Fragen zu Firefox und Co.

#1 Hallo,

nun muss ich mich doch mal outen leider.
Habe bisher aus verschiedenen Gründen immer einen Bogen um alternative Browser gemacht (machen müssen).
Das ging (geht) dann soweit, dass unter XP immer noch ein IE 6.x läuft.
Nun ist aber bei surfen mit Administratorrechten und eingeschalteten Active-X und Javascript die Gefahr recht hoch sich ein "infected by driven" einzufangen. (könnte sogar locker Seiten benennen, wo man zuschauen kann wie schnell die Infektion geht)

Nun meine Frage(n).
Angenommen ich installiere Firefox (?) als Alternativbrowser. (oder welchen sollte ich nehmen und von wo?)
Bin ich dann "automatisch" dadurch bei solchen Seiten sicher?
Was müsste ich da einstellen um die gewünschte Sicherheit zu erlangen?

Ziel ist mit minimalem (Umstellungs-)Aufwand für den User zu arbeiten und eine Möglichkeit zu schaffen, solche Seiten wieder ansurfbar zu machen..

Hoffe meine Fragerei ist verständlich und bitte keine "schlauen" Tipps. Mir ist das Risiko durchaus bewusst und ich bin lange genug dabei, um zu wissen was ich vorhabe.

Danke schon mal für produktive Antworten.

TS

#2 Es hängt immer davon ab was du erreichen möchtest.

Firefox ist ohne Add-Ons recht sicher, allerdings ist die funktionalität nicht viel besser als bei einem nackten IE 6 oder 7. Installierst du Add-Ons nach, geht die ohnehin mässige Performance weiter in den Keller, und natürlich bietest du wieder eine grössere Angriffsfläche für Schadcode.

Opera in der neuesten Version bringt eigentlich alles mit was man so braucht, hat die schnellste Rendering Engine, und ist gegen Active-X oder BHOs genau so unanfällig wie Firefox. Vorteil bei Opera ist das man, wenn man möchte, für jede Webseite eine eigene Policy einrichten kann (natürlich auch generell), und nicht auf ein ungenaues Zonenmodell wie beim IE zurückgreifen muß. Per se sind im übrigen beide Browser schon in den Standardeinstellungen sehr sicher, anpassen muß man da eigentlich nichts.

Fazit: Geht es um reine Sicherheit, reichen ein "nackter" Firefox oder Opera 9.5. Möchtest du auch noch ein wenig mehr Komfort und einen schlanken, schnellen Browser haben sowie ein flexibles Sicherheitsmodell, kommt man zur Zeit nicht um Opera herum.

Allerdings, es gibt leider immer noch einige wenige Seiten mit denen Opera nicht klarkommt, allerdings sind diese sehr gering.
__________
Es ist nicht wenig Zeit, die wir haben, sondern viel Zeit, die wir nicht nutzen...

#3

Zitat

Firefox ist ohne Add-Ons recht sicher, allerdings ist die funktionalität nicht viel besser als bei einem nackten IE 6 oder 7.

Was für ne großartige Funktionalität erwartest du denn?
Schon mal sehr viel besser als IE6, IE7 hat nachgezogen kommt aber immer noch nicht an Firefox.
Firefox selber ist ab und zu mit Tabs sehr speicherhungrig, dass liegt aber daran das die App so überladen ist - die gecko engine selbst ist sehr gut eigentlich.
Ich benutze Galeon welches auf Gecko basiert das ist Xmal schneller als Firefox (erschreckender weise).

Add-Ons sind meistens sowieso immer überflüssig, man muss sich auch genau anschauen welches Add-On man sich reinknallt da ja auch binär code in Form von XPCOM Komponenten installiert werden können. (ich persönlich komme so ganz ohne Add-Ons aus).

Wer heute immernoch mit dem IE rumgurkt ist eig. selbst Schuld.

Zitat

Fazit: Geht es um reine Sicherheit, reichen ein "nackter" Firefox oder Opera 9.5. Möchtest du auch noch ein wenig mehr Komfort und einen schlanken, schnellen Browser haben sowie ein flexibles Sicherheitsmodell, kommt man zur Zeit nicht um Opera herum.

Das ist nur auf Windows so, aber seit wann soll ein Browser die lücken eines Betriebsystems grade biegen.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#4

Zitat

Xeper postete
Das ist nur auf Windows so, aber seit wann soll ein Browser die lücken eines Betriebsystems grade biegen.

Es wurde hier explizit nach Windowssoftware gefragt...

Wo Active-X eine Lücke im Betriebssystem sein soll, musst du mir dann mal erklären. Oder was meintest du?
__________
Es ist nicht wenig Zeit, die wir haben, sondern viel Zeit, die wir nicht nutzen...

#5

Zitat

Es wurde hier explizit nach Windowssoftware gefragt...

Software für X OS, die Aussage ist schon lächerlich genug - zum Glück gibt es einige wenige Firmen die was von Programmierung verstehen wie Mozilla zb.

Zitat

Wo Active-X eine Lücke im Betriebssystem sein soll, musst du mir dann mal erklären. Oder was meintest du?

Ob ActiveX diese Lücke ist weiß ich nicht genau damit beschäftige ich mich im Moment zu wenig mit der Thematik vielleicht war das au COM+
Aber das IE fest im OS integriert ist und durch seine verschiedenen "Anbindungen" ne echte Sicherheitslücke darstellt da bin ich mir ja mal zu 99% sicher... warum wie was genau durch welche Komponente ist mir im Moment schnurz da ich nicht ganz soviel damit zu tuen habe.

Edit:
Doch das war glaub ich ActiveX
Warum das so genau alles ist, kp ich programmier im Moment nix mit ActiveX, entweder wikipedia lügt oder du kannst coden und erklärst uns das
Ansonsten belassen wir das bei den Fakten wie ich oben geschildert hatte.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#6

Zitat

Xeper postete
Software für X OS, die Aussage ist schon lächerlich genug - zum Glück gibt es einige wenige Firmen die was von Programmierung verstehen wie Mozilla zb.

Leider hat das nichts mit dem Thema zu tun, vielelicht solltest du dir den ersten Post noch mal durchlesen, vor allen den vorletzten Satz...

Zitat

Doch das war glaub ich ActiveX
Warum das so genau alles ist, kp ich programmier im Moment nix mit ActiveX, entweder wikipedia lügt oder du kannst coden und erklärst uns das
Ansonsten belassen es wir das bei den Fakten wie ich oben geschildert hatte.

Active-X ist ein integraler Bestandteil des Windowssystems, ergo kann es schon mal per Definition keine Sicherheitslücke sein... Und bevor du jetzt wieder mit irgendwelchen komischen Gegenargumenten kommst: Folgt man deiner Logik, wäre auch z. b. der Linux- oder BSD-Kernel eine Sicherheitslücke, immerhin werden da ja auch hin und wieder einzelne Module bzw. der komplette Kernel gepatcht wegen Sicherheitslücken

Nun aber back to topic, das alles hier hilft TurnRstereO nicht wirklich weiter...
__________
Es ist nicht wenig Zeit, die wir haben, sondern viel Zeit, die wir nicht nutzen...

#7

Zitat

Leider hat das nichts mit dem Thema zu tun, vielelicht solltest du dir den ersten Post noch mal durchlesen, vor allen den vorletzten Satz...

Das glaubst auch nur du, meine Aussagen beziehen sich nicht immer darauf was der Themenstarter alles will - das ist weitaus umfassender.
Ansonsten wäre alles ziemlig unvollständig.

Zitat

Active-X ist ein integraler Bestandteil des Windowssystems, ergo kann es schon mal per Definition keine Sicherheitslücke sein...

Das der IE damit was zu tuen hat schon.

Zitat

Folgt man deiner Logik, wäre auch der LinuxKernel eine Sicherheitslücke, immerhin werden da ja auch hin und wieder einzelne Module bzw. der komplette Kernel gepatcht wegen Sicherheitslücken

Du besitzt keine Logik sonst würdest du die einfachen Dinge die ich hier schildere verstehen, der Linux kernel ist ein kernel und kein browser - er ist auch nicht direkt beeinflussbar von anderen Programmen die unter ihm fungieren.

Zitat

Nun aber back to topic, das alles hier hilft TurnRstereO nicht wirklich weiter...

Theorie hilft immer... nur die die das nicht verstehen die kommen nicht weiter auch nicht in der Praxis.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#8

Zitat

heptamer666 postete
....
Firefox ist ohne Add-Ons recht sicher, allerdings ist die funktionalität nicht viel besser als bei einem nackten IE 6 oder 7.....

....Opera in der neuesten Version bringt eigentlich alles mit was man so braucht, hat die schnellste Rendering Engine, und ist gegen Active-X oder BHOs genau so unanfällig wie Firefox.....

....Geht es um reine Sicherheit, reichen ein "nackter" Firefox oder Opera 9.5. Möchtest du auch noch ein wenig mehr Komfort und einen schlanken, schnellen Browser haben sowie ein flexibles Sicherheitsmodell, kommt man zur Zeit nicht um Opera herum.

Allerdings, es gibt leider immer noch einige wenige Seiten mit denen Opera nicht klarkommt, allerdings sind diese sehr gering.

Hoo, da habe ich ja was ausgelöst.

Jo, sowas hab ich an Infos gesucht.
Ein "nackter" Browser ohne grosses Zeuchs drumrum.

Um das mal auf meine Bedürfnisse zurechtzuschneidern:

Beide Browser Firefox und Opera sind relativ immun gegen Active-X und BHO.
Opera scheint etwas perfomanter zu sein.

Ist das eine Version, auf die Ihr Euch beide einigen könntet?

Wenn ich mir die beiden so anschaue, kommt mir der Opera ziemlich "überladen" vor, deshalb denke ich, dass ich es zuerst mal mit FF riskiere, das System wo der rauf soll hat genug Power denke ich.

Der wird dann parrallel zum IE laufen dürfen, eben speziel für bestimmte Seiten, mehr muss der gar nicht können.

nd noch was zum Abschluss: Mir ist schon klar, dass der IE6 das allerletzte ist. Aber wie gesagt es gibt gute Gründe den zu halten, es gibt leider Software die nur auf der 6er Version läuft und ich kann aktuell da nicht drauf verzichten.

Habt Dank Ihr zwei

#9

Zitat

Xeper postete

Zitat

Active-X ist ein integraler Bestandteil des Windowssystems, ergo kann es schon mal per Definition keine Sicherheitslücke sein...

Das der IE damit was zu tuen hat schon.

Man merkt, du hast keine Ahnung, hier, lesen bildet: http://www.bsi.de/fachthem/sinet/gefahr/aktiveinhalte/definitionen/activexcontrols.htm

Wenn du das verstanden hast, verstehst du auch das Active-X nicht wirklich soviel mit dem IE zu tun hat... Active-X COntrols werden zwar fast ausschliesslich im IE benutzt (dieser dient als Container), die Controls selbst laufen aber ausserhalb des Browsers als direkter Bestandteil des Betriebssystems.

Zitat

Du besitzt keine Logik sonst würdest du die einfachen Dinge die ich hier schildere verstehen, der Linux kernel ist ein kernel und kein browser - er ist auch nicht direkt beeinflussbar von anderen Programmen die unter ihm fungieren.

Leider verstehst du nicht das Active-X eben kein Bestandteil des IEs ist sondern Bestandteil des Windows-Kernels...

Und falls du mal wieder Nachhilfe in Bezug auf Windows-Systemarchitektur brauchst, meld dich ruhig...
__________
Es ist nicht wenig Zeit, die wir haben, sondern viel Zeit, die wir nicht nutzen...

#10

Zitat

TurnRstereO postete

Beide Browser Firefox und Opera sind relativ immun gegen Active-X und BHO.
Opera scheint etwas perfomanter zu sein.

Eins noch: Bei Firefox lässt sich zumindest der Active-X Plugin nachinstallieren, das müsste dann administrativ unterbunden werden, nicht das der User auf dumme Ideen kommt.
__________
Es ist nicht wenig Zeit, die wir haben, sondern viel Zeit, die wir nicht nutzen...

#11

Zitat

heptamer666 postete
Eins noch: Bei Firefox lässt sich zumindest der Active-X Plugin nachinstallieren, das müsste dann administrativ unterbunden werden, nicht das der User auf dumme Ideen kommt.

Soll aber heissen, der User muss aktiv beteiligt sein?
Oder gibts da böse Seiten, die sowas automatisch machen?

Im ersten Falle kein Problem, im letzten Fall würde ich dann doch Opera bevorzugen.

TS

#12 @TurnRstereO

Das ist normal

Zitat

Beide Browser Firefox und Opera sind relativ immun gegen Active-X und BHO.
Opera scheint etwas perfomanter zu sein.

Opera benutze ich nicht, aber es könnte für windows stimmen.

Zitat

Soll aber heissen, der User muss aktiv beteiligt sein?
Oder gibts da böse Seiten, die sowas automatisch machen?

Im ersten Falle kein Problem, im letzten Fall würde ich dann doch Opera bevorzugen.

Nein automatisch ist eher unwarscheinlich.
Das müßte man als user schon wollen bzw. bestätigen.
Ist mit allen AddOns im Firefox so.

Jetz mal egal was heptamer666 meint oder sagt, ich glaub wir sehen ja womit protecus hier gespickt ist, dass sind keine sinnvollen Konversationen wie ich sie führe sondern einfach nur das Tankstellen-Syndrom mein windoof ist kaputt wär hilft mir denn?!
IE ist sicherlich min. 50% dafür verantwortlich, wie schon oft klar gestellt ich bin mir nicht sicher ob ActiveX dafür an erster Stelle steht aber wenn nicht an 1. dann an 2. - es ist sehr fahrlässig von ihm zu behaupten das IE kein Problem hätte.
IE hat zuviel zugang zum Windows OS und das weiß jeder einfach, nur er irgendwie nicht.
Mag schon sein das ActiveX weniger ein Problem wäre wenn man es nur für lokale Programme existent lässt, aber IE hat nun mal per default viel zu veil Möglichkeiten.
Ich weiß nicht wie weit IE7 sich da entwickelt hat aber ich befürchte das es zum Teil immernoch so ist.

Deswegen ist es auch Schwachsinn zu behaupten windows hätte kein Problem, sonst wäre dieses Forum von weitaus besserer Qualität (es sei denn man sieht das Tankstellen-Syndrom als positiv an - aber das tue ich ja nicht).


@heptamer666

Zitat

Wenn du das verstanden hast, verstehst du auch das Active-X nicht wirklich soviel mit dem IE zu tun hat... Active-X COntrols werden zwar fast ausschliesslich im IE benutzt (dieser dient als Container), die Controls selbst laufen aber ausserhalb des Browsers als direkter Bestandteil des Betriebssystems.

Oh ja das BSI, die haben auch viel sehr viel Ahnung - haha nein danke lieber nicht.
Am Anfang meines Posts hatte ich ja bereits gesagt ich bin mir nicht sicher ob ActiveX hier die Komponente ist - wikipedia sagt halt was anderes, dass ist zumindestens mal ne unabhängige Meinung - ich sagte auch das ich kein ActiveX code genauso wenig wie du anscheinend.
Ich habe trozdem keinen Grund diese Meinung anzuzweifeln - das der IE tatsächlich im OS integriert ist können wir an den zahlreichen Posts auf diesem Board ja sehen - brauchen wir also nicht über die Tatsachen zu diskutieren.

Zitat

Leider verstehst du nicht das Active-X eben kein Bestandteil des IEs ist sondern Bestandteil des Windows-Kernels...

Doch habe ich schon längst verstanden, du wiedersprichst dich... genau deswegen ist es ja gefährlich *hust*

Zitat

Und falls du mal wieder Nachhilfe in Bezug auf Windows-Systemarchitektur brauchst, meld dich ruhig...

Ich glaub du hast da noch weniger schimmer als ich, ich persönlich beschäftige mich gerade mit der Win32API aber bis zu ActiveX bin ich noch nicht vorgedrungen.

Mal jetzt ne ehrliche Frage ohne Geplänkel du scheinst ja keinen Schimmer von ActiveX zu haben, lesen bildet ja das weiß ich aber schon sehr viel länger als du glaub ich
Aber du programmierst nicht wirklich in der Win32API oder mit ActiveX so das du mir das noch näher erklären könntest? (mal ohne Pseudoinformationen)

Edit:

Nochmal Nachtrag:

Zitat

Java applets can run on nearly any platform, while ActiveX components are only compatible with Microsoft's Internet Explorer web browser and the Microsoft Windows operating system. ActiveX controls are also granted a much higher level of control over Windows than Java applets, making them both more powerful and dangerous. Malware, such as computer viruses and spyware, is often distributed as ActiveX applets in webpages.

Aus dem englischen Wiki, naja es steht wirklich überall heptamer666 - ich glaub lass es lieber mit mir zu diskutieren sofern du nicht wirklich Programmierer bist && dich sehr gut mit der Windows-Systemarchitektur auskennst.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#13 @TurnRstereO: Der User muß aktiv beteiligt sein

@Xeper: Irgendwie weiß ich grad nicht ob ich lachen oder weinen soll.

1. ich schreibe hier nirgendwo das der IE oder Windows sicher sei, und auch nicht das man den IE benutzen sollte - frage mich wie du auf so einen schwachsinn (wenn du schon das wort verwendest) kommst

2. Nun, der Artikel vom BSI stimmt aber auffallend mit dem überein was man als MCSE so lernt. Und das Wikipedia nicht immer der Weisheit letzter Schluß ist sollte auch zu dir vorgedrungen sein (egal ob die deutsche oder englische)... Im übrigen, ich habe mich nirgendwo damit befasst bzw. geleugnet das ActiveX keine Gefahr darstellen kann. Ich habe lediglich geschrieben das man so pauschale Äußerungen wie "Sicherheitslücke" auf jedes OS übertragen kann, irgendwie kam das wohl bei dir nicht so an *g

3. Mal ganz so ohne Geplänkel - ich habe ne zeitlang einige controls programmieren und warten müssen (OLE/Delphi) in meinem alten job, so ganz ohne Systemkenntnisse wäre mir das wohl nicht gelungen... Evtl. schreiben wir auch einfach nur aneinander vorbei bzw. wir verstehen beide nicht worauf der andere hinaus will.
__________
Es ist nicht wenig Zeit, die wir haben, sondern viel Zeit, die wir nicht nutzen...

#14

Zitat

1. ich schreibe hier nirgendwo das der IE oder Windows sicher sei, und auch nicht das man den IE benutzen sollte - frage mich wie du auf so einen schwachsinn (wenn du schon das wort verwendest) kommst

Naja ich frag mich zb. warum man den IE so ausliefert?
Man weiß doch das ActiveX im IE missbraucht wird (ja oder andere Komponenten) warum kann ein Browser nicht einfach nur ein Browser bleiben.
Das ist doch ein uraltes Problem in Windows.

Zitat

allerdings ist die funktionalität nicht viel besser als bei einem nackten IE 6 oder 7.

Das ist ein bisschen Interpretationsabhängig aber ich finde es ist sehr harmlos von dir ausgedrückt - du bist gar nicht genau darauf eingegangen das der IE durch seine Implementation eine Gefahr darstellt.
Darauf kam mir sofort "ActiveX" in den Sinn, nicht das man damit niemals etwas sinnvolles anstellen könnte aber ich glaube halt zu wissen das es oft missbraucht wird und bis auf ActiveX und COM+ (wobei ActiveX doch nur ne Anbindung zu COM+ innerhalb des IEs ist) wüßte ich keine Komponente die dazu im stande wäre.

Zitat

2. Nun, der Artikel vom BSI stimmt aber auffallend mit dem überein was man als MCSE so lernt.

Du bist einer? Ich hatte ja schon danach gefragt, ich mein kennst du die Bedeutung des Wortes Propaganda?
Du weißt das kein Staat großartig Ahnung davon hat, sie Laufen in die üblichen Fallen - schau dir an was mit OOXML zb. los ist

Zitat

Und das Wikipedia nicht immer der Weisheit letzter Schluß ist sollte auch zu dir vorgedrungen sein (egal ob die deutsche oder englische)...

Das stimmt jeder kann da was schreiben, aber wahrscheinlich ist das dann neutral.

Zitat

ch habe lediglich geschrieben das man so pauschale Äußerungen wie "Sicherheitslücke" auf jedes OS übertragen kann, irgendwie kam das wohl bei dir nicht so an *g

Bis heute gibt es keine derartige Sicherheitslücke auf Systemen wie Linux oder BSD, dass liegt vielleicht daran das die Entwickler sich dort auf das wesentliche beschäftigen und nicht noch dem Betriebsystem weiter zweifelhafte "Möglichkeiten" andichten die ein OS nicht betreffen.
Ich hab keine Ahnung warum die MS Entwickler so entscheiden wie sie das tuen.
Könnte mir vorstellen der hintergedanke ist windows komfertabel, interaktiver und intuitiver zu gestalten - aber daraus resultieren ja die ganzen Sicherheitslücken als Entwickler darf man nie vergessen das schon auch nur der Gedanke GUI etwas ist was doch nur mit sehr viel Umstand in bzgl. auf die Natur der Maschine zu erreichen ist.

Zitat

3. Mal ganz so ohne Geplänkel - ich habe ne zeitlang einige controls programmieren und warten müssen (OLE/Delphi) in meinem alten job, so ganz ohne Systemkenntnisse wäre mir das wohl nicht gelungen... Evtl. schreiben wir auch einfach nur aneinander vorbei bzw. wir verstehen beide nicht worauf der andere hinaus will.

Möglich.
Ist OLE nicht sowas ähnliches wie COM?
Soweit wie ich weiß geht es doch prinzipiell darum das die Applikationen unternander Daten/Ressourcen nutzen können bzw. kommunizieren.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode

#15 Ganz ehrlich...

ich beobachte Euch beide schon eine Weile.
Wenn Ihr Euch mal zu nem Bier (oder von mir aus auch Kischsaft) zusammen tun würdet....

Das wäre DAS unschlagbare Duo...

TS

So, wie auch immer, ich mische mich net mehr ein... bin raus und habe meine Antworten... nexte mal gibt nen Bericht von mir wie es gelaufen ist.