From: Elessar <elessar@bsdforen.de>
To:
spon_netzwelt@spiegel.de
Subject: Leserbrief zum Artikel Browsersicherheit - Lecks und Lücken wo man hinsieht
Date: Fri, 9 Jul 2004 10:44:20 +0200
X-Mailer: Sylpheed version 0.9.11claws (GTK+ 1.2.10; i386-portbld-freebsd5.2.1)
Sehr geehrter Herr Patalong,
sicher würde die Verwendungshäufigkeit von Exploits für Mozilla und Opera
proportional zu deren Verbreitung zunehmen, das gibt ihr Artikel genau
richtig wieder.
Aber sowohl Opera als auch Mozilla werden von den gleichen Leuten die
Lücken im Internetexplorer finden genauso geprüft wie auch der IE.
Im Falle von Mozilla können Aufgrund des offenen Quellcodes sogar
genauere Untersuchungen gemacht werden. Trotzdem werden in beiden Browsern
deutlich weniger Lücken gefunden.
Aktueller Stand, Opera 7.52 und Mozilla Firefox 0.9.1, enthalten diese
beiden Browser keine bekannten Sicherheitslücken. Opera ASA und das Mozilla
Team beseitigen gefundene Lücken erfahrungsgemäß pflichtbewusst binnen
weniger Tage bis einer Woche.
Für den Internet Explorer existieren zur Zeit über 20 bekannte Sicherheits-
lücken, größtenteils kritisch, für die es keinen Patch gibt. Und das
teilweise schon seit mehreren Monaten bis einem Jahr. Es ist also durchaus
richtig das man seine Software aktuell halten muss. Nur beim Internet
Explorer geht das nicht bzw bringt es nichts.
Es ist weiterhin verständlich das Ihre Experten von Sophos und Symantec
Ihre Antiviren- bzw Personal-Firewall-Produkte verkaufen wollen. Leider
vergessen Sie zu erwähnen das jeder Trojaner der einmal auf dem System ist
jede Personal Firewall problemlos abschalten kann. Der Tatsache das jeder
Benutzer von Windows standardmässig über Administrationsrechte verfügt
sei Dank. Dies ist eine reine Unsitte von Microsoft und in anderen Systemen
so nicht zu finden.
Gerade diese restriktiven Nutzerrechte können einen retten, wenn man dann
doch einmal ein Update vergessen hat. Statt dessen diskreditieren Sie
alternative Betriebssysteme lieber mit unqualifizierten Bemerkungen wie
"für Linux gibt es inzwischen mehr Patches als für Windows". Kleinlich
könnte man argumentieren das Sie einen Kernel mit einem Betriebssystem
vergleichen und das keinen Sinn ergibt. Wenn man aber ehrlich ist liegt
dies an den unterschiedlichen Entwicklungsmodellen, vorrausgesetzt Sie
meinen mit Linux das Gesamtsystem inklusiver aller Anwendungen. Dann
vergleichen Sie aber ein Betriebssystem inklusive 3rd-Party-Anwendungen
mit einem anderen Betriebssystem exklusive 3rd-Party-Anwendungen.
Wie man es dreht und wendet, es bleiben Äpfel und Birnen.
Und, wer sind sie und ich, das wir beurteilen können wie viele Patches
bei Microsoft hausintern zirkulieren? Die Releaseversionen unterscheiden
sich in der Build-Version des Gesamtsystems meist um einige hundert
Builds. Wie viele Teilsystemaktualisierungen das umfasst ist ohne Zugriff
auf vertrauliche Microsoft-interne Dokumente nicht abschätzbar.
Erwähnenswert wäre eventuell auch gewesen, das Microsoft die Projekt-
gruppe "Internet Explorer" vor 3 Jahren aufgelöst hat. Es wird seit
3 Jahren nicht mehr aktiv an dieser "Schlüsseltechnologie" weiter-
entwickelt und die Patches werden von Programmieren erstellt die am
Originalcode nicht beteiligt waren; viele der damaligen Programmierer
sind inzwischen nichtmehr bei Microsoft.
Opera und Mozilla unterliegen jedoch einer konstanten Weiterentwicklung.
Der Internet Explorer ist also zur Zeit nicht nur reale Gefahr für
Privat- und Berufsnutzer gleichermaßen, sondern bremst auch die
technologische Weiterentwicklung des Netzes.
Ein Umstieg von Internet Explorer (und Outlook) auf Alternativsoftware
welchen Herstellers auch immer ist allein schon deshalb uneingeschränkt
zu empfehlen da dieser Prozess auch beinhaltet sich einmal über die
Probleme zu informieren. Wer danach wieder zurückkehrt weil er mit
anderen Programmen nicht zu Recht kommt, sollte dann auch in der Lage
sein Internet Explorer und Konsorten soweit möglich zu zähmen.
Sicherheit ist nie ein Produkt (auch wenn mir die Herren von Sophos
und Symantec widersprechen werden) und schon gar nicht käuflich.
Sicherheit ist immer ein Prozess der kontinuierlicher Pflege bedarf.
Mit freundlichen Grüßen,
Jörg Pernfuß
--
GnuPG Key ID: 0x34C95FC0
Key Fingerprint: C925 2129 15F2 1C6F 9104 B424 22B6 3409 34C9 5FC0
Writers of the past had absinthe, whiskey, or heroin.
I have Google. --Michael Chabon