Nochmal: Sicherheitsrisiken mit JS

[Robert Bienert]

Moin!

Wie gesagt, wenn du an sowas glaubst, dann darfst du keinen Computer benutzen. Warum sollte jemand der so etwas versucht JS nutzen? Das ist dermaßen eingeschränkt und voller Falstricke, dass das was du vorhast evtl. gar nicht erst klappt.

Ganz einfach: Weil JS eine sehr elegante Methode ist, direkt an die Daten in einem Dokument zu kommen.

Codeinjektion ist das Stichwort. Keylogger können nur von außen schnüffeln.

Genau hier (und an vielen weiteren Stellen) schlägt allerdings ein Problem im Zusammenhang mit Bookmarklets zu: Du hast nur etwa 500 Zeichen für deinen Code zur Verfügung. Diese experimentell mit einem Internet Explorer ermittelte Tatsache wollte ich nur noch einmal ins Gedächtnis rufen.

Aber falls dein kreiertes Szenario an Bedrohlichkeit zunehmen sollte, wird es dann die Möglichkeit geben, in vernünftigen Browsern Javascripten den Zugriff auf Formularfelder zu verbieten, so wie man heutzutage schon das Verändern der Statuszeile unterbinden kann.

Es ist auch nicht eine Frage von Glauben - es sind nur Erwägungen, was schlimm(st)enfalls möglich ist.

Rein statistisch gesehen stürzt weltweit jeden Tag ein Rechner auf Grund des Einflusses der Höhenstrahlung ab. Warum werden dann Computergehäuse nicht aus Blei gefertigt?

Ich will niemandem Computer madig machen - ich lebe ja selbst nicht schlecht davon. Nur sollte man auch nicht gerade den Kopf in den Sand stecken und sich einreden, das ganze Thema ginge sowieso nur DAUs, also andere an.

Wenn dem so wäre, würden wir nicht mit dir darüber diskutieren, sondern uns denken, dass das Thema nur DAUs beträfe.

Man kann sich ja auch überlegen, wie man seine sensiblen Operationen möglichst gut schützt. Die Idee mit den geklonten virtuellen Maschinen scheint mir nach wie vor nicht abwegig zu sein.

Wie gesagt verhindert dieses Konzept immer noch keine Infektion, d.h. wenn deine virtuelle Maschine zu Beginn einer Onlinesession attakiert wird, arbeitest du trotzdem bis zum Ausschalten auf einem kompromittierten System.

Man hat zwar beim Aufsetzen der Urmaschine ein gewisses Risiko, daß da irgendwas drin ist, dabei bleibt es dann aber auch.

Das ist ein Vorteil von Opensource-Betriebssystemen, da kannst du selbst nachschauen, ob dort kapitale Böcke sind.

Nimmt man ein Betriebssystem mit Geschichte, dann akkumulieren sich diese Risiken mit jeder Benutzung.

Wer sich solche Gedanken macht, der möchte eigentlich statt WinDOS (such dir aus, ob DOS für Dirty Operating System oder Denial of Service steht) – für das es eh genug DOSenöffner gibt – in einer virtuellen Maschine lieber ein Betriebssystem auf seinem Rechner, mit „Nur einem »remote hole« in der Standardinstallation seit über 8 Jahren!“

Viele Grüße,
Robert