Hat Firefox in Bezug auf Sicherheitslücken etwas Ähnliches wie ActiveX?

Die Leute sagen immer, dass Linux sicherer ist als Windows. Der Hauptgrund scheint die allgemeine Philosophie des Systemdesigns und die Tatsache zu sein, dass Benutzer Benutzer und keine Root-Benutzer sind.

Ein wichtiges Sicherheitsrisiko bei Verwendung von Windows und Internet Explorer scheint ActiveX zu sein. Alle paar Tage lese ich über eine andere Art von Exploit mit ActiveX, und fast immer besteht die Problemumgehung darin, ActiveX zu deaktivieren. Ich habe das so oft gelesen und mich gefragt, warum sich die Leute überhaupt die Mühe machen, ActiveX zu aktivieren. (Ein Grund könnte sein, dass der Name "aktiv" enthält; ein anderer könnte die Windows-Aktualisierungsfunktion sein.)

Mit Ubuntu und Firefox fühle ich mich immer so sicher, wenn ich über die ActiveX-Exploits lese. Ich weiß, dass es viele andere Sicherheitslücken gibt, die JavaScript und / oder Adobe Flash verwenden, aber soweit ich weiß, können diese Sicherheitslücken nur so viel Schaden anrichten, wie meine Benutzerrechte zulassen. Das hilft natürlich nicht viel, wenn die Malware alle meine Daten zerstören möchte - aber die meisten Malware-Programme möchten heute nur meinen PC als Botnet-Drohne verwenden und sind daher nicht daran interessiert, meine Daten zu zerstören.

Nochmals die Frage: Hat Firefox unter Ubuntu in Bezug auf Sicherheitslücken etwas Ähnliches wie ActiveX?

Eine andere Frage, die möglicherweise identisch ist: Kann eine Sicherheitslücke mit Adobe Flash und / oder JavaScript "leicht" ausgenutzt werden, um so viel Schaden zu verursachen wie ein ActiveX-Exploit?

Wenn ich "einfach" sage, meine ich, dass der Angriff keine andere Komponente des Systems ausnutzen muss, um die Benutzerrechte zu erhöhen. Ein Exploit mit Adobe Flash erhält beispielsweise mithilfe meiner Benutzerrechte Zugriff auf meinen PC und nutzt dann eine bekannte Sicherheitsanfälligkeit aus X, um Root-Zugriff zu erhalten. Das ist nicht "einfach".

Hat Firefox unter Ubuntu in Bezug auf Sicherheitslücken etwas Ähnliches wie ActiveX?

'ActiveX' kann in zwei Teilen betrachtet werden, dem Objektmodell und der Installationsmethode. Firefox hat für beide etwas Ähnliches - und plattformübergreifendes, Ubuntu oder anderes -.

Das Objektmodell von ActiveX ist Microsoft COM . Das Äquivalent von Firefox ist XPCOM . Viele andere Windows-Funktionen und -Anwendungen, die nichts mit dem Surfen im Internet zu tun haben, verwenden MS COM, und es gab traditionell endlose Probleme, bei denen COM-Steuerelemente, die nicht für eine sichere Webnutzung geschrieben wurden, dennoch für Webseiten verfügbar waren. Dies führte zu vielen Kompromissen. Firefox ist hier besser dran, da XPCOM nicht mit dem Rest des Systems geteilt wird. Neuere Versionen von IE verfügen über bessere Steuerelemente, um zu verringern, welche Websites welche Steuerelemente verwenden dürfen.

(Da viele Add-Ons für Firefox selbst in JavaScript, einer Skriptsprache auf hoher Ebene, geschrieben sind, sind sie häufig vor Pufferüberlauf- und Zeichenfolgenbehandlungsfehlern sicherer als Erweiterungen für IE, die üblicherweise in C [ ++].)

Der Control-Downloader-Teil von ActiveX wurde seit den schlechten alten Zeiten, als irgendetwas in der Zone "Arbeitsplatz" eine beliebige Software installieren konnte und aggressive Loader-Skripte Sie in einer alertSchleife festhalten konnten, bis Sie der Genehmigung von ActiveX zustimmten, ebenfalls ein wenig bereinigt Prompt. Das Firefox-Äquivalent XPInstall verhält sich weitgehend ähnlich, mit der 'Informationsleiste' auf allen Websites außer Mozilla und einer geeigneten Warnung / Eingabeaufforderung vor der Installation.

Es gibt eine andere integrierte Möglichkeit, wie Sie sich in Mozilla kompromittieren können: signierte Skripte . Ich habe noch nie gesehen, dass dies tatsächlich verwendet wird, und sicherlich wird ein weiteres Warnfenster angezeigt, bevor ein Skript zusätzliche Rechte erhält, aber es macht mir Sorgen, dass dies überhaupt für Webseiten verfügbar ist.

Zum Beispiel erhält ein Exploit durch Flash unter meinen Benutzerrechten Zugriff auf meinen PC

Ja, die meisten Web-Exploits finden heute in Plugins statt. Adobe Reader, Java (*) und QuickTime sind am beliebtesten / anfälligsten. IMO: Entfernen Sie diese und verwenden Sie FlashBlock, um Flash nur dann anzuzeigen, wenn Sie es möchten.

(*: und Javas Dialoge, bevor Sie die gesamte Sicherheit für ein nicht vertrauenswürdiges Applet aufgeben können, sind ebenfalls etwas kahl.)

Ubuntu bietet Ihnen standardmäßig einige fragwürdige Plugins, insbesondere ein Media Player-Plugin, mit dem jede Sicherheitsanfälligkeit in einem Ihrer Media-Codecs über das Web ausgenutzt werden kann (ähnlich dem Windows Media Player-Plugin, nur möglicherweise mit viel mehr Formaten). Obwohl ich noch keinen Exploit für Linux wie diesen gefunden habe, ist das wirklich nur Sicherheit durch Dunkelheit.

Beachten Sie, dass ActiveX selbst nicht anders ist. Ein auf ActiveX basierender Webbrowser-Kompromiss bietet weiterhin nur Zugriff auf Benutzerebene. Nur weil vor Vista jeder alles als Administrator ausführte, eskalierte dies zu einem vollständigen Rooting.

und folgen Sie dann, um eine bekannte Sicherheitsanfälligkeit in X auszunutzen und Root-Rechte zu erlangen. das ist nicht "einfach".

Vielleicht, vielleicht nicht. Aber ich denke, Sie werden feststellen, dass der Schaden, den Malware selbst mit einem normalen Benutzerkonto anrichten kann, ziemlich schlimm genug ist. Kopieren Sie alle Ihre persönlichen Daten, beobachten Sie Ihre Tastendrücke, löschen Sie alle Ihre Dokumente ...

Dies hängt von der Art der Sicherheitsanfälligkeit ab. Manchmal haben Sie "Glück" und die Sicherheitsanfälligkeit "nur" ermöglicht eine eingeschränkte Offenlegung, aber häufig ermöglichen die Sicherheitsanfälligkeiten die Ausführung von willkürlichem Code. Zu diesem Zeitpunkt befinden Sie sich in einem tiefen Doo-Dah, genauso tief wie ActiveX-Probleme. Und diese Lücken können in der Handhabung für Bilddateien (schädliche Bilder) oder für Ton oder fast alles andere liegen.

ActiveX war schlechter, weil es Code-Schreibern die Möglichkeit bot, zu deklarieren, dass "Wenn dies installiert ist, kann von einer Webseite aus sicher verwiesen werden", und viele Codierer haben dies aktiviert, ohne die Auswirkungen zu verstehen, sodass es viele Ziele gab und es wäre leicht rauszukommen. Aber Sie haben genauso viel Belichtung durch den schlechten Umgang mit seltsamen Zahlen in Bilddateien. Es ist nur so, dass die Probleme mit der Bilddatei durch Aktualisieren des Browsers behoben werden.

Die einzige Verteidigung gegen all dies ist die Verwendung von Sandboxing, wodurch die Möglichkeiten eines als Benutzer ausgeführten Prozesses eingeschränkt werden. OpenBSD hat Pionierarbeit geleistet, um dies durch die Trennung verschiedener Daemons von Privilegien populär zu machen (insbesondere OpenSSH, also verwenden Sie dies jetzt unter Ubuntu). Chrome hat dies für Webbrowser populär gemacht, verfügt jedoch nur auf einigen Plattformen über Sandboxing. Ironischerweise waren Sie für eine Weile mit Chrome unter Windows wahrscheinlich sicherer als mit jedem grafischen Browser unter Linux. Zum Glück ändert sich dies. Ich glaube, dass die Linux-Versionen jetzt teilweise geschützt sind.

http://www.cl.cam.ac.uk/research/security/capsicum/ ist gut, wenn Sie Funktionssysteme für Sandboxen untersuchen und herausfinden möchten, wie es besser werden kann.

AFAIK Ein ActiveX-Exploit kann auch außerhalb der Rechte Ihres Benutzers keinen Schaden anrichten (ohne andere Exploits zu verwenden, wie Sie angeben). Das Hauptproblem unter Windows war, dass fast jeder die meiste Zeit als Administrator arbeitete ...

Ich möchte nur erwähnen, dass Linux theoretisch weniger sicher ist als Windows 7, das einige coole Sicherheitsfunktionen bietet.

Der Grund, warum es keine Linux-Viren gibt, ist der gleiche, warum es fast keine kommerziellen Linux-Spiele gibt: Die Produzenten gehen mit den Massen, und die Massen verwenden Windows.

Der sicherste Weg ist also die Verwendung alternativer Produkte (wie es Firefox vor einigen Jahren war, werden heute häufig Firefox-Exploits verwendet).

Um Ihre Fragen zu beantworten: Soweit ich weiß, betrifft ActiveX-Exploits Firefox nicht.

Ich fühle mich ziemlich sicher beim Surfen mit Linux und Firefox, aber die Verwendung von Opera könnte sicherer sein, da Opera viel weniger beliebt ist.

Was Sie in Betracht ziehen sollten, ist ein sicheres Passwort, wenn Ihr SSH für das Internet geöffnet ist, da es viele Scanner gibt, die versuchen, Ihr SSH zu hacken, um seltsame Dinge auf Ihrem PC zu installieren (deaktivieren Sie den direkten Root-Zugriff in / etc / ssh / sshd_config).

Ich denke, die meisten anderen Angriffe sind spezifisch für einen Benutzer. Wenn Sie also keine Unternehmensgeheimnisse oder Feinde im Allgemeinen haben, sollte Ihr Computer ziemlich sicher sein.