Sicherheitstipp Firefox (Linux)/krititisches

Hallo,

wollte hier nur mal meine Methode vorstellen Firefox unter Linux sicherer zu machen: Eine Möglichkeit Firefox als eigenen User unter Linux laufen zu lassen:

http://www.bin-bash.de/artikel.php?id=1119302608

Außerdem noch etwas Kritik: In dem Beitrag von Belly hier ganz oben im Forum (Sicherheitslücken - warum Firefox trotzdem sicher ist). Wird die Sicherheit des Firefox mit der des IE verglichen. Nun ich bin Linuxuser und ehrlich gesagt interessiert mich die Sicherheit des IE gar nicht. Diesen gibt es für Linux nicht. Es gibt aber sowohl unter Linux, wie auch unter Windows noch andere Browser wie etwa Opera oder unter Linux auch noch Konqueror und Epiphany. Warum soll man sich also immer mit dem schlechtesten vergleichen. Ich will es sogar mal so ausdrücken: Unter Linux ist momentan wahrscheinlich der Firefox der unsicherste Browser den es gibt (den IE gibt es ja nicht). Jedenfalls halte ich Konqueror und Opera für sicherer. Warum ich dennoch Firefox einsetze? Nun Opera ist kommerziell und kein Open Source und Konqueror ist an KDE gebunden und ich nutze kein KDE (zur Zeit Fluxbox).

Das wollte ich nur mal zu Bedenken geben, wenn es immer heißt "Firefox sei sicherer". Es kommt eben darauf an "sicherer" als was?

Gruß
Reks

Zitat von Scott63

Da habe ich gute Schutzprogramme und noch ein ganz besonders tolles Freeware-Programm, welches hier schon öfters genannt wurde. Das nennt sich 'brain'.

Brain ist ganz OK, aber alle anderen Schutzprogramme nützen dir genau gar nichs, wenn du mit Administratorrechten unterwegs bist. Denn: Wenn du Administratorrechte hast, hat das auch jeder Trojaner (da im Userkontext gestartet). Wenn der Trojaner aber bereits Admin-Rechte hat, dann kann er auch deine Schutzprogramme sowieso überlisten.

Übrigens: Manche Schutzprogramme (Personal Firewalls) reissen sogar zusätzliche Löcher ins System, siehe: http://www.ulm.ccc.de/chaos-seminar/personal-firewalls/ (Vortragsunterlagen).

Gruß
Reks

Scott63:

Ich hatte seit ich Linux habe (das sind 2 Jahre) auch noch nie etwas (unter Windows hatte ich in 4 Jahren einmal einen Virus). Dennoch habe ich mir obiges System unter Linux ausgedacht. Ich versuche obwohl ich noch nie etwas hatte eben auch einfach sicher zu bleiben.

Zur Hysterie: Das kann man für sich sehen wie man will. Ich verwalte aber eben auch ausser meinen Rechner noch diverse andere Rechner und auch mehrere Server (unter Linux). Insofern ist IT-Sicherheit auch ein bisschen mein Beruf (ich bin übrigens selbstständiger IT-Dienstleister). Da sieht man es eben anders.

Gruß
Reks

Zitat von Belly

ich glaube, dazu gibt es nicht wirklich repräsentative Untersuchungen. Pauschalisieren kann man da eh nix. Aber: Opera hatte phasenweise auch massive Probleme mit Sicherheitslücken, insbesondere in Bezug auf das Skinningsystem.

Echte Untersuchungen gibt es da wohl nicht, es ist zugegebenermassen eher mein subjektiver Eindruck, das Opera sicherer ist als Firefox. Ich mache das auch weniger an der Zahl der Sicherheitslücken fest, als viel mehr an der Schwere. Manche beschriebenen Schwachstellen können oft z. B. nur in Userinteraktion ausgenutzt werden und manche Schwachstellen empfinde ich schon als etwas, sagen wir, sehr theoretisch. Solche Schwachstellen will ich mal nicht zählen.

Mir geht es eigentlich nur um die Zahl der wirklich schwerwiegenden Sicherheitslücken, wie etwa schreiben beliebiger Dateien durch blosses ansurfen einer Seite. Natürlich habe ich da als Linuxuser durchaus noch den Vorteil, das die wenigsten bösen Jungs, die überhaupt sich die Mühe machen für den Firefox (statt für den weiterverbreiteten IE) einen Exploit zu schreiben, diesen Exploit auch noch für Linux schreiben, aber immerhin gab es solch einen schweren Fehler bereits beim Firefox und er war auch unter Linux ausnutzbar. Zusätzlich ist natürlich klar das kein Linuxuser als root im Internet surft, aber im Heimatverzeichnis kann man dennoch viel anstellen und wenn ich mir vorstelle was passiert wenn z. B. beliebige Befehle in die .bashrc geschrieben werden, ist damit wirklich viel möglich. Dieser Fehler (der so weit ich weiß mit 1.0.3 behoben wurde) hat bei mir erstmals den Aha-Effekt ausgelöst, das ich unter Linux (wohlgemerkt ohne root-Rechte) keineswegs beim surfen gegen alle schlimmeren Gefahren gefeit bin. Die Auswirkungen mögen nicht ganz die gleichen sein, wie wenn jemand unter Windows mit Adminrechten surft, aber sie sind finde ich verherrend genug, wenn man sich ansieht, was man bereits im Homeverzeichnis anstellen kann.

Daher bin ich auch auf den unter obigen Link beschriebenen Trick gekommen (den ich auch im Moment verwende).

Zitat

Bei Konqueror kommt das Problem hinzu, dass er ungefähr so in KDE integriert ist wie der IE in Windows - und mit dem Konqueror gab es auch schon böse Lücken.

KDE ist aber nicht das Betriebssystem. Insofern sehe ich da einen Unterschied zwischen der Verbindung von IE mit Windows und der Verbindung von Konqueror und KDE. Allerdings könnte ich mir gerade beim Konqueror durchaus vorstellen, das so wenig Sicherheitslücken über diesen bekannt sind, weil er so selten verwendet wird und das dies anders werden wüde, wenn er ein Mainstreambrowser wäre. Insofern halte ich es tatsächlich für schwierig den Konqueror sicherheitstechnisch zu beurteilen.

Zitat

Insgesamt kommt es halt doch nur darauf an, wie schnell die auftretenden Lücken geschlossen werden. Und da sind alle drei Parteien gut - im krassen Gegensatz zu der Fraktion aus Redmond ;-). Und wer seinen Firefox, Opera oder Konqueror dann nicht aktualisiert ist selbst schuld.

Da muß ich dir voll und ganz Recht geben.

Zitat

Edit: Oh Schreck, muss schnell auf 1.0.5 updaten

Ich auch noch, aber ich warte auf die deutsche Version. Derweilen surfe ich eben mit meinem obigen Trick :wink:

Mann kann natürlich auch lynx zum surfen nutzen, aber das ist eben auch eine ganz andere Kategorie von Browser (oder gar telnet und dann das HTML durch die "Brain"-Rendering Engine schicken).