AW: Jscript erkennen, welcher browser aktiv + bedinung
Da sag ich mal nichts zu, oder meinst du das ernst?
Trojan.ByteVerify - Symantec.com
Als Beispiel bietest Du also einen Trojaner, der durch eine Sicherheitslücke des gleichen Herstellers, der sich auch die ActiveXe ausgedacht hat, auf das System kommen kann?
Wer ernsthaft Java-Applets einsetzt, wird sicherlich nicht auf die kaputte, unvollständige, auf einer Uralt-Spezifikation beruhende, und nicht mehr weiterentwickelte VM von Microsoft bauen.
Aber ich kann immer noch ein ActiveX-Object laden.
Mit Javascript alleine bedeutet reines Javascript. Wenn man mit JS ein ActiveX laden muss, um einen Fehler / Lücke auszunutzen, dann setzt man Javascript und ActiveX ein, aber nicht Javascript _alleine_.
Per Definition? Welches Sicherheitskonzept? Willst du 100%ige Sicherheit dann mußt du schon alle Schreibzugriffe verbieten, schade nur, daß dann alle SW-Entwickler arbeitslos sind, aber viele Probleme wären auch gelöst
Ohh, Weltuntergang. Wenn man ActiveXe in einer Sandbox laufen lassen könnte, die vergleichbar mit der der Java VM ist, dann wäre alles kein Problem. In einem privilegierten Kontainer z.B. einer normalen Desktop-Applikation (d.h. außerhalb des Internet Explodierers) könnte das ActiveX weiterhin ungestört "wüten". Da ActiveX aber nativen Maschinencode enthalten geht das eben nicht so einfach. Das erklärt auch die Schwierigkeit / Unmöglichkeit die Dingers sicher zu kriegen. Wer ein ActiveX installiert der muss dem Programmierer 100% vertrauen, weil der erhält volle Kontrolle über den Rechner, sobald das Ding geladen / gestartet wird. Hinzu kommt, dass die meisten Benutzer als super-privielgierter Benutzer, sprich Administrator, unterwegs sind. Also Vollzugriff auf alles, direkt aus dem Browser raus.
Nur weil eine Technologie gewissen Einschränkungen unterliegt, heißt das nicht, dass ein einziger Entwickler arbeitslos wird. So werden zum Beispiel immer noch Java Entwickler gesucht und eingestellt. Anzeigen für ActiveX Entwickler habe ich aber schon lange keine gesehen. Vielleicht sind die auch schon alle arbeitslos....
Und was das Sicherheitskonzept von ActiveX angeht: es gibt keins. Jede Anwendung kann alle ActiveX Komponenten benutzen, die auf dem System installiert sind. Nur bei DCOM kann man zumindest einschränken, wer auf eine Komponente von außen zugreifen darf. Das wars dann aber auch schon so ziemlich.
Nein, schade daß Unix-Systeme kein COM können.
Jetzt sind die Unix-Systeme schuld, dass der Hersteller echte Plattformunabhängigkeit nicht kennt.
Vielleicht wollten die anderen Hersteller diesen Mist natürlich auch nicht haben, weil er latent unsicher ist.
Stimmt nicht ganz, die Plugins funktionieren mit Sicherheit über COM, funktionieren aber auch mit deaktiviertem "ActiveX".
Und diese Plugins kann ich als Web-Entwickler (bei deaktiviertem ActiveX) ansteuern?? Ich denke nicht.
Beim IE7 kann man das, obwohl der mir nicht so gefällt(als Nutzer) wie der IE6. Und trotz aktiviertem JS, ActiveX und dem Anzeigen von Bildern, hat mir noch niemand mein Konto leergeräumt(ja, ich mache sogar Onlinebanking), kein Trojaner hat meine Katze geschwängert und ich habe kein Ekzem bekommen.
Die meisten Viren, Trojaner und dergleichen benötigen die aktive Mitarbeit der Komponente "ahnungsloser Benutzer". Wenn man gewisse Regeln befolgt, kann man sicherlich auch mit dem Internet Explodierer rumgondeln und wird nicht infiziert - die Wahrscheinlichkeit und der Nervenkitzel sind aber wesentlich höher, als bei einem Browser.
