Gerd E. schrieb:
Wenn Du wirklich gefährliche Seiten aufrufen willst, dann macht man das
normal aus einer virtuellen Maschine heraus. Der Browser läuft nur in
der virtuellen Maschine und eine Firewall sorgt dafür dass die VM nur
ins Internet, nicht aber in Dein LAN oder sonstewo wichtiges hin
zugreifen kann.
Du hast von mir ein "lesenswert" erhalten, weil eine isolierte Umgebung wie in Deinem Vorschlag eine brauchbare Lösung bietet. Allerdings hast Du damit nur eine Ebene der Verteidigung.
Ich würde dabei zusätzlich noch weitere Verteidigungsebenen hinzufügen, nämlich Systeme auf einem Readonly-Medium, Container mit Sicherheits-Profilen, sowie einem Forward Proxy als MITM zur Beweissicherung.
Im Detail: meine erste Schicht wäre ein ReadOnly-System, das nur auf definierte Pfade schreiben darf. Prominente Beispiele wären Knoppix oder Puppy Linux, aber die meisten modernen Linux-Distributionen können heute von einer nicht beschreibbaren DVD booten.
Meine nächste Schicht wäre, wie Du sehr richtig vorschlägst, eine VM, die Images gern von einer nicht beschreibbaren Quelle aus dem Netzwerk ziehen darf. Alles was sie mountet darf zwar beschreibbar sein, auch im Netzwerk, aber natürlich nur mit noexec-Flag und mit einem versionierten und / oder auditierten Dateisystem.
In meiner VM würden Docker oder Podman laufen und den Browser als Container starten, mit einem read-only gemounteten Root-Dateisystem. Jeder beschreibbare Mountpoint würde als Backend etwas Ähnliches wie zuvor benutzen (auditiert und / oder versioniert).
Außerdem würden mindestens ein Seccomp-Profil zur Beschränkung des Containers auf die minimal benötigten Systembefehle, sowie ein AppArmor-Profil mindestens zum Logging der Aktivitäten des containerisierten Software laufen.
Zuletzt würde mein System einerseits einen Forward Proxy benutzen, um den Datenverkehr zu loggen. Der ermöglicht es mir, TLS zu brechen und den Traffic zu entschlüsseln, bevor der irgendwo hin geloggt wird.
Die Veranstaltung läßt sich allerdings noch prima erweitern, etwa durch das Linux Audit Framework im Kernel (auditd), Process accounting (acct), den System Activity Reporter (sar) und einen Integritätschecker (AIDE).
Letzten Endes geht es bei der Aufgabe von Ermittlungsbehörden ja um zwei Dinge: erstens um einen Selbstschutz, selbstverständlich auch für die verwendeten Systeme, aber auch um die Sicherung von Beweisen. Es muß dabei gerichtsfest nachvollziehbar sein, wer, wann, was und wie auf einem System gemacht hat.
Mario M. schrieb:
Thomas S. schrieb:
Wie müßte ich die Einstellungen wählen?
Hier am Beispiel des Firefox:
Entschuldige, aber wir sollten unsere Benutzer nicht dazu erziehen, Zertifikatsfehler zu ignorieren.
Rolf R. schrieb:
Tor-Browser unter Windows oder Linux.
Oder besser noch die Linux-Distribution Tails benutzen.
Meine Güte... Das würde Ermittlungsbehörden überhaupt gar nicht helfen.
