|
Diese Diskussion wurde archiviert.
Es können keine neuen Kommentare abgegeben werden.
|
 |
|
|
|
|
|
|
|
Okee, betrifft vorallem Blaster, aber egal. Was mich an der ganzen Diskussion ein bisschen stört ist, dass die Patches dafür seit über einem Monat vorhanden waren. Was soll Microsoft denn noch machen? Die Leute zum Patchen zwingen können sie ja nicht, resp. können sie doch, aber das ist dann auch wieder nicht recht.
Ungepatchte Systeme mit Löchern sind immer ein Risiko, ob es sich nun um offene oder geschlossene Quellen handelt kommt da nicht mehr drauf an. Und wen es stört, dass sein System geschlossen und eine Blackbox ist, dem stell ich die Frage: "Warum benutzt Du es denn, wo es doch Alternativen gibt?"
Ich versteh die Aufregung wirklich nicht.
--
Den Symlink-Autoren bei der Arbeit zuhören? MP3 hier
|
|
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Thursday 28. August, 23:42 MES (#2)
|
|
|
|
|
Das Problem ist, dass die Droids in Redmond es nicht hinkriegen ein System zu machen, dass man nicht non stop babysitten muss - welcher Home-User geht schon schön brav jede Woche ein WindowsUpdate fahren, welches KMU? Sind doch alles nur "Ich bin nur ein Anwender" von denen man nicht mal erwarten darf, dass Sie wissen sollten, dass man Systeme updaten muss... oder wie soll ich es mir erklären, dass ich immer noch WindowsNT SP4 WS bei Kunden vorfinde? Und Überhaupt scheint mir die Qualität in der IT Branche arg zu leiden... Zeit, dass man für IT einen neuen Namen findet... machen wir es doch wie RadioZ... dann wird alles gut....
|
|
|
|
|
|
|
|
|
|
|
|
|
Dem muß ich dann doch widersprechen: auch andere Systeme haben Fehler und es gibt dazu Patches - sie Dir mal bei sunsolve.sun.com die Patchlisten an. Der Unterschied besteht darin, daß zugegeben bei Windows meist arge Sicherheitslöcher auftreten, bei anderen Systemen meist nur kleinere, die nicht so gewaltig nutzbar sind.
Andererseits gegen die Nutzer solcher Systeme aber gewissenhafter mit diesen um im Gegensatz zu Windows-Nutzern oder Admins. Wenn dort ein Alert gemeldet wird und es einen Patch gibt, dann macht man den auch drauf - aber dazu brauchts dann eben keinen Reboot oder dicke Netzanbindungen.
Unter Windows ist die Zielgruppe aber eine andere (wenn Windows-Admins solche Patches vergessen, ist das allerdings grob fahrlässig!) - Privatanwender hingegen haben nicht dieses Sicherheitsbewußtsein, weshalb hier MS eine besondere Sorgfalt haben müßte.
--
$ cd /dos/c/MICROSO~1
$ rm -rf *
|
|
|
|
|
|
|
|
|
|
|
|
|
Nein, das muss nicht immer zwangläufig der Admin sein. Es ist manchmal nicht möglich neuere SP + Patches draufzuspielen, da eine Software dann nicht mehr läuft. Lizenzen sind teuer, da kann man den Leuten nicht mal erklären, das sie da was neues kaufen müssten.
W2K Client laufen dann immer noch auf SP2 und haben da bekannte Bugs, die bei SP4 nicht wären, wenn man es denn nur installieren könnte. *argh*
Zudem gibt es keine möglichkeit die Windows Update funktion, selber zu steuern. Selber einen Server aufzusetzen und diese Patches vor ort zu haben. Nin, die Kisten sollen, da unbedingt nach Hause telefonieren.Dann sind NT4 Client mit SP5, W2K SP2 und XP ohne SP auch möglich. Bei XP ist es sogar besser, da es Microsoft ja nicht schafft, ein Servicepack ohne grosse Fehler herauszugeben.
Zeit, das dieses Unwartbare System verschwindet.
|
|
|
|
|
|
|
|
|
|
|
|
|
>Zudem gibt es keine möglichkeit die Windows
>Update funktion, selber zu steuern. Selber einen
>Server aufzusetzen und diese Patches vor ort zu >haben.
doch, das gibts: MS SUS (Software Update Service).
man muss mittels Policies der workstation beibringen, die patches dann von diesem internen server zu holen.
und dort kann man die einzelnen patches 'approven'.
das ganze macht aber eher einen beta eindruck und hat mich nicht ganz überzeugt.
MS sollte die patches einfach als MSI packet ausliefern, damit man es bequem mit dem activedirectory distributen kann.
|
|
|
|
|
|
|
|
|
|
|
|
|
Welches System muss man nicht non stop Babysitten? Ein ACK, dass man einige OS generell mehr Babysitten muss als andere, aber selbst das allerstabilste Un*x, Linux, BSD[1] oder was auch immer hat von Zeit zu Zeit einige Updates nötig. Das gehört IMHO einfach zur Systempflege.
Das Problem hierbei ist, dass die meisten User den Rechner als fixfertigen Monolith für die Ewigkeit[2] sehen. Die Wichtigkeit von Updates und Patches wird einfach unterschätzt, da der Computer am Anfang ja Tadellos funktioniert, und was einmal funktioniert sollte dies ja in Zukunft auch tun. Schliesslich mutiert so ein Computer ja nicht von selbst![3] Ein weiteres Problem ist bei dieser Sache IMHO auch, dass das Vertrauen in Updates häufg nicht vorhanden ist; wem ist nicht schon mal nach der Installation einer neuen (zwielichtigen?) App das System in die Knie gegangen? Da für die mehrheit der User OS, Patches, Applikationen, Updates und was weiss ich nicht, alles unter "Programm" läuft ist der Fehler des einen auch der anderen Leid.
[1] Bzw, die Applikationen darauf
[2] Oder zumindest die hälfte davon
[3] Von selbst nicht, aber ohne das Wissen des Users.
GruZZ my 0.02 CHF ins Symlink-Kässeli
--
Alle Schreibfehler © by me, wer einen findet darf ihn behalten.
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 29. August, 13:12 MES (#20)
|
|
|
|
|
man erinnere sich an den Exchange Patch, welcher erst im dritten Anlauf richtig war - eine Version den Exchange ganz demolierte
|
|
|
|
|
|
|
|
|
|
|
|
|
|
In produktiven Umgebungen sollte jede Aenderung am System zunächst auf Testsystemen getestet werden.
NACK, denn in produktiven Umgebungen haben die Server so geschützt sein, dass ihnen derartige Attacken nix ausmachen. Ansonsten ist wieder der Admin die Pfeiffe.
Ausserdem geht's nicht einen Monat, um einen Patch zu testen.
Das Argument ist aus meiner Sichtweise Augenwischerei.
--
If you think sex is a pain in the ass - try different position.
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 29. August, 11:50 MES (#15)
|
|
|
|
|
Hm... also Blaster hat nen Fehler in der RPC/DOM implementation ausgenutzt. Naja, schaltet man das ding doch einfach ab. Aber haste vielleicht schonmal daran gedacht, dass es ev. Leute gibt, die das Zeugs verwenden? Dass es dinge gibt, die nimmer funktionieren, wenn man das abschaltet oder auf der FW blockt?
Schalte am besten den Computer aus, Giess ihn in ein Fass mit Zement ein, Vergrabe ihn in einem Kiesfrachter um den du dann noch eine Betonhülle machst und versenkst das ganze im Marinegraben. DANN haste ein ziemlich sicheres System!
|
|
|
|
|
|
|
|
|
|
|
|
|
*plonk*
Wenn Du schon sowas verwendest, dann solltest Du wirklich peinlichst genau drauf achten, dass Du die patches ALLE installierst. Auch im Falle von COM/DCOM hatte jeder / jede genug zeit, sich die patches runterzuladen, BEVOR die Seuche los ging.
Genau das, was ich vorher sagte, übrigens.
Wenn Du ne RedSusiBilackware installierst, hast Du dasselbe Problem auch: Wenn Patch vorhanden, dann sofort installieren.
--
--
If you think sex is a pain in the ass - try different position.
|
|
|
|
|
|
|
|
|
|
|
|
|
FULL ACK!
Egal, wie dicht und sicher ein System ist... wenn der admin nix taugt, dann ist jedes system unsicher.
--
If you think sex is a pain in the ass - try different position.
|
|
|
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 29. August, 00:55 MES (#5)
|
|
|
|
|
|
Man könnte sehr wohl etwas dagegen tun. Die meisten Anwender kennen den Unterschied zwischen "Einen Viewer starten, der das Attachment interpretiert" und "den im Attachment befindlichen Code ausführen" nicht. Für sie gibt es nur "Attachment öffnen". Nichts anderes ist in OE signalisiert, sowohl das eine, als auch das andere geschieht durch simplen Mausklick. Welche der beiden Varianten nun angewendet wird, hängt vom Suffix ab. Sie kann auch ändern, wenn man zusätzliche Software installiert (z.B. Active-Perl -> *.pl Dateien werden direkt von einem Interpreter interpretiert, was dem Ausführen recht nahe kommt, MS-Office -> *.doc Dateien werden interpretiert, Makro-Viren können plötzlich gefährlich werden, im Gegensatz zum Standardprogramm "Write").
Für den Otto-Normaluser ist die Situation bei weitem nicht so übersichtlich und logisch, wie viele geübte Benützer und Experten meinen. Und der Standardspruch "Attachments nicht öffnen" zieht ja auch nicht. Der gesunde Menschenverstand sagt dem selbständig Erwerbenden nämlich auch, dass er die Mails seiner Kundschaft besser liest, als wegen Virengefahr die Attachments nicht zu betrachten. Es wäre deshalb IMHO auch an Microsoft, dafür zu sorgen, dass Code in Attachments nicht einfach so ausgeführt werden kann oder dass solcher Code wenigstens in einer kontrollierten Umgebung ausgeführt wird.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Klar, mit etwas weniger Monokultur wäre das Problem kleiner, aber mitnichten gelöst. Das Hauptproblem mit der Monokultur ist nicht dass da eine Plattform bereitsteht die sich grossartig für die Verbreitung von Viren und Würmern eignet, sondern dass der Hersteller da überhaupt keinen Anlass dazu sieht sein Produkt zu verbessern, schliesslich hat er ja den Markt sowieso schon. Monopole sind immer schlecht für die Gesellschaft; die Lösung dazu ist also tatsächlich diese Monopole zu zerschlagen. Man könnte auch mal mit den staatlich garantierten Monopolen wie den Patenten anfangen...
Item, die Auswirkung davon ist, dass wie gesagt, Microsoft keinen Anreiz findet die Probleme zu lösen. Und da haben wir nebst schlechter Qualität der Software vorallem auch die konzeptionellen Fehler, die Microsoft partout nicht ändern will. Zum Beispiel Scriptsprachen in Anwendungen die hemmungslos das ganze Betriebssystem benutzen dürfen und auch noch automatisch ausgeführt werden. Active-X, was rein konzeptionell eine Sicherheitstechnische Katastrophe ist. Mailclients die irgendwelche Programme und Scripts einfach ausführen. Per default laufende Services. Per default deaktivierte Firewallfunktionen. Ein ACL-System das falsch vorkonfiguriert ist und das schreiben in irgendwelche System-Ordner erlaubt.
Ein VPN-System das nachweislich im Protokoll konzeptionelle Fehler enthält die es unsicher machen. Und so weiter. Und das sind alles keine Bugs; sondern absichtlich eingebaute Löcher, aus Gründen der Benutzerfreundlichkeit, oder weil es schon immer so war und man die alten Applikationen ohne Modifikationen am System am laufen halten will, oder weil man wieder mal ein proprietäres Protokoll haben will um den Monopolstatus zu stützen.
Das ist das schlimme. Bugs haben alle, aber absichtlich eingebaute Löcher kann sich nur der Monopolist leisten.
--
"The more prohibitions there are, The poorer the people will be"
-- Lao Tse
|
|
|
|
|
|
|
|
|
|
|
|
|
>Er mailt sich selbst als binäres Attachement in
unter unix wär dies nicht möglich, da programme ohne root rechte keine ports unter 1024 benutzen dürfen.
>Es sind die User, die dieses Attachement ausführen.
da die .pif endung nicht meist angezeigt wird.
da lob ich den Lotus Notes Dialog 'Anzeigen, Ausführen, Speichern'.
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 29. August, 12:16 MES (#19)
|
|
|
|
|
Kannst du mir erklären, warum ich zum HERAUSmailen (also verbindung auf port25 irgendwohin) rootrechte brauche???..
|
|
|
|
|
|
|
|
|
|
|
|
|
hmmm... kannst Du mir erklären, was die zwei Dinge miteinander zu tun haben?
Sobig.F bringt keinen E-Mail Server mit, sondern nen E-Mail CLIENT. Und auch wenn der unter 1024 nix machen könnte - von welchem port aus ich meine mails versende, ist ziemlich scheiss egal.
Ausserdem stimmt Deine Aussage, dass nur root Ports unter 1024 benutzen darf kaum....
SSH läuft auf Port 22 und bringt seit einiger Zeit als Bedingung mit, dass er als user sshd / group sshd läuft, genau DAMIT ER NICHT ALS ROOT arbeiten muss..... Apache (Port 80) ist übrigens genau dasselbe...
--
If you think sex is a pain in the ass - try different position.
|
|
|
|
|
|
|
|
|
|
|
|
|
Apache und ssh werden als root gestartet und geben nach dem Port binden die Super User Privilegien ab.
Blöp
|
|
|
|
|
|
|
|
|
|
|
|
|
>Sobig.F bringt keinen E-Mail Server mit, sondern nen E-Mail CLIENT.
das stimmt so nicht ganz.
ein email client ist für mich entweder pop3 oder imap.
Du müsstest schon smtp client sagen, was aber irgendwie doof klingt.
aber Du hast recht:
beim mails versenden auf einen smtp server ist der source port höher als 1024 und nur der destination port ist 25.
diesbezüglich war meine aussage falsch.
>Ausserdem stimmt Deine Aussage, dass nur root Ports unter 1024 benutzen darf kaum....
doch, das stimmt.
|
|
|
|
|
|
|
|
|
|
|
|
|
waren glaub's noch nie eine wirklich gute Erfindung, denke man kann da eine ziemlich direkte Verbindung zur Landwirtschaft herstellen.
Grüsse, ia97lies
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
... und alle haben ein Outlook Express welches automatisch Anhänge ausführt, keine oder falsch konfigurierte ACLs usf. Noch Fragen?
--
"The more prohibitions there are, The poorer the people will be"
-- Lao Tse
|
|
|
|
|
|
|
|
|
|
|
|
|
Tja, Seegras, diese Super-E-Mail-Clients installieren sich nicht von selbst. Jeder User muss sie selbst konfigurieren. Wer als Windows-User nur ein wenig misstrauisch ist, der wird das nicht tun. Natürlich ist es verlockend, den Gratis-MS-E-Mail-Client zu benutzen. Schade nur, das viele Win-User sich nicht im Klaren darüber sind, was es sonst noch so gibt im Win-Software-Jungle - ebenso gratis und erst noch sicherer. Es gibt genügend Gratis-E-Mail-Clients (ja, auch GNU-Produkte, die unter Windows laufen, auch ohne x-verschiedene Zusatz-Umgebungen), die keine Anhänge automatisch ausführen, sich um HTML scheren und keine falsch konfigurierten ACL haben. Zum Teil sind sie sogar unter *schauder* Visual Basic programmmiert. Ein Monokultur-OS heisst IMHO noch lange nicht, dass es nicht sicher benutzt werden kann.
|
|
|
|
|
|
|
|
|
|
|
|
|
Du hast die Ironie Tags vergessen ;-)
|
|
|
|
|
|
|
|
|
Von Anonymer Feigling am Friday 29. August, 16:33 MES (#24)
|
|
|
|
|
win3.11 war immer noch das beste windows.
|
|
|
|
|
|
