FireFox 2 verfügbar

[huebi]

[quote=""hagge""]Angenommen, ein Fehler im Firefox erlaubt es jemand, unbemerkt die Bookmarks zu ändern. Dann nützt das auch nicht mehr viel. Aber eine Warnung vor der neuen Website hilft dann immer noch weiter. Und zwei Bugs gleichzeitig, so dass sowohl Bookmarks verändert als auch die Phishing-Warnungen deaktiviert werden können, sind schon deutlich unwahrscheinlicher.
[/quote]

Is mir auch wurscht. Ich mach Onlinebanking mit Extrasoftware und einem Klasse 2 Kartenleser.

Wenn ich wirklich mal schnell eben so eine Überweisung machen muss: Meine Bank setzt ein signiertes java Applet ein. Und die URL ist relativ einfach, die tippe ich so ein. Ergo müsste er die host Datei modifzieren, aber auf die hat eimn Benutzer keinen Zugriff. Dann muss er das Applet nachbilden und auch mit einem Zertifikat sgnieren. Das ist schon alles nicht mehr ganz so einfach.

Und zu deinem Beispiel für "sanftes" Phishing: da hater ziemliche Probleme, herauszufinden, wer ich denn bin. Er hat weder Adresse noch sonstwas, um mich zu identifizieren. Er weiss dann, auf was irgendeine IP geklickt hat... das weiss Heise aber auch. Irgendwo sehe ich das Problem nicht.

[ibbi]

Schwachstelle im Firefox 2.

[hagge]

[quote=""huebi""]Is mir auch wurscht. Ich mach Onlinebanking mit Extrasoftware und einem Klasse 2 Kartenleser.[/quote]
Super! Damit kannst Du aber dann auch den Internet-Explorer verwenden, denn der macht Dein Banking-Programm (!) auch nicht unsicherer. Mal ehrlich, *das* ist ja nun überhaupt kein Argument für oder gegen den Phishing-Schutz in FF2.

Wenn ich wirklich mal schnell eben so eine Überweisung machen muss: Meine Bank setzt ein signiertes java Applet ein.

Ja, und das würde mich schon nerven. Java ist bei mir immer deaktiviert, weil es in der Vergangenheit zu viele Sicherheitslücken gab. Entsprechend setzen auch nur noch vergleichsweise wenige Websites Java ein.

Und die URL ist relativ einfach, die tippe ich so ein. Ergo müsste er die host Datei modifzieren, aber auf die hat eimn Benutzer keinen Zugriff.

Wer sagt denn das. Der Browser greift auf die Host-Datei zu, aber es spricht doch nichts dagegen, diesen Namen *innerhalb* des Browser danach nochmal gegen einen anderen auszutauschen. Da braucht er nur Zugriff auf den FF, nicht auf die Host-Datei.

Dann muss er das Applet nachbilden und auch mit einem Zertifikat sgnieren. Das ist schon alles nicht mehr ganz so einfach.

Klar, sagt ja auch niemand, dass es einfach ist. Aber auch die anderen Banken nutzen eine abgesicherte Verbindung, die ein Zertifikat benötigt und trotzdem fallen die Leute auf die nachgebildete Website rein. Oder würde es Dir immer und sofort auffallen, wenn unten das Schloss-Symbol bei Deinem Java-Applet der Bank mal nicht aktiviert wäre?

Wie auch immer. Wir sind uns einig, dass jemand, der den FF einsetzt, sich zumindest schon ein paar mehr Gedanken macht. Aber dann gleich selbstsicher zu sagen, dass einem dann nichts mehr passieren kann, halte ich für überheblich. Vor drei, vier Jahren, als das mit den Viren und Spam-Mails noch nicht so verbreitet war, aber immerhin schon öfters drüber gesprochen wurde, sagte mein Kollege auch, dass jemand, der sich nicht auf dubiosen Webseiten rumtreibt, doch eigentlich gar keinen Spam und Viren befürchten muss. Er verstehe die ganze Problematik nicht so ganz. Rate mal, auf welchem Rechner bei uns in der Firma dann der erste Virus drauf war... Ist oft so: Hochmut kommt vor dem Fall.

Und so ist es mir lieber, wenn andere Leute ein Problem schon erkannt und gebannt haben, bevor ich selbst überhaupt den Sinn dafür sehe.

Tschau,

Hagge

[huebi]

[quote=""hagge""]Super! Damit kannst Du aber dann auch den Internet-Explorer verwenden, denn der macht Dein Banking-Programm (!) auch nicht unsicherer. Mal ehrlich, *das* ist ja nun überhaupt kein Argument für oder gegen den Phishing-Schutz in FF2.[/quote]

Warum sollte ich Software einsetzen, die noch nicht mal CSS1 und HTML4 transitional korrekt interpretieren kann, und in der Grundeinstellung offen wie ein Scheunentor ist?

[quote=""hagge""]
Ja, und das würde mich schon nerven. Java ist bei mir immer deaktiviert, weil es in der Vergangenheit zu viele Sicherheitslücken gab. Entsprechend setzen auch nur noch vergleichsweise wenige Websites Java ein.
[/quote]

Das Applet nachzubilden und dann auch entsprechend abzuändern ist nicht ganz so einach wie eine Webseite. Verschlüsselt sind beide, und ja, ich schaue ob das Schloss den entsprechenden Status hat. Und ich habe noch von keinem JS gehört, das wie beim IE in der Lage gewesen wäre, den Schlossstatus zu ändern. War auch mal ein Exploit beim IE.

[quote=""hagge""]
Wer sagt denn das. Der Browser greift auf die Host-Datei zu, aber es spricht doch nichts dagegen, diesen Namen *innerhalb* des Browser danach nochmal gegen einen anderen auszutauschen. Da braucht er nur Zugriff auf den FF, nicht auf die Host-Datei.
[/quote]

Das ist schlicht Unsinn.

[quote=""hagge""]
Klar, sagt ja auch niemand, dass es einfach ist. Aber auch die anderen Banken nutzen eine abgesicherte Verbindung, die ein Zertifikat benötigt und trotzdem fallen die Leute auf die nachgebildete Website rein. Oder würde es Dir immer und sofort auffallen, wenn unten das Schloss-Symbol bei Deinem Java-Applet der Bank mal nicht aktiviert wäre?
[/quote]

Ja das fällt mir auf. Und Phishing ist nichts unebakanntes mehr. Die Entwickler des FF brauchen eine latente Gefahr nicht mehr abzuwenden. Wer heute auf Phishing hereinfällt, der ist selbst Schuld. Kein Mitleid. Wer nicht mit dem Internet umgehen kann der soll einfach die Finger weglassen. Oder sich einweisen lassen, VHs bietet sowas an. Das ist genau dasselbe wie mit Nigeria Mails und der Nigeria Abzocke auf Ebay. Selbst schuld, wer drauf reinfällt. Im realen Leben würde niemand auf solche Gedanken kommen, im Internet scheint nur noch Gier oder Geiz zu regieren.

[quote=""hagge""]
Wie auch immer. Wir sind uns einig, dass jemand, der den FF einsetzt, sich zumindest schon ein paar mehr Gedanken macht. Aber dann gleich selbstsicher zu sagen, dass einem dann nichts mehr passieren kann, halte ich für überheblich.
[/quote]

Sag ich ja auch gar nicht. FF hat eine Menge sicherheitslöcher. ABer wenn jemand meine Daten haben will oder Geldtechnische Sachen wissen will, dann werde ich nicht nur einmal skeptisch. Ein bisschen gesundes Grundwissen und Skepsis darf man durchaus erwarten. Niemand hat etwas zu verschenken, nichts ist umsonst. Alles hat seinen Haken, die trivialste ist, das ich mir Werbung anschauen muss.


[quote=""hagge""]
Vor drei, vier Jahren, als das mit den Viren und Spam-Mails noch nicht so verbreitet war, aber immerhin schon öfters drüber gesprochen wurde, sagte mein Kollege auch, dass jemand, der sich nicht auf dubiosen Webseiten rumtreibt, doch eigentlich gar keinen Spam und Viren befürchten muss. Er verstehe die ganze Problematik nicht so ganz. Rate mal, auf welchem Rechner bei uns in der Firma dann der erste Virus drauf war... Ist oft so: Hochmut kommt vor dem Fall.
[/quote]

Nur ist Phishing nicht mehr im Anfangsstadium. Jeder im realen Leben würde jemanden, der an der Haustür klimngelt und um den Haustürschlüssel zur Überprüfung bittet, weil soviele Einbrüche stattgefunden haben, den Vogel zeigen und die Polizei antrufen, was für ein Einfallspinsel da rum läuft. Im Internet scheint bei vielen der Verstand auszusetzen.

[quote=""hagge""]
Und so ist es mir lieber, wenn andere Leute ein Problem schon erkannt und gebannt haben, bevor ich selbst überhaupt den Sinn dafür sehe.
[/quote]

Du siehst in Eigeninitiative bzgl Phishng selbst keinen Sinn? Selbst schuld....Es steht mitterlweile sogar in jedem Provinzblatt.

[macfan]

Für Mac-Anwender: Die auf G4, G5, Intel optimierten Firefox 2.0-Versionen sind da.

Gruß, Horst

[hagge]

[quote=""huebi""]Warum sollte ich Software einsetzen, die noch nicht mal CSS1 und HTML4 transitional korrekt interpretieren kann, und in der Grundeinstellung offen wie ein Scheunentor ist?[/quote]
Wir diskutieren hier gerade über Schutz vor Phishing. Dass der IE in anderen Bereichen andere Mängel hat, ist darum irrelevant.

Das Applet nachzubilden und dann auch entsprechend abzuändern ist nicht ganz so einach wie eine Webseite.

Warum? Sobald die Signatur geknackt ist, kann der Phisher sogar das Original-Applet einsetzen. Und ansonsten ist das Nachprogrammieren eines Applets auch nichts anderes als das Nachimplementieren einer HTML-Webseite. Vielleicht etwas aufwändiger, aber nicht unmöglich.

Wer sagt denn das. Der Browser greift auf die Host-Datei zu, aber es spricht doch nichts dagegen, diesen Namen *innerhalb* des Browser danach nochmal gegen einen anderen auszutauschen. Da braucht er nur Zugriff auf den FF, nicht auf die Host-Datei.

Das ist schlicht Unsinn.

Vielleicht reden wir ja über unterschiedliche Files. Ich rede von einem Hosts-File, auf das ein Programm indirekt bei der Namensauflösung zugreift. Es fragt also beim Nameservice an, welche IP-Adresse die Adresse http://www.bank-xyz.de hat und bekommt dann die IP-Adresse aaa.bbb.ccc.ddd. Diese wird dann in der Folge bei der HTTP-Kommunikation verwendet.

Es spricht aber doch nichts dagegen, dass ein Exploit sich nach der Namensabfrage, aber vor dem eigentlichen HTTP-Zugriff einklinkt und die vom Nameservice gelieferte IP-Adresse durch eine eigene ersetzt. Und damit ist es mitnichten Schwachsinn.

Wer heute auf Phishing hereinfällt, der ist selbst Schuld. Kein Mitleid.

Jein. Man bekommt diese Links heute auf so gemeine Weise untergejubelt, dass man in vielen Fällen auch mit gehobenem Wissen nichts dagegen machen kann. Nicht jeder hat die Zeit, tagtäglich eine Webseite wie die Security-Seite von Heise aufzusuchen, um zu sehen, wie der neueste Exploit funktioniert. Und es gab durchaus schon Exploits, wo einem unsichtbare Fenster unter die Maus geschoben wurden, die dann den Klick woandershin umgeleitet haben. Und jetzt sag Du mir, dass Du sowas *immer* weißt und Du auch das unsichtbare Fenster sehen würdest. Wenn Du das glaubst, dann bist Du das nächste Phishing-Opfer.

Und jetzt denke ich mal an Leute, die eben nicht so ganz fit mit Computern sind. Zum Beispiel mein Vater. Der ist 76 und kann sich dennoch ganz ordentlich im Internet bewegen. Aber die Hintergründe über viele Dinge kennt er eben nicht so gut wie ich. Klar spiele ich ihm einen Mozilla oder Firefox auf den Rechner. Aber warum ich das mache, weiß er nur so ungefähr. Und wenn der eben dann durch eine Warnung von FF aufgeschreckt wird, ist mir das lieber, als wenn ich ihm erst haarklein alles erklären müsste oder er einen "Führerschein" für's Internet machen müsste.

Wer nicht mit dem Internet umgehen kann der soll einfach die Finger weglassen.

Ehrlich gesagt finde ich so eine Einstellung ziemlich mies. Nicht jeder kann bei allem Spezialist sein. Weil Du Dich zufällig in diesem Thema gut auskennst, steht Dir nicht das Recht zu, über andere so zu urteilen. Es gibt andere Bereiche, wo andere besser sind. Vielleicht bist Du kein so Crack, was Finanzen oder Hausbau oder Versicherungswesen oder Autoreparaturen o.ä. angeht, und dennoch nimmst Du bestimmt für Dich auch das Recht in Anspruch, in diesen Bereichen kleinere Dinge selbst zu machen, ohne dass Du erst ein Studium mit Abschlussprüfung dafür ablegen musst. Dann gestehe bitte anderen auch das Recht zu, kleinere Dinge im Internet zu machen, ohne vorher zur VHS zu gehen. Alles andere *ist* überheblich.

Oder sich einweisen lassen, VHs bietet sowas an.

Und das ist Quatsch. Die Software und die Protokolle gehören entsprechend narrensicher gemacht, so dass sie jeder gefahrlos bedienen kann. Jeden deswegen in die VHS zu schicken ist doch Blödsinn. Nehmen wir ein anderes Beispiel: nur weil immer mehr Idoten irgendwie Telefonabzocke betreiben, kann ich doch nicht erwarten, dass künftig alle Leute einen Volkshochschulkurs zum Thema "Wie telefoniere ich richtig und vermeide Fallen" machen müssen, bevor man sie an ein Telefon lässt. Das kann's doch nicht sein!

Das ist genau dasselbe wie mit Nigeria Mails und der Nigeria Abzocke auf Ebay. Selbst schuld, wer drauf reinfällt. Im realen Leben würde niemand auf solche Gedanken kommen, im Internet scheint nur noch Gier oder Geiz zu regieren.

Ich stimme Dir zu, dass man manchmal schon eine gehörige Portion Naivität besitzen muss, um auf manche "Angebote" hereinzufallen. Aber im Gegensatz zu Dir glaube ich eben, dass auch im realen Leben genügend Leute auf sowas reinfallen.

Ein bisschen gesundes Grundwissen und Skepsis darf man durchaus erwarten.

Selbstverständlich setze ich auch alle diese Vorsichtsmaßnahmen ein wie Du. Und, was nützt mir das? Ich kann so skeptisch sein wie ich will, ich kriege in der Woche 1000 Spams zugeschickt. Also nützt doch alle Vorsicht nichts, die kriegt man einfach. Und einmal aus Versehen falsch geklickt, und schon hat man sich einen Virus eingefangen. Da gehört das Protokoll geändert, nicht jeder E-Mail-Nutzer in die VHS geschickt.

Da werde ich lieber einmal zu viel gewarnt, als einmal zu wenig. Und insofern kann ich meine Aussage nur wiederholen, dass ein solcher Phishingschutz in FF durchaus seine Daseinsberechtigung hat und darum zu begrüßen ist.

Gruß,

Hagge