrauch zu verhindern

note: type: <p></p>
en: You should restrict some of the information that is served from the DNS server to outside clients so that it cannot be used to retrieve valuable information from your organization that you do not want to give away. This includes adding the following options: <em>allow-transfer</em>, <em>allow-query</em>, <em>allow-recursion</em> and <em>version</em>. You can either limit this on the global section (so it applies to all the zones served) or on a per-zone basis. This information is documented in the <package>bind-doc</package> package, read more on this on <file>/usr/share/doc/bind/html/index.html</file> once the package is installed.
de: Sie sollten einige Informationen, die von außen über den DNS-Server abgefragt werden können, zurückhalten, so dass man nicht wertvolle Informationen über Ihre Organisation, die Sie nicht herausgeben wollen, abfragen kann. Dies schließt die folgenden Optionen mit ein: <em>allow-transfer</em>, <em>allow-query</em>, <em>allow-recursion</em> und <em>version</em>. Sie können dies in dem globalen Abschnitt tun (so wird es auf alle Zonen angewandt) oder jeweils pro Zone. Dies ist im Paket <package>bind-doc</package> dokumentiert. Sobald das Paket installiert ist, können Sie hierzu mehr in <file>/usr/share/doc/bind/html/index.html</file> lesen.

note: type: <p><example>
en: Imagine that your server is connected to the Internet and to your internal (your internal IP is 192.168.1.2) network (a basic multi-homed server), you do not want to give any service to the Internet and you just want to enable DNS lookups from your internal hosts. You could restrict it by including in <file>/etc/bind/named.conf</file>:
de: Stellen Sie sich vor, Ihr Server ist mit dem Internet und Ihrem internen Netzwerk (Ihre interne IP ist 192.168.1.2) verbunden &ndash; ein einfacher Server im heimischen Netzwerk. Sie möchten keinen Dienst im Internet anbieten und lediglich DNS-Abfragen von Ihren internen Rechnern erlauben. Sie können dies einschränken, indem Sie Folgendes in Ihre <file>/etc/bind/named.conf</file> aufnehmen:

note: type: <p></p>
en: The <em>listen-on</em> option makes the DNS bind to only the interface that has the internal address, but, even if this interface is the same as the interface that connects to the Internet (if you are using NAT, for example), queries will only be accepted if coming from your internal hosts. If the system has multiple interfaces and the <em>listen-on</em> is not present, only internal users could query, but, since the port would be accessible to outside attackers, they could try to crash (or exploit buffer overflow attacks) on the DNS server. You could even make it listen only on 127.0.0.1 if you are not giving DNS service for any other systems than yourself.
de: Die Option <em>listen-on</em> bewirkt, dass sich DNS nur auf die Schnittstelle bindet, die die interne Adresse hat. Aber sogar wenn diese Schnittstelle Verbindung zum Internet hat (zum Beispiel weil Sie NAT benutzen), werden Abfragen nur akzeptiert, wenn sie von internen Hosts kommen. Wenn das System mehrere Schnittstellen hat und Sie kein <em>listen-on</em> gesetzt haben, könnten zwar nur interne Benutzer Abfragen starten, aber, da der Port für Angreifer von außen ansprechbar ist, könnten sie versuchen, den DNS zum Absturz zu bringen (oder durch Speicher-Überlauf-Attacken auszunutzen). Sie könnten ihn sogar dazu bringen, lediglich auf 127.0.0.1 zu hören, wenn Sie den DNS-Service nicht für ein anderes System anbieten wollen.

note: type: <p><example>
en: The version.bind record in the chaos class contains the version of the currently running bind process. This information is often used by automated scanners and malicious individuals who wish to determine if one's <prgn>bind</prgn> is vulnerable to a specific attack. By providing false or no information in the version.bind record, one limits the probability that one's server will be attacked based on its published version. To provide your own version, use the <em>version</em> directive in the following manner:
de: Der version.bind-Eintrag in der chaos class enthält die Version des derzeit laufenden Bind-Prozesses. Diese Information wird oft von automatischen Scannern und bösartigen Individuen dazu verwendet herauszufinden, ob ein <prgn>bind</prgn> für eine bestimmte Attacke verwundbar ist. Indem Sie falsche oder gar keine Informationen im version.bind-Eintrag zur Verfügung stellen, minimieren Sie die Wahrscheinlichkeit, dass jemand Ihren Server aufgrund der publizierten Version attackieren wird. Um Ihre eigene Version anzugeben, benutzen Sie die <em>Version</em>-Direktive auf folgende Art:

note: type: <example></example>
en:  options { ... various options here ...
    version "Not available."; };
de:  options { ... various options here ...
    version "Nicht verfügbar."; };

note: type: <p></p>
en: Changing the version.bind record does not provide actual protection against attacks, but it might be considered a useful safeguard.
de: Das Ändern des version.bind-Eintrags schützt eigentlich nicht gegen Attacken, aber Sie können es als sinnvolle Schutzvorrichtung ansehen.

note: type: <p><example>
en: A sample <file>named.conf</file> configuration file might be the following:
de: Eine beispielhafte <file>named.conf</file>-Konfigurationsdatei könnte so aussehen:

note: type: <example></example>
en: acl internal {
            127.0.0.1/32;           // localhost
            10.0.0.0/8;             // internal
            aa.bb.cc.dd;            // eth0 IP
    };
    
    acl friendly {
            ee.ff.gg.hh;            // slave DNS
            aa.bb.cc.dd;            // eth0 IP
            127.0.0.1/32;           // localhost
            10.0.0.0/8;             // internal
    };
    
    options {
            directory "/var/cache/bind";
            allow-query { internal; };
            allow-recursion { internal; };
            allow-transfer { none; };
    };
    // From here to the mysite.bogus zone 
    // is basically unmodified from the debian default
    logging {
            category lame-servers { null; };
            category cname { null; };   
    };
    
    zone "." {
            type hint;
            file "/etc/bind/db.root";
    };
    
    zone "localhost" {
            type master;
            file "/etc/bind/db.local";
    };
    
    zone "127.in-addr.arpa" {
            type master;
            file "/etc/bind/db.127";
    };
    
    zone "0.in-addr.arpa" {
            type master;
            file "/etc/bind/db.0";
    };
    
    zone "255.in-addr.arpa" {
            type master;
            file "/etc/bind/db.255";
    };
    
    // zones I added myself
    zone "mysite.bogus" {
            type master;
            file "/etc/bind/named.mysite";
            allow-query { any; };
            allow-transfer { friendly; };
    };
de: acl internal {
            127.0.0.1/32;           // localhost
            10.0.0.0/8;             // intern
            aa.bb.cc.dd;            // eth0 IP
    };
    
    acl friendly {
            ee.ff.gg.hh;            // slave DNS
            aa.bb.cc.dd;            // eth0 IP
            127.0.0.1/32;           // localhost
            10.0.0.0/8;             // intern
    };
    
    options {
            directory "/var/cache/bind";
            allow-query { internal; };
            allow-recursion { internal; };
            allow-transfer { none; };
    };
    // Ab hier bis zur meineseite.bogus Zone
    // ist alles im Grunde die unveränderte Debian-Standardeinstellung.
    logging {
            category lame-servers { null; };
            category cname { null; };   
    };
    
    zone "." {
            type hint;
            file "/etc/bind/db.root";
    };
    
    zone "localhost" {
            type master;
            file "/etc/bind/db.local";
    };
    
    zone "127.in-addr.arpa" {
            type master;
            file "/etc/bind/db.127";
    };
    
    zone "0.in-addr.arpa" {
            type master;
            file "/etc/bind/db.0";
    };
    
    zone "255.in-addr.arpa" {
            type master;
            file "/etc/bind/db.255";
    };
    
    // Zone, die ich selbst hinzugefügt habe
    zone "mysite.bogus" {
            type master;
            file "/etc/bind/named.meineseite";
            allow-query { any; };
            allow-transfer { friendly; };
    };

note: type: <p></p>
en: Please (again) check the Bug Tracking System regarding Bind, specifically <url id="http://bugs.debian.org/94760" name="Bug #94760 (regarding ACLs on zone transfers)">. Feel free to contribute to the bug report if you think you can add useful information.
de: Bitte prüfen Sie (erneut) die Debian-Fehler-Datenbank (BTS) bezüglich Bind, insbesondere <url name="Bug #94760 (regarding ACLs on zone transfers)" id="http://bugs.debian.org/94760">. Fühlen Sie sich ruhig dazu ermutigt, zu diesem Bugreport beizutragen, wenn Sie glauben, nützliche Informationen hinzufügen zu können.

note: type: <heading></heading>
en: Changing BIND's user
de: Ändern des BIND-Benutzers

note: type: <p></p>
en: Regarding limiting BIND's privileges you must be aware that if a non-root user runs BIND, then BIND cannot detect new interfaces automatically, for example when you put a PCMCIA card into your laptop. Check the <file>README.Debian</file> file in your named documentation (<file>/usr/share/doc/bind/README.Debian</file>) directory for more information about this issue. There have been many recent security problems concerning BIND, so switching the user is useful when possible. We will detail here the steps needed in order to do this, however, if you want to do this in an automatic way you might try the script provided in <ref id="bind-chuser">.
de: Bezüglich der Beschränkung von BINDs Privilegien müssen Sie beachten, dass, wenn Sie BIND als nicht-root Benutzer laufen lassen, BIND neue Netzwerk-Schnittstellen nicht automatisch entdecken kann, zum Beispiel wenn Sie eine PCMCIA-Karte in Ihr Notebook stecken. Lesen Sie die Datei <file>README.Debian</file> in Ihrer named-Dokumentation (<file>/usr/share/doc/bind/README.Debian</file>) für mehr Informationen hierzu. Es gab in letzter Zeit viele Sicherheitsprobleme mit BIND, so dass es nützlich ist, den Benutzer zu wechseln, wenn es möglich ist. Wir werden die Schritte, die dazu nötig sind, detailliert aufführen. Wenn Sie dies automatisch machen lassen wollen, können Sie das Skript in <ref id="bind-chuser"> ausprobieren.

note: type: <p></p>
en: Notice, in any case, that this only applies to BIND version 8. In the Debian packages for BIND version 9 (since the 9.2.1-5 version, available since <em>sarge</em>) the <em>bind</em> user is created and used by setting the OPTIONS variable in <file>/etc/default/bind9</file>. If you are using BIND version 9 and your name server daemon is not running as the <em>bind</em> user verify the settings on that file.
de: Beachten Sie, dass dies nur auf die BIND-Version 8 zutrifft. In den Debian-Paketen für die BIND-Version 9 wird der Benutzer <em>bind</em> erstellt (seit Version 9.2.1-5, ist in <em>Sarge</em> enthalten) und mit der Variable OPTIONS in <file>/etc/default/bind9</file> verwendet. Wenn Sie BIND 9 einsetzen und Ihr Nameserver nicht als Benutzer <em>bind</em> läuft, sollten Sie die Einstellungen in dieser Datei überprüfen.

note: type: <p><example>
en: To run BIND under a different user, first create a separate user and group for it (it is <em>not</em> a good idea to use nobody or nogroup for every service not running as root). In this example, the user and group <tt>named</tt> will be used. You can do this by entering:
de: Um BIND unter einem anderen Benutzer laufen zu lassen, müssen Sie zunächst einen zusätzlichen Benutzer und eine zusätzlich Gruppe dafür erstellen (es ist <em>keine</em> gute Idee, für alle Dienste, die Sie nicht als Root laufen lassen, den Benutzer nobody und die Gruppe nogroup zu benutzen). In diesem Beispiel wird der Benutzer und die Gruppe <tt>named</tt> verwendet. Sie können diese anlegen, indem Sie die folgenden Kommandos eingeben:

note: type: <p><example>
en: Notice that the user <tt>named</tt> will be quite restricted. If you want, for whatever reason, to have a less restrictive setup use:
de: Beachten Sie, dass der Benutzer <tt>named</tt> sehr eingeschränkt ist. Wenn Sie &ndash; aus welchen Gründen auch immer &ndash; ein weniger eingeschränktes Setup haben möchten, benutzen Sie:

note: type: <p><example>
en: Now you can either edit <file>/etc/init.d/bind</file> with your favorite editor and change the line beginning with
de: Editieren Sie nun <file>/etc/init.d/bind</file> mit Ihrem Lieblingseditor und ändern Sie die Zeile, die mit

note: type: </example><example>
en: to<footnote><p>Note that depending on your bind version you might not have the <tt>-g</tt> option, most notably if you are using bind9 in sarge (9.2.4 version).</p></footnote>
de: anfängt zu<footnote><p>Beachten Sie, dass Sie abhängig von Ihrer Bind-Version die Option <tt>-g</tt> nicht haben, höchstwahrscheinlich wenn Sie bind9 von Sarge (9.2.4) installiert haben.</p></footnote>:

note: type: <p><example>
en: Or you can change (create it if it does not exit) the default configuration file (<file>/etc/default/bind</file> for BIND version 8) and introduce the following:
de: Alternativ dazu können Sie auch die Standardkonfigurationsdatei (bei BIND 8 <file>/etc/default/bind</file>) bearbeiten (und erstellen, falls sie nicht vorhanden ist) und Folgendes einfügen:

note: type: <p><example>
en: Change the permissions of files that are used by Bind, including <file>/etc/bind/rndc.key</file>:
de: Ändern Sie die Rechte der Dateien, die von Bind verwendet werden, inklusive <file>/etc/bind/rndc.key</file>:

note: type: </example><example>
en: and where bind creates its pidfile, using, for example, <file>/var/run/named</file> instead of <file>/var/run</file>:
de: und den Ort, an dem bind seine PID-Datei erzeugt, z.B. indem Sie <file>/var/run/named</file> anstatt von <file>/var/run</file> verwenden:

note: type: <example></example>
en: $ mkdir /var/run/named
    $ chown named.named /var/run/named
    $ vi /etc/named.conf
    [ ... update the configuration file to use this new location ...]
    options { ...
            pid-file "/var/run/named/named.pid";
    };
    [ ... ]
de: $ mkdir /var/run/named
    $ chown named.named /var/run/named
    $ vi /etc/named.conf
    [ ... ändern Sie die Konfigurationsdatei, um diesen neuen Pfad zu verwenden ...]
    options { ...
            pid-file "/var/run/named/named.pid";
    };
    [ ... ]

note: type: <p><example>
en: Also, in order to avoid running anything as root, change the <tt>reload</tt> line in the init.d script by substituting:
de: Außerdem müssen Sie, um zu verhindern, dass irgendetwas als Root läuft, im init.d-Skript die <tt>reload</tt>-Zeile von:

note: type: <p><example>
en: to:
de: in Folgendes ändern:

note: type: <p></p>
en: Note: Depending on your Debian version you might have to change the <tt>restart</tt> line too. This was fixed in Debian's bind version <tt>1:8.3.1-2</tt>.
de: Hinweis: Abhängig von Ihrer Debian-Version müssen Sie auch die <tt>restart</tt>-Zeile ändern. Dies wurde in der Version <tt>1:8.3.1-2</tt> von Debians BIND-Paket repariert.

note: type: <p></p>
en: All you need to do now is to restart bind via <tt>/etc/init.d/bind restart</tt>, and then check your syslog for two entries like this:
de: Alles, was Sie jetzt noch tun müssen, ist, bind mittels <tt>/etc/init.d/bind restart</tt> neu zu starten und dann Ihr Syslog auf zwei Einträge wie die folgenden zu prüfen:

note: type: <p></p>
en: Voilà! Your named now <em>does not</em> run as root. If you want to read more information on why BIND does not run as non-root user on Debian systems, please check the Bug Tracking System regarding Bind, specifically <url id="http://bugs.debian.org/50013" name="Bug #50013: bind should not run as root"> and <url id="http://bugs.debian.org/132582" name="Bug #132582: Default install is potentially insecure">, <url id="http://bugs.debian.org/53550" name="Bug #53550">, <url id="http://bugs.debian.org/52745" name="Bug #52745">, and <url id="http://bugs.debian.org/128129" name="Bug #128129">. Feel free to contribute to the bug reports if you think you can add useful information.
de: Voilà! Ihr named läuft <em>nicht mehr</em> als Root. Wenn Sie mehr Informationen darüber lesen wollen, warum BIND nicht als nicht-root Benutzer auf Debian-Systemen läuft, sehen Sie bitte in der Fehlerdatenbank zu Bind nach, insbesondere <url name="Bug #50013: bind should not run as root" id="http://bugs.debian.org/50013"> und <url name="Bug #132582: Default install is potentially insecure" id="http://bugs.debian.org/132582">, <url name="Bug #53550" id="http://bugs.debian.org/53550">, <url name="Bug #52745" id="http://bugs.debian.org/52745"> und <url name="Bug #128129" id="http://bugs.debian.org/128129">. Fühlen Sie sich ruhig dazu ermuntert, etwas zu den Fehlerbeschreibungen beizutragen, wenn Sie denken, nützliche Informationen hinzufügen zu können.

note: type: <heading></heading>
en: Chrooting the name server
de: Chroot-Gefängnis für den Name-Server

note: type: <p><example>
en: To achieve maximum BIND security, now build a chroot jail (see <ref id="chroot">) around your daemon. There is an easy way to do this: the <tt>-t</tt> option (see the <manref name="named" section="8"> manpage or page 100 of <url id="http://www.nominum.com/content/documents/bind9arm.pdf" name="Bind's 9 documentation (PDF)">). This will make Bind chroot itself into the given directory without you needing to set up a chroot jail and worry about dynamic libraries. The only files that need to be in the chroot jail are:
de: Um die größtmögliche BIND-Sicherheit zu erreichen, müssen Sie nun ein Chroot-Gefängnis (siehe <ref id="chroot">) um Ihren Daemon herum bauen. Es gibt einen einfachen Weg, dies zu erreichen: Die Option <tt>-t</tt> (siehe die Handbuchseite <manref name="named" section="8"> oder Seite 100 von <url id="http://www.nominum.com/content/documents/bind9arm.pdf" name="Bind's 9 Dokumentation (PDF)">). Dies wird Bind selbst in ein bestimmtes Verzeichnis chrooten lassen, ohne dass Sie ein eigenes Chroot-Gefängnis aufsetzen und sich Sorgen um dynamische Bibliotheken machen müssen. Die einzigen Dateien, die in diesem Chroot-Gefängnis benötigt werden, sind:

note: type: <example></example>
en: dev/null
    etc/bind/       - should hold named.conf and all the server zones
    sbin/named-xfer - if you do name transfers
    var/run/named/  - should hold the PID and the name server cache (if
                      any) this directory needs to be writable by named user
    var/log/named   - if you set up logging to a file, needs to be writable
                      for the named user
    dev/log         - syslogd should be listening here if named is configured to
                      log through it
de: dev/null
    etc/bind/       &ndash; sollte die named.conf und alle Server-Zonen enthalten
    sbin/named-xfer &ndash; wenn Sie Namen transferieren
    var/run/named/  &ndash; sollte die PID und den Cache des
                   Name-Servers (falls es ihn gibt) enthalten.
                               Dieses Verzeichnis muss für
                               den named-User schreibbar sein.
    var/log/named   &ndash; Wenn Sie in eine Datei protokollieren, muss
                               dies für den named-User schreibbar sein.
    dev/log       &ndash; syslogd sollte hierauf hören, wenn
                      named so konfiguriert ist, dass er
                      darüber protokolliert.

note: type: <p></p>
en: In order for your Bind daemon to work properly it needs permission in the named files. This is an easy task since the configuration files are always at <tt>/etc/named/</tt>. Take into account that it only needs read-only access to the zone files, unless it is a secondary or cache name server. If this is your case you will have to give read-write permissions to the necessary zones (so that zone transfers from the primary server work).
de: Damit Ihr Bind-Daemon vernünftig läuft, braucht er bestimmte Zugriffsrechte auf die named-Dateien. Dies ist eine einfache Angelegenheit, da die Konfigurationsdateien immer in <tt>/etc/named/</tt> liegen. Beachten Sie, dass er lediglich Lesezugriff benötigt, es sei denn, es handelt sich um einen sekundären oder zwischenspeichernden (Cache) Name-Server. Wenn dies der Fall ist, müssen Sie ihm Lese- und Schreibzugriff auf die notwendigen Zonen gewähren (damit Zonen-Transfers vom primären Server funktionieren).

note: type: <p></p>
en: Also, you can find more information regarding Bind chrooting in the <url id="http://www.tldp.org/HOWTO/Chroot-BIND-HOWTO.html" name="Chroot-BIND-HOWTO"> (regarding Bind 9) and <url id="http://www.tldp.org/HOWTO/Chroot-BIND8-HOWTO.html" name="Chroot-BIND8-HOWTO"> (regarding Bind 8). This same documents should be available through the installation of the <package>doc-linux-text</package> (text version) or <package>doc-linux-html</package> (HTML version). Another useful document is <url id="http://web.archive.org/web/20011024064030/http://www.psionic.com/papers/dns/dns-linux">.
de: Mehr Informationen über das Chrooten von Bind finden Sie unter <url name="Chroot-BIND-HOWTO" id="http://www.tldp.org/HOWTO/Chroot-BIND-HOWTO.html"> (betrifft Bind 9) und <url name="Chroot-BIND8-HOWTO" id="http://www.tldp.org/HOWTO/Chroot-BIND8-HOWTO.html"> (betrifft Bind 8). Diese Dokumente sollten auch nach der Installation des Paketes <package>doc-linux-text</package> (Text-Version) oder <package>doc-linux-html</package> (HTML-Version) verfügbar sein. Ein anderes nützliches Dokument ist <url id="http://web.archive.org/web/20011024064030/http://www.psionic.com/papers/dns/dns-linux">.

note: type: <p><example>
en: If you are setting up a full chroot jail (i.e. not just <tt>-t</tt>) for Bind in Debian, make sure you have the following files in it<footnote><p>This setup has not been tested for new release of Bind yet.</p></footnote>:
de: Wenn Sie für Bind ein komplettes Chroot-Gefängnis aufsetzen (d.h. Sie benutzen nicht nur <tt>-t</tt>), stellen Sie sicher, dass Sie die folgenden Dateien darin haben:<footnote><p> Diese Einstellungen wurden für die neueren Veröffentlichung von Bind noch nicht getestet.</p></footnote>

note: type: <example></example>
en: dev/log - syslogd should be listening here
    dev/null
    etc/bind/named.conf 
    etc/localtime
    etc/group - with only a single line: "named:x:GID:"
    etc/ld.so.cache - generated with ldconfig 
    lib/ld-2.3.6.so
    lib/libc-2.3.6.so
    lib/ld-linux.so.2 - symlinked to ld-2.3.6.so
    lib/libc.so.6 - symlinked to libc-2.3.6.so
    sbin/ldconfig - may be deleted after setting up the chroot
    sbin/named-xfer - if you do name transfers
    var/run/
de: dev/log &ndash; syslogd sollte hierauf hören
    dev/null
    etc/bind/named.conf 
    etc/localtime
    etc/group &ndash; mit einer einzigen Zeile: "named:x:GID:"
    etc/ld.so.cache &ndash; mit ldconfig erstellt
    lib/ld-2.3.6.so
    lib/libc-2.3.6.so
    lib/ld-linux.so.2 &ndash; symbolischer Link auf ld-2.3.6.so
    lib/libc.so.6 &ndash; symbolischer Link auf libc-2.3.6.so
    sbin/ldconfig &ndash; kann gelöscht werden, nachdem Chroot aufgesetzt wurde
    sbin/named-xfer &ndash; wenn Sie Namen transferieren
    var/run/

note: type: <p></p>
en: And modify also <prgn>syslogd</prgn> listen on <tt>$CHROOT/dev/log</tt> so the named server can write syslog entries into the local system log.
de: Sorgen Sie auch dafür, dass <prgn>syslogd</prgn> auf <tt>$CHROOT/dev/log</tt> achtet, so dass der Name-Server seine syslog-Einträge in das lokale System-Protokoll schreiben lassen kann.

note: type: <p><example>
en: If you want to avoid problems with dynamic libraries, you can compile bind statically. You can use <prgn>apt-get</prgn> for this, with the <tt>source</tt> option. It can even download the packages you need to properly compile it. You would need to do something similar to:
de: Wenn Sie Probleme mit dynamischen Bibliotheken vermeiden wollen, können Sie Bind statisch kompilieren. Sie können hierzu <prgn>apt-get</prgn> mit der <tt>source</tt> Option benutzen. Es kann sogar die Pakete herunterladen, die Sie zum Kompilieren benötigen. Sie müssten etwas ähnliches wie das Folgende tun:

note: type: <example></example>
en: $ apt-get source bind
    # apt-get build-dep bind
    $ cd bind-8.2.5-2
      (edit src/port/linux/Makefile so CFLAGS includes the '-static'
       option)
    $ dpkg-buildpackage -rfakeroot -uc -us
    $ cd ..
    # dpkg -i bind-8.2.5-2*deb
de: $ apt-get source bind
    # apt-get build-dep bind
    $ cd bind-8.2.5-2
      (editieren Sie src/port/linux/Makefile, so dass CFLAGS
      die Option »-static« beinhaltet
    $ dpkg-buildpackage -rfakeroot -uc -us
    $ cd ..
    # dpkg -i bind-8.2.5-2*deb

note: type: <p></p>
en: After installation, you will need to move around the files to the chroot jail<footnote><p>Unless you use the <tt>instdir</tt> option when calling <prgn>dpkg</prgn> but then the chroot jail might be a little more complex.</p></footnote> you can keep the <tt>init.d</tt> scripts in <file>/etc/init.d</file> so that the system will automatically start the name server, but edit them to add <tt>--chroot /location_of_chroot</tt> in the calls to <prgn>start-stop-daemon</prgn> in those scripts or use the <em>-t</em> option for BIND by setting it in the OPTIONS argument at the <file>/etc/default/bind</file> (for version 8) or <file>/etc/default/bind9</file> (for version 9) configuration file.
de: Nach der Installation werden Sie die Dateien in das Chroot-Gefängnis verschieben müssen.<footnote><p>Es sei denn, Sie benutzen die <tt>instdir</tt>-Option, wenn Sie <prgn>dpkg</prgn> aufrufen, aber dann könnte das chroot-Gefängnis etwas komplizierter werden.</p></footnote> Sie können die <tt>init.d</tt>-Skripte in <file>/etc/init.d</file> lassen, so dass das System automatisch den Name-Server starten wird, aber editieren Sie sie, indem Sie bei den <prgn>start-stop-daemon</prgn>-Aufrufen in diesen Skripten <tt>--chroot /location_of_chroot</tt> hinzufügen. Oder verwenden Sie für BIND die Option <em>-t</em>, indem Sie sie in das OPTION-Argument in der Konfigurationsdatei <file>/etc/default/bind</file> (für Version 8) oder <file>/etc/default/bind9</file> (für Version 9) eintragen.

note: type: <p></p>
en: For more information on how to set up chroots see <ref id="chroot">.
de: Für weitere Informationen wie man Chroot-Gefängnisse aufsetzt, siehe <ref id="chroot">.

note: type: <p></p>
en: FIXME: Merge info from <url id="http://people.debian.org/~pzn/howto/chroot-bind.sh.txt">, <url id="http://www.cryptio.net/~ferlatte/config/"> (Debian-specific), <url id="http://web.archive.org/web/20021216104548/http://www.psionic.com/papers/whitep01.html"> and <url id="http://csrc.nist.gov/fasp/FASPDocs/NISTSecuringDNS.htm">.
de: FIXME: Füge Informationen aus folgenden Quellen ein: <url id="http://people.debian.org/~pzn/howto/chroot-bind.sh.txt">, <url id="http://www.cryptio.net/~ferlatte/config/"> (Debian-specific), <url id="http://web.archive.org/web/20021216104548/http://www.psionic.com/papers/whitep01.html"> and <url id="http://csrc.nist.gov/fasp/FASPDocs/NISTSecuringDNS.htm">.

note: type: <heading></heading>
en: Securing Apache
de: Absichern von Apache

note: type: <p></p>
en: You can limit access to the Apache server if you only want to use it internally (for testing purposes, to access the <package>doc-central</package> archive, etc.) and do not want outsiders to access it. To do this use the <tt>Listen</tt> or <tt>BindAddress</tt> directives in <file>/etc/apache/http.conf</file>.
de: Sie können den Zugriff auf Ihren Apache-Server einschränken, wenn Sie ihn nur intern benutzen wollen (zum Beispiel zu Testzwecken, oder um auf die <package>doc-central</package>-Archive zuzugreifen, etc.) und nicht wollen, dass von außen auf ihn zugegriffen werden kann. Um dies zu tun, benutzen Sie die <tt>Listen</tt> oder <tt>BindAddress</tt> Direktiven in der Datei <file>/etc/apache/http.conf</file>.

note: type: <p><example>
en: Using Listen:
de: Benutzen von Listen:

note: type: <p><example>
en: Using BindAddress:
de: Benutzen von BindAddress:

note: type: <p></p>
en: Then restart apache with <tt>/etc/init.d/apache restart</tt> and you will see that it is only listening on the loopback interface.
de: Starten Sie anschließend Apache mit <tt>/etc/init.d/apache restart</tt> neu, und Sie werden sehen, dass er nur auf die lokale Schleife achtet.

note: type: <p></p>
en: In any case, if you are not using all the functionality provided by Apache, you might want to take a look at other web servers provided in Debian like <package>dhttpd</package>.
de: In jedem Fall sollten Sie, wenn Sie nicht die ganze Funktionalität, die Apache zur Verfügung stellt, benutzen wollen, mal einen Blick auf die anderen Web-Server aus Debian werfen, zum Beispiel <package>dhttpd</package>.

note: type: <p></p>
en: The <url id="http://httpd.apache.org/docs/misc/security_tips.html" name="Apache Documentation"> provides information regarding security measures to be taken on Apache web server (this same information is provided in Debian by the <package>apache-doc</package> package).
de: Die <url name="Apache Documentation" id="http://httpd.apache.org/docs/misc/security_tips.html"> stellt viele Informationen zu Sicherheitsmaßnahmen, die Sie auf einem Apache Web-Server anwenden können, bereit (die gleichen Informationen erhalten Sie unter Debian auch durch das Paket <package>apache-doc</package>).

note: type: <p></p>
en: More information on further restricting Apache by setting up a chroot jail is provided in <ref id="chroot-apache-env">.
de: Mehr Informationen zu weiteren Restriktionen von Apache durch Einrichten chroot-Gefängnisses wird in <ref id="chroot-apache-env"> bereitgestellt.

note: type: <heading></heading>
en: Disabling users from publishing web contents
de: Verhindern, dass Benutzer Web-Inhalte veröffentlichen

note: type: <p></p>
en: The default Apache installation in Debian permits users to publish content under the <file>$HOME/public_html</file>. This content can be retrieved remotely using an URL such as: http://your_apache_server/~user.
de: Die Standard-Apache-Installation in Debian erlaubt Benutzern, Inhalt unter <file>$HOME/public_html</file> bereitzustellen. Dieser Inhalt kann aus der Ferne mit einer URL wie http://Ihr_Apache_Server/~benutzer abgegriffen werden.

note: type: <p><example>
en: If you do not want to permit this you must change the <file>/etc/apache/http.conf</file> configuration file commenting out (in Apache 1.3) the following module:
de: Wenn Sie dies nicht erlauben wollen, müssen Sie in der Konfigurationsdatei <file>/etc/apache/http.conf</file> (von Apache 1.3) folgendes Module auskommentieren:

note: type: <p></p>
en: If you are using Apache 2.0 you must remove the file <file>/etc/apache2/mods-enabled/userdir.load</file> or restrict the default configuration by modifying <file>/etc/apache2/mods-enabled/userdir.conf</file>.
de: Wenn Sie Apache 2.0 verwenden, müssen Sie die Datei <file>/etc/apache2/mods-enabled/userdir.load</file> entfernen oder die Standardkonfiguration einschränken, indem Sie <file>/etc/apache2/mods-enabled/userdir.conf</file> bearbeiten.

note: type: <p><example>
en: However, if the module was linked statically (you can list the modules that are compiled in running <tt>apache -l</tt>) you must add the following to the Apache configuration file:
de: Falls allerdings das Modul statisch verlinkt wurde (Sie können die Module, die einkompiliert wurden, mittels <tt>apache -l</tt> überprüfen), müssen Sie das Folgende der Konfigurationsdatei von Apache hinzufügen:

note: type: <p></p>
en: An attacker might still do user enumeration, since the answer of the web server will be a <em>403 Permission Denied</em> and not a <em>404 Not available</em>. You can avoid this if you use the Rewrite module.
de: Ein Angreifer kann immer noch die Benutzer herausfinden, da die Antwort des Web-Servers <em>403 Permission Denied</em> und nicht <em>404 Not available</em> lautet. Mit dem Rewrite-Modul können Sie das verhindern.

note: type: <heading></heading>
en: Logfiles permissions
de: Rechte der Protokolldateien

note: type: <p></p>
en: Apache logfiles, since 1.3.22-1, are owned by user 'root' and group 'adm' with permissions 640. These permissions are changed after rotation. An intruder that accessed the system through the web server would not be able (without privilege escalation) to remove old log file entries.
de: Apaches Protokolldateien gehören seit 1.3.22-1 dem Benutzer »root« und der Gruppe »adm« mit den Rechten 640. Diese Rechte ändern sich nach einer Rotation. Ein Eindringling, der das System über den Web-Server erreicht hat, kann so Einträge in alten Protokolldatei nicht (ohne Rechteerweiterung) entfernen.

note: type: <heading></heading>
en: Published web files
de: Veröffentlichte Web-Dateien

note: type: <p></p>
en: Apache files are located under <file>/var/www</file>. Just after installation the default file provides some information on the system (mainly that it's a Debian system running Apache). The default webpages are owned by user root and group root by default, while the Apache process runs as user www-data and group www-data. This should make attackers that compromise the system through the web server harder to deface the site. You should, of course, substitute the default web pages (which might provide information you do not want to show to outsiders) with your own.
de: Apache-Dateien befinden sich unterhalb von <file>/var/www</file>. Direkt nach der Installation bietet die Standardseite einige Informationen zu dem System (hauptsächlich dass es ein Debian-System ist, auf welchem Apache läuft). Die Standard-Webseiten gehören standardmäßig dem Benutzer root und der Gruppe root, währenddessen der Apache-Prozess als Benutzer www-data und Gruppe www-data läuft. Dies sollte es Angreifern, die in das System durch den Web-Server eindringen, schwerer machen, die Site zu verunstalten. Sie sollten natürlich die Standard-Webseiten (die Informationen, die Sie der Außenwelt vorenthalten wollen, enthalten können) durch Ihre eigenen ersetzen.

note: type: <heading></heading>
en: Securing finger
de: Absichern von Finger

note: type: <p><list>
en: If you want to run the finger service first ask yourself if you need to do so. If you do, you will find out that Debian provides many finger daemons (output from <prgn>apt-cache search fingerd</prgn>):
de: Wenn Sie den Finger-Dienst laufen lassen wollen, fragen Sie sich bitte zuerst, ob Sie das auch wirklich tun müssen. Wenn es notwendig sein sollte, werden Sie feststellen, dass Debian viele Finger-Daemonen zur Verfügung stellt (hier die Ausgabe von <prgn>apt-cache search fingerd</prgn>):

note: type: <p></p>
en: cfingerd - Configurable finger daemon
de: cfingerd &ndash; konfigurierbarer finger-Daemon

note: type: <p></p>
en: efingerd - Another finger daemon for unix, capable of fine-tuning your output.
de: efingerd &ndash; ein weiterer Unix-finger-Daemon mit anpassbarer Ausgabe

note: type: <p></p>
en: ffingerd - a secure finger daemon
de: ffingerd &ndash; ein sicherer finger-Daemon

note: type: <p></p>
en: fingerd - Remote user information server.
de: fingerd &ndash; Remote-User-Informationsserver

note: type: <p></p>
en: xfingerd - BSD-like finger daemon with qmail support.
de: xfingerd &ndash; BSD-ähnlicher finger-Daemon mit qmail-Unterstützung

note: type: <p></p>
en: <package>ffingerd</package> is the recommended finger daemon if you are going to use it for a public service. In any case, you are encouraged to, when setting it up through inetd, xinetd or tcpserver to: limit the number of processes that will be running at the same time, limit access to the finger daemon from a given number of hosts (using tcp wrappers) and having it only listening to the interface you need it to be in.
de: <package>ffingerd</package> ist der empfohlene finger-Daemon, wenn Sie vorhaben, einen öffentlichen Dienst anzubieten. In jedem Fall sind Sie zu Folgendem ermutigt, wenn Sie ihn über inetd, xinetd oder tcpserver aufzusetzen: Schränken Sie die Anzahl der Prozesse ein, die gleichzeitig laufen dürfen, schränken Sie den Zugriff auf den Finger-Daemon von bestimmten Hosts ein (indem Sie tcp-wrapper benutzen) und lassen Sie ihn nur auf der notwendigen Schnittstelle lauschen.

note: type: <heading></heading>
en: General chroot and suid paranoia
de: Allgemeine chroot- und suid-Paranoia

note: type: <p></p>
en: <prgn>chroot</prgn> is one of the most powerful possibilities to restrict a daemon or a user or another service. Just imagine a jail around your target, which the target cannot escape from (normally, but there are still a lot of conditions that allow one to escape out of such a jail). If you do not trust a user or a service, you can create a modified root environment for him. This can use quite a bit of disk space as you need to copy all needed executables, as well as libraries, into the jail. But then, even if the user does something malicious, the scope of the damage is limited to the jail.
de: <prgn>chroot</prgn> ist eine der mächtigsten Möglichkeiten, einen Daemon oder einen Benutzer oder einen anderen Dienst zu beschränken. Denken Sie einfach an ein Gefängnis um Ihr Ziel, welches das Ziel nicht verlassen kann (normalerweise, es gibt aber einige Bedingungen, die einem einen Ausbruch aus solch einem Gefängnis ermöglichen). Wenn Sie einem Benutzer oder einem Dienst nicht trauen, können Sie eine modifizierte root-Umgebung für ihn erzeugen. Dies kann einiges an Plattenplatz benötigen, da Sie alle benötigten Programme ebenso wie Bibliotheken in das Gefängnis kopieren müssen. Aber danach ist die Wirkung des Schadens, selbst wenn der Benutzer etwas bösartiges macht, auf das Gefängnis beschränkt.

note: type: <p></p>
en: Many services running as daemons could benefit from this sort of arrangement. The daemons that you install with your Debian distribution will not come, however, chrooted<footnote><p>It does try to run them under <em>minimum priviledge</em> which includes running daemons with their own users instead of having them run as root.</p></footnote> per default.
de: Viele Dienste, die als Daemonen laufen, können von dieser Vorgehensweise profitieren. Die Daemonen, die Sie mit Ihrer Debian-Distribution installieren, laufen jedoch nicht standardmäßig in einem chroot-Gefängnis.<footnote><p>Es wird versucht, diese mit <em>minimalen Rechten</em> laufen zu lassen, was beinhaltet, Daemonen unter ihren eigenen Benutzern, anstatt unter Root, laufen zu lassen.</p></footnote>

note: type: <p></p>
en: This includes: name servers (such as <prgn>bind</prgn>), web servers (such as <prgn>apache</prgn>), mail servers (such as <prgn>sendmail</prgn>) and ftp servers (such as <prgn>wu-ftpd</prgn>). It is probably fair to say that the complexity of BIND is the reason why it has been exposed to a lot of attacks in recent years (see <ref id="sec-bind">).
de: Dies beinhaltet: Name-Server (wie <prgn>bind</prgn>), Web-Server (wie <prgn>apache</prgn>), Mail-Server (wie <prgn>sendmail</prgn>) und FTP-Server (wie <prgn>wu-ftpd</prgn>). Wahrscheinlich ist es nur fair zu sagen, dass die Komplexität von BIND der Grund dafür ist, warum er in den letzten Jahren so oft für Attacken verwundbar war (vergleiche <ref id="sec-bind">).

note: type: <p></p>
en: However, Debian does provide some software that can help set up <prgn>chroot</prgn> environments. See <ref id="auto-chroot">.
de: Jedoch bietet Debian einige Software an, die helfen kann, <prgn>chroot</prgn>-Umgebungen aufzubauen. Sehen Sie <ref id="auto-chroot">.

note: type: <p></p>
en: Anyway, if you run any service on your system, you should consider running them as secure as possible. This includes: revoking root privileges, running in a restricted environment (such as a chroot jail) or replacing them with a more secure equivalent.
de: Wenn Sie irgendwelche Dienste in Ihrem System laufen lassen, sollten Sie dies so sicher wie nur möglich tun. Dies beinhaltet: Entziehung von root-Privilegien, Starten in beschränkten Umgebungen (wie ein chroot-Gefängnis) oder Ersetzen durch ein sichereres Äquivalent.

note: type: <p></p>
en: However, be forewarned that a <prgn>chroot</prgn> jail can be broken if the user running in it is the superuser. So, you need to make the service run as a non-privileged user. By limiting its environment you are limiting the world readable/executable files the service can access, thus, you limit the possibilities of a privilege escalation by use of local system security vulnerabilities. Even in this situation you cannot be completely sure that there is no way for a clever attacker to somehow break out of the jail. Using only server programs which have a reputation for being secure is a good additional safety measure. Even minuscule holes like open file handles can be used by a skilled attacker for breaking into the system. After all, <prgn>chroot</prgn> was not designed as a security tool but as a testing tool.
de: Seien Sie jedoch gewarnt, dass aus einem <prgn>chroot</prgn>-Gefängnis ausgebrochen werden kann, wenn der Benutzer, der im Inneren läuft, der Superuser ist. Sie müssen also sicherstellen, dass der Dienst als nicht privilegierter Benutzer läuft. Durch Einschränken seiner Umgebung schränken Sie die welt-lesbaren/ausführbaren Dateien, auf die der Dienst zugreifen kann, ein. Auf diese Weise begrenzen Sie die Möglichkeiten einer Rechteerweiterung durch lokale Sicherheitsverwundbarkeiten des Systems. Selbst in dieser Situation können Sie nicht völlig sicher sein, dass es für einen cleveren Angreifer keinen Weg gibt, irgendwie aus dem Gefängnis auszubrechen. Der ausschließliche Einsatz sicherer Server-Programme, die einen guten Ruf bezüglich Sicherheit haben, ist eine zusätzliche gute Sicherheitsmaßnahme. Selbst kleinste Löcher wie offene Datei-Handle können von einem versierten Angreifer zum Einbruch in das System verwendet werden. Schließlich war <prgn>chroot</prgn> nicht als Sicherheits-, sondern als ein Testwerkzeug gedacht.

note: type: <heading></heading>
en: Making chrooted environments automatically
de: Automatisches Erstellen von Chroot-Umgebungen

note: type: <p></p>
en: There are several programs to chroot automatically servers and services. Debian currently (accepted in May 2002) provides Wietse Venema's <prgn>chrootuid</prgn> in the <package>chrootuid</package> package, as well as <package>compartment</package> and <package>makejail</package>. These programs can be used to set up a restricted environment for executing any program (<prgn>chrootuid</prgn> enables you to even run it as a restricted user).
de: Es gibt verschiedene Programme, um Server und Dienste automatisch in ein Chroot-Gefängnis einzusperren. Debian bietet zurzeit (akzeptiert im Mai 2002) Wietse Venemas <prgn>chrootuid</prgn> im Paket <package>chrootuid</package>, ebenso wie <package>compartment</package> und <package>makejail</package> an. Diese Programme können verwendet werden, um eine eingeschränkte Umgebung zum Ausführen beliebiger Programme aufzusetzen (<prgn>chrootuid</prgn> erlaubt es Ihnen sogar, es unter einem eingeschränkten Benutzer laufen zu lassen).

note: type: <p></p>
en: Some of these tools can be used to set up the chroot environment easily. The <prgn>makejail</prgn> program for example, can create and update a chroot jail with short configuration files (it provides sample configuration files for <prgn>bind</prgn>, <prgn>apache</prgn>, <prgn>postgresql</prgn> and <prgn>mysql</prgn>). It attempts to guess and install into the jail all files required by the daemon using <prgn>strace</prgn>, <prgn>stat</prgn> and Debian's package dependencies. More information at <url id="http://www.floc.net/makejail/">. <prgn>Jailer</prgn> is a similar tool which can be retrieved from <url id="http://www.balabit.hu/downloads/jailer/"> and is also available as a Debian package.
de: Einige dieser Werkzeuge können verwendet werden, um das Chroot-Gefängnis leicht aufzusetzen. Zum Beispiel kann das <prgn>makejail</prgn>-Programm ein chroot-Gefängnis mit kurzen Konfigurationsdateien erzeugen und aktualisieren. (Es bietet Beispielskonfigurationsdateien für <prgn>bind</prgn>, <prgn>apache</prgn>, <prgn>postgresql</prgn> und <prgn>mysql</prgn>.) Es versucht alle Dateien, die vom Daemon benötigt werden, mittels <prgn>strace</prgn>, <prgn>stat</prgn> und Debians Paketabhängigkeiten zu bestimmen und in das Gefängnis zu installieren. Weitere Information gibt es unter <url id="http://www.floc.net/makejail/">. <prgn>Jailer</prgn> ist ein ähnliches Werkzeug und kann von <url id="http://www.balabit.hu/downloads/jailer/"> heruntergeladen werden und ist auch als Debian-Paket verfügbar.

note: type: <heading></heading>
en: General cleartext password paranoia
de: Allgemeine Klartextpasswort-Paranoia

note: type: <p></p>
en: You should try to avoid any network service which sends and receives passwords in cleartext over a net like FTP/Telnet/NIS/RPC. The author recommends the use of ssh instead of telnet and ftp to everybody.
de: Sie sollten versuchen, jeden Netzwerk-Dienst, der seine Passwörter als Klartext über das Netz sendet oder empfängt, wie zum Beispiel FTP/Telnet/NIS/RPC, zu vermeiden. Der Autor empfiehlt jedem, ssh anstelle von telnet und ftp zu verwenden.

note: type: <p></p>
en: Keep in mind that migrating from telnet to ssh, but using other cleartext protocols does not increase your security in ANY way! Best would be to remove ftp, telnet, pop, imap, http and to supersede them with their respective encrypted services. You should consider moving from these services to their SSL versions, ftp-ssl, telnet-ssl, pop-ssl, https ...
de: Vergessen Sie jedoch nicht, dass die Migration von telnet zu ssh die Sicherheit in keiner Weise erhöht, wenn Sie weiterhin Klartext-Protokolle verwenden. Am besten wäre es ftp, telnet, pop, imap und http zu entfernen und durch ihre entsprechenden verschlüsselten Dienste zu ersetzen. Sie sollten in Erwägung ziehen von diesen Diensten zu deren SSL-Versionen zu wechseln: ftp-ssl, telnet-ssl, pop-ssl, https, ...

note: type: <p></p>
en: Most of these above listed hints apply to every Unix system (you will find them if reading any other hardening-related document related to Linux and other Unices).
de: Die meisten der oben aufgelisteten Tipps gelten für jedes Unix-System (Sie werden sie in jedem anderen sicherheitsrelevanten Dokument, das Sie jemals lesen, wiederfinden, wenn es sich auf Linux und andere Unices bezieht).

note: type: <heading></heading>
en: Disabling NIS
de: NIS deaktivieren

note: type: <p></p>
en: You should not use NIS, the Network Information Service, if possible, because it allows password sharing. This can be highly insecure if your setup is broken.
de: Sie sollten, wenn möglich, nicht NIS, den Network Information Service, benutzen, da er das gemeinsame Nutzen von Passwörtern erlaubt. Dies kann sehr unsicher sein, wenn Ihr Setup fehlerhaft ist.

note: type: <p></p>
en: If you need password sharing between machines, you might want to consider using other alternatives. For example, you can setup an LDAP server and configure PAM on your system in order to contact the LDAP server for user authentication. You can find a detailed setup in the <url id="http://www.tldp.org/HOWTO/LDAP-HOWTO.html" name="LDAP-HOWTO"> (<file>/usr/share/doc/HOWTO/en-txt/LDAP-HOWTO.txt.gz</file>).
de: Wenn Sie Passwörter zwischen verschiedenen Maschinen teilen müssen, sollten Sie andere Alternativen in Erwägung ziehen. Zum Beispiel können Sie einen LDAP-Server aufsetzen und PAM auf Ihrem System so konfigurieren, dass es den LDAP-Server zur Benutzer-Authentifizierung kontaktiert. Sie finden ein detailliertes Setup in dem <url name="LDAP-HOWTO" id="http://www.tldp.org/HOWTO/LDAP-HOWTO.html"> (<file>/usr/share/doc/HOWTO/en-txt/LDAP-HOWTO.txt.gz</file>).

note: type: <p></p>
en: You can read more about NIS security in the <url id="http://www.tldp.org/HOWTO/NIS-HOWTO.html" name="NIS-HOWTO"> (<file>/usr/share/doc/HOWTO/en-txt/NIS-HOWTO.txt.gz</file>).
de: Sie können mehr über NIS-Sicherheit in dem <url name="NIS-HOWTO" id="http://www.tldp.org/HOWTO/NIS-HOWTO.html"> (<file>/usr/share/doc/HOWTO/en-txt/NIS-HOWTO.txt.gz</file>) lesen.

note: type: <heading></heading>
en: Securing RPC services
de: Absichern von RPC-Diensten

note: type: <p></p>
en: You should disable RPC if you do not need it.
de: Sie sollten RPC abschalten, wenn Sie es nicht benötigen.

note: type: <p></p>
en: Remote Procedure Call (RPC) is a protocol that programs can use to request services from other programs located on different computers. The <prgn>portmap</prgn> service controls RPC services by mapping RPC program numbers into DARPA protocol port numbers; it must be running in order to make RPC calls.
de: Remote Procedure Call (RPC, etwa »entfernter Funktionsaufruf«) ist ein Protokoll, das von Programmen verwendet werden kann, um Dienste von anderen Programmen, die auf anderen Computern laufen, anzufordern. Der <prgn>portmap</prgn>-Dienst kontrolliert RPC-Dienste durch Abbilden von RPC-Programmnummern auf DARPA-Protokoll-Portnummern. Er muss laufen, um RPC-Aufrufe ausführen zu können.

note: type: <p></p>
en: RPC-based services have had a bad record of security holes, although the portmapper itself hasn't (but still provides information to a remote attacker). Notice that some of the DDoS (distributed denial of service) attacks use RPC exploits to get into the system and act as a so called agent/handler.
de: RPC-basierte Dienste hatten eine unrühmliche Geschichte, was Sicherheitslücken betrifft, obwohl dies für den Portmapper an sich nicht gilt (dieser bietet aber nach wie vor entfernten Angreifern Informationen). Es ist zu beachten, dass einige DDoS-(distributed denial of service, verteilte Dienstverweigerungen)-Angriffe RPC-Löcher benutzen, um in das System einzudringen und als so genannter Agent/Handler zu fungieren.

note: type: <p></p>
en: You only need RPC if you are using an RPC-based service. The most common RPC-based services are NFS (Network File System) and NIS (Network Information System). See the previous section for more information about NIS. The File Alteration Monitor (FAM) provided by the package <package>fam</package> is also an RPC service, and thus depends on <package>portmap</package>.
de: Sie benötigen RPC nur dann, wenn Sie einen RPC-basierten Dienst verwenden. Die bekanntesten RPC-basierten Dienste sind NFS (Network File System) und NIS (Network Information System). Vergleichen Sie mit dem vorherigen Abschnitt für weitere Information über NIS. Der File Alteration Monitor (FAM), der vom Paket <package>fam</package> bereitgestellt wird, ist ebenso ein RPC-Dienst und hängt deshalb von <package>portmap</package> ab.

note: type: <p></p>
en: NFS services are quite important in some networks. If that is the case for you, then you will need to find a balance of security and usability for your network (you can read more about NFS security in the <url id="http://www.tldp.org/HOWTO/NFS-HOWTO.html" name="NFS-HOWTO"> (<file>/usr/share/doc/HOWTO/en-txt/NFS-HOWTO.txt.gz</file>)).
de: NFS-Dienste sind in einigen Netzwerken ziemlich wichtig. Wenn dies für Sie der Fall ist, müssen Sie einen Ausgleich finden, zwischen Sicherheit und Nutzbarkeit für Ihr Netzwerk. Sie können mehr über NFS-Sicherheit im <url name="NFS-HOWTO" id="http://www.tldp.org/HOWTO/NFS-HOWTO.html"> (<file>/usr/share/doc/HOWTO/en-txt/NFS-HOWTO.txt.gz</file>) finden.

note: type: <heading></heading>
en: Disabling RPC services completely
de: Vollständiges Deaktivieren von RPC-Diensten

note: type: <p></p>
en: Disabling portmap is quite simple. There are several different methods. The simplest one in a Debian 3.0 system and later releases is to uninstall the <package>portmap</package> package. If you are running an older Debian version you will have to disable the service as seen in <ref id="disableserv">, because the program is part of the <package>netbase</package> package (which cannot be de-installed without breaking the system).
de: Das Abschalten von portmap ist relativ einfach. Es gibt verschiedene Methoden. Die einfachste in einem Debian 3.0 oder neueren System ist das Paket <package>portmap</package> zu deinstallieren. Wenn Sie eine ältere Version von Debian laufen haben, werden Sie den Dienst, wie in <ref id="disableserv"> beschrieben, abschalten müssen, weil das Programm Teil des Pakets <package>netbase</package> (das nicht deinstalliert werden kann, ohne das System kaputt zu machen) ist.

note: type: <p></p>
en: Notice that some desktop environments (notably, GNOME) use RPC services and need the portmapper for some of the file management features. If this is your case, you can limit the access to RPC services as described below.
de: Beachten Sie, dass einige Desktop-Umgebungen (hauptsächlich GNOME) RPC-Dienste verwenden und den Portmapper für einige der Dateimanager-Eigenschaften benötigen. Wenn dies bei Ihnen der Fall ist, können Sie den Zugang zu RPC-Diensten, wie weiter unter beschrieben, beschränken.

note: type: <heading></heading>
en: Limiting access to RPC services
de: Einschränken des Zugriffs auf RPC-Dienste

note: type: <p></p>
en: Unfortunately, in some cases removing RPC services from the system is not an option. Some local desktop services (notably SGI's <package>fam</package>) are RPC based and thus need a local portmapper. This means that under some situations, users installing a desktop environment (like GNOME) will install the portmapper too.
de: Unglücklicherweise ist es in manchen Fällen nicht möglich, RPC-Dienste vom System zu entfernen. Einige lokale Desktop-Dienste (hauptsächlich SGIs <package>fam</package>) sind RPC-basiert und benötigen deshalb einen lokalen Portmapper. Dies bedeutet, dass unter bestimmten Umständen Benutzer, die eine Desktop-Umgebung (wie GNOME) installieren, den Portmapper auch installieren werden.

note: type: <p><list>
en: There are several ways to limit access to the portmapper and to RPC services:
de: Es gibt einige Wege den Zugriff auf den Portmapper und RPC-Dienste zu beschränken:

note: type: <p></p>
en: Block access to the ports used by these services with a local firewall (see <ref id="firewall-setup">).
de: Blockieren des Zugangs zu den Ports, die von diesen Diensten verwendet werden, mit einer lokalen Firewall (vergleiche <ref id="firewall-setup">)

note: type: <p></p>
en: Block access to these services using tcp wrappers, since the portmapper (and some RPC services) are compiled with <file>libwrap</file> (see <ref id="tcpwrappers">). This means that you can block access to them through the <file>hosts.allow</file> and <file>hosts.deny</file> tcp wrappers configuration.
de: Blockieren des Zugangs zu diesen Diensten mittels TCP-Wrappers, da der Portmapper und einige RPC-Dienste mit <file>libwrap</file> (siehe <ref id="tcpwrappers">) kompiliert wurden. Dies bedeutet, dass Sie Zugang zu diesen durch die <file>hosts.allow</file> und <file>hosts.deny</file> TCP-Wrapper-Konfiguration blockieren können.

note: type: <p></p>
en: Since version 5-5, the <package>portmap</package> package can be configured to listen only on the loopback interface. To do this, modify <file>/etc/default/portmap</file>, uncomment the following line: <tt>#OPTIONS="-i 127.0.0.1"</tt> and restart the portmapper. This is sufficient to allow local RPC services to work while at the same time prevents remote systems from accessing them (see, however, <ref id="limit-bindaddr">).
de: Seit Version 5-5 kann das Paket <package>portmap</package> so konfiguriert werden, dass es nur noch auf der Loopback-Schnittstelle lauscht. Um dies zu erreichen, kommentieren Sie die folgende Zeile in der Datei <file>/etc/default/portmap</file> aus: <tt>#OPTIONS="-i 127.0.0.1"</tt> und starten Sie den Portmapper neu. Dies ist ausreichend, um lokale RPC-Dienste laufen zu lassen, während zur selben Zeit entfernte Systeme am Zugang gehindert werden (lesen Sie dazu auch <ref id="limit-bindaddr">).

note: type: <heading></heading>
en: Adding firewall capabilities
de: Hinzufügen von Firewall-Fähigkeiten

note: type: <p></p>
en: The Debian GNU/Linux operating system has the built-in capabilities provided by the Linux kernel <footnote><p></p></footnote>. If you install a recent Debian release (default kernel installed is 2.6) you will have <prgn>iptables</prgn> (netfilter) firewalling available<footnote><p>Available since the kernel version 2.4 (which was the default kernel in Debian 3.0). Previous kernel versions (2.2, available in even older Debian releases) used <prgn>ipchains</prgn>. The main difference between <prgn>ipchains</prgn> and <prgn>iptables</prgn> is that the latter is based on <em>stateful packet inspection</em> which provides for more secure (and easier to build) filtering configurations. Older (and now unsupported) Debian distributions using the 2.0 kernel series needed the appropriate kernel patch.</p></footnote>.
de: Das Debian-GNU/Linux-Betriebssystem hat die eingebauten Fähigkeiten des Linux-Kernels. Wenn Sie eine aktuelle Veröffentlichung von Debian (mit dem Standardkernel 2.6) installiert haben, steht Ihnen als Firewall <prgn>iptables</prgn> (netfilter) zur Verfügung<footnote><p>Ist seit Kernel 2.4 verfügbar (was der Standardkernel für Debian 3.0 war). Ältere Kernelversionen (wie 2.2, der in älteren Debian-Veröffentlichungen enthalten war) verwendeten <prgn>ipchains</prgn>. Der Hauptunterschied zwischen <prgn>ipchains</prgn> und <prgn>iptables</prgn> ist, dass letzteres auf <em>stateful packet inspection</em> (zustandsbehaftete Paketuntersuchung) beruht, so dass Ihnen sicherere (und einfacher zu erstellende) Filterkonfigurationen zur Verfügung stehen. Ältere (und nun nicht länger unterstützte) Debian-Veröffentlichungen, die den Kernel 2.0 einsetzen, benötigten einen geeigneten Kernel-Patch. </p></footnote>.

note: type: <heading></heading>
en: Firewalling the local system
de: Firewallen des lokalen Systems

note: type: <p></p>
en: You can use firewall rules as a way to secure the access to your local system and, even, to limit the outbound communications made by it. Firewall rules can also be used to protect processes that cannot be properly configured <em>not</em> to provide services to some networks, IP addresses, etc.
de: Sie können eine Firewall dazu benutzen, den Zugriff auf Ihr lokales System abzusichern und sogar um die Kommunikation von ihm nach Außen zu beschränken. Firewall-Regeln können auch dazu benutzt werden, Prozesse zu sichern, die nicht vernünftig konfiguriert werden können, um Dienste <em>nicht</em> einigen Netzwerken, IP-Adressen, etc. zur Verfügung zu stellen.

note: type: <p></p>
en: However, this step is presented last in this manual basically because it is <em>much</em> better not to depend solely on firewalling capabilities in order to protect a given system. Security in a system is made up of layers, firewalling should be the last to include, once all services have been hardened. You can easily imagine a setup in which the system is solely protected by a built-in firewall and an administrator blissfully removes the firewall rules for whatever reason (problems with the setup, annoyance, human error...), this system would be wide open to an attack if there were no other hardening in the system to protect from it.
de: Dieser Schritt ist aber hauptsächlich deshalb als letzter in dieser Anleitung, weil es <em>viel</em> besser ist, sich nicht alleine auf die Fähigkeiten der Firewall zu verlassen, um ein System zu schützen. Die Sicherheit eines Systems setzt sich aus mehreren Ebenen zusammen; eine Firewall sollte die letzte sein, wenn bereits alle Dienste abgehärtet worden sind. Sie können sich sicherlich leicht eine Konfiguration vorstellen, bei der ein System lediglich von einer eingebauten Firewall geschützt wird, und der Administrator glückselig die Firewall-Regeln aus irgendwelchen Gründen (Probleme mit dem Setup, Verdruss, Denkfehler, ...) entfernt. Dieses System wäre weit geöffnet für Angriffe, wenn es keine anderen Schutzmaßnahmen auf dem System gibt.

note: type: <p></p>
en: On the other hand, having firewall rules on the local system also prevents some bad things from happening. Even if the services provided are configured securely, a firewall can protect from misconfigurations or from fresh installed services that have not yet been properly configured. Also, a tight configuration will prevent trojans <em>calling home</em> from working unless the firewalling code is removed. Note that an intruder does <em>not</em> need superuser access to install a trojan locally that could be remotely controlled (since binding on ports is allowed if they are not priviledged ports and capabilities have not been removed).
de: Andererseits können Firewall-Regeln auf dem lokalen System dafür sorgen, dass böse Dinge nicht passieren. Sogar wenn die bereitgestellten Dienste sicher konfiguriert sind, kann eine Firewall vor Misskonfigurationen oder frisch installierten Diensten, die noch nicht passend konfiguriert sind, schützen. Außerdem wird eine strenge Konfiguration <em>nach Hause telefonierende</em> Trojaner am Funktionieren hindern, es sei denn, der Firewall-Code wird entfernt. Beachten Sie, dass ein Eindringling <em>keinen</em> Superuser-Zugriff benötigt, um ferngesteuerte Trojaner zu installieren (da es erlaubt ist, sich an Ports zu binden, wenn es sich nicht um einen privilegierten Port handelt und die Fähigkeiten (Capabilities) noch vorhanden sind).

note: type: <p><list>
en: Thus, a proper firewall setup would be one with a default deny policy, that is:
de: Demzufolge wäre ein passendes Firewall-Setup, eines mit einer standardmäßigen Richtlinie, die alles ablehnt, was nicht ausdrücklich erlaubt ist, also:

note: type: <p></p>
en: incoming connections are allowed only to local services by allowed machines.
de: Eingehende Verbindungen werden nur zu lokalen Diensten von erlaubten Maschinen gestattet.

note: type: <p></p>
en: outgoing connections are only allowed to services used by your system (DNS, web browsing, POP, email...).<footnote><p>Unlike personal firewalls in other operating systems, Debian GNU/Linux does not (yet) provide firewall generation interfaces that can make rules limiting them per process or user. However, the iptables code can be configured to do this (see the owner module in the <manref name="iptables" section="8"> manpage).</p></footnote>
de: Ausgehende Verbindungen werden nur von Diensten erlaubt, die auf Ihrem System benutzt werden (DNS, Web-Surfen, POP, E-Mail, ...).<footnote><p>Im Gegensatz zu persönlichen Firewalls für andere Betriebssysteme, stellt Debian GNU/Linux (noch) keine Firewall-Erstellungs-Schnittstelle zur Verfügung, die Regeln erstellen kann, die einzelne Prozesse oder Benutzer einschränken. Jedoch kann der Iptables-Code so konfiguriert werden, dass er dies kann (siehe dazu das »owner«-Modul in der Handbuchseite <manref name="iptables" section="8">).</p></footnote>

note: type: <p></p>
en: the forward rule denies everything (unless you are protecting other systems, see below).
de: Die Forward-Regel verbietet alles; es sei denn, andere Systeme werden geschützt (siehe dazu unten).

note: type: <p></p>
en: all other incoming or outgoing connections are denied.
de: Alle anderen eingehenden und ausgehenden Verbindungen werden abgelehnt.

note: type: <heading></heading>
en: Using a firewall to protect other systems
de: Schützen anderer Systeme durch eine Firewall

note: type: <p></p>
en: A Debian firewall can also be installed in order to protect, with filtering rules, access to systems <em>behind</em> it, limiting their exposure to the Internet. A firewall can be configured to prevent access from systems outside of the local network to internal services (ports) that are not public. For example, on a mail server, only port 25 (where the mail service is being given) needs to be accessible from the outside. A firewall can be configured to, even if there are other network services besides the public ones running in the mail server, throw away packets (this is known as <em>filtering</em>) directed towards them.
de: Eine Debian-Firewall kann auch so installiert werden, dass sie mit Firewall-Regeln Systeme <em>hinter</em> ihr beschützt, indem sie die Angriffsfläche zum Internet hin einschränkt. Eine Firewall kann so konfiguriert werden, dass ein Zugriff von Systemen außerhalb des lokalen Netzwerks auf interne Dienste (Ports) unterbunden wird. Zum Beispiel muss auf einem Mail-Server lediglich Port 25 (auf dem der Mail-Dienst aufsetzt) von außen zugänglich sein. Eine Firewall kann so konfiguriert werden, dass sogar, wenn es neben den öffentlich zugänglichen noch andere Netzwerkdienste gibt, direkt an diese gesendete Pakete verworfen werden (dies nennt man <em>filtern</em>).

note: type: <p></p>
en: You can even set up a Debian GNU/Linux box as a bridge firewall, i.e. a filtering firewall completely transparent to the network that lacks an IP address and thus cannot be attacked directly. Depending on the kernel you have installed, you might need to install the bridge firewall patch and then go to <em>802.1d Ethernet Bridging</em> when configuring the kernel and a new option <em>netfilter ( firewalling ) support</em>. See the <ref id="bridge-fw"> for more information on how to set this up in a Debian GNU/Linux system.
de: Sie können eine Debian GNU/Linux Maschine sogar so konfigurieren, dass sie als Bridge-Firewall (überbrückender Schutzwall) fungiert, d.h. als eine filternde Firewall, die komplett transparent zum gesamten Netzwerk erscheint, ohne IP-Adresse auskommt und daher nicht direkt attackiert werden kann. Abhängig von dem installierten Kernel müssen Sie vielleicht den Bridge-Firewall-Patch installieren und dann <em>802.1d Ethernet Bridging</em> in der Kernel-Konfiguration und die neue Option <em>netfilter ( firewalling ) Support</em> auswählen. Sehen Sie dazu <ref id="bridge-fw">, um zu erfahren, wie man dies auf einem Debian GNU/Linux System aufsetzt.

note: type: <heading></heading>
en: Setting up a firewall
de: Aufsetzen einer Firewall

note: type: <p></p>
en: The default Debian installation, unlike other Linux distributions, does not yet provide a way for the administrator to setup a firewall configuration throughout the default installation but you can install a number of firewall configuration packages (see <ref id="firewall-pack">).
de: Die Debian-Standardinstallation bietet im Gegensatz zu vielen anderen Linux-Distributionen noch keine Methode für den Administrator, eine Firewall-Konfiguration mit der Standardinstallation einzurichten, aber Sie können eine Anzahl von Firewall-Konfigurationspaketen (siehe <ref id="firewall-pack">) installieren.

note: type: <p></p>
en: Of course, the configuration of the firewall is always system and network dependant. An administrator must know beforehand what is the network layout and the systems he wants to protect, the services that need to be accessed, and whether or not other network considerations (like NAT or routing) need to be taken into account. Be careful when configuring your firewall, as Laurence J. Lane says in the <package>iptables</package> package:
de: Natürlich ist die Konfiguration einer Firewall immer vom System und dem Netzwerk abhängig. Ein Administrator muss vorher das Netzwerklayout und die Systeme, die er beschützen will, kennen, die Dienste, auf die zugegriffen werden können muss, und ob andere netzwerkspezifischen Erwägungen (wie NAT oder Routing) berücksichtigt werden müssen. Seien Sie vorsichtig, wenn Sie Ihre Firewall konfigurieren. Wie Laurence J. Lane im <package>iptables</package>-Paket sagt:

note: type: <p></p>
en: <em>The tools can easily be misused, causing enormous amounts of grief by completely crippling network access to a system. It is not terribly uncommon for a remote system administrator to accidentally lock himself out of a system hundreds or thousands of miles away. One can even manage to lock himself out of a computer who's keyboard is under his fingers. Please, use due caution.</em>
de: <em>Die Werkzeuge können leicht falsch verwendet werden und eine Menge Ärger verursachen, indem sie den gesamten Zugang zu einem Computernetzwerk stilllegen. Es ist nicht völlig ungewöhnlich, dass sich ein Systemadministrator, der ein System verwaltet, das hunderte oder tausende von Kilometern entfernt ist, irrtümlicherweise selbst davon ausgeschlossen hat. Man kann es sogar schaffen, sich von dem Computer auszusperren, dessen Tastatur unter seinen Fingern liegt. Lassen Sie daher die gebotene Vorsicht walten.</em>

note: type: <p></p>
en: Remember this: just installing the <package>iptables</package> (or the older firewalling code) does not give you any protection, just provides the software. In order to have a firewall you need to <em>configure</em> it!
de: Vergessen Sie nicht: Das bloße Installieren von <package>iptables</package> (oder dem älteren Firewallcode) gibt Ihnen keine Sicherheit, es stellt lediglich die Software zur Verfügung. Um eine Firewall zu haben, müssen Sie sie konfigurieren!

note: type: <p></p>
en: If you do not have a clue on how to set up your firewall rules manually consult the <em>Packet Filtering HOWTO</em> and <em>NAT HOWTO</em> provided by <package>iptables</package> for offline reading at <file>/usr/share/doc/iptables/html/</file>.
de: Wenn Sie keine Ahnung haben, wie Sie Ihre Firewall-Regeln manuell aufsetzen sollen, sehen Sie in dem <em>Packet Filtering HOWTO</em> und <em>NAT HOWTO</em> aus dem Paket <package>iptables</package>, zu finden unter <file>/usr/share/doc/iptables/html/</file> nach.

note: type: <p></p>
en: If you do not know much about firewalling you should start by reading the <url id="http://www.tldp.org/HOWTO/Firewall-HOWTO.html" name="Firewalling and Proxy Server HOWTO">, install the <package>doc-linux-text</package> package if you want to read it offline. If you want to ask questions or need help setting up a firewall you can use the debian-firewall mailing list, see <url id="http://lists.debian.org/debian-firewall">. Also see <ref id="references"> for more (general) pointers on firewalls. Another good iptables tutorial is <url id="http://iptables-tutorial.frozentux.net/iptables-tutorial.html">.
de: Wenn Sie nicht viel über Firewalls wissen, sollten Sie beginnen, indem Sie das <url id="http://www.tldp.org/HOWTO/Firewall-HOWTO.html" name="Firewalling and Proxy Server HOWTO"> lesen. Installieren Sie das Paket <package>doc-linux-text</package>, wenn Sie es offline lesen wollen. Wenn Sie Fragen stellen wollen oder Hilfe beim Einrichten einer Firewall benötigen, können Sie sich an die debian-firewall-Mailingliste wenden, siehe <url id="http://lists.debian.org/debian-firewall">. Sehen Sie auch <ref id="references"> für weitere (allgemeinere) Verweise zu Firewalls. Ein weiterer guter Leitfaden für Iptables ist <url id="http://iptables-tutorial.frozentux.net/iptables-tutorial.html">.

note: type: <heading></heading>
en: Using firewall packages
de: Nutzen von Firewall-Paketen

note: type: <p></p>
en: Setting up manually a firewall can be complicated for novice (and sometimes even expert) administrators. However, the free software community has created a number of tools that can be used to easily configure a local firewall. Be forewarned that some of these tools are oriented more towards local-only protection (also known as <em>personal firewall</em>) and some are more versatile and can be used to configure complex rules to protect whole networks.
de: Das manuelle Aufsetzen einer Firewall kann für neue (und manchmal auch für erfahrene) Administratoren kompliziert sein. Hierfür hat die Freie-Software-Gemeinschaft eine große Zahl von Werkzeugen erstellt, die zur einfachen Konfiguration einer lokalen Firewall benutzt werden können. Seien Sie gewarnt, dass einige dieser Werkzeuge sich mehr auf lokalen Schutz konzentrieren (auch <em>personal firewall</em> genannt), während andere vielseitiger sind und dazu benutzt werden können, komplexere Regelwerke zum Schutz ganzer Netzwerke zu erstellen.

note: type: <p><list>
en: Some software that can be used to set up firewall rules in a Debian system is:
de: Einige Programme, die unter Debian zum Aufsetzen von Firewall-Regeln benutzt werden können, sind:

note: type: <p><list>
en: For desktop systems:
de: Für Desktop-Systeme:

note: type: <p></p>
en: <package>firestarter</package>, a GNOME application oriented towards end-users that includes a wizard useful to quickly setup firewall rules. The application includes a GUI to be able to monitor when a firewall rule blocks traffic.
de: <package>firestarter</package>, eine GNOME-Anwendung, die sich an Endanwender richtet, die einen Wizard enthält, der nützlich ist, um schnell Firewall-Regeln aufzustellen. Die Anwendung enthält eine graphische Oberfläche zum Beobachten, ob eine Firewall-Regel Daten blockiert.

note: type: <p></p>
en: <package>guarddog</package>, a KDE based firewall configuration package oriented both to novice and advanced users.
de: <package>guarddog</package> ist ein auf KDE beruhendes Paket zur Erstellung von Firewall-Regeln. Es richtet sich sowohl an Neulinge wie auch an Fortgeschrittene.

note: type: <p></p>
en: <package>knetfilter</package>, a KDE GUI to manage firewall and NAT rules for iptables (alternative/competitor to the guarddog tool although slightly oriented towards advanced users).
de: <package>knetfilter</package> ist ein KDE-Programm mit  grafischer Oberfläche, um Firewall- und NAT-Regeln für iptables zu verwalten. Es ist eine Alternative zu guarddog, es ist jedoch etwas mehr auf fortgeschrittenere Benutzer ausgelegt.

note: type: <p></p>
en: fireflier, an interactive tool to create iptables rules based on traffic seen on the system and applications. It has a server-client model so you have to install both the server (<package>fireflier-server</package>) and one of the available clients, with one client available for different desktop environments: <package>fireflier-client-gtk</package> (Gtk+ client), <package>fireflier-client-kde</package> (KDE client) and <package>fireflier-client-qt</package> (QT client).
de: fireflier ist ein interaktives Werkzeug, um Firewall-Regeln zu erstellen. Dazu analysiert es den Netzwerkverkehr und Anwendungen. Es basiert auf einem Client-Server-Modell, daher müssen Sie sowohl den Server (<package>fireflier-server</package>) als auch einen der zahlreichen Clients (<package>fireflier-client-gtk</package> (Gtk+-Client), <package>fireflier-client-kde</package> (KDE-Client) oder <package>fireflier-client-qt</package> (QT-Client)) installieren.

note: type: <p><list>
en: For servers (headless) systems:
de: Für Server-Systeme (textbasiert):

note: type: <p></p>
en: <package>fwbuilder</package>, an object oriented GUI which includes policy compilers for various firewall platforms including Linux' netfilter, BSD's pf (used in OpenBSD, NetBSD, FreeBSD and MacOS X) as well as router's access-lists. It is similar to enterprise firewall management software. Complete fwbuilder's functionality is also available from the command line.
de: <package>fwbuilder</package>, eine objektorientierte graphische Oberfläche, die Richtlinien-Compiler für verschiedene Firewall-Plattformen inklusive Linux' netfilter, BSDs pf (verwendet in OpenBSD, NetBSD, FreeBSD und MacOS X) ebenso wie Zugriffslisten von Routern enthält. Es ist ähnlich zu Enterprise-Firewall-Management-Software. Die vollständige Funktionalität von fwbuilder ist auch von der Kommandozeile verfügbar.

note: type: <p></p>
en: <package>shorewall</package>, a firewall configuration tool which provides support for IPsec as well as limited support for traffic shaping as well as the definition of the firewall rules. Configuration is done through a simple set of files that are used to generate the iptables rules.
de: <package>shorewall</package>, ein Firewall-Konfigurationswerkzeug, das Unterstützung für IPsec sowie beschränkte Unterstützung für Traffic Shaping und die Definition der Firewall-Regeln bietet. Die Konfiguration geschieht durch eine einfache Menge von Dateien, die verwendet werden, um die iptables-Regeln aufzustellen.

note: type: <p></p>
en: <package>bastille</package>, this hardening application is described in <ref id="automatic-harden">. One of the hardening steps that the administrator can configure is a definition of the allowed and disallowed network traffic that is used to generate a set of firewall rules that the system will execute on startup.
de: <package>bastille</package>, diese Härtungsanwendung ist in <ref id="automatic-harden"> beschrieben. Einer der Härtungsschritte, die der Administrator konfigurieren kann, ist eine Definition des erlaubten und verbotenen Netzwerkverkehrs, der verwendet wird, eine Anzahl von Firewall-Regeln, die das System am Start ausführt, zu generieren.

note: type: <p></p>
en: Lots of other iptables frontends come with Debian; an extensive list comparing the different packages in Debian is maintained at the <url id="http://wiki.debian.org/Firewalls" name="Firewalls page on the Debian wiki">.
de: Es gibt in Debian auch noch eine Menge anderer Frontends für Iptables. Eine vollständige Liste kann auf der <url id="http://wiki.debian.org/Firewalls" name="Firewall-Seite des Debian-Wikis">, die auch einen Vergleich der verschiedenen Pakete enthält, abgerufen werden.

note: type: <p></p>
en: Notice that some of the packages outlined previously will introduce firewalling scripts to be run when the system boots. Test them extensively before rebooting or you might find yourself locked from the box. If you mix different firewalling packages you can have undesired effects, usually, the firewalling script that runs last will be the one that configures the system (which might not be what you intend). Consult the package documentation and use either one of these setups.
de: Seien Sie gewarnt, dass manche der zuvor skizzierten Pakete Firewall-Skripte einführen, die beim Systemstart ausgeführt werden. Testen Sie diese ausführlich, bevor Sie neustarten, oder Sie finden sich selbst ausgesperrt vor Ihrem Rechner wieder. Wenn Sie verschiedene Firewall-Pakete mischen, kann dies zu unerwünschten Nebeneffekten führen. Gewöhnlich wird das Firewall-Skript, das zuletzt ausgeführt wird, das System konfigurieren (was Sie so vielleicht nicht vorhatten). Sehen Sie hierzu in der Paketdokumentation nach und benutzen Sie nur eines dieser Setups.

note: type: <p></p>
en: As mentioned before, some programs, like <package>firestarter</package>, <package>guarddog</package> and <package>knetfilter</package>, are administration GUIs using either GNOME or KDE (last two). These applications are much more user-oriented (i.e. for home users) than some of the other packages in the list which might be more administrator-oriented. Some of the programs mentioned before (like <prgn>bastille</prgn>) are focused at setting up firewall rules to protect the host they run in but are not necessarily designed to setup firewall rules for firewall hosts that protect a network (like <prgn>shorewall</prgn> or <prgn>fwbuilder</prgn>).
de: Wie bereits zuvor erläutert, sind einige Programme wie <package>firestarter</package>, <package>guarddog</package> und <package>knetfilter</package> graphische Administrations-Schnittstellen, die entweder GNOME oder KDE (die letzte beiden) benutzen. Diese sind viel benutzerorientierter (z.B. für Heimanwender) als einige der anderen Pakete in der Liste, die sich eher an Administratoren richten. Einige der Programme, die zuvor aufgeführt wurden (wie <prgn>bastille</prgn>), fokussieren auf das Erstellen von Firewall-Regeln zum Schutz des Rechners, auf dem sie laufen, sind aber nicht notwendigerweise dafür geschaffen, Firewall-Regeln für Rechner zu erstellen, die ein Netzwerk schützen (wie <prgn>shorewall</prgn> oder <prgn>fwbuilder</prgn>).

note: type: <p></p>
en: There is yet another type of firewall application: application proxies. If you are looking into setting up an enterprise-level firewall that does packet filtering and provides a number of transparent proxies that can do fine-grain traffic analysis you should consider using <package>zorp</package>, which provides this in a single program. You can also manually setup this type of firewall host using the proxies available in Debian for different services like for DNS using <package>bind</package> (properly configured), <package>dnsmasq</package>, <package>pdnsd</package> or <package>totd</package> for FTP using <package>frox</package> or <package>ftp-proxy</package>, for X11 using <package>xfwp</package>, for IMAP using <package>imapproxy</package>, for mail using <package>smtpd</package>, or for POP3 using <package>p3scan</package>. For other protocols you can either use a generic TCP proxy like <package>simpleproxy</package> or a generic SOCKS proxy like <package>dante-server</package>, <package>tsocks</package> or <package>socks4-server</package>. Typically, you will also use a web caching system (like <package>squid</package>) and a web filtering system (like <package>squidguard</package> or <package>dansguardian</package>).
de: Es gibt einen weiteren Typ von Firewall-Anwendungen: Anwendungs-Proxys. Wenn Sie eine Möglichkeit suchen, eine Unternehmenslösung aufzusetzen, die Pakete filtert und eine Anzahl von transparenten Proxys bietet, die feinabgestimmte Verkehrsanalysen bieten, so sollten Sie <package>zorp</package> genauer betrachten. Dies bietet alles in einem einzelnen Programm. Sie können diese Art von Firewall-Rechner auch manuell aufsetzen, indem Sie die Proxys, die in Debian vorhanden sind, für verschiedene Dienste verwenden. Zum Beispiel für DNS <package>bind</package> (richtig konfiguriert), <package>dnsmasq</package>, <package>pdnsd</package> oder <package>totd</package> für FTP <package>frox</package> oder <package>ftp-proxy</package>, für X11 <package>xfwp</package>, für IMAP <package>imapproxy</package>, für Mail <package>smtpd</package> oder für POP3 <package>p3scan</package>. Für andere Protokolle können Sie entweder einen allgemeinen TCP-Proxy wie <package>simpleproxy</package> oder einen allgemeinen SOCKS-Proxy wie <package>dante-server</package>, <package>tsocks</package> oder <package>socks4-server</package> verwenden. Typischerweise werden Sie auch ein Web-Cache-System (wie <package>squid</package>) und ein Web-Filtersystem (wie <package>squidguard</package> oder <package>dansguardian</package>) nutzen.

note: type: <heading></heading>
en: Manual init.d configuration
de: Manuelle init.d-Konfiguration

note: type: <p><list>
en: Another possibility is to manually configure your firewall rules through an init.d script that will run all the <prgn>iptables</prgn> commands. Take the following steps:
de: Eine andere Möglichkeit ist die manuelle Konfiguration Ihrer Firewall-Regeln durch ein init.d-Skript, das die <prgn>iptables</prgn>-Befehle ausführt. Befolgen Sie diese Schritte:

note: type: <p></p>
en: Review the script below and adapt it to your needs.
de: Sehen Sie das unten aufgeführte Skript durch und passen Sie es Ihren Anforderungen an.

note: type: <p></p>
en: Test the script and review the syslog messages to see which traffic is being dropped. If you are testing from the network you will want to either run the sample shell snippet to remove the firewall (if you don't type anything in 20 seconds) or you might want to comment out the <em>default deny</em> policy definitions (<em>-P INPUT DROP</em> and <em>-P OUTPUT DROP</em>) and check that the system will not drop any legitimate traffic.
de: Testen Sie das Skript und überprüfen Sie die Syslog-Meldungen nach unterdrückten Netzverkehr. Wenn Sie vom Netzwerk aus testen, werden Sie entweder den Beispielshellcode starten wollen, um die Firewall zu entfernen (wenn Sie nichts innerhalb von 20 Sekunden eingeben) oder Sie sollten die <em>default deny</em>-Richtliniendefinition auskommentieren (<em>-P INPUT DROP</em> und <em>-P OUTPUT DROP</em>) und überprüfen, dass das System keine gültigen Daten verworfen hat.

note: type: <p></p>
en: Move the script to <file>/etc/init.d/myfirewall</file>
de: Verschieben Sie das Skript nach <file>/etc/init.d/meineFirewall</file>

note: type: <p><example>
en: Configure the system to run the script before any network is configured:
de: Konfigurieren Sie das System das Skript zu starten, bevor irgendein Netzwerk konfiguriert wird:

note: type: <p><example>
en: This is the sample firewall script:
de: Dies ist das Beispiel-Firewallskript:

note: type: <p></p>
en: Instead of including all of the iptables rules in the init.d script you can use the <prgn>iptables-restore</prgn> program to restore the rules saved using <prgn>iptables-save</prgn>. In order to do this you need to setup your rules, save the ruleset under a static location (such as <file>/etc/default/firewall</file>)
de: Um nicht alle Iptables-Regeln in das Init.d-Skript einfügen zu müssen, können Sie auch das Programm <prgn>iptables-restore</prgn> verwenden, um die Regeln zu laden, die zuvor mit <prgn>iptables-save</prgn> gespeichert wurden. Um dies zu tun, müssen Sie Ihre Regeln erstellen und das Regelwerk statisch speichern (z.B. in <file>/etc/default/firewall</file>).

note: type: <heading></heading>
en: Configuring firewall rules through <prgn>ifup</prgn>
de: Konfiguration von Firewall-Regeln mittels <prgn>ifup</prgn>

note: type: <p><list>
en: You can use also the network configuration in <file>/etc/network/interfaces</file> to setup your firewall rules. For this you will need to:
de: Sie können auch die Netzwerkkonfiguration in <file>/etc/network/interfaces</file> verwenden, um Ihre Firewall-Regeln einzurichten. Dafür müssen Sie Folgendes tun:

note: type: <p></p>
en: Create your firewalling ruleset for when the interface is active.
de: Erstellen Sie Ihre Firewall-Regeln für die aktivierte Schnittstelle.

note: type: <p></p>
en: Save your ruleset with <prgn>iptables-save</prgn> to a file in <file>/etc</file>, for example <file>/etc/iptables.up.rules</file>
de: Sichern Sie Ihre Regeln mit <prgn>iptables-save</prgn> in eine Datei in <file>/etc</file>, zum Beispiel <file>/etc/iptables.up.rules</file>.

note: type: <p><example>
en: Configure <file>/etc/network/interfaces</file> to use the configured ruleset:
de: Konfigurieren Sie <file>/etc/network/interfaces</file>, diese Regeln zu verwenden:

note: type: <p><example>
en: You can optionally also setup a set of rules to be applied when the network interface is <em>down</em> creating a set of rules, saving it in <file>/etc/iptables.down.rules</file> and adding this directive to the interface configuration:
de: Wahlweise können Sie auch Regeln erstellen, die beim Herunterfahren der Netzwerkschnittstelle ausgeführt werden. Dazu erzeugen Sie diese, speichern sie in <file>/etc/iptables.down.rules</file> und fügen diese Anweisung zur Schnittstellenkonfiguration hinzu:

note: type: <p></p>
en: For more advanced firewall configuration scripts through <package>ifupdown</package> you can use the hooks available to each interface as in the <file>*.d/</file> directories called with <prgn>run-parts</prgn> (see <manref name="run-parts" section="8">).
de: Für weitergehende Firewall-Konfigurationsskripte durch <package>ifupdown</package> können Sie die zu jeder Schnittstelle verfügbaren Hooks (Einspringpunkte) wie in den <file>*.d/</file>-Verzeichnissen verwenden, die mit <prgn>run-parts</prgn> aufgerufen werden (vergleiche <manref name="run-parts" section="8">).

note: type: <heading></heading>
en: Testing your firewall configuration
de: Testen Ihrer Firewall-Konfiguration

note: type: <p></p>
en: Testing your firewall configuration is as easy, and as dangerous, as just running your firewall script (or enabling the configuration you defined in your firewall configuration application). However, if you are not careful enough and you are configuring your firewall remotely (like through an SSH connection) you could lock yourself out.
de: Testen Ihrer Firewall-Konfiguration ist so einfach und so schwierig, wie das Starten Ihres Firewall-Skripts (oder die Aktivierung der Konfiguration, die Sie in Ihrer Firewall-Konfigurationsanwendung definierten). Wenn Sie jedoch nicht sorgfältig genug sind und Sie Ihre Firewall aus der Ferne konfigurieren (z.B. durch eine SSH-Verbindung), könnten Sie sich selbst aussperren.

note: type: <p><example>
en: There are several ways to prevent this. One is running a script in a separate terminal that will remove the firewall configuration if you don't feed it input. An example of this is:
de: Es gibt mehrere Möglichkeiten, dies zu verhindern. Eine ist das Starten eines Skriptes in einem separaten Terminal, das Ihre Firewall-Konfiguration entfernt, wenn es keine Eingabe von Ihnen erhält. Ein Beispiel dafür ist:

note: type: <p></p>
en: Another one is to introduce a backdoor in your system through an alternate mechanism that allows you to either clear the firewall system or punch a hole in it if something goes awry. For this you can use <package>knockd</package> and configure it so that a certain port connection attempt sequence will clear the firewall (or add a temporary rule). Even though the packets will be dropped by the firewall, since <prgn>knockd</prgn> binds to the interface and <em>sees</em> you will be able to work around the problem.
de: Eine andere Möglichkeit ist das Einführen einer Hintertür in Ihr System durch einen alternativen Mechanismus, der es Ihnen erlaubt, das Firewall-System entweder zurückzusetzen oder ein Loch in es schlägt, wenn irgendetwas krumm läuft. Dafür können Sie <package>knockd</package> verwenden und es so konfigurieren, dass eine spezielle Portverbindungsversuchssequenz die Firewall zurücksetzt (oder eine temporäre Regel hinzufügt). Selbst wenn die Pakete von der Firewall zurückgewiesen werden, werden Sie Ihr Problem lösen können, da <prgn>knockd</prgn> auf der Schnittstelle lauscht und Sie <em>sieht</em>.

note: type: <p></p>
en: Testing a firewall that is protecting an internal network is a different issue, you will want to look at some of the tools used for remote vulnerability assessment (see <ref id="vuln-asses">) to probe the network from the outside in (or from any other direction) to test the effectiveness of the firewall configuation.
de: Das Testen einer Firewall, die ein internes Netz schützt, ist eine andere Aufgabe. Schauen Sie sich dafür einige Werkzeuge an, die es für entfernte Ausnutzbarkeitsbewertungen gibt (siehe <ref id="vuln-asses">), um das Netzwerk von außerhalb nach innen (oder aus einer beliebig anderen Richtung) bezüglich der Effektivität der Firewall-Konfiguration zu testen.

note: type: <heading></heading>
en: Automatic hardening of Debian systems
de: Automatisches Abhärten von Debian-Systemen

note: type: <p></p>
en: After reading through all the information in the previous chapters you might be wondering "I have to do quite a lot of things in order to harden my system, couldn't these things be automated?". The answer is yes, but be careful with automated tools. Some people believe, that a hardening tool does not eliminate the need for good administration. So do not be fooled to think that you can automate the whole process and will fix all the related issues. Security is an ever-ongoing process in which the administrator must participate and cannot just stand away and let the tools do all the work since no single tool can cope with all the possible security policy implementations, all the attacks and all the environments.
de: Nachdem Sie nun all die Informationen aus den vorherigen Kapiteln gelesen haben, fragen Sie sich vielleicht: »Ich habe sehr viele Dinge zu erledigen, um mein System abzusichern. Könnte man das nicht automatisieren?« Die Antwort lautet: »Ja, aber seien Sie vorsichtig mit automatischen Werkzeugen.« Manche Leute denken, dass ein Absicherungswerkzeug nicht die Notwendigkeit einer guten Systemadministration abschafft. Täuschen Sie sich also nicht selbst, indem Sie denken, dass Sie all die Prozesse automatisieren könnten und sich alle betreffenden Angelegenheiten von selbst erledigen würden. Sicherheit ist ein andauernder Prozess, an dem der Administrator teilnehmen muss. Er kann nicht einfach wegbleiben und irgendwelche Werkzeuge die Arbeit erledigen lassen, weil kein einzelnes Werkzeug die Umsetzung aller Sicherheitsrichtlinien, aller Angriffe oder aller Umgebungen bewältigen kann.

note: type: <p></p>
en: Since woody (Debian 3.0) there are two specific packages that are useful for security hardening. The <package>harden</package> package which takes an approach based on the package dependencies to quickly install valuable security packages and remove those with flaws, configuration of the packages must be done by the administrator. The <package>bastille</package> package that implements a given security policy on the local system based on previous configuration by the administrator (the building of the configuration can be a guided process done with simple yes/no questions).
de: Seit Woody (Debian 3.0) gibt es zwei unterschiedliche Pakete, die zur Erhöhung der Sicherheit nützlich sind. Das Paket <package>harden</package> versucht, auf Basis der Paket-Abhängigkeiten schnell wertvolle Sicherheitspakete zu installieren und Pakete mit Mängeln zu entfernen. Die Konfiguration der Pakete muss der Administrator erledigen. Das Paket <package>bastille</package> implementiert gegebene Sicherheitsregeln für das lokale System, die auf einer vorhergehenden Konfiguration durch den Administrator basieren (Sie können auch mit einfachen Ja/Nein-Fragen durch die Konfiguration geführt werden).

note: type: <p><list>
en: The <package>harden</package> package tries to make it more easy to install and administer hosts that need good security. This package should be used by people that want some quick help to enhance the security of the system. It automatically installs some tools that should enhance security in some way: intrusion detection tools, security analysis tools, etc. Harden installs the following <em>virtual</em> packages (i.e. no contents, just dependencies or recommendations on others):
de: Das Paket <package>harden</package> versucht es einfacher zu machen, Rechner, die gute Sicherheit benötigen, zu installieren und zu administrieren. Dieses Paket sollte von Leuten benutzt werden, die eine schnelle Hilfe bei der Erhöhung der Systemsicherheit haben wollen. Es installiert automatisch einige Werkzeuge, die die Sicherheit auf unterschiedliche Art und Weise erhöhen: Werkzeuge zur Eindringlingserkennung, Werkzeuge zur Sicherheitsanalyse und mehr. <package>harden</package> installiert die folgenden <em>virtuellen</em> Pakete (d.h. sie enthalten nichts, hängen aber von anderen Paketen ab oder empfehlen diese):

note: type: <p></p>
en: <package>harden-tools</package>: tools to enhance system security (integrity checkers, intrusion detection, kernel patches...)
de: <package>harden-tools</package>: Werkzeuge, welche die Sicherheit des Systems erhöhen (Integritätsprüfung, Eindringlingserkennung, Kernel-Patches, ...)

note: type: <p></p>
en: <package>harden-environment</package>: helps configure a hardened environment (currently empty).
de: <package>harden-environment</package>: hilft eine abgesicherte Umgebung zu konfigurieren (derzeit leer)

note: type: <p></p>
en: <package>harden-servers</package>: removes servers considered insecure for some reason.
de: <package>harden-servers</package>: entfernt Server, die aus irgendeinem Grund als unsicher gelten

note: type: <p></p>
en: <package>harden-clients</package>: removes clients considered insecure for some reason.
de: <package>harden-clients</package>: entfernt Clients, die aus irgendeinem Grund als unsicher gelten

note: type: <p></p>
en: <package>harden-remoteaudit</package>: tools to remotely audit a system.
de: <package>harden-remoteaudit</package>: Werkzeuge, um Systeme aus der Ferne zu überprüfen

note: type: <p></p>
en: <package>harden-nids</package>: helps to install a network intrusion detection system.
de: <package>harden-nids</package>: hilft bei der Installation eines Systems zur Entdeckung von Netzwerkeindringlingen

note: type: <p></p>
en: <package>harden-surveillance</package>: helps to install tools for monitoring of networks and services.
de: <package>harden-surveillance</package>: hilft bei der Installation von Werkzeugen zum Überwachen von Netzwerken und Diensten

note: type: </list><list>
en: Useful packages which are not a dependence:
de: Nützliche Pakete, für die keine Abhängigkeit besteht:

note: type: <p></p>
en: <package>harden-doc</package>: provides this same manual and other security-related documentation packages.
de: <package>harden-doc</package>: stellt dieses und andere sicherheitsrelevante Dokumente zur Verfügung

note: type: <p></p>
en: <package>harden-development</package>: development tools for creating more secure programs.
de: <package>harden-development</package>: Entwicklungswerkzeuge, um sicherere Programme zu erstellen

note: type: <p><example>
en: Be careful because if you have software you need (and which you do not wish to uninstall for some reason) and it conflicts with some of the packages above you might not be able to fully use <package>harden</package>. The harden packages do not (directly) do a thing. They do have, however, intentional package conflicts with known non-secure packages. This way, the Debian packaging system will not approve the installation of these packages. For example, when you try to install a telnet daemon with <package>harden-servers</package>, <package>apt</package> will say:
de: Seien Sie vorsichtig, wenn Sie Software installiert haben, die Sie brauchen (und aus bestimmten Gründen nicht deinstallieren wollen) und die aufgrund eines Konflikts mit einem der oben aufgeführten Pakete nicht installiert werden kann. In diesem Fall können Sie <package>harden</package> nicht vollständig nutzen. Die harden-Pakete machen eigentlich gar nichts. Zumindest nicht unmittelbar. Sie haben jedoch absichtliche Paketkonflikte mit bekannten, unsicheren Paketen. Auf diese Art wird die Paketverwaltung von Debian die Installation dieser Paketen nicht erlauben. Wenn Sie zum Beispiel bei installiertem <package>harden-servers</package>-Paket versuchen, einen telnet-Daemon zu installieren, wird Ihnen <package>apt</package> Folgendes sagen:

note: type: <example></example>
en: # apt-get install telnetd 
    The following packages will be REMOVED:
      harden-servers
    The following NEW packages will be installed:
      telnetd 
    Do you want to continue? [Y/n]
de: # apt-get install telnetd 
    Die folgenden Pakete werden ENTFERNT:
      harden-servers
    Die folgenden NEUEN Pakete werden installiert:
      telnetd 
    Möchten Sie fortfahren? [J/n]

note: type: <p></p>
en: This should set off some warnings in the administrator head, who should reconsider his actions.
de: Dies sollte im Kopf des Administrators eine Alarmglocke auslösen, der sein Vorgehen überdenken sollte.

note: type: <p></p>
en: <url id="http://bastille-linux.sourceforge.net/" name="Bastille Linux"> is an automatic hardening tool originally oriented towards the Red Hat and Mandrake Linux distributions. However, the <package>bastille</package> package provided in Debian (since woody) is patched in order to provide the same functionality for Debian GNU/Linux systems.
de: <url name="Bastille Linux" id="http://www.bastille-unix.org"> ist ein Werkzeug zur automatischen Abhärtung, das ursprünglich für die Linux-Distributionen Red Hat und Mandrake gedacht war. Wie auch immer: Das Paket <package>bastille</package> aus Debian (seit Woody) ist durch Patches angepasst, um dieselbe Funktionalität unter Debian GNU/Linux Systemen zur Verfügung zu stellen.

note: type: <p><list>
en: Bastille can be used with different frontends (all are documented in their own manpage in the Debian package) which enables the administrator to:
de: Bastille kann mit verschiedenen Oberflächen bedient werden (alle sind in ihrem eigenen Handbuch dokumentiert), die dem Administrator erlauben:

note: type: <p></p>
en: Answer questions step by step regarding the desired security of your system (using <manref name="InteractiveBastille" section="8">).
de: Schritt für Schritt Fragen zur erwünschten Sicherheit Ihres Systems zu beantworten (siehe <manref name="InteractiveBastille" section="8">),

note: type: <p></p>
en: Use a default setting for security (amongst three: Lax, Moderate or Paranoia) in a given setup (server or workstation) and let Bastille decide which security policy to implement (using <manref name="BastilleChooser" section="8">).
de: Standardeinstellungen zur Sicherheit (zwischen locker, moderat und paranoid) für eine bestimmte Einrichtung (Server oder Arbeitsplatz-Rechner) zu benutzen, und Bastille entscheiden zu lassen, welche Sicherheitsregelungen eingeführt werden sollen (siehe <manref name="BastilleChooser" section="8">),

note: type: <p></p>
en: Take a predefined configuration file (could be provided by Bastille or made by the administrator) and implement a given security policy (using <manref name="AutomatedBastille" section="8">).
de: eine vorgefertigte Konfigurationsdatei (von Bastille oder vom Administrator) zu nehmen und eine vorgegebene Sicherheitsregelung zu benutzen (siehe <manref name="AutomatedBastille" section="8">).

note: type: <heading></heading>
en: Debian Security Infrastructure
de: Die Infrastruktur für Sicherheit in Debian

note: type: <heading></heading>
en: The Debian Security Team
de: Das Sicherheitsteam von Debian

note: type: <p></p>
en: Debian has a Security Team, that handles security in the <em>stable</em> distribution. Handling security means they keep track of vulnerabilities that arise in software (watching forums such as Bugtraq, or vuln-dev) and determine if the <em>stable</em> distribution is affected by it.
de: Debian hat ein Sicherheitsteam, das aus fünf Mitgliedern und zwei Sekretären besteht. Es ist für die Sicherheit in der <em>Stable</em>-Veröffentlichung verantwortlich. Das bedeutet, dass es Sicherheitslücken nachgeht, die in Software auftauchen (indem es Foren wie Bugtraq oder vuln-dev beobachtet), und ermittelt, ob davon die <em>Stable</em>-Veröffentlichung betroffen ist.

note: type: <p></p>
en: Also, the Debian Security Team is the contact point for problems that are coordinated by upstream developers or organizations such as <url id="http://www.cert.org" name="CERT"> which might affect multiple vendors. That is, when problems are not Debian-specific. The contact point of the Security Team is <url id="mailto:team@security.debian.org" name="team@security.debian.org"> which only the members of the security team read.
de: Das Sicherheitsteam von Debian ist auch der Ansprechpartner für Probleme, die von den Programmautoren oder Organisationen wie <url id="http://www.cert.org" name="CERT"> behandelt werden und die mehrere Linux-Anbieter betreffen können. Das gilt für alle Probleme, die nicht debianspezifisch sind. Die Kontaktadresse des Sicherheitsteams ist <url id="mailto:team@security.debian.org" name="team@security.debian.org">, die nur die Mitglieder des Sicherheitsteams lesen.

note: type: <p></p>
en: Sensitive information should be sent to the first address and, in some cases, should be encrypted with the Debian Security Contact key (as found in the Debian keyring).
de: Heikle Informationen sollten an die erste Adresse geschickt werden und unter Umständen mit dem Schlüssel von Debian Security Contact (der sich in Debians Schlüsselbund befindet) verschlüsselt werden. <!-- SB: Fix original -->

note: type: <p></p>
en: Once a probable problem is received by the Security Team it will investigate if the <em>stable</em> distribution is affected and if it is, a fix is made for the source code base. This fix will sometimes include backporting the patch made upstream (which usually is some versions ahead of the one distributed by Debian). After testing of the fix is done, new packages are prepared and published in the <url id="http://security.debian.org"> site so they can be retrieved through <prgn>apt</prgn> (see <ref id="security-update">). At the same time a <em>Debian Security Advisory</em> (DSA) is published on the web site and sent to public mailing lists including <url id="http://lists.debian.org/debian-security-announce" name="debian-security-announce"> and Bugtraq.
de: Wenn das Sicherheitsteam ein mögliches Problem erhält, wird es untersuchen, ob die <em>Stable</em>-Veröffentlichung davon betroffen ist. Wenn dies der Fall ist, wird eine Ausbesserungen des Quellcodes vorgenommen. Diese Ausbesserung schließt manchmal ein, dass Patches der Programmautoren zurückportiert werden (da das Originalprogramm gewöhnlich einige Versionen weiter ist als das in Debian). Nachdem die Ausbesserung getestet wurde, werden neue Pakete vorbereitet und auf der Seite <url id="security-master.debian.org"> veröffentlicht, damit sie mit <prgn>apt</prgn> abgerufen werden können (siehe <ref id="security-update">). Zur gleichen Zeit wird eine <em>Debian-Sicherheits-Ankündigung</em> (DSA) auf der Webseite veröffentlicht und an öffentliche Mailinglisten einschließlich <url id="http://lists.debian.org/debian-security-announce" name="debian-security-announce"> und Bugtraq geschickt.

note: type: <p></p>
en: Some other frequently asked questions on the Debian Security Team can be found at <ref id="debian-sec-team-faq">.
de: Einige andere häufige Fragen zum Sicherheitsteam von Debian können unter <ref id="debian-sec-team-faq"> gefunden werden.

note: type: <heading></heading>
en: Debian Security Advisories
de: Debian-Sicherheits-Ankündigungen

note: type: <p><list>
en: Debian Security Advisories (DSAs) are made whenever a security vulnerability is discovered that affects a Debian package. These advisories, signed by one of the Security Team members, include information of the versions affected as well as the location of the updates. This information is:
de: Debian-Sicherheits-Ankündigungen (DSA) werden erstellt, sobald eine Sicherheitslücke entdeckt wird, die ein Debian-Paket betrifft. Diese Ankündigungen, die von einem Mitglied des Sicherheitsteams signiert sind, enthalten Informationen zu den betroffenen Versionen und den Orten der Aktualisierungen und ihrer MD5-Summen. Die Informationen sind:

note: type: <p></p>
en: version number for the fix.
de: Versionsnummer der Ausbesserung

note: type: <p></p>
en: problem type.
de: Art des Problems

note: type: <p></p>
en: whether it is remote or locally exploitable.
de: Ob es aus der Ferne oder lokal ausnutzbar ist

note: type: <p></p>
en: short description of the package.
de: Kurze Beschreibung des Pakets

note: type: <p></p>
en: description of the problem.
de: Beschreibung des Problems

note: type: <p></p>
en: description of the exploit.
de: Beschreibung des Exploits

note: type: <p></p>
en: description of the fix.
de: Beschreibung der Ausbesserung

note: type: <p></p>
en: DSAs are published both on <url id="http://www.debian.org/" name="Debian's frontpage"> and in the <url id="http://www.debian.org/security/" name="Debian security pages">. Usually this does not happen until the website is rebuilt (every four hours) so they might not be present immediately. The preferred channel is the debian-security-announce mailing list.
de: DSAs werden sowohl auf der <url id="http://www.de.debian.org/" name="Hauptseite von Debian"> als auch auf den <url id="http://www.debian.org/security/" name="Sicherheitsseiten von Debian"> veröffentlicht. Das passiert normalerweise nicht, bis die Website neu erstellt wurde (alle vier Stunden). Daher könnten sie nicht sofort vorhanden sein. Somit ist die vorzugswürdige Informationsquelle die Mailingliste debian-security-announce.

note: type: <p></p>
en: Interested users can, however (and this is done in some Debian-related portals) use the RDF channel to download automatically the DSAs to their desktop. Some applications, such as <prgn>Evolution</prgn> (an email client and personal information assistant) and <prgn>Multiticker</prgn> (a GNOME applet), can be used to retrieve the advisories automatically. The RDF channel is available at <url id="http://www.debian.org/security/dsa.rdf">.
de: Interessierte Benutzer können auch den RDF-Kanal verwenden, um die DSAs automatisch auf ihren Desktop herunterzuladen (dies wird auf einigen Portalen über Debian gemacht). Einige Anwendungen, wie etwa <prgn>Evolution</prgn> (ein E-Mail-Client und Hilfsprogramm für persönliche Informationen) und <prgn>Multiticker</prgn> (ein GNOME-Applet) können verwendet werden, um die Ankündigungen automatisch herunterzuladen. Der RDF-Kanal befindet sich unter <url id="http://www.debian.org/security/dsa.rdf">.

note: type: <p></p>
en: DSAs published on the website might be updated after being sent to the public-mailing lists. A common update is adding cross references to security vulnerability databases. Also, translations<footnote><p>Translations are available in up to ten different languages.</p></footnote> of DSAs are not sent to the security mailing lists but are directly included in the website.
de: DSAs, die auf der Webseite veröffentlicht wurden, können aktualisiert werden, nachdem sie an öffentliche Mailinglisten verschickt wurden. Eine typische Aktualisierung ist, einen Querverweis auf Datenbanken mit Sicherheitslücken hinzuzufügen. Auch Übersetzungen der DSAs <footnote><p> Übersetzungen sind in bis zu zehn verschiedenen Sprachen verfügbar. </footnote> werden nicht an die Sicherheitsmailinglisten geschickt, sondern sind direkt auf der Webseite enthalten.

note: type: <heading></heading>
en: Vulnerability cross references
de: Querverweise der Verwundbarkeiten

note: type: <p></p>
en: Debian provides a fully <url id="http://www.debian.org/security/crossreferences" name="crossreferenced table"> including all the references available for all the advisories published since 1998. This table is provided to complement the <url id="http://cve.mitre.org/cve/refs/refmap/source-DEBIAN.html" name="reference map available at CVE">.
de: Debian stellt eine vollständige <url id="http://www.de.debian.org/security/crossreferences" name="Tabelle mit Querverweisen"> zur Verfügung, die alle verfügbaren Verweise für die Ankündigungen seit 1998 enthält. Diese Tabelle soll die <url id="http://cve.mitre.org/cve/refs/refmap/source-DEBIAN.html" name="Verweisübersicht von CVE"> ergänzen.

note: type: <p></p>
en: You will notice that this table provides references to security databases such as <url id="http://www.securityfocus.com/bid" name="Bugtraq">, <url id="http://www.cert.org/advisories/" name="CERT/CC Advisories"> and <url id="http://www.kb.cert.org/vuls" name="US-CERT Vulnerability Notes Database"> as well as CVE names (see below). These references are provided for convenience use, but only CVE references are periodically reviewed and included.
de: Sie werden bemerken, dass die Tabelle Verweise auf Sicherheitsdatenbanken wie <url id="http://www.securityfocus.com/bid" name="Bugtraq">, <url id="http://www.cert.org/advisories/" name="CERT/CC Ankündigungen"> und <url id="http://www.kb.cert.org/vuls" name="US-CERT Vulnerability Notes Database"> und auf die CVE-Bezeichnungen (siehe unten) enthält. Diese Verweise werden zur Nutzerfreundlichkeit angeboten, aber nur der CVE-Verweise werden regelmäßig überprüft und eingefügt. Dieses Feature wurde im Juni 2002 der Webseite hinzugefügt.

note: type: <p><list>
en: Advantages of adding cross references to these vulnerability databases are:
de: Das Hinzufügen von Querverweisen auf diese Sicherheitsdatenbanken hat folgende Vorteile:

note: type: <p></p>
en: it makes it easier for Debian users to see and track which general (published) advisories have already been covered by Debian.
de: Es erleichtert Benutzern von Debian zu erkennen und nachzuvollziehen, welche allgemeinen (veröffentlichten) Ankündigungen schon von Debian abgedeckt sind.

note: type: <p></p>
en: system administrators can learn more about the vulnerability and its impact by following the cross references.
de: Systemadministratoren können mehr über die Verwundbarkeit und ihre Auswirkungen lernen, wenn sie den Querverweisen folgen.

note: type: <p></p>
en: this information can be used to cross-check output from vulnerability scanners that include references to CVE to remove false positives (see <ref id="vulnasses-false-positive">).
de: Diese Informationen können benutzt werden, um Ausgaben von Verwundbarkeitsscannern, die Verweise auf CVE enthalten, zu überprüfen, um falsche Positivmeldungen auszusortieren (vergleichen Sie <ref id="vulnasses-false-positive">).

note: type: <heading></heading>
en: CVE compatibility
de: CVE-Kompatibilität

note: type: <p></p>
en: Debian Security Advisories were <url id="http://www.debian.org/security/CVE-certificate.jpg" name="declared CVE-Compatible"><footnote><p>The full <url id="http://cve.mitre.org/compatible/phase2/SPI_Debian.html" name="capability questionnaire"> is available at CVE</p></footnote> in February 24, 2004.
de: Debians Sicherheitsankündigungen wurden am 24. Februar 2004 <url id="http://www.de.debian.org/security/CVE-certificate.jpg" name="CVE-kompatibel erklärt"> <footnote><p> Der vollständige <url id="http://cve.mitre.org/compatible/phase2/SPI_Debian.html" name="Fragebogen zur Kompatibilität"> ist bei CVE erhältlich. </p></footnote>.

note: type: <p></p>
en: Debian developers understand the need to provide accurate and up to date information of the security status of the Debian distribution, allowing users to manage the risk associated with new security vulnerabilities. CVE enables us to provide standardized references that allow users to develop a <url id="http://www.cve.mitre.org/compatible/enterprise.html" name="CVE-enabled security management process">.
de: Die Entwickler von Debian wissen von der Notwendigkeit, genaue und aktuelle Informationen über den Lage der Sicherheit in der Debian-Distribution zur Verfügung zu stellen. Dies ermöglicht es den Benutzern, mit den Risiken durch neue Sicherheitslücken umzugehen. CVE versetzt uns in die Lage, standardisierte Verweise anzubieten, die es Benutzern ermöglicht, einen <url id="http://www.cve.mitre.org/compatible/enterprise.html" name="Prozess zur Verwaltung der Sicherheit auf Grundlage von CVE"> zu entwickeln.

note: type: <p></p>
en: The <url id="http://cve.mitre.org" name="Common Vulnerabilities and Exposures (CVE)"> project is maintained by the MITRE Corporation and provides a list of standardized names for vulnerabilities and security exposures.
de: Das Projekt <url id="http://cve.mitre.org" name="Common Vulnerabilities and Exposures (CVE)"> wird von der MITRE Corporation betreut und stellt eine Liste von standardisierten Bezeichnungen für Verwundbarkeiten und Sicherheitslücken zur Verfügung.

note: type: <p></p>
en: Debian believes that providing users with additional information related to security issues that affect the Debian distribution is extremely important. The inclusion of CVE names in advisories help users associate generic vulnerabilities with specific Debian updates, which reduces the time spent handling vulnerabilities that affect our users. Also, it eases the management of security in an environment where CVE-enabled security tools -such as network or host intrusion detection systems, or vulnerability assessment tools- are already deployed regardless of whether or not they are based on the Debian distribution.
de: Debian ist überzeugt, dass es außerordentlich wichtig ist, die Benutzer mit zusätzlichen Informationen im Zusammenhang mit Sicherheitsproblemen, welche die Debian-Distribution betreffen, zu versorgen. Indem CVE-Bezeichnungen in den Ankündigungen enthalten sind, können Benutzer leichter allgemeine Verwundbarkeiten mit bestimmten Aktualisierungen von Debian in Verbindung bringen. Dies verringert die Zeit, die benötigt wird, um Verwundbarkeiten, die unsere Benutzer betreffen, abzuarbeiten. Außerdem vereinfacht es die Organisation der Sicherheit in einer Umgebung, in der schon Sicherheitswerkzeuge, die CVE verwenden, wie Erkennungssysteme von Eindringlingen in Netzwerk oder Host oder Werkzeuge zur Bewertung der Sicherheit eingesetzt werden, unabhängig davon, ob sie auf der Debian-Distribution beruhen.

note: type: <p></p>
en: Debian provides CVE names for all DSAs released since September 1998. All of the advisories can be retrieved on the Debian web site, and announcements related to new vulnerabilities include CVE names if available at the time of their release. Advisories associated with a given CVE name can be searched directly through the Debian Security Tracker (see below).
de: Debian stellt CVE-Bezeichnungen sind in allen DSAs seit September 1998 zur Verfügung. Alle Ankündigungen können auf der Webseite von Debian abgerufen werden. Auch Ankündigungen von neuen Verwundbarkeiten enthalten CVE-Bezeichnungen, wenn sie zum Zeitpunkt ihrer Veröffentlichung verfügbar waren. Ankündigungen, die mit einer bestimmten CVE-Bezeichnung verbunden sind, können direkt über Debians Sicherheitsdatenbank (Debian Security Tracker) gesucht werden (siehe unten).

note: type: <p><list>
en: In some cases you might not find a given CVE name in published advisories, for example because:
de: In einige Fällen finden Sie eine bestimmte CVE-Bezeichnung in veröffentlichten Ankündigungen nicht. Beispiele dafür sind:

note: type: <p></p>
en: No Debian products are affected by that vulnerability.
de: Keine Produkte von Debian sind von der Verwundbarkeit betroffen.

note: type: <p></p>
en: There is not yet an advisory covering that vulnerability (the security issue might have been reported as a <url id="http://bugs.debian.org/cgi-bin/pkgreport.cgi?tag=security" name="security bug"> but a fix has not been tested and uploaded).
de: Es gibt noch keine Ankündigung, welche die Verwundbarkeit abdeckt; das Sicherheitsproblem wurde vielleicht als <url id="http://bugs.debian.org/cgi-bin/pkgreport.cgi?tag=security" name="Sicherheitsfehler"> gemeldet, aber eine Ausbesserung wurde noch nicht getestet und hochgeladen.

note: type: <p></p>
en: An advisory was published before a CVE name was assigned to a given vulnerability (look for an update at the web site).
de: Eine Ankündigung wurde veröffentlicht, bevor eine CVE-Bezeichnung einer bestimmten Verwundbarkeit zugewiesen wurde (sehen Sie auf der Webseite nach einer Aktualisierung).

note: type: <heading></heading>
en: Security Tracker
de: Sicherheitsdatenbank

note: type: <p></p>
en: The central database of what the Debian security teams know about vulnerabilities is the <url id="http://security-tracker.debian.net" name="Debian Security Tracker">. It cross references packages, vulnerable and fixed versions for different suites, CVE names, Debian bug numbers, DSA's and miscellaneous notes. It can be searched, e.g. by CVE name to see which Debian packages are affected or fixed, or by package to show unresolved security issues. The only information missing from the tracker is confidential information that the security team received under embargo.
de: Die zentrale Datenbank darüber, welche Erkenntnisse Debians Sicherheitsteam von Verwundbarkeiten hat, ist der <url id="http://security-tracker.debian.net" name="Debian Security Tracker">. Sie enthält Querverweise zwischen Paketen, verwundbaren und ausgebesserten Versionen für unterschiedliche Veröffentlichungen, CVE-Namen, Nummern von Debian-Fehlerberichten, DSAs sowie unterschiedliche Anmerkungen. Die Datenbank kann durchsucht werden, z.B. nach dem CVE-Namen, um zu sehen, welche Debian-Pakete davon betroffen sind oder bereits Ausbesserungen enthalten, oder z.B. nach einem bestimmten Paket, um zu sehen, welche ungelösten Sicherheitsprobleme es hat. Die einzigen Informationen, die in der Datenbank fehlen, sind vertrauliche Informationen, die das Sicherheitsteam während eines Embargos erhalten hat.

note: type: <p></p>
en: The package <prgn>debsecan</prgn> uses the information in the tracker to report to the administrator of a system which of the installed packages are vulnerable, and for which updates are available to fix security issues.
de: Das Paket <prgn>debsecan</prgn> verwendet die Informationen in der Datenbank, zum den Administrator eines Systems darüber zu informieren, welche der installierten Pakete verwundbar sind und für welche Pakete Sicherheitsaktualisierungen verfügbar sind.

note: type: <heading></heading>
en: Debian Security Build Infrastructure
de: Die Infrastruktur des Sicherheitsprozesses in Debian

note: type: <p></p>
en: Since Debian is currently supported in a large number of architectures, administrators sometimes wonder if a given architecture might take more time to receive security updates than another. As a matter of fact, except for rare circumstances, updates are available to all architectures at the same time.
de: Da Debian im Moment eine große Anzahl von Architekturen unterstützt, fragen Administratoren manchmal, ob es bei einer bestimmten Architektur bis zu einer Sicherheitsaktualisierung länger dauert als bei einer anderen. Tatsächlich sind Aktualisierungen auf allen Architekturen zur selben Zeit verfügbar, abgesehen von seltenen Umständen.

note: type: <p></p>
en: Packages in the security archive are autobuilt, just like the regular archive. However, security updates are a little more different than normal uploads sent by package maintainers since, in some cases, before being published they need to wait until they can be tested further, an advisory written, or need to wait for a week or more to avoid publicizing the flaw until all vendors have had a reasonable chance to fix it.
de: Pakete im Sicherheitsarchiv werden automatisch erstellt, genauso wie im normalen Archiv. Allerdings werden Sicherheitsaktualisierungen etwas anderes behandelt als normale Aktualisierungen, die von den Paketbetreuern vorgenommen werden, da in manchen Fällen vor einer Veröffentlichung die Aktualisierungen nochmals getestet werden müssen, eine Ankündigung geschrieben werden muss oder eine Woche oder mehr gewartet werden muss, um zu verhindern, dass der Fehler veröffentlicht wird, bevor nicht alle Linux-Anbieter eine vernünftige Chance hatten, ihn zu beheben.

note: type: <p><list>
en: Thus, the security upload archive works with the following procedure:
de: Folglich arbeitet das Archiv der Sicherheitsuploads nach dem folgenden Ablauf :

note: type: <p></p>
en: Someone finds a security problem.
de: Jemand findet ein Sicherheitsproblem.

note: type: <p></p>
en: Someone fixes the problem, and makes an upload to security-master.debian.org's incoming (this <em>someone</em> is usually a Security Team member but can be also a package maintainer with an appropriate fix that has contacted the Security Team previously). The Changelog includes a <em>testing-security</em> or <em>stable-security</em> as target distribution.
de: Jemand löst das Problem und lädt die Lösung in den Eingang von security-master.debian.org hoch (dieser <em>jemand</em> ist normalerweise ein Mitglied des Sicherheitsteams, kann aber auch ein Paketbetreuer mit einer passenden Verbesserung sein, der sich zuvor mit dem Sicherheitsteam in Verbindung gesetzt hat). Die Änderungsübersicht (changelog) beinhaltet ein <em>testing-security</em> oder <em>stable-security</em> als Zieldistribution.

note: type: <p></p>
en: The upload gets checked and processed by a Debian system and moved into queue/accepted, and the buildds are notified. Files in here can be accessed by the security team and (somewhat indirectly) by the buildds.
de: Die hochgeladenen Dateien werden von einem Debian-System überprüft, verarbeitet und in die Warteschleife der angenommenen Dateien <!-- SB (20050426): "and moved into queue/accepted" --> weitergeleitet. Danach werden die Buildds benachrichtigt. Auf die Dateien in der Warteschleife kann das Sicherheitsteam und (auf indirektem Wege) die Buildds zugreifen.

note: type: <p></p>
en: Security-enabled buildds pick up the source package (prioritized over normal builds), build it, and send the logs to the security team.
de: Buildds, die Sicherheit unterstützen, holen sich das Quellpaket (mit einer höheren Priorität als normale Paketerstellungen), erstellen Pakete und schicken die Protokolle ans Sicherheitsteam.

note: type: <p></p>
en: The security team reply to the logs, and the newly built packages are uploaded to queue/unchecked, where they're processed by a Debian system, and moved into queue/accepted.
de: Das Sicherheitsteam antwortet auf die Protokolle und die neu erstellten Pakete werden in die Warteschleife der ungeprüften Dateien hochgeladen, wo sie von einem Debian-System verarbeitet und in die Warteschleife der angenommenen Dateien verschoben werden.

note: type: <p><list>
en: When the security team find the source package acceptable (i.e., that it's been correctly built for all applicable architectures and that it fixes the security hole and doesn't introduce new problems of its own) they run a script which:
de: Wenn das Sicherheitsteam ein Quellpaket akzeptiert (d.h. dass es für alle Architekturen korrekt Pakete erstellt, und dass es die Sicherheitslücke schließt und keine neuen Probleme hervorruft), führt es ein Skript aus, das:

note: type: <p></p>
en: installs the package into the security archive.
de: das Paket im Sicherheitsarchiv installiert,

note: type: <p></p>
en: updates the <file>Packages</file>, <file>Sources</file> and <file>Release</file> files of security.debian.org in the usual way (<prgn>dpkg-scanpackages</prgn>, <prgn>dpkg-scansources</prgn>, ...).
de: die <file>Paket</file>-, <file>Quell</file>- und <file>Veröffentlichungsdateien</file> von security.debian.org auf dem gewöhnlichen Weg aktualisiert (<prgn>dpkg-scanpackages</prgn>, <prgn>dpkg-scansources</prgn>, ...),

note: type: <p></p>
en: sets up a template advisory that the security team can finish off.
de: eine Vorlage einer Ankündigung erstellt, die das Sicherheitsteam fertig stellen kann und

note: type: <p></p>
en: forwards the packages to the appropriate proposed-updates so that it can be included in the real archive as soon as possible.
de: die Pakete zu den vorgeschlagenen Aktualisierungen weiterleitet, so dass sie sobald wie möglich in die echten Archive eingefügt werden können.

note: type: <p></p>
en: This procedure, previously done by hand, was tested and put through during the freezing stage of Debian 3.0 woody (July 2002). Thanks to this infrastructure the Security Team was able to have updated packages ready for the apache and OpenSSH issues for all the supported (almost twenty) architectures in less than a day.
de: Dieser Ablauf, der früher per Hand durchgeführt wurde, wurde während des Freezing-Abschnitts von Debian 3.0 Woody (Juli 2002) getestet und umgesetzt. Dank dieser Infrastruktur war es dem Sicherheitsteam möglich, aktualisierte Pakete für Apache- und OpenSSH-Probleme für alle unterstützen Architekturen (fast 20) in weniger als einem Tag bereitzustellen.

note: type: <heading></heading>
en: Developer's guide to security updates
de: Leitfaden über Sicherheitsaktualisierungen für Entwickler

note: type: <p></p>
en: Debian developers that need to coordinate with the security team on fixing in issue in their packages, can refer to the Developer's Reference section <url id="http://www.debian.org/doc/manuals/developers-reference/pkgs.html#bug-security" name="Handling security-related bugs">.
de: Debian Entwickler, die mit dem Sicherheitsteam zusammenarbeiten müssen, um in ihren Pakete Probleme zu lösen, sollten in der Entwicklerreferenz im Abschnitt <url id="http://www.debian.org/doc/manuals/developers-reference/pkgs.html#bug-security" name="Handhabung von sicherheitsrelevanten Fehlern"> nachsehen.

note: type: <heading></heading>
en: Package signing in Debian
de: Paketsignierung in Debian

note: type: <p></p>
en: This section could also be titled "how to upgrade/update safely your Debian GNU/Linux system" and it deserves its own section basically because it is an important part of the Security Infrastructure. Package signing is an important issue since it avoids tampering of packages distributed in mirrors and of downloads with man-in-the-middle attacks. Automatic software update is an important feature but it's also important to remove security threats that could help the distribution of trojans and the compromise of systems during updates<footnote><p>Some operating systems have already been plagued with automatic-updates problems such as the <url id="http://www.cunap.com/~hardingr/projects/osx/exploit.html" name="Mac OS X Software Update vulnerabity">.</p><p>FIXME: probably the Internet Explorer vulnerability handling certificate chains has an impact on security updates on Microsoft Windows.</p></footnote>.
de: Dieser Abschnitt könnte auch mit »Wie man sein Debian GNU/Linux-System sicher upgraded/aktualisiert« überschrieben werden. Es verdient hauptsächlich deshalb einen eigenen Abschnitt, weil es einen wichtigen Teil der Infrastruktur der Sicherheit darstellt. Die Signierung von Paketen ist ein wichtiges Thema, da es die Manipulation von Paketen in Spiegel und von heruntergeladenen Dateien durch Man-in-the-Middle-Angriffen verhindert. Die automatische Aktualisierung von Software ist eine wichtige Fähigkeit, aber es ist auch wichtig, Gefahren für die Sicherheit zu entfernen, die die Verbreitung von Trojanern und den Einbruch ins System während der Aktualisierung fördern können.<footnote><p> Einige Betriebssysteme wurden schon von Problemen mit automatischen Aktualisierungen heimgesucht, wie z.B. die <url id="http://www.cunap.com/~hardingr/projects/osx/exploit.html" name="Mac OS X Software-Update-Verwundbarkeit">. <p>FIXME: probably the Internet Explorer vulnerability handling certificate chains has an impact on security updates on Microsoft Windows. </p></footnote>

note: type: <p></p>
en: Debian does not provide signed packages but provides a mechanism available since Debian 4.0 (codename <em>etch</em>) to check for downloaded package's integrity<footnote><p>Older releases, such as Debian 3.1 <em>sarge</em> can use this feature by using backported versions of this package management tool</p></footnote>. For more information, see <ref id="apt-0.6">.
de: Debian stellt keine signierten Pakete zur Verfügung. Es gibt aber seit Debian 4.0 (Codename <em>Etch</em>) eine Verfahrensweise, mit der die Integrität von heruntergeladenen Paketen überprüft werden kann.<footnote><p>Ältere Veröffentlichungen wie Debian 3.1 (<em>Sarge</em>) können mit zurückportierten Versionen des Paketmanagers auf diese Methode zugreifen.</p></footnote> Weiterführende Hinweise können Sie unter <ref id="apt-0.6"> finden.

note: type: <p></p>
en: This issue is better described in the <url id="http://www.cryptnet.net/fdp/crypto/strong_distro.html" name="Strong Distribution HOWTO"> by V. Alex Brennen.
de: Dieses Problem wird besser im <url id="http://www.cryptnet.net/fdp/crypto/strong_distro.html" name="Strong-Distribution-Howto"> von V. Alex Brennen beschrieben.

note: type: <heading></heading>
en: The current scheme for package signature checks
de: Die aktuelle Methode zur Prüfung von Paketsignaturen

note: type: <p><list>
en: The current scheme for package signature checking using <prgn>apt</prgn> is:
de: Die aktuelle Methode zur Prüfung von Paketsignaturen mit <prgn>apt</prgn> ist:

note: type: <p></p>
en: the <file>Release</file> file includes the MD5 sum of <file>Packages.gz</file> (which contains the MD5 sums of packages) and will be signed. The signature is one of a trusted source.
de: Die <file>Release</file>-Datei enthält die MD5-Summe von <file>Packages.gz</file> (welche die MD5-Summen der Pakete enthält) und wird signiert. Die Signatur stammt aus einer vertrauenswürdigen Quelle.

note: type: <p></p>
en: This signed <file>Release</file> file is downloaded by 'apt-get update' and stored along with <file>Packages.gz</file>.
de: Diese signierte <file>Release</file>-Datei wird beim »apt-get update« herunter geladen und zusammen mit <file>Packages.gz</file> gespeichert.

note: type: <p></p>
en: When a package is going to be installed, it is first downloaded, then the MD5 sum is generated.
de: Wenn ein Paket installiert werden soll, wird es zuerst herunter geladen, und dann wird die MD5-Summe erstellt.

note: type: <p></p>
en: The signed <file>Release</file> file is checked (signature ok) and it extracts from it the MD5 sum for the <file>Packages.gz</file> file, the <file>Packages.gz</file> checksum is generated and (if ok) the MD5 sum of the downloaded package is extracted from it.
de: Die signierte <file>Release</file>-Datei wird überprüft (ob die Signatur in Ordnung ist) und die MD5-Summe der <file>Packages.gz</file>-Datei extrahiert. Die MD5-Summe der <file>Packages.gz</file>-Datei wird erstellt und geprüft, und &ndash; wenn sie übereinstimmt &ndash; wird die MD5-Summe des heruntergeladenen Paketes aus ihr extrahiert.

note: type: <p></p>
en: If the MD5 sum from the downloaded package is the same as the one in the <file>Packages.gz</file> file the package will be installed, otherwise the administrator will be alerted and the package will be left in the cache (so the administrator can decide whether to install it or not). If the package is not in the <file>Packages.gz</file> and the administrator has configured the system to only install checked packages it will not be installed either.
de: Wenn die MD5-Summe des heruntergeladenen Paketes die gleiche ist wie in der <file>Packages.gz</file>-Datei, wird das Paket installiert. Andernfalls wird der Administrator alarmiert und das Paket wird im Zwischenspeicher gehalten (so dass der Administrator entscheiden kann, ob es installiert werden soll oder nicht). Wenn das Paket nicht in <file>Packages.gz</file> enthalten ist und der Administrator das System so konfiguriert hat, dass nur geprüfte Pakete installiert werden können, wird das Paket ebenfalls nicht installiert.

note: type: <p></p>
en: By following the chain of MD5 sums <prgn>apt</prgn> is capable of verifying that a package originates from a a specific release. This is less flexible than signing each package one by one, but can be combined with that scheme too (see below).
de: Durch diese Kette von MD5-Summen ist <prgn>apt</prgn> in der Lage, zu verifizieren, dass ein Paket aus einer bestimmten Veröffentlichung stammt. Dies ist zwar unflexibler als jedes Paket einzeln zu signieren, kann aber auch mit den unten aufgeführten Plänen kombiniert werden.

note: type: <p></p>
en: This scheme is <url id="http://lists.debian.org/debian-devel/2003/debian-devel-200312/msg01986.html " name="fully implemented"> in apt 0.6 and is available since the Debian 4.0 release. For more information see <ref id="apt-0.6">. Packages that provide a front-end to apt need to be modified to adapt to this new feature; this is the case of <prgn>aptitude</prgn> which was <url id="http://lists.debian.org/debian-devel/2005/03/msg02641.html" name="modified"> to adapt to this scheme. Front-ends currently known to work properly with this feature include <prgn>aptitude</prgn> and <prgn>synaptic</prgn>.
de: Diese Vorgehensweise ist seit der Veröffentlichung von Debian 4.0 verfügbar und vollständig in apt 0.6 <url id="http://lists.debian.org/debian-devel/2003/debian-devel-200312/msg01986.html" name="enthalten">; weitere Informationen finden Sie unter <ref id="apt-0.6">. Pakete, die ein Frontend für apt anbieten, müssen verändert werden, um an diese neue Fähigkeit angepasst zu werden. Das gilt für <prgn>aptitude</prgn>, das <url id="http://lists.debian.org/debian-devel/2005/03/msg02641.html" name="verändert"> wurde, um zu dieser Vorgehensweise zu passen. Frontends, die bekanntermaßen zurzeit mit dieser Fähigkeit umgehen können, sind <prgn>aptitude</prgn> und <prgn>synaptic</prgn>.

note: type: <p></p>
en: Package signing has been discussed in Debian for quite some time, for more information you can read: <url id="http://www.debian.org/News/weekly/2001/8/"> and <url id="http://www.debian.org/News/weekly/2000/11/">.
de: Die Signierung von Paketen wurde innerhalb des Debian-Projekts ausführlich diskutiert. Mehr Informationen hierzu finden Sie unter <url id="http://www.debian.org/News/weekly/2001/8/"> und <url id="http://www.debian.org/News/weekly/2000/11/">.

note: type: <heading></heading>
en: Secure apt
de: Secure Apt

note: type: <p></p>
en: The apt 0.6 release, available since Debian 4.0 <em>etch</em> and later releases, includes <em>apt-secure</em> (also known as <em>secure apt</em>) which is a tool that will allow a system administrator to test the integrity of the packages downloaded through the above scheme. This release includes the tool <prgn>apt-key</prgn> for adding new keys to apt's keyring, which by default includes only the current Debian archive signing key.
de: Die Veröffentlichung von apt 0.6, das seit Debian 4.0 (<em>Etch</em>) verfügbar ist, enthält <em>apt-secure</em> (auch als <em>Secure Apt</em> bekannt), das ein Werkzeug ist, mit dem ein Systemadministrator die Integrität von heruntergeladenen Paketen mit dem oben dargestellten Verfahren überprüfen kann. Diese Veröffentlichung enthält das Werkzeug <prgn>apt-key</prgn>, um neue Schlüssel zum Schlüsselbund von apt hinzuzufügen, welcher standardmäßig nur den aktuellen Signierungsschlüssel des Debian-Archivs enthält.

note: type: <p></p>
en: These changes are based on the patch for <prgn>apt</prgn> (available in <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=203741" name="Bug #203741">) which provides this implementation.
de: Diese Veränderungen basieren auf dem Patch für <prgn>apt</prgn> (verfügbar in <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=203741" name="Fehler #203741">), der diese Erweiterung zur Verfügung stellt.

note: type: <p></p>
en: Secure apt works by checking the distribution through the <file>Release</file> file, as discussed in <ref id="check-releases">. Typically, this process will be transparent to the administrator although you will need to intervene every year<footnote><p>Until an automatic mechanism is developed.</p></footnote> to add the new archive key when it is rotated, for more information on the steps an administrator needs to take a look at <ref id="secure-apt-add-key">.
de: Secure Apt überprüft die Distribution mit der <file>Release</file>-Datei. Dies wurde schon unter <ref id="check-releases"> dargestellt. Typischerweise erfordert dieser Vorgang kein Mitwirken des Administrators. Aber jedes Jahr müssen Sie eingreifen<footnote><p>Bis ein automatischer Mechanismus entwickelt wurde.</p></footnote>, um den neuen Schlüssel des Archivs hinzuzufügen, wenn dieser ausgewechselt wurde. Weitere Informationen zu den dazu notwendigen Schritten finden Sie unter <ref id="secure-apt-add-key">.

note: type: <p></p>
en: This feature is still under development, if you believe you find bugs in it, please, make first sure you are using the latest version (as this package might change quite a bit before it is finally released) and, if running the latest version, submit a bug against the <package>apt</package> package.
de: Diese Fähigkeit befindet sich noch im Entwicklungsstadium. Wenn Sie glauben, dass Sie Fehler gefunden haben, stellen Sie zuerst sicher, dass Sie die neuste Version verwenden (da dieses Paket vor seiner endgültigen Veröffentlichung noch ziemlich verändern werden kann). Falls Sie die aktuelle Version benutzen, schicken Sie einen Fehlerbericht für das Paket <package>apt</package>.

note: type: <p></p>
en: You can find more information at <url id="http://wiki.debian.org/SecureApt" name="the wiki pages"> and the official documentation: <url id="http://www.enyo.de/fw/software/apt-secure/" name="Migration to APT 0.6"> and <url id="http://www.syntaxpolice.org/apt-secure/" name="APT Signature Checking">.
de: Weiterführende Informationen finden Sie im <url id="http://wiki.debian.org/SecureApt" name="Debian-Wiki"> und in der offiziellen Dokumentation unter <url id="http://www.enyo.de/fw/software/apt-secure/" name="Migration to APT 0.6"> und <url id="http://www.syntaxpolice.org/apt-secure/" name="APT Signature Checking">.

note: type: <heading></heading>
en: Per distribution release check
de: Überprüfung der Distribution mit der <file>Release</file>-Datei

note: type: <p></p>
en: This section describes how the distribution release check mechanism works, it was written by Joey Hess and is also available at the <url id="http://wiki.debian.org/SecureApt" name="Debian Wiki">.
de: Dieser Abschnitt beschreibt, wie die Überprüfung der Distribution mit Hilfe der <file>Release</file>-Datei funktioniert. Dies wurde von Joey Hess geschrieben und ist auch im <url id="http://wiki.debian.org/SecureApt" name="Debian-Wiki"> abrufbar.

note: type: <heading></heading>
en: Basic concepts
de: Grundlegende Konzepte

note: type: <p></p>
en: Here are a few basic concepts that you'll need to understand for the rest of this section.
de: Es gibt ein paar grundlegende Konzepte, die Sie brauchen, um den Rest dieses Abschnitts verstehen zu können.

note: type: <p></p>
en: A checksum is a method of taking a file and boiling it down to a reasonably short number that uniquely identifies the content of the file. This is a lot harder to do well than it might seem, and the most commonly used type of checksum, the MD5 sum, is in the process of being broken.
de: Eine Prüfsumme ist eine Methode, bei der eine Datei auf eine relativ kurze Zahl heruntergekocht wird, mit welcher der Inhalt der Datei eindeutig identifiziert werden kann. Dies ist wesentlich schwieriger, als es zunächst erscheinen mag. Der am weitesten verbreiteteste Typ von Prüfsummen, MD5, wird gerade unbrauchbar.

note: type: <p></p>
en: Public key cryptography is based on pairs of keys, a public key and a private key. The public key is given out to the world; the private key must be kept a secret. Anyone possessing the public key can encrypt a message so that it can only be read by someone possessing the private key. It's also possible to use a private key to sign a file, not encrypt it. If a private key is used to sign a file, then anyone who has the public key can check that the file was signed by that key. No one who doesn't have the private key can forge such a signature.
de: Verschlüsselung mit öffentlichen Schlüsseln fußt auf einem Schlüsselpaar: einem öffentlichen Schlüssel und einem privaten Schlüssel. Der öffentliche Schlüssel wird an die Allgemeinheit verteilt. Der private muss geheim bleiben. Jeder, der den öffentlichen Schlüssel hat, kann eine Nachricht verschlüsseln, so dass sie nur noch der Besitzer des privaten Schlüssels lesen kann. Es besteht daneben die Möglichkeit, mit einem privaten Schlüssel eine Datei zu signieren. Wenn eine Datei mit einer digitalen Unterschrift versehen wurde, kann jeder, der den öffentlichen Schlüssel hat, überprüfen, ob die Datei mit diesem Schlüssel unterschrieben wurde. Ohne den privaten Schlüssel lässt sich eine solche Signatur nicht nachmachen.

note: type: <p></p>
en: These keys are quite long numbers (1024 to 2048 digits or longer), and to make them easier to work with they have a key id, which is a shorter, 8 or 16 digit number that can be used to refer to them.
de: Diese Schlüssel bestehen aus ziemlich langen Zahlen (1024 oder 2048 Ziffern oder sogar länger). Damit sie leichter zu verwenden sind, haben sie eine kürzere Schlüssel-ID (eine Zahl mit nur acht oder 16 Stellen), mit der sie bezeichnet werden können.

note: type: <p></p>
en: <prgn>gpg</prgn> is the tool used in secure apt to sign files and check their signatures.
de: Secure Apt verwendet <prgn>gpg</prgn>, um Dateien zu unterschreiben und ihre Signaturen zu überprüfen.

note: type: <p></p>
en: <prgn>apt-key</prgn> is a program that is used to manage a keyring of gpg keys for secure apt. The keyring is kept in the file <file>/etc/apt/trusted.gpg</file> (not to be confused with the related but not very interesting <file>/etc/apt/trustdb.gpg</file>). <prgn>apt-key</prgn> can be used to show the keys in the keyring, and to add or remove a key.
de: Mit dem Programm <prgn>apt-key</prgn> wird der Schlüsselbund von GPG für Secure Apt verwaltet. Der Schlüsselbund befindet sich in der Datei <file>/etc/apt/trusted.gpg</file> (nicht zu verwechseln mit der verwandten, aber nicht sehr interessanten Datei <file>/etc/apt/trustdb.gpg</file>). <prgn>apt-key</prgn> kann dazu verwendet werden, die Schlüssel im Schlüsselbund anzuzeigen oder um Schlüssel hinzuzufügen oder zu entfernen.

note: type: <heading></heading>
en: <file>Release</file> checksums
de: Prüfsummen der <file>Release</file>-Datei

note: type: <p><example>
en: A Debian archive contains a <file>Release</file> file, which is updated each time any of the packages in the archive change. Among other things, the <file>Release</file> file contains some MD5 sums of other files in the archive. An excerpt of an example <file>Release</file> file:
de: Jedes Archiv von Debian enthält eine <file>Release</file>-Datei, die jedes Mal aktualisiert wird, wenn ein Paket im Archiv geändert wird. Unter anderem enthält die <file>Release</file>-Datei MD5-Summen von anderen Dateien, die sich im Archiv befinden. Ein Auszug einer <file>Release</file>-Datei:

note: type: <p></p>
en: The <file>Release</file> files also include SHA-1 checksums, which will be useful once MD5 sums become fully broken, however apt doesn't use them yet.
de: Die <file>Release</file>-Datei enthält auch SHA1-Prüfsummen, was nützlich wird, wenn MD5-Summen vollständig unbrauchbar sind. Allerdings unterstützt apt SHA1 noch nicht.

note: type: <p><example>
en: Now if we look inside a <file>Packages</file> file, we'll find more MD5 sums, one for each package listed in it. For example:
de: Werfen wir einen Blick in eine <file>Packages</file>-Datei: Wir sehen weitere MD5-Summen, eine für jedes darin aufgeführte Paket. Beispiel:

note: type: <p></p>
en: These two checksums can be used to verify that you have downloaded a correct copy of the <file>Packages</file> file, with a md5sum that matches the one in the <file>Release</file> file. And when it downloads an individual package, it can also check its md5sum against the content of the <file>Packages</file> file. If apt fails at either of these steps, it will abort.
de: Mit diesen beiden Prüfsummen kann überprüft werden, ob Sie eine getreue Kopie der <file>Packages</file>-Datei heruntergeladen haben, also mit einer MD5-Summe, die mit der in der <file>Release</file>-Datei übereinstimmt. Und wenn ein einzelnes Paket heruntergeladen wird, kann auch die MD5-Summe mit dem Inhalt der <file>Packages</file>-Datei verglichen werden. Wenn bei einem dieser Schritte ein Fehler auftauchen sollte, bricht Apt den Vorgang ab.

note: type: <p></p>
en: None of this is new in secure apt, but it does provide the foundation. Notice that so far there is one file that apt doesn't have a way to check: The Release file. Secure apt is all about making apt verify the <file>Release</file> file before it does anything else with it, and plugging this hole, so that there is a chain of verification from the package that you are going to install all the way back to the provider of the package.
de: Nichts davon ist neu in Secure Apt, sondern bietet nur die Grundlage für Secure Apt. Beachten Sie, dass es bis jetzt eine Datei gibt, die Apt nicht überprüfen kann: die <file>Release</file>-Datei. Bei Secure Apt dreht sich alles darum, dass Apt die <file>Release</file>-Datei überprüft, bevor es irgendetwas anderes damit macht. Wenn man das schafft, besteht eine lückenlose Authentifizierungskette von dem Paket, das Sie installieren möchten, bis zum Anbieter des Pakets.

note: type: <heading></heading>
en: Verification of the <file>Release</file> file
de: Überprüfung der <file>Release</file>-Datei

note: type: <p><example>
en: To verify the <file>Release</file> file, a gpg signature is added for the <file>Release</file> file. This is put in a file named <file>Release.gpg</file> that is shipped alongside the <file>Release</file> file. It looks something like this <footnote><p>Technically speaking, this is an ASCII-armored detached gpg signature.</p></footnote> , although only gpg actually looks at its contents normally:
de: Damit die <file>Release</file>-Datei überprüft werden kann, wird sie mit GPG signiert. Diese Unterschrift kommt in die Datei <file>Release.gpg</file>, die mit der <file>Release</file>-Datei abgerufen werden kann. Sie sieht in etwa so<footnote><p>Genau genommen handelt es sich um eine ASCII-armored abgetrennte GPG-Signatur.</p></footnote> aus, obwohl sich für gewöhnlich nur GPG ihren Inhalt ansieht:

note: type: <heading></heading>
en: Check of <file>Release.gpg</file> by <prgn>apt</prgn>
de: <file>Release.gpg</file> mit <prgn>Apt</prgn> überprüfen

note: type: <p><example>
en: Secure apt always downloads <file>Release.gpg</file> files when it's downloading <file>Release</file> files, and if it cannot download the <file>Release.gpg</file>, or if the signature is bad, it will complain, and will make note that the <file>Packages</file> files that the <file>Release</file> file points to, and all the packages listed therein, are from an untrusted source. Here's how it looks during an <prgn>apt-get update</prgn>:
de: Wenn Secure Apt eine <file>Release</file>-Datei herunterlädt, lädt es immer auch die <file>Release.gpg</file>-Datei herunter. Falls dies misslingen sollte oder die Signatur nicht stimmt, wird es eine Rückmeldung machen und hinweisen, dass die <file>Packages</file>-Dateien, auf welche die <file>Release</file>-Datei verweist, und alle darin enthaltenen Pakete von einer nicht vertrauenswürdigen Quelle stammen. So würde dies während <prgn>apt-get update</prgn> aussehen:

note: type: <p></p>
en: Note that the second half of the long number is the key id of the key that apt doesn't know about, in this case that's 2D230C5F.
de: Beachten Sie, dass die zweite Hälfte der langen Nummer die Schlüssel-ID des Schlüssels ist, von dem Apt nichts weiß. Im Beispiel ist sie 2D230C5F.

note: type: <p><example>
en: If you ignore that warning and try to install a package later, apt will warn again:
de: Falls Sie diese Warnung ignorieren und später versuchen, ein Paket zu installieren, wird Sie Apt nochmals warnen:

note: type: <example></example>
en: WARNING: The following packages cannot be authenticated!
      libglib-perl libgtk2-perl
    Install these packages without verification [y/N]?
de: WARNUNG: Die folgenden Pakete können nicht authentifiziert werden!
      libglib-perl libgtk2-perl
    Diese Pakete ohne Überprüfung installieren [j/N]?

note: type: <p></p>
en: If you say Y here you have no way to know if the file you're getting is the package you're supposed to install, or if it's something else entirely that somebody that can intercept the communication against the server<footnote><p>Or has poisoned your DNS, or is spoofing the server, or has replaced the file in the mirror you are using, etc.</p></footnote> has arranged for you, containing a nasty suprise.
de: Wenn Sie nun »J« drücken, haben Sie keine Möglichkeit festzustellen, ob die Datei, die Sie bekommen, wirklich diejenige ist, die Sie auch installieren möchten, oder ob sie eine ganz andere ist, die Ihnen jemand, der die Verbindung mit dem Server abgefangen hat<footnote><p> Oder Ihren DNS vergiftet hat oder den Server spooft oder die Datei auf einem Spiegel platziert hat, den Sie verwenden, oder ... </p></footnote>, mit einer gemeinen Überraschung unterschieben will.

note: type: <p></p>
en: Note that you can disable these checks by running apt with --allow-unauthenticated.
de: Hinweis: Sie können diese Abfragen abschalten, indem Sie <prgn>apt</prgn> mit <tt>--allow-unauthenticated</tt> laufen lassen.

note: type: <p></p>
en: It's also worth noting that newer versions of the Debian installer use the same signed <file>Release</file> file mechanism during their debootstrap of the Debian base system, before apt is available, and that the installer even uses this system to verify pieces of itself that it downloads from the net. Also, Debian does not currently sign the <file>Release</file> files on its CDs; apt can be configured to always trust packages from CDs so this is not a large problem.
de: Es lohnt sich auch noch darauf hinzuweisen, dass der Installer von Debian während des Debootstraps des Basissystems, solange Apt noch nicht verfügbar ist, denselben Mechanismus mit signierten <file>Release</file>-Dateien verwendet. Der Installer benutzt sogar dieses Verfahren, um Teile von sich selbst zu überprüfen, die er aus dem Netz gezogen hat. Debian signiert im Moment nicht die <file>Release</file>-Dateien auf den CDs. Apt kann aber so eingerichtet werden, dass es immer den Paketen von CDs vertraut, so dass dies nicht ein so großes Problem darstellt.

note: type: <heading></heading>
en: How to tell apt what to trust
de: Wie man Apt sagt, wem es vertrauen soll

note: type: <p></p>
en: So the security of the whole system depends on there being a <file>Release.gpg</file> file, which signs a <file>Release</file> file, and of <prgn>apt</prgn> checking that signature using gpg. To check the signature, it has to know the public key of the person who signed the file. These keys are kept in apt's own keyring (<file>/etc/apt/trusted.gpg</file>), and managing the keys is where secure apt comes in.
de: Die ganze Sicherheit des Verfahrens beruht also darauf, dass es eine <file>Release.gpg</file>-Datei gibt, die eine <file>Release</file>-Datei signiert, und dass diese Signatur von <prgn>apt</prgn> mit Hilfe von GPG überprüft wird. Dazu muss es den öffentlichen Schlüssel der Person kennen, welche die Datei unterschrieben hat. Diese Schlüssel werden in Apts eigenem Schlüsselbund (<file>/etc/apt/trusted.gpg</file>) gespeichert. Bei der Verwaltung dieser Schlüssel kommt Secure Apt ins Spiel.

note: type: <p><example>
en: By default, Debian systems come preconfigured with the Debian archive key in the keyring.
de: Standardmäßig befindet sich bei Debian-Systemen der Schlüssel des Debian-Archivs im Schlüsselbund.

note: type: <p></p>
en: Here 4F368D5D is the key id, and notice that this key was only valid for a one year period. Debian rotates these keys as a last line of defense against some sort of security breach breaking a key.
de: Im Beispiel ist 4F368D5D die Schlüssel-ID. Beachten Sie, dass dieser Schlüssel nur für ein Jahr gültig ist. Debian tauscht die Schlüssel als letzte Verteidigungslinie gegen Sicherheitsrisiken, die das Knacken eines Schlüssels umfassen, regelmäßig aus.

note: type: <p></p>
en: That will make <prgn>apt</prgn> trust the official Debian archive, but if you add some other apt repository to <file>/etc/apt/sources.list</file>, you'll also have to give <prgn>apt</prgn> its key if you want apt to trust it. Once you have the key and have verified it, it's a simple matter of running <prgn>apt-key add file</prgn> to add it. Getting the key and verifying it are the trickier parts.
de: Mit dem Schlüssel des Archivs wird <prgn>apt</prgn> dem offiziellen Archiv von Debian vertrauen. Wenn Sie aber weitere Paketdepots zu <file>/etc/apt/sources.list</file> hinzufügen wollen, müssen Sie Apt Ihre Schlüssel mitteilen, wenn Sie wollen, dass Apt ihnen vertraut. Sobald Sie den Schlüssel haben und ihn überprüft haben, müssen Sie nur <prgn>apt-key add <var>Datei</var></prgn> laufen lassen, um den Schlüssel hinzuzufügen. Der schwierigste Teil dabei ist, den Schlüssel zu bekommen und ihn zu überprüfen.

note: type: <heading></heading>
en: Finding the key for a repository
de: Den Schlüssel eines Paketdepots finden

note: type: <p></p>
en: The debian-archive-keyring package is used to distribute keys to <prgn>apt</prgn>. Upgrades to this package can add (or remove) gpg keys for the main Debian archive.
de: Mit dem Paket <package>debian-archive-keyring</package> werden Schlüssel für <prgn>apt</prgn> bereitgestellt. Aktualisierungen dieses Pakets führen dazu, dass GPG-Schlüssel für das Debian-Hauptarchiv hinzugefügt (oder gelöscht) werden.

note: type: <p></p>
en: For other archives, there is not yet a standard location where you can find the key for a given apt repository. There's a rough standard of putting the key up on the web page for the repository or as a file in the repository itself, but no real standard, so you might have to hunt for it.
de: Für andere Archive gibt noch keinen standardisierten Ort, wo sich der Schlüssel für ein Paketdepot befinden soll. Es besteht die grobe Übereinkunft, dass der Schlüssel auf der Webseite des Paketdepots oder im Depot selbst zu finden sein sollte. Wie gesagt ist dies kein echter Standard, so dass Sie den Schlüssel unter Umständen suchen müssen.

note: type: <p></p>
en: The Debian archive signing key is available at <url id="http://ftp-master.debian.org/ziyi_key_2006.asc"> (replace 2006 with current year).<footnote><p>"ziyi" is the name of the tool used for signing on the Debian servers, the name is based on the name of a <url id="http://en.wikipedia.org/wiki/Zhang_Ziyi" name="Chinese actress">.</p></footnote>
de: Der Schlüssel des Debian-Archivs ist unter <url id="http://ftp-master.debian.org/ziyi_key_2006.asc"> (ersetzen Sie 2006 mit dem aktuellen Jahr) erhältlich.<footnote><p>»Ziyi« ist der Name des Werkzeugs, mit dem die Debian-Server signiert werden, und beruht auf dem Namen einer <url id="http://de.wikipedia.org/wiki/Ziyi_Zhang" name="chinesischen Schauspielerin">.</footnote>

note: type: <p><example>
en: <prgn>gpg</prgn> itself has a standard way to distribute keys, using a keyserver that gpg can download a key from and add it to its keyring. For example:
de: <prgn>gpg</prgn> besitzt mit den Schlüsselservern eine standardisierte Möglichkeit, Schlüssel zu verbreiten. Damit kann GPG einen Schlüssel herunterladen und ihn zum Schlüsselbund hinzufügen. Beispiel:

note: type: <example></example>
en: $ gpg --keyserver pgpkeys.mit.edu --recv-key 2D230C5F
    gpg: requesting key 2D230C5F from hkp server pgpkeys.mit.edu
    gpg: key 2D230C5F: public key "Debian Archive Automatic Signing Key (2006) &lt;ftpm
    aster@debian.org&gt;" imported
    gpg: Total number processed: 1
    gpg:               imported: 1
de: $ gpg --keyserver pgpkeys.mit.edu --recv-key 2D230C5F
    gpg: requesting key 2D230C5F from hkp server pgpkeys.mit.edu
    gpg: key 2D230C5F: public key "Debian Archive Automatic Signing Key (2006) &lt;ftpm
    aster@debian.org&gt;" imported
    gpg: Anzahl insgesamt bearbeiteter Schlüssel: 1
    gpg:               importiert: 1

note: type: <p><example>
en: You can then export that key from your own keyring and feed it to <prgn>apt-key</prgn>:
de: Sie können dann den Schlüssel aus Ihrem Schlüsselbund exportieren und ihn an <prgn>apt-key</prgn> weiterreichen:

note: type: <example></example>
en: $ gpg -a --export 2D230C5F | sudo apt-key add -
    gpg: no ultimately trusted keys found
    OK
de: $ gpg -a --export 2D230C5F | sudo apt-key add -
    gpg: kein uneingeschränkt vertrauenswürdiger Schlüssel 080F67F4 gefunden
    OK

note: type: <p></p>
en: The "gpg: no ultimately trusted keys found" warning means that gpg was not configured to ultimately trust a specific key. Trust settings are part of OpenPGPs Web-of-Trust which does not apply here. So there is no problem with this warning. In typical setups the user's own key is ultimately trusted.
de: Die Warnung »gpg: kein uneingeschränkt vertrauenswürdiger Schlüssel 080F67F4 gefunden« bedeutet, dass GPG nicht so konfiguriert wurde, um einem Schlüssel vollständig zu vertrauen. Das Zuweisen von Vertrauensstufen ist Teil des Web-of-Trust von OpenPGP, was hier nicht Gegenstand ist. Daher ist die Warnung unproblematisch. Für gewöhnlich wird dem eignen Schlüssel eines Benutzers vollständig vertraut.

note: type: <heading></heading>
en: Safely adding a key
de: Auf sichere Weise einen Schlüssel hinzufügen

note: type: <p></p>
en: By adding a key to apt's keyring, you're telling apt to trust everything signed by the key, and this lets you know for sure that apt won't install anything not signed by the person who possesses the private key. But if you're sufficiently paranoid, you can see that this just pushes things up a level, now instead of having to worry if a package, or a <file>Release</file> file is valid, you can worry about whether you've actually gotten the right key. Is the <url id="http://ftp-master.debian.org/ziyi_key_2006.asc"> file mentioned above really Debian's archive signing key, or has it been modified (or this document lies).
de: Indem Sie einen Schlüssel zu Apts Schlüsselbund hinzufügen, lassen Sie Apt wissen, dass es allem vertrauen soll, was mit diesem Schlüssel signiert wurde. Dadurch stellen Sie sicher, dass Apt nichts installiert, was nicht vom Inhaber des privaten Schlüssels signiert wurde. Mit ausreichender Paranoia erkennen Sie aber, dass dies das Problem nur um eine Stufe verlagert: Anstatt sich nun darum Sorgen zu machen, ob ein Paket oder eine <file>Release</file>-Datei korrekt ist, müssen Sie überprüfen, ob Sie tatsächlich den richtigen Schlüssel haben. Ist die Datei <url id="http://ftp-master.debian.org/ziyi_key_2006.asc">, die oben erwähnt wird, wirklich der Signierungsschlüssel des Debian-Archivs oder wurde sie verändert (oder wird gar in diesem Dokument gelogen)?

note: type: <p></p>
en: It's good to be paranoid in security, but verifying things from here is harder. <prgn>gpg</prgn> has the concept of a chain of trust, which can start at someone you're sure of, who signs someone's key, who signs some other key, etc., until you get to the archive key. If you're sufficiently paranoid you'll want to check that your archive key is signed by a key that you can trust, with a trust chain that goes back to someone you know personally. If you want to do this, visit a Debian conference or perhaps a local LUG for a key signing <footnote><p>Not all apt repository keys are signed at all by another key. Maybe the person setting up the repository doesn't have another key, or maybe they don't feel comfortable signing such a role key with their main key. For information on setting up a key for a repository see <ref id="check-non-debian-releases">.</p></footnote>.
de: Es ist gut, in Sicherheitsfragen Vorsicht walten zu lassen. Aber ab hier wird es schwieriger, Dinge zu überprüfen. <prgn>gpg</prgn> arbeitet mit dem Konzept der Kette des Vertrauens (chain of trust), die bei jemandem beginnt, dem Sie vertrauen und der einen anderen Schlüssel unterschreibt usw., bis Sie beim Schlüssel des Archivs sind. Wenn Sie vorsichtig sind, wollen Sie nachprüfen, dass Ihr Archivschlüssel von einem Schlüssel unterschrieben wurde, dem Sie vertrauen können, weil seine Kette des Vertrauens zu jemandem zurückgeht, den Sie persönlich kennen. Dazu sollten Sie eine Debian-Konferenz oder eine lokale LUG zum Unterschreiben der Schlüssel besuchen<footnote><p> Nicht alle Schlüssel der Apt-Depots sind überhaupt mit einem anderen Schlüssel unterschrieben. Vielleicht hat derjenige, der das Depot einrichtet, keinen anderen Schlüssel zur Verfügung, oder vielleicht ist es ihm unangenehm, einen Schlüssel mit einer derartig wichtigen Funktion mit seinem Hauptschlüssel zu unterschreiben. Hinweise, wie man einen Schlüssel für ein Depot einrichtet, finden Sie unter <ref id="check-non-debian-releases">. </p></footnote>.

note: type: <p></p>
en: If you can't afford this level of paranoia, do whatever feels appropriate to you when adding a new apt source and a new key. Maybe you'll want to mail the person providing the key and verify it, or maybe you're willing to take your chances with downloading it and assuming you got the real thing. The important thing is that by reducing the problem to what archive keys to trust, secure apt lets you be as careful and secure as it suits you to be.
de: Wenn Sie diese Sicherheitsbedenken nicht teilen (können), unternehmen Sie, was auch immer Sie passend finden, wenn Sie eine neue Apt-Quelle oder einen neuen Schlüssel verwenden. Sie könnten demjenigen, der den Schlüssel anbietet, eine Mail schreiben, um den Schlüssel zu überprüfen. Oder Sie vertrauen auf Ihr Glück und gehen davon aus, dass Sie den richten heruntergeladen haben. Das wichtige ist, dass Secure Apt, indem es das Problem darauf reduziert, welchen Archivschlüsseln Sie vertrauen, Sie so vorsichtig und sicher vorgehen lässt, wie es Ihnen passend und notwendig erscheint.

note: type: <heading></heading>
en: Verifying key integrity
de: Die Integrität eines Schlüssels überprüfen

note: type: <p><example>
en: You can verify the fingerprint as well as the signatures on the key. Retrieving the fingerprint can be done for multiple sources, you can check <url id="http://debiansystem.info/readers/changes/547-ziyi-key-2006" name="The Debian System Book">, talk to Debian Developers on IRC, read the mailing list where the key change will be announced or any other additional means to verify the fingerprint. For example you can do this:
de: Sie können dazu sowohl den Fingerabdruck als auch die Unterschriften des Schlüssels überprüfen. Den Fingerabdruck kann man aus verschiedenen Quellen erhalten. Sie können im Buch <url id="http://debiansystem.info/readers/changes/547-ziyi-key-2006" name="The Debian System"> nachsehen, im IRC mit Debian-Entwicklern reden oder Mailinglisten lesen, wo ein Wechsel des Schlüssel angekündigt werden wird, oder jede andere erdenkliche Methode verwenden, um den Fingerabdruck zu überprüfen. Zum Beispiel können Sie auch Folgendes machen:

note: type: </example><example>
en: and then <url id="http://www.debian.org/doc/manuals/securing-debian-howto/ch7.en.html#s-deb-pack-sign" name="check the trust path"> from your key (or a key you trust) to at least one of the keys used to sign the archive key. If you are sufficiently paranoid you will tell apt to trust the key only if you find an acceptable path:
de: und dann von Ihrem Schlüssel (oder einem Schlüssel, dem Sie vertrauen) den <url id="http://www.de.debian.org/doc/manuals/securing-debian-howto/ch7#s-deb-pack-sign" name="Pfad des Vertrauens"> zu wenigstens einem der Schlüssel, der verwendet wurde, um den Archivschlüssel zu unterschreiben, überprüfen. Wenn Sie vorsichtig sein wollen, sollten Sie Apt mitteilen, dass es dem Schlüssel nur vertrauen darf, wenn es einen passenden Pfad gefunden hat:

note: type: <p></p>
en: Note that the key is signed with the previous archive key, so theoretically you can just build on your previous trust.
de: Hinweis: Der aktuelle Schlüssel ist mit dem vorhergehenden Archivschlüssel unterschrieben, so dass Sie theoretisch auf Ihrem alten Vertrauen aufbauen können.

note: type: <heading></heading>
en: Debian archive key yearly rotation
de: Der jährliche Austausch des Archivschlüssels von Debian

note: type: <p></p>
en: As mentioned above, the Debian archive signing key is changed each year, in January. Since secure apt is young, we don't have a great deal of experience with changing the key and there are still rough spots.
de: Wie schon erwähnt wird der Schlüssel, mit dem das Debian-Archiv signiert wird, jedes Jahr im Januar ausgetauscht. Da Secure Apt noch jung ist, haben wir noch nicht sehr viel Erfahrung damit und es gibt noch ein paar haarige Stellen.

note: type: <p></p>
en: In January 2006, a new key for 2006 was made and the <file>Release</file> file began to be signed by it, but to try to avoid breaking systems that had the old 2005 key, the <file>Release</file> file was signed by that as well. The intent was that apt would accept one signature or the other depending on the key it had, but apt turned out to be buggy and refused to trust the file unless it had both keys and was able to check both signatures. This was fixed in apt version 0.6.43.1. There was also confusion about how the key was distributed to users who already had systems using secure apt; initially it was uploaded to the web site with no announcement and no real way to verify it and users were forced to download it by hand.
de: Im Januar 2006 wurde ein neuer Schlüssel für 2006 erstellt und die <file>Release</file>-Datei wurde damit unterschrieben. Um aber zu vermeiden, dass Systeme, die noch den alten Schlüssel von 2005 verwenden, nicht mehr korrekt arbeiten, wurde die <file>Release</file>-Datei auch mit dem alten Schlüssel unterschrieben. Es war geplant, dass Apt je nach dem verfügbaren Schlüssel eine der beiden Unterschriften akzeptieren würde. Aber es zeigte sich ein Fehler in Apt, da es sich weigerte, der Datei zu vertrauen, wenn es nicht beide Schlüssel hatte und somit beide Unterschriften überprüfen konnte. Dies wurde in der Version 0.6.43.1 ausgebessert. Es gab auch Verwirrung darüber, wie der Schlüssel an Benutzer verteilt wird, die bereits Secure Apt auf ihrem System laufen lassen. Am Anfang wurde er auf die Webseite hochgeladen, ohne Ankündigung und ohne eine echte Möglichkeit, ihn zu überprüfen, und die Benutzer mussten ihn per Hand herunterladen.

note: type: <p></p>
en: In January 2006, a new key for 2006 was made and the Release file began to be signed by it, but to try to avoid breaking systems that had the old 2005 key, the <file>Release</file> file was signed by that as well. In order to prevent confusion on the best distribution mechanism for users who already have systems using secure apt, the debian-archive-keyring package was introduced, which manages apt keyring updates.
de: <!-- SB: English version ambiguous. Check paragraphs from here ...-->

note: type: <heading></heading>
en: Known release checking problems
de: Bekannte Probleme bei der Prüfung der Release-Datei

note: type: <p><example>
en: One not so obvious problem is that if your clock is very far off, secure apt will not work. If it's set to a date in the past, such as 1999, apt will fail with an unhelpful message such as this:
de: Ein nicht offensichtliches Problem ist, dass Secure Apt nicht funktioniert, wenn Ihre Uhr sehr verstellt ist. Wenn sie auf ein Datum in der Vergangenheit wie 1999 eingestellt ist, wird Apt mit einer nichts sagenden Ausgabe wie dieser abbrechen:

note: type: <p><example>
en: Although <prgn>apt-key</prgn> list will make the problem plain:
de: Dagegen macht <prgn>apt-key</prgn> das Problem deutlich:

note: type: <p></p>
en: If it's set to a date too far in the future, apt will treat the keys as expired.
de: Falls die Uhr nicht zu weit vorgeht, behandelt Apt die Schlüssel als abgelaufen.

note: type: <p></p>
en: Another problem you may encouter if using testing or unstable is that if you have not run <prgn>apt-get update</prgn> lately and <prgn>apt-get install</prgn> a package, apt might complain that it cannot be authenticated (why does it do this?). <prgn>apt-get update</prgn> will fix this.
de: Wenn Sie Testing oder Unstable verwenden, gibt es ein Problem, wenn Sie in letzter Zeit nicht <prgn>apt-get update</prgn> ausgeführt haben und mit <prgn>apt-get</prgn> ein Paket installieren möchten. Apt könnte sich darüber beschweren, dass es nicht authentifiziert werden konnte (Warum passiert das bloß?). <prgn>apt-get update</prgn> löst das Problem.

note: type: <heading></heading>
en: Manual per distribution release check
de: Prüfung von Hand

note: type: <p></p>
en: In case you want to add now the additional security checks and don't want or cannot run the latest apt version<footnote><p>Either because you are using the stable, <em>sarge</em>, release or an older release or because you don't want to use the latest apt version, although we would really appreciate testing of it.</p></footnote> you can use the script below, provided by Anthony Towns. This script can automatically do some new security checks to allow the user to be sure that the software s/he's downloading matches the software Debian's distributing. This stops Debian developers from hacking into someone's system without the accountability provided by uploading to the main archive, or mirrors mirroring something almost, but not quite like Debian, or mirrors providing out of date copies of unstable with known security problems.
de: Für den Fall, dass Sie nun zusätzliche Sicherheitsprüfungen einführen wollen, aber nicht die neuste Version von apt einsetzen wollen oder können<footnote><p> Entweder weil Sie Stable (<em>Sarge</em>) oder eine ältere Veröffentlichung verwenden, oder weil Sie nicht die neuste Version von Apt einsetzen wollen, obwohl wir das Testen wirklich schätzen würden. </footnote>, können Sie das folgende Skript von Anthony Towns benutzen. Dieses Skript führt automatisch neue Sicherheitsüberprüfungen durch, damit ein Benutzer sicher gehen kann, dass die Software, die er herunterlädt, die gleiche ist wie die, die von Debian bereitgestellt wird.  Das verhindert, dass sich Debian-Entwickler in ein fremdes System einhacken können, ohne dass eine Zurechnung und Rückverfolgung möglich wäre, die durch das Hochladen eines Pakets auf das Hauptarchiv gewährleistet werden. Es kann auch verhindern, dass ein Spiegel etwas fast genau abbildet, das aber eben doch nicht ganz wie in Debian, oder dass veraltete Versionen von instabilen Paketen mit bekannten Sicherheitslücken zur Verfügung gestellt werden.

note: type: <p><example>
en: This sample code, renamed as <prgn>apt-check-sigs</prgn>, should be used in the following way:
de: Dieser Beispielscode, umbenannt nach <prgn>apt-check sigs</prgn>, sollte auf die folgende Art benutzt werden:

note: type: <example></example>
en: # apt-get update
    # apt-check-sigs
    (...results...)
    # apt-get dist-upgrade
de: # apt-get update
    # apt-check-sigs
    (... Ergebnisse ...)
    # apt-get dist-upgrade

note: type: <p><list>
en: First you need to:
de: Zuerst müssen Sie jedoch Folgendes tun:

note: type: <p><example>
en: get the keys the archive software uses to sign <file>Release</file> files, <url id="http://ftp-master.debian.org/ziyi_key_2006.asc"> and add them to <file>~/.gnupg/trustedkeys.gpg</file> (which is what <prgn>gpgv</prgn> uses by default).
de: Holen Sie sich den Schlüssel, den die Archiv-Software verwendet, um <file>Release</file>-Dateien zu signieren, also <url id="http://ftp-master.debian.org/ziyi_key_2006.asc">, und fügen Sie ihn <file>~/.gnupg/trustedkeys.gpg</file> hinzu (was standardmäßig von <prgn>gpgv</prgn> benutzt wird).

note: type: <p></p>
en: remove any <file>/etc/apt/sources.list</file> lines that don't use the normal "dists" structure, or change the script so that it works with them.
de: Entfernen Sie alle Zeilen aus <file>/etc/apt/sources.list</file>, die nicht die normale »dists«-Struktur benutzen, oder ändern Sie das Skript, so dass es auch mit denen funktioniert.

note: type: <p></p>
en: be prepared to ignore the fact that Debian security updates don't have signed <file>Release</file> files, and that <file>Sources</file> files don't have appropriate checksums in the <file>Release</file> file (yet).
de: Ignorieren Sie die Tatsache, dass Sicherheitsaktualisierungen von Debian keine signierten <file>Release</file>-Dateien haben, und das <file>Sources</file>-Dateien (noch) keine richtigen Prüfsummen in der <file>Release</file>-Datei haben.

note: type: <p></p>
en: be prepared to check that the appropriate sources are signed by the appropriate keys.
de: Bereiten Sie sich darauf vor, zu prüfen, dass die richtigen Quellen durch den richtigen Schlüssel signiert wurden.

note: type: <p><example>
en: This is the example code for <prgn>apt-check-sigs</prgn>, the latest version can be retrieved from <url id="http://people.debian.org/~ajt/apt-check-sigs">. This code is currently in beta, for more information read <url id="http://lists.debian.org/debian-devel/2002/debian-devel-200207/msg00421.html">.
de: Dies ist der Beispielscode für <prgn>apt-check-sigs</prgn>. Die neuste Fassung ist unter <url id="http://people.debian.org/~ajt/apt-check-sigs"> erhältlich. Dieser Code befindet sich im Moment noch im Beta-Stadium. Für weitere Informationen sollten Sie <url id="http://lists.debian.org/debian-devel/2002/debian-devel-200207/msg00421.html"> lesen.

note: type: <p><example>
en: You might need to apply the following patch for <em>sid</em> since <prgn>md5sum</prgn> adds an '-' after the sum when the input is stdin:
de: Sie müssen vielleicht bei <em>Sid</em> diesen Patch verwenden, da <prgn>md5sum</prgn> ein »-« an die Summe anfügt, wenn die Ausgabe auf stdin erfolgt:

note: type: <heading></heading>
en: Release check of non Debian sources
de: Prüfung der Release-Datei von Debian-fremden Quellen

note: type: <p><example>
en: Notice that, when using the latest apt version (with <em>secure apt</em>) no extra effort should be required on your part unless you use non-Debian sources, in which case an extra confirmation step will be required by apt-get. This is avoided by providing <file>Release</file> and <file>Release.gpg</file> files in the non-Debian sources. The <file>Release</file> file can be generated with <prgn>apt-ftparchive</prgn> (available in <package>apt-utils</package> 0.5.0 and later), the <file>Release.gpg</file> is just a detached signature. To generate both follow this simple procedure:
de: Beachten Sie, dass, wenn Sie die neuste Version von Apt (mit <em>Secure Apt</em>) einsetzen, kein zusätzlicher Aufwand auf Ihrer Seite notwendig sein sollte, wenn Sie keine Debian-fremden Quellen verwenden. Anderenfalls erfordert <prgn>apt-get</prgn> eine zusätzliche Bestätigung. Dies wird verhindert, wenn <file>Release</file>- und <file>Release.gpg</file>-Dateien in den Debian-fremden Quellen zur Verfügung stehen. Die <file>Release</file>-Datei kann mit <prgn>apt-ftparchive</prgn> (ist in <package>apt-utils</package> 0.5.0 und später enthalten) erstellt werden, die <file>Release.gpg</file> ist nur die abgetrennte Signatur. Beide können mit folgender einfacher Prozedur erstellt werden:

note: type: <heading></heading>
en: Alternative per-package signing scheme
de: Alternativer Entwurf zur Einzelsignierung von Paketen

note: type: <p></p>
en: The additional scheme of signing each and every packages allows packages to be checked when they are no longer referenced by an existing <file>Packages</file> file, and also third-party packages where no <file>Packages</file> ever existed for them can be also used in Debian but will not be default scheme.
de: Dieser zusätzliche Entwurf, jedes Paket einzeln zu signieren, erlaubt es, Pakete zu prüfen, selbst wenn sie nicht mehr in irgendeiner <file>Packages</file>-Datei erwähnt werden. Und so können auch Pakete von Dritten, für die es nie eine <file>Packages</file>-Datei gab, unter Debian installiert werden. Dies wird aber kein Standard werden.

note: type: <p></p>
en: This package signing scheme can be implemented using <package>debsig-verify</package> and <package>debsigs</package>. These two packages can sign and verify embedded signatures in the .deb itself. Debian already has the capability to do this now, but there is no feature plan to implement the policy or other tools since the archive signing scheme is prefered. These tools are available for users and archive administrators that would rather use this scheme instead.
de: Dieser Entwurf zur Paketsignierung kann mit <package>debsig-verify</package> und <package>debsigs</package> umgesetzt werden. Diese beiden Pakete können in einer .deb-Datei eingebettete Unterschriften erstellen und prüfen. Debian hat bereits jetzt die Möglichkeiten, dies zu tun. Aber es gibt keine Planung, dieses Regelwerk oder ähnliche Werkzeuge umzusetzen, da nunmehr das Schema mit der Signierung des Archivs bevorzugt wird. Die Werkzeuge werden dennoch für Benutzer und Administratoren von Archiven zur Verfügung gestellt, wenn sie diese Vorgehensweise bevorzugen.

note: type: <p></p>
en: Latest <prgn>dpkg</prgn> versions (since 1.9.21) incorporate a <url id="http://lists.debian.org/debian-dpkg/2001/debian-dpkg-200103/msg00024.html" name="patch"> that provides this functionality as soon as <package>debsig-verify</package> is installed.
de: Die aktuellen Versionen von <prgn>dpkg</prgn> (seit 1.9.21) beinhalten einen <url id="http://lists.debian.org/debian-dpkg/2001/debian-dpkg-200103/msg00024.html" name="Patch">, der diese Funktionen zur Verfügung stellt, sobald <package>debsig-verify</package> installiert ist.

note: type: <p></p>
en: NOTE: Currently <file>/etc/dpkg/dpkg.cfg</file> ships with "no-debsig" as per default.
de: HINWEIS: Derzeit wird <file>/etc/dpkg/dpkg.cfg</file> standardmäßig mit der Option »no-debsig« ausgeliefert.

note: type: <p></p>
en: NOTE2: Signatures from developers are currently stripped when they enter off the package archive since the currently preferred method is release checks as described previously.
de: HINWEIS 2: Unterschriften von Entwicklern werden im Moment entfernt, wenn sie in das Paketarchiv gelangen, da die derzeit vorzugswürdige Methode die Überprüfung der <file>Release</file>-Datei ist, wie es oben beschrieben wurde.

note: type: <heading></heading>
en: Security tools in Debian
de: Sicherheitswerkzeuge in Debian

note: type: <p></p>
en: Debian provides also a number of security tools that can make a Debian box suited for security purposes. These purposes include protection of information systems through firewalls (either packet or application-level), intrusion detection (both network and host based), vulnerability assessment, antivirus, private networks, etc.
de: Debian stellt außerdem einige Sicherheitswerkzeuge zur Verfügung, die eine Debian-Maschine zum Zweck der Sicherheit passend einrichten können. Diese Zielsetzung schließt die Sicherung von Systeminformationen durch Firewalls (sowohl auf Paket- als auch auf Anwendungsebene), Eindringlingserkennung (netzwerk- und hostbasiert), Einschätzung der Verwundbarkeit, Antivirus, private Netzwerke und vieles mehr ein.

note: type: <p></p>
en: Since Debian 3.0 (<em>woody</em>), the distribution features cryptographic software integrated into the main distribution. OpenSSH and GNU Privacy Guard are included in the default install, and strong encryption is now present in web browsers and web servers, databases, and so forth. Further integration of cryptography is planned for future releases. This software, due to export restrictions in the US, was not distributed along with the main distribution but included only in non-US sites.
de: Seit Debian 3.0 (<em>woody</em> ist kryptographische Software in der Hauptdistribution integriert. OpenSSH und GNU Privacy Guard sind in der Standardinstallation enthalten. Außerdem befinden sich jetzt in Web-Browsern und Web-Servern, Datenbanken usw. starke Verschlüsselungsmechanismen. Eine weitergehende Eingliederung von Kryptographie ist für zukünftige Veröffentlichungen geplant. Aufgrund von Exportbeschränkungen in den USA wurde diese Software nicht mit der Hauptdistribution ausgeliefert, sondern war nur auf Seiten außerhalb der USA erhältlich.

note: type: <heading></heading>
en: Remote vulnerability assessment tools
de: Programme zur Fernprüfung der Verwundbarkeit

note: type: <p><list>
en: The tools provided by Debian to perform remote vulnerability assessment are: <footnote><p>Some of them are provided when installing the <package>harden-remoteaudit</package> package.</p></footnote>
de: Die Werkzeuge, um eine Fernprüfung der Verwundbarkeit durchzuführen, sind unter Debian: <footnote><p> Manche von ihnen sind erhältlich, wenn Sie das Paket <package>harden-remoteaudit</package> installieren. </p></footnote>

note: type: <p></p>
en: <package>nikto</package> (<prgn>whisker</prgn>'s replacement)
de: <package>nikto</package> (Ersatz für <prgn>whisker</prgn>)

note: type: <p></p>
en: By far, the most complete and up-to-date tools is <package>nessus</package> which is composed of a client (<package>nessus</package>) used as a GUI and a server (<package>nessusd</package>) which launches the programmed attacks. Nessus includes remote vulnerabilities for quite a number of systems including network appliances, ftp servers, www servers, etc. The latest security plugins are able even to parse a web site and try to discover which interactive pages are available which could be attacked. There are also Java and Win32 clients (not included in Debian) which can be used to contact the management server.
de: Das weitaus vollständigste und aktuellste Werkzeug ist <package>nessus</package>, welches aus einem Client (<package>nessus</package>) mit graphischer Benutzungsschnittstelle und einem Server (<package>nessusd</package>), der die programmierten Attacken startet, besteht. Nessus kennt verschiedene entfernten Verwundbarkeiten für einige Systeme, einschließlich Netzwerkanwendungen, FTP-Servern, WWW-Servern, usw. Die neusten Sicherheitsplugins sind sogar in der Lage, eine Web-Seite zu analysieren und zu versuchen, interaktive Inhalte zu entdecken, die zu einem Angriff genutzt werden können.  Es existieren auch Java- und Win32-Clients, die benutzt werden können, um sich mit dem Nessus-Server zu verbinden. Diese sind jedoch in Debian nicht enthalten.

note: type: <p></p>
en: <package>nikto</package> is a web-only vulnerability assessment scanner including anti-IDS tactics (most of which are not <em>anti-IDS</em> anymore). It is one of the best cgi-scanners available, being able to detect a WWW server and launch only a given set of attacks against it. The database used for scanning can be easily modified to provide for new information.
de: <package>nikto</package> ist ein Scanner zur Aufdeckung von Schwachstellen bei Webservern und kennt auch einige Anti-IDS-Taktiken (die meisten davon sind keine <em>Anti-IDS</em>-Taktiken mehr). Er ist einer der besten verfügbaren CGI-Scanner zur Erkennung von WWW-Servern und kann nur bestimmte Angriffe gegen ihn starten. Die Datenbank, die zum Scannen benutzt wird, kann sehr leicht geändert werden, um neue Informationen einzufügen.

note: type: <heading></heading>
en: Network scanner tools
de: Werkzeuge zum Scannen von Netzwerken

note: type: <p><list>
en: Debian does provide some tools used for remote scanning of hosts (but not vulnerability assessment). These tools are, in some cases, used by vulnerability assessment scanners as the first type of "attack" run against remote hosts in an attempt to determine remote services available. Currently Debian provides:
de: Debian bietet Ihnen einige Werkzeuge zum Scannen von Hosts (aber nicht zur Gefahrenabschätzung). Diese Programme werden in manchen Fällen von Scannern zur Gefahrenabschätzung zu einem ersten »Angriff« gegen entfernte Rechner genutzt, um festzustellen, welche Dienste angeboten werden. Unter Debian sind im Moment verfügbar:

note: type: <p></p>
en: <package>nbtscan</package> (for SMB /NetBIOS audits)
de: <package>nbtscan</package> (für die Prüfung von SMB und NetBIOS)

note: type: <p></p>
en: <prgn>strobe</prgn> (in the <package>netdiag</package> package)
de: <prgn>strobe</prgn>(aus dem Paket <package>netdiag</package>)

note: type: <p></p>
en: While <package>xprobe</package> provide only remote operating system detection (using TCP/IP fingerprinting, <package>nmap</package> and <package>knocker</package> do both operating system detection and port scanning of the remote hosts. On the other hand, <package>hping2</package> and <package>icmpush</package> can be used for remote ICMP attack techniques.
de: Während <package>xprobe</package> lediglich aus der Ferne das Betriebssystem erkennen kann (indem es TCP/IP-Fingerabdrücke benutzt, machen <package>nmap</package> und <package>knocker</package> beides: das Betriebssystem erkennen und die Ports eines entfernten Rechners scannen. Andererseits können <package>hping2</package> und <package>icmpush</package> für ICMP-Angriffstechniken benutzt werden.

note: type: <p></p>
en: Designed specifically for SMB networks, <package>nbtscan</package> can be used to scan IP networks and retrieve name information from SMB-enabled servers, including: usernames, network names, MAC addresses...
de: <package>Nbtscan</package>, das speziell für SMB-Netzwerke entworfen wurde, kann benutzt werden, um IP-Netzwerke zu scannen und diverse Informationen von SMB-Servern zu ermitteln einschließlich der Benutzernamen, Netzwerknamen, MAC-Adressen, ...

note: type: <p></p>
en: On the other hand, <package>fragrouter</package> can be used to test network intrusion detection systems and see if the NIDS can be eluded by fragmentation attacks.
de: Dagegen kann <package>fragrouter</package> dazu verwendet werden, um Systeme zur Eindringlingserkennung zu testen und um zu sehen, ob das NIDS mit fragmentierten Angriffen umgangen werden kann.

note: type: <heading></heading>
en: Internal audits
de: Interne Prüfungen

note: type: <p></p>
en: Currently, only the <package>tiger</package> tool used in Debian can be used to perform internal (also called white box) audit of hosts in order to determine if the file system is properly set up, which processes are listening on the host, etc.
de: Derzeit kann lediglich das Programm <package>tiger</package> benutzt werden, um interne Prüfungen (auch »white box« genannt) eines Rechners vorzunehmen. Dabei wird festgestellt, ob das Dateisystem richtig aufgesetzt ist, welche Prozesse auf dem Rechner horchen, usw.

note: type: <heading></heading>
en: Auditing source code
de: Testen des Quellcodes

note: type: <p><list>
en: Debian provides several packages that can be used to audit C/C++ source code programs and find programming errors that might lead to potential security flaws:
de: Debian bietet einige Pakete an, die C/C++-Quellcode prüfen und Programmierfehler finden, die zu möglichen Sicherheitsmängeln führen können:

note: type: <heading></heading>
en: Virtual Private Networks
de: Virtual Private Networks (virtuelle private Netzwerke)

note: type: <p></p>
en: A virtual private network (VPN) is a group of two or more computer systems, typically connected to a private network with limited public network access, that communicate securely over a public network. VPNs may connect a single computer to a private network (client-server), or a remote LAN to a private network (server-server). VPNs often include the use of encryption, strong authentication of remote users or hosts, and methods for hiding the private network's topology.
de: Ein virtuelles privates Netzwerk (VPN) ist eine Gruppe von zwei oder mehreren Computern, die typischerweise zu einem privaten Netzwerk mit begrenztem öffentlichen Netzwerkzugang verbunden sind und sicher über ein öffentliches Netzwerk kommunizieren. VPNs können einen einzelnen Rechner mit einem privaten Netzwerk verbinden (Client-Server) oder ein entferntes LAN mit einem privaten Netzwerk (Server-Server). VPNs verwenden Verschlüsselung, starke Authentifikation von entfernten Benutzern oder Hosts und Methoden, um die Struktur des privaten Netzwerks zu verstecken.

note: type: <p><list>
en: Debian provides quite a few packages to set up encrypted virtual private networks:
de: Debian enthält etliche Pakete, die zum Aufsetzen von verschlüsselten virtuellen privaten Netzwerken verwendet werden können:

note: type: <p></p>
en: <package>tunnelv</package> (non-US section)
de: <package>tunnelv</package> (Abschnitt non-US)

note: type: <p></p>
en: The OpenSWAN package is probably the best choice overall, since it promises to interoperate with almost anything that uses the IP security protocol, IPsec (RFC 2411). However, the other packages listed above can also help you get a secure tunnel up in a hurry. The point to point tunneling protocol (PPTP) is a proprietary Microsoft protocol for VPN. It is supported under Linux, but is known to have serious security issues.
de: Das OpenSWAN-Paket ist wahrscheinlich die beste Wahl, da es nahezu mit allen zusammenarbeiten kann, die das IP-Security-Protokoll IPsec (RFC 2411) benutzen. Aber auch die anderen oben aufgeführten Pakete können Ihnen helfen, möglichst schnell einen sicheren Tunnel aufzusetzen. Das Point-to-Point-Tunneling-Protocol (PPTP) ist ein urheberrechtlich geschütztes Protokoll von Microsoft für VPN. Es wird unter Linux unterstützt, aber es sind einige schwere Sicherheitsprobleme bekannt.

note: type: <p></p>
en: For more information see the <url id="http://www.tldp.org/HOWTO/VPN-Masquerade-HOWTO.html" name="VPN-Masquerade HOWTO"> (covers IPsec and PPTP), <url id="http://www.tldp.org/HOWTO/VPN-HOWTO.html" name="VPN HOWTO"> (covers PPP over SSH), <url id="http://www.tldp.org/HOWTO/mini/Cipe+Masq.html" name="Cipe mini-HOWTO">, and <url id="http://www.tldp.org/HOWTO/mini/ppp-ssh/index.html" name="PPP and SSH mini-HOWTO">.
de: Für weitere Informationen über IPsec und PPTP lesen Sie bitte das <url id="http://www.tldp.org/HOWTO/VPN-Masquerade-HOWTO.html" name="VPN-Masquerade-HOWTO">, über PPP über SSH das <url id="http://www.tldp.org/HOWTO/VPN-HOWTO.html" name="VPN-HOWTO">, das <url id="http://www.tldp.org/HOWTO/mini/Cipe+Masq.html" name="Cipe-Mini-HOWTO"> und das <url id="http://www.tldp.org/HOWTO/mini/ppp-ssh/index.html" name="PPP- und SSH-Mini-HOWTO">.

note: type: <p></p>
en: Also worth checking out is <url id="http://yavipin.sourceforge.net/" name="Yavipin">, but no Debian packages seem to be available yet.
de: Es kann sich auch lohnen, sich <url id="http://yavipin.sourceforge.net/" name="Yavipin"> anzusehen. Allerdings scheinen noch keine Pakete für Debian verfügbar zu sein.

note: type: <heading></heading>
en: Point to Point tunneling
de: Point-to-Point-Tunneling

note: type: <p></p>
en: If you want to provide a tunneling server for a mixed environment (both Microsoft operating systems and Linux clients) and IPsec is not an option (since it's only provided for Windows 2000 and Windows XP), you can use <em>PoPToP</em> (Point to Point Tunneling Server), provided in the <package>pptpd</package> package.
de: Wenn Sie einen tunnelnden Server für eine gemischte Umgebung (sowohl Microsofts Betriebssystem als auch Linux-Clients) zur Verfügung stellen wollen und IPsec keine Möglichkeit ist (da es nur in Windows 2000 und Windows XP enthalten ist), können Sie <em>PoPToP</em> (Point to Point Tunneling Server) verwenden. Er wird vom Paket <package>pptpd</package> bereitgestellt.

note: type: <p><example>
en: If you want to use Microsoft's authentication and encryption with the server provided in the <package>ppp</package> package, note the following from the FAQ:
de: Wenn Sie Microsofts Authentifikation und Verschlüsselung mit dem Server verwenden wollen, die im Paket <package>ppp</package> enthalten sind, sollten Sie Folgendes aus der FAQ beachten:

note: type: <example></example>
en: It is only necessary to use PPP 2.3.8 if you want Microsoft compatible
    MSCHAPv2/MPPE authentication and encryption. The reason for this is that
    the MSCHAPv2/MPPE patch currently supplied (19990813) is against PPP
    2.3.8. If you don't need Microsoft compatible authentication/encryption
    any 2.3.x PPP source will be fine.
de: Sie müssen nur dann PPP 2.3.8 einsetzen, wenn Sie zu Microsoft kompatible MSCHAPv2/MPPE-Authentifikation und Verschlüsselung haben wollen. Der Grund dafür ist, dass der aktuelle MSCHAPv2/MPPE-Patch (19990813) gegen PPP 2.3.8 erstellt wurde. Wenn Sie keine zu Microsoft kompatible Authentifikation und Verschlüsselung brauchen, können Sie jede PPP-Quelle mit der Version 2.3.x verwenden.

note: type: <p></p>
en: However, you also have to apply the kernel patch provided by the <package>kernel-patch-mppe</package> package, which provides the pp_mppe module for pppd.
de: Allerdings müssen Sie auf den Kernel einen Patch anwenden, der im Paket <package>kernel-patch-mppe</package> enthalten ist. Er stellt das Module pp_mppe für den pppd zur Verfügung.

note: type: <p></p>
en: Take into account that the encryption in ppptp forces you to store user passwords in clear text, and that the MS-CHAPv2 protocol contains <url id="http://mopo.informatik.uni-freiburg.de/pptp_mschapv2/" name="known security holes">.
de: Beachten Sie, dass Verschlüsselung in ppptp erfordert, dass Sie die Nutzerpasswörter in Klartext speichern. Außerdem sind für das MS-CHAPv2-Protokoll <url id="http://mopo.informatik.uni-freiburg.de/pptp_mschapv2/" name="Sicherheitslücken bekannt">.

note: type: <heading></heading>
en: Public Key Infrastructure (PKI)
de: Infrastruktur für öffentliche Schlüssel (Public Key Infrastructure, PKI)

note: type: <p></p>
en: Public Key Infrastructure (PKI) is a security architecture introduced to provide an increased level of confidence for exchanging information over insecure networks. It makes use of the concept of public and private cryptographic keys to verify the identity of the sender (signing) and to ensure privacy (encryption).
de: Mit der Infrastruktur für öffentliche Schlüssel (PKI) wurde eine Sicherheitsarchitektur eingeführt, um den Grad der Vertrauenswürdigkeit von Informationen, die über unsichere Netzwerke ausgetauscht werden, zu erhöhen. Sie beruht auf dem Konzept von öffentlichen und privaten kryptographischen Schlüsseln, um die Identität des Absenders (Signierung) zu überprüfen und die Geheimhaltung zu sichern (Verschlüsselung).

note: type: <p><list>
en: When considering a PKI, you are confronted with a wide variety of issues:
de: Wenn Sie über die Einrichtung einer PKI nachdenken, sehen Sie sich mit einer breiten Palette von Problemen konfrontiert:

note: type: <p></p>
en: a Certificate Authority (CA) that can issue and verify certificates, and that can work under a given hierarchy.
de: eine Zertifizierungsstelle (Certification Authority, CA), die Zertifikate ausgeben und bestätigen und unter einer bestimmten Hierarchie arbeiten kann

note: type: <p></p>
en: a Directory to hold user's public certificates.
de: ein Verzeichnis, das die öffentlichen Zertifikate der Benutzer enthält

note: type: <p></p>
en: a Database (?) to maintain Certificate Revocation Lists (CRL).
de: eine Datenbank (?), um eine List von Widerrufen von Zertifikaten (Certificate Revocation Lists, CRL) zu verwalten

note: type: <p></p>
en: devices that interoperate with the CA in order to print out smart cards/USB tokens/whatever to securely store certificates.
de: Geräte, die mit der CA zusammenarbeiten, um Smartcards/USB-Token oder ähnliches zu erzeugen und die Zertifikate sicher zu speichern

note: type: <p></p>
en: certificate-aware applications that can use certificates issued by a CA to enroll in encrypted communication and check given certificates against CRL (for authentication and full Single Sign On solutions).
de: Anwendungen, die die von einer CA ausgestellten Zertifikate benutzen können, um verschlüsselte Kommunikation zu aufzubauen und bestimmte Zertifikate gegen die CRL zu prüfen (zur Authentifizierung und so genannte »full Single Sign On solutions«)

note: type: <p></p>
en: a Time stamping authority to digitally sign documents.
de: eine Zeitstempel-Autorität, um Dokumente digital zu signieren

note: type: <p></p>
en: a management console from which all of this can be properly used (certificate generation, revocation list control, etc...).
de: eine Verwaltungskonsole, von der aus dies alles vernünftig benutzt werden kann (Erstellung von Zertifikaten, Kontrolle der Widerruflisten, usw., ...)

note: type: <p></p>
en: Debian GNU/Linux has software packages to help you with some of these PKI issues. They include <prgn>OpenSSL</prgn> (for certificate generation), <prgn>OpenLDAP</prgn> (as a directory to hold the certificates), <prgn>gnupg</prgn> and <prgn>openswan</prgn> (with X.509 standard support). However, as of the Woody release (Debian 3.0), Debian does not have any of the freely available Certificate Authorities such as pyCA, <url id="http://www.openca.org" name="OpenCA"> or the CA samples from OpenSSL. For more information read the <url id="http://ospkibook.sourceforge.net/" name="Open PKI book">.
de: Debian GNU/Linux beinhaltet Softwarepaket, die Ihnen bei einigen dieser PKI-Probleme helfen können. Dazu gehört <prgn>OpenSSL</prgn> (zur Erstellung von Zertifikaten), <prgn>OpenLDAP</prgn> (für ein Verzeichnis, um die Zertifikate zu speichern) <prgn>gnupg</prgn> und <prgn>openswan</prgn> (mit X.509 Unterstützung). Jedoch stellt Debian zum Zeitpunkt der Veröffentlichung von Woody (Debian 3.0) keine der frei verfügbaren Certificate Authorities wie zum Beispiel pyCA, <url id="http://www.openca.org" name="OpenCA"> oder die CA-Muster von OpenSSL zur Verfügung. Für weitere Informationen lesen Sie bitte das <url id="http://ospkibook.sourceforge.net/" name="Open PKI Buch">.

note: type: <heading></heading>
en: SSL Infrastructure
de: SSL-Infrastruktur

note: type: <p></p>
en: Debian does provide some SSL certificates with the distribution so that they can be installed locally. They are found in the <package>ca-certificates</package> package. This package provides a central repository of certificates that have been submitted to Debian and approved (that is, verified) by the package maintainer, useful for any OpenSSL applications which verify SSL connections.
de: Debian stellt einige SSL-Zertifikate innerhalb der Distribution zur Verfügung, so dass Sie sie lokal installieren können. Sie befinden sich im Paket <package>ca-certificates</package>. Dieses Paket stellt eine zentrale Sammelstelle für Zertifikate dar, die an Debian übermittelt und vom Paketverwalter gebilligt (das heißt, verifiziert) wurden. Sie können für alle OpenSSL-Anwendungen, die SSL-Verbindungen verifizieren, nützlich sein.

note: type: <heading></heading>
en: Antivirus tools
de: Antiviren-Werkzeuge

note: type: <p></p>
en: There are not many anti-virus tools included with Debian GNU/Linux, probably because GNU/Linux users are not plagued by viruses. The Unix security model makes a distinction between privileged (root) processes and user-owned processes, therefore a "hostile" executable that a non-root user receives or creates and then executes cannot "infect" or otherwise manipulate the whole system. However, GNU/Linux worms and viruses do exist, although there has not (yet, hopefully) been any that has spread in the wild over any Debian distribution. In any case, administrators might want to build up anti-virus gateways that protect against viruses arising on other, more vulnerable systems in their network.
de: Es gibt nicht viele Antiviren-Werkzeuge in Debian, wahrscheinlich weil die Benutzer von GNU/Linux nicht von Viren betroffen sind. Das Sicherheitsmodell von Unix trifft eine Unterscheidung zwischen privilegierten Prozessen (Root) und den Prozessen der Benutzer. Daher kann ein »bösartiges« Programm, das ein Benutzer empfängt oder erstellt und dann ausführt, nicht das System »infizieren« oder daran Veränderungen vornehmen.  Es existieren dennoch Würmer und Viren für GNU/Linux, auch wenn es (bisher) keinen Virus gab, der sich im Freien weit über eine Debian-Distribution verbreitet hat. Wie dem auch sei, Administratoren sollten vielleicht Antiviren-Gateways aufbauen, um verwundbarere Systeme in ihrem Netzwerk vor Viren zu schützen.

note: type: <p><list>
en: Debian GNU/Linux currently provides the following tools for building antivirus environments:
de: Debian GNU/Linux bietet derzeit die folgenden Werkzeuge zum Erstellen von Antiviren-Umgebungen an:

note: type: <p></p>
en: <url id="http://www.clamav.net" name="Clam Antivirus">, provided since Debian <em>sarge</em> (3.1 release). Packages are provided both for the virus scanner (<package>clamav</package>) for the scanner daemon (<package>clamav-daemon</package>) and for the data files needed for the scanner. Since keeping an antivirus up-to-date is critical for it to work properly there are two different ways to get this data: <package>clamav-freshclam</package> provides a way to update the database through the Internet automatically and <package>clamav-data</package> which provides the data files directly. <footnote><p>If you use this last package and are running an official Debian, the database will not be updated with security updates. You should either use <package>clamav-freshclam</package>, <prgn>clamav-getfiles</prgn> to generate new <package>clamav-data</package> packages or update from the maintainers location: <example> deb http://people.debian.org/~zugschlus/clamav-data/ / deb-src http://people.debian.org/~zugschlus/clamav-data/ /</example></p></footnote>
de: <url id="http://www.clamav.net" name="Clam Antivirus">, das in Debian seit <em>Sarge</em> (der 3.1-Veröffentlichung) enthalten ist. Es sind Pakete sowohl für den Virusscanner (<package>clamav</package>) des Scanner-Daemons (<package>clamav-daemon</package>) als auch für die Daten, die der Scanner benötigt, verfügbar. Da es für die richtige Arbeit eines Antivirus-Programms entscheidend ist, dass seine Daten auf dem neusten Stand sind, gibt es zwei verschiedene Wege, um diese Daten aktuell zu halten: <package>clamav-freshclam</package> eröffnet die Möglichkeit, die Datenbank automatisch über das Internet zu aktualisieren, und <package>clamav-data</package> stellt die Daten unmittelbar zur Verfügung.<footnote><p> Wenn Sie das letztere Paket verwenden und ein offizielles Debian betreiben, wird die Datenbank nicht im Zuge von Sicherheitsaktualisierung auf den neusten Stand gebracht. Sie sollten entweder <package>clamav-freshclam</package>, <prgn>clamav-getfiles</prgn> verwenden, um neue <package>clamav-data</package>-Pakete zu erstellen, oder die Datenbank über die Seite der Betreuer aktuell halten: <example>   deb http://people.debian.org/~zugschlus/clamav-data/ /
      deb-src http://people.debian.org/~zugschlus/clamav-data/ / </example> </footnote>

note: type: <p></p>
en: <package>mailscanner</package> an e-mail gateway virus scanner and spam detector. Using <package>sendmail</package> or <package>exim</package> as its basis, it can use more than 17 different virus scanning engines (including <package>clamav</package>).
de: <package>mailscanner</package> ist ein Gateway-Scanner, der in E-Mails Viren und Spam entdeckt. Er arbeitet auf der Grundlage von <package>sendmail</package> oder <package>exim</package> und kann mehr als 17 verschiedene Virensuch-Engines (einschließlich <package>clamav</package>) verwenden.

note: type: <p></p>
en: <package>libfile-scan-perl</package> which provides File::Scan, a Perl extension for scanning files for viruses. This modules can be used to make platform independent virus scanners.
de: <package>libfile-scan-perl</package>, welches File::Scan liefert. Das ist eine Erweiterung von Perl, mit der Dateien nach Viren durchsucht werden können. Mit diesem Modul können plattformunabhängige Virenscanner realisiert werden.

note: type: <p></p>
en: <url id="http://www.sourceforge.net/projects/amavis" name="Amavis Next Generation">, provided in the package <package>amavis-ng</package> and available in <em>sarge</em>, which is a mail virus scanner which integrates with different MTA (Exim, Sendmail, Postfix, or Qmail) and supports over 15 virus scanning engines (including clamav, File::Scan and openantivirus).
de: <url id="http://www.sourceforge.net/projects/amavis" name="Amavis Next Generation"> ist im Paket <package>amavis-ng</package> enthalten und in <em>Sarge</em> verfügbar. Es ist ein Virusscanner, der in verschiedene MTAs (Exim, Sendmail, Postfix oder Qmail) integriert werden kann. Er unterstützt mehr als 15 Virensuch-Engines (einschließlich clamav, File::Scan und openantivirus).

note: type: <p></p>
en: <url id="http://packages.debian.org/sanitizer" name="sanitizer">, a tool that uses the <package>procmail</package> package, which can scan email attachments for viruses, block attachments based on their filenames, and more.
de: <url id="http://packages.debian.org/sanitizer" name="sanitizer"> ist ein Werkzeug, welches das Paket <package>procmail</package> verwendet. Es kann den Anhang von E-Mails nach Viren durchsuchen, Anhänge aufgrund ihres Dateinamens abweisen und vieles mehr.

note: type: <p></p>
en: <url id="http://packages.debian.org/amavis-postfix" name="amavis-postfix">, a script that provides an interface from a mail transport agent to one or more commercial virus scanners (this package is built with support for the <prgn>postfix</prgn> MTA only).
de: <url id="http://packages.debian.org/amavis-postfix" name="amavis-postfix"> ist ein Skript, das eine Schnittstelle vom Mail-Transport-Agent zu einem oder mehreren kommerziellen Viren-Scannern anbietet (dieses Paket ist lediglich für den MTA <package>postfix</package> bestimmt).

note: type: <p></p>
en: <package>exiscan</package>, an e-mail virus scanner written in Perl that works with Exim.
de: <package>exiscan</package> ist ein Virusscanner für E-Mails, der in Perl geschrieben wurde. Er arbeitet mit Exim zusammen.

note: type: <p></p>
en: <package>blackhole-qmail</package> a spam filter for Qmail with built-in support for Clamav.
de: <package>blackhole-qmail</package> ist ein Spamfilter für Qmail mit eingebauter Unterstützung von Clamav.

note: type: <p></p>
en: Some gateway daemons support already tools extensions to build antivirus environments including <package>exim4-daemon-heavy</package> (the <em>heavy</em> version of the Exim MTA), <package>frox</package> (a transparent caching ftp proxy server), <package>messagewall</package> (an SMTP proxy daemon) and <package>pop3vscan</package> (a transparent POP3 proxy).
de: Einige Gateway-Daemons bieten schon Programmerweiterungen an, um Antiviren-Umgebungen zu erstellen. Dazu gehören <package>exim4-daemon-heavy</package> (die <em>heavy</em> Version des Exim MTAs), <package>frox</package>, ein transparenter zwischenspeichernder FTP-Proxyserver), <package>messagewall</package> (ein SMTP-Proxyserver) und <package>pop3vscan</package> (ein transparenter POP3-Proxy).

note: type: <p></p>
en: Debian currently provide <prgn>clamav</prgn> as the only antivirus scanning software in the main official distribution and it also provides multiple interfaces to build gateways with antivirus capabilities for different protocols.
de: Zurzeit ist als einziges Programm zum Auffinden von Viren <prgn>clamav</prgn> in der Hauptdistribution enthalten. Daneben bietet Debian verschiedene Schnittstellen an, mit denen Gateways mit Antivirus-Fähigkeiten für unterschiedliche Protokolle erstellt werden können.

note: type: <p><list>
en: Some other free software antivirus projects which might be included in future Debian GNU/Linux releases:
de: Im Folgenden einige andere freie Antiviren-Projekte, die in der Zukunft in Debian GNU/Linux enthalten sein könnten:

note: type: <p></p>
en: <url id="http://sourceforge.net/projects/openantivirus/" name="Open Antivirus"> (see <url id="http://bugs.debian.org/150698" name="Bug #150698 (ITP oav-scannerdaemon)"> and <url id="http://bugs.debian.org/150695" name="Bug #150695 (ITP oav-update)"> ).
de: <url id="http://sourceforge.net/projects/openantivirus/" name="Open Antivirus"> (siehe <url id="http://bugs.debian.org/150698" name="Fehler #150698 (ITP oav-scannerdaemon)"> und <url id="http://bugs.debian.org/150695" name="Fehler #150695 (ITP oav-update)">).

note: type: <p></p>
en: However, Debian will <em>never</em> provide propietary (non-free and undistributable) antivirus software such as: Panda Antivirus, NAI Netshield, <url id="http://www.sophos.com/" name="Sophos Sweep">, <url id="http://www.antivirus.com" name="TrendMicro Interscan">, or <url id="http://www.ravantivirus.com" name="RAV">. For more pointers see the <url id="http://www.computer-networking.de/~link/security/av-linux_e.txt" name="Linux antivirus software mini-FAQ">. This does not mean that this software cannot be installed properly in a Debian system<footnote><p>Actually, there is an installer package for the <em>F-prot</em> antivirus, which is non-free but <em>gratis</em> for home users, called <prgn>f-prot-installer</prgn>. This installer, however, just downloads <url id="http://www.f-prot.com/products/home_use/linux/" name="F-prot's software"> and installs it in the system.</p></footnote>.
de: Allerdings wird Debian <em>niemals</em> proprietäre (unfreie und unverbreitbare) Antiviren-Software anbieten. Dazu zählen Panda Antivirus, NAI Netshield, <url id="http://www.sophos.com/" name="Sophos Sweep">, <url id="http://www.antivirus.com" name="TrendMicro Interscan"> oder <url id="http://www.ravantivirus.com" name="RAV">. Weitere Hinweise finden Sie im <url id="http://www.computer-networking.de/~link/security/av-linux.txt" name="Mini-FAQ 'Antiviren-Software für Linux/Unix'">. Das bedeutet nicht, dass diese Software nicht richtig auf einem Debian-System installiert werden kann.<footnote><p>Tatsächlich gibt es für das Antivirus-Programm <em>F-prot</em> das Installationspaket <prgn>f-prot-installer</prgn>, das zwar nicht frei, aber für Heimanwender <em>kostenlos</em> ist. Allerdings lädt dieser Installer nur <url id="http://www.f-prot.com/products/home_use/linux/" name="F-prot's Software"> herunter und installiert sie.</p></footnote>

note: type: <p></p>
en: For more information on how to set up a virus detection system read Dave Jones' article <url id="http://www.linuxjournal.com/article.php?sid=4882" name="Building an E-mail Virus Detection System for Your Network">.
de: Zusätzliche Informationen über das Aufsetzen eines Systems zur Virenerkennung erhalten Sie im Artikel <url id="http://www.linuxjournal.com/article.php?sid=4882" name="Building an E-mail Virus Detection System for Your Network"> von Dave Jones.

note: type: <heading></heading>
en: GPG agent
de: GPG-Agent

note: type: <p></p>
en: It is very common nowadays to digitally sign (and sometimes encrypt) e-mail. You might, for example, find that many people participating on mailing lists sign their list e-mail. Public key signatures are currently the only means to verify that an e-mail was sent by the sender and not by some other person.
de: Es ist heutzutage weit verbreitet, E-Mails digital zu unterschreiben (manchmal auch zu verschlüsseln). Sie können z.B. feststellen, dass viele Menschen auf Mailinglisten ihre E-Mails signieren. Signaturen von öffentlichen Schlüsseln ist im Moment die einzige Möglichkeit festzustellen, ob eine E-Mail vom Absender geschickt wurden und nicht von jemand anderem.

note: type: <p><list>
en: Debian GNU/Linux provides a number of e-mail clients with built-in e-mail signing capabilities that interoperate either with <package>gnupg</package> or <package>pgp</package>:
de: Debian GNU/Linux enthält eine Anzahl von E-Mail-Clients mit der eingebauten Fähigkeit, E-Mails zu signieren. Sie arbeiten entweder mit <package>gnupg</package> oder <package>pgp</package> zusammen:

note: type: <p></p>
en: <package>icedove</package> (rebranded version of Mozilla's Thunderbird) through the <url id="http://enigmail.mozdev.org/" name="Enigmail"> plugin. This plugin is provided by the <package>enigmail</package> package.
de: <package>icedove</package> (umbenannte Version von Mozillas Thunderbird) mittels des Plugins <url id="http://enigmail.mozdev.org/" name="Enigmail">. Dieses Plugin wird durch das Paket <package>enigmail</package> bereitgestellt.

note: type: <p></p>
en: <package>sylpheed</package>. Depending on how the stable version of this package evolves, you may need to use the <em>bleeding edge version</em>, <package>sylpheed-claws</package>.
de: <package>sylpheed</package>. Abhängig davon wie sich die stabile Version dieses Pakets entwickelt, müssen Sie die <em>bleeding edge</em> Version, <package>sylpheed-claws</package>, verwenden.

note: type: <p></p>
en: <package>gnus</package>, which when installed with the <package>mailcrypt</package> package, is an <prgn>emacs</prgn> interface to <prgn>gnupg</prgn>.
de: <package>gnus</package> ist, wenn mit dem Paket <package>mailcrypt</package> installiert, eine Schnittstelle für <prgn>emacs</prgn> zu <prgn>gnupg</prgn>.

note: type: <p></p>
en: <package>kuvert</package>, which provides this functionality independently of your chosen mail user agent (MUA) by interacting with the mail transport agent (MTA).
de: <package>kuvert</package> stellt diese Funktion unabhängig von Ihrem Mail-User-Agent (MUA) zur Verfügung, indem es mit dem Mail-Transport-Agent (MTA) arbeitet.

note: type: <p><example>
en: Key servers allow you to download published public keys so that you may verify signatures. One such key server is <url id="http://wwwkeys.pgp.net">. <package>gnupg</package> can automatically fetch public keys that are not already in your public keyring. For example, to configure <prgn>gnupg</prgn> to use the above key server, edit the file <file>~/.gnupg/options</file> and add the following line: <footnote><p>For more examples of how to configure <prgn>gnupg</prgn> check <file>/usr/share/doc/mutt/examples/gpg.rc</file>.</p></footnote>
de: Key-Server ermöglichen es Ihnen, veröffentlichte öffentliche Schlüssel herunterzuladen, damit Sie Signaturen überprüfen können. Einer diese Key-Server ist <url id="http://wwwkeys.pgp.net">. <package>gnupg</package> kann automatisch öffentliche Schlüssel holen, die sich nicht schon in Ihrem öffentlichen Schlüsselbund befinden. Um beispielsweise <prgn>gnupg</prgn> so einzurichten, dass es den oben genannten Key-Server verwendet, müssen Sie die Datei <file>~/.gnupg/options</file> bearbeiten und folgende Zeile hinzufügen: <footnote><p> Weitere Beispiele, wie Sie <prgn>gnupg</prgn> konfigurieren können, finden Sie in <file>/usr/share/doc/mutt/examples/gpg.rc</file>. </p></footnote>

note: type: <p></p>
en: Most key servers are linked, so that when your public key is added to one server, the addition is propagated to all the other public key servers. There is also a Debian GNU/Linux package <package>debian-keyring</package>, that provides all the public keys of the Debian developers. The <prgn>gnupg</prgn> keyrings are installed in <file>/usr/share/keyrings/</file>.
de: Die meisten Key-Server sind miteinander verbunden. Wenn Sie also Ihren öffentlichen Schlüssel einem hinzufügen, wird er an alle anderen Key-Server weitergereicht. Da wäre auch noch das Debian GNU/Linux Paket <package>debian-keyring</package>, das die öffentlichen Schlüssel aller Debian-Entwickler enthält. Der Schlüsselbund von <prgn>gnupg</prgn> wird in <file>/usr/share/keyrings/</file> installiert.

note: type: <p><list>
en: For more information:
de: Weitere Informationen:

note: type: <p></p>
en: <url id="http://www.gnupg.org/faq.html" name="GnuPG FAQ">.
de: <url id="http://www.gnupg.org/faq.html" name="GnuPG FAQ">

note: type: <p></p>
en: <url id="http://www.gnupg.org/gph/en/manual.html" name="GnuPG Handbook">.
de: <url id="http://www.gnupg.org/gph/de/manual/index.html" name="Das GNU-Handbuch zum Schutze der Privatsphäre">

note: type: <heading></heading>
en: Developer's Best Practices for OS Security
de: Der gute Umgang von Entwicklern mit der Sicherheit des OS

note: type: <p></p>
en: This chapter introduces some best secure coding practices for developers writing Debian packages. If you are really interested in secure coding I recommend you read David Wheeler's <url id="http://www.dwheeler.com/secure-programs/" name="Secure Programming for Linux and Unix HOWTO"> and <url id="http://www.securecoding.org" name="Secure Coding: Principles and Practices"> by Mark G. Graff and Kenneth R. van Wyk (O'Reilly, 2003).
de: Dieses Kapitel handelt von einigen der anerkannten Vorgehensweisen für sicheres Programmieren, wenn Entwickler Pakete für Debian erstellen. Wenn Sie sehr an sicherheitsbewusster Programmierung interessiert sind, sollten Sie David Wheelers <url id="http://www.dwheeler.com/secure-programs/" name="Secure Programming for Linux and Unix HOWTO"> und <url id="http://www.securecoding.org" name="Secure Coding: Principles and Practices"> von Mark G. Graff und Kenneth R. van Wyk (O'Reilly, 2003) lesen.

note: type: <heading></heading>
en: Best practices for security review and design
de: Das richtige Vorgehen für die Nachprüfung der Sicherheit und deren Gestaltung

note: type: <p></p>
en: Developers that are packaging software should make a best effort to ensure that the installation of the software, or its use, does not introduce security risks to either the system it is installed on or its users.
de: Entwickler, die Software in Pakete packen, sollten größte Anstrengung darauf verwenden sicherzustellen, dass die Installation der Software und ihre Verwendung keine Sicherheitsrisiken für das System oder seine Benutzer eröffnet.

note: type: <p></p>
en: In order to do so, they should make their best to review the source code of the package and detect any flaws that might introduce security bugs before releasing the software or distributing a new version. It is acknowledged that the cost of fixing bugs grows for different stages of its development, so it is easier (and cheaper) to fix bugs when designing than when the software has been deployed and is in maintenance mode (some studies say that the cost in this later phase is <strong>sixty</strong> times higher). Although there are some tools that try to automatically detect these flaws, developers should strive to learn about the different kind of security flaws in order to understand them and be able to spot them in the code they (or others) have written.
de: Dazu sollten sie vor der Veröffentlichung der Software oder einer neuen Version den Quellcode des Pakets nachprüfen, um Fehler zu finden, die zu Sicherheitslücken führen können. Bekanntermaßen ist der Aufwand für die Fehlerbehebung in verschiedenen Stadien der Entwicklung unterschiedlich. So ist es leichter (und billiger), Fehler während der Entwicklung auszubessern als später, wenn die Software schon herausgegeben wurde und nur noch gewartet wird (einige Studien behaupten, dass die Kosten in dieser Phase <strong>60</strong> Mal höher sind). Es gibt Hilfsmittel, die versuchen, Fehler automatisch zu entdecken. Entwickler sollten dennoch die verschiedenen Sicherheitsfehler kennen, damit sie sie verstehen und sie so in eigenen (oder fremden) Programmcode entdecken können.

note: type: <p></p>
en: The programming bugs which lead to security bugs typically include: <url id="http://en.wikipedia.org/wiki/Buffer_overflow" name="buffer overflows">, format string overflows, heap overflows and integer overflows (in C/C++ programs), temporary <url id="http://en.wikipedia.org/wiki/Symlink_race" name="symlink race conditions"> (in scripts), <url id="http://en.wikipedia.org/wiki/Directory_traversal" name="directory traversal"> and command injection (in servers) and <url id="http://en.wikipedia.org/wiki/Cross_site_scripting" name="cross-site scripting">, and <url id="http://en.wikipedia.org/wiki/SQL_injection" name="SQL injection bugs"> (in the case of web-oriented applications). For a more complete information on security bugs review Fortify's <url id="http://vulncat.fortifysoftware.com/" name="Taxonomy of Software Security Errors">.
de: Programmierfehler, die typischerweise zu Sicherheitsproblemen führen, sind insbesondere: <url id="http://de.wikipedia.org/wiki/Puffer%C3%BCberlauf" name="Pufferüberläufe,">, Format-String-Überläufe, Heap-Überläufe und Integer-Überläufe (in C/C++-Programmen), vorübergehende <url id="http://de.wikipedia.org/wiki/Symlink-Schwachstelle" name="Symlink-Schwachstellen"> (in Skripten), <url id="http://de.wikipedia.org/wiki/Directory_Traversal" name="Directory Traversal">, die Einschleusung von Befehlen (auf Servern) und <url id="http://de.wikipedia.org/wiki/Cross-Site_Scripting" name="Cross-Site Scripting"> sowie <url id="http://de.wikipedia.org/wiki/SQL-Injektion" name="SQL-Injektionen"> (bei web-orientierten Anwendungen). Eine ausführliche Liste von Sicherheitsfehlern finden Sie in Fortifys <url id="http://vulncat.fortifysoftware.com/" name="Taxonomy of Software Security Errors">.

note: type: <p></p>
en: Some of these issues might not be easy to spot unless you are an expert in the programming language the software uses, but some security problems are easy to detect and fix. For example, finding temporary race conditions due to misuse of temporary directories can easily be done just by running <tt>grep -r "/tmp/" .</tt>. Those calls can be reviewed and replace the hardcoded filenames using temporary directories to calls to either <prgn>mktemp</prgn> or <prgn>tempfile</prgn> in shell scripts, <manref name="File::Temp" section="3perl"> in Perl scripts, or <manref name="tmpfile" section="3"> in C/C++.
de: Einige dieser Probleme können Sie nur erkennen, wenn Sie ein Experte in der verwendeten Programmiersprache sind. Aber andere können leicht entdeckt und behoben werden. Zum Beispiel kann eine Symlink-Schwachstelle auf Grund einer falschen Verwendung von temporären Verzeichnissen ohne Weiteres entdeckt werden, indem Sie <tt>grep -r "/tmp/" .</tt> ausführen. Diese Verweise sollten überprüft werden und fest einprogrammierte Dateinamen in temporären Verzeichnissen in Shell-Skripten mit <prgn>mktemp</prgn> oder <prgn>tempfile</prgn>, in Perl-Skripten mit <manref name="File::Temp" section="3perl"> und in C/C++ mit <manref name="tmpfile" section="3"> ersetzt werden.

note: type: <p></p>
en: There are a set of tools available to assist to the security code review phase. These include <package>rats</package>, <package>flawfinder</package> and <package>pscan</package>. For more information, read the <url id="http://www.debian.org/security/audit/tools" name="list of tools used by the Debian Security Audit Team">.
de: Es stehen Ihnen einige Werkzeuge zur Verfügung, die Sie dabei unterstützen, den Quellcode auf Sicherheitsprobleme hin zu überprüfen. Dazu zählen <package>rats</package>, <package>flawfinder</package> und <package>pscan</package>. Weitere Informationen finden Sie in der <url id="http://www.de.debian.org/security/audit/tools" name="Liste der Werkzeuge, die vom Debian-Security-Audit-Team verwendet werden">.

note: type: <p><list>
en: When packaging software developers have to make sure that they follow common security principles, including:
de: Beim Paketieren von Software sollten Entwickler darauf achten, dass sie allgemein anerkannte Sicherheitsprinzipien einhalten. Dazu gehören:

note: type: <p><list>
en: The software runs with the minimum privileges it needs:
de: Die Software sollte mit so geringen Rechten wie möglich laufen.

note: type: <p></p>
en: The package does install binaries setuid or setgid. <prgn>Lintian</prgn> will warn of <url id=" http://lintian.debian.org/reports/Tsetuid-binary.html" name="setuid">, <url id="http://lintian.debian.org/reports/Tsetgid-binary.html" name="setgid"> and <url id="http://lintian.debian.org/reports/Tsetuid-gid-binary.html" name="setuid and setgid"> binaries.
de: Falls das Paket Binaries mit setuid oder setgid enthält, wird <prgn>Lintian</prgn> vor <url id="http://lintian.debian.org/reports/Tsetuid-binary.html" name="setuid">-, <url id="http://lintian.debian.org/reports/Tsetgid-binary.html" name="setgid">- und <url id="http://lintian.debian.org/reports/Tsetuid-gid-binary.html" name="setuid und setgid">-Binaries warnen.

note: type: <p></p>
en: The daemons the package provide run with a low privilege user (see <ref id="bpp-lower-privs">)
de: Die Daemons, die in einem Paket enthalten sind, sollten mit den Rechten eines Benutzers laufen, der nur geringe Privilegien besitzt (vergleichen Sie  dazu <ref id="bpp-lower-privs">).

note: type: <p></p>
en: Programmed (i.e., <prgn>cron</prgn>) tasks running in the system do NOT run as root or, if they do, do not implement complex tasks.
de: Automatisierte Aufgaben (also mit <prgn>cron</prgn>) sollten NICHT mit Root-Rechten laufen. Zumindest sollten mit Root-Rechten keine komplizierten Aufgaben erledigt werden.

note: type: <p></p>
en: If you have to do any of the above make sure the programs that might run with higher privileges have been audited for security bugs. If you are unsure, or need help, contact the <url id="http://www.debian.org/security/audit/" name="Debian Security Audit team">. In the case of setuid/setgid binaries, follow the Debian policy section regarding <url id="http://www.debian.org/doc/debian-policy/ch-files.html#s10.9" name="permissions and owners">
de: Falls Sie diese Prinzipien nicht einhalten können, sollten Sie sichergehen, dass das Programm, das mit umfangreicheren Rechten läuft, auf Sicherheitsprobleme überprüft wurde. Wenn Sie sich nicht sicher sind oder Hilfe benötigen, sollten Sie sich mit dem <url id="http://www.de.debian.org/security/audit/" name="Sicherheits-Audit-Team von Debian"> in Verbindung setzen. Wenn Binaries setuid/setgid verwenden, sollten Sie die Richtlinie von Debian zu <url id="http://www.debian.org/doc/debian-policy/ch-files#s10.9" name="Rechten und Besitzern"> beachten.

note: type: <p></p>
en: For more information, specific to secure programming, make sure you read (or point your upstream to) <url id="http://www.dwheeler.com/secure-programs/" name="Secure Programming for Linux and Unix HOWTO"> and the <url id="https://buildsecurityin.us-cert.gov/portal/" name="Build Security In"> portal.
de: Für weitere Informationen, insbesondere hinsichtlich Sicherheitsfragen, sollten Sie das <url id="http://www.dwheeler.com/secure-programs/" name="Secure Programming for Linux and Unix HOWTO"> und das <url id="https://buildsecurityin.us-cert.gov/portal/" name="Build Security In"> Portal lesen (oder den Programmautor darauf hinweisen).

note: type: <heading></heading>
en: Creating users and groups for software daemons
de: Benutzer und Gruppen für Software-Daemons erstellen

note: type: <p></p>
en: If your software runs a daemon that does not need root privileges, you need to create a user for it. There are two kind of Debian users that can be used by packages: static uids (assigned by <package>base-passwd</package>, for a list of static users in Debian see <ref id="faq-os-users">) and dynamic uids in the range assigned to system users.
de: Wenn Ihre Software als Daemon läuft, der keine Root-Rechte benötigt, müssen Sie für ihn einen Benutzer erstellen. Es gibt zwei Arten von Benutzern in Debian, die für Pakete verwendet werden können: statische UIDs (werden von <package>base-passwd</package> vergeben, eine Liste der statischen Benutzern in Debian finden Sie bei <ref id="faq-os-users">) und dynamisches UIDs, die in einem zugewiesenen Bereich liegen.

note: type: <p></p>
en: In the first case, you need to ask for a user or group id to the <package>base-passwd</package>. Once the user is available there the package needs to be distributed including a proper versioned depends to the <package>base-passwd</package> package.
de: Im ersten Fall müssen Sie mit <package>base-passwd</package> eine Benutzer- oder Gruppen-ID erstellen. Wenn der Benutzer verfügbar ist, muss das Paket, das Sie anbieten möchten, eine Abhängigkeit vom Paket <package>base-passwd</package> enthalten.

note: type: <p></p>
en: In the second case, you need to create the system user either in the <em>preinst</em> or in the <em>postinst</em> and make the package depend on <tt>adduser (>= 3.11)</tt>.
de: Im zweiten Fall müssen Sie den Systembenutzer entweder <em>preinst</em> oder <em>postinst</em> erstellen und dafür sorgen, dass das Paket von <tt>adduser (>= 3.11)</tt> abhängt.

note: type: <p><example>
en: The following example code creates the user and group the daemon will run as when the package is installed or upgraded:
de: Im folgenden Programmbeispiel soll gezeigt werden, wie der Benutzer oder Gruppe, mit deren Rechten der Daemon laufen wird, bei der Installation oder Aktualisierung des Pakets erstellt wird.

note: type: <p><list>
en: You have to make sure that the init.d script file:
de: Außerdem müssen Sie für das init.d-Skript sicherstellen,

note: type: <p></p>
en: Starts the daemon dropping privileges: if the software does not do the <manref name="setuid" section="2"> or <manref name="seteuid" section="2"> call itself, you can use the <tt>--chuid</tt> call of <prgn>start-stop-daemon</prgn>.
de: dass der Daemon beim Starten seine Rechte ablegt: Wenn die Software nicht selbst den <manref name="setuid" section="2"> oder <manref name="seteuid" section="2"> Aufruf absetzt, sollten Sie die Option <tt>--chuid</tt> für <prgn>start-stop-daemon</prgn> verwenden.

note: type: <p></p>
en: Stops the daemon only if the user id matches, you can use the <prgn>start-stop-daemon</prgn> <tt>--user</tt> option for this.
de: dass der Daemon nur angehalten wird, wenn die Benutzer-IDs übereinstimmen. Dafür ist die Option <tt>--user</tt> von <prgn>start-stop-daemon</prgn> hilfreich.

note: type: <p><example>
en: Does not run if either the user or the group do not exist:
de: dass der Daemon nicht gestartet wird, wenn sein Benutzer oder Gruppe nicht existiert:

note: type: <p></p>
en: If the package creates the system user it can remove it when it is purged in its <em>postrm</em>. This has some drawbacks, however. For example, files created by it will be orphaned and might be taken over by a new system user in the future if it is assigned the same uid<footnote><p>Some relevant threads discussing these drawbacks include <url id="http://lists.debian.org/debian-mentors/2004/10/msg00338.html"> and <url id="http://lists.debian.org/debian-devel/2004/05/msg01156.html"></p></footnote>. Consequently, removing system users on purge is not yet mandatory and depends on the package needs. If unsure, this action could be handled by asking the administrator for the prefered action when the package is installed (i.e. through <prgn>debconf</prgn>).
de: Wenn das Paket einen Systembenutzer erstellt, kann er wieder in <em>postrm</em> entfernt werden, wenn das Paket vollständig gelöscht wird (purge). Dabei gibt es allerdings einen Nachteil. Zum Beispiel werden Dateien, die von dem Benutzer des Daemons erstellt wurden, benutzerlos und können später einem neuen Benutzer gehören, dem die gleiche UID zugewiesen wurde <footnote><p>Interessante Diskussionen zu diesem Thema finden sich in <url id="http://lists.debian.org/debian-mentors/2004/10/msg00338.html"> und <url id="http://lists.debian.org/debian-devel/2004/05/msg01156.html">.</footnote>. Daher ist nicht zwingend notwendig, dass Benutzer beim vollständigen Löschen eines Pakets entfernt werden. Dies hängt vielmehr vom jeweiligen Paket ab. Im Zweifelsfall sollte der Administrator gefragt werden (mit <prgn>debconf</prgn>), was passieren soll, wenn ein Paket gelöscht wird.

note: type: <p><example>
en: The following example code<footnote><p>This might eventually be introduced as a <prgn>dh_adduser</prgn> in debhelper. See <url id="http://bugs.debian.org/81697" name="#81967">, <url id="http://bugs.debian.org/291177" name="#291177"> and <url id="http://bugs.debian.org/118787" name="#118787">.</p></footnote> removes the user and groups created before only, and only if, the uid is in the range of dynamic assigned system uids and the gid is belongs to a system group:
de: Sehen Sie sich folgenden Code an <footnote><p>Unter Umständen wird er als <prgn>dh_adduser</prgn> in debhelper enthalten sein. Sehen Sie sich dazu <url id="http://bugs.debian.org/81697" name="#81967">, <url id="http://bugs.debian.org/291177" name="#291177"> und <url id="http://bugs.debian.org/118787" name="#118787"> an.</p></footnote>, der zuvor erstellte Benutzer und Gruppen entfernt. Dies geschieht aber nur dann, wenn die UID im Bereich der dynamisch zugewiesenen System-UIDs liegt und die GID einer Systemgruppe angehört:

note: type: <p></p>
en: Running programs with a user with limited privileges makes sure that any security issue will not be able to damage the full system. It also follows the principle of <em>least privilege</em>. Also consider you can limit privileges in programs through other mechanisms besides running as non-root<footnote><p>You can even provide a SELinux policy for it</p></footnote>. For more information, read the <url id="http://www.dwheeler.com/secure-programs/Secure-Programs-HOWTO/minimize-privileges.html" name="Minimize Privileges"> chapter of the <em>Secure Programming for Linux and Unix HOWTO</em> book.
de: Wenn ein Programm unter einem Benutzer mit beschränkten Rechten läuft, wird sichergestellt, dass Sicherheitsprobleme nicht das gesamte System beschädigen können. Dieses Vorgehen beachtet auch das Prinzip der <em>geringst möglichen Privilegien</em>. Denken Sie daran, dass Sie die Rechte eines Programms auch noch durch andere Methoden als beschränkte Benutzerrechte weiter einschränken können <footnote><p>Sie können sogar eine SELinux-Richtlinie erstellen.</p></footnote>.  Weitere Informationen finden Sie im Abschnitt <url id="http://www.dwheeler.com/secure-programs/Secure-Programs-HOWTO/minimize-privileges.html" name="Minimize Privileges"> des Buchs <em>Secure Programming for Linux and Unix HOWTO</em>.

note: type: <heading></heading>
en: Before the compromise
de: Vor der Kompromittierung

note: type: <heading></heading>
en: Keep your system secure
de: Halten Sie Ihr System sicher

note: type: <p></p>
en: You should strive to keep your system secure by monitoring its usage and also the vulnerabilities that might affect it, patching them as soon as patches are available. Even though you might have installed a really secure system initially you have to remember that security in a system degrades with time, security vulnerabilities might be found for exposed system services and users might expose the system security either because of lack of understanding (e.g. accessing a system remotely with a clear-text protocol or using easy to guess passwords) or because they are actively trying to subvert the system's security (e.g. install additional services locally on their accounts).
de: Sie sollten bestrebt sein, Ihr System sicher zu halten, indem Sie seine Verwendung und die es betreffenden Verwundbarkeiten im Auge behalten. Sobald Patches verfügbar sind, sollte Sie diese einspielen. Denn auch wenn Sie zu Beginn ein sehr sicheres System eingerichtet haben, sollten Sie daran denken, dass die Sicherheit eines Systems mit der Zeit nachlässt. Das liegt daran, dass Sicherheitslücken in Systemdiensten entdeckt werden können. Außerdem können Benutzer die Sicherheit untergraben, wenn ihnen das notwendige Verständnis fehlt (z.B. wenn sie aus der Ferne auf ein System mit einem Klartextpasswort oder einem einfach zu erratenden Passwort zugreifen) oder gar weil sie aktiv versuchen, die Sicherheit des Systems auszuschalten (indem sie z.B. zusätzliche Dienste lokal in ihren Konten installieren).

note: type: <heading></heading>
en: Tracking security vulnerabilities
de: Beobachtung von Sicherheitslücken

note: type: <p></p>
en: Although most administrators are aware of security vulnerabilities affecting their systems when they see a patch that is made available you can strive to keep ahead of attacks and introduce temporary countermeasures for security vulnerabilities by detecting when your system is vulnerable. This is specially true when running an exposed system (i.e. connected to the Internet) and providing a service. In such case the system's administrators should take care to monitor known information sources to be the first to know when a vulnerability is detected that might affect a critical service.
de: Die meisten Administratoren werden sich Sicherheitslücken, die ihr System betreffen, bewusst, wenn sie den dazugehörigen Patch sehen. Sie können aber Angriffen schon im Vorfeld begegnen und vorübergehende Abwehrmaßnahmen einleiten, sobald Sie festgestellt haben, dass Ihr System verwundbar ist. Dies gilt besonders für exponierte Systeme (die also mit dem Internet verbunden sind), die Dienste anbieten. In diesem Fall sollte der Systemadministrator einen Blick auf die bekannten Informationsquellen werfen, um als erster zu wissen, wenn eine Sicherheitslücke für einen kritischen Dienst entdeckt wird.

note: type: <p></p>
en: This typically includes subscribing to the announcement mailing lists, project websites or bug tracking systems provided by the software developers for a specific piece of code. For example, Apache users should regularly review Apache's <url id="http://httpd.apache.org/security_report.html" name="lists of security vulnerabilities"> and subscribe to the <url id="http://httpd.apache.org/lists.html#http-announce" name="Apache Server Announcements"> mailing list.
de: Typischerweise abonniert man eine Mailingliste für Ankündigungen und beobachtet Webseiten oder Fehlerverfolgungssysteme der Software-Entwickler eines bestimmten Programms. So sollten beispielsweise Apache-Benutzer regelmäßig Apaches <url id="http://httpd.apache.org/security_report.html" name="Auflistung von Sicherheitslücken"> durchsehen und die Mailingliste <url id="http://httpd.apache.org/lists.html#http-announce" name="Ankündigungen für den Apache-Server"> abonnieren.

note: type: <p></p>
en: In order to track known vulnerabilities affecting the Debian distribution, the Debian Testing Security Team provides a <url id="http://security-tracker.debian.net/" name="security tracker"> that lists all the known vulnerabilities which have not been yet fixed in Debian packages. The information in that tracker is obtained through different public channels and includes known vulnerabilities which are available either through security vulnerability databases or <url id="http://www.debian.org/Bugs/" name="Debian's Bug Tracking system">. Administrators can search for the known security issues being tracked for <url id="http://security-tracker.debian.net/tracker/status/release/stable" name="stable">, <url id="http://security-tracker.debian.net/tracker/status/release/oldstable" name="oldstable">, <url id="http://security-tracker.debian.net/tracker/status/release/testing" name="testing">, or <url id="http://security-tracker.debian.net/tracker/status/release/unstable" name="unstable">.
de: Um bekannte Sicherheitslücken, die die Debian-Distribution betreffen, zu verfolgen, bietet das Testing-Security-Team von Debian einen <url id="http://security-tracker.debian.net/" name="Sicherheitstracker"> an. Dieser führt alle bekannten Sicherheitslücken auf, die in Paketen von Debian noch nicht ausgebessert wurden. Die Informationen im Tracker stammen aus öffentlich zugänglichen Quellen. Dazu zählen Datenbanken über Sicherheitslücken und die <url id="http://www.debian.org/Bugs/" name="Fehlerdatenbank von Debian">. Administratoren können nach bekannten Sicherheitsmängeln für <url id="http://security-tracker.debian.net/tracker/status/release/stable" name="Stable">, <url id="http://security-tracker.debian.net/tracker/status/release/oldstable" name="Oldstable">, <url id="http://security-tracker.debian.net/tracker/status/release/testing" name="Testing"> oder <url id="http://security-tracker.debian.net/tracker/status/release/unstable" name="Unstable"> suchen.

note: type: <p></p>
en: The tracker has searchable interfaces (by <url id="http://cve.mitre.org/" name="CVE"> name and package name) and some tools (such as <package>debsecan</package>, see <ref id="debsecan">) use that database to provide information of vulnerabilities affecting a given system which have not yet been addressed (i.e. those who are pending a fix).
de: Der Tracker kann mittels einer Benutzerschnittstelle durchsucht werden (nach <url id="http://cve.mitre.org/" name="CVE">-Namen und dem Paketnamen). Einige Werkzeuge (wie zum Beispiel <package>debsecan</package>, vgl. <ref id="debsecan">) setzen diese Datenbank ein, um auf Verwundbarkeiten des betreffenden Systems hinzuweisen, die noch nicht ausgebessert wurden (d.h. für die eine Ausbesserung bevorsteht).

note: type: <p></p>
en: Concious administrators can use that information to determine which security bugs might affect the system they are managing, determine the severity of the bug and apply (if available) temporary countermeasures before a patch is available fixing this issue.
de: Sicherheitsbewusste Administratoren können mit diesen Informationen feststellen, welche Sicherheitslücken das System, das sie verwalten, betreffen könnten, wie schwer das Risiko der Lücke wiegt und ob vorübergehend Gegenmaßnahmen zu treffen sind (falls möglich), bis ein Patch verfügbar ist, der das Problem löst.

note: type: <p></p>
en: Security issues tracked for releases supported by the Debian Security Team should eventually be handled through Debian Security Advisories (DSA) and will be available for all users (see <ref id="keep-up-to-date">). Once security issues are fixed through an advisory they will not be available in the tracker, but you will be able to search security vulnerabilities (by CVE name) using the <url id="http://www.debian.org/security/crossreferences" name="security cross references table"> available for published DSAs.
de: Sicherheitsprobleme in Veröffentlichungen, die vom Sicherheitsteam von Debian unterstützt werden, sollten irgendwann in Debian-Sicherheits-Ankündigungen (DSA) behandelt werden, die allen Benutzern zur Verfügung gestellt werden (vergleiche <ref id="keep-up-to-date">). Sobald ein Sicherheitsproblem ausgebessert wurde und die Lösung in einer Ankündigung enthalten ist, wird es nicht mehr im Tracker aufgeführt. Sie können es aber immer noch mit einer Suchanfrage (nach dem CVE-Namen) finden, indem Sie <url id="http://www.de.debian.org/security/crossreferences" name="Querverweise für Debian-Sicherheits-Ankündigungen"> verwenden.

note: type: <p></p>
en: Notice, however, that the information tracked by the Debian Testing Security Team only involves disclosed vulnerabilities (i.e. those already public). In some occasions the Debian Security Team might be handling and preparing DSAs for packages based on undisclosed information provided to them (for example, through closed vendor mailing lists or by upstream maintainers of software). So do not be surprised to find security issues that only show up as an advisory but never get to show up in the security tracker.
de: Beachten Sie aber, dass die Informationen im Tracker des Debian-Testing-Sicherheitsteams nur bekannte Sicherheitslücken (d.h. solche, die öffentlich sind) beinhalten. In einigen Fällen gibt das Debian-Sicherheitsteam DSA für Pakete heraus, die auf vertraulichen Informationen beruhen, die das Team erhalten hat (z.B. über nicht-öffentliche Mailinglisten der Distributionen oder von Programmautoren). Seien Sie also nicht überrascht, in Sicherheitsankündigungen Sicherheitsprobleme zu entdecken, die nicht im Tracker enthalten sind.

note: type: <heading></heading>
en: Continuously update the system
de: Fortlaufende Aktualisierung des Systems

note: type: <p></p>
en: You should conduct security updates frequently. The vast majority of exploits result from known vulnerabilities that have not been patched in time, as this <url id="http://www.cs.umd.edu/~waa/vulnerability.html" name="paper by Bill Arbaugh"> (presented at the 2001 IEEE Symposium on Security and Privacy) explains. Updates are described under <ref id="security-update">.
de: Sie sollten regelmäßig Sicherheitsaktualisierungen durchführen. Der ganz überwiegende Anteil der Exploits nutzt bekannte Sicherheitslücken aus, die nicht rechtzeitig ausgebessert wurden. Dies wird in der <url id="http://www.cs.umd.edu/~waa/vulnerability.html" name="Veröffentlichung von Bill Arbaugh"> dargestellt, die 2001 auf dem »IEEE Symposium on Security and Privacy« vorgestellt wurde. Das Durchführen einer Aktualisierung wird unter <ref id="security-update"> beschrieben.

note: type: <heading></heading>
en: Manually checking which security updates are available
de: Überprüfung von Hand, welche Sicherheitsaktualisierungen verfügbar sind

note: type: <p></p>
en: Debian does have a specific tool to check if a system needs to be updated but many users will just want to manually check if any security updates are available for their system.
de: Debian besitzt ein Werkzeug, um zu überprüfen, ob ein System aktualisiert werden muss. Viele Benutzer wollen aber einfach von Hand überprüfen, ob Sicherheitsaktualisierungen für ihr System zur Verfügung stehen.

note: type: <p><example>
en: If you have configured your system as described in <ref id="security-update"> you just need to do:
de: Wenn Sie Ihr System nach der Beschreibung unter <ref id="security-update"> eingerichtet haben, müssen Sie nur Folgendes tun:

note: type: <example></example>
en: # apt-get update
    # apt-get upgrade -s
    [ ... review packages to be upgraded ... ]
    # apt-get upgrade 
    # checkrestart
    [ ... restart services that need to be restarted ... ]
de: # apt-get update
    # apt-get upgrade -s
    [ ... überprüfen der zu aktualisierenden Pakete ... ]
    # apt-get upgrade 
    # checkrestart
    [ ... Neustart der Dienste, die neu gestartet werden müssen ... ]

note: type: <p></p>
en: And restart those services whose libraries have been updated if any. Note: Read <ref id="security-update"> for more information on library (and kernel) upgrades.
de: Weiter müssen alle Dienste, deren Bibliotheken aktualisiert wurden, neu gestartet werden. Hinweis: Lesen Sie <ref id="security-update"> für weitere Informationen zu Bibliotheks- (und Kernel-)Aktualisierungen.

note: type: <p><example>
en: The first line will download the list of packages available from your configured package sources. The <tt>-s</tt> will do a simulation run, that is, it will <em>not</em> download or install the packages but rather tell you which ones should be downloaded/installed. From the output you can derive which packages have been fixed by Debian and are available as a security update. Sample:
de: Die erste Zeile wird die Liste der verfügbaren Pakete von den festgelegten Paketquellen herunterladen. Die Option <tt>-s</tt> wird eine Simulation durchführen, d.h. es werden <em>keine</em> Pakete heruntergeladen oder installiert. Vielmehr teilt es Ihnen mit, welche heruntergeladen und installiert werden sollen. Durch dieses Ergebnis könnten Sie erfahren, welche Pakete von Debian ausgebessert wurden und als Sicherheitsaktualisierung verfügbar sind. Zum Beispiel:

note: type: <p></p>
en: In this example, you can see that the system needs to be updated with new <package>cvs</package> and <package>cupsys</package> packages which are being retrieved from <em>woody's</em> security update archive. If you want to understand why these packages are needed, you should go to <url id="http://security.debian.org"> and check which recent Debian Security Advisories have been published related to these packages. In this case, the related DSAs are <url id="http://www.debian.org/security/2003/dsa-233" name="DSA-233"> (for <package>cvs</package>) and <url id="http://www.debian.org/security/2003/dsa-232" name="DSA-232"> (for <package>cupsys</package>).
de: In diesem Beispiel können Sie erkennen, dass auf dem System <package>cvs</package> und <package>cupsys</package> mit neuen Versionen aus <em>Woodys</em> Sicherheitsarchiv aktualisiert werden müssen. Um herauszufinden, warum eine Aktualisierung notwendig ist, sollten Sie <url id="http://security.debian.org"> besuchen und sich ansehen, welche aktuellen Debian-Sicherheits-Ankündigungen zu diesen Paketen veröffentlicht wurden. In unserem Fall sind die zugehörigen DSA <url id="http://www.debian.org/security/2003/dsa-233" name="DSA-233"> (für <package>cvs</package>) und <url id="http://www.debian.org/security/2003/dsa-232" name="DSA-232"> (für <package>cupsys</package>).

note: type: <p></p>
en: Notice that you will need to reboot your system if there has been a kernel upgrade.
de: Hinweis: Sie werden Ihr System neustarten müssen, wenn der Kernel aktualisiert wurde.

note: type: <heading></heading>
en: Checking for updates at the Desktop
de: Überprüfung von Aktualisierungen auf dem Desktop

note: type: <p></p>
en: Since Debian 4.0 <em>lenny</em> Debian provides and installs in a default installation <package>update-notifier</package>. This is a GNOME application that will startup when you enter your Desktop and can be used to keep track of updates available for your system and install them. It uses <package>update-manager</package> for this.
de: Seit Debian 4.0 <em>Lenny</em> gibt es in Debian <package>update-notifier</package>, das in einer Standardinstallation installiert wird. Es ist eine GNOME-Anwendung, die beim Starten des Desktops mitgestartet wird. Sie kann geprüft, welche Aktualisierungen für Ihr System zur Verfügung stehen, und diese installieren. Dafür verwendet es <package>update-manager</package>.

note: type: <p></p>
en: In a stable system updates are only available when a security patch is available or at point releases. Consequently, if the system is properly configured to receive security updates as described in <ref id="security-update"> and you have a cron task running to update the package information you will be notified through an icon in the desktop notifcation area.
de: In dem Stable-Zweig gibt es Aktualisierungen nur zum Entfernen von Sicherheitsproblemen oder dann, wenn eine Zwischenveröffentlichung (point release) angeboten wird. Wenn das System richtig konfiguriert ist, um Sicherheitsaktualisierungen zu erhalten (wie in <ref id="security-update"> beschrieben), und Sie mit <prgn>cron</prgn> die Paketinformationen aktualisieren, werden Sie durch ein Desktop-Symbol in dem Benachrichtigungsbereich des Desktops über Aktualisierungen informiert werden.

note: type: <p></p>
en: The notification is not intrusive and users are not forced to install updates. From the notification icon a desktop user (with the administrator's password) can access a simple GUI to show available updates and install them.
de: Diese Benachrichtigung ist nicht aufdringlich und zwingt den Benutzer nicht dazu, die Aktualisierungen zu installieren. Über das Symbol kann der Desktop-Benutzer (mit dem Passwort des Systemadministrators) zu einer einfachen graphischen Benutzeroberfläche gelangen, um sich die verfügbaren Aktualisierungen anzeigen zu lassen und zu installieren.

note: type: <p></p>
en: This application works by checking the package database and comparing the system with its contents. If the package database is updated periodically through a <prgn>cron</prgn> task then the contents of the database will be newer than the packages installed in the system and the application will notify you.
de: Diese Anwendung arbeitet damit, dass sie die Paketdatenbank abruft und ihren Inhalt mit dem System vergleicht. Wenn die Datenbank regelmäßig mit <prgn>cron</prgn> aktualisiert wird, ist ihr Inhalt aktueller als die auf dem System installierten Pakete, worauf die Anwendung Sie hinweisen wird.

note: type: <p></p>
en: <prgn>Apt</prgn> installs such a task (<file>/etc/cron.d/apt</file>) which will run based on Apt's configuration (more specifically <em>APT::Periodic</em>). In the GNOME environment this configuration value can be adjusted by going to System &gt; Admin &gt; Software origins &gt; Updates, or running <prgn>/usr/bin/software-properties</prgn>.
de: <prgn>Apt</prgn> richtet eine solche Aufgabe ein (<file>/etc/cron.d/apt</file>), die abhängig von der Konfiguration von Apt ausgeführt wird (genauer gesagt je nach <em>APT::Periodic</em>). In der GNOME-Umgebung kann dieser Wert über System &gt; Admin &gt; Software origins &gt; Updates oder mit <prgn>/usr/bin/software-properties</prgn> geändert werden. <!-- SB(20140124): Wie heißen die Menüeinträge auf Deutsch? -->

note: type: <p><example>
en: If the system is set to download the packages list daily but not download the packages themselves your <file>/etc/apt/apt.conf.d/10periodic</file> should look like this:
de: Wenn Ihr System täglich die Paketliste herunterladen soll, aber nicht die Pakete selbst, sollte <file>/etc/apt/apt.conf.d/10periodic</file> etwa so aussehen:

note: type: <p></p>
en: You can use a different cron task, such as the one installed by <package>cron-apt</package> (see <ref id="cron-apt">). You can also just manually check for upgrades using this application.
de: Sie können auch eine andere cron-Aufgabe verwenden, z.B. die von <package>cron-apt</package> installierte (vgl. <ref id="cron-apt">). Damit können Sie auch nur per Hand nach Aktualisierungen suchen.

note: type: <p></p>
en: Users of the KDE desktop environment will probably prefer to install <package>adept</package> and <package>adept-notifier</package> instead which offers a similar functionality but is not part of the standard installation.
de: Benutzer der KDE-Umgebung sollten stattdessen <package>adept</package> und <package>adept-notifier</package> installieren, die vergleichbare Funktionen anbieten, aber nicht in der Standardinstallation enthalten sind.

note: type: <heading></heading>
en: Automatically checking for updates with cron-apt
de: Automatisches Überprüfung von Aktualisierungen mit cron-apt

note: type: <p></p>
en: Another method for automatic security updates is the use of <package>cron-apt</package>. This package provides a tool to update the system at regular intervals (using a cron job), and can also be configured to send mails to the system administrator using the local mail transport agent. It will just update the package list and download new packages by default but it can be configured to automatically install new updates.
de: Eine andere Methode für automatische Sicherheitsaktualisierungen ist <package>cron-apt</package>. Dieses Paket stellt ein Werkzeug zur Verfügung, mit dem das System in regelmäßigen Abständen (mit einem Cronjob) aktualisiert wird. Es kann so konfiguriert werden, dass es E-Mails mit dem lokalen Mail-Transport-Agent an den Systemadministrator schickt. Standardmäßig wird es nur die Paketliste aktualisieren und neue Pakete herunterladen. Es kann aber so konfiguriert werden, dass es automatisch Aktualisierungen installiert.

note: type: <p></p>
en: Notice that you might want to check the distribution release, as described in <ref id="check-releases">, if you intend to automatically updated your system (even if only downloading the packages). Otherwise, you cannot be sure that the downloaded packages really come from a trusted source.
de: Hinweis: Wenn Sie vorhaben, Ihr System automatisch zu aktualisieren (auch wenn Sie sich nur die Pakete herunterladen), sollten Sie sich vielleicht die Distributionsveröffentlichung ansehen, wie in <ref id="check-releases"> beschrieben wird. Anderenfalls können Sie sich nicht sicher sein, dass die heruntergeladenen Pakete wirklich aus einer vertrauenswürdigen Quelle stammen.

note: type: <p></p>
en: More information is available at the <url id="http://www.debian-administration.org/articles/162" name="Debian Administration site">.
de: Weitere Informationen finden Sie auf der <url id="http://www.debian-administration.org/articles/162" name="Debian-Administration-Site">.

note: type: <heading></heading>
en: Automatically checking for security issues with debsecan
de: Automatisches Überprüfung von Aktualisierungen mit debsecan

note: type: <p></p>
en: The <prgn>debsecan</prgn> program evaluates the security status of by reporting both missing security updates and security vulnerabilities. Unlike <package>cron-apt</package>, which only provides information related to security updates available, but this tool obtains information from the security vulnerability database maintained by the Debian Security Team which includes also information on vulnerabilities which are not yet fixed through a security update. Consequently, it is more efficient at helping administrators track security vulnerabilities (as described in <ref id="track-vulns">).
de: Das Programm <prgn>debsecan</prgn> ermittelt den Sicherheitsstatus, indem es sowohl nicht installierte Sicherheitsaktualisierungen als auch Sicherheitslücken meldet. Im Gegensatz zu <package>cron-apt</package>, das nur Informationen zu verfügbaren Sicherheitsaktualisierungen bereitstellt, bezieht dieses Werkzeug auch Informationen von der Datenbank über Sicherheitslücken, die von Debians Sicherheitsteam verwaltet wird. Darin befinden sich auch Informationen über Lücken, die noch nicht durch eine Sicherheitsaktualisierung geschlossen wurden. Daher kann es Administratoren besser helfen, Sicherheitslücken im Blick zu behalten (wie unter <ref id="track-vulns"> beschrieben).

note: type: <p></p>
en: Upon installing the Debian package <package>debsecan</package>, and if the administrator consents to it, it will generate a cron task that will make it run and send the output to a specific user whenever it finds a vulnerable package. It will also download the information from the Internet. The location of the security database is also part of the questions ask on installation and are later defined <file>/etc/default/debsecan</file>, it can be easily adjusted for systems that do not have Internet access so that they all pull from a local mirror so that there is a single point that access the vulnerability database.
de: Nach der Installation des Debian-Pakets <package>debsecan</package> wird es mit Zustimmung des Administrators eine cron-Aufgabe erstellen, die das Programm aufruft und das Ergebnis an einen bestimmten Benutzer schickt, wenn sie ein verwundbares Paket findet. Sie wird auch Informationen aus dem Internet laden. Bei der Installation wird auch nach dem Ort der Sicherheitsdatenbank gefragt, dieser wird in <file>/etc/default/debsecan</file> gespeichert. Er kann leicht so angepasst werden, damit Systeme ohne Internetzugang auf einen lokale Spiegelserver zugreifen können und nur dieser mit der Sicherheitsdatenbank verbunden sein muss.

note: type: <p></p>
en: Notice, however, that the Security Team tracks many vulnerabilities including low-risk issues which might not be fixed through a security update and some vulnerabilities initially reported as affecting Debian might, later on, upon investigation, be dismissed. <prgn>Debsecan</prgn> will report on all the vulnerabilities, which makes it a quite more verbose than the other tools described above.
de: Beachten Sie jedoch, dass das Sicherheitsteam viele Verwundbarkeiten aufführt, die (wie risikoarme Probleme) nicht mit einer Sicherheitsaktualisierung ausgebessert werden oder bei denen sich später herausstellt, dass sie, anders als zunächst angenommen, Debian nicht betreffen. <prgn>Debsecan</prgn> wird alle Verwundbarkeiten melden, wodurch diese Meldungen deutlich umfangreicher werden als bei den anderen beschriebenen Werkzeugen.

note: type: <p></p>
en: More information is available at the <url id="http://www.enyo.de/fw/software/debsecan/" name="author's siste">.
de: Weitere Informationen finden Sie auf der <url id="http://www.enyo.de/fw/software/debsecan/" name="Site des Autors">.

note: type: <heading></heading>
en: Other methods for security updates
de: Andere Methoden für Sicherheitsaktualisierungen

note: type: <p></p>
en: There is also the <package>apticron</package>, which, similarly to <package>cron-apt</package> will check for updates and send mails to the administrator. More information on apticron is available at the <url id="http://www.debian-administration.org/articles/491" name="Debian Administration site">.
de: Es gibt auch <package>apticron</package>, das ähnlich wie <package>cron-apt</package> nach Aktualisierungen sucht und eine E-Mail an den Administrator schickt. Weitere Informationen über apticron finden Sie auf der <url id="http://www.debian-administration.org/articles/491" name="Site über Debian-Administration">.

note: type: <p></p>
en: You might also want to take a look at <url id="http://clemens.endorphin.org/secpack/" name="secpack"> which is an unofficial program to do security updates from security.debian.org with signature checking written by Fruhwirth Clemens. Or to the Nagios Plugin <url id="http://www.unixdaemon.net/nagios_plugins.html#check_debian_packages" name="check_debian_updates.sh"> written by Dean Wilson.
de: Sie können auch einen Blick auf <url id="http://clemens.endorphin.org/secpack/" name="secpack"> werfen. Es ist ein inoffizielles Programm, um Sicherheitsaktualisierungen von security.debian.org mit Prüfung der Signatur durchzuführen. Es wurde von Fruhwirth Clemens geschrieben. Eine weitere Alternative bietet die Nagios-Erweiterung <url id="http://www.unixdaemon.net/nagios_plugins.html#check_debian_packages" name="check_debian_updates.sh"> von Dean Wilson.

note: type: <heading></heading>
en: Avoid using the unstable branch
de: Vermeiden Sie den Unstable-Zweig

note: type: <p></p>
en: Unless you want to dedicate time to patch packages yourself when a vulnerability arises, you should <em>not</em> use Debian's unstable branch for production-level systems. The main reason for this is that there are no security updates for <em>unstable</em> (see <ref id="sec-unstable">).
de: Falls Sie nicht Zeit darauf verwenden wollen, selbst Pakete zu patchen, wenn Verwundbarkeiten entdeckt werden, sollten Sie auf produktiven Systemen <em>nicht</em> Debians Unstable-Zweig einsetzen. Der Hauptgrund dafür ist, dass es für <em>Unstable</em> keine Sicherheitsaktualisierungen gibt (siehe <ref id="sec-unstable">).

note: type: <p></p>
en: The fact is that some security issues might appear in unstable and <em>not</em> in the <em>stable</em> distribution. This is due to new functionality constantly being added to the applications provided there, as well as new applications being included which might not yet have been thoroughly tested.
de: Es ist eine Tatsache, dass manche Sicherheitsprobleme nur in Unstable auftreten und <em>nicht</em> in <em>Stable</em>. Das rührt daher, dass dort ständig neue Funktionen zu den Anwendungen hinzugefügt werden und auch neue Anwendungen aufgenommen werden, die unter Umständen noch nicht vollständig getestet wurden.

note: type: <p></p>
en: In order to do security upgrades in the <em>unstable</em> branch, you might have to do full upgrades to new versions (which might update much more than just the affected package). Although there have been some exceptions, security patches are usually only back ported into the <em>stable</em> branch. The main idea being that between updates, <em>no new code</em> should be added, just fixes for important issues.
de: Um im <em>Unstable</em>-Zweig Sicherheitsaktualisierungen durchzuführen, müssen Sie unter Umständen eine vollständige Aktualisierung mit einer neuen Version durchführen (was viel mehr als nur das betroffene Pakete aktualisieren könnte). Sicherheitsaktualisierungen wurden &ndash; mit Ausnahmen &ndash; nur in den <em>Stable</em>-Zweig zurückportiert. Die Grundidee ist, dass mit Sicherheitsaktualisierungen <em>kein neuer Code</em> hinzugefügt werden sollte, sondern nur wichtige Probleme beseitigt werden.

note: type: <p></p>
en: Notice, however, that you can use the security tracker (as described in <ref id="track-vulns">) to track known security vulnerabilities affecting this branch.
de: Denken Sie daran, dass Sie allerdings den Sicherheitstracker verwenden können (wie unter <ref id="track-vulns"> beschrieben), um bekannte Sicherheitsprobleme für diesen Zweig nachzuvollziehen.

note: type: <heading></heading>
en: Security support for the testing branch
de: Sicherheitsunterstützung für den Testing-Zweig

note: type: <p><list>
en: If you are using the <em>testing</em> branch, there are some issues that you must take into account regarding the availability of security updates:
de: Wenn Sie den <em>Testing</em>-Zweig verwenden, müssen Sie einige Problemkreise hinsichtlich der Verfügbarkeit von Sicherheitsaktualisierungen in Betracht ziehen:

note: type: <p></p>
en: When a security fix is prepared, the Security Team backports the patch to <em>stable</em> (since stable is usually some minor or major versions behind). Package maintainers are responsible for preparing packages for the <em>unstable</em> branch, usually based on a new upstream release. Sometimes the changes happen at nearly the same time and sometimes one of the releases gets the security fix before. Packages for the <em>stable</em> distribution are more thoroughly tested than <em>unstable</em>, since the latter will in most cases provide the latest upstream release (which might include new, unknown bugs).
de: Wenn eine Sicherheitslücke geschlossen wurde, portiert das Sicherheitsteam den Patch nach <em>Stable</em> zurück (da Stable normalerweise einige Minor- oder Majorversionen zurückliegt). Die Paketbetreuer sind dafür verantwortlich, Pakete für den <em>Unstable</em>-Zweig vorzubereiten. Grundlage dafür ist normalerweise eine neue Veröffentlichung des Originalprogramms. Manchmal ereignen sich die Änderungen fast zur selben Zeit und manchmal enthält eine der Veröffentlichungen eine Ausbesserung einer Sicherheitslücke vor einer anderen. Pakete in <em>Stable</em> werden gründlicher getestet als die in <em>Unstable</em>, da letztere in den meisten Fällen die neueste Veröffentlichung des Originalprogramms enthält (welches neue, unbekannte Fehler enthalten könnte).

note: type: <p></p>
en: Security updates are available for the <em>unstable</em> branch usually when the package maintainer makes a new package and for the <em>stable</em> branch when the Security Team make a new upload and publish a DSA. Notice that neither of these change the <em>testing</em> branch.
de: Gewöhnlich sind Sicherheitsaktualisierungen für den <em>Unstable</em>-Zweig verfügbar, wenn der Paketbetreuer ein neues Paket baut, und für den <em>Stable</em>-Zweig, wenn das Security Team eine neue Version hochlädt und ein DSA veröffentlicht. Beachten Sie, dass beides nicht des <em>Testing</em>-Zweig verändert.

note: type: <p></p>
en: If no (new) bugs are detected in the <em>unstable</em> version of the package, it moves to <em>testing</em> after several days. The time this takes is usually ten days, although that depends on the upload priority of the change and whether the package is blocked from entering <em>testing</em> by its dependency relationships. Note that if the package is blocked from entering testing the upload priority will not change the time it takes to enter.
de: Wenn keine (neuen) Fehler in der <em>Unstable</em>-Version des Pakets entdeckt werden, wandert es nach ein paar Tagen nach <em>Testing</em>. Das dauert normalerweise zehn Tage. Es hängt allerdings von der Priorität des Hochladens der Veränderung ab und davon, ob das Paket von <em>Testing</em> zurückgehalten wird, da Abhängigkeiten nicht aufgelöst werden können. Beachten Sie, dass wenn das Paket daran gehindert ist, nach Testing zu wandern, auch die Priorität des Hochladens daran nichts ändern kann.

note: type: <p></p>
en: This behavior might change based on the release state of the distribution. When a release is almost imminent, the Security Team or package maintainers might provide updates directly to testing.
de: Dieses Verhalten könnte sich je nach dem Status der Veröffentlichung der Distribution verändern. Wenn eine Veröffentlichung unmittelbar bevorsteht, werden auch das Sicherheitsteam oder die Paketbetreuer direkt Aktualisierungen für Testing zur Verfügung stellen.

note: type: <p></p>
en: Additionally, the <url id="http://secure-testing-master.debian.net" name="Debian Testing Security Team"> can issue Debian Testing Security Advisories (DTSAs) for packages in the <em>testing</em> branch if there is an inmediate need to fix a security issue in that branch and cannot wait for the normal procedure (or the normal procedure is being blocked by some other packages).
de: Zusätzlich kann auch das <url id="http://secure-testing-master.debian.net" name="Debian-Testing-Sicherheitsteam"> Debian-Testing-Sicherheitsankündigungen (DTSA) für Pakete im Testing-Zweig herausgeben, wenn sofort eine Lücke in diesem Zweig geschlossen werden muss und die normale Vorgehensweise nicht abgewartet werden kann (oder die übliche Vorgehensweise durch andere Pakete blockiert ist).

note: type: <p><example>
en: Users willing to take advantage of this support should add the following lines to their <file>/etc/apt/sources.list</file> (instead of the lines described in <ref id="security-update">):
de: Benutzer, die von diesem Angebot Gebrauch machen wollen, müssen folgende Zeilen ihrer <file>/etc/apt/sources.list</file> (anstatt der Zeilen, die unter <ref id="security-update"> dargestellt wurden) hinzufügen:

note: type: <example></example>
en:     deb http://security.debian.org testing/updates main contrib non-free
    # This line makes it possible to donwload source packages too
        deb-src  http://security.debian.org testing/updates main contrib non-free
de:     deb http://security.debian.org testing/updates main contrib non-free
    # Diese Zeile macht es möglich, auch Quellpakete herunterzuladen
        deb-src  http://security.debian.org testing/updates main contrib non-free

note: type: <p></p>
en: For additional information on this support please read the <url id="http://lists.debian.org/debian-devel-announce/2006/05/msg00006.html" name="announcement">. This support officially started in <url id="http://lists.debian.org/debian-devel-announce/2005/09/msg00006.html" name="September 2005"> in a separate repository and was later integrated into the main security archive.
de: Für weitere Informationen zu diesem Angebot können Sie die entsprechende <url id="http://lists.debian.org/debian-devel-announce/2006/05/msg00006.html" name="Ankündigung"> lesen. Dieses Angebot startete offiziell im <url id="http://lists.debian.org/debian-devel-announce/2005/09/msg00006.html" name="September 2005"> als zusätzliches Paketdepot und wurde später in das allgemeine Sicherheitsarchiv integriert.

note: type: <heading></heading>
en: Automatic updates in a Debian GNU/Linux system
de: Automatische Aktualisierungen in einem Debian GNU/Linux System

note: type: <p></p>
en: First of all, automatic updates are not fully recommended, since administrators should review the DSAs and understand the impact of any given security update.
de: Es sei vorweggeschickt, dass automatische Aktualisierungen nicht vollständig empfohlen werden, da Administratoren die DSAs durchsehen und die Bedeutung einer bestimmten Sicherheitsaktualisierung verstehen sollten.

note: type: <p><list>
en: If you want to update your system automatically you should:
de: Wenn Sie Ihr System automatisch aktualisieren wollen, sollten Sie Folgendes durchführen:

note: type: <p></p>
en: Configure <prgn>apt</prgn> so that those packages that you do not want to update stay at their current version, either with <prgn>apt</prgn>'s <em>pinning</em> feature or marking them as <em>hold</em> with <prgn>dpkg</prgn> or <prgn>dselect</prgn>.
de: Konfigurieren Sie <prgn>apt</prgn> so, dass Pakete, die Sie nicht aktualisieren wollen, ihrer momentane Version beibehalten. Das können Sie entweder mit einer Eigenschaft von <prgn>apt</prgn>, dem <em>pinning</em> (festheften), erreichen, oder Sie kennzeichnen sie mit <prgn>dpkg</prgn> oder <prgn>dselect</prgn> als <em>hold</em> (festgehalten).

note: type: <p><example>
en: To pin the packages under a given release, you must edit <file>/etc/apt/preferences</file> (see <manref name="apt_preferences" section="5">) and add:
de: Um Pakete einer bestimmten Veröffentlichung mit pinning festzuheften, müssen Sie <file>/etc/apt/preferences</file> bearbeiten (siehe <manref section="5" name="apt_preferences">) und Folgendes hinzufügen:

note: type: <p><example>
en: Either use <package>cron-apt</package> as described in <ref id="cron-apt"> and enable it to install downloaded packages or add a <prgn>cron</prgn> entry yourself so that the update is run daily, for example:
de: Entweder setzen Sie <package>cron-apt</package> ein, wie in <ref id="cron-apt"> beschrieben wird, und erlauben ihm, heruntergeladene Pakete zu installieren. Oder Sie fügen selbst einen Eintrag für <prgn>cron</prgn> hinzu, damit die Aktualisierung täglich ausgeführt wird. Ein Beispiel:

note: type: <p></p>
en: The <tt>-y</tt> option will have <prgn>apt</prgn> assume 'yes' for all the prompts that might arise during the update. In some cases, you might want to use the <tt>--trivial-only</tt> option instead of the <tt>--assume-yes</tt> (equivalent to <tt>-y</tt>).<footnote><p>You may also want to use the <tt>--quiet</tt> (<tt>-q</tt>) option to reduce the output of <prgn>apt-get</prgn>, which will stop the generation of any output if no packages are installed.</p></footnote>
de: Die Option <tt>-y</tt> veranlasst <prgn>apt</prgn>, für alle Fragen, die während der Aktualisierung auftreten können, »yes« anzunehmen. In manchen Fällen sollten Sie die Option <tt>--trivial-only</tt> (nur Bagatellen) der Option <tt>--assume-yes</tt> (ist gleichbedeutend mit <tt>-y</tt>) vorziehen.<footnote><p> Sie können auch die Option <tt>--quiet</tt> (<tt>-q</tt>) verwenden. Sie verringert die Ausgabe von <prgn>apt-get</prgn> und wird keine Ausgabe produzieren, wenn keine Pakete installiert werden. </p></footnote>

note: type: <p></p>
en: Configure <prgn>debconf</prgn> so no questions will be asked during upgrades, so that they can be done non-interactively. <footnote><p>Note that some packages might <em>not</em> use <prgn>debconf</prgn> and updates will stall due to packages asking for user input during configuration.</p></footnote>
de: Richten Sie <prgn>debconf</prgn> so ein, dass während der Aktualisierung keine Eingabe verlangt wird. Auf diese Weise können Aktualisierungen nicht-interaktiv durchgeführt werden.<footnote><p> Beachten Sie, dass einige Pakete <em>nicht</em> <prgn>debconf</prgn> verwenden könnten. Die Aktualisierung könnte dann hängen bleiben, da Pakete während ihrer Konfiguration Eingaben des Benutzers verlangen. </p></footnote>

note: type: <p></p>
en: Check the results of the <prgn>cron</prgn> execution, which will be mailed to the superuser (unless changed with <tt>MAILTO</tt> environment variable in the script).
de: Überprüfen Sie die Ergebnisse der Ausführung von <prgn>cron</prgn>, die an den Superuser gemailt werden (sofern nicht die Umgebungsvariable <tt>MAILTO</tt> im Skript geändert wurde).

note: type: <p></p>
en: A safer alternative might be to use the <tt>-d</tt> (or <tt>--download-only</tt>) option, which will download but not install the necessary packages. Then if the <prgn>cron</prgn> execution shows that the system needs to be updated, it can be done manually.
de: Eine sichere Alternative könnte es sein, die Option <tt>-d</tt> (oder <tt>--download-only</tt>) zu verwenden. Das hat zur Folge, dass die benötigten Pakete nur heruntergeladen, aber nicht installiert werden. Und wenn dann die Ausführung von <prgn>cron</prgn> zeigt, dass das System aktualisiert werden muss, kann das von Hand vorgenommen werden.

note: type: <p></p>
en: In order to accomplish any of these tasks, the system must be properly configured to download security updates as discussed in <ref id="security-update">.
de: Um diese Aufgaben zu erfüllen, muss das System korrekt konfiguriert sein, um Sicherheitsaktualisierungen herunterzuladen. Dies wurde in <ref id="security-update"> diskutiert.

note: type: <p></p>
en: However, this is not recommended for <em>unstable</em> without careful analysis, since you might bring your system into an unusable state if some serious bug creeps into an important package and gets installed in your system. <em>Testing</em> is slightly more <em>secure</em> with regard to this issue, since serious bugs have a better chance of being detected before the package is moved into the testing branch (although, you may have <em>no</em> security updates available whatsoever).
de: Allerdings wird dieses Vorgehen ohne eine genaue Analyse nicht für <em>Unstable</em> empfohlen, da Sie Ihr System in einen unbrauchbaren Zustand bringen können, wenn sich ein gravierender Fehler in ein wichtiges Paket eingeschlichen hat und auf Ihrem System installiert wird. <em>Testing</em> ist vor diesem Problem etwas besser <em>geschützt</em>, da gravierende Fehler eine bessere Chance haben entdeckt zu werden, bevor das Paket in den Testing-Zweig wandert (obwohl Ihnen trotzdem <em>keine</em> Sicherheitsaktualisierungen zur Verfügung stehen).

note: type: <p></p>
en: If you have a mixed distribution, that is, a <em>stable</em> installation with some packages updated to <em>testing</em> or <em>unstable</em>, you can fiddle with the pinning preferences as well as the <tt>--target-release</tt> option in <prgn>apt-get</prgn> to update <em>only</em> those packages that you have updated.<footnote><p>This is a common issue since many users want to maintain a stable system while updating some packages to <em>unstable</em> to gain the latest functionality. This need arises due to some projects evolving faster than the time between Debian's <em>stable</em> releases.</p></footnote>
de: Wenn Sie eine gemischte Distribution haben, also eine Installation von <em>Stable</em> mit einige Pakete aus <em>Testing</em> oder <em>Unstable</em>, können Sie mit den Pinning-Eigenschaften oder der Option <tt>--target-release</tt> von <prgn>apt-get</prgn> herumspielen, um <em>nur</em> die Pakete zu aktualisieren, die Sie früher aktualisiert haben.<footnote><p> Dies ist ein verbreitetes Problem, da viele Benutzer ein stabiles System betreiben wollen, aber einige Pakete aus <em>Unstable</em> einsetzen, um die neusten Funktionen zu haben. Das kommt daher, dass sich manche Projekte schneller entwickeln als die Veröffentlichungen von Debians <em>Stable</em>. </p></footnote>

note: type: <heading></heading>
en: Do periodic integrity checks
de: Regelmäßiges Überprüfung der Integrität

note: type: <p></p>
en: Based on the baseline information you generated after installation (i.e. the snapshot described in <ref id="snapshot">), you should be able to do an integrity check from time to time. An integrity check will be able to detect filesystem modifications made by an intruder or due to a system administrators mistake.
de: Mit Hilfe der Basisinformationen, die Sie nach der Installation erstellt haben (also mit dem Schnappschuss, der in <ref id="snapshot"> beschrieben wird), sollte es Ihnen möglich sein, von Zeit zu Zeit die Integrität des Systems zu überprüfen. Eine Integritätsprüfung kann Veränderungen am Dateisystem entdecken, die durch einen Eindringling oder einen Fehler des Systemadministrators entstanden sind.

note: type: <p></p>
en: Integrity checks should be, if possible, done offline.<footnote><p>An easy way to do this is using a Live CD, such as <url id="http://www.knoppix-std.org/" name="Knoppix Std"> which includes both the file integrity tools and the integrity database for your system.</p></footnote> That is, without using the operating system of the system to review, in order to avoid a false sense of security (i.e. false negatives) produced by, for example, installed rootkits. The integrity database that the system is checked against should also be used from read-only media.
de: Überprüfungen der Integrität sollen, wenn möglich, extern durchgeführt werden.<footnote><p> Ein leichter Weg, das ist tun, ist die Verwendung einer Live-CD wie <url id="http://www.knoppix-std.org/" name="Knoppix Std">, die sowohl die Programme zur Integritätsprüfung als auch die dazugehörige Datenbank enthält. </p></footnote> Das bedeutet, dass das Betriebssystem des überprüften Systems nicht verwendet wird, um den falschen Eindruck von Sicherheit (also falsche Negative) zu verhindern, der z.B. durch installierte Rootkits entstehen könnte. Die Datenbank, mit der das System verglichen wird, sollte sich daher auf einem nur-lesbaren Medium befinden.

note: type: <p></p>
en: You can consider doing integrity checks online using any of the filesystem integrity tools available (described in <ref id="check-integ">) if taking offline the system is not an option. However, precaution should be taken to use a read-only integrity database and also assure that the integrity checking tool (and the operating system kernel) has not been tampered with.
de: Falls der Einsatz einer externen Prüfung nicht möglich ist, sollten Sie in Betracht ziehen, die Integritätsprüfung mit den verfügbaren Werkzeugen zur Prüfung der Integrität des Dateisystem durchzuführen (wie unter <ref id="check-integ"> beschrieben). Allerdings sollten Vorsichtsmaßnahmen getroffen werden: Die Datenbank für die Integritätsprüfung sollte nur-lesbar sein und Sie sollten auch sicherstellen, dass das Programm, das die Integrität überprüft, (und der Kernel des Betriebssystems) nicht manipuliert wurde.

note: type: <p></p>
en: Some of the tools mentioned in the integrity tools section, such as <prgn>aide</prgn>, <prgn>integrit</prgn> or <prgn>samhain</prgn> are already prepared to do periodic reviews (through the crontab in the first two cases and through a standalone daemon in <prgn>samhain</prgn>) and can warn the administrator through different channels (usually e-mail, but <prgn>samhain</prgn> can also send pages, SNMP traps or syslog alerts) when the filesystem changes.
de: Einige Werkzeuge, die im Abschnitt über Programme zur Integritätsprüfung beschrieben wurden, wie z.B. <prgn>aide</prgn>, <prgn>integrit</prgn> und <prgn>samhain</prgn>, sind schon so eingerichtet, dass sie regelmäßige Nachprüfungen durchführen (mittels crontab in den ersten beiden Fällen und mittels eines eigenständigen Daemons bei <prgn>samhain</prgn>). Sie können den Administrator auf verschiedenen Wegen warnen (normalerweise E-Mail, aber <prgn>samhain</prgn> kann auch Seiten, SNMP-Traps oder einen Alarm an syslog schicken), wenn sich das Dateisystem verändert.

note: type: <p></p>
en: Of course, if you execute a security update of the system, the snapshot taken for the system should be re-taken to accommodate the changes done by the security update.
de: Wenn Sie eine Sicherheitsaktualisierung des System vorgenommen haben, müssen Sie natürlich den Schnappschuss des Systems neu aufzeichnen, um ihn an die Änderungen durch die Sicherheitsaktualisierung anzupassen.

note: type: <heading></heading>
en: Set up Intrusion Detection
de: Aufsetzen einer Eindringlingserkennung

note: type: <p></p>
en: Debian GNU/Linux includes tools for intrusion detection, which is the practice of detecting inappropriate or malicious activity on your local system, or other systems in your private network. This kind of defense is important if the system is very critical or you are truly paranoid. The most common approaches to intrusion detection are statistical anomaly detection and pattern-matching detection.
de: Debian GNU/Linux enthält Programme zur Erkennung von Eindringlingen. Das sind Programme, die unpassende oder bösartige Aktivitäten auf Ihrem lokalen System oder auf anderen System in Ihrem lokalen Netzwerk entdecken. Diese Art von Verteidigung ist wichtig, wenn das System sehr entscheidend ist oder Sie wirklich unter Verfolgungswahn leiden. Die gebräuchlichsten Herangehensweisen sind die statistische Entdeckung von Unregelmäßigkeiten und die Entdeckung bestimmter Muster.

note: type: <p></p>
en: Always be aware that in order to really improve the system's security with the introduction of any of these tools, you need to have an alert+response mechanism in place. Intrusion detection is a waste of time if you are not going to alert anyone.
de: Beachten Sie immer, dass Sie einen Alarm-und-Antwort-Mechanismus brauchen, um Ihre Systemsicherheit mit einer dieser Werkzeuge wirklich zu verbessern. Eindringlingserkennung ist Zeitverschwendung, wenn Sie niemanden alarmieren werden.

note: type: <p></p>
en: When a particular attack has been detected, most intrusion detection tools will either log the event with <prgn>syslogd</prgn> or send e-mail to the root user (the mail recipient is usually configurable). An administrator has to properly configure the tools so that false positives do not trigger alerts. Alerts may also indicate an ongoing attack and might not be useful, say, one day later, since the attack might have already succeeded. So be sure that there is a proper policy on handling alerts and that the technical mechanisms to implement this policy are in place.
de: Wenn ein bestimmter Angriff entdeckt worden ist, werden die meisten Programme zur Eindringlingserkennung entweder den Vorfall mit <prgn>syslog</prgn> protokollieren oder E-Mails an Root schicken (der Empfänger der E-Mails kann normalerweise eingestellt werden). Ein Administrator muss die Programme passend konfigurieren, so dass falsche Positivmeldungen keinen Alarm auslösen. Alarme können auf einen laufenden Angriff hindeuten und wären später &ndash; sagen wir mal am nächsten Tag &ndash; nicht mehr nützlich, da der Angriff dann bereits erfolgreich beendet worden sein könnte. Stellen Sie also sicher, dass es eine passende Regelung über die Handhabung von Alarmen gibt, und dass technische Maßnahmen zur Umsetzung dieser Regelung vorhanden sind.

note: type: <p></p>
en: An interesting source of information is <url id="http://www.cert.org/tech_tips/intruder_detection_checklist.html" name="CERT's Intrusion Detection Checklist">
de: Eine interessante Quelle für Informationen ist <url id="http://www.cert.org/tech_tips/intruder_detection_checklist.html" name="CERT's Intrusion Detection Checklist">.

note: type: <heading></heading>
en: Network based intrusion detection
de: Netzwerkbasierte Eindringlingserkennung

note: type: <p></p>
en: Network based intrusion detection tools monitor the traffic on a network segment and use this information as a data source. Specifically, the packets on the network are examined, and they are checked to see if they match a certain signature.
de: Programme, die der netzwerkbasierten Eindringlingserkennung dienen, überwachen den Verkehr eines Netzwerkabschnitts und arbeiten auf Grundlage dieser Daten. Genauer ausgedrückt, es werden die Pakete im Netzwerk untersucht, um festzustellen, ob sie mit bestimmten Merkmalen übereinstimmen.

note: type: <p></p>
en: <package>snort</package> is a flexible packet sniffer or logger that detects attacks using an attack signature dictionary. It detects a variety of attacks and probes, such as buffer overflows, stealth port scans, CGI attacks, SMB probes, and much more. <prgn>snort</prgn> also has real-time alerting capability. You can use <prgn>snort</prgn> for a range of hosts on your network as well as for your own host. This is a tool which should be installed on every router to keep an eye on your network. Just install it with <tt>apt-get install snort</tt>, follow the questions, and watch it log. For a little broader security framework, see <url id="http://www.prelude-ids.org" name="Prelude">.
de: <package>snort</package> ist ein vielseitiger Paketschnüffler und -logger, der Angriffe mit Hilfe einer Bibliothek von Angriffssignaturen erkennt. Es erkennt eine breite Palette von Angriffen und Tests, wie zum Beispiel Pufferüberläufe, verdecktes Abtasten von Ports (stealth port scans), CGI Angriffe, SMB Tests und vieles mehr. <prgn>snort</prgn> hat auch die Fähigkeit, einen zeitnahen Alarm auszulösen. Dies ist ein Werkzeug, das auf jedem Router installiert werden sollte, um ein Auge auf Ihr Netzwerk zu haben. Installieren Sie es einfach mit <tt>apt-get install snort</tt>, beantworten Sie die Fragen und beobachten Sie die Protokolle. Für einen etwas breiteren Sicherheitsrahmen sollten Sie sich <url id="http://www.prelude-ids.org" name="Prelude"> ansehen.

note: type: <p></p>
en: Debian's <package>snort</package> package has many security checks enabled by default. However, you should customize the setup to take into account the particular services you run on your system. You may also want to seek additional checks specific to these services.
de: Debians Paket <package>snort</package> hat viele Sicherheitstests standardmäßig eingeschaltet. Jedoch sollten Sie die Konfiguration anpassen, um die Dienste, die auf Ihrem System laufen, zu berücksichtigen. Sie können auch zusätzliche Tests speziell für diese Dienste nutzen.

note: type: <p></p>
en: There are other, simpler tools that can be used to detect network attacks. <package>portsentry</package> is an interesting package that can tip you off to port scans against your hosts. Other tools like <package>ippl</package> or <package>iplogger</package> will also detect some IP (TCP and ICMP) attacks, even if they do not provide the kind of advanced techniques <prgn>snort</prgn> does.
de: Es gibt noch andere, einfachere Werkzeuge, die dazu benutzt werden können, Angriffe auf das Netzwerk zu erkennen. <package>portsentry</package> ist ein interessantes Paket, das Sie warnen kann, wenn jemand Ihre Rechner scannt. Auch andere Programme wie <package>ippl</package> oder <package>iplogger</package> erkennen bestimmte IP (TCP und ICMP) Angriffe, auch wenn sie nicht so fortgeschrittene Techniken zur Erkennung von Netzwerkangriffen wie <prgn>snort</prgn> bieten.

note: type: <p></p>
en: You can test any of these tools with the Debian package <package>idswakeup</package>, a shell script which generates false alarms, and includes many common attack signatures.
de: Sie können jedes dieser Werkzeuge mit dem Paket <prgn>idswakeup</prgn> testen. Das ist ein Shell-Skript, das falsche Alarme verursacht und Signaturen vieler gebräuchlicher Angriffe enthält.

note: type: <heading></heading>
en: Host based intrusion detection
de: Hostbasierte Eindringlingserkennung

note: type: <p></p>
en: Host based intrusion detection involves loading software on the system to be monitored which uses log files and/or the systems auditing programs as a data source. It looks for suspicious processes, monitors host access, and may even monitor changes to critical system files.
de: Eine Eindringlingserkennung, die auf einem Host basiert, beruht darauf, Software auf dem zu überwachenden System zu laden, die Protokolldateien und die Überwachungsprogramme des Systems als Datengrundlage verwendet. Sie sucht nach verdächtigen Prozessen, kontrolliert den Zugang zum Host und überwacht u.U. auch Änderungen an kritischen Systemdateien.

note: type: <p></p>
en: <package>tiger</package> is an older intrusion detection tool which has been ported to Debian since the Woody branch. <prgn>tiger</prgn> provides checks of common issues related to security break-ins, like password strength, file system problems, communicating processes, and other ways root might be compromised. This package includes new Debian-specific security checks including: MD5sums checks of installed files, locations of files not belonging to packages, and analysis of local listening processes. The default installation sets up <prgn>tiger</prgn> to run each day, generating a report that is sent to the superuser about possible compromises of the system.
de: <package>tiger</package> ist ein älteres Programm zur Eindringlingserkennung, dass seit der Woody-Distribution auf Debian portiert wurde. <prgn>tiger</prgn> bietet Tests von verbreiteten Problemen in Zusammenhang mit Einbrüchen, wie der Stärke von Passwörtern, Problemen mit dem Dateisystem, kommunizierenden Prozessen und anderen Möglichkeiten, mit denen Root kompromittiert werden könnte. Dieses Paket umfasst neue, debianspezifische Sicherheitstests, einschließlich der MD5-Summen von installierten Programmen, des Orts von Dateien, die zu keinem Paket gehören und einer Analyse von lokalen lauschenden Prozessen. Die Standardinstallation lässt <prgn>tiger</prgn> einmal am Tag laufen und einen Bericht erstellen, der an den Superuser geschickt wird und Informationen zu möglichen Kompromittierungen enthält.

note: type: <p></p>
en: Log analysis tools, such as <package>logcheck</package> can also be used to detect intrusion attempts. See <ref id="custom-logcheck">.
de: Programme zur Protokollanalyse, wie zum Beispiel <package>logcheck</package>, können zusätzliche benutzt werden, um Einbruchsversuche zu erkennen. Siehe <ref id="custom-logcheck">.

note: type: <p></p>
en: In addition, packages which monitor file system integrity (see <ref id="check-integ">) can be quite useful in detecting anomalies in a secured environment. It is most likely that an effective intrusion will modify some files in the local file system in order to circumvent local security policy, install Trojans, or create users. Such events can be detected with file system integrity checkers.
de: Daneben können Pakete, welche die Integrität des Dateisystems überwachen (siehe <ref id="check-integ">), sehr nützlich sein, um Anomalien in einer abgesicherten Umgebung zu erkennen. Ein erfolgreicher Einbruch wird höchstwahrscheinlich Dateien auf dem lokalen Dateisystem verändern, um die lokalen Sicherheitsrichtlinien zu umgehen, Trojaner zu installieren oder Benutzer zu erstellen. Solche Ereignisse können mit Prüfwerkzeugen der Dateisystemintegrität erkannt werden.

note: type: <heading></heading>
en: Avoiding root-kits
de: Vermeiden von Root-Kits

note: type: <heading></heading>
en: Loadable Kernel Modules (LKM)
de: Ladbare Kernel-Module (LKM)

note: type: <p></p>
en: Loadable kernel modules are files containing dynamically loadable kernel components used to expand the functionality of the kernel. The main benefit of using modules is the ability to add additional devices, like an Ethernet or sound card, without patching the kernel source and recompiling the entire kernel. However, crackers are now using LKMs for root-kits (knark and adore), opening up back doors in GNU/Linux systems.
de: Ladbare Kernel-Module sind Dateien, die nachladbare Teile des Kernels enthalten. Sie werden dazu verwendet, die Funktionalität des Kernel zu erweitern. Der Hauptnutzen des Einsatzes von Modulen liegt darin, dass Sie zusätzliche Geräte wie eine Ethernet- oder Soundkarte hinzuzufügen können, ohne dass die Kernelquelle gepatcht und der gesamte Kernel neu übersetzt werden müsste. Allerdings können Cracker LKMs für Root-Kits (knark und adore) benutzen, um auf GNU/Linux Systemen Hintertüren zu öffnen.

note: type: <p></p>
en: LKM back doors are more sophisticated and less detectable than traditional root-kits. They can hide processes, files, directories and even connections without modifying the source code of binaries. For example, a malicious LKM can force the kernel into hiding specific processes from <file>procfs</file>, so that even a known good copy of the binary <prgn>ps</prgn> would not list accurate information about the current processes on the system.
de: LKM-Hintertüren sind ausgeklügelter und schwere zu entdecken als traditionelle Root-Kits. Sie können Prozesse, Dateien, Verzeichnisse und sogar Verbindungen verstecken, ohne den Quellcode der Programme verändern zu müssen. Zum Beispiel kann ein bösartiges LKM den Kernel dazu zwingen, bestimmte Prozesses vor <file>procfs</file> zu verstecken, so dass nicht einmal eine unmanipulierte Kopie des Programms <prgn>ps</prgn> alle Informationen über die aktuellen Prozesse korrekt auflisten.

note: type: <heading></heading>
en: Detecting root-kits
de: Erkennen von Root-Kits

note: type: <p></p>
en: There are two approaches to defending your system against LKM root-kits, a proactive defense and a reactive defense. The detection work can be simple and painless, or difficult and tiring, depending on the approach taken.
de: Es gibt zwei Herangehensweisen, um Ihr System gegen LKM-Root-Kits zu verteidigen: die aktive Verteidigung und die reaktive Verteidigung. Die Sucharbeit kann einfach und schmerzlos sein oder schwierig und ermüdend, ganz abhängig von der Maßnahme, die Sie ergreifen.

note: type: <heading></heading>
en: Proactive defense
de: Proaktive Verteidigung

note: type: <p></p>
en: The advantage of this kind of defense is that it prevents damage to the system in the first place. One such strategy is <em>getting there first</em>, that is, loading an LKM designed to protect the system from other malicious LKMs. A second strategy is to remove capabilities from the kernel itself. For example, you can remove the capability of loadable kernel modules entirely. Note, however, that there are rootkits which might work even in this case, there are some that tamper with <file>/dev/kmem</file> (kernel memory) directly to make themselves undetectable.
de: Der Vorteil dieser Art der Verteidigung ist, dass schon verhindert wird, dass das System Schaden nimmt. Eine mögliche Strategie ist, <em>das Ziel als Erster zu erreichen</em>, also ein LKM zu laden, das dazu da ist, das System vor anderen böswilligen LKMs zu schützen. Eine andere Maßnahme ist es, dem Kernel Fähigkeiten zu entziehen. Zum Beispiel können Sie aus dem Kernel vollständig die Fähigkeit von ladbaren Kernel-Modulen entfernen. Beachten Sie allerdings, dass es Root-Kits gibt, die selbst in diesen Fällen funktionieren. Es gibt auch welche, die direkt <file>/dev/kmem</file> (Kernelspeicher) manipulieren, um sich zu verstecken.

note: type: <p><list>
en: Debian GNU/Linux has a few packages that can be used to mount a proactive defense:
de: Debian GNU/Linux hat ein paar Pakete, die dazu verwendet werden können, eine aktive Verteidigung aufzusetzen:

note: type: <p></p>
en: <package>lcap</package> - A user friendly interface to remove <em>capabilities</em> (kernel-based access control) in the kernel, making the system more secure. For example, executing <tt>lcap CAP_SYS_MODULE</tt> <footnote><p>There are over 28 capabilities including: <tt>CAP_BSET</tt>, <tt>CAP_CHOWN</tt>, <tt>CAP_FOWNER</tt>, <tt>CAP_FSETID</tt>, <tt>CAP_FS_MASK</tt>, <tt>CAP_FULL_SET</tt>, <tt>CAP_INIT_EFF_SET</tt>, <tt>CAP_INIT_INH_SET</tt>, <tt>CAP_IPC_LOCK</tt>, <tt>CAP_IPC_OWNER</tt>, <tt>CAP_KILL</tt>, <tt>CAP_LEASE</tt>, <tt>CAP_LINUX_IMMUTABLE</tt>, <tt>CAP_MKNOD</tt>, <tt>CAP_NET_ADMIN</tt>, <tt>CAP_NET_BIND_SERVICE</tt>, <tt>CAP_NET_RAW</tt>, <tt>CAP_SETGID</tt>, <tt>CAP_SETPCAP</tt>, <tt>CAP_SETUID</tt>, <tt>CAP_SYS_ADMIN</tt>, <tt>CAP_SYS_BOOT</tt>, <tt>CAP_SYS_CHROOT</tt>, <tt>CAP_SYS_MODULE</tt>, <tt>CAP_SYS_NICE</tt>, <tt>CAP_SYS_PACCT</tt>, <tt>CAP_SYS_PTRACE</tt>, <tt>CAP_SYS_RAWIO</tt>, <tt>CAP_SYS_RESOURCE</tt>, <tt>CAP_SYS_TIME</tt>, and <tt>CAP_SYS_TTY_CONFIG</tt>. All of them can be de-activated to harden your kernel.</p></footnote> will remove module loading capabilities (even for the root user).<footnote><p>You don't need to install <package>lcap</package> to do this, but it's easier than setting <file>/proc/sys/kernel/cap-bound</file> by hand.</p></footnote> There is some (old) information on capabilities at Jon Corbet's <url id="http://lwn.net/1999/1202/kernel.php3" name="Kernel development"> section on LWN (dated December 1999).
de: <package>lcap</package> &ndash; eine benutzerfreundliche Schnittstelle, um dem Kernel <em>Fähigkeiten</em> zu entziehen (kernelbasierte Zugriffskontrolle), um das System sicherer zu machen. Beispielsweise wird das Ausführen von <tt>lcap CAP_SYS_MODULE</tt> <footnote><p> Es gibt über 28 Fähigkeiten einschließlich <tt>CAP_BSET</tt>, <tt>CAP_CHOWN</tt>, <tt>CAP_FOWNER</tt>, <tt>CAP_FSETID</tt>, <tt>CAP_FS_MASK</tt>, <tt>CAP_FULL_SET</tt>, <tt>CAP_INIT_EFF_SET</tt>, <tt>CAP_INIT_INH_SET</tt>, <tt>CAP_IPC_LOCK</tt>, <tt>CAP_IPC_OWNER</tt>, <tt>CAP_KILL</tt>, <tt>CAP_LEASE</tt>, <tt>CAP_LINUX_IMMUTABLE</tt>, <tt>CAP_MKNOD</tt>, <tt>CAP_NET_ADMIN</tt>, <tt>CAP_NET_BIND_SERVICE</tt>, <tt>CAP_NET_RAW</tt>, <tt>CAP_SETGID</tt>, <tt>CAP_SETPCAP</tt>, <tt>CAP_SETUID</tt>, <tt>CAP_SYS_ADMIN</tt>, <tt>CAP_SYS_BOOT</tt>, <tt>CAP_SYS_CHROOT</tt>, <tt>CAP_SYS_MODULE</tt>, <tt>CAP_SYS_NICE</tt>, <tt>CAP_SYS_PACCT</tt>, <tt>CAP_SYS_PTRACE</tt>, <tt>CAP_SYS_RAWIO</tt>, <tt>CAP_SYS_RESOURCE</tt>, <tt>CAP_SYS_TIME</tt> und <tt>CAP_SYS_TTY_CONFIG</tt>. Alle können deaktiviert werden, um Ihren Kernel abzuhärten. </p></footnote> die Fähigkeit der ladbaren Module entfernen (sogar für Root).<footnote><p> Um dies tun zu können, müssen Sie nicht <package>lcap</package> installieren, aber damit ist es einfacher, als von Hand <file>/proc/sys/kernel/cap-bound</file> anzupassen. </p></footnote> Weitere (etwas ältere) Informationen zu Kernelfähigkeiten finden Sie in Jon Corbets Abschnitt <url id="http://lwn.net/1999/1202/kernel.php3" name="Kernel development"> auf LWN vom Dezember 1999.

note: type: <p></p>
en: If you don't really need many kernel features on your GNU/Linux system, you may want to disable loadable modules support during kernel configuration. To disable loadable module support, just set CONFIG_MODULES=n during the configuration stage of building your kernel, or in the <file>.config</file> file. This will prevent LKM root-kits, but you lose this powerful feature of the Linux kernel. Also, disabling loadable modules can sometimes overload the kernel, making loadable support necessary.
de: Wenn Sie diese vielen Möglichkeiten auf Ihrem GNU/Linux System nicht wirklich brauchen, sollten Sie die Unterstützung für ladbare Module während der Konfiguration des Kernels abschalten. Das erreichen Sie, indem Sie einfach CONFIG_MODULES=n während des Konfiguration Ihres Kernels oder in der Datei <file>.config</file> festsetzen. So werden LKM-Root-Kits vermieden, aber Sie verlieren eine leistungsfähige Eigenschaft des Linux-Kernels. Außerdem kann das Abschalten der nachladbaren Module den Kernel überladen, so dass die Unterstützung ladbarer Module notwendig wird.

note: type: <heading></heading>
en: Reactive defense
de: Reaktive Verteidigung

note: type: <p></p>
en: The advantage of a reactive defense is that it does not overload system resources. It works by comparing the system call table with a known clean copy in a disk file, <file>System.map</file>. Of course, a reactive defense will only notify the system administrator after the system has already been compromised.
de: Der Vorteil reaktiver Verteidigung ist, dass sie die Systemressourcen nicht überlädt. Sie funktioniert durch das Vergleichen von einer Tabelle der Systemaufrufe mit einer bekanntermaßen sauberen Kopie (<file>System.map</file>). Eine reaktive Verteidigung kann den Systemadministrator natürlich nur benachrichtigen, wenn das System bereits kompromittiert wurde.

note: type: <p></p>
en: Detection of some root-kits in Debian can be accomplished with the <package>chkrootkit</package> package. The <url id="http://www.chkrootkit.org" name="Chkrootkit"> program checks for signs of several known root-kits on the target system, but is not a definitive test.
de: Die Entdeckung von Root-Kits vollbringt unter Debian <package>chkrootkit</package>. Das Programm <url name="Chkrootkit" id="http://www.chkrootkit.org"> prüft Anzeichen von bekannten Root-Kits auf dem Zielsystem. Es ist aber kein völlig sicherer Test.

note: type: <heading></heading>
en: Genius/Paranoia Ideas &mdash; what you could do
de: Geniale/paranoide Ideen &mdash; was Sie tun können

note: type: <p><list>
en: This is probably the most unstable and funny section, since I hope that some of the "duh, that sounds crazy" ideas might be realized. The following are just some ideas for increasing security &mdash; maybe genius, paranoid, crazy or inspired depending on your point of view.
de: Dies ist wahrscheinlich der unsicherste und lustigste Abschnitt, da ich hoffe, dass manche der »Wow, das klingt verrückt«-Ideen umgesetzt werden. Im Folgenden werden nur ein paar Ideen vorgestellt, wie Sie Ihre Sicherheit erhöhen können &mdash; abhängig von Ihrem Standpunkt aus können Sie sie für genial, paranoid, verrückt oder sicher halten.

note: type: <p></p>
en: Playing around with Pluggable Authentication Modules (PAM). As quoted in the Phrack 56 PAM article, the nice thing about PAM is that "You are limited only by what you can think of." It is true. Imagine root login only being possible with fingerprint or eye scan or cryptocard (why did I use an OR conjunction instead of AND?).
de: Mit Pluggable Authentication Modules (PAM) herum spielen. Wie in einem phrack 56 Artikel geschrieben wurde, ist das Schöne an PAM, dass »Ihrer Fantasie keine Grenzen gesetzt sind.« Das stimmt. Stellen Sie sich vor, Root kann sich nur mit einen Fingerabdruck oder Abtastung des Auges oder einer Kryptokarte einloggen (warum habe ich hier nur »oder« und nicht »und« gesagt?).

note: type: <p></p>
en: Fascist Logging. I would refer to all the previous logging discussion above as "soft logging". If you want to perform real logging, get a printer with fanfold paper, and send all logs to it. Sounds funny, but it's reliable and it cannot be tampered with or removed.
de: Faschistisches Protokollieren. Ich würde sagen, dass alles, was wir bisher über Protokollieren besprochen haben, unter »weiches Loggen« fällt. Wenn Sie echtes Protokollieren betreiben wollen, besorgen Sie sich einen Drucker mit Endlos-Papier und schicken ihm alle Protokolle. Hört sich lustig an, ist aber zuverlässig und kann nicht manipuliert oder entfernt werden.

note: type: <p></p>
en: CD distribution. This idea is very easy to realize and offers pretty good security. Create a hardened Debian distribution, with proper firewall rules. Turn it into a boot-able ISO image, and burn it on a CDROM. Now you have a read-only distribution, with about 600 MB space for services. Just make sure all data that should get written is done over the network. It is impossible for intruders to get read/write access on this system, and any changes an intruder does make can be disabled with a reboot of the system.
de: CD-Distribution. Diese Idee ist sehr leicht zu realisieren und bewirkt ganz gute Sicherheit. Erstellen Sie eine abgesicherte Debian-Distribution mit passenden Firewall-Regeln. Erstellen Sie davon ein bootbares ISO-Image und brennen Sie es auf eine CD-ROM. Jetzt haben Sie eine nur lesbare Distribution mit etwa 600 MB Speicherplatz für Dienste. Stellen Sie lediglich sicher, dass alle Daten, die geschrieben werden sollen, übers Netz geschrieben werden. Für einen Eindringling ist es unmöglich, Schreibzugriff auf diesem System zu erhalten. Alle Änderungen, die ein Eindringling vornimmt, werden mit einem Neustart des Systems rückgängig gemacht.

note: type: <p></p>
en: Switch module capability off. As discussed earlier, when you disable the usage of kernel modules at kernel compile time, many kernel based back doors are impossible to implement because most are based on installing modified kernel modules.
de: Schalten Sie die Modul-Fähigkeiten des Kernels ab. Wenn Sie die Nutzung von Kernel-Modulen während der Kernel-Kompilierung abschalten, werden viele kernelbasierte Hintertüren nicht einsetzbar, da die meisten von ihnen darauf beruhen, modifizierte Kernel-Module zu installieren (siehe oben).

note: type: <p></p>
en: Logging through serial cable (contributed by Gaby Schilders). As long as servers still have serial ports, imagine having one dedicated logging system for a number of servers. The logging system is disconnected from the network, and connected to the servers via a serial-port multiplexer (Cyclades or the like). Now have all your servers log to their serial ports, write only. The log-machine only accepts plain text as input on its serial ports and only writes to a log file. Connect a CD/DVD-writer, and transfer the log file to it when the log file reaches the capacity of the media. Now if only they would make CD writers with auto-changers... Not as hard copy as direct logging to a printer, but this method can handle larger volumes and CD-ROMs use less storage space.
de: Protokollieren über ein serielles Kabel (von Gaby Schilders). So lange Server immer noch serielle Schnittstellen haben: Stellen Sie sich ein Protokollsystem für eine Anzahl von Servern vor. Es ist vom Netz abgeschnitten und mit den Servern über einen Multiplexer für serielle Schnittstellen (Cyclades oder ähnliches) verbunden. Jetzt sollen alle Ihre Server die Protokolle an ihre serielle Schnittstelle schicken, einfach nur hinschreiben. Die Protokollmaschine akzeptiert nur einfachen Text als Eingabe auf ihrer seriellen Schnittstelle und schreibt ihn lediglich in eine Protokolldatei. Schließen Sie einen CD- oder DVD-Brenner an. Brennen Sie die Protokolldatei, wenn sie die Größe des Mediums erreicht hat. Wenn es jetzt nur noch CD-Brenner mit automatischem Medien-Wechsel gäbe ... Nicht so dauerhaft gespeichert wie ein Ausdruck, aber mit dieser Methode kann man größere Mengen handhaben und die CD-ROMs nehmen nicht so viel Platz weg.

note: type: <p></p>
en: Change file attributes using <prgn>chattr</prgn> (taken from the Tips-HOWTO, written by Jim Dennis). After a clean install and initial configuration, use the <prgn>chattr</prgn> program with the <tt>+i</tt> attribute to make files unmodifiable (the file cannot be deleted, renamed, linked or written to). Consider setting this attribute on all the files in <file>/bin</file>, <file>/sbin/</file>, <file>/usr/bin</file>, <file>/usr/sbin</file>, <file>/usr/lib</file> and the kernel files in root. You can also make a copy of all files in <file>/etc/</file>, using <prgn>tar</prgn> or the like, and mark the archive as immutable.
de: Ändern Sie die Dateiattribute mit <prgn>chattr</prgn> (dem Tipps-HOWTO von Jim Dennis entnommen). Nachdem Sie Ihr System sauber installiert und konfiguriert haben, verwenden Sie das Programm <prgn>chattr</prgn> mit dem Attribut <tt>+i</tt>, um Dateien unveränderbar zu machen (die Datei kann nicht gelöscht, umbenannt, verlinkt oder beschrieben werden). Sie sollten dieses Attribut für alle Dateien in <file>/bin</file>, <file>/sbin/</file>, <file>/usr/bin</file>, <file>/usr/sbin</file>, <file>/usr/lib</file> und den Kerneldateien in root. Sie können auch eine Kopie aller Dateien in <file>/etc/</file> mit <prgn>tar</prgn> oder dergleichen erstellen und das Archiv als unveränderbar kennzeichnen.

note: type: <p></p>
en: This strategy will help limit the damage that you can do when logged in as root. You won't overwrite files with a stray redirection operator, and you won't make the system unusable with a stray space in a <prgn>rm -fr</prgn> command (you might still do plenty of damage to your data &mdash; but your libraries and binaries will be safer).
de: Mit dieser Vorgehensweise können Sie den Schaden zu begrenzen, den Sie anrichten können, wenn Sie als Root eingeloggt sind. Sie können nicht mehr Dateien mit einer fehlgeleiteten Umleitung überschreiben oder Ihr System durch ein fehlplatziertes Leerzeichen im Kommando <prgn>rm -fr</prgn> unbenutzbar machen (Sie können aber Ihren Daten immer noch einigen Schaden zufügen &ndash; aber Ihre Bibliotheken und Programme sind sicherer).

note: type: <p></p>
en: This strategy also makes a variety of security and denial of service (DoS) exploits either impossible or more difficult (since many of them rely on overwriting a file through the actions of some SETUID program that <em>isn't providing an arbitrary shell command</em>).
de: Dies macht auch verschiedene Sicherheits- und Denial-of-Service (DoS) Exploits entweder unmöglich oder weitaus schwieriger (da viele von ihnen darauf beruhen, Dateien durch Aktionen eines SETUID-Programms zu überschreiben, das <em>keinen frei wählbaren Shellbefehl zur Verfügung stellt</em>.<!-- SB (20050313): Was will uns das sagen? "that <em>isn't providing an arbitrary shell command</em>" -->

note: type: <p></p>
en: One inconvenience of this strategy arises during building and installing various system binaries. On the other hand, it prevents the <prgn>make install</prgn> from over-writing the files. When you forget to read the Makefile and <prgn>chattr -i</prgn> the files that are to be overwritten, (and the directories to which you want to add files) &dash; the make command fails, and you just use the <prgn>chattr</prgn> command and rerun it. You can also take that opportunity to move your old bin's and libs out of the way, into a .old/ directory or tar archive for example.
de: Eine Unbequemlichkeit dieser Vorgehensweise macht sich bemerkbar, wenn Sie verschiedene Systemprogramme bauen und installieren. Auf der anderen Seite verhindert dies auch, dass <prgn>make install</prgn> die Dateien überschreibt. Wenn Sie vergessen, das Makefile zu lesen, und die Dateien, die überschrieben werden sollen, mit chattr -i behandelt haben (und die Verzeichnisse, in denen Sie neue Dateien erstellen wollen), schlägt der make-Befehl fehl. Sie müssen nur das Kommando <prgn>chattr</prgn> ausführen und make neu aufrufen. Sie können diese Gelegenheit gleich dazu benutzen, Ihre alten bin's und libs auszumisten und sie z.B. in ein .old/-Verzeichnis oder Tar-Archiv zu verschieben.

note: type: <p></p>
en: Note that this strategy also prevents you from upgrading your system's packages, since the files updated packages provide cannot be overwritten. You might want to have a script or other mechanism to disable the immutable flag on all binaries right before doing an <prgn>apt-get update</prgn>.
de: Beachten Sie, dass dies Sie auch daran hindert, die Pakete Ihres Systems zu aktualisieren, da die Dateien aus den Paketen nicht überschrieben werden können. Also sollten Sie vielleicht ein Skript oder einen anderen Mechanismus haben, der das immutable-Flag auf allen Dateien deaktiviert, bevor Sie ein <prgn>apt-get update</prgn> ausführen.

note: type: <p></p>
en: Play with UTP cabling in a way that you cut 2 or 4 wires and make the cable one-way traffic only. Then use UDP packets to send information to the destination machine which can act as a secure log server or a credit card storage system.
de: Spielen Sie mit der UTP-Verkabelung herum. Schneiden Sie dazu zwei oder vier Kabel durch und stellen ein Kabel her, das nur Verkehr in eine Richtung zulässt. Verwenden Sie dann UDP-Pakete, um Informationen an die Zielmaschine zu schicken, die ein sicherer Protokollserver oder ein System zur Speicherung von Kreditkartennummern sein kann.

note: type: <heading></heading>
en: Building a honeypot
de: Einrichten eines Honigtopfes (honeypot)

note: type: <p></p>
en: A honeypot is a system designed to teach system administrators how crackers probe for and exploit a system. It is a system setup with the expectation and goal that the system will be probed, attacked and potentially exploited. By learning the tools and methods employed by the cracker, a system administrator can learn to better protect their own systems and network.
de: Ein Honigtopf ist ein System, das darauf ausgelegt ist, Systemadministratoren beizubringen, wie Cracker ein System abtasten und darin einbrechen. Es ist eine Systemeinstellung mit der Erwartung und dem Zweck, dass das System abgetastet und angegriffen und möglicherweise darin eingebrochen wird. Wenn Systemadministratoren erfahren, welche Werkzeuge und Methoden Cracker anwenden, können sie daraus lernen, wie sie ihr System und Netzwerk besser schützen.

note: type: <p><list>
en: Debian GNU/Linux systems can easily be used to setup a honeynet, if you dedicate the time to implement and monitor it. You can easily setup the fake honeypot server as well as the firewall<footnote><p>You will typically use a bridge firewall so that the firewall itself is not detectable, see <ref id="bridge-fw">.</p></footnote> that controls the honeynet and some sort of network intrusion detector, put it on the Internet, and wait. Do take care that if the system is exploited, you are alerted in time (see <ref id="log-alerts">) so that you can take appropriate measures and terminate the compromise when you've seen enough. Here are some of the packages and issues to consider when setting up your honeypot:
de: Debian GNU/Linux-Systeme können leicht als Honigtopf eingerichtet werden, wenn Sie Zeit opfern, sie aufzusetzen und zu überwachen. Sie können leicht den gefälschten Server, die Firewall<footnote><p>Sie sollten typischerweise eine Bridge-Firewall einsetzen, damit die Firewall selbst nicht entdeckt werden kann. Lesen Sie mehr dazu unter <ref id="bridge-fw">.</p></footnote>, die den Honigtopf überwacht, und ein Programm, das Eindringling ins Netzwerk entdecken kann, einrichten. Verbinden Sie den Honigtopf mit dem Internet und warten Sie ab. Stellen Sie sicher, dass Sie rechtzeitig alarmiert werden (siehe <ref id="log-alerts">), wenn in das System eingedrungen wird, damit Sie geeignete Schritte einleiten und den Angriff beenden können, wenn Sie genug gesehen haben. Hier folgen einige Pakete und Probleme, die Sie in Betracht ziehen sollten, wenn Sie einen Honigtopf einrichten:

note: type: <p></p>
en: The firewall technology you will use (provided by the Linux kernel).
de: die Firewall-Technologie, die Sie verwenden (verfügbar durch den Linux-Kernel)

note: type: <p></p>
en: <package>syslog-ng</package>, useful for sending logs from the honeypot to a remote syslog server.
de: <package>syslog-ng</package>: nützlich, um Protokolle des Honigtopfs zu einem entfernen syslog-Server zu schicken

note: type: <p></p>
en: <package>snort</package>, to set up capture of all the incoming network traffic to the honeypot and detect the attacks.
de: <package>snort</package>, um allen eingehenden Netzwerkverkehr auf den Honigtopf mitzuschneiden und die Angriffe zu erkennen

note: type: <p></p>
en: <package>osh</package>, a SETUID root, security enhanced, restricted shell with logging (see Lance Spitzner's article below).
de: <package>osh</package>, eine eingeschränkte Shell mit Protokollfunktion, die unter SETUID-Root läuft und verbesserte Sicherheit hat (siehe den Artikel von Lance Spitzner weiter unten)

note: type: <p></p>
en: Of course, all the daemons you will be using for your fake server honeypot. Depending on what type of attacker you want to analyse you will or will <em>not</em> harden the honeypot and keep it up to date with security patches.
de: natürlich alle Daemons, die Sie auf dem falschen Honigtopfserver verwenden wollen: Je nachdem, welche Art von Angreifer Sie analysieren wollen, können Sie den Honigtopf abhärten und die Sicherheitsaktualisierungen einspielen (oder eben <em>nicht</em>).

note: type: <p></p>
en: Integrity checkers (see <ref id="check-integ">) and The Coroner's Toolkit (<package>tct</package>) to do post-attack audits.
de: Integritätsprüfer (siehe <ref id="check-integ">) und das Coroner's Toolkit (<package>tct</package>), um nach dem Angriff eine Analyse durchzuführen

note: type: <p></p>
en: <package>honeyd</package> and <package>farpd</package> to setup a honeypot that will listen to connections to unused IP addresses and forward them to scripts simulating live services. Also check out <package>iisemulator</package>.
de: <package>honeyd</package> und <package>farpd</package>, um einen Honigtopf einzurichten, der auf Verbindungen zu ungenutzten IP-Adressen lauscht und diese an Skripte weiterleitet, die echte Dienste simulieren. Sehen Sie sich auch <package>iisemulator</package> an.

note: type: <p></p>
en: <package>tinyhoneypot</package> to setup a simple honeypot server with fake services.
de: <package>tinyhoneypot</package>, um einen einfachen Honigtopf-Server mit gefälschten Diensten einzurichten

note: type: <p></p>
en: If you cannot use spare systems to build up the honeypots and the network systems to protect and control it you can use the virtualisation technology available in <prgn>xen</prgn> or <prgn>uml</prgn> (User-Mode-Linux). If you take this route you will need to patch your kernel with either <package>kernel-patch-xen</package> or <package>kernel-patch-uml</package>.
de: Falls Sie kein System übrig haben, um die Honigtöpfe und Systeme, die das Netzwerk schützen und kontrollieren, zu bauen, können Sie die Technologie zur Virtualisierung einsetzen, die in <prgn>xen</prgn> oder <prgn>uml</prgn> (User-Mode-Linux) enthalten ist. Wenn Sie diesen Weg wählen, müssen Sie Ihren Kernel entweder mit <package>kernel-patch-xen</package> oder <package>kernel-patch-uml</package> patchen.

note: type: <p></p>
en: You can read more about building honeypots in Lanze Spitzner's excellent article <url id="http://www.net-security.org/text/articles/spitzner/honeypot.shtml" name="To Build a Honeypot"> (from the Know your Enemy series). Also, the <url id="http://project.honeynet.org/" name="Honeynet Project"> provides valuable information about building honeypots and auditing the attacks made on them.
de: Sie können mehr über das Aufstellen eines Honigtopfs in Lanze Spitzners exzellentem Artikel <url id="http://www.net-security.org/text/articles/spitzner/honeypot.shtml" name="To Build a Honeypot"> (aus der Know your Enemy Serie). Außerdem stellt das <url id="http://project.honeynet.org/" name="Honeynet Project"> wertvolle Informationen über das Aufstellen von Honigtöpfen und der Analyse von Angriffen auf sie zur Verfügung.

note: type: <heading></heading>
en: After the compromise (incident response)
de: Nach einer Kompromittierung (Reaktion auf einem Vorfall)

note: type: <heading></heading>
en: General behavior
de: Allgemeines Verhalten

note: type: <p></p>
en: If you are physically present when an attack is happening, your first response should be to remove the machine from the network by unplugging the network card (if this will not adversely affect any business transactions). Disabling the network at layer 1 is the only true way to keep the attacker out of the compromised box (Phillip Hofmeister's wise advice).
de: Wenn Sie während eines Angriffs physisch anwesend sind, sollte Ihre erste Reaktion sein, den Rechner vom Netzwerk zu trennen, indem Sie das Kabel aus der Netzwerkkarte ziehen (wenn das keinen nachteiligen Einfluss auf Ihre Geschäfte hat). Das Netzwerk auf Schicht 1 abzuschalten ist der einzig wirklich erfolgreiche Weg, um den Angreifer aus dem gehackten Rechner herauszuhalten (weiser Ratschlag von Phillip Hofmeister).

note: type: <p></p>
en: However, some tools installed by rootkits, trojans and, even, a rogue user connected through a back door, might be capable of detecting this event and react to it. Seeing a <tt>rm -rf /</tt> executed when you unplug the network from the system is not really much fun. If you are unwilling to take the risk, and you are sure that the system is compromised, you should <em>unplug the power cable</em> (all of them if more than one) and cross your fingers. This may be extreme but, in fact, will avoid any logic-bomb that the intruder might have programmed. In this case, the compromised system <em>should not be re-booted</em>. Either the hard disks should be moved to another system for analysis, or you should use other media (a CD-ROM) to boot the system and analyze it. You should <em>not</em> use Debian's rescue disks to boot the system, but you <em>can</em> use the shell provided by the installation disks (remember, Alt+F2 will take you to it) to analyze <footnote><p>If you are adventurous, you can login to the system and save information on all running processes (you'll get a lot from /proc/nnn/). It is possible to get the whole executable code from memory, even if the attacker has deleted the executable files from disk. Then pull the power cord.</p></footnote> the system.
de: Allerdings können einige Werkzeuge, die durch Rootkits, Trojaner oder sogar unehrlichen Benutzern über eine Hintertür installiert wurden, diesen Vorgang erkennen und auf ihn reagieren. Es ist nicht wirklich lustig, wenn Sie sehen, dass <tt>rm -rf /</tt> ausgeführt wird, wenn Sie das Netzwerkkabel ziehen. Wenn Sie nicht bereit sind, dieses Risiko einzugehen, und Sie sich sicher sind, dass in das System eingebrochen wurde, sollten Sie <em>das Stromkabel herausziehen</em> (alle, wenn es mehr als eines gibt) und Ihre Daumen drücken. Das hört sich zwar extrem an, verhindert aber tatsächlich eine Logikbombe, die ein Eindringling programmiert haben könnte. Auf jeden Fall sollte ein kompromittiertes System <em>nicht neugestartet</em> werden. Entweder sollten die Festplatten in einem anderen System analysiert werden oder Sie sollten ein anderen Medium (eine CD-ROM) benutzen, um das System zu booten und analysieren. Sie sollten <em>nicht</em> die Rettungsdisk von Debian verwenden, um das System zu starten. Sie <em>können</em> aber die Shell auf der Installationsdisk benutzen (wie Sie wissen, erreichen Sie sie mit Alt+F2), um das System zu analysieren. <footnote><p> Wenn Sie abenteuerlustig sind, sollten Sie sich am System anmelden und die Informationen aller laufenden Prozesse speichern (Sie bekommen eine Menge aus /proc/nnn/). Es ist möglich, den gesamten ausführbaren Code aus dem Arbeitsspeicher zu ziehen, sogar dann, wenn der Angreifer die ausführbaren Dateien von der Festplatte gelöscht hat. Ziehen Sie danach das Stromkabel. </footnote>

note: type: <p></p>
en: The most recommended method for recovering a compromised system is to use a live-filesystem on CD-ROM with all the tools (and kernel modules) you might need to access the compromised system. You can use the <package>mkinitrd-cd</package> package to build such a CD-ROM<footnote><p>In fact, this is the tool used to build the CD-ROMs for the <url id="http://www.gibraltar.at/" name="Gibraltar"> project (a firewall on a live CD-ROM based on the Debian distribution).</p></footnote>. You might find the <url id="http://www.caine-live.net/" name="Caine"> (Computer Aided Investigative Environment) CD-ROM useful here too, since it's also a live CD-ROM under active development with forensic tools useful in these situations. There is not (yet) a Debian-based tool such as this, nor an easy way to build the CD-ROM using your own selection of Debian packages and <package>mkinitrd-cd</package> (so you'll have to read the documentation provided with it to make your own CD-ROMs).
de: Die beste Methode, um ein gehacktes System wiederherzustellen, ist, ein Live-Dateisystem auf einer CD-ROM mit allen Programmen (und Kernel-Modulen) verwenden, die Sie brauchen, um auf das eingebrochene System zugreifen zu können. Sie können das Paket <package>mkinitrd-cd</package> benutzen, um eine solche CD-ROM zu erstellen <footnote><p> Das ist auch das Werkzeug, mit dem die CD-ROMs für das Projekt <url id="http://www.gibraltar.at/" name="Gibraltar"> erstellt werden. Das ist eine Firewall auf einer Live-CD-ROM, die auf der Debian-Distribution beruht. </p></footnote>. Auch die CD-ROM von <url id="http://biatchux.dmzs.com/" name="FIRE"> (früher als Biatchux bekannt) könnte hilfreich sein, da diese Live-CD-ROM forensische Werkzeuge enthält, die in solchen Situationen nützlich sind. Es gibt (noch) kein Programm wie dieses, das auf Debian basiert. Es gibt auch keinen leichten Weg, eine CD-ROM mit Ihrer Auswahl von Debian-Paketen und <package>mkinitrd-cd</package> zu erstellen. Daher werden Sie die Dokumentation lesen müssen, wie Sie Ihre eigenen CD-ROMs machen.

note: type: <p></p>
en: If you really want to fix the compromise quickly, you should remove the compromised host from your network and re-install the operating system from scratch. Of course, this may not be effective because you will not learn how the intruder got root in the first place. For that case, you must check everything: firewall, file integrity, log host, log files and so on. For more information on what to do following a break-in, see <url id="http://www.cert.org/tech_tips/root_compromise.html" name="CERT's Steps for Recovering from a UNIX or NT System Compromise"> or SANS's <url id="http://www.sans.org/reading_room/whitepapers/incident/" name="Incident Handling whitepapers">.
de: Wenn Sie eine Kompromittierung wirklich schnell reparieren wollen, sollten Sie den kompromittierten Rechner aus dem Netzwerk entfernen und das Betriebssystem von Grund auf neu installieren. Dies könnte natürlich nicht sehr wirkungsvoll sein, da Sie nicht erfahren, wie der Eindringling zuvor Root-Rechte bekommen hat. Um das herauszufinden, müssen Sie alles prüfen: Firewall, Integrität der Dateien, Log-Host, Protokolldateien und so weiter. Weitere Informationen, was Sie nach einem Einbruch unternehmen sollten, finden Sie in <url id="http://www.cert.org/tech_tips/root_compromise.html" name="CERT's Steps for Recovering from a UNIX or NT System Compromise"> oder in Sans' <url name="Incident Handling Guide" id="http://www.sans.org/y2k/DDoS.htm">.

note: type: <p></p>
en: Some common questions on how to handle a compromised Debian GNU/Linux system are also available in <ref id="vulnerable-system">.
de: Einige häufige Fragen, wie mit einem gehackten Debian-GNU/Linux-System umzugehen ist, sind unter <ref id="vulnerable-system"> zu finden.

note: type: <heading></heading>
en: Backing up the system
de: Anlegen von Sicherheitskopien Ihres Systems

note: type: <p></p>
en: Remember that if you are sure the system has been compromised you cannot trust the installed software or any information that it gives back to you. Applications might have been trojanized, kernel modules might be installed, etc.
de: Wenn Sie sich sicher sind, dass das System kompromittiert wurde, vergessen Sie nicht, dass Sie weder der installierten Software noch irgendwelchen Informationen, die sie an Sie liefert, vertrauen können. Anwendungen könnten von einem Trojaner befallen sein, Kernel-Module könnten installiert worden sein, usw.

note: type: <p></p>
en: The best thing to do is a complete file system backup copy (using <prgn>dd</prgn>) after booting from a safe medium. Debian GNU/Linux CD-ROMs can be handy for this since they provide a shell in console 2 when the installation is started (jump to it using Alt+2 and pressing Enter). From this shell, backup the information to another host if possible (maybe a network file server through NFS/FTP). Then any analysis of the compromise or re-installation can be performed while the affected system is offline.
de: Am besten ist es, eine komplette Sicherheitskopie Ihres Dateisystems (mittels <prgn>dd</prgn>) zu erstellen, nachdem Sie von einem sicheren Medium gebootet haben. Debian GNU/Linux CD-ROMs können dazu nützlich sein, da sie auf Konsole 2 eine Shell anbieten, nachdem die Installation gestartet wurde (mit Alt+2 und Enter aktivieren Sie sie). Von dieser Shell aus sollten Sie eine Sicherheitskopie möglichst auf einem anderen Host erstellen (vielleicht auf einen Netzwerk-Datei-Server über NFS/FTP). Dadurch kann eine Analyse des Einbruchs oder eine Neuinstallation durchgeführt werden, während das betroffene System offline ist.

note: type: <p></p>
en: If you are sure that the only compromise is a Trojan kernel module, you can try to run the kernel image from the Debian CD-ROM in <em>rescue</em> mode. Make sure to startup in <em>single user</em> mode, so no other Trojan processes run after the kernel.
de: Wenn Sie sich sicher sind, dass es sich lediglich um ein trojanisiertes Kernel-Modul handelt, können Sie versuchen, das Kernel-Image von der Debian-CD-ROM im <em>rescue</em>-Modus zu laden. Stellen Sie sicher, dass Sie im <em>single</em>-Modus starten, so dass nach dem Kernel keine weiteren Trojaner-Prozesse gestartet werden.

note: type: <heading></heading>
en: Contact your local CERT
de: Setzen Sie sich mit dem lokal CERT in Verbindung

note: type: <p></p>
en: The CERT (Computer and Emergency Response Team) is an organization that can help you recover from a system compromise. There are CERTs worldwide <footnote><p>This is a list of some CERTs, for a full list look at the <url id="http://www.first.org/about/organization/teams/index.html" name="FIRST Member Team information"> (FIRST is the Forum of Incident Response and Security Teams): <url id="http://www.auscert.org.au" name="AusCERT"> (Australia), <url id="http://www.unam-cert.unam.mx/" name="UNAM-CERT"> (Mexico) <url id="http://www.cert.funet.fi" name="CERT-Funet"> (Finland), <url id="http://www.dfn-cert.de" name="DFN-CERT"> (Germany), <url id="http://cert.uni-stuttgart.de/" name="RUS-CERT"> (Germany), <url id="http://security.dico.unimi.it/" name="CERT-IT"> (Italy), <url id="http://www.jpcert.or.jp/" name="JPCERT/CC"> (Japan), <url id="http://cert.uninett.no" name="UNINETT CERT"> (Norway), <url id="http://www.cert.hr" name="HR-CERT"> (Croatia) <url id="http://www.cert.pl" name="CERT Polskay"> (Poland), <url id="http://www.cert.ru" name="RU-CERT"> (Russia), <url id="http://www.arnes.si/si-cert/" name="SI-CERT"> (Slovenia) <url id="http://www.rediris.es/cert/" name="IRIS-CERT"> (Spain), <url id="http://www.switch.ch/cert/" name="SWITCH-CERT"> (Switzerland), <url id="http://www.cert.org.tw" name="TWCERT/CC"> (Taiwan), and <url id="http://www.cert.org" name="CERT/CC"> (US).</p></footnote> and you should contact your local CERT in the event of a security incident which has lead to a system compromise. The people at your local CERT can help you recover from it.
de: Das CERT (Computer and Emergency Response Team) ist eine Organisation, die Ihnen helfen kann, Ihr System nach einem Einbruch wiederherzustellen. Es gibt CERTs weltweit <footnote><p> Dies ist eine Liste einiger CERTs. Ein vollständige Liste erhalten Sie unter <url id="http://www.first.org/about/organization/teams/index.html" name="FIRST Member Team information"> (FIRST ist das Forum von Incident Response and Security Teams): <url id="http://www.auscert.org.au" name="AusCERT"> (Australien), <url id="http://www.unam-cert.unam.mx/" name="UNAM-CERT"> (Mexiko) <url id="http://www.cert.funet.fi" name="CERT-Funet"> (Finnland), <url id="http://www.dfn-cert.de" name="DFN-CERT"> (Deutschland), <url id="http://cert.uni-stuttgart.de/" name="RUS-CERT"> (Deutschland), <!--FIXME URL --> <url id="http://security.dico.unimi.it/" name="CERT-IT"> (Italien), <url id="http://www.jpcert.or.jp/" name="JPCERT/CC"> (Japan), <url id="http://cert.uninett.no" name="UNINETT CERT"> (Norwegen), <url id="http://www.cert.hr" name="HR-CERT"> (Kroatien) <url id="http://www.cert.pl" name="CERT Polskay"> (Polen), <url id="http://www.cert.ru" name="RU-CERT"> (Russland), <url id="http://www.arnes.si/si-cert/" name="SI-CERT"> (Slowenien) <url id="http://www.rediris.es/cert/" name="IRIS-CERT"> (Spanien), <url id="http://www.switch.ch/cert/" name="SWITCH-CERT"> (Schweiz), <url id="http://www.cert.org.tw" name="TWCERT/CC"> (Taiwan), und <url id="http://www.cert.org" name="CERT/CC"> (USA). </footnote>. Sie sollten mit dem lokalen CERT Verbindung aufnehmen, wenn sich ein sicherheitsrelevanter Vorfall ereignet hat, der zu einem Einbruch in Ihr System geführt hat. Die Menschen in der lokalen CERT können Ihnen helfen, Ihr System wiederherzustellen.

note: type: <p></p>
en: Providing your local CERT (or the CERT coordination center) with information on the compromise even if you do not seek assistance can also help others since the aggregate information of reported incidents is used in order to determine if a given vulnerability is in wide spread use, if there is a new worm aloft, which new attack tools are being used. This information is used in order to provide the Internet community with information on the <url id="http://www.cert.org/current/" name="current security incidents activity">, and to publish <url id="http://www.cert.org/incident_notes/" name="incident notes"> and even <url id="http://www.cert.org/advisories/" name="advisories">. For more detailed information read on how (and why) to report an incident read <url id="http://www.cert.org/tech_tips/incident_reporting.html" name="CERT's Incident Reporting Guidelines">.
de: Selbst wenn Sie keine Hilfe benötigen, kann es anderen helfen, wenn Sie dem lokalen CERT (oder dem Koordinationszentrum des CERTs) Informationen des Einbruchs zur Verfügung stellen. Die gesammelten Informationen von gemeldeten Vorfällen werden verwendet, um herauszufinden, ob eine bestimmte Verwundbarkeit weit verbreitet ist, ob sich ein neuer Wurm ausbreitet oder welche neuen Angriffswerkzeuge eingesetzt werden. Diese Informationen werden benutzt, um die Internet-Gemeinschaft mit Informationen über die <url id="http://www.cert.org/current/" name="aktuellen Sicherheitsvorkommnisse"> zu versorgen und um <url id="http://www.cert.org/incident_notes/" name="Hinweise zu Vorfällen"> und sogar <url id="http://www.cert.org/advisories/" name="Ankündigungen"> zu veröffentlichen. Ausführliche Informationen, wie (und warum) ein Vorfall gemeldet wird, können Sie auf <url id="http://www.cert.org/tech_tips/incident_reporting.html" name="CERT's Incident Reporting Guidelines"> nachlesen.

note: type: <p></p>
en: You can also use less formal mechanisms if you need help for recovering from a compromise or want to discuss incident information. This includes the <url id="http://marc.theaimsgroup.com/?l=incidents" name="incidents mailing list"> and the <url id="http://marc.theaimsgroup.com/?l=intrusions" name="Intrusions mailing list">.
de: Sie können auch weniger formale Einrichtungen verwenden, wenn Sie Hilfe brauchen, um Ihr System wiederherzustellen, oder wenn Sie Informationen des Vorfalls diskutieren wollen. Dazu zählen die <url id="http://marc.theaimsgroup.com/?l=incidents" name=" Mailingliste für Vorfälle"> und die <url id="http://marc.theaimsgroup.com/?l=intrusions" name=" Mailingliste für Einbrüche">.

note: type: <heading></heading>
en: Forensic analysis
de: Forensische Analyse

note: type: <p></p>
en: If you wish to gather more information, the <package>tct</package> (The Coroner's Toolkit from Dan Farmer and Wietse Venema) package contains utilities which perform a <em>post mortem</em> analysis of a system. <package>tct</package> allows the user to collect information about deleted files, running processes and more. See the included documentation for more information. These same utilities and some others can be found in <url id="http://www.sleuthkit.org/" name="Sleuthkit and Autopsy"> by Brian Carrier, which provides a web front-end for forensic analysis of disk images. In Debian you can find both <package>sleuthkit</package> (the tools) and <package>autopsy</package> (the graphical front-end).
de: Wenn Sie mehr Informationen sammeln wollen, enthält das Paket <package>tct</package> (The Coroner's Toolkit von Dan Farmer und Wietse Venema) Werkzeuge für eine <em>post mortem</em>-Analyse des Systems. <package>tct</package> erlaubt es dem Benutzer, Informationen über gelöschte Dateien, laufende Prozesse und mehr zu sammeln. Sehen Sie für weitere Informationen in die mitgelieferte Dokumentation. Diese und andere Werkzeuge können auch auf <url name="Sleuthkit and Autopsy" id="http://www.sleuthkit.org/"> von Brian Carrier, welches ein Web-Frontend zur forensischen Analyse von Disk-Images zur Verfügung stellt, gefunden werden. In Debian befindet sich sowohl <package>sleuthkit</package> (die Werkzeuge) und <package>autopsy</package> (die grafische Oberfläche).

note: type: <p></p>
en: Remember that forensics analysis should be done always on the backup copy of the data, <em>never</em> on the data itself, in case the data is altered during analysis and the evidence is lost.
de: Forensische Analysen sollten immer auf einer Sicherheitskopie der Daten angewendet werden, <em>niemals</em> auf die Daten selbst, da sie durch diese Analyse beeinflusst werden könnten und so Beweismittel zerstört werden würden.

note: type: <p></p>
en: You will find more information on forensic analysis in Dan Farmer's and Wietse Venema's <url id="http://www.porcupine.org/forensics/forensic-discovery/" name="Forensic Discovery"> book (available online), as well as in their <url id="http://www.porcupine.org/forensics/column.html" name="Computer Forensics Column"> and their <url id="http://www.porcupine.org/forensics/handouts.html" name="Computer Forensic Analysis Class handouts">. Brian Carrier's newsletter <url id="http://www.sleuthkit.org/informer/index.php" name="The Sleuth Kit Informer"> is also a very good resource on forensic analysis tips. Finally, the <url id="http://www.honeynet.org/misc/chall.html" name="Honeynet Challenges"> are an excellent way to hone your forensic analysis skills as they include real attacks against honeypot systems and provide challenges that vary from forensic analysis of disks to firewall logs and packet captures. For information about available forensics packages in Debian visit <url id="http://forensics.alioth.debian.org/" name="Debian Forensics">
de: Weiterführende Informationen über forensische Analyse können Sie in Dan Farmers und Wietse Venemas Buch <url id="http://www.porcupine.org/forensics/forensic-discovery/" name="Forensic Discovery"> (online verfügbar), in ihrer <url id="http://www.porcupine.org/forensics/column.html" name="Computer Forensics Column"> und in ihrem <url id="http://www.porcupine.org/forensics/handouts.html" name="Computer Forensic Analysis Class Handouts"> finden. Eine weitere sehr gute Quelle für Tipps zur forensischen Analyse ist Brian Carriers Newsletter <url id="http://www.sleuthkit.org/informer/index.php" name="The Sleuth Kit Informer">. Auch die <url id="http://www.honeynet.org/misc/chall.html" name="Honeynet Challenges"> sind eine ausgezeichnete Möglichkeit, Ihre forensischen Fähigkeiten zu verbessern, da sie echte Angriffe auf Honigtopfsysteme umfassen und Herausforderungen bieten, die von der forensischen Analyse von Festplatten bis zu Protokollen der Firewall und Paketerfassung alles beinhalten.

note: type: <heading></heading>
en: Analysis of malware
de: Analyse von Schadprogrammen

note: type: <p><list>
en: Some other tools that can be used for forensic analysis provided in the Debian distribution are:
de: Einige andere Programme aus der Debian-Distribution, die für forensische Analyse verwendet werden können, sind:

note: type: <p></p>
en: <package>strace</package>.
de: <package>strace</package>

note: type: <p></p>
en: <package>ltrace</package>.
de: <package>ltrace</package>

note: type: <p></p>
en: Any of these packages can be used to analyze rogue binaries (such as back doors), in order to determine how they work and what they do to the system. Some other common tools include <prgn>ldd</prgn> (in <package>libc6</package>), <prgn>strings</prgn> and <prgn>objdump</prgn> (both in <package>binutils</package>).
de: Alle diese Pakete können dazu benutzt werden, um Schurkenprogramme (wie z.B. Hintertüren) zu analysieren, um herauszufinden, wie sie arbeiten und was sie mit dem System anstellen. Einige andere gebräuchliche Werkzeuge sind <prgn>ldd</prgn> (in <package>libc6</package>), <prgn>strings</prgn> und <prgn>objdump</prgn> (beide in <package>binutils</package>).

note: type: <p></p>
en: If you try to do forensic analysis with back doors or suspected binaries retrieved from compromised systems, you should do so in a secure environment (for example in a <package>bochs</package> or <package>xen</package> image or a <prgn>chroot</prgn>'ed environment using a user with low privileges<footnote><p>Be <em>very</em> careful if using chroots, since if the binary uses a kernel-level exploit to increase its privileges it might still be able to infect your system</p></footnote>). Otherwise your own system can be back doored/r00ted too!
de: Wenn Sie eine forensische Analyse von Hintertüren oder verdächtigen Programmen durchführen, die Sie von gehackten Systemen haben, sollten Sie dies in einer sicheren Umgebung durchführen, z.B. in einem <package>bochs</package>-, oder <package>xen</package>-Image oder in einer <prgn>chroot</prgn>-Umgebung eines Benutzers mit geringen Rechten.<footnote><p>Seien Sie <em>äußerst</em> vorsichtig, wenn sie Chroots einsetzen wollen, da das Binary durch Ausnutzung eines Kernel-Exploits seine Rechte erweitern und es ihm darüber gelingen könnte, Ihr System zu infizieren.</p></footnote> Andernfalls könnte auch auf Ihrem eigenen System eine Hintertür eingerichtet oder Root-Rechte erlangt werden.

note: type: <p></p>
en: If you are interested in malware analysis then you should read the <url id="http://www.porcupine.org/forensics/forensic-discovery/chapter6.html" name="Malware Analysis Basics"> chapter of Dan Farmer's and Wietse Venema's forensics book.
de: Falls Sie an der Analyse von Schadprogrammen interessiert sind, sollten Sie das Kapitel <url id="http://www.porcupine.org/forensics/forensic-discovery/chapter6.html" name="Malware Analysis Basics"> aus dem Forensik-Buch von Dan Farmer und Wietse Venema lesen.

note: type: <heading></heading>
en: Frequently asked Questions (FAQ)
de: Häufig gestellte Fragen / Frequently asked Questions (FAQ)

note: type: <p></p>
en: This chapter introduces some of the most common questions from the Debian security mailing list. You should read them before posting there or else people might tell you to RTFM.
de: Dieses Kapitel führt Sie in ein paar der am häufigsten gestellten Fragen in der Security-Mailingliste von Debian ein. Sie sollten sie lesen, bevor Sie dort etwas posten, oder die Leute werden Ihnen »RTFM!« sagen.

note: type: <heading></heading>
en: Security in the Debian operating system
de: Sicherheit im Debian-Betriebssystem

note: type: <heading></heading>
en: Is Debian more secure than X?
de: Ist Debian sicherer als X?

note: type: <p></p>
en: A system is only as secure as its administrator is capable of making it. Debian's default installation of services aims to be <em>secure</em>, but may not be as paranoid as some other operating systems which install all services <em>disabled by default</em>. In any case, the system administrator needs to adapt the security of the system to his local security policy.
de: Ein System ist so sicher, wie der Administrator fähig ist, es sicher zu machen. Debians Standardinstallation von Diensten zielt darauf ab, <em>sicher</em> zu sein. Sie ist aber nicht so paranoid wie andere Betriebssysteme, die Dienste <em>standardmäßig abgeschaltet</em>. In jedem Fall muss der Systemadministrator die Sicherheit des System den lokalen Sicherheitsmaßstäben anpassen.

note: type: <p></p>
en: For a collection of data regarding security vulnerabilities for many operating systems, see the <url id="http://www.cert.org/stats/cert_stats.html" name="US-CERT stats"> or generate stats using the <url id="http://nvd.nist.gov/statistics.cfm" name="National Vulnerability Database"> (formerly ICAT) Is this data useful? There are several factors to consider when interpreting the data, and it is worth noticing that the data cannot be used to compare the vulnerabilities of one operating system versus another.<footnote><p>For example, based on some data, it might seem that Windows NT is more secure than Linux, which is a questionable assertion. After all, Linux distributions usually provide many more applications compared to Microsoft's Windows NT. This <em>counting vulnerabilities</em> issues are better described in <url id="http://www.dwheeler.com/oss_fs_why.html#security" name="Why Open Source Software / Free Software (OSS/FS)? Look at the Numbers!"> by David A. Wheeler</p></footnote> Also, keep in mind that some reported vulnerabilities regarding Debian apply only to the <em>unstable</em> (i.e. unreleased) branch.
de: Für eine Übersicht der Sicherheitslücken von vielen Betriebssystemen sollten Sie sich die <url id="http://www.cert.org/stats/cert_stats.html" name="US-CERT-Statistik"> ansehen oder sich selber Statistiken mit der <url id="http://nvd.nist.gov/statistics.cfm" name="National Vulnerability Database"> (früher ICAT) erstellen. Sind diese Daten nützlich? Es müssen verschiedene Faktoren berücksichtigt werden, wenn die Daten interpretiert werden sollen. Man sollte beachten, dass diese Daten nicht dazu verwendet werden können, um die Verwundbarkeit eines Betriebssystems mit der eines anderen zu vergleichen. <footnote><p> Zum Beispiel könnte es auf Grundlage einiger Daten scheinen, dass Windows NT sicherer ist als Linux. Dies wäre eine fragwürdige Annahme. Das liegt daran, dass Linux-Distributionen normalerweise viel mehr Anwendungen zur Verfügung stellen als Microsofts Windows NT. Dieses Problem des <em>Abzählens von Sicherheitslücken</em> wird besser in <url id="http://www.dwheeler.com/oss_fs_why.html#security" name="Why Open Source Software / Free Software (OSS/FS)? Look at the Numbers!"> von David A. Wheeler beschrieben. </p></footnote> Bedenken Sie außerdem, dass sich einige registrierte Sicherheitslücken im Zusammenhang mit Debian nur auf den <em>Unstable</em>-Zweig, also den nicht offiziell veröffentlichten Zweig, beziehen.

note: type: <heading></heading>
en: Is Debian more secure than other Linux distributions (such as Red Hat, SuSE...)?
de: Ist Debian sicherer als andere Linux-Distributionen (wie Red Hat, SuSE, ...)?

note: type: <p></p>
en: There are not really many differences between Linux distributions, with exceptions to the base installation and package management system. Most distributions share many of the same applications, with differences mainly in the versions of these applications that are shipped with the distribution's stable release. For example, the kernel, Bind, Apache, OpenSSH, Xorg, gcc, zlib, etc. are all common across Linux distributions.
de: Der Unterschied zwischen den Linux-Distributionen ist nicht sehr groß mit Ausnahme der Basisinstallation und der Paketverwaltung. Die meisten Distributionen beinhalten zum Großteil die gleichen Anwendungen. Der Hauptunterschied besteht in den Versionen dieser Programme, die mit der stabilen Veröffentlichung der Distribution ausgeliefert werden. Zum Beispiel sind der Kernel, Bind, Apache, OpenSSH, Xorg, gcc, zlib, etc. in allen Linux-Distributionen vorhanden.

note: type: <p></p>
en: For example, Red Hat was unlucky and shipped when foo 1.2.3 was current, which was then later found to have a security hole. Debian, on the other hand, was lucky enough to ship foo 1.2.4, which incorporated the bug fix. That was the case in the big <url id="http://www.cert.org/advisories/CA-2000-17.html" name="rpc.statd"> problem from a couple years ago.
de: Ein Beispiel: Red Hat hatte Pech und wurde veröffentlicht, als foo 1.2.3 aktuell war. Später wurde darin eine Sicherheitslücke entdeckt. Dagegen hatte Debian das Glück, dass es mit foo 1.2.4 ausgeliefert wurde, in dem der Fehler schon behoben war. Das war der Fall beim großen Problem mit <url id="http://www.cert.org/advisories/CA-2000-17.html" name="rpc.statd"> vor ein paar Jahren.

note: type: <p></p>
en: There is a lot of collaboration between the respective security teams for the major Linux distributions. Known security updates are rarely, if ever, left unfixed by a distribution vendor. Knowledge of a security vulnerability is never kept from another distribution vendor, as fixes are usually coordinated upstream, or by <url id="http://www.cert.org" name="CERT">. As a result, necessary security updates are usually released at the same time, and the relative security of the different distributions is very similar.
de: Es besteht eine weitgehende Zusammenarbeit zwischen den jeweiligen Sicherheitsteams der großen Linux-Distributionen. Bekannte Sicherheitsaktualisierungen werden selten (wenn nicht sogar nie) von den Anbietern der Distribution nicht eingespielt. Das Wissen um eine Sicherheitslücke wird niemals vor anderen Anbietern von Distributionen geheim gehalten, da die Ausbesserungen gewöhnlich vom Programmautor oder von <url id="http://www.cert.org" name="CERT"> koordiniert werden. Das hat zur Folge, dass notwendige Sicherheitsaktualisierungen üblicherweise zur selben Zeit veröffentlicht werden. Damit ist die relative Sicherheit der verschiedenen Distributionen ziemlich ähnlich.

note: type: <p><list>
en: One of Debian's main advantages with regards to security is the ease of system updates through the use of <prgn>apt</prgn>. Here are some other aspects of security in Debian to consider:
de: Einer großen Vorteile von Debian in Hinblick auf die Sicherheit ist die Leichtigkeit von Systemaktualisierungen mit <prgn>apt</prgn>. Hier sind ein paar andere Aspekte über die Sicherheit in Debian, die Sie berücksichtigen sollten:

note: type: <p></p>
en: Debian provides more security tools than other distributions, see <ref id="sec-tools">.
de: Debian bietet mehr Sicherheitswerkzeuge an als andere Distributionen. Vergleichen Sie dazu <ref id="sec-tools">.

note: type: <p></p>
en: Debian's standard installation is smaller (less functionality), and thus more secure. Other distributions, in the name of usability, tend to install many services by default, and sometimes they are not properly configured (remember the <url id="http://www.sophos.com/virusinfo/analyses/linuxlion.html" name="Lion"> <url id="http://www.sophos.com/virusinfo/analyses/linuxramen.html" name="Ramen">). Debian's installation is not as limited as OpenBSD (no daemons are active per default), but it's a good compromise. <footnote><p>Without diminishing the fact that some distributions, such as Red Hat or Mandrake, are also taking into account security in their standard installations by having the user select <em>security profiles</em>, or using wizards to help with configuration of <em>personal firewalls</em>.</p></footnote>
de: Debians Standardinstallation ist kleiner (weniger Funktionen) und daher sicherer. Andere Distributionen tendieren im Namen der Benutzerfreundlichkeit dazu, standardmäßig viele Dienst zu installieren, und manchmal sind diese nicht ordentlich konfiguriert (denken Sie an <url id="http://www.sophos.com/virusinfo/analyses/linuxlion.html" name="Lion"> oder <url id="http://www.sophos.com/virusinfo/analyses/linuxramen.html" name="Ramen">). Debians Installation ist nicht so streng wie OpenBSD (dort laufen Daemonen standardmäßig nicht), aber es ist ein guter Kompromiss. <footnote><p> Ohne die Tatsache in Abrede zu stellen, dass einige Distributionen wie Red Hat oder Mandrake auch die Sicherheit bei ihrer Standardinstallation berücksichtigen, indem der Benutzer <em>Sicherheitsprofile</em> auswählen kann, oder Wizards verwendet werden, um beim Einrichten einer <em>Personal Firewall</em> zu helfen. </p></footnote>

note: type: <p></p>
en: Debian documents best security practices in documents like this one.
de: Debian stellt die besten Verfahren zur Sicherheit in Dokumenten wie diesem vor.

note: type: <heading></heading>
en: There are many Debian bugs in Bugtraq. Does this mean that it is very vulnerable?
de: In Bugtraq gibt es viele Debian-Fehler. Heißt das, dass es sehr gefährdet ist?

note: type: <p></p>
en: The Debian distribution boasts a large and growing number of software packages, probably more than provided by many proprietary operating systems. The more packages installed, the greater the potential for security issues in any given system.
de: Die Debian-Distribution enthält eine große und wachsende Zahl von Softwarepaketen, wahrscheinlich sogar mehr als mit vielen proprietären Betriebssystemen geliefert wird. Je mehr Pakete installiert sind, desto größer ist die Möglichkeit von Sicherheitslücken in einem System.

note: type: <p></p>
en: More and more people are examining source code for flaws. There are many advisories related to source code audits of the major software components included in Debian. Whenever such source code audits turn up security flaws, they are fixed and an advisory is sent to lists such as Bugtraq.
de: Immer mehr Menschen untersuchen den Quellcode, um Fehler zu entdecken. Es gibt viele Anweisungen im Zusammenhang mit Audits des Quellcodes von großen Softwarekomponenten, die in Debian enthalten sind. Immer wenn ein solcher Audit Sicherheitslücken aufdeckt, werden sie ausgebessert und eine Ankündigung wird an Listen wie Bugtraq geschickt.

note: type: <p></p>
en: Bugs that are present in the Debian distribution usually affect other vendors and distributions as well. Check the "Debian specific: yes/no" section at the top of each advisory (DSA).
de: Fehler, die in der Debian-Distribution vorhanden sind, betreffen normalerweise auch andere Anbieter und Distributionen. Prüfen Sie einfach den »Debian specific: yes/no«-Abschnitt am Anfang jeder Ankündigung (DSA).

note: type: <heading></heading>
en: Does Debian have any certification related to security?
de: Hat Debian irgendein Zertifikat für Sicherheit?

note: type: <p></p>
en: Short answer: no.
de: Die kurze Antwort: Nein.

note: type: <p></p>
en: Long answer: certification costs money (specially a <em>serious</em> security certification), nobody has dedicated the resources in order to certify Debian GNU/Linux to any level of, for example, the <url id="http://niap.nist.gov/cc-scheme/st/" name="Common Criteria">. If you are interested in having a security-certified GNU/Linux distribution, try to provide the resources needed to make it possible.
de: Die lange Antwort: Zertifikate kosten Geld (besonders ein <em>seriöses</em> Sicherheitszertifikat). Niemand hat die Ressourcen aufgebracht, um Debian GNU/Linux beispielsweise mit irgendeinem Level des <url id="http://niap.nist.gov/cc-scheme/st/" name="Common Criteria"> zertifizieren zu lassen. Wenn Sie daran interessiert sind, eine GNU/Linux-Distribution mit Sicherheitszertifikaten zu haben, stellen Sie uns die Ressourcen zur Verfügung, um dies möglich zu machen.

note: type: <p></p>
en: There are currently at least two linux distributions certified at different <url id="http://en.wikipedia.org/wiki/Evaluation_Assurance_Level" name="EAL"> levels. Notice that some of the CC tests are being integrated into the <url id="http://ltp.sourceforge.net" name="Linux Testing Project"> which is available in Debian in the <package>ltp</package>.
de: Es gibt im Moment mindestens zwei Linux-Distributionen, die mit verschiedenen <url id="http://en.wikipedia.org/wiki/Evaluation_Assurance_Level" name="EAL">-Levels zertifiziert sind. Beachten Sie, dass einige CC-Tests im <url id="http://ltp.sourceforge.net" name="Linux Testing Project"> vorhanden sind, welche in Debian durch <package>ltp</package> angeboten wird.

note: type: <heading></heading>
en: Are there any hardening programs for Debian?
de: Gibt es irgendein Abhärtungsprogramm für Debian?

note: type: <p></p>
en: Yes. <url id="http://bastille-linux.sourceforge.net/" name="Bastille Linux">, originally oriented toward other Linux distributions (Red Hat and Mandrake), it currently works also for Debian. Steps are being taken to integrate the changes made to the upstream version into the Debian package, named <package>bastille</package>.
de: Ja. <url name="Bastille Linux" id="http://bastille-linux.sourceforge.net">, das sich ursprünglich an anderen Linux-Distributionen (Red Hat und Mandrake) orientierte, es funktioniert derzeit auch mit Debian. Es sind Maßnahmen eingeleitet, um Änderungen am Originalprogramm auch in das Debian-Paket <package>bastille</package> einfließen zu lassen.

note: type: <p></p>
en: Some people believe, however, that a hardening tool does not eliminate the need for good administration.
de: Manche Leute glauben jedoch, dass ein Absicherungsprogramm nicht die Notwendigkeit einer guten Administration ersetzen kann.

note: type: <heading></heading>
en: I want to run XYZ service, which one should I choose?
de: Ich möchte den Dienst XYZ laufen lassen. Welchen sollte ich benutzen?

note: type: <p><list>
en: One of Debian's great strengths is the wide variety of choice available between packages that provide the same functionality (DNS servers, mail servers, ftp servers, web servers, etc.). This can be confusing to the novice administrator when trying to determine which package is right for you. The best match for a given situation depends on a balance between your feature and security needs. Here are some questions to ask yourself when deciding between similar packages:
de: Einer der größten Stärken von Debian ist die große Vielfalt von Paketen, welche die gleichen Funktionen erfüllen (DNS-Server, Mail-Server, FTP-Server, Web-Server etc.). Das kann einen unerfahrenen Administrator verwirren, wenn er herausfinden will, welches Paket das richtige für ihn ist. Die beste Wahl hängt in der Balance zwischen Ihrem Bedürfnis nach Funktionalität und dem nach Sicherheit in der jeweiligen Situation ab. Im Folgenden einige Fragen, die Sie sich stellen sollten, wenn Sie zwischen ähnlichen Paketen entscheiden müssen:

note: type: <p></p>
en: Is the software maintained upstream? When was the last release?
de: Wird die Software noch von ihrem Autor gepflegt? Wann war die letzte Veröffentlichung?

note: type: <p></p>
en: Is the package mature? The version number really does <em>not</em> tell you about its maturity. Try to trace the software's history.
de: Ist das Paket ausgereift? Die Versionsnummer sagt <em>nichts</em> darüber aus, wie ausgereift es ist. Versuchen Sie seine Geschichte nachzuvollziehen.

note: type: <p></p>
en: Is the software bug-ridden? Have there been security advisories related to it?
de: Ist die Software von Fehlern durchsetzt? Gab es Sicherheits-Ankündigungen im Zusammenhang mit ihr?

note: type: <p></p>
en: Does the software provide all the functionality you need? Does it provide more than you really need?
de: Stellt die Software die ganze Funktionalität zur Verfügung, die Sie benötigen? Bietet es mehr, als Sie wirklich brauchen?

note: type: <heading></heading>
en: How can I make service XYZ more secure in Debian?
de: Wie mache ich den Dienst XYZ unter Debian sicherer?

note: type: <p></p>
en: You will find information in this document to make some services (FTP, Bind) more secure in Debian GNU/Linux. For services not covered here, check the program's documentation, or general Linux information. Most of the security guidelines for Unix systems also apply to Debian. In most cases, securing service X in Debian is like securing that service in any other Linux distribution (or Un*x, for that matter).
de: Sie werden in diesem Dokument Informationen über das Absichern von einigen Diensten (FTP, Bind) unter Debian GNU/Linux finden. Für Dienste, die hier nicht abgedeckt werden, prüfen Sie die Programm-Dokumentation oder allgemeine Linux-Informationen. Die meisten Sicherheitshinweise für Unix-Systeme sind auch auf Debian anwendbar. So wird Dienst X unter Debian in den meisten Fällen wie in einer anderen Linux-Distribution (oder Un*x, was das betrifft) abgesichert.

note: type: <heading></heading>
en: How can I remove all the banners for services?
de: Wie kann ich die Banner von Diensten entfernen?

note: type: <p><example>
en: If you do not like users connecting to your POP3 daemon, for example, and retrieving information about your system, you might want to remove (or change) the banner the service shows to users. <footnote><p>Note that this is 'security by obscurity', and will probably not be worth the effort in the long term.</p></footnote> Doing so depends on the software you are running for a given service. For example, in <prgn>postfix</prgn>, you can set your SMTP banner in <file>/etc/postfix/main.cf</file>:
de: Wenn Sie z.B. nicht wollen, dass Benutzer sich mit Ihrem POP3-Daemon verbinden und dadurch Informationen über Ihr System erlangen, sollten Sie das Banner, das der Dienst den Benutzern zeigt, entfernen (oder verändern). <footnote><p> Beachten Sie, dass das »security by obscurity« ist und daher auf lange Sicht gesehen wahrscheinlich nicht der Mühe wert ist. </p></footnote> Wie Sie das anstellen können, hängt von der Software ab, mit der Sie einen bestimmten Dienst betreiben. Für <prgn>postfix</prgn> stellen Sie beispielsweise das SMTP-Banner in <file>/etc/postfix/main.cf</file> ein:

note: type: <p></p>
en: Other software is not as easy to change. <package>ssh</package> will need to be recompiled in order to change the version that it prints. Take care not to remove the first part (<tt>SSH-2.0</tt>) of the banner, which clients use to identify which protocol(s) is supported by your package.
de: Andere Software kann nicht so leicht verändert werden. <package>ssh</package> muss neu kompiliert werden, um die angezeigte Version zu ändern. Stellen Sie sicher, dass Sie nicht den ersten Teil des Banners (<tt>SSH-2.0</tt>) entfernen, da Clients ihn verwenden, um die von Ihrem Paket unterstützten Protokolle zu identifizieren.

note: type: <heading></heading>
en: Are all Debian packages safe?
de: Sind alle Debian-Pakete sicher?

note: type: <p></p>
en: The Debian security team cannot possibly analyze all the packages included in Debian for potential security vulnerabilities, since there are just not enough resources to source code audit the whole project. However, Debian does benefit from the source code audits made by upstream developers.
de: Das Sicherheitsteam von Debian kann nicht alle Pakete aus Debian auf potenzielle Sicherheitslücken hin analysieren, da es einfach nicht genug Ressourcen gibt, um für das gesamte Projekt ein Quellcodeaudit durchzuführen. Allerdings profitiert Debian von den Quellcode-Prüfungen durch die Originalautoren.

note: type: <p></p>
en: As a matter of fact, a Debian developer could distribute a Trojan in a package, and there is no possible way to check it out. Even if introduced into a Debian branch, it would be impossible to cover all the possible situations in which the Trojan would execute. This is why Debian has a <em>"no guarantees"</em> license clause.
de: Tatsächlich könnte ein Debian-Entwickler in einem Paket einen Trojaner verbreiten und es gibt keine Möglichkeit das nachzuprüfen. Sogar wenn es in einen Zweig von Debian eingeführt werden würde, wäre es unmöglich, alle möglichen Situationen abzudecken, in denen der Trojaner ausgeführt werden würde. Das ist der Grund, warum Debian eine <em>»Keine Gewährleistung«</em>-Klausel in seiner Lizenz hat.

note: type: <p></p>
en: However, Debian users can take confidence in the fact that the stable code has a wide audience and most problems would be uncovered through use. Installing untested software is not recommended in a critical system (if you cannot provide the necessary code audit). In any case, if there were a security vulnerability introduced into the distribution, the process used to include packages (using digital signatures) ensures that the problem can be ultimately traced back to the developer. The Debian project has not taken this issue lightly.
de: Allerdings können Debian-Benutzer insofern Vertrauen fassen, als dass der stabile Quellcode eine breite Prüfung hinter sich hat. Die meisten Probleme würden dabei durch Benutzung entdeckt. Es ist nicht zu empfehlen, ungetestete Software auf kritischen Systemen zu installieren, wenn Sie nicht die notwendige Code-Prüfung vornehmen können. In jedem Fall gewährleistet der Aufnahmeprozess in die Distribution (mit digitalen Signaturen), dass im Falle von in die Distribution eingeschleusten Sicherheitsproblemen das Problem letztendlich zum Entwickler zurückgeführt werden kann. Das Debian-Projekt hat diese Angelegenheiten nie auf die leichte Schulter genommen.

note: type: <heading></heading>
en: Why are some log files/configuration files world-readable, isn't this insecure?
de: Warum sind einige Protokoll- und Konfigurationsdateien für alle lesbar? Ist das nicht unsicher?

note: type: <p></p>
en: Of course, you can change the default Debian permissions on your system. The current policy regarding log files and configuration files is that they are world readable <em>unless</em> they provide sensitive information.
de: Natürlich können Sie die Standardrecht von Debian auf Ihrem System abändern. Der aktuelle Richtlinie in Bezug auf Protokoll- und Konfigurationsdateien besagt, dass sie für alle lesbar sein sollen, <em>es sei denn</em>, sie enthalten sensible Informationen.

note: type: <p><list>
en: Be careful if you do make changes since:
de: Seien Sie vorsichtig, wenn Sie Änderungen vornehmen:

note: type: <p></p>
en: Processes might not be able to write to log files if you restrict their permissions.
de: Prozesse könnten nicht mehr in der Lage sein, in Protokolldateien zu schreiben, wenn Sie ihre Rechte einschränken.

note: type: <p></p>
en: Some applications may not work if the configuration file they depend on cannot be read. For example, if you remove the world-readable permission from <file>/etc/samba/smb.conf</file>, the <prgn>smbclient</prgn> program will not work when run by a normal user.
de: Einige Anwendungen könnten nicht mehr funktionieren, wenn sie ihre Konfigurationsdatei nicht mehr lesen können. Wenn Sie zum Beispiel das Recht, für alle lesbar zu sein, von <file>/etc/samba/smb.conf</file> entfernen, kann das Programm <prgn>smbclient</prgn> nicht funktionieren, wenn es von einem normalen Benutzer ausgeführt wird.

note: type: <heading></heading>
en: Why does /root/ (or UserX) have 755 permissions?
de: Warum hat /root/ (oder BenutzerX) die Rechte 755?

note: type: <p></p>
en: As a matter of fact, the same questions stand for any other user. Since Debian's installation does not place <em>any</em> file under that directory, there's no sensitive information to protect there. If you feel these permissions are too broad for your system, consider tightening them to 750. For users, read <ref id="limit-user-perm">.
de: Tatsächlich kann die gleiche Frage auch für jeden anderen Benutzer gestellt werden. Da Debians Standardinstallation <em>keine</em> Dateien unter diesem Verzeichnis abgelegt, sind keine sensiblen Informationen vorhanden, die geschützt werden müssten. Wenn Sie denken, dass diese Rechte für Ihr System zu locker sind, können Sie sie auf 750 einschränken. Für Benutzer sollten Sie <ref id="limit-user-perm"> lesen.

note: type: <p></p>
en: This Debian security mailing list <url id="http://lists.debian.org/debian-devel/2000/debian-devel-200011/msg00783.html" name="thread"> has more on this issue.
de: Dieser <url id="http://lists.debian.org/debian-devel/2000/debian-devel-200011/msg00783.html" name= "Thread"> der Sicherheitsmailingliste von Debian hat weitere Ausführungen zu diesem Thema.

note: type: <heading></heading>
en: After installing a grsec/firewall, I started receiving many console messages! How do I remove them?
de: Nach der Installation von grsec oder einer Firewall bekomme ich viele Nachrichten auf der Konsole. Wie entferne ich sie?

note: type: <p></p>
en: If you are receiving console messages, and have configured <file>/etc/syslog.conf</file> to redirect them to either files or a special TTY, you might be seeing messages sent directly to the console.
de: Wenn Sie Nachrichten auf der Konsole empfangen, aber <file>/etc/syslog.conf</file> so eingerichtet haben, dass diese in Dateien oder auf ein spezielles TTY umgeleitet werden, sehen Sie dennoch Nachrichten auf der Konsole, die direkt an sie geschickt werden.

note: type: <p></p>
en: The default console log level for any given kernel is 7, which means that any message with lower priority will appear in the console. Usually, firewalls (the LOG rule) and some other security tools log lower that this priority, and thus, are sent directly to the console.
de: Der Standardloglevel der Konsole ist bei jeden Kernel 7, was bedeutet, dass alle Nachrichten mit einer niedrigeren Priorität auf der Konsole erscheinen werden. Für gewöhnlich haben Firewalls (die LOG-Regel) und einige andere Sicherheitswerkzeuge eine niedrigere Log-Priorität. Daher werden ihre Protokolle direkt an die Konsole geschickt.

note: type: <p><example>
en: To reduce messages sent to the console, you can use <prgn>dmesg</prgn> (<tt>-n</tt> option, see <manref name="dmesg" section="8">), which examines and <em>controls</em> the kernel ring buffer. To fix this after the next reboot, change <file>/etc/init.d/klogd</file> from:
de: Um die Nachrichten, die an die Konsole geschickt werden, zu verringern, können Sie <prgn>dmesg</prgn> (Option <tt>-n</tt>, vergleichen Sie <manref section="8" name="dmesg">) verwenden, das den Ringspeicher des Kernel untersucht und <em>steuert</em>. Damit das nach dem nächsten Neustart geändert ist, ändern Sie in <file>/etc/init.d/klogd</file> von

note: type: <p><example>
en: Use a lower number for <tt>-c</tt> if you are still seeing them. A description of the different log levels can be found in <file>/usr/include/sys/syslog.h</file>:
de: Verwenden Sie eine niedrigere Nummer für <tt>-c</tt>, wenn Sie immer noch unerwünschte Nachrichten sehen. Eine Beschreibung der verschiedenen Loglevels befindet sich in <file>/usr/include/sys/syslog.h</file>:

note: type: <heading></heading>
en: Operating system users and groups
de: Benutzer und Gruppen des Betriebssystems

note: type: <heading></heading>
en: Are all system users necessary?
de: Sind alle Systembenutzer notwendig?

note: type: <p></p>
en: Yes and no. Debian comes with some predefined users (user id (UID) &lt; 99 as described in <url id="http://www.debian.org/doc/debian-policy/" name="Debian Policy"> or <file>/usr/share/doc/base-passwd/README</file>) to ease the installation of some services that require that they run under an appropriate user/UID. If you do not intend to install new services, you can safely remove those users who do not own any files in your system and do not run any services. In any case, the default behavior is that UID's from 0 to 99 are reserved in Debian, and UID's from 100 to 999 are created by packages on install (and deleted when the package is purged).
de: Ja und nein. Debian wird mit einigen vordefinierten Benutzern (mit einer User-ID (UID) &lt; 99 wie  in der <url name="Debian Policy" id="http://www.de.debian.org/doc/debian-policy/"> oder in <file>/usr/share/doc/base-passwd/README</file> beschrieben) ausgeliefert. Dadurch wird die Installation einiger Dienste erleichtert, für die es notwendig ist, unter einem passenden Benutzer/UID zu laufen. Wenn Sie nicht vorhaben, neue Dienste zu installieren, können Sie die Benutzer entfernen, denen keine Dateien auf Ihrem System gehören und die keine Dienste laufen lassen. Unabhängig davon ist das Standardverhalten in Debian, dass UIDs von 0 bis 99 reserviert sind und UIDs von 100 bis 999 von Paketen bei der Installation erstellt werden und gelöscht werden, wenn das Pakete vollständig gelöscht wird (purge) wird.

note: type: <p><example>
en: To easily find users who don't own any files, execute the following command<footnote><p>Be careful, as this will traverse your whole system. If you have a lot of disk and partitions you might want to reduce it in scope.</p></footnote> (run it as root, since a common user might not have enough permissions to go through some sensitive directories):
de: Benutzer, denen keine Dateien gehören, finden Sie leicht mit dem folgenden Kommando<footnote><p>Bedenken Sie, dass damit Ihr gesamtes System durchsucht wird. Falls Sie viele Festplatten und Partitionen haben, sollten Sie u.U. den Suchrahmen einschränken.</p></footnote> (führen Sie es als Root aus, da ein normaler Benutzer nicht genügend Zugriffsrechte haben könnte, um einige sensible Verzeichnisse zu durchsuchen):

note: type: <p><list>
en: These users are provided by <package>base-passwd</package>. Look in its documentation for more information on how these users are handled in Debian. The list of default users (with a corresponding group) follows:
de: Diese Benutzer werden von dem Paket <package>base-passwd</package> angelegt. Sie finden Informationen über die Behandlung dieser Benutzer unter Debian in der Dokumentation des Pakets. Es folgt nun eine Liste der Standardbenutzer (mit einer entsprechenden Gruppe):

note: type: <p></p>
en: root: Root is (typically) the superuser.
de: root: Root ist (typischerweise) der Superuser.

note: type: <p></p>
en: daemon: Some unprivileged daemons that need to write to files on disk run as daemon.daemon (e.g., <prgn>portmap</prgn>, <prgn>atd</prgn>, probably others). Daemons that don't need to own any files can run as nobody.nogroup instead, and more complex or security conscious daemons run as dedicated users. The daemon user is also handy for locally installed daemons.
de: daemon: Einige unprivilegierte Daemonen, die Dateien auf die Festplatte schreiben müssen, laufen als daemon.daemon (z.B. <prgn>portmap</prgn>, <prgn>atd</prgn>, wahrscheinlich noch andere). Daemonen, die keine eigenen Dateien besitzen müssen, können stattdessen als nobody.nogroup laufen. Komplexere oder sicherheitsbewusste Daemonen laufen als eigenständige Benutzer.  Der Benutzer daemon ist auch praktisch für lokal installierte Daemons.

note: type: <p></p>
en: bin: maintained for historic reasons.
de: bin: aus historischen Gründen beibehalten

note: type: <p></p>
en: sys: same as with bin. However, /dev/vcs* and <file>/var/spool/cups</file> are owned by group sys.
de: sys: das gleiche wie bei bin. Jedoch gehören /dev/vcs* und <file>/var/spool/cups</file> der Gruppe sys.

note: type: <p></p>
en: sync: The shell of user sync is <file>/bin/sync</file>. Thus, if its password is set to something easy to guess (such as ""), anyone can sync the system at the console even if they have don't have an account.
de: sync: Die Shell des Benutzers sync ist <file>/bin/sync</file>. Wenn das Passwort auf etwas leicht zu ratendes gesetzt wurde (zum Beispiel »«), kann jeder das System von der Konsole aus synchronisieren lassen, auch wenn er kein Konto hat.

note: type: <p></p>
en: games: Many games are SETGID to games so they can write their high score files. This is explained in policy.
de: games: Viele Spiele sind SETGID »games«, damit sie ihre Highscore-Dateien schreiben können. Dies wird in der Richtlinie erklärt.

note: type: <p></p>
en: man: The man program (sometimes) runs as user man, so it can write cat pages to <file>/var/cache/man</file>
de: man: Das Programm man läuft (manchmal) als Benutzer »man«, damit es Cat-Seiten nach <file>/var/cache/man</file> schreiben kann.

note: type: <p></p>
en: lp: Used by printer daemons.
de: lp: wird von Druck-Daemonen benutzt

note: type: <p></p>
en: mail: Mailboxes in <file>/var/mail</file> are owned by group mail, as explained in policy. The user and group are used for other purposes by various MTA's as well.
de: mail: Mailboxen unter <file>/var/mail</file> gehören der Gruppe »mail«, wie in der Richtlinie erklärt wird. Der Benutzer und die Gruppe werden auch von verschiedene MTAs zu anderen Zwecken benutzt.

note: type: <p></p>
en: news: Various news servers and other associated programs (such as <prgn>suck</prgn>) use user and group news in various ways. Files in the news spool are often owned by user and group news. Programs such as <prgn>inews</prgn> that can be used to post news are typically SETGID news.
de: news: Verschiedene News-Server und ähnliche Programme (zum Beispiel <prgn>suck</prgn>) benutzen den Benutzer und die Gruppe news auf unterschiedliche Weise. Dateien im news-Spool gehören häufig dem Benutzer und der Gruppe news. Programme wie <prgn>inews</prgn>, die man benutzen kann, um News zu posten, sind normalerweise SETGID news.

note: type: <p></p>
en: uucp: The uucp user and group is used by the UUCP subsystem. It owns spool and configuration files. Users in the uucp group may run uucico.
de: uucp: Der Benutzer uucp und die Gruppe uucp werden vom UUCP-Subsystem benutzt. Ihnen gehören Spool- und Konfigurationsdateien. Nutzer in der Gruppe uucp können uucico aufrufen.

note: type: <p></p>
en: proxy: Like daemon, this user and group is used by some daemons (specifically, proxy daemons) that don't have dedicated user id's and that need to own files. For example, group proxy is used by <prgn>pdnsd</prgn>, and <prgn>squid</prgn> runs as user proxy.
de: proxy: Wie Daemon wird dieser Benutzer und diese Gruppe von manchen Daemonen (insbesondere Proxy-Daemonen) verwendet, die keine spezielle User-ID haben, aber eigene Dateien besitzen müssen. Zum Beispiel wird die Gruppe proxy von <prgn>pdnsd</prgn> benutzt, und <prgn>squid</prgn> läuft als Benutzer proxy.

note: type: <p></p>
en: majordom: <prgn>Majordomo</prgn> has a statically allocated UID on Debian systems for historical reasons. It is not installed on new systems.
de: majordom: <prgn>Majordomo</prgn> hat auf Debian-Systemen aus historischen Gründen eine statisch zugewiesene UID. Auf neuen Systemen wird sie nicht installiert.

note: type: <p></p>
en: postgres: <prgn>Postgresql</prgn> databases are owned by this user and group. All files in <file>/var/lib/postgresql</file> are owned by this user to enforce proper security.
de: postgres: <prgn>Postgresql</prgn>-Datenbanken gehören diesem Benutzer und dieser Gruppe. Alle Dateien in <file>/var/lib/postgresql</file> gehören diesem Benutzer, um anständige Sicherheit zu gewährleisten.

note: type: <p></p>
en: www-data: Some web servers run as www-data. Web content should <em>not</em> be owned by this user, or a compromised web server would be able to rewrite a web site. Data written out by web servers, including log files, will be owned by www-data.
de: www-data: Einige Web-Server laufen als www-data. Web-Inhalte sollten <em>nicht</em> diesem Benutzer gehören, andernfalls wäre ein kompromittierter Web-Server in der Lage, eine Web-Seite zu überschreiben. Daten, die der Web-Server schreibt, einschließlich Protokolldateien, gehören www-data.

note: type: <p></p>
en: backup: So backup/restore responsibilities can be locally delegated to someone without full root permissions.
de: backup: So können Backup-/Wiederherstellungszuständigkeiten lokal an irgendjemanden ohne volle Root-Zugriff delegiert werden.

note: type: <p></p>
en: operator: Operator is historically (and practically) the only 'user' account that can login remotely, and doesn't depend on NIS/NFS.
de: operator: operator ist historisch (und praktisch) das einzige »Benutzer«-Konto, in das man sich entfernt einloggen kann, und das nicht von NIS/NFS abhängt.

note: type: <p></p>
en: list: Mailing list archives and data are owned by this user and group. Some mailing list programs may run as this user as well.
de: list: Mailinglisten-Archive und Daten gehören diesem Benutzer und dieser Gruppe. Manche Mailinglisten-Programme laufen auch unter diesem Benutzer.

note: type: <p></p>
en: irc: Used by irc daemons. A statically allocated user is needed only because of a bug in <prgn>ircd</prgn>, which SETUID()s itself to a given UID on startup.
de: irc: Wird von irc-Daemonen benutzt. Ein statisch zugewiesener Benutzer wird nur wegen eines Fehlers in <prgn>ircd</prgn> benötigt, das beim Start SETUID() auf sich selbst für eine bestimmte UID ausführt.

note: type: <p></p>
en: gnats.
de: gnats

note: type: <p></p>
en: nobody, nogroup: Daemons that need not own any files run as user nobody and group nogroup. Thus, no files on a system should be owned by this user or group.
de: nobody, nogroup: Daemonen die keine eigenen Dateien haben laufen als Benutzer nobody und Gruppe nogroup. Demzufolge sollten keine Dateien auf dem gesamten System diesem Benutzer oder dieser Gruppe gehören.

note: type: <p><list>
en: Other groups which have no associated user:
de: Andere Gruppe, die keinen dazugehörigen Benutzer haben:

note: type: <p></p>
en: adm: Group adm is used for system monitoring tasks. Members of this group can read many log files in <file>/var/log</file>, and can use xconsole. Historically, <file>/var/log</file> was <file>/usr/adm</file> (and later <file>/var/adm</file>), thus the name of the group.
de: adm: Die Gruppe adm wird zu Zwecken der Überwachung benutzt. Mitglieder dieser Gruppe können viele Dateien in <file>/var/log</file> lesen und die xconsole benutzen. <file>/var/log</file> war früher einmal <file>/usr/adm</file> (und später <file>/var/adm</file>), daher der Name dieser Gruppe.

note: type: <p></p>
en: tty: TTY devices are owned by this group. This is used by write and wall to enable them to write to other people's TTYs.
de: tty: TTY-Geräte gehören dieser Gruppe. Die Befehle write und wall benutzen dies, um auf die TTYs anderer Leute zu schreiben.

note: type: <p></p>
en: disk: Raw access to disks. Mostly equivalent to root access.
de: disk: Roh-Zugriff auf Festplatten. Größtenteils äquivalent zum Root-Zugriff.

note: type: <p></p>
en: kmem: /dev/kmem and similar files are readable by this group. This is mostly a BSD relic, but any programs that need direct read access to the system's memory can thus be made SETGID kmem.
de: kmem: /dev/kmem und ähnliche Dateien sind von dieser Gruppe lesbar. Dies ist größtenteils ein Relikt aus BSD. Aber jedes Programm, das Lese-Zugriff auf den Systemspeicher braucht, kann so SETGID kmem gemacht werden.

note: type: <p></p>
en: dialout: Full and direct access to serial ports. Members of this group can reconfigure the modem, dial anywhere, etc.
de: dialout: Voller und direkter Zugriff auf serielle Schnittstellen. Mitglieder dieser Gruppen können Modems rekonfigurieren, sich irgendwo einwählen, usw.

note: type: <p></p>
en: dip: The group's name stands for "Dial-up IP", and membership in dip allows you to use tools like <prgn>ppp</prgn>, <prgn>dip</prgn>, <prgn>wvdial</prgn>, etc. to dial up a connection. The users in this group cannot configure the modem, but may run the programs that make use of it.
de: dip: Der Name der Gruppe steht für »Dial-up IP«. Mitgliedern der Gruppe dip können Programme wie <prgn>ppp</prgn>, <prgn>dip</prgn>, <prgn>wvdial</prgn> usw. benutzen, um eine Verbindung herzustellen. Die Benutzer in dieser Gruppe können das Modem nicht konfigurieren. Sie können lediglich Programme aufrufen, die es benutzen.

note: type: <p></p>
en: fax: Allows members to use fax software to send / receive faxes.
de: fax: erlaubt es den Mitgliedern, Fax-Software zu benutzen, um Faxe zu senden und zu empfangen.

note: type: <p></p>
en: voice: Voicemail, useful for systems that use modems as answering machines.
de: voice: Voicemail, nützlich für Systeme, die Modems als Anrufbeantworter benutzen

note: type: <p></p>
en: cdrom: This group can be used locally to give a set of users access to a CDROM drive.
de: cdrom: Diese Gruppe kann dazu benutzt werden, einer bestimmen Gruppe von Benutzern Zugriff auf CD-ROM-Laufwerke zu geben.

note: type: <p></p>
en: floppy: This group can be used locally to give a set of users access to a floppy drive.
de: floppy: Diese Gruppe kann dazu benutzt werden, einer bestimmen Gruppe von Benutzern Zugriff auf Diskettenlaufwerke zu geben.

note: type: <p></p>
en: tape: This group can be used locally to give a set of users access to a tape drive.
de: tape: Diese Gruppe kann dazu benutzt werden, einer bestimmen Gruppe von Benutzern Zugriff auf Bandlaufwerke zu geben.

note: type: <p></p>
en: sudo: Members of this group don't need to type their password when using <prgn>sudo</prgn>. See <file>/usr/share/doc/sudo/OPTIONS</file>.
de: sudo: Mitglieder dieser Gruppe müssen ihr Passwort nicht eingeben, wenn sie <prgn>sudo</prgn> benutzen. Siehe <file>/usr/share/doc/sudo/OPTIONS</file>.

note: type: <p></p>
en: audio: This group can be used locally to give a set of users access to an audio device.
de: audio: Diese Gruppe kann dazu benutzt werden, einer bestimmen Gruppe von Benutzern Zugriff auf jedes Audiogerät zu geben.

note: type: <p></p>
en: src: This group owns source code, including files in <file>/usr/src</file>. It can be used locally to give a user the ability to manage system source code.
de: src: Dieser Gruppe gehören die Quellcodes, einschließlich der Dateien in <file>/usr/src</file>. Sie kann benutzt werden, um einem bestimmten Benutzern die Möglichkeit zu bieten, Quellcode des Systems zu verwalten.

note: type: <p></p>
en: shadow: <file>/etc/shadow</file> is readable by this group. Some programs that need to be able to access the file are SETGID shadow.
de: shadow: <file>/etc/shadow</file> ist von dieser Gruppe lesbar. Einige Programme, die auf diese Datei zugreifen müssen, sind SETGID shadow.

note: type: <p></p>
en: utmp: This group can write to <file>/var/run/utmp</file> and similar files. Programs that need to be able to write to it are SETGID utmp.
de: utmp: Diese Gruppe kann nach <file>/var/run/utmp</file> und ähnlichen Dateien schreiben. Programme, die darin schreiben können müssen, sind SETGID utmp.

note: type: <p></p>
en: video: This group can be used locally to give a set of users access to a video device.
de: video: Diese Gruppe kann dazu benutzt werden, einer bestimmen Gruppe von Benutzern Zugriff auf ein Videogerät zu geben.

note: type: <p></p>
en: staff: Allows users to add local modifications to the system (<file>/usr/local</file>, <file>/home</file>) without needing root privileges. Compare with group "adm", which is more related to monitoring/security.
de: staff: Erlaubt Benutzern lokale Modifikationen am System vorzunehmen (<file>/usr/local</file>, <file>/home</file>), ohne dass sie Root-Privilegien bräuchten. Vergleichen Sie sie mit »adm«, die sich mehr auf Überwachung/Sicherheit bezieht.

note: type: <p></p>
en: users: While Debian systems use the private user group system by default (each user has their own group), some prefer to use a more traditional group system, in which each user is a member of this group.
de: users: Während Debian-Systeme standardmäßig das System einer privaten Benutzergruppe (jeder Benutzer hat seine eigene Gruppe) verwenden, ziehen es manche vor, ein traditionelleres Gruppen-System zu verwenden. In diesem System ist jeder Benutzer Mitglied dieser Gruppe.

note: type: <heading></heading>
en: I removed a system user! How can I recover?
de: Ich entfernte einen Systembenutzer! Wie kann ich dies rückgängig machen?

note: type: <p></p>
en: If you have removed a system user and have not made a backup of your <file>password</file> and <file>group</file> files you can try recovering from this issue using <prgn>update-passwd</prgn> (see <manref name="update-passwd" section="8">).
de: Wenn Sie einen Systembenutzer entfernt und kein Backup Ihrer <file>password</file>- und <file>group</file>-Dateien haben, können Sie versuchen, diesen mittels <prgn>update-passwd</prgn> (vergleichen Sie <manref name="update-passwd" section="8">) wiederherzustellen.

note: type: <heading></heading>
en: What is the difference between the adm and the staff group?
de: Was ist der Unterschied zwischen den Gruppen adm und staff?

note: type: <p></p>
en: The 'adm' group are usually administrators, and this group permission allows them to read log files without having to <prgn>su</prgn>. The 'staff' group are usually help-desk/junior sysadmins, allowing them to work in <file>/usr/local</file> and create directories in <file>/home</file>.
de: Die Gruppe »adm« besteht üblicherweise aus Administratoren. Die Rechte dieser Gruppe erlauben es ihnen, Protokolldateien zu lesen, ohne <prgn>su</prgn> benutzen zu müssen. Die Gruppe »staff« ist gewöhnlich für Kundendienst- und Junioradministratoren bestimmt und gibt ihnen die Möglichkeit, Dinge in <file>/usr/local</file> zu erledigen und Verzeichnisse in <file>/home</file> anzulegen.

note: type: <heading></heading>
en: Why is there a new group when I add a new user? (or Why does Debian give each user one group?)
de: Warum gibt es eine neue Gruppe, wenn ich einen neuen Benutzer anlege? (Oder warum gibt Debian jedem Benutzer eine eigene Gruppe?)

note: type: <p></p>
en: The default behavior in Debian is that each user has its own, private group. The traditional UN*X scheme assigned all users to the <em>users</em> group. Additional groups were created and used to restrict access to shared files associated with different project directories. Managing files became difficult when a single user worked on multiple projects because when someone created a file, it was associated with the primary group to which they belong (e.g. 'users').
de: Das Standardverhalten von Debian ist, dass jeder Benutzer seine eigene, persönliche Gruppe hat. Das traditionelle UN*X-Modell weist alle Benutzer der Gruppe <em>users</em> zu. Zusätzliche Gruppe werden erstellt, um den Zugang zu gemeinsam genutzten Dateien, die mit verschiedenen Projektverzeichnissen verbunden sind, einzuschränken. Die Dateiverwaltung wurde schwierig, wenn ein einzelner Benutzer an verschiedenen Projekten arbeitete, da, wenn jemand eine Datei erstellte, diese mit der primären Gruppe des Erstellers (z.B. »users«) verbunden war.

note: type: <p></p>
en: Debian's scheme solves this problem by assigning each user to their own group; so that with a proper umask (0002) and the SETGID bit set on a given project directory, the correct group is automatically assigned to files created in that directory. This makes it easier for people who work on multiple projects, because they will not have to change groups or umasks when working on shared files.
de: Das Modell von Debian löst dieses Problem, indem es jedem Benutzer seine eigene Gruppe zuweist. So wird mit einer korrekten Umask (0002) und mit dem SETGID-Bit für ein Projektverzeichnis den Dateien, die in diesem Verzeichnis erstellt werden, automatisch die richtige Gruppe zugewiesen. Das erleichtert die Arbeit von Menschen, die an verschiedenen Projekten arbeiten, da sie nicht die Gruppe oder Umasks ändern müssen, wenn sie mit gemeinsam genutzten Dateien arbeiten.

note: type: <p></p>
en: You can, however, change this behavior by modifying <file>/etc/adduser.conf</file>. Change the <em>USERGROUPS</em> variable to 'no', so that a new group is not created when a new user is created. Also, set <em>USERS_GID</em> to the GID of the users group which all users will belong to.
de: Sie können allerdings dieses Verhalten verändern, indem Sie <file>/etc/adduser.conf</file> modifizieren. Ändern Sie die Variable <em>USERGROUPS</em> auf »no« ab. Dadurch wird keine neue Gruppe erstellt, wenn ein neuer Benutzer angelegt wird. Sie sollten auch <em>USERS_GID</em> die GID der Gruppe zuweisen, der alle Benutzer angehören.

note: type: <heading></heading>
en: Questions regarding services and open ports
de: Fragen über Dienste und offene Ports

note: type: <heading></heading>
en: Why are all services activated upon installation?
de: Warum werden alle Dienste während der Installation aktiviert?

note: type: <p></p>
en: That's just an approach to the problem of being, on one side, security conscious and on the other side user friendly. Unlike OpenBSD, which disables all services unless activated by the administrator, Debian GNU/Linux will activate all installed services unless deactivated (see <ref id="disableserv"> for more information). After all you installed the service, didn't you?
de: Das ist der Annäherung an das Problem, auf der einen Seite sicherheitsbewusst und auf der anderen Seite benutzerfreundlich zu sein. Anders als OpenBSD, das alle Dienste abschaltet, bis sie vom Administrator aktiviert werden, aktiviert Debian GNU/Linux alle installierten Dienste, bis sie abgeschaltet werden (siehe dazu <ref id="disableserv">). Immerhin haben Sie den Dienst installiert, oder?

note: type: <p></p>
en: There has been much discussion on Debian mailing lists (both at debian-devel and at debian-security) regarding which is the better approach for a standard installation. However, as of this writing (March 2002), there still isn't a consensus.
de: Es gab viele Diskussionen auf Debian-Mailinglisten (sowohl auf debian-devel als auch auf debian-security) darüber, welches die bessere Vorgehensweise für eine Standardinstallation ist. Jedoch gab es bisher (10. März 2002) keinen Konsens.

note: type: <heading></heading>
en: Can I remove <prgn>inetd</prgn>?
de: Kann ich <prgn>inetd</prgn> entfernen?

note: type: <p></p>
en: <prgn>Inetd</prgn> is not easy to remove since <package>netbase</package> depends on the package that provides it (<package>netkit-inetd</package>). If you want to remove it, you can either disable it (see <ref id="disableserv">) or remove the package by using the <package>equivs</package> package.
de: <prgn>Inetd</prgn> ist nicht leicht zu entfernen, da <package>netbase</package> von dem Paket abhängt, das es enthält (<package>netkit-inetd</package>). Wenn Sie es entfernen wollen, können Sie es entweder abschalten (siehe <ref id="disableserv">) oder das Paket entfernen, indem Sie das Paket <package>equivs</package> benutzen.

note: type: <heading></heading>
en: Why do I have port 111 open?
de: Warum ist bei mir Port 111 offen?

note: type: <p></p>
en: Port 111 is sunrpc's portmapper, and it is installed by default as part of Debian's base installation since there is no need to know when a user's program might need RPC to work correctly. In any case, it is used mostly for NFS. If you do not need it, remove it as explained in <ref id="rpc">.
de: Port 111 ist sunrpcs Portmapper und wird standardmäßig bei der Grundinstallationen eines Debian-Systems eingerichtet, da es keine Möglichkeit gibt herauszubekommen, wann ein Programm eines Benutzers RPC gebrauchen könnte, um korrekt zu arbeiten. Jedenfalls wird es meistens von NFS benutzt. Wenn Sie kein NFS benutzen, entfernen Sie es, wie in <ref id="rpc"> erklärt.

note: type: <p></p>
en: In versions of the <package>portmap</package> package later than 5-5 you can actually have the portmapper installed but listening only on localhost (by modifying <file>/etc/default/portmap</file>)
de: In Versionen des Pakets <package>portmap</package> später als 5-5 können Sie sogar den Portmapper installieren, aber ihn nur auf dem Localhost lauschen lassen (dazu müssen Sie <file>/etc/default/portmap</file> verändern).

note: type: <heading></heading>
en: What use is <prgn>identd</prgn> (port 113) for?
de: Wozu ist der <prgn>identd</prgn> (Port 113) da?

note: type: <p></p>
en: Identd service is an authentication service that identifies the owner of a specific TCP/IP connection to the remote server accepting the connection. Typically, when a user connects to a remote host, <prgn>inetd</prgn> on the remote host sends back a query to port 113 to find the owner information. It is often used by mail, FTP and IRC servers, and can also be used to track down which user in your local system is attacking a remote system.
de: Der Dienst Identd ist ein Authentisierungsdienst, der den Besitzer einer bestimmten TCP/IP-Verbindung zu einem entfernten Server, der die Verbindung annimmt, identifiziert. Wenn ein Benutzer sich mit einem entfernten Host verbindet, schickt <prgn>inetd</prgn> auf dem entfernten Host üblicherweise eine Anfrage an Port 113 zurück, um Informationen über den Besitzer herauszufinden. Er wird häufig von Mail-, FTP- und IRC-Servern eingesetzt. Er kann auch dazu verwendet werden, um einen Benutzer Ihres lokalen Systems, der ein entferntes System angreift, aufzuspüren.

note: type: <p></p>
en: There has been extensive discussion on the security of <prgn>identd</prgn> (See <url id="http://lists.debian.org/debian-security/2001/debian-security-200108/msg00297.html" name="mailing list archives">). In general, <prgn>identd</prgn> is more helpful on a multi-user system than on a single user workstation. If you don't have a use for it, disable it, so that you are not leaving a service open to the outside world. If you decide to firewall the identd port, <em>please</em> use a reject policy and not a deny policy, otherwise a connection to a server utilizing <prgn>identd</prgn> will hang until a timeout expires (see <url id="http://logi.cc/linux/reject_or_deny.php3" name="reject or deny issues">).
de: Es gab ausführliche Diskussionen über die Sicherheit von <prgn>identd</prgn> (siehe in den <url id="http://lists.debian.org/debian-security/2001/debian-security-200108/msg00297.html" name="Archiven der Mailingliste">. Im Allgemeinen ist <prgn>identd</prgn> auf Multi-User-Systemen nützlicher als auf einer Workstation mit nur einem Benutzer. Wenn Sie keine Verwendung von ihn haben, sollten Sie ihn abschalten, damit Sie keinen Dienst für die Außenwelt offen lassen. Wenn Sie sich entscheiden, den identd-Port mit einer Firewall zu blockieren, benutzen Sie <em>bitte</em> die Regel »reject« und nicht die Regel »deny«, da andernfalls eine Verbindung zu einem Server, die <prgn>identd</prgn> verwendet, bis zu einer Zeitüberschreitung hängen bleiben wird (lesen Sie dazu <url id="http://logi.cc/linux/reject_or_deny.php3" name="reject or deny issues">).

note: type: <heading></heading>
en: I have services using port 1 and 6, what are they and how can I remove them?
de: Ich habe Dienste, welche die Ports 1 und 6 verwenden. Welche sind das und wie kann ich sie entfernen?

note: type: <p><example>
en: If you have run the command <tt>netstat -an</tt> and receive:
de: Sie führen den Befehl <tt>netstat -an</tt> aus und erhalten Folgendes:

note: type: <p></p>
en: You are <em>not</em> seeing processes listening on TCP/UDP port 1 and 6. In fact, you are seeing a process listening on a <em>raw</em> socket for protocols 1 (ICMP) and 6 (TCP). Such behavior is common to both Trojans and some intrusion detection systems such as <package>iplogger</package> and <package>portsentry</package>. If you have these packages simply remove them. If you do not, try netstat's <tt>-p</tt> (process) option to see which process is running these listeners.
de: Sie sehen <em>nicht</em> Prozesse, die auf dem TCP/UDP-Port 1 und 6 lauschen. Tatsächlich sehen Sie einen Prozess, der auf einem <em>Raw</em>-Socket für Protokoll 1 (ICMP) und 6 (TCP) lauscht. Ein solches Verhalten ist für Trojaner und einige Systeme zur Eindringlingserkennung wie <package>iplogger</package> und <package>portsentry</package> üblich. Wenn Sie diese Pakete besitzen, löschen Sie sie einfach. Falls nicht, versuchen Sie mit netcats Option <tt>-p</tt> (Prozess) herauszufinden, welcher Prozess diese Lauscher betreibt.

note: type: <heading></heading>
en: I found the port XYZ open, can I close it?
de: Ich habe festgestellt, dass Port XYZ offen ist. Kann ich ihn schließen?

note: type: <p></p>
en: Yes, of course. The ports you are leaving open should adhere to your individual site's policy regarding public services available to other networks. Check if they are being opened by <prgn>inetd</prgn> (see <ref id="inetd">), or by other installed packages and take the appropriate measures (i.e, configure inetd, remove the package, avoid it running on boot-up).
de: Ja, natürlich. Die Ports, die Sie offen lassen, hängen von Ihrer individuellen Richtlinie bezüglich öffentlich zugänglicher Dienste ab. Prüfen Sie, ob sie von <prgn>inetd</prgn> (siehe <ref id="inetd">) oder von anderen installierten Paketen geöffnet werden, und leiten Sie passende Maßnahmen ein (d.h. konfigurieren Sie inetd, entfernen Sie das Paket, verhindern Sie, dass der Dienst beim Booten gestartet wird).

note: type: <heading></heading>
en: Will removing services from <file>/etc/services</file> help secure my box?
de: Hilft das Löschen von Diensten aus <file>/etc/services</file>, um meinen Rechner abzusichern?

note: type: <p></p>
en: <em>No</em>, <file>/etc/services</file> only provides a mapping between a virtual name and a given port number. Removing names from this file will not (usually) prevent services from being started. Some daemons may not run if <file>/etc/services</file> is modified, but that's not the norm. To properly disable the service, see <ref id="disableserv">.
de: <em>Nein</em>, <file>/etc/services</file> stellt nur eine Verbindung zwischen virtuellem Namen und Portnummer her. Das Entfernen von Namen aus dieser Datei verhindert (üblicherweise) nicht, dass ein Dienst gestartet wird. Manche Daemonen starten vielleicht nicht, wenn <file>/etc/services</file> verändert wurde, aber das ist nicht die Norm. Um einen Dienst richtig abzuschalten, sehen Sie sich <ref id="disableserv"> an.

note: type: <heading></heading>
en: Common security issues
de: Allgemeine Sicherheitsprobleme

note: type: <heading></heading>
en: I have lost my password and cannot access the system!
de: Ich habe mein Passwort vergessen und kann auf das System nicht mehr zugreifen!

note: type: <p></p>
en: The steps you need to take in order to recover from this depend on whether or not you have applied the suggested procedure for limiting access to <prgn>lilo</prgn> and your system's BIOS.
de: Die nötigen Schritte, um wieder Zugriff erhalten, hängen davon ab, ob Sie die vorgeschlagene Prozedur zum Absichern von <prgn>lilo</prgn> und BIOS durchgeführt haben oder nicht.

note: type: <p></p>
en: If you have limited both, you need to disable the BIOS setting that only allows booting from the hard disk before proceeding. If you have also forgotten your BIOS password, you will have to reset your BIOS by opening the system and manually removing the BIOS battery.
de: Wenn Sie beides eingeschränkt haben, müssen Sie im BIOS erlauben, von anderen Medien als der Festplatte zu booten, bevor Sie weitermachen können. Wenn Sie auch Ihr BIOS-Passwort vergessen haben, müssen Sie Ihr BIOS zurücksetzen. Dazu öffnen Sie das PC-Gehäuse und entfernen die BIOS-Batterie.

note: type: <p><list>
en: Once you have enabled booting from a CD-ROM or diskette enable, try the following:
de: Sobald Sie das Booten von CD-ROM oder Diskette eingeschaltet haben, sollten Sie Folgendes ausprobieren:

note: type: <p></p>
en: Boot-up from a rescue disk and start the kernel
de: Booten Sie von eine Rettungsdiskette und starten den Kernel.

note: type: <p></p>
en: Go to the virtual console (Alt+F2)
de: Wechseln Sie mit Alt+F2 auf eine virtuelle Konsole.

note: type: <p></p>
en: Mount the hard disk where your /root is
de: Binden Sie die Partition ein, auf der sich Ihr /root befindet.

note: type: <p><example>
en: Edit (Debian 2.2 rescue disk comes with the editor <prgn>ae</prgn>, and Debian 3.0 comes with <prgn>nano-tiny</prgn> which is similar to <prgn>vi</prgn>) <file>/etc/shadow</file> and change the line:
de: Editieren Sie (auf der Rettungsdiskette von Debian 2.2 befindet sich <prgn>ae</prgn>, Debian 3.0 enthält <prgn>nano-tiny</prgn>, der <prgn>vi</prgn> ähnelt) die Datei <file>/etc/shadow</file> und ändern Sie die Zeile:

note: type: <example></example>
en:   root:asdfjl290341274075:XXXX:X:XXXX:X::: (X=any number)
de:   root:asdfjl290341274075:XXXX:X:XXXX:X::: (X=irgendeine Ziffer)

note: type: <p></p>
en: This will remove the forgotten root password, contained in the first colon separated field after the user name. Save the file, reboot the system and login with root using an empty password. Remember to reset the password. This will work unless you have configured the system more tightly, i.e. if you have not allowed users to have null passwords or not allowed root to login from the console.
de: Dies entfernt das vergessene Root-Passwort, das sich im ersten durch Doppelpunkte abgetrennten Feld nach dem Benutzernamen befand. Speichern Sie die Datei ab, starten Sie das System neu und melden Sie sich als Root mit einem leeren Passwort an. Dies wird funktionieren, außer wenn Sie Ihr System etwas sicherer eingestellt haben, d.h. wenn Sie nicht erlauben, dass Benutzer leere Passwörter haben, oder dass Root sich auf einer Konsole einloggen kann.

note: type: <p></p>
en: If you have introduced these features, you will need to enter into single user mode. If LILO has been restricted, you will need to rerun <prgn>lilo</prgn> just after the root reset above. This is quite tricky since your <file>/etc/lilo.conf</file> will need to be tweaked due to the root (/) file system being a ramdisk and not the real hard disk.
de: Falls Sie derartige Maßnahmen getroffen haben, müssen Sie im Single-User-Modus starten. Wenn Sie LILO eingeschränkt haben, müssen <prgn>lilo</prgn> erneut ausführen, nachdem Sie das Root-Passwort zurückgesetzt haben. Das ist ziemlich verzwickt, da Ihre <file>/etc/lilo.conf</file> verändert werden muss, da das Root-Dateisystem (/) eine RAM-Disk und keine echte Festplatte ist.

note: type: <p><list>
en: Once LILO is unrestricted, try the following:
de: Sobald LILO nicht mehr eingeschränkt ist, versuchen Sie Folgendes:

note: type: <p></p>
en: Press the Alt, shift or Control key just before the system BIOS finishes, and you should get the LILO prompt.
de: Drücken Sie Alt, Shift oder Steuerung (Control), kurz bevor das BIOS seine Arbeit beendet hat, und Sie sollten nun einen LILO-Prompt erhalten.

note: type: <p></p>
en: Type <tt>linux single</tt>, <tt>linux init=/bin/sh</tt> or <tt>linux 1</tt> at the prompt.
de: Geben Sie am Prompt <tt>linux single</tt>, <tt>linux init=/bin/sh</tt> oder <tt>linux 1</tt> ein.

note: type: <p></p>
en: This will give you a shell prompt in single-user mode (it will ask for a password, but you already know it)
de: Sie erhalten einen Shell-Prompt im Single-User-Modus (Sie werden nach dem Passwort gefragt, aber das kennen Sie jetzt ja).

note: type: <p><example>
en: Re-mount read/write the root (/) partition, using the mount command.
de: Binden Sie die Root-Partition (/) im Schreib/Lese-Modus neu ein, indem Sie den Befehl mount verwenden:

note: type: <p></p>
en: Change the superuser password with <prgn>passwd</prgn> (since you are superuser it will not ask for the previous password).
de: Ändern Sie das Superuser-Passwort mit <prgn>passwd</prgn> (da Sie der Superuser sind, werden Sie nicht nach dem alten Passwort gefragt).

note: type: <heading></heading>
en: How do I accomplish setting up a service for my users without giving out shell accounts?
de: Wie muss ich vorgehen, wenn ich meinen Benutzern einen Dienst anbieten möchte, ihnen aber keine Shell-Konten geben will?

note: type: <p><example>
en: For example, if you want to set up a POP service, you don't need to set up a user account for each user accessing it. It's best to set up directory-based authentication through an external service (like Radius, LDAP or an SQL database). Just install the appropriate PAM library (<package>libpam-radius-auth</package>, <package>libpam-ldap</package>, <package>libpam-pgsql</package> or <package>libpam-mysql</package>), read the documentation (for starters, see <ref id="auth-pam">) and configure the PAM-enabled service to use the back end you have chosen. This is done by editing the files under <file>/etc/pam.d/</file> for your service and modifying the
de: Wenn Sie zum Beispiel einen POP-Dienst anbieten wollen, müssen Sie nicht für jeden zugreifenden Benutzer ein Konto anlegen. Am besten setzen Sie hierzu eine Authentifizierung, die auf Verzeichnisses basiert, durch einen externen Dienst (wie Radius, LDAP oder eine SQL-Datenbank) ein. Installieren Sie einfach die gewünschte PAM-Bibliothek (<package>libpam-radius-auth</package>, <package>libpam-ldap</package>, <package>libpam-pgsql</package> oder <package>libpam-mysql</package>), lesen Sie die Dokumentation (Einsteiger sehen bitte unter <ref id="auth-pam"> nach) und konfigurieren Sie den PAM-nutzenden Dienst, so dass er Ihren Backend benutzt. Bearbeiten Sie dazu die dem Dienst entsprechenden Dateien unter <file>/etc/pam.d/</file> und ändern die folgenden Zeile von:

note: type: </example><example>
en: to, for example, ldap:
de: beispielsweise für ldap zu:

note: type: <p><example>
en: In the case of LDAP directories, some services provide LDAP schemas to be included in your directory that are required in order to use LDAP authentication. If you are using a relational database, a useful trick is to use the <em>where</em> clause when configuring the PAM modules. For example, if you have a database with the following table attributes:
de: Im Fall von LDAP-Verzeichnissen liefern manche Dienste LDAP-Schemata mit, die Sie Ihrem Verzeichnis hinzufügen können, um eine LDAP-Authentifizierung zu benutzen. Wenn Sie relationale Datenbanken benutzen, gibt es einen nützlichen Trick: Benutzen Sie die Klausel <em>where</em>, wenn Sie die PAM-Module konfigurieren. Wenn Sie beispielsweise eine Datenbank mit der folgenden Tabelle haben:

note: type: <p><list>
en: By making the services attributes boolean fields, you can use them to enable or disable access to the different services just by inserting the appropriate lines in the following files:
de: Wenn Sie die Attribute der Dienste zu Boolean-Feldern machen, können Sie sie verwenden, um den Zugang zu den verschiedenen Diensten zu erlauben oder zu verbieten. Sie müssen dazu nur die geeigneten Zeilen in folgende Dateien einfügen:

note: type: <heading></heading>
en: My system is vulnerable! (Are you sure?)
de: Mein System ist angreifbar! (Sind Sie sich sicher?)

note: type: <heading></heading>
en: Vulnerability assessment scanner X says my Debian system is vulnerable!
de: Der Scanner X zur Einschätzung der Verwundbarkeit sagt, dass mein Debian-System verwundbar wäre?

note: type: <p></p>
en: Many vulnerability assessment scanners give false positives when used on Debian systems, since they only use version checks to determine if a given software package is vulnerable, but do not really test the security vulnerability itself. Since Debian does not change software versions when fixing a package (many times the fix made for newer releases is back ported), some tools tend to think that an updated Debian system is vulnerable when it is not.
de: Viele Scanner zur Einschätzung der Verwundbarkeit liefern falsche Positivmeldungen, wenn sie auf Debian-Systemen eingesetzt werden. Das liegt daran, dass sie nur die Version eines Softwarepakets überprüfen, um herauszufinden, ob es verwundbar ist. Sie prüfen nicht, ob tatsächlich eine Sicherheitslücke vorhanden ist. Da Debian nicht die Version einer Software ändert, wenn ein Paket repariert wird (häufig werden Ausbesserungen an neueren Veröffentlichungen zurückportiert), neigen einige Werkzeuge dazu zu denken, dass ein aktualisiertes Debian-System verwundbar ist, auch wenn das nicht der Fall ist.

note: type: <p></p>
en: If you think your system is up to date with security patches, you might want to use the cross references to security vulnerability databases published with the DSAs (see <ref id="dsa">) to weed out false positives, if the tool you are using includes CVE references.
de: Wenn Sie denken, dass Ihr System auf dem aktuellen Stand der Sicherheitsaktualisierungen ist, sollten Sie die Querverweise zu den Datenbanken mit Sicherheitslücken, in denen die DSAs veröffentlicht sind (vergleichen Sie dazu <ref id="dsa">), verwenden, um falsche Positive auszusondern, wenn das Programm, das Sie verwenden, CVE-Referenzen enthält.

note: type: <heading></heading>
en: I've seen an attack in my system's logs. Is my system compromised?
de: Ich habe in meinen Protokolldateien einen Angriff gesehen: Ist mein System kompromittiert?

note: type: <p></p>
en: A trace of an attack does not always mean that your system has been compromised, and you should take the usual steps to determine if the system is indeed compromised (see <ref id="after-compromise">). Even if your system was not vulnerable to the attack that was logged, a determined attacker might have used some other vulnerability besides the ones you have detected.
de: Ein Hinweis auf einen Angriff heißt nicht notwendigerweise, dass Ihr System gehackt wurde. Leiten Sie die üblichen Schritte ein, um festzustellen, ob das System kompromittiert wurde (siehe <ref id="after-compromise">). Selbst wenn Ihr System hinsichtlich des protokollierten Angriffs nicht verwundbar ist, könnte ein entschlossener Angreifer neben der von Ihnen entdeckten Sicherheitslücke auch eine andere ausgenutzt haben.

note: type: <heading></heading>
en: I have found strange 'MARK' lines in my logs: Am I compromised?
de: Ich habe in meinen Protokollen merkwürdige »MARK«-Einträge gefunden. Wurde ich gehackt?

note: type: <p><example>
en: You might find the following lines in your system logs:
de: Sie können die folgenden Zeilen in Ihren Systemprotokollen finden:

note: type: <p><example>
en: This does not indicate any kind of compromise, and users changing between Debian releases might find it strange. If your system does not have high loads (or many active services), these lines might appear throughout your logs. This is an indication that your <prgn>syslogd</prgn> daemon is running properly. From <manref name="syslogd" section="8">:
de: Dies stellt keinen Hinweis auf eine Kompromittierung dar, obwohl Benutzer, die von einer Debian-Release wechseln, es vielleicht merkwürdig finden. Wenn Ihr System keine große Last (oder nicht viele aktive Dienste) hat, können diese Zeilen in alle Protokollen auftauchen. Dies ist ein Hinweis, dass Ihr <prgn>syslogd</prgn>-Daemon richtig läuft. Aus <manref section="8" name="syslogd">:

note: type: <example></example>
en:        -m interval
                  The syslogd logs a mark timestamp  regularly.   The
                  default interval between two -- MARK -- lines is 20
                  minutes.  This can be  changed  with  this  option.
                  Setting the interval to zero turns it off entirely.
de:     -m interval
                  Der Syslogd protokolliert regelmäßig einen
                  Zeitstempel. Der voreingestellte Abstand zwischen zwei
                  &ndash; MARK &ndash; Zeilen ist 20 Minuten. Er kann mit dieser Option
                  geändert werden. Setzen Sie den Abstand auf Null, um
                  die Zeitstempel komplett abzuschalten.

note: type: <heading></heading>
en: I found users using 'su' in my logs: Am I compromised?
de: Ich habe Benutzer gefunden, die laut meinen Protokolldateien »su« benutzen: Bin ich kompromittiert?

note: type: <p><example>
en: You might find lines in your logs like:
de: Sie könnten in Ihren Protokolldateien Zeilen wie die folgenden finden:

note: type: <p><example>
en: Don't worry too much. Check to see if these entries are due to <prgn>cron</prgn> jobs (usually <file>/etc/cron.daily/find</file> or <prgn>logrotate</prgn>):
de: Seien Sie nicht zu besorgt. Prüfen Sie, ob dies durch einen <prgn>Cron</prgn>-Job hervorgerufen wird (normalerweise <file>/etc/cron.daily/find</file> oder <prgn>logrotate</prgn>):

note: type: <heading></heading>
en: I have found 'possible SYN flooding' in my logs: Am I under attack?
de: Ich habe »possible SYN flooding« in meinen Protokollen entdeckt: Werde ich angegriffen?

note: type: <p><example>
en: If you see entries like these in your logs:
de: Sie sehen Einträge wie diese in Ihren Protokollen:

note: type: <p><example>
en: Check if there is a high number of connections to the server using <prgn>netstat</prgn>, for example:
de: Überprüfen Sie mit <prgn>netstat</prgn>, ob es eine große Anzahl von Verbindungen zum Server gibt. Zum Beispiel:

note: type: <p></p>
en: This is an indication of a denial of service (DoS) attack against your system's X port (most likely against a public service such as a web server or mail server). You should activate TCP syncookies in your kernel, see <ref id="tcp-syncookies">. Note, however, that a DoS attack might flood your network even if you can stop it from crashing your systems (due to file descriptors being depleted, the system might become unresponsive until the TCP connections timeout). The only effective way to stop this attack is to contact your network provider.
de: Dies ist ein Anzeichen, dass ein Denial-of-Service-Angriff (DoS) auf den Port X Ihres Systems (am wahrscheinlichsten gegen einen öffentlichen Dienst wie Ihren Web- oder Mailserver). Sie sollten TCP-Syncookies in Ihrem Kernel einschalten, siehe <ref id="tcp-syncookies">. Beachten Sie, dass ein DoS-Angriff Ihr Netzwerk überfluten kann, auch wenn Sie verhindern können, dass er Ihr System zum Absturz bringt. <footnote><p> Da keine Datei-Deskriptoren mehr vorhanden sind, könnte das System nicht mehr antworten, bis das Zeitlimit der TCP-Verbindungen überschritten wurde. </p></footnote> Der einzige effektive Weg, diesen Angriff abzuwehren, ist, mit Ihrem Netzprovider in Verbindung zu treten.

note: type: <heading></heading>
en: I have found strange root sessions in my logs: Am I compromised?
de: Ich habe seltsame Root-Sessions in meinen Protokollen entdeckt: Wurde ich gehackt?

note: type: <p><example>
en: You might see these kind of entries in your <file>/var/log/auth.log</file> file:
de: Sie sehen folgende Art von Einträgen in der Datei <file>/var/log/auth.log</file>:

note: type: <p></p>
en: These are due to a <prgn>cron</prgn> job being executed (in this example, every five minutes). To determine which program is responsible for these jobs, check entries under: <file>/etc/crontab</file>, <file>/etc/cron.d</file>, <file>/etc/crond.daily</file> and root's <file>crontab</file> under <file>/var/spool/cron/crontabs</file>.
de: Sie kommen von einem ausgeführten <prgn>Cron</prgn>-Job (in unserem Beispiel alle fünf Minuten). Um herauszufinden, welches Programm für diese Jobs verantwortlich ist, überprüfen Sie die Einträge in <file>/etc/crontab</file>, <file>/etc/cron.d</file>, <file>/etc/crond.daily</file> und Roots <file>crontab</file> in <file>/var/spool/cron/crontabs</file>.

note: type: <heading></heading>
en: I have suffered a break-in, what do I do?
de: Ich bin Opfer eines Einbruchs, was soll ich jetzt tun?

note: type: <p><list>
en: There are several steps you might want to take in case of a break-in:
de: Es gibt mehrere Schritte, die Sie bei einem Einbruch durchführen sollten:

note: type: <p></p>
en: Check if your system is up to date with security patches for published vulnerabilities. If your system is vulnerable, the chances that the system is in fact compromised are increased. The chances increase further if the vulnerability has been known for a while, since there is usually more activity related to older vulnerabilities. Here is a link to <url id="http://www.sans.org/top20/" name="SANS Top 20 Security Vulnerabilities">.
de: Prüfen Sie, ob Ihr System auf dem aktuellen Stand der Sicherheitsaktualisierungen für veröffentlichte Verwundbarkeiten ist. Wenn Ihr System verwundbar ist, erhöht dies die Möglichkeit, dass Ihr System tatsächlich gehackt wurde. Die Wahrscheinlichkeit steigt weiter an, wenn die Sicherheitslücke schon eine Zeit lang bekannt ist, da üblicherweise mehr Angriffsversuche in Bezug auf ältere Verwundbarkeiten bestehen. Hier ist ein Link zu <url id="http://www.sans.org/top20/" name="SANS Top 20 Security Vulnerabilities">.

note: type: <p></p>
en: Read this document, especially the <ref id="after-compromise"> section.
de: Lesen Sie dieses Dokument, insbesondere den Abschnitt <ref id="after-compromise">.

note: type: <p></p>
en: Ask for assistance. You might use the debian-security mailing list and ask for advice on how to recover/patch your system.
de: Fragen Sie nach Hilfe. Sie können die Mailingliste debian-security benutzen und um Rat fragen, wie Sie Ihr System wiederherstellen oder patchen.

note: type: <p></p>
en: Notify your local <url id="http://www.cert.org" name="CERT"> (if it exists, otherwise you may want to consider contacting CERT directly). This might or might not help you, but, at the very least, it will inform CERT of ongoing attacks. This information is very valuable in determining which tools and attacks are being used by the <em>blackhat</em> community.
de: Benachrichtigen Sie Ihren lokalen <url id="http://www.cert.org" name="CERT"> (wenn einer existiert, ansonsten sollten Sie sich vielleicht direkt mit CERT in Verbindung setzen). Das könnte Ihnen helfen (vielleicht aber auch nicht), aber wenigstens wird CERT über laufende Angriffe informiert. Diese Informationen sind sehr wertvoll, um herauszufinden, welche Werkzeuge und Angriffsarten von der <em>Blackhat</em>-Community verwendet werden.

note: type: <heading></heading>
en: How can I trace an attack?
de: Wie verfolge ich einen Angriff zurück?

note: type: <p></p>
en: By watching the logs (if they have not been tampered with), using intrusion detection systems (see <ref id="intrusion-detect">), <prgn>traceroute</prgn>, <prgn>whois</prgn> and similar tools (including forensic analysis), you may be able to trace an attack to the source. The way you should react to this information depends solely on your security policy, and what <em>you</em> consider is an attack. Is a remote scan an attack? Is a vulnerability probe an attack?
de: Sie können einen Angriff zu seinem Ursprung zurückverfolgen, indem Sie die Protokolle (wenn sie nicht geändert wurden) mit Hilfe eines Systems zur Eindringlingserkennung (siehe <ref id="intrusion-detect">), <prgn>traceroute</prgn>, <prgn>whois</prgn> oder ähnlicher Werkzeuge (einschließlich forensischer Analyse) durchsehen. Wie Sie auf diese Informationen reagieren und was <em>Sie</em> als Angriff betrachten, hängt ausschließlich von Ihren Sicherheitsrichtlinien ab. Ist ein einfacher Scan ein Angriff? Ist die Prüfung auf eine Verwundbarkeit ein Angriff?

note: type: <heading></heading>
en: Program X in Debian is vulnerable, what do I do?
de: Das Programm X in Debian ist angreifbar &ndash; was soll ich tun?

note: type: <p></p>
en: First, take a moment to see if the vulnerability has been announced in public security mailing lists (like Bugtraq) or other forums. The Debian Security Team keeps up to date with these lists, so they may also be aware of the problem. Do not take any further actions if you see an announcement at <url id="http://security.debian.org">.
de: Nehmen Sie sich zuerst einen Augenblick Zeit, um zu schauen, ob die Sicherheitslücke in öffentlichen Sicherheitsmailinglisten (wie Bugtraq) oder anderen Foren bekannt gemacht wurde. Das Sicherheitsteam von Debian ist hinsichtlich dieser Listen auf dem Laufenden, daher sollte ihm dieses Problem bereits bekannt sein. Leiten Sie keine weiteren Maßnahmen ein, wenn Sie schon eine Bekanntmachung auf <url id="http://security.debian.org"> sehen.

note: type: <p></p>
en: If no information seems to be published, please send e-mail about the affected package(s), as well as a detailed description of the vulnerability (proof of concept code is also OK), to <url id="mailto:team@security.debian.org" name="team@security.debian.org">. This will get you in touch with Debian's security team.
de: Wenn anscheinend keine Informationen veröffentlicht wurden, schicken Sie bitte eine E-Mail zu den betroffenen Paketen mit einer detaillierten Beschreibung der Verwundbarkeit (Code, der dies bestätigt, ist auch in Ordnung) an <url id="mailto:team@security.debian.org" name="team@security.debian.org">. Dort erreichen Sie das Sicherheitsteam von Debian.

note: type: <heading></heading>
en: The version number for a package indicates that I am still running a vulnerable version!
de: Laut der Versionsnummer eines Paketes läuft bei mir immer noch eine angreifbare Version!

note: type: <p></p>
en: Instead of upgrading to a new release, Debian backports security fixes to the version that was shipped in the stable release. The reason for this is to make sure that the stable release changes as little as possible, so that things will not change or break unexpectedly as a result of a security fix. You can check if you are running a secure version of a package by looking at the package changelog, or comparing its exact (upstream version -slash- debian release) version number with the version indicated in the Debian Security Advisory.
de: Statt auf eine neue Veröffentlichung zu aktualisieren, portiert Debian sicherheitsrelevante Korrekturen zu der Version zurück, die in der Stable-Veröffentlichung enthalten ist. Der Grund dafür ist, dass sicher gegangen werden soll, dass die Stable-Veröffentlichung so wenig wie möglich verändert wird. Damit wird verhindert, dass sich Dinge als Folge einer Sicherheitskorrektur unerwartet ändern oder kaputt gehen. Ob Sie eine sichere Version eines Paketes benutzen, stellen Sie fest, indem Sie das Changelog des Paketes durchsehen oder indem Sie die exakte Versionsnummer (ursprüngliche Version -slash- Debian-Release) mit der Nummer aus der Debian-Sicherheits-Ankündigung (DSA) vergleichen.

note: type: <heading></heading>
en: Specific software
de: Bestimmte Software

note: type: <heading></heading>
en: <package>proftpd</package> is vulnerable to a Denial of Service attack.
de: <package>Proftpd</package> ist für einen Denial-of-Service-Angriff anfällig.

note: type: <p></p>
en: Add <tt>DenyFilter \*.*/</tt> to your configuration file, and for more information see <url id="http://www.proftpd.org/bugs.html">.
de: Fügen Sie Ihrer Konfigurationsdatei <tt>DenyFilter \*.*/</tt>hinzu. Mehr Informationen entnehmen Sie <url id="http://www.proftpd.org/bugs.html">.

note: type: <heading></heading>
en: After installing <package>portsentry</package>, there are a lot of ports open.
de: Nach der Installation von <package>portsentry</package> sind viele Ports offen.

note: type: <p></p>
en: That's just the way <prgn>portsentry</prgn> works. It opens about twenty unused ports to try to detect port scans.
de: Dies ist nur die Art und Weise, wie <prgn>portsentry</prgn> arbeitet. Es öffnet etwas zwanzig ungenutzte Ports und versucht so, Port-Scans zu entdecken.

note: type: <heading></heading>
en: Questions regarding the Debian security team
de: Fragen zu Debians Sicherheitsteam

note: type: <p></p>
en: This information is derived from the <url id="http://www.debian.org/security/faq" name="Debian Security FAQ">. It includes the information as of January, 2006, and provides answers for some other common questions asked in the debian-security mailing list.
de: Diese Informationen stammen aus dem <url id="http://www.de.debian.org/security/faq" name="Debian Sicherheits-FAQ">. Es umfasst Informationen bis zum Januar 2006 und beantwortet auch andere häufige Fragen aus der Mailingliste debian-security.

note: type: <heading></heading>
en: What is a Debian Security Advisory (DSA)?
de: Was ist eine Debian-Sicherheits-Ankündigung (Debian Security Advisory, DSA)?

note: type: <p></p>
en: It is information sent by the Debian Security Team (see below) regarding the discovery and fix for a security related vulnerability in a package available in Debian GNU/Linux. Signed DSAs are sent to public mailing lists (debian-security-announce) and posted on Debian's web site (both in the front page and in the <url id="http://www.debian.org/security/" name="security area">).
de: Das Debian-Sicherheitsteam (siehe unten) weist darin auf die Entdeckung und Korrektur von sicherheitsrelevanten Verwundbarkeiten in einem Paket von Debian GNU/Linux hin. Digital unterschriebene DSAs werden an öffentliche Mailinglisten gesendet und auf der Webseite von Debian veröffentlicht (sowohl auf der Hauptseite als auch unter <url id="http://www.debian.org/security/" name="Sicherheits-Informationen">).

note: type: <p></p>
en: DSAs include information on the affected package(s), the security flaw that was discovered and where to retrieve the updated packages (and their MD5 sums).
de: DSAs enthalten Informationen über die beeinträchtigten Pakete, den entdeckten Sicherheitsmangel und wo man die aktualisierten Pakete bekommt (und ihre MD5-Summen).

note: type: <heading></heading>
en: The signature on Debian advisories does not verify correctly!
de: Die digitale Signatur eines Debian-Ankündigung wird nicht korrekt verifiziert!

note: type: <p></p>
en: This is most likely a problem on your end. The <url id="http://www.debian.org/security/faq" name="debian-security-announce"> list has a filter that only allows messages with a correct signature from one of the security team members to be posted.
de: Dies ist wahrscheinlich ein Problem auf Ihrer Seite. Die Liste <url id="http://www.de.debian.org/security/faq" name="debian-security-announce"> besitzt einen Filter, der es nur erlaubt, Nachrichten mit einer korrekten Signatur eines Mitglieds des Sicherheitsteams zu versenden.

note: type: <p></p>
en: Most likely some piece of mail software on your end slightly changes the message, thus breaking the signature. Make sure your software does not do any MIME encoding or decoding, or tab/space conversions.
de: Die häufigste Ursache dafür ist zumeist ein Mail-Programm auf Ihrer Seite, das die Nachricht leicht verändert und dadurch die Signatur ungültig macht. Stellen Sie sicher, dass Ihre Software keine MIME-Entschlüsselung oder -Verschlüsselung durchführt und auch keine Tabulator/Leerzeichen-Konvertierungen vornimmt.

note: type: <p></p>
en: Known culprits fetchmail (with the mimedecode option enabled), formail (from procmail 3.14 only) and evolution.
de: Bekannte Übeltäter sind fetchmail (mit der Option mimedecode), formail (nur von procmail 3.14) und evolution.

note: type: <heading></heading>
en: How is security handled in Debian?
de: Wie wird die Sicherheit in Debian gehandhabt?

note: type: <p></p>
en: Once the Security Team receives a notification of an incident, one or more members review it and consider its impact on the stable release of Debian (i.e. if it's vulnerable or not). If our system is vulnerable, we work on a fix for the problem. The package maintainer is contacted as well, if he didn't contact the Security Team already. Finally, the fix is tested and new packages are prepared, which then are compiled on all stable architectures and uploaded afterwards. After all of that is done, an advisory is published.
de: Sobald das Sicherheitsteam auf einen Vorfall aufmerksam wird, überprüfen ihn ein oder mehrere Mitglieder und bewerten seinen Einfluss auf die Stable-Veröffentlichung von Debian (z.B. ob es verwundbar ist oder nicht). Wenn unser System verwundbar ist, arbeiten wir an einer Problembehebung. Der Paketbetreuer wird ebenfalls kontaktiert, wenn dieser nicht bereits selbst das Sicherheits-Team kontaktiert hat. Schlussendlich wird die Behebung des Problems getestet und neue Pakete werden vorbereitet, die dann auf allen Stable-Architekturen übersetzt und anschließend hochgeladen werden. Nachdem das alles geschehen ist, wird eine Ankündigung veröffentlicht.

note: type: <heading></heading>
en: Why are you fiddling with an old version of that package?
de: Wieso spielen Sie mit einer alten Version des Pakets herum?

note: type: <p></p>
en: The most important guideline when making a new package that fixes a security problem is to make as few changes as possible. Our users and developers are relying on the exact behavior of a release once it is made, so any change we make can possibly break someone's system. This is especially true in case of libraries: make sure you never change the Application Program Interface (API) or Application Binary Interface (ABI), no matter how small the change is.
de: Die wichtigste Regel beim Erstellen eines neuen Pakets, das ein Sicherheitsproblem behebt, ist, so wenig Änderungen wie möglich vorzunehmen. Unsere Benutzer und Entwickler vertrauen auf das genaue Verhalten einer Veröffentlichung nach dessen Freigabe. Daher kann jede Änderung, die wir durchführen, möglicherweise das System von jemandem zerstören. Dies gilt insbesondere für Bibliotheken: Es muss darauf geachtet werden, dass sich das Anwendungs-Programm-Interface (API) oder Anwendungs-Binär-Interface (ABI) niemals ändert, egal wie klein die Änderung ist.

note: type: <p></p>
en: This means that moving to a new upstream version is not a good solution, instead the relevant changes should be backported. Generally upstream maintainers are willing to help if needed, if not the Debian security team might be able to help.
de: Dies bedeutet, dass das Umsteigen auf eine neue Version der Originalprogramms keine gute Lösung ist und stattdessen die relevanten Änderungen zurückportiert werden sollten. Üblicherweise sind die Betreuer des Originalprogramms, wenn notwendig, bereit zu helfen, falls das Debian-Sicherheitsteam nicht helfen kann.

note: type: <p></p>
en: In some cases it is not possible to backport a security fix, for example when large amounts of source code need to be modified or rewritten. If that happens it might be necessary to move to a new upstream version, but this has to be coordinated with the security team beforehand.
de: In einigen Fällen ist es nicht möglich, eine Sicherheitsreparatur zurückzuportieren, zum Beispiel, wenn ein großer Teil des Quellcodes modifiziert oder neu geschrieben werden muss. Wenn dies passiert, kann es notwendig sein, auf eine neue Version des Originalprogramms umzusteigen, aber dies muss zuvor mit dem Sicherheits-Team koordiniert werden.

note: type: <heading></heading>
en: What is the policy for a fixed package to appear in security.debian.org?
de: Was sind die Richtlinien für ein repariertes Paket, um auf security.debian.org zu erscheinen?

note: type: <p></p>
en: Security breakage in the stable distribution warrants a package on security.debian.org. Anything else does not. The size of a breakage is not the real problem here. Usually the security team will prepare packages together with the package maintainer. Provided someone (trusted) tracks the problem and gets all the needed packages compiled and submit them to the security team, even very trivial security problem fixes will make it to security.debian.org. Please see below.
de: Sicherheitslücken in der Stable-Distribution garantieren, dass ein Paket zu security.debian.org hinzugefügt wird. Alles andere tut das nicht. Die Größe der Lücke ist hier nicht das wirkliche Problem. Üblicherweise bereitet das Sicherheitsteam die Pakete gemeinsam mit dem Paketbetreuer vor. Sofern jemand (ein Vertrauenswürdiger) das Problem analysiert, alle benötigten Pakete übersetzt und diese an das Sicherheitsteam übermittelt, dann können auch sehr kleine Sicherheitsreparaturen auf security.debian.org erscheinen. Lesen Sie dazu bitte auch unten weiter.

note: type: <p></p>
en: Security updates serve one purpose: to supply a fix for a security vulnerability. They are not a method for sneaking additional changes into the stable release without going through normal point release procedure.
de: Sicherheitsaktualisierungen dienen einem Zweck: Eine Behebung für eine Sicherheitsverwundbarkeit zu bieten. Sie sind keine Methode, um zusätzliche Änderungen in das Stable-Release einzubringen, ohne diese die normale Point-Release-Prozedur durchmachen zu lassen.

note: type: <heading></heading>
en: What does "local (remote)" mean?
de: Was bedeutet »lokal (aus der Ferne)« [local (remote)]?

note: type: <p></p>
en: Some advisories cover vulnerabilities that cannot be identified with the classic scheme of local and remote exploitability. Some vulnerabilities cannot be exploited from remote, i.e. don't correspond to a daemon listening to a network port. If they can be exploited by special files that could be provided via the network while the vulnerable service is not permanently connected with the network, we write "local (remote)" in such cases.
de: Einige Ankündigungen decken Verwundbarkeiten ab, die nicht mit dem klassischen Schema von lokalen und Verwundbarkeiten aus der Ferne identifiziert werden können. Einige Verwundbarkeiten können nicht aus der Ferne ausgenutzt werden, d.h. sie arbeiten nicht mit einem Daemon, der auf einer Netzschnittstelle horcht. Falls sie durch spezielle Dateien ausgenutzt werden können, die über das Netz bereit gestellt werden, während der verwundbare Dienst nicht permanent mit dem Netz verbunden ist, schreiben wir in diesen Fällen »lokal (aus der Ferne)«.

note: type: <p></p>
en: Such vulnerabilities are somewhat between local and remote vulnerabilities and often cover archives that could be provided through the network, e.g. as mail attachment or from a download page.
de: Diese Verwundbarkeiten liegen irgendwo zwischen lokalen und solchen aus der Ferne und decken oft Archive ab, die über das Netz bereitgestellt werden könnten, z.B. E-Mail-Anhänge oder von einer Download-Seite.

note: type: <p></p>
en: See <ref id="version-backport">.
de: Siehe Sie sich dazu <ref id="version-backport"> an.

note: type: <heading></heading>
en: How is security handled for <tt>testing</tt> and <tt>unstable</tt>?
de: Wie wird die Sicherheit für Testing und Unstable gehandhabt?

note: type: <p></p>
en: The short answer is: it's not. Testing and unstable are rapidly moving targets and the security team does not have the resources needed to properly support those. If you want to have a secure (and stable) server you are strongly encouraged to stay with stable. However, work is in progress to change this, with the formation of a <url id="http://secure-testing-master.debian.net/" name="testing security team"> which has begun work to offer security support for testing, and to some extent, for unstable. For more information see <ref id="security-support-testing">
de: Die kurze Antwort ist: gar nicht. Testing und Unstable sind starken Änderungen unterworfen und das Sicherheitsteam hat nicht die Mittel, die benötigt würden, um diese entsprechend zu unterstützen. Wenn Sie einen sicheren (und stabilen) Server benötigen, wird Ihnen dringend empfohlen, bei Stable zu bleiben. Jedoch wird daran gearbeitet, dies zu ändern: Das <url id="http://secure-testing-master.debian.net/" name="Testing-Security-Team"> wurde gegründet, das Unterstützung der Sicherheit für Testing, teilweise auch für Unstable, anbietet. Weitere Informationen können Sie unter <ref id="security-support-testing"> finden.

note: type: <p></p>
en: In some cases, however, the unstable branch usually gets security fixes quite quickly, because those fixes are usually available upstream faster (other versions, like those in the stable branch, usually need to be back ported).
de: In einigen Fällen bekommt allerdings der Unstable-Zweig Sicherheitsreparaturen ziemlich schnell, da diese Reparaturen im Originalprogramm schneller verfügbar sind (dagegen müssen andere Versionen, wie die im Stable-Zweig, normalerweise zurückportiert werden).

note: type: <p></p>
en: You can review public vulnerabilities affecting the <tt>testing</tt> and <tt>unstable</tt> release at the <url id="http://security-tracker.debian.net/tracker/" name="Security Bug Tracker">.
de: Sie können veröffentlichte Verwundbarkeiten für <tt>Testing</tt> und <tt>Unstable</tt> im <url id="http://security-tracker.debian.net/tracker/" name="Security-Bug-Tracker"> einsehen.

note: type: <heading></heading>
en: I use an older version of Debian, is it supported by the Debian Security Team?
de: Ich verwende eine ältere Version von Debian. Wird sie vom Debian-Sicherheitsteam unterstützt?

note: type: <p></p>
en: No. Unfortunately, the Debian Security Team cannot handle both the stable release (unofficially, also the unstable) and other older releases. However, you can expect security updates for a limited period of time (usually several months) immediately following the release of a new Debian distribution.
de: Nein. Unglücklicherweise kann das Sicherheitsteam von Debian nicht sowohl die Stable-Veröffentlichung (und inoffiziell auch Unstable) als auch andere, ältere Veröffentlichungen handhaben. Sie können allerdings Sicherheitsaktualisierungen für eine bestimmte Zeitspanne (normalerweise einige Monate) nach der Veröffentlichung einer neuen Debian-Distribution erwarten.

note: type: <heading></heading>
en: How does <em>testing</em> get security updates?
de: Wie bekommt Testing Sicherheitsaktualisierungen?

note: type: <p></p>
en: Security updates will migrate into the testing distribution via unstable. They are usually uploaded with their priority set to high, which will reduce the quarantine time to two days. After this period, the packages will migrate into testing automatically, given that they are built for all architectures and their dependencies are fulfilled in testing.
de: Sicherheitsaktualisierungen gelangen über Unstable in die Testing-Distribution. Normalerweise werden sie mit einer hohen Priorität hochgeladen, wodurch sich die Quarantäne auf zwei Tage reduziert. Nach dieser Zeit gelangen die Pakete automatisch nach Testing, wenn sie für alle Architekturen gebaut worden sind und ihre Abhängigkeiten in Testing erfüllt werden können.

note: type: <p></p>
en: The <url id="http://secure-testing-master.debian.net/" name="testing security team"> also makes security fixes available in their repository when the normal migration process is not fast enough.
de: Das <url id="http://secure-testing-master.debian.net/" name="Testing-Sicherheitsteam"> stellt ebenfalls Sicherheitsaktualisierungen in seinem Depot zur Verfügung, wenn der normale Migrationsprozess nicht schnell genug ist.

note: type: <heading></heading>
en: How is security handled for contrib and non-free?
de: Wie wird die Sicherheit für contrib und non-free gehandhabt?

note: type: <p></p>
en: The short answer is: it's not. Contrib and non-free aren't official parts of the Debian Distribution and are not released, and thus not supported by the security team. Some non-free packages are distributed without source or without a license allowing the distribution of modified versions. In those cases no security fixes can be made at all. If it is possible to fix the problem, and the package maintainer or someone else provides correct updated packages, then the security team will generally process them and release an advisory.
de: Die kurze Antwort ist: gar nicht. Contrib und non-free sind nicht offizieller Bestandteil der Debian-Distribution und werden nicht freigegeben und daher nicht vom Sicherheits-Team unterstützt. Einige non-free Pakete werden ohne Quellcode oder ohne eine Lizenz vertrieben, welche die Verteilung von geänderten Versionen erlaubt. In diesen Fällen ist es überhaupt nicht möglich, Sicherheitsreparaturen durchzuführen. Falls es möglich ist, das Problem zu beheben und der Paketbetreuer oder jemand anderes korrekte, aktualisierte Pakete zur Verfügung stellt, wird das Security-Team diese normalerweise bearbeiten und eine Ankündigung veröffentlichen.

note: type: <heading></heading>
en: Why are there no official mirrors for security.debian.org?
de: Warum gibt es keinen offiziellen Spiegelserver von security.debian.org?

note: type: <p></p>
en: Actually, there are. There are several official mirrors, implemented through DNS aliases. The purpose of security.debian.org is to make security updates available as quickly and easily as possible.
de: Tatsächlich gibt es dieses. Es existieren mehrere offizielle Spiegel, die über DNS-Aliase implementiert sind. Der Zweck von security.debian.org ist es, Sicherheitsaktualisierungen möglichst schnell und einfach zur Verfügung zu stellen.

note: type: <p></p>
en: Encouraging the use of unofficial mirrors would add extra complexity that is usually not needed and that can cause frustration if these mirrors are not kept up to date.
de: Die Verwendung von inoffiziellen Spiegeln zu empfehlen, würde zusätzliche Komplexität hinzufügen, die üblicherweise nicht benötigt wird und frustrierend sein kann, wenn diese Spiegel nicht aktuell gehalten werden. Offizielle Spiegel sind jedoch für die Zukunft geplant.

note: type: <heading></heading>
en: I've seen DSA 100 and DSA 102, now where is DSA 101?
de: Ich habe DSA 100 und DSA 102 gesehen, doch wo ist DSA 101?

note: type: <p></p>
en: Several vendors (mostly of GNU/Linux, but also of BSD derivatives) coordinate security advisories for some incidents and agree to a particular timeline so that all vendors are able to release an advisory at the same time. This was decided in order to not discriminate against some vendors that need more time (e.g. when the vendor has to pass packages through lengthy QA tests or has to support several architectures or binary distributions). Our own security team also prepares advisories in advance. Every now and then, other security issues have to be dealt with before the parked advisory could be released, and hence temporarily leaving out one or more advisories by number.
de: Verschiedene Distributoren (zumeist von GNU/Linux, aber auch von BSD-Derivaten) koordinieren Sicherheits-Ankündigung für verschiedene Vorfälle und haben vereinbart, einen bestimmten Zeitplan einzuhalten, so dass alle Distributoren in der Lage sind, eine Anweisung zur selben Zeit zu veröffentlichen. Dadurch soll verhindert werden, dass ein Anbieter diskriminiert wird, der mehr Zeit benötigt (z.B. falls der Hersteller längere Qualitätssicherungstests für die Pakete durchführt oder mehrere Architekturen bzw. Binär-Distributionen unterstützt). Unser eigenes Sicherheitsteam bereitet ebenfalls Anweisungen im Vorhinein vor. Es passiert immer wieder mal, dass andere Sicherheitsprobleme früher abgearbeitet werden müssen, als vorbereitete Gutachten veröffentlicht werden können, und daher wird temporär eine oder mehrere Anweisungen der Nummer nach ausgelassen.

note: type: <heading></heading>
en: I tried to download a package listed in one of the security advisories, but I got a `file not found' error.
de: Ich habe versucht, ein Paket herunterzuladen, das in einem der Sicherheitsankündigungen aufgeführt war, aber ich bekomme dabei den Fehler »file not found«.

note: type: <p></p>
en: Whenever a newer bugfix supersedes an older package on security.debian.org, chances are high that the old package will be removed by the time the new one gets installed. Hence, you'll get this `file not found' error. We don't want to distribute packages with known security bugs longer than absolutely necessary.
de: Immer, wenn eine neuere Fehlerbehebung ein älteres Paket auf security.debian.org ersetzt, stehen die Chancen gut, dass das ältere Paket gelöscht wird, wenn das neue installiert wird. Daher erhalten Sie diesen »file not found«-Fehler. Wir wollen Pakete mit bekannten Sicherheitslücken nicht länger als absolut notwendig verbreiten.

note: type: <p></p>
en: Please use the packages from the latest security advisories, which are distributed through the <url id="http://lists.debian.org/debian-security-announce" name="debian-security-announce mailing list">. It's best to simply run <em>apt-get update</em> before upgrading the package.
de: Bitte benutzen Sie die Pakete von den neuesten Sicherheitsankündigungen, die über die <url id="http://lists.debian.org/debian-security-announce" name="Mailingliste debian-security-announce"> verteilt werden. Am besten rufen Sie einfach <em>apt-get update</em> auf, bevor Sie das Paket aktualisieren.

note: type: <heading></heading>
en: How can I reach the security team?
de: Wie kann ich das Sicherheitsteam erreichen?

note: type: <p></p>
en: Security information can be sent to <url id="mailto:security@debian.org" name="security@debian.org">, which is read by all Debian developers. If you have sensitive information please use <url id="mailto:team@security.debian.org" name="team@security.debian.org"> which only the members of the team can read. If desired, email can be encrypted with the Debian Security Contact key (key ID <url id="http://pgpkeys.pca.dfn.de:11371/pks/lookup?search=0x363CCD95&amp;op=vindex" name="0x363CCD95">). See also the <url id="http://www.debian.org/security/keys.txt" name="PGP/GPG keys for the security team">.
de: Sicherheitsinformationen können an <url id="mailto:security@debian.org" name="security@debian.org"> geschickt werden, damit sie von allen Debian-Entwicklern gelesen werden. Wenn Sie sensible Informationen haben, benutzen Sie bitte <url id="mailto:team@security.debian.org" name="team@security.debian.org">, die nur vom Sicherheitsteam gelesen wird. Wenn Sie es wünschen, kann die E-Mail auch mit dem Kontaktschlüssel von Debian-Security (Key-ID <url id="http://pgpkeys.pca.dfn.de:11371/pks/lookup?search=0x363CCD95&amp;op=vindex" name="0x363CCD95">) verschlüsselt werden. Sehen Sie sich auch die <url id="http://www.debian.org/security/keys.txt" name="PGP/GPG-Schlüssel des Sicherheitsteams"> an.

note: type: <heading></heading>
en: What difference is there between security@debian.org and debian-security@lists.debian.org?
de: Was ist der Unterschied zwischen security@debian.org und debian-security@lists.debian.org?

note: type: <p></p>
en: When you send messages to security@debian.org, they are sent to the developers' mailing list (debian-private). All Debian developers are subscribed to this list and posts are kept private <footnote><p>There has been a declassification decision, voted in <url id="http://www.debian.org/vote/2005/vote_002" name="GR-2005-002">, that might make some posts available in the future, however.</p></footnote> (i.e. are not archived at the public website). The public mailing list, debian-security@lists.debian.org, is open to anyone that wants to <url id="http://www.debian.org/MailingLists/" name="subscribe">, and there are searchable archives available <url id="http://lists.debian.org/search.html" name="here">.
de: Wenn Sie eine Nachricht an security@debian.org schicken, wird diese an die Developer-Mailingliste geschickt (debian-private), die alle Entwickler von Debian abonniert haben. Nachrichten an diese Liste werden vertraulich behandelt (d.h. sie werden nicht auf einer öffentlichen Webseite archiviert).<footnote><p>Allerdings wurden durch die <url id="http://www.debian.org/vote/2005/vote_002" name="GR-2005-002"> diese Nachrichten neu eingestuft, so dass in der Zukunft einige Nachrichten veröffentlicht werden könne.</footnote> debian-security@lists.debian.org ist eine öffentliche Mail-Liste, offen für jeden, der Sie <url id="http://www.de.debian.org/MailingLists/" name="abonnieren"> möchte, und es gibt <url id="http://lists.debian.org/search.html" name="hier"> ein durchsuchbares Archiv.

note: type: <heading></heading>
en: I guess I found a security problem, what should I do?
de: Ich glaube, ich habe ein Sicherheitsproblem entdeckt, was soll ich tun?

note: type: <p></p>
en: If you learn about a security problem, either in one of your own packages or in someone else's please always contact the security team. If the Debian security team confirms the vulnerability and other vendors are likely to be vulnerable as well, they usually contact other vendors as well. If the vulnerability is not yet public they will try to coordinate security advisories with the other vendors, so all major distributions are in sync.
de: Wenn Sie von einem Sicherheitsproblem erfahren, entweder in Ihren eigenen Paketen oder in denen eines anderen Entwicklers, dann kontaktieren Sie bitte immer das Sicherheits-Team. Wenn das Debian-Sicherheits-Team die Verwundbarkeit bestätigt und andere Distributoren höchstwahrscheinlich ebenfalls davon betroffen sind, kontaktiert es diese üblicherweise auch. Wenn die Verwundbarkeit noch nicht öffentlich bekannt ist, wird es versuchen, die Sicherheitsankündigungen mit den anderen Distributoren zu koordinieren, damit alle Haupt-Distributionen synchron sind.

note: type: <p></p>
en: If the vulnerability is already publicly known, be sure to file a bug report in the Debian BTS, and tag it <em>security</em>.
de: Falls die Verwundbarkeit bereits öffentlich bekannt ist, schreiben Sie bitte unbedingt einen Fehlerbericht für das Debian-Fehlerverfolgungssystem und markieren Sie ihn mit dem Tag <em>security</em>.

note: type: <heading></heading>
en: How can I contribute to the Debian security team?
de: Wie kann ich das Debian-Sicherheitsteam unterstützen?

note: type: <p></p>
en: By contributing to this document, fixing FIXMEs or providing new content. Documentation is important and reduces the overhead of answering common issues. Translation of this documentation into other languages is also of great help.
de: Indem Sie etwas zu diesem Dokument beitragen, FIXMEs bearbeiten oder neuen Inhalt beisteuern. Dokumentation ist wichtig und reduziert die Last durch Beantworten allgemeiner Fragen. Übersetzen dieses Dokuments in andere Sprachen ist auch ein großartiger Beitrag (Anm.d.Ü.: Fehler bereinigen in der Übersetzung auch).

note: type: <p></p>
en: By packaging applications that are useful for checking or enhancing security in a Debian GNU/Linux system. If you are not a developer, file a <url id="http://www.debian.org/devel/wnpp/" name="WNPP bug"> and ask for software you think would be useful, but is not currently provided.
de: Indem Sie Pakete von Programmen erstellen, mit denen sich die Sicherheit eines Debian-Systems erhöhen oder prüfen lässt. Wenn Sie kein Entwickler sind, reichen Sie einen <url name="WNPP-Fehler" id="http://www.de.debian.org/devel/wnpp/"> ein und fragen nach Software, die Sie für nützlich halten, die aber noch nicht zur Verfügung steht.

note: type: <p></p>
en: Audit applications in Debian or help solve security bugs and report issues to security@debian.org.
de: Testen Sie Anwendungen in Debian oder helfen Sie Sicherheitslücken zu schließen. Teilen Sie Probleme security@debian.org mit.

note: type: <p></p>
en: In all cases, please review each problem before reporting it to security@debian.org. If you are able to provide patches, that would speed up the process. Do not simply forward Bugtraq mails, since they are already received. Providing additional information, however, is always a good idea.
de: Prüfen Sie bitte in jedem Fall ein Problem nach, bevor Sie es an security@debian.org melden. Wenn Sie Patches beifügen, beschleunigt das den Prozess natürlich. Leiten Sie nicht einfach Mails von Bugtraq weiter, da diese bereits empfangen wurden. Es ist aber eine gute Idee, zusätzliche Informationen zu schicken.

note: type: <heading></heading>
en: Who is the Security Team composed of?
de: Aus wem setzt sich das Sicherheitsteam zusammen?

note: type: <p></p>
en: The Debian security team consists of <url id="http://www.debian.org/intro/organization" name="several officers and secretaries">. The security team itself appoints people to join the team.
de: Das Debian-Sicherheitsteam besteht aus <url id="http://www.debian.org/intro/organization" name="mehreren Beauftragten und Unterstützern">. Das Sicherheitsteam bestimmt selbst, wen es neu ins Team aufnehmen will.

note: type: <heading></heading>
en: Does the Debian Security team check every new package in Debian?
de: Prüft das Debian-Sicherheitsteam jedes Paket in Debian?

note: type: <p></p>
en: No, the Debian security team does not check every new package and there is no automatic (lintian) check to detect new packages including malicious codes, since those checks are rather impossible to perform automatically. Maintainers, however, are fully responsible for the packages they introduce into Debian, and all packages are first signed by an authorized developer(s). The developer is in charge of analyzing the security of all packages that they maintain.
de: Nein, weder prüft das Sicherheitsteam jedes neue Paket noch gibt es einen automatischen (lintian) Test, um neue Pakete mit bösartigem Inhalt zu entdecken, da solche Dinge praktisch unmöglich automatisch durchgeführt werden können. Paket-Verwalter sind jedoch voll und ganz verantwortlich für die Software, die sie in Debian einführen. Keine Software wird eingeführt, die nicht zuerst von einem autorisierten Entwickler signiert wurde. Die Entwickler sind dafür verantwortlich, die Sicherheit aller Pakete, die sie betreuen, zu analysieren.

note: type: <heading></heading>
en: How much time will it take Debian to fix vulnerability XXXX?
de: Wie lange braucht Debian, um die Angriffs-Möglichkeit XXXX zu reparieren?

note: type: <p></p>
en: The Debian security team works quickly to send advisories and produce fixed packages for the stable branch once a vulnerability is discovered. A report <url id="http://lists.debian.org/debian-security/2001/debian-security-200112/msg00257.html" name="published in the debian-security mailing list"> showed that in the year 2001, it took the Debian Security Team an average of 35 days to fix security-related vulnerabilities. However, over 50% of the vulnerabilities where fixed in a 10-day time frame, and over 15% of them where fixed the <em>same day</em> the advisory was released.
de: Das Sicherheitsteam von Debian arbeitet schnell, um Ankündigungen zu verschicken und korrigierte Pakete für den Stable-Zweig zu erstellen, sobald eine Sicherheitslücke entdeckt wurde. Ein Bericht, der <url id="http://lists.debian.org/debian-security/2001/debian-security-200112/msg00257.html" name="auf der Mailingliste von debian-security veröffentlicht wurde">, zeigt, dass das Debian-Sicherheitsteam im Jahr 2001 durchschnittlich 35 Tage gebraucht hat, um Sicherheitslücken auszubessern. Allerdings wurden über 50% der Verwundbarkeiten innerhalb von zehn Tagen beseitigt und über 15% wurden am <em>selben Tag</em> repariert, an dem die Ankündigung veröffentlicht wurde.

note: type: <p><list>
en: However, when asking this question people tend to forget that:
de: Oft vergessen Leute, die diese Frage stellen, dass:

note: type: <p><list>
en: DSAs are not sent until:
de: DSAs nicht verschickt werden bis:

note: type: <p></p>
en: packages are available for <em>all</em> architectures supported by Debian (which takes some time for packages that are part of the system core, especially considering the number of architectures supported in the stable release).
de: Pakete für <em>alle</em> von Debian unterstützte Architekturen verfügbar sind (dies braucht etwas Zeit, wenn es sich um Pakete handelt, die Teil des Systemkerns sind, besonders wenn man die Anzahl der in der stabilen Veröffentlichung unterstützten Architekturen berücksichtigt).

note: type: <p></p>
en: new packages are thoroughly tested in order to ensure that no new bugs are introduced
de: Neue Pakete gründlich getestet werden, um sicher zu stellen, dass sich keine neuen Fehler eingeschlichen haben.

note: type: <p></p>
en: Packages might be available before the DSA is sent (in the incoming queue or on the mirrors).
de: Pakete möglicherweise schon verfügbar sind, bevor das DSA verschickt wird (in der Incoming-Warteschlange oder auf den Spiegelservern).

note: type: <p></p>
en: Debian is a volunteer-based project.
de: Debian ein Projekt auf freiwilligen Basis ist.

note: type: <p></p>
en: Debian is licensed with a "no guarantees" clause.
de: Es eine »keine Garantie«-Klausel gibt, die Teil der Lizenz ist, der Debian unterliegt.

note: type: <p></p>
en: If you want more in-depth analysis on the time it takes for the Security Team to work on vulnerabilities, you should consider that new DSAs (see <ref id="dsa">) published on the <url id="http://security.debian.org" name="security website">, and the metadata used to generate them, include links to vulnerability databases. You could download the sources from the web server (from the <url id="http://cvs.debian.org" name="CVS">) or use the HTML pages to determine the time that it takes for Debian to fix vulnerabilities and correlate this data with public databases.
de: Wenn Sie eine tiefergehende Analyse wünschen, wie lange das Sicherheitsteam an Sicherheitslücken arbeitet, sollten Sie wissen, dass neue DSAs (vergleichen Sie <ref id="dsa">) auf der <url id="http://security.de.debian.org" name="Sicherheits-Webseite"> veröffentlicht werden. Daneben finden sich dort auch die Metadaten, die verwendetet werden, um die DSAs zu erstellen, und Links zur Datenbank mit den Sicherheitslücken. Sie können die Quellen vom Webserver herunterladen (aus dem <url id="http://cvs.debian.org" name="CVS">) oder die HTML-Seiten benutzen, um zu bestimmen, wie lange Debian braucht, um Verwundbarkeiten auszubessern, und um diese Daten mit öffentlichen Datenbanken zu vergleichen.

note: type: <heading></heading>
en: How long will security updates be provided?
de: Wie lange werden Sicherheitsaktualisierungen angeboten?

note: type: <p></p>
en: The security team tries to support a stable distribution for about one year after the next stable distribution has been released, except when another stable distribution is released within this year. It is not possible to support three distributions; supporting two simultaneously is already difficult enough.
de: Das Sicherheits-Team versucht, eine stabile Distribution für in etwa ein Jahr zu unterstützen, nachdem die nächste stabile Distribution freigegeben wurde; außer, eine weitere stabile Distribution wird innerhalb dieser Zeitspanne freigegeben. Es ist nicht möglich, drei Distributionen zu unterstützen; die gleichzeitige Unterstützung für zwei ist bereits schwierig genug.

note: type: <heading></heading>
en: How can I check the integrity of packages?
de: Wie kann ich die Integrität der Pakete prüfen?

note: type: <p></p>
en: This process involve checking the Release file signature against the public key (available at <url id="http://ftp-master.debian.org/ziyi_key_2006.asc">, substitute 2006 for the current year) for the archive. The Release file contains the MD5 checksums of Packages and Sources files, which contain MD5 checksums of binary and source packages. Detailed instruction on how to check packages integrity can be found <ref id="deb-pack-sign">.
de: Dieser Prozess umfasst das Prüfen der Release-Datei-Signatur gegen den öffentlichen Schlüssel (erhältlich unter <url id="http://ftp-master.debian.org/ziyi_key_2006.asc">), der für die Archive verwendet wird. Die Release-Datei enthält die MD5-Prüfsummen der Packages- und Sources-Dateien, die MD5-Prüfsummen der Binär- und Quellcodepakete enthalten. Ausführlichere Anweisungen, wie man die Paket-Integrität prüfen kann, können Sie unter <url id="deb-pack-sign"> nachlesen.

note: type: <heading></heading>
en: What to do if a random package breaks after a security update?
de: Was soll ich tun, wenn ein zufälliges Paket nach einer Sicherheitsaktualisierung nicht mehr funktioniert?

note: type: <p></p>
en: First of all, you should figure out why the package breaks and how it is connected to the security update, then contact the security team if it is serious or the stable release manager if it is less serious. We're talking about random packages that break after a security update of a different package. If you can't figure out what's going wrong but have a correction, talk to the security team as well. You may be redirected to the stable release manager though.
de: Zuerst sollten Sie herausfinden, warum dieses Paket nicht mehr funktioniert und wie es mit der Sicherheitsaktualisierung zusammenhängt. Danach sollten Sie sich an das Sicherheits-Team wenden, wenn es ein schwerwiegendes Problem ist, oder an den Stable-Release-Betreuer, wenn es nicht so ernsthaft ist. Es geht hier um zufällige Pakete, die nach der Aktualisierung eines anderen Paketes nicht mehr funktionieren. Wenn Sie nicht herausfinden können, was schief geht, aber eine Lösung gefunden haben, wenden Sie sich auch an das Sicherheits-Team. Es könnte jedoch sein, dass man Sie an den Stable-Release-Betreuer weiterleitet.

note: type: <heading></heading>
en: The hardening process step by step
de: Der Abhärtungsprozess Schritt für Schritt

note: type: <p><list>
en: Below is a post-installation, step-by-step procedure for hardening a Debian 2.2 GNU/Linux system. This is one possible approach to such a procedure and is oriented toward the hardening of network services. It is included to show the entire process you might use during configuration. Also, see <ref id="checklist">.
de: Eine Anleitung, die Schritt für Schritt darstellt, wie ein Debian 2.2 GNU/Linux-System nach der Installation abgehärtet wird, ist unten aufgeführt. Das ist nur eine denkbare Herangehensweise für einem solchen Vorgang. Sie ist am Absichern von Netzwerkdiensten orientiert und stellt den gesamten Anlauf der Konfiguration vor. Vergleichen Sie auch <ref id="checklist">.

note: type: <p></p>
en: Install the system, taking into account the information regarding partitioning included earlier in this document. After base installation, go into custom install. Do not select task packages. Select shadow passwords.
de: Installieren Sie das System. Beachten Sie dabei die Informationen dieses HOWTOs bezüglich der Partitionierung. Nach der Basis-Installation nehmen Sie eine angepasste Installation vor. Wählen Sie keine Task-Pakete aus. Aktivieren Sie shadow-Passwörter.

note: type: <p></p>
en: Using <prgn>dselect</prgn>, remove all unneeded but selected packages before doing [I]nstall. Keep the bare minimum of packages for the system.
de: Entfernen Sie mit <prgn>dselect</prgn> alle nicht benötigten, aber ausgewählten Pakete, bevor Sie [I]nstallation wählen. Belassen Sie nur die absolut notwendige Software auf dem System.

note: type: <p></p>
en: Update all software from the latest packages available at security.debian.org as explained previously in <ref id="security-update">.
de: Aktualisieren Sie die ganze Software mit den aktuellen Paketen von security.debian.org, wie bereits unter <ref id="security-update"> beschrieben.

note: type: <p></p>
en: Implement the suggestions presented in this manual regarding user quotas, login definitions and <prgn>lilo</prgn>
de: Implementieren Sie die in dieser Anleitung vorgeschlagenen Maßnahmen zu Benutzer-Quotas, Ausgestaltung des Anmeldevorgangs und <prgn>Lilo</prgn>.

note: type: <p><example>
en: Make a list of services currently running on your system. Try:
de: Machen Sie sich eine Liste von allen Diensten, die derzeit auf Ihrem System laufen. Versuchen Sie dazu Folgendes:

note: type: </example></p>
en: You will need to install <package>lsof-2.2</package> for the third command to work (run it as root). You should be aware that <prgn>lsof</prgn> can translate the word LISTEN to your locale settings.
de: Damit das dritte Kommando funktioniert, werden Sie <package>lsof-2.2</package> installieren müssen (und es als Root laufen lassen). Beachten Sie, dass <prgn>lsof</prgn> das Wort LISTEN passend zu Ihrer Lokalisation übersetzen kann.

note: type: <p><example>
en: In order to remove unnecessary services, first determine what package provides the service and how it is started. This can be accomplished by checking the program that listens in the socket. The following shell script, which uses the programs <prgn>lsof</prgn> and <prgn>dpkg</prgn>, does just that:
de: Um einen unnötigen Dienst zu entfernen, stellen Sie zunächst fest, wie er gestartet wird und welches Paket ihn zur Verfügung stellt. Sie können dies ganz einfach machen, indem Sie das Programm prüfen, das auf dem Socket lauscht. Das nachfolgende Shell-Skript, das die Programme <prgn>lsof</prgn> und <prgn>dpkg</prgn> verwendet, macht genau das:

note: type: <p></p>
en: Once you find any unwanted services, remove the associated package (with <prgn>dpkg --purge</prgn>), or disable the service from starting automatically at boot time using <prgn>update-rc.d</prgn> (see <ref id="disableserv">).
de: Wenn Sie einen unerwünschten Dienst finden, entfernen Sie das Paket (mit <prgn>dpkg --purge</prgn>). Oder benutzen Sie <prgn>update-rc.d</prgn> (siehe <ref id="disableserv">), um ihn aus dem Start-Prozess zu entfernen.

note: type: <p><example>
en: For inetd services (launched by the superdaemon), check which services are enabled in <file>/etc/inetd.conf</file> using:
de: Überprüfen Sie bei inetd-Diensten (werden durch den Superdaemon gestartet), welche Dienste in <file>/etc/inetd.conf</file> aktiviert sind. Verwenden Sie dazu Folgendes:

note: type: </example></p>
en: Then disable those services that are not needed by commenting out the line that includes them in <file>/etc/inetd.conf</file>, removing the package, or using <prgn>update-inetd</prgn>.
de: Deaktivieren Sie dann diejenigen Dienste, die Sie nicht benötigen, indem Sie die Zeile in <file>/etc/inetd.conf</file> auskommentieren, das Paket entfernen, oder indem Sie <prgn>update-inetd</prgn> benutzen.

note: type: <p></p>
en: If you have wrapped services (those using <prgn>/usr/sbin/tcpd</prgn>), check that the files <file>/etc/hosts.allow</file> and <file>/etc/hosts.deny</file> are configured according to your service policy.
de: Wenn Sie Dienste eingehüllt haben (und <prgn>/usr/sbin/tcpd</prgn> benutzen), prüfen Sie, ob die Dateien <file>/etc/hosts.allow</file> und <file>/etc/hosts.deny</file> passend zu Ihrer Richtlinie für die Dienste konfiguriert sind.

note: type: <p></p>
en: If the server uses more than one external interface, depending on the service, you may want to limit the service to listen on a specific interface. For example, if you want internal FTP access only, make the FTP daemon listen only on your management interface, not on all interfaces (i.e, 0.0.0.0:21).
de: Wenn der Server mehr als eine externe Schnittstelle benutzt, können Sie Dienste darauf beschränken, auf bestimmten Schnittstellen zu lauschen. Ob das möglich ist, hängt aber von den Diensten ab. Wenn Sie zum Beispiel internen FTP-Zugriff erlauben wollen, lassen Sie den FTP-Daemon nur auf der internen Schnittstelle lauschen, nicht auf allen (d.h. 0.0.0.0:21).

note: type: <p><example>
en: Re-boot the machine, or switch to single user mode and then back to multiuser using the commands:
de: Booten Sie die Maschine neu, oder wechseln Sie in den Single-User-Modus und zurück in den Multi-User-Modus mit:

note: type: <p></p>
en: Check the services now available, and, if necessary, repeat the steps above.
de: Prüfen Sie die nun angebotenen Dienste und wiederholen Sie gegebenenfalls die letzten Schritte.

note: type: <p></p>
en: Now install the needed services, if you have not done so already, and configure them properly.
de: Installieren Sie jetzt die benötigten Dienste, falls es noch nicht geschehen ist, und konfigurieren Sie sie passend.

note: type: <p><example>
en: Use the following shell command to determine what user each available service is running as:
de: Prüfen Sie mit folgendem Shell-Befehl, unter welchem Benutzer die verfügbaren Dienste laufen:

note: type: <example></example>
en:   # for i in `/usr/sbin/lsof -i |grep LISTEN |cut -d " " -f 1 |sort -u`; \
      > do user=`ps ef |grep $i |grep -v grep |cut -f 1 -d " "` ; \
      > echo "Service $i is running as user $user"; done
de:   # for i in `/usr/sbin/lsof -i |grep LISTEN |cut -d " " -f 1 |sort -u`; \
      > do user=`ps ef |grep $i |grep -v grep |cut -f 1 -d " "` ; \
      > echo "Dienst $i läuft als Benutzer $user"; done

note: type: </example></p>
en: Consider changing these services to a specific user/group and maybe <prgn>chroot</prgn>'ing them for increased security. You can do this by changing the <file>/etc/init.d</file> scripts which start the service. Most services in Debian use <prgn>start-stop-daemon</prgn>, which has options (<tt>--change-uid</tt> and <tt>--chroot</tt>) for accomplishing this. A word of warning regarding the <prgn>chroot</prgn>'ing of services: you may need to put all the files installed by the package (use dpkg -L) providing the service, as well as any packages it depends on, in the <prgn>chroot</prgn>'ed environment. Information about setting up a <prgn>chroot</prgn> environment for the <prgn>ssh</prgn> program can be found in <ref id="chroot-ssh-env">.
de: Überlegen Sie, ob Sie diese Dienste einem bestimmten Benutzer oder Gruppe zuweisen wollen und sie vielleicht auch in eine chroot-Umgebung einsperren wollen, um die Sicherheit zu erhöhen. Sie können dies tun, indem Sie die <file>/etc/init.d</file>-Skripte ändern, die den Dienst starten. Die meisten Dienste benutzen unter Debian <prgn>start-stop-daemon</prgn>, der die dafür Optionen (<tt>--change-uid</tt> und <tt>--chroot</tt>) zur Verfügung stellt. Ein paar warnende Worte zum Einsperren in eine <prgn>chroot</prgn>-Umgebung: Sie müssen alle Dateien, die durch das Paket des Dienstes installiert wurden (verwenden Sie dpkg -L), und alle Pakete, von denen es abhängt, in die <prgn>Chroot</prgn>-Umgebung legen. Informationen, wie das Programm <prgn>ssh</prgn> in eine <prgn>chroot</prgn>-Umgebung eingesperrt wird, finden Sie unter <ref id="chroot-ssh-env">.

note: type: <p></p>
en: Repeat the steps above in order to check that only desired services are running and that they are running as the desired user/group combination.
de: Wiederholen Sie die Schritte oben um zu prüfen, ob nur die gewünschten Dienste laufen und ob sie unter der gewünschten Benutzer/Gruppen-Kombination laufen.

note: type: <p></p>
en: Test the installed services in order to see if they work as expected.
de: Testen Sie die installierten Dienste, um festzustellen, ob sie wie erwartet arbeiten.

note: type: <p></p>
en: Check the system using a vulnerability assessment scanner (like <package>nessus</package>), in order to determine vulnerabilities in the system (i.e., misconfiguration, old services or unneeded services).
de: Überprüfen Sie das System, indem Sie einen Scanner zur Abschätzung der Verwundbarkeit (zum Beispiel <package>nessus</package>) benutzen, um Angriffsmöglichkeiten (Fehlkonfigurationen, alte oder nicht benötigte Dienste) zu finden.

note: type: <p></p>
en: Install network and host intrusion measures like <package>snort</package> and <package>logcheck</package>.
de: Installieren Sie Instrumente zur Entdeckung von Eindringlingen in Netzwerk und Hosts (wie <package>snort</package> und <package>logcheck</package>).

note: type: <p></p>
en: Repeat the network scanner step and verify that the intrusion detection systems are working correctly.
de: Wiederholen Sie den Netzwerk-Scan und prüfen Sie, ob das System zur Erkennung von Eindringlingen funktioniert.

note: type: <p><list>
en: For the truly paranoid, also consider the following:
de: Die richtig Paranoiden überlegen sich auch Folgendes:

note: type: <p></p>
en: Add firewalling capabilities to the system, accepting incoming connections only to offered services and limiting outgoing connections only to those that are authorized.
de: Fügen Sie dem System Firewall-Fähigkeiten hinzu, die eingehende Verbindungen nur zu angebotenen Diensten erlauben und ungenehmigte ausgehende Verbindungen verhindern.

note: type: <p></p>
en: Re-check the installation with a new vulnerability assessment using a network scanner.
de: Überprüfen Sie erneut die Installation auf Angriffspunkte mit einem Netzwerk-Scanner.

note: type: <p></p>
en: Using a network scanner, check outbound connections from the system to an outside host and verify that unwanted connections do not find their way out.
de: Prüfen Sie ausgehende Verbindungen vom System zu Hosts außerhalb mit einem Netzwerk-Scanner, um sicherzustellen, dass ungewollte Verbindungen keinen Weg nach draußen finden.

note: type: <heading></heading>
en: Configuration checklist
de: Prüfliste der Konfiguration

note: type: <p></p>
en: This appendix briefly reiterates points from other sections in this manual in a condensed checklist format. This is intended as a quick summary for someone who has already read the manual. There are other good checklists available, including Kurt Seifried's <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Securing Linux Step by Step"> and <url id="http://www.cert.org/tech_tips/usc20_full.html" name="CERT's Unix Security Checklist">.
de: Dieser Anhang wiederholt kurz Punkte aus anderen Abschnitten dieser Anleitung in einem verdichteten Prüflisten-Format. Er ist als schnelle Zusammenfassung für Leute gedacht, die bereits diese Anleitung gelesen haben. Es gibt auch andere gute Prüflisten, zum Beispiel Kurt Seifrieds <url id="http://seifried.org/security/os/linux/20020324-securing-linux-step-by-step.html" name="Securing Linux Step by Step"> und <url id="http://www.cert.org/tech_tips/usc20_full.html" name="CERT's Unix Security Checklist">.

note: type: <p><list>
en: Limit physical access and booting capabilities
de: Beschränkung des physischen Zugriffs und der Boot-Fähigkeiten:

note: type: <p></p>
en: Enable a password in the BIOS.
de: Setzen Sie im BIOS ein Passwort.

note: type: <p></p>
en: Disable floppy/cdrom/... booting in the system's BIOS.
de: Schalten Sie im BIOS das Booten von Diskette, CD-ROM, ... ab.

note: type: <p></p>
en: Set a LILO or GRUB password (<file>/etc/lilo.conf</file> or <file>/boot/grub/menu.lst</file>, respectively); check that the LILO or GRUB configuration file is read-protected.
de: Setzen Sie ein LILO- bzw. GRUB-Passwort (<file>/etc/lilo.conf</file> bzw. <file>/boot/grub/menu.lst</file>); stellen Sie sicher, dass die Konfigurationsdatei von LILO oder GRUB nicht lesbar ist.

note: type: <p><list>
en: Partitioning
de: Partitionierung:

note: type: <p></p>
en: Separate user-writable data, non-system data, and rapidly changing run-time data to their own partitions
de: Legen Sie Daten, die von Benutzern geschrieben wurden, Daten, die nicht zum System gehören, und sich ständig ändernde Laufzeitdaten auf eigenen, getrennten Partitionen ab.

note: type: <p></p>
en: Set <tt>nosuid,noexec,nodev</tt> mount options in <file>/etc/fstab</file> on ext2/3 partitions that should not hold binaries such as <file>/home</file> or <file>/tmp</file>.
de: Setzen Sie die Mount-Optionen <tt>nosuid,noexec,nodev</tt> in <file>/etc/fstab</file> bei ext2/3-Partitionen, die keine ausführbaren Programme enthalten sollten, wie zum Beispiel <file>/home</file> oder <file>/tmp</file>.

note: type: <p><list>
en: Password hygiene and login security
de: Passworthygiene und Anmeldesicherheit:

note: type: <p></p>
en: Set a good root password
de: Wählen Sie ein gutes Root-Passwort.

note: type: <p></p>
en: Enable password shadowing and MD5
de: Benutzen Sie Shadow- und MD5-Passwörter.

note: type: <p><list>
en: Install and use PAM
de: Installieren und benutzen Sie PAM:

note: type: <p></p>
en: Add MD5 support to PAM and make sure that (generally speaking) entries in <file>/etc/pam.d/</file> files which grant access to the machine have the second field in the pam.d file set to <tt>requisite</tt> or <tt>required</tt>.
de: Fügen Sie die Unterstützung von PAM-MD5 hinzu, und stellen Sie sicher (allgemein gesprochen), dass die Einträge in den <file>/etc/pam.d/</file>-Dateien, die Zugriff auf die Maschine gewähren, das zweite Feld in der pam.d-Datei auf <tt>requisite</tt> oder <tt>required</tt> gesetzt haben.

note: type: <p></p>
en: Tweak <file>/etc/pam.d/login</file> so as to only permit local root logins.
de: Ändern Sie <file>/etc/pam.d/login</file>, so dass nur lokale Anmeldungen von Root erlaubt werden.

note: type: <p></p>
en: Also mark authorized tty:s in <file>/etc/security/access.conf</file> and generally set up this file to limit root logins as much as possible.
de: Bezeichnen Sie außerdem autorisierte ttys in <file>/etc/security/access.conf</file> und richten Sie diese Datei überhaupt so ein, dass Anmeldungen von Root so weit wie möglich eingeschränkt werden.

note: type: <p></p>
en: Add pam_limits.so if you want to set per-user limits
de: Fügen Sie pam_limits.so hinzu, wenn Sie Begrenzungen für jeden Benutzer vornehmen wollen.

note: type: <p></p>
en: Tweak <file>/etc/pam.d/passwd</file>: set minimum length of passwords higher (6 characters maybe) and enable MD5
de: Ändern Sie <file>/etc/pam.d/passwd</file>: Erhöhen Sie die minimale Länge von Passwörtern (vielleicht sechs Zeichen) und schalten Sie MD5 ein.

note: type: <p></p>
en: Add group wheel to <file>/etc/group</file> if desired; add pam_wheel.so group=wheel entry to <file>/etc/pam.d/su</file>
de: Wenn Sie es wünschen, fügen Sie <file>/etc/group</file> die Gruppe wheel hinzu; fügen Sie <file>/etc/pam.d/su</file> pam_wheel.so group=wheel hinzu.

note: type: <p></p>
en: For custom per-user controls, use pam_listfile.so entries where appropriate
de: Für angepasste Kontrollen der einzelnen Benutzer nehmen Sie Einträge in pam_listfile.so an den passenden Stellen vor.

note: type: <p></p>
en: Have an <file>/etc/pam.d/other</file> file and set it up with tight security
de: Erstellen Sie eine Datei <file>/etc/pam.d/other</file> und setzen Sie sie mit strenger Sicherheit auf.

note: type: <p></p>
en: Set up limits in <file>/etc/security/limits.conf</file> (note that <file>/etc/limits</file> is not used if you are using PAM)
de: Setzen Sie in <file>/etc/security/limits.conf</file> Begrenzungen (beachten Sie, dass <file>/etc/limits</file> nicht benutzt wird, wenn Sie PAM verwenden).

note: type: <p></p>
en: Tighten up <file>/etc/login.defs</file>; also, if you enabled MD5 and/or PAM, make sure you make the corresponding changes here, too
de: Nehmen Sie Einschränkungen in <file>/etc/login.defs</file> vor; wenn Sie MD5 oder PAM einschalten, machen Sie auch hier die entsprechenden Änderungen.

note: type: <p></p>
en: Tighten up <file>/etc/pam.d/login</file>
de: Nehmen Sie Einschränkungen in <file>/etc/pam.d/login</file> vor.

note: type: <p></p>
en: Disable root ftp access in <file>/etc/ftpusers</file>
de: Schalten Sie den FTP-Zugriff von Root in <file>/etc/ftpusers</file> ab.

note: type: <p></p>
en: Disable network root login; use <manref name="su" section="1"> or <manref name="sudo" section="1">. (consider installing <package>sudo</package>)
de: Schalten Sie Anmeldungen von Root über das Netzwerk ab; benutzen Sie <manref name="su" section="1"> oder <manref name="sudo" section="1"> (denken Sie über die Installation von <package>sudo</package> nach).

note: type: <p></p>
en: Use PAM to enforce additional constraints on logins?
de: Benutzen Sie PAM, um zusätzliche Auflagen für Anmeldungen zu ermöglichen.

note: type: <p><list>
en: Other local security issues
de: Andere lokale Sicherheitsangelegenheiten:

note: type: <p></p>
en: Kernel tweaks (see <ref id="kernel-conf">)
de: Kernel-Tweaks (siehe <ref id="kernel-conf">)

note: type: <p></p>
en: Kernel patches (see <ref id="kernel-patches">)
de: Kernel-Patches (siehe <ref id="kernel-patches">)

note: type: <p></p>
en: Tighten up log file permissions (<file>/var/log/{last,fail}log</file>, Apache logs)
de: Schränken Sie die Zugriffsrechte auf Protokolldateien (<file>/var/log/{last,fail}log</file>, Protokolle von Apache) ein.

note: type: <p></p>
en: Verify that SETUID checking is enabled in <file>/etc/checksecurity.conf</file>
de: Stellen Sie sicher, dass in <file>/etc/checksecurity.conf</file> die Prüfung von SETUID eingeschaltet ist.

note: type: <p></p>
en: Consider making some log files append-only and configuration files immutable using chattr (ext2/3 file systems only)
de: Überlegen Sie sich, an Protokolldateien nur erweiterbar (append-only) und Konfigurationsdateien unveränderbar (immutable) zu machen, indem Sie chattr benutzen (nur ext2/3-Dateisystem).

note: type: <p></p>
en: Set up file integrity (see <ref id="check-integ">). Install <package>debsums</package>
de: Setzen Sie eine Integritätsprüfung des Dateisystems auf (siehe <ref id="check-integ">). Installieren Sie <package>debsums</package>.

note: type: <p></p>
en: Log everything to a local printer?
de: Alles auf einem lokalen Drucker mitprotokollieren?

note: type: <p></p>
en: Burn your configuration on a boot-able CD and boot off that?
de: Brennen Sie Ihre Konfiguration auf eine bootbare CD und booten Sie hiervon?

note: type: <p></p>
en: Disable kernel modules?
de: Abschalten von Kernel-Modulen?

note: type: <p><list>
en: Limit network access
de: Einschränkung des Netzwerkzugriffs:

note: type: <p></p>
en: Install and configure <prgn>ssh</prgn> (suggest PermitRootLogin No in <file>/etc/ssh/sshd_config</file>, PermitEmptyPasswords No; note other suggestions in text also)
de: Installieren und konfigurieren Sie <prgn>ssh</prgn> (Vorschlag: PermitRootLogin No in <file>/etc/ssh/sshd_config</file>, PermitEmptyPasswords No; beachten Sie auch die anderen Vorschläge im Text).

note: type: <p></p>
en: Disable or remove <prgn>in.telnetd</prgn>, if installed
de: Schalten Sie <prgn>in.telnetd</prgn> ab oder entfernen Sie ihn, falls er installiert ist.

note: type: <p></p>
en: Generally, disable gratuitous services in <file>/etc/inetd.conf</file> using <prgn>update-inetd --disable</prgn> (or disable <prgn>inetd</prgn> altogether, or use a replacement such as <prgn>xinetd</prgn> or <prgn>rlinetd</prgn>)
de: Deaktivieren Sie ganz allgemein alle überflüssigen Dienste in <file>/etc/inetd.conf</file>. Benutzen Sie dazu <prgn>update-inetd --disable</prgn> (oder Sie schalten <prgn>inetd</prgn> ganz ab oder verwenden einen Ersatz wie <prgn>xinetd</prgn> oder <prgn>rlinetd</prgn>).

note: type: <p></p>
en: Disable other gratuitous network services; ftp, DNS, WWW etc should not be running if you do not need them and monitor them regularly. In most cases mail should be running but configured for local delivery only.
de: Schalten Sie andere überflüssige Netzwerkdienste ab. ftp, DNS, www, usw. sollten nicht laufen, wenn Sie sie nicht brauchen und nicht regelmäßig überwachen. In den meisten Fällen muss ein Mail-Server betrieben werden, sollte aber so konfiguriert sein, dass er nur lokal Mails zustellt.

note: type: <p></p>
en: For those services which you do need, do not just use the most common programs, look for more secure versions shipped with Debian (or from other sources). Whatever you end up running, make sure you understand the risks.
de: Installieren Sie von den Diensten, die Sie brauchen, nicht einfach das verbreiteteste Programm, sondern schauen Sie nach sichereren Versionen, die Debian liefert (oder aus anderen Quellen), um. Was auch immer Sie schließlich benutzen: Stellen Sie sicher, dass Sie die Risiken verstanden haben.

note: type: <p></p>
en: Set up <prgn>chroot</prgn> jails for outside users and daemons.
de: Setzen Sie <prgn>Chroot</prgn>-Gefängnisse für auswärtige Benutzer und Daemonen auf.

note: type: <p></p>
en: Configure firewall and tcpwrappers (i.e. <manref name="hosts_access" section="5">); note trick for <file>/etc/hosts.deny</file> in text.
de: Konfigurieren Sie die Firewall und die tcp-Wrapper (d.h. <manref name="hosts_access" section="5">); beachten Sie den Trick für <file>/etc/hosts.deny</file> im Text.

note: type: <p></p>
en: If you run ftp, set up your ftpd server to always run <prgn>chroot</prgn>'ed to the user's home directory
de: Wenn Sie FTP laufen lassen, setzen Sie den ftpd-Server so auf, dass er immer in einer <prgn>chroot</prgn>-Umgebung im Home-Verzeichnis des Benutzers läuft.

note: type: <p></p>
en: If you run X, disable xhost authentication and go with <prgn>ssh</prgn> instead; better yet, disable remote X if you can (add -nolisten tcp to the X command line and turn off XDMCP in <file>/etc/X11/xdm/xdm-config</file> by setting the requestPort to 0)
de: Wenn Sie X laufen lassen, schalten Sie xhost-Authentifizierung ab und benutzen Sie stattdessen <prgn>ssh</prgn>. Oder noch besser: Deaktivieren Sie die Weiterleitung von X komplett, falls das möglich ist (fügen Sie -nolisten tcp zu der X-Kommando-Zeile hinzu und schalten Sie XDMCP in <file>/etc/X11/xdm/xdm-config</file> ab, indem Sie den requestPort auf 0 setzen).

note: type: <p></p>
en: Disable remote access to printers
de: Schalten Sie Zugriff von außerhalb auf den Drucker ab.

note: type: <p></p>
en: Tunnel any IMAP or POP sessions through SSL or <prgn>ssh</prgn>; install stunnel if you want to provide this service to remote mail users
de: Tunneln Sie alle IMAP- oder POP-Sitzungen durch SSL oder <prgn>ssh</prgn>. Installieren Sie stunnel, wenn Sie diesen Dienst anderen Mail-Benutzern anbieten wollen.

note: type: <p></p>
en: Set up a log host and configure other machines to send logs to this host (<file>/etc/syslog.conf</file>)
de: Setzen Sie einen Log-Host auf, und konfigurieren Sie andere Maschinen, ihre Protokolle an diesen Host zu senden (<file>/etc/syslog.conf</file>).

note: type: <p></p>
en: Secure BIND, Sendmail, and other complex daemons (run in a <prgn>chroot</prgn> jail; run as a non-root pseudo-user)
de: Sichern Sie BIND, Sendmail und andere komplexe Daemonen ab (starten Sie sie in einer <prgn>chroot</prgn>-Umgebung und als Pseudobenutzer, der nicht Root ist).

note: type: <p></p>
en: Install tiger or a similar network intrusion detection tool.
de: Installieren Sie tiger oder ein ähnliches Werkzeug zur Erkennung von Eindringlingen in Ihr Netzwerk.

note: type: <p></p>
en: Install snort or a similar network intrusion detection tool.
de: Installieren Sie snort oder ein ähnliches Werkzeug zur Erkennung von Eindringlingen in Ihr Netzwerk.

note: type: <p></p>
en: Do without NIS and RPC if you can (disable portmap).
de: Verzichten Sie, falls möglich, auf NIS und RPC (Abschalten von portmap).

note: type: <p><list>
en: Policy issues
de: Angelegenheiten mit Richtlinien:

note: type: <p></p>
en: Educate users about the whys and hows of your policies. When you have prohibited something which is regularly available on other systems, provide documentation which explains how to accomplish similar results using other, more secure means.
de: Klären Sie die Benutzer über das Wie und Warum Ihrer Richtlinien auf. Wenn Sie etwas verboten haben, das auf anderen Systemen normalerweise verfügbar ist, stellen Sie Dokumentation bereit, die erklärt, wie man die gleichen Resultate erreicht, indem man andere, sichere Mittel anwendet.

note: type: <p></p>
en: Prohibit use of protocols which use clear-text passwords (<prgn>telnet</prgn>, <prgn>rsh</prgn> and friends; ftp, imap, http, ...).
de: Verbieten Sie die Nutzung von Protokollen, die Klartext-Passwörter benutzen (<prgn>telnet</prgn>, <prgn>rsh</prgn> und ähnliche, ftp, imap, pop, http, ...).

note: type: <p></p>
en: Prohibit programs which use SVGAlib.
de: Verbieten Sie Programme, die SVGAlib benutzen.

note: type: <p></p>
en: Use disk quotas.
de: Benutzen Sie Disk-Quotas.

note: type: <p><list>
en: Keep informed about security issues
de: Bleiben Sie über Sicherheitsangelegenheiten informiert:

note: type: <p></p>
en: Subscribe to security mailing lists
de: Abonnieren Sie sicherheitsrelevante Mailinglisten.

note: type: <p></p>
en: Configure <package>apt</package> for security updates -- add to <file>/etc/apt/sources.list</file> an entry (or entries) for http://security.debian.org/
de: Richten Sie Sicherheitsaktualisierungen für <package>apt</package> ein &ndash; fügen Sie <file>/etc/apt/sources.list</file> einen Eintrag (oder Einträge) für http://security.debian.org/ hinzu.

note: type: <p></p>
en: Also remember to periodically run <prgn>apt-get update ; apt-get upgrade</prgn> (perhaps install as a <prgn>cron</prgn> job?) as explained in <ref id="security-update">.
de: Vergessen Sie auch nicht, regelmäßig <prgn>apt-get update ; apt-get upgrade</prgn> (vielleicht als <prgn>Cron</prgn>-Job?) laufen zu lassen, wie unter <ref id="security-update"> beschrieben.

note: type: <heading></heading>
en: Setting up a stand-alone IDS
de: Aufsetzen eines eigenständigen IDS

note: type: <p><list>
en: You can easily set up a dedicated Debian system as a stand-alone Intrusion Detection System using <package>snort</package> and a web-based interface to analyse the intrusion detection alerts:
de: Sie können sehr leicht eine Debian-Box als eigenständiges Eindringlings-Erkennungs-System (Intrusion Detection System, IDS) aufsetzen, indem Sie <package>snort</package> benutzen und eine webbasierte Schnittstelle zur Überwachung der Alarme über Eindringlinge einrichten:

note: type: <p></p>
en: Install a base Debian system and select no additional packages.
de: Installieren Sie ein Debian-Basis-System ohne zusätzliche Pakete.

note: type: <p></p>
en: Install one of the Snort versions with database support and configure the IDS to log alerts into the database.
de: Installieren Sie eine Version von Snort, die Datenbanken unterstützt, und richten Sie Snort so ein, dass die Alarme in der Datenbank protokolliert werden.

note: type: <p></p>
en: Download and install BASE (Basic Analysis and Security Engine), or ACID (Analysis Console for Intrusion Databases). Configure it to use the same database than Snort.
de: Laden Sie BASE (Basic Analysis and Security Engine) oder ACID (Analysis Console for Intrusion Databases, Konsole zur Analyse für Eindringling-Datenbanken) herunter und installieren Sie es. Konfigurieren Sie es so, dass es die gleiche Datenbank wie Snort verwendet.

note: type: <p></p>
en: Download and install the necessary packages<footnote><p>Typically the needed packages will be installed through the dependencies</p></footnote>.
de: Installieren Sie die notwendigen Pakete.<footnote><p>Normalerweise werden alle benötigten Pakete installiert, um Abhängigkeiten aufzulösen.</p></footnote>

note: type: <p></p>
en: BASE is currently packaged for Debian in <package>acidbase</package> and ACID is packaged as <package>acidlab</package><footnote><p>It can also be downloaded from <url id="http://www.cert.org/kb/acid/">, <url id="http://acidlab.sourceforge.net"> or <url id="http://www.andrew.cmu.edu/~rdanyliw/snort/">.</p></footnote>. Both provide a graphical WWW interface to Snort's output.
de: BASE wird derzeit für Debian im Paket <package>acidbase</package> geliefert, ACID im Paket <package>acidlab</package>.<footnote><p>Es kann auch von <url id="http://www.cert.org/kb/acid/">, <url id="http://acidlab.sourceforge.net"> oder <url id="http://www.andrew.cmu.edu/~rdanyliw/snort/"> heruntergeladen werden.</p></footnote> Beide stellen eine graphische WWW-Schnittstelle zur Ausgabe von Snort zur Verfügung.

note: type: <p></p>
en: Besides the base installation you will also need a web server (such as <package>apache</package>), a <prgn>PHP</prgn> interpreter and a relational database (such <package>postgresql</package> or <package>mysql</package>) where Snort will store its alerts.
de: Neben der Grundinstallationen benötigen Sie auch einen Webserver (wie <package>apache</package>), einen <prgn>PHP</prgn>-Interpreter und eine relationale Datenbank (wie <package>postgresql</package> oder <package>mysql</package>), wo Snort seine Alarme ablegen kann.

note: type: <p></p>
en: This system should be set up with at least two interfaces: one interface connected to a management LAN (for accessing the results and maintaining the system), and one interface with no IP address attached to the network segment being analyzed. You should configure the web server to listen only on the interface connected to the management LAN.
de: Dieses System sollte mit wenigstens zwei Netzwerk-Schnittstellen ausgestattet sein: Eine verbunden mit einem Verwaltungs-LAN (um die Resultate abzufragen und das System zu verwalten), und eine ohne IP-Adresse, das an mit dem zu beobachtenden Abschnitt des Netzwerks verbunden ist. Sie sollten den Webserver so einrichten, dass er nur auf der Schnittstelle lauscht, die mit dem Verwaltungs-LAN verbunden ist.

note: type: <p><example>
en: You should configure both interfaces in the standard Debian <file>/etc/network/interfaces</file> configuration file. One (the management LAN) address can be configured as you would normally do. The other interface needs to be configured so that it is started up when the system boots, but with no interface address. You can use the following interface definition:
de: Sie sollten beide Schnittstellen in der Standardkonfigurationsdatei von Debian <file>/etc/network/interfaces</file> einrichten. Eine Adresse, nämlich die des Verwaltungs-LANs, sollten Sie wie gewöhnlich einrichten. Die andere Schnittstelle muss so konfiguriert werden, dass sie aktiviert wird, wenn das System startet, ihr darf aber keine Interface-Adresse zugewiesen sein. Eine Konfiguration der Schnittstelle könnte folgendermaßen aussehen:

note: type: <p></p>
en: The above configures an interface to read all the traffic on the network in a <em>stealth</em>-type configuration. This prevents the NIDS system to be a direct target in a hostile network since the sensors have no IP address on the network. Notice, however, that there have been known bugs over time in sensors part of NIDS (for example see <url id="http://www.debian.org/security/2003/dsa-297" name="DSA-297"> related to Snort) and remote buffer overflows might even be triggered by network packet processing.
de: Diese Konfiguration führt dazu, dass die Schnittstelle den gesamten Netzwerkverkehr <em>heimlich</em> mitliest. Damit wird verhindert, dass das NIDS in einem feindlichen Netzwerk direkt angegriffen werden kann, da die Sensoren im Netzwerk keine IP-Adresse haben. Beachten Sie aber, dass es im Lauf der Zeit Fehler im Sensorenteil des NIDS gab (z.B. <url id="http://www.debian.org/security/2003/dsa-297" name="DSA-297"> im Zusammenhang mit Snort), und dass Pufferüberläufe auch entfernt durch die Verarbeitung von Netzwerkpaketen ausgelöst werden können.

note: type: <p></p>
en: You might also want to read the <url id="http://www.faqs.org/docs/Linux-HOWTO/Snort-Statistics-HOWTO.html" name="Snort Statistics HOWTO"> and the documentation available at the <url id="http://www.snort.org/docs/" name="Snort official site">.
de: Sie sollten auch einen Blick in das <url id="http://www.faqs.org/docs/Linux-HOWTO/Snort-Statistics-HOWTO.html" name="Snort Statistics HOWTO"> und in die Dokumentation auf der <url id="http://www.snort.org/docs/" name="offiziellen Seite von Snort"> werfen.

note: type: <heading></heading>
en: Setting up a bridge firewall
de: Aufsetzenden einer Bridge-Firewall

note: type: <p></p>
en: This information was contributed by Francois Bayart in order to help users set up a Linux bridge/firewall with the 2.4.x kernel and <package>iptables</package>. Kernel patches are no more needed as the code was made standard part of the Linux kernel distribution.
de: Diese Informationen trug Francois Bayart bei, um Benutzern zu helfen, eine Linux Bridge/Firewall mit 2.4.x Kernel und <package>iptables</package> aufzusetzen. Ein Kernelpatch wird nicht mehr benötigt, da der Code Standardinhalt der Linux-Kernel-Distribution wurde.

note: type: <p><example>
en: To configure the kernel with necessary support, run <tt>make menuconfig</tt> or <tt>make xconfig</tt>. In the section <em>Networking options</em>, enable the following options:
de: Um die notwendigen Einstellungen im Kernel vorzunehmen, rufen Sie <tt>make menuconfig</tt> oder <tt>make xconfig</tt> auf. Aktivieren Sie im Abschnitt <em>Networking options</em> folgende Optionen:

note: type: <p><example>
en: Caution: you must disable this if you want to apply some firewalling rules or else <prgn>iptables</prgn> will not work:
de: Passen Sie auf, dass Sie Folgendes deaktiviert müssen, wenn Sie Firewall-Regeln anwenden wollen; anderenfalls wird iptables nicht funktioniert:

note: type: <p></p>
en: Next, add the correct options in the section <em>IP: Netfilter Configuration</em>. Then, compile and install the kernel. If you want to do it the <em>Debian way</em>, install <package>kernel-package</package> and run <prgn>make-kpkg</prgn> to create a custom Debian kernel package you can install on your server using dpkg. Once the new kernel is compiled and installed, install the <package>bridge-utils</package> package.
de: Anschließend müssen Sie die korrekten Optionen im Abschnitt <em>IP: Netfilter Configuration</em> setzen. Dann kompilieren und installieren Sie den Kernel. Wenn Sie dies auf die <em>Debian-Art</em> machen wollen, installieren Sie <package>kernel-package</package> und benutzen Sie <prgn>make-kpkg</prgn>, um ein maßgeschneidertes Debian-Kernelpaket zu erstellen, das Sie mit dpkg auf Ihrem Server installieren können. Sobald der neue Kernel kompiliert und installiert ist, müssen Sie das Paket <package>bridge-utils</package> installieren.

note: type: <p></p>
en: Once these steps are complete, you can complete the configuration of your bridge. The next section presents two different possible configurations for the bridge, each with a hypothetical network map and the necessary commands.
de: Wenn Sie diesen Schritt abgeschlossen haben, können Sie die Konfiguration Ihrer Bridge fertigstellen. Im nächsten Abschnitt werden Ihnen zwei verschiedene mögliche Konfigurationen einer Bridge vorgestellt. Beide sind mit einer Übersicht eines hypothetischen Netzwerks und den notwendigen Befehlen versehen.

note: type: <heading></heading>
en: A bridge providing NAT and firewall capabilities
de: Eine Bridge mit NAT- und Firewall-Fähigkeiten

note: type: <p><example>
en: The first configuration uses the bridge as a firewall with network address translation (NAT) that protects a server and internal LAN clients. A diagram of the network configuration is shown below:
de: Die erste Konfigurationsmöglichkeit benutzt die Bridge als Firewall mit Network Address Translation (NAT, Übersetzung der Netzwerkadressen), die einen Server und interne LAN-Clienten schützt. Unten wird eine Darstellung der Anordnung des Netzwerks gezeigt:

note: type: <example></example>
en: Internet ---- router ( 62.3.3.25 ) ---- bridge (62.3.3.26 gw 62.3.3.25 / 192.168.0.1)
                                              |
                                              |
                                              |---- WWW Server (62.3.3.27 gw 62.3.3.25)
                                              |
                                              |
                                             LAN --- Zipowz (192.168.0.2 gw 192.168.0.1)
de: Internet ---- Router ( 62.3.3.25 ) ---- Bridge (62.3.3.26 gw 62.3.3.25 / 192.168.0.1)
                                              |
                                              |
                                              |---- WWW-Server (62.3.3.27 gw 62.3.3.25)
                                              |
                                              |
                                             LAN --- Zipowz (192.168.0.2 gw 192.168.0.1)

note: type: <p><example>
en: The following commands show how this bridge can be configured.
de: Die folgenden Befehle zeigen, wie diese Bridge konfiguriert werden kann:

note: type: <example></example>
en: # Create the interface br0
    /usr/sbin/brctl addbr br0
    
    # Add the Ethernet interface to use with the bridge
    /usr/sbin/brctl addif br0 eth0
    /usr/sbin/brctl addif br0 eth1
    
    # Start up the Ethernet interface
    /sbin/ifconfig eth0 0.0.0.0
    /sbin/ifconfig eth1 0.0.0.0
    
    # Configure the bridge ethernet
    # The bridge will be correct and invisible ( transparent firewall ).
    # It's hidden in a traceroute and you keep your real gateway on the 
    # other computers. Now if you want you can config a gateway on your 
    # bridge and choose it as your new gateway for the other computers.
    
    /sbin/ifconfig br0 62.3.3.26 netmask 255.255.255.248 broadcast 62.3.3.31
    
    # I have added this internal IP to create my NAT 
    ip addr add 192.168.0.1/24 dev br0
    /sbin/route add default gw 62.3.3.25
de: # Erstellen der Schnittstelle br0
    /usr/sbin/brctl addbr br0
    
    # Hinzufügen der Ethernet-Schnittstelle, welche die Bridge benutzen soll
    /usr/sbin/brctl addif br0 eth0
    /usr/sbin/brctl addif br0 eth1
    
    # Starten der Ethernet-Schnittstelle
    /sbin/ifconfig eth0 0.0.0.0
    /sbin/ifconfig eth1 0.0.0.0
    
    # Konfigurieren der Ethernet-Bridge
    # Die Bridge wird korrekt und unsichtbar (transparente Firewall) sein.
    # In einem traceroute ist sie versteckt, und Sie behalten Ihr echtes
    # Gateway auf Ihren anderen Computern. Jetzt können Sie ein Gateway
    # auf Ihrer Bridge konfigurieren und es auf Ihren anderen Computern als
    # neues Gateway einsetzen
    
    /sbin/ifconfig br0 62.3.3.26 netmask 255.255.255.248 broadcast 62.3.3.31
    
    # Ich habe diese internen IPs für mein NAT benutzt 
    ip addr add 192.168.0.1/24 dev br0
    /sbin/route add default gw 62.3.3.25

note: type: <heading></heading>
en: A bridge providing firewall capabilities
de: Eine Bridge mit Firewall-Fähigkeiten

note: type: <p><example>
en: A second possible configuration is a system that is set up as a transparent firewall for a LAN with a public IP address space.
de: Eine zweite denkbare Konfiguration ist ein System, das als transparente Firewall für ein LAN mit einer öffentlichen IP-Adresse aufgesetzt ist.

note: type: <example></example>
en: Internet ---- router (62.3.3.25) ---- bridge (62.3.3.26)
                                            |
                                            |
                                            |---- WWW Server (62.3.3.28 gw 62.3.3.25)
                                            |
                                            |
                                            |---- Mail Server (62.3.3.27 gw 62.3.3.25)
de: Internet ---- Router (62.3.3.25) ---- Bridge (62.3.3.26)
                                            |
                                            |
                                            |---- WWW-Server (62.3.3.28 gw 62.3.3.25)
                                            |
                                            |
                                            |---- Mail-Server (62.3.3.27 gw 62.3.3.25)

note: type: <example></example>
en: # Create the interface br0
    /usr/sbin/brctl addbr br0
    
    # Add the Ethernet interface to use with the bridge
    /usr/sbin/brctl addif br0 eth0
    /usr/sbin/brctl addif br0 eth1
    
    # Start up the Ethernet interface
    /sbin/ifconfig eth0 0.0.0.0
    /sbin/ifconfig eth1 0.0.0.0
    
    # Configure the bridge Ethernet
    # The bridge will be correct and invisible ( transparent firewall ).
    # It's hidden in a traceroute and you keep your real gateway on the 
    # other computers. Now if you want you can config a gateway on your
    # bridge and choose it as your new gateway for the other computers.
    
    /sbin/ifconfig br0 62.3.3.26 netmask 255.255.255.248 broadcast 62.3.3.31
de: # Erstellen der Schnittstelle br0
    /usr/sbin/brctl addbr br0
    
    # Hinzufügen der Ethernet-Schnittstelle, welche die Bridge benutzen soll
    /usr/sbin/brctl addif br0 eth0
    /usr/sbin/brctl addif br0 eth1
    
    # Starten der Ethernet-Schnittstelle
    /sbin/ifconfig eth0 0.0.0.0
    /sbin/ifconfig eth1 0.0.0.0
    
    # Konfigurieren der Ethernet-Bridge
    # Die Bridge wird korrekt und unsichtbar (transparente Firewall) sein.
    # In einem traceroute ist sie versteckt, und Sie behalten Ihr echtes
    # Gateway auf Ihren anderen Computern. Jetzt können Sie ein Gateway
    # auf Ihrer Bridge konfigurieren und es auf Ihren anderen Computern als
    # neues Gateway einsetzen
    
    /sbin/ifconfig br0 62.3.3.26 netmask 255.255.255.248 broadcast 62.3.3.31

note: type: <p></p>
en: If you traceroute the Linux Mail Server, you won't see the bridge. If you want access to the bridge with <prgn>ssh</prgn>, you must have a gateway or you must first connect to another server, such as the "Mail Server", and then connect to the bridge through the internal network card.
de: Wenn Sie mit <prgn>traceroute</prgn> die Route des Linux-Mail-Servers verfolgen, sehen Sie die Bridge nicht. Wenn Sie mit <prgn>ssh</prgn> auf die Bridge zugreifen wollen, müssen Sie ein Gateway haben oder erst auf einen anderen Server wie den »Mail Server« zugreifen, um dann über die interne Netzwerkkarte auf die Bridge zuzugreifen.

note: type: <heading></heading>
en: Basic IPtables rules
de: Grundlegende Iptables-Regeln

note: type: <p><example>
en: This is an example of the basic rules that could be used for either of these setups.
de: Dies ist ein Beispiel für grundlegende Regeln, die für beide Einstellungen benutzt werden können:

note: type: <example></example>
en: iptables -F FORWARD
    iptables -P FORWARD DROP
    iptables -A FORWARD -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -m state --state INVALID -j DROP
    iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
    
    # Some funny rules but not in a classic Iptables sorry ...
    # Limit ICMP 
    # iptables -A FORWARD -p icmp -m limit --limit 4/s -j ACCEPT
    # Match string, a good simple method to block some VIRUS very quickly
    # iptables -I FORWARD -j DROP -p tcp -s 0.0.0.0/0 -m string --string "cmd.exe"
    
    # Block all MySQL connection just to be sure
    iptables -A FORWARD -p tcp -s 0/0 -d 62.3.3.0/24 --dport 3306 -j DROP
    
    # Linux Mail Server Rules
    
    # Allow FTP-DATA (20), FTP (21), SSH (22) 
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.27/32 --dport 20:22 -j ACCEPT
    
    # Allow the Mail Server to connect to the outside
    # Note: This is *not* needed for the previous connections 
    # (remember: stateful filtering) and could be removed.
    iptables -A FORWARD -p tcp -s 62.3.3.27/32 -d 0/0 -j ACCEPT
    
    # WWW Server Rules
    
    # Allow HTTP ( 80 ) connections with the WWW server
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.28/32 --dport 80 -j ACCEPT
    
    # Allow HTTPS ( 443 ) connections with the WWW server
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.28/32 --dport 443 -j ACCEPT
    
    # Allow the WWW server to go out
    # Note: This is *not* needed for the previous connections 
    # (remember: stateful filtering) and could be removed.
    iptables -A FORWARD -p tcp -s 62.3.3.28/32 -d 0/0 -j ACCEPT
de: iptables -F FORWARD
    iptables -P FORWARD DROP
    iptables -A FORWARD -s 0.0.0.0/0.0.0.0 -d 0.0.0.0/0.0.0.0 -m state --state INVALID -j DROP
    iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
    
    # Zwei lustige Regeln, aber nicht bei klassischen Iptables. Sorry ...
    # Limit ICMP 
    # iptables -A FORWARD -p icmp -m limit --limit 4/s -j ACCEPT
    # Übereinstimmende Strings, eine gute, einfache Methode, um Viren sehr
    # schnell abzublocken
    # iptables -I FORWARD -j DROP -p tcp -s 0.0.0.0/0 -m string --string "cmd.exe"
    
    # Abblocken aller MySQL-Verbindungen, nur um sicher zu gehen
    iptables -A FORWARD -p tcp -s 0/0 -d 62.3.3.0/24 --dport 3306 -j DROP
    
    # Regeln für den Linux Mail-Server
    
    # Erlaube FTP-DATA (20), FTP (21), SSH (22)
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.27/32 --dport 20:22 -j ACCEPT
    
    #Dem Mail-Server erlauben, sich mit der Außenwelt zu verbinden
    # Beachten Sie: Dies ist *nicht* für die vorherigen Verbindungen
    # notwendig (erinnern Sie sich: stateful filtering) und könnte entfernt
    # werden:
    iptables -A FORWARD -p tcp -s 62.3.3.27/32 -d 0/0 -j ACCEPT
    
    # Regeln für den WWW-Server
    
    # AErlaube HTTP ( 80 ) Verbindungen mit dem WWW-Server
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.28/32 --dport 80 -j ACCEPT
    
    # Erlaube HTTPS ( 443 ) Verbindungen mit dem WWW-Server
    iptables -A FORWARD -p tcp -s 0.0.0.0/0 -d 62.3.3.28/32 --dport 443 -j ACCEPT
    
    # Dem WWW-Server erlauben, sich mit der Außenwelt zu verbinden
    # Beachten Sie: Dies ist *nicht* für die vorherigen Verbindungen
    # notwendig (erinnern Sie sich: stateful filtering) und könnte entfernt
    # werden:
    iptables -A FORWARD -p tcp -s 62.3.3.28/32 -d 0/0 -j ACCEPT

note: type: <heading></heading>
en: Sample script to change the default Bind installation.
de: Beispielskript, um die Standard-Installation von Bind zu ändern

note: type: <p></p>
en: This script automates the procedure for changing the <prgn>bind</prgn> version 8 name server's default installation so that it does <em>not</em> run as the superuser. Notice that <prgn>bind</prgn> version 9 in Debian already does this by default <footnote><p>Since version 9.2.1-5. That is, since Debian release <em>sarge</em>.</p></footnote> , and you are much better using that version than <prgn>bind</prgn> version 8.
de: Dieses Skript automatisiert den Vorgang, die Standardinstallation des Name-Servers <prgn>bind</prgn> in der Version 8 zu ändern, so dass er <em>nicht</em> als Root läuft. Hinweis: Bei <prgn>bind</prgn> in der Version 9 in Debian ist dies standardmäßig so.<footnote><p>Ab der Version 9.2.1-5, also seit der Veröffentlichung von <em>Sarge</em>.</p></footnote> Diese Version ist demnach der Version 8 von <prgn>bind</prgn> vorzuziehen.

note: type: <p></p>
en: This script is here for historical purposes and to show how you can automate this kind of changes system-wide. The script will create the user and groups defined for the name server and will modify both <file>/etc/default/bind</file> and <file>/etc/init.d/bind</file> so that the program will run with that user. Use with extreme care since it has not been tested thoroughly.
de: Dieses Skript ist hier aus historischen Gründen aufgeführt und soll zeigen, wie man diese Art von Veränderungen systemweit automatisieren kann. Das Skript wird den Benutzer und die Gruppe für den Name-Server erstellen und <file>/etc/default/bind</file> und <file>/etc/init.d/bind</file> so ändern, dass das Programm unter diesem Benutzer läuft. Benutzen Sie es äußerst vorsichtig, da es nicht eingehend getestet wurde.

note: type: <p><example>
en: You can also create the users manually and use the patch available for the default init.d script attached to <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=157245" name="bug report #157245">.
de: Sie können die Benutzer auch von Hand erstellen und dann den Patch für das Standard-Init.d-Skript verwenden, der im <url id="http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=157245" name="Fehlerbericht #157245"> enthalten ist.

note: type: <p></p>
en: The previous script, run on Woody's (Debian 3.0) custom <prgn>bind</prgn> (version 8), will modify the initd file after creating the 'named' user and group and will
de: Das obige Skript wird, wenn es auf Woodys (Debian 3.0) <prgn>bind</prgn> (Version 8) angewendet wird, die initd-Datei verändern, nachdem der Benutzer und die Gruppe »named« erstellt wurde.

note: type: <heading></heading>
en: Security update protected by a firewall
de: Schutz der Sicherheitsaktualisierung durch eine Firewall

note: type: <p></p>
en: After a standard installation, a system may still have some security vulnerabilities. Unless you can download updates for the vulnerable packages on another system (or you have mirrored security.debian.org for local use), the system will have to be connected to the Internet for the downloads.
de: Nach einer Standard-Installation könnten immer noch Sicherheitslücken auf dem System vorhanden sein. Falls Sie die Aktualisierungen für die verwundbaren Pakete nicht auf einem anderen System herunterladen können (oder security.debian.org zu lokalen Zwecken spiegeln können), müssen Sie sich mit dem Internet verbinden, um die Pakete herunterzuladen.

note: type: <p></p>
en: However, as soon as you connect to the Internet you are exposing this system. If one of your local services is vulnerable, you might be compromised even before the update is finished! This may seem paranoid but, in fact, analysis from the <url id="http://www.honeynet.org" name="Honeynet Project"> has shown that systems can be compromised in less than three days, even if the system is not publicly known (i.e., not published in DNS records).
de: Wenn Sie sich jedoch mit dem Internet verbinden, setzen Sie Ihr System einer Gefahr aus. Wenn einer Ihrer lokalen Dienste angreifbar ist, könnten Sie kompromittiert sein, noch bevor die Aktualisierung beendet ist! Sie mögen dies paranoid finden, aber eine Analyse vom <url id="http://www.honeynet.org" name="Honeynet Project"> zeigt tatsächlich, dass ein System in weniger als drei Tagen kompromittiert werden kann, sogar wenn das System gar nicht der Öffentlichkeit bekannt ist (d.h. nicht in DNS-Einträgen auftaucht).

note: type: <p></p>
en: When doing an update on a system not protected by an external system like a firewall, it is possible to properly configure your local firewall to restrict connections involving only the security update itself. The example below shows how to set up such local firewall capabilities, which allow connections from security.debian.org only, logging all others.
de: Wenn Sie eine Aktualisierung Ihres Systems durchführen, das nicht von einem externen System (z.B. einer Firewall) geschützt ist, können Sie trotzdem eine lokale Firewall so konfigurieren, dass Sie nur die Sicherheitsaktualisierung selbst erlaubt. Das Beispiel unten zeigt, wie die lokale Firewall aufgesetzt werden muss, damit nur Verbindungen zu security.debian.org erlaubt werden, während der Rest protokolliert wird.

note: type: <p><example>
en: The following example can be use to setup a restricted firewall ruleset. Run this commands from a local console (not a remote one) to reduce the chances of locking yourself out of the system.
de: Im nachfolgenden Beispiel wird ein strenges Regelwerk für eine Firewall dargestellt. Führen Sie diese Befehle auf einer lokalen Konsole aus (und nicht auf einer entfernten), um das Risiko zu verringern, sich aus Ihrem System auszusperren.

note: type: <p></p>
en: Note: Using a <em>DROP</em> policy in the INPUT chain is the most correct thing to do, but be <em>very</em> careful when doing this after flushing the chain from a remote connection. When testing firewall rulesets from a remote location it is best if you run a script with the firewall ruleset (instead of introducing the ruleset line by line through the command line) and, as a precaution, keep a backdoor<footnote><p>Such as <em>knockd</em>. Alternatively, you can open a different console and have the system ask for confirmation that there is somebody on the other side, and reset the firewall chain if no confirmation is given. The following test script could be of use: <example>#!/bin/bash while true; do read -n 1 -p "Are you there? " -t 30 ayt if [ -z "$ayt" ] ; then break fi done # Reset the firewall chain, user is not available echo echo "Resetting firewall chain!" iptables -F iptables -P INPUT ACCEPT iptables -P FORWARD ACCEPT iptables -P OUTPUT ACCEPT exit 1</example></p><p>Of course, you should disable any backdoors before getting the system into production.</p></footnote> configured so that you can re-enable access to the system if you make a mistake. That way there would be no need to go to a remote location to fix a firewall ruleset that blocks you.
de: Hinweis: Es ist die vorzugswürdige Verfahrensweise, die Policy-Regel <em>DROP</em> für die Input-Kette zu verwenden. Seien Sie aber <em>äußerst</em> vorsichtig, wenn Sie dies bei einer entfernten Verbindung unternehmen. Wenn Sie das Regelwerk Ihrer Firewall aus der Ferne testen, ist es am besten, wenn Sie ein Skript mit dem Regelwerk laufen lassen (anstatt jede Regel Zeile für Zeile von der Befehlszeile aus einzugeben) und sich vorsorglich eine Hintertür<footnote><p>Wie z.B. <em>knockd</em>. Alternativ dazu können Sie auch eine separate Konsole öffnen und das System nachfragen lassen, ob sich jemand auf der Gegenseite befindet. Wenn keine Eingabe erfolgt, werden die Firewall-Regeln zurückgesetzt. Ein Beispiel dafür ist: <example>#!/bin/bash
    
    while true; do
        read -n 1 -p "Are you there? " -t 30 ayt
        if [ -z "$ayt" ] ; then
            break
        fi
    done
    
    # Reset the firewall chain, user is not available
    echo
    echo "Resetting firewall chain!"
    iptables -F
    iptables -P INPUT ACCEPT
    iptables -P FORWARD ACCEPT
    iptables -P OUTPUT ACCEPT
    exit 1
    </example> <p>Selbstverständlich müssen Sie alle Hintertüren abschalten, ehe Sie Ihr System in Betrieb nehmen.</p></footnote>offen halten, so dass Sie wieder Zugriff auf Ihr System bekommen, wenn Sie einen Fehler gemacht haben. Auf diese Weise müssen Sie sich nicht auf den Weg zum entfernten Rechner machen, um die Firewall-Regel, mit der Sie sich ausgeschlossen haben, zu korrigieren.

note: type: <heading></heading>
en: <prgn>Chroot</prgn> environment for <prgn>SSH</prgn>
de: <prgn>Chroot</prgn>-Umgebung für <prgn>SSH</prgn>

note: type: <p></p>
en: Creating a restricted environment for <prgn>SSH</prgn> is a tough job due to its dependencies and the fact that, unlike other servers, <prgn>SSH</prgn> provides a remote shell to users. Thus, you will also have to consider the applications users will be allowed to use in the environment.
de: Es ist eine schwere Aufgabe, eine eingeschränkte Umgebung für <prgn>SSH</prgn> zu erstellen. Das liegt zum einen an seinen Abhängigkeiten und zum anderen daran, dass <prgn>SSH</prgn> im Gegensatz zu anderen Servern den Benutzern eine entfernte Shell zur Verfügung stellt. Daher müssen Sie sich überlegen, welche Programme Benutzer in der Umgebung verwenden sollen.

note: type: <p><list>
en: You have two options to setup a restricted remote shell:
de: Sie haben zwei Möglichkeiten, eine beschränkte entfernte Shell einzurichten:

note: type: <p></p>
en: Chrooting the ssh users, by properly configuring the ssh daemon you can ask it to chroot a user after authentication just before it is provided a shell. Each user can have their own environment.
de: die SSH-Benutzer in ein Chroot-Gefängnis einsperren: Dazu müssen Sie den SSH-Daemon so konfigurieren, dass er Benutzer nach der Authentifizierung in ein Chroot-Gefängnis einsperrt, bevor sie eine Shell bekommen. Jeder Benutzer kann seine eigene Umgebung haben.

note: type: <p></p>
en: Chrooting the ssh server, since you chroot the ssh application itself all users are chrooted to the defined environment.
de: den SSH-Server in ein Chroot-Gefängnis einsperren: Wenn die SSH-Anwendung sich selbst in einer Chroot-Umgebung befindet, sind auch alle Benutzer in diese Umgebung eingesperrt.

note: type: <p></p>
en: The first option has the advantage of making it possible to have both non-chrooted and chrooted users, if you don't introduce any setuid application in the user's chroots it is more difficult to break out of it. However, you might need to setup individual chroots for each user and it is more difficult to setup (as it requires cooperation from the SSH server). The second option is more easy to setup, and protects from an exploitation of the ssh server itself (since it's also in the chroot) but it will have the limitation that all users will share the same chroot environment (you cannot setup a per-user chroot environment).
de: Die erste Möglichkeit hat den Vorteil, dass es möglich ist, sowohl unbeschränkte als auch beschränkte Benutzer zu haben. Falls Sie keine Setuid-Anwendungen in der Chroot-Umgebung zur Verfügung stellen, wird es schwieriger, aus dem Gefängnis auszubrechen. Allerdings müssen Sie gegebenenfalls Chroot-Umgebungen für jeden Benutzer einzeln einrichten. Außerdem ist die Konfiguration schwieriger, da es Zusammenarbeit mit dem SSH-Server erfordert. Die zweite Möglichkeit ist leichter zu verwirklichen und schützt vor dem Ausnutzen eines Exploits des SSH-Servers, da auch dieser im Chroot-Gefängnis ist. Jedoch müssen alle Benutzer die gleiche Chroot-Umgebung verwenden. Verschiedene Umgebungen für verschiedene Benutzer sind nicht möglich.

note: type: <heading></heading>
en: Chrooting the ssh users
de: SSH-Benutzer in ein Chroot-Gefängnis einsperren

note: type: <p></p>
en: You can setup the ssh server so that it will chroot a set of defined users into a shell with a limited set of applications available.
de: Sie können den SSH-Server so einrichten, dass er bestimmte Benutzer in eine Chroot-Umgebung einsperrt, so dass sie eine Shell mit nur einer beschränkten Anzahl von Anwendungen zur Verfügung haben.

note: type: <heading></heading>
en: Using <package>libpam-chroot</package>
de: Einsatz von <package>libpam-chroot</package>

note: type: <p><list>
en: Probably the easiest way is to use the <package>libpam-chroot</package> package provided in Debian. Once you install it you need to:
de: Der wahrscheinlich leichteste Weg ist, das Paket <package>libpam-chroot</package>, das in Debian vorhanden ist, zu verwenden. Wenn Sie es installiert haben, müssen Sie:

note: type: <p><example>
en: Modify <file>/etc/pam.d/ssh</file> to use this PAM module, add as its last line<footnote><p>You can use the <em>debug</em> option to have it send the progress of the module to the <em>authpriv.notice</em> facility</p></footnote>:
de: <file>/etc/pam.d/ssh</file> verändern, um dieses PAM-Modul zu verwenden. Fügen Sie dazu als letzte Zeile Folgendes ein<footnote><p>Sie können die Option <em>debug</em> verwenden. Damit wird der Fortschritt des Moduls unter <em>authpriv.notice</em> protokolliert.</p></footnote>:

note: type: <p></p>
en: set a proper chroot environment for the user. You can try using the scripts available at <file>/usr/share/doc/libpam-chroot/examples/</file>, use the <package>makejail</package> <footnote><p>You can create a very limited bash environment with the following python definition for makejail, just create the directory <file>/var/chroots/users/foo</file> and a file with the following contents and call it <file>bash.py</file>: <example>chroot="/var/chroots/users/foo" cleanJailFirst=1 testCommandsInsideJail=["bash ls"]</example></p><p>And then run <em>makejail bash.py</em> to create the user environment at <file>/var/chroots/users/foo</file>. To test the environment run: <example># chroot /var/chroots/users/foo/ ls bin dev etc lib proc sbin usr</example></p></footnote> program or setup a minimum Debian environment with <package>debootstrap</package>. Make sure the environment includes the needed devices <footnote><p>In some occasions you might need the <file>/dev/ptmx</file> and <file>/dev/pty*</file> devices and the <file>/dev/pts/</file> subdirectory. Running MAKEDEV in the <file>/dev</file> directory of the chrooted environment should be sufficient to create them if they do not exist. If you are using kernels (version 2.6) which dynamically create device files you will need to create the /dev/pts/ files yourself and grant them the proper privileges.</p></footnote>.
de: eine passende Chroot-Umgebung für die Benutzer einrichten. Sie können versuchen, die Skripte unter <file>/usr/share/doc/libpam-chroot/examples/</file> zu verwenden, das Programm <package>makejail</package> benutzen<footnote><p>Mit folgendem Python-Aufruf können Sie eine sehr eingeschränkte Bash-Umgebung für makejail erstellen. Erstellen Sie das Verzeichnis <file>/var/chroots/users/foo</file> und eine Datei mit dem Namen <file>bash.py</file> und folgendem Inhalt: <example>  chroot="/var/chroots/users/foo"
      cleanJailFirst=1
      testCommandsInsideJail=["bash ls"]</example> Führen Sie dann <em>makejail bash.py</em> aus, um eine Benutzer-Umgebung unter <file>/var/chroots/users/foo</file> zu erstellen. So testen Sie die Umgebung: <example>   # chroot /var/chroots/users/foo/ ls
      bin  dev  etc  lib  proc  sbin  usr </example> </p></footnote> oder eine minimale Debian-Umgebung mit <package>debootstrap</package> aufsetzen. Stellen Sie sicher, dass die Umgebung die notwendigen Geräte enthält.<footnote><p> Unter Umständen benötigen Sie die Geräte <file>/dev/ptmx</file> und <file>/dev/pty*</file> und das Unterverzeichnis <file>/dev/pts/</file>. Es sollte ausreichen, MAKEDEV im <file>/dev</file>-Verzeichnis der Chroot-Umgebung auszuführen, um sie zu erstellen, falls sie nicht existieren. Wenn Sie einen Kernel einsetzen, der die Gerätedateien dynamisch erstellt (Version 2.6), müssen Sie die Dateien /dev/pts/ selbst erstellen und mit den passenden Rechten ausstatten.</p></footnote>

note: type: <p></p>
en: Configure <file>/etc/security/chroot.conf</file> so that the users you determine are chrooted to the directory you setup previously. You might want to have independent directories for different users so that they will not be able to see neither the whole system nor each other's.
de: <file>/etc/security/chroot.conf</file> bearbeiten, damit die ausgewählten Benutzer in das Verzeichnis eingesperrt werden, das Sie zuvor eingerichtet haben. Sie sollten getrennte Verzeichnisse für verschiedene Benutzer haben, damit sie weder das ganze System noch sich gegenseitig sehen können.

note: type: <p><example>
en: Configure SSH: Depending on your OpenSSH version the chroot environment might work straight of the box or not. Since 3.6.1p2 the <em>do_pam_session()</em> function is called after sshd has dropped privileges, since chroot() needs root priviledges it will not work with Privilege separation on. In newer OpenSSH versions, however, the PAM code has been modified and do_pam_session is called before dropping priviledges so it will work even with Privilege separation is on. If you have to disable it modify <file>/etc/ssh/sshd_config</file> like this:
de: SSH konfigurieren: Je nach der eingesetzten OpenSSH-Version funktioniert die Chroot-Umgebung sofort. Seit 3.6.1p2 wird die Funktion <em>do_pam_session()</em> aufgerufen, nachdem sshd seine Rechte abgelegt hat. Da chroot() Root-Rechte benötigt, wird es mit Rechtetrennung nicht funktionieren. Allerdings wurde in neueren OpenSSH-Versionen der PAM-Code verändert, so dass do_pam_session vor dem Ablegen der Rechte aufgerufen wird. Daher funktioniert es auch mit aktivierter Rechtetrennung. Falls Sie sie abschalten müssen, müssen Sie <file>/etc/ssh/sshd_config</file> so verändern:

note: type: <p></p>
en: Notice that this will lower the security of your system since the OpenSSH server will then run as <em>root</em> user. This means that if a remote attack is found against OpenSSH an attacker will get <em>root</em> privileges instead of <em>sshd</em>, thus compromising the whole system. <footnote><p>If you are using a kernel that implements Mandatory Access Control (RSBAC/SElinux) you can avoid changing this configuration just by granting the <em>sshd</em> user privileges to make the chroot() system call.</p></footnote>
de: Beachten Sie, dass das die Sicherheit Ihres Systems verringern wird, da dann der OpenSSH-Server als <em>Root</em> läuft. Das bedeutet, dass wenn eine Angriffsmöglichkeit aus der Ferne gegen OpenSSH entdeckt wird, ein Angreifer <em>Root</em>-Rechte anstatt nur <em>Sshd</em>-Rechte erlangen wird und somit das gesamte System kompromittiert.<footnote><p> Wenn Sie einen Kernel verwenden, der Mandatory-Access-Control (RSBAC/SElinux) unterstützt, müssen Sie die Konfiguration nicht ändern, wenn Sie dem <em>Sshd</em>-Benutzer die notwendigen Rechte einräumen, um den Systemaufruf chroot() ausführen zu können.</p></footnote>

note: type: <p></p>
en: If you don't disable <em>Privilege Separation</em> you will need an <file>/etc/passwd</file> which includes the user's UID inside the chroot for <em>Privilege Separation</em> to work properly.
de: Wenn Sie die <em>Rechtetrennung</em> nicht deaktivieren, brauchen Sie im Chroot-Gefängnis <file>/etc/passwd</file>, welches die Benutzer-UID enthält, damit die <em>Rechtetrennung</em> funktioniert.

note: type: <p><example>
en: If you have <em>Privilege Separation</em> set to <strong>yes</strong> and your OpenSSH version does not behave properly you will need to disable it. If you don't, users that try to connect to your server and would be chrooted by this module will see this:
de: Wenn Sie die Option <em>Rechtetrennung</em> auf <strong>yes</strong> gesetzt haben und Ihre Version von OpenSSH nicht richtig läuft, müssen Sie sie abschalten. Wenn Sie das unterlassen, werden Benutzer, die sich mit Ihrem Server verbinden wollen und von diesem Modul in eine Chroot-Umgebung eingesperrt werden sollen, Folgendes zu sehen bekommen:

note: type: <p></p>
en: This is because the ssh daemon, which is running as 'sshd', is not be able to make the chroot() system call. To disable Privilege separation you have to modify the <file>/etc/ssh/sshd_config</file> configuration file as described above.
de: Dies geschieht, weil der SSH-Daemon, der als »sshd« läuft, nicht den Systemaufruf chroot() ausführen kann. Um die Rechtetrennung abzuschalten, müssen Sie die Konfigurationsdatei <file>/etc/ssh/sshd_config</file> wie oben beschrieben verändern.

note: type: <p><list>
en: Notice that if any of the following is missing the users will not be able to logon to the chroot:
de: Beachten Sie, dass, wenn Folgendes fehlt, sich die Benutzer nicht in der Chroot-Umgebung anmelden können:

note: type: <p></p>
en: The <file>/proc</file> filesystem needs to be mounted in the users' chroot.
de: Das Dateisystem <file>/proc</file> muss in der Chroot-Umgebung des Benutzers gemountet sein.

note: type: <p></p>
en: The necessary <file>/dev/pts/</file> devices need to exist. If the files are generated by your running kernel automatically then you have to manually create them on the chroot's <file>/dev/</file>.
de: Die notwendigen Geräte unter <file>/dev/pts/</file> müssen vorliegen. Falls diese Dateien automatisch vom Kernel erstellt werden, müssen Sie sie von Hand unter <file>/dev/</file> in der Chroot-Umgebung erstellen.

note: type: <p></p>
en: The user's home directory has to exist in the chroot, otherwise the ssh daemon will not continue.
de: Das Home-Verzeichnis des Benutzers muss in der Chroot-Umgebung existieren. Ansonsten wird der SSH-Daemon nicht fortfahren.

note: type: <p></p>
en: You can debug all these issues if you use the <em>debug</em> keyword in the <file>/etc/pam.d/ssh</file> PAM definition. If you encounter issues you might find it useful to enable the debugging mode on the ssh client too.
de: Sie können diese Probleme mit dem Schlüsselwort <em>debug</em> in der PAM-Konfiguration <file>/etc/pam.d/ssh</file> debuggen. Falls Sie auf Probleme stoßen, kann es sich als nützlich erweisen, auch den Debugging-Modus des SSH-Clients zu aktivieren.

note: type: <p></p>
en: Note: This information is also available (and maybe more up to date) in <file>/usr/share/doc/libpam-chroot/README.Debian.gz</file>, please review it for updated information before taking the above steps.
de: Hinweis: Diese Informationen sind auch in <file>/usr/share/doc/libpam-chroot/README.Debian.gz</file> enthalten (und vielleicht aktueller). Bitte überprüfen Sie, ob dort aktualisierte Informationen vorhanden sind, bevor Sie die oben aufgezeigten Schritte ausführen.

note: type: <heading></heading>
en: Patching the <prgn>ssh</prgn> server
de: Patchen des <prgn>ssh</prgn>-Servers

note: type: <p></p>
en: Debian's <prgn>sshd</prgn> does not allow restriction of a user's movement through the server, since it lacks the <prgn>chroot</prgn> function that the commercial program <prgn>sshd2</prgn> includes (using 'ChrootGroups' or 'ChrootUsers', see <manref name="sshd2_config" section="5">). However, there is a patch available to add this functionality available from <url id="http://chrootssh.sourceforge.net" name="ChrootSSH project"> (requested and available in <url id="http://bugs.debian.org/139047" name="Bug #139047"> in Debian). The patch may be included in future releases of the OpenSSH package. Emmanuel Lacour has <prgn>ssh</prgn> deb packages for <em>sarge</em> with this feature. They are available at <url id="http://debian.home-dn.net/sarge/ssh/">. Notice that those might not be up to date so completing the compilation step is recommended.
de: Debians <prgn>sshd</prgn> gestattet nicht, die Bewegungen eines Benutzer durch den Server zu beschränken, da er keine <prgn>Chroot</prgn>-Funktionalität besitzt. Diese ist im Gegensatz dazu Bestandteil des kommerziellen Programms <prgn>sshd2</prgn> (es verwendet »ChrootGroups« oder »ChrootUsers«, siehe <manref name="sshd2_config" section="5">). Allerdings gibt es einen Patch, der <prgn>sshd</prgn> um diese Funktion erweitert. Den Patch erhalten Sie unter <url id="http://chrootssh.sourceforge.net" name="ChrootSSH project"> (wurde in <url id="http://bugs.debian.org/139047" name="Fehlerbericht #139047"> nachgefragt). Der Patch könnte Bestandteil von zukünftigen Veröffentlichungen des OpenSSH-Pakets werden. Emmanuel Lacour bietet <prgn>ssh</prgn>-Pakete als Debs mit diesen Fähigkeiten für <em>Sarge</em> an. Sie sind unter <url id="http://debian.home-dn.net/sarge/ssh/"> verfügbar. Beachten Sie aber, dass sie nicht aktuell sein müssen, daher wird empfohlen, den Weg der Kompilierung zu gehen.

note: type: <p><example>
en: After applying the patch, modify <file>/etc/passwd</file> by changing the home path of the users (with the special <tt>/./</tt> token):
de: Nachdem Sie den Patch angewendet haben, müssen Sie <file>/etc/passwd</file> anpassen und darin das Home-Verzeichnis der Benutzer ändern (mit dem speziellen <tt>/./</tt> Kürzel).

note: type: <example></example>
en:   joeuser:x:1099:1099:Joe Random User:/home/joe/./:/bin/bash
de:   joebenutzer:x:1099:1099:Joe Zufaelliger Benutzer:/home/joe/./:/bin/bash

note: type: <p></p>
en: This will restrict <em>both</em> remote shell access, as well as remote copy through the <prgn>ssh</prgn> channel.
de: Dies wird <em>sowohl</em> den Fernzugriff auf die Shell <em>als auch</em> Fernkopien über den <prgn>ssh</prgn>-Kanal einschränken.

note: type: <p><example>
en: Make sure to have all the needed binaries and libraries in the <prgn>chroot</prgn>'ed path for users. These files should be owned by root to avoid tampering by the user (so as to exit the <prgn>chroot</prgn>'ed jailed). A sample might include:
de: Gehen Sie sicher, dass Sie alle benötigten Programme und Bibliotheken in den <prgn>Chroot</prgn>-Pfaden der Benutzer haben. Diese Dateien sollten Root als Eigentümer haben, um Manipulationen durch den Benutzer zu verhindern (zum Beispiel um das <prgn>chroot</prgn>-Gefängnis zu verlassen). Ein Beispiel könnte so aussehen:

note: type: <heading></heading>
en: Chrooting the ssh server
de: Einsperren des SSH-Servers in einem Chroot-Gefängnis

note: type: <p><example>
en: If you create a chroot which includes the SSH server files in, for example <file>/var/chroot/ssh</file>, you would start the <prgn>ssh</prgn> server <prgn>chroot</prgn>'ed with this command:
de: Wenn Sie eine Chroot-Umgebung erstellen, welche die Dateien des SSH-Servers enthält, z.B. unter <file>/var/chroot/ssh</file>, sollten Sie den im <prgn>chroot</prgn>-Gefängnis eingesperrten <prgn>ssh</prgn>-Server mit diesem Befehl starten:

note: type: <p><example>
en: That would make startup the <prgn>sshd</prgn> daemon inside the chroot. In order to do that you have to first prepare the contents of the <file>/var/chroot/ssh</file> directory so that it includes both the SSH server and all the utilities that the users connecting to that server might need. If you are doing this you should make certain that OpenSSH uses <em>Privilege Separation</em> (which is the default) having the following line in the configuration file <file>/etc/ssh/sshd_config</file>:
de: Das führt dazu, dass der <prgn>sshd</prgn>-Daemon innerhalb des Chroot-Gefängnisses gestartet wird. Dazu müssen Sie zunächst dafür sorgen, dass das Verzeichnis <file>/var/chroot/ssh</file> den SSH-Server und die Werkzeuge enthält, die Benutzer benötigen, die mit dem Server verbunden sind. Wenn Sie das vorhaben, sollten Sie sicherstellen, dass OpenSSH <em>Rechtetrennung (Privilege Separation)</em> einsetzt (was standardmäßig so ist). Dazu muss in der Konfigurationsdatei <file>/etc/ssh/sshd_config</file> folgende Zeile enthalten sein:

note: type: <p></p>
en: That way the remote daemon will do as few things as possible as the root user so even if there is a bug in it it will not compromise the chroot. Notice that, unlike the case in which you setup a per-user chroot, the ssh daemon is running in the same chroot as the users so there is at least one potential process running as root which could break out of the chroot.
de: Dadurch wird der entfernte Daemon so wenig Dinge wie möglich als Root ausführen. Wenn er also einen Fehler enthalten sollte, kann damit nicht aus dem Chroot-Gefängnis ausgebrochen werden. Beachten Sie, dass, anders als wenn Sie eine Chroot-Umgebung für jeden Benutzer einzeln einrichten, in diesem Fall der SSH-Daemon im selben Chroot-Gefängnis wie die Benutzer läuft. Es gibt also mindestens einen Prozess in der Chroot-Umgebung, der als Root läuft. Mit ihm ist es möglich, aus dem Chroot-Gefängnis auszubrechen.

note: type: <p></p>
en: Notice, also, that in order for SSH to work in that location, the partition where the chroot directory resides cannot be mounted with the <em>nodev</em> option. If you use that option, then you will get the following error: <em>PRNG is not seeded</em>, because <file>/dev/urandom</file> does not work in the chroot.
de: Beachten Sie auch, dass SSH nur funktioniert, wenn die Partition, auf der die Chroot-Umgebung eingerichtet wurde, nicht mit der Option <em>nodev</em> gemountet wurde. Wenn Sie diese Option verwenden, bekommen Sie folgende Fehlermeldung: <em>PRNG is not seeded</em>, weil <file>/dev/urandom</file> nicht in der Chroot-Umgebung funktioniert.

note: type: <heading></heading>
en: Setup a minimal system (the really easy way)
de: Einrichten eines minimalen Systems (der wirklich leichte Weg)

note: type: <p></p>
en: You can use <package>debootstrap</package> to setup a minimal environment that just includes the ssh server. In order to do this you just have to create a chroot as described in the <url id="http://www.debian.org/doc/manuals/reference/ch09#_chroot_system" name="chroot section of the Debian Reference"> document. This method is bound to work (you will get all the necessary componentes for the chroot) but at the cost of disk space (a minimal installation of Debian will amount to several hundred megabytes). This minimal system might also include setuid files that a user in the chroot could use to break out of the chroot if any of those could be use for a privilege escalation.
de: Sie können mit <package>debootstrap</package> eine minimale Umgebung einrichten, die ausschließlich den SSH-Server enthält. Dafür müssen Sie nur eine Chroot-Umgebung einrichten, wie es im <url id="http://www.debian.org/doc/manuals/reference/ch09#_chroot_system" name="Chroot-Abschnitt der Debian-Referenz"> beschrieben wird. Diese Vorgehensweise ist idiotensicher (Sie werden alle für die Chroot-Umgebung notwendigen Bestandteile erhalten), aber dies geht auf Kosten von Plattenspeicher. Eine minimale Installation von Debian benötigt einige hundert Megabyte. Dieses minimale System könnte auch Setuid-Dateien enthalten, mit denen ein Benutzer aus dem Chroot-Gefängnis ausbrechen könnte, wenn sie eine Rechteerweiterung zulassen.

note: type: <heading></heading>
en: Automatically making the environment (the easy way)
de: Automatisches Erstellen der Umgebung (der leichte Weg)

note: type: <p></p>
en: You can easily create a restricted environment with the <package>makejail</package> package, since it automatically takes care of tracing the server daemon (with <prgn>strace</prgn>), and makes it run under the restricted environment.
de: Mit dem Paket <package>makejail</package> können Sie leicht eine eingeschränkte Umgebung erstellen, da es automatisch den Trace des Server-Daemons verfolgt (mit <prgn>strace</prgn>) und dafür sorgt, dass er in der eingeschränkten Umgebung läuft.

note: type: <p></p>
en: The advantage of programs that automatically generate <prgn>chroot</prgn> environments is that they are capable of copying any package to the <prgn>chroot</prgn> environment (even following the package's dependencies and making sure it's complete). Thus, providing user applications is easier.
de: Der Vorteil von Programmen, die automatisch die <prgn>chroot</prgn>-Umgebung einrichten, liegt darin, dass sie im Stande sind, Pakete in die <prgn>chroot</prgn>-Umgebung zu kopieren (und verfolgen sogar die Abhängigkeiten der Pakete, um sicherzustellen, dass sie vollständig sind). Dadurch wird das Bereitstellen von Anwendungen für Benutzer leichter.

note: type: <p><example>
en: To set up the environment using <prgn>makejail</prgn>'s provided examples, just create <file>/var/chroot/sshd</file> and use the command:
de: Um ein Chroot-Gefängnis aus den von <prgn>makejail</prgn> zur Verfügung gestellten Beispielen einzurichten, müssen Sie <file>/var/chroot/sshd</file> erstellen und folgenden Befehl ausführen:

note: type: <p><list>
en: This will setup the chroot in the <file>/var/chroot/sshd</file> directory. Notice that this chroot will not fully work unless you:
de: Dies wird eine Chroot-Umgebung im Verzeichnis <file>/var/chroot/sshd</file> erstellen. Beachten Sie, dass diese Chroot-Umgebung nicht voll funktionstüchtig ist, bis Sie:

note: type: <p><example>
en: Mount the <em>procfs</em> filesystem in <file>/var/chroot/sshd/proc</file>. <prgn>Makejail</prgn> will mount it for you but if the system reboots you need to remount it running:
de: Das Dateisystem <em>procfs</em> in <file>/var/chroot/sshd/proc</file> eingehängt haben. <prgn>Makejail</prgn> wird es für Sie einhängen. Aber nach einem Neustart werden Sie es erneut einhängen müssen:

note: type: <p><example>
en: You can also have it be mounted automatically by editing <file>/etc/fstab</file> and including this line:
de: Es kann auch automatisch eingebunden werden. Dazu müssen Sie <file>/etc/fstab</file> bearbeiten und folgende Zeile eintragen:

note: type: <p></p>
en: Have syslog listen to the device <file>/dev/log</file> inside the chroot. In order to do this you have modify <file>/etc/default/syslogd</file> and add <em>-a /var/chroot/sshd/dev/log</em> to the <strong>SYSLOGD</strong> variable definition.
de: Syslog auf das Geräte <file>/dev/log</file> in der Chroot-Umgebung horchen lassen. Dazu müssen Sie <file>/etc/default/syslogd</file> ändern und <em>-a /var/chroot/sshd/dev/log</em> zur Definition der Variablen <strong>SYSLOGD</strong> hinzufügen.

note: type: <p></p>
en: Read the sample file to see what other changes need to be made to the environment. Some of these changes, such as copying user's home directories, cannot be done automatically. Also, limit the exposure of sensitive information by only copying the data from a given number of users from the files <file>/etc/shadow</file> or <file>/etc/group</file>. Notice that if you are using Privilege Separation the <em>sshd</em> user needs to exist in those files.
de: Sehen Sie sich die Beispielsdatei an, um herauszufinden, welche Änderungen an der Umgebung vorgenommen werden müssen. Einige diese Änderungen können nicht automatisch vorgenommen werden, wie z.B. das Kopieren des Home-Verzeichnisses eines Benutzers. Außerdem sollten Sie die Gefährdung von sensiblen Informationen begrenzen, indem Sie nur die Daten bestimmter Benutzer aus den Dateien <file>/etc/shadow</file> und <file>/etc/group</file> kopieren. Beachten Sie, dass, falls Sie Rechtetrennung verwenden, der Benutzer <em>sshd</em> in diesen Dateien vorhanden sein muss.

note: type: <p><example>
en: The following sample environment has been (slightly) tested in Debian 3.0 and is built with the configuration file provided in the package and includes the <package>fileutils</package> package:
de: Die folgende Beispielumgebung wurde (ein wenig) unter Debian 3.0 getestet. Sie basiert auf der Konfigurationsdatei, die mit dem Paket geliefert wird, und beinhaltet das Paket <package>fileutils</package>.

note: type: <p><example>
en: For Debian release 3.1 you have to make sure that the environment includes also the common files for PAM. The following files need to be copied over to the chroot if <prgn>makejail</prgn> did not do it for you:
de: Bei Debian 3.1 müssen Sie sicherstellen, dass das Gefängnis auch die Dateien für PAM enthält. Falls es nicht schon <prgn>makejail</prgn> für Sie erledigt hat, müssen Sie folgende Dateien in die Chroot-Umgebung kopiert:

note: type: <heading></heading>
en: Manually creating the environment (the hard way)
de: Die Chroot-Umgebung von Hand erstellen (der schwierige Weg)

note: type: <p><example>
en: It is possible to create an environment, using a trial-and-error method, by monitoring the <prgn>sshd</prgn> server traces and log files in order to determine the necessary files. The following environment, contributed by José Luis Ledesma, is a sample listing of files in a <prgn>chroot</prgn> environment for <prgn>ssh</prgn> in Debian woody (3.0): <footnote><p>Notice that there are no SETUID files. This makes it more difficult for remote users to escape the <prgn>chroot</prgn> environment. However, it also prevents users from changing their passwords, since the <prgn>passwd</prgn> program cannot modify the files <file>/etc/passwd</file> or <file>/etc/shadow</file>.</p></footnote>
de: Es ist möglich, eine Umgebung mit der Trial-and-Error-Methode zu erstellen. Dazu müssen Sie die Traces und die Protokolldateien des <prgn>sshd</prgn>-Servers überwachen, um die notwendigen Dateien herauszufinden. Die folgende Umgebung, die von José Luis Ledesma zur Verfügung gestellt wurde, ist eine beispielhafte Auflistung der Dateien in einer <prgn>chroot</prgn>-Umgebung für <prgn>ssh</prgn> unter Debian 3.0:

note: type: <heading></heading>
en: <prgn>Chroot</prgn> environment for <prgn>Apache</prgn>
de: <prgn>Chroot</prgn>-Umgebung für <prgn>Apache</prgn>

note: type: <p></p>
en: The <prgn>chroot</prgn> utility is often used to jail a daemon in a restricted tree. You can use it to insulate services from one another, so that security issues in a software package do not jeopardize the whole server. When using the <prgn>makejail</prgn> script, setting up and updating the chrooted tree is much easier.
de: Das Programm <prgn>chroot</prgn> wird häufig dazu benutzt, einen Daemon in einen beschränkten Verzeichnisbaum einzusperren. Sie können es dazu verwenden, um Dienste von anderen abzuschirmen, so dass Sicherheitsprobleme mit einem Softwarepaket nicht den ganzen Server gefährden können. Durch die Verwendung des Skripts <prgn>makejail</prgn> wird es viel leichter, einen Verzeichnisbaum in einer <prgn>chroot</prgn>-Umgebung einzurichten und zu aktualisieren.

note: type: <heading></heading>
en: Licensing
de: Lizenz

note: type: <p></p>
en: This document is copyright 2002 Alexandre Ratti. It has been dual-licensed and released under the GPL version 2 (GNU General Public License) the GNU-FDL 1.2 (GNU Free Documentation Licence) and is included in this manual with his explicit permission. (from the <url id="http://www.gabuzomeu.net/alex/doc/apache/index-en.html" name="original document">)
de: Dieses Dokument ist urheberrechtlich von Alexandre Ratti (2002) geschützt. Es steht unter einer doppelten Lizenz, nämlich der GPL Version 2 (GNU General Public License) und der GNU-FDL 1.2 (GNU Free Documentation Licence). Es wurde in dieses Handbuch mit seiner ausdrücklichen Genehmigung aufgenommen. (Siehe auch das <url id="http://www.gabuzomeu.net/alex/doc/apache/index-en.html" name="Originaldokument">)

note: type: <heading></heading>
en: Installing the server
de: Installation des Servers

note: type: <p><list>
en: This procedure was tested on Debian GNU/Linux&nbsp;3.0 (Woody) with <prgn>makejail</prgn> 0.0.4-1 (in Debian/testing).
de: Diese Vorgehensweise wurde auf Debian GNU/Linux&nbsp;3.0 (Woody) mit <prgn>makejail</prgn> 0.0.4-1 (in Debian/Testing) getestet.

note: type: <p><example>
en: Log in as <prgn>root</prgn> and create a new jail directory:
de: Melden Sie sich als <prgn>Root</prgn> an und erstellen Sie ein neues Verzeichnis für das Gefängnis:

note: type: <p><example>
en: Create a new user and a new group. The chrooted Apache server will run as this user/group, which isn't used for anything else on the system. In this example, both user and group are called <prgn>chrapach</prgn>.
de: Erstellen Sie einen neuen Benutzer und eine neue Gruppe. Der Apache in der <prgn>chroot</prgn>-Umgebung wird als diese Benutzer und Gruppe laufen, die für nichts anderes auf dem System verwendet werden. In dem Beispiel heißen sowohl Benutzer als auch Gruppe <prgn>chrapach</prgn>.

note: type: <p></p>
en: Install Apache as usual on Debian: <tt>apt-get install apache</tt>
de: Installieren Sie ganz normal Apache auf Debian: <tt>apt-get install apache</tt>.

note: type: <p></p>
en: Set up Apache (e.g. define your subdomains, etc.). In the <file>/etc/apache/httpd.conf</file> configuration file, set the <em>Group</em> and <em>User</em> options to <tt>chrapach</tt>. Restart Apache and make sure the server is working correctly. Now, stop the Apache daemon.
de: Richten Sie Apache ein (z.B. definieren Sie Ihrer Subdomains usw.). Weisen Sie in der Konfigurationsdatei <file>/etc/apache/httpd.conf</file> den Optionen <em>Group</em> und <em>User</em> <tt>chrapach</tt> zu. Starten Sie Apache neu und stellen Sie sicher, dass der Server korrekt funktioniert. Danach halten Sie den Server wieder an.

note: type: <p></p>
en: Install <prgn>makejail</prgn> (available in Debian/testing for now). You should also install <prgn>wget</prgn> and <prgn>lynx</prgn> as they will be used by <prgn>makejail</prgn> to test the chrooted server: <tt>apt-get install makejail wget lynx</tt>
de: Installieren Sie <prgn>makejail</prgn> (ist derzeit in Debian/Testing vorhanden). Sie sollten auch <prgn>wget</prgn> und <prgn>lynx</prgn> installieren, da sie von <prgn>makejail</prgn> benutzt werden, um den Server in der <prgn>chroot</prgn>-Umgebung zu testen: <tt>apt-get install makejail wget lynx</tt>.

note: type: <p><example>
en: Copy the sample configuration file for Apache to the <file>/etc/makejail</file> directory:
de: Kopieren Sie die Beispielkonfigurationsdatei für Apache ins Verzeichnis <file>/etc/makejail</file>:

note: type: <p><example>
en: Edit <file>/etc/makejail/apache.py</file>. You need to change the <em>chroot</em>, <em>users</em> and <em>groups</em> options. To run this version of <prgn>makejail</prgn>, you can also add a <prgn>packages</prgn> option. See the <url id="http://www.floc.net/makejail/current/doc/" name="makejail documentation">. A sample is shown here:
de: Bearbeiten Sie <file>/etc/makejail/apache.py</file>. Sie müssen die Optionen <em>chroot</em>, <em>users</em> und <em>groups</em> verändern. Um diese Version von <prgn>makejail</prgn> laufen zu lassen, können Sie auch die Option <prgn>packages</prgn> hinzufügen. Vergleichen Sie die <url id="http://www.floc.net/makejail/current/doc/" name="Makejail-DoKumentation">. Die Konfigurationsdatei könnte beispielsweise so aussehen:

note: type: <p></p>
en: Create the chroot tree: <tt>makejail /etc/makejail/apache.py</tt>
de: Erstellen Sie den Verzeichnisbaum für chroot: <tt>makejail /etc/makejail/apache.py</tt>.

note: type: <p><example>
en: If <file>/etc/password</file> and <file>/etc/group</file> were fully copied, type:
de: Falls <file>/etc/password</file> und <file>/etc/group</file> vollständig kopiert wurden, geben Sie Folgendes ein:

note: type: </example></p>
en: to replace them with filtered copies.
de: Damit werden <file>/etc/password</file> und <file>/etc/group</file> mit gefilterten Fassungen ersetzt.

note: type: <p><example>
en: Copy the Web site pages and the logs into the jail. These files are not copied automatically (see the <em>preserve</em> option in <prgn>makejail</prgn>'s configuration file).
de: Kopieren Sie die Webseiten und die Protokolle ins Gefängnis. Diese Dateien werden nicht automatisch mitkopiert (sehen Sie sich dazu die Option <em>preserve</em> in der Konfigurationsdatei von <prgn>makejail</prgn> an).

note: type: <p></p>
en: Edit the startup script for the system logging daemon so that it also listen to the <file>/var/chroot/apache/dev/log</file> socket. In <file>/etc/default/syslogd</file>, replace: <tt>SYSLOGD=&quot;&quot;</tt> with <tt>SYSLOGD=&quot; -a /var/chroot/apache/dev/log&quot;</tt> and restart the daemon (<tt>/etc/init.d/sysklogd restart</tt>).
de: Editieren Sie das Startskript für den Protokoll-Daemon des Systems so, dass er auch den Socket <file>/var/chroot/apache/dev/log</file> beobachtet. Ersetzen Sie in <file>/etc/default/syslogd</file> <tt>SYSLOGD=&quot;&quot;</tt> mit <tt>SYSLOGD=&quot; -a /var/chroot/apache/dev/log&quot;</tt> und starten Sie den Daemon neu (<tt>/etc/init.d/sysklogd restart</tt>).

note: type: <p><list>
en: Edit the Apache startup script (<file>/etc/init.d/apache</file>). You might need to make some changes to the default startup script for it to run properly with a chrooted tree. Such as:
de: Editieren Sie das Startskript von Apache (<file>/etc/init.d/apache</file>). Sie müssen ein paar Änderung am Standardstartskript vornehmen, damit es richtig in einem Verzeichnisbaum in einer <prgn>chroot</prgn>-Umgebung läuft. Da wäre:

note: type: <p></p>
en: set a new <em>CHRDIR</em> variable at the top of the file;
de: Legen Sie die Variable <em>CHRDIR</em> am Anfang der Datei neu       fest.

note: type: <p></p>
en: edit the <em>start</em>, <em>stop</em>, <em>reload</em>, etc. sections;
de: Bearbeiten Sie die Abschnitte <em>start</em>, <em>stop</em>,       <em>reload</em> etc.

note: type: <p></p>
en: add a line to mount and unmount the <file>/proc</file> filesystem within the jail.
de: Fügen Sie eine Zeile hinzu, um das <file>/proc</file>-Dateisystem       innerhalb des Gefängnisses ein- und auszuhängen.

note: type: <p></p>
en: Replace in <file>/etc/logrotate.d/apache</file> <tt>/var/log/apache/*.log</tt> with <tt>/var/chroot/apache/var/log/apache/*.log</tt>
de: Ersetzen Sie in <file>/etc/logrotate.d/apache</file> <tt>/var/log/apache/*.log</tt> durch <tt>/var/chroot/apache/var/log/apache/*.log</tt>.

note: type: <p></p>
en: Start Apache (<prgn>/etc/init.d/apache start</prgn>) and check what is it reported in the jail log (<file>/var/chroot/apache/var/log/apache/error.log</file>). If your setup is more complex, (e.g. if you also use PHP and MySQL), files will probably be missing. if some files are not copied automatically by <prgn>makejail</prgn>, you can list them in the <em>forceCopy</em> (to copy files directly) or <em>packages</em> (to copy full packages and their dependencies) option the <file>/etc/makejail/apache.py</file> configuration file.
de: Starten Sie Apache (<prgn>/etc/init.d/apache start</prgn>) und überprüfen Sie, was im Protokoll des Gefängnisses gemeldet wird (<file>/var/chroot/apache/var/log/apache/error.log</file>). Wenn Ihre Konfiguration komplexer sein sollte (z.B. wenn Sie auch PHP und MySQL einsetzen), werden wahrscheinlich Dateien fehlen. Wenn einige Dateien nicht automatisch von <prgn>makejail</prgn> kopiert werden, können Sie diese in den Optionen <em>forceCopy</em> (um Dateien direkt zu kopieren) oder <em>packages</em> (um ganze Pakete mit ihren Abhängigkeiten zu kopieren) in der Konfigurationsdatei <file>/etc/makejail/apache.py</file> aufführen.

note: type: <p><example>
en: Type <tt>ps aux | grep apache</tt> to make sure Apache is running. You should see something like:
de: Geben Sie <tt>ps aux | grep apache</tt> ein, um sicherzustellen, dass Apache läuft. Sie sollten etwas in dieser Art sehen:

note: type: <p><example>
en: Make sure the Apache processes are running chrooted by looking in the <file>/proc</file> filesystem: <tt>ls -la /proc/<var>process_number</var>/root/.</tt> where <var>process_number</var> is one of the PID numbers listed above (2nd column; 189 for instance). The entries for a restricted tree should be listed:
de: Stellen Sie sicher, dass die Apache-Prozesse in einer <prgn>chroot</prgn>-Umgebung laufen. Betrachten Sie dazu das <file>/proc</file>-Dateisystem: <tt>ls -la /proc/<var>process_number</var>/root/.</tt>, wobei <var>process_number</var> einer der PID-Nummern ist, die oben aufgeführt wurden (z.B. 189 in der zweiten Reihe). Die Einträge des eingeschränkten Verzeichnisbaums sollten Sie sich auflisten lassen:

note: type: <p></p>
en: To automate this test, you can type:<tt>ls -la /proc/`cat /var/chroot/apache/var/run/apache.pid`/root/.</tt>
de: Um diesen Test zu automatisieren, geben Sie <tt>ls -la /proc/`cat /var/chroot/apache/var/run/apache.pid`/root/.</tt> ein.

note: type: <p><example>
en: The reason I like this is because setting up the jail is not very difficult and the server can be updated in just two lines:
de: Ich mag das, da es so nicht sehr schwierig ist, das Gefängnis einzurichten, und der Server mit nur zwei Zeilen aktualisiert werden kann:

note: type: <heading></heading>
en: See also
de: Weiterführende Informationen

note: type: <p><list>
en: If you are looking for more information you can consider these sources of information in which the information presented is based:
de: Wenn Sie nach weiteren Informationen suchen, sehen Sie sich die Quellen an, auf denen diese Anleitung beruht:

note: type: <p></p>
en: <url id="http://www.floc.net/makejail/" name="makejail homepage">, this program was written by Alain Tesio
de: Die <url id="http://www.floc.net/makejail/" name="Makejail-Homepage">. Diese Programm wurde von Alain Tesio geschrieben.
