News Sicherheitslücke beim IE - BSI empfiehlt Nutzung eines alternativen Browsers

[User-News]

Es ist eine neue kritische Sicherheitslücke des IE ( Version 6, 7 und 8 ) bekannt geworden.
Durch manipulierte Webseiten kann so Schadcode auf betroffene Rechner eingeschleust werden.

Durch diese Sicherheitslücke soll auch der Angriff auf die Goggle-Mail Accounts gelungen sein.

QUELLE

Microsoft arbeitet z.Zt. an einem Patch.

LINK

Der BSI empfiehlt vorübergehend auf einen anderen Browser umzusteigen.

LINK

 

[Emploi]

Frage mich, warum das B(undesamt)SI jenes nicht grundsätzlich empfiehlt.

 

[ShiningDragon]

Nix los, würden die Anwender nicht ständig den "Protected Mode" im IE deaktivieren.

 

[Filidae]

hey @ll

na da kann ich ja froh sein das ich schon vor jahren umgestiegen bin

ueber Netscape Navigator -> Mozilla -> FireFox

als ich das erste mal einen ungebetenen gast hatte, das war so anfang/mitte der 90'
wurde mir schnell klar, das das mit MS und den Internet-Explorer nicht gut gehen wird

ich habe mit jedem, der dazu verdonnert wurde den IE zu nutzen, mitgefuehl, da ich weis
das es besser geht

 

[Lalle]

Auch vor Firefox wurde schon gewarnt und wenn du meinst das surfen mit FF gefahrlos ist liegst du sicher falsch.


Greetz

 

[mariahellwig]

Wenn DEP aktiv ist, was bei den 64-Bit Varianten immer der Fall ist, hält sich die Bedrohung in Grenzen. AMD's NX war wie man sieht eine gute Sache. Performance ist eben nicht alles...

 

[Gast29012019_2]

Nix los, würden die Anwender nicht ständig den "Protected Mode" im IE deaktivieren.

Und was macht der XP User ?

 

[ShiningDragon]

Und was macht der XP User ?

Vermutlich dasselbe, wie Win2K/Win9x/Win 3.x Nutzer... vielleicht mal upgraden, oder ihre gefährlichen Schädlingsschleudern aus dem Internet entfernen.

 

[Gast29012019_2]

Vermutlich dasselbe, wie Win2K/Win9x/Win 3.x Nutzer... vielleicht mal upgraden, oder ihre gefährlichen Schädlingsschleudern aus dem Internet entfernen.

Ich meinte bezogen, auf den "Protected" Mode der wohl nur mit dem IE unter Vista existent ist, oder mit eingeschränkten Rechten surfen, u.s.w

 

[Dalai]

Und was macht der XP User ?

Nen ordentlichen Browser benutzen .

MfG Dalai

 

[ShiningDragon]

Ich meinte bezogen, auf den "Protected" Mode der wohl nur mit dem IE unter Vista existent ist, oder mit eingeschränkten Rechten surfen, u.s.w

Der Protected Mode steht, soweit ich das weiß, erst ab Vista zur Verfügung, weil er an der UAC angelehnt ist.
Wer also auch die UAC deaktiviert hat, kann den Protected Mode nicht wirklich nutzen.

Ansonsten gäbe es auch immer noch die Möglichkeit sich unter Windows XP eine Virtual Machine zum surfen aufzusetzen. Sollte diese befallen werden -> reset... "war was?".

 

[PuckPoltergeist]

Der Protected Mode steht, soweit ich das weiß, erst ab Vista zur Verfügung, weil er an der UAC angelehnt ist.
Wer also auch die UAC deaktiviert hat, kann den Protected Mode nicht wirklich nutzen.

Ansonsten gäbe es auch immer noch die Möglichkeit sich unter Windows XP eine Virtual Machine zum surfen aufzusetzen. Sollte diese befallen werden -> reset... "war was?".

Weil die Entwickler bei MS ihre Hausaufgaben nicht machen, soll der Nutzer den zusätzlichen Aufwand betreiben?

 

[Ge0rgy]

Lieber hat der Kunde den Aufwand als die Firma, der Aufwand beim Kunden kostet MS wenigstens nix
Genau genommen ist das einführen strikter Benutzertrennung in Vista und Co. eine Bankrotterklärung für die Volksverdummung die seit Mehreren Windows-Generationen aka. "immer als admin unterwegs" betrieben wurde.
Gewöhnt man den Kunden an derartige Fahrlässigkeit braucht man sich nicht wundern wenn er sich wehrt wenn man ihm diese Bequemlichkeit wieder wegnimmt.
Unix und Co. können Mehrbenutzerbetrieb schon seit den 70er jahren als man unter "Windows" noch die Mehrzahl an mit Glas verkleideten Wanddruchbrüchen verstand...
Zuerst den User zur Faulheit & Fahrlässigkeit erziehen und sich dann beschweren wenn er das behalten will..!? - Sowas schaffen wirklich nur die Redmonder...
Ein Browser gehört traditionell in einer Umgebung gestartet die maximale Sicherheit verspricht. Am besten in ner VM, andernfalls als nicht-Administrator mit DEP und "WTF sonst noch" - Technologien.
Alles andere ist grob fahrlässig und unverantwortlich... In einer Welt wo man ständig über glibalisierten Terror spricht aber anscheinend glaubt dass sich im Internet nur Teletubbies tummeln...!?

Bin ich froh das ich IE & Windows nur in Ausnahmefällen benutze wenn ich von Berufswegen muss.

Grüßchen
ich

 

[ShiningDragon]

Weil die Entwickler bei MS ihre Hausaufgaben nicht machen, soll der Nutzer den zusätzlichen Aufwand betreiben?

WinXP hat eine Support Gnadenfrist bis 2014 erhalten... wer ernsthaft noch den Umbau des Unterbaus erwartet, dem ist nicht mehr zu helfen.

Ge0rgy, etwas mehr Ernsthaftigkeit bitte. Von Dir bin ich Hochwertigeres gewohnt.

 

[PuckPoltergeist]

WinXP hat eine Support Gnadenfrist bis 2014 erhalten... wer ernsthaft noch den Umbau des Unterbaus erwartet, dem ist nicht mehr zu helfen.

Ich meinte mit den Hausaufgaben hier auch nicht den Unterbau. Wobei man das durchaus auch erwarten darf. Immerhin kriegen die dafür Geld. Nein, ich bezog mich auf den sicheren Brauser.

 

[ShiningDragon]

Nein, ich bezog mich auf den sicheren Brauser.

Also gegenwärtig braucht der IE8 sicht auf UAC aktivierten Systemen wie Vista oder Windows 7 bei normaler Nutzung nicht verstecken. Er ist keinesfalls weniger sicher, als die OpenSource Gegenstücke wie bspw. der Firefox.

Wer jedoch ernsthaft Sicherheitsbedenken beim surfen im Internet hat, der sollte seinen Internetzugang kündigen und sich ein eigenes, kleines und sicheres Intranet aufbauen.

Jede Verbindung nach außen stellt ein gewisses Sicherheitsrisiko dar, ganz gleich welche Art von Schlachtschiff man dazwischen schalten würde.

 

[PuckPoltergeist]

Also gegenwärtig braucht der IE8 sicht auf UAC aktivierten Systemen wie Vista oder Windows 7 bei normaler Nutzung nicht verstecken. Er ist keinesfalls weniger sicher, als die OpenSource Gegenstücke wie Opera oder Firefox.

Nur nebenbei, Opera ist kein OpenSource. Zumindest wäre mir das jetzt neu.

Wer jedoch ernsthaft Sicherheitsbedenken beim surfen im Internet hat, der sollte seinen Internetzugang kündigen und sich ein eigenes, kleines und sicheres Intranet aufbauen.

Jede Verbindung nach außen stellt ein gewisses Sicherheitsrisiko dar, ganz gleich welche Art von Schlachtschiff man dazwischen schalten würde.

Soweit so richtig, aber der IE "glänzt" gerade mit einem Loch monumentalus. Wenn selbst MS darüber nachdenkt, außerplanmäßig nen Flicken dafür bereit zu stellen, will das schon etwas heißen.

 

[ShiningDragon]

Wenn selbst MS darüber nachdenkt, außerplanmäßig nen Flicken dafür bereit zu stellen, will das schon etwas heißen.

Genauso kommt es auch beim Firefox vor? Es werden Lücken entdeckt, sie werden geschlossen. Das übliche Spielchen.
Nicht darauf zu reagieren, das wäre verwerflich.

 

[Ge0rgy]

@ShiningDragon
Ich will dir ja nicht deine Illusionen rauben, aber mein Beitrag war zumindest im Ansatz ernst gemeint.
Der IE ist in Version 8 ein halbwegs brauchbarer Browser.
Er hat zwar immernoch an einigen Stellen seine Ecken und Kanten, ist aber im Vergleich zu seinen vorgängen aus Sicht eines WEbentwicklers brauchbar.
Sicherheit ist ohnehin ein anderes Thema. Das Flashplugin z.B. war auch schon oft genug für Überraschungen gut ohne dass irgend ein Browser was dafür kann.
Trotzdem ist Fakt dass die jahrelange IE-Dominanz nicht unbedingt förderlich für die Flora im Internet war sondern zu jeder Menge crap und schiefen Praktiken geführt hat.
Wenn ich nur an so manche CSS "Weiche" denke, die eigentlich nichts weiter ist als ein böser Hack...nunja.
Die Dummheit mancher Hersteller in Sachen Web = IE gipfelt in machen, sogenannten "applikationen" wie einer für einen HP Drucker mit der ich mich mal rumschlagen musste, die doch tatsächlich nur mit dem IE6 laufen wollte und von HP nur mit viel hängen und würgen eine IE7-taugliche Version zu bekommen war...
wer programmiert sowas? - Bzw. Warum macht MS es einem so einfach derartigen Crap zu erschaffen und damit in Sachen Zukunftsplanung voll gegen eine Wand zu fahren?

Was ich mit meinem obigen, etwas sarkastischen Post sagen wollte ist ganz einfach, jeder kriegt was er verdient!
MS hat jahrelang gut daran verdient den user in Sicheheit zu wiegen, so zu tun als gäbe es Sicherheit zum Nulltarif und ihn zur Faulheit zu erziehen. Nun haben sie den Salat!
User dich sich über die UAC beschweren, die ihre Sicherheitseinstellungen derart offen einstellen dass sogar das dümmste Scripptkiddie nach dem Komasaufen einen exploit dafür schreiben kann etc.

Sorry, aber es ist nicht alles auf der Welt bequem! - Sicherhheit hat IMMER einen Preis. Sei es Performance oder Aufwand in irgend einer Form, sie kommt nicht für umsonst. Entweder man begreift das bzw. macht es den Kunden begreiflich oder man hat langfristig verspielt und rennt den Sicheheitslücken nach wie der Hund dem Würstchen.
Ich halte die UAC für eine durchaus gute Idee, der richtige Schritt... andere OS machen es schon seit Jahrzehnten so, und das aus gutem Grund... warum also meinten die Herren aus Redmons man müsse alle Erfahrung mit Softwaresicherheit die über viele Jahre gesammelt wurden über Bord werfen und so tun als gäbe es nichts abzusichern?
Oder hielten die ihre Software für derart intelligent konstruiert dass sie alle Sicherheitsrelevanten fragen von alleine beantworten kann, ohne den User zu fragen? - wenn ja, woher dann dieser Sinneswandel?
Fragen über fragen...
Der Punkt ist, sie haben lange Zeit gebrüllt wie die Löwen und nun wundern sie sich dass die Jagdsaison eröffnet ist...
Sorry aber dazu fällt mir nichts mehr ein.

Dass vom IE abgeraten wird ist zwar eigentlich in der Form nicht haltbar, aber eine "einfachere" empfehlung als jedem DAU zu erklären wie er seinen Browser zu benutzen hat.
Wenn man so bedenkt dass es sogar schweinereien gibt wie ActiveX-Binaries direkt in den Browser zu laden... *schauder*
Ein Browser ist ein Kommunikationsprogramm, das so gut wie möglich von der bösen außenwelt abgeschottet zu sein hat! - In jeglicher Hinsicht. Da ist Clipboard-Support schon bald das einzige was den Browser mit dem OS zu verbinden hat, basta.
Alles andere macht das Ding angreifbar...
Chrome's design ist auch nicht unfehlbar, wie sich herausgestellt hat... trotzdem sage ich, je mehr Diversifikation desto besser!
Je kleiner die "Schnittmenge" der angreifbaren Systeme desto weniger lohnt es sich für die Angreifer.
Wenn man aber weiß dass 30% da draußen ein und die selbe Version von Browser xy nutzen, dann ist das ein lohnendes Ziel.
Streng genommen kann absolute Sicherhehit nur gewährleistet werden wenn man für jeden Sch*** einen erfahrenen und mündigen Benutzer fragt. JEglicher Automatismus setzt voraus dass ich entweder weiß wie er arbeitet oder dem Hersteller vertraue dass er keinen Blödsinn implmentiert. Weder Sicherheits- noch Datenschutztechnisch.
Dass die Wahrheit anders aussieht wissen wir alle...

An Sicherheit glaube ich erst wenn Systeme wie seL4 mit Capability-Support und mathematisch auf Korrektheit verifiziertem Systemkern die Regel sind!
Dann läuft alles im Userspace und der Kern sowie die Speicherverwaltung etc. sind nicht mehr angreifbar.
Aber solange der Heilige Gral der Kompatibilität hochgehalten wird und dem User suggeriert wird die MAschine übernähme für ihn das Denken, hat sowas keine chance.

MfG.
Ich

 

[Dr@]

hattest du heute dein Worte pro Tag Budget noch nicht ausgeschöpft?

 

[ShiningDragon]

hattest du heute dein Worte pro Tag Budget heute noch nicht ausgeschöpft?

Das ist ein Beitrag in gewohnter Ge0rgy Qualität, mit dem man auch was anfangen kann.

 

[TiKu]

Ich halte die UAC für eine durchaus gute Idee, der richtige Schritt... andere OS machen es schon seit Jahrzehnten so, und das aus gutem Grund...

Windows hat auch seit Jahrzehnten eine durchaus funktionierende Rechteverwaltung, bei der Standardnutzer keine Admin-Rechte brauchen. Dass das in der Windows-Welt praktisch bisher nicht so recht funktionierte, liegt daran, dass Microsoft den Softwareherstellern erst seit Vista die Daumenschrauben (u. a. in Form von UAC) anlegt, endlich saubere Software zu schreiben. Vorwerfen lassen muss sich Microsoft hier, den Binärmüll, den viele Hersteller auf den Markt werfen, so lange toleriert zu haben (durch großzügige Default-Einstellungen und durch ein sehr fehlertolerantes Windows), und zum Teil auch selbst mit schlechtem Beispiel voran gegangen zu sein, da hast du natürlich Recht.

 

[RedBaron]

Hallo

Zitat von TiKu

Vorwerfen lassen muss sich Microsoft hier, den Binärmüll, den viele Hersteller auf den Markt werfen, so lange toleriert zu haben

Dazu gehören dann auch irgendwelche Gerätetreiber,welche nur mit Admin-Rechten funktionieren...
Das Microsoft die UAC eingeführt hat ist ein (kleiner) Schritt in die korrekte Richtung.

MfG
RedBaron

 

[Markus Everson]

http://www.buerger-cert.de/techwarnung_archiv.aspx?param=Zxo7YT/0plfLqIWJ5YT/UA==

Zusätzlich zum Internet Explorer sind nach Erkenntnissen des BSI insbesondere folgende Produkte verwundbar:

- Microsoft Outlook (bis einschließlich Outlook 2003)
- Microsoft Outlook Express
- Microsoft Windows Mail
- Microsoft Windows Live Mail
- Microsoft Hilfesystem
- Microsoft Sidebar

Die Lücke wird derzeit ausgenutzt. Microsoft arbeitet bereits an einem Patch, um die Sicherheitslücke zu schließen. Sobald ein Patch seitens Microsoft verfügbar ist, wird das BSI Sie darüber informieren.

 

[Emploi]

Nachdem am 15. Januar durch das BSI vor einer Sicherheitslücke beim InternetExplorer gewarnt wurde und mit einer Empfehlung einher ging bis zu Behebung der Lücke einen alternative Browser zu benutzen, stiegen die Downloadzahlen von Browsern wie Opera und Firefox nach Angaben derer Hersteller erheblich an. Gleiche Effekte erzielten Warnungen in den Ländern Frankreich und Australien.

Sollte mal eine UN werden, war mir aber doch zu unwichtig...