Keine Linux-Aktualisierungen - Sicherheitssituation?

[Holzohrwascherl]

Ich habe eine Verständnisfrage zur Sicherheitssituation meines Backuprechners, falls ich den nicht mehr aktualisieren würde.
Ich setze auf meinem Backuprechner Ubuntu 20.04 ein, und alles läuft wunderbar.

Dazu wird er benutzt:

1. Der Rechner wird im Schnitt 1x pro Woche hochgefahren, dann wird mit rsnapshot ein Backup der Daten meines NAS durchgeführt, und dann wird er wieder heruntergefahren und vom Stromnetz und vom Netzwerk getrennt (Blitzschlag).
Nach dem Hochfahren mountet er die Netzwerkfreigabe (cifs mount), auf der sich die zu sichernden Daten befinden. Der Rechner selbst bietet keine Freigaben an.

2. Zusätzlich werden 4x im Jahr alle Festplatten einem ausführlichen SMART-Test unterzogen.

3. Der Rechner hat eine Internetverbindung. Die dient nur zum Bezug der Aktualisierungen.

Frage: Wie hoch wäre das Risiko, wenn ich diesen Rechner über das Ende seiner Unterstützung weiter so betreibe, also weiter nichts tue?
Wie kann es zu einer Kompromittierung des Rechners kommen, wenn ich quasi die nächsten Jahre nichts tue?

 

[riversource]

Wie kann es zu einer Kompromittierung des Rechners kommen, wenn ich quasi die nächsten Jahre nichts tue?

Über seine Client Verbindungen. Auch da können Sicherheitslücken lauern, üblicherweise sogar deutlich häufiger, als in den Server-Applikationen. Natürlich müssen einige Voraussetzungen erfüllt sein, damit ein Rechner über einen Client kompromittiert wird, aber möglich ist es.

 

[Holzohrwascherl]

Was meinst du genau mit Clientverbindung? Hast du Beispiele?

 

[riversource]

So ein Rechner baut ja direkt nach dem Booten haufenweise Verbindungen ins Internet auf: Nameserver, Updates abrufen, Login-Status bei Ubuntu-Pro und was sonst noch so alles an Diensten läuft. Mach dir den Spaß und schau es dir im Paket-Trace an: Es sind tausende. Jede Einzelne davon ist ein potentielles Sicherheitsrisiko, wenn das System nicht gepatcht ist.

 

[0x8100]

in den knapp 10 minuten seit dieser thread offen ist, hätte man auch schon einfach ein do-release-upgrade ausführen und sich die ganze diskussion sparen können...

 

[andy_m4]

Frage: Wie hoch wäre das Risiko, wenn ich diesen Rechner über das Ende seiner Unterstützung weiter so betreibe, also weiter nichts tue?

Das Infektionsrisiko ist sicherlich in dem Fall eher gering.
Ich würde aber dennoch über eine Aktualisierung nachdenken, denn mit Updates werden ja nicht nur Sicherheitslücken, sondern auch sonstige Bugs gefixt. Und umso länger man mit Updates wartet, umso größer ist die Wahrscheinlichkeit das dann Probleme auftreten, wenn man irgendwie mal nach Jahren ein Upgrade versucht.
Also würde ich wohl jetzt versuchen das Ding auf eine neue LTS-Version zu heben und dann wissen, das ich die nächsten Jahre weitestgehend Ruhe habe und weiter Fixes bekomme.

 

[Malaclypse17]

Mach es wie jeder vernünftige Mensch der lange Support von einem OS braucht: Installiere Ubuntu LTS 24.04, damit hast du garantierten Support bis 2029 und ein Systemupdate dauert vielleicht jeweils 5 Minuten und kann auch im Hintergrund laufen, man muss sich das Leben nicht künstlich schwerer machen.

 

[Stern1710]

Ubuntu aktualisiert meines Wissens nach ja sowieso nur immer auf die nächste LTS und nicht auf die Neuerste, sprich von 20 auf 22 auf 24. Da kann man auch gut behutsam vorgehen

 

[Holzohrwascherl]

in den knapp 10 minuten seit dieser thread offen ist, hätte man auch schon einfach ein do-release-upgrade ausführen und sich die ganze diskussion sparen können...

Mein Rechner ist immer aktuell. Meine Frage war nicht, ob ich den Rechner in Zukunfrt auch aktuell halten soll, sondern was passiert, wenn ich das nicht tun würde.

Das ist der Grund, weshalb ich in das Anfangspost geschrieben habe, dass es sich um eine Verständnisfrage handelt.
Du weisst aber schon, was eine Verständnisfrage ist, oder?

Ergänzung (23. Juni 2024)

So ein Rechner baut ja direkt nach dem Booten haufenweise Verbindungen ins Internet auf: Nameserver, Updates abrufen, Login-Status...

Verstehe. Dank dir für die Info.

Ergänzung (23. Juni 2024)

Das Infektionsrisiko ist sicherlich in dem Fall eher gering.
Ich würde aber dennoch über eine Aktualisierung nachdenken, ...

Ich hatte nicht vor, den Server vergammelkn zu lassen. Da ich ihn aber seit Jahren nur für genau die beschriebenen Zwecke einsetze, hat es mich einfach interessiert zu wissen, was wäre wenn ...

Mir tut es nicht weh, alle vier Jahre das Betriebssystem neu aufzusetzen. Ist ja eh alles gesichert ...

 

[andy_m4]

Da ich ihn aber seit Jahren nur für genau die beschriebenen Zwecke einsetze, hat es mich einfach interessiert zu wissen, was wäre wenn ...

Ja. Ist ja auch alles in Ordnung. Zur Sicherheitsproblematik wurde ja auch eigentlich alles gesagt. Ich hab dann noch die Komponente "Bugfix" hinzugefügt.

 

[0x8100]

Mein Rechner ist immer aktuell. Meine Frage war nicht, ob ich den Rechner in Zukunfrt auch aktuell halten soll, sondern was passiert, wenn ich das nicht tun würde.

die frage ist, warum du überhaupt darüber nachdenkst, keine updates mehr zu machen? was versprichst du dir davon? auto-update einschalten und alle 2 jahre mal bereits erwähntes do-release-upgrade machen ist ja nun nicht wirklich aufwändig.

 

[Eletron]

Ich kann den Gedanken schon verstehen. Es ist ein Backupsystem, das zuverlässig laufen soll und die Angst ist da, wenn ein Update installiert wird, dass etwas kaputtgeht.

Allerdings sind Updates ein wesentlicher Bestandteil des Backup-Konzepts. Keine Software ist perfekt und unterliegt Sicherheitsupdates und Bugfixing.

Daher würde ich ganz klar auch das Backupsystem aktuell halten.

 

[Malaclypse17]

Ich kann den Gedanken schon verstehen. Es ist ein Backupsystem, das zuverlässig laufen soll und die Angst ist da, wenn ein Update installiert wird, dass etwas kaputtgeht.

Genau dafür sind ja LTS Releases da, war aber auch nicht die Frage des TEs.

und unterliegt Sicherheitsupdates und Bugfixing

Genau nur diese werden bei LTS Releases installiert.

Zu den Fragen des TE: Niemand kann sagen wie sicher etwas in der Zukunft sein wird, die Wahrscheinlichkeit ist recht groß, dass nichts passieren würde, aber das ist einfach sehr spekulativ, weil niemand dein Netzwerk und dessen Nutzung kennt.

 

[Eletron]

Genau dafür sind ja LTS Releases da, war aber auch nicht die Frage des TEs.

Da LTS Distros auch Sicherheitslücken aufweisen können und deswegen Sicherheitsupdates erhalten, stellt sich die Frage meines Erachtens gar nicht.

Meine Aussage galt viel mehr der Bekräftigung des Tenors, dass Updates gefahren werden sollen.

 

[Redundanz]

3. Der Rechner hat eine Internetverbindung. Die dient nur zum Bezug der Aktualisierungen.

naja. wenn du den rechner über das supportende hinweg betreiben willst, machste halt (dann irgendwann) das internet für den dicht. dhcp auf der maschine aus, permanent gateway-route raus, resolv.conf clearen. wäre ja auch nicht so dass es ein tag nach supportende plötzlich aus dem nichts vulnerabilities regnet. aber mit einem rein aufs lokale netzwerk beschränkten zugriff gibts natürlich kein einfallstor - und vor allem ausfallstor...

bis dahin einfach sicherheitsupdates beziehen.

"philosophisch" könnte man die fragestellung betrachten, ob es seit jeher sicherer gewesen wäre, wenn du den rechner von anfang an nie ins öffentliche netz gebracht hättest. selbst mit altem patchstand.
wer sein auto nicht fährt, sondern nur einmal pro woche als zwischenlager für einkäufe verwendet, braucht auch keine airbagsystem-updates.
denn wenn es eine noch nicht entdeckte lücke bereits über jahre gibt, oder sie aus anderen gründen nicht gepatcht ist, dann ist die gefahr natürlich höher, wenn du im internet bist, als wenn nicht...

 

[GrumpyCat]

Nameserver, Updates abrufen, Login-Status bei Ubuntu-Pro

Stimmt grundsätzlich, aber Sicherheitslücken im DNS-Client sind, äh, "eher selten", und der eigene Update-Server ist wohl auch relativ vertrauenswürdig.

Da würde ich mir eher Sorgen machen, dass Zertifikate lokal ablaufen und der Rechner dann irgendwann (nach Jahren) gar keine Updates mehr machen kann.

 

[riversource]

Stimmt grundsätzlich, aber Sicherheitslücken im DNS-Client sind, äh, "eher selten"

Bei Linux schon, ja. Bei Windows gibt es über 50 dokumentierte Lücken, die eine sofortige Übernahme des Zielsystems erlaubten. Man musste lediglich eine kompromittierte Nachricht ans System bringen, was zugegebenermaßen eine Herausforderung sein kann (aber möglich).

 

[pseudopseudonym]

Mir tut es nicht weh, alle vier Jahre das Betriebssystem neu aufzusetzen. Ist ja eh alles gesichert ...

Du musst es nicht neu aufsetzen. Mit dem beschriebenen do-release-upgrade gehst du aufs nächste Major-Release und bekommst entsprechend länger Uodates.
Du kannst dir vorher auch Timeshift einrichten, dann kannst du easy wieder zurück, falls etwas schiefgeht.

 

[0x8100]

oder man nutzt ubuntu pro (kostenlos für privat) und bekommt für sein ubuntu 20.04 updates bis 2030. gibt jedenfalls keinen grund, die updates einfach abzuschalten.

 

[Holzohrwascherl]

Sehr guter Tipp, besten Dank! Habe ich mir schon angesehen.