Wie "sicher" kann man Windows 7 maximal noch machen?

[floTTes]

Hey Leute,

Es geht hier nicht um "Brain.exe" oder ob es sinnvoll wäre, Windows 7 noch auf die Welt loszulassen. Nur darum, ob man überhaupt noch alle Angriffsvektoren für/gegen Windows 7 ausschalten kann. Windows 7 ist ja selbst mit extended Support nun schon ein(s) Jahr am Ende.

Ich käme offiziell und legal an alle Windows-7-Updates (inkl. extended Support), die bisher rausgegangen sind. Zumindest glaube ich, dass es legal wäre, wenn mir unsere IT-Admins die Updates zur Verfügung stellen. Sollte es doch, oder?
Einer von denen (Admins) sieht das mmN. etwas zu locker. Schließlich haben wir noch Win7-Rechner, die immer noch ins VPN kommen. Einer meiner Arbeitslaptops darf z.B. mit Win7 noch ins VPN. Aktuell ist er auch noch nicht einkassiert worden. Normal werden unsere Laptops alle 2-3 Jahre ausgetauscht ...

Specte/Meltdown wurde für Windows 7 noch behoben. Wenn ich Kommunikations-Dienste wie z.B. "Datei- und Druckerfreigabe" deaktiviere, Browser (Firefox ESR, oder sowas) und Office aktuell halte und eine restriktive, lokale Firewall habe, wäre Windows 7 dann ähnlich sicher Win10/Win11?

Gibt es aktuelle bekannte Sicherheitslücken bei Windows 7, die nicht mehr gefixed werden?

 

[conf_t]

Gibt es aktuelle bekannte Sicherheitslücken bei Windows 7, die nicht mehr gefixed werden?

Klar, jeden Monat veröffnetlich alleine MS zig CVEs, viele die Win 10 oder 11 betreffen betreffen auch Win7 oder Win8. Dazu noch die nicht offiziell veröffentlichten, aber auf einschlägigen Foren bekannte Sicherheitslücken.

https://www.cvedetails.com/vulnerability-list/vendor_id-26/product_id-17153/Microsoft-Windows-7.html

Und mit dem Supportende wird MS auch keine Schwachstelle mehr veröffentlichen. Man weiß es also schlicht nicht. Aber in Anbetracht der Tatsache, das MS monatlich zig CVEs für Windows (7) gemeldet und geschlossen hat, wird das nach Supportende so weitergehen. Die Frage ist schlicht nicht, ob es eine kritische Sicherheitslücke gibt, sondern wann. Und nicht jede wird durch die Presse gejagt.

Ich weiß noch wie ich mal in einem Securitykurs 2010 einen Windows Server 2000 SP4 mit einem einzigen Befehl in der CMD dazu überredet habe mit Adminrechte zu geben, der war vollgepatcht und lief erst im gleichen Jahr aus dem extended support. Wenn man weiß wie, ist das alles easy.

 

[coasterblog]

Win 7 hat sicherlich keine hohe Priorität beim Fixen. MS sieht das System EOL, auch wenn es noch extended Support gibt.

Wenn du wirklich mehr Sicherheit willst wechsle auf ein OS das unterstützt wird. Auch Software/Treiber ist schon oder wird über kurz oder lang nicht mehr für 7 unterstützt.

 

[conf_t]

Specte/Meltdown wurde für Windows 7 noch behoben.
....

pecte/Meltdown wurde für Windows 7 noch behoben. Wenn ich Kommunikations-Dienste wie z.B. "Datei- und Druckerfreigabe" deaktiviere, Browser (Firefox ESR, oder sowas) und Office aktuell halte und eine restriktive, lokale Firewall habe, wäre Windows 7 dann ähnlich sicher Win10/Win11?

Gab hunderttausende davor und danach.
Du reduzierst zwar mit deiner Maßnahme die Angriffsfläche, aber es gibt noch Aspekte, die ungeschützt bleiben und auch der Support von Firefox ESR, Chrome usw. für Win7 wird irgendwann vorbei sein. Dann gibt es auch keinen aktuellen Browser mehr.

 

[madmax2010]

Die rechteverwaltung kann seit Jahren genutzt werden um admirechte zu erhalten.
der Netzwerk stack ist ebenfalls angreifbar.

dieses Betriebssystem ist kaputt

 

[Tuetensuppe]

Brain.exe: Windows 7 nur mehr offline benutzen.

Schau lieber, ob du günstig Windows 10 bekommst.

Windows 11 kannst du mit einer für deinen Rechner neuen 7er-Lizenz auch nicht mehr aktivieren.

 

[schneup]

Gibt es aktuelle bekannte Sicherheitslücken bei Windows 7, die nicht mehr gefixed werden?

Guckst Du hier:
https://www.cvedetails.com/vulnerability-list/vendor_id-26/product_id-17153/Microsoft-Windows-7.html
Edit: Uebersehen das @conf_t den Link bereits gepostet hat. Seinen Ausfuehrungen ist nichts weiteres hinzuzufuegen.

 

[floTTes]

Ich habe alleine durch meine altes MSDN-Subscription/-Abo noch unzählige Windows-10-Enterprise-Keys. Windows 11 ist auch da. Aber ich hatte den Flitz, Windows 7 auf meinem alten Alienware-Laptop von 2013 zu installieren.

Diese bekannten CVEs sind auch remote angreifbar?

Der Rechner sollte nämlich schon noch online gehen. Dann sollte ich das wohl besser lassen. Schade ...

Danke für die Infos, Leute!

 

[madmax2010]

Nur darum, ob man überhaupt noch alle Angriffsvektoren für/gegen Windows 7 ausschalten kan

das geht weder mit windows 11, noch mit osx noch mit Linux.

Ergänzung (16. Januar 2024)

Diese bekannten CVEs sind auch remote angreifbar?

siehe oben. Netzwerk stack.

 

[kleines Bärchen]

Tja, was soll ich sagen . . .
Ich habe bis vor kurzem noch in einem Unternehmen gearbeitet, das sich "Innovation" und "Informatik" auf die Fahne geschrieben hat.
Gleichzeitig musste ich mit einem WIN 7 Rechner auskommen, Bj. 2012, da lief nicht mal mehr das geforderte Virenschutzprogramm, hochfahren ging nur noch im abgesicherten Modus, oft auch gar nicht.
Normalerweise hätten ich den nicht mehr nutzen dürfen, aber hat niemanden interessiert.
Soviel dazu.

 

[madmax2010]

Specte/Meltdown wurde für Windows 7 noch behoben.

das ist nicht os level..

 

[nutrix]

Einer von denen (Admins) sieht das mmN. etwas zu locker. Schließlich haben wir noch Win7-Rechner, die immer noch ins VPN kommen. Einer meiner Arbeitslaptops darf z.B. mit Win7 noch ins VPN. Aktuell ist er auch noch nicht einkassiert worden. Normal werden unsere Laptops alle 2-3 Jahre ausgetauscht ...

Der Admin sollte sofort wegen Unfähigkeit gefeuert werden.

Gibt es aktuelle bekannte Sicherheitslücken bei Windows 7, die nicht mehr gefixed werden?

Alles, und die Kollegen oben haben bereits alles gesagt. Richtig sicher ist Windows 7 nur offline und abgeschaltet. Nicht umsonst gibt es FBI- und BSI-Warnungen dafür. Zudem haben immer mehr Softwarehersteller zusätzlich den Support dafür eingestellt.

Einer meiner Arbeitslaptops darf z.B. mit Win7 noch ins VPN. Aktuell ist er auch noch nicht einkassiert worden. Normal werden unsere Laptops alle 2-3 Jahre ausgetauscht ...

Da habt Ihr wirklich eine sehr schlampige IT.

Es gibt keinen Grund, an Windows 7 irgendwie festzuhalten, wenn nicht ganz spezielle Gründe dagegen sprechen.

 

[floTTes]

das geht weder mit windows 11, noch mit osx noch mit Linux.

Das mir schon klar. Aber Windows 7 scheint dann wohl unter "Fahrlässigkeit" zu laufen. Bringt ja auch nix, Windows 7 aufzusetzen, nur um dann darauf zu warten, dass es Teil eines Bot-Netzwerks wird.

Der Admin sollte sofort wegen Unfähigkeit gefeuert werden.

Ich glaube "der Boy is tilted", weil ihm von oben immer der Hahn zugedreht wird.

@nutrix
Nee, Milliarden-Umsatz ...

Ich bin da mit meinem Win7-Rechner wohl auch eher durchs System gefallen. Ich wurde angeschrieben, ob der Rechner noch in meinem Besitz ist, dann "gewarnt", dass er bald nicht mehr ins VPN kommt. Aber geschehen ist noch nix.
Mein Win10-Rechner wurde turnusgemäß dann mit Win11 ersetzt.

Dieser besagte Rechner ist Teil einer Domäne und ultra-restriktiv eingerichtet. Da funktionieren weder USB-Sticks, noch Drucker, etc.
Vielleicht wähnen sie sich damit sicher. Irgendwie habe ich jetzt ein schlechtes Gewissen. Dachte Windows 7 wäre noch nicht ganz so unsicher ... hm ...

 

[nutrix]

Tja, was soll ich sagen . . .
Ich habe bis vor kurzem noch in einem Unternehmen gearbeitet, das sich "Innovation" und "Informatik" auf die Fahne geschrieben hat.
Gleichzeitig musste ich mit einem WIN 7 Rechner auskommen, Bj. 2012, da lief nicht mal mehr das geforderte Virenschutzprogramm, hochfahren ging nur noch im abgesicherten Modus, oft auch gar nicht.
Normalerweise hätten ich den nicht mehr nutzen dürfen, aber hat niemanden interessiert.

Darf ich raten, ÖD oder Behörde?

Da hättest Du nur die richtige Stelle anrufen müssen, und dann wäre vermutlich auch was passiert. Weil sowas darf nicht sein. Es liegt - in meinen Augen - sehr wohl in der Verantwortung des Mitarbeiters, sich genau um diese Dinge zu kümmern und sie anzumahnen. Genauso wie Korruption und kriminelle Machenschaften.

 

[SpiII]

Soviel dazu.

Wozu? Auf was ist das eine Antwort?

 

[nutrix]

Das mir schon klar. Aber Windows 7 scheint dann wohl unter "Fahrlässigkeit" zu laufen. Bringt ja auch nix, Windows 7 aufzusetzen, nur um dann darauf zu warten, dass es Teil eines Bot-Netzwerks wird.

Trotzdem nochmal nachgefragt, warum willst Du an Windows 7 festhalten?

 

[floTTes]

Will ich gar nicht. Soll ruhig weg. Wollte es aus Nostalgie auf 'nem alten Gaming-Laptop installieren.

Den Win7-Arbeitsrechner kann ich gar nicht selbst updaten. Nur abgeben ...
Aber dann hätte ich ja nur noch einen!
Den würde ich dann plattgemacht auch ausgehändigt bekommen. Aber ich habe gerne 2 Rechner, die ins VPN kommen.

 

[nutrix]

Nee, Milliarden-Umsatz ...

Autsch.

Ich bin da mit meinem Win7-Rechner wohl auch eher durchs System gefallen. Ich wurde angeschrieben, ob der Rechner noch in meinem Besitz ist, dann "gewarnt", dass er bald nicht mehr ins VPN kommt. Aber geschehen ist noch nix.

Dann einfach melden und dort abgeben, fertig. Es gibt da, gerade bei großen Firmen, sehr wohl diverse Richtilinien und Vorgaben, die das regeln. Wenn Du da irgendwie durchgefallen bist, einfach Dich hier rühren, und dann wird sich schon jemand darum kümmern (müssen). Je nach Firma und Unternehmen wird das an gewissen Stellen überhaupt nicht locker gesehen.

Vielleicht wähnen sie sich damit sicher. Irgendwie habe ich jetzt ein schlechtes Gewissen. Dachte Windows 7 wäre noch nicht ganz so unsicher ... hm ...

Ne, und Du hast es vielleicht nicht im Fokus: Große Unternehmen haben auch entsprechende IT-Versicherungen, die wiederum gewisse Vorgaben haben. Wenn dann entdeckt wird, daß eine Vorgabe nicht eingehalten wird, ist der Versicherungsschutz weg. Das finden dann die Vorgesetzten bestimmt nicht spaßig.

Den Win7-Arbeitsrechner kann ich gar nicht selbst updaten. Nur abgeben ...

Dann mach es doch einfach, wenn es schon so vorgeben ist.

Aber dann hätte ich ja nur noch einen!
Den würde ich dann plattgemacht aus ausgehändigt bekommen. Aber ich habe gerne 2 Rechner, die ins VPN kommen.

Das mußt Du dann mit Deinen Vorgesetzten klären. Fakt ist, wenn Du mit einem nicht mehr zugelassenen Gerät ins VPN reinhängst, machst Du Dich der groben Fahrlässigkeit schuldig, und Du bist im Schadensfall dran. Du kannst mir jetzt nicht erzählen, das bereits nicht vorher schon länger diverse E-Mails und Benachrichtigungen von höheren Stellen zu diesem Thema rausgingen.

 

[Rickmer]

Ich käme offiziell und legal an alle Windows-7-Updates (inkl. extended Support), die bisher rausgegangen sind. Zumindest glaube ich, dass es legal wäre, wenn mir unsere IT-Admins die Updates zur Verfügung stellen. Sollte es doch, oder?

Die Updates müssen pro PC lizenziert werden. Legalität hin oder her würde es auf jeden Fall gegen den Vertrag mit Microsoft verstoßen.

Nur darum, ob man überhaupt noch alle Angriffsvektoren für/gegen Windows 7 ausschalten kann.

Netzwerkkabel ziehen wird 99% der Angriffsvektoren kappen

Gibt es aktuelle bekannte Sicherheitslücken bei Windows 7, die nicht mehr gefixed werden?

Du kannst davon ausgehen, dass die meisten W10/W11 CVEs auch für W7 gelten. Das prüft nur keiner mehr weil W7 nicht mehr im Support ist.

Browser (Firefox ESR, oder sowas) und Office aktuell halte

Office aktuell halten wird nix
Firefox ESR ist auch nur noch bis September 2024 vorhanden, danach ist da auch Schluss

 

[floTTes]

Ich glaube du hast Recht, nutrix.

Dass das nun so ein Boomerang wird, hätte ich nicht gedacht.
Ich sollte den Rechner wohl abgeben. Ich habe da unsere Admins in der Verantwortung gesehen. Schließlich wissen die ja, dass ich den Rechner noch habe und mich regelmäßig damit einlogge ...

/e
Auch das noch ... grml
Ich verspreche hoch und heilig, dass ich den Rechner austauschen lassen werde. Aber wehe, die geben mir dann keinen Zweiten! Dann seid IHR Schuld!

/e
Ich wusste wirklich nicht, dass es um Win7 nun schon so aussieht.