§1Überblick und Grundprinzipien
RoamSwitch Server Edition ist eine Headless-, residente, autonome Netzwerksicherheits- und Integritätsschutz-Suite, die speziell für Linux-Serverinfrastrukturen bei Cloud-Anbietern (AWS, GCP, Azure, Bare-Metal-VPS) und lokalen Rechenzentren entwickelt wurde.
Im Gegensatz zu Client-Workstation-Editionen, die sich auf Mobilität und Wi-Fi-Perimeteranpassung konzentrieren, basiert die Server Edition auf fünf kompromisslosen Grundsätzen: Inbound Default Drop, Critical Path File Integrity Monitoring (FIM), Preemptive Kernel LPE & Privilege Escalation Hardening, eBPF Runtime Threat Telemetry und Autonome Air-Gap-Host-Isolierung mit Notfallwarnungen vor der Trennung.
Die Software wurde mit einer strikten Zero Telemetry-Garantie entwickelt und enthält keine externen HTTP/TLS-Analyse- oder Tracking-Bibliotheken. Alle Verwaltungsgeheimnisse und Token sind unter strengen 0600-Berechtigungen kryptografisch gesichert.
1.1 Vergleich: Client Edition vs. Server Edition
| Dimension | Client-Edition (Desktop/Mobil) | Server Edition (Headless/Infrastruktur) |
|---|---|---|
| Bereitstellung | Laptops, mobile Entwickler-Workstations | Cloud-VMs, Bare-Metal-Knoten, Container-Hosts |
| Netzwerkverhalten | Dynamischer Profilwechsel basierend auf WLAN-SSID/Gateway-MAC | Statischer eingehender Standard-Drop. Es werden nur explizit zugelassene Ports angezeigt |
| Benutzeroberfläche | GTK3 Desktop GUI + Tray-Anzeige | Pure Headless CUI. CLI-Befehle + interaktiver Assistent |
| Vorfallbenachrichtigungen | Desktop-Benachrichtigungen (libnotify) | Direkter Push an Telegram Bot, LINE Messaging API und Webhooks (Slack/Discord) |
| Primäre Verteidigung | ARP-Spoofing im öffentlichen WLAN, BadUSB, Ransomware-Dokumentenverschlüsselung | Externer Aufklärungsabwurf, FIM-Manipulationserkennung, Container-Escapes, Kernel-LPE (CVE-2026-53362) |
1.2 Grundlegende Architekturprinzipien
- Zero Telemetry: Die Software überträgt niemals Telemetriedaten, Metriken oder Telemetriedaten an externe Server. Externe Netzwerkaufrufe erfolgen ausschließlich für vom Benutzer konfigurierte Vorfallwarnungen über die Ausführung des Unterprozesses
curl. Standardmäßig enthält sie keine externe Kommunikationsbibliothek. Die einzige Ausnahme: Nur wenn der Betreibercve_kernel_map_updates_enabled(Standard false) ausdrücklich aktiviert, ruftroamswitch-updatereinmal täglich anonym die Kernel-CVE-Datenbank für die Container-Isolationsprüfung von lafine.net ab. - Inbound Default Drop: Eingehende Pakete, die nicht für einen explizit deklarierten Service-Port oder den administrativen SSH-Wartungsport bestimmt sind, werden auf der Kernel-Ebene
nftablesverworfen, ohne dass ICMP-RST-Pakete generiert werden. - Fail-Closed Autonomous Containment: Notfall-Air-Gap-Regeln überleben Daemon-Neustarts und Prozessabstürze. Wenn externe Akteure versuchen, nftables-Tabellen zu leeren, erkennt der Daemon die Abweichung und stellt die Isolation innerhalb von Sekunden wieder her.
- 0600 Schutz kryptografischer Geheimnisse:
/etc/roamswitch/server.conferzwingt bei der Erstellung und jeder Aktualisierung strenge0600-Berechtigungen (nur für Root lesbar).
§2Bedrohungslandschaft und Gegnermodell
Moderne, mit dem Internet verbundene Server sind mit gnadenlosen automatisierten Scans, Container-Breakout-Vektoren und Zero-Day-Kernel-Berechtigungseskalationen konfrontiert.
- __
- __
- __
- Container-Socket-Breakout: Falsch konfigurierte Container mit gemounteten
/var/run/docker.sock- oder--privileged-Flags führen Root-Aktionen auf dem Host-Betriebssystem aus. - Prozessspeicher-Snooping: Angreifer hängen
ptracean oder lesen/proc/$pid/memüber Prozesse hinweg, um private Schlüssel oder Anmeldeinformationen zu extrahieren.
§3Systemarchitektur
RoamSwitch Server Edition arbeitet als native Rust-Binärdateien, die für minimalen Speicher und keinen CPU-Overhead ausgelegt sind.
┌─────────────────────────────────────────────────────────────┐
│ Benutzer- & Administratorbereich │
│ │
│ roamswitch (CLI) roamswitch-mcp (AI Agent) │
│ · server status (30 Punkte) · Sicherheitsaudit-Tools │
│ · server config / setup · stdio JSON-RPC │
│ · fim verify / update │
│ │ │ │
└───────┼───────────────────────────────────┼─────────────────┘
│ (CLI-Befehle & Konfigurationsübernahme) │ (stdio)
┌───────▼───────────────────────────────────▼─────────────────┐
│ Systemfundament (systemd + Root-Rechte) │
│ │
│ roamswitch-server-daemon │
│ ├── CriticalPathFim (SHA-256-Hintergrundprüfung) │
│ ├── eBPF/Falco-Integrationsmodul │
│ ├── Notifier (sofortige Telegram-/LINE-/Webhook-Alarme) │
│ └── Air-Gap Controller (setzt nftables-Notfallregeln) │
│ │
│ Konfiguration: /etc/roamswitch/server.conf (Rechte 0600) │
│ Integritäts-DB: /var/lib/roamswitch/fim_baseline.db │
└─────────────────────────────────────────────────────────────┘
§4Kernverteidigungsmechanismen
4.1 Grenzsicherheit (Inbound Default Drop)
nftables wendet policy drop auf eingehenden Datenverkehr an und ermöglicht hergestellte Verbindungen, Loopback und explizit konfigurierte ssh_ports und allowed_ports.
Die Beibehaltung der SSH-Verwaltungsports verhindert eine versehentliche Sperrung des Bedieners bei Air-Gap-Notfällen.
4.2 Dateiintegritätsüberwachung kritischer Pfade (FIM)
Überwacht mehr als 150 wichtige Betriebssystemauthentifizierungs- und Verwaltungsdateien (/bin/login, /usr/sbin/sshd, /etc/pam.d/* usw.). Berechnet SHA-256-Hashes gegen /var/lib/roamswitch/fim_baseline.db. Der Paketmanager-Hook /etc/apt/apt.conf.d/99roamswitch-fim aktualisiert die Baseline automatisch nach autorisierten apt upgrade-Vorgängen.
4.3 Kernel- und Container-Härtung
Frag Gap (CVE-2026-53362) Schadensbegrenzung: Erzwingt user.max_user_namespaces = 0 über sysctl und neutralisiert LPE-Vektoren. Yama LSM Protection erzwingt kernel.yama.ptrace_scope = 2 und verhindert so eine unbefugte Speicherinspektion. Container-Workloads werden auf docker.sock-Gefährdung geprüft.
Von Docker veröffentlichte Ports (-p) sind bekanntermaßen in der Lage, die Standard-Firewall des Hosts zu umgehen. Daher fügt protect_docker_ports=true (Standard) dauerhaft Prüfregeln in die DOCKER-USER-Chain ein und blockiert jeglichen nicht ausdrücklich erlaubten externen Datenverkehr. Zusätzlich überwacht ein durchgehend aktiver Guard docker events in Echtzeit und benachrichtigt Sie sofort, wenn ein --privileged-Container startet oder /var/run/docker.sock eingebunden wird – ein Risiko für einen Container-Ausbruch (keine Konfiguration nötig; nur Benachrichtigung, keine automatische Blockierung). Für Hosts, die Dateien für andere verwalten – etwa ein Mail-Relay oder einen Freigabeordner – bietet der optionale File Scan Guard (integriertes YARA plus optionales ClamAV) periodische Scans und automatische Quarantäne.
4.4 eBPF-Laufzeit-Bedrohungstelemetrie und Anti-Bloat-Tuning
Nutzt moderne eBPF-Prüfungen (CO-RE/BTF), um Rechteausweitungen und Container-Ausbruchsversuche in Millisekunden abzufangen. Um die Standardprobleme von Falco zu beseitigen – Protokollaufblähung, Festplattenerschöpfung und CPU-Overhead – standardisiert RoamSwitch ein optimiertes Profil (/etc/falco/config.d/99-roamswitch-optimized.yaml):
- Schweregradfilterung (
priority: warning): Unterdrückt verrauschte Betriebstelemetriedaten (Info/Hinweise) um 95 % und deckt streng umsetzbare Sicherheitsvorfälle auf. - Kernel-Level Pre-Drop (
drop_failed_exit: true): Verwirft fehlgeschlagene Systemaufruf-Exits direkt im Kernel-Probe, wodurch CPU-Kontextwechsel um über 50 % reduziert werden. - Memory Footprint Optimization (
cpus_for_each_buffer: 2): Komprimiert Ringpuffer von 8 MB auf 2 MB und begrenzt die Speichernutzung streng auf 30–50 MB. - Direct UNIX Domain Socket IPC: Durch direktes Streaming zu
/var/run/roamswitch/events.sockwird Festplatten-E/A-Thrashing vollständig eliminiert. - Automated Log Cap (
/etc/logrotate.d/roamswitch-falco): Tägliche Rotation mitmaxsize 50Mund 7 komprimierten Zyklen verhindert dauerhaft die Erschöpfung der Festplattenkapazität.
4.5 Notfall-Luftspaltisolierung mit Warnungen vor der Trennung
Unmittelbar vor der Unterbrechung der Netzwerkschnittstellen bei kritischen Manipulationen sendet der Daemon synchron Notfallwarnungen an Telegram, LINE und Webhooks. Warnungen hängen automatisch den Server Hostname und Primäre IP-Adresse an.
🚨 [RoamSwitch IMMINENT AIR-GAP] CRITICAL: IMMINENT AIR-GAP HOST ISOLATION (cve_2026_53362_lpe)
🚨 CRITICAL SECURITY INCIDENT DETECTED: cve_2026_53362_lpe
Host: production-node-01 (IP: 192.168.1.10)
Process: exploit_payload (PID: 4921)
ACTION: Initiating host Air-Gap network isolation (SSH preservation active).
WARNING: Outbound internet connectivity will be cut immediately after this message.
Timestamp: 2026-09-06 18:00:00§530-Check Security Diagnostic Suite
Die Server Edition führt 30 spezielle Sicherheitsprüfungen durch:
| # | Kategorie | Überprüfen Sie den Titel | Standard & Logik |
|---|---|---|---|
| 1 | Authentifizierung und Zugriff | SSH-Root-Login und Passwort-Authentifizierung | Überprüft, ob PermitRootLogin no und die Passwortauthentifizierung deaktiviert sind |
| 2 | Authentifizierung und Zugriff | Leere Passwortkonten | Stellt sicher, dass kein Benutzer in /etc/shadow einen leeren Passwort-Hash hat |
| 3 | Authentifizierung und Zugriff | Sudoers Privilege Hygiene | Stellt sicher, dass keine nicht autorisierten NOPASSWD-Anweisungen vorhanden sind |
| 4 | Netzwerk | Eingehende Standardverweigerung | Überprüft nftables auf die Standardrichtlinie für eingehendes Löschen |
| 5 | Kernel und Integrität | Nicht privilegierte Benutzernamensräume (Frag Gap) | Stellt sicher, dass user.max_user_namespaces = 0 (CVE-2026-53362) |
| 6 | Kernel und Integrität | eBPF BTF-Unterstützung | Validiert Kernel-BTF-Typinformationen über /sys/kernel/btf/vmlinux |
| 7 | Kernel und Integrität | eBPF LSM Aktiv | Prüft auf bpf im Kernel-Boot-Parameter lsm= |
| 8 | Kernel und Integrität | eBPF Runtime Security Agent | Validiert die Telemetrieverbindung zu Falco-/Tetragon-Agenten |
| 9 | Behälter | Docker-Socket-Mount-Audit | Erkennt Container-Mounts von /var/run/docker.sock |
| 10 | Behälter | Docker-privilegierte Container | Audits für --privileged-Container-Workloads mit hohem Risiko |
| 11 | Integrität | Dateiintegrität kritischer Pfade (FIM) | Validiert SHA-256-Hashes von mehr als 150 Kern-Betriebssystem-Binärdateien |
| 12 | Kernel und Integrität | Yama-Prozessschutz | Verifiziert kernel.yama.ptrace_scope = 2 |
| 13 | Netzwerk | IP-Weiterleitung deaktiviert | Verifiziert net.ipv4.ip_forward = 0 |
| 14 | Netzwerk | TCP-SYN-Cookie-Schutz | Verifiziert net.ipv4.tcp_syncookies = 1 |
| 15 | Netzwerk | Reverse-Path-Filterung (rp_filter) | Überprüft die strikte umgekehrte Pfadfilterung (rp_filter = 1) |
| 16 | Kernel und Integrität | Core-Dump-Beschränkung | Verhindert Prozessspeicherlecks über fs.suid_dumpable = 0 |
| 17 | Operationen | Automatische Sicherheitsupdates | Validiert die Konfiguration von unattended-upgrades |
| 18 | Operationen | NTP-Zeitsynchronisierung | Überprüft die Synchronisierung über chrony oder systemd-timesyncd |
| 19 | Operationen | SSH Brute-Force-Schutz | Überprüft die aktive Überwachung über fail2ban oder crowdsec |
| 20 | Kernel und Integrität | Nicht privilegiertes eBPF deaktiviert | Schecks kernel.unprivileged_bpf_disabled = 1 |
| 21 | Netzwerk | ICMP-Weiterleitungen werden ignoriert | Verhindert Routenvergiftung über accept_redirects = 0 |
| 22 | Netzwerk | ICMP-Echo-Broadcasts werden ignoriert | Mildert Smurf-Verstärker-DoS-Angriffe |
| 23 | Kernel und Integrität | Gemeinsame Speicherhärtung | Stellt sicher, dass /dev/shm über nodev,nosuid-Mount-Optionen verfügt |
| 24 | Authentifizierung und Zugriff | Es fehlen veraltete unsichere Protokolle | Überprüft das Fehlen von Klartext-Daemons (Telnet, RSH, TFTP). |
| 25 | Kernel und Integrität | SUID-Prozess-Core-Dumps eingeschränkt | Verhindert Anmeldeinformationslecks bei SUID-Binärabstürzen |
§6Selbsttest (reproduzierbare Verifikation in einer Docker-Umgebung)
Die Schutzmechanismen von RoamSwitch Server Edition (Inbound Default Drop, Critical Path FIM, schweregradbasierte Eindämmung über guard.yaml, die Schutzschiene für geschützte Prozesse, der Sicherheitstimer, Kernel-LPE-Härtung und mehr) lassen sich vollständig auf Ihrem eigenen Rechner reproduzieren und verifizieren, indem ein separater Docker-Container als externer Angreifer gegen das echte roamswitch-server-Paket v1.3.2 aus dem offiziellen APT-Repository (kein lokal erstelltes Binary) eingesetzt wird. Nachfolgend die acht Verifikationsszenarien und das jeweils zu beobachtende Verhalten (Bestehenskriterium). Die genauen Schritte und Skripte finden Sie unten in 6.3.
| # | Szenario | Angriffsvektor | Bestehenskriterium |
|---|---|---|---|
| PENT-S1 | Nmap SYN Stealth Scan | Prüfen Sie die Ports 22, 80, 443, 3306, 8080 | PASS (100 % Tarnung) |
| PENT-S2 | Unzulässige Portprüfung | Curl-Direktverbindungen zu Port 3306 und 8080 | PASS |
| PENT-S3 | Egress-/C2-Sperrliste | Versuch einer ausgehenden Verbindung zu einer im Malicious-IP-Feed registrierten Adresse | Bestanden Nur die registrierte Adresse wird blockiert; der Datenverkehr zu einem nicht gelisteten Host bleibt unberührt (keine pauschale Sperre) |
| PENT-S4 | FIM-Manipulationsangriff | Hintertür-Nutzlast in /bin/login einschleusen |
PASS (Sofortige Erkennung) |
| PENT-S5 | Schweregradbasierte Eindämmung via guard.yaml |
Ein Falco-Critical-Ereignis eingespeist, das auf einen echten Prozess verweist | Bestanden Der betroffene Prozess wird netzwerkseitig isoliert und anschließend mit SIGKILL beendet |
| PENT-S6 | Schutzmechanismus für geschützte Prozesse | Ein Ereignis gleicher Art eingespeist, das auf die echte sshd-PID verweist |
Bestandensshd läuft weiter; es wird lediglich eine Ablehnung als Fehlalarm protokolliert |
| PENT-S7 | Sicherheitstimer | Einen Air-Gap-Vorfall unbestätigt gelassen (keine Bediener-ACK) | Bestanden Bei ausbleibender Bestätigung erfolgt eine automatische Wiederherstellung; nach einer ACK bleibt die Isolation bis zu emergency-restore bestehen |
| PENT-S8 | Kernel-LPE-Fragmentlücke | unshare -U -r als unprivilegierter Benutzer ausführen |
PASS (Abgelehnt) |
SSH-Lockout-Prävention
Während ein hostweiter Air-Gap (on_emergency) aktiv ist, wird die SSH-Sitzung des Administrators dank preserve_ssh_on_isolation=true (Standard) nicht getrennt. Dieses Design verhindert strukturell das Szenario, dass ein Fehlalarm einen Server vollständig isoliert und ihn ohne physischen Zugang oder Konsolenzugriff unerreichbar macht. Sie können dieses Verhalten selbst mit dem PENT-S7 entsprechenden Schritt der oben genannten Docker-Testsuite überprüfen.
Grenzen des Prüfumfangs (eine ehrliche Offenlegung)
Kernel-Härtung (Deaktivierung unprivilegierter User-Namespaces, Anheben von Yamas ptrace_scope) lässt sich nicht vollständig aus einem Container heraus verifizieren. Da diese Sysctls nicht pro Container in einem eigenen Namespace liegen, wirken sich Schreibvorgänge aus einem privilegierten Container (--privileged) nicht auf eine Sandbox, sondern auf die reale Maschine, auf der der Test läuft, aus. Diese Prüfung bestätigt daher nur, dass der Sysctl-Schreibvorgang bei einem schreibgeschützten Dateisystem sauber und ohne Absturz fehlschlägt; ob der Wert tatsächlich greift, muss auf einer echten Maschine oder VM überprüft werden, wie sie für den Betrieb des Produkts vorgesehen ist.
Selbst nachvollziehen
Alle oben genannten Ergebnisse lassen sich über die im offiziellen Support-Repository (roamswitch-support) veröffentlichte Docker-Testsuite allein mit dem offiziellen Verteilungspaket zu 100 % auf Ihrer eigenen Maschine nachvollziehen (kein Zugriff auf den Quellcode und kein Vertrauensvorschuss uns gegenüber erforderlich).
# Testsuite abrufen und reproduzieren (installiert roamswitch-server automatisch aus dem offiziellen APT-Repository)
git clone https://github.com/lafine1211/roamswitch-support.git
cd roamswitch-support/test/docker/server
./run.shErstellt drei Wegwerf-Container (Target, Attacker und ein C2-Köder) im Standard-Bridge-Netzwerk von Docker und verifiziert automatisch alle 18 Punkte, wobei ein Bericht ausgegeben wird. Die vollständige Ausgabe ist veröffentlicht unter RESULTS-PENTEST-SERVER-2026-09-07.md (einschließlich, aus Gründen der Transparenz, der beim Aufbau gefundenen und behobenen Probleme im Testaufbau selbst).
§7Betrieb, Bereitstellung und Lebenszyklus
7.1 Headless CUI Tooling & Setup Wizard
Vollständige Fernverwaltung über CLI:
roamswitch server status: Vollständige 30-Check-Diagnoseausgabe (JA/EN).roamswitch server setup: Interaktiver Terminal-Assistent für Ports und Benachrichtigungen.roamswitch server config show / set <key> <val>: Skriptfähige Automatisierung für Ansible/Terraform.roamswitch server test-notify [all|telegram|line|webhook]: End-to-End-Benachrichtigungssonde.
7.2 Verpackung
Verteilt über offizielle Debian/Ubuntu .deb-Repositories, RHEL/Fedora .rpm-Repositories und Arch Linux AUR (roamswitch-server-bin).
§8Fazit
RoamSwitch Server Edition bietet einen kompromisslosen Verteidigungsbereich für Linux-Server-Infrastrukturen: Zero-Telemetry-Datenschutz, Inbound Default Drop, Critical Path FIM und proaktive Abschwächung der Eskalation von Kernel-Berechtigungen, wodurch eine einheitliche autonome Verteidigung für moderne Cloud-Knoten bereitgestellt wird.
Es ist der Linux-Server-Sicherheitsstandard der nächsten Generation, der über alle Phasen des von Cyberangreifern anvisierten Angriffsvektors hinweg – erste Aufklärung, Eindringen, Rechteausweitung und Persistenz – mehrschichtige Verteidigung und autonome Eindämmung (Air-Gap) bietet.