Die meis­ten Ubun­tu-Be­nut­zer sind nach dem Ein­log­gen mit der Sys­tem­ak­tua­li­sie­rung be­schäf­tigt. Das liegt dar­an, dass die Soft­ware­ver­bes­se­run­gen für die­se Li­nux-Dis­tri­bu­ti­on nicht bis zu ei­nem Patch­day zu­rück­ge­hal­ten wer­den. Statt­des­sen ha­ben die Be­sit­zer ei­nes Ubun­tu-Rech­ners die Mög­lich­keit, je­des brand­neue Da­ten­pa­ket so­fort nach der Fer­tig­stel­lung von ei­nem Spie­gel­ser­ver her­un­ter­zu­la­den. Die­se ag­gres­si­ve Up­date-Po­li­tik ist nö­tig, da­mit sich das be­lieb­te Be­triebs­sys­tem stets ge­gen Vi­ren und Cy­ber­an­grif­fe weh­ren kann. Denn be­kannt­lich brin­gen die Ent­wick­ler von Ca­no­ni­cal stän­dig neue Impf­stof­fe ge­gen Schad­soft­ware her­aus, was den Ein­satz ei­nes zu­sätz­li­chen Echt­zeit-Vi­ren­scan­ners über­flüs­sig macht.

Mit Se­cu­ri­ty-Up­dates schlie­ßen Ent­wick­ler oft kri­ti­sche Si­cher­heits­lü­cken in Soft- und Hard­ware. [...] Nur wer re­gel­mä­ßig Up­dates ein­spielt, ist best­mög­lich vor An­grif­fen jeg­li­cher Art ge­schützt.

Ei­ken­berg, Ro­nald: Schutz vor Schäd­lin­gen. In: c’t Se­cu­ri­ty Nr. 1 (2018). S. 25.

Ne­ben den haus­ei­ge­nen Si­cher­heits­up­dates taucht in der Ak­tua­li­sie­rungs­ver­wal­tung häu­fig auch Firm­ware¹ auf, die di­rekt von den Hard­ware­her­stel­lern kommt. Die­se Mi­kro­codes be­he­ben be­kann­te Feh­ler in den phy­si­schen Kom­po­nen­ten des Sys­tems und sor­gen zu­dem da­für, dass Ubun­tu die Res­sour­cen des Com­pu­ters in Zu­kunft noch bes­ser nut­zen kann.

Des Wei­te­ren hal­ten die täg­li­chen Up­dates nicht nur die Bord­mit­tel auf dem neus­ten Stand. Gleich­zei­tig wer­den bei ei­ner Sys­tem­ak­tua­li­sie­rung die Ap­pli­ka­tio­nen ver­bes­sert, die nach­träg­lich über das Ubun­tu Soft­ware-Cen­ter in­stal­liert wur­den.

Da­mit Ubun­tu dau­er­haft feh­ler­frei funk­tio­niert ist es al­so wich­tig, dass der Be­nut­zer vor dem Com­pu­ter re­gel­mä­ßig die Ak­tua­li­sie­rungs­ver­wal­tung aus­führt. Al­ter­na­tiv kann sich die Li­nux-Dis­tri­bu­ti­on auch völ­lig selbst­stän­dig er­neu­ern. Die au­to­ma­ti­sche Up­date-Funk­ti­on ist vor al­lem für Men­schen in­ter­es­sant, die meh­re­re Be­triebs­sys­te­me ad­mi­nis­trie­ren müs­sen.

In Zei­ten wie die­sen, in de­nen Er­pres­sungs­tro­ja­ner und po­ly­mor­phe Schad­pro­gram­me hin­ter je­der Ecke lau­ern, soll­te aber ge­ne­rell je­des Ubun­tu-Sys­tem so kon­fi­gu­riert sein, dass zu­min­dest die Si­cher­heits­up­dates au­to­ma­tisch in­stal­liert wer­den.

Ubuntu vor Malware schützen

Sze­na­rio: In mei­nem Wohn­zim­mer be­fin­det sich ein li­nux­ba­sier­ter Mul­ti­me­dia-PC, der von mei­ner Frau und von mei­ner Toch­ter in un­re­gel­mä­ßi­gen Ab­stän­den ge­nutzt wird. Na­tür­lich kä­men mei­ne bei­den Da­men nie auf die Idee ir­gend­wel­che Sys­tem-Up­dates ein­zu­spie­len, wes­halb die­ser Rech­ner die Si­cher­heit mei­nes Heim­netz­wer­kes be­droht. Um die­sen Um­stand zu än­dern, möch­te ich ein­stel­len, dass Ubun­tu nach je­dem Ein­log­gen die neu­en Da­ten­pa­ke­te von der so­ge­nann­ten Se­cu­ri­ty-Re­po­si­to­ry her­un­ter­lädt und even­tu­ell vor­han­de­ne Si­cher­heits­lü­cken selbst­stän­dig schließt.

Sys­tem­me­nü „An­wen­dun­gen & Ak­tua­li­sie­run­gen” un­ter Ku­b­un­tu 18.04 LTS

Da­zu na­vi­gie­re ich über die Ubun­tu Ak­ti­vi­tä­ten-Such­leis­te in das Sys­tem­me­nü „An­wen­dun­gen & Ak­tua­li­sie­run­gen”. Dort an­ge­kom­men wechs­le ich in den Rei­ter „Ak­tua­li­sie­run­gen” und stel­le gleich dar­auf die vier Drop­down-Lis­ten fol­gen­der­ma­ßen ein:

Zum An­zei­gen der Kon­fi­gu­ra­ti­on hier kli­cken!

Dar­auf­hin spei­che­re ich mei­ne Ein­ga­ben, in­dem ich auf die Schalt­flä­che „Schlie­ßen” kli­cke. Ab so­fort ist das Be­triebs­sys­tem auf mei­nem Fa­mi­li­en-PC si­cher­heits­tech­nisch stets auf dem neus­ten Stand.

Alle Updates automatisch installieren

Sze­na­rio: Auf mei­nem Ubun­tu-Net­book sind kei­ne zu­sätz­li­chen Pro­gram­me in­stal­liert, da ich das Ge­rät nur da­zu nut­ze, um auf Rei­sen im In­ter­net zu sur­fen. Au­ßer­dem ver­wen­det mein trag­ba­rer Com­pu­ter aus­schließ­lich freie Trei­ber aus dem Ker­nel­ar­chiv. Dem­entspre­chend be­steht kein Ri­si­ko, wenn die Li­nux-Dis­tri­bu­ti­on auf mei­nem Klapp­rech­ner nicht nur die Si­cher­heits­up­dates, son­dern auch al­le an­de­ren Sys­tem­ak­tua­li­sie­run­gen selbst­stän­dig ein­spielt.

Um die au­to­ma­ti­sche Vol­l­up­date-Funk­ti­on ak­ti­vie­ren zu kön­nen, muss ich zu­nächst ein­mal den fol­gen­den Be­fehl in ein neu­es Ter­mi­nal-Fens­ter ein­ge­ben:

sudo nano /etc/apt/apt.conf.d/10periodic

Dar­auf­hin öff­net sich ei­ne Sys­tem­da­tei, die über vier Ein­trä­ge ver­fügt. Da­mit mein Ubun­tu in Zu­kunft die neus­ten Up­dates un­auf­ge­for­dert her­un­ter­lädt, ak­ti­vie­re ich die ers­ten bei­den Zei­len, in­dem ich die Zif­fer 1 zwi­schen die bei­den Gän­se­füß­chen schrei­be.

Gleich dar­auf schal­te ich auch noch die letz­te Funk­ti­on an. Durch die­se Maß­nah­me in­stal­liert mein Be­triebs­sys­tem au­to­ma­tisch die neu­en Da­ten­pa­ke­te, die es kurz zu­vor in mei­nem APT-Cache ab­ge­legt hat.

Hin­weis: Mit der Zif­fer 3 hin­ter dem Wert „Au­to­clean­Inter­val” sa­ge ich mei­ner Li­nux-Dis­tri­bu­ti­on, dass sie al­le drei Ta­ge die ver­al­te­ten DEB-Da­tei­en aus dem Ak­tua­li­sie­rungs­zwi­schen­spei­cher lö­schen soll. Die­se Ein­stel­lung ist für mich je­doch nicht so wich­tig, da ich mei­ne Sys­tem­fest­plat­te oh­ne­hin re­gel­mä­ßig auf­räu­me.

• Ganz zum Schluss spei­che­re ich mei­ne Ein­ga­ben, in­dem ich die Tas­ten­kom­bi­na­ti­on Strg + O drü­cke.
• Im An­schluss dar­an be­stä­ti­ge ich mit der Ein­ga­be­tas­te, dass die vor­han­de­ne Sys­tem­da­tei über­schrie­ben wer­den darf.
• Zu gu­ter Letzt ver­las­se ich den Edi­tor Na­no wie­der, in­dem ich die Tas­ten Strg + X gleich­zei­tig nach un­ten sto­ße.

Als Nächs­tes möch­te ich noch ein­stel­len, dass die au­to­ma­ti­sche Ak­tua­li­sie­rung di­rekt nach dem Sys­tem­start statt­fin­det. Um die­se Kon­fi­gu­ra­ti­on vor­neh­men zu kön­nen, muss ich die Da­tei „50u­nat­ten­ded-up­grades” mit­hil­fe des fol­gen­den Ter­mi­nal-Be­fehls öff­nen:

sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

Dar­auf­hin scrol­le ich et­was nach un­ten, so­dass ich die bei­den Schräg­stri­che vor dem Ein­trag „Unattended-Upgrade::InstallOnShutdown” ent­fer­nen kann.

Au­ßer­dem schrei­be ich das Wort fal­se zwi­schen die bei­den Gän­se­füß­chen, die sich am En­de die­ser Up­date-Funk­ti­on be­fin­den. Im An­schluss dar­an spei­che­re ich mei­ne Än­de­run­gen und ver­las­se die Da­tei. Von nun an ist das Ubun­tu auf mei­nem Net­book im­mer auf dem neus­ten Stand, oh­ne dass ich da­für ei­nen Fin­ger krumm ma­chen muss.

PPA-Software automatisch aktualisieren

Sze­na­rio: Wenn ich mit mei­nem Rei­se­com­pu­ter im In­ter­net sur­fe, dann ver­wen­de ich da­zu nicht die Bord­mit­tel­ver­si­on des Mo­zil­la Fire­fox. Statt­des­sen ha­be ich ir­gend­wann ein­mal die sta­bi­le ESR-Edi­ti­on in­stal­liert, die nur über die Ent­wick­ler-PPA be­zo­gen wer­den kann. Und so kommt es, dass ich mei­nen Stan­dard­brow­ser wei­ter­hin ma­nu­ell ak­tua­li­sie­ren muss, da mein Ubun­tu trotz ak­ti­vier­ter Up­date-Funk­ti­on kei­ne Pa­ke­te von in­of­fi­zi­el­len Quel­len her­un­ter­lädt. Nun möch­te ich aber oh­ne mein Zu­tun stets über ei­nen zeit­ge­mä­ßen Web­brow­ser ver­fü­gen, was je­doch nur mög­lich ist, wenn ich die­sen nütz­li­chen Si­cher­heits­me­cha­nis­mus aus­trick­se.

Da­zu öff­ne ich zu­nächst ein­mal ein neu­es Ter­mi­nal-Fens­ter und na­vi­gie­re gleich dar­auf in den Ord­ner, in dem mei­ne APT-Quel­len ge­spei­chert sind. Dort an­ge­kom­men su­che ich nach ei­ner Text­da­tei, die In­for­ma­tio­nen über die PPA des Mo­zil­la-Teams be­reit­hält und zu­dem das Wort „In­Re­lease” im Na­men trägt.

Nach­dem ich die be­nö­tig­te Da­tei ge­fun­den ha­be, las­se ich mir im nächs­ten Schritt den In­halt des Do­ku­ments an­zei­gen, in­dem ich den fol­gen­den Be­fehl in mei­ne Kon­so­le ein­ge­be:

Zum An­zei­gen des Kom­man­dos hier kli­cken!

less /var/lib/apt/lists/ppa.launchpad.net_mozillateam_ppa_ubuntu_dists_bionic_InRelease

Im An­schluss dar­an baue ich mir ei­ne neue Soft­ware­quel­le zu­sam­men. Da­für kom­bi­nie­re ich ein­fach die bei­den Wer­te, die hin­ter den Punk­ten „Ori­gin” und „Suite” auf­ge­führt sind:

"LP-PPA-mozillateam:bionic";

Zu gu­ter Letzt na­vi­gie­re ich mit­hil­fe ei­nes neu­en Ter­mi­nal-Fens­ters in die Sys­tem­da­tei „50u­nat­ten­ded-up­grades”:

sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

Dort an­ge­kom­men fü­ge ich mei­ne selbst ge­mach­te Soft­ware­quel­le in die Lis­te ein, die sich un­ter dem Me­nü­punkt „Unattended-Upgrade::Allowed-Origins” be­fin­det.

Ganz zum Schluss muss ich mei­ne Än­de­run­gen nur noch über die Tas­ten­kom­bi­na­ti­on Strg + O spei­chern, dann wird auch mein spe­zi­el­ler Mo­zil­la Fire­fox in Zu­kunft au­to­ma­tisch ak­tua­li­siert.

Hin­weis: Wenn Sie ei­ne in­of­fi­zi­el­le Re­po­si­to­ry in die Da­tei „50u­nat­ten­ded-up­grades” ein­tra­gen, dann er­hält der Be­sit­zer die­ses Pri­vat­ar­chivs ei­nen di­rek­ten Zu­gang zu Ih­rem Sys­tem. Ak­ti­vie­ren Sie die au­to­ma­ti­sche Up­date-Funk­ti­on des­halb nur für Soft­ware­quel­len, die von ver­trau­ens­wür­di­gen Or­ga­ni­sa­tio­nen be­trie­ben wer­den.

Unsichere Software aus Ubuntu verbannen

Falls Sie ge­ra­de Ihr Be­triebs­sys­tem so kon­fi­gu­rie­ren, dass es sich in Zu­kunft selbst­stän­dig ak­tua­li­siert, dann soll­ten Sie bei die­ser Ge­le­gen­heit gleich die so­ge­nann­te Uni­ver­se-Re­po­si­to­ry de­ak­ti­vie­ren.

Denn die se­mi­pro­fes­sio­nel­len Ap­pli­ka­tio­nen, die in die­ser Cloud lie­gen, ent­hal­ten häu­fig Si­cher­heits­lü­cken, da die Hob­by­ent­wick­ler be­reits nach sehr kur­zer Zeit kei­ne Up­dates mehr für ih­re Soft­ware­pro­duk­te be­reit­stel­len.

[Die Ubun­tu-Ge­mein­schaft] be­treut aber nur ei­nen Bruch­teil der Pa­ke­te über fünf Jah­re. [...] Bei den meis­ten ist viel frü­her Schluss: ent­we­der nach neun Mo­na­ten oder schon zum Re­lease, denn vie­le Pa­ke­te be­treut nie­mand so recht.

Leem­huis, Thors­ten: Fo­kus­sie­ren. Ubun­tu 18.04 LTS: Li­nux-Dis­tri­bu­tio­nen mit bis zu fünf Jah­ren Sup­port. In: c’t Nr. 11 (2018). S. 121.

Wenn Sie al­so die Uni­ver­se-Soft­ware­quel­le de­ak­ti­vie­ren, dann er­hö­hen Sie ak­tiv die Si­cher­heit Ih­res Sys­tems. Nach die­ser Maß­nah­me kön­nen Sie näm­lich über den APT-Dienst kei­ne Pro­gram­me mehr in­stal­lie­ren, die von der Ubun­tu-Ge­mein­schaft ent­wi­ckelt wur­den.

Ver­wand­te The­men:

Wie wird ei­ne Fest­plat­te un­ter Ubun­tu de­frag­men­tiert?
Un­ter Ubun­tu den Sleep­ti­mer ak­ti­vie­ren - so geht’s

¹Ca­no­ni­cal Ltd.: USN-3690-1: AMD Mi­cro­code up­date. usn.ubuntu.com (07/2018).