News Pwn2Own: Lücken in iPhone, IE & Firefox entdeckt

Die Virenbeschreibungen sind dürftig, es wird nicht klar, ws genau der Virus tut und vor allem was die Vorraussetzungen sind, dass er das, was er tut, tun kann. Ich sagte deswegen auch "in den medien" - wenn du mir eine Heise-News bringst, die vor einem über Java verbreiteten Trojaner warnt ... In dem Zusmmenhang habe ich den Hinweis auf Handys deswegen gebracht, weil es einen solchen Virus einmal für Java-Handys gab - was auch damit zusammenhängt, dass die Java-Umgebung für Handys nicht der Java-Umgebung für Heimcomputer entspricht.
Nicht jeder Schädling wird in den Medien breitgetreten. Auch zeigen die Lücken + die Vireninfos (auch wenn knapp), dass Java eben doch nicht so uneingeschränkt sicher ist wie viele glauben. Hier noch ein kleiner netter Artikel (wenn auch älter) sogar von Heise: http://www.heise.de/security/meldun...beim-Einsatz-alternativer-Browser-144954.html

Auch wenn vielleicht die Java Umgebung für Handys eine andere ist, bleibt das zugrundliegende Prinzip generell das selbe, so dass genauso wie auf Handys über Java Schädlinge verbreitet wurden es genauso auch beim Computer (natürlich nicht in der selben Form) passieren kann.

Somit bleibe ich bei der Meinung, dass Java eine Sicherheitslücke darstellen kann und dass es absolut nahezu keinen Aufwand darstellt standardmäßig Java Applets nicht zu laden, da es erstens nur wenige Klicks sind und zweitens heutzutage im Web recht selten benötigt wird.
Er hat das getan, weil diese Leute ihrerseits bereits rumgeschimpft hatten, indem sie Leute für dumm erklärten, die durch solche Sicherheitslücken angreifbar wären. Da du diese Leute nur verteidigst, ohne zu kritisieren, dass deren Haltung ebenfalls ignorant und anmaßend ist, habe ich auf dich geantwortet.
Sie haben aber nicht ganz unrecht. Gut wenn man sich einigermassen vernünftig verhält und durch solch eine Lücke angegriffen wird, kann man dafür nicht viel, das stimmt schon und um solche Leute ging es mir und ich denke den anderen nicht. Jedoch sieht die Realität meistens so aus, dass Leute die angegriffen werden meist Leute sind, die sich eben nicht vernünftig verhalten. Eine andere Wortwahl wäre nur, dass solche Leute hirnlos sind, natürlich die letzteren, nicht die ersteren! Die Person die aber darauf gereizt reagierte, machte den Eindruck als wüsste sie nicht einmal wie man sich vernünftig verhält oder wäre der Meinung, dass dies (dazu zählen unter anderem Updates die du ansprachst) alles nichts bringt!
Aber viele, deren Haltung du hier verteidigt hast, wissen das eben nicht - es gibt auch die nicht wenig verbreitete Meinung: "Updates? Brauche ich nicht - die machen nur mehr kaputt als sie helfen, never change a running system und gegen Viren hilft eh am besten brain.exe" und dann kam Sasser
Ehm ich verteidige keineswegs die Meinung solcher Leute die nicht updaten oder nichts tun und meinen brain.exe helfe, da scheinst du weider entweder meine Kommentare nicht gelesen oder nicht verstanden zu haben, hier aus dem aller ersten Kommentar von mir:
Auch ist es ziemlich hirnlos seine Software nicht aktuell zu halten (egal ob Betriebssystem, Browser, Plugins, Virenkiller, Flash und co.)
Ganz im Gegenteil, ich sagte selbst man soll seine Software aktuell halten und in meinen Augen passt brain.exe mit dem was du beschreibst gar nicht zusammen, denn brain.exe bedeutet für mich eben auch Updates zu fahren! Mir ging es darum, dass man eben auch seine brain.exe nutzt, da diese meiner Meinung mehr Sicherheit bedeutet als irgend eine (scheinbar sichere) Software (und zu brain.exe zähle ich eben auch Updates und all das was ich in meinem ersten Beitrag hier nannte)!

Übrigends finde ich, dass der Satz "never change a running system" mitunter der größte Bullshit in der ganzen IT Welt ist! Der Satz müsste so lauten: "never change a running system if you don't know what you do!"
Also kurze Zusammenfassung meiner Haltung: Kritisier nicht nur in eine Richtung, sondern in beide. Denn so unangebracht, wie du denkst, war die Kritik von TheGhost31.08 nicht.
Doch war sie, zumindest in dieser Form! Hätte er gesagt, dass trotz brain.exe mal was schief laufen kann hätte ich nichts gesagt aber bei ihm kam es so rüber, als wäre brain.exe nutzlos und das stimmt so einfach nicht!

Und was soll ich da in eine andere Richtung kritiesieren? Etwa dass Brain.exe nicht immer hilft? Das habe ich erstens bereits getan und zweitens denke ich, dass das sowieso klar war! Aber da du anscheinend einfach nicht meine Kommentare ließt oder verstehst, hier noch einmal der Ausschnit aus dem ersten Kommentar:
Würde man zwar diese Punkte schonmal beachten (gibt natürlich weitere) wäre man zwar nicht 100% sicher (denn das ist praktisch nicht möglich), dennoch um ein großes vielfaches sicherer (nahezu 100%) unterwegs und das mit einem vertrettbaren Aufwand!



So aber langsam wirds mir echt zu blöd. Solltest du nochmal was schreiben das ich so nicht gesagt habe oder dass schon lange von mir bereits angesprochen wurde, dann werde ich das nicht weiter kommentieren, da ich keine Lust habe mich 100 mal zu wiederholen nur weil du nicht ließt oder nicht verstehst.
 
BPhoenix schrieb:
Ich zitiere mal den Satz dieses Artikels, der das Argument imho entkräftet: "Der Anwender wird zwar beim Laden eines solchen Applets gefragt, ob er ihm vertrauen möchte, allerdings wird er nicht davor gewarnt, dass er damit den Zugriff auf das System gewährt." Also ich besuche eine Warez-Seite und plötzlich kommt die Frage, ob ich ein Java-Applet erlauben möchte - wo genau ist da jetzt der Unterschied zur UAC-Abfrage? Der Virus konnte sich nicht automatisch installieren, sondern benötigte die ausdrückliche Erlaubnios des Users - wer das erlaubt. lädt auch eine ausführbare Datei herunter und bestätigt die UAC-Abfrage einer "Virus"-Installation, wenn er als ganz toller Hecht Java deaktiviert hat.

BPhoenix schrieb:
... Auch wenn vielleicht die Java Umgebung für Handys eine andere ist, bleibt das zugrundliegende Prinzip generell das selbe ...
Nein, wenn bspw. auf Handy-betriebssystem X zur Resourcenschonung die Sandbox unvollständig implementiert wird, ist das ein Unterschied, der das System erheblich anfälliger macht.

BPhoenix schrieb:
... dass es absolut nahezu keinen Aufwand darstellt standardmäßig Java Applets nicht zu laden, da es erstens nur wenige Klicks sind und zweitens heutzutage im Web recht selten benötigt wird.
Es wird deswegen immer seltener benötigt, weil die ganzen NoScript-User es so aussehen lassen, als wäre Java nicht verfügbar und prinzipiell unerwünscht - dann weicht man für seine Web-Anwendung natürlich auf andere Sachen aus, die zwar nicht sicherer, aber verfügbarer sind - bspw. indem man HTML5 um Fähigkeiten erweitert, für die man früher Java brauchte.

BPhoenix schrieb:
... Die Person die aber darauf gereizt reagierte, machte den Eindruck als wüsste sie nicht einmal wie man sich vernünftig verhält oder wäre der Meinung, dass dies (dazu zählen unter anderem Updates die du ansprachst) alles nichts bringt!
Nein, hat er beim Besten Willen nicht - er hat nur einen einzigen Satz in Form einer Rhetorischen Frage gesagt und mehr nicht, aber hier habt unsinnig darauf eingezetert.

BPhoenix schrieb:
...
Doch war sie, zumindest in dieser Form! Hätte er gesagt, dass trotz brain.exe mal was schief laufen kann ...
Genau das hat er - er hat eine einzige Rhetorische Frage gestellt und du hast einen enorm detaillierten Stereotypen in ihn hinein interpretiert, der überhaupt nicht sichtbar ist. Alles, was du hier mir vorwirfst, kannst du 1zu1 dir in deiner Reaktion auf TheGhost31.08 vorwerfen. Wenn du das mal verstehst, verstehst du auch meine Reaktion auf dich. (weil ich dir letzten Endes nur den Spiegel vorhalte)
 
Zuletzt bearbeitet:
MountWalker schrieb:
Es wird deswegen immer seltener benötigt, weil die ganzen NoScript-User es so aussehen lassen, als wäre Java nicht verfügbar und prinzipiell unerwünscht - dann weicht man für seine Web-Anwendung natürlich auf andere Sachen aus, die zwar nicht sicherer, aber verfügbarer sind - bspw. indem man HTML5 um Fähigkeiten erweitert, für die man früher Java brauchte.
Gibt es denn so viele Noscript-User? Ich kann mir kaum vorstellen, dass es wegen der komplexen Bedienung viele Nutzer anspricht.
HTML5 soll generell das Netz weniger von Plug-Ins abhängig und den Aufwand für Normalnutzer handhabbar machen. Denn mal ehrlich, wer könnte schon, ohne auf Videoportale zurückzugreifen, selbst ein Video auf einer Seite einbinden.
 
Zuletzt bearbeitet:
Ich zitiere mal den Satz dieses Artikels, der das Argument imho entkräftet: "Der Anwender wird zwar beim Laden eines solchen Applets gefragt, ob er ihm vertrauen möchte, allerdings wird er nicht davor gewarnt, dass er damit den Zugriff auf das System gewährt." Also ich besuche eine Warez-Seite und plötzlich kommt die Frage, ob ich ein Java-Applet erlauben möchte - wo genau ist da jetzt der Unterschied zur UAC-Abfrage? Der Virus konnte sich nicht automatisch installieren, sondern benötigte die ausdrückliche Erlaubnios des Users - wer das erlaubt. lädt auch eine ausführbare Datei herunter und bestätigt die UAC-Abfrage einer "Virus"-Installation, wenn er als ganz toller Hecht Java deaktiviert hat.
Da hast du recht. Dennoch ist das meist nicht bewusst und ja es hat nicht direkt was mit dem bisherigen Gespräch zu tun, ich wollte es dennoch einmal reinwerfen. Hier zum Beispiel setzt wieder das mit dem richtigen Verhalten der Benutzer an, denn viele würden da einfach auf Ok klicken und sich später wundern.

Irgendwie kann ich mir schon fast denken was du nun kommentieren willst. Sicher willst du sagen, dass das nicht das Problem von Java ist. Richtig, das ist es nicht, das habe ich aber auch nicht gesagt und in diesem Fall solltest du dir den letzten Satz des vorherigen Abschnitts nochmal durchlesen. Bin gespannt ob du trotzdem einen Kommentar in diese Richtung bringst...
Es wird deswegen immer seltener benötigt, weil die ganzen NoScript-User es so aussehen lassen, als wäre Java nicht verfügbar und prinzipiell unerwünscht - dann weicht man für seine Web-Anwendung natürlich auf andere Sachen aus, die zwar nicht sicherer, aber verfügbarer sind - bspw. indem man HTML5 um Fähigkeiten erweitert, für die man früher Java brauchte.
Das ist aber von vorne bis hinten vollkommener Blödsinn! Erstens gibt es relativ wenig "NoScript (was ein schöner Stereotyp den du die ganze Zeit nutzt) Leute", zweitens gab es glaub ich noch nicht mal NoScript als sich dieser Trend durchsetzte und drittens ist der Hauptgrund wieso Java immer seltener wird nämlich Flash und viertens wäre deine Aussage auch nur im Ansatz richtig würde Flash hier deutlich stärker verdrängt werden, aber das genaue Gegenteil ist eher der Fall! Zu guter letzt sind die HTML 5 Fähigkeiten viel eher ein Ersatz für Flash als für Java, auch entstand der Trend den du hier meinst als noch nicht einmal irgendjemand irgendwas von HTML 5 wusste...

Für mich ist Java, Flash und Javascript tatsächlich unerwünscht für Dinge die sehr wohl auch mit HTML geleistet werden können und nein irgendwelche billigen Menüanimationen sind alles andere als erwünscht wenn dadurch die Seite unbenutztbar wird! Für andere Dinge aufwendige interaktive Spiele und ähnliches gibt es keine ernsthafte Alternative zu Flash oder Java und somit hat jemand der sowas nutzt auch kein Probleme mit dem Einsatz solcher Techniken in solchen Bereichen selbst ich nicht!
Nein, hat er beim Besten Willen nicht - er hat nur einen einzigen Satz in Form einer Rhetorischen Frage gesagt und mehr nicht, aber hier habt unsinnig darauf eingezetert.
Doch hat er besonders mit dem zweiten Satz, denn dieser Teil mit dem "Oberklugen" zeigt doch genau was er damit bezweckte und zwar die ganze Verantwortung der Sicherheitsprobleme vom Benutzer auf die Softwareentwickler abzuwälzen wohingegen die anderen eben den Benutzer mit in die Verantwortung und das zu Recht nahmen!
Alles, was du hier mir vorwirfst, kannst du 1zu1 dir in deiner Reaktion auf TheGhost31.08 vorwerfen. Wenn du das mal verstehst, verstehst du auch meine Reaktion auf dich. (weil ich dir letzten Endes nur den Spiegel vorhalte)
So, du bist nicht in der Lage Kommentare zu lesen und zu verstehen und versuchst nun dein eigenes Unvermögen zu erklären in dem du behauptest du hältst einen Spiegel vor, weil ich sogar auf Dinge wie die Formulierung welche sehr wichtig zum verstehen von Aussagen sein kann werfe und du meine Kommentare mit Dingen kommentierst die ich zum Beispiel schon bereits gesagt habe, sehr interessant, das hat wirklich etwas kreatives...



Ich ziehe mich nun komplett aus der Diskussion zurück, da das nahezu nichts mehr mit dem Thema zu tun hat und eigentlich vollkommen überflüssig wäre, wenn einige Leute lesen könnten. Ich frag mich wieso der Thread noch nicht geclosed wurde...
 
Zuletzt bearbeitet:
BPhoenix schrieb:
...
Doch hat er besonders mit dem zweiten Satz, denn dieser Teil mit dem "Oberklugen" zeigt doch genau was er damit bezweckte und zwar die ganze Verantwortung der Sicherheitsprobleme vom Benutzer auf die Softwareentwickler abzuwälzen ...
Nein, genau das ist dort eben nicht zu erkennen, das hast du ihm nur unterstellt.
 
In letzter Zeit kommen immer mehr und mehr Lücken beim Firefox zum Vorschein.
Bitte fixen :D
 
Zurück
Oben