ITSicherheit: Browsersicherheit / Home
 
Allgemein
Netscape Navigator
Microsoft Internet exxplo. IE
Quellen
 
Werbung
 
Allgemein
Worum geht's?

Inzwischen nehmen die Meldungen über die mangelnde Sicherheit in Browsern von Tag zu Tag zu. Es scheint so, dass die Versionsnummer der Browser den Exponenten zur steigenden Zahl der Sicherheitsprobleme angibt. Das liegt sicherlich daran, dass mit jeder neuen Version immer bessere Features für den User eingebaut werden, um das Handling zu vereinfachen. Die Komplexibilität der Browser von den Versionen 1 und 2 zu den Versionen 3, 4 bzw. 5 ist extrem angewachsen. Ich bin selber Softwareentwickler und weiß, dass Projekte mit wachsenden Umfang auch Programmierfehler zur Folge haben, die kein Entwickler vermeiden kann.

In diesem Fall sind die führenden Hersteller der Browsersoftware (Netscape und Microsoft) mit ihren Fehlern unter den Spitzenreitern. Gerade Microsoft (Securityinfos/extern) hat mit den ActiveX-Elementen (lokal) und Netscape (Securityinfos/extern) mit den Java-Elementen (lokal) die Sicherheitslücken erst richtig ermöglicht.

Aufgrund der steigenden Zahl von Sicherheitsfehlern in der Browsersoftware könnte man geneigt sein zu sagen, verwendet diese nicht mehr bzw. deaktiviert alle ActiveX, Java und JavaScriptfunktionen. Dann habt Ihr aber sicher in Zukunft ein Problem auf vielen Internetseiten (inklusive meiner) in der Darstellung. Zukunft lässt sich nicht boykottieren!!! Wir müssen lernen damit zu leben und es gehört auch ein bisschen Hoffnung dazu, dass es uns nicht trifft.

Was kann uns überhaupt treffen?

Wenn Du irgendeine Webseite im Internet besuchst, kann der Seitenanbieter schon unzählige Informationen aus Deinem Besuch bekommen. Dazu haben wir schon eine Beispielseite (lokal) erstellt, wo ihr selber ein paar Infos sehen könnt, die normalerweise der Seitenanbieter auswerten kann. In diesem Fall sind nicht mal wir selber der Betreiber vom Webserver. Ansonsten ständen uns noch unzählige Statistikdaten zur Verfügung, die wir leider nur in einem sehr beschränkten Rahmen auf der HomePage (unten) für euch sichtbar machen können. Ferner sind wir bestimmt nicht gerade die fähigsten Hacker und/oder Cracker, die mit viel Phantasie und Zeit wirklich bedeutend mehr rausbekommen. Es sei an dieser Stelle noch erwähnt, dass inzwischen die Entwicklertools für Hacker so einfach geworden sind, dass jeder Hobbyhacker schon beträchtlichen Schaden anrichten kann (s. auch Newsticker).

Kurz gesagt können "böse" Seitenanbieter je nach Browser und Fehler oder durch den Abruf der EMail eines Bösewichtes (ist das richtig geschrieben?) folgende Gemeinheiten durchführen:

  • Dich zur unerwünschten, ungesicherten Übertragung Deiner Daten (z. B. Kreditkartennummer) veranlassen - ohne das Du es merkst!
  • Dateien und Verzeichnisse auf Deinem Rechner einlesen und auch auslesen (ggf. auch Passwortdateien (z. B. SAM-Files)
  • Deine Internet- und /oder Rechnernutzung mitprotokollieren, um so ein Profil von Dir zu erhalten und ggf. für Werbung zu missbrauchen
  • Deine gesamte Rechnerkonfiguration auslesen (Microsoft ist damit bekannt geworden) - siehe auch Registryangriffe.
  • Dateien auf Deinem Rechner manipulieren, so dass dieser nicht mehr korrekt läuft oder sogar unbrauchbar wird. (z. B. durch Viren)
  • Durch Deine IPAdresse und Computernamen (siehe auch JavaScript-UserInfo) direkt über das normale Netzwerkprotokoll auf Deinen Rechner zugreifen. (siehe auch Netzwerkangriffe)
Kann ich den etwas dagegen tun?

Im Prinzip nicht viel - Willst Du etwas mehr Sicherheit haben, dann müsstest Du auf alle modernen Browserprogramme verzichten bzw. die aktiven Funktionen (s. Tabelle unten) deaktivieren. Am besten wäre es, wenn Du mit dem Netscape Navigator 1.0 oder den Microsoft Internetexxplo. 1.0 in Internet gehst. Nur wie sehen dann die Seiten aus? - Das geht nun wirklich nicht mehr!!! (PS. Nicht mal mehr auf unserer Seite!)

Ansonsten verbleiben Dir höchstens noch folgende Möglichkeiten:

  • Vor dem Übertragen Deiner persönlichen Daten in Formularen (z. B. OnlineBanking, elektronische Bestellungen, Passwörter, etc.) solltest Du nur ein einziges WWW-Fenster geöffnet haben. Sofern schon zuvor mehrer Fenster geöffnet waren, dann schließe bitte die gesamte Browsersoftware und starte ein Fenster neu!
  • Schau Dir mal die Sicherheitshinweise der Hersteller an. (z. B. Netscape , Microsoft , Sun  usw.)
  • Deaktiviere ggf. sicherheitsrelevante Komponenten in Deinem Browser
 
Speichere keine Passwörter ab
Deaktiviere ActiveX (ist heute noch möglich)
Deaktiviere JavaScript (dann läuft nur nicht mehr sehr viel)
Deaktiviere VBScript (keine Ahnung wie häufig das schon verwendet wird und wie dann die Seiten aussehen)
Schalte beim IE die Sicherheitsoption »Einfügeoperationen über ein Skript zulassen« aus
Deaktiviere Java (ist heute eigentlich auch noch möglich - nur wie lange noch?)
Installiere keine PlugIns (dann wird's wohl in Zukunft etwas schwierig mit Musik und Videos im Internet)
Deaktiviere Cookies (heute will jeder und alles Cookies setzten - ich glaube, dass man das nicht mehr deaktivieren kann)
Schalte den lokalen Diskcache und Memorycache aus (das führt zu keiner Einschränkung - das Interneten wird halt nur etwas langsamer)
Schalte alle verfügbaren Warnmeldungen ein (dann bist Du zu 50% der Zeit nur noch Massageboxen am wegclicken. Wenn Du Dir die alle durchlesen willst, freut sich die Telekom)
Falls Du doch auf Nummer sicher gehen willst, solltest Du evtl. auf alte bzw. andere Browser umsteigen. Dafür kannst Du Dir aus unten stehender Liste einige aussuchen. 
Browser (Download) Server Sicherheitsprobleme?
Opera Version 3 Opera nicht bekannt
Amaya Version 1 WWW-Konsortium nicht bekannt
Lynx Version 2 FTP Uni Magdeburg nicht bekannt
Netscape Navigator Version 1 FTP-Server Uni Stuttgart nicht bekannt
Netscape Navigator Version 2 FTP-Server Uni Paderborn stellenweise
Netscape Navigator Version 3 FTP-Server UNI Paderborn stellenweise
Sun Microsystems HotJava Version 1 Sun Microsystems stellenweise
Am besten gehe ich doch gar nicht mehr ins Internet - oder?

Nein! Wenn man das so liest (auch von anderen Informationsgebern), dann schaudert es einem ganz schön. Wir wollen aber mal ernsthaft realistisch bleiben.

Wenn Du vor die Haustür gehst, besteht immer das Risiko, dass Du von einem Auto erwischt wirst oder der Himmel Dir auf den Kopf fällt. Im Haus kannst Du schon an einem Stromschlag während des Glühbirnenwechsels sterben oder einfach nur von der Leiter fallen. Genauso ist es im Internet. Wenn Du diese Welt betrittst besteht immer ein Risiko. Zum Glück wirst Du im Internet wohl daran nicht sterben aber es kann Dir viel Stress und Arbeit bereiten, an dem Du schließlich drauf gehst.

Die Zahl der User im Internet wächst stetig und damit reduziert sich die Gefahr, dass gerade DU ein Opfer wirst. Wie will ein Hacker ein paar Millionen User ausspähen. Klar - es gibt die Viren und ähnliche Gemeinheiten!!! Es gibt aber auch böse Nachbarn. Jeder sollte sich immer der Gefahren bewusst sein, aber deshalb den Kopf in den Sand stecken? Nicht mehr ins geliebte Internet? Nein - sicher nicht. Die Entwicklung geht weiter und jeder sollte in seinem Rahmen die Sicherheitsmöglichkeiten ausschöpfen. Der Eine schnallt sich halt an der Andere nicht!!! Noch sind wir hoffentlich freie Menschen, die selber (ohne Bevormundung) Verantwortung im Internet übernehmen können.

Wer alle Sicherheitsmaßnahmen beachtet, der hat wirklich keinen Spaß mehr am Surfen. Wir können in so einem Fall nur empfehlen:

Die Computer sind inzwischen so billig - wenn Ihr wirklich sensible Daten habt, dann schafft euch einen "nackten" PC nur fürs Interneten an. Nur das nötigste und keine privaten Dateien lagern.

 
Netscape Navigator
Wer kann mir sonst noch was zu den Sicherheitsproblemen von Netscape und/oder SUN sagen?
 
Weitere Infos (extern)
Laut einer Umfrage lassen Cookies ein Drittel der Surfer kalt!
Mehr als ein Drittel der Internetnutzer nimmt die Spionagegefahr beim Surfen offenbar nicht sehr ernst. Laut einer Onlineumfrage des Computer Channels (CC) schalten 33% der User die Cookiefunktion im Browser nicht aus. PS: Wir verwenden auf unseren Seiten auch Cookies, um euch ein besseres Surfen zu ermöglichen. Prinzipiell sind Cookies kein Sicherheitsrisiko. Mehr Infos... (Computer Channel)

In der folgenden Liste sind einige Links zu News festgehalten: 
JavaScript in Netscape 4 erlaubt Zugriff auf Deine Verzeichnisse, Caches und Konfigurationsdateien einschl. Passwörter.
Java von Sun und Netscape erlauben volle Kontrolle über Deinen Rechner
Java kann nun auf die Festplatte zugreifen
Netscape 4.0 bis einschl. 4.51 übertragen Daten von Deiner Festplatte an Dritte
Netscape und Microsoft übertragen teilweise Deine persönlichen Cookies an Dritte
Netscape 4.5 speichert alle Formulareingaben an öffentlicher Stelle ab
JavaScriptfehler im MS Internetexxplo.
JScript/VBScriptfehler in MS Internetexxplo. 4
Bei mehreren geöffneten Fenstern in Deinem Browser können die Inhalte eines Fensters die Inhalte des anderen Fenster modifizieren
JavaScriptfehler in Netscape 4 und falsche Anzeige, ob JavaScript eingeschaltet ist, in Netscape 4.5 und Programmfehler setzt Nutzereinstellungen auf unsichere Defaults zurück in Netscape 4
Programmfehler in Netscape 4.5 mit SSL (Security Socket Layer)
Spionage in Netscape ab Version 4.06?
Weitere Informationen gibt's auf den im Auftrag des Bundesministeriums für Wirtschaft und Technologie (BMWI) zusammengestellten WWW-Seiten zum Thema Sicherheit in der Informationsgesellschaft.

Was für Problems sind bis jetzt bekannt?

 
Komponenten Probleme
EMail (bis mind. Version 4.05) Angreifer können auf beliebige Dateien zugreifen und diese verändern oder zerstören (mit Viren infizieren), während Du eine EMail liest.

Quelle und Weitere Informationen:

http://browserwatch.internet.com/news/story/news-980727-7.html,

http://browserwatch.internet.com/news/story/news-980727-8.html,

Microsoft Security Bulletin (MS98-008), Netscape Security Note.

LiveConnect Bei einigen Versionen des Netscape Communicators können gemeine Menschen Deine Aktionen (Seitenaufrufe, Formulardaten, Cookies, usw.) ohne Dein Wissen verfolgen. Abhilfe schafft hier nur der Umstieg auf eine neuere Version.
JavaScript In vielen WWW-Browsern ist es möglich, Deine Aktionen (Seitenaufrufe, Formulardaten, Cookies, usw.) ohne Dein Wissen zu verfolgen. Sicherheit kannst Du hier nur durch das Deaktivieren Deines Javascripts schaffen.
NetscapeBrowser Bei den Versionen 2.x, 3.0, 3.01, etcl. 3.02 und 4.0 können WWWSeitenanbieter auf Dateien zugreifen, für die Du Leserechte besitzt. Der Dateiname muss dem Angreifer bekannt sein. Bei neueren Versionen tritt dieses Problem nicht mehr auf.
NetscapeBrowser Bei der Version 4.0 bis 4.04 kann eine WWWSeitenanbieter auf die Konfigurationsdatei von Netscape zugreifen und so z. B. in den Besitzt Deiner Emailadresse und anderer persönlicher Daten (ggf. auch das LoginPasswort) kommen.
NetscapeBrowser Bei der Version 4.0 bis 4.05 können via Java Bösewichte auf beliebige Dateien (für die Du Leserechte besitzt) zugreifen und damit ändern oder zerstören. Dieses Problem kann durch das deaktivieren von Java umgangen werden. 
NetscapeBrowser Für die Version 4.06 siehe bei http://www.heise.de/newsticker/data/ju-20.08.98-000/
NetscapeBrowser Für die Version 4.0 bis 4.07 siehe http://www.shout.net/~nothing/cache-cow/index.html und http://www.news.com/News/Item/0,4,26875,00.html?st.ne.fd.gif.e
 
Microsoft Internetexxplo. IE
Wer kann mir sonst noch was zu den Sicherheitsproblemen zum MS Internetexxplo. (IE) sagen?
 
Weitere Infos (extern)
Laut einer Umfrage lassen Cookies ein Drittel der Surfer kalt!
Mehr als ein Drittel der Internetnutzer nimmt die Spionagegefahr beim Surfen offenbar nicht sehr ernst. Laut einer Onlineumfrage des Computer Channels (CC) schalten 33% der User die Cookiefunktion im Browser nicht aus. PS: Wir verwenden auf unseren Seiten auch Cookies, um euch ein besseres Surfen zu ermöglichen. Prinzipiell sind Cookies kein Sicherheitsrisiko. Mehr Infos... (Computer Channel)
Der Service Pack 1 für Internet Explorer 5.5 ist da!
Das Service Pack 1 (SP 1) soll alle bislang erschienenen Sicherheits-Updates für die Windows-Version des Internet Explorer 5.5 in einem Paket vereinen. Microsoft bringt zeitgleich die deutsche und amerikanische Version heraus. Mehr Infos... (Golem Network News )
 
MS Internet exxplo. 5 informiert ungefragt WWW-Seiten-Betreiber, wenn deren Seiten in Bookmarks aufgenommen werden
MS Internetexxplo. 5 speichert Deine  passwortgeschützte Seiten im lokalen Cache und macht sie so für Unbefugte abrufbar
MS Internetexxplo. 5 erlaubt Zugriff auf Deine Dateien und auf die Inhalte Deiner Zwischenablage
Java kann auf Deine Festplatte zugreifen
Netscape und Microsoft übertragen teilweise Deine persönlichen Cookies an Dritte
JavaScriptfehler im Internetexxplo.
JScript/VBScriptfehler im MS Internetexxplo. 4
Bei mehreren geöffneten Fenstern in Deinem Browser können die Inhalte eines Fensters die Inhalte des anderen Fenster modifizieren
VBScript in Microsoft ermöglicht eine völlig neue Art von Viren
ActiveX von Microsoft ist ein einziges Sicherheitsrisiko
Was für Problems sind bis jetzt bekannt? 
Komponenten Probleme
EMail (bis mind. Version 4.05) Angreifer können auf beliebige Dateien zugreifen und diese verändern oder zerstören (mit Viren infizieren), während Du eine EMail liest.

Quelle und Weitere Informationen:

http://browserwatch.internet.com/news/story/news-980727-7.html,

http://browserwatch.internet.com/news/story/news-980727-8.html,

Microsoft Security Bulletin (MS98-008), Netscape Security Note.

IExxplo. Bei den Versionen 2.0 bis 4.01 mit dem Servicepack 1 können Ungefugte auf Deine Dateien zugreifen (entsprechende Dateirechte gegeben), diese lesen, zerstören oder einfach ändern.
Iexxplo. Für Bugs in der Version 4 und Version 5 (Preview) besuche bitte http://pages.whowhere.com/computers/cuartangojc/cuartangoh1.html - diese Fehler ermöglichen mal wieder den totalen Dateizugriff auf Deinen Rechner (incl. Passwortdateien)
ActiveX ActiveX hat im Gegensatz zu JavaProgrammen (virtuelle Maschine) den totalen Systemzugriff. Auch signierte Komponenten können bösartig sein. Zu diesem Thema hab ich mich bereits auf meiner IndirektPage (lokal) ausgelassen.
IExxplo. In der Version 5 kann der WWWSeitenanbieter Dateien lesen, die er kennt. Eine Demonstration gibst beim bulgarischen Bug-Jäger Georgi Guninski. Bis ein neues Patch von Microsoft zu bekommen ist, kannst Du Dich nur durch das deaktivieren von JavaScript schützen.
IExxplo. Der Seitenanbieter kann deine WindowsZwischenablage lesen. Dieses Risiko kannst Du nur durch deaktivieren der Funktion "Einfügeoperationen über ein Skript zulassen" umgehen. Weitere Infos bei Sysopt.com.
 
Werbung
Werbung
Mitglied bei Link4U
 
Quellen
Quellen!!!
 
Ende / Home
Fragen, Anregungen und Kritik bitte an: mail@logosec.de 

Disclaimer | Impressum

(c) 1998/1999/2000 LogoSecProduction - created 06.05.1999 your Webmaster!

Last Update / Stand 05.11.2000