Linux und Virenschutzprogramme

[Abitor]

Passend zu diesem Thema http://www.pro-linux.de/news/1/15751/sicherheitsbilanz-von-red-hat-enterprise-linux-4.html

 

[MountWalker]

Ah - da mach ich auf basis dieses Artikels mal eine kleine Ergänzung, was ich mit Full Disclosure bei OpenBSD gemeint hab.

Jedoch können die Lücken bereits vor der Veröffentlichung bestimmten Kreisen bekannt gewesen sein. Oft werden Hersteller einige Wochen vorab benachrichtigt, um ihnen Zeit für die Vorbereitung der Korrektur zu geben. Laut der Statistik war das nur in 52% der Fälle der Fall, in 48% der Fälle wusste auch der Distributor nicht vorab, dass Arbeit auf ihn zukam.

http://www.pro-linux.de/news/1/15751/sicherheitsbilanz-von-red-hat-enterprise-linux-4.html

Full Disclosure, wie es bei OpenBSD praktiziert wird, bedeutet, dass die Informationen zur Lücke sofort, sobald die Distro davon erfährt, öffentlich gemacht werden - nicht nur in 48% der Fälle, sondern in 100% - das gibt Admins die Möglichkeit, sofort selbst über Maßnahmen nachzudenken. OpenBSD rechtfertigt den Komplettverzicht auf die bei anderen Distros verbreitete Geheimhaltung damit, dass Kenntnis bei den Crackern nicht unwahrscheinlich ist, wenn die Distro davon erfährt und die Geheimhaltung deswegen nur den Admins schaden, weil die nichterfahren, dass in bestimmten Kreisen längst eine Lücke in ihrem System bekannt ist. OpenBSD ist aber die einzige OS-Distro, bei der ich mal gelsen hab, dass die Full Disclosure sind.

 

[darkfate]

Ich muss Mountwalker rechtgeben, grundsätzlich würde ich Linuxsysteme nicht als sicherer bezeichnen.

Das du auf dem Gebiet nicht ganz fit bist hat man schon gemerkt. Macht nichts. Lass dich wenigstens belehren. Leg einfach deine Beratungsresistenz ab und lies dich durch die Securitytracker damit du verstehst um was es geht.

Lediglich auf den Desktop trifft dies aufgrund der fehlenden Verbreitung zu

Immer ein und die selbe Leier. Ich gehe auch auf diesen Nonsens nicht ein.

Server beispielwese werden mit Linux genauso gekapert wie mit Windows.

Server kapern. Wieder irgend ein Zeug wovon du sicherlich keine Ahnung hast aber komischerweise mitreden willst. Kommt doch mal mit Tatsachen oder Beispielen die euch bekannt sind.

Hier ein Beispiel-Beispiel (Argumentieren für Dummies sozusagen):

Server der Domain/Firma X/Y:
Hatte Distri X/Y bzw. Kernel X/Y
Wurde aufgrund von dieser und dieser Lücke bekannt/unbekannt gekapert.

Dann kristalisiert sich schnell raus dass entweder völlig veraltete Software oder irgendwelche selbstgeschriebene Drittprogramme die zum Teil nicht Open Source sind diesem Angriff nicht standgehalten haben.

Dann muss noch beachtet werden wer diesen Angriff durchgeführt hat, was sich aber meistens nicht feststellen lässt. Hier kommt das Sicherheitsrisiko ehemalier Firmenmitarbeiter, der Ahnung von internen Systemabläufen hatte. Passwörter zu kennen oder sie im Bruteforce verfahren zu Knacken und in ein System einzudringen, weil man irgendwo einen USB Stick gefunden hat sind auch keine Lücken. Die Möglichkeiten kann man auch weiterspinnen.

Wer bei Linux Wert auf Sicherheit legt wird diese im Übermaß bekommen. Ein gutes Beispiel ist die OpenSSH Lücke die bei Debian im Securitytracker innerhalb von einer Stunde geschlossen wurde. Wer sich Zeug aus testing/unstable/experimental installiert legt sicherlich keinen Wert auf Systemsicherheit, so einfach ist es. Ubuntu sowie andere Rolling Releases zählen auf Grund Ihrer Pakete eher zu unstable und müssen sehr oft aktualisiert werden um halbwegs sicher zu bleiben.

Wie lange benötigt Microsoft um seine Lücken zu patchen? Ahja frühestens bis zum 14. des Folgemonats. Nur wenn die Lücke bereits ganz schön verbeitet ist, sieht man sich genötigt eher einen Patch zu veröffentlichen. Wir erinnern uns an den RPC Bug vor Jahren der ein beliebiges System in einem 60s Countdown heruntergefahren hat und mich zu Linux bewegt hat.

Zwar stimmt die Aussage, dass Sicherheitslücken unter Linux recht schnell nach bekanntwerden gestopft werden - Aber wie lange vor Bekanntwerden kennen Cracker diese Lücke?

Ertappst du dich eigentlich nicht selber beim Unsinn schreiben? Mal wieder einfach mal irgend was reingeschmissen wovon man keine Ahnung hat.

Generell finde ich es erschreckend wie man immer wild (dumm) über Hacker/Cracker/Militär/Chinesen und sonst spekuliert wovon man absolut keine Ahnung hat. Dann schwärmt ein MacOS Freak wom Windows HPC Server... kein wunder dass du ihm Recht gibst. Beide diskutiert ihr auf der selben Wellenlänge über Hacker/Cracker/Militärgeheimnisse/Chineses/Pentagon/Aliens/911/ObamaNichtInAmerikaGeboren/BildZeitungUndComputerBildFachWissen

Sagt mal Leute liest ihr eure Ergüsse nicht bevor ihr es ins Netz stellt? Rechnet Ihr nicht damit, dass irgend jemand der frisch einsteigen möchte durch euer gesabbel genau so wird wir ihr beide? Wäre das nicht äußerst schade?

So endet es wenn ein Ubuntuaner und ein MacOS Freak über Sicherheit debattieren.
Absoluter nonsens dieser Thread

Ich klinke mich mal aus diesem Halbwissen aus. Da ist mir meine Zeit zu schade.

 

[MountWalker]

...
Wie lange benötigt Microsoft um seine Lücken zu patchen? Ahja frühestens bis zum 14. des Folgemonats. ...

Vollkommen falsch - sehr kritische Lücken führen immer zu einem "außerplanmäßigen Update" - und was du hier nicht mitgeschnitten hast, weniger als die Hälfte der von RedHat bei RHEL 4 "innerhalb eines Tages" geschlossenen Lücken waren RedHat auch wirklich nur einen Tag bekannt - 52% waren wesentlich länger bekannt, wurden aber nicht auf deinem tollen "Security Tracker" eingetragen, weil man ahnte, dass das entwickeln eines sinnvollen Patches länger dauern würde und dann auf "Security through Oscurity" setzt.

Und überhaupt möchte ich mal wissen, wo ich ein "Mac-OS-Fan" sein soll und wo ich hier von Windows HPC geschwärmt haben soll - wenn du weiter auf diese Weise argumentierst, ist hier bestimmt bald dicht.

 

[xXNeXoNXx]

Das du auf dem Gebiet nicht ganz fit bist hat man schon gemerkt. Macht nichts. Lass dich wenigstens belehren. Leg einfach deine Beratungsresistenz ab und lies dich durch die Securitytracker damit du verstehst um was es geht.

[...]

Junge, willst du mich verarschen? Es ist ja eine Sache wenn du meine Meinung nicht teilst, deswegen aber gleich unhöflich, respektlos und persönlich zu werden ist aber absolut unangebracht. Auch mir keine Ahnung zu unterstellen, ohne dies im Geringsten Beurteilen zu können ist vollkommen unnötig.

Hier ein Beispiel-Beispiel (Argumentieren für Dummies sozusagen):

Server der Domain/Firma X/Y:
Hatte Distri X/Y bzw. Kernel X/Y
Wurde aufgrund von dieser und dieser Lücke bekannt/unbekannt gekapert.

Dann kristalisiert sich schnell raus dass entweder völlig veraltete Software oder irgendwelche selbstgeschriebene Drittprogramme die zum Teil nicht Open Source sind diesem Angriff nicht standgehalten haben.

'Hier ein Beispiel-Beispiel (Argumentieren für Dummies sozusagen):' (Und passt auch sehr gut zu deinem "fundierten" Wissen über die Schnelligkeit der Schließung der openSSH-Sicherheitslücke bei Debian)

http://www.heise.de/security/artikel/Gute-Zahlen-schlechte-Zahlen-270078.html

Sprich: Das Problem bestand seit rund zwei Jahren und ich bin mir sicher, dass es in einchlägigen Kreisen früher bekannt war.

http://www.heise.de/newsticker/meldung/PHP-stuempert-bei-Zufallszahlen-967062.html

http://www.heise.de/security/meldung/Querelen-um-PHP-Suhosin-Patch-942667.html

Was mir so spontan noch eingefallen ist...

Zu dem Thema gab es irgendwann letztens auf Heise oder Golem auch einen netten Artikel, der beschreibt, dass viele Linux-Server gekapert werden, weil unnötige Dienste oder schwache Passwörter verwendet werden. Wenn man sich bei Servern also beispielsweise nicht auskennt, ist Linux mit Sicherheit unsicherer als Windows.

 

[Fabien]

Ist der grundlegende Vorteil eine Linux-distri nicht der, dass man nicht als Superuser geboren wird, sondern als DAU der nur auf seinem Home-Verzeichnis verbrannte Erde hinterlassen kann??? Wohingegen wir bei Windows bis dato fröhlich im "Root"-Verzeichnis brandschatzen dürfen???

Bezogen auf die Standardinstallation in deutschen Wohn- und Arbeitszimmern!

 

[xXNeXoNXx]

Ja, ist es (wobei ich bei Windows nicht genau weiß, wie das da ist). Auf dem Desktop ist Linux mit Sicherheit sicherer als ein Windows (haha, Wortspiel )

 

[MountWalker]

Ist es seit Vista bei Windows auch nicht mehr nicht mehr - für den Endanwender ist ein "Benutzer der Administratorengruppe" auf Windows ab Vista ungefähr das gleiche wie ein Sudoer auf einem Unixoid - der einzige schwerwiegende Unterschied besteht darin, dass die sichere, nicht remote beeinflussbare Authentifizierung bei Windows durch einen Klick und bei unixoiden durch Passworteingabe erfolgt, sonst nichts. (mag ja sein, dass programmintern die Funtkionsweise anders sind, aber das, was der Endanwender mitbekommt und was es für ihn bedeutet, ist das gleiche)

Auf Windows wird man automatisch sozusagen als Sudoer gebohren, genau wie bei Ubuntu - aber nicht als Superuser! Bei den Home-Lizenzen von Windows ist es sogar nicht ohne vorherige Umkonfiguration als Superuser im Abgesicherten Modus sich irgendwo anders als im Abgesicherten Modus mit dem Superuserkonto anzumelden - per default existiert dieses Konto, genau wie bei Ubuntu, erstmal nicht. (bis Windows XP wurde es immernoch voraktiviert, deswegen gabs damals dafür auch immer bei der Installation einen Moment, wo man ein passwort dafür festlegen musste - wobei das Passwort damals auch aus null Zeichen bestehen durfte)

Es gibt Leute, die UAC deaktivieren, und damit die Benutzer der Administratorengruppe zu Quasisuperusern machen - aber dafür kann man Microsoft nicht verantwortlich machen und das geht auf jedem Unixoid ganz genauso - wer will kann auch auf Debian, auf Gentoo, auf sonstwas einen vollen Desktop als Root starten.

P.S.
Der echte Superuser auf Windows trägt den benutzernamen "Administrator" - er ist kein mitglied der Gruppe "Administrator", auch kein Mitglied irgendeiner anderen Gruppe - wie bei root eben.