Sicherheit unter TUXEDO OS: Wie wir Debian Testing absichern - TUXEDO Computers

Mit der Ankündigung, TUXEDO OS künftig auf Debian Testing anstatt auf Ubuntu LTS aufzubauen, haben wir überwiegend positives Feedback erhalten. Gleichzeitig wurde eine wichtige Frage gestellt: Wie stellen wir sicher, dass Sicherheitsupdates schnell bei unseren Nutzern verfügbar sind, obwohl Debian Testing keinen eigenen Security-Kanal wie Debian Unstable oder Stable besitzt?

Die Sicherheitsversorgung von Debian Testing unterscheidet sich von Debian Stable. Deshalb haben wir von Beginn an eigene Mechanismen entwickelt, um Sicherheitskorrekturen unabhängig vom regulären Debian-Migrationsprozess bereitzustellen. Während wir im ersten Beitrag vor allem die neue Systemarchitektur und unsere Beweggründe für den Wechsel der zugrunde liegenden Distribution erläutert haben, möchten wir heute unser Sicherheitskonzept und die dahinterstehenden Prozesse näher erklären.

Der Migrationsprozess bei Debian Testing

Debian Testing entsteht durch die kontinuierliche Migration von Paketen aus Debian Unstable (Sid). Dieses Modell sorgt für einen modernen und zugleich sehr gut getesteten Paketbestand. Allerdings bedeutet es auch, dass Sicherheitskorrekturen nicht automatisch unmittelbar in Testing erscheinen. Zwischen der Veröffentlichung eines Patches in Unstable und dessen Übernahme nach Testing können zwei bis 14 Tage liegen.

Die Migration eines Sicherheitsupdates von Unstable nach Testing hängt davon ab, dass das Paket eine Mindestwartezeit von wenigen Tagen fehlerfrei übersteht und keine neuen, veröffentlichungskritischen Bugs aufweist. Zudem müssen alle Bauprozesse für die unterstützten Architekturen erfolgreich abgeschlossen und sämtliche Paketabhängigkeiten ohne Konflikte mit anderen Programmen erfüllt sein. Für ein Desktop-Betriebssystem, das täglich produktiv eingesetzt wird, reicht es deshalb nicht aus, ausschließlich auf den automatischen Paketfluss von Debian zu vertrauen.

Nicht abwarten, sondern eingreifen

Genau an diesem Punkt wird sich das neue TUXEDO OS von einer unveränderten Debian-Installation unterscheiden. Dazu betreiben wir eigene Paket-Repositories und spiegeln die zugrunde liegende Debian-Basis darin. Dadurch sind wir nicht darauf angewiesen, ausschließlich auf die reguläre Migration von Paketen aus Debian Unstable nach Testing zu warten.

Bleibt eine kritische Sicherheitslücke in Debian Testing länger offen, als wir für angemessen halten, greifen wir aktiv ein. Je nach Situation übernehmen wir bereits gepatchte Pakete direkt aus Debian Unstable oder erstellen eigene Backports, die wir über unsere Repositories bereitstellen. Unsere Nutzer erhalten die Korrektur somit bereits, bevor sie regulär in Debian Testing ankommt. Das verschafft uns die notwendige Flexibilität, um auf sicherheitskritische Ereignisse schnell in Ihrem Sinne reagieren zu können.

Kontinuierliches CVE-Monitoring

Grundlage dieses Vorgehens ist ein kontinuierliches Schwachstellen-Monitoring, das sich derzeit im Aufbau befindet. Dazu werten wir automatisiert den Debian Security Tracker sowie weitere öffentliche CVE-Datenbanken aus. Sobald neue Schwachstellen bekannt werden, gleichen wir deren Status mit dem Paketbestand von Debian Testing ab. Erkennen wir sicherheitsrelevante Abweichungen, fließen diese unmittelbar in unsere Paket-Priorisierung ein.

So können wir gezielt diejenigen Pakete identifizieren, bei denen Handlungsbedarf besteht, anstatt auf die regulären Debian-Prozesse zu warten. Ergänzend profitieren wir als Hardware-Hersteller und Linux-Distributor von direkten Kontakten zu Upstream-Entwicklern und verschiedenen Sicherheitsnetzwerken. Wo keine Embargo-Informationen verfügbar sind, sorgt unser automatisiertes Monitoring dafür, dass wir unmittelbar nach Bekanntwerden einer Schwachstelle reagieren können. Silent Patches, die nicht groß angekündigt, sondern einfach eingebaut werden, erhöhen ebenfalls die Sicherheit.

Schnelle Reaktionszeiten sind das Ziel

Bei gravierenden Schwachstellen wie etwa einer kritischen Lücke in sudo oder vergleichbaren zentralen Systemkomponenten greift unser beschleunigter QA-Prozess. Ziel bleibt es, funktionierende Sicherheitsupdates möglichst innerhalb weniger Stunden nach Verfügbarkeit eines belastbaren Patches bereitzustellen. Dabei hilft uns ein Vorteil der neuen Architektur: Während wir unter Ubuntu LTS oftmals auf die Paketierung durch Canonical angewiesen waren, besitzen wir nun deutlich mehr Kontrolle über den gesamten Update-Prozess. Wenn erforderlich, können wir Patches eigenständig paketieren und verteilen, anstatt auf externe Veröffentlichungen warten zu müssen.

Neues Kernel-Konzept

Mit dem Umstieg auf Debian Testing bringt TUXEDO OS künftig eigene Kernelpakete mit, die konsequent auf Debians Kernel-Paketierung aufbauen: linux-tuxedo als aktueller Standardkernel und linux-tuxedo-lts als Fallback-Variante, die einem geeigneten Upstream-Langzeit-Kernel folgt. Eigene Patches bleiben dabei bewusst minimal, dokumentiert und möglichst upstream-tauglich. Wie genau das neue Kernelkonzept im Detail aussieht, lesen Sie demnächst in einem ausführlichen Blogbeitrag zum Thema.

Dass Sicherheit bei TUXEDO OS auch unter Ubuntu einen hohen Stellenwert hatte, belegt unser Patch-Regime bei den gravierenden Sicherheitslücken Copy Fail und Dirty Frag. Bei beiden Lücken wurde der reguläre Embargo-Prozess umgangen und die Community vor vollendete Tatsachen gestellt. TUXEDO reagierte auf Copy Fail noch am gleichen Tag und stellte das Paket tuxedo-fix-copy-fail bereit, während an einem Kernel-Update gearbeitet wurde. Bei Dirty Frag veröffentlichten wir ein Kernel-Update auf linux v6.17.0–118023.23₂₄.04.1tux1, das Dirty Frag entwaffnete und gleichzeitig einen permanenten Schutz vor Copy Fail bot und damit den vorläufigen Patch ablöste.

Mit dem Kernelstand von Debian Unstable, den wir künftig als Grundlage verwenden, wären wir bei den umgangenen Embargos beider Lücken erst gar nicht verwundbar gewesen.

Btrfs und Snapper erhöhen die Sicherheit

Schnelle Updates dürfen allerdings nicht auf Kosten der Zuverlässigkeit erfolgen. Deshalb verbinden wir unser aktives Schwachstellenmanagement mit den Sicherheitsmechanismen von TUXEDO OS. Btrfs und Snapper bilden dabei eine zusätzliche Rückfallebene, über die sich das System jederzeit auf einen vorherigen funktionierenden Snapshot zurücksetzen lässt. So können wir kurzfristig reagieren, ohne die Stabilität produktiver Systeme unnötig zu gefährden.

Das hilft auch neuen Anwendern, die oft Bedenken haben, ihr System zu aktualisieren und dadurch die Sicherheit schwächen. Die Gewissheit, dass ein kaputtes System schnell zurückgerollt werden kann, verhilft zu mehr Sicherheit beim Update.

Besonderheiten vor einem Debian-Release

Die Übergangsphasen vor einem neuen Debian-Stable-Release stellen besondere Anforderungen an jedes auf Debian Testing basierende System. Während dieser Zeit verändern sich Paketflüsse und Migrationsprozesse deutlich. Deshalb erhöhen wir in diesen Phasen die Frequenz unserer manuellen Paketprüfungen zusätzlich. Wichtige Sicherheitskorrekturen, die in Testing festhängen, können wir über unsere eigenen Repositories gezielt an den regulären Migrationsblockaden während des als Freeze bezeichneten Release-Vorbereitungsprozesses vorbeileiten.

Verringerte Angriffsfläche

Ein weiterer Aspekt wird in der Diskussion häufig übersehen. Die Komponenten, die im Alltag den größten Teil der Angriffsfläche ausmachen, werden bei TUXEDO OS nicht direkt aus Debian Testing stammen. Browser, Linux-Kernel, der Grafik-Stack einschließlich NVIDIA-Treiber sowie weitere zentrale Systemkomponenten werden unabhängig von Debian gepflegt und, wie bisher auch, kontinuierlich aktualisiert. Der verbleibende Paketbestand aus Debian Testing umfasst zwar zahlenmäßig viele Pakete, besteht aber überwiegend aus Bibliotheken und Werkzeugen, die deutlich seltener unmittelbare Sicherheitsmaßnahmen erfordern.

Auch für Unternehmen interessant

Von diesem Sicherheitskonzept profitieren nicht nur Privatanwender. Geschäftskunden erhalten über unsere Infrastruktur angepasste Update-Zyklen und profitieren von einer Kombination aus kontinuierlicher Paketpflege, schnellen Reaktionszeiten bei Sicherheitsvorfällen und der zusätzlichen Absicherung durch Snapshots. Damit verbindet TUXEDO OS aktuelle Software mit einer Sicherheitsstrategie, die weit über die Möglichkeiten einer unveränderten Debian-Testing-Installation hinausgeht. Wir werden unsere diesbezüglichen Maßnahmen zum Schutz unserer Geschäftskunden zeitnah in einem eigenen Blogbeitrag ausführlich darlegen.