Genau wie ich vermutet hatte:
SpywareBlaster sagt dir (Bild 1), daß für FF die Immunisierung für 230 Cookies nicht aktiviert ist. Das besagt nichts darüber, ob diese Cookies oder überhaupt irgendwelche Cookies gespeichert sind. Also, wenn es mehr nicht ist (ich beziehe mich jetzt wieder auf OP erster Satz), existiert kein Problem.
Nein, Berechnungen führt das Programm aus, das ist schon klar. Aber das Programm muß das ausführen, was sich aus den AES-Spezifikationen ergibt, anderenfalls könnte es auch bei richtigem Paßwort die Datenbank nicht öffnen, und deren "variablen" Teile sind in der Datenbank gespeichert und nicht im Programm oder dessen Konfigurationseinstellungen.
Es wird dafür ein Zufalls-Schlüssel, der nach den AES-Spezifikationen erzeugt und in der Datenbank gespeichert wird, benötigt. Dieser Zufalls-Schlüssel, der sich zu dem bei jedem Speichern der Datenbank automatisch ändert, ist dergestalt, daß von ihm kein Rückrechnen auf das Paßwort durchgeführt werden kann. Aus Paßwort-Hash und Schlüssel werden dann über mehrere Runden, deren Anzahl ebenfalls in der Datenbank festgelegt sind und verhindert, daß durch millionenfaches Durchprobieren von geratenen Werten pro Sekunde ein Angriff erfolgt, ein weiterer Hashwert berechnet. Da man den Zufalls-Schlüssel wie gesagt nicht zum Zurückrechnen verwenden kann, muß diese Berechnung in mehreren Runden zwingend erfolgen, um zum richtigen Ergebnis zu kommen und alles das ist in der Datenbank festgelegt und kann nicht durch Änderungen am Programm umgangen werden. Letztlich hängt alles von der Sicherheit des AES-Algorithmus ab und nach momentanen mathematischen Modellen braucht es mehrere Milliarden Jahre, um mit den zur Zeit schnellsten verfügbaren Supercomputern so etwas zu knacken.
Also: Nicht das Programm legt fest, wie das ganze zu berechnen ist und somit kann im Programm auch nichts dergleichen geändert werden. Das Programm kennt die AES-Spezifikationen und somit auch, wie die Berechnungen von Paßwort-Hashwerten mit Schlüsseln zu erfolgen haben. Stimmt das eingegebene Paßwort nicht, weiß der Angreifer am Ende nicht mehr als das es eben falsch war.
Ich schrieb ja vor ein paar Stunden "weitgehend immun". Gäbe es - aber das erscheint mir ein rein akademischer Gedanke - einen Bug oder eine untergeschobene Programmversion eines Angreifers, die tatsächlich nicht das AES-Verfahren verwendet, so wäre das Ergebnis natürlich auch keine AES-verschlüsselte Datenbank, wenn man mit einer solchen Version eine Datenbank speichert. Aber eine zuvor gültig AES-verschlüsselte Datenbank kann auch mit einer gefakten Programmversion nur über das Prozedere wie oben skizziert geöffnet werden Hier gehört natürlich wieder die Verantwortlichkeit des Benutzers hinzu, sich zu vergewissern, daß er tatsächlich das richtige Programm verwendet, zum Beispiel gerade hier, KeePass absolut ausschließlich von der Originalseite des Anbieters zu beschaffen und die Hashwerte der Downoads zu prüfen.
Zitat von boardraiderUnd wie ist dieser Schutz realisiert?
Das Paßwort wird an die Datenbank gesendet, muß dort eine bestimmte Zahl von Berechnungen durchlaufen und führt nur zum Öffnen, wenn das Paßwort mit dem in der Datenbank übereinstimmt. In KeePass und in seiner Konfigurationsdatei befinden sich weder Hinweise zum Paßwort noch Einstellungen, in welcher Weise (technisch) der Öffnungsvorgang erfolgen soll. Mithin kann dort auch nichts manipuliert werden. Deswegen hat der Autor (IMO zu Recht) alle Vorschläge, Optionen im Programm zum vermeintlichen zusätzlichen Schutz einzubauen abgelehnt. Es gibt lediglich eine Option, mit der sich bestimmte zusätzliche Risiken bei einer geöffneten Datenbankdatei abschalten lassen (zum Beispiel ein Export der Datenbank in eine Klartext-Datei, wenn es jemandem gelingt, physischen Zugriff auf eine geöffnete Datei zu erlangen).
Zitat von LeonondWieso reagieren hier dann alle so persönlich beleidigt ...?
Also lasst mich doch einfach.
Das ist schon eine entlarvende Gegenüberstellung.
Außerdem: Reaktion folgt auf Aktion (zum Beispiel: "Programmierer-Scheiß"); derartige Verbalien auch noch als "höchst sachlich" zu titulieren führt beim Leser zu der Erkenntnis, daß du nicht wirklich in der Lage bist, zwischen berechtigter Kritik und Unflat zu unterscheiden. Wenn du dich in demselben Kontext darüber beschwerst, daß du nicht weißt und erkennen kannst, ob du ein 32 oder 64 Bit Windows einsetzt (im gleichen Absatz wie der genannte Begriff), bezweifle ich auch die Fähigkeit, sachlich die Fehlerursache und Beseitigung anzugehen (und damit hat Mozilla nun gar nichts zu tun).
Um auf die zitierte Frage zurück zu kommen: Vielleicht kannst du ja mal darüber nachdenken, ob freiwillige Helfer - deren Hilfe du in Anspruch nehmen möchtest - sich darüber freuen sollen, wenn du ihnen vor den Kopf donnerst, daß sie Support für "Programmierer-Scheiße" leisten und selbst gar nicht festgestellt haben, was du so fäkal formulierst. Ich staune allerdings, wie sich jemand freiwillig eine Software antut, die er wie angegeben einstuft; da muß irgendwo die Selbst-Kontrolle versagt haben.
Der erste Satz des OP macht mich stutzig. Wo genau gibt SpywareBlaster an, daß sich noch 230 Cookies auf dem System befinden sollen? (Eventuell Screenshot) Auch das Anlegen von 230 Cookies beim Aufruf des Mailkontos klingt nach Mißverständnis.
Ich habe dieses Programm früher verwendet, inzwischen nicht mehr. Ich kann mich nicht erinnern, daß SpywareBlaster überhaupt eine solche Funktion gehabt hätte. Verwechselst du vielleicht die Liste der Immunisierung mit vorhandenen Cookies?
Noch ein paar Ergänzungen:
Selbstverständlich sollte "ein System" (womit du hier wohl zum Beispiel ein Forum meinst) verantwortlich mit den Zugangsdaten umgehen. Das ersetzt aber nicht die Eigenverantwortung des Einzelnen. Und eine absolute Sicherheit gibt es nur in der idealen Welt, nicht im Haifischbecken Internet. Nebenbei: Ein "System", bei dem ich nicht davon ausgehen kann, daß es verantwortlich agiert würde mich als registriertes Mitglied niemals sehen.
Für den Schutz meines lokalen System bin ich verantwortlich; das heißt aber auch, ich kann taugliche und ich kann untaugliche Mittel und Maßnahmen einsetzen. Ich verwende nicht den FF-Paßwort-Manager sondern Keepass, mit folgenden Vorteilen: Sicherheit der Datenbank durch Verschlüsselung mit AES 256 Bit (= NSA zertifiziert für top secret in den höchsten US-Regierungsbehörden), zusätzlicher Schutz durch eine Schlüsseldatei, zusätzlicher Schutz gegen Brut-Force-Angriffe auf das Master-Paßwort, offener, dokumentierter Quellcode, vollständig portabel und deswegen mit jedem Windows-Rechner (auch per Stick) und völlig unabhängig vom Browser (oder überhaupt der verwendeten Software, zum Beispiel Banking-Software, Datenbanken) verwendbar (also auch in dem von dir genannten Szenario absolut problemlos). (Wobei ich mich vergeblich frage, wie man auf 5 verschiedenen Systemen mit dem FF-Paßwort-Manager seine Paßwörter portabel halten will, ohne jedesmal Dateien zu kopieren; dein Szenario spricht also genau für einen Paßwort-Manager.)
Da du das Thema Bug im Paßwort-Manager angeschnitten hast: In KeePass sind die Datenbanken so angelegt, daß sie gegenüber solchen Bugs weitgehend immun sind. Anders wäre bei einer OS-Software auch keine Sicherheit möglich, weil ja jeder den Source-Code manipulieren und neu kompilieren kann. Im übrigen ist KeePass eines der aktivsten OS-Projekte mit regelmäßigen Versions-Updates.
Aber der Kern meiner Beiträge richtete sich um das Thema der verwendeten Paßwörter, noch genauer: die von dir genannte "Ähnlichkeit". Ähnlichkeit hat offensichtlich 2 Gründe: Entweder mangelnde Phantasie oder Eselsbrücke beim Erinnern; beides spricht dafür, daß die verwendeten Paßwörter leicht zu erraten sind und die Folge: ist eines bekannt, sind alle in ernster Gefahr. Und für solche phantasielosen Eselsbrücken ist einzig und allein der Benutzer verantwortlich. Da beißt die Maus keinen Faden ab.
Du hattest dich am 20. 8. um 10:32 Uhr gegen sichere Paßwörter gewendet. Ich hatte in meinem letzten Beitrag geschrieben, daß ich diese und nur diese Art von Paßwörtern (wie du sie als Schema skizziert hattest) als wirklich sicher halte; darum geht es im Kern. Ein Paßwort-Manager bietet die Möglichkeit, solche sicheren Paßwörter zu verwenden, ohne Gehirn und Finger zu verbiegen, aber er ist nur das Werkzeug, die Verantwortung (die du "dem System" abverlangst) liegt beim Benutzer, also auch bei dir.
Deine Antwort wirft mehr Fragen zwischen den Zeilen auf, als daß ich hier eine einfache Antwort auf die letzte Frage geben könnte.
Nämlich: Windows-Version, deutsch / englisch (damit die benutzten Begriffe klar werden)?
Und: wenn Dinge plötzlich funktionieren (oder in anderen Fällen nicht funktionieren), bei den der Benutzer keine Änderung gemacht zu haben glaubt, so gehen bei mir die Alarmglocken an und ich frage mich, was da passiert ist (oder welche dem Benutzer unbekannten Zusammenhänge wirksam geworden sind).
Grundsätzlich: Programme sollen im Admin-Konto installiert werden; das hat nichts damit zu tun, wer das Programm benutzen kann und auch nichts damit, daß für jedes Windows-Konto ein eigenes Profil angelegt wird (automatisch).
Um aber dennoch die letzte Frage ansatzweise zu beantworten: Wenn irgend ein Programm als Admin gestartet wird, so hat dieses Programm Admin-Rechte im gesamten System. Startet man aus diesem Programm weitere Programme (das schließt das Starten eines Programms aus den Dialogen Öffnen / Speichern unter ein) so haben auch diese Programme administrative Rechte ohne jede Einschränkung; das ergibt sich aus der (nicht änderbaren) Vererbung von Rechten zwischen Prozessen und ist der Grund, warum man mit einem eingeschränkten Konto arbeiten soll (weil nur so die Shell (die Benutzeroberfäche mit Desktop, Startmenü und allem was dazu gehört) eingeschränkt sind und folglich alle daraus gestarteten Programme.) Somit dürfte (soweit ich dein Szenario richtig verstanden habe) die Antwort auf die letzte Frage lauten: FF hat uneingeschränkte Rechte im gesamten System (und somit auch jede Schad-Software, die über den Browser in das System gelangt und in der Lage ist, sich zu starten - ERGÄNZUNG: auch wenn der Browser zwischenzeitlich geschlossen worden ist und bei entsprechender Programmierung auch nach einem Neustart des Systems).
Eine separate Export- / Importfunktion für die Listen existiert im zweiten Tab des Einstellungsdialoges; außerdem dasselbe für die gesamten Einstellungen am Fuß des Dialoges.
Hallo angelheart,
nicht anders als du deinen habe ich meinen Vorschlag als eine von verschiedenen Möglichkeiten gesehen.
Aber der private Modus läßt viele Anwender in dem Glauben, nicht kontrollierbar zu sein und als Folge surfen sie dann auf Seiten, wo sie es anderenfalls auf dem Dienst-PC nicht tun würden.
Ich habe dir nichts in den Mund gelegt; was ich geschrieben habe kann hier jeder nachlesen. So viel Aufgeregtheit (aka "warnen") spricht für ein ... (na, lassen wir das) ... Ausweichmanöver, zum Beispiel für die immer noch ignorierte Tatsache, daß andere Programme (alle, die ich kenne) das richtig machen.
"Das letzte Argument" ist keineswegs an den Haaren herbei gezogen. Mozilla läßt die sicherheitsbewußten Benutzer im Regen stehen und das ist eine Schande und leider eine Tatsache, die sich auch mit Aufgeregtheit nicht weg diskutieren läßt. Daß Mozilla das Update von 3.0 zu 3.5 empfiehlt, weiß ich bis heute nicht durch FF / Mozilla selber, sondern nur durch heise. Fakt. Wenn ich durch Dritt-Informanten eine solche Information erhalte, brauche ich die Information durch Mozilla (zum Beispiel durch völlig unnötiges Starten mit Admin-Rechten) gar nicht mehr. Fakt. Die aktuelle Mozilla-Aktion betrifft ausschließlich unsicher konfigurierte Systeme. Fakt.
Man kann den MA nicht mehr kontrollieren - im positiven (Besuch von obskuren Seiten) wie im negativen Sinn.
Zitat von angelheartFür "Experimente" sollte man einen zweit Rechner nutzen
Alternativer Vorschlag (billiger, weniger Energiekosten, kein zusätzlicher Platzbedarf in Zimmer und auf dem Schreibtisch): Eine virtuelle Maschine, zum Beispiel mit Virtual Box. Der virtuelle Rechner ist eine in sich abgeschlossene Einheit und ein weiterer Vorteil: In virtuellen Maschinen kann man sogenannte Sicherungspunkte setzen, die den alten Zustand wiederherstellen, wenn etwas aus dem Ruder gelaufen ist (nicht nur Schad-Ware), einfacher und schneller als das Zurücksetzen per Image.
Wenn du, st1519, jetzt noch dazu geschrieben hättest, daß du im Falle eines Falles niemanden außer dich selber verantwortlich machen wirst, wäre das - mit Einschränkungen - in Ordnung. Der - von mir als rhetorisch verstandenen (OP war ein anderer) - Frage von bordraider schließe ich mich an. Und deswegen befürchte ich, daß im Falle des Falles dann doch gerade Mitglieder mit einer solchen Paßwortstrategie alle, nur nicht sich selber, als verantwortlich erklären werden.
Als Ergänzung: Meine Paßwörter entsprechen genau dem dargestellten Schema. Alles was ich mir zu merken habe ist die Tastenkombination Strg-Alt-A (für jeden Zugang mit separatem Paßwort), dazu ein einziges Masterpaßwort; dazu existiert eine Schlüsseldatei, ohne die mein Paßwortmanager keinen Zugriff auf seine Datenbank erlaubt. Nur ein Foren-Zugangspaßwort, das bereits bei der primitivsten Wörterbuchattacke ein offenes Buch ist, ist einfacher zu verwenden.
Nur auf Verdacht (ich verwende BitDefender nicht):
Noch einmal installieren und in den Optionen nach einer Möglichkeit suchen, die Toolbar zu entfernen.
Sofern ich dein Problem richtig verstanden habe, ist das kein Problem der eingeschränkten Rechte.
Mit den PulldownMenüs bei wieistmeineip meinst du vermutlich die Auswahl von Provider und Geschwindigkeit beim Speedtest? Um die zu ermöglichen, muß im Browser Javascript erlaubt sein. Deine Beschreibung läßt darauf schließen, daß im Admin-Konto (dessen Benutzer-Kontext du mit "RunAs" aufrufst), das sein eigenes FF-Profil verwendet, Javascript erlaubt ist, im Benutzerkonto beziehungsweise dessen FF-Profil dagegen nicht. Stelle das um - sicherer ist es, mit NoScript das Zulassen von Javascript selektiv vorzunehmen - und es wird funktionieren, wie hier (im eingeschränkten XP-Benutzerkonto) für dich getestet.
angelheart:
Nur damit wir uns nicht mißverstehen und Verwirrung entsteht: Ich hatte mit der Seitensuche die FF-Funktion gemeint, die mit Strg-F aufgerufen wird. Sorry für die Unklarheit.
spiess:
Ab dem Satz mit den vielen Fragezeichen bin ich völlig deiner Meinung.
Was den ersten Absatz betrifft: Niemand, der mich hier kennt, wird mich für einen MS-Advokaten halten. Dennoch, deine Vermutung halte ich für äußerst weit her geholt (und habe dergleichen auch noch an keiner Stelle gelesen). Der IE ist heute (vor Jahren sah das mal anders aus) ein Browser, dem man nicht nachsagen kann, daß er im Kern unsicher ist, wenn er regelmäßig mit Sicherheitsupdates gefüttert wird. Die Konfiguration des IE - wie überhaupt die Internet-Optionen - sind aber so designed, daß normal sterbliche Anwender keine Chance haben, sie wirklich sicher und sinnvoll einzustellen; dazu kommt, daß das ActiveX-Erweiterungssystem in seiner Konsequenz kaum noch zu überschauen ist. Das Hickhack, mit dem MS mit Killbits gerade Ende des letzten Monats zu retten versucht, was zu retten ist, zeigt, daß selbst deren Entwickler an die Grenzen ihrer Möglichkeiten stoßen; was sollen denn dann die Anwender für eine realistische Chance haben richtig zu agieren?
Zwischenbemerkung: Ganz allgemein ist mein Credo: Sicherheit ist nicht die Frage einer bestimmten Software, sondern ein Konzept. Zu diesem Konzept gehören auch bestimmte Absicherungen über geeignete Software, aber noch weit mehr. Unter anderem (um hier nicht zu weit auszugleiten) auch ein Oberflächen-Design, das nicht mehr Rätsel aufgibt und überflüssige Schwierigkeiten aufgibt, als gelöst werden. Die Internet-Optionen sind ein Negativ-Beispiel par excellence, wie man es falsch machen kann (und die fehlende Update-Information von Mozilla gerade auf sicher konfigurierten Systemen - siehe anderer Thread - zeigt, daß auch andere ihre Leichen im Keller haben).
Zurück zum Thema: Wenn eine Schad-Ware im Rechner Einzug gehalten hat, ist prinzipiell das Ausspähen von Informationen mit jedem Browser und mit jeder anderen Software - zum Beispiel Banking-Software - möglich. Womit wir wieder bei den richtigen Hinweisen in deinen folgenden Absätzen wären.
Doch, ich meinte genau das, was Simon verstanden hat.
Und der Anlaß für die Binsenweisheit war der Beitrag von st1519 - wie ich ja geschrieben hatte. Er hatte zwar von "ähnlichen" Paßwörtern geschrieben, aber dabei gleichzeitig gesagt, daß man auf Grund der Ähnlichkeit von einem auf andere Paßwörter schließen könne. In meiner Lesart heißt das, daß ein User, der solche Ähnlichkeiten verwendet, die Binsenweisheit noch nicht inhaliert hat - und deshalb für den sich daraus ergebenden Schaden selbst verantwortlich ist.
Es ist übrigens schon einige Zeit her, daß ich den letzten Report über das Paßwort-Verhalten gelesen habe, aber wenn ich den hier immer wieder (zumindest zwischen den Zeilen) feststellbaren eklatanten Mangel an Datensicherung als Bemessungsgrundlage nehme, was die Leute so dazu gelernt haben, so bleiben leider nur Änderungen im mikroskopischen Bereich übrig. Und deswegen bin mit bordraider völlig konform, daß solche "Binsenweisheiten" - die für die Masse gar keine Weisheiten überhaupt sind, sondern böhmische Dörfer - gar nicht oft genug wiederholt werden können. Der Topic und besagter Beitrag waren für mich Anlaß genug.
Wie ich bereits sagte - Windows ist das schnurz, Windows weiss das nicht.
Man kann Mozilla jetzt nicht auch noch aufbürden, erst herauszufinden, ob
User auch Admin irgendwo ist. Das einzige, was die machen könnten, wäre
eine Option "Nicht nochmal anzeigen".
Den Einwand verstehe ich nicht.
Wenn die Home-User der Standardfall für Mozilla-Kunden sind (dieser Einschätzung von bordraider hast du nicht widersprochen), was gibt es da noch heraus zu finden? Mozilla braucht auch nichts aufgebürdet zu werden, denn - du hast diesen Einwand konsequent ignoriert, aber die Tatsache existiert - andere Programme lösen das Problem ja auch - ohne jede Bürde.
Wie man den Hinweise umsetzt - Dialog oder automatisches Öffnen einer entsprechenden Webseite, wie es ja auch nach einem Programmupdate - und zwar für jeden Benutzer - gibt, ist zweitrangig. Erstrangig ist, daß ein Browser, der seinen Entwicklern zufolge den Anspruch hat, der sicherste der Welt zu sein, dabei aber die Benutzer eingeschränkter Konten völlig uninformiert darüber läßt, daß es eine neue Version (in den wenigsten Fällen sind es Feature-Updates, so gut wie immer Sicherheit-Updates), diesem Anspruch nicht gerecht wird. Mozilla trägt damit die Verantwortung dafür, daß diese Benutzer eine Version benutzen, die - gemäß den Meldungen, die Benutzer mit Admin-Rechten erhalten - ein Sicherheitsrisiko darstellt. Das ist eine Schande.
Nun ja, ich habe auch schon Leute kennen gelernt, die aus der Tatsache, daß es in Windows-Versionen der NT-Reihe eine dem DOS-Fenster ähnliche Kommandokonsole mit teilweise syntaktisch gleichen Befehlen gibt diese Windows-Versionen für verbessertes MS-DOS halten. Meinungen sind frei, aber mit falschen Vorstellungen kommt man kaum zum richtigen Ergebnis.
Ansonsten gilt hier: "Sie können ein gefährdetes System nicht säubern".
Ansonsten suche ich hier in den Beiträgen seit gestern den Bezug auf den Thread-Titel. Manchmal sieht man ja den Baum vor lauter Bäumen nicht, aber auch die Seitensuche von FF findet das Wort "banking" zum letzten Mal in den Links von Wawuschel vom 29. Juli.
