Sicherheitsaspekte

In dieser Lerneinheit vertiefst du dein Wissen über die Sicherheitsaspekte von NFS, insbesondere Authentifizierung und Autorisierung. Du lernst die verschiedenen Sicherheitsmechanismen kennen und erfährst, wie du Zugriffsrechte und Benutzeridentitäten im NFS-Kontext korrekt verwaltest. Diese Kenntnisse sind essentiell für den sicheren Betrieb von NFS-Systemen und helfen dir dabei, typische Sicherheitsrisiken zu vermeiden.

Einführung

Stell dir vor: In einem Unternehmensnetzwerk ist ein NFS-Share falsch konfiguriert – ohne Authentifizierung, ohne Zugriffskontrolle. Jeder mit Netzwerkzugang kann vertrauliche Projektdaten lesen, verändern oder sogar löschen. Und das, ohne Spuren zu hinterlassen.

Genau deshalb ist es entscheidend zu verstehen, wie man NFS richtig absichert – durch starke Authentifizierung, gezielte Autorisierung und zusätzliche Schutzmaßnahmen wie Verschlüsselung und Firewall-Regeln.

Lernziele

Nach dieser Lerneinheit kannst du:

den Unterschied zwischen Authentifizierung und Autorisierung im Kontext von NFS erklären,
die Sicherheitsfunktionen von NFSv4, insbesondere Kerberos und ACLs, einordnen,
Sicherheitsmodi wie krb5, krb5i und krb5p hinsichtlich ihrer Schutzwirkung differenzieren,
zentrale Maßnahmen zur Absicherung eines NFS-Servers wie Root Squashing, Firewall-Regeln und Exports gezielt konfigurieren.

Überleitung

Frühere Netzwerke waren oft abgeschottete Systeme mit klaren Vertrauensgrenzen. Heute arbeiten wir über Standorte hinweg, öffnen unsere Systeme für Homeoffice und Cloud-Dienste. In solchen Szenarien reichen IP-basierte Zugriffskontrollen und Klartext-Kommunikation nicht mehr aus. Genau hier hilft uns das Thema Sicherheit bei NFS.

Was ist der Unterschied zwischen Authentifizierung und Autorisierung?

Bevor wir uns mit den Sicherheitsfunktionen von NFS beschäftigen, klären wir zwei zentrale Begriffe:

Authentifizierung prüft, ob du wirklich die Person oder das System bist, für das du dich ausgibst.
Autorisierung legt fest, was du tun darfst, nachdem deine Identität bestätigt wurde.

Ein Beispiel: Wenn du dich bei einem NFS-Server anmeldest, überprüft dieser zuerst deine Identität (Authentifizierung). Erst danach prüft er, ob du z. B. eine Datei lesen oder schreiben darfst (Autorisierung).

Welche Sicherheitsprobleme hatten klassische NFS-Versionen?

Frühere Versionen wie NFSv2 und NFSv3 gingen davon aus, dass Netzwerke sicher und vertrauenswürdig sind. Das war früher praktikabel, ist aber heute nicht mehr zeitgemäß.

Schwachstellen:

Keine Verschlüsselung: Daten wurden im Klartext übertragen.
IP-basierte Zugriffskontrollen: Nur anhand der IP-Adresse wurde entschieden, wer zugreifen darf.
Fehlende Benutzerauthentifizierung: Benutzer wurden nicht eindeutig identifiziert, sondern nur das zugreifende Gerät.

Solche Mechanismen lassen sich leicht umgehen und bieten kaum Schutz in offenen Netzwerken oder über das Internet.

Was verbessert NFSv4 im Bereich Sicherheit?

Mit NFSv4 wurde die Sicherheit grundlegend überarbeitet. Zwei zentrale Neuerungen sind:

Kerberos-Integration für sichere Authentifizierung
Access Control Lists (ACLs) für differenzierte Autorisierungsregeln

Außerdem ist NFSv4 auf nur einem Port erreichbar, was die Absicherung durch Firewalls vereinfacht.

Wie funktioniert Authentifizierung in NFS?

NFS-Version	Authentifizierungsmethode	Sicherheitseinschätzung
NFSv3	IP-basiert / optional Secure RPC (z. B. mit DES)	Unsicher und veraltet
NFSv4	Kerberos mit RPCSEC_GSS	Sicher, benutzerspezifisch, standardisiert

Kerberos basiert auf einem Ticket-System, bei dem sich Client und Server gegenseitig über einen Key Distribution Center (KDC) verifizieren. Diese Methode bietet nicht nur sichere Authentifizierung, sondern auch Integritäts- und Vertraulichkeitsschutz (je nach Modus).

Welche Sicherheitsmodi gibt es mit Kerberos in NFSv4?

Kerberos bietet drei Sicherheitsstufen für den Zugriff auf NFS-Ressourcen:

Modus	Bedeutung
`krb5`	Authentifizierung über Kerberos
`krb5i`	Authentifizierung + Integritätsprüfung (Manipulationsschutz)
`krb5p`	Authentifizierung + Integritätsprüfung + Verschlüsselung (Schutz der Vertraulichkeit)

Je nach Sicherheitsbedarf kannst du flexibel entscheiden, wie viel Schutz du benötigst.

Wie funktioniert Autorisierung in NFS?

Früher wurden UNIX-Dateirechte genutzt. Sie unterscheiden zwischen Besitzer, Gruppe und anderen und verwenden r (lesen), w (schreiben) und x (ausführen).

Mit NFSv4 kamen Access Control Lists (ACLs) hinzu. Diese erlauben eine feingranulare Rechtevergabe, etwa: “Benutzer X darf lesen, aber nicht schreiben”, unabhängig von der Gruppenzugehörigkeit.

Beispiel:

Datei: rw------- (nur der Besitzer darf lesen/schreiben)
ACL: Benutzer alice darf trotzdem lesen

So lassen sich differenzierte Rechte abbilden, ohne die klassischen UNIX-Rechte zu ersetzen.

⏳ Lädt Dataview-Inhalt...

Warum ist Verschlüsselung beim Dateizugriff über das Netzwerk wichtig?

Sobald Daten ein sicheres lokales Netz verlassen oder in größeren Umgebungen verarbeitet werden, steigt das Risiko für Datenabgriff oder Manipulation. Eine wirksame Gegenmaßnahme ist die Ende-zu-Ende-Verschlüsselung – sie sorgt dafür, dass niemand zwischen Client und Server mitlesen kann.

Welche Sicherheitsmodi bietet Kerberos für die Verschlüsselung an?

Kerberos integriert verschiedene Sicherheitsniveaus in NFSv4. Damit kannst du den Schutzbedarf flexibel anpassen:

Modus	Funktion
`krb5`	Authentifizierung (keine Verschlüsselung der Daten)
`krb5i`	Authentifizierung + Integritätsprüfung (Schutz vor Manipulation)
`krb5p`	Authentifizierung + Integrität + Verschlüsselung (Vertraulichkeit)

Tipp: Nutze krb5p, wenn du über unsichere Netze (z. B. VPN, Internet) arbeitest oder sensible Daten überträgst.

Wie konfiguriert man Verschlüsselung für NFS?

Auf dem Server:

In der Datei /etc/exports legst du die Sicherheitsanforderung fest:

/export *(rw,sync,sec=krb5p)

Auf dem Client:

Beim Mounten gibst du ebenfalls die Sicherheitsoption an:

mount -t nfs4 -o sec=krb5p server:/export /mnt/export

Nur wenn Client und Server denselben Sicherheitsmodus unterstützen, klappt der Zugriff.

Wie richtet man die Firewall für NFS sicher ein?

NFSv4 (empfohlen):

NFSv4 nutzt nur Port 2049/TCP, was die Absicherung erleichtert:

firewall-cmd --zone=public --add-port=2049/tcp --permanent
firewall-cmd --reload

NFSv2/v3 (nicht empfohlen):

Diese Versionen nutzen dynamische Ports, was die Firewall-Konfiguration deutlich erschwert:

iptables -A INPUT -p tcp --dport 111 -j ACCEPT
iptables -A INPUT -p tcp --dport 2049 -j ACCEPT
iptables -A INPUT -p tcp --dport 32777:32779 -j ACCEPT

Hinweis: Verwende möglichst NFSv4, um Sicherheitslücken durch offene Ports zu vermeiden.

Was ist Root Squashing und warum ist es wichtig?

Wenn ein NFS-Client als root auf Dateien zugreift, würde das ohne Schutzmaßnahme bedeuten: voller Root-Zugriff auf dem Server.

Gegenmaßnahme: Root Squashing

Root-Zugriffe werden auf einen weniger privilegierten Benutzer (z. B. nobody) abgebildet:

/export *(rw,sync,root_squash)

So verhinderst du, dass der Client Root-Privilegien auf dem Server missbraucht.

Weitere Optionen:

all_squash: Wandelt alle Benutzer in nobody um
no_root_squash: Deaktiviert Squashing (nur in Testumgebungen empfohlen!)

Wie kann man Zugriffsrechte für Clients granular steuern?

In der Datei /etc/exports legst du fest, welche Clients zugreifen dürfen und wie:

/projekte 192.168.1.0/24(ro,sync,no_subtree_check,sec=krb5)

Bedeutung der Parameter:

ro: Nur Lesezugriff
sync: Schreibvorgänge erst nach Bestätigung durch den Server abschließen
no_subtree_check: Performance-Optimierung
sec=krb5: Nur mit Kerberos authentifizierte Clients erhalten Zugriff

So stellst du sicher, dass nur definierte Clients mit klaren Rechten zugreifen können.

Was sind empfohlene Best Practices für NFS-Sicherheit?

Setze auf NFSv4 mit Kerberos für produktive Umgebungen
Verwende krb5p für besonders schützenswerte Daten
Schließe unnötige Ports in der Firewall
Aktiviere Root Squashing, um Rechte zu begrenzen
Führe regelmäßige Log-Analysen und Audits durch

Fazit

Durch die Kombination aus Verschlüsselung, Firewall-Härten, Benutzerkontrolle und Root-Einschränkung kannst du ein NFS-System sicher und robust betreiben. Besonders in öffentlichen oder verteilten Netzwerken ist dieser Schutz unverzichtbar.