[Tipps und Tricks] sichern und härten von Mac OS X

Ich bin letztens auf eine Webseite der NSA (National Security Agency - Nachrichtendienst der USA) gestossen, in der Sicherheitstipps für verschiedene Software und Systeme zur Verfügung gestellt werden. Unter anderem befinden sich da auch Tipps für das absichern und härten von Mac OS X (Panther, Tiger und Leopard).

Ich möchte euch ein paar Tipps davon beschreiben und erklären. Einige der Tipps können ohne Probleme von allen Mac Usern durchgeführt werden. Andere wiederum sollte man nur konfigurieren, wenn man ein wenig Hintergrundwissen zum Thema hat. Ich werde diese gegebenenfalls kennzeichnen, denn wir wollen ja nicht das Ihr euch euer System zer-sichert-schießt.

Bitte beachtet auch, dass ein System was hochsicher ist, nicht unbedingt Benutzerfreundlich ist. Eine hochsicheres System, welches Benutzerfreundlich ist, gibt es leider nicht (zumindest habe ich dieses noch nicht gefunden, ich bin aber auch eher der Sicherheitsfreak und lebe gern mit dem höheren Aufwand). Die folgenden Tipps sind auf (Snow) Leopard ausgelegt.

1. arbeiten als normaler Nutzer
Der erste Tipp ist zugleich auch der einfachste und gilt quasi für alle Betriebssysteme. Normale arbeiten (E-Mails lesen, Web browsen, Office arbeiten) sollte man als normaler Nutzer ohne Administrator-Rechte ausführen. Wahrscheinlich könnte der großteil aller Angriffe auf Computer-Systeme verhindert werden, wenn die Nutzer mit normalen Rechten arbeiten würden. Denn sobald es eine Schadsoftware auf den Computer geschafft hat, stehen dieser Tür und Angel offen, denn als Benutzer mit Admin-Rechten darf diese alles machen. Als erstes sollte man unter Systemeinstellungen --> Benutzer einen Adminstrator-Account einrichten. Als Tipp kann ich euch bei der Kennwortvergabe das kleine Schlüsselsymbol geben. Einmal geklickt erscheint ein weiteres kleines Fenster, bei dem Ihr Hilfe bei der Kennwortgenerierung erhaltet.

2. Software Updates
Auch der 2. Tipp könnte nicht einfacher sein. Haltet euer System auf einem aktuellen Stand und nutzt die zur Verfügung stehenden Updatemechanismen (Systemeinstellungen --> Sofwareaktualisierungen oder bei Apple).

3. Benutzerkonto Einstellungen
Deaktivieren des automatischen Logins und des Anzeigen der Nutzer Liste (Systemeinstellungen --> Benutzer --> Anmeldeoption). Somit wird es einem Angreifer der sich physikalischen Zugriff zum System verschafft hat, zumindest erst einmal schwerer gemacht sich am System anzumelden bzw. herauszufinden welche Nutzer überhaupt im System existieren.
Deaktivieren des Gast-Benutzerkontos und des Sharings (Systemeinstellungen --> Benutzer --> Gast Konto). Deaktiviert das Gast-Benutzerkonto sowie das Anmelden an Freigaben als Gast.

4. Sicherheits Einstellungen
Kennwort erforderlich nach Ruhezustand oder der aktivierung des Bildschirmschoners Systemeinstellungen --> Sicherheit --> Kennwort erforderlich --> Sofort. Eigentlich können im Allgemein Tab alle Häkchen gesetzt werden. Diese sollten alle selbsterklärend sein. Sicheren virtuellen Speicher verwenden bedeutet, dass geswappter Speicher also Speicherbereiche die aus dem RAM auf die Festplatte geschrieben werden, verschlüsselt abgelegt werden. FileVault bietet sich für diejenigen an, die ein mobilen Mac besitzen. Bei der aktivierung von FileVault wird der "Inhalt" der Festplatte verschlüsselt. Bitte bedenkt, dass nach dem verschlüsseln das TimeMachine Backup nicht mehr wie im gewohnten Umfang funktioniert (es kann nur noch die komplette Festplatte sichern, da die Daten verschlüsselt abgelegt sind und somit kein Diff des Filesystems möglich ist). Auch sollte Ihr bei FileVault nicht das Hauptkennwort vergessen, da sonst alle Daten verloren sind. Im Firewall Tab empfiehlt es sich natürlich die Firewall zu aktivieren und unter den Weiteren Optionen den Tarn-Modus zu aktivieren und nur bekannte Programme zuzulassen (in meinem Fall z.B. ssh).

5. Netzwerk Konfiguration
Deaktivieren von IPv6 wenn nicht benötigt. Systemeinstellung --> Netzwerk --> Weitere Optionen --> TCP/IP Tab --> IPv6 konfigurieren: Aus. Solange IPv6 nicht benötigt wird, kann dies auch deaktiviert werden. Solltet Ihr zudem eurer AirPort Netzwerk nicht benötigen, deaktiviert es.

6. suid und sgid Programme finden (advanced)
Sucht euch alle suid und sgid Programme auf euren Mac und ändert diese zu normalen Programmen ab, solange dies möglich ist. Sollten suid Programme dem Root Nutzer gehören (User <-> suid oder Gruppe <-> sgid) werden diese auch als Root Nutzer ausgeführt. Meistens benötigen diese Programme diese Rechte gar nicht. Um alle suid Programme zu finden, führt Ihr find / -perm -4000 -ls aus und um alle sgid zu finden, nehmt Ihr find / -perm -2000 -ls. Solche Tools wie rsh und rlogin benötigen sicher keine Root Rechte. Um die gefunden Programme anzupassen, nehmt Ihr am besten chmod (z.B. chmod u-s Programm für das enfernen des suid Bits)

7. Benutzerordner restriktieren
Damit andere Benutzer nicht in eurer "Heimatverzeichnis" per default hinein sehen können, empfielt es sich diese via chmod og-rx /Users/Nutzername abzusichern.

Beachtet Ihr diese Hinweise, sollte euer Mac schon ein bisschen sicherer sein . Natürlich kommen zum Thema Sicherheit noch viele andere Faktoren hinzu (Nutzer, Software, Umgebung), aber der Anfang sollte damit getan sein. Diese und noch viele weitere Tipps findet Ihr in den besagten PDF's der NSA, welche ich sehr empfehle zu lesen.