Einbruch in Ubuntu-Community-Server

Fünf Ubuntu-Community-Server sollen laut Hersteller von Unbekannten kompromittiert worden und für Angriffe auf andere Systeme missbraucht worden sein. Daraufhin wurden sie vom Netz genommen, mittlerweile sind sie aber wieder in Betrieb. Laut Canonical vereinfachten mehrere Versäumnisse bei der Wartung der Server den Einbruch. Zum Teil liefen mehr als 15 veraltete, ungepatchte Webanwendungen parallel auf einzelnen Servern. Zudem wurde der Datenaustausch über unverschlüsseltes FTP abgewickelt. Schließlich wurden auch die Server selbst nicht mehr aktualisiert und liefen unter der nicht mehr unterstützten Version 5.10 (Breezy Badger). Der Grund dafür soll eine mit neueren Ubuntu-Versionen inkompatible Netzwerkkarte und Hardware gewesen sein, die Canonical als Sponsor zur Verfügung stellte.

Aufgrund des Einbruchs will Canonical seine Richtlinien zum Betrieb solcher Server ändern. Bislang betreibt ein Länder-Team (Local Community, LoCo) einen Community-Server in eigener Regie, auf dem sich Ubuntu-Anwender über Foren und Chat austauschen können. Canonical, der Sponsor respektive Hersteller von Ubuntu, stellt den lokalen Teams Hardware und Bandbreite zur Verfügung oder sponsert das Webhosting. Als Alternative schlägt der Sponsor nun vor, dass LoCo-Teams ihre Server in das Canonical Data Center migrieren. Zwar steht dort bessere Hardware zur Verfügung, es gibt Bandbreite satt und Canonical übernimmt die Wartung, allerdings müssen die Teams auf den Root-Zugang zu ihrem System verzichten. Grundsätzlich dürfen nur noch wenige Team-Mitglieder per SSH auf den Server zugreifen. Auch die Wahl der darauf laufenden Foren- und Blog-Software (Drupal, Wordpress) wird erheblich eingeschränkt.

Wollen die LoCo-Teams weiterhin ihren eigenen Server betreiben, sollen die Verantwortlichkeiten besser geregelt werden, um den Wildwuchs zu unterbinden. Insbesondere seien die Teams alleine für die Wartung und Sicherheit des Systems verantwortlich. Es gäbe dann auch keine Unterstützung mehr, wenn der Server gekapert wird.

Siehe dazu auch:

• Changes to LoCo Server Policy, Meldung auf Ubuntu

(dab)