Inwiefern ist Linux sicherer als Windows?

[JanR]

Hi,

wenn ich mich recht entsinne, ging es dem Originalposter um DESKTOP-Systeme.

Es ist richtig, dasss auf sehr vielen Routern ein linuxbasiertes System laeuft, ebenso auf vielen Smartphones (iOS wegen seiner Unix-Wurzeln hier in den gleichen Topf zu werfen, ist mutig, da das ein komplett anderer Kern ist). Allerdings laufen diese Systeme in den allermeisten Faellen auf Basis anderer Architekturen als x86 bzw. x86_64. Router sind meist MIPS-basiert, seltener ARM, waehrend die Linux-Smartphones und Tablets (Android) fast ausschliesslich (es gibt einige MIPS- und x86-Exoten) auf ARM-CPUs laufen. Wenn es also eine Sicherheitsluecke im Kern gibt, die alle Architekturen betrifft (nur dann gelten obige Argumente), dann mag der prinzipielle Angriff ueberall gleich sein, fuer eine Code-Injektion muss man das aber mit dem Code der Zielplattform fuer das Speicherlayout der Zielplattform tun. Schon laeuft der x86-Exploit auf dem MIPS-Router ins Leere. Auch ist es nicht so, dass alle ARM- oder MIPS-SoC gleich sind. Wer sich mal damit beschaeftigt hat, Linux auf einen neuen SoC zu bringen oder fuer einen solchen anzupassen, lernt schnell, wie viele Details da lowlevel angepasst werden muessen. Ein Kernelexploit setzt in den allermeisten Faellen sehr tief an und muss darum auch sehr genau angepasst sein, damit es funktioniert. Zudem setzt es in den meisten Faellen bestimmte Kernelconfigs voraus, die bei vielen eingebetteten Systemen schlicht nicht gegeben sind.

Ich will damit nicht sagen, dass man einen Router, ein NAS oder ein Android-Telefon nicht hacken kann (es gibt genug Gegenbeweise!), sondern, dass ein solcher Hack sehr stark von der Plattform abhaengt und nicht eben so ganz einfach "portiert" werden kann.

Sobald wir das Userland dazuziehen, wird die Sache noch viel spezieller, denn gerade da werden die Unterschiede gewaltig. Setz mal den typischen fortgeschrittenen Ubuntu-Nutzer an eine gerootete Android-Maschine und bitte ihn, irgendwas recht triviales auf Lowlevel damit zu tun. Das faengt schon damit an, dass man auf der einen Seite (Ubuntu) ein kompletes GNU-Userland inkl. Libc hat, waehrend es bei Android gerade einmal rudimentaere Tools + Bionic sind. Oder versuch mal, unter reiner Verwendung von Busybox und newlib oder ulibc (typische Umgebung auf einem Router) irgendwas auf die gleiche Weise zu tun wie auf einem vollstaendigen Desktopsystem...

Mein Argument mit der Vielfalt von weiter oben gilt hier ebenso, eher noch in einem groesseren Mass.

Viele Gruesse,

Jan

Ergänzung (25. Dezember 2012)

Hi,

Etwas, das starten kann, benötigt das Execute-Flag. Das kriegts aber nicht von selbst. Kein Flag, kein Programmaufruf.

Aua.... muss man das wirklich noch kommentieren?

echo "rm -rf *" > boese.sh
bash boese.sh

Rums... alles erledigt, und das ohne ein Execute-Flag (ausser dem, das die bash eh schon hat). Das ist auf dem gleichen Level wie rechnung.pdf.exe

Statt obiger Trivialitaet kann man da auch eine Fork-Bombe reinschreiben und schon steht der Kasten.

Der Punkt ist nur: Die meisten Linux-Nutzer sind deutlich erfahrener als ihre Windows-Pendants (so ueber die Masse gesehen), so dass es nicht lohnt, solche Dinger zu bauen. Wenn jeder Linux verwenden wuerde, koennten wir uns davor auch nicht mehr retten.

Von daher ist - das sage ich als absoluter Linux-Anhaenger - jede Diskussion ueber die "bessere Architektur" usw. vollkommen nutzlos. Die Hauptprobleme sind immer der Nutzer und die Groesse der Angriffsflaeche.

Viele Gruesse,

Jan

 

[exuser0815]

Und was juckt das Linux System ein "rm -rf *"? Genau, garnicht!
Das System an sich bleibt dadurch komplett unangetastet.

 

[Mr.Wifi]

Inwiefern ist Linux sicherer als Windows?

Vor wem?

Vor irgendwelchen hobby Hackern und Script Kiddies bist du mit Windows genauso sicher wenn du dich entsprechend vorsichtig verhältst, also NoScript im Browser, nie mit dem Admin Account online gehen, und keine Warez, Streams usw. nutzt und du auch keine closed source Freeware Programme oder Programme von unbekannten möglicherweise dubiosen Herstellern installierst oder auf anderes social engineering reinfällst.

Vor Regierungen, Geheimdiensten und professionellen Hackern (Industriespionage usw.) bist du in Windows hingegen kaum geschützt da die Backdoors in Programmen sitzen denen du vertraust und denen die anti Malware Hersteller "vertrauen". Das fängt ja schon mit Windows selbst an. Alles was closed soure ist ist ein potentielles Sicherheitsrisiko. Mit solchen informationen wird auch richtig Geld verdient wenn Leute die nicht aus diesen kreisen kommen diese Lücken per Zufall finden.

 

[JanR]

Hi,

Und was juckt das Linux System ein "rm -rf *"? Genau, garnicht!

Die Daten des Nutzers sind trotzdem weg und er muss nach dem letzten Backup suchen, sofern er ueberhaupt eins hat. Ausserdem habe ich deutlich gesagt, dass man statt dieser Trivialitaet durchaus was anderes tun koennte...

Das System an sich bleibt dadurch komplett unangetastet.

...z.B. eine Fork-Bombe, die dir zumindest den Rechner wegschiesst und damit sicher nicht unangetastet laesst. Oder einen Angriff, der lokale (Nutzer-)Rechte voraussetzt - davon gibt es einige.

Ich wollte mit dem Beispiel eigentlich nur zeigen, dass das Execute-Flag bzw. dessen Notwendigkeit hier nicht mehr Schutz bietet als die Endung ".exe" unter Windows. Ausreichende "Kooperation" des unbedarften Nutzers vorausgesetzt, kann man beides sehr leicht aushebeln. Und in beiden Faellen bekommst du den Nutzer dazu, etwas zu starten. Was das dann tut, kann in beiden Faellen viel Schaden anrichten.

Viele Gruesse,

Jan

 

[Zehkul]

Flashexploits funktionieren bei beiden, und wenn du bei Linux immer als root rumgurkst (so wie die meisten bei Windows als Admin) dann bist du eh nicht sicher (wobei der root noch viel gefährlicher ist).

Wer gurkt bitte als Root rum? Linux hatte schon sudo, als Windows noch in der Steinzeit rumgurkte, und auch heute ist das noch sicherer als das Windowsäquivalent.

Linux hat einen entscheidenden Vorteil: Du darfst erst einmal so gut wie gar nichts. Und damit der Virus auch. Nicht einmal ausführen kannst du eine einfache, heruntergeladene Datei. Für DAUs? VIEL sicherer als Windows. Alleine durch die Paketquellen, an denen ein DAU zum Installieren einfach nicht vorbeikommt, da für Anderes zu blöd. Linux ersetzt da irgendwo die Brain.exe, die, seien wir ehrlich, die Mehrheit der User NICHT hat.

 

[Tuxman]

Und jetzt stellt sich jeder von euch an die Tafel und schreibt hundertmal:

Sicherheit kommt vom Benutzer und nicht vom System.

Wer, wie ich, schon mehrere befallene Linuxsysteme gesehen hat, der ist vorsichtig mit solchen Threads.

 

[petite]

bist du mit Windows genauso sicher wenn du dich entsprechend vorsichtig verhältst, also NoScript im Browser, nie mit dem Admin Account online gehen, und keine Warez, Streams usw. nutzt

Leider ist das wie das letzte Jahr gezeigt hat nicht mehr wirklich der Fall. Ich erinnere mich noch an die wetter.com Kompromittierung und selbst ein bekanntes Windows-Forum wurde gehackt. Auf solch vermeintlich seriösen Seiten ist NoScript in 99% der Fälle inaktiv, da Skripte erlaubt sind. Daher ja die Frage ob Linux eine wirkliche Lösung wäre, aber das scheint so einfach ja auch nicht zu sein.

 

[Mr.Wifi]

Leider ist das wie das letzte Jahr gezeigt hat nicht mehr wirklich der Fall. Ich erinnere mich noch an die wetter.com Kompromittierung und selbst ein bekanntes Windows-Forum wurde gehackt. Auf solch vermeintlich seriösen Seiten ist NoScript in 99% der Fälle inaktiv, da Skripte erlaubt sind. Daher ja die Frage ob Linux eine wirkliche Lösung wäre, aber das scheint so einfach ja auch nicht zu sein.

Dann ist es jedoch "deine eigene Schuld", verbietest du sämtliche Scripte dann werden auch keine ausgeführt. Ist halt eine Vertrauenssache welche Scripte du zulässt.

Du kannst jedoch durch die Infrastruktur deines Heimnetzwerks und persönlichen Verhaltens-Richtlinien für deine besonders schützenswerten Geräte verhindern dass Schaden ensteht. Du brauchst halt nen Router/Firewall mit Zonen und gutem Paketfilter (zb. PF). Zum Surfen auf Wetter.com o.ä nutzt du dann halt dein "Schweinegrät", wie dein Tablet in der wlan Zone die vom Rest isoliert ist.

 

[petite]

Dann ist es jedoch "deine eigene Schuld", verbietest du sämtliche Scripte dann werden auch keine ausgeführt. Ist halt eine Vertrauenssache welche Scripte du zulässt.

Stimmt zwar, ist aber in der Praxis völlig unmöglich. Auf der Mehrheit der Seiten führt NoScript bei Blockierung von sämtlichen Skripten dazu, dass die Seite nicht oder nur eingeschränkt nutzbar ist. Das macht bei unbekannten Skripts/Seiten vollkommen Sinn, bei von mir oft besuchten Seiten aber nicht.

Zum Surfen auf Wetter.com o.ä nutzt du dann halt dein "Schweinegrät", wie dein Tablet in der wlan Zone die vom Rest isoliert ist.

Wenn man diesen Aufwand bei jeder Seite betreiben würde/müsste, wäre man nur noch am "Schweinegerät" was mir persönlich nichts bringen würde.

Du hast zwar sicher dem Sinn nach vollkommen Recht, aber das ist in der Praxis sehr sehr umstädnlich und imho nicht praktikabel. Da wäre ein Wechsel des Betriebssystems noch einfacher.

 

[Mr.Wifi]

Stimmt zwar, ist aber in der Praxis völlig unmöglich. Auf der Mehrheit der Seiten führt NoScript bei Blockierung von sämtlichen Skripten dazu, dass die Seite nicht oder nur eingeschränkt nutzbar ist. Das macht bei unbekannten Skripts/Seiten vollkommen Sinn, bei von mir oft besuchten Seiten aber nicht.

Wieso? Du kannst NoScript doch selbst anpassen, die Scripte die du nicht zulässt werden dann auch nicht ausgeführt. Anfangs surfst du halt probe und tastest dich an dein ideal Setting ran. Guck dir doch mal folgendes Video an:

http://www.youtube.com/watch?v=ybzP0oftI4c

Wenn man diesen Aufwand bei jeder Seite betreiben würde/müsste, wäre man nur noch am "Schweinegerät" was mir persönlich nichts bringen würde.

Du hast zwar sicher dem Sinn nach vollkommen Recht, aber das ist in der Praxis sehr sehr umstädnlich und imho nicht praktikabel.

Wenn du nur einen Rechner inkl. OS hast der für alles herhalten muss dann ist es natürlich umständlich. Meiner Meinung nach sind die Zeiten der supadupa allinone Wollmilchsau Windows Rechner mittlerweile vorbei, Tablets, netbooks & co. gibt es günstig, nen Gaming Rechner oder ne Konsole ist einigermaßen günstig.. eben so dass man nicht unbedingt auf einen Alleskönner angewiesen ist, und diese Kompromisse so vermeidet.

Da wäre ein Wechsel des Betriebssystems noch einfacher.

Linux ist ein Vorteil was Sicherheit betrifft, doch wenn dein eigenes Nutzerverhalten und die Infrastruktur deines Heimnetzwerks anfällig ist dann bist du damit auch nicht sicher unterwegs. Linux hat jedoch auch noch viele andere Vorteile was für mich schon Grund genug wäre zu wechseln.

 

[tao te]

@Ausgangsfrage:

Linux ist insofern sicherer, weil die meisten Windows-Nutzer ihre Systeme dankenswerterweise als Honeypots zur Verfügung stellen.

Ich finde schon spannend, ...

Hi,

wenn ich mich recht entsinne, ging es dem Originalposter um DESKTOP-Systeme.

Es ist richtig, ...

Tolle, wahre Posts!

 

[Daaron]

echo "rm -rf *" > boese.sh
bash boese.sh

Rums... alles erledigt, und das ohne ein Execute-Flag (ausser dem, das die bash eh schon hat). Das ist auf dem gleichen Level wie rechnung.pdf.exe

Dafür müsste man diese Befehlsfolge direkt selbst eintippen, denn ein Script, das genau diese Befehle ausführt, hat erstmal kein X udn kann gar nix. Du müsstest also das Script, dass dann ein Killscript startet, erst einmal mutwillig mit sh uberscript.sh starten. Ein simpler Doppelklick oder Autostart funktioniert nicht.

Statt obiger Trivialitaet kann man da auch eine Fork-Bombe reinschreiben und schon steht der Kasten.

Unsinn. Moderne Betriebssysteme reagieren ganz anders auf Forkbombs als die Systeme vor 20 Jahren. Eine Forkbomb lässt schlimmstenfalls den Userspace im RAM überlaufen, das Problem lässt sich sehr leicht wieder beheben.

Ich wollte mit dem Beispiel eigentlich nur zeigen, dass das Execute-Flag bzw. dessen Notwendigkeit hier nicht mehr Schutz bietet als die Endung ".exe" unter Windows. Ausreichende "Kooperation" des unbedarften Nutzers vorausgesetzt, kann man beides sehr leicht aushebeln. Und in beiden Faellen bekommst du den Nutzer dazu, etwas zu starten. Was das dann tut, kann in beiden Faellen viel Schaden anrichten.

Eben, du sagst es: Nutzer-Kooperation.
Es ist viel leichter, einem User eine exe mit dem Icon einer PDF unterzujubeln (die er dann per Doppelklick im Reader haben will), als das mit einem Shellscript zu tun. Nicht einmal bei Python oder Perl mit korrektem Shebang würde ein Doppelklick was tun, da müsste man erst einmal n Anwendungsstarter anlegen.

Dann ist es jedoch "deine eigene Schuld", verbietest du sämtliche Scripte dann werden auch keine ausgeführt. Ist halt eine Vertrauenssache welche Scripte du zulässt.

Bei guter Programmierarbeit liegen alle selbst geschriebenen Scripte in einer einzelnen Datei, um die Request-Menge niedrig zu halten. Dementsprechend vertraust du entweder dem Master-Script komplett oder gar nicht.
Viele Seiten haben nun einmal eine eingeschränkte Verwendbarkeit ohne aktives JS. Magento-Shops sind da ein gutes Beispiel. Aber auch dieses Forum hier... Wie sinnvoll wäre das CB-Forum, wenn man keinen guten WYSIWYG-Editor hätte?
Du musst, um gewisse Dienste zu nutzen, einfach darauf vertrauen dass a) die Dienste nicht kompromittiert wurden oder b) dein Betriebssystem und Browser bei Kompromittierung eben entsprechend sicher sind. Du kannst nicht die ganze Zeit mit NoScript - Schwachsinn rumsurfen und jedes einzelne Script per Hand analysieren.

Zum Surfen auf Wetter.com o.ä nutzt du dann halt dein "Schweinegrät", wie dein Tablet in der wlan Zone die vom Rest isoliert ist.

Sehr clever. Und welches Gerät nutzt du für ein Forum? Auch ein Tablet, wo du dir die Finger beim Tippen brichst? Oder welches für einen Online-Shop?
Was machst du, wenn dein Chef dir sagt, du sollst mal n paar lokale Shops hinsichtlich der Preise abklapperm und du dafür natürlich deinen EINEN Büro-PC nutzt? Wer sagt dir, dass Cyberport und Co nicht gehackt wurden und dir was unterschieben? Bedienen lassen sich viele von diesen Shops nicht, wenn JS aus ist. Wie gesagt, Magento-Systeme sind da ganz schlimm.

Es ist KEINE Lösung, hier fürs surfen ein Extra-Gerät anzuschaffen, für das noch ein Gerät, dafür ein Gerät,... Das ist purer Schwachsinn.

 

[Fairy Ultra]

2 Alternativen fürs surfen bei sensiblen Inhalten.
- Linux Live CD
- Virtuelle Maschine die immer auf jungfräulichen Zustand zurückgesetzt wird

 

[Mr.Wifi]

Bei guter Programmierarbeit liegen alle selbst geschriebenen Scripte in einer einzelnen Datei, um die Request-Menge niedrig zu halten. Dementsprechend vertraust du entweder dem Master-Script komplett oder gar nicht.

Dieses Szenario ist nur für Seiten realistisch die es eh darauf anlegen dich als Nutzer zu rippen. Die würde ich auf einem auf Sicherheit getrimmten System gar nicht ansurfen.

Viele Seiten haben nun einmal eine eingeschränkte Verwendbarkeit ohne aktives JS. Magento-Shops sind da ein gutes Beispiel. Aber auch dieses Forum hier... Wie sinnvoll wäre das CB-Forum, wenn man keinen guten WYSIWYG-Editor hätte?
Du musst, um gewisse Dienste zu nutzen, einfach darauf vertrauen dass a) die Dienste nicht kompromittiert wurden oder b) dein Betriebssystem und Browser bei Kompromittierung eben entsprechend sicher sind. Du kannst nicht die ganze Zeit mit NoScript - Schwachsinn rumsurfen und jedes einzelne Script per Hand analysieren.

Etwas Vertrauen gehört dazu, sonst bleibt man besser komplett offline.

Sehr clever. Und welches Gerät nutzt du für ein Forum? Auch ein Tablet, wo du dir die Finger beim Tippen brichst? Oder welches für einen Online-Shop?

Überwiegend mein Netbook, auf dem tablet wird hauptsächlich gelesen. Shoppen natürlich nie über diese Geräte, hab nicht mal Online Banking. Für größere Sachen gehe ich direkt zur Bank wie alle vernünftigen Menschen.

Was machst du, wenn dein Chef dir sagt, du sollst mal n paar lokale Shops hinsichtlich der Preise abklapperm und du dafür natürlich deinen EINEN Büro-PC nutzt?

Ich bin mein eigener Chef, wäre ich jedoch in so einer Situation dann würde ich das tun was der Chef verlangt. Er hat die Verantwortung und muss wissen was er "tut".

Wer sagt dir, dass Cyberport und Co nicht gehackt wurden und dir was unterschieben? Bedienen lassen sich viele von diesen Shops nicht, wenn JS aus ist. Wie gesagt, Magento-Systeme sind da ganz schlimm.

Es gibt ja auch noch das Telefon und Fax^^

Es ist KEINE Lösung, hier fürs surfen ein Extra-Gerät anzuschaffen, für das noch ein Gerät, dafür ein Gerät,... Das ist purer Schwachsinn.

Also am Beamer und TV nutze ich nen spieletauglichen Linux HTPC, zum surfen auf der Couch und für die Lektüre auf dem Scheisshaus mein Android Tablet, unterwegs nutze ich ein Meego Smartphone, mein Linux netbook steht Griffbereit auf meinem Nachttisch neben dem Bett und wird auch regelmäßig morgens zum Kaffee in die Küche mitgenommen, mein Arbeits PC ist ein auf Audio und Video Bearbeitung ausgelegte Linux Workstation... und ich freue mich schon darauf den nächsten Rechner zusammenzubasteln, werde wohl HTPC und Gaming wieder trennen *lach*.

 

[Daaron]

Dieses Szenario ist nur für Seiten realistisch die es eh darauf anlegen dich als Nutzer zu rippen. Die würde ich auf einem auf Sicherheit getrimmten System gar nicht ansurfen.

Unsinn. Magento arbeitet z.B. von Haus aus so, dass alle im Framework definierten Scripts und CSS-Deklarationen in jeweils eine einheitliche Datei gebunden werden. Ausgenommen sind Sachen wie jQuery, die gezielt über ein CDN wie z.B. Google verteilt werden.
Das senkt nicht nur die eigene Serverlast, es beschleunigt auch noch den Seitenaufbau beim User. Wenn du dich mit der Materie nru leidlich auskennst wirst du wissen, dass schneller oder langsamer Seitenaufbau einen direkten Effekt auf die Besucherzahlen udn vor allem den von der Seite generierten Umsatz hat.
Ist im Endeffekt dasselbe Spiel wie mit CSS Sprites.

Das ist eine absolut gängige Art der Optimierung für HTTP und HTTPS. Lediglich bei SPDY fällt diese Optimierung weg, aber SPDY arbeitet nur verschlüsselt ist also grundsätzlich langsamer als HTTP (aber eben schneller als HTTPS).

Etwas Vertrauen gehört dazu, sonst bleibt man besser komplett offline.

Du hast es erfasst. Wetter.com ist eine von den Seiten, bei denen man davon ausgehen sollte, dass sie vertrauenswürdig sind. DAsselbe gilt für die Foren und Websites von Computec Media (PCGames, Gamestar,...), doch OH SCHRECK!, wurde letztes Jahr doch auch Computec Media gehackt. Die Webseiten wurden zwar nicht hinsichtlich Malware manipuliert, es wäre aber für den Angreifer ein Kinderspiel gewesen, war er doch eh schon tief im System.
Dasselbe gilt halt auch für CB. Wenn CB irgendwann gehackt wird und als Malware-Schleuder dient, dann werden eine ganze Reihe NoScript-User hier im Forum kräftig rumheulen, warum ihre "Sicherheitsmaßnahme", die ihnen hier ja so oft empfohlen wurde, gnadenlos versagt hat.

Überwiegend mein Netbook, auf dem tablet wird hauptsächlich gelesen. Shoppen natürlich nie über diese Geräte, hab nicht mal Online Banking. Für größere Sachen gehe ich direkt zur Bank wie alle vernünftigen Menschen.

Und was hat dich die ganze Hardware gekostet? Darüber nachgedacht? Ich kauf mich sicher nicht so n dämlicehs Tablet oder Netbook, nur um damit zu surfen. Eher bau ich mir ne VM.

Ich bin mein eigener Chef, wäre ich jedoch in so einer Situation dann würde ich das tun was der Chef verlangt. Er hat die Verantwortung und muss wissen was er "tut".

Ändert nichts am Ergebnis, oder? Malware ist drauf, dein Arbeitsplatz ist im Eimer... und alles nur, weil du dich auf n nutzloses Plugin statt auf ne anständige Anti-Malware - Strategie verlassen hast.

Es gibt ja auch noch das Telefon und Fax^^

Du bist echt nicht aus der Branche, hm? Ich verwalte einige Online-Shops. Solche Fälle wie dich lieben wir....

und ich freue mich schon darauf den nächsten Rechner zusammenzubasteln, werde wohl HTPC und Gaming wieder trennen *lach*.

Wozu? Moderne CPUs und Grafikkarten sind so gestrickt, dass sie nahezu keinen Strom mehr im Gammel-Modus verbrauchen. Netzteile kann man passiv oder über WaKü kühlen. Ne SSD als Boot-Laufwerk macht, nachdem die HDD abgeschaltet haben, keinen Mucks mehr.

Totale Ressourcenverschwendung.... oder Prahlerei. Suchs dir raus.

 

[Mr.Wifi]

Unsinn. Magento arbeitet z.B. von Haus aus so, dass alle im Framework definierten Scripts und CSS-Deklarationen in jeweils eine einheitliche Datei gebunden werden. Ausgenommen sind Sachen wie jQuery, die gezielt über ein CDN wie z.B. Google verteilt werden.
Das senkt nicht nur die eigene Serverlast, es beschleunigt auch noch den Seitenaufbau beim User. Wenn du dich mit der Materie nru leidlich auskennst wirst du wissen, dass schneller oder langsamer Seitenaufbau einen direkten Effekt auf die Besucherzahlen udn vor allem den von der Seite generierten Umsatz hat.
Ist im Endeffekt dasselbe Spiel wie mit CSS Sprites.

Dann muss man als seriöser Shopbetreiber eben die Performance mit anderen Mitteln steigern, also mehr in die Infrastruktur investieren und deine Kunden nicht dieser Gefahr aussetzen um ein paar Kröten zu sparen. Wer das macht ist imho unseriös. Der Schaden wäre größer wenn du durch so eine raffgierige Aktion das Vertrauen deiner Stammkundschaft verlierst.

Du hast es erfasst. Wetter.com ist eine von den Seiten, bei denen man davon ausgehen sollte, dass sie vertrauenswürdig sind. DAsselbe gilt für die Foren und Websites von Computec Media (PCGames, Gamestar,...), doch OH SCHRECK!, wurde letztes Jahr doch auch Computec Media gehackt. Die Webseiten wurden zwar nicht hinsichtlich Malware manipuliert, es wäre aber für den Angreifer ein Kinderspiel gewesen, war er doch eh schon tief im System.
Dasselbe gilt halt auch für CB. Wenn CB irgendwann gehackt wird und als Malware-Schleuder dient, dann werden eine ganze Reihe NoScript-User hier im Forum kräftig rumheulen, warum ihre "Sicherheitsmaßnahme", die ihnen hier ja so oft empfohlen wurde, gnadenlos versagt hat.

Du hast dann jedenfalls genug getan um dich später nicht über deine eigene Dummheit zu ärgern. Wird eine grundsätzlich vertrauenswürdige Seite gehackt ist es Pech. Dir kann auch das Kondom platzen wenn du durch die gegend vögelst, sollte man deshalb auf das Kondom verzichten? lol..

Und was hat dich die ganze Hardware gekostet? Darüber nachgedacht? Ich kauf mich sicher nicht so n dämlicehs Tablet oder Netbook, nur um damit zu surfen. Eher bau ich mir ne VM.

Das Tablet hat sich schon längst amortisiert wenn ich überlege wieviele Zeitschriften und Bücher sich in den Jahren zuvor bei mir angesammelt haben. Vieles davon aus dem Ausland und nur zu hohen Preisen im HBF Zeitschriftenhandel oder speziellen Büchereien zu bekommen. Wenn dir ne VM reicht und dich es nicht abturnt nur im Bürostuhl digitale Medien zu konsumieren, Respekt.

Ändert nichts am Ergebnis, oder? Malware ist drauf, dein Arbeitsplatz ist im Eimer... und alles nur, weil du dich auf n nutzloses Plugin statt auf ne anständige Anti-Malware - Strategie verlassen hast.

Eine Anti malware Strategie habe ich auch noch zusätzlich, wie gesagt Zonen, PF Paketfilter eben das volle Programm. Zumindest wenn ich Einfluss auf den Arbeitsplatz oder die Infrastruktur habe. Habe ich den Einfluss nicht da der Chef ja alles weiß, dann ist es eh nicht mein Problem, dann genieße ich die bezahlte Freizeit bis der Laden wieder läuft

Du bist echt nicht aus der Branche, hm? Ich verwalte einige Online-Shops. Solche Fälle wie dich lieben wir....

Dann nenn mir doch bitte eine besseren Schutz für den browser als NoScript. Deine ganzes gerede vonwegen sich nur darauf zu verlassen hast du dir selbst zusammenkonstruiert. ich hab schon in den anderen Posts klargestellt dass man ohne eine entsprechende Infrastruktur nicht sicher ist, auch mit Linux nicht.

Wozu? Moderne CPUs und Grafikkarten sind so gestrickt, dass sie nahezu keinen Strom mehr im Gammel-Modus verbrauchen. Netzteile kann man passiv oder über WaKü kühlen. Ne SSD als Boot-Laufwerk macht, nachdem die HDD abgeschaltet haben, keinen Mucks mehr.

Kein Platz im TV rack für so ne fette Kiste, mein HTPC ist ein rückseitig an den TV geschraubtes Netbook ohne Screen, mit Nvidia 9400GPU und HDMI, inkl SSD. Der Rest ist schon auf einem dedizierten Medienserver ausgelagert, inkl. TV Backend. Das reicht halt für Jump&run Indie Games und die ganzen Roms die ich mit Gamepad zocke. Der HTPC hat mich auf Ebay gerade mal nen Fuffi gekostet da "defekt". Läuft astrein mit XBMC unter Linux.

Der Gaming PC wird ein ITX Cube, ist halt dafür gedacht um eine VR Brille die ich mir in ein paar Monaten zulege zu befeuern. Die braucht schon etwas "bumms"

Totale Ressourcenverschwendung.... oder Prahlerei. Suchs dir raus.

Imho ist das eine normale Geek Standardausstattung, bin vllt. etwas durch Hardwareluxx verdorben, aber die zeiten wo das ganze Geld für Technik drauf geht die sind schn lange vorbei^^

 

[gspoo]

Ergänzung (26. Dezember 2012)

Die Rechte- und Ordnerstruktur von Unix-Systemen sorgt für einen signifikant höheren Aufwand, in irgend einer Form wirklich relevanten Schaden anzurichten.
Eine "rechnung.pdf.exe" kann unter Windows direkt starten, wenn man sie in der Mail anklickt. Unter Unix-Systemen klappt das nicht. Etwas, das starten kann, benötigt das Execute-Flag. Das kriegts aber nicht von selbst. Kein Flag, kein Programmaufruf.

Sind beide DAC, nicht? (Ja, die Frage ist rhetorisch.) Auch Windows fragt den User immer ob das Programm oder die exe jetzt ausgeführt werden darf. Das kennt jeder - dieses Fenster, das bei jeder Installation zuerst weggeklickt werden muss. Bei einem Pdf käme das nicht.

Lasst euch nicht von all dem Fanboys blenden. Wer Tools wie Metasploit kennt, der weiss, dass für Ubuntu (z.B.) einige Exploits schon seit längerer Zeit zuverlässig funktionieren. (Ja selbst auch schon ausprobiert - im Umfang meines Studiums)

Microsoft war früher mal schlecht in IT Security, aber die investieren seit Jahren sehr viel Zeit und Geld in die Sicherheit ihrer Programme. Laut meinen Professoren sind sie mittlerweile top und eines der zuverlässigsten Unternehmen in dieser Hinsicht.
Btw dafür ist Adobe im Moment etwa da, wo Microsoft in ihrer sicherheitstechnischen Krise war.
(So wegen Flash/ pdf exploit etc.)

Ich hab beides auf meinem Rechner. Für normales arbeiten nehme ich Windows, für alles Netzwerk-bezogene nehme ich Linux (Back track).

 

[JanR]

Hi,

Dafür müsste man diese Befehlsfolge direkt selbst eintippen, denn ein Script, das genau diese Befehle ausführt, hat erstmal kein X udn kann gar nix. Du müsstest also das Script, dass dann ein Killscript startet, erst einmal mutwillig mit sh uberscript.sh starten. Ein simpler Doppelklick oder Autostart funktioniert nicht.

Bei Nutzern, die auf rechnung.pdf.exe doppelklicken, funktioniert auch das problemlos. Ich lasse sie das Script abspeichern (unter einem aehnlich daemlichen Grund wie bei den Rechnungsdingern) und dann manuell starten. Wenn man ihnen weismacht, dass das die ultimative Loesung fuer ihr aktuelles Wasauchimmer-Problem ist, dann funktioniert das wunderbar. Auch wenn die klassische Fork-Bombe vielleicht nicht auf jedem System mehr das tut, was sie mal tat, so findet man in den gaengigen Sicherheits-Advisories genug Dinge, mit denen man als eingeloggter Nicht-Root-Nutzer ziemlich viel Schaden anrichten kann.

Knackpunkt ist aber, und das wurde jetzt schon x-mal gesagt, dass das Problem bei sowas der Nutzer ist!

...und das gilt fuer jedes System!

Viel einfacher geht es uebrigens auf eine ganz andere Art: Schaut euch mal in Ubuntu-Foren um und zaehlt, wie oft da dazu geraten wird, irgendeine Zeile in die sources.list des Paketmanagers einzutragen, um damit das wunderbare Tool xyz oder irgendwelche Treiber oder was auch immer zu installieren. Ich bin mir ziemlich sicher, dass viele, die das dann einfach tun, keine Ahnung haben, was genau sie da treiben. Ebenso viele werden die Zeile spaeter nicht wieder entfernen. Und schon gibt es einen wunderbaren Weg in das System. Ich hoere irgendjemanden schon sagen, dass man sich auch dagegen wehren kann, aber: Man muss es auch TUN. Und genau das tun viele Einfachso-Nutzer eben nicht.

Auch das Argument, das hier schon mehrfach gebracht wurde, dass die Quelloffenheit vor Problemen und Backdoors schuetzt, ist nicht richtig. Zum einen gab es bereits Backdoors in Opensource-Software, die erst nach JAHREN entdeckt wurden und zum anderen stellt euch mal selbst die Frage: Wann habt ihr euch das letzte Mal den GESAMTEN Quelltext eines umfangreichen Softwarepakets Zeile fuer Zeile angeschaut und nach sowas gesucht? Das Argument "irgendjemand wird es sicher getan haben" zieht hier nicht wirklich...

Von daher: Ein System ist so sicher wie der Nutzer es betreibt. Es ist richtig, dass fuer einen erfahrenen Nutzer ein Linux ein besserer, weil einfach zu ueberblickender Startpunkt ist, aber der erfahrene Nutzer wird mit Windows ebenso bedacht umgehen und auch da keinen Schiffbruch erleiden.

Ich sehe das Hauptargument fuer Linux in der sehr guten Beherrschbarkeit von allem. Ich weiss, wie das System funktioniert, ich weiss genau, was wie zusammenhaengt und kann mir sicher sein, dass ich nahezu alle Probleme auch loesen kann (notfalls auch mit Rumgehacke im Kernel... schon getan). Genau hier sind allerdings einige Distributionen dabei, das unter einem Berg von Komplexitaet immer mehr zu begraben...

Viele Gruesse,

Jan

 

[Zehkul]

Viel einfacher geht es uebrigens auf eine ganz andere Art: Schaut euch mal in Ubuntu-Foren um und zaehlt, wie oft da dazu geraten wird, irgendeine Zeile in die sources.list des Paketmanagers einzutragen, um damit das wunderbare Tool xyz oder irgendwelche Treiber oder was auch immer zu installieren. Ich bin mir ziemlich sicher, dass viele, die das dann einfach tun, keine Ahnung haben, was genau sie da treiben. Ebenso viele werden die Zeile spaeter nicht wieder entfernen. Und schon gibt es einen wunderbaren Weg in das System.

Stimmt definitiv, aber es besteht ein großer Unterschied zwischen Root Editor öffnen und seltsame Zeile eintragen und einfach auf Rechnung.pdf.exe doppelklicken.
Ich kenne genügend DAUs. Die haben schon Angst, etwas am System kaputtzumachen, wenn sich nur eine Konsole öffnet. Auf die Rechnung.pdf.exe wird aber munter fröhlich geklickt …

 

[Daaron]

Dann muss man als seriöser Shopbetreiber eben die Performance mit anderen Mitteln steigern, also mehr in die Infrastruktur investieren und deine Kunden nicht dieser Gefahr aussetzen um ein paar Kröten zu sparen. Wer das macht ist imho unseriös. Der Schaden wäre größer wenn du durch so eine raffgierige Aktion das Vertrauen deiner Stammkundschaft verlierst.

Du willst es nicht begreifen, oder?
Jedes anständige CMS oder Shopsystem, egal ob Magento, TYPO3, in gewissem Maße auch Contao,... fasst Scripte und CSS-Deklarationen zusammen und schickt sie vorher noch durch n Minimizer wie YUI. Das ist schlichtweg genau so Stand der Technik wie CSS Sprites.
Der springende Punkt ist hier, die Schwächen von HTTP 1.1 auszubügeln und die Datenmenge gering zu halten. YUI-Compression spart problemlos 60-70% in der Dateigröße. Einem 4GHz-Quadcore an einer 50MBit-Leitung mag es wenig ausmachen, wenn er mehr Zeit fürs Seitenrendering opfern muss, einem Smartphone, Tablet oder Netbook (also einerseits genau den Sachen, die du hier predigst, andererseits genau den Sachen, die aktuell am Markt relevant sind) macht es sehr wohl was aus.

Nochmal für die Leute, die echt nicht wissen wie das mit HTTP 1.1 udn dem Seitenaufbau ist:
- HTTP 1.1 kann nur begrenzt parallele Verbindungen zu einer Quelle aufbauen. Daher nutzt man entweder großflächig Content Delivery Netzwerke wie Google, oder man komprimiert möglichst viel in möglichst wenig Dateien. Jeder Request für eine 1-2KByte große Datei zieht einen regelrecht monströsen Rattenschwanz an Steuerdaten mit sich. Auch hier geht massiv Zeit verloren.
- HTML-Rendering läuft erst dann korrekt durch, wenn ALLE Ressourcen geladen sind. Fehlt noch ein JavaScript, eine CSS-Deklaration oder eine Grafik, verzögert das im Zweifel das Rendering.

Ich arbeite aktiv in der Branche, ich WEISS wie viel so etwas ausmacht. Nachdem ich kürzlich auf der Startseite eines unserer Shops einige Änderungen an den Grafiken vorgenommen hab, damit sie nicht mehr als PNG vorliegen müssen sondern JPG reicht ging das Volumen der Startseite um 2-3MB zurück. Seitdem ist die Verweildauer der Besucher und auch die Bestellmenge signifikant gestiegen.
Es lohnt sich tatsächlich 20h Arbeit darin zu investieren, 0.5s beim Seitenaufbau zu sparen.

Dann nenn mir doch bitte eine besseren Schutz für den browser als NoScript. Deine ganzes gerede vonwegen sich nur darauf zu verlassen hast du dir selbst zusammenkonstruiert. ich hab schon in den anderen Posts klargestellt dass man ohne eine entsprechende Infrastruktur nicht sicher ist, auch mit Linux nicht.

Da NoScript nicht gegen vertrauenswürdige Seiten hilft und oftmals sogar die Bedienbarkeit massiv beeinträchtigt hilft dir NoScript nur beim allabendlichen Konsum harter Pornografie. Das hättest du aber auch aus einer VM heraus machen können....

Imho ist das eine normale Geek Standardausstattung, bin vllt. etwas durch Hardwareluxx verdorben, aber die zeiten wo das ganze Geld für Technik drauf geht die sind schn lange vorbei^^

Klingt eher wie Mediamarkt-Werbung.