Inbraak op verschillende servers van Debian Project

Nadat er gisteren al geruchten de ronde deden, is er nu officieel bevestigd dat er is ingebroken op verschillende servers van het Debian Project, dat verantwoordelijk is voor de ontwikkeling en distributie van de populaire linux-distro Debian. Aangezien dit operating system via het commando apt-get simpel updates van centrale Debian-servers kan halen, zouden de inbraken een groot probleem kunnen veroorzaken voor gebruikers, die eventueel gecorrumpeerde bestanden zouden kunnen binnenhalen en installeren. De gehackte machines worden momenteel gecontroleerd, terwijl ook de aangeboden bestanden allemaal worden nagelopen. De nieuwe point release die op het punt stond uitgebracht te worden, Debian GNU/Linux 3.0 release 3.0r2, werd uitgesteld. Na een grondige check bleek de update niet beïnvloed te zijn door de inbrekers, en zal de update zijn weg naar gebruikers kunnen vinden:

We apologise for the disruptions of some services over the next few days. We are working on restoring the services and verifying the content of our archives.

In particular the following machines have been affected:

• master (Bug Tracking System)
• murphy (mailing lists)
• gluck (web, cvs)
• klecker (security, non-us, web search, www-master)

Reacties (60)

[atomik]

Het valt me toch wel op dat de algemene tendens lijkt te zijn dat Mircosoft helemaal platgebrand moet worden als er weer es een security issue is, maar dat als hetzelfde het geval is bij een van de spelers in de linux/unix markt, dat het dan vooral zielig is dat je je met hacken bezig houdt, dat het niet aan de software kan liggen want die is zóóó veilig, en wat voor een onzin nog meer.
Beetje vreemd vind ik dat wel. Je zou toch mogen verwachten van de tweakers-coomunity dat ze iets meer onbevooroordeeld reageren op nieuwsitems.

[MossMan]

Het valt me toch wel op dat de algemene tendens lijkt te zijn dat Mircosoft helemaal platgebrand moet worden als er weer es een security issue is, maar dat als hetzelfde het geval is bij een van de spelers in de linux/unix markt, dat het dan vooral zielig is dat je je met hacken bezig houdt, dat het niet aan de software kan liggen want die is zóóó veilig, en wat voor een onzin nog meer.

Maar iets wat wel erg opvalt bij de Linux community is dat fouten worden en heel snel ontdekt, en heel snel toegegeven, en heel snel gefixed. En bovendien gaat het in dit geval (en die van een paar dagen geleden) om een *aanval* en niet een gewone "security issue".

Microsoft wordt meestal gedissed niet alleen omdat ze zowieso heel veel security problemen hebben (dus door eigen domme programeerfouten, niet door andermans aanvallen), maar omdat ze vaak weigeren toe te geven dat er uberhaupt een probleem is en soms zelfs lastig worden en/of slecht reageren tot dat er echt geen twijfel meer bestaat.

[EdwinW]

Je haalt twee dingen door elkaar:
- Je hebt security gaten in software dat al bij eindgebruikers is geinstalleerd.
- Je hebt security gaten op servers waarop de software t.b.v. eindgebruikers staat. Deze software is dus nog in ontwikkeling.

Dat laatste is bij Debian gebeurd. Alle software dat in een Debian-distributie gebruikt wordt, staat centraal op deze server zodat meerdere ontwikkelaars hieraan kunnen werken. Iemand heeft dus geprobeerd om een stukje software op die server aan te passen en zodoende een security gat te creeeren (wat niet gelukt lijkt te zijn).

[Verwijderd]

Het gaat hier waarschijnlijk om een gebruiker die een wachtwoord heeft laten rondslingeren, dus niets met software te maken...

En wat is het met microsoft:

JUIST de software..

En nee ik zeg niet dat Linux 100% veilig is maar het is wel rendabeler op een server... Kosten en niet dat alle pakketten geïntegreerd zijn in elkaar is het ten eerste veel makkelijker op een bug op te lossen en de kans is ook minder.. Want zoals in windows dat alles in elkaar geplakt is lopen de bugs door in de verschillende programma's omdat ie boven liggend een bugje heeft... Waarom allerlei software in Server toepassingen gooien maak je alles veel gevoeliger. Voorbeeld Media Player in Windows Server 2003

[cyclone]

En jou reactie schetst nu PRECIES wat Atomic bedoeld !
Wat if het met windows gebeurd zou zijn, dan hadden een hoop mensen geroepen dat het waarschijnlijk een slappe smoes was.
Wat zeg nou eerlijk zo klinkt het wel hoor, pfff een wachtwoord laten slingeren ? welke admin die zichzelf serieus neemt doet dat nou ?
( JA admin ja want met een gewoon user account kun je geen heftige hack doen .. nahja MITS het OS niet secure is )

Kortom lang verhaal kort .. Een groot deel van de tweakers comunity meet met 2 maten, precies wat atomik zegt !

[Pietervs]

Wat if het met windows gebeurd zou zijn, dan hadden een hoop mensen geroepen dat het waarschijnlijk een slappe smoes was.
Hoewel je wel deels gelijk hebt als je zegt dat veel mensen Microsoft onterecht platbranden over beveiliging, moet je niet vegeten dat bij Microsoft het vinden van lekken zo'n beetje aan de orde van de dag is. Niet voor niets heeft Microsoft besloten om 1x per maand een roll-up te doen voor hun security-patches...

[Verwijderd]

Wat if het met windows gebeurd zou zijn, dan hadden een hoop mensen geroepen dat het waarschijnlijk een slappe smoes was.

Bewijs dat 'ns?

Btw, Windowsupdate is een aantal keer gecracked door ene ''Dimitri''. Oorzaak: MS had de bak niet gepatched.

[Verwijderd]

Nadat er gisteren al geruchten de ronde deden, is er nu officieel bevestigd

die mailing (die gequote staat in de t.net newspost) ging gisterenochtend al rond.. ze hebben dus snel gereageerd, sneller dan nu op eerste gezicht lijkt

overigens is security.debian.org nog down, verder werken al mijn sources in ieder geval.. vreemd is wel dat ik meteen 8 updates heb, en normaal zijn er dit 1 of 2 per X weken

[_JGC_]

Die 8 updates zijn normaal, dat is resultaat van de 3.0r2 release. Ik had gisteren op iets van 6 servers die updates, maar op 2 servers niet: die hadden ze een paar maand geleden al binnengetrokken uit woody-proposed-updates.
Eerst dacht ik nog aan gebackdoorde pakketjes toen ik die mail las, maar als dat zo was, hadden die 2 andere servers met proposed-updates mirrors die er inmiddels al niet meer instaan ook moeten updaten, aangezien de MD5sums dan niet meer kloppen met wat er op het systeem staat.

[Verwijderd]

te gek kvoel me weer wat veiliger

[ironx]

Ik zie het maar zo:

Windows kan onveilig zijn, maar Linux, *BSD en welk ander OS dan ook. En dat ligt dan in 99.99% van de gevallen aan de gebruiker zelf:

* Het laten rondslingeren van/te korte/simpel te raden/of zelfs helemaal geen passwords
* Het niet up-to-date houden van systemen door middel van de updates/patches die aangeboden worden. (en liever 10 updates op je systeem dan 1 verwaarlozen!)
* Het installeren van allerlei "onbekende" en "vage" software
* Geen antivirus software gebruiken (ik weet het, zijn hele discussies over het wel of niet...)
* Bij belangrijke systemen/severs: jan en alleman kan er zo bij komen

[KompjoeFriek]

Ik weet niet hoor, maar als er iemand iets weet van het beveiligen van een debian-systeem, dan zijn het de distributeurs van debian zelf wel lijkt mij.

* Het laten rondslingeren van/te korte/simpel te raden/of zelfs helemaal geen passwords

Erg dom, lijkt mij dan ook dat ze dat niet doen (of het was een insider)

*Het niet up-to-date houden van systemen door middel van de updates/patches die aangeboden worden. (en liever 10 updates op je systeem dan 1 verwaarlozen!)

die patches distribuëren ze zelf, lijkt mij dat ze die dan ook wel zullen gebruiken...

* Het installeren van allerlei "onbekende" en "vage" software
* Geen antivirus software gebruiken (ik weet het, zijn hele discussies over het wel of niet...)

Denk wel dat ze de goeie veiligheidsmaatregelen hiervoor genomen hebben hoor, en echt niet zomaar een progje installeren.

* Bij belangrijke systemen/severs: jan en alleman kan er zo bij komen

Zou lastig zijn als je er niet bij zou kunnen komen. dan kan je dus ook niet updaten...

maar als er ergens een veilig debian-systeem zou moeten staan, is het wel bij die distributeurs.
Wat is er nou makkelijker voor een hacker dan iedereen zijn root-kit te laten installeren door middel van apt-get?
Ik vind 't goed van ze dat ze nou alles "even" netjes controleren. kan ik straks weer rustig updates binnen halen zonder dat ik hoef te vrezen dat er een of andere vage code tussen staat.
maw lof voor de debian mensen.

[Pietervs]

* Bij belangrijke systemen/severs: jan en alleman kan er zo bij komen
Zou lastig zijn als je er niet bij zou kunnen komen. dan kan je dus ook niet updaten...
uh... nee hoor: belangrijke systemen en updates staan los van elkaar. Gewoon een ftp-servertje waar de updates op staan, en een website die een ASP scriptje heeft om de status van jouw pc te vergelijken met de beschikbare updates. Of denk jij dat de site windowsupdate.com ook op de centrale server van Microsoft draait?

[Verwijderd]

Dat waren kennelijk geen kwaadwillende personen, als ze de Debian packages met rust hebben gelaten. Misschien was het een "Hee oen, je hebt je security niet op orde" hack?

[Cyphax]

Die laten over het algemeen dan wel een berichtje achter... ik hoop natuurlijk dat ze niets hebben gesloopt en de bestanden met rust hebben gelaten.
Zodra ze het lek gedicht hebben komen ze misschien met een verklaring.

[lintux]

Het waren wel zeker kwaadwillende personen. Ze hebben een rootkit geïnstalleerd. Zodra ze met dat soort kinderachtige praktijken beginnen zijn het in mijn irritante scriptkids die maar beter kunnen zorgen niet te dicht bij me te komen, want dat overleven ze niet.

[Martkrui]

Ik heb op slashdot gelezen dat iemand z'n wachtwoord had laten slingeren oid.
Dus geen security probleem van het systeem maar van de users.

[Verwijderd]

Denk maar dat daar aardig wat mensen op zitten te azen...

[Verwijderd]

Geen OS is veilig.
Maar de reactie van een paar mensen die gelijk dan Windows gaan afkraken, omdat nu een keer Linxu is gehacked gaan me haren een beetje rechtop staan.
Ik draai al jaren windows en linux in grote netwerken.
Nu zijn er een paar van die thuishobbyisten die linux een keer hebben geinstalleerd en alleen naar kijken en er niks mee doen en dan zeggen Linux is zo geweldig is en windows gatenkaas.


Het ligt er aan wie beheerd de servers, netwerk enz.

En nu er meer Linux draait zullen hier ook meer exploits gevonden worden.

Een ti

[ThaEagle]

Ik vraag me toch af op welke manier er is ingebroken?

[DataGhost]

apt-put

[Verwijderd]

Volgens posts op /. was het een passwd attack

http://slashdot.org/articles/03/11/21/1314238.shtml?tid=126&tid=172&ti d=185&tid=90

[Belial_666]

Je vraagt je toch af hoe dit kan ??

Zij zijn er wachtwoorden gestolen of gekraakt?

Of waren er servers die niet goed beveiligd waren ?

[Rafe]

Hoe dit kan? Heel simpel, niets is waterdicht.
"Alles dat door een mens kan worden gemaakt, kan door een mens worden gekraakt" denk ik dan maar altijd

[Verwijderd]

Zelfs wat niet door de mens is gemaakt wordt af en toe door de mens gekraakt, denk aan de DNA code

[Ste7en]

DNA is inderdaad _nog_ niet gekraakt, wie weet over 30 jaar

[Olaf van der Spek]

"Alles dat door een mens kan worden gemaakt, kan door een mens worden gekraakt"

Dat is niet waar, lees maar eens een boek over eenvoudige cryptografie.

[YopY]

Dat kan ook nog wel worden gekraakt, maar niet door mensen zelf. Wel door bijvoorbeeld een computer. Bij de NSA hebben ze een supercomputer die codes kraakt door gewoon alles uit te proberen. Zo werkt RC5 ook, gewoon elke mogelijkheid uitproberen.

[RIP-airco]

Laten we nu een potje Debian gaan Flamen ipv het gebruikelijke Microsoft flamen

[kakanox]

Hahah, grappig... wat als we nu eens helemaal NIET meer flamen?

[dotnetpower]

ow nu ineens niet meer he, dat zei je vast niet toen ze nog bezig waren tegen microsoft te flamen

[Verwijderd]

Sure,
behalve dat het bij Debian meteen gefixed en publiek is gemaakt. dat kun je van je beliefde <flame>Micro$oft</flame> niet zeggen he...

LOL

[Verwijderd]

Microsoft - Linux security.

Wat ook vaak over het hoofd wordt gezien is dat mensen bij 'Linux' aan alle programma's die op linux draaien denken. Debian distribueert niet alleen de kernel linux (het besturingssysteem), maar ook talloze vrije applicaties.

Dus of Linux kernel vs Microsoft windows XP vergelijken, of Linux software vs Windows software vergelijken. Wil niet weten hoeveel gaten er zitten in alle window proggies.

Linux kernel security is wel prima , niet zo heel vaak een patch op (voor zover ik heb gemerkt, ben pas onlangs begonnen met linux+ debian instable). Windows besturingssysteem zit vol met patches.

[ErA]

Inbraak op verschillende servers van Debian Project

Windows besturingssysteem zit vol met patches.

Fijn dat je windows erbij haalt voegt weer ENORM veel toe aan deze nieuwspost

offtopic:
mod me maar naar beneden. Ben het gewoon beetje beu dat kinderachtige MS gebash

[Sfynx]

Het laatste serieuze lek in de Linux kernel was de ptrace() exploit i.c.m. kmod van midden maart dit jaar, waarmee je lokaal een bepaalde thread kon onderscheppen met hogere (root) privileges. Als normale user een .c file compileren en uitvoeren was genoeg (script kiddie niveau ) om een root shell te krijgen.

[Verwijderd]

Ah. Voor mijn tijd . Ben overgestapt na MSblaster. Had het wel geschoten met alle extra features die in windows zaten die andere toegang verschaffen.

XFCE / debian unstable werkt prima. Beetje leercurve in het begin, maar wel leuk om te doen. Alles werkt nu wel min of meer (moet m'n stomme HP 3300 scanner nog aan de praat krijgen). Geen windows meer voor mij

[_fm]

wat een sneue actie. echt diep triest, ga dan een project hacken waar je iets 'tegen' kunt hebben.

debian is helemaal open/non-profit enz, zoiets doe je dan toch niet.

redhat had gekund vanwege ruzie over fedora naam met een ander projectje of dat ze stoppen met consumentendistro, mandrake misschien door een gefrustreerde lg cdrom speler gebruiker (hoewel dat nu ook prima is opgelost), suse omdat ingelijfd zijn door novell? maar debian? why?

[Pietervs]

wat een sneue actie. echt diep triest, ga dan een project hacken waar je iets 'tegen' kunt hebben.
debian is helemaal open/non-profit enz, zoiets doe je dan toch niet.
En zelfs tegen non-profit kun je iets hebben: er zijn altijd idioten die iets tegen non-profit hebben, het iets kneuzerigs vinden, of zo'n (dom) argument er tegeb hebben...

Neemt niet weg, dat het veilige imago dat Linux had nu toch een aardige deuk heeft opgelopen, zelfs als het komt door een of ander figuur dat z'n wachtwoord heeft laten slingeren...

[GREENSKiN]

Knap OS waar je niet inkomt met het login en pass van één van de users

Persoonlijk zie ik geen probleem in dit soort hacks. Hack er maar lekker op los, als iemand er in kan komen laat 't dan iemand met goede bedoelingen zijn, dan weet ik wat ik aan moet passen.