Die Sicherheit Ihres Computers ist ein fundamentaler Aspekt der juristischen Arbeit, vor allem für (Staats-)Anwälte, die in hochsensiblen Bereichen wie der Bekämpfung organisierter Kriminalität tätig sind. Solche Anwälte stehen oft im Visier wohlhabender und einflussreicher Gegenspieler, die über die Ressourcen verfügen, fortschrittliche Überwachungs-, Hacking- und Spionagetechniken einzusetzen.
Vor diesem Hintergrund wird die Etablierung robuster Sicherheitsmaßnahmen für Laptops und Desktop-PCs zur entscheidenden Priorität. Eine wirkungsvolle Lösung für solche Sicherheitsanforderungen bietet Qubes-OS, ein Betriebssystem, welches speziell für die Gewährleistung höchster Sicherheitsstandards in solch sensiblen Szenarien entwickelt wurde. Im Folgenden erfahren Sie, wie Qubes-OS Ihnen dabei helfen kann, ein Maximum an Datensicherheit und Schutz zu erreichen.
Bitte beachten Sie, dass alle Sicherheitsmechanismen und die exakte Funktionsweise von Qubes-OS den Rahmen dieses Artikels sprengt, sowie das technische Wissen unserer Leser überschreiten und aus diesem Grund manche der hier dargestellten technischen Informationen vereinfacht sind.
Wie verstärkt Qubes-OS die Sicherheit von Workstations?
Qubes-OS bietet diverse Herangehensweisen, um die Effektivität von Malware zu stören.
Viele voneinander getrennte virtuelle Computer, jeder für einen bestimmten Einsatzzweck
Stellen Sie sich vor, Qubes-OS teilt Ihren Computer in eine Vielzahl von spezialisierten Computern auf, von denen jeder für eine bestimmte Aufgabe reserviert ist und zwischen denen eine strikte Trennung besteht. Jeder dieser „virtuellen Computer“ ist eine bestimmte Aufgabe zugewiesen – einem sicheren, isolierten Bereich, der nur für bestimmte Aktivitäten genutzt wird. So gibt es beispielsweise einen virtuellen Computer nur für das Surfen im Internet, einen anderen ausschließlich für Ihre E-Mails, der nur mit Ihrem E-Mail-Server kommunizieren kann und alle Kommunikation an andere Server außer Ihren E-Mail-Server blockiert, und sogar einen, der vollständig vom Internet abgeschnitten ist (Stichwort Air-Gapped) und ausschließlich zur sicheren Aufbewahrung Ihrer Passwörter dient.
Sollte einer dieser „virtuellen Computer“ – nehmen wir den für das Surfen im Internet mit einem Browser – kompromittiert werden, bleibt der Schaden auf diesen einen Computer beschränkt. Alle anderen Computer, wie Ihr E-Mail-Computer und Ihr Passwort-Speicher-Computer, bleiben davon unberührt. Für diese Aufteilung in sogenannte Virtuelle Maschinen (VMs) verwendet Qubes-OS die Open-Source Virtualisierungs-Software XEN, welche auch bei großen Cloud-Anbietern Anwendung wie Amazon AWS) oder IBM Cloud Einsatz findet.
Jeder Computer hat eine Firewall, welche lediglich die Kommunikation mit definierten Zielen erlaubt
Eine der Besonderheiten an Qubes-OS ist, dass vor jedem dieser virtuellen Computer eine Firewall steht, welche kontrolliert, mit wem oder was der Computer kommunizieren darf. Diese Firewall lässt nur die notwendige Kommunikation zu – beispielsweise zwischen Ihrem E-Mail-„Computer“ und Ihrem E-Mail-Server – und blockiert alles andere, was nicht explizit erlaubt ist. Wird also Ihr E-Mail-Client-Programm komprimittiert, kann es weiterhin lediglich mit Ihrem E-Mail-Server kommunizieren, aber nicht mit einem von dem Angreifer betriebenen Server.
Die Vielzahl der Malware-Programme, welche Kriminelle im Internet oder Darknet erwerben können, geht davon aus, dass Daten direkt an einen vom Angreifer betriebenen Server ausgeleitet werden können.
Jeder Computer wird beim Hochfahren komplett neu installiert
Wenn Sie ein Betriebssystem gerade frisch installiert haben, ist auf dem Computer keine Malware vorhanden. Stellen Sie sich jetzt vor, Sie machen direkt nach der Installation des Betriebssystems eine vollständige Kopie der Festplatte (in der Datenforensik „Image“ genannt). Danach fallen Sie auf eine Phishing-E-Mail herein und installieren (ohne Ihr Wissen) Malware. Am nächsten Morgen setzen Sie Ihren Computer auf das Image zurück und die Malware ist dadurch gelöscht. Solange Sie den bösartigen E-Mail Anhang nicht erneut öffnen, installieren Sie auch die Malware nicht erneut.
Qubes-OS funktioniert relativ ähnlich zu dieser Vorgehensweise: wenn Sie in Qubes-OS zum Beispiel eine Browser-VM starten, wird diese von einem Template geklont, also einem frisch installierten Betriebssystem-Snapshot, welcher zuvor noch nie mit dem Internet verbunden war. Wenn Sie die VM wieder herunterfahren, werden alle vorgenommenen Änderungen verworfen, inklusive eventuell installierter Malware. Beim nächsten Starten der Browser-VM klonen Sie wieder den frischen und unkompromittierten Betriebssystem-Snapshot, um daraus eine komplett neue Browser-VM zu erstellen. Dies dauert in Qubes-OS nur ein bis zwei Sekunden.
Für persistente Daten, wie zum Beispiel Dateien, welche Sie im Browser heruntergeladen haben, bietet Qubes-OS optional einen Ordner an, in welchen Sie solche Dateien herunterladen können. Diese sind beim nächsten Start der VM dann weiterhin vorhanden.
Wie funktionieren Virtuelle Maschinen in Qubes im Detail?
Die folgende Liste der verschiedenen Typen von Qubes-VMs sind auf die für Sie wahrscheinlich relevantesten Typen reduziert, um Sie als wahrscheinlich technisch unversierten Leser nicht zu überfordern.
- Template VMs: Diese sind Snapshots von Windows oder Linux, welche frisch installiert und noch nie ans Internet angeschlossen wurden und daher (sehr wahrscheinlich) keine Malware enthalten. Alle folgenden VMs werden beim Starten aus Kopien dieser Template-VMs erstellt.
- App VMs (Anwendungs-VMs): Diese ermöglichen die persistente Speicherung von Daten, wie z.B. Dokumenten, in einem dafür bestimmten Ordner (welcher natürlich unbegrenzt viele Unterordner enthalten kann). Der Rest des Betriebssystems wird beim herunterfahren der VM gelöscht und beim nächsten Start der VM neu aus einer Template VM erstellt. Öffnen Sie eine bösartige Website oder Datei, welche Malware im Betriebssystem der VM installiert, bleibt diese Malware nur solange bestehen, bis Sie die VM herunterfahren, sprich bis Sie den Browser schließen. Wenn Sie die Website oder Datei nach dem nächsten Start der VM nicht erneut öffnen, wird auch die Malware nicht installiert.
- Disposable VMs (Einweg-VMs): Anders als AppVMs haben diese VMs keinen Ordner, um Dateien permanent zu speichern. Hierbei handelt es sich um temporäre VMs, die für eine einzige Aufgabe erstellt und dann wieder gelöscht werden. Sie sind nützlich für das Öffnen nicht vertrauenswürdiger Dateien, welche Sie z.B. per E-Mail erhalten haben, oder den Zugriff auf Websites, die ein Sicherheitsrisiko darstellen könnten – so wie absolut alle Websites, da es keine Firma auf der Welt gibt, welche absolute Sicherheit garantieren kann.
Wenn Sie eine E-Mail mit einem .pdf bekommen, dann öffnen Sie das .pdf in einer Disposable VM ohne Internet-Anschluss. In Ihrer E-Mail-Client VM haben Sie gar keinen .pdf-Reader installiert und können das .pdf daher auch nicht versehentlich darin öffnen. Wenn Sie in Ihrem E-Mail Programm auf das .pdf klicken, öffnet sich automatisch eine Disposable VM und zeigt Ihnen das .pdf an. Wenn das .pdf Schadcode enthält, ist das dann praktisch egal – der Schadcode kann nur sehen, dass Sie gerade das .pdf lesen, kann aber auf keine anderen Dateien zugreifen und dank mangelndem Internet-Zugang auch keine Daten über Sie zu den Angreifern senden. Sobald Sie den PDF-Viewer schließen, fahren Sie automatisch auch die Disposable VM herunter und löschen diese anschließend – zusammen mit der installierten Malware. - Offline VMs: Diese VMs haben keinen Internet-Zugang. Hier können Sie z.B. alle Ihre Passwörter speichern und bei Bedarf zum Login in einer Webanwendung von der offline-VM zu Ihrer Browser-VM copy-pasten. Disposable VMs zum ansehen von .pdf, .xslx oder .docx Dateien sind ebenfalls in dieser Kategorie.
- System VMs: Hierzu zählen VMs, welche bestimmte Dienste für andere VMs bereitstellen, z.B. eine VM für die Verbindung zum Firmen-VPN, eine VM, welcher die Netzwerk- oder Wlan-Hardware zugewiesen ist, oder eine VM welche mit allen USB-Ports Ihres Computers verbunden ist (ja, USB-Tastaturen und Mäuse funktionieren trotzdem).
Schlusswort
Das Ziel von Hacking-Angriffen auf Workstations ist es meist, dass Sie als Nutzer eine bestimmte Aktion ausführen – z.B. eine .xslx Datei oder ein .pdf auf Ihrem Arbeitsrechner öffnen, einen Link in einer E-Mail klicken oder einen USB-Stick in Ihren Computer anschließen.
Stellen Sie sich vor, Sie haben einen neuen Klienten, welcher Ihnen zum Fall relevante Dokumente in Form von .pdf Dateien oder einen Link zu einer Website schickt. Das kann schon reichen. Wenn Sie Qubes-OS einsetzen, verringern Sie dieses Risiko maßgeblich, schon alleine deswegen, weil die meiste einfach verfügbare und günstig zu erwerbende Malware für Windows geschrieben ist und davon ausgeht, dass Ihr Betriebssystem Zugriff auf all Ihre anderen Daten hat, und dass Ihr E-Mail-Programm nicht nur mit Ihrem E-Mail-Server kommunizieren kann, sodass Ihre Daten einfach an einen vom Angreifer kontrollierten Server gesendet werden können.
Qubes-OS verwandelt Ihre Workstation in ein Ziel, welches von Ihrem Angreifer den Einsatz wesentlich teurerer Malware erfordert – wenn Ihr Gegenspieler nicht über erhebliche Geldsummen verfügt, um für Qubes-OS bestimmte Malware im Darknet einzukaufen, sind Sie bedeutend sicherer als mit einem Windows-Betriebssystem.
Wir bedanken uns bei der Firma Blunix GmbH in Berlin, welche Qubes-OS für die Workstations ihrer Linux-Consultants einsetzt und Unternehmen bei der Installation und dem Betrieb von Qubes-OS behilflich ist, für Ihre fachmännische Beihilfe zur Recherche für diesem Artikel.
- Was ist der rechtliche Rahmen von 10 Euro Online Casinos? - 20. November 2024
- Elektrischer Rollstuhl bei Pflegegrad 3: Wer hat Anspruch? - 7. November 2024
- Die wichtigsten Kaufnebenkosten beim Immobilienkauf im Überblick - 6. November 2024
