News Alpha-Version von Firefox 3.1 verfügbar

[MacroWelle]

Ich will keinesfalls die Installation mit Userrechten ausführen - zumindest nicht, solange in einen systemweiten Ordner installiert wird. (in den User-Ordner kann der User ja selbstverständlich installieren/schreiben, was er will) [...]

Grundsätzlich hast du recht und Mozilla sollte den Updatemechanismus unter Windows in dieser Hinsicht auf jeden Fall verbessern, das würde auch die Verwendbarkeit des Programms in Unternehmen vereinfachen.
Wie es jetzt unter Windows aussieht, weiß ich nicht, aber: Ich finde sogar, dass reine Bugfix- bzw. Sicherheitsupdates auch ganz ohne Zustimmung des Users möglich sein sollten, wenn root/Admin es so wünscht. Der User bekäme dann lediglich einen Hinweis über das Update.

So lange Softwareupdate bei Mozilla so unfähig bleibt und einen Standarduseer nichtmal über ein neues verfügbares wichtiges Sicherheitsupdate informiert, rate ich jedem DAU weiterhin von Firefox auf Windows ab und bleibe dabei, dass IE7 für jeden DAU wegen dem funktionierenden automatischen Update sicherer ist. Ich kann einen DAU nicht dazu bringen eigenständig nach Sicherheitsupdates zu suchen.

Da sehen die Zahlen aber ganz anders aus. Der IE liegt was die Update-Disziplin der User betrifft ganz weit hinten. Trotz der Update-Probleme unter Windows und trotz Windows Update liegt der Firefox meilenweit vor dem IE, warum auch immer:
http://www.tomshardware.com/de/Studie-Browser-Patch-Update,news-241269.html
http://www.heise.de/security/Forscher-fordern-Verfallsdatum-fuer-Webbrowser--/news/meldung/110250
(Hinweis: Google ist an der Studie beteiligt)

 

[MountWalker]

@ Macrowelle

Ganz einfach: Viele DAUs schalten AutoUpdate ab: "Weil, isch hab da g'hört, dass Microsoft misch voll ausschpioniern tut, wenn isch des anlasse!" Aber der Windows-DAU in meiner Nähe hat Automatische Updates aktiviert - auch für Microsoft Update, nicht nur für Windows Update. Deswegen ist sein IE (und auch sein Word usw.) immer auf aktuellem Patch-Stand.

P.S.
Bei illegalen, gecrackten Installationen von Windows mag das Deaktivieren der Software, die WGA aktualisiert ja Sinn machen.

P.P.S.
Die Studie ist aber auch etwas merkwürdig:

Dabei seien Firefox-Nutzer "deutlich umsichtiger" als die Nutzer des Internet Explorer: 92,2 Prozent der Firefox-Surfer verwendeten vor dem Start der Version 3.0 die damals aktuelle Version 2.0 des Browsers. Bei den Nutzern des Internet Explorer sind es hingegen nur 52,5 Prozent, die mit dem Internet Explorer 7 im Netz surften.

Das hat ja mit dem patchlevel nichts zu tun! Die frage ob FF2 oder FF3 bzw. IE7 oder IE6 ist dabrei ja nun eher nebensächlich und sagt gar nichts über den Patchlevel aus!

 

[MacroWelle]

THG formuliert es so:

Wie aus der Studie hervorgeht, haben Anfang Juni 2008 nur 59,1 Prozent aller Websurfer die jeweils aktuellste — und somit auch sicherste — Hauptversion ihres Browsers benutzt.

Gut, wie gesagt, Google ist an der Studie beteiligt und dort nutzt man sicher aus, dass sehr viele noch den IE6 nutzen, um so den IE zu kritisieren - ganz unrecht haben sie aber nicht. Es ist tatsächlich besser, wenn die meisten User das aktuelle Major-Release benutzen, im Falle des IE ist der IE6 ganz klar grundsätzlich unsicherer als sein Nachfolger. Beim Firefox ist es ähnlich, weil in die neue Version weitere Sicherheitsfunktionen und -fähigkeiten integriert wurden.

Und wenn viele DAUs Windows Update abschalten, wieso sollte man ihnen dann zum IE raten?

 

[MountWalker]

Nein, FF2 ist auf aktuellem Patchlevel nicht unsicherer als FF3, es gibt nachwievor viele Embedded-Systeme die auf Linux 2.4 laufen und keinen Sicherheitsnachteil haben und zu der Meldung Ende letzten Jahres irgendwo (auf Heise), dass ein großes US-Amt seinen Beamten den Umstieg auf IE7 (und Vista) untersagt gibts auch noch kein Update - trotzdem sind deren IE6-Installationen auf aktuellem Patchlevel. Ein FF 2.0.0.16 ist darüber hinaus sicherer als FF 3.0.0. Viele Linuxdistros werden mit dem Umstieg auf FF3 bis zu ihrem nächsten Distro-Release warten - auch wenn das heutzutage weniger sind als beim Wechsel von 1.5 auf 2.0. (was aber auch an dem Hype um Firefox liegt, der eine Featuritis und Sucht nach Neuem mit sich zieht)

 

[MacroWelle]

Ich denke schon, dass ein aktueller Firefox 3 sicherer ist als Version 2, da bei der Entwicklung des 3er-Fuchs etwas für die Sicherheit getan wurde (siehe Release-Notes) - betrifft vor allem die Features.
Linux 2.4 läuft nur deswegen, weil es weniger Ressourcen benötigt als 2.6, was in dem Markt wichtig ist - und nicht, weil es sicherer. Ob es mit 2.6 sicherer würde, weiß man nicht.
Wenn große Organisationen nicht auf IE7, Vista oder MSO2007 umsteigen, hat das vielfältige Gründe. Analog wird ja auch nicht einfach so auf Linux/Unix, also z. B. Mac oder StarOffice umgestiegen. Wenn ein IE6 in einem Intranet hinter einem Server mit Firewall und Virenscanner, etc. sitzt ist das sowieso nochmal was anderes, da ist die Sicherheit des Browsers nicht mehr so wichtig wie zu Hause. Du kannst mir aber nicht erzählen, dass das über 50% aller IE-Installationen ausmacht.
Warum ein aktueller Firefox 2 sicherer sein soll als der 3er, musst du mir erstmal erklären. Ubuntu und Fedora Linux hatten bereits Beta-Versionen von Firefox 3 in ihre Releases integriert und das etwas ältere RHEL 4 wurde vor kurzem offiziell von Firefox 1.5 auf Version 3 gepatcht.. Ich sehe da keinen langsamen Umstieg und auch keinen Hype, den man sich bei einer Enterprise Distribution auch nicht leisten kann. Und inwiefern das damit zusammenhängen soll, dass Firefox 3 deiner Meinung nach unsicherer sein soll als der Vorgänger, erschließt sich mir sowieso nicht.

 

[MountWalker]

Also nun bitte, 3.0.0 hat veröffentlichte Sicherheitslücken, 2.0.0.16 hat keine veröffentlichten Sicherheitslücken, warum letzterer sicherer ist liegt also auf der Hand! Augen auf Ich surfe hier mit 3.0.0 auf Windows durch die gegend ohne einen hinweis auf 3.0.1 zu bekommen, weil ich nun dummerweise nicht bereit bin, mit Adminrechten zu surfen, während Auto-Update auf Windows die aktuellen Patches für die installierte Software immer installiert.

Win-Firefoxer lesen News zu "weniger RAM-verbrauch" und schwubsdiwubs erpackt sie genannte Featuritis und Sucht nach Neuem und 3.0 wird installiert - ob die aber jetzt mittlerweile auch mal 3.0.1 installiert haben? Geht aus der Studie nicht hervor - diese Studie da ist in hinblick auf Sicherheit einfach nur voll fürn Arsch, nichts weiter.

 

[MacroWelle]

Ach so meinst du das...

Trotzdem:
- die meisten "Win-Firefoxer" surfen mit Adminrechten
- wer dies nicht tut, sollte meist "geekig" genug sein, um sich der Problematik bewusst zu sein und das Ausbleiben von Updates zu bemerken bzw. sowieso beim surfen über Meldungen über ein Update stolpern (das heißt nicht, das dieses verkrüppelte Firefox-Update-System unter Windows kein Problem wäre!)
- folglich hat auch die Masse der Firefox-3-User das Update aufgespielt
- Sicherheitslücken sind sowieso nicht immer öffentlich...leider...wieviele Lücken es gibt und wem sie bekannt sind, weiß niemand

/EDIT
Ich sag ja nicht, dass das gut ist oder Mozilla damit zufrieden sein kann, im Gegenteil...

 

[MountWalker]

Öhm, viele Leute investieren Schweiß und Tränen darin, DAUs beizubringen, nicht mit Adminrechten zu surfen, nur um dann (nicht nur, aber eben auch) von Mozilla vorgeführt zu bekommen, dass das nicht vernünftig läuft. Und seit jahren immer die gleiche scheiß Rechtfertigung, die du in deinen ersten beiden Stichpunkten zitierst.