staging.inyokaproject.org

Jo aber der Exploit kann net so einfach nen Bufferoverflow auslösen.

Ein BufferOverflow ist gänzlich unabhängig von den Benutzerrechten. SELinux, AppArmor und Konsorten tun vor allen Dingen eines: Sie erlauben viel mehr Konfiguration im Bezug auf Systemsicherheit. Das hilft auf dem Desktop aber wenig.

Und für den Benutzer ist es letztenendes wenig relevant ob ein Angriff nur seine persönlichen Daten vernichtet hat, oder sein ganzes System.

Linux ist im moment für den Benutzer definitiv die sicherere Wahl, das heißt aber nicht, dass das mit der zunehmenden Zahl an unbedarften Benutzer immer so bleibt.

biernot hat geschrieben:

Schlaffi hat geschrieben:

biernot hat geschrieben:

Immer wenn ich solche Artikel lese frage ich mich warum eigentlich nie Linux als "Lösung" empfohlen wird? Haben die Redaktionen Scheuklappen auf?
Biernot

Ich habe eine entsprechende Anfrage abgeschickt.

Hab ich dem Spiegel bei einem ähnlichen Artikel auch schon mal. Habe keine Antwort erhalten ☹

Ich habe heute - unerwarteterweise - sogar eine freundliche Antwort erhalten: ☺

Vielen Dank für Ihre Zuschrift.

Sie haben mit Ihrer Anmerkung Recht. Ich hätte natürlich erwähnen können, dass es mit Linux solche Schwierigkeiten für den Anwender, wie sie im Artikel beschrieben werden, nicht gibt. Die Ursachen für diese Schwierigkeiten liegen jedoch auf der Hand: Damit es sich für sie auch lohnt, attackieren professionelle Datendiebe in aller Regel Betriebssysteme und Anwendungen, die einen gewissen Verbreitungsgrad besitzen. Da bieten sich MS-Betriebssysteme mit ihrer dominierenden Marktstellung natürlich an. Interessant ist in diesem Zusammenhang, dass die Cyberkriminellen, deren Aktivitäten in besagtem Artikel beschrieben werden, nicht nur Windows und MS-Applikationen, sondern beispielsweise auch den Firefox und Apples Quicktime angreifen. Es findet also eine Ausweitung auf andere sehr verbreitete Anwendungen - auch aus dem Open-Source-Bereich - statt - übrigens ein weiterer Beweis dafür, dass der Verbreitungsgrad die entscheidende Rolle spielt. Nischenprogramme mit nur wenigen Anwendern sind in aller Regel vor Angriffen sicher.

Ich lese aus Ihrer Zuschrift auch die Kritik heraus, dass Linux trotz seiner Vorteile gegenüber MS-Betriebssysteme auch und besonders beim Thema Sicherheit im Artikel nicht erwähnt wird. Auch hier haben Sie grundsätzlich Recht. Man hätte beispielsweise in der Infobox schreiben können: "Mit Linux wär' das nicht passiert!"
Die Infobox richtet sich allerdings an potenziell Betroffene. Und meiner Erfahrung nach ist es in solchen Situationen wenig hilfreich, jemandem zu sagen: "Nimm doch das sicherere Linux!" In der Infobox geht es um Erste Hilfe für potenziell Betroffene - und das sind nun einmal die Nutzer von Windows-Betriebssystemen und der anderen genannten Programme.

Im Übrigen hat heute.de schon häufiger über die Themen Linux und Open Source berichtet und wird das auch in Zukunft tun. Der letzte ausführliche Artikel, der die Vorzüge von Linux gegenüber anderen Betriebssystemen schildert, stammt von der letzten CeBit und befasste sich mit Knoppix.
siehe "Lust auf Linux"
http://www.heute.de/ZDFheute/inhalt/3/0,3672,5253475,00.html

Auch über den Linux-Tag in Berlin wurde ausführlich berichtet:
"Open Source:'Wir haben geöffnet!'"
http://www.heute.de/ZDFheute/inhalt/10/0,3672,5544554,00.html

Ich hoffe, meine Ausführungen waren hilfreich.

Mit freundlichem Gruß

Wow. Da hat sich heute.de ja Mühe gemacht! Obwohl man mit dem Verfasser sicherlich noch den einen oder anderen Punkt ausdiskutieren möchte. (wie zum Beispiel, dass die Exploits im Quicktime nur auf MS-Systemen greifen)

Damit es sich für sie auch lohnt, attackieren professionelle Datendiebe in aller Regel Betriebssysteme und Anwendungen, die einen gewissen Verbreitungsgrad besitzen. Da bieten sich MS-Betriebssysteme mit ihrer dominierenden Marktstellung natürlich an.

Ich behaupte aufgrund der mangelnden Sicherheit bei MS Produkten

Interessant ist in diesem Zusammenhang, dass die Cyberkriminellen, deren Aktivitäten in besagtem Artikel beschrieben werden, nicht nur Windows und MS-Applikationen, sondern beispielsweise auch den Firefox und Apples Quicktime angreifen.

Nur im Zusammenhang mit MS.

Es findet also eine Ausweitung auf andere sehr verbreitete Anwendungen - auch aus dem Open-Source-Bereich - statt - übrigens ein weiterer Beweis dafür, dass der Verbreitungsgrad die entscheidende Rolle spielt. Nischenprogramme mit nur wenigen Anwendern sind in aller Regel vor Angriffen sicher.

Eine wichtige, aber nicht die Entscheidene.

Der Kollege ging gar nicht auf Ubuntu ein. Kannte er es vielleicht noch gar nicht? Weiß er gar nicht, dass es eine "einfache" Alternative zu Windows gibt?

Biernot

biernot hat geschrieben:

Interessant ist in diesem Zusammenhang, dass die Cyberkriminellen, deren Aktivitäten in besagtem Artikel beschrieben werden, nicht nur Windows und MS-Applikationen, sondern beispielsweise auch den Firefox und Apples Quicktime angreifen.

Nur im Zusammenhang mit MS.

Muss ich mich jetzt wieder unbeliebt machen? Lest die Debian Security Mailing-Liste, Firefox ist nicht frei von schweren Bugs und jeden Monat werden mehrere davon behoben, die alle hätten ausgenutzt werden können, egal welches Betriebssystem der Anwender nutzt.

Sorry für die lange Liste, aber ich denke das sollte hier mal gezeigt werden. Alle fetten sind extrem kritisch.

CVE-2007-1362
Nicolas Derouet discovered that Iceweasel performs insufficient
validation of cookies, which could lead to denial of service.
CVE-2007-2867
Boris Zbarsky, Eli Friedman, Georgi Guninski, Jesse Ruderman, Martijn
Wargers and Olli Pettay discovered crashes in the layout engine, which
might allow the execution of arbitrary code.
CVE-2007-2868
Brendan Eich, Igor Bukanov, Jesse Ruderman, moz_bug_r_a4 and Wladimir Palant
discovered crashes in the javascript engine, which might allow the execution of
arbitrary code.
CVE-2007-2869
"Marcel" discovered that malicous web sites can cause massive
ressource comsumption through the auto completion feature, resulting
in denial of service.
CVE-2007-2870
"moz_bug_r_a4" discovered that adding an event listener through the
addEventListener() function allows cross-site scripting.
CVE-2007-2871
Chris Thomas discovered that XUL popups can can be abused for spoofing or
phishing attacks.

CVE-2006-6497
Several vulnerabilities in the layout engine allow remote
attackers to cause a denial of service and possibly permit them to
execute arbitrary code. [MFSA 2006-68]
CVE-2006-6498
Several vulnerabilities in the JavaScript engine allow remote
attackers to cause a denial of service and possibly permit them to
execute arbitrary code. [MFSA 2006-68]
CVE-2006-6499
A bug in the js_dtoa function allows remote attackers to cause a
denial of service. [MFSA 2006-68]
CVE-2006-6501
"shutdown" discovered a vulnerability that allows remote attackers
to gain privileges and install malicious code via the watch
JavaScript function. [MFSA 2006-70]
CVE-2006-6502
Steven Michaud discovered a programming bug that allows remote
attackers to cause a denial of service. [MFSA 2006-71]
CVE-2006-6503
"moz_bug_r_a4" reported that the src attribute of an IMG element
could be used to inject JavaScript code. [MFSA 2006-72]

CVE-2006-6497
Several vulnerabilities in the layout engine allow remote
attackers to cause a denial of service and possibly permit them to
execute arbitrary code. [MFSA 2006-68]
CVE-2006-6498
Several vulnerabilities in the JavaScript engine allow remote
attackers to cause a denial of service and possibly permit them to
execute arbitrary code. [MFSA 2006-68]
CVE-2006-6499
A bug in the js_dtoa function allows remote attackers to cause a
denial of service. [MFSA 2006-68]
CVE-2006-6501
"shutdown" discovered a vulnerability that allows remote attackers
to gain privileges and install malicious code via the watch
JavaScript function. [MFSA 2006-70]
CVE-2006-6502
Steven Michaud discovered a programming bug that allows remote
attackers to cause a denial of service. [MFSA 2006-71]
CVE-2006-6503
"moz_bug_r_a4" reported that the src attribute of an IMG element
could be used to inject JavaScript code. [MFSA 2006-72]

CVE-2006-4310
Tomas Kempinsky discovered that malformed FTP server responses
could lead to denial of service.
CVE-2006-5462
Ulrich Kühn discovered that the correction for a cryptographic
flaw in the handling of PKCS-1 certificates was incomplete, which
allows the forgery of certificates.
CVE-2006-5463
"shutdown" discovered that modification of JavaScript objects
during execution could lead to the execution of arbitrary
JavaScript bytecode.
CVE-2006-5464
Jesse Ruderman and Martijn Wargers discovered several crashes in
the layout engine, which might also allow execution of arbitrary
code.
CVE-2006-5748
Igor Bukanov and Jesse Ruderman discovered several crashes in the
JavaScript engine, which might allow execution of arbitrary code.

Und nein, das macht den Firefox nicht zu einem schlechten Browser oder Programm. Jedes Programm enthält Fehler, das ist einfach nicht zu vermeiden.

SirSiggi hat geschrieben:

Sorry für die lange Liste, aber ich denke das sollte hier mal gezeigt werden. Alle fetten sind extrem kritisch.

Also Denial-of-Service ist bei einem Browser zwar ein Ärgernis, aber "extrem kritisch" ist in meinen Augen was anderes.
SirSiggi hat geschrieben:

might allow the execution of arbitrary code.

might allow the execution of arbitrary code.

possibly permit them to execute arbitrary code.
possibly permit them to execute arbitrary code.

possibly permit them to execute arbitrary code.

[...]

Und hieran erkennt man auch einen wesentlichen Unterschied bei der Fehlersuche in einem Open-Source- gegenüber einem Closed-Source-Programm. Jeder kann den Quellcode studieren und es ist vergleichsweise einfach, Fehler zu finden. Dann den passenden Exploit zu finden ist meist viel schwieriger und oft auf Grund von anderen Umständen auch unmöglich. Das gibt den Entwicklern in solchen Fällen ein Zeitfenster um die Lücke zu stopfen, bevor Exploits in Umlauf kommen.

Lücken in Closed-Source-Programmen sind da erstmal schwieriger zu finden. Eigentlich nur, indem man durch Trial-and-Error und mit Hilfe eines Debuggers direkt den Exploit findet. Dann ist diese Lücke aber auch sofort praktisch ausnutzbar. Es gibt hier also keine "theoretischen" Sicherheitslücken.

Witzigerweise finde ich einige Lücken, die du nicht markiert hast, irgendwie kritischer, z.B. Cross-Site-Scripting-Lücken.

Dieses might und possibly schreibt Microsoft auch immer. 🙄

Die Cross-Site-Scripting-Lücken hab ich nicht markiert, weil es vorher in der Diskussion um Buffer-Overflows und die Sicherheit des Systems ging.

Und zum Thema OpenSource ist per se sicher weil jeder in den Source kucken kann: Azureus telefoniert nach Hause, mehrere Monate lang. (Sorry, hab gerde keine besser Quelle als Winfuture gefunden, stand aber auch bei heise und golem).

Bloß weil jeder auf den Quellcode von OpenSource Applikationen Zugriff hat, heißt das nicht zwangsläufig das die Programme häufiger und intensiver gelesen werden als Closed-Source Programme.

Und nein, ich bin kein CSS-Troll, ich hab aber was gegen Mythen.

SirSiggi hat geschrieben:

Dieses might und possibly schreibt Microsoft auch immer. 🙄

Ist doch völlig egal, was Microsoft schreibt. Sind für die Lücken, die du aufgezählt hast, Exploits bekannt oder nicht? Wenn ja, wäre das "might" gelogen, wenn nein, ist es bisher nur eine theoretische Lücke.
SirSiggi hat geschrieben:

Und zum Thema OpenSource ist per se sicher weil jeder in den Source kucken kann: Azureus telefoniert nach Hause, mehrere Monate lang. (Sorry, hab gerde keine besser Quelle als Winfuture gefunden, stand aber auch bei heise und golem).

Primärquelle wäre nicht schlecht. 😉
In diesem Fall wäre das http://tutorialninjas.net/2007/02/11/bittorrent-clients-gone-sour/ und nach dem was ich auf die Schnelle herausfinden konnte, würde ich mich dem letzten Kommentator auf der Seite namens "Luke" anschließen:

How did they discover this?
Could you please document your procedure so that we could verify it on our end?
Can you post some data dumps showing us exactly where the confidential information is encoded?
Also, did your staffers look at the source code to locate where do these packets originate?
What you are doing here, is making an unsubstantiated accusations without a shred of evidence.
If something strange is really going on, I will be the fist to drop Azureus. But I want to see something more convincing than this.

Leider hat er keine Antwort auf diese Fragen erhalten. Ich hab aber eine Stellungnahme eines Azureus-Autoren im Azureus-Forum gefunden, die ich etwas überzeugender fand: http://sourceforge.net/forum/forum.php?thread_id=1674043&forum_id=291997

Kurzfassung: Es wurden anonyme Statistikdaten über die Anzahl der übertragenen Bytes gesendet. Dieses Verhalten ist abschaltbar über die Konfiguration und man wurde wohl sogar beim ersten Start von Azureus gefragt, ob man das möchte. Also eher sowas in der Art, was popularity-contest auch macht. Als Beleg für in Open Source enthaltene, lange unentdeckte Schadsoftware taugt das kaum. Insbesondere, weil diese Funktion nicht im (offenen) Quellcode verborgen war, sondern hier dokumentiert: http://www.azureuswiki.com/index.php?title=Version.aelitis.com&oldid=5949 (Was nicht bedeutet, dass es prinzipiell nie schädliche OSS geben kann oder dass Open Source von Natur aus sicher wäre. Hab ich auch nicht behauptet, dass das der Fall wäre.)

Nochmal zurück zu SELinux und Bufferoverflows, ja SELinux schützt auch hiervor in besonderem Maße, und zwar verhindert es, dass Maschinencode in "normalen" Spehcerbereichen ausgeführt werden kann, und quasi nur Code aus vorhandenen Excutables und ihren Libraries ausgeführt werden kann. Das ist auch der Grund warum VMs die einen Just int Time Compiler benutzen unter SELinux besondere Rechte brauchen um den generierten Maschinencode anspringen zu können.
Dies gilt unter anderem für Java und Mono.
Kannst ja mal nach Java+SELinux suchen.

Will heißen, auch wenn es derzeit relativ wenige Ausnutzung von Sicherheitslücken in OpenSource Betriebssystemen gibt wird bereits jetzt daran gearbeitet die Sicherheit soweit zu erhöhen dass wir für Zeiten mit mehr Angriffen bereits gut gewapnet sein werden.
Bei der Diskussion um kritische Lücken im Betriebssystem selbst sollte desweiteren nicht vergessen werden, dass Unix Systeme Lücken als kritisch einstufen die in der Windowswelt eher zum Standardverhalten gehören. So ist es be Unix Systemen eine äußerst kritische Lücke wenn ein Programm Root Rechte erlangen kann, während es in der Windowswelt ausser bei Vista, das selbst nicht weit verbreitet genug ist um angegriffen zu werden, eigentlich unnötig ist soetwas als kritisch einzustufen, da eh 90% der User alle ihre Programme mit Root Rechten laufen lassen.

Linux wurde nicht dafür geschrieben, dass es sicher ist, sondern für effiziente Arbeit. Linux ist auf Geschwindigkeit und Skalierbarkeit ausgelegt. Das Mehr an Sicherheit kommt also eher durch die Benutzerverwaltung (wo Windows jetzt nachzieht) und in der geringen Verbreitung (wo Windows auch nachzieht \^^). Wenn man wirklich auf ein Maximum an Sicherheit aus ist, sollte man OpenBSD oder andere dafür entworfene Systeme benutzen. Allerdings wird teilweise für die Sicherheit oft auch die Benutzung einer Live-CD empfohlen, was natürlich sehr sicher, aber auch enorm unkomfortabel ist.
Ich möchte aber auch sagen, dass bei quelloffener Software mehr Exploits gefunden werden können. Die Sicherheitslücken in Windows werden ja auch gerne von Hackern durch Analyse der Binärdateien gefunden. Im Sourcecode findet man natürlich leichter Lücken. Und schließt sie dann. Ich würde Linux allerdings nicht als 100% sicher vermarkten wollen.

Ja, ich wusste, warum ich Win95 selbst dann noch fuhr, als Win XPsp1 en vogue war. Als dann jedoch ein neuer Rechner anstand, kannte ich das kleinere Übel und die Auswahl zwischen Linux und Windows fiel mir nicht schwer.

agra hat geschrieben:

Bat hat geschrieben:

Schon, aber seit Win2000 kann man für Systempflege ein Adminkonto benutzen und z.b. fürs Surfen ein eingeschränktes Userkonto erzeugen.. blöd halt nur wenn man mit Admin-rechten surft..

Theoretisch schon, praktisch benötigen viele Programme Adminrechte.

Nur schlecht geschriebene, meist von Hardwareherstellern. Auf meinem Windows gibt es nur zwei Programme, die Adminrechte benötigen, und das sind Hilfsprogramme für Hardwarekomponenten. Zwar gibt es leider immer noch viele Entwickler, die bei der Rechteverwaltung von Windows 95 stehengeblieben sind, aber es bessert sich. Natürlich hat Linux hier einen Vorsprung von Jahrzehnten. Was ich MS anlaste, ist, dass sie die bereits 1995 veraltete Windows-9x-Architektur bis 2000 mitgeschleppt haben, obwohl sie bereits ein sicheres System (NT) im Angebot hatten.

agra hat geschrieben:

Außerdem wird nicht standardmäßig ein Admin- und ein Nutzerkonto erstellt – deshalb macht es auch niemand.

"Niemand" wäre übertrieben. Die DAUs machen es nicht, und das ist das Problem.

agra hat geschrieben:

Alle ordentlichen Linux-Distros erzwingen quasi die Trennung von root und user.

Ja, wie gesagt, bei Linux ist das schon länger Standard. Ich bin öfters in einem Windows-Programmierforum aktiv und bin immer erschreckt, wie viele Programmierer anno 2007 noch meinen, ins Programmverzeichnis schreiben zu dürfen, und dann an einen "Bug" in Vista glauben, weil das das verbietet.

phst hat geschrieben:

agra hat geschrieben:

Bat hat geschrieben:

Schon, aber seit Win2000 kann man für Systempflege ein Adminkonto benutzen und z.b. fürs Surfen ein eingeschränktes Userkonto erzeugen.. blöd halt nur wenn man mit Admin-rechten surft..

Theoretisch schon, praktisch benötigen viele Programme Adminrechte.

Nur schlecht geschriebene, meist von Hardwareherstellern. Auf meinem Windows gibt es nur zwei Programme, die Adminrechte benötigen, und das sind Hilfsprogramme für Hardwarekomponenten. Zwar gibt es leider immer noch viele Entwickler, die bei der Rechteverwaltung von Windows 95 stehengeblieben sind, aber es bessert sich. Natürlich hat Linux hier einen Vorsprung von Jahrzehnten. Was ich MS anlaste, ist, dass sie die bereits 1995 veraltete Windows-9x-Architektur bis 2000 mitgeschleppt haben, obwohl sie bereits ein sicheres System (NT) im Angebot hatten..

Nö, beileibe nicht nur von Hardwareherstellern. Um ein Beispiel zu nennen: das Kassenverwaltungsprogramm Gedicon benötigt Adminrechte. Gerade kommerzielle Programme wollen oft viel Macht übers System.

Und warum Microsoft die alte Struktur mitschleppt, dürfte klar sein: Abwärtskompabilität. Microsoft konnte und kann es sich nicht leisten, Zigtausende von Drittherstellen bei einer neuen Windows-Version auszusperren. Der Erfolg von Microsoft ruht in der Vielzahl der vorhandenen Programme, nicht im Betriebssystem selbst.

phst hat geschrieben:

agra hat geschrieben:

Außerdem wird nicht standardmäßig ein Admin- und ein Nutzerkonto erstellt – deshalb macht es auch niemand.

"Niemand" wäre übertrieben. Die DAUs machen es nicht, und das ist das Problem.

Ich habe ein wenig übertrieben. (Allerdings bin ich meiner Meinung nach kein DAU und trotzdem gezwungen, meinen Vater mit Adminrechten surfen zu lassen – eben wegen dieses Kassenprogramms.)

phst hat geschrieben:

agra hat geschrieben:

Alle ordentlichen Linux-Distros erzwingen quasi die Trennung von root und user.

Ja, wie gesagt, bei Linux ist das schon länger Standard. Ich bin öfters in einem Windows-Programmierforum aktiv und bin immer erschreckt, wie viele Programmierer anno 2007 noch meinen, ins Programmverzeichnis schreiben zu dürfen, und dann an einen "Bug" in Vista glauben, weil das das verbietet.

Wenn das mit Vista anders geworden ist, schön. Ich glaube allerdings, dass das im Endeffekt nicht bedeuten wird, dass plötzlich alle Windows-Programmhersteller ordentlich auf Trennung von root und user achten, sondern vielmehr darauf hinweisen werden, dass sie Vista nicht unterstützen. Die an sie gefesselten Anwender können sich mangels Alternative nicht wehren. Pech für Microsoft.
😛