jaja
btw: ich habe weiter vorne schon mal geschrieben, dass beide Systeme out-of-the-box zu wünschen übrig lassen: bei OS X läuft die Firewall nicht, bei W7 ist die UAC nicht auf die höchste Stufe gestellt. Genau das würde den BKA-Trojaner nicht auf das System lassen
Ansonsten schliesse ich mich maba an: laut
deiner Quelle hat Apple derzeit mehr Sicherheitslücken
Out of the Box hat OS X keinerlei Ports offen. Wozu soll da also eine Application Level Firewall nützen?
Ansonsten solltet ihr auch mal die Schwere der bekannten Lücken und die alltägliche Relevanz der betroffenen Produkte analysieren. Soll hier wirklich die Zune Software zur Ehrenrettung von Microsoft herhalten (ich weiss, das ist etwas provokant formuliert, aber ihr versteht sicher, was ich meine)?
Microsoft Office hat den höchsten gewichteten CVSS-Score aller Produkte (9,4), sämtliche Windows-Varianten seit Vista liegen deutlich über 8 (lediglich 2000 davor hat 7,6) während OS X + der Server jeweils nur 6,7 (wie z.B. auch OpenBSD) haben. Microsoft liegt mit der gesamten Produktpalette mit 7,5 vor Apple mit 7,1 (Adobe und Real Networks sind hier mit 8,6 traurige Spitzenreiter). Wo Apple im Vergleich richtig schlecht aussieht ist Safari und Webkit, lediglich Chrome steht noch schlechter da als Safari und Webkit ist am schlechtesten bewertet.
Quellen:
http://www.cvedetails.com/top-50-vendor-cvssscore-distribution.php
http://www.cvedetails.com/top-50-vendor-cvssscore-distribution.php
2 Grundprobleme bestehen m.E. im Bereich Computer-Sicherheit (ich gebrauche den Begriff so wie ihn Bruce Schneier in
Security and Lies definiert: Access Control - wer darf was auf den Computersystemen, die ich nutze).
Das erste Grundproblem besteht darin, dass wir seit dem XNU-Kernel praktisch keinerlei Verbesserung der grundsätzlichen Systemarchitekturen auf dem gesamten kommerziellen OS-Markt mehr gesehen haben und auch Apple leider dem Drang/Zwang zum Kernel-Bloating nachgegeben hat. Alle Betriebssysteme leiden unter zunehmender "Featerities", was sie komplexer und damit angreifbarer macht. Nur sind diese Angriffe heute anderer Natur als vor 10-20 Jahren (worauf maba_de völlig zurecht hinweist). VirenScanner auf Desktops sind heute vor allen Dingen MalwareScanner (die meisten Viren werden heute ziemlich zuverlässig vom Mailprovider abgefangen). Da die meisten privaten Rechner heute auch hinter NAT-Routern mit meistens standardmässig aktivierten SPI-Firewalls ins Netz gehen, sind auch Würmer keine große Gefahr mehr. Auf der anderen Seite werden dagegen die Tools für Skript-Kiddies immer mächtiger und die Sicherheits-Infrastruktur im Netz immer schlechter. In den letzten 12 Monaten wurden 2 CAs gehackt und Zertifikate entwendet, Sony hatte seine Blackhat-Besucher, Symantec ist der Quellcode von 5 Security-Produkten gestohlen worden und die dubiosen InApp-Käufe im AppStore lösen bei mir auch keine Begeisterungsstürme aus…
Die heutigen Gefahren für Privatleute bestehen zum größten Teil aus geschickten Social-Engineering-Attacken, die dann bekannte Sicherheitslücken ausnutzen, den Nutzer dazu bringen Malware zu installieren oder eine Kombi aus beiden Szenarien. So wurde Linux einmal sehr erfolgreich mit einem Bildschirmschoner angegriffen, der Zero-Day-Malware enthielt (also von Scannern nicht erkannt wurde) und auf einer seriösen Seite zum Download bereitstand. Wie soll man sich dagegen schützen? Haben die Leute mit den bereits erwähnten InApp-Käufen etwas falsch gemacht? Ist es so unverständlich, dass Nutzer in Facebook neugierig sind, wer ihr Profil angeschaut hat?
Im gewerblichen Bereich ist die Situation noch komplexer, da hier der "Feind" ja zusätzlich auch noch im inneren des Netzwerk lauert - unzufriedene Mitarbeiter, Industrie-Spione, die eingeschleust wurden oder das schwierige Abwägen für Sysadmins, Systeme schnell zu patchen und damit unter Umständen Opfer "schlechter" Patches zu werden (auch Apple hat Patches wieder zurückgezogen und neu veröffentlicht, weil der Patch selbst wieder Bugs enthielt). Ausserdem ist die Wahrscheinlichkeit eines professionellen Angriffs von Aussen hier naturgemäss wesentlich höher als im privaten Bereich.
Das zweite Grundproblem ist das Know-how und Verhalten der User selbst. Noch immer laden sich Leute Software aus dubiosen Quellen herunter, verwenden unsichere Passwörter (gegen 01234567 hilft auch das sicherste OS nicht) und haben nicht das erforderliche Know-how um ihre SOHO-Netzwerke sicher zu betreiben (auch wenn die Werbung ihnen etwas anderes suggeriert). Wenn ich hier immer lese, dass Mac-Nutzer behaupten, dass sie seit Jahren keine Malware auf ihrem Rechner haben, frage ich mich jedesmal woher die das eigentlich so genau wissen. Viren-/Malware-Scanner benutzen sie nicht, weil sie unter OS X unnötig sind und woher sind sie sonst so sicher, das ihr Mac z.B. kein Zombie ist? Benutzen hier wirklich alle pausenlos Tools wie Wireshark und nmap und sniffen damit ihren Netzwerkverkehr und scannen ihre Macs auf dubiose offene Ports oder woher kommt die Erkenntnis? Wird einfach alle 3 Monate der Mac neu aufgesetzt und gut ist? Oder ist es wirklich immer die Überlegenheit von Brain X.irgendwas, die per Default verhindert, dass man sich aus Versehen Malware auf den Mac packt?
Zum Schluss noch eine kleine Denksportaufgabe: Es wurden schon erfolgreich Konzern-Server, DNS-Server und CAs gehackt. Wie schützt man sich gegen eine Hacker-Gruppe, die diese Hacks koordiniert gleichzeitig durchführt und so dem Nutzer und dem System vorgaukelt, dass man gerade ein OS-Update aus sicherer Quelle lädt und installiert?
