Mac sicherer als PC?

[Darii]

Auf Vista weiß man nie genau, welche Ports gerade offen sind: Da kann auch ein scheinbar harmloses Programm mal ungewollte Netzdienste anbieten. Dort ist daher eine Firewall nützlich. Allerdings bist Du ohne Portweiterleitung des Routers auch nicht erreichbar.

Natürlich kann auch unter OSX jedes Programm Netzwerkdienste anbieten.

 

[MacMark]

...oder man friert den RAM ein …

Wenn der Angreifer physikalischen Zugang zum Rechner hat, sprich: ihn anfassen kann, dann gibt es diverse Methoden, das System voll zu übernehmen. Da muß man sich nicht zuviel Hoffnung machen.

 

[detto]

Beispielsweise den Webserver. Ohne Portweiterleitung im Router erreicht den niemand von außen. Im lokalen Netz schon.

Mal am Rande: Wie lautet der Port dafür?

 

[mcfeir]

Auf Vista weiß man nie genau, welche Ports gerade offen sind

Das ist nun auf einem NT-System eine ausgesprochen leichte Übung :

Versuch's einfach mal mit :

netstat -ano

 

[in2itiv]

Mal am Rande: Wie lautet der Port dafür?

...für den webserver?

...http ist stdm. auf 80

 

[mcfeir]

@detto

Mal am Rande: Wie lautet der Port dafür ?

Standard-Port für einen Webserver ist Port 80; aber das kann man im Apache natürlich auch umkonfigurieren.

 

[in2itiv]

Das ist nun auf einem NT-System eine ausgesprochen leichte Übung :

Versuch's einfach mal mit :

netstat -ano

...und unter OSX gibt es ein nettes tool im netzwerkdienstprogram.

 

[MacMark]

Natürlich kann auch unter OSX jedes Programm Netzwerkdienste anbieten.

Ja, aber nicht unerwartet. Das Problem auf Windows ist, daß Programme, von denen man es nicht erwarten würde, so etwas machen. Da hatten Sekretärinnen, die gar keine Datenbankprogramme nutzten und auch keine Dienste eingeschaltet hatten, unwissend Netzdienste der SQL-Server-Engine laufen. Liegt an den Entwicklerwerkzeugen von Microsoft, die so etwas fördern.

Um sicherzugehen kann man das Programm in einer Sandbox starten auf Leopard, die keinen Netzwerkverkehr für dieses dann zuläßt. Selbst wenn es unter root laufen würde, hätte es keine Chance da rauszukommen oder rein, je nachdem, was man einstellt.

 

[Darii]

Und wo ist da jetzt das generelle Windows-Problem, wenn die Entwickler nicht wissen was sie tun? Gegen schlechte Anwendungssoftware ist kein Gras gewachsen, es sei denn, man schränkt die Anwendungen sehr ein(wie auf Handys z.B.)

 

[blueman-benny]

Gegen schlechte Anwendungssoftware ist kein Gras gewachsen, es sei denn, man schränkt die Anwendungen sehr ein(wie auf Handys z.B.)

Richtig...hast du schonmal Viren für die PlayStation oder andere Konsolen gesehen??

Wobei: Immer mehr Konsolen können jetzt auch übers Internet kommunizieren...

 

[MacMark]

Und wo ist da jetzt das generelle Windows-Problem, wenn die Entwickler nicht wissen was sie tun? Gegen schlechte Anwendungssoftware ist kein Gras gewachsen, es sei denn, man schränkt die Anwendungen sehr ein(wie auf Handys z.B.)

Microsoft forciert das Problem durch seine Entwicklertools.

Apple bietet gescheite Entwicklertools an, die das nicht machen. Auf OS X kommt es nicht versehentlich zur Integration irgendwelcher Netzdienste in Desktopanwendungen, es sei denn man macht es mit Absicht.

Apropos Mobiltelephone: Erlaubt Apple nicht nur bestimmte Programme auf dem iPhone, die geprüft sind? Wenn der User den Schutz umgeht, um dann jeden Mist zu installieren, dann kann man nur wenig helfen.

 

[mcfeir]

Ein Windows-System mit guter Firewall und nur originalen Programme von CD installiert, wird sich einfach keine Viren einfangen, genau wie ein OSX oder Linux.…

Früher waren unter Windows Mail-Anhänge das Haupteinfalltor für Malware; heute sind es immer mehr speziell präparierte Webseiten, die irgendwelche Browserfehler ausnutzen, bevor der entsprechende Sicherheitspatch kommt.
Eine gute Firewall bzw. Programme nur von CD installieren, hilft da wenig.

Wichtig ist deshalb, dass Browser rechtemäßig nur im Benutzerkontext arbeiten, so dass der Systemzugriff erschwert bleibt und möglichst geringer Schaden angerichtet wird. Deshalb liegt momentan der Schwerpunkt der Sicherheitsentwicklung bei Windows und Linux bei der Kontrolle der Rechte von einzelen Programmen (Windows : Mandatory Integrity Control (MIC); Linux : AppArmor).

Ich weiß nicht, wie es diesbezüglich mit Mac OS X aussieht.

 

[spaceballs]

Das grösste Sicherheitsrisiko sitzt meiner Meinung nach vor der Tastatur. Wer sich jeden Scheiß runterlädt, öffnet und auch noch ein Administrator-Kennwort eingibt, bei einer Anwendung oder Aktion, die ich nicht kenne oder will ...

Seh's eigentlich ganauso wie Du. Bin seit langen Jahren sowohl mit Mac als auch Winrechnern "unterwegs" und bin bisher "sauber" geblieben. Wahrscheinlich aber auch nur, weil das o.g. auf mich nicht zutrifft.

Für bedenklich halte ich jedoch Meldungen, in denen es heisst, es reicht schon auf 'ner Seite zu landen, auf der Bilder geöffnet werden, über die dann Dinge auf meinem Rechner ausgeführt werden, die ich nicht verhindern kann.

 

[MacMark]

… Sicherheitsentwicklung bei Windows und Linux bei der Kontrolle der Rechte von einzelen Programmen (Windows : Mandatory Integrity Control (MIC); Linux : AppArmor).

Ich weiß nicht, wie es diesbezüglich mit Mac OS X aussieht.

MIC kann auch auf Vista umgangen werden. Hier wird zum Beispiel beschrieben, wie ein Programm auf unterster Stufe Systemprozesse (Admin-Shell) fernsteuert per Windows Mesaging System, indem es Tastendrücke schickt. Das ist seit ewig ein Windows-Design-Problem:
http://www.macmark.de/osx_security.php#shatter_vista
Die Integrity Level bringen aber auch ohne dieses Architekturproblem prinzipiell nicht viel, weil eine Systemanwendung beispielsweise Schadcode aus unteren Stufen lesen kann und dadurch kompromittiert wird.

OS X hat richtige Sandboxen, die es bestimmten Diensten verbieten, etwas anderes zu tun, als vorgesehen: Nur bestimmte Dateien schreiben oder lesen, nur bestimmter Netzverkehr, was auch immer man mag.

 

[Darii]

Apropos Mobiltelephone: Erlaubt Apple nicht nur bestimmte Programme auf dem iPhone, die geprüft sind?

Apple erlaubt erstmal gar nichts und es ist müßig, jetzt darüber zu spekulieren, was mit dem SDK kommt und was nicht.

 

[blueman-benny]

Sorry für Off-Topic: Wann kommt das SDK für iPhone und iPod touch eigentlich??

 

[MacMark]

… Für bedenklich halte ich jedoch Meldungen, in denen es heisst, es reicht schon auf 'ner Seite zu landen, auf der Bilder geöffnet werden, über die dann Dinge auf meinem Rechner ausgeführt werden, die ich nicht verhindern kann.

Da gab es vor kurzem einen plattformübergreifenden Bug, der Windows und OS X betraf: Ein Fehler in "Quicktime für Java", was bei aktiviertem Java im Browser zum Einsatz kommt, hatte einen Fehler, der evtl. Code einschleusen ließ.

Der Unterschied liegt dann darin, was man damit so machen kann. Bei Vista kann trotz UAC und Integrity Leveln von niedriger Stufe ein Systemprozeß mit Nachrichten ferngesteuert werden. Bei OS X nicht.

 

[MacMark]

Apple erlaubt erstmal gar nichts …

Also ist das iPhone per default ziemlich sicher

 

[sutz2001]

Microsoft forciert das Problem durch seine Entwicklertools.

Apple bietet gescheite Entwicklertools an, die das nicht machen. Auf OS X kommt es nicht versehentlich zur Integration irgendwelcher Netzdienste in Desktopanwendungen, es sei denn man macht es mit Absicht.

Apropos Mobiltelephone: Erlaubt Apple nicht nur bestimmte Programme auf dem iPhone, die geprüft sind? Wenn der User den Schutz umgeht, um dann jeden Mist zu installieren, dann kann man nur wenig helfen.

Du kannst mit den Entwicklertools von Apple genausoviel Mist machen wie mit denen von MS.
Wenn falsche Dienste bei Software mit dabei sind, dann ist das nicht unwissend. Dann wurde die IDE falsch bedient oder absichtlich die Tools aktiviert.
Kommt immer auf den User an, der damit arbeitet. Wenn ich erstmal alles aktiviere, habe ich natürlich hinterher keine Probleme, das was fehlt. Das geht bei MS und Apple.

Und bei den Leuten, die sich dann die Entwicklertools installieren, gehe ich einfach davon aus, dass die schon wissen, was die tun und nicht nur mal eben ein "Hello World" tippen wollen.
Von daher ist das eine Einstellungssache des Entwicklers. Und du hast gute und schlechte Entwickler auf jeder Plattform.

 

[MacMark]

Windows verfolgt einen monolithischen Ansatz bei der Softwareerstellung. Die Unices nicht. Das führt dann bei ersterem schnell zu "zusätzlichen" Features.