Re: Sicheres Surfen im Internet

[Thomas Numberger <navigate _at__ machno.hbi-stuttgart.de>]

Hallo,

On Thu, 4 May 2000, Bernd-Christoph Kaemper wrote:

> nur ein kurzer Kommentar zu der Liste von Thomas Numberger (oder
> eher eine Aufforderung, das hier wieder zu kommentieren, weil ich
> schliesslich kein EDV-Spezialist bin):

Ich muss zu meiner 1. Mail ergaenzen, dass diese Tipps primaer fuer
unerfahrene User ohne grossartige EDV-Kenntnisse gedacht 
waren. Natuerlich ist mir bekannt, dass man alle diese 
Sicherheitloecher mit entsprechenden EDV-Kenntnissen auch 
differenzierter stopfen kann. Diese komplexen technischen Ratschlaege
nuetzen den Durchschnitts-User aber wenig, der will nur einfache und
schnelle Tipps die seinen Rechner sicherer machen.


> Leider läßt sich der gute Rat 2) selten befolgen, wenn man Rat
> 4) folgt (nur Software bei den großen Firmen herunterzuladen). Oder
> ist mein Eindruck falsch? (Zumindest sollte man dann Microsoft
> tunlichst meiden.)

Nun ja, wenn Sie Software von Microsoft verwenden, dann benoetigen Sie
schliesslich ja auch keine Viren mehr um Ihren Rechner zum Absturz zu
bringen. ;-)


> Zu Rat 4): Das Internet waere nicht das, was es heute ist, wenn alle
> diesen Rat befolgen wuerden. Welche grossen Firmen bieten Software
> unter GNU Public License?

Ok, Punkt 4) muss ich revidieren, damit war vor allem Software fuer
Windows gemeint. Linux-Software die der GNU unterliegt ist damit
natuerlich nicht gemeint, da sie dort ja auch vor dem Kompilieren in
den Quellcode reinschauen koennen. Nur gehe ich davon aus, dass User
die GNU-Software runterladen, kompilieren und installieren, ohnehin
genuegend EDV-Wissen besitzen um Sicherheitsloecher anderst zu
stopfen. Wie gesagt, meine Mail bezog sich hauptsaechlich auf
unerfahrene Anwender die mit Windows-Betriebssystemen arbeiten.


> Zu Rat 5) Was einfach und was komplex ist, waere wohl auch noch zu
> definieren. Z.B. ist man mit Pegasus wohl eher auf der sicheren 
> Seite, aber es handelt sich um ein durchaus komplexes Programm (im
> Sinne einer hohen Konfigurierbarkeit, Flexibilitaet etc.).

Pegasus laeuft uebrigens groesstenteils mit Runtime-Librarys von 
Windows und VisualBasic, was es auch nicht unbedingt weniger anfaellig
fuer Viren oder MS-Betriebssysteme macht. ;-)


> Zu Rat 6) Was das Verschicken von Dokumenten angeht, gibt es 
> sicherlich geeignetere Formate als Word-Dateien, mal unabhaengig von
> der Sicherheitsproblematik. In vielen Faellen waeren rtf-Dateien
> sicher voellig ausreichend. Aber eine virusverseuchte Datei wird
> doch nicht sicherer, wenn ich sie per Diskette verschicke, oder?

Aber per Diskette erreicht der Virus meist weniger Anwenderrechner und
viel langsamer sein Ziel. (Verschicken Sie mal ein mit Macrovirus
verseuchtes Worddokument an 10-20 grosse Mailinglisten und warten Sie 
ab wie viele Anwender es ueberhaupt bemerken.) Per Email koennen Sie,
bei entsprechender Verteilersoftware, mehrere Millionen Mailboxen in
nur wenigen Sekunden mit Viren auffuellen. (So schnell und effizient
ist kein anderes Medium.)


> Und Microsoft hat auch schon auf CDs Viren gebrannt...

Klar, Viren wird man nie vollstaendig verhindern koennen. Trotzdem
sollte man sie so gut wie moeglich bekaempfen.


> Ich hielte es fuer wichtiger, die Anwender dazu zu bringen, Dateien 
> vor dem Verschicken bzw. beim Empfangen routinemaessig auf Viren zu
> pruefen (diese Funktionalitaet laesst sich ja auch in
> e-mail-Programme integrieren).

Klar, das waere schon ein Fortschritt.
Gegen den "I love you" und den HBSC-Hack haette das aber nichts 
genutzt, da in beiden Faellen die Dateien ja von unserioesen
Versendern kommen, die als Virenversender kein Interesse an einem
Virencheck vor Versand haben.


> zu Rat 3) Ist in dieser Form wohl kaum praktikabel, es sei denn fuer
> Nutzer, die auf das Internet auch gleich ganz verzichten koennen
> (das ist am sichersten). Die Benutzer unseres regionalen
> Datenbankservices ReDI muessten dann leider auf unseren Service
> verzichten.

Also, wer eine Website baut, die nur mit den Browsern der absolut
neuesten Generation benutzbar ist, ist meines Erachtens schon ganz
schoen ignorant. Es gibt nach wie vor sehr viele Anwender die, aus
verschiedensten Gruenden, nicht staendig den neuesten Browser
verwenden koennen. Grundsaetzlich muss ein gutes Internetangebot immer
so gebaut sein, dass es mit normaler bis leicht veralteter Software
und ohne Download von Zusatzkomponenten benutzbar ist. Gerade als
Bibliothekar sollte man wissen, dass der Inhalt immer noch wichtiger
als die technische Umsetzung ist.
"Nein, dieses Buch kann einfach nicht gut sein. Das gibt es naemlich
nur als Taschenbuch und nicht anstaendig gebunden."


> Dass solche Funktionalitaet aber in vielen Faellen unverzichtbar
> ist,

Falsch. Fakt ist, es gibt keinerlei Anlass fuer dynamische Webseiten
irgendwelche aktiven Komponenten auf dem Rechner den Besuchers
ausfuehren zu lassen. All dies ist auch immer auf dem Server
(z.B. mittels CGI, PHP, ASP) moeglich. Dadurch verschiebt sich die
Sicherheitsproblematik dann natuerlich wieder zurueck auf meinen
Server. Nur sollte ich als verantwortungsbewusster Webadmin nicht nur
an das Wohl meines Server und an die tollen Designmoeglichkeiten der
neuen Internettechnologien denken, sondern auch ein wenig die
Sicherheit meiner Besucher im Auge behalten. (Die koennen sich gegen
Sicherheitsprobleme naemlich noch schlechter verteidigen, als ich.)


> weiss auch das BSI. Es gibt daher auch nicht diesen Rat in dieser
> verkuerzten Form, sondern macht sehr viel differenziertere
> Vorschlaege, nachzulesen unter http://www.bsi.bund.de/sinet1.htm

Ja, sehr empfehlenwert fuer EDV-Spezialisten, aber die wissen sich
auch ohne BSI zu helfen. Dem normalen Durchschnittsuser nuetzen solche
umfangreichen und teilweise recht komplexen Erlaeuterungen allerdings
recht wenig.
Deshalb meine sehr verkuerzte und "idiotensicheren" Tipps. Aber klar,
echte EDV-Gurus loesen diese Probleme natuerlich differenzierter.


bye and logout
---------------------------------------------------------------
Thomas 'navigate' Numberger
Webmaster, Systemadmin, Linux- und Internetspezialist seit 1994
Filmemacher, AVID-Cutter, Kameramann, Fotograf, Medienkuenstler
navigate _at__ machno.hbi-stuttgart.de       navigate _at__ CyberJunkie.com
http://Thomas.Numberger.dhs.org  http://machno.hbi-stuttgart.de