Pwn2Own Gewinner: OS X ist sicherer als Windows

[Funksoulbrother]

Du solltest echt mal deine Scheuklappen absetzen.

Dass du auf keine der zitierten Stellen von Steffo mehr als Mutmaßungen als Antwort hast, sagt zum Glück schon mehr als genug über deinen (noch vorhandenen?) Standpunkt aus. Ignorieren hilft dir hier echt nicht weiter.

Aber das Interview sagt mehr als genug aus, wies Momentan um die Systemsicherheiten bei OS X und Windows steht. Wer des Englischen ein bisschen mächtig ist, liest das aus diesem Interview dann auch korrekt heraus.

 

[MacMark]

Ich verbitte mir auch die Unterstellung von "Scheuklappen".

Die Einschätzung von Miller gegenüber der anderen Bugs und Exploits ist pure Spekulation, denn alle Teilnehmer sind zur Geheimhaltung verpflichtet. Er weiß weder, welchen Bug "Niels" verwendet hat, noch wie der Exploit aussieht. Er weiß, nur "was" gehackt wurde, aber nicht "wie" und auch nicht, welcher Bug exploitet wurde. Wie toll oder schwierig er das findet, ist daher vollkommen unerheblich. Er weiß es einfach nicht. Diese Vermutungen als Tatsachen hinzustellen, ist eine extrem schwache Basis für Steffos Beiträge.

Ich empfehle, daß Ihr Euch mit der Funktionsweise von ASLR und gängigen Angriffen, diese zu schlagen, befaßt. ASLR ist so, als ließe man die Haustür unverschlossen, aber positionierte sie jede Nacht auf einer anderen Hausseite.
Diese security by obscurity ist nicht mal 1% so wichtig wie die Trennung von Usern untereinander und vom System, was Abschliessen der Haustür und aller Zimmertüren entspricht.
Bezüglich ASLR besteht Vistas "Vorsprung" nun darin, daß nicht nur die Haustür, sondern auch die Zimmertüren an den Wänden jede Nacht verschoben werden.


Im Gegensatz zu Steffos Spekulation, basiert meine Aussage auf harten Fakten:
Miller war ein Jahr zuvor nicht in der Lage diesen Bug zu exploiten. Er hat es probiert und es war damals zu schwer für ihn. Er hatte nur für den anderen Bug einen Exploit schreiben können.
IE 8 wurde auf Win 7 geknackt trotz all dieser angeblich so tollen Anti-Exploit-Techniken wie ASLR.

 

[CygnusX1]

Ich als "Laie" was hacken angeht, bin jetzt ehrlich gesagt ziemlich verwirrt.

Der eine Hacker sagt, dass MacOSX wesentlich leichter zu hacken sei und er deshalb zB.: die Firefox Sicherheitslücke lieber auf genanntem System herzeigen wollte.

Der Andere singt Lobeshymnen über die viel fortschrittlichere Systemarchitektur und der mit dieser Hand in Hand gehenden Systemsicherheit.
http://www.macmark.de/osx_security.php
Ich für meinen Teil finde das Argument von MacMark, dass das Virenaufkommen nicht direkt mit der Verbreitung zusammenhängt schlüssig.

Das lässt eigentlich nur 3 Schlüsse zu:

1. Der gezielte Angriff eines Hackers auf ein Computersystem, ist absolut nicht mit einem Angriff eines gewöhnlichen Computervirus zu vergleichen, oder

2. alle Mac's dieser Welt werden bereits unbemerkt als Bot-Netz genutzt, da so gut wie kein MacUser ein Antivirenprogramm nutzt. Dieses Szenario halte ich für am Unwahrscheinlichsten, oder

3. einer von beiden kennt sich nicht aus oder lügt bewusst. Das wäre auch vorstellbar, immerhin will Miller mit den Sicherheitslücken Geld machen und wenn er jetzt Apple unter Druck setzt, verspricht er sich davon vielleicht mehr. Bei Apple ist ja im Gegensatz zu Microsoft die Systemsicherheit ein wesentlicher Bestandteil der Werbung.

Ich halte Möglichkeit 1 im Moment für am wahrscheinlichsten, lasse mich aber gern eines besseren belehren, falls noch jemand was konstruktives beizutragen hat.

 

[Bananenbieger]

Ein Tipp für die jenigen, die ASLR als wirksamen Schutz erachten: Einfach mal nach "Kerckhoffs' 2. Prinzip" googlen...

 

[MacMark]

Miller nimmt den Wettbewerb als Werbeveranstaltung für sich und seinen Arbeitgeber wahr:

… I like the idea of coming here and showcasing what I can do and get some headlines for the company I work for …

… Ich mag die Idee, hierherzukommen und in einer Show vorzuführen, was ich so kann, und ein paar Schlagzeilen für die Firma, für die ich arbeite, zu kriegen …

Er hat auch ein Motto ausgegeben: Kein Bug mehr ohne Geld dafür zu bekommen.

Es ist einfach so, daß ASLR und NX total überbewertet werden in der Presse. Für Hacker, die den Namen verdienen, ist das nur eine Bodenwelle auf der Straße. Niels hat das ja bewiesen. Und andere Hacker mit anderen Exploits für andere Bugs schon lange vorher. Es erschwert Exploits etwas, macht das System aber nicht wesentlich sicherer. Da sind andere Dinge wichtiger.

Zu sagen, Windows wäre sicherer als OS X, weil es zur Zeit ASLR etwas breiter verwendet, ist so als wäre die Holzhütte sicherer als die Burg, weil sie in der Hütte die Fenster verdunkeln, damit sie schwerer zu finden sind und dann auf die Burg zeigen: "Guck mal da oben, hinter dem Wassergraben und hinter der Burgmauer, in schwindelnder Höhe, da haben die doch Tatsache Licht im Ballsall an. Da weiß doch jeder Einbrecher sofort, wo die Fenster sind."
Dann Schlagzeile im "Robin-Hood-Anzeiger": Burg leichter zu hacken als Hütte, weil man die Fenster sofort sieht.

 

[Jamsven]

1. Der gezielte Angriff eines Hackers auf ein Computersystem, ist absolut nicht mit einem Angriff eines gewöhnlichen Computervirus zu vergleichen, oder

Ja ein gezielter Angriff ist wirklich viel gefährlicher als ein "Broadcast".

Ich sehe das eher so, dass Microsoft versucht die Designschwächen von Windows über ASLR und Co zu kitten. Während Apple mit dem UNIX Background die für einen Internet-Multiuser OS beste Architektur nutzt.

 

[Piefke²]

Ich glaube das dieser Artikel hier mehr Aufschluss über diesen Wettbewerb bietet:

http://www.macnotes.de/2009/03/19/pwn2own-contest-safari-in-wenigen-sekunden-geknackt/

Und für mich zählt einfach nur dieses Zitat egal ob ich Windows oder Appleuser bin:

Jeff Jones, Chef der Sicherheitsabteilung bei Microsoft, hält vom Wettbewerb selbst nicht viel: “Sicherheit wird vereinfacht bis zum Punkt der absoluten Nutzlosigkeit,” so Jones. Bereits im letzten Jahr erläuterte er das noch genauer: “Ich interessiere mich für diesen Contest nicht. Wenn ein Rechner nicht gehackt wird, heißt das nicht, dass er nicht hackbar ist. Und wenn er gehackt wird, zeigt das uns meist das, was wir ohnehin schon wissen. Jeder Rechner kann unter den richtigen Umständen geknackt werden.”

Amen!

Ich kann aus meinen Erfahrungen sagen, dass es für mich eine gute Entscheidung war von Windows zu Mac und dann eben auch zu OSX zu wechseln... Ich bin früher mit Windows fast verzweifelt, ständige Abstürze ect. pp und das hab ich jetzt nicht mehr... Klar kann ich meinen Windowsrechner mit diversen Patches und Programmen auch sehr gut zum laufen bringen, aber da nutz ich meine Freizeit doch besser (in meinen augen) als mich den ganzen Tag vor den Laptop/PC zu setzen und mich einzuarbeiten und mit diversen Problemen rumzuschlagen... Und das hab ich beim Mac einfach nicht mehr...

Es ist nicht so, dass ich mich mit Windows nicht auskenne o.ä. oder ich Macs mit extremen Abstand vor Microsoft und Windows setze aber ich hab mein Geld in mein Macbook investiert, weil ich in absehbarer Zeit doch mehr mit Grafiken, Fotos und Filmen zu tun habe, weil ich in ein funktionierndes System investieren wollte (und auch habe) und in ein gutaussehendes Notebook (und nein ich habe keinen Goldesel). Und ich denke Macs sind eben ein stück weit einfach etwas davon verschont geblieben was Viren, Trojaner usw. angeht... Woran das liegt, ob an der Verbreitung der Systeme bla bla, dass is mir echt egal aber dsa war eben auch ein Grund für den Kauf...

Und im nachhinein is mir das Geld absolut nicht zu schade und ich bereue nichts... Und selbst wenn mein Macbook extrem anfällig auf Viren wäre. Und das hat auch nix mit einer rosaroten Applebrille zu tun, dass liegt an o.g. Gründen

 

[eerie]

Ich glaube das dieser Artikel hier mehr Aufschluss über diesen Wettbewerb bietet:
http://www.macnotes.de/2009/03/19/pwn2own-contest-safari-in-wenigen-sekunden-geknackt/

na bitte, es geht also auch anders.

der artikel auf macnotes ist informativ, fasst die wichtigsten aspekte des wettbewerbs zusammen und ist nebenbei auch noch objektiv ... ein tugend die man bei at-artikeln leider häufig vermisst - gell herr blum

und wenn man halbwegs bei der wahrheit bleibt würden die diskussionen sicher auch nicht so ausufern wie hier teilweise ...

eerie

 

[deitersc]

Danke für die interessanten Beiträge, insbesondere von Steffo und MacMark.
Schön dass es auch noch ein paar weitere Mac-User gibt, die sich nicht so leicht blenden lassen von falscher Berichterstattung. Der News-Artikel ist dieses Mal wirklich mehr als schwach ...

 

[Doms]

Das wundert mich jetzt, dass Mac sicherer ist als Windows. Ich dachte man kann Mac innerhalb kürzester Zeit hacken.

Ich frage mich welche Witzbolde diesen Beitrag schlecht bewertet haben. Ist doch wohl logisch, dass ein User mit 700+ Beiträgen, der über einem Jahr in einem Apple-Forum registriert ist, weiß dass Mac sicherer ist als Windows.

War die Ironie schon zu Ironisch? Oder fehlte der Ironie Smiley?

 

[MacMark]

Ich glaube das dieser Artikel hier mehr Aufschluss über diesen Wettbewerb bietet:

http://www.macnotes.de/2009/03/19/pwn2own-contest-safari-in-wenigen-sekunden-geknackt/…

… wo es heißt:

… hat es lediglich einige Sekunden gedauert, bis eine Lücke in Safari geknackt wurde… Kampf der Betriebssysteme und Browser, den Apple in diesem Jahr recht eindeutig verloren hat …

Die üblichen falschen Schlagzeilen ohne Verstand:

1. Wurden nur die erarbeiteten Exploits vorgeführt. Das Klicken auf den Link dazu dauerte "lediglich einige Sekunden", nicht aber das Hacken von Safari. Miller bereitete sich seit über einem Jahr mit diesem Bug vor (wenn auch nicht Vollzeit), aber dennoch über diesen Zeitraum. "Gehackt in einem Jahr" wäre korrekt.
2. Wurde die Reihenfolge ausgelost. "Eindeutig verloren" ist also Unfug. Eindeutig Zufall ist korrekt.

 

[MacMark]

… nebenbei auch noch objektiv ... ein tugend die man bei at-artikeln leider häufig vermisst - gell herr blum

und wenn man halbwegs bei der wahrheit bleibt …

Du tust ihm Unrecht. Miller hat tatsächlich gesagt, was in der AT-Schlagzeile steht. Kann man überall nachlesen. Auch hier:
http://www.osnews.com/story/21213/Miller_Macs_Less_Secure_But_Safer_than_Windows_Machines
http://arstechnica.com/apple/news/2...ays-macs-are-more-safe-though-less-secure.ars

If pressed to recommend an OS between Windows, Linux, or Mac OS X to an average user, Miller would still choose Mac OS X. "I'd say that Macs are less secure for the reasons we've discussed here—lack of anti-exploitation technologies—but are more safe because there simply isn't much malware out there," concluded Miller

 

[eerie]

Du tust ihm Unrecht. Miller hat tatsächlich gesagt, was in der AT-Schlagzeile steht.

"I'd say that Macs are less secure for the reasons we've discussed here—lack of anti-exploitation technologies—but are more safe because there simply isn't much malware out there," concluded Miller

übersetzt: "ich würd sagen macs (also das system an sich!) sind unsicherer - weil einige technologien fehlen ... aber gefahrloser zu verwenden weil es keinen interessiert malware dafür zu schreiben."

umgemünzt auf ein anderes beispiel würde es so lauten:
einen hyundai kann man sehr leicht aufbrechen (das auto an sich!) - weil keine wegfahrsperre etc. ... wird aber bei einem polen aufenthalt nicht so häufig geklaut wie ein audi.

und die autotalk-schlagzeile wäre demzufolge:
hyundais haben ein besseres diebstahlsystem als audis.

 

[Jamsven]

übersetzt: "ich würd sagen macs (also das system an sich!) sind unsicherer - weil einige technologien fehlen ... aber gefahrloser zu verwenden weil es keinen interessiert malware dafür zu schreiben."

umgemünzt auf ein anderes beispiel würde es so lauten:
einen hyundai kann man sehr leicht aufbrechen (das auto an sich!) - weil keine wegfahrsperre etc. ... wird aber bei einem polen aufenthalt nicht so häufig geklaut wie ein audi.

und die autotalk-schlagzeile wäre demzufolge:
hyundais haben ein besseres diebstahlsystem als audis.

Sicher macht ASLR auch Vista nicht, da es nicht schützt sondern tarnt.

 

[MacMark]

übersetzt: "ich würd sagen macs (also das system an sich!) sind unsicherer - weil einige technologien fehlen ... aber gefahrloser zu verwenden weil es keinen interessiert malware dafür zu schreiben."…

Nein, sondern:

"I'd say that Macs are less secure for the reasons we've discussed here—lack of anti-exploitation technologies—but are more safe because there simply isn't much malware out there," concluded Miller

Deutsch:

Ich würde sagen, daß Mas zwar weniger abgesichert sind aus den Gründen, die wir hier diskutiert haben, also bezogen auf das Fehlen von Anti-Exploit-Techniken, aber sicherer sind, weil es schlicht und ergreifend kaum Malware dafür gibt.

Noch deutscher:

Trotz unvollständiger Implementation von Anti-Exploit-Techniken ist OS X sicher genug, um nicht die Flut von Malware zu bekommen wie Windows.

Dazu ist zu sagen, daß diese Anti-Exploit-Techniken tatsächlich keinen echten Schutz bieten, sondern nur etwas mehr Aufwand erforderlich machen.
Daß Macs wenig Malware haben, ist Tatsache. OS X hat die zahlreichen Architekurfehler von Windows nicht (siehe meine Seite für eine ausführliche Liste). Ob dies nun mit oder ohne Senf, ähem, mit oder ohne ASLR ist oder nicht, ist nur die Sahne auf dem Kuchen. Windows hat fette grundlegende Fehler (siehe meine Seite), die OS X nicht hat. ASLR und NX reissen es dann auch nicht mehr raus. Das ist allenfalls nice-to-have.

Miller ist übrigens mehrfacher Mac-User …

 

[Baum]

Hallo MacMark,

wie passt denn deine Übersetzung mit dem direkt Folgenden Satz von Charlie Miller zusammen?

For now, I'd still recommend Macs for typical users as the odds of something targeting them are so low that they might go years without seeing any malware, even though if an attacker cared to target them it would be easier for them.

Das spricht für mich eher für die Übersetzung von eerie. Warum sollte ein System welches sicherer ist einfacher durch gezielte Angriffe geknackt werden?

 

[Bananenbieger]

Wie gesagt: Es kommt nicht darauf an, ob man durch einen Hack Schaden im System verursachen kann.
Was nützt es einem Einbrecher, wenn er in ein Haus zwar einbrechen kann, aber nur in einen leeren Kellerraum ohne Verbindung zum restlichen Haus gelangen kann.
Würde OSX so einfach zu hacken sein, hätten wir jetzt schon eine riesige Malware-Flut für OSX. Denn auch die paar Prozent Marktanteil von OSX sind Millionen von Rechnern und somit ein lohnendes Ziel für Malware-Angriffe (auch hier: Es wurden schon Systeme angegriffen, die auf deutlich weniger Rechner liefen als Mac OS X).

 

[MacAlzenau]

HWarum sollte ein System welches sicherer ist einfacher durch gezielte Angriffe geknackt werden?

Also für mich als Normalnutzer ist höhere Sicherheit dann gegeben, wenn mein System gegen eher zufällige Angriffe, Viren und so weiter einigermaßen sicher ist.
Ein gezielter Angriff, also speziell auf meinen Rechner, mit Arbeitsaufwand für den Schnüffler, ist doch eher unwahrscheinlich, betrifft mich weniger.
Firmen sehen das sicher anders, benötigen andere Sicherheitsstrategien.

 

[MacMark]

... Warum sollte ein System welches sicherer ist einfacher durch gezielte Angriffe geknackt werden?

Es wurden keine Systeme geknackt. Es wurde immer nur Code im Browser-Prozeß ausgeführt. Miller war nicht root.

Das "easier" bezieht sich wieder nur darauf, daß beim Ausnutzen eines Bugs in einer Anwendung der Code nicht erst noch gesucht werden muß, weil Code von Anwendungen nicht an zufälliger Stelle im Speicher positioniert wird von OS X.

Das "target them" bedeutet "Macs angreifen". Es geht nicht um gezielte Angriffe auf einzelne Rechner.

 

[MacMark]

... Im Vergangenen Pwn2Own-Contest hast du hingegen in einem deiner Artikel hervorgehoben, dass Safari noch jung ist. ...

Falsch. Das war einfach nur die Angabe, wann der iPhone-Hack war und daß es um Medienwirksamkeit zum Produktstart ging. Die Hervorhebung (Fettdruck) hast Du gemacht.

Der Hack des iPhones basierte, obwohl das iPhone frisch war, auf einem ebenfalls lange (halbes Jahr circa) bekannten Bug und erlaubte entsprechend viel Vorbereitungszeit.

Der Hack des IE auf Win7 basiert auf neuem, nicht so lange bekanntem Bug. Das heißt, sie hatten für den IE-Windows-Hack, der ASLR umgehen mußte, weniger Zeit als für den Safari-OS X-Hack, der ASLR nicht umgehen mußte. Das zeigt, daß ASLR sie nicht die Bohne aufgehalten hat.