Gamefaq schrieb:
Ist jeder Browser aka jede Software WENN man wirklich danach sucht.
Naja. Lücken sind ja nicht gottgegeben, sondern auch die Folge eines Prozesses.
Und klar kann man nicht alle Fehler verhindern. Aber man kann viele Fehler verhindern.
Das Problem ist, das man viel zu viele Funktionen hat und die dann noch innerhalb relativ kurzer Zeit eingebaut hat.
Und die Quittung sehen wir in den letzten Jahren.
Gamefaq schrieb:
dick Kohle dafür springen das die It-ler auf der Welt danach suchen und diese Lücken BEVOR sie aktiv ausgenutzt werden
Da fragt man sich doch glatt, warum die nicht besser "dick Kohle" in die Qualitätssicherung ihrer Produkte investieren.
Was hier so ein bisschen suggeriert, das man ja Geld in Sicherheit investiert, ist aber in Wahrheit eine Sparmaßnahme.
Es ist nämlich nicht so, das man zufällig über Bugs stolpert und die dann halt meldet und Geld dafür bekommt. Solche Bugs zu finden ist Arbeit, die Zeit und Aufwand mitsich bringt. Ohne die Garantie, das sich das letztlich auszahlt.
Und klar gibts auch hin und wieder jemand, der da erfolgreich ist und dementsprechend ne Prämie gibt. Aber oft auch eben nicht. Insofern ist es in erster Linie eine Förderung von unbezahlter Arbeit. Festangestellte muss Google immer bezahlen. Egal ob die was finden oder nicht.
Mal davon abgesehen, das ja trotzdem genug Lücken übrig bleiben die in der Praxis dann auch aktiv ausgenutzt werden, bevor sie bekannt/gefixt worden waren.
Insofern ist es so oder so keine Alternative dazu, Software pro-aktiv sicher zu entwickeln.
Allen voran vielleicht mal die Komplexität reduzieren. Viele Funktionen zwar für umfangreiche WebApps benötigt, für das normale umhersurfen aber nicht.
Eine ganz simple und gleichzeitig effektive Sicherheitsmaßnahme wäre, das halt zu trennen. Das man ein simples aber robusten Webview hat, was auch nicht zusammenklappt wenn man auf 'ne shady-Website trifft. Und eine umfangreiche, die ich anknipse, wenn ich mehr brauche weil ich z.B. Office im Browser mache (oder was auch immer).
Parallel dazu den Entwicklungsprozess und die Quelltext-Basis gerade ziehen und mehr Schwerpunkt auf Qualität und Sicherheit legen. Keine Ahnung, ob man das schon macht. Aber da in der Zahl der Bugs kein Abwärtstrend zu beobachten ist, sieht es eher nicht so aus (zumindest ist es nicht effektiv).
