Microsoft, Apple und die Vista-Krise

[jensche]

Mh ja hab mir das durchgelesen. Aber als das gelbe vom Ei wuerde ich den Artikel auch nicht bezeichnen. Eher eine Mischung aus dem von mir Gesgtem und dem Artikel.

Zudem zeigt man doch nicht den Stinkefinger wenn man ein bestimmtes Programm dafür wählt das eventuell gar nicht vom Betriebssystemhersteller selbst ist? Doch eigentlich gar nicht...

Gruß,
der M

Dann hast du es wirklich nicht verstanden? Hier einige Ausführungen:

Technische Ursachen
Mac OS X hat eine quelloffene Grundlage, die Darwin heißt. Darwin hat als Wurzel sehr viele andere quelloffene Projekte, zu denen unter anderem Mach gehört und 4.4BSD-Lite2, zu welchem FreeBSD, NetBSD und OpenBSD beitragen. OpenBSD hat zum Ziel, das sicherste Betriebssystem zu sein und wird auch als dieses anerkannt. Mac OS X verwendet einige Sicherheitstechniken, die OpenBSD auszeichnen.

UNIX ist für den Betrieb mit vielen gleichzeitigen Benutzern und als Netzwerk entworfen worden. Daher waren von Anfang an die entsprechenden Sicherheitsfragen zu beachten bei der Architektur. Bei UNIX gilt: "Das Netzwerk ist der Computer."

Andere Betriebssysteme, zu denen das marktbeherrschende gehört, wurden ursprünglich für Einzelplatznutzung ohne Netzwerk ausgelegt. Dort fehlte daher im Grundkonzept alles, was mit Sicherheit in Bezug auf Netzwerkbetrieb und mehrere gleichzeitige Benutzer zu tun hat. Bei Windows war lange Zeit oberstes Gebot, daß es keine Einschränkungen für Programme und Benutzer gibt: Jeder durfte alles mit allem.

Generell sind UNIX-Betriebssysteme aufgrund ihrer typischen Beschränkung der Benutzerberechtigungen nicht so leicht von Viren zu befallen. Hier sind sowohl Prozesse als auch Dateien unterschiedlicher Nutzer sauber und sicher voneinander getrennt.

Bei den Betriebssystemen von Microsoft war FAT seit 1976/77 über 20 Jahre (und wohl auch heute noch) das am meisten eingesetzte Dateisystem. FAT kann keine Dateien zwischen Benutzern trennen. Jedes Programm kann bei FAT jede Datei auf der ganzen Festplatte beschreiben. FAT kennt keine Dateibesitzer. Ein Virus findet auf FAT keine Hindernisse vor und kann alles nach Belieben infizieren. Microsoft hat mit Jahrzehnten FAT den Virenautoren die gesamte Festplatte sozusagen geschenkt und hat sich die Generationen von Virenschreibern damit selbst herangezüchtet.

Auch sind bei UNIX-Betriebssystemen unterschiedlich privilegierte Prozesse besser voneinander getrennt. Insbesondere laufen alle Prozesse aus Prinzip mit möglichst minimalen Berechtigungen. Werden besondere Rechte erforderlich, dann wird die Arbeit an einen sehr kleinen separaten Prozeß delegiert. Die geringe Größe eines solchen Spezialprozesses macht seine sichere und fehlerfreie Programmierung leicht.

Beim zur Zeit marktbeherrschenden Betriebssystem ist das genau andersherum: Dort läuft jeder Prozess mit maximalen Berechtigungen (ein Windows-Administrator ist gleichmächtig wie System) und geringere Rechte sind die Ausnahme (und nicht die Regel).

Unwichtige Prozesse sind in der Lage sogar Systemprozesse zu steuern. Und man macht sich nicht die Mühe, ein Programm in mehrere kleine Programme aufzuteilen, um sicherheitsrelevante Aktionen nur in einem kleinen Spezialprogramm zu verwenden. Daher läuft das gesamte Programm und, was es nochmals verschlimmert, alle von ihm verwendeten Programmbibliotheken, als hochprivilegierte Prozesse, wenn auch nur ein kleiner Anteil hohe Rechte benötigt. Der gravierende Sicherheitsaspekt hierbei ist, daß man für die sichere und fehlerfreie Programmierung des gesamten Programms und der gesamten verwendeten Bibliotheken nicht garantieren kann. Eine Lücke in einem dieser Teile genügt, um das gesamte System anschließend zu übernehmen.

Was bei UNIX undenkbar ist, ist bei Windows Normalität: Alles arbeitet als Windows-Administrator, der einem UNIX-Root entspricht.

Ein Administrator von Mac OS X hingegen ist nicht Root. Und ein Administrator muß, wenn er systemrelevante Dinge tun will, sich nochmals authentifizieren mit Paßwort. Man kann nicht mit einem Klick das System ändern.

Ein Schadprogramm unter einem Benutzer in Mac OS X ist daher sehr eingeschränkt darin, was es tun und beeinflussen kann. Unter dem bei den Autoren von Schadprogrammen als Ziel sehr beliebtem anderen Betriebssystem hingegen hat solch ein Programm unter einem Benutzer alle nur denkbaren Möglichkeiten; es ist ein Paradies für Schadprogramme.

Architekturfehler versus Programmierfehler
Bei Windows war es jahrelang die Devise, daß jeder alles mit allem können soll; auch über das für lokale Kommunikation deplaziert eingesetzte RPC. Das wurde Windows im Zuge der globalen Vernetzung der Rechner zum Verhängnis: Nun konnten alle im Internet dem heimischen Rechner sagen, was er tun soll dank RPC. Ein klassisches Scheunentor.

UNIX hingegen, das von Beginn an auf Mehrbenutzerbetrieb und als Netzwerk ausgelegt war (das Internet besteht aus UNIX-Protokollen), hat die nötigen Architektur-Aspekte von Anfang an im Betriebssystem und den Programmen umgesetzt und hat darüber hinaus Jahre Vorsprung, was die Praxiserfahrung in all diesen Dingen angeht.


Quelle: http://www.macmark.de/osx_security.php

 

[rumsi]

Tut mir leid, aber im Grund bekräftigst du damit nur meine Aussage

"Entwickler solcher Schadsoftware suchen sich immer die Plattform aus, auf der sich Ihre Software am besten verbreiten kann."
Denn genau das bestätigt dein Text.
UNIX Systeme sind weniger antastbar als MS Systeme. Genau das habe ich gesagt und nichts anderes.

Gruß,
der Micha

 

[7digit]

Ich glaube du vergisst da was. Im Fall Microsoft, geht es halt einfach nur ums OS. Kein Windows, kein grösster Softwarehersteller. Kein OS kein Microsoft. Die anderen Standbeine, helfen dem Moloch, da rein gar nichts.

Das verstehe ich nicht. Meinst du, dass MS = Windows ist? Das wäre ein Trugschluss.

Im dem Artikel geht es natürlich nur um Windows, und deshalb greift er zu kurz...

 

[Freddy K.]

...Das verstehe ich nicht. Meinst du, dass MS = Windows ist? Das wäre ein Trugschluss...

Ja, ich glaube MS=Windows. Warum wäre das ein Trugschluss?

 

[7digit]

XP wollte am Anfang doch auch keiner haben. Echt witzig wie schnell solche Sachen vergessen werden.
Ich bin aber auch der Meinung das Vista über kurz oder lang, auf den meisten Firmenrechnern laufen wird.

Obwohl ich schon der Meinung bin, dass Vista einen wesentlich zäheren Start hat als XP gebe ich Dir in dieser Beobachtung recht.
Egal welche Version, immer wurde rumgemäkelt und immer hieß es am Anfang "das braucht keiner!" (Und nur bei Windows ME war es richtig :.).

Was anderes habe ich ja auch nicht geschrieben: Vista entwickelt sich nicht so wie anfangs XP. Das hat sich nicht so entwickelt wie anfangs WIN95 usw.

Und was hatten wir am Ende? 95 und XP überall.

Ich glaube, die Argumente "das braucht keiner" und "das Alte funktioniert doch" tauchen bei jedem neuen Produkut auf, ob Vista, Leo, das Macbook Air, der eee-PC oder nur ein MBP-Upgrade. Ist ja auch verständlich. Trotzdem sollte man von ein solchen Äußerungen nicht auf den letzetndlichen Erfolg des Produkts schließen, der wird zu einem großen Teil auch woanders entschieden - etwa durch gutes Marketing, das die Zweifler übertönt.

 

[7digit]

Ja, ich glaube MS=Windows. Warum wäre das ein Trugschluss?

Kennst Du z.B. die Unternehmenssparte von MS? Von der kriegt man als Normaluser nicht so viel mit, weil sie nicht bei Arlt und Karstadt steht - aber hier ist Microsoft ein beinharter Konkurrent (oder auch Partner, je nach dem) der großen IBM, Oracle und SAP. Und das ist eben die andere Liga als Apple, die ich meine.

Stichwort services-Plattform, Service on Demand, die Übernahme-Versuche von Yahoo usw. - das zeigt doch ganz gut, dass Microsoft die Schlachten auf noch ganz anderen Feldern sieht als nur im OS-Markt. Klar, da müssen sie auch was tun - aber MS ist beileibe nicht nur Windows. Und gerade deshalb meine ich ja, dass das der Artikel vollkommen außer Acht lässt.

 

[jensche]

Stichwort services-Plattform, Service on Demand, die Übernahme-Versuche von Yahoo usw. - das zeigt doch ganz gut, dass Microsoft die Schlachten auf noch ganz anderen Feldern sieht als nur im OS-Markt. Klar, da müssen sie auch was tun - aber MS ist beileibe nicht nur Windows. Und gerade deshalb meine ich ja, dass das der Artikel vollkommen außer Acht lässt.

Ja eben genau, weil sie langsam sehen das sich sich nicht auf dem Standbein OS ausruhen können. Da dies wie im Artikel keine Schutzgürtel mehr hat.

 

[Freddy K.]

... das zeigt doch ganz gut, dass Microsoft die Schlachten auf noch ganz anderen Feldern sieht als nur im OS-Markt ... Und gerade deshalb meine ich ja, dass das der Artikel vollkommen außer Acht lässt.

All diese Dinge stehen und fallen mit Windows, deshalb braucht man sie meiner Meinung nach auch gar nicht alle aufzählen. All dies ist nun mal von Windows in irgendeiner Form abhängig. Microsoft arbeitet stark daran dies zu ändern. Aber noch, denke ich, sind sie nicht so weit. SoD hin oder her, ohne Windows wäre Microsoft doch auch in diesem Bereich nur ein kleines Licht.

 

[7digit]

Ja eben genau, weil sie langsam sehen das sich sich nicht auf dem Standbein OS ausruhen können. Da dies wie im Artikel keine Schutzgürtel mehr hat.

Dss sich die großen IT-Anbieter diserfizieren oder wandeln, ist ja schon seit längerem so und eine natürliche Folge des technischen Fortschritts. Microsoft tut das nicht erst seit heute, genau so wenig wie Apple. Vielleicht brauchen sie dann Windows bald gar nicht mehr - noch ist es aber nicht nur ein Schutzgürtel, sondern ein fetter Rettungsreifen mit Luft für zwei Ballone, während die anderen höchstens Wasserbälle sind. Um bei den Bildern zu bleiben...

 

[Paganethos]

Es ist m.E. erkennbar, dass der Markt der Desktopbetriebssysteme beleuchtet wird. In dem Umfeld ist Apple unbestreitbar die zweite Macht nach Microsoft. Ein kleines Licht, ja, aber es geht ja darum, ob die (im Moment noch) Fackel MS ausbrennt und das (im Moment nur) Zündholz Apple schon im Strohhaufen liegt.

Mir gings eigentlich nicht darum ob Office 2008 die 2004 Files öffnet oder nicht. Obwärtskompatiblität innerhalb einer Softwarefamilie sollte schon Standard sein. Ich dachte eher daran, dass auf meinem aktuellen Rechner nicht mehr umbedingt eine Software von 1993 laufen muss (also das Windows-Altlastenproblem).

 

[Flugapfel]

Super-Artikel!!! Danke dafür.

 

[Beinhorn]

Mac OS 7 mit Quark 3 und Photoshop 3 soll's immer noch geben

da hast du wohl recht...ich mag mir auch nicht in 2 jahren einen neuen mac holen...aber man muss auch die entwicklung berücksichtigen...mal schauen was sich in den nächsten 2 jahren so tut...

Grundsätzlich kann man auch in 15 Jahren mit seinem Rechner weiter arbeiten, wenn er so lange "lebt".
Vorausgesetzt, man ändert weder System noch Programme.

 

[.david]

Guter Artikel, zwei Anmerkungen:

Ein knappes Jahrzehnt später liegt der Linux-Marktanteil - gemessen an Browserstatistiken - bei 0.5 Prozent.

Mit Browserstatistiken lassen sich keine Gesamtmarktanteile messen, sprich der Author scheint an dieser Stelle von Enduserbestriebssystemen auszugehen. Der Serveranteil kann darin nicht enthalten sein. Der Linux Anteil (inkl. aller Derivate: Solaris, AIX, Ultrix, HP-UX) ist immer noch wesentlich höher als der Anteil von MS-OS in Serverfarmen grosser Unternehmen.

In meinen Augen liegt das Problem im Kern des Open-Source-Gedankens: Linux ist zwar ein starkes System, aber eine extrem schwache Plattform. Es fehlt ein starkes Unternehmen, welches die Plattform trägt.

Auch hier: im Enduserbreich mag das stimmen, nicht jedoch im Serverumfeld. Solange Firmen wie IBM von Mainframes bis zu kleinen Webservern Linux unterstützen und aktiv vermarkten, ist MS (und erst recht nicht Vista!) keine wirkliche Bedrohung im Serverumfeld.

Es gibt im übrigen einige Gründe, warum in den grossen Outsourcing- und HostingCentern nachwievor WInServer2003 installiert wrd (wenn überhaupt MS installiert wird).

 

[tjp]

Es gibt im übrigen einige Gründe, warum in den grossen Outsourcing- und HostingCentern nachwievor WInServer2003 installiert wrd (wenn überhaupt MS installiert wird).

HP liefert die Itanium Rechner immer noch mit dieser Win Version aus, und das sind die einzigen Windows Großrechner die es am Markt gibt. Wobei es interessant wäre zu wissen, wer wirklich Windows auf diesem Rechner betreibt und nicht eher HP-UX, OpenVMS oder Linux.

 

[tjp]

Generell sind UNIX-Betriebssysteme aufgrund ihrer typischen Beschränkung der Benutzerberechtigungen nicht so leicht von Viren zu befallen. Hier sind sowohl Prozesse als auch Dateien unterschiedlicher Nutzer sauber und sicher voneinander getrennt.

Das stimmt zwar, aber Apple hinkt der aktuellen UNIX Entwicklung um 5-10 Jahre hinterher. ACLs sind nicht wirklich im OS angekommen (es gibt kein GUI dafür und das wäre bei MacOS X wichtig), Auditing Support gibt's gleich gar nicht, spezielle sichere Programmierschnittstellen für EAL4 oder größer gibt es nicht. Da ist noch ein großes Potential vorhanden das OS zu verbessern.

 

[.david]

Wobei es interessant wäre zu wissen, wer wirklich Windows auf diesem Rechner betreibt und nicht eher HP-UX, OpenVMS oder Linux.

Off-Topic:
Kenne Leute die das machen: meist schnell wachsende "Software-as-a-Service" Unternehmen, die vom SW-Lizenzmodell weg zum on-demand Modell inkl. Betrieb wechseln. Deren SW wurde meist MS basiert entwickelt (Frontend-Anwendungen), muß nun aber aus Performance-/Betriebskostengründen auf Linux portiert werden, weil der Backendteil - mit dem sie vorher nix zu tun hatten - von ihnen betrieben werden muß. Und auf einmal sieht's mit dem Server MS-OS etwas schwieriger aus.

 

[James Grieve]

I
Bei MS schreit jeder auf eine Programm-Monopolstellung. "Weil der InternetExplorer und der Mediaplayer integriert sind, sieht sich niemand mehr nach etwas anderem um"

Moment mal? Wird nicht gerade in diesem Forum hier immer wieder Satz gebraucht "Nimm doch Safari" oder "Nimm doch Mail" in Verbindung mit "das ist alles was du brauchst zudem ists dabei und gratis"
Genauso bei iTunes!

Dafür hält sich wenigstens Safari so gut es geht an Standards. Siehe http://acid3.acidtests.org/

In meinen Augen liegt das Problem im Kern des Open-Source-Gedankens: Linux ist zwar ein starkes System, aber eine extrem schwache Plattform. Es fehlt ein starkes Unternehmen, welches die Plattform trägt.

Habe auch mal irgendwo gehört, dass wohl viele Programmierer der Open-Source Gemeinde sehr tolle Programme schreiben, aber zum Schluss kaum einer Lust hat eine vernünftige GUI darum zu basteln.

 

[larkmiller]

Hey Leute,
mal ne Frage!!!!
.....
Worauf will ich hinaus? Ich fände es Schade wenn ich als angehender Student mir diesen Sommer ein Macbook Pro kaufe und in 2 Jahren ersetzen muss. Da kann ich mir auch ein billigeres System zulegen.

mfg
-Todesengel

Mein Powerbook 1GHz 15" ist Baujahr 12/2003 und 01/2004 gekauft. Funktioniert alles, allerdings deutlich langsamer, ein Intel-Mac wäre wahrscheinlich 2-3x so schnell.

Für mich reicht es. Ach ja, in diesen knapp 4,5 Jahren hatte ich genau eine Kernelpanik :-D


Franze

 

[MacMark]

Das stimmt zwar, aber Apple hinkt der aktuellen UNIX Entwicklung um 5-10 Jahre hinterher. ACLs sind nicht wirklich im OS angekommen (es gibt kein GUI dafür und das wäre bei MacOS X wichtig), Auditing Support gibt's gleich gar nicht, spezielle sichere Programmierschnittstellen für EAL4 oder größer gibt es nicht. Da ist noch ein großes Potential vorhanden das OS zu verbessern.

Lügen, Märchen und FUD! Was soll das, tjp? Verbreitest Du diese Falschinformationen mit Absicht oder aus purer Ignoranz?

ACEs können gesetzt werden per GUI in Leopard

Einträge im Infodialog beeinflussen ACLs in OS X. Die Unterverzeichnisse der User sind beispielsweise besonders geschützt:

KeyWest:~ macmark$ ls -led Documents/
drwx------+ 51 macmark  staff  1734 Mar 21 11:42 Documents/
 0: group:everyone deny delete

Im Finderinfo macht sich dieses Beispiel durch "Name:everyone, Privilege:no access" bemerkbar. Offenbar soll versehentliches Löschen der Standardverzeichnisse verhindert werden damit.
Du kannst aber auch mit der Finderinfo ACEs setzen: "+" klicken, gewünschte User wählen und Recht setzen. Das landet dann als ACE in der ACL:
In Infobox von "mobile" den "joeuser" mit "Read only" hinzugefügt, was folgenden ACE zur Folge hatte:

Miami:~ macmark$ ls -led /Users/macmark/Desktop/mobile 
drwxr-xr-x+ 6 macmark  staff  204 Aug 31  2007 /Users/macmark/Desktop/mobile
 0: user:joeuser allow list,search,readattr,readextattr,readsecurity

Den Eintrag für "joeuser" in der Infobox wieder gelöscht und weg ist der ACE:

Miami:~ macmark$ ls -led /Users/macmark/Desktop/mobile 
drwxr-xr-x  6 macmark  staff  204 Aug 31  2007 /Users/macmark/Desktop/mobile

Security Auditing OS X, Beispiele

http://www.securemac.com/macanalysis.php
http://www.TrustedBSD.org/openbsm.html

Konferenz darüber:
http://www.macworldexpo.com/confere...ia-tools-under-mac-os-x-how-audit-systems-com

Eingebautes Audit in OS X, Beispiele
http://developer.apple.com/documentation/Darwin/Reference/ManPages/man2/auditon.2.html
http://beta.devworld.apple.com/documentation/Darwin/Reference/ManPages/man2/auditctl.2.html
http://developer.apple.com/documentation/Darwin/Reference/ManPages/man8/vfs_audit.8.html
audit(2) - submit a record to the kernel for auditing
auditctl(2) - specify a new file for the audit trail to log to
auditon(2) - configure the current audit parameters on the system
getaudit(2) - get the audit information for the current process
getauid(2) - get the audit user ID of the current process
setaudit(2) - set the audit information for the current process
setauid(2) - set the audit user ID for the calling process
slapo-auditlog(5) - Audit Logging overlay
vfs_audit(8) - record selected Samba VFS operations in the system log
vfs_extd_audit(8) - record selected Samba VFS operations
vfs_full_audit(8) - record Samba VFS operations in the system log


Training von Apple:
http://training.apple.com/itpro/tiger340

EAL: Common Criteria (gibt es schon seit OS X 10.3)
http://www.apple.com/support/security/commoncriteria/

Common Criteria Tools help Leopard meet security standards
http://arstechnica.com/journals/app...ia-tools-help-leopard-meet-security-standards

OS X Security APIs
http://developer.apple.com/document...verview/Architecture/chapter_2_section_7.html

OS X Secure Coding Guide
http://developer.apple.com/documentation/Security/Conceptual/SecureCodingGuide/Introduction.html

Nachtrag:
ACLs sind deutlich komplexer zu konfigurieren als normale Unix-Rechte. Man kann mit ACLs sehr schnell viel falsch machen und ruckzuck hat man es unsicher eingestellt. ACLs bieten nicht mehr Sicherheit als klassische Unix-Datei-Rechte. Sie bieten nur mehr Einstell- und mehr Fehler-Möglichkeiten. ACLs sind daher nicht unbedingt erstrebenswert für den normalen Benutzer.

 

[larkmiller]

Was regst Du dich auf, MacMark?

Tjp ist ein Linuxer, der seinen Spass dran hat, Leute wie Dich zu ärgern. Keinen Mac zu haben und hier rumzusimplen ist wie ein Eunuche im Harem, der weiss, wie Liebe machen funktioniert. Lass ihm den Traum.