Reinkarnation

Inhaltsverzeichnis

Am 22. Januar 2013 brachte man bei Offensive Security, dem Team um den israelischen Sicherheitsspezialisten Mati („muts“) Aharoni, erstmals offiziell den Namen „Kali Linux“ ins Spiel. Im Blog und via Twitter bezeichnete man es zu dieser Zeit bereits als Wiedergeburt und Zukunft von BackTrack. Für den Release-Termin der auf IT-Sicherheit mit hoher Affinität zu Penetrationstests spezialisierten Linux-Distribution wählte man eine Punktlandung zur Black Hat Europe in Amsterdam – am 13. März stand Kali Linux 1.0 zum Download bereit.

Von der jungen Versionsnummer darf man sich nicht täuschen lassen, Aharonis jüngster Spross kann auf gewichtige Ahnen zurückblicken. Aus dem einstigen Whoppix wurde WHAX, WHAX und Auditor verschmolzen 2006 zu BackTrack und aus BackTrack wurde nach 7 Jahren und 10 offiziellen Versionen schließlich Kali Linux. Bei dieser Distribution handelt es sich um ein echtes Debian-Derivat, basierend auf Wheezy. Der 3.7-Kernel enthält bereits die nötigen Patches zur Paketinjizierung für etwaige Angriffe auf Drahtlosnetzwerke.

Herunterladen kann man Kali Linux in diversen Varianten, das ISO-Paket etwa gibt es für x86-, und x64-Architekturen. Darüber hinaus gibt es ein komplett installiertes Kali-System in Form einer virtuellen VMware-x86-Maschine. Als Desktop-Umgebung kommt Gnome zum Einsatz, alternativ steht auch eine minimalistische Version komplett ohne Desktop zur Verfügung. Möchte man eine andere Umgebung haben, etwa KDE, LXDE, XFCE, E17 oder MATE, so lässt sich dies mit einem angepassten Abbild relativ einfach bewerkstelligen.

Die ISO-Variante erlaubt neben dem eigentlichen Live-Boot von Kali Linux wahlweise eine direkte Installation sowie einen forensischen Modus. Der lässt die internen Festplatten des zu untersuchenden Systems unangetastet und verhindert außerdem automatische Einbindungen von Datenträgern. Außerdem wurde an eine Netzwerkinstallation via PXE (Preboot Execution Environment) gedacht, die nötigen Voraussetzungen lassen sich unkompliziert schaffen.

Auf kleinster Umgebung lauffähig

Der Clou ist nun, dass Kali auch für die ARM-Architekturen ARMEL und ARMHF verfügbar ist. Zum Release-Zeitpunkt läuft Kali auf den Geräten Samsung Chromebook, SainSmart SS808, ODroid-U2 und dem Raspberry Pi. Als Desktop-Umgebung kommt hier Xfce zum Einsatz. Allein die Möglichkeit, dass jeder Kali Linux auf einem minimalistischen Rechner betreiben kann, der unter Umständen sehr leicht zu verstecken ist, könnte in vielerlei Hinsicht sicherheitsrelevant sein und sollte daher nicht in Vergessenheit geraten.

Kali Linux fühlt sich auf den ersten Blick genau wie BackTrack an, auch die initialen Login-Daten (root/toor) sind erhalten geblieben. Die Gnome-Menüstruktur (Abb.) wurde zwar überarbeitet, man findet sich aber schnell zurecht, wenn man zuvor mit BackTrack gearbeitet hat. Auffällig ist die neue „Top 10“-Liste, in der die prominentesten der auf IT-Sicherheit spezialisierten Werkzeuge zusätzlich auf einen Blick verlinkt sind. Dazu zählen Metasploit Framework, Maltego Community, Nmap, Hydra und Aircrack-ng. Der Kulturschock für eingefleischte BackTrack-Nutzer kommt erst, wenn sie sich die Verzeichnisstruktur unter der Haube anschauen und spätestens dann erkennen müssen, dass sich dort tatsächlich alles geändert hat. Wer etwa sofort nach dem gewohnten \pentest-Verzeichnis nebst seiner umfangreichen Unterstruktur Ausschau hält, wird schnell erkennen, dass es bei Kali schlicht nicht mehr existiert.

Bevor man aber nun komplett verzweifelt – Kali hält sich an den FHS (Filesystem Hierarchy Standard), die Applikationen sind im Suchpfad enthalten und von jedem Ort aus verwendbar. Die aus BackTrack bekannten Standard-Wortlisten für Angriffe auf passwortgeschützte Systeme, etwa mithilfe von Hydra, wurden auf die 134 MByte große „rockyou.txt“-Wortliste reduziert. Diese findet man jetzt in gzip-komprimierter Form im Pfad /usr/share/wordlists. Es gibt bereits kontroverse Diskussionen in den Foren, die sich um das Pro und Contra der neuen Strukturen drehen.

Aharoni tat gut daran, den Debian-Spezialisten Raphaël („buxy“) Hertzog von Anfang an mit ins Boot zu nehmen. Ein wesentlicher Eckpfeiler von Kali Linux ist die Möglichkeit, ganz einfach eigene angepasste ISO-Abbilder mit Debians live-build scripts zu erzeugen. Eine detaillierte Anleitung findet sich bereits in der Kali-Dokumentation (s. Onlinequellen). Außerdem pflegt das Team für jedermann einsehbar eine öffentliche Versionsverwaltung via git, in der auch die jeweiligen Autoren lückenlos aufgelistet sind. Jeder Autor muss überdies seine Pakete mit GPG signieren. Man darf davon ausgehen, dass Hertzog insbesondere in diesen Dingen sowie bei der technischen Umsetzung der Repositorien-Infrastruktur kräftig mitgemischt hat.

Die Community um Aharonis Projekte wird von vielen Herstellern aktiv unterstützt, von einigen sogar mit außergewöhnlich viel Engagement. Bei der Metasploit-Schmiede RAPID7 etwa geht man sogar so weit, dass man Kali Linux nunmehr für die kommerzielle Version des Angriffs-Frameworks Metasploit als offiziell unterstütztes Betriebssystem führt und somit auch Herstellersupport anbietet. In Kali Linux haben die Entwickler die kommerzielle Weboberfläche von Metasploit integriert. Kostenlos lässt sich allerdings nur die Community-Version benutzen und dies auch nur nach Registrierung. Das freie Metasploit Framework, Basis und Idee der heutigen Metasploit-Produktreihe, gehört seit jeher zu Aharonis Standardrepertoire und stellt sehr vereinfacht beschrieben eine Entwicklungs- und Angriffsumgebung für Exploits zur Verfügung.

Hersteller mit an Bord

Speziell beim Metasploit-Framework versuchte Aharonis Team bereits zu Zeiten von BackTrack immer mit hohem Aufwand, eine Umgebung in ein Paket zu verfrachten, die eigentlich nie dafür gedacht war, paketiert zu werden. RAPID7 habe nun, so Aharoni, Kali-Linux zum Anlass genommen, eine echte Debian-Paketierung für Metasploit zu entwickeln, und obendrein zugesagt, diese in Eigenleistung im 7-Tages-Rhythmus zu aktualisieren.

Auch Paterva hat eine eigene „Kali Linux Edition 3.3.0“ seiner Maltego-Community-Version bereitgestellt. Mit Maltego kann man speziell im IT-Sicherheitsumfeld Daten sammeln und sie dynamisch-aggregiert darstellen (siehe Aufmacher-Screenshot). Einen Fokus legt der Hersteller dabei seit jeher auf die übersichtliche Visualisierung von komplexen Beziehungen der gesammelten Daten untereinander. Genau wie bei Metasploit bietet die Community-Version im Vergleich zur kommerziellen Ausgabe nicht alle Fähigkeiten und muss zur Nutzung registriert werden.

Automatische Aktualisierung wird kommen

Was die grundsätzliche Aktualität von Tools in Zusammenhang mit der Debian-Paketierung angeht, so existieren Pläne für die nahe Zukunft. Wie Aharoni der iX verriet, arbeitet das Team bereits an einer Idee, mittels eines automatisierten zentralen Systems bestimmte externe git- und svn-Repositorien in Echtzeit überwachen und bei neuen Versionen automatisch neue Kali-Pakete generieren zu können.

Mehr Infos

Daten

Kali Linux

Live-CD auf Open-Source-Basis mit Werkzeugsammlung für Einbruchs- und Sicherheitstests

Entwickler: Mati Aharoni

Website: www.kali.org

Auch wenn es laut den Entwicklern eine „Aufräumaktion“ bei den integrierten Tools gab, finden sich immer noch mehr als 300 bekannte und auf vielfältige Bereiche der IT-Sicherheit spezialisierte Werkzeuge in Kali Linux – von Angriffs- und Analysetools bis hin zu solchen für Reverse Engineering und digitale Forensik wie TSK mit Autopsy. Neben der wie gewohnt umfangreichen Unterstützung für zahlreiche WLAN-Chipsätze sind im Drahtlos-Umfeld auch die Technologien Bluetooth, RFID, NFC und ZigBee vertreten.

Armitage, ein in der Community beliebtes Frontend für das Metasploit Framework, fehlte zum Release-Zeitpunkt in Kali 1.0. Man konnte es aber einfach via apt-get install armitage nachinstallieren. Auf Nachfrage räumte Aharoni ein, dass es sich um ein Versehen gehandelt habe, das inzwischen korrigiert sei. Und in der Tat lieferte im anschließenden Test eine Woche nach Release ein apt-get dist-upgrade automatisch armitage aus.

Kali Linux verhält sich von Haus aus relativ still im Netzwerk. Etwaige Dienste, die eine externe Identifikation ermöglichen könnten, bleiben beim Systemstart inaktiv und man muss sie bei Bedarf selbst starten. Dies gilt auch für Metasploit und Zusatzwerkzeuge wie Armitage – vor deren Benutzung sind die Befehle service postgresql start für die Datenbank und service metasploit start für die RPC- und Webdienste auszuführen. Möchte man dies beim Systemstart automatisieren, kann man update-rc.d <dienst> enable bemühen.

OpenVAS & Co. suchen Verwundbarkeiten

Im Bereich der Schwachstellenanalyse integriert Kali Linux neben zahlreichen Fuzzern und Scannern auch OpenVAS, die vom BSI geförderte nichtkommerzielle, vor Jahren abgespaltene Variante des Schwachstellenscanners Nessus. Wer Nessus bevorzugt, kann das Debian-Paket vom Hersteller laden und via dpkg -i <Paket> sowie /etc/init.d/nessusd start installieren und starten. Verwundbarkeiten in Webapplikationen lassen sich mit diversen Schwachstellenscannern untersuchen, unter anderem mit der Burp Suite Free Edition 1.5.

Bereits zum Release-Zeitpunkt zeigte sich die multilinguale Online-Dokumentation umfangreich und gepflegt. Man kann sie dort auch als PDF herunterladen.

Vom Autor nach der beabsichtigten Bedeutung des Namens „Kali“ gefragt, gab sich Aharoni philosophisch: Kali sei ein schöner Name und habe viele Bedeutungen in vielen Sprachen. Man habe nichts Spezifisches dabei im Sinn gehabt.

Fazit

Mehr Infos

iX-Wertung

+ verbesserte ARM-Unterstützung

+ hohe Flexibilität durch eigene Anpassungen

+ umfangreiche Sammlung von Spezialtools

+ breite WLAN-Unterstützung

Kali Linux hinterlässt einen durchdachten Eindruck – auch was die Struktur der Entwicklung und Paketverwaltung angeht. Derartige bis ins Detail gelebte Organisation sieht man bei einem Community-Projekt nicht oft. Denkt man an ein großes Unternehmen, darf man vorzeigbare Maßnahmen der Qualitätssicherung als Selbstverständlichkeit erachten. Wenn jedoch ein kleines Team von lediglich fünf Entwicklern zusammenhockt und im Verhältnis vergleichbare Resultate vorlegt, die nebenbei auch noch den weltweiten De-facto-Standard für auf IT-Sicherheit fokussierte Distributionen definiert, dann darf man das als gelungen bezeichnen.

Jörg Riether

ist spezialisiert auf die Bereiche IT-Sicherheit, Hochverfügbarkeit und Virtualisierung. Er arbeitet als Abteilungsleiter der IT bei der Vitos Haina gemeinnützige GmbH.

Alle Links: www.ix.de/ix1305083 (ur)