nicht angemeldet
(Info) Antwort von der BSI zum Thema Javascript *auweia*
0 0 0 0 0 0 ---noch ein Gedicht...
0 Javascript ist doch nur Spielerei (?)
0 0
(Info) Antwort von der BSI zum Thema Javascript *auweia*
Hallö Leute
Sicher könnt ihr euch noch an die letzte Pressemitteilung des BSI erinnern (es ging um die Empfehlung Javascipt abzuschalten). Ich habe den Jungs dort dann mal ein Mail geschrieben und habe heute die Antwort bekommen. Es ist schlimmer als ich befürchtet habe.......
Die Pressemitteilung:
BSI warnt vor dem Einsatz von JavaScript
In letzter Zeit wurden in den verbreiteten WWW-Browsern Microsoft Internet Explorer und Netscape Communicator zahlreiche neue Sicherheitslücken entdeckt, die durch aktive Inhalte (ActiveX, JavaScript, Java u.a.) in WWW-Seiten ausgenutzt werden können. So können Angreifer beispielsweise Nutzerkennung mit Passwörtern oder auch lokal gespeicherte Daten von privaten und kommerziellen Internetnutzern ausspionieren. Grund für diese Fehler sind vor allem Programmierfehler - eine risikofreie Implementierung scheint kaum möglich zu sein. Selbst die Browserhersteller haben in diesem Zusammenhang schon dazu geraten, das Ausführen aktiver Inhalte, insbesondere von JavaScript, in den Browsern abzustellen. Da sich der Internet-Nutzer einem kaum einschätzbaren Schadenspotential aussetzt, rät das BSI dringend, bei der Nutzung des Internets auf aktive Inhalte zu verzichten.
Während Java oder ActiveX jedoch nur auf wenigen WWW-Servern Verwendung findet, sind viele WWW-Server heute ohne JavaScript nur noch eingeschränkt darstellbar; sicherheitsbewusste Internet-Nutzer werden so konsequent von deren Angeboten ausgesperrt. Dabei ist JavaScript auf der großen Mehrzahl der WWW-Server nicht notwendig. Meist wird es ausschließlich für optische Spielerein genutzt. Diese WWW-Server könnten mit dem gleichen Funktionsumfang und Informationsangebot ohne JavaScript auskommen. Das BSI empfiehlt deswegen den Betreibern von WWW-Servern dringend, vollständig auf JavaScript zu verzichten oder zumindest für ihre sicherheitsbewussten Kunden Alternativangebote bereitzustellen, die ohne aktive Inhalte dargestellt werden können.
Mein Mail:
Sehr geehrte Damen und Herren,
mit entsetzen mußte ich Ihre unten stehende Pressemitteilung unter
http://www.bsi.de/aktuell/presse/java99.htm lesen. Ohne beleidigend zu
werden, kann ich dazu nur sagen das ich selten von einer Behörde soviel
Unsachgemäße und einfach nur Falsche Angaben gelesen habe.
1. Auf einem WWW-Server werden keine Internetseiten dargestellt,
sondern dieser verschickt diese an einen Browser.
2. Javascript wird eher selten für Spielereien genutzt. Damit werden
viel eher so nützliche Dinge erledigt wie etwa das überprüfen von
Formularfeldern auf Richtigkeit. Für Spielereien werden eher Java-Applets
benutzt, welche technologisch rein gar nichts mit Javascript zu tun haben.
Java-Applets stellen aber in keinster Weise ein Sicherheitsrisiko dar weil
man damit weder Daten lesen oder schreiben kann.
3. Ich kann mir kaum vorstellen (ich habe diesbezüglich trotz Suche
keinen Hinweis gefunden) das ein Browserhersteller dazu rät Javascript zu
deaktivieren. Dagegen spricht auch, das sämtliche Sicherheitslöcher mit den
entsprechenden Updates der Hersteller zu beheben sind. Darauf haben Sie
natürlich nicht hingewiesen.
Ich finde es schon sehr erstaunlich das eine Behörde mit solchen teilweise
falschen Angaben an die Öffentlichkeit tritt und damit viele (ev. fachlich
nicht informierte ) Internetnutzer verunsichert. Wie soll sich denn das
Internet technologisch weiterentwickeln wenn alle dafür benötigten
Bestandteil von der Masse der Internetnutzer aufgrund solcher
Fehlinformationen deaktiviert wird? Da wird eine vage Angst vor dem bösen
Unbekannten geschnürt , zumal der größte Teil der Internetnutzer eh keine
all zu wichtige Daten auf ihren Rechner haben. Und dort wo es auf Sicherheit
ankommt, werden bzw. können andere sehr effektive Maßnahmen ergriffen
werden.
Raten Sie auch allen Menschen dazu Ihren Autoschlüssel aus dem Fenster zu
werfen, da sie mit der Benutzung ihres Autos ein erhöhtes Sicherheitsrisiko
eingehen?
Mit freundlichen Grüßen
Thomas Mell
=================================================
Deren Antwort:
Sehr geehrter Herr Mell,
ich möchte Ihnen raten die Pressemitteilung noch einmal zu lesen, Sie werden
Ihre Aussagen dann selbst in Frage stellen.
Zu den einzelnen Punkten.
1. Ich konnte mir wirklich nicht vorstellen, dass dieser Satz falsch zu verstehen ist. Selbst- verständlich sind Seiten von WWW-Servern gemeint, was m. E. aus dem Zusammenhang klar ist. 2. Ja, es gibt auch sinnvolle Anwendungen von JavaScript. Wie man aber beispielsweise im Aufleuchten einer Schaltfläche beim Überfahren mit der Maus einen Mehrwert sehen kann, kann ich nicht nachvollziehen. Ich werde aber jetzt nicht eine unendliche Liste weiterer Beispiele aufführen. Java bietet übrigens seit einigen Jahren durchaus die Möglichkeit Daten zu lesen und zu chreiben. Schauen Sie sich am besten einmal auf java.sun.com um, oder lesen Sie die Ococat-Studie des BSI. Weiterhin empfehle ich Ihnen die Lektüre eines guten JavaScript-Buches (z.B. Flanagan: sicher kein JavaScript-kritisches Buch, trotzdem kann man doch gut erkennen, wie es zu den fehlerhaften Implemetierungen kommen konnte).
3. Selbstverständlich entfernen Browser-Hersteller derartige Warnungen wieder von Ihren Web-Seiten, sobald der eweilige Bug-Fix veröffentlicht wird. In den Archiven der Newsticker (z.B. Heise oder Ziff-Davis) bleiben sie aber rhalten, vielleicht sollten Sie mal die bemühen. Die Erfahrung hat übrigens gezeigt, dass zwar die entdeckten Sicherheitslöcher relativ schnell geschlossen werden, es aber meist nicht lange dauert, bis das nächste entdeckt wird.
Um in Ihrem Bild zu bleiben: Wir würden selbstverständlich davor warnen, den Autoschlüssel einfach stecken zu lassen.
Mit freundlichen Grüßen
=======================================================
Und meine Antwort die ich geschrieben habe:
Hallo Herr Wolf,
und weiter geht es.....
<<<<<<Sehr geehrter Herr Mell,
ich möchte Ihnen raten die Pressemitteilung noch einmal zu lesen, Sie werden
Ihre Aussagen dann selbst in Frage stellen.
Zu den einzelnen Punkten.
1. Ich konnte mir wirklich nicht vorstellen, dass dieser Satz falsch zu
verstehen ist. Selbst-verständlich sind Seiten von WWW-Servern gemeint, was m. E. aus dem Zusammenhang
klar ist.>>>>>>>>
Ich zitiere aus Ihrer Pressemitteilung: „...sind viele WWW-Server heute ohne JavaScript nur noch eingeschränkt darstellbar..." Wie bitte soll man einen WWW-Server darstellen, außer er steht neben einem?
<<<<<......Java bietet übrigens seit einigen Jahren durchaus die
Möglichkeit Daten zu lesen und zu schreiben. Schauen Sie sich am besten einmal auf
java.sun.com um, oder lesen Sie die Ococat-Studie des BSI. Weiterhin empfehle ich Ihnen
die Lektüre eines guten JavaScript-Buches (z.B. Flanagan: sicher kein
JavaScript-kritisches Buch, trotzdem kann man doch gut erkennen, wie es zu den fehlerhaften
Implemetierungen kommen konnte).>>>>>
Ich programmiere schon länger mit Java, Javascript und VBScript und werde diese Bücher nicht mehr benötigen und die Homepage von Sun kenne ich auch aus dem FF. Und was in einer Studie der BSI steht, kann ich mir schon anhand Ihrer Pressemitteilung vorstellen. Natürlich kann man mit Java Daten lesen und schreiben, aber nur wenn Java auf einem Server läuft und auch nur dort
. Dies geht übrigens auch mit Perl und C++ im Zusammenhang mit CGI oder auch mit VBScript zusammen mit ASP (Aktive Server Pages von Microsoft). Java, welches in Java-Applets (und damit auf Web-Seiten) läuft können dies NICHT, genau so wenig wie Javascript. Wenn es anders sein sollte, dann erbringen sie mir den Beweis dafür. Außerdem sollten sie nicht Java und Javascript im gleichen Zusammenhang benutzen, das eine hat mit dem Anderen absolut gar nichts zu tun, sie stammen nicht einmal von der gleichen Firma (Javascript stammt von Netscape). Nur mal zur Info: Java ist eine "richtige" Programmiersprache, genau wie C++ oder Basic. Die in Java geschriebenen Programme können zum einen auf einen Server laufen und Internetseiten (ab nun HTML-Seiten genannt) „künstlich" erzeugen oder Daten von einen Internet-Nutzer (ab nun Client genannt) empfangen (Formulare) und dies weiterverarbeiten. Diese Daten kann er nun auf dem Server speichern und /oder in eine neue HTML-Seite einbauen und/oder an den Client zurückschicken. Hiermit wird beim Client nicht die geringste dynamische Aktion ausgelöst, dies geschieht beim Server. Und zum anderen können Java-Programme auch in sogenannten Java-Applets eingebaut werden. Diese Programme sind compiliert (die auf dem Server auch) und befinden sich in einer .class Datei. Diese Datei wird nun in eine HTML-Seite eingebunden und kann dort (beim Client) ausgeführt werden. Der große Unterschied zwischen Applets und Java-Anwendungen auf der Serverseite besteht darin das Applets keine Daten von dem Rechner des Clienten Lesen oder Schreiben kann, sondern nur auf dem Server von dem es geladen wurde. Somit besteht in keinster weise ein Sicherheitsproblem für den Clienten.
Dagegen ist Javascript eine „offene" Programmiersprache (wenn sich auch manche Leute darüber streiten ob es überhaupt eine ist) deren Quellcode jeder lesen kann (steht unverschlüsselt in dem Quelltext der HTML-Seite) und überhaupt keine Befehle zum lesen und schreiben von Daten besitzt. Und die paar Lücken die eh keiner kennt, haben bis heute noch keinen Schaden angerichtet (siehe unten).
<<<<<<<3. Selbstverständlich entfernen Browser-Hersteller derartige Warnungen
wieder von Ihren Web-Seiten, sobald der jeweilige Bug-Fix veröffentlicht wird. In den
Archiven der Newsticker (z.B. Heise oder Ziff-Davis) bleiben sie aber erhalten<<<<<<<
Gut das sie Ziff-Davis erwähnen, lesen sie doch bitte einmal in der neuen Ausgabe (12/99) Seite 27 die Stellungnahme zu Ihrer Pressemitteilung. Dort Steht:
Surfer leben gefährlich:
Die dramatische Warnung des Bundesamt für Sicherheit in der Informationstechnik (BSI, www.bsi.de) vor dem Einsatz von Javscript hat bei Experten Erstaunen ausgelöst. Das Amt rät „dringend, bei der Nutzung des Internet auf aktive Inhalte zu verzichten", da sich der Internet-Nutzer „einem kaum einschätzbaren Schadenspotential" aussetze. Javascript werde sowieso meist" ausschließlich für optische Spielereien genutzt. Auch wenn Bugjäger Georgi Guninski gerade die 13. Sicherheitslücke im Internet Explorer aufgedeckt hat scheint der Radschlag des BSI doch ziemlich übertrieben. Schließlich ist bis jetzt noch kein einziger ernsthafter Hackerangriff bekannt geworden, der die Schwächen von Javascript genutzt hätte,
Dazu muß ich wohl nichts mehr sagen...
Mit freundlichen Grüßen
Thomas Mell
-
Hi Thomas
finds sehr interessant! Halte uns doch bitte auf dem Laufenden, falls nochmals eine Antwort kommt. Ich denke die Absurdität der ersten kann sie kaum noch übertreffen... :-))
cheers
kaepten -
Moin Thomas,
ich sag nur <../../sfarchiv/1999_4/t07902.htm#a39706>. Und was Deine email an das BSi angeht: Perlen vor die Säue....
Swen
-
<<<<<......Java bietet übrigens seit einigen Jahren durchaus die
Möglichkeit Daten zu lesen und zu schreiben. Schauen Sie sich am besten einmal auf
java.sun.com um, oder lesen Sie die Ococat-Studie des BSI. Weiterhin empfehle ich Ihnen
die Lektüre eines guten JavaScript-Buches (z.B. Flanagan: sicher kein
JavaScript-kritisches Buch, trotzdem kann man doch gut erkennen, wie es zu den fehlerhaften
Implemetierungen kommen konnte).>>>>>Ich programmiere schon länger mit Java, Javascript und VBScript und werde diese Bücher nicht mehr benötigen und die Homepage von Sun kenne ich auch aus dem FF. Und was in einer Studie der BSI steht, kann ich mir schon anhand Ihrer Pressemitteilung vorstellen. Natürlich kann man mit Java Daten lesen und schreiben, aber nur wenn Java auf einem Server läuft und auch nur dort
. Dies geht übrigens auch mit Perl und C++ im Zusammenhang mit CGI oder auch mit VBScript zusammen mit ASP (Aktive Server Pages von Microsoft). Java, welches in Java-Applets (und damit auf Web-Seiten) läuft können dies NICHTHallo Thomas,
im Grund genommen gebe ich Dir völlig recht. Allerdings gibt es beim IE 4 und IE 5 auf jeden Fall erhebliche Probleme mit Java-Applets. MS hat schon vor einiger Zeit bestätigt, daß man durch entsprechende Programmierung ein Applet aus den Grenzen der Sandbox ausbrechen lassen kann. Der Effekt ist, daß ein JavaApplet dieselben Rechte wie ein bösartiges ActiveX-Control hat, also alle.
http://support.microsoft.com/support/kb/articles/Q240/3/46.ASP
Tschau, Stefan
P.S.: Habe auf die Schnelle nur den einen Link gefunden (Such am besten nach Java und Sandbox)
-
Naja,
wenn ich ordentlich schreiben würde, hätte ich auch was gefunden.
http://support.microsoft.com/support/kb/articles/Q244/2/83.ASP
http://support.microsoft.com/servicedesks/productflashes/Alerts/Alert244283.htm
http://www.microsoft.com/security/default.asp Allgemeine Seite zu diesem ThemaTschau, Stefan
Trotzdem ist die Aktion vom BSI Panikmache.
-
-
Hallö Leute
Sicher könnt ihr euch noch an die letzte Pressemitteilung des BSI erinnern (es ging um die Empfehlung Javascipt abzuschalten). Ich habe den Jungs dort dann mal ein Mail geschrieben und habe heute die Antwort bekommen. Es ist schlimmer als ich befürchtet habe.......
Die Pressemitteilung:BSI warnt vor dem Einsatz von JavaScript
Der Typ ist sicher ein Purist, huscht mit Lynx durchs Netz und isst dabei Blattspinat vom Gartn. Lass ihn doch labern! Miesmacher geilen sich nur daran auf, wenn man ihnen widerspricht, wie Du sicher weisst. Wenn mir gestern einer die Platte ausspioniert hätte, hätte ich heute trotzdem JavaScript an, genauso wie ich auch weiterhin Auto fahre, trotz ein paar Crashs in der Vergangenheit.
-
Hallo Thomas!
Meine Erfahrung machte ich schon gleich nach der Pressemitteilung mit den etwas "begriffstutzigen" VErhalten des BSI. Auch wenn dor einige verstehen warum es eigentlich geht, scheinen sie doch standaft an einem vollkommen, an den Tatsachen vorbeigehenden Artikel fasthalten zu wollen.
Ich werde hier nicht meine Korrespondenz mit dem BSI zitieren, denn da würde ich mich nur unnötig aufregen über "Sturheit von Amtwegen".
Grüße
ThomasPS: vielleicht sollte jemand mal den BSI vor BSE warnen? ...was soll's, ist ja egal.
-
Meine Erfahrung machte ich schon gleich nach der Pressemitteilung mit den etwas "begriffstutzigen" VErhalten des BSI. Auch wenn dor einige verstehen warum es eigentlich geht, scheinen sie doch standaft an einem vollkommen, an den Tatsachen vorbeigehenden Artikel fasthalten zu wollen.
Ich bin dafuer, dass ihr beide euch mit einer Zeitschrift zusammentut und diese Absurditaeten dann doch mal Oeffentlicht macht. Vielleicht kann man dann ja diese "was wir geschrieben haben ist gesetz und alle andern haben keine ahnung" - Mentalitaet durchbrechen.
Viele Gruesse, Thomas Hieck
-
-
Sehr geehrter Herr Rusch,
Was Sie beschreiben, ist kein Fehler von JavaScript!
Da muss man etwas differenzierter argumentieren!!!
Autofahren ist auch nicht mit Lebensmuedigkeit gleichzusetzen, weil die
Autofirma XY, die einen Marktanteil von soundsoviel Prozent hat, in ihrem
Modell soundso fehlerhafte Bremsen eingebaut hat.Ich zitiere aus der Pressemeldung: "In letzter Zeit wurden in den
verbreiteten WWW-Browsern
Microsoft Internet Explorer und Netscape Communicator zahlreiche neue
Sicherheitslücken
entdeckt, die ..." Bitte verbessern Sie mich, falls irgendwo in dem Text
steht, dass
JavaScript Sicherheitslöcher hat.
Zum komischen Vergleich: Falls aber sowohl VW, als auch Opel, als auch ...
Bremsen einbauen,
die unter bestimmten Bedingungen (z. B. 22 Grad Lufttemperatur, 50 %
Luftfeuchtigkeit,
2 % Gefälle und leichte Linkskurve bei Geschwindigkeiten um die 80 km/h)
nicht mehr
funktionieren, wäre es aber sehr problematisch, wenn weder die staatliche
Seite noch
der TÜV davor warnen würden. Fakt ist, dass dort ein Schadenspotenzial
vorhanden
ist, dass den meisten Anwender leider nicht bewusst ist.Mit freundlichen Grüßen
S. WolfDr. Stefan Wolf BSI - Bundesamt für Sicherheit in der Informationstechnik
Referat V 7: Sicherheit im Internet und Intranet
Postfach 20 03 63, D-53133 Bonn
E-Mail: wolf@bsi.de - Tel.: ++49/228/9582-306 - Fax: ++49/228/9582-427-
Hallo Herr Dr.Wolf,
boo eh, ist ja mal ein echtes outen! :-)
Der bis jetzt angewandte Nickname für dieses Form fehlt aber noch. ;-)
GAA Thorhall
-
Hallo Herr Dr.Wolf,
boo eh, ist ja mal ein echtes outen! :-)
Der bis jetzt angewandte Nickname für dieses Form fehlt aber noch. ;-)
GAA Thorhall
aeh, lies mal genauer!
-
Hallo Herr Dr.Wolf,
boo eh, ist ja mal ein echtes outen! :-)
Der bis jetzt angewandte Nickname für dieses Form fehlt aber noch. ;-)
GAA Thorhall
aeh, lies mal genauer!
Lieber Dr. Wolf!
Meine Bewunderung! Meine Hochachtung!
Endlich mal einer, der sich um unsere Sicherheit sorgt. Weg mit den blinkenden Gifs. Weg mit den animierten Buttons. Weg mit dem ganzen bunten Kram. Das Internet ist schliesslich für Informationsaustausch gemacht.
Am besten nur noch Text-Browser.
Noch besser: Gar keine Browser! Wo kein Browser, da kein Spion!
Weg mit dem Gelump! Früher ging es schliesslich auch...
Früher... da hätten Se hingehört, lieber Herr Doktor!mfg
Hartmut -
Hallo Herr Dr.Wolf,
boo eh, ist ja mal ein echtes outen! :-)
Der bis jetzt angewandte Nickname für dieses Form fehlt aber noch. ;-)
GAA Thorhall
aeh, lies mal genauer!
Ja es ist mir schon klar, das dieses Posting von Reiner Rusch stammt. Die aber publizierte eMail Adresse (sofern diese stimmt) ist doch schon interessant. Finde ich zumindestens :-))
GAA Thorhall
-
-
-
-
Hallo,
Das Amt rät „dringend, bei der Nutzung des Internet
auf aktive Inhalte zu verzichten", da sich der
Internet-Nutzer „einem kaum einschätzbaren
Schadenspotential" aussetze. Javascript werde sowieso
meist" ausschließlich für optische
Spielereien genutzt.was ich nie verstehe ist die Frage, was eigentlich gegen optische Spielereien einzuwenden ist? Nichts gegen reine Fachpublikationen, aber was hat das Internet eigentlich so beliebt gemacht? Bildlose, bewegungslose und interaktionslose Publikationen?
Ich halte "Dekorationen" im Leben nicht für überflüßig. Auch nicht in den Printmedien oder im Internet. Das Auge und das Spielerherz "liest" mit. Wenn ich JS im Internet abschalte und vielleicht gleich die Grafikanzeige dazu, sehe ich für mich persönlich sehr wohl ein Schadenpotential. Der Spaß beim surfen wäre weg.... Natürlich bekomme ich trotzdem noch alle Informationen die ich suche, aber wer das Medium Internet als reine Textinformationsquelle ansieht verkennt das Medium in seiner heutigen Form und Bedeutung für eine Mehrzahl der Surfer. (und, weil das bei manchen (leider) mehr zieht: die wirtschaftliche Bedeutung)
Chräcker
-
Moin Chräcker,
das Zitat "...Wie man aber beispielsweise im Aufleuchten einer Schaltfläche beim Überfahren mit der Maus einen Mehrwert sehen kann, kann ich nicht nachvollziehen. Ich werde aber jetzt nicht eine unendliche Liste weiterer Beispiele aufführen.." fand ich noch entlarvender.
Anscheinend wächst da gerade eine Bundesinternetgeschmacksbehörde ("bigB") heran: bigB is rating you.
Swen
-
Also ehrlichgesagt sehe ich sogar in sogenannten "Spielereien" Sinn, man kann z.B. aufleuchtende Buttons einsetzen, um Navigationselemente deutlicher zu machen. Und es gibtr viele Möglichkeiten mit gekonnt eingesetztem Java-Script Übersichtlichkeit und Surferfreundlichkeit von Webseiten zu erhöhen
Gruss
Marko.
-
hallo,
der typ von der BSI hat auch bestimmt nen SW-Fernseher, eine Schreibmaschine und ein Ping-Pong Videospiel daheim. Ob der schon mal mit einen VGA-Monitor im Netz war oder arbeitet der noch mit nen grünen Bildschirm?cucu
Thomas -
Abgesehen davon, daß auch ein MouseOver... sinnvoll für das Aussehen einer Site sein kann, ist mit JavaScript ja sehr viel mehr (sinnvolles) möglich. Man bedenke nur einmal Seiten, die per JavaScript Dinge beim Client speichern, die erst nach gewisser Zeit gesammelt abgesendet werden. Bspw. Warenkorbsysteme arbeiten so. Aber diese tiefergehenden Kenntnisse wären wohl von einem Amt zuviel verlangt.
Reiner
-
-
Hallo Leute,
Das BSI war aber heute fleißig, ich habe auch Post bekommen. :-)
hier ein Auszug:
Fuer mich stellen sich folgenden Fragen:
Warum raten Sie den Nutzern von JavaScript ab? Warum >raten Sie nicht,
die wichtigsten Sicherheitvorkehrungen am Rechner >selbst zu treffen?
Warum machen Sie den Nutzern nicht klar, jede >Verbindung mit den
Internet ist eine potentielle Gefahrenquelle?...
Sie sollten besser
eindeutig klar machen, dass auf einen Rechner der am >Internet
teilnimmt, niemals wichtige, vertrauenswuerdige Daten >liegen duerfen.Das BSI dazu:
<cite>
Ihre Forderung, dass auf Rechnern, die am Internet hängen, keine
vertraulichen
Daten vorliegen sollten, wird grundsätzlich natürlich auch vom BSI
unterstützt.
Nur ist das in den meisten Fällen leider etwas naiv. Unter kaum einem
Schreib-
tisch stehen zwei Rechner - auch auf privaten Rechnern liegen oft sensible
Daten
vor.
</cite>Irgendwie vergißt das BSI, daß es auch einen "Bildungsauftrag" hat. Niemand wird ernst genommen, der seine Behauptungen nicht untermauern kann und Anleitung gibt.
Mir ist noch etwas aufgefallen: Nirgendwo in diesem Artikel steht, wie man JavaScript abschalten kann. :-)
Und ehrlich, wie viele User wissen welche Browserversion sie benutzen ganz zu schweigen davon, wie JavaScript abgeschaltet werden kann?Viele Grüße
Antje
-
Hi Antje,
Das BSI dazu:
<cite>(...)
Nur ist das in den meisten Fällen leider etwas naiv. Unter kaum einem
Schreib-
tisch stehen zwei Rechner - auch auf privaten Rechnern liegen oft sensible
Daten
vor.
</cite>hmm. In meinem Bekanntenkreis bin ich eigentlich Einer der Wenigen, der nur einen Rechner daheim hat (wenn man meinen alten CPC 464 mal aussen vorlässt). Die anderen mit einem Rechner machen den gleichen oder einen ähnlichen Job wie ich: Systementwickler <g>
Gruss,
Martin
-
-
Hallö Leute
Hallo Forum
Sogar auf die Gefahr hin mich zu outen, will ich hier meine Meinung darlegen; wenn ich falsch liege bin ich gerne dazu bereit sie wieder zu aendern.
Ich persoenlich habe nichts gegen den Bericht des BSI (< http://www.bsi.de/aktuell/presse/java99.htm>). Wenn ich richtig lese, dann informieren die da erst einmal von den Sicherheitsluecken der Browser, bei denen ActiveX, JavaScript und Java aktiviert ist - was eindeutig stimmt! Die Beispiele (Passwoerter auslesen, etc.) sind doch nicht frei erfunden, sie sind leider real. Jeder der mit aktivierten JavaScript surft ist potentiell gefaehrdet. Dass auch die Browserhersteller vor dem Gebrauch jener Zusatzsprachen warnen wird seinen Grund haben. Ohne einen triftigen Anlass waehre es wahrscheinlich das Letzte was die sie machen wuerden. Sich Fehler einzugestehen ist doch ein Zeichen von Ungenauigkeit beim Erstellen und Testen der Browser ...
Weiterhin raet das BSI
<cite>
..dringend, bei der Nutzung des Internets auf aktive Inhalte zu verzichten.
</cite>
BSI = Bundesamt fuer Sicherheit in der Informationstechnik
Es ist die Pflicht und die Aufgabe dieser Institution auf solche Sicherheitsmaengel hinzuweisen, sonst haette es leicht auch so ausgehen koennen:
<cite>
Trotz der offensichtlichen Gefahren, die der Gebrauch von JavaScript, etc. mit sich bringt, versaeumte es das BSI davor zu warnen ...
</cite>
Klingt nicht so gut, oder?
In meinen Augen ist dieses Dokument nicht nur nicht falsch, sondern auch absolut vertretbar.
Gruss,
Kilian-
Hallo!
Ich persoenlich habe nichts gegen den Bericht des BSI««
<zynisch> dann muss ich annehmen, daß du den Unterschied zwischen Server und Seite nicht kennst.</zynisch>
Warum so zynisch?:
<cite>
... sind viele WWW-Server heute ohne JavaScript nur noch eingeschränkt darstellbar; sicherheitsbewusste Internet-Nutzer werden so konsequent von deren Angeboten ausgesperrt. Dabei ist JavaScript auf der großen Mehrzahl der WWW-Server nicht notwendig. Meist wird es ausschließlich für optische Spielerein genutzt. Diese WWW-Server könnten mit dem gleichen Funktionsumfang und Informationsangebot ohne JavaScript auskommen. Das BSI empfiehlt deswegen den Betreibern von WWW-Servern dringend, vollständig auf JavaScript zu verzichten...
</cite>Was zum Kuckuck hat ein SERVER mit JavaScript zu tun? (wir reden hier über die ganze Zeit von Clientseitigen JS! Denn wenn es nicht so wäre, stimmte schon gar nichts mehr in der Pressemitteilung, denn für Serverside-JS muss der Browser kein JS können!)
Und wie zum Kuckuck soll der Betreiber eines WWW-Servers auf den JavaScript-Code verzichten, den ich in meine SEITEN eingebunden habe? Soll der Serverbetrieber meine Seiten löschen? Tut er das, dann hat er einen Schadensersatztklage am Hals.»»sonst haette es leicht auch so ausgehen koennen:
<cite>
Trotz der offensichtlichen Gefahren, die der Gebrauch von JavaScript, etc. mit sich bringt, versaeumte es das BSI davor zu warnen ...
</cite>
Klingt nicht so gut, oder?Und wie kling das:
<cite zustand="es könnte wahrwerden">
Auf Grund einer inkorrekten Meldung der BSI werden Internetserverbetreiber mit massiven Schadensersatzklagen überhäuft.
Nach einer Pressemitteilung der BSI löschten hunderte von Serverbetreiber Internetseiten, die JavaScriptcode erhalten haben, von ihren Servern. Unternehmen die im Internet agieren und durch diese Maßnahme nicht nur ihre Seiten verloren haben, aber auch massive Einnahmenverluste hinnehmen mussten, zogen nun vor Gericht. Die Dachorganisation der Serverbetreiber beruft sich auf eine Mitteilung des BSI, in der ihnen "dringend empfohlen" wird auf Javascript auf den Servern zu verzichten. Sie bekräftigte, daß die einzige Möglichkeit für Serverbetreiber, um die Empfehlungen der BSI nachzukommen, in der Löschung der relevanten Seiten bestehe.
Mit Spannung wird erwartet, ob die Richter nun das BSI als Schuldtragenden für diese Misere zu Kassa beten werden. Verantwortlichen des BSI hüllen sich über die inkompetente Meldung ins Schweigen.
</cite>»»In meinen Augen ist dieses Dokument nicht nur nicht falsch, sondern auch absolut vertretbar.
»»Dann:
- tust du mir Leid
- hoffe ich, daß dein Serverbetreiber diese Meldung nur belächelt.
Grüße
Thomas-
Hallo Thomas
Meiner Meinung nach gibt es in dieser Diskussion zwei Streitpunkte.
1: Die Frage ob JS nun gefaehrlich ist oder nicht, inwiefern nun der Anwender davon betroffen ist, usw.
2: Die Inkompetenz des Berichtes.
Ich habe mich ausschliesslich auf den ersten Punkt bezogen und den zweiten unterschlagen. Mein Fehler, ich habe ungenau argumentiert.
Auch an dem "absolut vertretbar" halte ich fest, nur begrenze ich das jetzt auf erste Punkt.
Das mit den Servern/Seiten ist natuerlich eine schwerwiegende Verwechselung, vor allem faellt er deswegen so ins Gewicht weil er von einer offiziellen und dafuer zustaendigen Stelle gemacht wurde.
Also, ich korrigiere mich: Obwohl der Autor grobe Fehler im Gebrauch der Begriffe Server/Seite gemacht hat, ist der erste Teil des Berichtes vollkommen richtig und vertretbar.
Gruss,
Kilian
-