Gast-Systeme auf dem Desktop
Security-Risiko: Virtualisierung auf dem PC
Auch Publikationen, die sich weniger mit IT-Themen befassen, geben ihren Lesern heute gern mal den Tipp, sich das neue Microsoft Windows 8 in einer virtuellen Maschine anzuschauen. Das sei nämlich sicher und einfach. Nun werden viele Anwender zwischenzeitlich bemerkt haben, dass Einrichtung und Betrieb einer Virtualisierungslösung auf dem Desktop durchaus mit Tücken behaftet sein kann. Zudem bleibt die Frage, wie es um die Sicherheit dieser Software bestellt ist: Wie gefährlich ist der Einsatz von Virtualisierungslösungen wie Oracles Virtual Box, Parallels Desktop 7, Microsoft Virtual PC oder der VMware Workstation auf dem eigenen Rechner?
Wir haben für diesen Artikel einen näheren Blick auf die Sicherheitsaspekte des Themas "Virtualisierung auf dem eigenen Desktop" geworfen, stellen mögliche Risiken dar und zeigen, wie Sie diese vermeiden können. Im Anschluss daran geben wir einen Überblick über die grundsätzlichen Techniken, die bei der Virtualisierung zum Einsatz kommen - denn wer die Grundlagen kennt, kann Gefahren weitaus besser abschätzen und vermeiden.
- Hier ist große Aufmerksamkeit vom Anwender gefordert
Durch die nahtlose Integration der Anwendungen, die im sogenannten XP-Modus laufen, wird er nun mit den Warnmeldungen von zwei Betriebssystemen konfrontiert. - Aber das ist doch eigentlich Windows 7?
Ist sich der Nutzer nicht bewusst, dass ein zweites Betriebssystem (in diesem Fall Windows XP) ebenfalls auf seinem physikalischen Rechner aktiv ist, so wird er auch die Warnung des „alten“ Sicherheitscenters ignorieren. - Die Integrationsfeatures
Sie werden von fast allen Virtualisierungslösungen auf dem Desktop angeboten und können Programmen in der VM plötzlich den Zugriff auf Verzeichnisse des Hostsystems gewähren. - Sehr enge Integration
In der virtuellen Maschine installierte Anwendungen erscheinen im normalen Startmenü. Doch was geschieht mit den Daten, die mit diesen Programmen bearbeitet werden? Wenn sie in den VMs abgespeichert werden, entziehen sie sich der Kontrolle. - Die richtig großen Virtualisierungslösungen, wie die hier gezeigte ESX-Installation, sind nicht für den Einsatz auf dem Desktop bestimmt
Aber virtuelle Maschinen werden immer häufiger nicht nur in solchen großen Installationen, sondern auch auf „normalen PCs“ betrieben. - Ganz wichtig für Administratoren, aber auch für Anwender, die Virtualisierung einsetzen
Alle virtuellen Betriebssysteme sollten stets auf dem neuesten Stand sein. - Leider eine Tatsache
IT-Profis können nicht davon ausgehen, dass sie über alle Betriebssystem-Installationen in ihrem Netzwerk informiert sind. Wie in diesem Fall, kann Windows XP selbst auf einem alten G3-Macintosh-System als virtuelle Maschine betrieben werden. - „Shared Folders“ in VMware Workstation
Sie erlauben den Zugriff auf die Festplatten des Hostsystems durch die VM. Das könnte ein Sicherheitsrisiko darstellen, weshalb die hier gewählte Einstellung besser ist. - Erhöhte „Gast Isolation“ (hier auf der VMware Workstation)
Sie sorgt dafür, dass Anwender weder versehentlich noch absichtlich über „Copy & Paste“ unerwünscht Daten zwischen den Systemen austauschen können. - Wichtiger Grundsatz
Virtuelle Maschinen sollten ebenfalls mit einem Virenschutz ausgestattet sein. Im besten Fall ist dieser in die AV-Lösung des Unternehmens integriert. Zumindest sollten VMs aber durch eine freie Sicherheitssoftware geschützt sein. - Wer auf Sicherheit achtet, schaut hier genau hin
Das stellt beispielsweise sicher, dass keine Laufwerke in eine Terminal-Sitzung auf einen virtuellen Server gemappt werden. - Kann zur Schwachstelle werden
Snapshots sind praktisch – aber ohne passende Namen oder Notizen wird niemand feststellen können, ob diese „Zwischenkopie der VM“ problemlos im Netzwerk gestartet werden darf. - Die Virtualisierungslösung Parallels
Sie erlaubt es, auf Apple-OS-X-Systemen die Integration der virtuellen Maschine gezielt zu unterbinden. - Wichtiger Sicherheitstipp bei der Virtualisierung auf dem Apple-System
Im Zweifelsfall sollten die Laufwerke des Macs nicht der VM zugeordnet werden.
Der Super-GAU: Gefahr durch die Virtualisierungssoftware?
Wie jede andere Softwarelösung wird auch die Virtualisierungssoftware zunächst auf dem lokalen Betriebssystem installiert. Sie bildet eine oder mehrere Virtuelle Maschinen (VMs) ab und erlaubt es dem Anwender, diese unabhängig vom "Host-Betriebssystem" zu betreiben. Dabei sind die VMs grundsätzlich vom lokalen Betriebssystem abgeschottet. Alle Elemente eines Computers vom Ein/Aus-Schalter über die Festplatte bis hin zu den optischen Laufwerken sind virtuell oder werden vom darunterliegenden Betriebssystem "weitergereicht".
Foto: Bär/Schlede
Ausgehend von diesem Szenario gelten die ersten Gedanken in Bezug auf potenzielle Sicherheitslücken zunächst einmal der eigentlichen Virtualisierungssoftware. Was passiert beispielsweise, wenn ein Programm es schaffen würde, aus der Virtuellen Maschine heraus über die "Speicherschutzgrenzen" hinweg auf das Host-Betriebssystem zuzugreifen? Wäre das möglich, so würde es sich dabei in der Tat um einen Super-GAU in Bezug auf die Sicherheit des Betriebssystems handeln, und bösartigen Angriffen wären Tür und Tor geöffnet. Zum Glück ist dieser Fall extrem unwahrscheinlich. Das hat mehrere Gründe:
-
Host-Betriebssysteme, ganz gleich ob es sich dabei um Microsoft Windows, Apple OS X oder ein Linux-System handelt, besitzen genügend klassische Schutzmechanismen, die einen "Zugriff" von einem Speicherbereich auf einen anderen wirkungsvoll verhindern.
-
Noch wichtiger: Im Gast-Betriebssystem sind keine Indikatoren zu finden, die darauf hinweisen, dass sich gerade dieses System in einer Virtuellen Maschine befindet. Das virtualisierte Betriebssystem "weiß" also nicht, dass es aktuell nicht auf echter Hardware aktiv ist!
-
Deshalb wird ein Schadprogramm nur schwerlich einen Punkt finden, an dem sein potenzieller Angriff ansetzen könnte.
Sofern die Installationspakete der Virtualisierungssoftware nicht zuvor manipuliert wurden und aus "herkömmlichen, sicheren Kanäle" stammen, besteht an dieser Stelle wohl das geringste Risiko für die Daten auf dem eigenen Host-Computer.