3. Sicherheit

Sicherheit ist von großer Bedeutung für das FreeBSD Release Engineering Team. Dies äußert sich in einigen konkreten Bereichen:

• Alle Sicherheitsfragen und Problemlösungen werden vom Security Team bearbeitet und in Form von öffentlichen Warnhinweisen bekanntgegeben. Bekannte Sicherheitsprobleme werden vom Security Team schnell gelöst. Weitere Informationen zur Vorgehensweise des FreeBSD-Projekts in Sicherheitsfragen und Verweise auf Sicherheitsinformationen sind hier verfügbar.

• Eines der Probleme im Zusammenhang mit Open Source-Software ist die riesige Auswahl an verfügbaren Programmen. Es gibt buchstäblich zehntausende Open Source-Projekte, wobei jedes unterschiedlich empfindlich auf Sicherheitsprobleme reagiert. FreeBSD ist dieser Herausforderung mit VuXML entgegengetreten. Alle Programme, die zusammen mit FreeBSD ausgeliefert werden oder in den Ports zur Verfügung stehen, werden mit einer Datenbank verglichen, die bekannte und nicht behobene Sicherheitslücken enthält. Ein Administrator kann portaudit(1) verwenden, um sofort festzustellen, ob ein installiertes Programm Sicherheitslücken aufweist, und gegebenenfalls eine Beschreibung des Problems sowie einen Verweis auf eine detailliertere Darstellung der Schwachstelle zu erhalten.

FreeBSD bietet ebenfalls viele Mechanismen, die es einem Administrator erlauben, das Betriebssystem an die eigenen Sicherheitsansprüche anzupassen:

• jail(8) bietet die Möglichkeit, Prozesse einzusperren; dies eignet sich besonders für Programme, die keine eigene Chroot-Umgebung besitzen.

• chflags(1) erhöhen die Sicherheit durch herkömmliche UNIX®-Zugriffsrechte. Zum Beispiel kann festgelegt werden, dass bestimmte Dateien selbst vom Superuser nicht bearbeitet oder gelöscht werden können.

• FreeBSD stellt drei eingebaute Firewalls mit States- und NAT-Unterstützung zur Verfügung, um flexibel den richtigen Regelwerk für die eigenen Sicherheitsbedürfnisse auswählen zu können.

• Der FreeBSD-Kernel kann schnell und einfach angepasst werden, um nicht gebrauchte Funktionalität zu entfernen. Es stehen auch ladbare Module und Werkzeuge zur Verfügung, um Module aufzulisten, zu laden und zu entladen.

• Der sysctl-Mechanismus erlaubt es einem Administrator, den Kernel-Status (ohne einen Neustart) anzuzeigen und und zu ändern.