News Windows 7: Das unsichere Betriebssystem erhält offiziell Secure Boot

[Boimler]

@Opa Hermie : Ich finde es insofern kurios, weil die meisten Win7-Nutzer wahrscheinlich bei einer Neuinstallation kein Secure-Boot absichtlich aktivieren werden.

 

[Poati]

Frei nach dem Motto: "Oh Kacke, mein PC wurde gehackt, weil ich auf den Link in der Mail geklickt hab, ohne vorher zu gucken! Was ist das aber auch für ein unsicheres OS, das ich das einfach machen darf! Böses Windows!"

Das habe ich noch nie gehört und ich war lange Zeit in der IT die Kontaktperson für Sicherheitsvorfälle und mittlerweile in der Informationssicherheitsberatung tätig. Ich würde mal behaupten, dass die allermeisten User, mit denen ich es zu tun hatte, überhaupt nicht davon ausgehen, dass irgendein Windows sicher sei. Was im übrigen eine sehr gute Annahme ist, da es sowas wie komplette Sicherheit nicht gibt. Womit wir zum nächsten Punkt kommen, den ich aufgreifen möchte:

Bei vernünftigtem Verhalten und grundlegenden Sicherheitsmaßnahmen wie nem aktuellen Virenscanner kannste Dich sogar noch mit WinXP noch einigermaßen sicher im Netz bewegen.

Da hakt es an vielen Stellen, was eben grundlegende Sicherheitsmaßnahmen sind und am allgemeinen Verständnis für Informationssicherheit. Es geht überhaupt nicht darum, dass man mit einem aktuell gepatchten OS sicher wäre. Nein, es ist aber sicherer als ein altes WinXP. Welche Maßnahmen du auch im Detail meinst, was spricht dagegen diese auf einem aktuellen Windows umzusetzen? Außerdem lässt deine Aussage den Schluss zu, dass ein WinXP nach diesen grundlegenden Sicherheitsmaßnahmen (tut erstmal nichts zur Sache, welche das sein mögen) einen sicheren Zustand erreicht, achtsame Nutzung des PCs vorausgesetzt. Trugschluss. Im Bereich des Schwachstellenmanagements würde dir schnell auffallen, dass deine gleichbleibende Anzahl von Sicherheitsmaßnahmen der steigenden Anzahl von erkannte Lücken überhaupt nicht gerecht wird.

So da wir hier in einem Techforum sind und die professionelle Nutzung von IT-Systemen eher zweitrangig ist: Von mir aus kann jeder ein noch so unsicheres OS fahren und sonst was mit seiner Hardware anstellen, wie bspw. unser Windows 7 Retromod Fan. Idealerweise ist man sich aber des vorhandenen Risikos bewusst hat kein Problem damit, wenn bspw. die eigene Hardware Teil eines Botnetzes ist. Die wenigsten Teilnehmer in solchen Netzen wissen darüber übrigens Bescheid. Wir betrachten bei uns leider keine AV Software mehr, die noch für alte Windows Versionen erscheint, aber mich würde es echt interessieren, was die Kollegen da so finden würden. Leider ist es nur totaler Quatsch eine AV Software für ein OS voller ungepatchter Lücken zu testen.

So langer Beitrag, aber das musste sein und bitte nicht böse nehmen.

Kleiner Nachtrag noch:

Kennt ihr aus eurem Freundes-, Bekannten- und Kollegenkreis persönlich jemanden, der nicht durch komplett eigenes Verschulden und Unvermögen in irgend so einen Schlamassel geraten ist? Irgendjemanden, dessen Privat-PC dank Spectre, Meltdown oder irgendwelcher anderer großer Sicherheitslücken gehackt wurde?

Du wärst wahrscheinlich baff, wie viele professionelle IT-Netze es da draußen gibt, die nicht mitbekommen, wenn sie kompromittiert wurden. Das ist nämlich alles andere als trivial und erfordert mindestens ein vernünftiges Monitoring und Auswertung vieler Systemlogs. Dinge für die viele Admins schlicht keine Zeit haben. Die aktiv gefahrenen Angriffe sind da grundsätzlich von kompromittierten Systemen zu unterscheiden. Zwischen Befall eines Netzwerkes und bspw. Scharfschaltung einer Ransomware vergeht aber durchaus mal ein Jahr. Und da möchtest du uns weiß machen, dass die wenigen Usermeldungen über Cyberattacken bedeuten, dass die Systeme alle sauber sind? Ich habe da Bedenken.

 

[RyzaTune]

Bei mir seit 2013 - noch nie Secure Boot aktivert gehabt,
weil ich es nicht will.
Spiele aber keine Games die es voraussetzen.

Ja aber du hast halt von dir auf andere geschlossen. Deshalb habe ich das nicht verszanden. Wenn du es nicht willst ist das okay, aber ohne Grund können das halt dann auch alle anderen außer dir nicht nachvollziehen. Nicht wollen ist eben nur ein Grund, keine Erklärung.

 

[branhalor]

So langer Beitrag, aber das musste sein und bitte nicht böse nehmen.

Ach Quatsch, bestimmt nicht. Ist ja alles sachlich und formal richtig.
Und natürlich hab ich grundsätzlich schon auch lieber ein halbwegs aktuelles OS.

Aber:

Idealerweise ist man sich aber des vorhandenen Risikos bewusst hat kein Problem damit, wenn bspw. die eigene Hardware Teil eines Botnetzes ist.

Wie groß ist denn die Wahrscheinlichkeit, Teil eines Botnetzes zu werden für nen Privat-PC, der "normal" und aufmerksam genutzt wird?

=> Man landet doch nicht mit dem privaten PC, der abends drei Stunden an ist, in nem Botnetzwerk, weil man YouTube oder Netflix guckt, auf Amazon und eBay surft oder via Steam oder Epic Multiplayer zockt. Um in einem Botnetzwerk zu landen, müssen die Angreifer erstmal irgendwie wissen, daß da ein PC online ist, den man angreifen kann, und als User muss man sich auf Seiten und mit unsicheren Links beschäftigen, von denen man besser die Finger lässt. Auch wiederholtes Checken von Facebook, Instagram oder Shopping-Portalen macht einen noch nicht zum Ziel, solange man die original HTTPS Seiten aufruft und spätestens dann hellhörig wird, wenn irgendwas komisch aussieht.

Ich bin seit 35 Jahren mit Computern und PCs zugange und seit 25 im Internet - und klar ich hab in meiner "wilden" Jugend auch mal Schweinkramseiten aufgerufen und mir einmal übel den PC verseucht. Aber in nem Botnetzwerk bin ich noch nie gelandet; ich denke, früher oder später würde ich das an irgendwas Seltsamen, das mein PC plötzlich betreibt, feststellen. Und ich bin mir einigermaßen sicher, da würde ich auch heute nicht drin landen, wenn ich noch Age of Empires 2 und Office 2003 unter WinXP laufen lassen würde.

Ich sag ja nicht, daß es im Netz keine Gefahren gibt, ich lebe schon nicht hinterm Mond

Aber ne Sicherheitslücke macht einen PC noch nicht per se unsicher - da müssen mehrere Faktoren zusammenkommen. Und das Verhalten des Menschen vor der Tastatur hat da meiner Erfahrung nach einen nicht unerheblichen Einfluss drauf.

Heißt auch nicht, daß es nicht irgendwann irgendwo Server mit Schadsoftware gibt, die das Netz automatisch nach neuen IPs absuchen und dann meinen Privat-PC, den ich nach Feierabend für ne Runde Elite gerade eingeschaltet und mich bei Frontier eingeloggt habe, blind angreift. Alles möglich.
Der Nutzen für solche Angreifer, wahllose Massenangriffe gegen Volks-PC's zu veranstalten, dürfte allerdings gering sein, der Aufwand überproportional hoch, und letztlich haben auch Serverbetreiber wie Frontier, Steam, Amazon und Facebook ihre Sicherheitsmaßnahmen.
Damit will ich meine Verantwortung nicht abwälzen, ganz im Gegenteil - aber das Risiko ist meiner Meinung nach sehr überschaubar und tendiert für einen halbwegs versierten und aufmerksamen Otto-Normal-User gegen Null. Meine persönliche Erfahrung und Meinung.

 

[MountWalker]

[...] Aber in nem Botnetzwerk bin ich noch nie gelandet; ich denke, früher oder später würde ich das an irgendwas Seltsamen, das mein PC plötzlich betreibt, feststellen. [...]

Wenn dein Bot nicht irgendwas gegen dich fährt sondern deinen Rechner und Internetanschluss nur dafür benutzt, an DDoS-Angriffen in Vernetzung mit 100.000 anderen infizierten Geräten (PCs, Kühlschränke, Smart-TVs) einen Webserver eines ukrainischen Ministeriums lahmzulegen, merkst du davon nullkommaniewas. Du weißt nicht, ob dein Rechner nicht vielleicht daran beteiligt war, 2007 Estland lahmzulegen.

 

[Nickel]

Ja aber du hast halt von dir auf andere geschlossen.

Nein, hab ich nicht.
Mich nicht verwechseln mit @GokuSS4 ,
bzw dessen Aussage diesbezüglich.

 

[branhalor]

@MountWalker

Wie soll der denn infiziert werden, wenn ich mich nirgendwo herumtreibe, wo ich mir etwas einfangen kann?
Das ist der Punkt, der mir noch nicht einleuchtet 🤔

Ich gestehe, daß ich im Detail nicht weiß, wie mein Rechner in ein Botnetzwerk gelangen kann.
Aber ganz grundsätzlich muss sicher ich erstmal irgendein "Hallo hier bin ich" an das Netzwerk senden, damit die überhaupt von mir wissen. Also irgendwo irgendwas unwissentlich anklicken, was ich besser nicht angeklickt hätte.

Solange ich also auf Sharemods nicht das Werbebanner mit den kyrillischen Buchstaben anklicke oder das, bei dem mir der Firefox unten links eine kryptische Adresse mit fragwürdiger Domain und Endung ".ru" o.ä. anzeigt, kann ich nicht nachvollziehen, wie mein PC da irgendwo reingeraten können sollte.

 

[MountWalker]

@branhalor

Dafür gibts zwei Wege. Das eine sind die hunderten Webadressen und -dienste, die du heutzutage alle so ansteuerst, sobald du nur einen einzigen Online-Zeitungsartikel in einer egal wie seriösen Online-Zeitung öffnest. Irgendeiner dieser angesteuerten Dienste kann selbst infiziert sein und ja, das passiert manchmal. Du musst einfach nur daran denken, dass bei BitDefender schon mehrmals "eingebrochen" wurde und jedes Mal zehntausende Kundendaten geklaut wurden - Online-Dienste-Anbieter sind nicht unverwundbare Götter und seit zehn Jahren oder länger ist "eine Website" nicht mehr nur "eine" Website.

Und das zweite sind versehentlich angebotene Dienste, die versehentlich trotz Firewall und Router von außen erreichbar sind. Wenn man einen Router nutzt, der auffallend lange keine Sicherheitsupdates mehr bekam, ist das möglicherweise ein End of Support Problem, das man Ernst nehmen kann.

Ich zitiere mal den tagesaktuellen (Zeitpunkt dieser Beitragserstellung) Wikipedia-Artikel zu Botnets:

Laut Bericht zur Lage der IT-Sicherheit in Deutschland 2015 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) wurden im ersten Halbjahr 2015 in Deutschland täglich bis zu 60.000 Systeme neu infiziert.[3]

60.000 Systeme in einem halben Jahr in einem 80.000.000-Einwohner-Land. Nicht viel, nicht wenig. Man beachte dabei, es geht nur um die Neuinfektionen in dem Zeitraum - Systeme, die davor schon infiziert waren, wurden nicht mitgezählt.

 

[pseudopseudonym]

@branhalor
Guck mal, durch wie viele Server dein Internet-Traffic geht, selbst ohne die externen Scripte von CB (traceroute computerbase.de). Lass da mal einen durchgeowned sein und auf Protokollebene etwas machen, das einem Angreifer dein Windows öffnet (Speicherüberläufe wären ein Klassiker). Merkst du nicht, du musst auch nichts komisches machen.

Jetzt geh mal in den Netzwerk-Tab deines Browsers und guck mal, was alles geladen wird, wenn du Computerbase aufrufst und von wo. Deine JS-Engine könnte angreifbar sein. Vielleicht hat der Bildrenderer nen Bug.
BTW über 200 Requests auf alle möglichen Server nur beim Aufrufen von Computerbase.

Alles, wo Daten von außen geladen werden, bietet Potenzial für Angriffe. Da brauchst du keine krummen .ru-Domains.

 

[s1ave77]

Solange ich also auf Sharemods nicht das Werbebanner mit den kyrillischen Buchstaben anklicke oder das, bei dem mir der Firefox unten links eine kryptische Adresse mit fragwürdiger Domain und Endung ".ru" o.ä. anzeigt, kann ich nicht nachvollziehen, wie mein PC da irgendwo reingeraten können sollte.

Drive-By-Downloads über infizierte Werbebanner müssen nicht ausgelöst (durch anklicken) werden, das geht automatisch.

 

[branhalor]

Okay, zu später Stunde noch was gelernt.
Bin da grad etwas sprachlos ansonsten - aber ist vielleicht auch ganz gut so. Erstmal sacken lassen 😜

Danke euch Dreien.

 

[Bigeagle]

@Weltraumeule da likes allein nicht viel zählen, der Desktop sieht nett aus. Mit dem passenden Schreibtisch dazu macht das richtig was her finde ich, obwohl ich sonst eher 'form follows function' anhänger bin ^^
Kann ich dennoch nachvollziehen, eines der ersten Dinge die mich abgesehen von technischem Kram bei Win10 gestört haben war dass ich die Fensterleiste nicht mehr farblich anpassen konnte ohne gleich lauter andere Dinge mit einzufärben. Noch dazu nur opak, das hatte ich zuletzt ... bei meinem Win XP das noch in Win2k Optik lief.
So richtig voll Stylepakete habe ich allerdings nur mal zeitweise unter Win98 genutzt weil da welche bei C&C Alarmstufe Rot dabei lagen. War auf dauer nicht so praktisch :/
Mein Win7 ist momentan auch wieder voll reaktiviert da die SSD mit Win10 drauf defekt ist und wohl getauscht werden muss. Ist durchaus nicht unangenehm, es funktioniert wieder alles wie gewohnt.

Windows 7 ist ein veraltetes Betriebssystem und für moderne Hardware einfach nicht geeignet.
Eine Installation ist hier größten Teils gar nicht mehr möglich, auch fehlen wichtige Treiber.

Für neue Hardware würde ich es nicht in erwägung ziehen, aber für den alten rechner der damit seit 10 Jahren läuft? Man sollte sich zunehmend etwas Gedanken um Sicherheit machen, aber meine Treiber haben teils 2016 selbst für Win10 ihr finales Update erhalten. Manches eher 2013. Also vollkommen egal.

Du wärst wahrscheinlich baff, wie viele professionelle IT-Netze es da draußen gibt, die nicht mitbekommen, wenn sie kompromittiert wurden. Das ist nämlich alles andere als trivial und erfordert mindestens ein vernünftiges Monitoring und Auswertung vieler Systemlogs.

Also von der theoretisch 'schon immer' bestehenden Möglichkeit dass das System kompromittiert ist abgesehen, welche Szenarien sind denn für den PC zuhause relevant?
Ransomware - bemerkt man ziemlich sicher
Botnetz - abhängig von der Nutzung durch den Betreiber und dem Aufwand zum Verstecken. Soll der PC aber was aufwändigeres tun merkt man das doch noch vergleichweise einfach weil lokal oder am Internetzugang Ressourcen belegt werden. Am Router gucke ich zugegeben nicht oft rein und ich würde davon ausgehen dass man Netzwerkverkehr relativ gut vor lokalem monitoring verstecken kann.
Datenausleitung - wäre eine echte Gefahr, schwer zu bemerken und bei geringen Mengen oder Geduld auch unscheinbar. Doch gibts bei Privatpersonen genug zu holen um nicht Ransomware oder ein Botnetz zu versuchen? Nur mal in fremde Urlaubsfotos reingucken ist genauso strafbar wie alles andere und wertvolle Daten abgreifen dürfte mit klassischen phishingmails einfacher sein. Aus meiner Sicht zu riskant/teuer um einfach ins Blaue rein Systeme anzugreifen. Eher etwas für gezielte Angriffe. Die sind wieder deutlich unwahrscheinlicher.
klassische 'ich wollte mal gucken obs geht - ich will die Computer brennen sehen'-Malware ist glaube ich selten(er) geworden seit man damit eigentlich auch Geld verdienen kann

Ein Beispiel für Home-monitoring, nur so zum Spaß:

Die Zeiten für die GPU WUs schwanken hauptsächlich durch Browsernutzung, die haben einen kern exklusiv für sich, während die anderen Aufgaben die drei anderen nutzen. Wenn sich dort größere Schwankungen ergeben liegt das entweder an mir, oder irgendwas ist faul. Botnetze die etwas Ressourcenintensives machen, oder Kryptowährung schürfen sollen würden auffallen.

Man landet doch nicht mit dem privaten PC, der abends drei Stunden an ist, in nem Botnetzwerk, weil man YouTube oder Netflix guckt, auf Amazon und eBay surft oder via Steam oder Epic Multiplayer zockt. Um in einem Botnetzwerk zu landen, müssen die Angreifer erstmal irgendwie wissen, daß da ein PC online ist, den man angreifen kann, und als User muss man sich auf Seiten und mit unsicheren Links beschäftigen, von denen man besser die Finger lässt.

Also das naheliegendste ist da klassisch eine Email mit einem link der entweder nicht vor dem anklicken geprüft wird, täuschend ähnlich zu einem legitimen Ziel aussieht, oder zu einer gekaperten Domain führt. Danach dürfte tatsächlich einfaches surfen ohne Scriptblocker kommen. Die meisten Seiten laden Werbung (und javascript) von nur bedingt überprüfbaren Quellen und die lädt jeder Besucher per default mit.
Spiele und Steam sind auch nicht unbedingt sicher, wobei ich da nicht weiß ob das abseits aufwändigerer angriffe ein Thema ist. Aber wenn wäre ein hack des Steam Updates, oder eines gut besuchten Multiplayerspiels ein lohnenswertes Ziel.
Varianten wie Malware als Tool (trainer, keygen, systemoptimierer, antivirensoftware, etc) tarnen würde ich eher als Nischenvariante ansehen, wobei das mehr nach Gefühl geraten ist. Wer lädt schon diese 'superduperoneklickoptimierer', oder 'dieses tool entfernt alle viren!!!11' Dinger runter? Trainer sind heutzutage genauso kommerzialisiert wie malware und keygens ... nutzt sowas noch jemand? Früher hatten die wenigstens noch nette musik oder minidemos. Sagte ein Bekannter
Ist vielleicht nur meine Bubble, aber seit es gute Spiele (wenn auch nicht ganz frisch) für unter 5€ gibt haben keygens doch weitgehend ihren nutzen verloren. Dafür habe ich eine Zusammenstellung aus Musik von Keygens auf meinem MP3 Player ^^

Abseits von Hobbyhackern interessiert sich da niemand dafür ob/wann dein PC online ist, weil niemand spezifisch deinen PC angreift. Das ist mehr Treibnetzfischen und gucken was so hängen bleibt. Ein PC der relativ zuverlässig jeden Abend für ein paar Stunden läuft ist zwar erstmal nicht so toll wegen eingeschränkter Verfügbarkeit, aber wahrscheinlich wird so ein PC auch nicht allzu genau überwacht. Als Böswilliger Angreifer würde ich solche Systeme einem PC der 24/7 durchläuft vorziehen weil ich vermuten würde dass letztere von Menschen wie mir (oder schlimmer ^^) betrieben werden. Man will ja auch nicht auffallen, oder in Honeypots von Sicherheitsforschern geraten die Schadsoftware einsammeln und untersuchen wollen.
Fast jeden Abend ist auch besser als so ein PC der nur unregelmäßig ein, zwei mal in der Woche oder noch seltener genutzt wird. Für ein Botnetz machts dann die Masse, ein paar werden schon immer da sein.

 

[Kenny [CH]]

und auch wenn's viele nicht verstehen wollen, aber windows 7 hat ggü w10 und w11 die geringere anzahl an sicherheitslücken, an der codebase wurde ja ewig nichts geändert ... und solche sicherheitslücken entstehen ja nicht einfach. entweder sie waren seit 10 jahren schon da und seitdem noch NIE gefunden und nicht gefixt (unwahrscheinlich) oder sie sind eben schon lange gestopft. wenn man die letzten 2-3 jährchen CSV datenbank für 7 vs 10 durchblättern sieht man wo wesentlich mehr lücken gefunden werden und auch welche severity jeweils vorliegt... lade jeden der hier zweifel hat herzlich ein sich selbst mal ein bild zu machen

CVE bitte hat nix mit comma seperated values zu tun

Und nur weil keine mehr gefunden werden/weniger, heisst das nix zu der sicherheit - nur das es evtl niemand mehr anschaut oder prüft / pen tested. Es sind halt immer mehr augen auf den neuen win10/11 os amschauen als auf den alten. Oder wilst du sagen win xp ist sicher weil keine cve mehr gefunden werden und das 11jahre oder so supported wurde? Denk mal darüber nach.

Wenn niemand (von den security experten/white hacker) mehr für das os interessieren, so werden auch keine probleme gefunden. Quasi henne - ei problem.

Un zu dem meltdown/spectre angriff - die sind ultra schwer für die durchführung und bei amd muss man dies am gerät machen - das ist quasi kein guter angriffs vektor da gibt es besser/leichere lücken zum abusen als diese.

 

[-=[CrysiS]=-]

Finde ich gut, eines der besten Betriebssysteme mit 98/Vista (Win10)...

Würde ich an erster Stelle wählen beim PC-Neukauf

 

[RyzaTune]

Finde ich gut, eines der besten Betriebssysteme mit 98/Vista (Win10)...

Ernsthaft Vista?

 

[-=[CrysiS]=-]

No, Ja, damals... für DX10 in Crysis

 

[sh.]

Eigentlich hat Microsoft mit Windows 10 Enterprise LTSC bzw. Windows 10 IoT Enterprise LTSC das perfekte Betriebssystem, sie müssten es nur für jedermann anbieten.

 

[aleqx]

Im übrigen habe ich vor vielen Jahren solch einen Vintage Geschmack durch die Bioshock Reihe entwickelt

Find ich stark. Es ist nicht mein Geschmack, aber das ist ja auch völlig egal. Es gefällt dir und das ist das einzig wichtige.

 

[Novasun]

Ihr meint OS2-Warp?

Nein, das läuft auf den Servern die die Transaktionen abhandeln...
Auf den Clients im Geldautomaten lief wirklich lange XP und später Win - what ever... Aber seit dem Mellenium Bug haben die Banken eigentlich aufgerüstet und ein stetiger Austausch der Hardware "sollte" möglich sein...
Aber hey - die Geräte hängen ja eh nicht so einfach im eigentlichen I-Net...

 

[joshy337]

Ich spu.. Ich verzichte auf Secure Boot. Nein, danke. Davor war die PC Plattform offen, frei und man konnte jedes OS booten.

Wer die Freiheit aufgibt, um Sicherheit zu gewinnen, wird am Ende beides verlieren. (Benjamin Franklin).