Gehärtete Linux-Distribution für Rootserver

[captaincrunch]

Hallo zusammen!

Einige haben es ja schon mitbekommen, andere lesen vielleicht jetzt "erst" davon. Die Anführungszeichen ums "erst" sind allerdings aus gutem Grund dort: bisher gibt es leider noch nicht viel öffentlich zu sehen, doch vielleicht sollte ich von vorne anfangen:

Gefrustet durch verschiedene andere Distributionen (für diesen Zweck) und gerade mir Langeweile "gesegnet" habe ich mich vor geraumer Zeit einmal daran begeben, eine eigene kleine Linux-Distribution zu basteln, die speziell auf dedizierte Mietserver zugeschnitten ist. Im Klartext: das Ganze sollte möglichst schnell und möglichst noch sicherer "per default", dazu noch recht einfach bedienbar sein.

Der eine oder andere mag jetzt natürlich richtigerweise einwenden, dass es bereits Projekte wie Gentoo- oder Debian-Hardened sowie Adamantix gibt, die von jeweils extrem fähigen Leuten entwickelt werden. Mich selbst stört(e) jedoch immer irgend etwas an diesen Projekten. Da (wie oben bereits erwähnt) noch die Langeweile hinzukam, habe ich mir das gute alte Slackware (in diesem Fall die 10er-Version) geschnappt, und sie komplett durch ein paar Gentoo-typische Optimierungs-Flags, sowie diversen Sicherhitspatches (die auch bei den anderen Projekten zum tragen kommen) von Grund auf neu gebaut.

Heraus kam (bzw. kommt) hierbei (Achtung, Schleichwerbung) Crunchix.

Da ich seit geraumer Zeit leider nicht mehr mit Langeweile "gesegnet" bin, liegt das Projekt zur Zeit etwas brach, obwohl das Allermeiste bereits fertig ist. Aus diesem Grund suche ich auf diese Art und Weise hier noch ein paar Leute, die Fachwissen und Interesse mitbringen, das Projekt weiter nach vorn zu bringen.
Zur Zeit existiert leider noch keine wirkliche Infrastruktiur: bis auf die Webseite ( http://www.crunchix.org ) und die zuständige Development-Mailingliste ( http://crunchix.org/cgi-bin/mailman/lis ... unchix-dev ) ist noch nichts öffentlich sichtbar.
Ich werde im Laufe des morgigen Tages die bereits fertigen Pakete uploaden, und (wahrscheinlich erstmal ausschließlich) per rsync zur Verfügung stellen, so dass wenigstens ein paar Augen mehr darauf schauen können.

Sollte ich dein Interesse geweckt haben, udn du dich fragst, wie du mithelfen kannst, findest du hier ein paar anfängliche Probleme, die (meiner Meinung nach) als erstes angegangen werden sollten:
1. Da die Pakete irgendwie auf die Platte kommen müssen, wird ein Installer benötigt.
2. Dem einen oder andeen wird sicherlich noch Paket XY oder YZ fehlen. Die Pakete sind dabei (im Gegensatz zu anderen Distris) extrem einfach zu bauen, und Erfolge sind schnell sichtbar.
3. Testen, testen, testen. Bislang sind sämtliche Pakete nur auf meiner Workstation gelaufen, was keine wirklich gute Testumgebung darstellt. Ich wüsste zwar nicht, was das "Gesamtpaket" instabil werden lassen würde, aber im Falle einer "Server-Distribution" halte ich ausgiebige Tests für unumgänglich.
4. Doku. Ich selbst bin ein furchtbarer Schreiber, wenn's um Doku geht. Glücklicherweise basiert Crunchix fast vollständig auf Slackware, so dass auf die dort vorhandene (recht gute) Doku zurückgegriffen werden kann.
5. An gewissen Feinheiten feile ich immer noch. Dinge wie "gehört der SSP in die glibc oder direkt ins Binary", wie sieht ein sicheres Grundsystem aus (Berechtigungen, etc.) sind sicherlich noch sehr weitläufig diskutabel, dafür halte ich die ML allerdings für den besten Platz.

Interessierte mögen sich doch bitte direkt auf die Mailingliste subscriben, denn dort soll (meines Erachtens nach) der Großteil der Entwicklung und Diskussionen vnstatten gehen. Vielen Dank bereits im Voraus für das Interesse.

[squize]

Hallo CC,
je nachdem was du unter einer "RootServer-Distri" meinst, finde ich die gut bis sehr gut.
Für mich würde solch eine Distri folgende Ansprüche erwecken:

1. Es gibt ein Ã?quivalent zu debbootstrap zum installieren
2. Nach der Installation habe ich ein System bei dem bereits ein Webfrontend zur Administration des Servers zur Verfügung stellt ( z.B. postfixadmin für MTA ......)
3. Es ein gutes patchsystem gibt, so dass ich nicht nur zum Zeitpunkt der Installation "sicher" bin, sondern es auch bleibe.

Ich habe mich mal in die Mailingliste eingetragen, vielleicht kann ich ja auch etwas dazu beitragen, auch wenn meine Zeit dummerweise sehr knapp bemessen ist.

Gruss

Marc

[captaincrunch]

je nachdem was du unter einer "RootServer-Distri" meinst, finde ich die gut bis sehr gut.

Ich weiß nciht, was du darunter verstehst, aber der Plan ist einfach, eine Distri "zusammenzuschustern", die möglichst exakt auf die Bedürfnisse derjenigen zugeschnitten ist, die einen solchen angemieteten (oder gehouseten) Server betreiben. Darunter fallen für mich drei Punkte:

a) Performance
Das Grundsystem sollte schon von vornherein darauf ausgelegt sein, so viel Perfomance aus der Hardware rauszukitzeln wie möglich.
Dieses Ziel wird dadurch erreicht, dass sämtliche Pakete ähnlich wie Gentoo mit gewissen Compilerflags kompiliert wurden, die auf der anderen Seite aber so "weich" gesetzt sind, dass die Stabilität nicht gefährdet ist.

b) Stabilität
Da das ganze fast vollständig auf Slackware aufbaut, ist eine gewisse Grundstabilität bereits gegeben.

c) Sicherheit
Gerade auf Servern, die offene Dienste ins Internet anbieten für mich das K.O.-Kriterium. Ã?hnlich wie Adamantix oder Gentoo Hardened kommen daher spezielle Patches (SSP, GRSec, ...) zum Einsatz, die es denjenigen schwer machen sollen, die sich unberechtigten Zugriff verschaffen wollen.

Zu den restlichen Punkten:

1. Es gibt ein Ã?quivalent zu debbootstrap zum installieren

Bisher gibt es (streng genommen) noch gar keinen Installer. Das wäre allerdings ein Punkt, an dem bestimmt noch einige mithelfen könnten.

2. Nach der Installation habe ich ein System bei dem bereits ein Webfrontend zur Administration des Servers zur Verfügung stellt ( z.B. postfixadmin für MTA ......)

Hmm, also irgendwie tue ich mich für meinen Teil immer etwas schwer damit, Leuten etwas "vorzusetzen". Bisher stehen zwei MTAs zur Auswahl: Postfix und Sendmail. Bis zu einem fertigen Release hätte ich noch sehr gerne Exim4 dazu; über einen "Default-MTA" lässt sich aber sicherlich recht gut auf der ML diskutieren.

3. Es ein gutes patchsystem gibt, so dass ich nicht nur zum Zeitpunkt der Installation "sicher" bin, sondern es auch bleibe.

Der bisherige Plan sieht vor, dass bekannt gewordenen Bugs asap gefixt werden, und diese neuen Pakete (wie bei den anderen auch) über eine spezielle Mailingliste angekündigt werden.
Leider ist hier der (IMHO) einzige Nachteil des Salck-Paketmanagements: direkte Updates aus dem Netz sind ohne weiteres nicht einfach machbar, d.h., dass das upgedatete Paket zuerst manuell den Weg auf die Kiste finden muss.
Einspielen lässt es sich dann ganz einfach per "upgradepkg".

Ich habe mich mal in die Mailingliste eingetragen, vielleicht kann ich ja auch etwas dazu beitragen, auch wenn meine Zeit dummerweise sehr knapp bemessen ist.

Ja ja, die Zeit. Das kostbarste Gut. ;) Nee, ernsthaft: ich bin fest davon überzeugt, dass einige dazu beitragen könnten, das Projekt zu einer sehr guten Wahl für Rootserver zu machen, alleine aus dem grund, weil ich sicherlich an einigen Ecken und Enden gewisse "Scheuklappen" aufhabe. Daher würde ich besonders solche Diskussionen bereits im Vorfeld sehr begrüßen.

P.S.: Die Pakete sind so weit hochgeladen, und dürften dann auch bald für Interessierte zur Verfügung stehen.

[dodolin]

2. Nach der Installation habe ich ein System bei dem bereits ein Webfrontend zur Administration des Servers zur Verfügung stellt ( z.B. postfixadmin für MTA ......)

Das halte ich für keine gute Idee:

Was ist, wenn der User keinen Postfix will, sondern lieber einen anderen MTA? Was ist, wenn der User überhaupt keine Webadministration möchte? Oder vielleicht eine andere Adminoberfläche möchte?

Ich stimme da eher CC zu, dass man den User möglichst nicht bevormunden sollte und ihm die Wahl selbst überlassen sollte.

IMHO spricht aber als Kompromiss nichts dagegen, dass man bei einer Distribution, die speziell für Rootserver gedacht ist bereits fertige (Komplett-)Pakete schnürt, die man dann mit dem Paketmanagement einspielen kann. Da könnte ich mir z.B. diverse Pakete vorstellen, die z.B. ein komplettes Mailsystem alla http://www.debianhowto.de/howtos/de/exi ... index.html - oder auch mit postfixadmin, qmailadmin, ... - bereitstellen.

[alfmanuel]

hi CaptainCrunch.

also deine idee gefällt mir außerordentlich gut,
auch ich habe noch nie die für mich perfekte distribution gefunden ;)

vielleicht suchst du ja einen developer. ich kenne mich sowohl in perl, als auch in php und java recht gut aus.

ich selber bin ja erst 16, und noch schüler. sollte dich aber nicht abschrecken, denn ich besuche dafür eine höhere schule für internet engineering ;)

also bei interesse bitte PM !

[dodolin]

Ohne Chris da jetzt vorgreifen zu wollen...

@alfmanuel:

Ich glaube, es ist nicht nötig sich zu "bewerben", um bei dem Projekt mitzumachen. ;)

Wenn du Interesse hast, subscribe dich doch einfach mal auf der Mailingliste, dann kann man das weitere Vorgehen abstimmen.

[captaincrunch]

dodolins Aussage ist wirklich herzlich wenig hinzuzufügen. Jeder, der Spaß an der Sache hat, Zeit und Lust, sowie (idealerweise) ein gewisses Grundwissen mitbringt kann mitmachen. Für alles Weitere wäre die Mailingliste dann IMO der beste Platz.

[squize]

IMHO spricht aber als Kompromiss nichts dagegen, dass man bei einer Distribution, die speziell für Rootserver gedacht ist bereits fertige (Komplett-)Pakete schnürt, die man dann mit dem Paketmanagement einspielen kann. Da könnte ich mir z.B. diverse Pakete vorstellen, die z.B. ein komplettes Mailsystem alla http://www.debianhowto.de/howtos/de/exi ... index.html - oder auch mit postfixadmin, qmailadmin, ... - bereitstellen.

Genau das hatte ich damit gemeint.

Gruss

Marc

[floschi]

Dumme Nachfrage, aber gibt es jemanden auf der ML, der nur englisch spricht? Wenn nein, warum müssen wir dann unsere Herkunft verleugnen? Soetwas würde Franzosen, Spaniern, Italiener usw. nie einfallen... :evil:

[Joe User]

Moin,

wir haben uns (stillschweigend) auf Englisch geeinigt, da das Projekt früher oder später auch International Zuspruch finden wird/soll. Somit umgehen wir gegebenfalls die Einrichtung und Verfolgung nationaler (Dev-)Mailinglisten.

Gruss,
Markus

[dodolin]

@olfi und Joe User:

So "stillschweigend" war das nicht, siehe hier:
http://r00th3ll.org/pipermail/crunchix- ... 00000.html
http://r00th3ll.org/pipermail/crunchix- ... 00001.html

[captaincrunch]

Na ja. Der Vorschalg, die ML direkt in englishcer Sprache zu halten kam, ich fand's nicht verkehrt, und da bislang keine Kritik daran kam, war ich bis jetzt davon ausgegangen, dass niemand etwas dagegen hat. Auch das ist aber sicherlich einer der Punkte, die durchaus diskussionswürdig wären. ;)

[Joe User]

Moin,

mit "stillschweigend" meinte ich, dass Niemand widersprochen hatte ;)

Gruss,
Markus

[floschi]

Ist für mich definitiv ein Hemmnis irgendetwas zu posten, weil ich zumeist überhaupt keinen Bock habe, mir da dann die passenden Wörter bei dict.leo.org zu suchen... aber die Sprache der ML sollte das geringste Problem sein - ich wollte das nur mal gesagt haben, dass das wieder so ein "wir sind nur Deutsche" Kapitel ist ;)

[captaincrunch]

Wer setzt dir denn die Pistole auf die Brust, dass du ausschelichlich in englischer Sprache posten dürftest? ;)

[dodolin]

Florian, ich glaube auch, dass es für niemanden ein Problem darstellt, wenn du in Deutsch postest. Und soweit ich weiß, hast du ja mit dem Lesen von Englisch auch keine allzu großen Probleme... :)

[floschi]

Nur mal zum Vergleich, weil ich gerade ausgerechnet habe: Beim debianhowto, das nun wirklich nicht mehr unbekannt ist innerhalb der Suchmaschinen, machen die Zugriffe auf die englischen Seiten gerade mal 10% aus, allein die deutsche Howto-Einstiegsseite wird öfters aufgerufen als alle englischen Seiten zusammen ;)

[dodolin]

Debianhowto wird ja auch hauptsächlich über das Forum promoted und hier sprechen nunmal alle Deutsch. Bei Chris' Projekt siehts allerdings im Moment ja auch nicht anders aus. Allerdings: Vielleicht erinnerst du dich, dass auch beim Debianhowto recht schnell Anfragen von Spaniern, Südamerikanern etc. kamen, die z.B. gerne bei der Ã?bersetzung mithelfen wollten... IMHO sollte man diese Leute also nicht von vornherein ausschließen bzw. gleich von Anfang an die Kommunikationsstrukturen für alle offen halten.

[hirni]

Also ich find die Idee mit der Root-Distri auch klasse - würd mir das bis jetzt bestehende System gern mal anschauen.
Ich bin grad dabei mir meinen Horizont in Sachen Shellscripting ein wenig zu erweitern und hab überlegt mir einen bisschen umfangreicheren Installer für Debian zu basteln.
Vielleicht könnte ich ja stattdessen ein Installationsscript für des Crunchix bauen :-)

[chaoskind]

hmm die crunchix seite zeigt ja nur auf roothell und dort steht ja leider nix weiter drüber ):

würd das nämlich auch gern mal ausprobieren

[lord-of-linux]

Hi,

wie steht es denn zurzeit mit Crunchix? Ich wollte mich auf der ML anmelden, doch es kommt eine Fehlermeldung (404). Gibt es eine neue Adresse?

MfG,
lord-of-linux

[-ec-]

hi,

ich hatte captaincrunch angeschrieben, weil ich das projekt fortsetzen wollte, er meinte allerdings das das zu veraltet sei, und das wir von forne anfangen sollen, falls noch ein paar mehr mitmachen wollen koennten wir es ja wirklich nochmal von grund auf neu machen, ich hab zwar keinen server, aber sowas kann ich zur not auch anschaffen. stellt sich nur die frage wie viele mitmachen wollen, zu zweit hat das keinen sinn....

mfg

[lord-of-linux]

Ne, zu zweit lohnt es sich nicht.
Dann nimmt man halt seine Lieblingsdistri und passt die an.

Da ich als Schüler sowiso nur begrenzt Zeit habe, diese aber meist mit programmieren verbrauche, habe ich zur Zeit auch nicht die Zeit, mich damit zu beschäftigen. (Solange das Interesse so mager ist)

Wenn sich noch mehr melden, dann könnte es vieleicht auch was werden. Wegen zwei Leuten, die es nutzen würden, würde sich die Arbeit jedoch nicht lohnen.

[thorsten]

Da ich als Schüler sowiso nur begrenzt Zeit habe, diese aber meist mit programmieren verbrauche, habe ich zur Zeit auch nicht die Zeit, mich damit zu beschäftigen.

Rückblickend kann ich ganz klar sagen: Nie hatte ich in meinem Leben mehr Freizeit als in der Schulzeit.
carpe diem 8)

[lord-of-linux]

Da ich als Schüler sowiso nur begrenzt Zeit habe, diese aber meist mit programmieren verbrauche, habe ich zur Zeit auch nicht die Zeit, mich damit zu beschäftigen.

Rückblickend kann ich ganz klar sagen: Nie hatte ich in meinem Leben mehr Freizeit als in der Schulzeit.
carpe diem 8)

Das glaube ich gerne, doch wenn man viel mit PHP und so macht, dann geht halt auch Zeit drauf.