Update und surun

1. FF und Update-Info:
Eine alte Geschichte, hier immer wieder mal diskutiert (erst vor wenigen Tagen). Die Tatsache, daß eingeschränkte Benutzer nicht einmal eine Information über Updates bekommen, ist ein grober Design-Fehler von Mozilla und eine Ohrfeige in das Gesicht der eigenen Entwickler, die den Anspruch erheben, den sichersten Browser der Welt zu produzieren. Jedes andere mir bekannte Programm mit Update-Funktion kann das, auch Windows selber, nur die Mozilla-Programme nicht. Womit die augenblickliche Schaltung, allen 3.0-Usern ein Online-Update zu 3.5 anzubieten ausgerechnet für diejenigen, die ihr System sicher konfigurieren, in's Wasser fällt - wegen Ignoranz von Mozilla. Eine beschämende Bankrotterklärung! Die IE-Anhänger feixen sich eins.

Zitat von Rilli

Die einziges alternative wäre zur Zeit: Entweder Firefox in den Anwendungsdatenordner wie Googles Chrome es tut zu installieren oder den Firefoxordner mit Benutzerschreibrechten zu versehen.

Daß das unter Sicherheitsaspekten völlig indiskutabel ist, hast du selber schon geschrieben. Es würde auch noch weitere Probleme hervorrufen.
Aber vor allen Dingen: Höchstwahrscheinlich (die Einschränkung mache ich, weil ich es nicht getestet habe und wegen der Fehlerhaftigkeit der Methode im Ansatz nicht testen werde) wird es nichts bringen. Ich bezweifle nämlich, daß FF einfach nachguckt, ob er auf seine eigenen Programmdateien Schreibrechte hat. Vielmehr gehe ich davon aus, daß er das sogenannte Benutzer-Token (einfach ausgedrückt: das Kennzeichen) überprüft und feststellt, daß der Benutzer eingeschränkte Rechte hat. So wird es also nicht gehen.

Es gibt folgende Lösungsmöglichkeiten (die genau genommen jedoch nur Workarounds sind).

Lösung 1 (die ich benutze): Ich habe die Sicherheits-Feeds von heise abonniert. Damit bekomme ich täglich alle Informationen unter anderem über Sicherheits-Updates. Da solche Updates nicht nur für FF wichtig sind (Stichworte: Flash, PDF-Reader, Windows, ...) ist diese Information nicht nur für den Browser relevant. (Die aktuelle Update-Kampagne für den Fuchs habe ich zum Beispiel zuerst darüber erfahren.) Gerade die Mozilla-Produkte sind hier mit aktuellen und regelmäßigen Informationen gut gepflegt.

Lösung 2: Du könntest - wie du geschrieben hast - regelmäßig den Fuchs mit administrativen Rechten starten und würdest dann entweder die Information automatisch erhalten oder die besagte Menüoption wäre aktiv. Wenn du das tust, solltest du allerdings FF nicht als SuRunner starten, sondern mit "Ausführen als" über den Benutzerkontext deines Admin-Kontos. Grund: Als SuRunner würdest du das gleiche Profil verwenden, mit dem du täglich arbeitest; daraus ergeben sich 2 Probleme: Erstens ein Sicherheitsproblem, falls du beim Start des FF die letzte Sitzung wiederherstellen läßt. Sollte eine der Seiten kompromittiert sein, so hätte die nun eine Verbindung zu dem administrativ laufenden Fuchs. Denkbar wären auch Sicherheitslücken durch Erweiterungen, die ja vom Benutzer (also ohne administrative Rechte) installiert werden und beim SuRunner-Lauf plötzlich in einem administrativ laufenden Browser arbeiten würden. Zweitens aus technischen Gründen: Sollte beim als SuRunner gestarteten Fuchs eine Datei im Profil hinzugefügt werden, so würden beim späteren normalen Ausführen des Fuchs Profilprobleme entstehen, weil diese Datei eventuell nicht mehr änderbar oder löschbar ist. Über "Ausführen als" verwendest du ein eigenes Profil (das des Admins) und beide genannten Probleme sind außen vor.

Übrigens empfehle ich, das Update immer nach dem tatsächlichen Wechsel in das Admin-Konto auszuführen (Lösung 2 also nur als Update-Check zu verwenden). Unregelmäßig und nicht reproduzierbar, aber leider vereinzelt gibt es ansonsten immer wieder mal Probleme bei der "Ausführen als"-Methode. Wer auch immer daran Schuld hat, ich würde das Risiko nicht eingehen. Das Update auf den Abend oder den nächsten Morgen zu verschieben ist kein ernsthaftes Problem (zumal das eingeschränkte Konto den wirksamsten Schutz darstellt, den es überhaupt gibt).

Eine Benachrichtigung benötigt keine erhöhten Rechte. Wir hatten erst vor wenigen Tagen einen Thread mit derselben Thematik und dort habe ich mehrere Programme, die das ganz selbstverständlich machen - teilweise ebenfalls OpenSource und Multiplattform - namentlich aufgezählt. (Womit der Beweis der Machbarkeit existiert, wenn es dessen überhaupt bedürfte.)

Und weil es eben nicht durcheinander gebracht ist, sondern Mozilla hier einen kapitalen Bock - auch die Sicherheit betreffend - geschossen hat, wiederhole ich es: Es ist ein Mozilla-typischer grober Design-Fehler auf Grund von Ignoranz gegenüber dem Sicherheitsaspekt, sowohl ohne erhöhte Rechte zu arbeiten (nicht nur, aber nicht zuletzt zu browsen) und stets die aktuellste Softwareversion (nicht nur, aber insbesondere bei Sicherheits-relevanten Programmen wie Browser und E-Mail-Client) einzusetzen; letzteres macht logischerweise die zeitnahe und unaufwendige Information des Anwenders erforderlich.

Wo ich das gefordert haben soll, was du mir unterstellst, solltest du erst einmal per Textstelle belegen, bevor du so etwas schreibst. Es würde dich allerdings vor eine unlösbare Aufgabe stellen.

Gebetsmühlenartig:
Ubiquity + http://boardraider-ubiquity-commands.googlecode.com/svn/trunk/fx-update-scanner.html

Zitat von dir aus https://www.camp-firefox.de/forum/viewtopi…ew=unread#wrap:

Zitat

In Ergänzung dazu: man sollte das System auch unter Sicherheitsaspekten sinnvoll konfigurieren. Globale Admin-Rechte sind entsprechen diesem Kredo nicht.

Zitat von Cosmo

mehrere Programme, die das ganz selbstverständlich machen - teilweise ebenfalls OpenSource und Multiplattform - namentlich aufgezählt.

Das ist schön, ich lasse aber keine automatischen Updates zu (wäre ja noch schöner, wenn jeder - weil mit Administratorenrechte ausgestattet - auf meinen Rechner zugreifen kann). Ich halte - entschuldige - das Gefasel nur mit eingeschränkten Benutzerrechten in's Internet zu gehen, für nicht sehr praktikabel und umständlich. Wie weit soll man eigentlich noch gehen um einen besseren und "vorgegaukelten" Schutz vorzutäuschen?!

Ich bin hier seit Jahren mit Administratorenrechten unterwegs. Habe ich einfach nur Glück gehabt?

Selbstverständlich wird hier sicherheitsmäßig immer alles auf den neuesten Stand gebracht.

Quelle: Global Associate

Zitat von Global Associate

ich lasse aber keine automatischen Updates zu
[...]
Selbstverständlich wird hier sicherheitsmäßig immer alles auf den neuesten Stand gebracht.

Und wie lässt du dich dann über sämtliche notwendigen Aktualisierungen auf dem Laufenden halten? Zudem verstehe ich nicht ganz, warum du dem Updatemechanismus misstraust, aber dem Programm selbst nicht?

Zitat

Ich halte - entschuldige - das Gefasel nur mit eingeschränkten Benutzerrechten in's Internet zu gehen, für nicht sehr praktikabel und umständlich.

Weil du es von Microsoft und Konsorten als Privatanwender nicht anders gelernt hast.

Zitat

Wie weit soll man eigentlich noch gehen um einen besseren und "vorgegaukelten" Schutz vorzutäuschen?!

Im Gegensatz zu anderen Maßnahmen handelt es sich dabei nicht um einen vorgegaukelten Schutz.

Vorab, ich lasse auch keine automatischen Updates zu. Ich schrieb darüber, daß ich von den betreffenden Programmen die Information und das Angebot erhalte, nicht daß ich das Angebot zulasse.

Zitat von Global Associate

Ich bin hier seit Jahren mit Administratorenrechten unterwegs. Habe ich einfach nur Glück gehabt?

Ob Glück oder ein anderer Umstand, wer soll das außer dir selber beantworten? Du wirst aber aus dieser Tatsache doch wohl nicht die Behauptung ableiten wollen, daß Schad-Ware nicht oder nur marginal am Rande existiert. Millionen von kompromittierten Rechnern sprechen eine deutliche Sprache. man braucht sich nur einmal in den einschlägigen Boards kilometerlange HijackThis-Logs anzusehen, dann erkennt man auch sofort, wo der Hund begraben ist: Nur durch administrative Rechte waren diese Rechner zu infizieren.

Zitat von Global Associate

Ich halte - entschuldige - das Gefasel nur mit eingeschränkten Benutzerrechten in's Internet zu gehen, für nicht sehr praktikabel und umständlich.

Der Begriff "Gefasel" - Entschuldigung akzeptiert - macht klar (wenn es nicht auch noch den oben zitierten Satz von dir gäbe), daß du keine eigene Erfahrung damit hast. Wovon schreibst du also? Von Hörensagen? Darüber kann man gar nicht diskutieren und noch weniger etwas beurteilen.

Ich arbeite mit den Rechnern hier seit Jahren ausschließlich im eingeschränkten Konto (solange ich nicht tatsächlich etwas zu administrieren habe), und ich sage dir aus meiner tagtäglichen Erfahrung, daß es keineswegs umständlich ist. Ich verwende den Browser - egal welchen - im eingeschränkten Konto genauso umfassend wie du, einzig und allein Online-Updates - und das ist eine administrative, aber keineswegs alltägliche Tätigkeit - erfolgen im Admin-Konto. Was anderes, was du am Browser machst, meinst du wäre im eingeschränkten Konto unmöglich oder auch nur umständlicher? Nennen ein einziges Beispiel, dann können wir darüber diskutieren. Solange du das nicht benennen kannst, ist es ein Vorurteil, und Vorurteile sind das Gegenteil von Beurteilung.

Zitat von Global Associate

Wie weit soll man eigentlich noch gehen um einen besseren und "vorgegaukelten" Schutz vorzutäuschen?!

Das letzte Wort ist entlarvend. Denn - mit Verlaub - du scheinst das Grundprinzip nicht verstanden zu haben oder dich falsch ausgedrückt. Die Rechtetrennung bedeutet, daß keine Software - inklusive wie auch immer eingedrungener Schad-Ware (du dringt wie gesagt im tatsächlichen Leben millionenfach ein) - in der Lage ist, im System Änderungen durchzuführen, weder im Dateisystem noch in der Registrierung. Getrennte Rechte schlägt die Schad-Ware an ihrem schwächsten Punkt, nämlich der Notwendigkeit, irgendwo gespeichert und automatisch (in der Regel zumindest, wenn der Autor es nicht darauf ankommen läßt, den dummen Nutzer irgendwie zu "überreden", das zu tun) ausgeführt zu werden. Speichern geht auch im eingeschränkten Konto, aber nicht das vielfach angewendete Speichern in den Untiefen der System- und Programmordner (wo EXEn sich nun mal typischerweise befinden und wo man deswegen Schad-EXEn effektiv verstecken kann) und schon gar nicht dadurch, daß lebensnotwendige System-Dateien modifiziert werden, wodurch möglicherweise durch das Löschen des Virus - sofern er sich überhaupt löschen läßt - das ganze System stirbt. Der Schutz gegen solche Angriffe ist kein Gaukeln und Herumdoktoren an den Symptomen, sondern kausale Schadensbekämpfung und -verhinderung, effektiver als jede AV, AntiSpyware oder gar HIPS-Software das jemals könnte.

Quelle: Brummelchen

Zitat von Brummelchen

Richtig, aber genau das forderst du von Mozilla, das aufzuheben.

Nein, die Forderung bezieht sich allein auf die Benachrichtigung und die Updateprüfung. Dass beides möglich ist mit beschränkten Rechten zeigt das Ubiquity-Skript. Zu Unterscheiden ist dies vom Einspielen des Updates.

Mozilla sieht das als konsequent an. Aber im Home-User-Bereich ist das streitbar. Ich teile die Ansicht von Cosmo und empfinde die Einstellung von Mozilla an der Stelle als beschämend.
Unter Linux besteht das Problem in identischer Weise. Allerdings hängt es davon ab, welchen Fx man dort verwendet. Nutzt man den der Distribution, dann wird dieser darüber automatisch aktualisiert und man braucht sich darum nicht kümmern.

Das Skript findet sich hier:
https://www.camp-firefox.de/forum/viewtopi…=584739#p584739
Ich habe es geschrieben um genau das angesprochene Problem zu umgehen. Beim Browserstart prüft es einfach, ob es eine neue Version gibt und benachrichtigt den User. Mehr nicht. Das Update muss er dann selbst einspielen und sich ggf. die notwendigen Rechte im System verschaffen.

Zitat

Soweit ich mich erinnere, wird das dann aber im Rahmen der Distri-Updates gesendet und nicht über Firefox selbst!?

Ja, wenn man den Fx der Distri verwendet. Wenn man den von Mozilla nutzt, dann hat man die selbe Problematik wie unter Windows.

Zitat

Also warum ein Hinweis, wenn man eh nichts machen kann, sondern den Admin damit löchern muss?

Wir sprechen hier von Home-Usern. Die sind ihr eigener Admin, das ist also nicht egal. In Firmen-Umgebungen ist das anders. Dort würde kein Admin wollen, dass die User über Updates informiert werden. Mozilla rekrutiert den großen Teil der Nutzerbasis allerdings aus dem Home-User-Bereich und die lässt man damit im Regen stehen.

Zitat von Brummelchen

Richtig, aber genau das forderst du von Mozilla, das aufzuheben.

1. Was die Zitatstelle mit deinem folgenden Satz zu tun haben soll, ist mir unerfindlich.

2. Siehe mein Post vom 17.8.12:51: Ich fordere das nicht, egal wie oft du das wiederholst. Alleine der erste, fett geschrieben Satz in der Antwort an dich unmittelbar unter deinem gleich lautenden vorangegangenen Vorwurf hätte das klar machen sollen. Noch einmal werde ich das nicht ausführen, so kommen wir nicht weiter. Zumindest den ersten Satz einer Antwort unmittelbar auf deinen eigenen Beitrag solltest du trotz "langen Texten" (der bezog sich auf Global Associate") wahrnehmen.

Übrigens war schon beim ersten Mal dein Vorwurf an der Sache vorbei. Ich hatte den Beitrag, auf den du dich dort bezogen hattest, mit der Einleitung "FF und Update-Info:" begonnen und in dem Satz, den du am 16. um 21:04 zitiert hattest (damit unterstelle ich, daß du ihn auch gelesen hattest) steht klar und deutsch: "... Information über Updates ...". Wenn ich den Begriff "Info / Information" in den ersten 2 1/2 Zeilen eines Beitrages gleich zweimal verwende, einmal in einer Art Überschrift mit Doppelpunkt, dann ist meine Erwartung, daß das unmißverständlich klar ausgedrückt sein sollte; zumindest fällt mir nichts mehr ein, wie man das klarer machen könnte.