mboost-dp1

unknown

Endnu en sikkerhedsekspert taler om browsere

- , redigeret af Net_Srak

Sikkerhedseksperten Peter Kruse, fortæller at anbefalingerne fra myndighederne og CERT, om at bruge alternative browsere frem for Internet Explorer, er meningsløse.

Han mener, at myndighedernes tekniske viden på browserområdet er meget begrænset, og fortæller – som de fleste nok allerede ved – at Internet Explorer er en del af Windows og ikke kan fjernes helt.

Han påpeger at programmer som Outlook Express, Messenger og Adobe Reader giver mulighed for at benytte Internet Explorer alligevel, selv om ikonet er fjernet fra menuerne.

Til sidst råder han folk til at installere antivirus, Service Pack 2, og ellers kun besøge websites som man på forhånd har tillid til.





Gå til bund
Gravatar #1 - XorpiZ
28. nov. 2004 21:05
Bliver sgu lidt kedeligt at surfe så, hvis man kun må besøge sider, man har tillid til.
Gravatar #2 - FISKER_Q
28. nov. 2004 21:11
Jeg synes det ville være bedre hvis i lige fjerner det sidste da han bare siger man bør opdatere systemet.

Ikke decideret at man skal beholde IE.
Gravatar #3 - T-Hawk
28. nov. 2004 21:12
Det er jo lige præcis den slags råd vi IKKE har brug for... Det er det der får folk til at tænke hey IE er godt nok vi kan sagtens klare sig og så lære MS aldrig at lave en ordentlig browser...
En sorgens dag hver gang en såkaldt "sikkerhedsekspert" udtaler sig så dumt...
Gravatar #4 - Windcape
28. nov. 2004 21:12
Og kan man self droppe SP2, og installere Firefox istedet.
OG antivirus har man jo isntalleret i forvejen.

Mht. messenger osv, så åbner MSN messenger da alle mine links i Firefox, og ikke i IE. Og det samme gør stort set alle mine programmer.

Hvis IE nu var valgfrit i installationen af windows, så var verden en bedre sted.
Gravatar #5 - mumi
28. nov. 2004 21:15
hm.. når jeg for mails i med msn, åbner en dem i IE :( men jeg stoler på hotmail, så regner ikke med der sker noget...
Gravatar #6 - FISKER_Q
28. nov. 2004 21:17
#3,4 Klart klart, hvorfor lader vi ikke være med at tage nogle sikkerhedsforanstaltninger overhoveder? Hvorfor installerer vi overhovedet Firefox hvis vi er ligeglade med sikkerheden alligevel?

Med hensyn til Messenger mener han nok tabs, spil m.m.
Gravatar #7 - dr-evil
28. nov. 2004 21:18
#4; hvordan ville du så hente den browser du nu engang foretrak, uden nogen at gøre det i?
Gravatar #8 - Windcape
28. nov. 2004 21:20
#6 Jeg hader SP2, bare flame mig for det.
Men antivirus,
En browser som får mindre spyware end IE (ja, det er firefox jeg taler om)
Og så Router Og Firewall, så synes jeg at have sikkerhed nok.
Har ikke brug for M$ sikkerhedscenter, og har derfor ikke brug for SP2.
Gravatar #9 - Windcape
28. nov. 2004 21:21
#7 god point, havde jeg slet ikke overvejet.

via. telnet måske ?~)
Gravatar #10 - FISKER_Q
28. nov. 2004 21:23
#8 Så slå det fra, den eneste grund til du ikke har SP2 er pga FCKGW.....

Og du må gerne lade være med at omtale det som "M$" firmaet hedder "Microsoft"
Gravatar #11 - Windcape
28. nov. 2004 21:24
#10 faktisk ikke, (ja, okay så kalder vi dem MS som forkortelse , caprise ? )
Gravatar #12 - dividebyzero
28. nov. 2004 21:27
Peter Kruse er ikke ekspert. Hvornår indser folk det? Hans egen tekniske viden er jo hullet som en si.

http://groups.google.dk/groups?q=g:thl1579958590d&...

Hvis man stoler blindt på antivirus og SP2 hvor er vi så henne? Jeg siger ikke Firefox er sikrere end IE (det vil kun tiden vise), men hans argumentation om, at man ikke kan slippe for IE er simpelthen forkert.
Gravatar #13 - carb
28. nov. 2004 21:28
Hvem er Peter Kruse? (-hvem betaler hans løn?)

Anbefalingen fra CERT gik mig bekendt ud på at bruge en anden browser,
og handlede ikke om at skille sig af med IE.
Gravatar #14 - mwn
28. nov. 2004 21:33
Hvis man siger at man skal installere mozilla[] for at højne sikkerheden, hvorfor så ikke bare droppe den virus kompatible platform totalt?
Jeg tror ikke et browser skifte vil højne sikkerheden mærkbart, ikke så længe at bruger defaulter til at trykke ja og åben, samt ikke forholder sig skeptisk over for forskellige downloads.

Mange af de mennesker som er på internettet vil helt uden bekymringer installere hvad som helst for at få nye ikoner til deres email klient.
Den seneste jeg har oplevet er "Jamen, jeg ville bare installere en matrix screensaver".

Peter siger i øvrigt ikke at man skal bruge IE som browser, blot at man ikke kan undvære den.
Gravatar #15 - FISKER_Q
28. nov. 2004 21:33
#12 Hvis man stoler blindt på SP1 er man så bedre stillet? Igen han har ret i at IE er integreret så meget som det er.

Det er muligt at afskaffe det, men derefter begynder tingene bare ikke at virke længere.

Edit: #14 Enig.
Gravatar #16 - dividebyzero
28. nov. 2004 21:37
#15

Nej, det undrer mig bare at folk tror at SP2 giver større sikkerhed. Ligesom folk tror at personlige firewalls, spyware- og virusscannere giver større sikkerhed.
Gravatar #17 - sKIDROw
28. nov. 2004 21:40
Hvis man kører Windows XP, så bør man installere SP2 ligegyldigt hvad.
Det er den bedste ting, jeg har set Redmondkæmpen give jer længe!... ;)
(Det var ros, til dem der stadig tror jeg hader Microsoft.. :P)
Gravatar #18 - FISKER_Q
28. nov. 2004 21:42
#16 Ja der kan man jo diskutere hvorvidt man definerer sikkerhed. Du kan have ret i at det ikke ændre meget pr. design, men det prøver at holde brugeren mere opmærksom på hvad man skal gøre.

Selvfølgelig hvis brugeren ikke lærer noget af det er vi jo kun garanteret af de fixes der er.

Efter min mening synes jeg dog det har været en del bedre med den toolbar i toppen, folk ligger ikke mærke til den som en dialogboks man bare skal sige ja til.
Gravatar #19 - Disky
28. nov. 2004 21:46
Den mand er da ikke for kvik.

Hvis man undlader at bruge IE er ens system noget mere sikkert end hvis man anvender det.
Og så er det ligegyldigt om man helt kan fjerne IE eller ej.

Man skulle næsten tro han er i Microsoft'es lomme.
Gravatar #20 - Napsi
28. nov. 2004 21:48
#19 - En sætning der er gyldig for al software. :)
Gravatar #21 - Simm
28. nov. 2004 21:53
I og med at de fleste exploits bliver sat i forbindelse med Internet Explorer er det logisk nok at man anbefaler en anden browser.. Mozilla Firefox er ved at blive populær, så der skal også komme noget der går efter dens sårbarheder. Desværre.

#8: Der er mere i SP2 end sikkerhedscenteret. Den retter også en masse fejl i kernen osv. + der er indført en feature der skal forhindre buffer overflows (om det så virker, ved jeg ikke) så jeg vil da mene, det er lidt dumt ikke at holde din computer opdateret. Men hva' .. det er din computer, og dig der skal bøvle med den, når den kokser :p
Gravatar #22 - dividebyzero
28. nov. 2004 21:53
#18

Det kan vi for så vidt godt blive enige om, men jeg så hellere at Microsoft begyndte at levere mere sikre systemer som default, såsom:

- at stoppe alle de services der lytter på netværket - evt. at lade dem nøjes med at lytte på localhost.

- at gøre folk opmærksomme på, at de skal oprette brugere med restricted access og logge ind som disse. Så havde vi ikke set den video hvor der bliver installeret spyware gennem IE.

Derudover skulle folk en tur på skolebænken og lære korrekt brug af computer. Antivirus har været brugt i gennem mange år, og aldrig har der været flere vira end nu. Det er simpelthen ikke vejen frem. Folk bruger jo antivirus som en undskyldning for at klikke på hvad som helst.

Windows er ikke noget dårligt system - det er bare ikke specielt fornuftigt leveret out of the box.

Og det blev så en anelse off topic...
Gravatar #23 - brostenen
28. nov. 2004 21:56
Sp2 giver ikke andet end problemer...
Hvad tænker manden, som har udtalt sig om sikkerhed??? :-(
Gravatar #24 - FISKER_Q
28. nov. 2004 22:00
#22 Så vidt jeg forstår har Microsoft forsøgt at ændre det nuværende. Men det største problem er nok at få opbakning omkring det.

Firmaer/udviklere vil helst ikke have de ligefrem skal til at lære noget nyt/lave noget. Og sørgeligt nok ser man stadigvæk programmer der har sindsygt dumme problemer med at virke på andet end administrator kontoer :(

De ændrer dog vist noget af det i Longhorn da muligheden er større der.
Gravatar #25 - amokk
28. nov. 2004 22:08
enig, manden lyder i høj grad som om han er betalt af MS...

#23 hvad er det lige for nogle problemer du mener SP2 medfører?
Gravatar #26 - TYBO
28. nov. 2004 22:35
Det optimale vil da være at bruge IE til de sites som man stoler 100% på og så firefox når man besøge de skumle sider.
Gravatar #27 - amokk
28. nov. 2004 22:51
#26 hvordan kan det være optimalt at skifte mellem 2 browsere alt efter hvad indhold man vil se på?

hvorfor så ik bare bruge FF, også til de sider man stoler på?
Gravatar #28 - eruantalon
28. nov. 2004 23:04
#26 hvorfor ikke bruge Firefox til alt undtagen de to eller tre sider du ikke kan se med andet end IE... (hos mig er det: windowsupdate (sjovt nok) og danskenetbank(overvejer at skifte bank))
Gravatar #29 - weee
29. nov. 2004 00:02
Amatør.

Mon ikke det hjælper bare lidt at bruge en alternativ browser? Gad vide hvor meget ms har betalt ham...

D:
Gravatar #30 - mrmorris
29. nov. 2004 00:30
Peter Kruse's pointe er jo sådan set logisk nok; selv om man minimerer eksponeringstiden for IE ved at benytte en anden browser, kører IE's integrerede .dll's fra mange andre programmer.

Dette gælder eksempelvis for ICQ, Paltalk, Shareaza og lignende programmer der viser bannere via MFC's CHtmlView som benytter browseui.dll der følger med MSIE 5.0 og senere.

Det er forbavsende hvor mange programmer der benytter denne, check evt. selv med http://www.dependencywalker.com/

Altså, Firefox som standard browser er ikke en dum idé men man skal bare vide at man stadig ikke er afskærmet fra MSIE komponenter.
Gravatar #31 - amokk
29. nov. 2004 00:33
#30 og?

det kan godt være at IE stadig kører, men så viser den i det mindste kun de sider, som kaldes fra MSN, ICQ osv.

dvs. at alle de potentielt farlige sider som brugeren selv kunne klikke ind på, ikke bliver vist i IE men i FF hvis denne benyttes til browsing...
Gravatar #32 - mrmorris
29. nov. 2004 01:04
#31 "...Potentielt farlige sider..." er jo et non-deterministisk begreb, det er jo ikke kun www.astalavista.com og andre hack-crack-phreak sites hvor man skal se sig for.

Kan du f.eks. huske Falk AG's AdSolution server der blev hacket her den anden dag? Med dét resultat af ca 3% af alle besøgende til websitet The Register og andre fik deres system komprimiteret.

Hvad nu hvis ICQ's addserver blev hacket? Så er der ligepludselig millioner af brugere der er i skudlinien, langt flere end man kunne håbe på at nå via at hacke de fleste alm. hjemmesider.
Gravatar #33 - amokk
29. nov. 2004 01:18
#32 det er rigtigt... men MSN og ICQ mfl. udgør i sig selv en sikkerhedsrisiko i forvejen...

og alt andet lige, er systemet da mere sikkert, hvis det kun er ganske få tilfælde hvor onde programmer kan få adgang igennem IE, mens alm. surfing (som er kilden til 99% af al ond software) sker gennem FF
Gravatar #34 - mrmorris
29. nov. 2004 01:31
#33 Tja med mindre man da spiller 7-kabale så udgør ALT hvad vi laver på en PC i dag en sikkerhedsrisiko. I bund og grund er vi jo enige, jeg forsøger bare at belyse dét som Peter Kruse udtaler som jo ikke er helt usandt!

Hvad man dog kan gøre er at installere en af de mange programmer (eller direkte installere en host/lmhosts fil) der filtrerer en masse af de gængse addservere ud. Ikke alene undgår man at se på bannere, benytte båndbredde til dette men man udelukker samtidig at blive offer for den type komprimitering jeg nævnte ovenfor.
Gravatar #35 - FISKER_Q
29. nov. 2004 04:53
#29 Du kan måske fortælle os hvad det hjælper med en anden browser? Firefox er jo altså ikke frataget fra hvad der kaldes sikkerhedsfejl.

Desuden har han aldrig sagt at man ikke skal bruge Firefox, han siger simpelthen bare at skiftet kan være ligegyldigt hvis man alligevel nu henter en eller anden email med noget farligt html kode.

Hvilket da også er pænt misciteret fra amokk's side af. Så jeg håber da at en skribent snart retter det da det er noget lort der bliver lukket ud.

Det er jo egentlig ikke ret forskelligt fra fx mac's Shell exploit hvor det var muligt at få en hjemmeside til at køre lokale kommandoer.

Firefox rettede så muligheden for at bruge det kommando præfix(Ved ikke om det var før eller efter den officielle rettelse). Men det havde jo ikke fjernet problemet, igen tænk nu hvis man fx havde fået en html email som blev renderet af Safari, så havde man jo problemet igen.
Gravatar #36 - Net_Srak
29. nov. 2004 05:20
#2

Så er det rettet til.
Gravatar #37 - myplacedk
29. nov. 2004 06:00
#7
Der er mange andre måder at få software end med WWW. Fx. FTP, og Windows kommer jo selv på CD. Og så kan WWW jo tilgås med andet end IE. Fx. en simpel download-util.
Hvis man har en rigtig god fantasi, kunne man forestille sig, at Windows gav valget mellem flere forskellige browsere. Hvis man så valgte fx. Firefox, kunne den enten bruge en gaaammel installer fra CD'en, eller downloade nyeste version (over fx. FTP eller WWW, bare ikke med IE)
Gravatar #38 - myplacedk
29. nov. 2004 06:02
#14 (og sådan set også #16)
Jeg tror ikke et browser skifte vil højne sikkerheden mærkbart, ikke så længe at bruger defaulter til at trykke ja og åben, samt ikke forholder sig skeptisk over for forskellige downloads.

At skifte browseren erstatter ikke almindelig omtanke, men det omvendte gælder altså heller ikke.
At skifte browser fra IE til Firefox højner (IMHO) sikkerheden, det vil undervisning af brugerne også. Begge dele højner sikkerheden endnu mere.
Gravatar #39 - Sunrise
29. nov. 2004 06:09
man kan desuden ikke installere ff medmindre at der er nogle IE 5.0+ filer :) . .
Gravatar #40 - myplacedk
29. nov. 2004 06:10
#27
hvordan kan det være optimalt at skifte mellem 2 browsere alt efter hvad indhold man vil se på?


Hvorfor man skal undgå IE er vist allerede "antydet". Men nogle sider virker jo kun i IE. Derfor.
Selv bruger jeg kun IE til WindowsUpdate og Danske Netbank
Gravatar #41 - Mort
29. nov. 2004 07:48
Windows har en lille smart feature som hedder Windows Update som helt automatisk sørger for at ens operativsystem, inklusiv Internet Explorer, forbliver opdateret.

Lader man Windows Update gøre dens arbejde vil man ikke have nogen som helst sikkerhedsproblemer med Internet Explorer.

At komme med tvivlsomme udmeldinger om at Internet Explorer er farlig og at man i stedet bør skifte til en web browser med begrænset funktionalitet er udelukkende at spille på folks frygt.
Gravatar #42 - Miphisto
29. nov. 2004 08:19
Jeg har ikke tilid til windowsupdate.microsoft.com :-(
Gravatar #43 - Cyrack
29. nov. 2004 08:22
#38 - Sunrise

"man kan desuden ikke installere ff medmindre at der er nogle IE 5.0+ filer :) . ."

Lyder spændende.... faktisk lyder det som om du er fuld af lort... i h.h.t. at dette er skrevet fra en maskine, der ikke har set noget til Windows i de sidste 6 måneder, og som kører ff...

Ang. at hente ff uden IE: der var jo engang hvor man fik Netscape på cd ( kunne fåes i stort set alle IT-butikker) og det gik jo meget godt.... så mon ikke det fint kan klares i dag? ellers skal jeg gerne fuske noget sammen med wget :-)
Gravatar #44 - PaNiX
29. nov. 2004 08:36
Det er min erfaring fra min mor's computer, at et skift til Firefox blev foretaget, har givet mig langt færre vedligeholdelses-timer af computeren -- det gælder især fjernelse af spyware og virus.

Jeg ville egentlig helst have lært min mor og de andre at sortere i de sider de besøger på en sund måde. Problemet i den tilgang er at det koster langt flere resourcer (tid og penge) at opnå et godt resultat med uddannelse.

Det er min klare holdning af et skift til Firefox og uddannelse (og mange andre tiltag) er det optimale, men det er ikke alle almindelige mennesker, der har tid og lyst til at sætte sig så grundigt ind i de ting, at det er muligt.

Personligt giver jeg de familie-medlemmer jeg hjælper med computere nogle gode råd (undgå det og det, sørg for at gøre det og det), installerer Firefox og Thunderbird til dem som alternativer til IE og Outlook. Sidst sikrer jeg mig at de ikke sidder koblet på deres ADSL (eller hvad de nu har) uden router med NAT (det tager trods alt toppen).

Kort og godt er det jeg siger vel at uddannelse og sikkerhedsforanstaltninger sammen er bedre end enten uddannelse eller sikkerhedsforanstaltninger... man tager vel også kørekort OG bruger sikkerhedssele og sådan, ikke?
Gravatar #45 - sKIDROw
29. nov. 2004 08:37
Jeg bliver små irriteret, hvis jeg sider ved en Windows maskine, der ikke har andet end IE.
Hvor er mine tabs?!?!?!... :(
Jeg kan bare ikke undvære tabs... ;)
Så nej jeg har ikke forstået hvorfor man skal bruge to browsere.
En side der ikke virker med alle browsere er defekt, og burde boycuttes til den er ordnet.
Windowsupdate er jo så et af de værste eksempel, og danske bank er ligeledes en SKAMPLET!.
Der må ikke være forskel på oplevelsen i de forskellige browsere, for de eneste der har ret til at sætte webstandarder er W3C.
Det er det siderne skal skrives til, for så vil de udelukkende være browsermangler der kan give problemer.
Sådan må og SKAL det være.
Gravatar #46 - PG
29. nov. 2004 08:41
Installere SP2? - Jeg er da allerede på SP4 her hos mig! ;)

Nå ja! - han mener XP's SP2... Men der er nu stadig 65% af Windows-brugerne som benytter W2K (herunder undertegnede) eller andre versioner, og de bliver bare forvirrede af den generelle snak om SP2.

Hvis man som jeg benytter W2K så er der ikke andre muligheder end at undegå MSIE og andre programmer som benytter de fejlfyldte DLL'er (f.eks. Outlook), og her kan jeg især anbefale Mozilla-programmerne, især Firefox og Thunderbird.
Gravatar #47 - sKIDROw
29. nov. 2004 08:55
#41 mort

Windows har en lille smart feature som hedder Windows Update som helt automatisk sørger for at ens operativsystem, inklusiv Internet Explorer, forbliver opdateret.


Ja men ham der fandt på at køre det via browseren, var godtnok småt begavet... ;)
Hvorfor ikke bare et program, der kun tjente det formål?
Automatisk opdatering er jo så en god ting.

Lader man Windows Update gøre dens arbejde vil man ikke have nogen som helst sikkerhedsproblemer med Internet Explorer.


Men vil klart have færre problemer, men at sige der ikke problemer er nok lidt stærkt.

At komme med tvivlsomme udmeldinger om at Internet Explorer er farlig og at man i stedet bør skifte til en web browser med begrænset funktionalitet er udelukkende at spille på folks frygt.


IE's tracksrecord siger vist det hele.
Det er ikke uden grund at flere mener, man bør finde en bedre browser.
Og at omtale de andre, som browsere med begrænset funktionalitet, må vist stå for egen regning.
Personligt mangler jeg meget funktionalitet i IE.
Gravatar #48 - toffe1001
29. nov. 2004 09:14
*"Til sidst råder han folk til at installere antivirus, Service Pack 2, og ellers kun besøge websites som man på forhånd har tillid til."

...jamen hvad nu hvis man har win2K og er studerende og her ej råd til at at købe windows XP... ...der er for mange computer stående i hjemmet her i verden og for få af disse computere har windows XP installert til at microsoft kan gå ud og kun frigi den nyeste opdatering til internet explore i en service pack til XP. Der findes jo stadigvæk andre brugere der ikke har windows XP *s*
Gravatar #49 - FISKER_Q
29. nov. 2004 09:18
#47 Det må klart være den samme der fandt på "You wanna reboot?"

Edit: #48 Skal han virkelig forklare alle synspunkter af en sag? Hvis du ikke har Windows XP skal du selvfølgelig finde et alternativ.

Enten via updates fra Microsoft men da Windows 2000 er nået sin End of Life og derfor ikke har support længere ville det nok ikke være en langsigtet idé.
Gravatar #50 - mu
29. nov. 2004 09:52
definer "sikkerhed"
definer "expert"

Peter Kruse rimer ikke på nogen af delene, i min verden.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login