title image


Smiley Re: Zwischenfrage
Du sprichst den Alptraum aller Admins an. Den Verkehr von innen nach aussen SICHER zu kontrollieren, ist ein fast aussichtsloser Kampf - da helfen auch 10 Paketfilter nicht -> das Problem des Tunnels über erlaubte Protokolle.



Prinzipiell geht das Sicherheitskonzept davon aus, daß das interne LAN eine "Trusted Zone" (vertrauenswürdige Zone) ist. Das heisst konkret, das genau der Policy folgend (den Regeln folgend) nur Software zum Einsatz kommt, welche vertrauenswürdig ist. Das heisst, man wählt Software aus (oder Software von Firmen), denen man vertrauen kann. Bei den Produkten wird recht schnell klar, was telephoniert und was nicht - es herrscht ein gewisser Druck auf die Hersteller, doch bitte offen und ehrlich mit dem Nutzer umzugehen. Die meisten "legalen" Homephoneaktivitäten sind automatische Updates und Aktivierungen von Software. Meist lässt sich sowas in der Sofware selbst deaktivieren. Es stellt im Prinzip keine Gefahr dar. Hat man kein Vertrauen in die Software, darf man diese im Umkehrschluss auch nicht einsetzen - das ist konsequent.



Nun versucht aber Otto-Normal-User das Unmögliche - im Irrglauben, er könnte Schädlinge (nicht die reguläre Software, wie wir oben festgestellt haben, können wir dieser vertrauen) vom Spionieren abhalten, installiert er sich noch mehr Software in Form einer Personalfirewall.



Vorweg: Es kann funktionieren, macht aber wenig Sinn.



Warum?



Das Sicherheitskonzept muss so beschaffen sein, das erst gar keine Malware auf die Kiste kommt (das klappt auch). Was sollte man also am Telephonieren hintern wenn gar nix gefährliches da ist (Keylogger, Spammailserver, ect pp)?

Zum zweiten ist die Kiste nach Befall sowieso platt zu machen, danach telephoniert auch nix mehr.



Dann das Handling ist höchst fragwürdig.



Da fragt die Software, ob Prozess XY auf das Internet zugreifen darf. Spätestens beim 5mal wird der User schwach und gibt nach. Was er da freigegeben hat, weiss er meist garnicht, da ihm die Netzwerkfunktionalität und Prozesse unbekannt sind. Sperrt er was Falsches, geht die Hälfte nicht mehr - dann doch lieber alles erlauben? Wo liegt der Sinn, was zu benutzen, was ich im Grunde weder verstehe noch bedienen kann?



Und immer wieder werden Personalfirewall umgangen. Es genügt EIN "Proof of Conzept" (eine Konzept-Vorlage, ein beispielhafter Code) um den Schutz zu knacken (diesen Proof erstellen meist Hacker um die Sicherheitslücke aufzuzeigen und veröffentlichen diesen).

Nun führen manche Leute ins Feld, daß ja eigentlich nur was "konstruiert" wurde (nämlich dieser beispielhafte Code), um die PFW auszuhebeln - frei nach dem Motte "Aber das gilt nicht!". Denkste. Wenn schon ein Mensch so schlau war die PFW zu umgehen, dann wird es gewiss auch ein zweiter Mensch mit bösen Absichten sein - und diese Art von Malware kommt dann halt 3 Tage später die genau die Lücke aus dem Proof ausnutzt (wenn sie nicht schon eher da war, wie die wmf-Lücke beweisst).



Dies ist unvereinbar mit dem Sicherheitsgedanken. Sicherheit ist binär - das heisst konkret, entweder schützt eine Massnahme vor einem Zenario (Bedrohungszenario) 100%ig oder halt nicht (Vor je mehr Zenarien man sich schützen kann, um so "sicherer" ist man. Man kann sich aber nicht vor allen möglichen Zenarien schützen, z.Bsp. ist ein Schutz vor unbekannten Bedrohungen nicht möglich - daher gibts keine 100%ige allg. Sicherheit). Ich muss damit kalkulieren können, das ist sehr wichtig. Versicherungen arbeiten genauso - lies Dir mal die Police durch ;-)

Im konkreten Fall des Heimtelephonierens (Zenario "unerlaubte Kommunikation von innen nach aussen") ist diese 100%ige Sicherheit durch "nur" eine PFW NICHT gegeben - ich kann mich also nicht darauf verlassen, daß die PFW WIRKLICH jeglichen unerlaubten Traffik abfängt. Sie wird zwar was blockieren, aber wieviel durchkommt, ist unbekannt. Damit sind wir wieder beim Verhalten - da ich nicht weiss, ob die PFW jeglichen Verkehr blockt, muss ich davon ausgehen, daß sie genau das Gegenteil tut, also garnichts blockt (worst case - der schlimmste Fall). Ich muss mich also weiterhin so verhalten, als wäre die PFW nicht da.



Aber die Entscheidung muss jeder für sich treffen. Ich kann hier nur die streng logische Argumentation liefern - nicht jeder will oder kann dieser folgen. Manche befürchten einen Kontrollverlust aber ist Malware auf der Kiste ist dieser Verlust sowieso da - mit oder ohne PFW. Evt. ist es wirklich das wohlige Bauchgefühl, irgendwas für seine Sicherheit zu tun - dies kann sehr wichtig sein aber auch dann noch bitte klar denken *gg* (Thema: Scheinsicherheit/Risikokompensation).



Es wird meist der Eindruck erweckt, das wir fanatische PFW-Gegner sind. Sagen wir mal so, wir kennen genug vermurkste Kisten durch genau diese Art von Software.

Den Herstellern machen wir den Vorwurf, nicht genügend Aufklärung zu liefern - daß müssen wir hier leisten. Ich unterstelle noch nicht mal Böswilligkeit - man will gewiss den unbedarften User helfen bzw. ein Werkzeug in die Hand geben - aber ich denke, das geht am Ziel vorbei.



Michael


--
Danke im voraus! - Bitte, verehrte Hilfesuchende, bedankt euch NACH erfolgter Hilfe mit einem kurzem Statement, ob der Tipp auch geholfen hat. Keiner weiß sonst, ob der Tipp "gewirkt" hat und es ist auch unhöflich, sich DANACH nicht zu bedanken.
Daher ist die Floskel "Danke im voraus!" auch völlig überflüssig.
--

geschrieben von

Login

E-Mail:
  

Passwort:
  

Beitrag anfügen

Symbol:
 
 
 
 
 
 
 
 
 
 
 
 
 

Überschrift: