Highspeed Opi schrieb:
Jeden 1-2 Monat eine neue Schadsoftware unter Linux, welche durch fehlenden Schutz vollen Zugriff hat und gar nicht beseitigt wird, hört sich für mich nicht sicher an.
Nur hast Du den relevanten Teil des Postings gar nicht gelesen/verstanden.
Selbst wenn jeden Monat 2 neue Viren für Linux erscheinen ist die Wahrscheinlichkeit gering, dass sie überhaupt dein Rechner erreichen.
Und selbst wenn sie Dich erreichen, kommt es nicht automatisch zu einer Infektion. Damit Schadsoftware aktiv werden kann muss eine von zwei Möglichkeiten offen sein.
Entweder die Hilfe des Anwenders in dem er die Schadsoftware direkt/indirekt startet oder durch Ausnutzung einer Sicherheitslücke in einem Programm, wodurch die Schadsoftware ihre Wirkung auch ohne Nutzeraktion entfalten kann.
Gegen ersteres muss man halt einfach aufpassen (genau wie unter Windows). Man kann aber trotzdem zusätzliche Maßnahmen ergreifen. Zum Beispiel besonders den Browser mit dem man ja nunmal direkt mit dem Internet interagiert in eine Sandbox sperren (wobei die i.d.R. eh schon sandboxed sind).
Unter Linux gibts da z.B.
firejail welches es einfach macht eine Sandbox einzurichten. Gerade für beliebte Programme wie Firefox sind da fertige Security-Profile die man einfach nutzen kann.
Gegen letzteres hilft halt vor allem updaten, updaten, updaten. Damit evtl. entdeckte Sicherheitslecks auch möglichst zeitnah geschlossen werden.
Highspeed Opi schrieb:
Natürlich ist es kein Vergleich zu den hunderten Millionen auf Windows, die nur zu 99% blockiert werden.
Wobei 99% sogar noch sehr hoch gegriffen ist und nur unter Laborbedingungen erreicht werden. In der Praxis dürfte die Erkennungsrate deutlich darunter liegen.
Deshalb gilt auch für Windows das was ich eben sagte. Vorsichtig sein. Ggf Sicherheitsmaßnahmen ergreifen. Und Updates.
Das Antivirenprogramm kann man dann von mir aus noch als Ergänzung dazu nehmen, wenns Sinn macht. Die Sicherheit allein voll darauf stützen sollte man aber keinesfalls.
Highspeed Opi schrieb:
Weder mit Linux noch mit Windows darf man sich sicher fühlen oder Linux sicherer als Windows bezeichnen.
Ja. Sicher fühlen ist der erste Schritt zu LEichtsinn oder zumindest Unachtsamkeit.
Highspeed Opi schrieb:
Bei Windows werden große Datenlecks oder Viren durch alle Medien gejagt, sodass der letzte Bauer davon erfährt und etwas unternehmen kann.
Stimmt. Aber In der Regel sind sie dann auch gefixt oder werden es zumindest relativ zeitnah.
Und nichts anderes ist es bei Linux auch.
Ja. Du erfährst vielleicht eher davon. Und dann? Willst Du solange den Computer ausschalten?
Und auch durch die Medien gehen ja nur die großen Sachen.
Wie gesagt. Wenn Dich Sicherheitsmeldungen interessieren, kommst Du sowohl unter Windows als auch unter Linux nicht drum herum die entsprechenden Kanäle zu verfolgen.
Von daher ist dieses Argument a-la "Windows-Lücken werden in der Tagesschau präsentiert" weitgehend wertlos.
K-BV schrieb:
Ich zitiere mal einen älteren Blogbeitrag, der das imho recht gut zusammen fasst. Der Blog existiert leider nicht mehr
Vermutlich wegen der vielen Fehler oder zumindest Ungenauigkeiten. :-)
Unter Windows hingegen ist diese Trennung nicht vorhanden. So führt der Kernel z.B. die grafische Benutzeroberfläche aus
Falsch. Windows trennt sehr wohl zwischen Kernel und Userland. Und sogar der Kernel ist nicht rein monolithisch wie bei Linux, sondern ein Hybridkernel (wie bei MacOS X).
Der Grafiktreiber lag tatsächlich mal ne zeitlang im Kernel-Space ist dann aber wieder zurückgewandert in den User-Space.
Grafiktreiber sind aber zugegebenermaßen auch unter Linux etwas spezieller. Auch die laufen nicht rein im Kernel-Space, sondern sind aufgeteilt. Teilweise Kernel, teilweise Userspace.
Ein Administrator darf zusätzlich noch Systemdateien verändern und Programme und Hardware installieren. An sich eine tolle Sache, wäre da nicht ein klitzekleiner Haken: Man ist standardmäßig Administrator.
Das ist schon seit Windows XP (ServicePack Schlagmichtot) nicht mehr so.
Und durch die mit Vista eingeführte UserAccountControl wird man selbst als Administrator auf potentielle Systemeingriffe hingewiesen und muss diese explizit absegnen.
Zudem fügt Mac OS X noch einen weiteren Benutzertyp hinzu: den Administrator. Als dieser ist man auch hier per Standard angemeldet, jedoch kann dieser weitaus weniger, als ein Windows-Admin.
Das geht auch unter Windows. Schon unter Windows NT gabs neben dem Administrator andere Nutzeraccounts. Zum Beispiel den Backup-Operator. Der konnte zwar auf alle Dateien zugreifen (was ja auch ne nützliche Sache ist, wenn man Backups machen möchte) aber eben keine sonstigen Admin-Sachen.
Unter dem gewöhnlichen Consumer-Windows sind die zwar nicht vorkonfiguriert (würde wohl den gemeinen Windows-Nutzer auch überfordern bzw. wäre schlicht oversized, aber machen kann man das dort nach wie vor).
Jetzt zu unserem Problemkind: Windows. Auf Windows gibt es für jedes, noch so kleine Programm ein .exe-Installationspaket. Dieses Paket darf – dank UAC – direkt alles, was es will, sobald es einmal per UAC gefragt hat. Es darf überall in das System schreiben, überall zusätzliche Dateien ablegen und überall schnüffeln.
Der Beitrag versucht es zwar zu verschleiern in dem er zuerst das Prozedere bei MacOS erklärt und dann so tut als sei es bei Linux ähnlich. Aber im Grunde hat man unter Linux genau das gleiche Problem.
Programme werden mit root-Rechten installiert Und natürlich können sie dann genau das machen, was auch die Windows-Installationsroutinen unter Windows machen können.
Der einzige Vorteil bei Linux ist, dass man dort eben Programme i.d.R. aus dem Repository der Distribution installiert und da einen geschützten Bereich hat, wo der Distributor die Hand drauf hat.
Holst Du Dir irgendwas aus dem Internet, hat Linux exakt das gleiche Problem wie Windows.
Unter Mac OS X und Linux sind Prozesse ihren entsprechenden Rechten zugeordnet.
Zufällig so wie bei Windows.
Ein Prozess kann jedoch auch zusätzliche Rechte, notfalls root erlangen. Dazu ist jedoch die Kennworteingabe des Benutzers erforderlich.
Falsch. Bei suid-Programmen ist das nicht nötig. Zum Glück geht aber die Notwendigkeit des Einsatzes von SUID immer mehr zurück bzw. wird auch aktiv versucht zu vermeiden.
Unter Windows sieht das schon ganz anders aus: Temporäre Rechte gibt es nicht.
sudo ist auch nicht temporär. Das Damit gestarte Programm behält seine Rechte, wenn es sie nicht vorsätzlich abgibt.
Um dem Problem zu begegnen wurde ja gerade
polkit geschaffen (damit kann man tatsächlich gezielt Einzelaktionen definieren die dann von nem Programm welches unter Nutzerrechten läuft aufrufen kann und dann auch bestätigt werden muss). Nur dann sollte man es auch so benennen und nicht
sudo in die Runde werfen und denken, dass wäre grundsätzlich was Anderes.
Abseits davon kann man natürlich auch unter Windows nur Einzelaktionen mit erhöhten Rechten ausführen. Davon wird aber in der Praxis nicht so häufig Gebrauch gemacht. Erstens weils natürlich schwieriger zu programmieren ist und zweitens, weil man den Nutzer z.B. bei einer Installation auch nicht mit mehreren Meldungen auf einmal bombardieren will.
Unter unixoiden Systemen entscheidet nicht die Dateiendung sondern das sogenannte “ausführende Bit” einer Datei darüber, ob die ausgeführt werden darf.
Das ist so nur die halbe Wahrheit. Das gilt im Wesentlichen für Executable-Binaries. Und ja, auch für Shell-Skripte. Aber hier eben schon deutlich weniger verbindlich. Dein Bashskript kannst du ohne X-Bit dann zwar nicht per
./myscript.sh aufrufen, aber das System hindert Dich nicht daran das Skript einfach via
bash myscript.sh auszuführen.
Mac OS X geht sogar noch einen Schritt weiter und setzt ein “Quarantänebit”, dass entscheidet, ob die Datei das erste Mal ausgeführt wird und den Benutzer im Falle der Erstausführung über die Herkunft informiert.
So eine ähnliche Funktion bietet auch WindowsXP ab ServicePack 2 oder 3, wenn ich mich jetzt richtig entsinne.
Es hat die .jpg-Datei in .exe umbenannt und ausgeführt. Die Datei war mit Schadcode manipuliert und installiert jetzt fröhlich Viren.
Abgesehen davon, dass es ein blödes Beispiel ist zeigt es auch nicht die überlegene Sicherheit von Linux.
Denn als Besitzer einer Datei darfst Du Dateien nicht nur umbenennen, sondern auch das X-Bit setzen und löschen.
Eigentlich könnte man hier sogar noch ein Vorteil für Windows konstruieren.
Während Bei Windows etwas am Dateinamen manipuliert werden muss, kann man bei Linux den Dateinamen sogar so lassen und braucht nur das X-Bit zu setzen. Damit ist für den Nutzer nicht unmittelbar am Dateinamen erkennbar, ob seine runtergeladene
pr0noqueen.jpg nicht in Wirklichkeit ein Programm ist.
Wenn man hier Microsoft ein Vorwurf machen will, dann sollte man den machen, dass Dateiendungen standardmäßig im Explorer ausgeblendet werden und damit bei vielen User auf diese ganzen
pr0noqueen.jpg.exe Tricks hereinfallen.
Die Intention dahinter war, dass der Nutzer nicht durch eine Umbenennung sich den Dateityp kaputt macht.
Das Problem hat man aber bei Linux-Desktops auch. Auch die beziehen den Dateityp bzw. das damit verknüpfte Programm gerne mal aus der Dateiendung. Sie begegnen dann dem Umbenennenproblem damit, dass die Endung bei der Umbenennen-Aktion nicht mitausgewählt ist.
Der Vollständigkeithalber soll noch erwähnt werden, dass man die Dateityp-Erkennung auch durch Inhaltsanalyse machen kann, wie sie die
libmagic-Bibliothek vornimmt (das
file-Kommando nutzt sie beispielsweise). Manche Tools integrieren das auch direkt und machen die Erkennung nur darüber.
Aber das ist alles ist unter Linux KANN und nicht zwingend oder Standard.
Nicht alles glauben, was glänzt.
Exakt. Darum hab ich auch bei dem Blogbeitrag gleich damit angefangen. :-)
Ich bin ja nun wahrlich kein Windows-Verfechter. Aber ich denke mal, die Linuxer tun sich keinen Gefallen damit, in dem sie solche Sachen erzählen um unbedarfte Windowsler zu beeindrucken. Langfristig schadet man sich damit selbst, weil halt auch nicht alle unbedarft sind und dann auch mal rauskommt, was teilweise für Blödsinn erzählt wird und das jenseits der bunten Fenster auch nur mit Wasser gekocht wird.
