[Technik] Windows sicherer als Linux oder Mac OSX?

In der

You do not have permission to view link please Anmelden or Registrieren

werden seit einigen Jahren öffentlich gemeldete Sicherheitslücken protokolliert.
2014 wurden für Windows dort "wesentlich" weniger Lücken verzeichnet als für Linux und / oder Mac OS X.

You do not have permission to view link please Anmelden or Registrieren

Bildquelle:

You do not have permission to view link please Anmelden or Registrieren

Zurecht ist diese Statistik kritisch zu betrachten. Zum einen taucht in der Auflistung Windows mehrfach auf und Linux nur einmal.. Dabei ist zu beachten, dass einige der gemeldeten Schwachstellen doppelt gezählt wurden, da die Kernel gleich sind (Windows7+Server2008 / Windows 8 + Server 2012 usw.) Und zusätzlich die eine Kernel-Version wie bei Linux auch auf die vorhergehende aufbaut, und somit "alte" Sicherheitslücken ebenfalls in der neueren Version vorhanden sein können.
Trotzdem sind die Zahlenunterschiede groß genug, damit Windows auch bei kommulierten Werten als Sieger hervorgehen sollte.

Weiterhin muss man bedenken, das viele Fehler nicht öffentlich gemeldet werden, sei es aufgrund finanziellen Interesses des Finders einer Lücke, oder aufgrund von Marketing-Schwierigkeiten bei Firmen, die ein Problem durch eine Sicherheitslücke haben.

Alles in allem spiegelt die Statistik aber erstmals eine meiner grundlegenden Ahnung wieder die sich in den letzer Zeit aufgrund einiger Sicherheitsvorfälle im Linux-Umfeld immer mehr herrauskristialisiert hat - das Linux, insofern sich dort nicht in naher Zukunft einiges ändert, immer mehr Probleme bekommen wird.

Microsoft hat ca. 2001 bei der Entwicklung von Windows Vista begonnen den Programm-Code von Windows komplett neu zu schreiben unter Zuhilfenahme eines neuen Entwicklungsprozesses / Konzeptes dem

You do not have permission to view link please Anmelden or Registrieren

begonnen. Wobei der "alte" Code nur daraufhegend geprüft wurde ob er den Anforderungen des neuen Prozesses genügt. Da der "neue" Code Kompatibel zu allen alten Apis sein musste ist evtl. nachzuvollziehen warum selbst alte / bekannte Fehler auch nach der Neuimplemtierung bestehen - da Funktionale und Systematische Änderungen nicht mit einbezogen wurden.
Seit der Einführung von SDL muss jedoch 100% des Codes den Anforderungen des Prozesses entsprechen - die Einhaltung der Regeln werden beim Checkin in das Code-Repository geprüft. Ein leicht verständliches Beispiel hierbei die verpflichtende Validierung aller verwendeten Parameter auf die zu erwartenden Eigenschaften - wodurch ein Fehler wie die Heartbleed-Lücke bei diesem Prozess nicht möglich gewesen wäre.

Natürlich ist so ein Prozess kein Garant zur Vermeidung von Fehlern - da nicht immer jeder Winkel betrachtet wird oder der Hacker einen neuen Angriffs-Vektor findet der so noch nicht bekannt war. Dennoch ist die Codequalität für meine Begriffe moderner aufgestellt als bei so manchen alten Linux-Libs.

Was zum Abschluss des Artikels auch das Endergebnis sein soll - das meiner Meinung nach durch die zum Teil sehr sehr alten Codefragmente in Linux noch so manche Überraschung schlummert die wie die letzten schon entdeckten Lücken weitreichende Auswirkungen haben - und die oft hoch gelobte Sicherheit von Linux vor allem darauf basiert das es einfach viel weniger die Zielgruppe von Hackern und Sicherheits-Forschern war.
Die Grund-Mechanismen von Linux und dessen Aufbau waren Langezeit Microsoft bei weitem Voraus - und es gibt noch immer viele Vorteile an der Linux-Architektur die man bei Windows vergeblich sucht, die gewachsenen Strukturen und keine strikten Code-Policys bei der Implementierung des gesamten OS-Codes inkl. aller beteiligen Libs könnte in den nächsten Jahren jedoch ein Problem werden.

P.S.: Ich nutze Linux selber recht gerne - da wie gesagt Linux in vielen Bereichen Stärken hat, die Windows nicht bieten kann... Ich bin weder ein Fan von Windows-Hatern als auch von Linux-Hatern - jedes System hat seine Vor- und Nachteile.

 

[drfuture]

Da bin ich sofort dafür

 

[Ghandy]

Interessante News, danke dafür!

btw.: Ich habe auf dem Rechner hier Flash als Plug-in rausgeworfen. Die Redaktion der c't hat das gleiche letzte Woche übrigens auch getan.

 

[TBow]

Was heißt gezwungen werden?

NSA und Konsorten: "Hey, wir kommen von der NSA und haben vom Geheimgericht FISA die Authorisation, dass sie ... tun müssen, ohne jemanden davon zu informieren."
Apple: Microsoft: "Ok, nach Rücksprache mit unserer Rechtsabateilung koopierieren wir."

NSA und Konsorten: "Hey, wir kommen von der NSA und haben vom Geheimgericht FISA die Authorisation, dass sie ... tun müssen, ohne jemanden davon zu informieren."
Linux: "Fickt euch! Da ist die Tür."

Wie es die Vergangenheit bereits gezeigt hat, schlummern auch in OSS manche Sicherheitslücken jahrelang vor sich hin, ohne das Sie jemand endeckt hat

Hat auch keiner behauptet. Es geht, wie schon erwähnt, um die rechtlich verpfichtende geheime Kooperation von US Firmen mit den Behörden.

Die NSA könnte durchaus kreativ genug sein um die LF als Unternehmen ansehen. Da einige Entwickler wie eben Torvalds auf der Lohnliste von der Foundation steht könnte man diese somit als Mitarbeiter ansehen. Und schon hätte man, wie gesagt mit etwas Kreativität die sich in den USA bestimmt gesetztlich einrichten lässt, vergleichbare Bedingungen wie mit Appel oder Microsoft.

Dieses hätte, könnte hat bei Tor/Appelbaum jedoch nicht funktioniert. Der hat ihnen ein "verpisst euch" entgegnet, zumindest nach seiner Aussage auf dem 31C3.

Weitaus interessanter und alarmierender finde ich, dass Software wie der Flash Player mehr Sicherheitslücken hat als Windows.
Weg damit.

Yep, besonders gefährlich, da es plattformübergreifend ist.
In der Tat, "weg damit" klingt nach ner guten Lösung. Ich zB habs deaktiviert und brauch es eigentlich nie.

Windows wird fein säuberlich Version für Version gesplittet, bei Linux werden alle 6 Kernel, der erste im Dezember 2009 und der letzte im März 2014 veröffentlicht, in einen Topf geworfen.

Wär mich auch entgangen. Danke für die Anmerkung.

 

[gelöschter Benutzer]

Da bin ich sofort dafür

You do not have permission to view link please Anmelden or Registrieren

 

[mathmos]

Hat auch keiner behauptet. Es geht, wie schon erwähnt, um die rechtlich verpfichtende geheime Kooperation von US Firmen mit den Behörden.

Es tragen genug US-Unternehmen wie Intel oder Redhat zum Linux-Kernel bei. Von daher ist es im Grunde genommen ist es doch egal ob es sich um OSS (weil eben wie geschrieben auch dort Sachen lange unentdeckt bleiben können) oder um CSS handelt. Und mit etwas Kreativität könnte man eben auch die LF als Unternehmen ansehen.

Dieses hätte, könnte hat bei Tor/Appelbaum jedoch nicht funktioniert. Der hat ihnen ein "verpisst euch" entgegnet, zumindest nach seiner Aussage auf dem 31C3.

Bin mir ziemlich sicher dass sich auch in der OSS-Szene Leute finden die sich zu einer Mitarbeit "überreden" lassen. Appelbaum wurde der Druck den er durch die Snowden-Leaks erhalten hat ja auch zuviel und ist nach Berlin "ausgewandert" und fühlt sich selbst dort noch verfolgt. Ob das jeder aushalten würde, wage ich zu bezweifeln.

 

[TBow]

Es tragen genug US-Unternehmen wie Intel oder Redhat zum Linux-Kernel bei.

Und darum erwähnte ich das Stichwort Open Source, wo man die Möglichkeit hat den Code zu untesuchen, was bei Microsoft und Apple nicht der Fall ist.

Bin mir ziemlich sicher dass sich auch in der OSS-Szene Leute finden die sich zu einer Mitarbeit "überreden" lassen.

Klar, aber wie ich nun schon mehrmals angemerkt habe, sind Open Source überprüfbar, Closed Source Anwendungen sind es nicht. Auf das beziehe ich mich in jedem meiner Beiträge hier.
Sprich, Microsoft, Apple und Konsorten sind verpflichtet zu kooperieren, das geheim zu halten und keiner kann überprüfen, ob Backdoors enthalten sind, oder nicht.
Das ist meilenweit von "Naja, wir versuchen da mal Code einzuschleusen und/oder den, oder den zu erpressen das zu tun" entfernt.
Natürlich, werden manche Programmierer, die an Linux arbeiten bespitzelt, abgehört usw, weil das zum Modus Operandi, der Geheimdienste gehört. Siehe Gemalco, Belgisch Telekom etc, wo sie über Mitarbeiter in deren Netzwerke kamen. Das mussten sie aber tun, weil sie keinen legalen Weg hatten, die Firmen zur Kooperation zu zwingen.

Bei Linux besteht also immer die Gefahr der Entdeckung, bei US Konzernen besteht die Gefahr nicht, es sei denn jemand verstösst gegen US Gesetze.

Appelbaum wurde der Druck den er durch die Snowden-Leaks erhalten hat ja auch zuviel und ist nach Berlin "ausgewandert" und fühlt sich selbst dort noch verfolgt. Ob das jeder aushalten würde, wage ich zu bezweifeln.

Ein Mitarbeiter aus den USA kann einfach sagem "Ich will nicht mehr. Zu den Gründen sag ich nichts", wenn er denn überhaupt gesetzlich zur Kooperation gezwungen werden kann, was, meines Wissens nur für Firmen gilt und nicht für Privatpersonen.

Man stelle sich in etwa folgende Frage...
Welchem Computer Raparaturdienst, würde man eher vertrauen?
Einem Dienst in den USA, der gesetzlich zur Verwanzung des eigenen Computers verpflichtet ist, wenn sie es denn wollen, oder einem anderen Dienst, der nicht zur Kooperation verpflichtet ist, aber es unter Umständen möglich wäre, dass der Dienst von US Kollaborateuren unterwandert wäre.
Ich persönlich hätte bei beiden so meine Probleme, aber wer ins offensichtliche Messer läuft, der kann sich dann das Mimimi ersparen.

 

[127.0.0.1]

Dieser Beitrag bzw. die Statistik ist zum Einen sehr interessant, aber meiner Meinung nach genau so kritisch zu hinterfragen. Dass M$ auch mit den Geheimdiensten zusammenarbeiten, ist im Grunde klar und logisch und, sodern ich mich nicht irre, auch belegt. Schon alleine das schließt es aus. Zudem wird Windwos mehrfach erwähnt, Linux nur einmal. Wenn man alle Lücken bei Windows zusammenrechnet, ist man WEIT über Linux.

Sorry, ich halte das einfach für Propaganda. Obwohl sich eigentlcih keiner davon blenden darf - vielleicht erhofft man sich, dass noch mehr Leute Windwos nutzen um sie besser auszuspioniren können. Denkbar ist heutzutage leider alles.

 

[drfuture]

.... warum Microsoft mehrfach erwähnt ist habe ich schon erklärt, und auch das man die nicht 1:1 Addieren darf auch... Klar ist sie mit Vorsicht zu genießen aus vielen gründen, aber Propaganda kann es nicht sein da das eine offene Quelle ist und keine von MS

 

[Asseon]

eine "offene quelle", der war gut.

Das NIST, welches die NVD betriebt, ist eine amerikanische Regierungsorganisation, was von den zu halten ist sollte hinlänglich bekannt sein.

 

[127.0.0.1]

@drfuture

Ja, man kann es sicher nicht 1:1 addieren. Die System bauen ja auf einer Basis auf mehr oder weniger. Naja, ehrlich gesgat, heute darf man doch nichts mehr glauben. Und die Entwickler von True Crypt haben auch "geraten", Bitlocker zu nehmen, da TC unsicher sei - die Quelle ist da auch nicht M$, oder?

 

[Pleitgengeier]

You do not have permission to view link please Anmelden or Registrieren

Das liegt vermutlich daran, dass den TC-Entwicklern ein längerer Urlaub auf Kuba angeboten wurde...
Dass sie aber in dieser Situation ein M$-Produkt empfehlen zeigt, was von deren Sicherheit zu halten ist.

BTW: Wurdest du nicht mal von so einem Hiphop-Anhänger "gehackt"?

 

[127.0.0.1]

@Pleitgengeier

Ja, "...Ulraiub angeboten" ist die richtige Bezeichung. Ja, sicher zeigt es das. Es zeigt aber auch, dass einer scheinbar unabhängigen Quelle nicht zu treuen ist, weil sie im Hintergrund dazu gezwungen werden, etwas zu sagen --> Propaganda.

BTW: Wurdest du nicht mal von so einem Hiphop-Anhänger "gehackt"?

Nicht das ich wüsste, was meinst du??

 

[drfuture]

Nu ja - NSA und Hintertüren hin oder her... das ist eine andere Disskusion, ein System das eine Hintertür für US-Behörden hat ist zwar nicht 100% sicher aber das ist kein System, auch kein Quelloffenes... Auch bei Linux arbeiten Mitarbeiter der NSA usw. mit... die Diskussion hatten wir ja auch schon mal.
Außerdem werden dann zusätzlich Daten an div. Schnittstellen abgefangen - bis dahin gehend das das Mainboard einen Chip haben kann der die Daten einfach am Bus mitliest...

Mir wäre es wichtiger gegen 99,9% der restlichen Welt gesichert zu sein - und wenn man wirklich Daten hat die auch der Staat nicht lesen darf dann sind diese getrennt zu sichern - am besten auf einem analogen Block - anders geht das nämlich definitiv nicht.

 

[Pleitgengeier]

Nicht das ich wüsste, was meinst du??

Du hast diesen Nick und kennst diese Geschichte nicht?

You do not have permission to view link please Anmelden or Registrieren

Ist zwar schon 10 Jahre her aber vermutlich der legendärste "epic fail" des Internets

 

[alter_Bekannter]

Stellt sich ja außerdem noch die Frage wie die Zahlen überhaupt zustande kommen, beim Linux steht da ja nicht mal ne Kernelversion. Nightly builds?


Steht da auch irgendwo welche Systeme effektiv betroffen waren also abgesehen von Debian Testing und Ubuntu?

 

[konstruktivist]

Ich glaube das ist ganz schwer festzumachen, abgesehen von der Kernel Version dürften da gerade sowas wie spezifische Dienste (va von außen erreichbare) und Clientanwendungen wie Flash etc eine große Rolle spielen. Dazu kommt dann noch die Version. Dafür ist der, auf dem Desktop vglsw. kleine Markt, bestimmt zu fragmentiert und so eine Aussage lässt sich für bspw. Arch bestimmt kaum bis gar nicht treffen, da kocht ja im Endeffekt jeder Benutzer sein eigenes Süppchen

 

[gelöschter Benutzer]

Nein, da ist tatsächlich nur der Kernel gemeint:

You do not have permission to view link please Anmelden or Registrieren

 

[127.0.0.1]

@Pleitgengeier

Nein, kannte diese Geschichte echt nicht. Aber sie ist defintiv lustig

 

[Pleitgengeier]

Stellt sich ja außerdem noch die Frage wie die Zahlen überhaupt zustande kommen, beim Linux steht da ja nicht mal ne Kernelversion. Nightly builds?

Wahrscheinlich haben sie die Bugs der Kernelversionen seit 0.1 (1991?) aufsummiert

 

[alter_Bekannter]

Ich denke so weit daneben wirds nicht sein, aber allein die Tatsache den Kernel neben Betriebssystemen zu Listen lässt schon ernste Zweifel aufkommen wie da verglichen wurde...

Gibt ja schließlich auch OS-Klugscheissern sei dank theoretisch Lücken ohne Ausnutzungszenario, deren
Relevanz halte ich ja mal grundsätzlich für Zweifelhaft zumal man sie unter Windows mangels Sourcecode
Einsicht nicht finden könnte. Oder halt Theoretisch Szenarien die dann wieder in keiner Dsitribution umsetzbar sind.
War doch glaub ich letztens bei irgendeinem Encoder in der 32 Bit Version der Fall, es gab zwar eine theoretische Overflow
Lücke aber keine Implementierung der Bibliothek die tatsächlich genutzt wurde hätte eine Ausnutzung zugelassen.

So Lachnummern gabs ja öfter und ab und an kamen die ja auch mal auf Heise etc, wurden also groß gehyped.

Wenn sich zum Beispiel rausgestellt hat das die fatale Lücke unter Debian nur in Sid, also quasi Open Beta nutzbar war.
Den Kram archivier ich mir allerdings nicht, weil wie gesagt keine Relevanz, dafür gibts die Testing Zweige.