Das längste Thema

Wir haben (leider) einen externen Dienstleister der so etwas auf die Sicherheit im Unternehmen achten soll. Dazu kam es nur, weil der Geschäftsführer von denen und mein Vorgesetzter gute Freunde sind. So kann man natürlich auch 5000-14000€ jeden Monat hin und her schieben, aber naja.

Grad eben kam von denen folgender Text:

FIREFOX sollte überall runter. Wenn möglich. Hat von Haus aus 570 Sicherheitslücken. Brauch keiner. Chrome und Explorer tun es auch.

Abgesehen von der Schreibweise... Schön, erstmal noch mehr Google unterstützen. Ich hoffe auch sehr, dass er wenigstens den Edge meint und nicht wirklich den Internet Explorer.

Was nutzt ihr denn so als täglichen Browser? und weiß jemand wie viele offene Sicherheitslücken der Chrome hat?

Zitat

WINDOWS sollte überall runter. Wenn möglich. Hat von Haus aus unglaublich viele Sicherheitslücken. Brauch keiner. Linux oder MacOS tun es auch.

Zitat von Valkyrie

Wir haben (leider) einen externen Dienstleister der so etwas auf die Sicherheit im Unternehmen achten soll. Dazu kam es nur, weil der Geschäftsführer von denen und mein Vorgesetzter gute Freunde sind. So kann man natürlich auch 5000-14000€ jeden Monat hin und her schieben, aber naja.

Pro-Tip: Hart für eine Beförderung arbeiten, dann sollten wir gemeinsam via Konversation/E-Mail eine Lösung finden, wie das in Zukunft mit 1000–2000€ weniger pro Monat weitergeführt werden kann. Diese "Budgetoptimierung" hilft dann, die Position zu festigen… Win–Win.

Zitat von Valkyrie

[W]eiß jemand wie viele offene Sicherheitslücken der Chrome hat?

Da gibt es diverse Listen, vergleiche bspw. Einträge für Google Chrome oder Mozilla Firefox. (Zero-Day-Exploits sind in der Regel zahlenden/finanzkräftigen Interessenten in einschlägigen Foren vorbehalten, also ist das hier natürlich nur eine niedrige untere Grenze, was die Anzahl anbelangt.)

Selbst wenn die vorgenannten Listen üblicherweise nur dann Details enthalten, wenn eine Frist/Chance auf Fehlerbehebung gegeben wurde, heißt dies insbesondere in Firmennetzen leider nicht, dass nicht doch irgendwo ältere, angreifbare Versionen im Einsatz sind.

Zitat von m_ueberall

Pro-Tip: Hart für eine Beförderung arbeiten, dann sollten wir gemeinsam via Konversation/E-Mail eine Lösung finden, wie das in Zukunft mit 1000–2000€ weniger pro Monat weitergeführt werden kann. Diese "Budgetoptimierung" hilft dann, die Position zu festigen… Win–Win.

Wegen dir hat ein Kollege gerade gefragt wieso ich so lachen musste Klingt nach einem guten Deal...

Zitat von Valkyrie

Was nutzt ihr denn so als täglichen Browser?

Firefox, sowohl mobil (Android) als auch am Desktop (Win 10, Debian).

Aber das ist ohnehin ein interessantes Thema, ich weiß nicht wie lange sich Mozilla mit dem Firefox noch über Wasser halten kann. Die Marktanteile sinken immer weiter. Ich versuche Google zu meiden wo es geht (und es die Bequemlichkeit zulässt ohne zu große Opfer), aber wenn das so weitergeht, muss ich mir wohl irgendwann wirklich einen Chromium basierten Browser als Hauptbrowser festlegen.

Bei Chrome heissen die Lücken Features . Nee, ist schon sicher, soweit ein Browser überhaupt sicher sein kann.

Ansonsten muss es die Konkurrenz ja wissen, z.B. hier.

Zitat von DerRené

Firefox, sowohl mobil (Android) als auch am Desktop (Win 10, Debian).

Aber das ist ohnehin ein interessantes Thema, ich weiß nicht wie lange sich Mozilla mit dem Firefox noch über Wasser halten kann. Die Marktanteile sinken immer weiter. Ich versuche Google zu meiden wo es geht (und es die Bequemlichkeit zulässt ohne zu große Opfer), aber wenn das so weitergeht, muss ich mir wohl irgendwann wirklich einen Chromium basierten Browser als Hauptbrowser festlegen.

Sollen sie ihn halt kostenpflichtig machen, so wie Google seinen Chrome. Da ist der Preis zwar nicht (direkt) in $$ zu bezahlen, aber es gibt ja auch noch andere Währungen.

Zitat von Valkyrie

Was nutzt ihr denn so als täglichen Browser? und weiß jemand wie viele offene Sicherheitslücken der Chrome hat?

ich verwende einen FF Fork, weniger Augenkrebs schadet nie

die Frage zu den Sicherheitslücken, addier mal sämtlichen Speicher den ein Browser so auf der Platte verheizt,

und dann Daumen mal Pi f. jedes Byte setze mind 1/Pi an

Das BSI scheint ja auch Firefox als sichersten Browser einzustufen, wobei Chrome im neuesten Dokument wohl aufgeholt hat. Bei den normalen Benutzern sehe ich es fast noch ein, dass die einfach Chrome bekommen, damit einheitlich überall der selbe Browser genutzt wird und z.B. Videokonferenzen fast garantiert funktionieren. Aber wegen meinem Firefox (und von einem Kollegen) dann so ein Aufriss, hmm.

Dass der Windows Server 2000 in der einen Niederlassung nicht als tickende Zeitbombe aufgefasst wird... hhmmmm.

Zitat von m_ueberall

Da gibt es diverse Listen, vergleiche bspw. Einträge für Google Chrome oder Mozilla Firefox. (Zero-Day-Exploits sind in der Regel zahlenden/finanzkräftigen Interessenten in einschlägigen Foren vorbehalten, also ist das hier natürlich nur eine niedrige untere Grenze, was die Anzahl anbelangt.)

Danke für die beiden Listen, sieht interessant aus Würde schon gern meinen Fuchs behalten wollen

Zitat von mainziman

ich verwende einen FF Fork, weniger Augenkrebs schadet nie

Haben auch schon aus Spaß rumgewitzelt, dass wir dann einfach den Tor Browser oder Waterfox oder so nehmen. Schon alleine aus Trotz

Zitat von cltrmx

Ist bei mir bei beiden Seiten nicht der Fall. Was mache ich falsch?

sag mir lieber was er bei Dir nicht lädt aber bei mir schon ...

Kein Browser, der nicht 100% Open Source ist, kann überhaupt jemals sicher sein. Ganz besonders, wenn er aus den USA kommt. Ein Open Source Browser wird aber auch nie 100% sicher sein. Man darf da höchstens davon ausgehen, dass kritische Sicherheitslücken halbwegs zeitnah beseitigt werden. Allerdings immer noch besser, als wenn kritische Sicherheitslücken entweder by design eingebaut werden (müssen!) oder öffentlich nicht bekannte Sicherheitslücken nicht entfernt werden (dürfen!), weil die NSA oder sonstige Dienste sie weiterhin nutzen wollen. Da freuen sich natürlich auch die sonstigen Hacker.

Tja, gute Freundschaft war schon immer eine wichtige Expertise . Hoffen wir mal, dass es nicht die einzige ist . Explorer ... Hmmm

Zitat von Valkyrie

Was nutzt ihr denn so als täglichen Browser?

Desktop: Firefox, selten Chromium.

(Früher: Nur Chromium. Unter Windows Chrome. Und ganz früher Opera. Davor IE. Mit FF konnte ich mich erst 2021 anfreunden.)

Mobile: Ungoogled Chromium und Fennec.

(Bis vor wenigen Monaten ausschließlich Chrome, jetzt endlich GApps frei. Früher, vor Android, war Opera mein Favorit.)

Zitat von tab

dass kritische Sicherheitslücken halbwegs zeitnah beseitigt werden.

jetzt mal im ernst, glaubt denn wirklich jemand daran dass 100% Open Source als sicher gelte;

so lange auch bei OpenSource mehr und mehr gequarkt wird, ist es hier nicht besser;

weil wozu brauch ich bei einem Browser die x 1000 Features die nix mit Browser zu tun haben ...?

und wenn nach dem Update, selbstverständlich werden Sicherheitskritische Probleme behoben,

dass aber mit neuen Features nicht neue Scheunentore aufgemacht werden erzählen sie besser der Kloaka Maxima in Rom

wenn man auf SIcherheit bedacht ist, sollte grundsätzlich gelten: Features die man nicht braucht sollen auch nicht vorhanden sein;

mainziman Mehr Sicherheit bietet OSS nicht zwangsläufig. Aber ich verwende trotzdem lieber Software, bei der ich selbst einen Patch integrieren und es einfach neu kompilieren kann.

Dass das bei Browsern mittlerweile extrem viel Aufwand ist, weil die Voraussetzungen für eine Build Umgebung stetig steigen, ist eine andere Geschichte.

(Ja, auch Closed Source Software kann man theoretisch selbst patchen. Aber der Aufwand steht meistens in keinem Verhältnis zum Nutzen. Sofern man es überhaupt hin bekommt.)

Zitat von mainziman

sag mir lieber was er bei Dir nicht lädt aber bei mir schon ...

Ich fürchte, du hast im falschen Thread genantwortet. Bei mir hat weder die ClamAV- noch die MediaMarkt-Seite ein Captcha oder eine Ladeanimation angezeigt.

Ich bin voll auf google.

Chrome, gmail, google Kalender, Search Console, API..

Zitat von cltrmx

Ich fürchte, du hast im falschen Thread genantwortet.

ne das war schon richtig so;

Zitat von cltrmx

Bei mir hat weder die ClamAV- noch die MediaMarkt-Seite ein Captcha oder eine Ladeanimation angezeigt.

bei ClamAV tut er es bei mir auch nicht; Danke m_ueberall am Proxy die Domain gesperrt und weg is der DDoS Check;

die Frage ist hier woher kommt die Captcha Seite bei Mediamarkt?

(soviel ist klar, wenn ich des im Edge aufrufe ohne irgendwelcher Domainsperren, kommt es nicht, aber mit diversen Sperren - auch im letzten FFesr - aber schon; warum?)

KB19 Du sprichst es an, klar bei Open-Source kann man selbst was ändern; hatte ich z.B. beim Crimson Editor vor x Jahren gemacht;

nur wo es mir die Haare mittlerweile aufstellt ist ja ganz was anderes;

ich formulier das ganze mal vollkommen allgemein an Hand einer Geschichte die auf Webservern mit PHP läuft, gibt sicher konkrete Beispiele;

es gab mal eine Software, die gab es bereits mit PHP 4.x, die wurde immer wieder aktualisiert und erweitert; dann gab es ein Release, das hatte als minimale Voraussetzung PHP 5.4, es hat genau die Features die man braucht und haben will; und es entwickelt sich weiter, Fehler werden behoben, und mittlerweile ist diese Software auf dem Stand, dass es gerade non mit einem PHP 7.x läuft; und beim nächsten Release vielleicht sogar nur noch ab PHP 8

und jetzt stell ich die Frage: glaubt hier allen ernstes jemand,

dass der Einsatz des aktuellsten Releases mit PHP 7.x Sinn macht, wenn die Features, welche das Release,

welches noch mit z.B. PHP 5.3 lief, nicht hatte auch nicht gebraucht werden?

meint hier wirklich jemand diese Software wurde bei jedem PHP Release-Wechsel komplett gesichtet,

und überall wo es nötig war, entsprechend adaptiert?

ich zweifel daran ...

analoges gilt f. z.B. eine kompilierte Software, bei der man immer wieder die Entwicklungsumgebung aktualisiert hat ...

und zudem immer wieder Erweiterungen auf Grund von Vorgaben durch das OS gemacht wurden;

auch hier bestehen ernste Zweifel, ob dies wirklich sauber passierte;

ähnliche Zweifel habe ich ebenfalls beim Wechsel von 32-bit auf 64-bit, man hatte mit 32-bit bereits die Möglichkeit mit 64-bit (nicht Adressen) umzugehen;

wenn bei 32-bit, eine Variable jeden Wert von 0 bis 4294967295 (vorzeichenloser 32-bit Range) annehmen kann, und auch Sinn macht,

dann braucht man dies ja nicht explizit abfragen;

aber bei 64-bit heißt das nicht automatisch, dass jeder Wert von 0 bis 18 446 744 073 709 551 615 (vorzeichenloser 64-bit Range) ebenfalls gültig ist;

ich würde meinen dass hier noch einiges an Problemen zu Tage kommen werden;

das banalste Problem, IPv6, denkt hier dass mittlerweile alles IPv6 tauglich ist?

sprich: überall wo eine IPv4-Adresse verarbeitet wird auch eine IPv6-Adresse verarbeitet werden kann,

und wo unterschieden werden muss, z.B. so in der Art ...

if ( isIPv6( ipAddr ) ) doFuncIP6( ipAddr ) else doFuncIP( ipAddr );

dies ebenfalls überall durchgängig ist?

Zitat von mainziman

 else doFuncIP( ipAddr );

ich formulier das ganze mal vollkommen allgemein an Hand einer Geschichte die auf Webservern mit PHP läuft, gibt sicher konkrete Beispiele;

es gab mal eine Software, die gab es bereits mit PHP 4.x, die wurde immer wieder aktualisiert und erweitert; dann gab es ein Release, das hatte als minimale Voraussetzung PHP 5.4, es hat genau die Features die man braucht und haben will; und es entwickelt sich weiter, Fehler werden behoben, und mittlerweile ist diese Software auf dem Stand, dass es gerade non mit einem PHP 7.x läuft; und beim nächsten Release vielleicht sogar nur noch ab PHP 8

und jetzt stell ich die Frage: glaubt hier allen ernstes jemand,

dass der Einsatz des aktuellsten Releases mit PHP 7.x Sinn macht, wenn die Features, welche das Release,

welches noch mit z.B. PHP 5.3 lief, nicht hatte auch nicht gebraucht werden?

meint hier wirklich jemand diese Software wurde bei jedem PHP Release-Wechsel komplett gesichtet,

und überall wo es nötig war, entsprechend adaptiert?

ich zweifel daran ...

Alles anzeigen

Gut, frieren wir PHP einfach auf dem Stand von 4.x ein, damit die ursprüngliche, damals funktionierende Software weiter laufen kann. Die ganzen Sicherheitslücken darin, die damals vielleicht noch keiner entdeckt hatte, lassen wir auch drin. Ebenfalls die Lücken in PHP 4.x.

Oder meinst du wirklich, dass sich jemand die Mühe machen wird, PHP 4.x komplett fehlerfrei und sicher zu machen und auch diese alte Software?

tab wenn es denn so einfach wäre;

nehmen wir an diese Software hatte mit dem Stand von PHP 4.x das Releae 7, mittlerweile das Release 17 und braucht mind. PHP 7.x

im Release 17 steckt aber auch der Teil vom Release 7 drin, und das aber unter PHP 7.x;

darum stell ich mal die Frage: ist der Funktionsumfang von Release 7, der einem vlt. sogar vollkommen genügt nicht mit PHP 4.x fehlerfreier als das

Release 17 mit PHP 7.x?