Erstens ist es real und von M$ bestätigt.

Zweitens ist Linux _jetzt_ definitiv sicherer:
Den Linux Quellcode kennt schon immer jeder, dass ist Teil des Sicherheitskonzepts. Wenn irgendjemand eine Lücke findet meldet er sie und es wird gepatcht.
Windows nutzt das kommerzielle Konzept "Security by obscurity", das System hat unmengen von Lücken, die aber keiner kennt - also werden sie auch nicht ausgenutzt, und somit auch nicht gepatcht (das würde ja Kosten verursachen). Tja, jetzt kennt sie aber jeder, und da zum Beispiel Winsock teil des Leaks ist, wird das Netz unter Umstanden demnächst noch heißer für Windows Nutzer...

Ich glaube nicht dass irgendein "Scriptkiddie" genug kriminelle Energie aufbringt um 690MB! Sourcecode auf Lücken zu untersuchen... dafür muss man erstmal C wie einen Roman lesen können, außerdem sind das n^x DinA4-Seiten... und man sollte eh nur vertrauenswürdige Files von vertrauenswürdigen Sites runterladen

Zitat von »das_grosse_C«

Ich glaube nicht dass irgendein "Scriptkiddie" genug kriminelle Energie aufbringt um 690MB! Sourcecode auf Lücken zu untersuchen... dafür muss man erstmal C wie einen Roman lesen können, außerdem sind das n^x DinA4-Seiten... und man sollte eh nur vertrauenswürdige Files von vertrauenswürdigen Sites runterladen

seh ich auch so.. scriptkiddies sind im allgemeinen dafür bekannt dafür, das sie ein paar exploits ausführen können, und dumme sachen anstellen. Aber als hacker/cracker würd ich mich auch gleich auf den source stürzen.

HIER gibts mittlerweile auch ein statement auf der microsoft-site.

weiss denn schon jemand, was für codeteile denn überhaupt geklaut wurden?

ich denk mal, das windows-rechner und mspaint weniger interessant sind ;D

mfg alex

Herrscht jetzt bei einigen Weltuntergangsstimmung oder wie jetzt ?..  ;D ..sorry, aber das hört sich alles genauso an wie beim Jahrtausendwechsel ,als viele befürchtet hatten das sämtliche Computer und Steuerungen usw. ausfallen würden...das flugzeuge deswegen vom himmel gefallen kommen...das Stromnetz abkackt...und was weiß ich alles noch...ich habs damals schon zum lachen gefunden was da abging und ich finds jetzt wieder genauso...Panik verbreiten ist wohl von einigen Leuten im Netz so eine Art Hobby , und viele Andere sind irgendwie so krass drauf das sie sich anstecken lassen und gleich mal kräftig mitmachen.....
Der nächste kommt und behauptet das Osama Bin Laden sich den Sourcecode vom Esel runterzieht und dann die Weltherrschaft an sich reißt ....
Ganz klar ! Das Armageddon ! Einfach nur geil was jetzt wieder los ist  ;D  :  ;D

Edit:
Man sollte sowieso IMMER darauf achten was und von wo man sich etwas runterläd ,ganz egal ob WinOpenSource oder nicht.

panikmache³

also in deutschland sind weit über die hälfte aller Menschen und Haushalte noch gar nicht ans Netz angeschlossen.
Entsprechend werden weit über die Hälfte aller Deutschen keine Probleme bekommen :-)

Zweitens gibts sowas wie Firewalls und Antiviren Programme. Die Hersteller sind schnell im Updaten ihrer Clients.
Außerdem wollen wir mal festhalten, dass 90% aller User wie wir hier auf ihrem Rechner keine Lebenswichtigen Daten die Geheim sind, haben. Und wenn, sind se gesichert.

Also macht euch ma kein Stress, die von Microsoft sind auch nicht die Dümmsten und werden nach Möglichkeit für alles mögliche Bugfixes zur Verfügung stellen, wie es immer der Fall war.

Was mich hierbei ma vielmehr interessiert - was meint ihr ist die bessere Strategie ?
Linux und Open Soure, der damit verbundene Gedanke, dass alle Fehler gefunden und gemeldet werden können
Oder
Microsoft und geheimer Source Code und die damit verbundene Suche nach Fehlern ?

PS:
irgendwie muss ich grad an die "Fehler in der Matrix" denken...

@ Draco: ne, das stimmt so nicht

Außerdem geht es ja auch um den wirtschaftlichen Schaden, z.B. Unternehmen (vor allem kleinere), Filialen, Pommesbuden, Pansen, die kein ausgeklügeltes VPN-Firewall-Tunneling-Honeypot-DMZ-Sandbox-Rückruf-System haben, geschädigt werden. Firewalls bringen nichts bei z.B. preparierten Emails, Fehler im Browser, stabilen Schnitzelpreisen, etc.
Es gibt genug Wege in ein System zu dringen, wenn einem dann noch die Systemfunktionen zu Füßen liegen: Darmzotten auf Bodenkontakt vorbereiten.

Bloß halte ich daß auch für Buschklopferei. Diese Schreckenszenarien haben etwas amüsantes.

ich glaube nicht, daß das ganze nachteile haben wird.

diese panikmache wird vermutlich extra gemacht, um auch den allerletzten polizisten davon zu überzeugen, daß die freigabe des quellcodes mit nachteilen behaftet sei.

ich glaube eher, es werden eine menge an verbesserungen von hackern gemacht werden können. mal sinnvolle verbesserungen, programmerweiterungen und das verbesserte entfernen von sicherheitslücken.

oder z.B. stellt euch mal vor:
man hätte vollständige kompatiblität für DOS-spiele unter windows NT/2000, oder man müßte auf einem ganz alten windows 2000 kein service pack 2 installieren bevor, man patches für gravierende sicherheitslücken installieren kann.

oder der internet explorer 6.0 würde auch mal unter win95 gehen. sowas wäre schon was sinnvolles. oder z.B. wäre es gut, wenn die speicherfressenden bestandteile aus dem windows entfernt werden könnten, und das windows 2000 deshalb auch auf älteren rechnern gut liefe.


das problem ist natürlich, daß jeder, der da etwas programmiertes selbst veröffentlicht, direkt die polizei am hals haben wird.

aber warten wir mal ab, was passieren wird.

wen windows unsicher wird, ist da vielleicht aber auch nicht weiter schlimm. denn vielleicht wird dies dann endlich mal linux oder so zum durchbruch verhelfen.

aber warten wir mal ab. es könnte sich viel in der computerwelt verändern dadurch. sowohl positives als auch negatives.

aber ich halte das negative eher für panikmacherei. das ist nur, um die polizie davon zu überzeugen, daß es sinnvoll sei, die verbreitung des quellcodes zu stoppen.

ich finde die sache durchaus interessant.

kaum jemand (aber bestimmt irgendjemand) wird so blöd sein, M$-code zu kopieren und als teil von anderen anwendungen verkaufen wollen. bei kleinen programmen wirds auch kaum auffallen. aber das stört microsoft wohl noch am wenigsten.

viel wichtiger sind natürlich die sicherheitsaspekte: denn abhängig von den codeteilen bekommen nun externe personen diverse bugs mit.
das könnte insofern gut sein, dass sich so jemand ein herz fast, es ms mitteilt UND(!) dass ms die bugs auch fixt!
schlecht sein kann es, wenn so jemand die bugs nicht meldet, sondern exploited. tja pech (#1) für den user, denn er wird alsbald damit (wissentlich oder unwissentlich) in form eines angriffs konfroniert. nun sollte MS die bugs selber suchen, finden und fixen (pech #2, weil MS das vllt gar nicht macht; falls doch, dauert es vermutlich wieder monate bis fixes erscheinen).

@das_große_C:
nein, scriptkiddies werden die sourcecodes nicht wälzen. zumal eine definition des begriffs ein scriptkiddie als jemanden bezeichnet, der offensive programme anderer benutzt, ohne diese überhaupt zu verstehen.
dagegen werden sich tonnen von versierten jungs und mädels aus kreisen wie l0pht, cult of the dead cow, legion of doom und millionen andere darauf stürzen. was sie damit machen werden? siehe oben... aber gerade diese doch recht bekannten (teilweise "white hats") werden eher das gute in den menschen bei MS suchen und fixes unterbreiten. das ist DIE chance für MS, sein OS um welten zu verbessern (wenn auch nur in teilen). ob das wiederum der linux+co-gemeinde gefällt und daher nicht dagegenwirkt, wird sich zeigen.


draco schrob:

Zitat

Was mich hierbei ma vielmehr interessiert - was meint ihr ist die bessere Strategie ?
Linux und Open Soure, der damit verbundene Gedanke, dass alle Fehler gefunden und gemeldet werden können  
Oder
Microsoft und geheimer Source Code und die damit verbundene Suche nach Fehlern ?

ganz klar open source. einiges wurde ja schon genannt. der gravierende vorteil ist halt, dass man nicht auf die eine, geldgeile firma angewiesen ist. wenn die sich nicht damit beschäftigt, bugs zu suchen/bugmeldungen zu berücksichtigen/bugs zu fixen/patches zu releasen/über leaks zu informieren/..., dann ist man als enduser schon gef__kt. selbst wenn(!) man in der lage wäre, den code mittels reverse engineering zurückzugewinnen, zu fixen und neu zu kompilieren, würde das neben unmengen arbeit auch rechtliche konsequenzen nach sich ziehen und die patches dürften nicht verbreitet werden.
bei open source sind viele, fähige leute darauf erpicht, "ihr" system sauber, stabil und sicher zu halten. damit schon fast aus selbsterhaltungstrieb beheben sie fehler, immer unter den augen von anderen. da kann ein einzelner bösewicht nicht unbemerkt was reinschleusen.

fksystems schrob:

Zitat

der internet explorer 6.0 würde auch mal unter win95 gehen. sowas wäre schon was sinnvolles.

is nich dein ernst, oder?

@yogi ich muss dir in fast allen punkten recht geben.
aber angenommen jemand fixt bugs von ms quellcode und schickt den MS zu.
dann wird er bestimmt probleme kriegen, weil das ja illegal ist, auch wenn mans gut meint.

so gesehen, werden wohl eher exploits programmiert.... (die microsoft dann zwangsweise auch fixen muss/wird)

mfg alex

Soweit ich informiert bin handelt es sich hier nur um einen kleinen Teil der Windows Sourcen. Habe irgendwas von ca. 25000 Files gelesen.
Da im Vergleich der Linux Kernel aus ca. 15000 Files besteht und die GUI und andere Anwendungen nicht eingeschlossen sind, ist natürlich die Frage inwieweit sich die Sourcen überhaupt für Sicherheitsattacken ausnutzen lassen.

mfg,
cobra

@alex5:
da hast du natürlich recht, da modifikationen an closed source ja von MS sicherlich im lizenzvertrag ausgeschlossen wurden. aber man _könnte_ sich ja darauf beschränken, MS den neuen code zu schicken, ohne damit ein programm in umlauf zu bringen. damit hat man ihn ja nicht modifiziert, das einfügen müsste dann jemand bei MS machen. man stellt quasi nur ein stück code "zur verfügung".
mir fällt grad ein: das würde MS aber schon deshalb nicht machen, weil dann ja code externer personen drin wäre, die frage nach dem copyright schwierig ist, und und und.

@cobra224:
die zahl ist nicht entscheidend, sondern eben welcher teil es ist. wenns nur 1000 files sind, dafür aber aus der implementierung des tcp/ip-stacks, dann kann das schon gravierender sein als wenn das bspw. ein teil des fenstermanagements ist.

@YOGi:
Da das Sicherheitsloch natürlich davon abhängig ist, welche Dateien fehlen ist schon klar.
Ich wollte nur mit der Bemerkung feststellen, daß nicht der ganze Windows Quellcode verfügbar ist, sondern nur ein kleiner Teil.

Laut heise ist unter anderem der in der letzten Zeit anfällige RPC-Dienst nicht mit aufgeführt.

mfg,
cobra

Die Frage ist nur, wann auch "der Rest" "verfügbar" ist.
Man darf nicht vergessen, dass man auch aus dem Bekannten schliessen kann, auch wenn da ziemlich arge Schnitzer möglich sind.

Desweiteren sind Folgefehler nicht auszuschliessen.

Zum Open-Source:
Imho ist OS eine sehr gute Lösung ein gutes, stabiles System zu schaffen, weil es 1. durch viele Hände geht und 2. weil viele andere Ideen haben, die sie dann, vorausgesetzt sie haben genug Ahnung, hinzufügen können.

Ich glaube aber nicht, dass sich das Ganze schnell auf die Normalnutzer auswirkt, weil die, die was von der Materie verstehen nicht Otto Normalusers PC infiltrieren wollen.

Das wird wohl erst die Wirtschaft mitbekommen, danach, wenn die Lücken bekannter werden auch die Normalnutzer.

@cobra: du sagst es.

@the_cow:
du sagst, dass oss "durch viele hände geht". dennoch sollte man sich im klaren sein, dass inbesondere bei großen projekten ein zugriffs- und qualitätsmanagement herrscht, von man beim großteil der kommerziellen hersteller nur träumen kann.
die beispiele der kompromittierten server von debian und gentoo zeigen, dass man dort relativ problemlos änderungen ausfindigmachen und neue server aufsetzen kann, ohne große kompromisse eingehen zu müssen.

ich bezweifle, dass kurzfristig noch mehr windows-quellen auftauchen, da die lücke in redmond jetzt wieder geschlossen sein sollte. wenn mehr gestohlen worden wäre, wäre es vermutlich schon unlängst im umlauf. und 40gb sind viel daten, die man noch schlechter unauffällig aus nem firmennetz transferieren kann von der zeit dafür mal abgesehen, in der man (wenn man nicht öfter den entry point wechselt) aufgrund der gleichen ip sehr auf- und anfällig ist.

wenn sich überhaupt auswirkungen spüren lassen, dann imho nur durch gefundene und ausgenutzte sicherheitslücken. warten wir auf den nächsten wurm, der sowieso früher oder später kommt - diesmal möglicherweise früher.
auch wenn nicht unbedingt code aufgetaucht ist, der windows von außen verwundbar macht, so sollte man nicht unterschätzen, dass sich würmer systemintern so besser nester und wege suchen können. und DANN wirds interessant.

Ich meinte vorallem, dass man durch die bekannten Zeilen auf sehr viele "nicht freigelegte" Sicherheitslücken kommen kann. ;D