News Google legt Lücke in Windows 8.1 offen, Microsoft verärgert

[Autokiller677]

Oder man veröffentlicht die Lücke halt zeitgleich zum Patch - dann kann man Patchen und testen, kein zusätzliches Risiko und gute Kontrolle.

 

[tarrabas]

Grundsätzlich sind Lücken baldmöglichst zu schließen.

soweit, sind wir uns total einig. komisch finde ich jedoch bei dir, das dieser grundsatz dann schnell gekippt wird. baldmöglichst bedeutet aber eben, die firma wird dazu gezwungen, indem es öffentlich gemacht wird. da eben leider nichts anderes hilft, das schnell gehandelt wird. zeigt übrigens die vergangenheit zu hauf. ein nettes beispiel war auch der eine link über scanner von xerox. mehr beweise führ ich ned an, da es eine uralte problematik ist, und langsam sollte man aus der geschichte auch lernen. leugnen hilft nix.

MS nehme ich nun wirklich nicht in Schutz. Was mir aber schon wieder übel aufstößt, ist, daß Google sich hier wiedermal wie ein sicherheitsbesorgter Freund des kleinen Users auftut - aber selbst mit Sicherheitslücken zu kämpfen hat und nebenbei aktiv Userdaten sammelt. Genauso wie Google sich als OpenSource-Freund emporhebt - aber dann schleichend sein Android (Apps) zu ClosedSource umbaut - das nur mal so als Beispiel rausgegriffen.

es stösst dir also übel auf, das google(oder irgendjemand, denn es ist schlicht egal wer den fehler findet) eine lücke offenlegt, welche den nutzern schaden kann?*ähm, jede lücke ist n risiko. das sollten sich manche hinter die ohren schreiben, wenn sies sonst immer wieder vergessen wollen.

Kurzum, bei allen Dingen, die Google in der Internettechnik voranbringt - diese beinahe ekelhaft selbstverherrlichende Heuchelei, dieses "zweigleisig fahren" ist das, was mir sauer aufstößt. Sympatisch ist das jedenfalls nicht.

wieso stört dich das bei MS nicht? ich mein, wer behauptete grosskotzig, die cloud sei sicher, die daten der nutzer sei sicher, dabei wird nedmal ne verschlüsselung benutzt, noch irgendwas daran ist sicher? das ist auch nur ein beispiel, der lügen und heucheleien von MS.

also wenn du schon dich über google aufregst, tu es bei allen firmen gleich. nicht beim einen hart kritisieren, beim anderen kuschelsystem, weil dir die nase des einen passt.

ich mag beide firmen nicht. vielleicht ist es darum auch leichter für mich, den kern der sache zu erkennen.

google hat ne sicherheitslücke in windows erkannt und MS informiert. das ist positiv!

hätte google die sicherheitslücke verkauft, was ihr gutes recht gewesen wäre(siehe datencd-kauf hehlerei von deutschland, also legitim), hätten sie mehr geld gemacht, als die sicherheitslücke gratis MS zu geben, damit diese sich an die arbeit machen können.

google hat eine frist gesetzt. warum?
das liegt in der vergangenheit begründet. wer sich noch daran erinnern kann, der weiss das jede softwarefirma erst dann ihren hintern bewegt, wenn sie muss. also sicherheitstechnisch der supergau. leider gelebte realität.

MS hat die frist nicht genutzt. kann wer weiss woran liegen. tatsache ist, das risiko das die lücke ausgenutzt wird steigt stetig. klarer nachteil für den kunden/nutzer.

google hat ihre aussage eingehalten. kann man als hart ansehen. finde ich jedoch nicht. aber ich will nicht über menschen urteilen, deren kurz- und langzeitgedächtniss besch.. ist. damit meine ich nun nicht dich, eher die anderen, welche hier behaupten wollen, MS würde ohne druck reagieren.

fazit für den kunden? MS wird alles in ihrer macht tun, die lücke schnellstmöglich zu schliessen. positiver für den kunden gehts nimmer.



@Sebbl2k

irgendwie fehlt hier bei einen der blick zur relation...

gut, gehen wir dem mal auf den grund.

jetzt kennen vielleicht 1000 hacker irgendwo die sicherheitslücke aus irgendwelchen foren und hacken vielleicht 100.000 rechner.

komische sache, ich gehe davon aus, es weiss genau 1 hacker, von diesem fehler. aus glück, oder warum auch immer, beibt das nun einen ganzen tag so.
dank des internets aber, könnte das bereits ne stunde nach dem auffinden der lücke schon milionenfach verbreitet sein.

grundsätzlich macht man keine wischiwachschi-rechnung wie du(eine annahme sollte eben einen bezug zur realität haben), sondern man macht genau zwei. die eine ist der grösstmögliche schaden, die andere ist der kleinstmögliche schaden, der entstehen kann.

kleinster möglicher schaden = nix passiert. also bestens.

grösstmöglicher schaden = mehrere milionen rechner werden infiziert innerhalb kürzester zeit. willst du das auf euro umrechnen viel spass, da kommen schnell milionen zusammen.

wie du unschwer erkennen kannst, zieht deine milchbüchlein-rechnung hier überhaupt nicht. es zeigt eher, das du keinen plan davon hast, aber das ist nur meine meinung.

jetzt kommt google und veröffentlicht die sicherheitslücke 2! tage vor dem patchday und zack.. sind plötzlich 10.000 hacker scharf auf die lücke und hacken 1.000.000 rechner.

damit willst du aufzeigen, das die veröffentlichung nun kurzfristig das risiko erhöhen kann. an sich korrekt, nur das die hacker erst dann scharf darauf sind, ist ein komischer gedanke. gerade möglichst unbekannte fehler in der masse sind für hacker interessant. dazu kommt, der hacker interessiert sich nur für die technik. was du meinst sind cracker, aber dazu müsstest du ja dich mit der materie auch auskennen, darum sollte man dir das nicht übel nehmen. darum weiter im text.

mehr menschen wissen davon, eine schadens-wahrscheinlichkeit ist gegeben und steigt. darin sind wir uns sogar einig.

die frage jedoch ist nicht, wie viele im untergrund davon wissen, denn da reicht genau einer mit ner kriminellen absicht aus, damit ein realer schaden entsteht. die frage ist, wie kann der nutzer(das opfer) sich besser schützen?

genau dadurch, indem es der breiten öffentlichkeit bekannt gemacht wird.

das setzt druck auf die herstellerfirma, ist aber bissher das einzige mittel, wie man die dazu bringt sich anzustrengen.

das weiss man hinlänglich aus der vergangenheit. und wer sich hier admin, programmierer oder it-spezialist nennen will, der MUSS das wissen, oder er ist schlicht ein blender, der null ahnung hat.

google hat mist gebaut..

das ist ne nette umschreibung dafür, das man das geschehene schlicht nicht kapiert hat.

MS hat ne sicherheitslücke, fehler MS.
google hat den fehler MS gesagt.postiv
MS hat keine reaktion darauf innert der gesetzten frist. google veröffentlicht. auch das MUSS positiv gewertet werden, denn eine lücke, ist eine lücke. die gefahr besteht also, das ist nicht leugbar. da der informierte nutzer etwas dagegen tun kann.

es ist also schlicht so, das MS mist gebaut hat und das sogar zwei mal hintereinander. einmal mit der lücke, die kam ja nicht aus googles misthaufen, sondern von dem MS-hauseigenen mist. dann indem sie es nicht geschafft haben die lücke zu schliessen(innerhalb der frist).

wer daraus nun einen fehler googles ableiten will, der muss fast zwingend an einer realitätsstörung leiden. ein fehler in der software von MS wird immer ihr fehler bleiben.

greez

 

[mauorrizze]

Alles weitere habe ich schon in meinem 1. Post gesagt, also streich mich bitte aus deiner Auflistung.

Das ist ja nu keine Liste mit Anspruch auf Richtigkeit und Vollständigkeit, aber in Gedanken können wir dich gerne gegen z.B. Sebbl2K austauschen
Wobei mit der Aussage

So ist es nur geschäftsschädigend.

wärst du doch wieder ein Kandidat
Ernsthaft, ich glaub wir beide unterscheiden uns hauptsächlich in der Auffassung wo man die Grenze ziehen sollte. Für mich überwiegt halt die Tatsache dass google überhaupt Geld in Softwaretests steckt, gegenüber dem Geplänkel um die 2 Tage.
In Sachen Veröffentlichung gibt es ja Sicherheitswissenschaftler die bis hin zu "alles sofort raushauen" gehen, ich selbst finde feste(!) Fristen eigentlich in Ordnung. Natürlich kann man sich streiten ob die Nutzer davon eher Schaden nehmen oder auch in diesem konkreten Fall mit 2 Tagen profitieren, weil Microsoft vielleicht den nächsten extern gefunden Bug in nur einer Woche fixt anstatt wieder auf 90+2 Tage zu pochen, oder 90+4. Wer sagt dass 2 Tage im Rahmen und 30 Tage zu viel sind? Die Beurteilung ob 90 Tage für eine Software wie Windows viel oder wenig sind erspar ich mir, weil da hab ich keine Ahnung. Das Prinzip find ich aber zu bevorzugen. Das Problem gäbe es nicht wenn man sich vielleicht via BSI oder gar irgendwie international auf Vorgaben oder zumindest best practices einigen könnte. Wird aber nicht passieren und solange das der Fall ist haben wir Außenstehenden imo wenig Recht diejenigen zu verurteilen, die die Bugs veröffentlichen. Nach dem Motto wer ihn findet darf ihn, naja, behalten bringt nix, aber damit machen was er will, je nachdem was er macht gibt es kaum Gesetze dagegen.

Meine persönliche Grenze wann die 90-Tage-Google-Frist zu lockern wäre, liegt bei der Schwere des Bugs. Wenn großer finanzieller Schaden bei den Endkunden zu erwarten ist oder sowieso wenn Menschenleben gefährdet werden könnten, dann muss klar intensiver Dialog mit dem Hersteller gesucht werden. Aber in speziell diesem Fall - ich hab mir mal ganz kurz die Beschreibung angeschaut - scheint der Bug ja nur bei lokalem Zugriff zu ermöglichen, dass man Rechte eines anderern Users oder gar Administrators am PC erhalten kann. Klingt für mich nicht als könnte man damit zentral Millionen von Rechnern befallen. Da find ich 2 Tage ohne Patch okay, ich nutz ja auch ab und zu 8.1 und bin theoretisch betroffen

 

[Bogeyman]

Oder man veröffentlicht die Lücke halt zeitgleich zum Patch - dann kann man Patchen und testen, kein zusätzliches Risiko und gute Kontrolle.

Ja super Gedankengang. Dann bestimmt letztendlich ja Microsoft allein wann die Lücke veröffentlich wird, nämlich dann wenn der Patch fertig ist. Das kann ja dann auch erst nach einem Jahr sein da es keinerlei Druck gibt.

Ohne Druck klappt das nicht. Sauberer wäre das ganze aber über Gesetze zu lösen und entsprechenden empfindlichen Geldstrafen. Dann müsste man sie auch net veröffentlichen sondern verhängt einfach nen dickes Bußgeld, dann wird der BWLer auf einmal ganz schnell wenn das ganze ihm die Quartalszahlen versauen würde.

Hätte Google von MS stattdessen 1 Mio pro übergezogenen Tag verlangt wäre Google auch wieder böse gewesen.

Grundsätzlich muss es Druck geben, statt veröffentlichen wäre es aber besser über Strafzahlungen zu lösen. Aber da die Lobby so stark ist wird das nicht so einfach sein.

In anbetracht der Umstände hat Google, konsequent gehandelt.

 

[Sebbl2k]

soweit, sind wir uns total einig. komisch finde ich jedoch bei dir, das dieser grundsatz dann schnell gekippt wird. baldmöglichst bedeutet aber eben, die firma wird dazu gezwungen, indem es öffentlich gemacht wird. da eben leider nichts anderes hilft, das schnell gehandelt wird. zeigt übrigens die vergangenheit zu hauf. ein nettes beispiel war auch der eine link über scanner von xerox. mehr beweise führ ich ned an, da es eine uralte problematik ist, und langsam sollte man aus der geschichte auch lernen. leugnen hilft nix.



es stösst dir also übel auf, das google(oder irgendjemand, denn es ist schlicht egal wer den fehler findet) eine lücke offenlegt, welche den nutzern schaden kann?*ähm, jede lücke ist n risiko. das sollten sich manche hinter die ohren schreiben, wenn sies sonst immer wieder vergessen wollen.



wieso stört dich das bei MS nicht? ich mein, wer behauptete grosskotzig, die cloud sei sicher, die daten der nutzer sei sicher, dabei wird nedmal ne verschlüsselung benutzt, noch irgendwas daran ist sicher? das ist auch nur ein beispiel, der lügen und heucheleien von MS.

also wenn du schon dich über google aufregst, tu es bei allen firmen gleich. nicht beim einen hart kritisieren, beim anderen kuschelsystem, weil dir die nase des einen passt.

ich mag beide firmen nicht. vielleicht ist es darum auch leichter für mich, den kern der sache zu erkennen.

google hat ne sicherheitslücke in windows erkannt und MS informiert. das ist positiv!

hätte google die sicherheitslücke verkauft, was ihr gutes recht gewesen wäre(siehe datencd-kauf hehlerei von deutschland, also legitim), hätten sie mehr geld gemacht, als die sicherheitslücke gratis MS zu geben, damit diese sich an die arbeit machen können.

google hat eine frist gesetzt. warum?
das liegt in der vergangenheit begründet. wer sich noch daran erinnern kann, der weiss das jede softwarefirma erst dann ihren hintern bewegt, wenn sie muss. also sicherheitstechnisch der supergau. leider gelebte realität.

MS hat die frist nicht genutzt. kann wer weiss woran liegen. tatsache ist, das risiko das die lücke ausgenutzt wird steigt stetig. klarer nachteil für den kunden/nutzer.

google hat ihre aussage eingehalten. kann man als hart ansehen. finde ich jedoch nicht. aber ich will nicht über menschen urteilen, deren kurz- und langzeitgedächtniss besch.. ist. damit meine ich nun nicht dich, eher die anderen, welche hier behaupten wollen, MS würde ohne druck reagieren.

fazit für den kunden? MS wird alles in ihrer macht tun, die lücke schnellstmöglich zu schliessen. positiver für den kunden gehts nimmer.



@Sebbl2k




gut, gehen wir dem mal auf den grund.



komische sache, ich gehe davon aus, es weiss genau 1 hacker, von diesem fehler. aus glück, oder warum auch immer, beibt das nun einen ganzen tag so.
dank des internets aber, könnte das bereits ne stunde nach dem auffinden der lücke schon milionenfach verbreitet sein.

grundsätzlich macht man keine wischiwachschi-rechnung wie du(eine annahme sollte eben einen bezug zur realität haben), sondern man macht genau zwei. die eine ist der grösstmögliche schaden, die andere ist der kleinstmögliche schaden, der entstehen kann.

kleinster möglicher schaden = nix passiert. also bestens.

grösstmöglicher schaden = mehrere milionen rechner werden infiziert innerhalb kürzester zeit. willst du das auf euro umrechnen viel spass, da kommen schnell milionen zusammen.

wie du unschwer erkennen kannst, zieht deine milchbüchlein-rechnung hier überhaupt nicht. es zeigt eher, das du keinen plan davon hast, aber das ist nur meine meinung.



damit willst du aufzeigen, das die veröffentlichung nun kurzfristig das risiko erhöhen kann. an sich korrekt, nur das die hacker erst dann scharf darauf sind, ist ein komischer gedanke. gerade möglichst unbekannte fehler in der masse sind für hacker interessant. dazu kommt, der hacker interessiert sich nur für die technik. was du meinst sind cracker, aber dazu müsstest du ja dich mit der materie auch auskennen, darum sollte man dir das nicht übel nehmen. darum weiter im text.

mehr menschen wissen davon, eine schadens-wahrscheinlichkeit ist gegeben und steigt. darin sind wir uns sogar einig.

die frage jedoch ist nicht, wie viele im untergrund davon wissen, denn da reicht genau einer mit ner kriminellen absicht aus, damit ein realer schaden entsteht. die frage ist, wie kann der nutzer(das opfer) sich besser schützen?

genau dadurch, indem es der breiten öffentlichkeit bekannt gemacht wird.

das setzt druck auf die herstellerfirma, ist aber bissher das einzige mittel, wie man die dazu bringt sich anzustrengen.

das weiss man hinlänglich aus der vergangenheit. und wer sich hier admin, programmierer oder it-spezialist nennen will, der MUSS das wissen, oder er ist schlicht ein blender, der null ahnung hat.



das ist ne nette umschreibung dafür, das man das geschehene schlicht nicht kapiert hat.

MS hat ne sicherheitslücke, fehler MS.
google hat den fehler MS gesagt.postiv
MS hat keine reaktion darauf innert der gesetzten frist. google veröffentlicht. auch das MUSS positiv gewertet werden, denn eine lücke, ist eine lücke. die gefahr besteht also, das ist nicht leugbar. da der informierte nutzer etwas dagegen tun kann.

es ist also schlicht so, das MS mist gebaut hat und das sogar zwei mal hintereinander. einmal mit der lücke, die kam ja nicht aus googles misthaufen, sondern von dem MS-hauseigenen mist. dann indem sie es nicht geschafft haben die lücke zu schliessen(innerhalb der frist).

wer daraus nun einen fehler googles ableiten will, der muss fast zwingend an einer realitätsstörung leiden. ein fehler in der software von MS wird immer ihr fehler bleiben.

greez

du kannst ja viel erzählen.. aber unsere systeme wären jetzt ersteinmal offen bis unser dritthersteller auf verträglichkeit getestet hat. hätten wir 8.1 im einsatz...
google hat ja gleich den exploit mitgeliefert... wegen 2 tagen.

das für gut zu heissen ist realitätsfremd... und wer meint, dass microsoft nun irgendwie druck hat, hat absolut keine ahnung. ich weiß gar nicht was ihr alle so denkt.. aber das bringt gar nichts. da sitzt ein riesiger monopolist. das mögen zwar viele nicht für gut halten und kommen dann mit ihren kleinen heugabeln an und stochern rum, aber gegen einen flugzeugträger bringt das nichts.

das einzige was passieren könnte, dass nun fehlerhafte patches veröffentlicht werden und dann erstmal gar nichts läuft.. das wäre nicht das erste mal. und dann sagt ms, google ist schuld, weil baut zuviel druck auf mit ihren bescheuerten aktionen.

google könnte ja eine nette alternative anbieten, fände ich super..aber die bekommen ja nicht mal android auf die reihe..

 

[MountWalker]

du kannst ja viel erzählen.. aber unsere systeme wären jetzt ersteinmal offen bis unser dritthersteller auf verträglichkeit getestet hat. hätten wir 8.1 im einsatz...

Die seit 90 Tagen in euren Systemen vorhandene Lücke stand wegen Google zwei Tage länger auf Computerbild, in Darkjnet-Foren ist sie aber mutmaßlich schon seit geraumer Zeit geläufig. Euer Dritthersteller testet jetzt, was weiß ich, vielleicht nochmal eine Woche auf Verträglichkeit - wir haben dann aber nicht 2 gegen 0 Tage sondern 9 gegen 7. Und angreifbar sind eure Systeme in diesem Fall dann und nur dann, wenn euer Admin absolut unfähig ist, weil ja eben die Lücke nur dann existiert, wenn der Schieberegler in der Benutzerkontensteuerung nicht auf höchster Stufe steht. Das ist ein Workaround, der so unwahrscheinlich Fehler provozieren könnte, dass man vermutlich eh kaum Unternehmen finden wird, die Microsofts Broken-By-Design-Superfeature, bei manchen Admin-Aufgaben keine Adminbestätigung zu brauchen, überhaupt verwenden; die wenigsten Unternehmen werden also von dieser Lücke überhaupt betroffen sein.

Und obs dir passt oder nicht, die Systeme waren letzte Woche auch schon massiv gefährded, weil sich eben Lücken unter Menschen nicht auf ewig geheim halten lassen. Vermutlich schaut schoin in der ersten oder zweiten Woche nach Entdeckung einer der Informierten mal zu tief ins Glas - obs nur der Kumpel, ders nicht wietersagen darf, versteht, oder noch unbeteiligte Dritte, die grad vorbeilaufen, ist da ziemlich egal.

 

[chithanh]

irgendwie fehlt hier bei einen der blick zur relation...

jetzt kennen vielleicht 1000 hacker irgendwo die sicherheitslücke aus irgendwelchen foren und hacken vielleicht 100.000 rechner.

jetzt kommt google und veröffentlicht die sicherheitslücke 2! tage vor dem patchday und zack.. sind plötzlich 10.000 hacker scharf auf die lücke und hacken 1.000.000 rechner.

Diese Zahlen sind doch reine Spekulation. Genauso gut könnte es sein, dass diese Woche 1.000 Hacker bescheid wissen, nächste Woche 5.000 und übernächste Woche 25.000.

das schadet ausschließlich dem kunden und bringt rein gar nichts!

Das ist falsch. Das Wissen über die Lücke ermöglicht dem Kunden erst, die Sicherheit seines Systems einzuschätzen.

Wenn ich als IT-Verantwortlicher vor der Wahl stehe: Gebe ich jetzt nicht vertrauenswürdigen Benutzern eine Konto auf meinem Rechner? Lasse ich sie gar beliebige aus dem Internet heruntergeladene Programme ausführen?
Auf die Beantwortung dieser Fragen wird es sicher Einfluss haben, wenn ich weiß dass dem Hersteller seit 90 Tagen eine offene Sicherheitslücke bekannt ist, mit der jeder Benutzer und jedes Programm Admin-Rechte erlangen kann.

google hat mist gebaut..

Nein, Google hat mit der Veröffentlichung der Lücke das einzig Richtige getan.

du kannst ja viel erzählen.. aber unsere systeme wären jetzt ersteinmal offen bis unser dritthersteller auf verträglichkeit getestet hat. hätten wir 8.1 im einsatz...
google hat ja gleich den exploit mitgeliefert... wegen 2 tagen.

Nein, nicht wegen 2 Tagen sondern wegen 90 Tagen!

das für gut zu heissen ist realitätsfremd... und wer meint, dass microsoft nun irgendwie druck hat, hat absolut keine ahnung. ich weiß gar nicht was ihr alle so denkt.. aber das bringt gar nichts. da sitzt ein riesiger monopolist. das mögen zwar viele nicht für gut halten und kommen dann mit ihren kleinen heugabeln an und stochern rum, aber gegen einen flugzeugträger bringt das nichts.

das einzige was passieren könnte, dass nun fehlerhafte patches veröffentlicht werden und dann erstmal gar nichts läuft.. das wäre nicht das erste mal. und dann sagt ms, google ist schuld, weil baut zuviel druck auf mit ihren bescheuerten aktionen.

Microsoft hat übel Mist gebaut beim letzten Zertifikatsupdate. Wo war da bitteschön der Druck?

Die Vergangenheit hat gelehrt, dass sobald eine Lücke öffentlich war, der Patch relativ schnell kam. Während Microsoft sich bei unveröffentlichten Lücken auch mal ein halbes Jahr Zeit gelassen hat.

google könnte ja eine nette alternative anbieten, fände ich super..aber die bekommen ja nicht mal android auf die reihe..

Die Methoden, mit denem man Sicherheit von Systemen empirisch messen kann (etwa Malware-Infektionsraten) deuten darauf hin, dass das Sicherheitskonzept von Android den Durchschnittsanwender deutlich besser schützt als das von Windows.

Hier haben mal ein paar Leute ein Experiment gemacht, was passiert wenn arglose Benutzer die Top 10 Download.com Anwendungen installieren:
http://www.howtogeek.com/198622/heres-what-happens-when-you-install-the-top-10-download.com-apps/

 

[M@rsupil@mi]

wer meint, dass microsoft nun irgendwie druck hat, hat absolut keine ahnung.

Klar

Ursprünglich plante Microsoft, die Lücke erst im Februar zu schließen.

http://www.heise.de/security/meldun...age-vor-dem-Patch-Microsoft-tobt-2516168.html

 

[Sebbl2k]

Klar
http://www.heise.de/security/meldun...age-vor-dem-Patch-Microsoft-tobt-2516168.html

wie schaut es aus mit der zukunft?
was wäre passiert, wenn die systeme still gestanden hätten, weil das patch nicht ausgereift ist?!

Ergänzung (14. Januar 2015)

man kann windows nicht mit einem system für mobile endgeräte vergleichen... abgesehen davon:
http://www.zdnet.de/88215864/google...en-ungepatcht-930-millionen-nutzer-betroffen/

 

[crashbandicot]

Ergänzung (14. Januar 2015)

man kann windows nicht mit einem system für mobile endgeräte vergleichen... abgesehen davon:
http://www.zdnet.de/88215864/google...en-ungepatcht-930-millionen-nutzer-betroffen/

Google hat den Bug bereits behoben, jetzt müssen die Smartphoneanbieter nur noch aus dem Knick kommen und ihre Systeme, unsere Smartphones, updaten. Das wird aber nicht passieren, kostet ja Geld. Zum Glück habe ich ne Version >4.4.

 

[c137]

Und übt Google auf diese unabhängigen Firmen Druck in irgendeiner Form aus?
Ich find's immer noch spannend, warum ausgerechnet Google das Recht haben sollte, eine Frist festzulegen usw.

 

[Bogeyman]

Ich find's immer noch spannend, warum ausgerechnet Google das Recht haben sollte, eine Frist festzulegen usw.

Man kann jetzt 2 Sachen machen: Entweder Däumchen drehen und gar nix machen und rumjammern "wieso du, warum nicht ich, wer gibt dir das Recht?"


ODER einer MACHT einfach mal was, so wie google. Wenn du dich beschweren willst dann bei der Politik wieso es da keine einheitlichen Regelungen gibt was längst überfällig wäre.

Okay du findest besser wenn gar nichts gemacht wird und erstmal jahrelang diskutiert wird.

wer meint, dass microsoft nun irgendwie druck hat, hat absolut keine ahnung.

Beim Thema Geld und Ansehen bekommst du jede Firma an den Eiern.

Obendrein hätte ich die Sicherheitslücke net gratis an MS gegeben sondern verkauft. Wir leben in einer Geschäftswelt, wenn ich jemals eine Lücke finden sollte handele ich auch marktwirtschaftlich und verkaufe sie an den der am meisten bietet.

Auch das sollte man google hoch anrechnen dass sie das ganze kostenlos an MS übergeben haben. Selber hätte MS die Lücke nur mit dem Einsatz von Ressourcen gefunden.

 

[crashbandicot]

Und übt Google auf diese unabhängigen Firmen Druck in irgendeiner Form aus?.

Wie soll man bei etwas kostenlosem Druck aufbauen?

 

[Dr. MaRV]

Diese Meldung ist nicht neu und wurde bereits Anfang Januar von anderen Seiten gebracht.
Microsoft hat reagiert, nachdem man auf die Lücke hingewiesen hat, sogar sofort!
Und man hat Google auch gleich gesagt, dass man, um dieses Problem zu beheben mehr als 90 Tage Zeit benötigt, weil es eben ein tiefsitzendes und kein oberflächliches Problem ist.

Das war Google egal, man hat diesen Umstand ignoriert und gesagt, wir veröffentlichen trotzdem.
Das ist das asoziale an der Sache. Man kann eine Arbeit für die 100 Tage benötigt werden nicht einfach in 80 Tagen erledigen. Egal welche Arbeit, ob es nun der Bau eines Hauses, einer Rakete oder eben wie hier die Programmierung eines Patches ist.

Im übrigen Macht Google auch nichts gegen bestehende Sicherheitslücken, es gibt schätzungsweise fast eine Milliarde Android Geräte mit Sicherheitslücke, für die Google einfach keinen Patch anbietet. Daher finde ich es schon fragwürdig, warum man hier auf andere Zeigt, obwohl man selbst nichts besser macht und nichts gegen Sicherheitslücken im eigenen System unternimmt.

Bei Google bedeutet Sicherheitsupdate gleich upgrade auf die nächste Major Release.

 

[LuckyMagnum]

@Dr. Marv: Naja für die Vanilla-Geräte schließt Google schon die Android-Lücken. Aber die zig Custom UIs von Samsung, LG und Co. hinken hinterher. Google unterstützt das aber Alles, indem sie diese Geräte anbieten und Partnerschaften mit den Herstellern haben.

Edit:
Hab das noch nicht gelesen...
http://ht4u.net/news/30527_sicherheitsluecken_bleiben_bei_android-geraeten_erhalten/

 

[Dr. MaRV]

Es geht nicht um irgendwelche UIs, sondern um Probleme im System selbst.
Hier konkret um den WebView in 4.3.

Man stelle sich nur vor was passieren würde, wenn andere Anbieter so agieren würden. Dein Linux hat ne Lücke? Dann update doch einfach von SLES 11 auf SLES 12. Lücke im Windows 7? Na dann hoch auf 8.1 oder 10... Das System ist schon 1 Jahr alt, das Supporten wir mehr.

Fakt ist, es wird hier mit zweierlei Maß gesessen und Google nimmt für sich selbst Freiheiten raus, die sie anderen nicht zugestehen.
Durch die ständigen Boykottversuche in der Vergangenheit gegen Microsoft (nicht Bereitstellen von Apps für Google Dienste, YouTube App im WP Store etc.) bekommt eine solche Meldung eben noch einen ganz besonderen Beigeschmack.

 

[tarrabas]

du kannst ja viel erzählen.. aber unsere systeme wären jetzt ersteinmal offen bis unser dritthersteller auf verträglichkeit getestet hat. hätten wir 8.1 im einsatz...
google hat ja gleich den exploit mitgeliefert... wegen 2 tagen.

das für gut zu heissen ist realitätsfremd... und wer meint, dass microsoft nun irgendwie druck hat, hat absolut keine ahnung. ich weiß gar nicht was ihr alle so denkt.. aber das bringt gar nichts. da sitzt ein riesiger monopolist. das mögen zwar viele nicht für gut halten und kommen dann mit ihren kleinen heugabeln an und stochern rum, aber gegen einen flugzeugträger bringt das nichts.

ich finds ja herrlich, das du meinen gesamten post zitierst, dann aber auf nichts wirklich eingehst. du behauptest nun, das eure systeme erst einmal offen wären, dabei sind diese das schon lange. um genau zu sein, 90 tage +2. das ist aber total egal, weil man das ja als kunde in einer einzigen einstellungen schliessen kann. aber nein, du findest es sicherer, wenn die lücke länger offen ist. sag mal, verstehst du überhaupt, wovon wir hier schreiben?

zum monopolist. was denkst du, hat microsoft in zukunft eine chance gegen linux, wenn sie in der sicherheit weiterhin so bescheiden bleiben, wie bis jetzt? ein klares nein. falls es wirklich soweit kommt, das linux weiterhin user-freundlicher wird, so kannst du die tage von MS an einer hand abzählen.

nun wird sicher von dir kommen, das linux keine gefahr für MS sei. schmunzelt. du wirst dich wundern, denn MS hat schon lange keinerlei chancen im echten arbeitsbereich der it. im serverbereich hat MS stolze 25% anteil. das bedeutet(dir muss ich das glaub erklären), das 75% der anteile zu gunsten linux/unix gehen. den markt hat MS schonmal verpennt. da sie schlich zu schlecht sind. also den gewinnträchtigsten teil des gesamtmarktes haben sie schonmal verloren. im desktop-segment verlieren sie anteile, da immer mehr user wechseln. die frage ist da nicht ob, sondern wie lange es dauert bis MS die felle vollends wegschwimmen. sie haben genau eine chance. besser zu werden. mehr stabilität zu erreichen. nur mein lieber, damit hat MS schon seit win 3.1 mühe. also wird das auch nix. den spielebereich verlieren sie ja nun auch, dank steam. also du denkst MS sei nun nicht im zugzwang? träum weiter.

es ist übrigens sch.. egal, ob MS sagt, google sei schuld. die lage ist eben nicht leugbar, das MS die lücke im os hat. das ist nicht google. schuld kann also einzig und allein MS sein.

noch ein kleiner tipp am rande. weil du hier ja so grossmaulig verzapfst.. "wir im geschäft.. blablabla.." lass das, es glaubt dir keiner. von fachkompetenz bis zur logik(welche in dem beruf zwingend ist) besitzt du null.

google könnte ja eine nette alternative anbieten, fände ich super..aber die bekommen ja nicht mal android auf die reihe..

nicht einmal android auf die reihe? zeig du vor, wie es geht*lachen muss. ok, das ist unfair, du laberst gerne gross, bietest dann aber null argumente und glaubst allen ernstes ne diskussion zu führen.

falls du wirklich bei ner firma arbeiten solltest, sieh zu, das dein chefe nie etwas hört, das du von dir gibst. könnte durchaus sein, das du direkt danach arbeitslos bist. ich hab ja wirklich eine grosse vorstellungskraft, aber mir vorzustellen, das auch nur ein arbeitgeber mit dir mehrere gespräche führt und dich danach nicht entlässt, da passe ich.


@c137

google hat die lücke gefunden, also haben sie das recht ihr wissen der öffentlichkeit zu übergeben. punkt fertig aus. ist wie ne zeitung, darf sie über ein thema berichten? ja. wer gibt ihnen das recht? das öffentliche interesse. dasselbe hier.

hört endlich auf, der verschrobenen logik von MS zu folgen.

wenn ein unfall passiert, ist dann in irgend einem universum der zuschauer schuld?

nein, es ist einer der beiden verursacher des unfalles.

wenn es aber um google geht(eine zweifelhafte firma, schon klar), dann gelten alle gesetze der logik nicht mehr, weil man eben etwas gegen google hat? dabei vergisst man ja auch noch zu gerne, das MS selbst ein riese ist(mit mindestens genausoviel dreck am stecken).
es ist also nicht david gegen goliath, sondern zwei goliate gegeneinander. partei nun für MS zu ergreifen bedeutet in dem falle, die logik zu leugnen und seinen irrationalen gefühlen zu folgen, indem man eine firma blau-äugig betrachtet, die andere mit argusaugen.

@Dr. MaRV

Im übrigen Macht Google auch nichts gegen bestehende Sicherheitslücken, es gibt schätzungsweise fast eine Milliarde Android Geräte mit Sicherheitslücke, für die Google einfach keinen Patch anbietet.

geht es hier um einen fehler von google? lies einmal die überschrift. da steht, es geht um eine lücke in WINDOWS.

nach der logik von dir, würdest du auch als polizist, der einen unfall sieht, die zuschauer verhaften. vielleicht hat einer ja ne rübennase, oder einen furunkel auf dem zeh. das macht extrem verdächtig.
dazu dürfen nur fachleute irgend etwas dazu sagen, da andere ja beim zusehen nicht die fachliche kompetenz besitzen zu erzählen, was sie beobachtet haben.

herrliche logik bastelste dir da zusammen.

so langsam beginne ich der pisa-studie mehr gewicht einzuräumen. wies mich deucht, lässt bildung, logik und verstand extrem nach, bei der heutigen jugend. ich hoffe inständig, das ich mich nun darin irre.*zum himmel fleh

Fakt ist, es wird hier mit zweierlei Maß gesessen und Google nimmt für sich selbst Freiheiten raus, die sie anderen nicht zugestehen.

schallend lacht. der erste teil stimmt ja noch, das mit zweierlei mass gemessen wird. nur das gilt nicht für google, sondern für MS. MS steht es frei, fehler von google zu veröffentlichen, genauso wie es google bei MS getan hat. das ist ein fakt. es ist also extrem absurd zu behaupten, google räume das MS nicht genauso ein. wobei google ja auch keinen heiligenschein besitzt. aber das mit der logik, ist echt nicht dein ding.

greez

 

[MountWalker]

Bei den Android-WebView-Querverweisen sollte man auch noch bedenken, dass die dort bekannten Lücken auch bekannt gemacht sind. Sie werden nicht geschlossen, aber jeder kann sie einsehen. Und dass sie nicht geschlossen werden, liegt eben auch daran, dass nichtmal T-Mobile jetzt noch ein OTA-Update für 4.0-Geräte uä. durchreichen würde.

 

[WhiteShark]

Diese Meldung ist nicht neu und wurde bereits Anfang Januar von anderen Seiten gebracht.
Microsoft hat reagiert, nachdem man auf die Lücke hingewiesen hat, sogar sofort!

Scheinbar ja erst nach 90 Tagen...

Und man hat Google auch gleich gesagt, dass man, um dieses Problem zu beheben mehr als 90 Tage Zeit benötigt, weil es eben ein tiefsitzendes und kein oberflächliches Problem ist.

Und genau das hat Google nicht geglaubt. 90 Tage sind schon irrsinnig lange. Und es ist völlig unglaubwürdig das die Schließung einer Lücke solange dauert.
Was wäre wenn die Lücke nicht von Google entdeckt worden wäre, sondern von Hackern die sie öffentlich machen? Da könnten die sich auch keine 90 Tage Zeit lassen.

 

[mauorrizze]

Das war Google egal, man hat diesen Umstand ignoriert und gesagt, wir veröffentlichen trotzdem.
Das ist das asoziale an der Sache.

Ich finde es noch asozialer in diesem Fall Google asoziales Verhalten vorzuwerfen, weil dich ein Detail am Project Zero stört, bei dem sie ohne finanzielle Gegenleistungen Softwarefehler suchen. Wenn noch mehr Nörgler wie du kommen können doch Sicherheitsforscher gleich ihre Arbeit einstellen und Firmen müssen sich nur noch um Bugs kümmern die die Benutzer zufällig finden. Wäre ganz bestimmt eine viel bessere Welt, wenn nicht immer die nervigen Wissenschaftler und Hacker die Sicherheitsbugs ungefragt offenlegen und dabei Milliarden User gefährden. Oder dürfen nur solche (Security)leute Fehler bei anderen suchen, die selbst 100% frei von Fehlern sind? Den Anspruch hast du an dir selbst offenbar nicht.
Man kann ja google viel vorwerfen, was du ja auch immer wieder nebenbei erwähnst, aber bitte stürze dich nicht mit leeren Behauptungen auf etwas Positives nur weil google involviert ist oder wo auch immer in diesem Fall die Verbissenheit her rührt.