Sicherheitslücken in Windows Vista sorgen für Unruhe

Redaktion, 23. März 2007 17:59

Sicherheitsunternehmen und Hacker nehmen das Betriebssystem genauer unter die Lupe und werden bei der Suche nach Lücken fündig

Laut einem Bericht der New York Times hat Microsoft mit einer frühen Vertrauenskrise was die Qualität seines neuen Betriebssystems Windows Vista betrifft, zu kämpfen. SicherheitsexpertInnen und HackerInnen haben begonnen potenzielle Sicherheitslücken aufzuspüren und diese auch schon gefunden.

Startschwierigkeiten

Das sicherheitstechnisch hochgelobte und vom Softwarekonzern vor allem wegen seiner sicherheitsspezifischen Neuerungen und Verbesserungen angepriesene Betriebssystem hat nun schon kurz nach dem Auslieferungsstart einige Kritik einzustecken. Am 15. Deze,ber veröffentlichte ein russischer Programmierer Details zu einer Sicherheitslücke, die es ermöglichen soll, die AnwenderInnen-Rechte aller Windows-Versionen, also auch von Vista, zu verändern - der WebStandard berichtete. Über die Weihnachtsfeiertage bestätigte eine Sicherheitsfirma aus dem US-amerikanischen Silicon Valley diese Sicherheitslücke in Windows Vista und vermeldete, dass man zudem noch fünf andere Schwachstellen gefunden und den Softwarekonzern darüber informiert habe. Eine dieser Schwachstellen soll kritisch sein und in Zusammenhang mit dem Internet Explorer 7 stehen.

Kritisch

Die Schwachstelle im Browser ist vor allem deswegen eine sehr kritische, da es möglich ist, schädlichen Code über Webseiten auf Vista-Rechner zu bringen, so die Auskunft der Firma Determina, die Sicherheitssoftware entwickelt und dazu in Applikationen und Betriebssystemen nach Fehler sucht. Sollten entsprechende Lücken gefunden werden, so werden diese den Hersteller gemeldet, die dann ihrerseits Sicherheitsupdates - so genannte Patches für ihre AnwenderInnen bereit stellen sollen.

Abwarten und Teetrinken

Entgegen Microsofts Versuchen die Unternehmen schnell zu einem Umstieg zu bewegen, dürften viele derzeit einen "Awarten und Teetrinken"-Ansatz verfolgen. Windows XP mit seinen zwei Service Packs bringt eine wesentliche Verbesserung was die Sicherheit betrifft und damit erst einmal für viele ausreichend.

Überprüfen

Am Freitag vermeldete Mike Reavey, seines Zeichens Operations-Manager des Microsoft Security Response Center, dass man die gemeldete Schwachstelle, die eine Erhöhung der BenutzerInnenrechte ermögliche, genau untersuchen werde. Bislang seien aber keine Exploits oder verstärkte Angriffe erkennbar gewesen bezeihungsweise im Internet aufgetaucht. “Obwohl ich weiß, dass diese Schwachstelle auch Windows Vista betrifft, bin ich auch weiterhin der Meinung, dass Windows Vista unser sicherstes Betriebssystem ist", so Reavey. Am Samstag teilte Microsoft-Sprecherin Nicole Miller mit, dass man auch die gemeldete Browser-Schwachstelle überprüfen werde, aber auch hier derzeit keine Attacken bemerkt habe. Microsoft hat Millionen in das Branding seines Windows Vista als das sicherste seiner Produkte gebuttert, und selbiges als Waffen gegen die steigenden Attacken gegen Windowsrechner angepriesen.

"Nur historische Bedeutung"

Der Sicherheitsexperte Mikko Hypponen von der finnischen Firma F-Secure erklärte, der Programmierfehler habe nur historische Bedeutung, da er die erste in Windows Vista festgestellte Sicherheitslücke sei. Angreifer könnten dies theoretisch ausnutzen, um sich vom PC-User zum Administrator zu machen, also um eine bereits bestehende Zugriffsberechtigung aufzuwerten. Das Problem bestehe auch für ältere Windows-Versionen und könne mit einem Software-Patch behoben werden, sagte Hypponen.

Wichtig für Windows

Aus Sicht der New York Times ist Windows Vista ein wesentlicher, zentraler und vor allem aber kritischer Punkt für Microsofts Reputation. Das Thema Sicherheit ist ein so wichtiges und großes geworden, dass sich Microsoft aufgrund seiner Größe und der Verbreitung seiner Software als Speerspitze der IT-Branche im Kampf für mehr Sicherheit etablieren und den KundInnen das Vertrauen zurückgeben muss. Obwohl Vista ausgiebig getestet wurde, steht es mit dem Auslieferungsbeginn nun im Kreuzfeuer der Bedrohungen und muss zeigen, was es zu leistne im Stande ist. "Ich glaube nicht, dass die Menschen selbstzufriedener werden sollten", so Nand Mulchandani, Vizepräsident von Determina gegenüber der New York TImes. “Wenn die Hersteller sagen, dass ein Programm neu geschrieben wurde, so muss dies nicht bedeuten, dass es auch sicherer ist. Meine Erwartung ist, dass wir in den nächsten sechs bis zwölf Monaten einen wahren Schwall von Vista-Bugs erleben werden."

Die Sandbox

Ein großer Vorteil des Internet Explorer 7 in Punkto Sicherheit ist die Tatsache, dass es eine "Sandbox" gibt, die den möglichen Schaden den AngreiferInnen anrichten können, eindämmen soll. Allerdings, so Alexander Sotirov von Determina, könnte ein Fehler, der die UserInnenrechte erhöht auch dazu genutzt werden, diese Sandbox zu umgehen.

Auktionen

In der vergangen Woche berichtete das Sicherheitsunternehmen Trend Micro, dass derzeit Informationen zu Schwachstellen in Windows Vista auf einschlägigen Webseiten teuer zum Verkauf angeboten werden würden - der WebStandard berichtete. Allerdings hat das Unternehmen keine Möglichkeit gehabt, die Angebote auch zu testen, weswegen man nicht bestätigen könne, um welche Schwachstellen es sich handle und welcher Schaden damit anzurichten wäre.(red/APA)

Links

Microsoft

New York Times

Zum Thema

Warum Windows die Welt regiert

Vista-Schädlinge werden teuer verkauft

Microsoft untersucht Sicherheitslücke die aktuelle Windows-Versionen - inklusive Vista - betreffen soll

Microsoft gewährt Einblick in Sicherheitsschnittstellen von Vista

Umfrage

Was halten Sie von Windows Vista?

Ansichtssache

Windows Vista: Was ist neu?

derStandard.at/Web auf Facebook
Kommentar posten
15 Postings
Norbert Ahrens
28.12.2006 13:46
Unruhe? Welche Unruhe?

Ich wäre in meiner Einschätzung beunruhigt gewesen, wenn das OS schneller in den Verkauf kommt als seine Sicherheitslücken in die Schlagzeilen!

Aber so . . . bin i beruhigt: it's the same old stuff :-)

andy.neremis.com

Matt Canalegrande
27.12.2006 17:35
Hier zeigt sich die unvermeidliche Schwäche von Closed Source Software

Wieso ist es möglich, dass irgend ein wildfremder Hacker nach kürzester Zeit so eine eklatante Schwachstelle findet, obwohl Heerscharen von hochbezahlten MS-Software Entwicklern genau das verhindern wollten, mit neu geschriebenem Code prahlten und dennoch ists eine Lücke im IE7?
Ganz einfach: Auch wenn MS die grösste Softwareschmiede der Welt ist: Die community ist um ein Vielfaches grösser. Und stets ausgeschlafen, weil sich die Erde dreht ;-)
Flaws gibts in jeder Software. Hättet eben nicht behaupten sollen, dass das jetzt "das sicherste Windows" ist. Nicht mal noch für Enduser erhältlich und schon widerlegt.
Diese stets sich wiederholenden Marketing - Lügen hat man endgültig satt.

chelene chirsch
27.12.2006 21:17

die systemrechte des anwenders zu erhöhen ist etwas, was auch alle zeiten wieder bei linux und unixen gepatcht wird.

fehler im browser ? gibts auf jeder plattform.

aber hauptsache wieder mal gegen closed source wettern, süss.

MeduniGraz
28.12.2006 08:41
Ich denke, ...

... dem OP ging es um den Vergleich "Behandlung von Fehlern in OSS vs. CSS" und nicht darum, dass es in OSS keine Fehler gibt.

Aber Hauptsache, wieder mal rumtrollen, süss.

chelene chirsch
28.12.2006 08:56

[...]Die community ist um ein Vielfaches grösser. Und stets ausgeschlafen, weil sich die Erde dreht ;-) [...]

fakt ist: fehler gibt es überall, und solchgenannte erst recht. man denke an bsd, das "nur 1 flaw" hatte - je nach version waren es mal remote-exploits, mal die standarddistribution ( die eh schon kaum dienste am laufen hat)...

marketing ist wirklich gack, aber überall derselbe.

so go
28.12.2006 09:20

Glauben Sie allen Ernstes, es sei eine Schwäche von MS dass es sich um "closed software" handelt?

"Zuviele Köche verderben den Brei!"

chelene chirsch
28.12.2006 09:46

"Zuviele Köche verderben den Brei!"

"Die community ist um ein Vielfaches grösser."

das erklärt manche probleme der linux-entwicklung punktgenau.

Bertl Redford
27.12.2006 18:44

egal ob marketing lüge oder nicht, das ding ist in den schlagzeilen, und damit hat die open source community wieder einmal kräftig die werbetrommel für ms gerührt, ohne auch nur einen cent dafür zu bekommen.

thare
27.12.2006 12:20
Die Lücken

sind nicht das Problem. Jede Software bzw jedes OS hat Lücken, auch Linux, OSS (Firefox usw..) und Mac Software. Das Problem war die Ignoranz und die träge bzw. fehlende Reaktion auf Lücken. Sollte MS irgendwann genauso schnell patchen wie die OSS Community, seh ich eigentlich keinen Grund mehr für übermäßige Kritik.

RH84
27.12.2006 16:35

Der Unterschied zwischen OS und MS ist halt, dass den meisten OS-Entwicklern klar ist, dass Bugs zur Software und Bugbehebung zum Entwickeln dazugehört. Für MS jedoch scheinen Bugs etwas zu sein, das man mit Geld wegbekommt. Deswegen tun sie so, als hätten sie sooo viel Geld in die "Sicherheit" von W. Fista gesteckt - gut, haben sie vielleicht sogar, aber es genügt eben nicht, Geld hineinzustecken und das Problem an sich zu ignorieren...

Wanderfalke
27.12.2006 13:57

Gutes Kommentar.
Wobei MS halt nach wie vor das Problem hat, das jede/r nur ein Teilstück des Codes kennt und somit "gröbere" Fehler sehr lange unentdeckt bleiben.

No Way José
 
27.12.2006 16:34
Jain, fast jede Software ist fehlerhaft, das stimmt,

aber der wesentliche Unterschied zwischen einer Windows und einer (z.B.) Linux-Installation ist doch, dass Windows ein monolithischer Blob ist, waehrend bei Linux o.ae. die Installation im wesentlichen aus einzelnen Programmen besteht. Ist Ihnen der Firefox zu unsicher, dann installieren Sie ihn nicht und verwenden was anderes. Versuchen Sie mal, den IE samt seiner DLLs aus Windows zu entfernen, das geht nicht, weil andere Teile von Windows diese DLLs verwenden (inkl. der Desktop-Shell). Bei Linux (Unix, ...) ist das Betriebssystem der Kern, alles andere sind austauschbare, isolierte Enduser-Programme, auch die GUI (X11). Diese Verstrickung auf Systemebene und Dependenz vom System auf Endusersoftware ist doch das Problem bei Windows.

PreBuddha
28.12.2006 10:47
Vorteil = Nachteil

Drum benutzen fast alle User Windows. Weil es vorgefertigt ist und großteils funktioniert. Ich kenne User die mich fragten, was sie auf die Frage "Wollen sie Firefox als Standard-Browser verwenden?" eingeben sollen.
Das sind Leute, die die Funktionalität eines Gegenstanden nutzen wollen, ohne die Arbeitsweise hinter der Kulisse zu verstehen. Und da Videorecorder oder Autos dies bieten, erwarten sie sich (zu recht?) daß das ihr Computer auch tut. Aber der rasche und enorme Fortschritt der IT hat uns die Illusion gebracht, daß diese Technik ausgereift ist.
Ist sie NICHT. Auch Autos brauchten Jahrzehnte, bis man Joe Sixpack auf sie loslassen konnte. Die Tatsache, daß etwas schneller, bunter, und leistungsfähiger ist allei genügt nicht

der Zacharias
29.12.2006 12:47
Dafür gibt es Distributionen wie openSuSE oder Ubuntu,

die genau dieses Problem lösen.

MeduniGraz
28.12.2006 08:45
Naja, dank ...

... der Shared-Libarys ist die Vererbung von Fehlern aus so einer Lib in ein Programm natürlich auch unter Linux möglich.
Der Vorteil liegt hier IMHO einfach in der schönen Trennung der einzelenen Softwarepakete, was das Personal bzw. die Entwickler betrifft. Die meisten fühlen sich einfach wirklich verantwortlich für ihre Projekte und sind deshalb auch bemüht, Fehler so schnell als möglich zu beheben.
Bei MS hat man oft den Eindruck, dass sie Bugs als etwas lästiges sehen, dass keiner so recht anfassen will.

Die Kommentare von Usern und Userinnen geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Der/Die Benutzer/in kann diesfalls keine Ansprüche stellen. Weiters behält sich die derStandard.at GmbH vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.

© derStandard.at GmbH 2012 - Impressum

Alle Rechte vorbehalten. Nutzung ausschließlich für den privaten Eigenbedarf.
Eine Weiterverwendung und Reproduktion über den persönlichen Gebrauch hinaus ist nicht gestattet.