News Internet Explorer derzeit stark gefährdet

[grenn]

Heiß das jetzt also wenn Office 2007 und der IE installiert bzw. im Falles des IEs benutzt wird oder reicht schon eine Sache alleine?
Den Flashplayer habe ich für den Internet Explorer schon lange verbannt da Youtube ja auch mit HTML5 funktioniert und falls doch mal was den Flash Player braucht wird Chrome oder Firefox benutzt.

http://www.viruslist.com/de/analysis?pubid=200883825

Im Grunde:
Unbekannte Sicherheitslücken in Erweiterungen und Browsern selbst. Schadcode über Werbung und kompromittierte Seiten. Javascript scheint einen guten Teil für die Angreifbarkeit zu verantworten. Daher lohnt sich NoScript.

Das eine Infizierung hauptsächlich/ausschließlich über windige Porno- und sonstwas dubiose Seiten erfolgt ist seit Jahren überholt - auch wenn es auch hier im Forum gerne immer wieder behauptet wird. Über das Einschleusen von Schadcode per Werbebanner, SQL-Injections etc. sind auch vermeitlich seriöse Seiten ein Infektionsherd.

Habe sowieso schon vor 1 Woche aus Sicherheit weil ich davon gehört habe den Werbeblocker auch erstmal wieder für alle Webseiten aktiviert denn das scheint ja die Gefahr schonmal zu vermindern, den Excel Viewer 2007 habe ich seit dem Update Problem Mitte September deinstalliert somit wären ja schonmal 2 Faktoren weniger vorhanden, zurzeit scheint es ja nur für den IE 9 ausgenutzt zu werden wie bekannt ist, ich selber nutze aber den IE10 werde es aber auch weiterhin tun sind ja immerhin nur noch 6 Tage bis zum Patch.

 

[micki70]

@Piktogramm
Die KIS Plugins funktionieren mit dem FF nicht. Beim IE laufen sie problemlos. Auch moeglich dass es daran liegt dass FF inzwischen bei V24 ist, wohingegen der IE (noch) bei V10. Die Programmierer kommen einfach nicht mit Versionsspruengen beim FF hinterher.
Ich habe den IE und FF installiert. Was mit dem einen nicht laeuft, funktioniert mit dem anderen. Mein Hauptbrowser ist der IE.

 

[SEL33]

Es ist weniger die Verknüpfung zwischen Browser und Betriebssystem, als das Browser mittlerweile verflixt komplexe Software sind.

@Piktogramm

Bloß,wenn Microsoft den Patch(nur als Beispiel)nicht richtig programmiert,könnte u.U. das Betriebssystem
in Mitleidenschaft gezogen werden.Generell stimme ich dir aber zu,das Browser inzwischen zur komplexen
Software mutiert sind.

Noch ein Grund mehr, den IE endlich vom OS zu trennen, oder?

@Morrich

Das musst du MS fragen.

 

[Daaron]

Es ist weniger die Verknüpfung zwischen Browser und Betriebssystem, als das Browser mittlerweile verflixt komplexe Software sind. Bei den anderen Anbietern kommt ja auch immer mal wieder ans Licht, dass es Probleme gibt.

Ja, aber während Mozilla, Google oder Opera hier innerhalb weniger Tage reagieren, teilweise sogar innerhalb von Stunden, reagiert MS traditionell wie ein schlafender Riese.
Ich erinnere da nur an die alte Lücke in der JPG-Bibliothek. Dieselbe Lücke existierte in Windows, Linux und einigen anderen OS. In Linux war innerhalb von 48h ein Fix da und dank Repository-Strukturen auch umgehend verteilt. Bei MS wurde die Lücke nach mehreren Monaten gefixt...

Ansonsten, der IE ist mittlerweile kein schlechter Browser. Schnell, relativ zuverlässig, geht mittlerweile recht gut mit Standards um und beherrscht auch mal modernere Sachen.

Sicher, aber das heißt nur das MS weitestgehend inzwischen da angekommen ist, wo Google und Mozilla vor nem Jahr schon waren. Es gibt aber tatsächlich einzelne Aspekte in HTML5/CSS3, die nur der IE10/11 kann bzw. richtig kann.

Schlussendlich hat doch jeder Browser seine Nachteile. Ich nutze den IE, FF und Opera alle haben vor und Nachteile aber keine überzeugt mich ihn komplett zu nutzen.

B2T: es gibt doch das FixIT und der Patch kommt zum Patch day in paar Tagen, wo ist das Problem?
FF bringt keine Patches sondern gefühlt jeden Monat ne neue Version...

Das FixIt muss man MANUELL installieren. User, die tatsächlich den IE nutzen, nutzen den meistens weil er "halt dabei war". Sicherheitskritische Fixes müssen UMGEHEND und AUTOMATISCH erfolgen, ansonsten hast du ewig lange Unmengen verwundbarer Systeme.

Und ja, Mozilla und Google bringen regelmäßig neue Versionen raus. Aber auch wenn die Versionsnummer-Trolle das vielleicht nie kapieren werden: Die Versionsnummer hat keine Bedeutung. Ziel ist NICHT, x Versionsnummern innerhalb eines Jahres zu verbraten. Es kommt ne neue Version, sobald neue Features bereit sind oder Sicherheitslücken/Bugs beseitigt wurden. Dafür gibts Major und Minor Releases.
Firefox könnte durchaus auch "Version 6.24" statt "Version 24" heißen, genauso wäre auch eine Versionierung per Build-ID möglich.

Fakt ist: Die anderen Browser-Hersteller bringen unabhängig von obskuren Patch-Zyklen kritische Updates. Microsoft versteift sich so derb auf seinen Patchday, dass Lücken sehr oft 3-4 Wochen offen wie ein Scheunentor sind. Es gibt ja ein FixIt, von dessen Existenz der geneigte Anwender selbst auf obskuren IT-Seiten erfahren darf und das er irgendwo in den Tiefen von MSDN dann evtl sogar findet....

Der IE ist doch aus dem Privatanwenderkreis nahezu vollkommen verschwunden. Nur unsere lieben Behörden nutzen den noch fleißig

Leider nein. Usere User-Stats über verschiedene Webseits zeigen da ein ganz anderes Bild.
Auf einer von uns betrieben Webseite, die sich primär an Familien mit kleinen Kindern richtet, liegt der IE mit ~20% auf Rang 2 hinter Firefox (~30%) bei einer Besuchermenge von knappen 5000 im Messzeitraum.

 

[Piktogramm]

@Piktogramm

Bloß,wenn Microsoft den Patch(nur als Beispiel)nicht richtig programmiert,könnte u.U. das Betriebssystem
in Mitleidenschaft gezogen werden.Generell stimme ich dir aber zu,das Browser inzwischen zur komplexen
Software mutiert sind.

Wenn man Programme nur ausreichend unsicher gestaltet*, wird jedes Betriebssystem samt aller darin integrierter Sicherheitsmechanismen kompromittiert *huORACLEJAVAst* *räuADOBEZEUGsper*.

*Was aus den unterschiedlichsten Gründen so sein kann. Von reiner Unfähigkeit startend bis hin zum Problem, dass unvereinbare Dinge zusammengebracht werden müssen (Hardwarenähe für hohe Anwendungsgeschwindigkeit vs. Sicherheit... Beispielsweise)



@Daaron: Der Patchday seitens MS hat Sinn. Nicht für private Anwender aber für Firmen. Da sollte von der IT bevor Patches eingespielt werden die das halbe System umkrempeln geprüft werden, ob die sonstigen Komponenten der IT-Infrastruktur trotzdem noch gescheit laufen. Dieser Aufwand ist nicht sinnvoll zu betreiben, wenn jeden Tag Patches kommen. Einmal im Monat zum Patchday ist daher aus Sicht von ITlern und Unternehmen äußerst sinnvoll, da planbar! Gerade für Software, die eben dann doch mal auf Komponenten des IEs und/oder Office aufbaut (scheiß Dreckskram, gibt es leider doch noch zu oft) wäre das der Horror und in aller Regel wesentlich unpraktischer als so ein "kleines" Sicherheitsproblem. Vor allem dauert bei MS die Evaluierungsphase des Patches selbst auch eine halbe Ewigkeit (und geht trotzdem mitunter schief).
Dagegen ist bei Linux auch nicht alles rosig. Da kann es schon mal vorkommen, dass da wunderbar übertrieben wird beim Erneuern und Patchen. Bei Ubuntu war ich nicht der Einzige, der mit seinem Broadcom Wlan Chip Probleme hatte beim Wechsel von 12.04.1 bzw 12.04.2 auf 12.04.3 / 12.10 ff. Solche Probleme wären für die IT ner großen Firma ne Katastrophe und nerven den gestandenen Nerd auch im Privaten schon keinen Spaß! Genauso werden bei Änderungen von FF mitunter Erweiterungen deaktiviert weil sie mit neuen Versionen nicht mehr kompatibel sind (selten aber trotzdem nervig). etc. pp.
Hat alles sein Pro und Contra und das was MS macht ist oftmals nachvollziehbar, auch wenn die Konzepte anders sind als in der OpenSource Gemeinschaft.

 

[Daaron]

Nun, du kannst ja mal versuchen, aus dem User Space eines unix'oiden Betriebssystems auszubrechen. Machbar, aber verdammt knackig.

Und spätestens bei Systemen wie GNU Hurd kommst du wohl gar nicht mehr in den gefährlichen Bereich, außer der Admin will es gezielt so.

 

[Morrich]

@Morrich: Man kann Windows ohne Internet Explorer sinnvoll verwenden.

Habe ich etwas anderes behaupten? Nein, im Gegenteil. Ich sagte doch, dass solche Exploids, die durch die Verwobenheit des IE mit dem System hervorgerufen werden bzw. die Lücken nicht entsprechend schnell geschlossen werden können, noch ein Grund mehr sind, den IE endlich vom OS zu trennen.

 

[SEL33]

Wenn man Programme nur ausreichend unsicher gestaltet*, wird jedes Betriebssystem samt aller darin integrierter Sicherheitsmechanismen kompromittiert *huORACLEJAVAst* *räuADOBEZEUGsper*

Das weiss ich auch Piktogramm,aber das meinte ich nicht.Ich bezog meine Aussage wegen der Dauer
des IE-Patches.

 

[Ltcrusher]

*hachja. Schön wieder zu lesen, wie einige so wieder etwas gegen den IE posten.

Es mag Lücken geben, aber die gibt es so gut wie in jedem Browser. Mozilla und Google verpacken dieses eigentliche Bugfixing aber immer in neuen Version, wo sie dann hastig noch tolle neue Sachen verpacken, die auch wieder verbuggt sind, und das Schlimme noch, Addons und Plugins sind dann wieder inkompatibel.

Bei mir z.B. ist der Kaspersky URL Advisor der Internet Security 2013 zur Firefox 24 ESR inkompatibel. Bis 17.09 ESR lief es einwandfrei. Also wer hat da jetzt schuld, daß es nicht geht? Kaspersky oder eher Mozilla mit seinem Versionen-Wahn?

Meist nutze ich den Chrome, für wichtige Sachen aber eher den IE...und nur in Ausnahmefällen den Firefox, da ich den inzwischen für zu aufgebläht halte.

Aber...es ist ja immer einfacher, auf dem bösen und nachlässigen Microsoft wegen Fehlern rumzuhacken.

Wird bestimmt noch passieren, in dem Thread.

 

[Piktogramm]

@Morrich: DU behauptest, dass es ein Grund ist IE und Windows endlich voneinander zu trennen. Dabei existiert diese Trennung bereits, was ich wenn auch umständlich geschrieben habe . Mit "endlich voneinander [zu] trennen" deutest du ja an, dass dies nicht der Fall sei, es ist aber so, dass die Verpflechtung von IE und Windoof so dicht ist, als sie noch weiter aufgehoben werden müsste. Das der Explorer mit im Windows Update drinnen hängt ist ein Grad der Verflechtung den ich für mich sehr begrüße

@cc207: Habe oben ein Edit reingemogelt :=). Die Kurzform davon: lieber etwas längere Zyklen mit ner gescheiten Validierungsphase seitens des Herstellers zu festen Patchdays als wildes rumgepatche.

 

[Morrich]

@Morrich: DU behauptest, dass es ein Grund ist IE und Windows endlich voneinander zu trennen. Dabei existiert diese Trennung bereits, was ich wenn auch umständlich geschrieben habe .

Solange man den IE nicht rückstandlos von einem Windows System deinstallieren kann, ist in meinen Augen die Verflechtung noch immer zu groß.
Man kann zwar die IE Updates wieder deinstallieren, aber den ursprünglich mit Win7 gelieferten IE 8 bekomme ich nicht aus meinem System.

 

[Shirkan]

Ja, aber während Mozilla, Google oder Opera hier innerhalb weniger Tage reagieren, teilweise sogar innerhalb von Stunden, reagiert MS traditionell wie ein schlafender Riese.
Ich erinnere da nur an die alte Lücke in der JPG-Bibliothek. Dieselbe Lücke existierte in Windows, Linux und einigen anderen OS. In Linux war innerhalb von 48h ein Fix da und dank Repository-Strukturen auch umgehend verteilt. Bei MS wurde die Lücke nach mehreren Monaten gefixt...

Das FixIt muss man MANUELL installieren. User, die tatsächlich den IE nutzen, nutzen den meistens weil er "halt dabei war". Sicherheitskritische Fixes müssen UMGEHEND und AUTOMATISCH erfolgen, ansonsten hast du ewig lange Unmengen verwundbarer Systeme.

Fakt ist: Die anderen Browser-Hersteller bringen unabhängig von obskuren Patch-Zyklen kritische Updates. Microsoft versteift sich so derb auf seinen Patchday, dass Lücken sehr oft 3-4 Wochen offen wie ein Scheunentor sind. Es gibt ja ein FixIt, von dessen Existenz der geneigte Anwender selbst auf obskuren IT-Seiten erfahren darf und das er irgendwo in den Tiefen von MSDN dann evtl sogar findet....

Nunja, man sollte aber auch berücksichtigen, dass der IE weitestgehend in Unternehmen und Behörden als Standardbrowser eingesetzt wird. Unter anderem z.B. deshalb, da dieser durch zentrales Usermanagement (wie z.B. Gruppenrichtlinien (GPO's) in Microsoft Netzwerken ) gemananged werden kann.
Hier mal eben schnell einen Patch der mit der heissen Nadel gestrickt ist zu verteilen, und u.U. tausende produktive Systeme lahmzulegen wäre eine Katastrophe.

Patchday's sind aus oben genannten Punkten eingeführt worden. Die zentrale IT hat meist bereits vor dem Patchday die Möglichkeit Patches zu testen, bevor sie zum Patchday zentral an tausende Clients ausgerollt werden.
Diese Patches können z.B. via MSDN / Enterprise Agreement etc. vorgeladen und getestet werden.

In unserem Unternehmen testet ein gesammtes Team vorher die Patches, bevor ich sie dann über Verteilungsmechanismen (in unserem Fall System Center) an alle bzw. bestimmte Clients ausrolle.

Übrigens sind die Fix-IT's auch über die Verteilungsmechanismen auszubringen, wer es denn wirklich riskieren will. Ich bin der meinung, dass diese Fixe wirklich mit der heissen Nadel gestickt sind, und das Risiko, hier etwas zu zerschiessen weitaus höher liegt als bei offiziellen Patches.

O.G. Patchmechanismen zur gezielten Ausbringung an Clientgruppen sind mir bei anderen Browsern aktuell nicht bekannt (ich lasse mich aber gern auf Hinweise ein!)

Im Privaten Umfeld ist diese Patchday Methode jedoch ganz klar ein Nachteil um zeitnah patches auszubringen. Hier wäre eventuell ein Überdenken der Patchday Methode auf Editionsebene (Home/Professional vs. Enterprise /Small Business) angebracht. Home/Professionals können ja gern Unkritische Patches weiterhin zu einem Patchday wie gehabt (übrigens jeden 2. Dienstag des Monats) bekommen, kritische und Sicherheitsrelevante Patches aber bitte zeitnah.

Beste Grüße, Shirkan

 

[Ltcrusher]

Mit dem "trennen" sehe ich als recht schwierig und unsinnig an. Ist es nicht so, daß im Mac OS X nicht der Safari Broser mitgeliefert wird und bei Linux wird doch auch was mitgeliefert (oder etwa nicht)?

Man mag über den IE und seine Lücken denken, was man will, aber Microsoft zu verbieten, den IE mitzuliefern, wäre totaler Unsinn. Es gibt leider nicht nur Freaks und Kenner als Kunden, sondern auch die berühmte Tante Erna, die zuerst erschreckt guckt, wenn man ihr Fachwörter wie Browser um die Ohren haut.

Es wäre eher an den PC Herstellern, die auf ihre Komplettsysteme nicht nur Microsoft Dinge zusätzlich installieren, sondern auch Fremdsoftware. Warum installieren die nicht noch einen kostenlosen Opera, Firefox, Chrome?

Da sollte man ansetzen...

 

[Tuxman]

Einfach Microsoft Office durch was Besseres (z.B. Softmaker Office) ersetzen - schon ist der IE kein Problem mehr.

 

[TrueAzrael]

@Morrich: Man kann den IE8 doch unter Windowsfeatures entfernen, funktionierte beim letzten Test meinerseits auch ohne das mir Probleme aufgefallen wären. Oder was genau willst du?

Wenn es dir um die Engine geht, warum sollte die mit dem IE gelöscht werden können wenn andere Programm sie noch brauchen? Linux schmeißt Abhängigkeiten auch erst raus, wenn alle Programme die davon Abhängig sind entfernt wurden. Anders machts auch wenig Sinn.

 

[Piktogramm]

Solange man den IE nicht rückstandlos von einem Windows System deinstallieren kann, ist in meinen Augen die Verflechtung noch immer zu groß.

Ok, die Renderengine vom IE wird für Hilfedateien und son Zeug noch fröhlich mitgenutzt. Du bist aber nicht gezwungen mit dem IE als eigentständiges Programm ins (offene) Internet zu gehen. Wobei man MS halt nicht vorwerfen sollte, dass einmal gemachte Arbeit nicht anderweitig genutzt werden soll. Wenn man einmal ne gescheite Rendernegine hat, wieso sollte man die nicht auch für andere, unkritische Bereiche nutzen? Also was solls? Die Trennung vom restlichen systemkritischen Komponenten ist vorhanden und es ist für 3. nicht verpflichtend die IE Engine zu nutzen, damit ist die Trennung ausreichend. Da gibt es andere Ökosysteme wo man den Browser samt Engine nicht losbekommt bzw. wirklich nutzen "muss". Da muss die im vorinstallierte Browser befindliche Engine für nahezu alles herhalten und evtl. vorhandene Sicherheitslücken dieser Engine/des Browsers sich auf alle Apps fortpflanzt die darauf aufbauen...

 

[Daaron]

Es mag Lücken geben, aber die gibt es so gut wie in jedem Browser. Mozilla und Google verpacken dieses eigentliche Bugfixing aber immer in neuen Version, wo sie dann hastig noch tolle neue Sachen verpacken, die auch wieder verbuggt sind, und das Schlimme noch, Addons und Plugins sind dann wieder inkompatibel.

Komisch... Ich nutz dieselben Addons in Chromium nun schon seit 2 Jahren oder so, ohne aktiv irgendwo mal eingegriffen zu haben. Keine einzige Erweiterung hat den Dienst in der Zeit quittiert.
Auch die Sachen, die ich im FF verwende, wurden alle zeitnah aktualisiert, wenn sie überhaupt eine Aktualisierung nötig hatten.

Nunja, man sollte aber auch berücksichtigen, dass der IE weitestgehend in Unternehmen und Behörden als Standardbrowser eingesetzt wird. Unter anderem z.B. deshalb, da dieser durch zentrales Usermanagement (wie z.B. Gruppenrichtlinien (GPO's) in Microsoft Netzwerken ) gemananged werden kann.
Hier mal eben schnell einen Patch der mit der heissen Nadel gestrickt ist zu verteilen, und u.U. tausende produktive Systeme lahmzulegen wäre eine Katastrophe.

Dann könnte man 2 separate Channels erstellen: z.B. Security & Stability
Standardmäßig ist Security aktiv, wo immer alle Sicherheitsupdates tagesaktuell eingespielt werden. Bei großen Netzen, die ihre eigenen Verteiler für WSUS betreiben und per GPOs arbeiten, wird einfach per "Stability" mit dem klassischen Update-Schema aktiviert.

Millionen Home-User über mehrere Wochen im Regen stehen zu lassen, um Firmenkunden zu schützen, die den Kram ja am Ende DOCH selbst doppelt und dreifach prüfen, bevor sie es intern ausrollen, ist jedenfalls total am Ziel vorbei.

O.G. Patchmechanismen zur gezielten Ausbringung an Clientgruppen sind mir bei anderen Browsern aktuell nicht bekannt (ich lasse mich aber gern auf Hinweise ein!)

Firefox ESR... Keine neuen Features, nur geprüfte Sicherheitsupdates.
Das Zeug ist dann so stabil, dass du keine zusätzliche Schicht im Verteiler brauchst... zumal der FF eben nicht das halbe OS zerreißt, wenn er mal spinnt. IE macht das immer.

Einfach Microsoft Office durch was Besseres (z.B. Softmaker Office) ersetzen - schon ist der IE kein Problem mehr.

Einfach den IE durch was Besseres ersetzen, zusammen mit Office...
Das löst dann auch das Problem mit dem ungefragten & ungeprüften Zertifikate-Autoupdate von NSA-Soft.

Am Besten auch gleich MS OOXML durch ODF ersetzen, wenn man den Abwasch schon anfasst. Dann hat man wenigstens in 10 Jahren noch Freude an den Dokumenten.

 

[Tuxman]

Einfach den IE durch was Besseres ersetzen, zusammen mit Office...

Dachte, du nutzst Chromium?

Das löst dann auch das Problem mit dem ungefragten & ungeprüften Zertifikate-Autoupdate von NSA-Soft.

Zertifikate sind serverseitig. Wenn ein Zertifizierer gehackt wird, ist auch dein Chromium keine Hilfe.

Am Besten auch gleich MS OOXML durch ODF ersetzen, wenn man den Abwasch schon anfasst. Dann hat man wenigstens in 10 Jahren noch Freude an den Dokumenten.

Als ich mein LibO von 3.x auf 4.x aktualisiert habe, stellte ich durchaus Darstellungsunterschiede in meinen bestehenden .ods-Dateien fest, unter anderem waren Umrandungen plötzlich anders. Das musste ich manuell nachjustieren.

 

[Smagjus]

Wie sieht ein solcher Angriff dann aus? Wird eine Website präpariert auf die man gelockt wird oder ist das ein gezielter Angriff auf eine bestimmte IP bei dem es reicht dass das Opfer überhaupt online ist oder wie muss man sich das vorstellen?

Normalerweise arbeitet Metasploit mit präperierten Websites. Auf diese wird dann entweder über Spam mails gelockt oder Domainsquatting, d.h. du vertippst dich z.B. bei Ebay.de und landest dann auf auf Ebay.der (falls es die geben würde). Richtig fies wäre es, wenn das auch mit kompromitierten Ads funktionieren würde. Das ist aber relativ unwahrscheinlich.

 

[SEL33]

Man kann den IE8 doch unter Windowsfeatures entfernen, funktionierte beim letzten Test meinerseits auch ohne das mir Probleme aufgefallen wären. Oder was genau willst du?

Bist du dir sicher??Meines Erachtens nach werden da nur einige Einträge entfernt,doch der IE 8 selbst wird nicht
deinstalliert.Ich lasse mich gern belehren,falls ich mich irre.