News Microsoft behebt Fehler schneller als Apple

[Mustis]

Ich bin davon ausgegangen, dass es sich alles auf ein und die selbe Ausgangsquelle bezieht wie so oft im Internet. Wie gesagt ich habe es nicht weiter nachgeprüft insofern möchte ich mich entschuldigen, da du offensichtlich deine Quelle sehr wohl genau gelesen hast.

Mir kommt es persönlich auch merkwürdig vor, dass Linux angeblich (laut der von dir zitierten Quelle) keine Lücken haben sollte bzw. wird darauf nicht eingegangen. Mir schoss da irgendwie in den Sinn, dass das ja alles "profis" sind und vermutlich viel Linux nutzen. Und wer schiesst sich schon gern selbst ins bein? Is nur ne Vermutung und wird nicht wirklich zu treffen. aber so ein wenig davon beeinflusst sein dürfte es schon.

 

[ChilliConCarne]

Ne ne, manchmal unterscheiden sich die Meldungen inhaltlich sehr stark. Da sind mir auch schon Missgeschicke passiert.

Ich denke mal, dass bei diesem offiziellen Kontest kein "Heimvorteil" Einfluss gehabt haben dürfte. Das Risiko für einen Image-Schaden wäre zu groß. Der Kernel wird afaik zur Verbesserung ohnehin von einer Großzahl von Testern zerpflückt.

 

[Mustis]

ja aber du hast dochn blog zitiert oder? Da wird doch vornehmlich eher persönlich geschrieben oder war das der offizielle Blog zur veranstaltung?

Jedenfalls klingt die Gamestar Nachricht glaubwürdiger als der Blog wo schlicht nicht drauf eingegangen wird. Ich kann mir wirklich nicht vorstellen, das Ubuntu dermaßen sicher sein soll, insbesondere wenn Fremdsoftware wie Java im Spiel ist.

 

[ChilliConCarne]

Afaik ist das hier die offizielle Contest-Ausschreibung:
http://dvlabs.tippingpoint.com/blog/2008/03/19/cansecwest-pwn-to-own-2008

Und beim selben Veranstalter (tippingpoint) das offizielle Verlaufsprotokoll als Blog:
http://dvlabs.tippingpoint.com/blog/2008/03/28/pwn-to-own-final-day-and-wrap-up

Blog heißt ja nicht gleich unseriöser. Dieser Blog ist ja die erste Quelle.

Ich kann mir wirklich nicht vorstellen, das Ubuntu dermaßen sicher sein soll, insbesondere wenn Fremdsoftware wie Java im Spiel ist.

Die Vorstellung teile ich mit dir. Ich wette es gibt (als Beispiel der oben erwähnte Flash Player) Software die so schlecht programmiert ist, dass auch unter Linux ein Hack gelingt. Und damit meine ich keine Witze wie folgendes Shellscript:

rm -rf /

Letzten Endes muss das Betriebssystem und insbesondere der Kernel, den Speicher einfach so gut managen, dass irgendeine Schrott-Software eben nicht dazu kommt wild im Speicher rumzufuchteln.

 

[Forum-Fraggle]

Das, was an dieser News das Beste ist und den Unterschied zwischen Microsoft und Apple ausmacht ist, daß ich trotz Negativaspekt diese Nachricht zuerst auf Macseiten, dann auf Linuxseiten und ganz zum Schluß erst auf Winseiten lese. mit anderen Worten, Apple ist nicht nur schneller knackbar, sie stehen auch schneller als MS dazu.

 

[YouRselfgoq]

Mh, so wie es aussieht, steht Apple da noch einiges an Flickarbeit bevor. Glücklicherweise haben es Hacker eher selten auf mich abgesehen und obwohl Mac OS X angeblich so unsicher sein soll, gibt es immer noch keine lauffähigen Viren. Also irgendetwas funktioniert wohl doch im Sicherheitskonzept und das besser als bei anderen System. Selbst Linux, welches ja einen ähnlichen Marktanteil hat, ist vor diesen nicht gefeit. Ich möchte weiterhin daran erinnern, dass es letztes mal 2 Wochen bei Hack a Mac gedauert hat, bis man erfolgreich war, damals hat man aber noch Tiger benutzt. Leopard braucht halt noch einiges an Arbeit...

Ich habe schon immer gesagt, dass es an ein Wunder grenzt, dass Windows überhaupt so sicher sein kann, mit dieser unendlichen Vielfalt an Hardware und Software. Mit Vista scheinen sie einen großen Schritt nach vorne gemacht zu haben und das sollte uns wirklich alle freuen. Denn nur so kann man Cyberkriminalität begegnen und die hört bekanntlich nicht bei Windows auf, sondern ist Plattform übergreifend.

Ich denke, ein Betriebsystem ist durchaus für die Löcher der 3. Softwareanbieter mitverantwortlich. Wenn man nämlich diesen Programmen nicht alle Rechte einräumt, wird es auch mit den Löchern schwieriger. Wie ist es sonst zu erklären, dass die selbe Software auf verschiedenen Systemen mal ein leak ist und mal nicht.

 

[Mustis]

Yourselgoq:

wenn du dich mit dem letzten ABsatz auf Java beziehst, da gehen die meinungen auseinander. Die offizielle Quelle geht nicht weiter drauf ein, aber es gibt quellen, die aussagen, dass die Java Lücke unabhängig vom BS nutzbar sein soll.

Und inwieweit ein BS für Löcher von 3. Herstellern verantwortlich ist, kann man, denk ich, als Laie schwer beurteilen. Gewissen Rechte brauch die Software ja, da sie ansonsten gar nicht geht. Java muss ich zum Beispiel ja in einige Programme einschreiben dürfen (Browser etc.). Nimmst du ihm dieses Recht, kann es nicht richtig installiert werden. Das BS muss also den programmen auch einige Freiheiten gönnen und wenn es innerhalb dieser benötigten Freiheiten Unsinn anstellen kann da es nicht sauber programmiert wurde, dann kann ich perösnlich zumindest keine Schuld beim BS erkennen.

 

[derJuti]

Besonders übel erging es dem Apple-System in Form eines MacBook Air, das innerhalb von 2 Minuten gehackt wurde, indem eine offene Sicherheitslücke im Safari-Browser ausgenutzt wurde

Sicherheitsleck im Apple-Standard-Browser = da is net Flash oder Java oder sonstwas schuld, sondern dem Jobs seine Lakaien

PS: Es sei mal wieder am Rande erwähnt, dass der erste Virus der Computergeschichte für nen Apple gedacht war waren wohl früher schon leicht zu knacken

 

[blackiwid]

jetzt haben die Linux"kiddies" (nein, Linuxkiddies != Linuxuser, aber der Teil der Linuxuser, die ohne Pause auf MS herumbashen müssen) etwas zu tun und müssen einen anderen ganz bösen Punkt an MS finden, wenn die Sicherheitslücken ja doch net so übel sind.. im Vergleich zum Apfel :]

lol, der hauptgrund von opensource ist sicher nicht der das es immer sicherer sein muss, das kann (muss nicht) ein nebeneffekt sein weil jeder der will einen patch einschicken kann und oft (nicht immer) mehr kluge leute da sind, von verschiedenen firmen oder auch private die ohne hürden mit einander arbeiten können.

Des weiteren gibt es noch einen wettbewerb innerhalb von opensource also wenn der eine etwas nicht fixt und die andere firma es fixt dann wird in zukunft eben die letztere firma eher suppport-verträge und änliches verkaufen.

Aber geschenkt selbst wenn MS besser wäre (was sie nicht sind) wie linux was bugs fixen an geht, es ist nicht frei.

Dürfte gestern erleben was drm bei microsoft heißt. Bzw änliche technologien. Wo mir windows verboten hat (als administrator) ati tray tools zum laufen zu kriegen.

Nicht weil es mit vista incompatibel ist, nein weil der dafür nötige low-level-driver nicht signiert ist.

Und dies bei microsoft verboten ist so etwas zu laden. Mag ja sinnvoll sein an sich, das es aber keine möglichkeit gibt diesen mechanismus abzuschalten ist alles andere als sinnvoll. Ich musste das erste mal in meinem leben meinen eigenen Rechner mein eigenes betriebssystem hacken.

(bin kein vista freund unter anderem wegen so etwas) aber habs halt installiert erstens weil oblivion in manchen tests damit schneller ist und zweitens damit ich mir ein bild machen kann damit ich auch mitreden kann.

ich darf jetzt jedesmal beim booten f8 drücken und den kack ausschalten, jedesmal. Gibt weder eine lösung auf ms seiten für das problem noch einen funktionieren verfügbaren crack.

Schlimmer noch wenn es einen solchen crack geben würde würd ich mich auch noch strafbar machen wenn ich diesen mechanismus damit cracken würde. wohlgemerkt auf meinem pc und meinem betriebssystem.

Das und anderes (schutz meiner rechte software zu kopieren können, verändern und weiterzugeben, wie z.B. ein kochrezept) sind gründe FÜR linux/opensource und gegen windows/closed source, das windows trotzdem noch unsicherer ist als linux ist nur ein nebenprodukt.

 

[YouRselfgoq]

Apple hatten auch die ersten Computer, keine Wunder, dass er dafür gedacht war...

An Mustis:

Da hast du durchaus Recht. Man kann die Software nicht vollkommen einschränken. Leider bin ich auch nur ein Laie auf dem Gebiet. Ich revidiere mein Urteil dahingehend, dass das BS zumindest teilweise an einem Exploit Schuld sein kann. :>

Das Problem liegt am Web-Kit, welches Safari benutzt und wurde inzwischen gefixt. Hat also nur indirekt was mit Safari zu tun, denn das Webkit ist schließlich open source....
Inwiefern man da nun Apple die Schuld geben kann, können wir als Laien nicht beurteilen.

Zitat:
Ungefähr eine Woche dauerte es bis zum fertigen Exploit, der den schlagzeilenträchtigen Hack eines MacBook Air unter 10.5.2 ermöglichte, wie Charlie Miller der Computerworld erzählt und dabei bestätigt, dass die Lücke in Safari 3.1 steckt (vermutlich liegt diese in einem WebKit-Bug begraben, der inzwischen dort behoben wurde, aber noch nicht in eine finalen Safari-Version einfloss). «[Mac OS X] security is better than it was three or four months ago," said Miller when asked to characterize Apple's current security status. "... We were equally capable of finding [a vulnerability] in Windows if we had to," he said.» Auch das Vista-Notebook wurde am letzten Tag der Veranstaltung über eine Schwachstelle in Adobe Flash erfolgreich geknackt.

(http://www.fscklog.com/)

 

[blackiwid]

@Youselfgoq:

dann kann man apple aber schlechte releasepolitik vorwerfen wenn die bugfixes von webkit nicht sehr zeitnah in safire übernehmen. die versionsnummer spricht halt schon bände, 3.1 sprich sie haben nur größere minor releases in größeren abständen.

Bei mozilla wär das halt die version 2.0.0.14 und gut ist. und das in webkit das schon behoben wurde zeigt doch wieder die stärke von opensource, im gegenzug ist der bug in der kommerziellen umsetzung noch drin.

opensource bekanntwerden von einem bug tag1 -> 5h später erster bugfix im netz -> 2 tage später bei den besseren distributionen ein update im updatemanager der das problem fixt.

closedsource bug gefunden tag1 -> im netz gibts keine fixes da closed source -> der bug wird runtergespielt oder man sagt nix dazu -> 2 wochen später bei einem geplanten neuen release-termin kommt mit bischen glück der patch

<- das sind keine naturgesetze aber so läuft oft.

 

[Mustis]

@blackiwid
ich finde du siehst das vom falschen Standpunkt aus. MS macht das nicht um dich damit zu drangsalieren oder dich einzuschränken. Allerdings ist es aus Sicherheitsgründen praktisch low-level-Treiber signieren zu lassen. Denn einige Pogramme benötigen diese, aber sie freizugänglich zu machen ist heikel. Also wird eine auch bei Netzwerken beliebte TEchnik genutzt. Man kann zugreifen allerdings muss man identifiziert sein. Im NEtzwerk hat man dann nur Zugang, wenn die MAC Adresse des Gerätes bekannt und freigeschaltet wurde. Sich dort hineinzuhacken ist deutlich schwieriger als in einem freizugänglichen, eingeschränktem Netz. So ähnlich funktioniert das auch mit den signierten Treibern.

Übrigens fragt Windows doch ob man die unsignierten Treiber trotzdem installieren will. Ist zumindest bei den Nvidia Beta-Treibern so, die ebenfalls keine Signierung haben. Ich hab auch Vista 64.

 

[blackiwid]

installieren kann ich sie schon, nur werden sie hier nicht geladen, weiß nicht ob du noch kein sp1 installiert hast
aber die treibersignierung ist mitlerweile pflicht.

UPDATE:

hab ja auch geschrieben das es vielleicht sinn macht, da kann man sich streiten für firmen proffesionals aber für privatleute die sich gut auskennen macht es eben keinen sinn. Der mechanismus darf ja da sein, nur sollte es halt möglich sein das abzuschalten. Für mich der weiß welchen treiber er installieren will und welchen nicht macht es eben keinen sinn.

UPDATE2:

Bzw fühl ich mich bevormundet. Was ist das nächste ne zwangskindersicherung, die mir gefährliche internetseiten komplett filtert auch nicht abschaltbar und alles was für ms gefährlich ist hackseiten wo linux im html-code vorkommt wird gesperrt? ist noch nicht vorstellbar, aber schauen wir nochmal in 20 jahren was da dann vorstellbar ist und was nicht, das ich mal nicht mehr die treiber installieren kann die ich will (bzw laden) hätt ich mir vor 5 jahren auch nicht träumen lassen.

UPDATE3:

Das problem bei Microsoft und anderen "Professionals" ist immer das sie durch extreme Einschränkungen von Funktionalität vermeitliche Sicherheit erzeugen. Natürlich kann man z.B. dadurch das man alles über einen Proxyserver leitet sicherstellen (wenn mans richtig macht) das kein Bittorrent und änliches benutzt wird. Dafür läuft dann aber der Irc client oder anderes auch nimmer. Sind halt holzhammer-methoden, nun kann mir egal sein was ein administrator macht in einer firma oder sonstwo wenn er teuer für den traffic zahlen muss etc (man kann auch firewalls so konfigurieren das sie bt-zeug oder änlcihes verwerfen ist halt bischen aufwendiger).
Aber wenn ich zwangsmäsig solche Holzhammer-"Sicherheits-features" auf meinem system per update zwangsaktiviert bekomme sieht das anders aus.

Der einzige vorteil von der aktion ist bei microsoft, die können dann sagen eih die potentiellen abstürtzte die auf konto von solchen treibern gehen sind dann nimmer deren schuld (im zweifelsfall wird so ein komisches wasserzeichen eingeblendet das man ja auf den screenshots auch sieht)

Außerdem ist das ganze dann auch noch inkonsistent, wieso ist das bei 64bit version pflicht an und bei der 32bit nicht. Gibts dafür irgend einen vernünftigen grund, der irgendjemandem einleuchtet?

 

[Drankolz]

Endlich mal was wo Apple nich gut dasteht! *juju*

Das Gelaber einiger meiner Freunde "Apple is so gut, perfekt abgestimmt, keine Viren, super Sicherheit bester Service" nervt mih schon ewig

Freut mich für MS, dass sie nach lauter Rückschlägen wegen Klagen endlich mal was positives verbuchen können

 

[astrix]

Hm, Ich benutze XP und bin sehr glücklich damit.
Ich würde auch gerne mal andere BS ausprobieren, aber für OSX hab ich keinen PC ( keine Kohle ) und Vista war mir bisher einfach zu instabil, langsam etc. ( und so weiter und so fort ).Und Linux ( da erkennt man den NooB in mir ) hab ich sogar beim 8. Versuch nicht installiert bekommen.
Ausserdem muss jeder , normaldenkende Mensch, einsehen, dass es KEIN perfektes BS gibt und es auf die Ansprüche des Anwenders drauf ankommt, was für ihn am besten geeignet ist.

Kein BS ist 100 % sicher. Ausserdem - gehe einfach mal stark davon aus - dass es kaum Privat User gibt, die sich ihr BS nach der Sicherheit aussuchen. Von daher ist die News mal ganz interessant, aber dürfte eigentlich keine Diskussion auslösen können :-D

 

[Mustis]

@blackiwi doch sp1 ist installiert. trotzdem aknn ich beta treiber installen.

Somit wäre der Punkt des abschaltens revidiert. BEdenke bitte auch das die MEhrzahl der Vista nutzer eben nicht unter dem punkt "kennen sich aus" zusammengefasst werden können. und da ist eine gewisse Bevormundung leider Pflicht, da ansonsten kein BS sicher weden kann. Soweit ich weiss arbeitet Linux mit einem ähnlichem System nur das die Signierung da leichter zu bekommen ist.

 

[MacroWelle]

Wieso konnte dir weiter entgehen, dass auch bei Ubuntu ein Weg gefunden worden war, der lediglich deshalb nicht gemacht wurde, weil er für die VEranstaltung zu aufwändig und langwierig war, was im realen Leben aber keinen kriminellen Hacker abhält?

Ja ne, wie aufwändig es ist, eine Lücke zu nutzen, ist eines der absoluten Hauptkriterien für die Programmierer von Schadcode.
Sonst könnte man ja gleich argumentieren, dass kein Betriebssystem sicher sei, da jeder bei einem einbrechen und per Hardware-Keylogger sämtliche Passwörter abfangen könnte (was natürlich viel zu aufwändig ist).
Und was Java und Flash betrifft, hat die Open-Souce-Welt dafür gesorgt, dass es Alternativen zu den bestehenden Angeboten der Hersteller gibt - bei Java (welches ja mittlerweile selbst offengelegt wurde) gibt es mindestens zwei weitere Implementierungen, was sozusagend die "installierte Angriffsfläche" im Falle eines Bugs deutlich verringert. Man kann also noch mehr tun als "nur" ein sicheres Kernsystem zu benutzen (bei Flash sind die alternativen Programme allerdings noch nicht so weit).

[...] lediglich die Verbreitung und damit die Attraktivität des BS der eigentliche Schutz ist. Das war bei Mac und Linux sowieso lange ZEit der größte Schutz. [...] Linux mag sicherer sein, aber sollte es ähnlich populär werden wie Win, dann kann man sicher sein, dass auch bei Linux entsprechende Angriffe stattfinden werden.

Ich weiß ja nicht, worauf du hinaus willst, aber Linux-Systeme laufen nach Schätzungen auf über 100 Millionen Rechnern, sehr oft auf Systemen, bei denen die Sicherheit noch erheblich wichtiger ist als auf dem Desktop.
Relativ häufig sind (Web-)Server oder z. B. Router, usw. mit Linux bespielt und somit direkt Angriffen aus dem Netz ausgesetzt. Verbreitung und Verletzbarkeit sind also durchaus gegeben.

Bei diesen Systemen kann man die Anzahl der Angriffe gleich pro Sekunde zählen, weil sich das Eindringen lohnt - dennoch kann Sicherheit gewährleistet werden, wenn der Rechner gut administriert wird (was bei wichtigen Servern selbstverständlich sein sollte).

 

[Mustis]

zu Punkt 1. Lesen und verstehen. der Aufwand war im Rahmen der Veranstaltung zu groß. Nicht für einen kriminellen Hacker! also durchaus ernst zunehmen.

zu Punkt 2.
Server sind bei weitem für die Internetmafia nicht so interessant wie Privatrechner. Was will man den mit Firmendaten? Die kontrollieren viel zu sejr und haben das ruckzuck gesperrt. Private Bankdaten sind das Ziel und zwar möglichst von Menschen, die es mit der PC-Technik nicht so haben .und genau hier hat Linux keinen nennenswerten Marktanteil. Die Hackerszene hat sich gewaltig gewandelt. früher wars es oft sportlicher Anreiz, daher wurden bewusst schwierige Ziele wie das pentagon angegriffen. die heuteige Internetmafia hat daran kein Interesse. Die sind, wie erwähnt, an privaten Daten interessiert.

 

[ChilliConCarne]

Was will man den mit Firmendaten?

Uhm, WAS?! WIE BITTE?!
Man merkt schon deutlich, dass du noch nicht in einer Firma tätig warst .

Soweit ich weiss arbeitet Linux mit einem ähnlichem System nur das die Signierung da leichter zu bekommen ist.

Ähnliches System? Signierung? Also vom Linux-Treibermodell hast du ja reichlich falsches mitbekommen.

bei Java gibt es mindestens zwei weitere Implementierungen

Java wurde geforked? Oo
BTW: Java ist doch mittlerweile OpenSource. Ob jedoch unter der GPL weiß ich nicht.

 

[blackiwid]

@Mutis

das liegt halt daran das selbst die beta Treiber von NVidia signiert sind. Daher funktioniert das, aber das ändert nichts an meinem problem. Nicht jede firma oder jedes Projekt das opensource oder freeware programmiert kann und will sich ein zertificat leisten.

Vista 64bit + unsignierte Treiber ist ein NOGO

Quelle: http://www.forumdeluxx.de/forum/showthread.php?t=471598

Gibt auch bessere quellen gibt auch irgend ne seite bei Microsoft aber kein bock das jetzt raus zu suchen.


Noch schlimmer Microsoft kann sich ja auch noch raussuchen wen es zulässt, es ist also nicht nur eine Geldfrage, auch wenn MS das bisher noch nicht ausgenutzt hat die Möglichkeit in Hand dieses Konzerns ist schon gefährlich genug. So könnte z.B. Creativ sein Problem mit dem Treiberhersteller auf diese Art und weise los werden, mal schauen ob in sp2 auch in vista 32bit die pflicht eingeführt wird, dann noch bischen propagande gegen die bösen treiberhacker die das system instabil machen und das thema ist erledigt.

UPDATE1:

achja und zu den angeblichen signierungen der Treiber, das zeigst mir bitte mal. Weiß davon nichts, Linux warnt einen wenn man unsichere Treiber lädt (kurz geschlossene) z.B. nen nvidia treiber.

Des weiteren gefällt es Linuxentwicklern nicht das unsichere treiber deren code mit benutzen das sind aber lizenzrechtliche probleme. Aber zu guter letzt lässt man es trotzdem bis dato zu. Des weiteren wird linux diese auch nicht wirksam ausschließen können selbst wenn es gewollt wäre. Denn der Code von linux ist offen daher kann man immer einen workaround machen.

Bei vista wird das schwer, kann nicht einfach mal in den quellcode des vista-kernels gehen und dort die stellen modifizieren nochmal kurz kompilieren und am besten noch für user als update ins netz stellen.

Des weiteren ist es eine Frechheit das auf dieses Feature/einschränkung nicht bei verkauf des Produktes hingewiesen/gewarnt wurde und der user das per update eingespielt bekommt. Sprich der user A kauft und plötzlich per update B draus wird.

UPDATE2:

@chili, ja gpl weiß nicht genau ob v2 oder v3 aber gpl