WebsiteBaker Support (2.8.x) > Diskussion über WB (closed)

Blackhole Exploit - jetzt hat's mich auch mal erwischt

<< < (4/4)

easyuser:
Es kann niemals 100%ige Sicherheit geben. Das ist nicht möglich.

Letztendlich ist es sehr schwer für jemand, der die Hintergründe der IT nicht kennt sich überhaupt sicher durch das Internet zu bewegen. Und wie im nicht-digitalen Leben: Man sehe sich einmal AktenzeichenXY an oder liest die Zeitung, dann kann man ableiten, dass man durch Alarmanlage & sichere Haustüre erst recht die Blicke der Einbrecher auf sich zieht.

Die zwei Fragen, die immer wieder gestellt werden:
Wie ist es passiert?
Wie kann ich es verhindern?

Man sollte sie nicht überschätzen. Natürlich ist es klar - für DIESEN (und genau diesen einen möglichen Fall)  kann ich vielleicht reproduzieren, woher der Fehler kam und wie ich ihn in Zukunft verhindere. Aber das ist wie mit der Grippeimpfung: Die Impfung versucht ein paar Influenzaarten vorzubeugen, aber trotzdem kann man an einer anderen Art erkranken - gar nicht zu sprechen von "Grippalen Infekten".

Genauso ist es auch mit der Internet-Sicherheit. Ich kann das tollste Passwort, das sicherste Betriebssystem, die abgeschirmtesten Programme die es gibt haben, wenn der Nachbar auf dem Server (von dem ich gar nichts weiß) sich einen Virus eingefangen hat und der Webhoster keine 100%ig saubere Trennung hat. Das kann ich noch nicht einmal beeinflussen.

Das soll jetzt kein "ist eh alles egal" Plädoyer sein. Nur in meinen Augen wird gerade das Thema "Passwort" viel zu oft übertrieben (gerade in den Medien) und damit dem User eine Quasi-Sicherheit vorgegaukelt, wenn er 20 Stellen mit Sonderzeichen hat das er alle 2 Monate ändert. Die zig anderen Möglichkeiten, an Daten zu kommen sind dabei nicht wirklich abgedeckt.

MJ_KAMAJA:
@easyuser

Richtig, dass hatte ich anfangs auch geschrieben. Sicherheit ist nie 100%tig.

Jedoch sehe ich das andere nicht so. Das mit den Passwörtern etc. hilft sehr wohl, jedoch nur gegen ungezielte Attacken. Diese leben davon z.B. den User root/admin auf Passwortlisten (ggf. auch Bruteforce) zu testen oder eben bekannte Programme mit unverschlüsselten Datenspeicher auszuspionieren. In diesem Fall helfen solche Techniken gut, da der Aufwand zu groß wird und es genügend User gibt die eben solche Techniken nicht einsetzen. Solche Angriffe sind jedoch auch die regel weil sie automatisiert ablaufen. Vergleichbar mit Spambots in einem Forum.

Einem gezielten Angriff wird man über kurz oder lang verlieren. Da sind auch die Großen mit ganzen IT-Abteilungen nicht davor sicher.

Ist natürlich nur meine Meinung.

Der Aufwand mit "sicheren" Passwörtern ist auch nicht viel größer in Kombination mit z.B. KeePass und wie schon gesagt, ist mir bewusst, dass das auch nicht sicher ist... jedoch ist es meiner Ansicht nach "sicherer".

Mario

instantflorian:
Hallo,

selbst mit aktuellem Windows 7, Virenschutz und ausschließlichem Firefox-Benutzen ist mensch nicht vor Viren und Trojanern sicher. Mich hatte es auch erwischt, über die Java-Lücke ist ein Trojaner an Avast vorbei reingekommen, hat die Filezilla-Daten ausgelesen und Malwareschludern / schädliche htaccess-Dateien auf den Websites verteilt.

(Ich lade keine Filme, Raubkopien oder sonstwas runter, recherchiere aber nun mal ziemlich viel im Web, und da reicht es ja schon, auf eine befallene Seite zu geraten (und mit "Befallen" meine ich, dass die Malwareinfizierung unwissentlich durch den Seitenbetreiber erfolgt). Wo ich mir den Trojaner eingefangen habe, ist also nicht mehr nachzuvollziehen.)

Insofern kann ich also Filezilla, Avast und Java die Schuld geben und habe entsprechende Konsequenzen gezogen, nämlich alle drei Übeltäter runtergeschmissen und durch bessere Tools ersetzt. Auf Java verzichte ich ganz.

Vielleicht wäre der Hinweis auf die Filezilla/Java-Gefahr etwas für die "Security Announcements"-Rubrik ganz oben. (Und wenn dort bei der Gelegenheit der Spam-Eintrag unter "General Announcements" entfernt würde, täte das der Forenrputation auch ganz gut.)

So, jetzt verschwinde ich wieder in der Versenkung.

easyuser:

--- Quote from: instantflorian on February 08, 2013, 05:28:34 PM ---Insofern kann ich also Filezilla, Avast und Java die Schuld geben und habe entsprechende Konsequenzen gezogen, nämlich alle drei Übeltäter runtergeschmissen und durch bessere Tools ersetzt. Auf Java verzichte ich ganz.

Vielleicht wäre der Hinweis auf die Filezilla/Java-Gefahr etwas für die "Security Announcements"-Rubrik ganz oben.

--- End quote ---

Natürlich kann es jeder für sich selbst entscheiden.
Allerdings sollte man im Hinterkopf behalten, dass Java nicht einfach nur ein Programm ist.

Dass Java eine Sicherheits-Problematik darstellen kann denke ich ist aus vielen Medienberichten bekannt. Aber das gilt letztendlich für alles. Nun gibt es genügend Konstellationen, wo man Java nicht einfach mal eben deinstallieren kann. Oft kann man es gar nicht beeinflussen (das Lieblingsprogramm XY ist in Java geschrieben), selten kennt man wirklich alle Stellschrauben.

Noch einmal - es soll sicherlich jeder für sich entscheiden.
Nur: Wir sollten nicht hier Java-Exploits im WebsiteBaker-Forum in die "Security Announcements" reinstellen. Und es spricht nicht gerade für den Virenscanner, wenn er Viren "durch Java hindurch" lässt.
Dann noch alle PHP (was eher Sinn machen würde), dann Apache... Am Ende ist der Benutzer so schlau wie vorher, weil es zu viele Ratschläge gibt.

Meine Empfehlungen:
- aktuelles Betriebssystem (Win7/8; entsprechende Android/MacOSX/ Linux Versionen)
- eine Hardware-Firewall im Router (meistens vorhanden, wichtiger als man denkt)
- auf jedem Gerät (auch Smartphones!!!) eine Firewall - ab Windows 7 reicht die eingebaute Firewall
- auf jedem Gerät (auch Smartphones!!!) einen aktuellen Virenscanner - ab Windows 7 ist meine persönliche Empfehlung Microsoft Security Essentials; laut Tests schlechter als Kaufsoftware - laut einigen Selbsttests (auch im Ernstfall) bessere Erkennungsrate als Avira Professional und Kaspersky; Für Android ist meine persönliche Empfehlung "Zoner AntiVirus Free"
- Aktueller Browser - meine persönliche Empfehlung ist "Google Chrome" für alle Betriebssysteme (nach meinem Empfinden deutlich sicherer als Firefox - wer eine Google-Antipathie hat kann ihn ja behalten); für Windows 8 scheint der IE10 brauchbar zu sein.
- Nur E-Mail-Adressen, wo Serverseitig (beim Anbieter) auf Spam/Viren gescannt wird
- Sorgfältiger Umgang im Internet
- Nicht nur PCs im Auge haben (auch der BlueRay Player hat heutzutage Java & Internetzugang!) -> Lieber hier den Zugang so beschränken, dass nur eine Verbindung wenn benötigt aufgebaut werden kann; WLan/Internet-Zugang abschalten, wenn nicht gebraucht wird (Router wie Fritz!Box haben hierfür Zeitpläne)
- Nur Programme installieren, die man benötigt
- Zum Testen / Installieren unbekannter Software usw. lieber einen abgetrennten PC verwenden (zur Not geht auch eine Virtuelle Maschine mit VMware)
- Die Persönliche Entscheidung treffen: Was ist mir wichtiger: Komfort oder Sicherheit?
- Im Hinterkopf behalten: Sicherheit kann ich nur erreichen, wenn ich mir genug Wissen angeeignet habe über das was ich tue und wie es funktioniert;
- Und ich gebe Mario Recht: Sichere Passwörter verwenden

Ein kleiner Tipp zum Weiterlesen: https://www.bsi-fuer-buerger.de

Navigation

[0] Message Index

[*] Previous page