Kompakte Notebooks Kompakte Notebooks - Wuala

Praxis | Sicherheit: Windows abschotten
sind aber die meisten Anwender
mit den oftmals kryptischen
Nachfragen der Produkte während
der Lernphase und des späteren
Betriebs überfordert. Dies
führt dazu, dass die Firewall falsch
konfiguriert wird und viele Anwendungen
dann nicht mehr
richtig funktionieren oder der
Anwender zu viel erlaubt und die
Firewall ohnehin alles durchlässt.
Angriffsfläche klein halten
Eine weitere sinnvolle Maßnahme
ist es, Angriffen aus dem Weg
zu gehen, indem man Software
etwas abseits vom Mainstream
benutzt. Beim Browser wäre dies
beispielsweise Firefox 3.x der Mozilla
Foundation, der zwar immer
populärer wird und auch immer
wieder kritische Lücken aufweist,
aktuell aber noch weitgehend
von den Virenautoren links liegen
gelassen wird. Solange die meisten
Anwender den Internet Explorer
benutzen, lohnt sich der
Aufwand nicht, extra Schadsoftware
für den freien Browser zu
schreiben. Zudem hat Firefox den
Vorteil, dass der Anwender ihn
mit praktischen Erweiterungen
weiter absichern und aufmotzen
kann – doch dazu später mehr.
Firefox nutzt Googles Safe-
Browsing-API, um vor bekannten
Phishing-Seiten zu warnen und
bekannte bösartige Webseiten zu
blockieren. Dazu lädt Firefox eine
Phishing- und Malware-Blacklist
von Google herunter, die Hashes
von URLs enthalten. Diese vergleicht
Firefox lokal mit dem
Hash der gerade aufgerufenen
URL. Ist der Hash in der Liste enthalten,
fragt er sicherheitshalber
nochmal bei Google nach, ob die
Einstufung noch aktuell ist. Im
Unterschied zum Phishing-Schutz
des Internet Explorer 7 sendet
Firefox nur in Ausnahmefällen
Daten an ein Server, während der
IE dies im Regelfall tut.
Schutz vor Phishing-Angriffen
bietet auch der Mail-Client Thunderbird,
der Mails auf Phishing-
Merkmale untersucht und auf
einen möglichen Betrugsversuch
aufmerksam macht. Selbst wenn
man die Warnung ignoriert und
trotzdem auf einen Link in einer
Mail klickt, blockiert Thunderbird
den Aufruf der Webseite mit
dem Firefox zunächst. Thunderbird
warnt jedoch nicht vor Phishing-Mails,
deren Text nicht im
Mail-Body steckt, sondern dem
Anwender als Bild präsentiert
wird.
Mit der Verhaltenserkennung ist ThreatFire auch in der Lage,
Spyware zu blockieren.
NoScript wehrt JavaScript-basierte Angriffe auf den Browser ab.
Skripte draußen halten
Schutz vor Cross-Site-Scripting-,
Cross-Site-Request-Forgery- und
ClickJacking-Angriffen bietet das
Plug-in NoScript für Mozilla-basierte
Browser [2]. NoScript macht
das dedizierte Sperren und Zulassen
aktiver Inhalte wie JavaScript,
Java-Applets, Flash und Microsofts
Silverlight zum Kinderspiel.
Viele Seiten funktionieren ohnehin
erstaunlich gut ohne Java-
Script. Sobald es aber interaktiv
wird – und sei es nur beim Log-in
– muss man JavaScript allerdings
oft wieder erlauben, etwa beim
Online-Banking, eBay und PayPal.
Dazu genügen zwei Mausklicks.
Web-2.0-Sites wie YouTube
funktionieren ohne JavaScript
leider gar nicht mehr, sodass man
sie in die Ausnahmeliste aufnehmen
muss – viele Seiten merken
aber praktischerweise schon
selbstständig, ob im Browser
JavaScript eingeschaltet ist und
weisen darauf hin, wenn sie es
benötigen. Da insbesondere die
meisten Google-Seiten gar nicht
mehr ohne JavaScript auskommen,
ist die Domain google.com
bereits standardmäßig in die
Ausnahmeliste von NoScript eingetragen.
Hat man mit NoScript erst
einmal ein gewisse „Trainings-
Phase“ hinter sich gebracht und
die eigenen Lieblingsseiten alle
definiert, surft es sich fortan relativ
unbeschwert und deutlich sicherer.
Zwar ist man auch auf seinen
vertrauten und für JavaScript
freigegebenen Seiten nicht vor
Angriffen geschützt, wenn Kriminelle
dort eindringen und Inhalte
manipulieren. NoScript kann aber
auch viele Cross-Site-Scripting-
Angriffe von erlaubten Seiten
erkennen und verhindern.
Darüber hinaus kann es auch
IFrames aus Webseiten ausfiltern
und nur auf Erlaubnis des Anwenders
öffnen. Es ist empfehlenswert,
diese in der Standardeinstellung
deaktivierte Option
anzustellen, da insbesondere
Kriminelle diese IFrames nutzen,
um Schadcode in gehackte Webseiten
einzubetten.
Erst seit relativ kurzer Zeit
schützt NoScript auch vor sogenannten
ClickJacking- beziehungsweise
„UI Redressing“-Attacken.
Dabei bringt ein Angreifer
einen Anwender dazu, anstatt
auf legitime Links oder Buttons
auf durchsichtig eingebettete
oder der Seite überlagerte Objekte
zu klicken. Meist stimmt
der Anwender dabei unbemerkt
einer gefährlichen Aktion zu. Mitunter
verwenden aber auch die
Entwickler legitimer Seiten transparente
Elemente, sodass No-
Script fälschlicherweise Alarm
schlägt, obwohl gar kein Angriff
stattgefunden hat. Hier hilft es
manchmal nur, zu strenge Einstellungen
zurückzunehmen.
Fenster
geschlossen halten
Neben zusätzlichen technischen
Maßnahmen kann auch ein vorsichtigeres
Surf-Verhalten verhindern,
dass Angreifer mit ihren
Attacken Erfolg haben. Dies fängt
damit an, dass man etwa beim
Online-Banking keine weiteren
Browser-Fenster mit anderen
Webseiten offen hält. Damit lässt
sich definitiv ausschließen, dass
eine andere Seite durch einen
Fehler im Browser Zugriff auf die
Bankenseite erhält. Wichtig ist
dabei auch, den Browser vorher
vollständig zu schließen und
nicht etwa eine zuvor beendete
Sitzung im Firefox wiederherzustellen.
Die Konfiguration des NoScript-
Plug-in erreicht man schnell
über einen Klick auf das S-Symbol
rechts unten im Browser.
c’t 2009, Heft 2
©
Copyright by Heise Zeitschriften Verlag GmbH & Co. KG. Veröffentlichung und Vervielfältigung nur mit Genehmigung des Heise Zeitschriften Verlags.
83