Virtueller Elchtest

Zitat

>>> Die Anwender (z.B. die deutsche Postbank), die eine ab dem 13. April angebotene Nachbesserung (LSASS-patch) nicht eingespielt hatten?

Naja, warum melden sich denn die ganzen Firmen nicht? Wo ist denn die Postbank, wo sind die großen amerikanischen Fluglinien? Die wissen schon ganz genau was sie versäumt haben. Die wollen sich allen nicht die Blöße geben, dass sie ihrer Sorgfallpflicht nicht nachgekommen sind.

Man sollte bei diesem Verglaich auch beachten: Ein Elch (oder etwas anderes) ist unvorhersehbar und lässt sich nicht verhindern (oder willst du dem Elch, Ast , etc. vorwerfen bewusst einen Unfall verursachen zu wollen?!?). Wenn man dagegen einen Virenschreiber verklagt, versucht man das Problem an der Wurzel zu packen, indem man zukünftige Virenschreiber abschreckt. Denn hier handelt eine Person (mehr oder weniger) bewusst und will jemandem Schaden zufügen.

Auch sollte man sehen, dass sich in beiden Szenarien unterschiedliche Säden ergeben: im ersten Fall sind es vielleicht Tote ("Personenschaden"); im zweiten tritt "nur" ein Sachschaden auf.

Microsoft kann man auch nur bedingt in Verantwortung nehmen, da ja ein Patch schon zur Verfügung stand...

PS: Dies alles sollen nur Anregungen zum weiteren Nachdenken sein. Das soll nicht das Urteil rechtfertigen, auch stellt diese Stellungnahme nicht meine Meinung dar.

das:
http://www.heise.de/security/resul…y/artikel/61422
stimmt.

Zitat von Master X

Man sollte bei diesem Verglaich auch beachten: Ein Elch (oder etwas anderes) ist unvorhersehbar und lässt sich nicht verhindern (oder willst du dem Elch, Ast , etc. vorwerfen bewusst einen Unfall verursachen zu wollen?!?). Wenn man dagegen einen Virenschreiber verklagt, versucht man das Problem an der Wurzel zu packen, indem man zukünftige Virenschreiber abschreckt. Denn hier handelt eine Person (mehr oder weniger) bewusst und will jemandem Schaden zufügen.

Der Elchtest selbst geschieht aber auch sehr bewusst, und zwar genau weil man die Schwachstellen für ein mögliches, dann zufälliges Zusammentreffen auf Schwedens Straßen (;)) herausfinden möchte.

Imho hat der Schüler hier nur einen Elchtest durchgeführt.

Übrigens auch imho in eine ähnliche Kerbe schlägt der Angriff auf den Rechner der Ruhr-Uni. Die Unileitung geht von einem "white hat", also einem gutwilligen Hacker aus, erstattet aber trotzdem(!!) Strafanzeige. Unmöglich, sowas.

Zitat von wupperbayer

Der Elchtest selbst geschieht aber auch sehr bewusst, und zwar genau weil man die Schwachstellen für ein mögliches, dann zufälliges Zusammentreffen auf Schwedens Straßen ( ) herausfinden möchte.

Imho hat der Schüler hier nur einen Elchtest durchgeführt.

Der Elchtest ist aber, wie der Name schon sagt, ein Test. Er wurde unter kontrollierten Bedingungen, außerhalb des öffentlichen Straßenverkehrs durchgeführt. Es wurden Produktfehler gesucht und diese sollten durch Testfahrten aufgedeckt werden, um sie dann der Öffentlichkeit zugänglich zu machen. Der maximale Schaden (außer dem Imageschaden für den Hersteller), den der Elchtest anzurichten vermochte, war ein Schaden am isolierten Testobjekt selbst. Ein Schaden, der von den Testern kalkulierbar war.

Der Schüler hat aber nicht getestet, er hat es einfach gemacht! Und zwar nicht an einem isolierten Objekt, beispielsweise an Rechnern von informierten Freunden, sondern anonym, weltweit. Der maximale Schaden war ihm nicht kalkulierbar.

Vergleichbar wäre es nur, wenn die Elchtester zu Testzwecken etwa mit Elchen hinter Büschen auf öffentlichen Straßen gestanden hätten und plötzlich diese Elche den nichtsahnenden Autofahrern vor die Motorhaube geschoben hätten, um zu sehen, wie daß Auto beim Ausweichmanöver reagiert.

MfG

Wurstwasser

omg... Elchtests...

Ich führ den Gedanken mal weiter:
Wenn es so gemacht würde:

Zitat

Vergleichbar wäre es nur, wenn die Elchtester zu Testzwecken etwa mit Elchen hinter Büschen auf öffentlichen Straßen gestanden hätten und plötzlich diese Elche den nichtsahnenden Autofahrern vor die Motorhaube geschoben hätten, um zu sehen, wie daß Auto beim Ausweichmanöver reagiert. Smile

und dabei rauskommt: "HEY das auto kippt ja bei der leichtesten Kurve um" dann erregt das 1000x mehr Aufsehen, als wenn irgendwo abseits ein kleiner "isoleirter" Test durchgeführt wird, der vertuscht wird, falls ein schlechtes Ergebnis dabei rauskommt.
Und wenn das vertuscht wird, wird es natürlich auch nicht repariert und wenn das nicht repariert wird, dann kippt das Autochen um, sobald es mal in eine Ernst-Situation kommt.
Wenn man es nach Methode 1 macht, dann wird das innerhalb von einem Tag bei allen Autos repariert ud die gefahr ist gebannt.

So Gute Nacht, genug des Gedankenspiels.

Hannes

HaMF

Erstens wurde der Elchtest nach der "isolierten" Methode gemacht und das Resultat war, daß der Fehler behoben wurde und das Ergebnis nicht vertuscht wurde!

Zweitens möchte ich nicht derjenige Fahrer sein, dessen Auto dann zufällig während des Testes nach Methode 2 zwar vieleicht dafür sorgen würde, daß zukünftig sicherere Autos gebaut werden würden, ich dies aber nicht mehr wegen eventuellem Unfalltod miterleben würde!

Produkttests finden in allen möglichen Bereichen statt, häufig erst beim Hersteller, dann meist noch von unabhängigen Organisationen wie Stiftung Warentest, Presse usw. Und da diese eben unabhängig sind, wird da dann auch nichts verstuscht. Ausserdem müssen Produkttests auch deshalb unter isolierten Bedingungen ablaufen, damit die Testergebnisse reproduzierbar sind und nicht reine Zufallsergebnisse liefern.

Ich weiß noch nicht, wie ich diesen Schüler für mich beurteilen soll, hab mir da noch keine Meinung gebildet. Aber ich tendiere dazu, die Geschichte nicht als Test oder als Hinweis auf eine Sicherheitslücke zu verharmlosen.
Hätte der Schüler diese Intension gehabt, so hätte er sich damit an Microsoft wenden können und dafür dann sogar/vieleicht mit einer Belohnung rechnen können.

Ich denke allerdings, er hat nicht bösartig gehandelt, ich halte es eher für einen "dummen jungen Streichs". Aber dafür hat er auch die Konsequenzen zu tragen. Aber eben auch nur die Konsequenzen eines "dummen jungen Streichs". Die immense Schadenshöhe sollte ihm nicht aufgebürdet werden, da sind dann doch eher die Admins der betroffenen Firmen zur Verantwortung zu ziehen, die eine bekannte Lücke nicht geschlossen haben.

MfG

Wurstwasser

Zitat von Amsterdammer

Die Geschäftsführerin von Securepoint, Arbeitgeber von Sven J., hat sich in einer Anzeige zu Wort gemeldet

Gruss

Ich finde das vollkommen in Ordnung, dass sie ihm die Möglichkeit gegeben bei ihnen zu arbeiten. Ich verstehe auch nicht das "Geschrei" was einsetzte als das bekannt wurde. Als vor Jahren die jetzt ehemaligen Virenschreiber in Scharen das Lager wechselten und bei den "Symantec's" und "McAfee's" anheuerten, hat jeder von einem großen Coup gesprochen. Und nun ist es verwerflich????
Nicht das man das falsch versteht.....ich bin schon dafür, dass er welche hinter die "Löffel" bekommt aber man sollte halt auch berücksichtigen, dass er nur die Bequemlichkeit der zuständigen Systemadmins ausgenutzt hat und wenn man bedenkt, dass selbst heute immer noch Rechner mit dem Sasser infiziert werden, dann kann ich nur den Kopf schötteln.

Man könnte meinen er hat einen Virus geschrieben der Menschen tötet - dabei ists ein rel. harmloser Virus gewesen der nichtmal direkt Schaden anrichtet.

Bei zig. Viren die es zuvor gab, und die wirklich Schaden angerichtet haben(d.h. Dateien aktiv gelöscht haben), war die Reaktion weitaus geringer.

IMO trägt die Hauptschuld der Hersteller. Entweder ist das System so löchrig daß jeder reinkann, oder der Junge ist ein unglaubliches Genie.
Was ist wahrscheinlicher?

Zitat von Amsterdammer

und warum sind die admins so bequem?
ich weiss es nicht, aber ich habe mir mal von einem, der einen windows server betreibt, sagen lassen, daß das einspielen von ms-pachtes in netzwerke einer mittelschweren katastrophe nahekommt, sowas gehen die angeblich nur mit spitzen fingern an.
die frage, ob das an microsoft liegt oder an einem schlecht konfigurierten netzwerk, hat er mir nicht beantwortet.

gruss

Sorry...aber dann sollen sie einen Linux Server aufsetzen.
Wenn alle nach der Methode Vogel Straus vorgehen, dann ändert M$ nie im Leben etwas an ihre Produkten. Das machen die nur, wenn denen tausende von Kunden aufs Dach steigen.

Zitat von LonesomWolf

Wenn alle nach der Methode Vogel Straus vorgehen, dann ändert M$ nie im Leben etwas an ihre Produkten

...macht MS realistisch gesehen so oder so nicht... Dazu ist das Imperium einfach zu groß.

Amsterdammer

Klar, dass es nicht erlaubt ist, Computer und Netzwerke sowie auch diverse Dienste anzugreifen. Ich finde es gerecht, wenn jemand, wenn er das bewußt macht, dafür auch bestraft wird
Klar: grob fahrlässig, lang geschlossene Lücken nicht gepatcht zu haben, also haben die Admins grob fahrlässig gehandelt
Klar: MS sollte ebenfalls dafür in gewisser Weise haften, sofern nachweisbar ist, dass die betroffenen Benutzer und Unternehmen die zur Verfügung stehenden Patches nicht einspielen konnten, diese nicht wirkten oder noch keine Patches für die ausgenutzten Lücken veröffentlicht waren...

M.W. gibt es aber noch keine Anklage gegen einen Admin in dieser Sache, ebenso wenig wie eine gegen MS. Verhandelt wird hier der Tat des Wurm-Verfassers

So ist das halt.

nach so langer Zeit Internet imit entsprechenden Erfahrungen st dieses Rechtsthema nach wie vor nur ungenügend entwickelt.

Zitat

...macht MS realistisch gesehen so oder so nicht... Dazu ist das Imperium einfach zu groß.

Falsch...siehe die vorgezogene Entwicklung IE7 und siehe die erheblich verbesserte Serversoftware.

Zitat von LonesomWolf

siehe die vorgezogene Entwicklung IE7 und siehe die erheblich verbesserte Serversoftware.

Ja, aber nur, nachdem Konkurrenz aufgetaucht ist und sich einigermaßen etabliert hat (Firefox, Linux). Oder nachdem der Imageschaden zu groß wurde und sich wohl auch viele Kunden beschwert haben (WinXP SP2).

Microsoft kann auch qualitativ gute Software herausbringen, aber nur dann, wenn sie unter Druck stehen...