Panik? Wieso?
Du hast es aus meiner Sicht schon gut erkannt... Entweder du schiebst permanent Panik, IMMER und zu JEDER Zeit, weil dein Aluhut es dir sagt und jedes System, ob Windows oder whatever unsicher ist oder du beist eben in den Apfel und wartest. Weil deine (Windows) Server so oder so nur von Sourcen aus zu erreichen sind, die du selbst in der Verwaltung hast und/oder wo du Mittel zur Abschottung, Mittel zur Erhöhung der Sicherheit, Mittel zur vorherigen Authentifizierung/Authorisierung oder was auch immer getroffen hast, ist das Risiko aus meiner Sicht klar kalkulierbar! Systemunabhängig, bei Windows wie bei Linux!
Ehrlich gesagt kann ich auch die Aussage seitens Fallwrrk in dem konkreten Zusammenhang nicht verstehen. Das völlig verquert laufenden Update bei MS hat absolut gar keinen Einfluss auf die Entscheidung ob man da ein ruhiges Gewissen haben muss oder nicht geschweige denn, was für ein System es sein soll. Im Zweifel MUSS man derartige Möglichkeiten einfach VORHER mit einkalkulieren -> gilt für Windows wie alle andere Systeme exakt im gleichen Maßstab... Dann schläfst du auch ruhig(er), weil dir nicht permanent die Pipi kommt, wenn da mal bei nem Update was schief läuft...
Oh nein, das ist es auf keinen Fall.Aber weißt du wo der große Unterschied ist? Wenn ne Sicherheitslücke bekannt wird, dann dauert das maximal 8 Stunden und ich hab ein Update ausstehend. Und keine zwei Monate.
Nimms mir nicht übel, aber irgendwie macht es den Eindruck als gehst du das Thema Sicherheit von der völlig falschen Seite an... Es interessieren doch die bekannten Lücken nur zum Teil. Das Problem sind die Unbekannten... Oder meist du dein System ist sicher, weil es 8h nach public! Veröffentlichung von Sicherheitslücken patches gibt? -> sollte dem so sein bist du äußerst naiv. Für den Jenige, der es dran anliegt, ist es ein leichtes vor dem public werden von Infos da ranzukommen. Auch fallen solche Informationen nicht aus dem Himmel. Da sitzen Leute Stunden und Tage und suchen förmlich Fehler und verquerte Funktionsweisen... -> Zeit x bis Veröffentlichung der Erkentnis ist völlig variabel. Von Stunden über Tage, Wochen, Monate oder Jahre ist ALLES möglich!
Dir sollte doch wohl die "dirty cow" bekannt sein. Schön das da innerhalb kürzester Zeit Patches nachgereicht wurden -> scheiße, wenn die Lücke JAHRE!! offen ist und ganz besonders scheiße, wenn sich im Nachgang rausstellt, dass diese auch kräftig ausgenutzt wird/wurde und noch viel mehr besonders scheiße, wenn du noch zufälligerweise anfällige Drittsoftware nutzt, die dem Angreifer von extern dann noch Tür und Tor öffnen -> sowas wie eine WordPress Instanz oder ähnlichem. (und ja ich weis, nutzt du bestimmt nicht...
)Ist es also wirklich angemessen damit zu argumentieren, dass da 8h maximal vergehen bis nach bekanntwerden von Lücken diese geschlossen werden? Kann ich als Nutzer mir im Zweifel nichts von kaufen, wenn da jemand über die "dirty cow" oder etwaige andere Lücken mit Rechteausweitung ins System gekrochen ist und jahrelang Daten abgegriffen hat.
Die dirty cow ist/war auch bei weitem nicht die einzige Problematik mit einer extrem langen Laufzeit... Gibts bei MS ganz sicher ebenso, das steht außer frage. Vllt sogar noch viel häufiger... Aber man sollte hier klar alles über den selben Kamm scheren und nicht nach persönlichem Empfinden wichten, wenn man schon pauschalisiert
Warum?
An das Internet Anschließen und public mit öffentlich erreichbarer WAN IP (v4 -> mit v6 noch viel schlimmer) betreiben sind zwei völlig verschiedene paar Schuhe...
Wie brichst du eine gesicherte Verbindung, initiert durch ein IoT Device auf um dann über/durch diese Verbindung rückwärz auf das Gerät zu kommen? -> eigentlich sogut wie unmöglich, wenn da nicht MitM like gehandelt wird oder die Gefahr über die Destination vom IoT Device kommt...
Steht die Büchse public (und genau das tut es eben häufig, aus Unwissenheit, Blödheit oder beidem), mit öffentlich erreichbarer IP -> selbst schuld. Denn dann ist es einfach dein Bier den Spaß zu restriktieren. Man sollte schon wissen was man tut... Nur zu denken das man weis was man tut macht es nicht zwangsweise gut/richtig
Wenn heise nicht absoluten Mist schreibt, hat sie das nicht...
"Angreifer können Windows-Clients und -Server durch die Lücke zum Absturz bringen (Denial of Service). Entgegen erster Annahmen ist es nach derzeitigem Stand nicht möglich, Code durch die Schwachstelle einzuschleusen."
Das machts zwar nur bedingt besser, aber hier greift aus meiner Sicht ganz klar das Thema Vertrauen... Hab ich Vertrauen in die Client Devices oder nicht? Wenn nicht -> gehört der Service gar nicht erst angeboten. Dann kann da auch nix "gedost" werden, da die Pakete alle samt an der Firewall hängen bleiben. Wenn allerdings jemand aus den secure Netzen da rumfingert -> nunja, dann hast du ehrlich gesagt andere Probleme, vor allem personeller Art und solltest aus Unternehmenssicht in diese Richtung Konsequenzen einleiten
Das Argument mit der SMB Lücke zieht aus meiner Sicht auch von anderer Seite nicht -> du kannst ALLES DoS Angriffen aussetzen... Mit genügend Systemen im Zugriff auch gern mal distributed. Der Service ist dann ebenso beeinträchtigt, ob das Ding nun abschmiert oder nicht macht keinen Unterschied mehr.
Zuletzt bearbeitet:
Wenn es keine Nachfrage für solche Software unter Linux gibt, dann wird auch nichts entwickelt. Auf Linux sind nun mal hauptsächlich Entwickler unterwegs. Und das wird sich in nächster Zeit auch nicht ändern. Und wenn du das Wort "GUI" erwähnst, dann denkt der normale Mensch übrigens an die Nutzeroberfläche, und nicht an Videobearbeitung. 
