Thema: Kostenpflichtige Sicherheitssoftware nötig?

[Robert]

Gibt's sowas wie NoScript eigentlich auch für Opera?
Bisher kein passendes Widget gefunden

[Arkam]

Hallo Robert,

leider sieht es bei Opera mit der Festlegung von Javascript und Erweiterungen für einzelne Internetseiten schlecht aus.
Bleibt also nur mit F12 Java, Javascript und Erweiterungen aus zu schalten und bei Bedarf wieder zu aktivieren.

Gruß Jochen

[Bitpicker]

Was zwar auch mit den strukturellen Schwächen von Windows, hauptsächlich aber mit dessen Marktanteil zu tun hat. Das wird spätestens dann relevant, wenn man hört, wie Leute reflexartig zu Linux raten.

Der Punkt ist: Bei gleichen Marktanteilen, gleichem Komfort und den gleichen Freiheiten für die breite Anwenderschaft wäre Linux nicht sicherer. Das Haupteinfallstor ist wie ja hier schon mehrfach betont wurde, vom Anwender unwissentlich (mit-) installierte Schadsoftware, und das wäre auch bei jeder Linux-Distribution nicht zu verhindern - außer durch sorgfältige Trennung der Benutzerebene oder Einschränkungen bei der Software-Auswahl. Das wiederum würde auch bei aktuellen Windows-Versionen die Sicherheit gewährleisten, aber die meisten Anwender machen bzw. wollen das eben einfach nicht.

Hier möchte ich widersprechen. Ja, der Marktanteil macht es zu einem interessanten Ziel, aber seine miese Technik macht Windows auch zu einem leichten Ziel, was meines Erachtens deutlich schwerer wiegt. Windows fußt auf einer Technik und Philosophie für Einzelplatz-, Einzelbenutzer-Systeme mit einer einzigen Aufgabe. Es hat bis heute keine vernünftige Benutzerverwaltung (Arbeit mit eingeschränkten Rechten als Benutzer ist nicht möglich, also hat jeder Adminrechte, also wird auch das Administrieren durch Einschränken der Adminrechte unmöglich gemacht - klassischer Holzweg) und diverse andere Schwächen, die dazu führen, dass es im Vergleich zu Linux aussieht wie eine von einem Graben und einer Mauer umgebene Holzhütte gegenüber Fort Knox.

Ein Linux-System muss man schon arg sabotieren, um es auf das Sicherheitsniveau von Windows zu drücken, weil es dort Standard ist, nur eingeschränkte Rechte zu haben (und trotzdem arbeiten zu können), und Software übers Netz nicht in lauffähiger Form übertragen wird. Demgegenüber muss man an Windows arg schrauben, um auch nur annähernd solche Sicherheit zu erreichen.

Robin

[Yerho]

Windows fußt auf einer Technik und Philosophie für Einzelplatz-, Einzelbenutzer-Systeme mit einer einzigen Aufgabe. Es hat bis heute keine vernünftige Benutzerverwaltung (Arbeit mit eingeschränkten Rechten als Benutzer ist nicht möglich, also hat jeder Adminrechte, also wird auch das Administrieren durch Einschränken der Adminrechte unmöglich gemacht - klassischer Holzweg) und diverse andere Schwächen, die dazu führen, dass es im Vergleich zu Linux aussieht wie eine von einem Graben und einer Mauer umgebene Holzhütte gegenüber Fort Knox.

Du hast Dich noch nicht mit der Architektur von Windows 7 befasst, oder?

Aber egal, schon Windows XP war sicher, wenn man nicht die ganze Zeit als Admin unterwegs war. Und arbeiten kann man damit auch ohne Admin-Rechte absolut problemlos. Das Problem ist, dass die Anwender in kompletter Fehleinschätzung ihrer Fähigkeiten immer als Admin unterwegs sind und die Installationsroutine das begünstigt, weil sie gleich einen User-Account mit Admin-Rechten anlegt. Das ist aber ein Problem der Vermarktung, nicht des Betriebssystems an sich.

Ein Linux-System muss man schon arg sabotieren, um es auf das Sicherheitsniveau von Windows zu drücken, weil es dort Standard ist, nur eingeschränkte Rechte zu haben (und trotzdem arbeiten zu können), und Software übers Netz nicht in lauffähiger Form übertragen wird. Demgegenüber muss man an Windows arg schrauben, um auch nur annähernd solche Sicherheit zu erreichen.

Der Anwender will es aber anders haben: Software herunterladen wo immer man will, anklicken und installieren. Und wenn Linux stärkere Verbreitung finden will, wird es den Anwendern dies ermöglichen und damit wesentliche Bestandteile dessen aufgeben müssen, was es so sicher macht.

Der andere - bessere - Weg wäre es natürlich, die Einstellung der Anwender zu verändern. Das geht aber nur schrittweise.

[der.hobbit]

Ich weiß, dass die Linux vs. Windows Diskussion spaßig ist - spaßig war. Inzwischen ist sie nur noch langweilig. Bitte nicht schon wieder aufwärmen. 

[Monkey McPants]

Was Onlinebanking angeht könnte sowas wie c't Bankix ganz praktisch sein: Abgespecktes Ubuntu-Livesystem das nur das nötigste beinhaltet und nach der Konfiguration einfach auf CD/DVD gebrannt wird. Wenn man Onlinebanking machen möchte bootet man von dieser CD und ist dementsprechend vor Mist auf seinem "Alltags-Pc" geschützt.

M

[Bitpicker]

Du hast Dich noch nicht mit der Architektur von Windows 7 befasst, oder?

Doch. Grauenhaft. Eine Holzhütte mit Burggraben und vorgelagertem Schutzwall, aber weiterhin eine Holzhütte. Super Beispiel für "Windows ist es egal, ob du der Admin bist, du darfst es trotzdem nicht".

Aber egal, schon Windows XP war sicher, wenn man nicht die ganze Zeit als Admin unterwegs war.

Ging aber kaum. Beispiel aus der Praxis: Lokales Benutzerkonto hat im Auslieferungszustand einen Bildschirmschoner, der nach einer Minute angeht. Benutzer beschwert sich, weil Windows ihn das nicht ändern lässt. Man kann die Einstellungen des Bildschirmschoners aber nicht mit Adminrechten starten, also loggt man aus und loggt sich mit Adminrechten wieder ein. Jetzt kann man aber nur die Einstellungen des Bildschirmschoners für den Admin ändern. MS-Lösung für diese Problem: editiere die Registry, anders geht es nicht. Wie dämlich ist sowas...

Und arbeiten kann man damit auch ohne Admin-Rechte absolut problemlos. Das Problem ist, dass die Anwender in kompletter Fehleinschätzung ihrer Fähigkeiten immer als Admin unterwegs sind und die Installationsroutine das begünstigt, weil sie gleich einen User-Account mit Admin-Rechten anlegt. Das ist aber ein Problem der Vermarktung, nicht des Betriebssystems an sich.

Ich würde eher sagen, dass der normale Anwender sich nicht etwa überschätzt, sondern gar nicht weiß, dass es Rechte gibt. Es ist nicht seine Entscheidung, als Admin unterwegs zu sein, sondern, wie du hier ja auch sagst, eine Voreinstellung. Das ist ein philosophisches Problem, das direkt, wie ich oben gesagt habe, aus dem Ursprung von Windows als Einzelplatz-, Einzelbenutzersystem erwächst. Das ist ein Problem des Systems, nicht des Marketings, auch wenn es kein technisches Problem ist.

Der Anwender will es aber anders haben: Software herunterladen wo immer man will, anklicken und installieren. Und wenn Linux stärkere Verbreitung finden will, wird es den Anwendern dies ermöglichen und damit wesentliche Bestandteile dessen aufgeben müssen, was es so sicher macht.

In Anbetracht dessen, dass modernes Paketmanagement wesentlich besser und einfacher als jede Windows-Installationsweise ist, sehe ich das nicht so. Und Binärdateien und Skripte, die über das Netz kommen, werden nie ausführbar werden. Das ist gegen die Spezifikation.

Robin

[Yerho]

Und Binärdateien und Skripte, die über das Netz kommen, werden nie ausführbar werden. Das ist gegen die Spezifikation.

Und deshalb bleibt Linux ein Randgruppenbetriebssystem:
"He, wir haben euch hier eine sichere Burg gebaut, zieht doch ein!"
"Nö, wir wohnen lieber in der gemütlichen Holzhütte. Da dürfen wir die Möbel hinstellen, wo wir wollen."

Mehr sage ich dazu nicht, weil sonst der.hobbit Schreikrämpfe bekommt. Und das wollen wir ja nicht.

[Stummkraehe]

Bleibt also nur mit F12 Java, Javascript und Erweiterungen aus zu schalten und bei Bedarf wieder zu aktivieren.

Äh, aber das ist doch NoScript in grün?

[Yerho]

Äh, aber das ist doch NoScript in grün?

Nun ja, bei NoScript kann man schon ein wenig diversifizierter auswählen, was für welche Sites genau geblockt werden soll und was nicht.

Bei Opera geht eben nur "alles an" oder "alles aus". Vielleicht möchte ich aber bei einer Website JavaScript erlauben, aber gleichzeitig von externen Quellen eingebundene Scripte (z.B. von Werbebannern etc.) verbieten? Wenn man eine Website nutzen will, die ohne Java bzw. JavaScript nicht läuft, ist man automatisch Risiken ausgesetzt, selbst wenn die besagte Website selbst vertrauenswürdig sein sollte.

[Stummkraehe]

Bei Opera geht eben nur "alles an" oder "alles aus".

Nein. Per Rechtsklick --> Seitenspezifische Einstellungen --> Skripte --> JavaScript aktivieren kann ich Javascript für jede Website einzeln aktivieren bzw. deaktivieren.

[Yerho]

Nein. Per Rechtsklick --> Seitenspezifische Einstellungen --> Skripte --> JavaScript aktivieren kann ich Javascript für jede Website einzeln aktivieren bzw. deaktivieren.

Das ist die gleiche - vergleichsweise behelfsmäßige - Basisfunktion, die auch Firefox schon seit zig Versionen besitzt und die durch besagte Plugins erweitert werden kann/sollte.

Die Mängel der Opera-Lösung:

1.) Wie ich bereits schrieb, erfolgt keine Identifizierung anhand der Quelle des Scripts: Es werden alle mit dieser Website verbundenen Scripte entweder erlaubt oder eben nicht. Wenn ich jetzt beispielsweise auf ebay.de die Scripte von eBay erlauben wollte, aber gleichzeitig die von Anbietern eingebundenen (nervigen) Scripte verbieten wollte, wäre das nicht möglich.

2.) Es erfolgt auch keine Trennung von Script-Inhalten. Vielleicht möchte ich Java verbieten, aber JavaScript und die Wiedergabe von eingebetteten Objekten erlauben? Oder alles blocken und einzelne eingebettete Objekte wie zum Beispiel Videos komfortabel mit zwei Klicks separat freigeben?

3.) Sicherheitstechnisch ist das in der Form Unfug. Scripte sind standardmäßig erlaubt und müssen extra untersagt werden; wozu man erst einmal auf der besagten Website sein muss. Das ist in etwa so ist, als ob man "Granate!" ruft, nachdem das Ding schon explodiert ist. Umgekehrt wäre es sinnvoll: Alles ist blockiert, bis man es freigibt.

4.) Die Funktion ist denkbar umständlich erreichbar. Extra ein Popup-Menü aufrufen, eine Kategorie auswählen, worauf sich ein Fenster öffnet, worin ich den Reiter anklicken muss um das Menü zu erhalten, in dem ich das entsprechende Häkchen setzen bzw. entfernen darf. Und das für jede Website, die ich besuche? - Nö.

[ErikErikson]

Uhm, die Tipps von Bitpicker und Yerho sind sehr gut, und ich werd mich da, wenn ich Zeit hab, mal reinarbeiten.

Bis dahin, könntet ihr vielleicht ganz kurz ne Anleitung für Dummies geben, wie man die gröbsten Lücken schließt?

Ich hab momentan Antivir, ne Fritzbox (so gut wie unkonfiguriert) und die Windows Firewall (so gut wie unkonfiguriert).
Alles noch nie genauer angefasst.

[Yerho]

Ich hab momentan Antivir, ne Fritzbox (so gut wie unkonfiguriert) und die Windows Firewall (so gut wie unkonfiguriert).
Alles noch nie genauer angefasst.

Dann lass es so!

Halte nur Windows sowie Antivir aktuell und meide die Darkside of Internet.

[Bitpicker]

Mach die Konfigurationsseite der Fritzbox auf und stell sicher, dass sie im Router-Modus ist. Falls du immer sofort im Internet bist, wenn du einen Link klickst oder einen Browser öffnest, du also nicht explizit eine Verbindung herstellen musst, dann dürfte es so sein.

Geh in die Portfreigaben und mach alles aus, was du nicht brauchst. Wenn du keine Tauschbörsensoftware benutzt, brauchst du wahrscheinlich gar keine Portfreigaben.

Auch Universal Plug and Play sollte ausgeschaltet werden, weil es als Unsicherheitsfaktor gilt.

Als letztes gib der Fritzbox ein vernünftiges Passwort (ich meine nicht den WLAN-Schlüssel, obwohl du den am besten auch durch einen eigenen ersetzt, sondern das Passwort für die Konfigurationsoberfläche).

Antivir, Windows selbst, alle Produkte und vor allem Acrobat und Flash solltest du immer aktuell halten. Übrigens ist es nützlich, eine selbst bootende Antivirus-CD im Haus zu haben, z.B. hier: http://www.avira.com/de/support/support_downloads.html

Da gibt es unter anderem eine ISO (CD Symbol rechts in der Zeile) des Rescue Systems, die du als Image auf eine CD brennen kannst. Das ist eine auf Linux basierende Live CD, die ooten kann und nichts anderes tut als Antivir über deine Windows-Partitionen laufen zu lassen. Wenn Windows nicht aktiv ist, sind auch darauf befindliche Viren nicht aktiv, so dass ein Scan zuverlässigere Ergebnisse bringt, da die Viren sich nicht verstecken oder woandershin schreiben können.

Wenn du Firefox benutzt, solltest du die Erweiterungen AdBlock Plus und NoScript dazu installieren. NoScript kann anfangs etwas lästig sein, bis du über das Kontextmenü der Erweiterung ausreichende Ausnahmelisten für die Webseiten, auf denen du JavaScript abschaltest, definiert hast.

Robin

[Yerho]

Eventuell könnte es sich noch lohnen, den Adobe Reader - so vorhanden - zu ersetzen, da dieser immer wieder durch Sicherheitslücken auffällt, ein großes Mitteilungsbedürfnis besitzt und nebenbei auch noch noch ein Ressourcenfresser ist. Alternativen wären der Sumatra PDF, Foxit Reader, PDF-XChange Viewer, PDF Viewer etc. p.p..

Beim Router kommt jetzt natürlich darauf an, was Du unter "so gut wie unkonfiguriert" konkret verstehst.
Router kommen von Werk her mit den günstigsten Einstellungen, man sollte sich daher darauf beschränken, wie Bitpicker schon richtig schrieb, das Routerpasswort zu ändern und bei Verwendung von WLAN auch dort die sicherste verfügbare Verschlüsselung (WPA2) und ein sicheres Passwort zu wählen. Da auch das noch etwas dünn ist, solltest Du - sofern Dein Router das erlaubt - von vornherein nur bestimmten WLAN-Geräten Zugriff gestatten und ggf. unterbinden, dass der Router die SSID funkt.

Bei den Portfreigaben gibt es eine einfache Regel: Wenn man sich damit auskennt, erübrigt sich jeder Kommentar. Wenn nicht, Finger weg! Kein Router kommt im Auslieferungszustand mit Portfreigaben, und wenn man daran ahnungslos herumspielt, dürfte das der Sicherheit eher abträglich sein.

Aktiviert sein sollten Optionen die NAT-Firewall, Stateful Packet Inspection (SPI), Intrusion Detection System (IDS), DoS-Schutz oder so ähnlich heißen. Die genauen Bezeichnungen weichen bei verschiedenen Herstellern geringfügig voneinander ab, sind aber normalerweise ebenfalls von Werk aus aktiviert - daher so lassen, oder, falls man etwas daran geändert hat, dies wieder zurücksetzen.

[Bitpicker]

Also, ich bin ziemlich sicher, dass meine Fritzbox Portfreigaben für VNC- und Torrentports hatte, als ich sie bekam, aber ich kann mich irren. Ich würde mich auch nicht unbedingt darauf verlassen, dass jeder Router bestmöglich vorkonfiguriert ist. Es lohnt sich, mal nachzuschauen.

Robin

[ErikErikson]

Wer ich mal nach meiunen Prüfungen durchackern.