Habe nur ich den Eindruck, daß unter FreeBSD die Zahl der fließend benutzbaren Browser ziemlich beschränkt ist?

[PMc]

Ich sag mal, das ich arge Zweifel habe, das Du wirklich alles überblickst. Klar. Bei einzelnen Programmen ist das noch realistisch. Hier wie halt die Firefox-Geschichte von Dir.
Aber ein komplettes System mit allem drum und dran?

Versteh' mich nicht falsch. Ich möchte Dir da keinesfalls zu Nahe treten oder so. Und vielleicht reden wir da auch nur aneinander vorbei.

Kein Problem, You're welcome. Selbstverständlich überblicke ich NICHT alles. Ich bin lediglich sehr angstlos und weiss, dass man -mit genug Hartnäckigkeit- alles rausfinden kann, weil es ja auf der Platte rumliegt. Und mit jeder solchen Aktion überblicke ich dann wieder ein bischen mehr. Und da ich das jetzt schon seit Freebsd-2.1.6 so halte - nunja...

Aber es gibt auch genug sachen, wo ich nicht soweit gekommen bin, um einzudringen. ZB wollte ich immer mal schauen wie man selber Gerätetreiber schreibt, und bin nie dazu gekommen.

 

[Kathodenwanne]

Leute, bevor ihr ernsthaft hier diskutiert wieso es keine völlig bekloppte Idee ist einen alten Browser zu nutzen oder sein OS nicht aktuell zu halten, erzählt doch mal wo das Problem liegt, mit dem aktuellen Browser und dem aktuellen OS?

Genau das versuche ich ja in der einen oder andern Form rüber zu bringen. Bisher ernte ich aber eher Unverständnis.

Ich beginne mal mit der Beschreibung und dem Funktionsumfang aktueller Browser.

• HTML5 bietet in Sachen der Programmierung sehr viele Möglichkeiten
• JavaScript bietet auch sehr viele Möglichkeiten
• verfügen über einen imensen Funktionsumfang
• sind monolitisch aufgebaut
• gehen bei den Add-Ons einen restrictiven Weg

Mir persönlich hat der Firefox deswegen gefallen, dass dieser eine Basis darstellte und ich diesen nach meinen Wünschen gestalten konnte. Das Zauberwort hieß Add-Ons. Dies möchte Mozilla Org nicht mehr und hat auch Dinge wie die NewsGroups aus dem Browser geworfen. Bei Chrome sieht dies ähnlich aus.

Um noch mal auf den Thread-Opener einzugehen, dieser hat ja die Funktionalität der Browser unter BSD an sich moniert, bzw. die Arbeitsweise bei der Darstellung. Er hat recht, keine Frage. Es gibt nur zwei Lager: Chromium und FireFox oder das war es dann.....

 

[medV2]

Der Funktionsumfang aktueller Browser ist also das Problem? Ohne diesen Funktionsumfang kann man aber die meisten Seiten im Web nicht nutzen. Sry aber für mich hört sich das nach Fortschrittsverweigerung und "früher war alles besser" an.
Noch nie war es so einfach wie jetzt für Jedermann auf alle möglichen Dienste im Web zuzugreifen. Und das sollte so sicher wie möglich gemacht werden, nicht die Funktionen eingestellt, dass man wieder für jeden Furz einen eigenen bloated Client braucht den keiner bedienen kann wie früher.

 

[Andy_m4]

Dass ein Browser einen Cache benötigt und ein Verzeichnis wo die Downloads abgelegt wrden, dass konnten die schon in den 90ern

Ja konnten sie. Das ist aber doch gar nicht der Punkt. Der Punkt war: Warum brauchen Browser Browser mehr Rechte als "nötig". Also man könnte gut einen Browser bauen der überhaupt keine Dateizugriffe braucht. Der würde auch funktionieren. Man macht es halt aber aus praktischen Gründen nicht.
Man kann es aber dennoch separieren. Eine Möglichkeit (wie auch jeder User darauf Einfluss nehmen kann) wäre ihn in einen eigenen Account einzusperren.
Generell gibts viele Möglichkeiten etwas zu verbessern. Und hin und wieder wird das ja auch gemacht. :-)

Wenn man bestimmte Dinge nicht tut, dann aber nicht nur deshalb weil Programmierer heutzutage keine Ahnung haben oder so, sondern manchmal gibts auch handfeste praktische Gründe.

Spannender sind doch eher die Neuerungen wie Cookies, Tracking und der andere Stoff. In Verbindung mit HTML5 und JavaScript sprechen wir doch hier eher von einem BS innerhalb des BS.

Ja. Das ist auch ein stückweit so. Der Browser ist sozusagen das emacs oder den Fileviewern. :-)

Das mit der Sandbox halte ich persönlich für Augenwischerei.

Jaein. Also klar. Es ist ein zweischneidiges Schwert. Weil dem potentiellen Sicherheitsgewinn steht natürlich auch höherer Komplexität gegenüber, was den vermeintlichen Sicherheitsheitsgewinn schmälert, egalisiert oder sogar ins Gegenteil verkehrt. Nur das gilt so ziemlich für alle Sicherheitsfunktionen. Man muss halt im Einzelfall gucken was wie gut funktioniert.

Ja klar. Wieso kann der Browser das denn sowieso? Und genau das ist doch ein spannender Punkt: Auf welche Dateien möchte der Browser denn zugreifen wollen, bzw. müssen?

Also im Prinzip kann man den Browser auch so einschränken, das der nur noch auf seine Dateien zugreifen kann. Wie gesagt. Die einfachste Maßnahme die da auch jeder User machen kann ist ein eigener Useraccount. Aber moderne Betriebssysteme stellen auch Funktionalitäten bereit, die ein feingranulares Rechtevergeben erlauben. Man denke nur an Seccomp bei Linux, Capsicum bei FreeBSD oder pledge/unveil bei OpenBSD.
Das wird teilweise auch genutzt. Das Problem ist hierbei halt nur, das Du da betriebssystemspezifischen Code mit einbauen musst. Diese Sicherheitsfeatures funktionieren halt alle unterschiedlich.
Das wird aber von den Browserherstellern auch durchaus gemacht und genutzt für z.B. die Sandbox-Funktionalität.

Aber schön, dass Du mir dies unterstellen möchtest.

Ich wollte Dir nix unterstellen. Ich hab geäußert, wie ich es verstanden hab.
Du hast dann die Möglichkeit das richtig zu stellen (was Du ja dann auch mehr oder weniger getan hast).
Und damit ist doch alles in Ordnung.

Diese Aussage ist, unter bestimmten Aspekten sogar richtig.

Klar. Ich würde hier doch keine falschen Aussagen tätigen. :-)

 

[Andy_m4]

Noch nie war es so einfach wie jetzt für Jedermann auf alle möglichen Dienste im Web zuzugreifen. Und das sollte so sicher wie möglich gemacht werden, nicht die Funktionen eingestellt, dass man wieder für jeden Furz einen eigenen bloated Client braucht den keiner bedienen kann wie früher.

Naja. Jetzt hast Du halt ein extremly-bloated Browser. Ob das nun unbedingt besser ist, sei mal dahingestellt.
Früher war es ja auch mal usus das Browser für Dinge die was anderes waren als HTML/CSS eine Plugin-Schnittstelle hatten. Ok. Optimal war das nicht, weil die Plugins auch oftmals eher dürftig programmiert waren. Aber immerhin hatte man damit ne Möglichkeit Features gezielt rein oder raus zu nehmen. Du konntest halt beispielsweise nur Videos abspielen wenn Du auch ein entsprechendes Plugin hattest. Und wenn Du das partout nicht wolltest dann hast Du Dir halt das Plugin nicht installiert. Hattest das dann auch halt nicht als potentielle Angriffsfläche.

Ich will hier explizit nicht in eine früher-war-alles-besser-Rhetorik verfallen. Weil das hatte (wie auch schon angedeutet) in der Praxis auch ein paar Nachteile. Aber die grundsätzliche Idee ein modulares Programm zu haben was Du Dir dann zusammenstöpselst finde ich generell nicht verkehrt.
Für den sogenannten unbedarften Anwender kann man ja dann auch ein rundum-Sorglos-Download anbieten, wo er alle Plugins mit dabei hat und von Farmville bis Netflix alles machen kann. Und der der es ein wenig individueller gestaltet haben möchte, kann dies aber auch tun.

Das wir davon weg sind finde ich da ein bisschen schade.

 

[Andy_m4]

Dies möchte Mozilla Org nicht mehr und hat auch Dinge wie die NewsGroups aus dem Browser geworfen.

Nu macht mal ein Browserhersteller eine komplexitätsreduzierende Maßnahme und dann ist das auch wieder nicht richtig. :-)

 

[medV2]

Für den sogenannten unbedarften Anwender kann man ja dann auch ein rundum-Sorglos-Download anbieten, wo er alle Plugins mit dabei hat und von Farmville bis Netflix alles machen kann. Und der der es ein wenig individueller gestaltet haben möchte, kann dies aber auch tun.

Das wir davon weg sind finde ich da ein bisschen schade.

Das ist der Browser in der Standardeinstellung. Das ist auch korrekt. Für Leute "wie uns" kann man auch einen normalen Firefox sehr gut absichern. Autoplay von Videos? Kann man abdrehn. Automatisches nachladen von externen Inhalten? Kann man ausstellen. Man will kein JS? Kann man abstellen, bzw. mit Plugins für einzelne Seiten konfigurieren. Besondere Cookie-Einstellungen? Machbar.

Ja die Funktionalit ist prinzipiell vorhanden. Aber das ist auch egal, RAM und SSD Speicher kostet nichts.

 

[Kathodenwanne]

Der Funktionsumfang aktueller Browser ist also das Problem? Ohne diesen Funktionsumfang kann man aber die meisten Seiten im Web nicht nutzen. Sry aber für mich hört sich das nach Fortschrittsverweigerung und "früher war alles besser" an.

Also auch hier wieder das Problem: "Die Katze beißt sich in den eigenen Schwanz". Blöd nur, dass der Nutzer als Nutznießer komplett aussen vor ist. Da Du ja von der besonders fortschrittlichen Sorte bist, dann kannst Du mir mal erklären, welchen Vorteil der Nutzer aus diesem Funktionsumfang hat. Und ja, ohne JavaScript kann man die wenigsten Seiten im Netz richtig darstellen und benutzen. Sofern Du meine Posts gelesen hast, sollte dir aufgefallen sein, dass ich dies bereits angemerkt habe.

Noch nie war es so einfach wie jetzt für Jedermann auf alle möglichen Dienste im Web zuzugreifen. Und das sollte so sicher wie möglich gemacht werden, nicht die Funktionen eingestellt, dass man wieder für jeden Furz einen eigenen bloated Client braucht den keiner bedienen kann wie früher.

Einfach und sicher oder Qualität und billig, das sind Dinge die sich gegenseitig ausschließen. Seit 2000 nehmen die Assistenzsysteme in Autos immer mehr zu. In Anbetracht der Verkehrstoten ist das wohl ein falscher Weg gewesen, denn diese nehmen nicht ab sondern halten das Niveau. Sicherheit scheint also nicht mit den vorhandenen Funktionen gekoppelt zu sein, sondern wohl eher mit dem Wissen der Nutzer. Und hier haben wir das ganz große Problem: Nutzer, Wissen und Computer. Wie heißt es noch so schön, dass das grösste Sicherheitsrisiko zwischen Tastatur und Rückenlehne des Bürostuhls befindet?

Wer sollte bitte ein Interesse haben dass ein Browser sicher ist? Goggle? Die Werbeindustrie? Die Spammer? Die Geheimdienste.... ach nee, das ist ja Snowden und VT.... geht gar nicht.... Sicher geht nur mit einfach. Also dem UNIX-Prinzip: Für jede Aufgabe ein eigenes Tool. Das kann nur eines, dafür aber richtig. Und für alles andere, gibt es die Pipe.....

 

[Kathodenwanne]

Nu macht mal ein Browserhersteller eine komplexitätsreduzierende Maßnahme und dann ist das auch wieder nicht richtig. :-)

Genau. Und nimmt dafür dann die PDF-Darstellung mit hinein. Hätten die jetzt nur die Newsgroups entsorgt.... hat das eh jemand genutzt?.... okay, das hätte ich verstanden. Aber auch die ganzen anderen Design-Entscheidungen waren doch schon mehr als grenzwertig. Basis-Browser plus Add-Ons, das wäre mal wieder ein echter Brüller. Gab es mal.... hieß auch FireFox.... damals noch nicht FatFox.

 

[medV2]

Da Du ja von der besonders fortschrittlichen Sorte bist, dann kannst Du mir mal erklären, welchen Vorteil der Nutzer aus diesem Funktionsumfang hat.

Du willst jetzt nicht ernsthaft das ich dir den Mehrwert von Funktionalität erkläre? Das ist doch getrolle.

Einfach und sicher oder Qualität und billig, das sind Dinge die sich gegenseitig ausschließen. Seit 2000 nehmen die Assistenzsysteme in Autos immer mehr zu. In Anbetracht der Verkehrstoten ist das wohl ein falscher Weg gewesen, denn diese nehmen nicht ab sondern halten das Niveau. Sicherheit scheint also nicht mit den vorhandenen Funktionen gekoppelt zu sein, sondern wohl eher mit dem Wissen der Nutzer. Und hier haben wir das ganz große Problem: Nutzer, Wissen und Computer. Wie heißt es noch so schön, dass das grösste Sicherheitsrisiko zwischen Tastatur und Rückenlehne des Bürostuhls befindet?

Wenn sonst nichts mehr einfällt muss natürlich ein Autovergleich kommen. Aber es geht hier um Browser und die wurden in den letzten Jahren immer sicherer. Man bedenke die Zeiten von IE6, JavaApplets und Flash. Alles Geschichte.

Wir sprechen hier auch nicht generell über Risikien, dass der User immer das größte Problem sein wird ist keine neue Weißheit. Es geht hier um den Browser im speziellen und die aktualität von SW im allgemeinen. Und bis auf Nebelgranaten hab ich von dir da noch wenig zu gehört.

Wer sollte bitte ein Interesse haben dass ein Browser sicher ist? Goggle? Die Werbeindustrie? Die Spammer? Die Geheimdienste.... ach nee, das ist ja Snowden und VT.... geht gar nicht.... Sicher geht nur mit einfach. Also dem UNIX-Prinzip: Für jede Aufgabe ein eigenes Tool. Das kann nur eines, dafür aber richtig. Und für alles andere, gibt es die Pipe.....

Aluhutalarm!

 

[Yamagi]

Wenn sonst nichts mehr einfällt muss natürlich ein Autovergleich kommen. Aber es geht hier um Browser und die wurden in den letzten Jahren immer sicherer.

Was auch gerne vergessen wird, ist der Themenbereich Sicherheitsarchitektur oder deren Fehlen und damit verbunden der mögliche Schaden eines erfolgreichen Angriffs. Als Beispiel wird der Firefox integrierter PDF-Viewer pdf.js in einem Content-Prozess ausgeführt, der auf Sandbox Level 4 eingeschränkt ist. Das ist die Ebene mit den geringsten Rechten, den entsprechenden Prozessen ist nahezu alle Interaktion mit dem umgebenden System verboten. Sie haben keinen Dateisystemzugriff, keinen Netzwerkzugriff, die meisten Syscalls einschließlich Prozesserstellung sind blockiert und so weiter. Nun hat pdf.js für sich genommen bereits einen sehr guten Security Track, 8 CVEs seit der ersten Version. Gelingt es einem Angreifer dennoch über eine Lücke in pdf.js in den umgebenden Prozess zu gelangen, ist er durch Firefox Sicherheitsarchitektur immer noch extrem eingeschränkt und der Schaden, den er potentiell anrichten kann, entsprechend gering.

Dagegen ist Poppler, praktisch alle verbreiteten freien PDF-Reader basieren auf Poppler, eine ganz klassiche monolithische Bibliothek ohne nennenswerte Sicherheitheistarchitektur. Soweit mir bekannt nutzen die Reader die Bibliothek zudem ohne weitere Vorkehrungen direkt im Hauptprozess. Gelingt es einem Angreifer durch eine Lücke in Poppler den PDF-Reader Prozess zu hijacken, verfügt er damit über alle Rechte des Nutzers, der den Prozess gestartet hat. Der potentielle Schaden ist somit hoch. Poppler hat seit der ersten Version 111 CVEs. Acrobat, in der Windows Welt sicherlich immer noch der verbreitetste PDF-Reader, sogar gigantische 1864 CVEs!

Unter dem Strich dürfte es daher wesentlich sicherer sein PDFs unbekannter Herkunft in pdf.js in einem aktuellem Firefox zu öffnen, als es im Dateisystem zu speichern und es mit einem poppler-basierten PDF-Reader oder sogar Acrobat zu öffnen. PDF ist nur ein Beispiel. Sehr viele ältere Software, das schließt noch aktiv weiterentwickelte Software mit ein, verfügt über keine für das Jahr 2021 adäquate Sicherheitsarchitektur. Sitzt man in seinem Elfenbeinturm und gönnt es sich wegen der ach so bösen "BWLer" - wer auch immer das sein soll, denn eigentlich möchten gearde die Kaufleute vermeiden, dass die Versicherung nach einem erfolgreichen Angriff den Ersatz verweigert - Patches für aktuelle Lücken erst einmal ausführlich für Tage oder Wochen noch einmal selbst zu testen, ist die Katastrophe vorprogrammiert. Grob skizziert so, lässt sich natürlich weiterspinnen: Ein Angreifer erlangt durch eine direkt am Internet hängende Zugriff auf einen Desktop. Er scannt die Maschine, identifiziert ungepatchte Programme. Diese sind eben wegen der fehlenden Sicherheitsarchitektur leichte Opfer. Sie werden über die Lücken infiltriert, darüber zum Beispiel Daten manipuliert. Diese Daten werden von anderen Nutzern der gleichen Organisation geöffnet oder mit etwas Glück für den Angreifer nach außen übertragen. So frisst sich der Angreifer von System zu System. Irgendwann gelangt er an Adminrechte, an Keys und Passwörter und so weiter. Und dann ist vorbei.

 

[Kathodenwanne]

Du willst jetzt nicht ernsthaft das ich dir den Mehrwert von Funktionalität erkläre? Das ist doch getrolle.

Bitte lies meinen Satz noch einmal durch und überprüfe dann deine eigene Frage: ...dann kannst Du mir mal erklären, welchen Vorteil der Nutzer aus diesem Funktionsumfang hat. Ich hatte dich nicht gefragt, was der Mehrwert von Funktionalität im Einzelnen ist, sondern welchen Nutzen der Endanwender bei dem derzeit erweiterten Funktionsumfang bei Browsern hat? Es darf auch gerne ins Detail gehen.

Wenn sonst nichts mehr einfällt muss natürlich ein Autovergleich kommen. Aber es geht hier um Browser und die wurden in den letzten Jahren immer sicherer. Man bedenke die Zeiten von IE6, JavaApplets und Flash. Alles Geschichte.

Alles Geschichte, aha. Da spricht ein echter Experte. Der IE6 ist in einigen Bereichen von Verwaltungen lebendig. Da laufen die Uhren ganz anders. Die Hansel haben sich die Software direkt für den Browser programmieren lassen. Vorrausschauendes Denken war halt noch nie eine Stärke der öffentlichen Hand. Bei Flash täusch dich mal auch nicht. Nur weil dies bei Browsern offiziell nicht mehr unterstützt wird, bedeutet dies noch lange nicht, dass diese Software nicht noch im Einsatz ist. Vor etwa einem halben Jahr hatte ich von einem Programm aus dem buchhaltherischen gehört, dass dies auf Basis von Flash gestrickt wurde. Kann man machen..... ist dann aber Sch..... nun ja, ist halt so.
Ich könnte auch ein Beispiel aus der Medizin bringen. Wäre dir das lieber? Warum kommst Du nicht mal mit deinen Fakten rüber, das wird doch sonst langweilig.

Wir sprechen hier auch nicht generell über Risikien, dass der User immer das größte Problem sein wird ist keine neue Weißheit. Es geht hier um den Browser im speziellen und die aktualität von SW im allgemeinen. Und bis auf Nebelgranaten hab ich von dir da noch wenig zu gehört.

Wenn Du die Posts von mir auch lesen würdest, dann wäre dir aufgefallen, dass ich den Endanwender in diesem Falle sogar in Schutz nehme. Aber schön, dass Du das Layer 8 Problem kennst. Die heutigen Browser sind völligst überladen, aufgebläht und nicht mehr wartbar. Allein, wenn man sich die Abhängigkeiten bei einer Installation von einem FireFox ansieht, dann klappt doch die Kinnlade nach unten. Mit den 100 MB nach dem Entpacken ist es ja nicht gewesen. Da fragt man sich dann hoffentlich wohl doch, wozu das ganze Code-Gedönse dient. Dann werden noch im laufenden Betrieb Dinge nachgeladen welche man nicht kontrollieren kann. Und das soll jetzt sicherer sein als ein Browser von vor 25 Jahren? Ich persönlich habe da meine Vorbehalte, Du kannst das ja anders sehen. Es kommt übrigens darauf an, wie man Sicherheit definiert!

Aluhutalarm!

Du bestätigst also, dass Du keine Argumente mehr hast und einfach nur flamen möchtest. Steht dir ja frei.

 

[Andy_m4]

Ja die Funktionalit ist prinzipiell vorhanden. Aber das ist auch egal, RAM und SSD Speicher kostet nichts.

Es geht dabei doch nicht um Speicherplatz. Aber um so komplexer eine Software ist, umso mehr potentielle Angriffsfläche hast Du. Auch wenn sie abgeschaltet ist.

Allein, wenn man sich die Abhängigkeiten bei einer Installation von einem FireFox ansieht, dann klappt doch die Kinnlade nach unten. Mit den 100 MB nach dem Entpacken ist es ja nicht gewesen. Da fragt man sich dann hoffentlich wohl doch, wozu das ganze Code-Gedönse dient. Dann werden noch im laufenden Betrieb Dinge nachgeladen welche man nicht kontrollieren kann. Und das soll jetzt sicherer sein als ein Browser von vor 25 Jahren?

Yamagi hat es eigentlich schön erklärt mit der Sicherheitsarchitektur. Moderne Software ist eben nicht nur Sch***e genauso wie früher nicht alles besser war.
Du hast ja nicht Unrecht und es gibt sicherlich an Browsern genug zu kritisieren.
Es klingt bei Dir nur so ein bisschen danach, als wäre früher alles generell besser gewesen und das wären alles total sichere Programme ohne Fehl und Tadel gewesen, während heute die Entwickler nix mehr auf die Reihe kriegen und sämtliche Software durch und durch nichts taugt.
Ein bisschen differenzierend sollte man auf die Sache schon gucken. Auch dann bleibt auch immer noch mehr als genug an Punkten übrig, wo Du Dich dran abarbeiten kannst. :-)

 

[Kathodenwanne]

Es geht dabei doch nicht um Speicherplatz. Aber um so komplexer eine Software ist, umso mehr potentielle Angriffsfläche hast Du. Auch wenn sie abgeschaltet ist.

Genau eine solche Einstellung ist vermutlich auch der Grund für etliche Sicherheitslücken. Kost ja nix, also können wir mit Speicher rumaasen. Und wenn der Arbeitsspeicher nicht reicht, dann stecken wir halt noch mal 16 GB hinterher -- kost ja nix mehr. Ob das jetzt der Weisheit letzter Schluss ist wage ich mal zu bezweifeln. Warum soll man also über seinen Code nachdenken, wenn es keine hardwareseitigen Beschränkungen mehr gibt? Da es keinerlei Zwang mehr gibt, ökonomisch bei der Programmierung zu handeln, dann darf der Source-Code so lang und groß sein wollen wie er möchte. Hauptsache, die Deadline wird eingehalten.

Yamagi hat es eigentlich schön erklärt mit der Sicherheitsarchitektur. Moderne Software ist eben nicht nur Sch***e genauso wie früher nicht alles besser war.

Ich habe nie behauptet, dass moderene Software Sch***e ist, das wird lediglich hinein interpretiert. Ich habe mich darauf bezogen, dass Browser heute, um benutzbar zu sein, JavaScript benötigen, damit Inhalte von Drittanbietern nachgeladen werden können. Yamagi hat auch dargestellt, dass, wenn Schadcode darüber nachgeladen wird, der User von einer solchen Attacke wohl nicht viel mitbekommt. Sicherheitsarchitektur hin oder her, Lücken gibt es überall. Und es handelt sich dabei nicht um ein Problem von veralteter Software, auch aktuelle Browser sind davon betroffen.

Du hast ja nicht Unrecht und es gibt sicherlich an Browsern genug zu kritisieren.
Es klingt bei Dir nur so ein bisschen danach, als wäre früher alles generell besser gewesen und das wären alles total sichere Programme ohne Fehl und Tadel gewesen, während heute die Entwickler nix mehr auf die Reihe kriegen und sämtliche Software durch und durch nichts taugt.
Ein bisschen differenzierend sollte man auf die Sache schon gucken. Auch dann bleibt auch immer noch mehr als genug an Punkten übrig, wo Du Dich dran abarbeiten kannst. :-)

Wann habe ich das gesagt? Warum sollen die Browser von vor 20 Jahren besser gewesen sein als heute? Es ging um die Funktionen welche solche Programme in sich vereinen und auch zur Verfügung stellen. Vergleichen wir die Browser doch mal mit einem schweizer Taschenmesser. 1998, Klinge, Schraubendreher und Flaschenöffner, das wars. Ein Browser hat genau das gemacht was er sollte, nämlich Webseiten anzeigen. 2021, Klinge, Schraubendreher, Flaschenöffner und 69 weitere Zusatzfunktionen. Die Browser sind dermaßen komplex geworden, das ist schon fast nicht mehr zu händeln. Mich selber ärgert es, dass mit dem Finger auf User gezeigt wird (Das Böööööööööse!) weil diese auf einem nicht mehr supporteten BS einen aktuellen FireFox installieren möchten. Amüsant fand ich es allerdings, dass sofort die Apokalypse an die Wand gemalt und beinahe der Notstand ausgerufen wurde. Ich hatte nur noch auf den Spruch: "Wir werden alle sterben!!!!" gewartet. Weil einer von 100.000 Endusern eine veraltete Software bei sich nutzen möchte. Ja nee, ist klar.

Ich behaupte mal, dass ich die Sache schon sehr differenziert betrachte. Denn, ich hatte den Enduser im Blick, den Programmierer, den Hersteller und den Gesetzgeber. Die Schlapphüte lassen wir mal aussen vor, denn Snowden ist ja eh VT. Das schwächste Glied in der Kette ist der Enduser, keine Frage. Aber dieser wird von etlichen hier im Forum als Sündenbock dargestellt. Und genau das finde ich nicht in Ordnung. Woher sollen Otto und Melanie N. denn wissen, wie ein Browser arbeitet? Oder ein Computer und Betriebssystem funktionieren? Diese nutzen einen Browser ohne persönliche Einstellungen oder Add-Ons wie Ad-Blocker und No-Script. Welche Schuld kann man diesen Menschen anlasten? Meiner Meinung nach wenig. Jaa, diese hätten sich informieren können, aber das ist ja keine Pflicht.

Mir hat das Konzept des FireFox, BasisBrowser und Add-Ons, immer zugesagt. Einfach nur das installieren was man benötigt und gut. Dieses Konzept gibt es aber leider nicht mehr. Der Trend geht dahin, dass die Browser, obwohl man es nicht wirklich sieht, Unmengen an Funktionen bereithalten. Ich selber benötige recht wenige Funktionen, das kann aber bei anderen anders sein, wobei ich vermute, dass dies bei der Mehrzahl der Nutzer ähnlich ist wie bei mir. Also habe ich ein Programm auf dem Rechner, welches eine Vielzahl an Funktionen und womöglich Berechtigungen hat. Unter Unix, BSD oder Linux ist das weniger ein Problem, aber unter Windows sind die meisten mit Administrator-Rechten unterwegs. Da kann dann ein falscher Klick schon mal das eine oder andere Programm installieren. Fragt sich jetzt, wer daran die Verantwortung trägt? Sicher auch der Enduser, denn dieser hat auf den Link geklickt. Das ist mir zu einfach....

BTW, ich arbeite mich an solchen Dingen nicht ab. Sofern ich nicht gehört werde, dann sage ich zu dem Thema nichts mehr. Sollte ich dann allerdings mit meinen Aussagen recht behalten haben, dann empfinde ich dabei keinerlei Schadenfreude.

Ich bleibe weiterhin bei meinem Vorschlag:
Es sollte im Wiki ein allgemeines Thema erstellt werden für die Benutzung des Internets, Gefahren und Sicherheit. Auf der andern Seite auch Rubriken für die Einstellungen bei Webbrowsern in Sachen Sicherheit. Ich bin gerne bereit meinen Anteil daran zu übernehmen.

 

[CommanderZed]

@Kathodenwanne Ich komm da irgendwie nicht mehr mit: Welche 63244 funktionen die heutige Browser angeblich haben und den Browser "dick" machen meinst du denn jetzt konkret?

Mir fällt da nur ein:

-> PDF Betrachter
-> Video-Abspiel-"Plugins" ggf. mit DRM

Oder zählt für dich die Lesezeichenverwaltung und JavaScript auch dadrunter?

Und war das wirr-warr von schlecht programmierten und wenig mit den Browser abgestimmten Plugins die es oft garnicht erst für *BSD gab denn wirklich besser?

Sicherheitsarchitektur hin oder her, Lücken gibt es überall. Und es handelt sich dabei nicht um ein Problem von veralteter Software, auch aktuelle Browser sind davon betroffen.

Aber das ist doch gerade der Punkt von Updates: Man schließt mit den Updates die bekannten Lücken die gerade jetzt akut und praktisch ausgenutzt werden - warum sollte ich die offenlassen wollen?

Klar wird man bei so komplexer Software 2 Monate später neue finden (Die auch schon drinn waren zu dem Zeitpunkt) - und die schließe ich dann wieder? Dein vorschlag ist es ja die alten bekannten lücken zusätzlich zu den neuen drinne zu lassen weil man nicht updated? Das erschließt sich mir irgendwie überhaupt nicht.

 

[Yamagi]

Amüsant fand ich es allerdings, dass sofort die Apokalypse an die Wand gemalt und beinahe der Notstand ausgerufen wurde. Ich hatte nur noch auf den Spruch: "Wir werden alle sterben!!!!" gewartet. Weil einer von 100.000 Endusern eine veraltete Software bei sich nutzen möchte. Ja nee, ist klar.

Anstatt hier ellenlange, vor passiver Aggressivität nur so triefende Beiträge zu tippen mal einen Vorschlag: Klicke dir eine billige VM mit einer IP-Adresse, so jungfreulich sie im Jahr 2021 sein kann und installiere darauf ein SMTP-Relay. Die Mails kannst du nach der Annahme ins Leere routen. Den Traffic zwischen der Außenwelt und deinem Relay schneidest du für zehn Minuten mit. Anschließend lädst du den Mitschnitt in Wireshark und gleichst ihn mit der Maillog ab, machst eine kurze Auswertung. Danach reden wir weiter.

-> PDF Betrachter

Der nicht mal eine Browserfunktion ist. Alle Browser implementieren die PDF-Anzeige über eine Javascriptbibliothek, die völlig unabhängig vom Browser ist und problemlos in Webseiten und so weiter integriert werden kann und tatsächlich auch wird. Siehe Inline-PDFs auf diversen Seiten. Alles was der Browser damit zu kriegen hat, ist 'wenn application/pdf lade pdf.js und übergebe das PDF'.

 

[PMc]

Der Funktionsumfang aktueller Browser ist also das Problem? Ohne diesen Funktionsumfang kann man aber die meisten Seiten im Web nicht nutzen. Sry aber für mich hört sich das nach Fortschrittsverweigerung und "früher war alles besser" an.
Noch nie war es so einfach wie jetzt für Jedermann auf alle möglichen Dienste im Web zuzugreifen.

Das sehe ich so nicht - den Funktionsumfang braucht es doch vor allem, um animiert zu scrollen, oder damit das Datum auf dem Client berechnet werden kann anstatt auf dem Server, und ähnliches mehr. Damit also die "Surf-Erfahrung" genauso glatt und einlullend verlaufen kann wie das Fernsehen und man sich dabei ganz aufs Kaufen konzentrieren kann.

Und natürlich auch -eine oft erhobene Forderung- dass die End-User wenigstens den Stromverbrauch für den vielen Werbe-Spam, mit dem sie zugeschmissen werden, selber bezahlen (denn sonst würde das ja die Spam-Verbreiter Geld kosten). Dafür braucht es im Browser die erforderlichen Funktionen, die den Strom verbrauchen.

IRC zB hat vor dreissig Jahren funktioniert. Heute braucht man discord, was funktional gar nichts anderes macht, aber bunt und animiert ist und von jedem bedient werden kann - und wo man dem Betreiber die Erlaubnis gibt, alle Inhalte mitzuschneiden und meistbietend an Werbetreibende zu verkaufen.

Ob man das Fortschritt nennen soll? Es ist zumindest ein sehr zweischneidiger Fortschritt.

Und dann ist es doch auch so: noch in den 90'ern war das Internet ein Ding derer, die darin aktiv waren, und wir haben uns die Funktionen geschaffen, die wir eben brauchten.

Danach ist uns das von den Konzernen aus der Hand genommen worden - und wir hatten die Wahl, entweder als Programmiersklave zu Google zu gehen, oder arbeitslos zu werden.

Und nun wird der Funktionsumfang nicht mehr nach dem bestimmt, was wir eben brauchen, sondern danach, maximal vielen Leuten das Internet aufzudrücken (egal ob sie das nun wollen oder nicht, und egal ob sie irgendwie verstehen wie das eigentlich funktioniert), nur weil man ein maximal großes Konsumentenheer schaffen will.

Dass die Mehrzahl dieser Leute kein Wissen über Sicherheit hat, ist nur die eine Seite der Medaille. Die regt mich nicht auf, denn das ist ein Binnenproblem innerhalb des Internet.

Die andere Seite der Medaille beschreibe ich gelegentlich so: wenn heute ein Kirschbaum mit reifen leckeren Kirschen am Wegesrand steht, dann wird niemand mehr von diesen Kirschen essen - weil der Kirschbaum nicht in Google Maps eingezeichnet ist.
Anders gesagt: wenn man seinen Geist nur noch mit einem viereckigen Gadget beschäftigt, dann wird man auch irgendwann nur noch imstande sein ein viereckiges Gadget wahrzunehmen. Und das dürfte mittelfristig die tiefgreifenderen Auswirkungen haben.

 

[CommanderZed]

Das sehe ich so nicht - den Funktionsumfang braucht es doch vor allem, um animiert zu scrollen, oder damit das Datum auf dem Client berechnet werden kann anstatt auf dem Server, und ähnliches mehr. Damit also die "Surf-Erfahrung" genauso glatt und einlullend verlaufen kann wie das Fernsehen und man sich dabei ganz aufs Kaufen konzentrieren kann.

Im Kern: Ich will ein Internet wie vor 25+ Jahren mit statischen Seiten.

Alles moderne, html5, Javascript, ist "blöd", braucht man nicht, ist nur dafür da um die endbenutzer "einzulullen", werbeleute zu supporten etc.

Das Internet, die ganze Welt, ist sowieso nur unterwegs die leite einzulullen um etwas zu kaufen.

Was für ein Humbug und ein Weltbild. Ich bin ja auch kein unendlicher Fan des aktuellen Turbokapitalismus, aber ganz so ist es dann doch nicht.

Und natürlich auch -eine oft erhobene Forderung- dass die End-User wenigstens den Stromverbrauch für den vielen Werbe-Spam, mit dem sie zugeschmissen werden, selber bezahlen (denn sonst würde das ja die Spam-Verbreiter Geld kosten). Dafür braucht es im Browser die erforderlichen Funktionen, die den Strom verbrauchen.

Wirrer grober Unfug.

IRC zB hat vor dreissig Jahren funktioniert. Heute braucht man discord, was funktional gar nichts anderes macht, aber bunt und animiert ist und von jedem bedient werden kann - und wo man dem Betreiber die Erlaubnis gibt, alle Inhalte mitzuschneiden und meistbietend an Werbetreibende zu verkaufen.

Ob man das Fortschritt nennen soll? Es ist zumindest ein sehr zweischneidiger Fortschritt.

Diese geschlossenen Dienste sehe ich tatsächlich auch sehr zweischneidig, aber es gibt ja mit Matrix z.B. tolle aktuelle Alternativen die auch schön Bunt sind.
Aber: Wenn Discord und Co eine neue art der Digitalen kommunikation für breite massen ermöglicht die in IRC technisch keinen Einstieg finden, ist das ja auch nicht nur schlecht.
Ich finds ehrlich gesagt ziemlich überheblich zu sagen "Internet/IRC soll ein tool für kluge Nerds bleiben, leute die das nicht bedienen sollen halt Briefe schreiben" etc.

Und dann ist es doch auch so: noch in den 90'ern war das Internet ein Ding derer, die darin aktiv waren, und wir haben uns die Funktionen geschaffen, die wir eben brauchten.

Danach ist uns das von den Konzernen aus der Hand genommen worden - und wir hatten die Wahl, entweder als Programmiersklave zu Google zu gehen, oder arbeitslos zu werden.

Und nun wird der Funktionsumfang nicht mehr nach dem bestimmt, was wir eben brauchen, sondern danach, maximal vielen Leuten das Internet aufzudrücken (egal ob sie das nun wollen oder nicht, und egal ob sie irgendwie verstehen wie das eigentlich funktioniert), nur weil man ein maximal großes Konsumentenheer schaffen will.

Dass die Mehrzahl dieser Leute kein Wissen über Sicherheit hat, ist nur die eine Seite der Medaille. Die regt mich nicht auf, denn das ist ein Binnenproblem innerhalb des Internet.

Hmmm, das ist sehr viel "früher als wir noch Elitär alles so machen konnten das nur wirs Bedienen konnten war alles viel schöner, ich will die ganzen Menschen hier nicht die nicht so tolle IT-Kentnisse haben.

Auch hier: Man kann google, Facebook und wasweisichalles durchaus kritisieren, aber ist es nicht klasse auch seiner Mum Digital nachrichten zu schicken, oder freunden und nicht nur nen Elitären IT-Kreis? Eigentlich ist das doch Prima, nur die momentane Struktuer der Monopolistischen Firmen, naja ... aber wäre das ohne die je so geworden? Gute Frage.

Die andere Seite der Medaille beschreibe ich gelegentlich so: wenn heute ein Kirschbaum mit reifen leckeren Kirschen am Wegesrand steht, dann wird niemand mehr von diesen Kirschen essen - weil der Kirschbaum nicht in Google Maps eingezeichnet ist.
Anders gesagt: wenn man seinen Geist nur noch mit einem viereckigen Gadget beschäftigt, dann wird man auch irgendwann nur noch imstande sein ein viereckiges Gadget wahrzunehmen. Und das dürfte mittelfristig die tiefgreifenderen Auswirkungen haben.

Das ist sehr menschenfeindlicher Unfug, der impliziert das Menschen zu doof sind auch 1990 nur Kirschen gefunden haben die "Im Örtlichen" Standen.

 

[PMc]

Im Kern: Ich will ein Internet wie vor 25+ Jahren mit statischen Seiten.

Hab ich nicht gesagt. Ich sage, wir sollten einen klaren Blick bewahren und sehen, was hier welchen Interessen dient, und dass nicht alles Gold ist was glänzt.

Ich werde nicht sagen dass das alles schlecht ist - im Gegenteil, als dann irgendwann Youtube im FreeBSD Firefox zu funktionieren begann, hab ich darüber ein paar wunderbare Dinge entdeckt, von denen ich anderenfalls wahrscheinlich nie erfahren hätte.

Und natürlich auch -eine oft erhobene Forderung- dass die End-User wenigstens den Stromverbrauch für den vielen Werbe-Spam, mit dem sie zugeschmissen werden, selber bezahlen (denn sonst würde das ja die Spam-Verbreiter Geld kosten). Dafür braucht es im Browser die erforderlichen Funktionen, die den Strom verbrauchen.

Wirrer grober Unfug.

Wird halt original so gefordert von den Webapp Leuten. Käm ich ja nicht drauf, wenn ichs nicht gelesen hätte.

Diese geschlossenen Dienste sehe ich tatsächlich auch sehr zweischneidig, aber es gibt ja mit Matrix z.B. tolle aktuelle Alternativen die auch schön Bunt sind.
Aber: Wenn Discord und Co eine neue art der Digitalen kommunikation für breite massen ermöglicht die in IRC technisch keinen Einstieg finden, ist das ja auch nicht nur schlecht.
Ich finds ehrlich gesagt ziemlich überheblich zu sagen "Internet/IRC soll ein tool für kluge Nerds bleiben, leute die das nicht bedienen sollen halt Briefe schreiben" etc.

Bitte konstruiere da keine Kontroverse. Ich bin nicht "dagegen", sondern ich bin ratlos. Ich sehe Entwicklungen, ich sehe dabei unerwünschte Effekte, und ich weiss nicht wie man die bewerten soll. Sie einfach zu ignorieren und zu beschließen, alles ist gut, das freilich greift mir zu kurz.

Auch hier: Man kann google, Facebook und wasweisichalles durchaus kritisieren, aber ist es nicht klasse auch seiner Mum Digital nachrichten zu schicken, oder freunden und nicht nur nen Elitären IT-Kreis? Eigentlich ist das doch Prima, nur die momentane Struktuer der Monopolistischen Firmen, naja ... aber wäre das ohne die je so geworden? Gute Frage.

Ja eben. Gute Frage.

Das ist sehr menschenfeindlicher Unfug, der impliziert das Menschen zu doof sind auch 1990 nur Kirschen gefunden haben die "Im Örtlichen" Standen.

Nein, das impliziert nur, dass man, wenn man beim Spazierengehen kontinuierlich seine Whatsapp Nachrichten verfolgt, man logischerweise nicht sieht was am Wegesrand steht.

 

[medV2]

Bitte lies meinen Satz noch einmal durch und überprüfe dann deine eigene Frage: ...dann kannst Du mir mal erklären, welchen Vorteil der Nutzer aus diesem Funktionsumfang hat. Ich hatte dich nicht gefragt, was der Mehrwert von Funktionalität im Einzelnen ist, sondern welchen Nutzen der Endanwender bei dem derzeit erweiterten Funktionsumfang bei Browsern hat? Es darf auch gerne ins Detail gehen.

Ok. Der Nutzer bekommt Dinge wie Instagram, Twitter, Discord und Pornhub. Und auch wenn du nichts oder nur das letzte davon regelmäßig verwendest und alles blöd findest, ist es das was eine mehrheit der Nutzer wollen und ihnen Freude bereitet.

Im Businnessumfeld: Kolaborationssuties und Dokumentenverwaltung praktisch in der Cloud (kann auch gerne die eigene sein, bevor jetzt wieder jemand mit Datenschutz kommt), Webbasierte SW die oft schlecht gewartete Clients überflüssig machen.

Alles Geschichte, aha. Da spricht ein echter Experte. Der IE6 ist in einigen Bereichen von Verwaltungen lebendig. Da laufen die Uhren ganz anders. Die Hansel haben sich die Software direkt für den Browser programmieren lassen. Vorrausschauendes Denken war halt noch nie eine Stärke der öffentlichen Hand. Bei Flash täusch dich mal auch nicht. Nur weil dies bei Browsern offiziell nicht mehr unterstützt wird, bedeutet dies noch lange nicht, dass diese Software nicht noch im Einsatz ist. Vor etwa einem halben Jahr hatte ich von einem Programm aus dem buchhaltherischen gehört, dass dies auf Basis von Flash gestrickt wurde. Kann man machen..... ist dann aber Sch..... nun ja, ist halt so.
Ich könnte auch ein Beispiel aus der Medizin bringen. Wäre dir das lieber? Warum kommst Du nicht mal mit deinen Fakten rüber, das wird doch sonst langweilig.

Du hast hier wohl die Leseschwäche. Es ging um die Frage ist ein neuer aktueller Browser prinzipiell sicherer als ein alter. Und das hab ich mit Beispielen illustriert. Und ja, wenn man will kann man sich weiterhin alte Browser und Sicherheitslücken ins System holen. Die Fragestellung war aber "ist ein neuer aktueller Browser sicherer".

Wenn Du die Posts von mir auch lesen würdest, dann wäre dir aufgefallen, dass ich den Endanwender in diesem Falle sogar in Schutz nehme. Aber schön, dass Du das Layer 8 Problem kennst. Die heutigen Browser sind völligst überladen, aufgebläht und nicht mehr wartbar. Allein, wenn man sich die Abhängigkeiten bei einer Installation von einem FireFox ansieht, dann klappt doch die Kinnlade nach unten. Mit den 100 MB nach dem Entpacken ist es ja nicht gewesen. Da fragt man sich dann hoffentlich wohl doch, wozu das ganze Code-Gedönse dient. Dann werden noch im laufenden Betrieb Dinge nachgeladen welche man nicht kontrollieren kann. Und das soll jetzt sicherer sein als ein Browser von vor 25 Jahren? Ich persönlich habe da meine Vorbehalte, Du kannst das ja anders sehen. Es kommt übrigens darauf an, wie man Sicherheit definiert!


Du bestätigst also, dass Du keine Argumente mehr hast und einfach nur flamen möchtest. Steht dir ja frei.

Ein Browser der auf einer Maschine ohne Netzzugang hängt ist auch sehr sicher. Aber ähnlich irrelevant wie deine ewigen Beispiele mit 25 Jahre Browsern, es ist nicht benutzbar.

Hab ich nicht gesagt. Ich sage, wir sollten einen klaren Blick bewahren und sehen, was hier welchen Interessen dient, und dass nicht alles Gold ist was glänzt.

Ich werde nicht sagen dass das alles schlecht ist - im Gegenteil, als dann irgendwann Youtube im FreeBSD Firefox zu funktionieren begann, hab ich darüber ein paar wunderbare Dinge entdeckt, von denen ich anderenfalls wahrscheinlich nie erfahren hätte.

Ich kann mir schon vorstellen, was du da für Videos gefunden hast hust

 

[PMc]

Ich kann mir schon vorstellen, was du da für Videos gefunden hast hust

Das glaub ich nicht, dass Du Dir das vorstellen kannst. Ist nämlich ne ziemlich kleine Szene. Geht um Musik: Paganfolk, Neoklassik, Ritual Ambient, etc.

 

[CommanderZed]

Wird halt original so gefordert von den Webapp Leuten. Käm ich ja nicht drauf, wenn ichs nicht gelesen hätte.

Ich hab weiterhin keine Ahnung was du genau meinst? Das zeugs lokal berechnet wird statt auf dem Server? Wie "früher"?

Die folgenden beiden Punkte gehören ja "irgendwie" zusammen:

Bitte konstruiere da keine Kontroverse. Ich bin nicht "dagegen", sondern ich bin ratlos. Ich sehe Entwicklungen, ich sehe dabei unerwünschte Effekte, und ich weiss nicht wie man die bewerten soll. Sie einfach zu ignorieren und zu beschließen, alles ist gut, das freilich greift mir zu kurz.

Hab ich nicht gesagt. Ich sage, wir sollten einen klaren Blick bewahren und sehen, was hier welchen Interessen dient, und dass nicht alles Gold ist was glänzt.

Ich werde nicht sagen dass das alles schlecht ist - im Gegenteil, als dann irgendwann Youtube im FreeBSD Firefox zu funktionieren begann, hab ich darüber ein paar wunderbare Dinge entdeckt, von denen ich anderenfalls wahrscheinlich nie erfahren hätte.

Nicht alles neue ist Mega, gerade wenn man sich Datenschutz, Monopolisierung etc anschaut gibt es durchaus viele entwicklungen über die man sich Ärgern kann.
Aber es gibt auch viel gutes, auch im IT Bereich haben die letzten 10 Jahre immer auch wieder "kleine" mit guten Ideen etwas bewegt.

Und man denke auch nur etwas erweitert, wie viel leute durch das leicht bedienbare Internet ganz abseits vom Mainstream positives für sich und dandere bewirken konnten, - egal ob über große Plattformen wie YT, Twitch und Co oder im viel kleineren.

Letztlich ist das aber imho eine Diskusion die hier müßig ist - das Internet ist so wie es ist, und ein Browser der eine sinnvolle Aufgabe hat muss dieses Internet wie es jetzt ist halt gescheit darstellen, inkl. HTML5, Javascript und Schnipp und Schnapp

Ja eben. Gute Frage.

Nein, das impliziert nur, dass man, wenn man beim Spazierengehen kontinuierlich seine Whatsapp Nachrichten verfolgt, man logischerweise nicht sieht was am Wegesrand steht.

Da hatte ich dich falsch verstanden, aber ich finds trotzdem völlig okay auch mal aufs Handy zu schauen, villeicht nicht unbedingt beim bewussten Spazierengehen - jeder wie er mag

 

[CommanderZed]

Ich kann mir schon vorstellen, was du da für Videos gefunden hast hust

Hier mal kurz Moderatorkeule: Bitte nicht solche Unterstellungen / Anspielungen!

 

[PMc]

Ich hab weiterhin keine Ahnung was du genau meinst? Das zeugs lokal berechnet wird statt auf dem Server?

Genau. Und dass dabei mit den Kosten argumentiert wird: den Strom für die Werbung soll der Enduser bezahlen, der hat's ja.

 

[Azazyel]

Keine mehr, weil micht mehr gefragt. Zu Zeiten als IT-Skill noch gefragt war, [...]

Gerade professionelle Admin-Skills im Unix-Umfeld sind aktuell wahnsinnig gefragt. Alle mir bekannten (Nicht-Windows-)Admins können sich vor Anfragen und Abwerbeversuchen kaum retten.

Vermutung: keine, weil die alle auf Windows basieren?

Ein Gegenbespiel ("We are aware of targeted attacks in the wild abusing this flaw."): https://www.mozilla.org/en-US/security/advisories/mfsa2020-03/#CVE-2019-17026

Der aktiv ausgenutzte Bug erlaubt die Ausführung beliebigen JavaScript-Codes und ist - dank JavaScript - unabhängig vom darunterliegenden Betriebssystem.

Was soll denn "nur" alle drei Monate heißen?

Viele vernetzte Systeme können beim besten Willen keine drei Monate mit der Installation von Security-Fixes warten. Bis dahin wird schon längst auf breiter Front probiert, die Sicherheitslücken auszunutzen.

Und da ersteres m.E. die Grundrechte verletzt, werden Apfelkisten grundsätzlich nicht gepatcht.

Sollte die Konsequenz nicht heißen, grundsätzlich keine "Apfelkisten" zu verwenden?

Heute dagegen heißt es, dass man eine Datenbank gar nicht direkt ins Backup sichern darf, weil die Leute üblicherweise zu blöd sind um das richtig zu machen.

Quelle?

Du solltest die laufende Datenbank natürlich mit den Datenbank-eigenen Bordmitteln sichern (mysqldump, pg_dump etc.). Alles andere (inklusive ZFS-Snapshots) produziert inkonsistente Backups. Damit können die meisten Datenbanken dank WAL und andere Mechanismen umgehen, ist aber trotzdem grob fährlässig.

Genau: der DAU als Standard.

Nachdem IT-ler in der Gesamtbevölkerung nur einen kleinen Anteil ausmachen, ist im Bereich Browser der DAU tatsächlich der Standard.

Um bei Autovergleichen zu bleiben: wer hier im Forum ist beim Auto kein DAU und könnte ad hoc eine Zylinderkopfdichtung tauschen?

Dann verfügst Du über Informationen welche in diesem Fall sehr hilfreich sein können. Ist es dir möglich, diese uns zur Verfügung zu stellen, damit wir, aus hoffentlich seriöser Quelle, erfahren können, wie hoch der Umfang an Schaden ist, welcher durch zwei Jahre alte ungepatchte FeuerFüchse ist?

Ich wüsste nicht, dass eine solche Datenbasis überhaupt existiert (vielleicht noch beim Google-Chrome-Team).

Worauf ich hinaus will: mit einem nicht aktuellen Browser bist du auf jeden Fall verwundbar und hast eine realistische Chance, Opfer zu werden.

Du bezichstigst den Endanwender ein wesentlicher Teil des Problems zu sein.

Meine Aussage ist genau umgekehrt: ich will, dass der Endanwender null IT-Kenntnisse haben muss und trotzdem eine sichere und benutzbare Umgebung vorfindet.

Kurze Zwischenfrage: Da diese Systeme in der Regel aktuell sind, sollten diese nach deiner Argumentation nicht zu den Problemfällen zählen, oder sehe ich das falsch?

Mit einem alten Browser unter FreeBSD wirst du leichter Opfer einer Sicherheitslücke als mit einem aktuellen Edge unter einem aktuellen Windows.

Es gibt halt auf dem Desktop für jeden FreeBSD-User zehntausende Windows-User, weswegen BSD auch keine mediale Aufmerksamkeit bekommt. Viele BSD-Nutzer wägen sich deswegen in trügerischer Sicherheit.

Sag mir jetzt bitte nicht, dass Du bei Produktiv-Systemen die automatischen Updates aktivierst? Moment, doch, das tust Du!

Meine üblichen Betriebssystem-Updates in Produktion laufen folgendermaßen:

• CI-Server erkennt eine neue OS-Version
• Neues Base-Image wird gebaut, konfiguriert und in der Testumgebung ausgespielt
• Automatische Tests laufen gegen die Testumgebung
• Neues Image wird via Rolling Update in Produktion ausgespielt und via Monitoring automatisiert beobachtet

Gib es irgendwo oben in der Liste ein Problem oder zeigt das neue Image in der Produktion eine erhöhte Fehlerrate, wird das Deployment automatisch rückabgewickelt und ein Admin benachrichtigt, der es sich anschaut.

Ich wüsste nicht, wo ich hier ich durch einen manuellen Schritt das System verbessern könnte. Oder siehst du einen?

Du gehst also davon aus, dass der Distributor deinen Job macht?

Ich gehe grundsätzlich davon aus, dass Menschen Fehler machen und irgendwas schiefgeht. Deswegen habe ich bei meinen Kunden alles soweit automatisiert, dass der Gutfall keinen Aufwand und der Schlechtfall keine Produktionsprobleme verursacht.

Der Endanwender ist überhaupt nicht mehr in der Lage einen modernen Browser zu administrieren.

Auf den gängigen Plattformen sollte der 08/15-Anwender auch nichts administrieren müssen. Soweit ich weiß, sind Chrome, Edge und Firefox auch ohne administrative Eingriffe für Endanwender nutzbar.

Auf die Frage: "Warum kann man denn so was dort einstellen?", darauf hätte ich keine plausible Antwort. Aber vielleicht kann mir Azazyel ja eine liefern?

Die von mir gepriesenen reasonable defaults im Browser sollten für den 08/15-Anwendungsfall genügen.

Für alle anderen Anwendungsfälle (z.B. im Unternehmenseinsatz) muss man ja trotzdem die Möglichkeit haben, an der Konfiguration zu drehen, falls die Voreinstellungen für den eigenen Anwendungsfall nicht passen.

Da war mit Sicherheit kein veralteter Browser das Problem.

Der Einsatz eines veralteten Browsers schafft ein zusätzliches Problem und Einfallstor, zusätzlich zu den ganzen anderen Problemen die wir so haben.

Das Patches/Updates überhaupt notwendig sind ist kein Qualitätsmerkmal, sondern ein Mangel.

Stand heute ist es uns nicht möglich, fehlerfreie Software jenseits von Hello World zu schreiben. In Anbetracht der mangelnden Praxistauglichkeit der formalen Verifikation wird das auch noch lange so bleiben.

Patches/Updates heißt sind ja deswegen positiv besetzt, weil sich zumindest jemand um die Behebung der unvermeidbaren Fehler kümmert.

Genau eine solche Einstellung ist vermutlich auch der Grund für etliche Sicherheitslücken. Kost ja nix, also können wir mit Speicher rumaasen. Und wenn der Arbeitsspeicher nicht reicht, dann stecken wir halt noch mal 16 GB hinterher -- kost ja nix mehr.

Gerade RAM-intensive Programmiersprachen wie Python oder Java verhindern viele mögliche Sicherheitslücken wie Buffer Overflows, die das RAM-schonende C plagen.

Mich selber ärgert es, dass mit dem Finger auf User gezeigt wird (Das Böööööööööse!) weil diese auf einem nicht mehr supporteten BS einen aktuellen FireFox installieren möchten.

Sollen wir die User anlügen und sagen, die Kombination aus aktuellem Firefox und altem MacOS kann er bedenkenlos einsetzen?

Damit ist doch auch niemandem geholfen.