Klausur

- Hauptspeicher wird eingespart, Datei ist kleiner

- möglicherweise bessere Performance, da Funktionen ggf. schon im Speicher sind

- vereinfacht Sicherheitspatches

- Standalone-Anwendungen

- möglicherweise bessere Performanz, durch weniger Library-Aufrufe

- Fehler in neuen Versionen von Bibliotheken werden vermieden

• Fehler sind komplex zu finden

• Kompatibilität muss sichergestellt werden (dependency hell)

• Programme sind größer

• Änderungen in Bibliothek erfordern erneute Kompilation

Den Besitzer.

Die Gruppe.

Andere Benutzer.

1

2

4

• Owner: Read, Write, Execute

• Group: Read, Write

• Others: Read

• Owner: Read

• Group: Read, Write

• Others: Read, Sticky-Bit

Das S bzw. T wird großgeschrieben.

Das s bzw. t wird kleingeschrieben.

• Code: 3767

• Berechtigungen

  • Owner: Read, Write, Execute

  • Group: Read, Write, SetGid

  • Others: Read, Write, Execute, Sticky-Bit

• Code: 7265

• Berechtigungen

  • Owner: Write, setuid

  • Group: Read, Write, setgid

  • Others: Read, Execute, Sticky-Bit

• Verzeichnisse mit setgid-Bit vererben ihre Gruppen-ID nach unten weiter.

• bei Dateien: Wie setuid

Dateien werden zusätzlich mit den Rechten des Benutzers ausgeführt, dem die Datei gehört.

• dient zum Anlegen gemeinsamer Verzeichnisse

• wenn alle Benutzer alle Rechte haben, kann bei dem Sticky-Bit nurnoch der Eigentümer der Datei bzw des Verzeichnisses Dateien löschen bzw. umbenennen

• /tmp benutzt dieses Bit bspw.

Real User ID

Effective User ID

• RUID: ID des Benutzers, der einen Prozess startet

• EUID: Entscheidet über Zugriffsrechte

• Element des Dateisystems

• enthält Metainformationen und Berechtigungen für Dateien und Verzeichnisse

• enthält Zeiger auf den entsprechenden Sektor auf dem Speichermedium

• regular file, kein Kürzel

• directory, d

• link, l

• socket, s

• pipe, p

• block device, b

• character device, c

stat

• lesen der Dateinamen

• erstellen/löschen von Dateien erlaubt

• Suchpfad ist erlaubt

• Im Windows-Terminus eine Verknüpfung

• hat eigenen Inode

• Inode weiß nicht, wieviele Softlinks auf ihn zeigen

• Referenzzähler

• gibt es keine Referenzen mehr, wird der Inode entfernt

• unterschiedliche Namen für selbe Datei

Eine Methode, um außergewöhnliche Ereignisse zu melden.

Als eine asynchrone EIngabe an einen Prozess.

• durch einen Fehler (durch OS)

• durch ein externes Ereignis (durch OS)

• durch eine explizite Anfrage (durch einen Prozess)

Unvorhersehbar.

Eine C-Funktion, um ein Signal abzufangen und damit umzugehen.

void handler(int sig);

• weitere Vorkommen DIESES Signals werden geblockt

• wenn der handler returnt hat, wird das Signal wieder zugelassen

• Prozess fährt da fort, wo er unterbrochen wurde

Durch eine numerische ID (UID).

Üblicherweise der super user (root).

id [benutzername]

• Berechtigungsprobleme, die nicht vom Dateisystem gelöst werden können

• Prinzip des wenigsten Privileges

• Konsole: su

• C: setuid() und seteuid()

• getuid() - reale UID

• geteuid() - effektive UID

• setuid() - effektive UID setzen (root: EUID + RUID)

• seteuid() - effektive UID setzen

• setreuid() - effektive und reale UID setzen

setuid()

seteuid()

in /etc/passwd

in /etc/shadow

in /etc/master.passwd

Eine Kopie der /etc/master.passwd, aber ohne Passwörter.

• Invertierung des Algorithmus

• Wörterbuchattacke

• Brute-Force-Attacke

• crypto hashes MD5/SHA

• Argon2

• bcrypt

• salt

• lange Passwörter, Sonderzeichen

• Password Shadowing

• 
  

• jeder Benutzer U hat einen öffentlichen Schlüssel P und einen privaten Schlüssel S

• eine Nachricht m von Bob an Alice wird verschlüsselt mit

  • m’ = E(P[Alice], m)

• Alice kann die Nachricht entschlüsseln mit

  • m = D(S[Alice], m’)

• E = Encryption, D = Decryption

• E und D sind öffentlich

• S[U] darf nicht anhand von P[U] reproduzierbar sein

RSA, DSA, ECDSA

• Verschlüsselung

• Signierung

• auf den beiden vorherigen basierende Anwendungen

  • Authentifizierung

  • Zufallszahlengenerator

  • etc.

• Verschlüsselung: Alle können verschlüsseln, nur einer kann entschlüsseln

• Signierung: Nur einer kann signieren, alle können verifizieren

Zertifikate

• “Dokument”, signiert von einer certificate authority (CA)

• verbindet einen Namen mit einem öffentlichen Schlüssel

• verifiziert den öffentlichen Schlüssel

• Encryption: Benutzt private Schlüssel, Entschlüsselung nur mit passendem Schlüssel möglich

• Encoding: Transformation von einem bekanntem Zeichensatz in einen anderen

time befehl [optionen]

• real: vergangene Echtzeit

• user: Prozessorzeit im Code (keine Systemaufrufe)

• sys: Prozessorzeit in Systemaufrufen

Ein IPC-Mechanismus (inter process communication).

Wenn zwei oder mehr Prozesse auf die selbe Ressource zur selben Zeit zugreifen wollen.

Eine P-Operation fordert die Freigabe für eine Resource an.

Eine V-Operation gibt eine Resource frei.

• Semaphore wird mit 1 initialisiert (Ressource ist frei)

• P-Operation

  • nur möglich, wenn Semaphore > 0 ist

  • zieht 1 vom Wert der Semaphore ab

  • ist der Wert 0

    • Ressource ist belegt

    • Prozess blockiert

• V-Operation

  • addiert 1 zum Wert der Semaphore (Ressource ist wieder frei)

Ressource kann von mehr als einem Prozess benutzt werden.

ln -s datei linkname

ln datei linkname

sys

user

Gibt die ersten n Zeilen einer Textdatei aus (standardmäßig 10).

• das hierarchische Prinzip des Dateibaumes würde aufgebrochen werden, da durch Hardlinks auf Verzeichnisse aus dem Baum ein gerichteter Graph werden würde

• Ausnahmen: . und ..

Die Reduzierung eines langen Datenstromes auf einen einen kurzen.

• man darf nicht vom Hash auf den Ursprungswert schließen können

• Hashwert muss für unterschiedliche Eingaben unterschiedlich sein

• adduser

• useradd

• pw

• rmuser

• deluser

• userdel

• pw

• stdin, 0

• stdout, 1

• stderr, 2

• < = stdin

• > = stdout

• >> = stdout, mit Anhängen

• 2> = stderr

• Prozesse lesen von stdin

• Prozesse schreiben nach stdout und/oder stderr

Zum Weiterreichen des Ergebnisses eines Prozesses an einen weiteren über stdout/stdin.

• Transformiert stdin zu Kommandozeilenargumenten

• Beispiel: find . -type l | rm

Speicherplatz und Rechenzeit.

• systemweite Limitierung

• prozessbezogene Limitierung

• maximale Menge an Rechenzeit

• maximale Dateigröße für erzeugte Dateien

• maximale Anzahl an Sohnprozessen

• absolute Obergrenze für den Betriebssystemkern

• harte Limits, die von Software gesetzt und von da an niemals mehr überschritten werden kann (nur verringert)

• weiche Limits, die ein Benutzer innerhalb eines harten Limits (z.B. zum Testen von Grenzfällen)

uname -a

read, write, stat, kill, fork

date

time und ctime

Zeigt den verfügbaren Speicherplatz an (disk free).

• verfügbarer Platz in Bytes

• verbrauchter Platz in Prozent

Manche Dateisysteme müssen beim Booten in bestimmter Reihenfolge eingehangen werden.

• EMERG

• CRIT

• ERR

• WARNING

• NOTICE

• INFO

• DEBUG

• Dateigröße

• Zugriffszeit

• Erstellungszeit

• Änderungszeit

• Berechtigungen

• UID

• GID

• Gerät

• Blocks

• Blockgröße

• nlink

• (Zeiger auf Startsektor)

Der Prozess wird mit den Rechten des Eigentümers ausgeführt.

Ein gesetztes SETUID-Bit kann die Sicherheit gefährden, wenn das entsprechende Programm nicht ausreichend abgesichert ist. Wenn ein Angreifer Schwachstellen im Programm findet, könnte er es ausnutzen, um mit den erhöhten Rechten des Eigentümers der Datei schädliche Aktionen auszuführen, die er normalerweise nicht durchführen dürfte, was zu unbefugtem Zugriff oder Systemkompromittierung führen kann.

chmod u+s <datei>

• Ein Programm ist eine passive Aneinanderreihung von Anweisungen in einer bestimmten Programmiersprache

• Ein Prozess ist die aktive Ausführung eines Programmes, die Ressourcen des PCs verbraucht

• Ein Prozess, dessen Ausführung beendet ist, aber noch in der Systemverwaltung aufgeführt ist und dort auch gehalten wird

• Vermeidung, indem Elternprozess Funktionen wie wait() und waitpid() verwendet um sicherzustellen, dass der Hauptprozess auf die Beendigung aller Kinder wartet

• kill -ID <prozessid>

• kill -SIGNAL <prozessid>

• SIGKILL

• SIGSTOP

• SIGCONT

• SIGDANGER

• SIGSYS

• -1: Fehler beim Erstellen des Kindprozesses

• 0: Rückgabewert von fork() in Kindprozessen

• >0: Prozess-ID des Kindprozesses

1. Parameterliste:

   • l: Die Argumente werden als einzelne Parameter aufgelistet.

   • v: Die Argumente werden als Array von Zeichenzeigern übergeben.

   • p: Das Betriebssystem sucht nach der auszuführenden Datei im Pfad des Benutzers.

2. Umgebungsvariablen:

   • e: Eine Liste von Umgebungsvariablen kann angegeben werden.

3. Ursprüngliche Arbeitsverzeichnis beibehalten:

   • x: Das ursprüngliche Arbeitsverzeichnis des aufrufenden Prozesses wird beibehalten.

Die Urversion, von der die übrigen fünf abgeleitet sind, ist execv(). Es handelt sich um die grundlegende exec()-Funktion, bei der die Argumente als Array von Zeichenzeigern übergeben werden. Die anderen Formen, wie execl(), execle(), execlp(), execve() und execvp(), sind Variationen, die spezifische Bedürfnisse und Anforderungen abdecken.

echo ‘$HOME’ gibt einfach die Zeichen aus, ohne die Variable aufzulösen.

echo “$HOME” gibt das Home-Verzeichnis aus.

grep bin ‘ls’ ist ein fehlerhafter Befehl.

ls | grep bin führt ‘ls’ aus und wendet dann grep bin auf das Ergebnis an.

Es gibt keinen Unterschied.

Aufsteigend sortiert:

• debug

• info

• notice

• warning

• err

• crit

• alert

• emerg

Bei dem Hexcode handelt es sich um einen Hash-Wert, oder hier um eine Checksumme.

Dabei handelt es sich um eine kryptographische Darstellung des Inhalts einer Datei oder eines Textes, die verwendet wird, um die Integrität und Echtheit von Daten zu prüfen.

MD5 oder SHA-1

Die Sicherheit entsteht, indem der Hash-Wert berechnet und dann zusammen mit dem Softwarepaket veröffentlicht wird. Wenn der Benutzer das Paket herunterlädt, kann er den Hash-Wert der heruntergeladenen Datei berechnen und mit dem veröffentlichten Hash-Wert vergleichen. Wenn sie übereinstimmen, deutet dies darauf hin, dass die Datei unverändert und korrekt ist. Es schützt vor zufälligen Beschädigungen oder böswilligen Änderungen.

Integrität

Dieser spezielle linuxmint-Hexcode ist nicht besonders vertrauenswürdig, weil er auf den älteren kryptografischen Hash-Funktionen MD5 und SHA-1 basiert. Beide sind mittlerweile als unsicher für kritische Sicherheitsanwendungen wie Integritätsprüfung oder Authentifizierung eingestuft, da sie anfällig für Kollisionen und Brute-Force-Angriffe sind. Moderne Hash-Funktionen wie SHA-256 werden heute empfohlen.

Von des-cbc und des-ecb. Diese sind veraltet und sind anfällig für Brute-Force-Attacken.

Vertraulichkeit (Confidentiality)

#!/bin/bash

Der Prozess ln ruft die Funktion stat mit den Argumenten in der Klammer auf.

$#

"$@"

if ! id "$user_name" &> /dev/null; then

Ein Zufallszahlengenerator.