Wolfgang Jeltsch <[EMAIL PROTECTED]> wrote: > Wie lange dauert es i.d.R. vom Bekannt-Werden eines Sicherheitsloch bis zur > Bereitstellung des Fixes in unstable?
Es gibt dort keine Regel, d.h. jeder Maintainer entscheidet dies selber. Ein Maintainer kann aber auch mal im Urlaub sein oder Beruflich sehr eingebunden. Es ist dann aber auch kein Problem selber mal schnell ein neues Packet (bassierend auf dem Alten) mit einer neuen Upstream-Version zu bauen (das sollte man dann aber k�nnen). Einschl�gige ML wo �ber aktuelle Sicherheitsprobleme informiert wird gibt es ja. > An sich will ich kaum irgendwelche Services meines Rechners von au�en nutzen. > Wie w�re es, wenn ich mittels iptables und Connection-Tracking alle �ber das > Internet kommenden Kontaktierungsw�nsche abblocke mit Au�nahme von > SSH-Verbindungsversuchen? Wie w�re es, wenn Du auch noch Deine Dienst so konfiguierst, dass nur SSH auf dem externen Interface lauscht und dort kein Root-Login m�glich ist. > Und wenn ich ferner mittels iptables f�r > Verbindungsanforderungen an den SSH-Port nur eine bestimmte IP-Adresse als > Absenderadresse zulasse? Bringt m.E. nicht wirklich mehr Sicherheit gegen�ber Public Key Authentifizierung (Spoofing). > Wenn ich vielleicht au�erdem noch SSH so > konfiguriere, dass nur eine Authentifizierungsmethode zugelassen ist und sich > auch nur ein ganz bestimmter User per SSH einloggen kann? Authentifizierung �ber Public Key Verfahren ist sicherlich sinnvoll. > Was f�r Sicherheitsl�cken k�nnen dann noch zum Tragen kommen? Unbekannte Bugs im Kernel. > Wie wahrscheinlich sind sicherheitsrelevante Bugs in iptables und den f�r > Paketfilterung, Connection-Tracking usw. ben�tigten Kernelmodulen? Sollte ich > bei gerade beschriebener iptables/SSH-Konfiguration den Kernel aus stable > nehmen? SSH vielleicht auch? Ne, aber MLs mitlesen wenn f�r diese Software Ubdates von Update oder Maintrainer angeboten werden und dann w.o. angegeben handeln. (Au�erdem erzeugen Mischumgebungen andere Probleme.) > Wie ist die Sicherheit eines Debian unstable zu bewerten, wenn ich auch den > SSH-Port mittels iptables vollkommen schlie�e? Dienste die von au�en nicht erreichbar sind, sind auch nicht von au�en angreifbar, egal ob vern�ftig konfiguiert oder gesperrt. -- Haeufig gestellte Fragen und Antworten (FAQ): http://www.de.debian.org/debian-user-german-FAQ/ Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject "unsubscribe". Probleme? Mail an [EMAIL PROTECTED] (engl)
