Angriffsfläche und eine Basis für die Härtung

Einen Computer zu härten bedeutet nicht, ihn unzerbrechlich zu machen. Es bedeutet, die Türen und Fenster zu entfernen, die niemand nutzt, damit die verbleibenden leichter zu beobachten sind. Dieser Kurs führt durch diesen Prozess für einen einzelnen, von einer Person genutzten Mac: keine Serverflotte, keine IT-Abteilung, nur die Einstellungen und Prüfungen, die jeder selbst vornehmen kann.

Was „Angriffsfläche“ bedeutet

Die Angriffsfläche eines Computers ist alles an ihm, das erreicht oder missbraucht werden könnte: jedes Konto, mit dem man sich anmelden kann, jeder Dienst, der auf eine Netzwerkverbindung horcht, jede App, die ausgeführt werden kann, jeder offen gelassene Port. Jeder davon ist eine kleine Wette, dass damit nie etwas schiefgeht. Eine Härtungsbasis ist die Reihe von Änderungen, die die Zahl dieser Wetten verringert, ohne vorzugeben, die verbleibenden seien risikofrei.

macOS startet bereits von einer vernünftig starken Position aus: aktuelle Macs verschlüsseln Speicher standardmäßig, Code muss signiert sein, um ausgeführt zu werden, und System Integrity Protection hindert selbst ein Administratorkonto daran, still zentrale Systemdateien umzuschreiben. Die nächsten vier Lektionen behandeln die Teile, die Sie noch verbessern können: wie die Festplatte verschlüsselt wird und wie das Gerät startet, wer ein Konto hat und was er damit tun kann, welche Dienste und Ports offen sind, und wie Sie die bereits eingebauten Verteidigungen selbst überprüfen.

Gestaltungsprinzipien hinter den Einstellungen

Die einzelnen Einstellungen in diesem Kurs dienen alle einer kleinen Gruppe zugrunde liegender Ideen. Geringstes Privileg bedeutet, einem Konto oder einer Software nur den Zugriff zu geben, den es braucht, nie mehr „für den Fall, dass es später nützlich sein könnte.“ Prozessisolation und Domänentrennung bedeuten, die Fehler einer App davon abzuhalten, in eine andere überzugreifen: Ein kompromittierter Browser-Tab sollte nicht die Dateien Ihres E-Mail-Programms lesen können. Privilegierte und nicht privilegierte Zustände sind die Unterscheidung zwischen einem Administratorkonto und einem Standardkonto, und zwischen einem als Root laufenden Prozess und einem, der als gewöhnlicher Nutzer läuft. Keine dieser Ideen ist macOS-spezifisch; es sind dieselben Prinzipien, um die jedes moderne Betriebssystem herum gebaut ist, und jede Einstellung im restlichen Kurs ist eigentlich eine davon, angewendet auf einen bestimmten Bildschirm oder Befehl.

Warum die Reihenfolge wichtig ist

Manche Änderungen schützen Sie, selbst wenn Sie sonst nichts tun; andere zählen erst, sobald die Grundlagen stehen. Eine sinnvolle Basis erledigt zuerst die Änderungen mit hohem Nutzen und geringem Aufwand.

1. Die Festplatte verschlüsseln (FileVault), damit die Daten geschützt sind, selbst wenn der Mac verloren geht, gestohlen oder beschlagnahmt wird, während er ausgeschaltet ist.
2. macOS und Apps aktuell halten, da die meisten Korrekturen für bekannte Schwächen als Software-Updates ankommen, nicht als neue Einstellungen.
3. Konten und Privilegien trennen: im Alltag ein Standardkonto nutzen, Administratorzugriff für den Moment aufbewahren, in dem er tatsächlich gebraucht wird.
4. Ungenutzte Dienste und Ports ausschalten: Dateifreigabe, Bildschirmfreigabe und Remote-Anmeldung sind gängige Standardeinstellungen, die grundlos aktiviert bleiben.
5. Überprüfen. macOS wird mit bereits aktiven Verteidigungen ausgeliefert; prüfen Sie regelmäßig, ob sie es noch sind, mit den in diesem Kurs behandelten schreibgeschützten Befehlen.

Kosten, und was dieser Kurs Ihnen nicht raten wird

Jede dieser Änderungen hat einen Preis: Eine verschlüsselte Festplatte braucht einen sicher aufbewahrten Wiederherstellungsschlüssel; ein Standardkonto bedeutet häufigeres Passworteintippen; ein geschlossener Port könnte einer sein, den Sie tatsächlich für einen Drucker oder ein Backup-Laufwerk brauchten. Härtung ist eine Reihe von Kompromissen, und der richtige Kompromiss hängt davon ab, wofür das Gerät gedacht ist und wer es ins Visier nehmen könnte.

Dieser Kurs wird nie vorschlagen, System Integrity Protection, Gatekeeper oder die standardmäßig von Apple-Chip-Macs angewendete Festplattenverschlüsselung auszuschalten. Manche für fortgeschrittene Nutzer geschriebenen Härtungsanleitungen enthalten solche Schritte, oder liefern Skripte und Drittanbieter-Regellisten zum Import in eine systemnahe Firewall. Sie richten sich an Menschen, die bereit sind, das Risiko eines gebrochenen Updates oder eines schwerer zu diagnostizierenden Fehlers zu akzeptieren; die Hinweise in diesem Kurs sind bewusst enger gefasst, und jede Einstellung wird vor Aufnahme gegen Apples eigene Dokumentation geprüft.