News Pwn2Own: Lücken in iPhone, IE & Firefox entdeckt

[jery2000]

Wie wird denn das ausgesprochen?

"Pwn to own" oder eher "Pwn-Zone"?


Übrigens: Der Gewinner kriegt sicherlich ne Stelle bei Microsoft/Mozilla/Apple angeboten

pwn to own würd ich sagen

 

[psyspy]

die frage ist jetzt... welcher der browser ist der unsicherste und welcher der sicherste?
also im bereich mobile bzw desktop...

Und wie soll bitte ein eingeschaltetes hirn vor einer gehackten page schützen? Heute sind ja wieder oberkluge da... Ps. Written on opera mobil

Naja in Zusammenhang mit den News, in den es vor wenigen Tagen noch hieß, dass viele menschen trotz mulmigen Gefühls auf Spammails reagieren, denke ich schon, dass die ein oder andere Gefahr mittels Hirn umgangen werden kann.

 

[HellsMarch]

Finds gut, das Opera net dabei is^^

 

[dank1985]

Finds gut, das Opera net dabei is^^

Ist das jetzt gut oder schlecht?!

Schade, das Opera nicht mal richtig unter die Fittiche genommen wird. Würd mich ja mal interessieren, wie die so abschneiden.

 

[einfachder]

pwn to own würd ich sagen

Own to own

 

[Die Fi]

Bin ich hier eigentlich der einzige, der sich fragt wieso es überhaupt überhaupt Möglich ist bereits gelöschte Nachrichten durch Software die Applesegnierung aufweist aufzurufen?

 

[Dark Thoughts]

Genau, das ist ein Computerforum und da sollte man wissen, was das OSI-Modell ist und dass es nur 7 Layer hat.
Mit dem achten Layer ist scherzhaft der Benutzer gemeint. Ein Benutzer mit aktiviertem Hirn (oder auch nicht... ).
PS: Google hätte innerhalb von fünf Sekunden geholfen.

Ist ebenfalls nicht sicher ... Was natürlich nicht heißt das es nicht hilfreich wäre ...

 

[dUpLeX]

Bin ich hier eigentlich der einzige, der sich fragt wieso es überhaupt überhaupt Möglich ist bereits gelöschte Nachrichten durch Software die Applesegnierung aufweist aufzurufen?

na die apple signierung wird für jegliche software, welche auf iphone os geräten aufgerufen werden soll, benötigt. das hat mit dem speziellen fall erstmal nichts zu tun.
in dem punkte muss ich dir allerdings recht geben: es sollte einen wirklich stutzig machen, warum schon gelöschte sms noch aufrufbar bleiben!
vll ist es aber nur das gleiche prinzip wie bei einer hd, dass gelöschte daten nur aus dem "katalog" genommen werden und nicht physikalisch direkt gelöscht! das weiß ich nicht.
kennt sich irgendwer bezüglich dieses themas mit anderen handy herstellern aus?!

 

[TheGhost31.08]

Das abrufen von gelöschten dateien ist nicht vom medium abhängig. Es ist z.b. auch möglich gelöschte daten von einer sd-karte zu bekommen (sandisk legt seinen teureren karten dazu ein programm bei.)

 

[Dese]

hm, mit nem gewissen startkapital ist das sicher ein solides geschäftsmodell bei dem einiges an kohle zu holen ist!

fehler gibt'S immer und überall. aber ein produkt das schon von grund auf beschissen konzipiert wurde hat davon meist mehr und schwerwiegendere probleme.

 

[BPhoenix]

Press STRG+F13 to Continue...

Auch nen Klassiker xD Aber bin bei OSI 8 grad auch reingefallen :x Ich schiebs auf die Uhrzeit *g*

Ja ein Klassiker seine eigene Unwissenheit oder Dummheit zu zeigen, denn die Taste F13 (sogar bis F24) gibt es tatsächlich!
Hier: http://www.quadibloc.com/comp/kyb0301.htm
Ich selbst habe solche Tastaturen bisher nur einmal gesehen. Unter Linux kann man aber ganz gewohnt Tasten wie F13 bis F24 nutzen oder diese sogar auf normale Tasten legen (hatte mal versucht Caps Lock zu killen in dem ich es auf F13 lege, da man so wenigstens was mit dieser bescheuerten Taste anfangen hätte können).

Und wie soll bitte ein eingeschaltetes hirn vor einer gehackten page schützen? Heute sind ja wieder oberkluge da...

Nur weil du nicht weist wie man das Hirn benutzt müssen alle anderen nicht gleich Oberkluge sein. Damit du aber erfährst wie das mit dem Hirn funktioniert: Die allermeisten Sicherheitsprobleme liegen oft nicht im reinen HTML Parser (gut dort gibt es auch hin und wieder welche, erinnere mich da gerade an eine schöne Lücke im IE, die es z.B: sogar erlaubte ICQ User abzuschießen) aber in der Regel bestehen die allermeisten Sicherheitslücken wenn Dinge wie Javascript, Java oder vor allem Flash im Einsatz sind. Wenn man nicht in der Lage ist diese zu deaktivieren und sie bei jeder Seite aktiv hat, na dann surft man ganz eindeutig ohne Hirn! Ein weiterer Punkt der vor allem den FireFox trifft sind Plugins die Sicherheitslücken schaffen können oder gar selbst Schadsoftware enthalten können. Auch ist es wie es in den meisten Fällen passiert (gerade bei XP Nutzern und UAC Deaktivierern) enorm hirnlos den Browser mit administrativen Rechten auszufüren! Ein weitere wichtiger Punkt ist, dass man nicht alle möglichen Seiten besuchen sollte besonders Seiten wo man ein mulmiges Gefühl hat oder die ohnehin am Rande der Legalität liegen oder gar illegal sind! Auch ist es ziemlich hirnlos seine Software nicht aktuell zu halten (egal ob Betriebssystem, Browser, Plugins, Virenkiller, Flash und co.)

Würde man zwar diese Punkte schonmal beachten (gibt natürlich weitere) wäre man zwar nicht 100% sicher (denn das ist praktisch nicht möglich), dennoch um ein großes vielfaches sicherer (nahezu 100%) unterwegs und das mit einem vertrettbaren Aufwand!

fehler gibt'S immer und überall. aber ein produkt das schon von grund auf beschissen konzipiert wurde hat davon meist mehr und schwerwiegendere probleme.

Welches Produkt meinst du denn jetzt konkret?

 

[MountWalker]

... aber in der Regel bestehen die allermeisten Sicherheitslücken wenn Dinge wie Javascript, Java oder vor allem Flash im Einsatz sind. ...

Ja, vor allem die bösen Java-Applets, die auch beim nicht gesandboxten Firefox in ihrer Java-Sandbox stecken, sind das böseste Sicherheitsrisiko überhaupt? Es hat nichts mir fehlendem Hirn zu tun, Java "aktiviert" zu lassen: Ich möchte nicht jedesmal, wenn ich mal einem neuen Routenplaner oä. ausprobieren will, durch irgendwelche Submenüs "questen" um Java für diese neue Seite zu aktivieren. Wer Java-Applets im Browser "deaktiviert" deaktiviert am besten auch gleich die Möglichkeit auf Links klicken zu können.

... enorm hirnlos den Browser mit administrativen Rechten auszufüren!

Kleiner Tipp: Windows XP ist tot. Internet Explorer und Googole Chrome laufen seit längerem sandboxed und um Lücken in der IE8 Sandbox ging es auch in dem Test - die Sandbox musste beim versuche eingeschaltet sein. Das ist sogar besser, als nur ein eingeschränktes Benutzerkonto, denn in letzterem hätte ein Virus immernoch die Möglichkeit, Dateien dieses Benutzers zu löschen - ohne die mit Windows Vista eingeführte IE-Sandbox zu knacken kommt der Wurm aber nicht aus "Temporary Internet Files" heraus.

... Ein weitere wichtiger Punkt ist, dass man nicht alle möglichen Seiten besuchen sollte

Jap, am besten ich sperre mich aus dem World Wide Web soweit aus, dass ich nur noch fünf Websites benutze - scheiß auf die Weltofenheit des Internet.

... Auch ist es ziemlich hirnlos seine Software nicht aktuell zu halten

Die zu knackenden Systeme des Tests mussten alle auf den aktuellen Stand gepatcht sein.

 

[Swordmaster]

Ja ein Klassiker seine eigene Unwissenheit oder Dummheit zu zeigen, denn die Taste F13 (sogar bis F24) gibt es tatsächlich!
Hier: http://www.quadibloc.com/comp/kyb0301.htm

Bei max 0.01% der User vllt.

 

[MountWalker]

Bei älteren Macintosh-Tastaturen gehts bis F16 - das ist bei Mac erst, seitdem es einen Markt für Kompakttastaturen gibt, verschlankt worden.

 

[BPhoenix]

Ja, vor allem die bösen Java-Applets, die auch beim nicht gesandboxten Firefox in ihrer Java-Sandbox stecken, sind das böseste Sicherheitsrisiko überhaupt?

Tja lesen ist für manche Leute wohl wirklich schwer...
Da steht nicht nur Java und auch nicht, dass dies am schlimmsten ist. Auch sind Sandboxes nicht zwangsweise ein Garant für vollkommene Sicherheit! Besonders nicht wenn der Benutzer alles zulässt.

Es hat nichts mir fehlendem Hirn zu tun, Java "aktiviert" zu lassen: Ich möchte nicht jedesmal, wenn ich mal einem neuen Routenplaner oä. ausprobieren will, durch irgendwelche Submenüs "questen" um Java für diese neue Seite zu aktivieren. Wer Java-Applets im Browser "deaktiviert" deaktiviert am besten auch gleich die Möglichkeit auf Links klicken zu können.

Doch das hat was mit fehlendem Hirn zu tun wenn man aus Faulheit sicherheitskritische Dinge einfach mal so zulässt. Auch bezog ich mich hier wieder einmal nicht nur auf Java sondern auch auf Javascript und Flash aber lesen scheint ja wirklich für einige ach so schwer zu sein...

Deine "Faulheits" Argumente gelten genauso auch bei Flash und Javascript und hier sogar deutlich extremer, da Java vergleichsweise zu diesen im Web nahezu nicht mehr verwendet wird, die anderen beiden jedoch nahezu auf jeder Webseite zu finden sind und teilweise Webseiten oft anders als bei Java gar nicht mehr nutzbar durch das deaktivieren werden. Für die paar Webseiten, die Java noch verwenden, ist das echt kein Argument. Für die anderen Sachen wäre es aber eben ziemlich "hirnlos" diese aus Faulheit zu deaktivieren, da gerade vor allem Flash eine enorme Sicherheitslücke darstellt.

Kleiner Tipp: Windows XP ist tot.

Ach und das ist so weil du das sagst? Haha, mach die Augen auf und schau mal wenigstens einen Zentimeter über deinen Tellerrand, XP ist wahrscheinlich sogar immer noch öfter im Einsatz als Vista! XP wird immer noch supportet! Es gibt weiterhin verdammt viele XP Nutzer! XP ist noch lange nicht tot, leider...

Internet Explorer und Googole Chrome laufen seit längerem sandboxed und um Lücken in der IE8 Sandbox ging es auch in dem Test - die Sandbox musste beim versuche eingeschaltet sein. Das ist sogar besser, als nur ein eingeschränktes Benutzerkonto, denn in letzterem hätte ein Virus immernoch die Möglichkeit, Dateien dieses Benutzers zu löschen - ohne die mit Windows Vista eingeführte IE-Sandbox zu knacken kommt der Wurm aber nicht aus "Temporary Internet Files" heraus.

Mag sein, dass es prinzipiell besser ist wenn ein Schädling gar nicht auf das System kommt anstatt nur seine Auswirkungen zu begrenzen, dennoch ist es ziemlich leichtsinnig sich nur auf ein Sicherheitssystem zu verlassen. Das ist so als ob man sagt: "ich habe einen Virenkiller der macht schon alles nun brauch ich mich um nichts mehr kümmern und kann mein Hirn abstellen."

Tja so einfach ist das aber nicht. Denn selbst eine Sandbox ist wie bereits geschrieben kein Garant für vollkommene Sicherheit und trotz dieser kann irgendwann etwas schief laufen und wenn man dann den Browser mit administrativen Rechten ausführt hat man ein Probleme. Es mag zwar stimmen, dass Schadsoftware prinzipiell die Daten des Nutzers beschädigen könnte, jedoch zielt ein großer Teil von Schadsoftware eher darauf ab das System zu infizieren um es zu kontrollieren oder auszuspionieren. Das wäre wenn man mit eingeschränkten Rechten arbeitet nicht mehr (so leicht) möglich oder es könnte nachträglich deutlich besser entgegengewirkt werden.

Jap, am besten ich sperre mich aus dem World Wide Web soweit aus, dass ich nur noch fünf Websites benutze - scheiß auf die Weltofenheit des Internet.

Das ist gewaltiger Blödsinn! Hier geht es nicht darum dass man keine Seiten mehr besucht sondern dass man schaut welche Seiten man besucht! Nur weil man nicht auf illegale, möglicherweise illegale oder anders auffällige Seiten / Links nicht besuchen soll heißt das doch nicht gleich, dass man nicht alle anderen nicht besuchen darf. Zwar kann man das nicht immer Wissen, aber wenn z.B. in einem Forum ein Benutzer auf eine Warez Seite verlinkt und man dann diesem Link folgt, na dann handelt man vollkommen leichtsinnig und hirnlos!

Eine kleine Analogie: Ich sage du sollst nicht überall spazieren gehen (z.b. direkt auf der Autobahn), da es sonst gefährlich werden würde und du antwortest darauf, wenn man nicht überall spazieren gehen soll, soll man sich gleich zu Hause einschließen. Hoffentlich verstehst du nun den Fehler in deiner Logik.

Die zu knackenden Systeme des Tests mussten alle auf den aktuellen Stand gepatcht sein.

Meine Aussage bezog sich auf diesen Kommentar:

Und wie soll bitte ein eingeschaltetes hirn vor einer gehackten page schützen? Heute sind ja wieder oberkluge da...

Das ist eine allgemeine Frage, keine die sich direkt auf den Test an sich bezog. Auch wenn die Systeme aus dem Test vielleicht auf dem aktuellen Stand sind, muss dies nicht zwangsläufig bei den Nutzern dieser (meist nicht immer aktuellen) Systeme der Fall sein. Es mag zwar sein, dass auch aktuellste Versionen wie in dem Test geknackt werden können, jedoch ist die Wahrscheinlichkeit hoch, dass es in den folgenden Versionen behoben wird und man selber infiziert wird eher gering solange man nicht ewig auf der alten Version bleibt. Weil dies so ist antwortete ich eben auf eine allgemeine Frage mit einer allgemeinen Antwort auch wenn es im speziellen bei dem Test schon angewandt wurde.

Bei max 0.01% der User vllt.

Ja und? Nur weil kaum noch jemand sagen wir mal einen C64 nutzt heißt das noch lange nicht, dass es die nicht gibt / gab!

 

[MountWalker]

... Auch sind Sandboxes nicht zwangsweise ein Garant für vollkommene Sicherheit! Besonders nicht wenn der Benutzer alles zulässt.

Sandboxes sind genauso anfällig und unanfällig, wie die Benutzerrechtetrennung, die eigentlich nichts anderes als Sandboxing ist - das normale Benutzerkonto hat einen Sandkasten, der ausschließlich seinem Benutzerkonto entspricht, in diesem Benutzerkonto kann ich zusätzlich weitere, engere Sandkästen einbauen und diese machen verdammt viel mehr Sinn, als zu prahlen: "Auf Sandbox darf man sich nicht verlassen, aber auf die Benutzerkontosandbox schon".

... Auch bezog ich mich hier wieder einmal nicht nur auf Java sondern auch auf Javascript und Flash aber lesen scheint ja wirklich für einige ach so schwer zu sein...

Du hast es auch über Java gesagt und dein Abledern über Java ist einfach Quatsch - du siehst mittlerweile scheinbar (hoffentlich) ein, dass Java prinzipiell deutlich sicherer als Firefox-JavaScript und Adobe Flash ist.

... , XP ist wahrscheinlich sogar immer noch öfter im Einsatz als Vista! ...

XP wurde im Test nicht getestet.

... Mag sein, dass es prinzipiell besser ist wenn ein Schädling gar nicht auf das System kommt ...

Im Gegensatz zu dir und anderen mit deiner Meinung räume ich jederzeit gerne ein, dass Schädlinge auf meinen Rechner kommen, weil ich mich Paranoia-Software wie NoScript verweigere - schon weil es Zusatzsoftware ist, die selbst auch wieder fehlerhaft sein kann. Das einzige AddOn, das ich im Firefox nutze, ist FlashGot.

... Es mag zwar stimmen, dass Schadsoftware prinzipiell die Daten des Nutzers beschädigen könnte, jedoch zielt ein großer Teil von Schadsoftware eher darauf ab das System zu infizieren um es zu kontrollieren oder auszuspionieren.

Also die allermeisten Würmer im Netz wollen Botnets installieren - ein Botnet kann auch einfach nur in den Benutzerbereich des angemeldeten, "eingeschränkten" Nutzers installiert und gestartet werden, jeder "eingeschränkte" Nutzer hat einen eigenen Zugriff auf seine ganz persönliche Autostart-Konfiguration, auch das könnte jeder DDoS-Wrm also mit Leichtigkeit nutzen und der Wurm würde immer laufen, ohne dass er jemals Adminrechte benötigt hätte. Ich habe im Übrigen nie gesagt, die Benutzerrechtetrennung wäre unnötig (siehe einen Aspekt meines Horizonts), sondern nur, dass sie heute allgegenwärtig ist. Und wie gesagt, das Benutzerkonto ist im Prinzip eine Sandbox, es macht aber Sinn innerhalb dieser Sandbox, die nur Schreibzugriffe auf "das Betriebsystem" und andere Benutzerkonten verhindert, eine eitere Sandbox zu implementieren, die Webprogramme daran hindert, auf die persönlichen Dateien des Benutzerkontos zuzugreifen.

Um dabei nochmal auf Java mit seiner Sandbox zurückzukommen: Hast du jemals von einem Wurm in den Internet-Nachrichten gelesen, der über Java-Applets verbreitet wurde? Java gehört eben nicht in die Aufzählung mit Flash und JavaScript/ECMAscript hinein.

... Hier geht es nicht darum dass man keine Seiten mehr besucht ...

Habe ich auch nicht behauptet, aber die Nutzung des World Wide Web in der Form, wie das World Wide Web unsere Gesellschaft revolutioniert hat - die Nutzung des WWW um das "Globale Dorf" zu realisieren, muss selbstverständlich beinhalten, dass ich auch mal Seiten besuche, die ich nicht kenne - ich muss auch mal eine Website besuchen, von welcher Google, Bing oder Ask.com glaubt, sie gehöre einem hinterindischen Bauerndorf, das dort Agrarprodukte anbietet und Kontakt zu den Bauern ermöglicht - das ist das globale Dorf und nicht die eingesperrte Sicht auf die Technikforen und "Prime Medien". Bei sowas muss ich damit rechnen, dass deren Webserver mal geknackt und mit einem Wurmverteiler bespielt wird, sowas kommt vor - auch wenn das wirklich die Website meines Lieblingsbauerndorfs ist. Das ist übrigens auch sehr wichtig: Viren werden nicht nur von Seiten verteilt, die das wollen, sondern vor allem von Webportalen, die dafür gecrackt wurden und denen ein beachtlich großer Kundenstamm vertraut. Linux-Webserver mit schwachen Passwörtern sind da vor ein paar Monaten reihenweise zu Demonstrationszwecken infiziert worden. Demowürmer sind nicht gefährlich, sie scheuchen die Medien nur auf (imho war Sasser auch nur ein Demowurm), richtig gefährlich ist das, was die Viren machen, die nicht entdeckt werden - wieviele RedHat Enterprise Linux Apache Webserver gibts da draußen vielleicht, bei denen die Administratoren noch nicht gemerkt haben, dass ihr Passwort geknackt wurde und der Webserver munter BotNet-Würmer verteilt? Dieses Argument von wegen "Wer auf Pornoseiten surft ist selbst schuld" ist deshalb eben Quatsch - es wiegt einen eben in einer falschen Sicherheit. Die Website wird nicht dadurch gefährlich, dass sie dubios wäre, sondern dadurch, dass sie gecrackt worden ist.

Wenn sich jemand Warez oder Porn herunterlädt, kann er ja vor dem Öffnen in VLC einen Virenscan durchführen (den der Firefox-Downloader beim Windows-Firefox ja sowieso durchführt), wenn dabei trotzdem ein noch unbekannter Wurm in sein Benutzerkonto installiert wird, kann er das später feststellen, sofern die Benutzerrechtetrennung nicht überwunden worden ist - hinreichend sicher, denn mein PC ist nicht Fort Knox und die Daten enthalten keine extrem wichtigen Industriegeheimnisse.

P.S.
Grundsatz Nummer eins bei der Systemsicherung sollte es immer sein, den Aufwand an die zu sichernden Daten anzupassen. Meine Betriebsplanungstabellenkalkulation kann ich ja auf einem anderen Benutzerkonto erledigen, als das Surfen im WWW - das ist weniger Aufwand als ständig irgendwelche Plugins ab und anzuschalten. Vollkommene Sicherheit gibt es nur, wenn der Rechner vollkommen von anderen Datenquellen als ihm selbst abgeschottet ist. Einer der am weitesten verbreiteten Würmer auf XP-Systemen ist ein Wurm, der sich nicht übers Internet, sondern über USB-Sticks verbreitet.

P.P.S.
Mein Beitrag sollte kein persönlicher Angriff sein, falls es so rüberkam, bitte ich um Entschuldigung - ich hab nur manchmal einen heftigen Diskussionsstil, meine Gedanken kleben dabei aber an der Sache, nicht an der Person.

P.P.P.S.
Geschrieben in Konqueror, welcher momentan das Flash-Plugin, obwohl es installiert ist, fehlerbedingt nicht starten kann.

 

[BPhoenix]

Verdammt noch mal lern endlich lesen!

Sandboxes sind genauso anfällig und unanfällig, wie die Benutzerrechtetrennung, die eigentlich nichts anderes als Sandboxing ist - das normale Benutzerkonto hat einen Sandkasten, der ausschließlich seinem Benutzerkonto entspricht, in diesem Benutzerkonto kann ich zusätzlich weitere, engere Sandkästen einbauen und diese machen verdammt viel mehr Sinn, als zu prahlen: "Auf Sandbox darf man sich nicht verlassen, aber auf die Benutzerkontosandbox schon".

Habe ich nicht gesagt, sondern dass die Benutzerkontensteuerung eben auch wichtig ist, bei dir kommt es aber so rüber als wäre diese unnötig wenn man eine andere Sandbox nutzt! Ich habe gesagt, dass die Sandboxen in Browsern und co schön und gut sind aber dass man sich auf diese nicht blind verlassen soll.

Du hast es auch über Java gesagt und dein Abledern über Java ist einfach Quatsch - du siehst mittlerweile scheinbar (hoffentlich) ein, dass Java prinzipiell deutlich sicherer als Firefox-JavaScript und Adobe Flash ist.

Ich habe niemals gesagt, dass Java genauso unsicher ist wie Javascript oder Flash sondern dass es eben genauso nicht völlig sicher ist, ich habe sogar gesagt, dass Java verglichen zu den anderen sicherer ist! Der einzige Quatsch spielte sich in deiner Interpretation meines Kommentars wieder.

XP wurde im Test nicht getestet.

Und was zur Hölle hat das nun damit zu tun, dass ich den Bullshit von dir in Form "XP ist tot" verneint habe? Gar nix!

Im Gegensatz zu dir und anderen mit deiner Meinung räume ich jederzeit gerne ein, dass Schädlinge auf meinen Rechner kommen, weil ich mich Paranoia-Software wie NoScript verweigere - schon weil es Zusatzsoftware ist, die selbst auch wieder fehlerhaft sein kann. Das einzige AddOn, das ich im Firefox nutze, ist FlashGot.

Irgendwie scheint es so als würdest du etwas komplett anderes kommentieren, denn dein Kommentar ergibt zu der Stelle irgendwie keinen Sinn.

es macht aber Sinn innerhalb dieser Sandbox, die nur Schreibzugriffe auf "das Betriebsystem" und andere Benutzerkonten verhindert, eine eitere Sandbox zu implementieren, die Webprogramme daran hindert, auf die persönlichen Dateien des Benutzerkontos zuzugreifen.

Das habe ich doch direkt in dem Teil den du davor mit irgendwlechem Blödsinn der absolut nichts damit zu tun hatte bereits gesagt.

Also die allermeisten Würmer im Netz wollen Botnets installieren - ein Botnet kann auch einfach nur in den Benutzerbereich des angemeldeten, "eingeschränkten" Nutzers installiert und gestartet werden, jeder "eingeschränkte" Nutzer hat einen eigenen Zugriff auf seine ganz persönliche Autostart-Konfiguration, auch das könnte jeder DDoS-Wrm also mit Leichtigkeit nutzen und der Wurm würde immer laufen, ohne dass er jemals Adminrechte benötigt hätte.

Ließ dir meinen Kommentar noch einmal ganz gründlich durch, achte auf Sachen wie Konjunktiv, in Klammern stehende Wörter und ähnliches.

Um dabei nochmal auf Java mit seiner Sandbox zurückzukommen: Hast du jemals von einem Wurm in den Internet-Nachrichten gelesen, der über Java-Applets verbreitet wurde? Java gehört eben nicht in die Aufzählung mit Flash und JavaScript/ECMAscript hinein.

Ohne mal die ganzen Links durchzuklicken spucken mir 2 einfache Wörter in einer Suchmaschine das hier aus: http://de.altavista.com/web/results?itag=ody&q=java+lücke&kgs=0&kls=1

Habe ich auch nicht behauptet, aber die Nutzung des World Wide Web in der Form, wie das World Wide Web unsere Gesellschaft revolutioniert hat - die Nutzu...

...blabla zu lang zum kommentieren.

Anscheinend hast du es immer noch nicht verstanden: Mir ging es um Seiten die verdächtig sind bevor man sie besucht. Zum Beispiel, wenn auf der Seite die auf eine andere verlinkt diese in gewissem Kontext auftaucht der darauf schließen lassen kann, dass die Seite eben keine normale Seite ist und ähnliches!

Auch ist mir der Rest vollkommen klar aber um den ging es bei der ganzen Diskussion kein einziges mal...

Wenn sich jemand Warez oder Porn herunterlädt, kann er ja vor dem Öffnen in VLC einen Virenscan durchführen (den der Firefox-Downloader beim Windows-Firefox ja sowieso durchführt),

Wenn man solche Seiten besucht geht man absichtlich ein Risiko ein seinen Rechner zu infizieren. Ein Virenscan ist hier nicht wirklich viel sagend, gerade bei neuer Malware und kaum einer wird auf die Idee kommen Rechner mit alter Malware die überall entdeckt wird zu infizieren. Auch kann die Infektion schon vor dem Download über Lücken in Java, Javascript, Flash, den XML / HTML Parser, den Netzwerktreiber, die Firewall, das HTTP Protokoll, usw. erfolgen. Wobei meiner Meinung hier Java (am wenigsten von den dreien), Javascript und Flash als eher am wahrscheinlichsten anzusehen sind und gleichzeitig die sind wo man am Besten entgegenwirken kann wenn man vorher sein Hirn einschaltet.

wenn dabei trotzdem ein noch unbekannter Wurm in sein Benutzerkonto installiert wird, kann er das später feststellen, sofern die Benutzerrechtetrennung nicht überwunden worden ist

Sofern überhaupt eine Benutzerrechtetrennung vorhanden ist! Und genau deswegen sagte ich, dass man einen Browser nicht als Administrator starten soll, denn dann gibt es praktisch keine! Auch wenn du es nicht glauben willst passiert das im Alltag auf den aller meisten Computern. Entweder weil es XP Nutzer sind oder UAC deaktivierer, schau dich mal nur mal ein bisschen in Foren rum überall heißt es: "UAC ist Scheiße und muss als erstes deaktiviert sein, damit man vernünftig arbeiten kann, was soll der Blödsinn überhaupt? Ich bin ein Oberhaxx0r, ich brauch sowas nicht!"

Grundsatz Nummer eins bei der Systemsicherung sollte es immer sein, den Aufwand an die zu sichernden Daten anzupassen. Meine Betriebsplanungstabellenkalkulation kann ich ja auf einem anderen Benutzerkonto erledigen, als das Surfen im WWW - das ist weniger Aufwand als ständig irgendwelche Plugins ab und anzuschalten.

Du meinst es ist viel Aufwand für Seiten denen man vertraut und die man öfters besucht kurz mit 2 Klicks eine Regel hinzuzufügen oder aber bei Seiten die man vielleicht einmalig ansurft und es auf dieser einmalig nötig wird den Schutz etwas zu lockern kurz wieder zwei Klicks zu tätigen was bei einigen Seiten nicht mal nötig ist, da sie vernünftig entwickelt wurden und so ohne Skripts und ähnliches funktionsfähig sind? Der Aufwand ist lächerlich gering!

Auch kann es durchaus sein, dass vielleicht die Daten auf dem Rechner unwichtig erscheinen, aber es geht ja nicht nur um die Daten auf dem Rechner sondern auch um den Rechner selbst. Angenommen der Rechner wird infiziert und es gelangt ein Keylogger auf diesen, dann können die Daten auf dem Rest des Rechners noch so unwichtig sein, wenn du online z.B. dein Passwort in ein Login Forumular eingibst! Ganz böse kann das z.B. bei Onlinebanking enden aber 2 Klicks hin und wieder sind ja zu viel verlangt... Oder wenn jemand zum Beispiel Kinderpornografie auf deinen Rechner lädt und kurz darauf versucht über deinen Rechner das BKA zu hacken!

Dass dein Computer durch einige dieser Masnahmen nicht zu Fort Nox wird ist klar, jedoch ist der Aufwand lächerlich gering und die Wirkung ist meiner Meinung nach als recht hoch einzustufen.

Mein Beitrag sollte kein persönlicher Angriff sein, falls es so rüberkam, bitte ich um Entschuldigung - ich hab nur manchmal einen heftigen Diskussionsstil, meine Gedanken kleben dabei aber an der Sache, nicht an der Person.

Nein ich werte das nicht als Angriff, sondern viel mehr so, dass du denkst ich wüsste nicht wovon ich rede, so dass du denkst du kannst meinen Beitrag einfach so überfliegen paar Wortfetzen lesen und dann ohne wirklich den Sinn zu verstehen irgend etwas verzapfen! Auch wenn du den Drang hast deine Gedanken hier einfach so kund zu tun, solltest du vorher zumindest mal wenigstens die Beiträge lesen und vor allem verstehen, bevor du sie mit Dingen kommentierst die gar nichts damit zu tun haben oder mit Dingen die ohnehin schon im Kommentierten enthalten sind oder aber Dinge die gar nicht vom Kommentierten angesprochen wurden!

 

[MountWalker]

Also dass ich deinen beitrag nicht verstanden hätte, lasse ich mir nicht andichten - das ist einfach Quatsch. Um das ganze jetzt aber nicht ellenlang fortzuführen (ich habe eben auch keine Lust auf eine Repeat-Schleife), nur noch zwei Punkte:

1. Ich habe nicht nach Sicherheitslücken in Java gefragt, sondern nach (echten) Viren, die diese ausnutzten - so einfach, wie du dir das vorstellst oder wie das das Vorhandensein eines Exploits, der selbst nicht weit kommt, ist deren Ausnutzung zur Systemermordung dann nämlich auch nicht, wenn eben weitere Schranken vorhanden sind. Um Handys mit Single-user-Betriebssystemen gehts hier übrigens nicht, denn um die gehts bei deinem verlangen nach Java-Deaktivierung im Webbrowser ja auch nicht. Die weiteren Schranken existieren bei deinem Vorwurf, man wäre völlig verblödet, wenn man Java nicht deaktivieren würde, alle irgendwie nicht. Einen Keylogger ohne Adminrechte zu installieren, geht nunmal nicht, du forderst doch selbst, dass diese Benutzerkontensteuerung richtig genutzt werden soll, wieso kommst du dann auf die Idee jedem Hirnriss vorzuwerfen, der diese nutzt und nur Java aktiviert lässt?

2. Das Risiko bei pornoseiten ist nicht höher, als bei meiner Suche nach Kontakten für Agrarprodukte, denn, auch wenn das Vorurteil nicht tot zu bekommen ist, Pornoseitenbetreiber haben eben kein erhöhtes Interesse daran, uns mit Malware zu infizieren. Pornoseiten sind nur das häufigste, was es gibt, und nirgends laden so viele Leute etwas runter, wie von pornoseiten, deswegen werden vor allem Pornoseiten gecrackt. Die allermeisten pornoseitenbetreiber wollen dich überreden, einen ganz offiziellen Abovertrag abzuschließen (auch die tausenden US-Porn-Sites), mit offiziellem Kreditkartengeschäft - mehr nicht.

 

[BPhoenix]

Ich habe nicht nach Sicherheitslücken in Java gefragt, sondern nach (echten) Viren, die diese ausnutzten - so einfach, wie du dir das vorstellst oder wie das das Vorhandensein eines Exploits, der selbst nicht weit kommt, ist deren Ausnutzung zur Systemermordung dann nämlich auch nicht, wenn eben weitere Schranken vorhanden sind.

Erwartest du dass ich hier Links zu Viren poste?

Naja vielleicht reicht dir ja das hier:
http://www.sophos.de/security/analy..._section&submit.x=84&submit.y=6&action=search
http://www.kaspersky.com/viruswatchlite?search_virus=java&x=0&y=0&hour_offset=-2

Um Handys mit Single-user-Betriebssystemen gehts hier übrigens nicht, denn um die gehts bei deinem verlangen nach Java-Deaktivierung im Webbrowser ja auch nicht.

Habe bisher nie auch nur mit einem Wort behauptet, dass es hier um Handys geht...

Die weiteren Schranken existieren bei deinem Vorwurf, man wäre völlig verblödet, wenn man Java nicht deaktivieren würde, alle irgendwie nicht.

Mein Vorwurf? Es kam der Einwand von jemand anderem, dass wenn man sein Hirn einschaltet es immer noch besser ist als vermeintlich sichere Browser zu nutzen, denn wie in dem Artikel rauszulesen ist gibt es einen solchen Browser nicht. Jemand anderes fragte dann wie man sich vor schädlichen Seiten schützen soll und hat die Leute die das mit dem Hirn anschalten geschrieben haben als Oberkluge beschimpft. Ich habe diese Diskussion mit dem Hirn einschalten nur aufgegriffen und entsprechend dieser Vorlage formuliert, dass es eben nicht nur Oberkluger Blödsinn ist, sondern dass es tatsächlich gewisse Verhaltensregeln gibt, die die Sicherheit auch bei nicht perfekten Browsern enorm erhöhen kann!

Einen Keylogger ohne Adminrechte zu installieren, geht nunmal nicht, du forderst doch selbst, dass diese Benutzerkontensteuerung richtig genutzt werden soll, wieso kommst du dann auf die Idee jedem Hirnriss vorzuwerfen, der diese nutzt und nur Java aktiviert lässt?

Das mit dem Keylogger war ein Beispiel dafür was möglich ist wenn man nicht gewisse Verhaltensregeln einhält! Angenommen der Browser läuft mit Adminrechten (ich habe in dem Beispiel weder gesagt, dass das der Fall ist noch dass dies nicht der Fall ist) und man erlaubt die ganzen Skripte und ähnliches, so dass eine Sicherheitslücke geschaffen wird, dann wäre genau das Szenario möglich das ich beschrieben habe.

Das Risiko bei pornoseiten ist nicht höher, als bei meiner Suche nach Kontakten für Agrarprodukte, denn, auch wenn das Vorurteil nicht tot zu bekommen ist, Pornoseitenbetreiber haben eben kein erhöhtes Interesse daran, uns mit Malware zu infizieren.

Also zu aller erst nicht ich habe eigentlich die Pornoseiten eingeworfen sondern du. Abgesehen davon sind Pornoseiten grenzwertig. Ja auf viele mag es zutreffen, dass die Betreiber nur Abo Verträge abschließen wollen, dennoch sind Pornoseiten sicher überdurchschnittlich mit Malware verseucht, denn Pornoseiten sind mitunter die besten Lockmittel und zum anderen sind ganz sicher nicht alle der Betreiber solcher Seiten seriös und verfolgen eher andere Ziele. Auch denke ich, dass diese Haltung aus Dialer Zeiten kommt und dort hatten meines Wissens viele solcher Seiten sowas. Das spricht auch nicht gerade für die Seriösität oder "guten Absichten" einiger Betreiber solcher Seiten.

Seiten um die es mir aber in erster Linie ging und die ich im Gegensatz zu den Pornoseiten sogar selbst genannt habe und die mir von dir nicht einfach angedichtet wurden sind Warez Seiten und andere Illegale oder Grauzonen Seiten (zum Beispiel Rechtsextreme oder Kinderpornographie) zu denen eben normale Pornoseiten in erster Linie nicht gehören! Bei solchen Seiten liegt es eben extrem nahe, dass man auf Malware stossen wird. Und in der Regel landet man auf solchen Seiten nicht wenn man nicht vollkommen leichtsinnig ist oder gar bewusst solche Seiten aufsucht. Ja ich weis, dass es selbst wenn man aufpasst unter Umständen auf so einer Seite landen kann aber darum geht es nicht, sondern darum, dass man eben aufpassen sollte nicht auf solchen Seiten zu landen!

 

[MountWalker]

...
http://www.sophos.de/security/analy..._section&submit.x=84&submit.y=6&action=search
http://www.kaspersky.com/viruswatchlite?search_virus=java&x=0&y=0&hour_offset=-2...

Die Virenbeschreibungen sind dürftig, es wird nicht klar, ws genau der Virus tut und vor allem was die Vorraussetzungen sind, dass er das, was er tut, tun kann. Ich sagte deswegen auch "in den medien" - wenn du mir eine Heise-News bringst, die vor einem über Java verbreiteten Trojaner warnt ... In dem Zusmmenhang habe ich den Hinweis auf Handys deswegen gebracht, weil es einen solchen Virus einmal für Java-Handys gab - was auch damit zusammenhängt, dass die Java-Umgebung für Handys nicht der Java-Umgebung für Heimcomputer entspricht.

... und hat die Leute die das mit dem Hirn anschalten geschrieben haben als Oberkluge beschimpft. ...

Er hat das getan, weil diese Leute ihrerseits bereits rumgeschimpft hatten, indem sie Leute für dumm erklärten, die durch solche Sicherheitslücken angreifbar wären. Da du diese Leute nur verteidigst, ohne zu kritisieren, dass deren Haltung ebenfalls ignorant und anmaßend ist, habe ich auf dich geantwortet.

... Ja ich weis, dass es selbst wenn man aufpasst unter Umständen auf so einer Seite landen kann aber darum geht es nicht, sondern darum, dass man eben aufpassen sollte nicht auf solchen Seiten zu landen!

Aber viele, deren Haltung du hier verteidigt hast, wissen das eben nicht - es gibt auch die nicht wenig verbreitete Meinung: "Updates? Brauche ich nicht - die machen nur mehr kaputt als sie helfen, never change a running system und gegen Viren hilft eh am besten brain.exe" und dann kam Sasser

Also kurze Zusammenfassung meiner Haltung: Kritisier nicht nur in eine Richtung, sondern in beide. Denn so unangebracht, wie du denkst, war die Kritik von TheGhost31.08 nicht.