Das kompilierte Sicherheitsrisiko... Win XP

[Bio]

Sup!

http://www.heise.de/newsticker/data/jk-19.12.02-002/

Jetzt reicht bei Microsofts ach-so-professionellen OS Win XP sogar schon das Überfahren des Icons einer manipulierten Datei mit dem Mauszeiger, um einen Buffer-Overflow auszulösen. Uhhh... sicher ist das eine total professionelle und wichtige Funktion, die für mehr Nutzerzufriedenheit sorgt, die da irgendwelche Attribute aus Audiodateien ausliest und ganz nebenbei so schlecht programmiert ist, daß es dabei zu Buffer-Overflows kommen kann; Die Funktion muß eigentlich so wichtig und so professionell sein, daß sie es wert ist, die gesamte Systemsicherheit dafür fahrlässig aufs Spiel zu setzen.

Wahrscheinlich ist dieser Bug die Krönung von Microsofts Sicherheitsinitiative, die schon seit einem Jahr mit sehr professionellen Resultaten (es werden immer mehr Bugs entdeckt - das ist der Beweis, daß die Initiative wirkt!) läuft. Selten so gelacht!

Aber wer weiss, was Microsoft noch in der Hinterhand hat. Vielleicht entdeckt Microsoft ja bei nächster Gelegenheit, daß man bei jedem XP mit telnet eine Verbindung zu einem verborgenen Kernel-Debugger öffnen kann ;-)

Ich sag' nur, Leute, vertraut auf die gute Software vom Marktführer, da kann nix passieren, es gibt nichts besseres, Microsoft ist wirklich superprofessionell, gebt 1000 Euro für Windows XP und Office XP aus - es lohnt sich!

Gruesse,

Bio--
Im übrigen bin ich der Meinung, daß der Themenbereich für das proprietäre Produkt ASP abgeschafft werden soll!

[Cheatah]

Hi,

http://www.heise.de/newsticker/data/jk-19.12.02-002/

besonders schön finde ich auch den Teaser-Text auf http://www.intern.de/:

"Die Sicherheitslücken Microsofts werden immer komfortabler. [...]"

Wahrscheinlich ist dieser Bug die Krönung von Microsofts Sicherheitsinitiative, die schon seit einem Jahr mit sehr professionellen Resultaten (es werden immer mehr Bugs entdeckt - das ist der Beweis, daß die Initiative wirkt!) läuft. Selten so gelacht!

Wir wissen doch alle, dass die Ursache schon im Konzept der Software steckt. Es soll jedem alles erlaubt werden, um es möglichst bequem zu gestalten - im Prinzip eine gute Idee, wäre da nicht die Realität. Und die Unfähigkeit der MS-Programmierer, von der ich mehr und mehr überzeugt bin...

Cheatah

[Cyx23]

Hallo,

"Die Sicherheitslücken Microsofts werden immer komfortabler. [...]"

Wahrscheinlich ist dieser Bug die Krönung von Microsofts Sicherheitsinitiative, die schon seit einem Jahr mit sehr professionellen Resultaten (es werden immer mehr Bugs entdeckt - das ist der Beweis, daß die Initiative wirkt!) läuft. Selten so gelacht!

Wir wissen doch alle, dass die Ursache schon im Konzept der Software steckt. Es soll jedem alles erlaubt werden, um es möglichst bequem zu gestalten - im Prinzip eine gute Idee, wäre da nicht die Realität. Und die Unfähigkeit der MS-Programmierer, von der ich mehr und mehr überzeugt bin...

hast Du schonmal daran gedacht ob es eine ganz logische Strategie
bis hin zur Notwendigkeit eines "Fritz"-Chip als "Krönung" ist?

Grüsse

Cyx23

[Cheatah]

Hi,

hast Du schonmal daran gedacht ob es eine ganz logische Strategie
bis hin zur Notwendigkeit eines "Fritz"-Chip als "Krönung" ist?

Strategie, Marketing, Vertrieb - das sind Dinge, in denen Microsoft nur schwer übertroffen werden kann. Softwarearchitektur und Programmierung tauchen auf der Prioritätenliste jedoch augenscheinlich höchstens unter "ferner liefen" auf. Nein, ich glaube nicht, dass die Sicherheitslücken gewollt sind.

Cheatah

[Bio]

Sup!

Wäre ja auch noch lustiger... wenn der Chip sicherstellen sollte, daß nur sichere Software läuft, dann wäre M$ pleite, und wenn er sicherstellen soll, daß nur bestimmte Software läuft (z.B. von M$), dann würde man evtl. vom Chip gehindert, sichere Software laufen zu lassen.

Gruesse,

Bio

[Cyx23]

Hallo,

...sicherstellen soll, daß nur bestimmte Software läuft (z.B. von M$), dann würde man evtl. vom Chip gehindert, sichere Software laufen zu lassen.

also ich hab das irgendwie schon so verstanden dass es letztendlich
Codes, Zertifikate was auch immer geben wird die denn auch dafür sorgen
dass ein Textdokument in einem bestimmten Format nur dann auf Linux
laufen würde wenn Linux kein Linux mehr wäre, oder eben nicht...
Neokolonialismus muss doch nicht nur Kontrolle der Ölreserven sein,
da kann man auch geschützes Saatgut ausbüchsen lassen oder
versuchsanbauen und hinterher Lizenzen verlangen, und im Bereich der
IT sollte plötzlich alles ganz anders sein?

Grüsse

Cyx23

[Henryk Plötz]

Moin,

...sicherstellen soll, daß nur bestimmte Software läuft (z.B. von M$), dann würde man evtl. vom Chip gehindert, sichere Software laufen zu lassen.

Nein.

also ich hab das irgendwie schon so verstanden dass es letztendlich
Codes, Zertifikate was auch immer geben wird die denn auch dafür sorgen
dass ein Textdokument in einem bestimmten Format nur dann auf Linux
laufen würde wenn Linux kein Linux mehr wäre

Jein.

Palladium ist im Prinzip eine Gute Idee[tm]: Der Benutzer(und nur dieser) bestimmt welcher Nexus geladen wird (anhand seines Hashes) und der Nexus kontrolliert dann welche Programme Palladium-Dienste in Anspruch nehmen dürfen. Der 'Fritz-Chip' kann _nicht_ bestimmen welches Betriebssystem laufen soll, der Nexus oder eine Palladium-Applikation können nicht bestimmen welche nicht-Palladium-Applikationen laufen dürfen und eine Palladium-Applikation kann nicht bestimmen welche anderen Palladium-Applikationen laufen.

Wie der Nexus bestimmt, welche Applikationen Palladium-Dienste in Anspruch nehmen bleibt ihm übrigens selbst überlassen. Das können über eine Internetverbindung verifizierte Signaturen, Zertifikate usw. sein, müssen aber nicht. Und weil man es nicht oft genug sagen kann: Der Nexus oder eine Palladium-Applikation kann nicht kontrollieren welche Applikationen ohne Palladium-Unterstützung laufen[1], existierende Software wird also ohne Probleme weiterlaufen.

Soweit ist das eine Klasse Sache: Man stelle sich eine offene Nexus-Implementation vor und könnte dann zum Beispiel den Apachen so modifizieren, dass er den Speicherschutz in Anspruch nimmt: Selbst ein Angreifer mit root-Rechten könnte dann die geschützten Daten nicht mehr sehen oder modifizieren, du kannst da also ruhig die Kreditkarteninformationen deiner Kunden o.ä. ablegen. Oder GNUPG könnte den sicheren Tastaturpfad benutzen um seine Passphrase vollständig unbeobachtbar für jeden Keyboard-Sniffer einzulesen, usw.

Problem: Microsoft steckt natürlich Geld in die Entwicklung und behält sich vor nicht alle Informationen freizugeben, ein offener Nexus steht also noch in den Sternen. Sollte er vorhanden sein, gibt es aber nichts in Palladium was den Benutzer davon abhält diesen zu benutzen.

Der Pferdepfuß kommt über die Hintertür: Ein Nexus wird über seinen Hash identifiziert und dieser Hash wird potentiell an vielen Stellen verwendet. Zum Beispiel kann man einschalten(das muß man IIRC explizit tun) dass der Hash über Netzwerkanfragen übermittelt wird, so dass dein Gegenüber sicherstellen kann, dass du einen Nexus laufen hast, den er als vertrauenswürdig einstufst. Ausserdem wird er beim Sichern von Daten verwendet und Daten die ein Nexus mit Hilfe von Palladium geschützt hat, sind (verständlicherweise) nicht mehr mit einem anderen Nexus zu lesen.

Ausserdem wird es natürlich möglich sein Software zu schreiben die sich weigert ohne Palladium-Unterstützung oder gar ohne einen bestimmten Nexus zu starten.

Fazit: Palladium an sich ist nicht das Problem, sollte sich aber eine Kritische Masse für eine ungünstige Konstellation (ein Nexus der zwingend Zertifikate erfordert, Standardsoftware die ohne diesen Nexus nicht laufen will und Dokumente erstellt die ohne diese Software und diesen Nexus nicht lesbar sind) finden, kann das unschön enden.

[1] Ein Programm welches ein anderes Programm direkt nach jedem Start killt, ist natürlich schon heute möglich.

[Cyx23]

Moin Moin,

Fazit: Palladium an sich ist nicht das Problem, sollte sich aber eine Kritische Masse für eine ungünstige Konstellation (ein Nexus der zwingend Zertifikate erfordert, Standardsoftware die ohne diesen Nexus nicht laufen will und Dokumente erstellt die ohne diese Software und diesen Nexus nicht lesbar sind) finden, kann das unschön enden.

die alte Argumentation, dieses oder jenes ist nicht böse, es
ist nur ein Werkzeug, das auch mal missbraucht werden könnte.

Wenn ich das auf andere Bereiche der Demokratie anwenden wollte, nicht
der Lauschangriff ist das Problem, sondern der Missbrauch desselben?
Oder, wo ja von einem Bundeskanzler gerne z.B. seitens der Opposition
Führungsqualitäten verlangt werden, nicht Führung -das Führerprinzip,
um noch eins draufzusetzen- ist böse, sondern der Missbrauch der- oder
desselben?
Am Ende ist nur noch das Datenschutzgesetz selbst und nicht ein
Konflikt mit dahinterstehenden Werten das Problem, und solche
Probleme lassen sich ja wohl legislativ aus der Welt schaffen.

Grüsse

Cyx23

[Cyx23]

Hallo,

hast Du schonmal daran gedacht ob es eine ganz logische Strategie
bis hin zur Notwendigkeit eines "Fritz"-Chip als "Krönung" ist?

Strategie, Marketing, Vertrieb - das sind Dinge, in denen Microsoft nur schwer übertroffen werden kann. Softwarearchitektur und Programmierung tauchen auf der Prioritätenliste jedoch augenscheinlich höchstens unter "ferner liefen" auf. Nein, ich glaube nicht, dass die Sicherheitslücken gewollt sind.

es reicht wenn sie gerade ins Konzept passen, ich zitiere mal
http://forum.de.selfhtml.org/?t=32697&m=177420
Axel etwas weiter oben i.diesem Thread:
"Mittlerweile gibt es bei .NET-Programmen einen gewissen Schutz vor Manipulationen .."
" das Microsoft einen Teil seiner eigenen Betriebssystem als unsicher klassifiziert ist (neben der strategischen Komponente in Hiblick auf Palladium) ein gutes Signal."

Grüsse

Cyx23

[Axel]

Hi,

es reicht wenn sie gerade ins Konzept passen, ich zitiere mal
http://forum.de.selfhtml.org/?t=32697&m=177420
Axel etwas weiter oben i.diesem Thread:
"Mittlerweile gibt es bei .NET-Programmen einen gewissen Schutz vor Manipulationen .."
" das Microsoft einen Teil seiner eigenen Betriebssystem als unsicher klassifiziert ist (neben der strategischen Komponente in Hiblick auf Palladium) ein gutes Signal."

...zwar etwas aus dem Kontext gerissen im Grunde aber passend und auch richtig.

Beispiele bzw. Indizien, die auf genau diese Strategie hindeuten:

• Das neue Office 11 lässt sich erst ab Win2k mit SP3 installieren - alles andere wird als unsicher klassifiziert.

Folge:

Unternehmen, die noch ein "altes" Betriebssystem einsetzen müssen upgraden. Unternehmen die Win2k (mit gutem Grund) ohne SP3 einsetzen müssen upgraden.

Was ist am SP3 schlimm? Zunächst einmal werden über 1.000 Mängel behoben - der Löwenanteil besteht aus "Sicherheitspatches". Als Bonbon bekommt man das "Auto-Update" von XP dazu sowie neue Lizenzbestimmungen.

Das Auto-Update ist ein echtes Kuckucksei - ich empfehle jedem, sich genau die neuen Lizenzbestimmungen mal durchzulesen.

• Windows will dem Kunden "Palladium" in naher Zukunft andrehen und ist einer der Gründer der TCPA - Natürlich wird hier die Strategie (ein Sicherheitsbedürfnis zu schaffen) verfolgt. Wer würde sich sonst freiwillig so etwas wie TCPA und Palladium antun?

Es gibt noch ein paar Indizien, deren Aufzählung hier den Rahmen sprengen würde - ich empfehle aber jedem, die Augen offenzuhalten.

Gleichwohl sollte nicht pauschalisiert jeder Bug derart aufgebaushct werden - bei Linux-Bugs wird das ja auch nicht getan, obwohl es auch da riesige Patzer gibt (Bind, Apache etc...)

Gruß

Axel

[uwe]

Hi Cheatah

Und die Unfähigkeit der MS-Programmierer, von der ich mehr und mehr überzeugt bin...

Diese fruchtlose Diskussion hatten wir doch neulich schon mal. Jeder, der auch nur den Hauch einer Ahnung von Software Development hat, weiss, welch enorme Leistung die MS Programmierer vollbracht haben. Das Betriebssystem oder dessen Hersteller nicht zu moegen ist eine ganz andere Sache und hat mit der Qualitaet der Entwickler ueberhaupt nichts zu tun.

Ciao
Uwe

[Bio]

Sup!

Enorme Leistung? Windows hat technologisch immer gegenüber den Top-Systemen abgelost, und auch XP hat den jeweiligen Top-Systemen (MacOS in Bezug auf das finale State-of-the-Art-Design, OpenBSD in Bezug auf Sicherheit, Linux in Bezug auf Flexibilität) nichts entgegenzusetzen - einzig und allein die teils exklusive Unterstützung der Hardware-Hersteller für das marktbeherrschende System und die Durchdringung des Office-Marktes durch M$-Office schützt Windows vor dem Absturz.

Gruesse,

Bio

[Cheatah]

Hi,

Enorme Leistung? Windows hat technologisch immer gegenüber den Top-Systemen abgelost,

nun, dass Windows (welches auch immer) nichts ist, was man an einem Samstag Abend programmiert, sondern ein gigantisches Projekt mit entsprechenden Schwierigkeiten ist, ist klar. Dass andere Microsoft-Produkte ein Meisterstück an gegenseitiger Infiltration waren, lässt sich auch nicht bestreiten ;-) Ebenfalls muss man neidlos anerkennen, dass die Rendering-Engine des IE - so negativ "wir" die Fehlertoleranz auch finden - vor Mozilla konkurrenzlos war. Das ist aber auch nicht der Punkt.

Der Punkt ist, dass Microsoft-Programme _immer_ derart eklatante Mängel aufweisen, dass man sich nur vorstellen kann, neue Programmierer würden einen mit "das ist eine Tastatur" beginnenden Einführungskurs erhalten. Wenn ein MS-Programm über eine längere Zeit nicht negativ auffällt, ist das schon bemerkenswert; die wenigen Ausnahmefälle, wo eines sich tatsächlich als dauerhaft stabil und nützlich erweist, gehören eingerahmt. Zugegeben, die meisten Mängel basieren auf dem Konzept, das Microsoft vielleicht primär aus strategischen Gründen fährt, vermutlich aber auch hier bereits massive Inkompetenz beweist - aber um Dich (Axel) zu zitieren: "die Ausführung [ist] wie so oft ziemlich dilletantisch". Microsoft _kann_ einfach keine Software entwickeln.

Die Mäuse sollen dafür ziemlich gut sein. Ich konnt's nicht nachprüfen, denn als ich mir eine zugelegt hatte, konnte ich sie nicht an WinNT anschließen, weil dieses kein USB beherrscht :-)

und auch XP hat den jeweiligen Top-Systemen (MacOS in Bezug auf das finale State-of-the-Art-Design, OpenBSD in Bezug auf Sicherheit, Linux in Bezug auf Flexibilität) nichts entgegenzusetzen

Leider weiß ich nicht mehr, welche Zeitschrift es genau war (ct?), aber ich las erst kürzlich einen Vergleich der verschiedenen Windows-Versionen. Man kennt diese üblichen Tabellen; viele Kriterien über dutzende von Zeilen, dazu n Spalten für n getestete Produkte, und darin Bewertungen von "++" bis "oo" o.ä. Ich wollte mehr aus Neugier mal sehen, welches Windows ich mir zulegen würde, falls ich mir doch mal einen neuen Rechner kaufe, und war erschreckt: Selbst ein einfaches "+" war unter _allen_ Windowsen selten! Letzten Endes habe ich mir dann versucht einzureden, dass kein Test wirklich objektiv ist usw., aber am meisten erschreckt war ich von der Tatsache, dass mir dies erst fast ganz zum Schluss aufgefallen war - die schlechten Bewertungen hatten mich schlicht und ergreifend nicht gewundert. Und nein, ich gehöre eigentlich nicht zu denen, die Microsoft nur des Namens wegen verteufeln. Ansonsten würde ich nämlich gerne mal wissen wollen, weshalb ich beruflich und privat Windows einsetze... :-)

einzig und allein die teils exklusive Unterstützung der Hardware-Hersteller für das marktbeherrschende System und die Durchdringung des Office-Marktes durch M$-Office schützt Windows vor dem Absturz.

Nein. In erster Linie ist es das Marketing, die Zielgruppe, das Vorgehen in Sachen Kompatibilität, welches über die MS-Produktpalette hinweg zu beobachten ist, und die Gesamtstrategie des Konzerns. _Das_ kann Microsoft wirklich. Die Zusammenarbeit mit Hardwareherstellern ist hierbei sicher kein unwesentlicher Punkt, aber das alleine hätte allerhöchstens zu einer Marktbeherrschung von Apple geführt.

Cheatah

[Christian Seiler]

Hallo Cheatah,

Die Mäuse sollen dafür ziemlich gut sein.

NACK. Ich arbeite lieber mit MS-Frontpage als mit einer MS-Maus. Die Dinger verschleißen schneller als jedes Billigteil, so zumindest meine Erfahrung. (schon nach 1,5 Jahren war eine MS-Maus, die ich mal hatte, kaputt, eine andere Maus hat 7 Jahre gehalten und bis auf die rechte Maustaste läuft die immer noch)

Grüße,

Christian

[Axel]

Hi,

aber wer braucht schon eine rechte Maustaste, wenn er noch die Linke hat?

Gruß

Axel ;-)

[Christian Seiler]

Hallo Axel,

aber wer braucht schon eine rechte Maustaste, wenn er noch die Linke hat?

Ok, dann kaufe ich mir halt einen Mac. ;-)

Grüße,

Christian

[Axel]

Hi,

ich möchte mal folgendes in die Runde werfen:

• Microsoft entwickelt bestehende Produkte weiter
• Es gab bisher seit Jahren keine von Grund auf neu programmierte Version
• Fehler wurden behoben - aber nicht beseitigt

Ich denke, das Microsoft mittlerweile Opfer seiner Altlasten ist. Im Prinzip müsste MS genauso einen Coup wie Apple machen und ein "völlig neues" Betriebssystem entwickeln.

Apple hatte den Vorteil, das - vereinfacht gesagt - lediglich ein GUI für ein bestehendes Unix-Derivat entwickelt werden musst - dies geht bei MS nicht, da hier der Erzfeind als Basis genommen werden müsste.

Also bliebe MS nur die Möglichkeit von Grund auf zu beginnen und ein völlig neues System zu entwickeln - ein enormer finanzieller und zeitlicher Aufwand, der nicht zu den kurzen Produktzyklen von MS passt. Zudem muss Microsoft im Gegensatz zu einem "Freeware-Entwickler" den kommerziellen Erfolg im Auge behalten - also muss mehr rauskommen, als man reinsteckt - das wirkt sich zusätzlich meistens negativ aus.

Ich glaube aber, das eine "Neuentwicklung" MS zu einem wesentlich höheren Stabilitätsgrad bei wesentlich weniger Volumen verhelfen würde - alleine schon auf Grund der gesammelten Erfahrungen.

Gruß

Axel

[uwe]

Hi Bio

Ich wollte hier nicht die Uraltdiskussion anfangen, welches Betriebssystem denn nun das tollste oder sicherste ist. Da hat jeder seine eigenen Praeferenzen (deine kenn' ich selbstverstaendlich ... ;-)). Mir ging es ausschliesslich darum, dass man nicht unwidersprochen behaupten kann, die Entwickler von MS seien (sinngemaess) sowieso alles Nieten. Das ist einfach falsch und vor allem viel zu pauschal.

Gruesse
Uwe

[Lude]

Hi,

mir ist es schon passiert, dass beim Abspielen einer MPG-Datei im Mediaplayer Code ausgeführt wurde, der eine neue DFÜ-Verbindung eingreichtet hat und die Anwahl derselben anstiess.

Hat nicht geklappt, weil DSL.

Die Geschichte ist aber schon mdst. 12 Monate alt. Müsste unter Windows 2000 Prof gewesen sein.

War das nicht dasselbe, was jetzt unter XP als neu gemeldet worden ist?

Gruss,
Lude

[Cheatah]

Hi,

mir ist es schon passiert, dass beim Abspielen einer MPG-Datei im Mediaplayer Code ausgeführt wurde, der eine neue DFÜ-Verbindung eingreichtet hat und die Anwahl derselben anstiess.

sicher? Ich bekomme noch heute Spam, wo ich auf Seiten gelockt werden soll, deren Inhalt[1] man eine Grafik-URL entnehmen kann, die das Startbild des Media-Players darstellt.

Hat nicht geklappt, weil DSL.

Hat nicht geklappt, weil Mozilla ;-)

Cheatah

[1] Es war eine URL mit ".txt", und ich war neugierig - tatsächlich wurde mir dann HTML-Code als Klartext dargestellt. Die Deppen können noch nicht mal 'nen Server konfigurieren... :-)

[Lude]

Hi,

sicher? Ich bekomme noch heute Spam, wo ich auf Seiten gelockt werden soll, deren Inhalt[1] man eine Grafik-URL entnehmen kann, die das Startbild des Media-Players darstellt.

[1] Es war eine URL mit ".txt", und ich war neugierig - tatsächlich wurde mir dann HTML-Code als Klartext dargestellt. Die Deppen können noch nicht mal 'nen Server konfigurieren... :-)

sicher. Der o.g. Sachverhalt war reproduzierbar. Die MPG kam seinerzeit von Napster. Wenn ich gewusst haette, dass die Datei mal von Interesse sein koennte, haette ich das gute Stueck natuerlich behalten.

Gruss,
Lude

[Axel]

Hallo lieber Bio,

http://www.heise.de/newsticker/data/jk-19.12.02-002/

Glaubst Du alles, was Du bei Heise liest ohne weitere Prüfung?

Jetzt reicht bei Microsofts ach-so-professionellen OS Win XP sogar schon das Überfahren des Icons einer manipulierten Datei mit dem Mauszeiger, um einen Buffer-Overflow auszulösen.

Peinlich..Aber hey...Linux hat keine Icons, bei denen das passieren könnte ;-)

Abgesehen davon müsstest Du (vor dem Lästern) erst mal verstehen, wie sich das mit den Icons unter Windows verhält...

• Es gibt "eingebettete" Icons
• Es gibt externalisierte Icons

Bei eingebetteten Icons befindet sich das Icon im Programm in einen dafür vorgesehenen Abschnitt. Dieser Abschnitt ist definiert. Ändern man beispielsweise dort einige Werte ab, kann das u.U. dazu führen, das beim Auslesen des ByteStreams ein Fehler auftritt, der zum beschriebenen Problem führt.

Das hier ein Furz zum Hurrican aufgebauscht wird ist eher lächerlich und zeugt von purem Hass.

Mal ehrlich: Welche Programmierer rechnet mit einer Manipulation an dieser Stelle, die eigentlich keinen wirklich Sinn hat? Aus diesem Grund wurden dort früher keine Sicherheitsmechanismen eingebaut.

Mittlerweile gibt es bei .NET-Programmen einen gewissen Schutz vor Manipulationen wodurch ein solches Problem in dieser Form nicht mehr auftreten dürfte.

Uhhh... sicher ist das eine total professionelle und wichtige Funktion, die für mehr Nutzerzufriedenheit sorgt, die da irgendwelche Attribute aus Audiodateien ausliest und ganz nebenbei so schlecht programmiert ist, daß es dabei zu Buffer-Overflows kommen kann; Die Funktion muß eigentlich so wichtig und so professionell sein, daß sie es wert ist, die gesamte Systemsicherheit dafür fahrlässig aufs Spiel zu setzen.

Spar' Dir doch diese völlig unqualifizierten, sarkastischen Kommentare. Es gibt schlimmeres als einen solchen Bug - auch auf anderen Betriebssystemen.

Wahrscheinlich ist dieser Bug die Krönung von Microsofts Sicherheitsinitiative, die schon seit einem Jahr mit sehr professionellen Resultaten (es werden immer mehr Bugs entdeckt - das ist der Beweis, daß die Initiative wirkt!) läuft. Selten so gelacht!

Das die Fehler gefunden werden und bekannt werden ist schon einmal besser als sie zu vertuschen - auch die Tatsache, das Microsoft einen Teil seiner eigenen Betriebssystem als unsicher klassifiziert ist (neben der strategischen Komponente in Hiblick auf Palladium) ein gutes Signal.

Aber wer weiss, was Microsoft noch in der Hinterhand hat. Vielleicht entdeckt Microsoft ja bei nächster Gelegenheit, daß man bei jedem XP mit telnet eine Verbindung zu einem verborgenen Kernel-Debugger öffnen kann ;-)

Bei WinodwsXP ist per default ein Benutzerkonto eingerichtet, welches Microsoft in die Lage versetz auf den Rechner des Anwenders mit vollen Rechten zuzugreifen - das ist eine seit langem bekannte Tatsache.

Nach Microsoft-Angaben dient dieses Konto dem Fernsupport - was man dem selber andichtet oder annimmt bleibt bis zum konkreten Beweis erstmal Spekulation (obwohl ich der Sache auch nicht getraut habe und das Konto gesperrt habe).

Ich sag' nur, Leute, vertraut auf die gute Software vom Marktführer, da kann nix passieren, es gibt nichts besseres, Microsoft ist wirklich superprofessionell, gebt 1000 Euro für Windows XP und Office XP aus - es lohnt sich!

Unqualifizierter Sarkassmus. Wenn Du windows nicht magst, nimm was anderes aber erspar' allen diese Heisemässige Diskussion.

Bio--
Im übrigen bin ich der Meinung, daß der Themenbereich für das proprietäre Produkt ASP abgeschafft werden soll!

Gerne. Wenn Du dafür einen Bereich für ASP.NET einrichtest - denn hier ist es möglich mittels der (objektiv) ausgezeichneten Sprache C# zu entwickeln - und C# steht kurz vor der Anerkennung zum ISO-Standard. Einer Portierung steht damit erstmal wenig im Wege und somit zieht Dein Argument nicht mehr.

Gruß

Axel

[Bio]

Sup!

(Lieber Axel!)

http://www.heise.de/newsticker/data/jk-19.12.02-002/

Glaubst Du alles, was Du bei Heise liest ohne weitere Prüfung?

Ehm...ja...nein!

Aber Microsoft selbst glaube ich, was sie Schlechtes über sich schreiben:

http://www.microsoft.com/security/security_bulletins/ms02-072.asp
http://www.microsoft.com/technet/treeview/?url=/technet/security/bulletin/MS02-072.asp

Jetzt reicht bei Microsofts ach-so-professionellen OS Win XP sogar schon das Überfahren des Icons einer manipulierten Datei mit dem Mauszeiger, um einen Buffer-Overflow auszulösen.

Peinlich..Aber hey...Linux hat keine Icons, bei denen das passieren könnte ;-)

Nein, *Kernel* haben wirklich keine Icons. Und alle mir bekannten Window-Manager für X haben keine völlig hirnlosen Funktionen, um Audiofiles beim Überfahren eines Icons dafür zu scannen.

Abgesehen davon müsstest Du (vor dem Lästern) erst mal verstehen, wie sich das mit den Icons unter Windows verhält...

• Es gibt "eingebettete" Icons
• Es gibt externalisierte Icons

Meinst Du damit, daß Icons in .ico-Dateien oder als Ressource in .dll und .exe-Dateien liegen können? Hmmm... das wusste ich auch schon. Du bist MCSE oder sowas, daß Du soviel weisst, oder?

Bei eingebetteten Icons befindet sich das Icon im Programm in einen dafür vorgesehenen Abschnitt. Dieser Abschnitt ist definiert. Ändern man beispielsweise dort einige Werte ab, kann das u.U. dazu führen, das beim Auslesen des ByteStreams ein Fehler auftritt, der zum beschriebenen Problem führt.

Wenn Du den Artikel bzw. das Security-Bulletin gelesen hättest, dann hättest Du vielleicht verstanden, daß dieser Overflow mit den Icons überhaupt nichts zu tun hat. Wenn Du englisch kannst:

"An unchecked buffer exists in one of the functions used by the Windows Shell to extract custom attribute information from audio files. A security vulnerability results because it is possible for a malicious user to mount a buffer overrun attack and attempt to exploit this flaw."

Von Icons ist da keine Rede. Aber interessant, daß man auch Icons so manipulieren kann, daß irgendwas passiert, so daß man die Kontrolle über XP übernehmen kann ;-)

Das hier ein Furz zum Hurrican aufgebauscht wird ist eher lächerlich und zeugt von purem Hass.

Ja, ist schon lächerlich, wenn man das System dadurch übernehmen kann, daß man jemandem ein manipuliertes Audio-File als Mail schickt.
Noch lächerlicher ist natürlich, daß M$ die Auslieferung von Windows 2000 zugunsten von XP einstellen will. Da fällt mir ein: Heisst XP vielleicht Xtreme Pain oder Xtreme Peinlich?
Aber Du hast natürlich auch Recht damit, daß ich Microsoft hasse.

Mal ehrlich: Welche Programmierer rechnet mit einer Manipulation an dieser Stelle, die eigentlich keinen wirklich Sinn hat? Aus diesem Grund wurden dort früher keine Sicherheitsmechanismen eingebaut.

Die Stelle hat keinen Sinn? Früher gab es diese tolle Funktion zum Scannen von Audiofiles durch die Shell in Windows nicht, darum brauchte man dort auch keine Sicherheitsmechanismen. Und _gute_ Programmierer schreiben ihre Programme so, daß es keine Buffer-Overflows geben kann. Theoretisch sollte das jeder C-Anfänger wissen.

Mittlerweile gibt es bei .NET-Programmen einen gewissen Schutz vor Manipulationen wodurch ein solches Problem in dieser Form nicht mehr auftreten dürfte.

Natürlich. Mit .NET wird alles gut. Wenn allerdings in irgendeiner Bibliothek von .NET ein Fehler ist, dann werden ALLE .NET Programme dafür anfällig sein. Ich warte auf die Entdeckung des ersten diesbezüglichen Exploits und den ersten Wurm dafür.

Uhhh... sicher ist das eine total professionelle und wichtige Funktion, die für mehr Nutzerzufriedenheit sorgt, die da irgendwelche Attribute aus Audiodateien ausliest und ganz nebenbei so schlecht programmiert ist, daß es dabei zu Buffer-Overflows kommen kann; Die Funktion muß eigentlich so wichtig und so professionell sein, daß sie es wert ist, die gesamte Systemsicherheit dafür fahrlässig aufs Spiel zu setzen.

Spar' Dir doch diese völlig unqualifizierten, sarkastischen Kommentare. Es gibt schlimmeres als einen solchen Bug - auch auf anderen Betriebssystemen.

Ja, sarkastisch ist der Kommentar. Aber von einem so dämlichen Bug, bei dem eine unnötige Funktion das ganze System komprommitieren kann, habe ich wirklich noch nie gehört. Und so arg unqualifiziert fühle ich mich auch nicht. Schliesslich bin ich Ober-Forums-Microsoft-Gegner... ist das keine Qualifikation?

Wahrscheinlich ist dieser Bug die Krönung von Microsofts Sicherheitsinitiative, die schon seit einem Jahr mit sehr professionellen Resultaten (es werden immer mehr Bugs entdeckt - das ist der Beweis, daß die Initiative wirkt!) läuft. Selten so gelacht!

Das die Fehler gefunden werden und bekannt werden ist schon einmal besser als sie zu vertuschen - auch die Tatsache, das Microsoft einen Teil seiner eigenen Betriebssystem als unsicher klassifiziert ist (neben der strategischen Komponente in Hiblick auf Palladium) ein gutes Signal.

Klar, ein gutes Signal! Das OpenBSD sich als besonders sicher bezeichnet, ist dann wohl ein schlechtes Signal? Wenn ich eine Firma hätte, dann würde ich garantiert keinen unsicheren Microsoft-Kram einsetzen - da können Werte und Arbeitsplätze vernichtet werden, da kann man sich bequemes Festhalten an Microsoft, weil's ja so einfach ist und es alle benutzen, eigentlich nicht leisten.

Ich sag' nur, Leute, vertraut auf die gute Software vom Marktführer, da kann nix passieren, es gibt nichts besseres, Microsoft ist wirklich superprofessionell, gebt 1000 Euro für Windows XP und Office XP aus - es lohnt sich!

Unqualifizierter Sarkassmus. Wenn Du windows nicht magst, nimm was anderes aber erspar' allen diese Heisemässige Diskussion.

Zu einer Diskussion gehören immer Zwei. Strenggenommen hast Du also aus meinem Statement erst eine Diskussion gemacht. Also erspar' uns doch bitte das nächste Mal diese heisemässige Diskussin!

Im übrigen bin ich der Meinung, daß der Themenbereich für das proprietäre Produkt ASP abgeschafft werden soll!

Gerne. Wenn Du dafür einen Bereich für ASP.NET einrichtest - denn hier ist es möglich mittels der (objektiv) ausgezeichneten Sprache C# zu entwickeln - und C# steht kurz vor der Anerkennung zum ISO-Standard. Einer Portierung steht damit erstmal wenig im Wege und somit zieht Dein Argument nicht mehr.

Hmmm... in .NET kann man mit jeder Sprache (C#, VB.NET etc.) Programme erstellen. Für ASP kann man neben VisualBasic(Script) und JScript auch Perl, Phyton und Rexx benutzen. Allerdings ist VBScript Quasi-Standard für ASP, von daher wird sich das wohl auch in .NET nicht unbedingt ändern. Von daher zweifle ich etwas daran, daß C# VB so schnell verdrängen wird. Und auch wenn C# ISO-Standard werden sollte, wäre ASP.NET doch immer noch proprietär, denn C# ist ohne das zugehörige Objektmodell völlig unbrauchbar, das sicher weiter unter der Kontrolle von M$ bleibt und garantiert kein ISO-Standard wird. Ich erinnere an dieser Stelle an ECMA(Java)-Script, daß auch ISO-Standard ist. Vom Standard abgedeckt werden nur die Kernbestandteile der Sprache, die reservierten Worte und die Grammatik. Die Bindung an das DOM (ein anderer Standard) ist nicht mitspezifiziert. Darum kann ich auch weiterhin locker die Abschaffung der Rubrik ASP fordern, den ASP bleibt proprietär. Und für alle vernünftigen Systeme gibt es sowieso PHP, Mason und andere.

Am lustigsten finde ich, daß Du (objektiv) beurteilen kannst, ob eine Sprache (objektiv) ausgezeichnet ist oder nicht. Du findest doch sicher auch XP ganz (objektiv) ausgezeichnet, oder? Wie ist Deine (objektive) Meinung zu Algol, Prolog, Fortran, Brainfuck, Intercal, C++, Java, GWBasic, TurboPascal, Delphi, Eiffel, Hypercard, Tcl, Perl, Ruby und Logo? Oder welche anderen Sprachen ausser C# beherrscht Du noch, so daß Du qualifiziert bist, zu beurteilen, ob C# ausgezeichnet ist oder nicht?

Gruesse,

Bio

[Axel]

Hi Bio,

Nein, *Kernel* haben wirklich keine Icons. Und alle mir bekannten Window-Manager für X haben keine völlig hirnlosen Funktionen, um Audiofiles beim Überfahren eines Icons dafür zu scannen.

;-) Naja... Über die Sinnhaftigkeit des Scannens einer Datei beim Überfahren kann man streiten - die Absicht dahinter ist gut die Ausführung wie so oft ziemlich dilletantisch.

Abgesehen davon müsstest Du (vor dem Lästern) erst mal verstehen, wie sich das mit den Icons unter Windows verhält...

• Es gibt "eingebettete" Icons
• Es gibt externalisierte Icons

Meinst Du damit, daß Icons in .ico-Dateien oder als Ressource in .dll und .exe-Dateien liegen können? Hmmm... das wusste ich auch schon. Du bist MCSE oder sowas, daß Du soviel weisst, oder?

Nein...Ich entwickle für mein Unternehmen (neben Intranetlösungen) acub Client/Server-Systeme auf Basis von VisualStudio.NET in C# - vor .NET mittels VS6 und da kommst Du genau mit diesen Ressourcen und dem Aufbau der Dateien in Berührung.

Es ist - und in diesem Punkt muss ich hier vielen Recht geben - immer gut, zu wissen was man warum und wie macht.

Wenn Du den Artikel bzw. das Security-Bulletin gelesen hättest, dann hättest Du vielleicht verstanden, daß dieser Overflow mit den Icons überhaupt nichts zu tun hat. Wenn Du englisch kannst:

Hab's erst nach dem Schreiben gelesen (sorry!) - allerdings ist mir der Vorgang der dort beschrieben wird bekannt - das Problem kenne ich auch erst seit heute.

Von Icons ist da keine Rede. Aber interessant, daß man auch Icons so manipulieren kann, daß irgendwas passiert, so daß man die Kontrolle über XP übernehmen kann ;-)

Theoretisch _könnte_ man. Getestet hat das - glaube ich - noch keiner.

Das hier ein Furz zum Hurrican aufgebauscht wird ist eher lächerlich und zeugt von purem Hass.

Ja, ist schon lächerlich, wenn man das System dadurch übernehmen kann, daß man jemandem ein manipuliertes Audio-File als Mail schickt.
Noch lächerlicher ist natürlich, daß M$ die Auslieferung von Windows 2000 zugunsten von XP einstellen will. Da fällt mir ein: Heisst XP vielleicht Xtreme Pain oder Xtreme Peinlich?
Aber Du hast natürlich auch Recht damit, daß ich Microsoft hasse.

»»

Das mit Windows2000 hat m.e. einiges mit der neuen Lizenzpolitik von Microsoft sowie mit dem Target "Palladium" zu tun.

Die Stelle hat keinen Sinn? Früher gab es diese tolle Funktion zum Scannen von Audiofiles durch die Shell in Windows nicht, darum brauchte man dort auch keine Sicherheitsmechanismen. Und _gute_ Programmierer schreiben ihre Programme so, daß es keine Buffer-Overflows geben kann. Theoretisch sollte das jeder C-Anfänger wissen.

Jepp..Theoretisch.. Praktisch gibt es aber Termindruck, frustriertes Personal, Sabotage etc...

Mittlerweile gibt es bei .NET-Programmen einen gewissen Schutz vor Manipulationen wodurch ein solches Problem in dieser Form nicht mehr auftreten dürfte.

Natürlich. Mit .NET wird alles gut. Wenn allerdings in irgendeiner Bibliothek von .NET ein Fehler ist, dann werden ALLE .NET Programme dafür anfällig sein. Ich warte auf die Entdeckung des ersten diesbezüglichen Exploits und den ersten Wurm dafür.

Fehler hat .NET genug - aus diesem Grund ist auch ServicePack 2 für die Runtime da. Das Studio selber ist auch wacklig, sofern man Projekte mit einigen hundert Klassen entwickelt (es macht regelmässig die Grätsche).

Klar, ein gutes Signal! Das OpenBSD sich als besonders sicher bezeichnet, ist dann wohl ein schlechtes Signal? Wenn ich eine Firma hätte, dann würde ich garantiert keinen unsicheren Microsoft-Kram einsetzen - da können Werte und Arbeitsplätze vernichtet werden, da kann man sich bequemes Festhalten an Microsoft, weil's ja so einfach ist und es alle benutzen, eigentlich nicht leisten.

Falsch. Mein Unternehmen würde liebend gern auf Microsoft-Produkte verzichten, kann es aber nicht! Durch die Marktinfiltration von MS-Produkten sind die Kunden der Knebel - die verlangen einfach PowerPoint-Präsentatione und Excel-Dateien, die sie mit "ihrem" Office verarbeiten können. Die alternativen Offices sind leider noch nicht hinreichend kompatibel bzw. bieten nicht die gleichen Scriptingfähigkeiten (Macros, AddIns etc.) wie ihre Gegenstücke.

Hmmm... in .NET kann man mit jeder Sprache (C#, VB.NET etc.) Programme erstellen. Für ASP kann man neben VisualBasic(Script) und JScript auch Perl, Phyton und Rexx benutzen. Allerdings ist VBScript Quasi-Standard für ASP, von daher wird sich das wohl auch in .NET nicht unbedingt ändern. Von daher zweifle ich etwas daran, daß C# VB so schnell verdrängen wird.

Hast Du mit C# schon gearbeitet? Natürlich kann man argumentieren, das C# ohne Framework wenig bietet - aber es gibt bereits erste Ansätze, eben diese Klassenbibliothek portabel zu machen (z.B. mono).

Sogesehen würde ich nicht zu früh urteilen. Zudem eröffnet C# Java, C++, PHP und Perl-Programmierern auf Grund der nahen Verwandschaft einen gutes Argument sich anstelle von VBScript mit C# zu beschäftigen.

Am lustigsten finde ich, daß Du (objektiv) beurteilen kannst, ob eine Sprache (objektiv) ausgezeichnet ist oder nicht. Du findest

doch sicher auch XP ganz (objektiv) ausgezeichnet, oder?

Nein. Windows XP mag ich persönlich nicht. Außerdem hat ein Betriebssystem nichts mit einer Programmiersprache zu tun.

Wie ist Deine (objektive) Meinung zu Algol, Prolog, Fortran, Brainfuck, Intercal, C++, Java, GWBasic, TurboPascal, Delphi, Eiffel, Hypercard, Tcl, Perl, Ruby und Logo? Oder welche anderen Sprachen ausser C# beherrscht Du noch, so daß Du qualifiziert bist, zu beurteilen, ob C# ausgezeichnet ist oder nicht?

Zunächst einmal deklassiere ich keine andere Programmiersprache und habe auch keinen Vergleich durchgeführt - daher verstehe ich nicht, warum Du die Aussage so angehst. Ich kenne zu wenige Sprachen gut genug um mir über diese ein Urteil bilden zu können.

Auf Grund der Möglichkeiten und Features von C# lässt sich ein "relativ" objektives Urteil abgeben.

Gruß

Axel

[Bio]

Sup!

Nein...Ich entwickle für mein Unternehmen (neben Intranetlösungen) acub Client/Server-Systeme auf Basis von VisualStudio.NET in C# - vor .NET mittels VS6 und da kommst Du genau mit diesen Ressourcen und dem Aufbau der Dateien in Berührung.

Scherge, Scheeeeerge!!! Wie kann man sich so prostituieren... Du armer, armer Mensch! Bald wird M$ die Lizenzen für VisualStudio.NET zehnfach verteuern, dann seid ihr alle im Arsch. Jedenfalls erwarte ich das.

Jepp..Theoretisch.. Praktisch gibt es aber Termindruck, frustriertes Personal, Sabotage etc...

Frustriertes Personal kann ich mir bei M$ wirklich gut vorstellen.

Mittlerweile gibt es bei .NET-Programmen einen gewissen Schutz vor Manipulationen wodurch ein solches Problem in dieser Form nicht mehr auftreten dürfte.

Natürlich. Mit .NET wird alles gut. Wenn allerdings in irgendeiner Bibliothek von .NET ein Fehler ist, dann werden ALLE .NET Programme dafür anfällig sein. Ich warte auf die Entdeckung des ersten diesbezüglichen Exploits und den ersten Wurm dafür.

Fehler hat .NET genug - aus diesem Grund ist auch ServicePack 2 für die Runtime da. Das Studio selber ist auch wacklig, sofern man Projekte mit einigen hundert Klassen entwickelt (es macht regelmässig die Grätsche).

Tjö. Einige hundert Klassen hat natürlich nicht jeder, aber im Prinzip sollte die Zahl der Klassen keinen Einfluss auf die Stabilität haben.

Falsch. Mein Unternehmen würde liebend gern auf Microsoft-Produkte verzichten, kann es aber nicht! Durch die Marktinfiltration von MS-Produkten sind die Kunden der Knebel - die verlangen einfach PowerPoint-Präsentatione und Excel-Dateien, die sie mit "ihrem" Office verarbeiten können. Die alternativen Offices sind leider noch nicht hinreichend kompatibel bzw. bieten nicht die gleichen Scriptingfähigkeiten (Macros, AddIns etc.) wie ihre Gegenstücke.

Tjö... das ist das Problem. Wir müssen Microsofts Dominanz deshalb um jeden Preis brechen.
Dazu müssen wir Microsoft mit seinen eigenen Waffen schlagen: FUD - Fear, Uncertainty, Doubt. Wenn die Leute mehr Angst vor XP und seinen Sicherheitslücken, Update-Wizzards etc. haben, als vor "Inkompatibilitätsproblemchen", dann ist Microsoft am Ende.

Hast Du mit C# schon gearbeitet? Natürlich kann man argumentieren, das C# ohne Framework wenig bietet - aber es gibt bereits erste Ansätze, eben diese Klassenbibliothek portabel zu machen (z.B. mono).

Na, ich werde doch keine Verrätertechnologie benutzen! Aber ich habe eine .NET Vorführung auf der Systems gesehen und kenne SunONE und VisualBasic, die haben ja alle so eingebaute Klassenbibliotheks-Auto-Vervollständigen-Wizzards. Eigentlich schlimm, daß jeder Depp seine Anwendung mehr oder weniger zusammenklicken kann.

Sogesehen würde ich nicht zu früh urteilen. Zudem eröffnet C# Java, C++, PHP und Perl-Programmierern auf Grund der nahen Verwandschaft einen gutes Argument sich anstelle von VBScript mit C# zu beschäftigen.

Hey... Perl und Java und VBScript und C# können IMHO gar nicht besonders nah verwandt sein.

Nein. Windows XP mag ich persönlich nicht. Außerdem hat ein Betriebssystem nichts mit einer Programmiersprache zu tun.

Warum verteidigst Du es dann?

Zunächst einmal deklassiere ich keine andere Programmiersprache und habe auch keinen Vergleich durchgeführt - daher verstehe ich nicht, warum Du die Aussage so angehst. Ich kenne zu wenige Sprachen gut genug um mir über diese ein Urteil bilden zu können.

Auf Grund der Möglichkeiten und Features von C# lässt sich ein "relativ" objektives Urteil abgeben.

Nun gut. Das ist ja das schlimme an Microsoft... sie versprechen so viel und wecken Hoffnungen, Wünsche, Träume... führen in Versuchung mit dem Versprechen guter Ergebnisse mit wenig Arbeit... aber halten tun sie wenig, und wenn man sieht, wieviele Service-Packs M$ für jede Software raushauen muß (5 Stück für VS6, denke ich), kriegt man schon Zweifel. Ich jedenfalls für meinen Teil werde versuchen, möglichst wenig mit M$ zu tun zu bekommen. Auch wenn das verdammt schwer wird.

Gruesse,

Bio

[Axel]

Hi,

Scherge, Scheeeeerge!!! Wie kann man sich so prostituieren... Du armer, armer Mensch! Bald wird M$ die Lizenzen für VisualStudio.NET zehnfach verteuern, dann seid ihr alle im Arsch. Jedenfalls erwarte ich das.

Nein...Die Lizenz für das Studio ist teuer genug und wird sich kaum steigern lassen - MS wird mittels "Zertifizierung" tief in die Taschen langen. Dank TCPA/Palladium werden sich nur noch zertifizierte Programme vernünftig vermarkten lassen (der Rundumschlag gegen Freeware, Shareware und Kleinunternehmen) die Kosten richten Sich nach Umfang aund Aufwand der Tests - kann also richtig, richtig teuer werden.

Jepp..Theoretisch.. Praktisch gibt es aber Termindruck, frustriertes Personal, Sabotage etc...

Frustriertes Personal kann ich mir bei M$ wirklich gut vorstellen.

Ist kein MS-spezifisches Problem - aber auch ich kann mir das dort gut vorstellen.

Fehler hat .NET genug - aus diesem Grund ist auch ServicePack 2 für die Runtime da. Das Studio selber ist auch wacklig, sofern man Projekte mit einigen hundert Klassen entwickelt (es macht regelmässig die Grätsche).

Tjö. Einige hundert Klassen hat natürlich nicht jeder, aber im Prinzip sollte die Zahl der Klassen keinen Einfluss auf die Stabilität haben.

Nein sicher nicht. Aber .NET (die IDE) hat Probleme mit derartig großen Mengen an Dateien und Quelltext - im Normalfall springt man beim Editieren auch mal von einer in die andere Klasse, die Error-Task-List verlinkt auch beim Doppelklick direkt an die fehlerhafte Stelle im Code - zum Schluss hast Du 50 Dokumente auf und das Highlighting bricht zusammen, Intellisense ist futsch und Quellcode wird auf einmal zerhackt...

Tjö... das ist das Problem. Wir müssen Microsofts Dominanz deshalb um jeden Preis brechen.

Ein Kampf gegen drehende Windmühlenflügel - erstmal müssen genügen gleichwertige Ersatzprodukte auf dem Markt sein. Ich hoffe, das bald erste Alternativoffices ausreichend kompatibel sind.

Dazu müssen wir Microsoft mit seinen eigenen Waffen schlagen: FUD - Fear, Uncertainty, Doubt. Wenn die Leute mehr Angst vor XP und seinen Sicherheitslücken, Update-Wizzards etc. haben, als vor "Inkompatibilitätsproblemchen", dann ist Microsoft am Ende.

Versuche ich - nutzt bisher wenig. Meine Idee war eine Protestaktion gegen TCPA und Palladium auf der CeBIT 2003 - und zwar eine großangelegte, friedliche und nicht verhinderbare:

• Shirts, Buttons und Flyer am Eingang
• Flyer an Ständen (auch Microsoft) deponieren (liegen lassen)
• Möglichst sichtbar die Abneigung gegen diese "Orwellsche" Entwicklung zeigen
• ??? Vorschläge?

Bisher haben sich nur eine Handvoll Leute ernsthaft dafür interessiert.

Na, ich werde doch keine Verrätertechnologie benutzen! Aber ich habe eine .NET Vorführung auf der Systems gesehen und kenne SunONE und VisualBasic, die haben ja alle so eingebaute Klassenbibliotheks-Auto-Vervollständigen-Wizzards. Eigentlich schlimm, daß jeder Depp seine Anwendung mehr oder weniger zusammenklicken kann.

Die Vorführungen auf der Systems waren nicht besonders vorteilhaft - in der Tat ist .NET eine alles in allem gute Entwicklung. Und in der Tat würdest Du ohne Intellisense massive Probleme mit dem Durchblick bekommen - die Klassenbibliothek ist derart umfangreich, das die von MS beigepackten Objekt-Bäume rund 4 Quadratmeter Wandfläche füllen.

Hey... Perl und Java und VBScript und C# können IMHO gar nicht besonders nah verwandt sein.

Doch. Semantischer Art besteht dort eine sehr nahe Verwandschaft.

Nein. Windows XP mag ich persönlich nicht. Außerdem hat ein Betriebssystem nichts mit einer Programmiersprache zu tun.

Warum verteidigst Du es dann?

Mach ich das? Ich finde nur fruchtlose Hasstiraden ziemlich sinnlos und sie nerven, weil sie in Richtung Heiseforum weisen. Qualifizierte Kritik ist wichtig und gut - aber nicht einfach "M$ ist sch...." Chöre anstoßen

Auf Grund der Möglichkeiten und Features von C# lässt sich ein "relativ" objektives Urteil abgeben.

Nun gut. Das ist ja das schlimme an Microsoft... sie versprechen so viel und wecken Hoffnungen, Wünsche, Träume... führen in Versuchung mit dem Versprechen guter Ergebnisse mit wenig Arbeit... aber halten tun sie wenig, und wenn man sieht, wieviele Service-Packs M$ für jede Software raushauen muß (5 Stück für VS6, denke ich), kriegt man schon Zweifel. Ich jedenfalls für meinen Teil werde versuchen, möglichst wenig mit M$ zu tun zu bekommen. Auch wenn das verdammt schwer wird.

Bei Linux heißt es dann "Neue Kernel-Version" bei M$ halt Service-Pack - im Grund ein Update. Im Falle von C# hat es (allerdings nur in Verbindung mit der teuren IDE) einen echten produktivitätsschub gegeben - besonders mit dem zusätzlich installierten Rational XDE.

Nachteil: Alleine die Software kostet rund 7.000 EUR.

Abgesehen davon kannst Du seit .NET erstmalig kostenlos mit MS-Programmiersprachen entwickeln - nur mal am Rande. Das Framework SDK ist vollkommen kostenlos und bringt alles mit, was Du zum Erstellen kompilierter Programme brauchst  - aber keine IDE.

Sogesehen hast Du dann den gleichen "Komfort" wie bei PHP, PERL und Co. - Gratis. Und mit MATRIX oder C#-Edit bekommst Du gute (im Quellcode vorliegende) Editoren kostenlos dazu.

Also...Nicht alles, was von MS kommt ist grundsätzlich schlecht - das die Strategie von MS natürlich vom User eine Menge Geld abzieht - das ist traurig.

Ich denke, das ist auch der einzige, haltbare Kritikpunkt: Würde Windows nichts kosten und Office als Shareware vertrieben werden, dann würde keiner hier seinen Hals so weit aufreißen - die Leute stört letztlich nur der Preis.

Gruß

Axel

[Christian Seiler]

Hallo Axel,

Ich denke, das ist auch der einzige, haltbare Kritikpunkt: Würde Windows nichts kosten und Office als Shareware vertrieben werden, dann würde keiner hier seinen Hals so weit aufreißen - die Leute stört letztlich nur der Preis.

Dem kann ich nicht zustimmen. Ich habe kein Problem damit, auf eine gute Software zu sparen und mir diese dann zu kaufen. Aber MS-Software ist proprietär, und zwar nicht nur so dahingesagt, sondern praktisch die Personifizierung des An-die-Spitze-Treibens des Konzeptes. Und wie Du selbst sagst, Microsoft nutzt seine Monopolstellung weiter aus.

Es gibt übrigens nur 2 Gründe, warum ich überhaupt noch Windows installiert habe:

a) IE/Opera zum Testen (die Linux-Versionen von Opera kommen immer mit ewiger Verspätung)
b) Videoschnittkarte (es gibt noch keine Treiber für das Modell, das ich habe)

Grüße,

Christian

[Sven Rautenberg]

Moin!

Bei Linux heißt es dann "Neue Kernel-Version" bei M$ halt Service-Pack - im Grund ein Update. Im Falle von C# hat es (allerdings nur in Verbindung mit der teuren IDE) einen echten produktivitätsschub gegeben - besonders mit dem zusätzlich installierten Rational XDE.

Nachteil: Alleine die Software kostet rund 7.000 EUR.

Abgesehen davon kannst Du seit .NET erstmalig kostenlos mit MS-Programmiersprachen entwickeln - nur mal am Rande. Das Framework SDK ist vollkommen kostenlos und bringt alles mit, was Du zum Erstellen kompilierter Programme brauchst  - aber keine IDE.

Was heißt denn hier "kostenlos". Das ist doch mal glatt unrichtig. Zum Einsatz von ASP.NET braucht man etwas, was diese Programme an den Browser bringt. Und das ist bei ASP.NET zwingend der IIS. Und den gibts nicht kostenlos, sondern nur verpackt mit einem Microsoft-Betriebssystem - ein Server-Betriebssystem, wohlgemerkt, denn die billigen Client-Packs dürften damit wohl so ihre Probleme haben.

Nehme ich hingegen eine Programmiersprache wie z.B. Perl, PHP, C, C++, Python etc., dann kann ich über Linux und Apache ohne Lizenzkosten entwickeln.

Also...Nicht alles, was von MS kommt ist grundsätzlich schlecht - das die Strategie von MS natürlich vom User eine Menge Geld abzieht - das ist traurig.

Das sehe ich etwas anders. Microsoft macht derzeit nur mit zwei Sparten Gewinne (und zwar unanständige Gewinne): Windows und Office. Alle anderen Bereiche machen Millionenverluste. Die X-Box z.B. wird unter Herstellungskosten verkauft, nur um gegen die Playstation bestehen zu können und sich im Markt zu etablieren - böse Zungen würden sagen: um sich in den Markt zu drücken.

Die Bestrebungen mit TCPA und Palladium sind seitens Microsoft ausschließlich dazu da, die Vormachtstellung im Bereich Windows und Office zu zementieren. Derzeit kann es sich noch niemand leisten, ohne Kompatibilität zu Office geschäftlich zu Arbeiten. Aber die Konkurrenz Linux&Co. holt schnell auf.

Also mißbraucht Microsoft wieder einmal seine Marktmacht und zwingt den Hardwareherstellern TCPA auf. Intel als getreuer Weggefährte baut das natürlich gerne ein - und schon ist AMD ohne Widerrede gezwungen, TCPA ebenfalls zu implementieren, weil AMD es sich nicht leisten kann, dass auf ihren Prozessoren Windows nicht läuft - das wäre das Todesurteil für die Firma.

Und genauso ist es für alle Windows-Softwarehersteller: Die sind gezwungen, künftig nach Microsofts Pfeife zu tanzen: Windows und Office werden ohne TCPA nicht laufen, also muß es aktiviert sein. Und ohne TCPA-Signatur werden Fremdprogramme nicht laufen - also müssen sie signiert werden, natürlich von Microsoft. Und die werden natürlich nur widerwillig Konkurrenzprogramme signieren.

Außerdem: Wie soll das Signieren funktionieren? Liefern die Firmen den Quelltext ab, damit Microsoft ein umfangreiches Code-Review durchführt, so ganz nebenbei dadurch sämtliche Geschäftsgeheimnisse erfährt und das Know-How dann in eigenen Produkten anwendet? Oder wird nur Binärcode geliefert und der einigermaßen blind unterschrieben? Dann kann man mit Sicherheit immer noch Viren und "malicous code" einschleusen, der Gewinn an Sicherheit wäre dahin.

Also: Wenn ich mir bei einer Sache ultimativ sicher bin, dann bei der, dass Microsoft mit allem, was es tut, die Zementierung seines eigenen Monopols vorantreiben will.

Wenn es bei Microsoft irgendwas kostenlos gibt, dann ist das nicht wirklich kostenlos. Irgendwas kostet es immer. Microsoft wird es jetzt für lau verteilen, weil ein größerer Marktanteil gewünscht wird - und nichts ist förderlicher für einen Marktanteil als Benutzer. Wenn's viele Benutzer gibt, die ASP.NET zuhause ausprobieren (weil sie dort mit Linux nicht klarkommen (wollen)), oder in der Schule, dann ist die Entscheidung pro ASP.NET später viel leichter, weil man's ja schon kann. Und da ASP.NET dann wieder verkauft wird bzw. gewisse Softwarevoraussetzungen hat, die Lizenzkosten nach sich ziehen, gewinnt Microsoft. Und von "kostenlos" kann nicht mehr die Rede sein.

Ich denke, das ist auch der einzige, haltbare Kritikpunkt: Würde Windows nichts kosten und Office als Shareware vertrieben werden, dann würde keiner hier seinen Hals so weit aufreißen - die Leute stört letztlich nur der Preis.

Windows ist ja (bzw. war) als Privatbenutzerlizenz noch verhältnismäßig billig zu kriegen - knapp 150 Mark hat es wohl mal gekostet, wenn ich mich richtig erinnere. Kann aber zu Win95-Zeiten gewesen sein. 150 Mark für Windows oder 100 Mark für eine Linux-Distribution ist kein wirklich großer Unterschied. Der Preis ist kein großes Argument der Microsoft-Kritiker.

- Sven Rautenberg

[Axel]

Hi,

Nachteil: Alleine die Software kostet rund 7.000 EUR.

Abgesehen davon kannst Du seit .NET erstmalig kostenlos mit MS-Programmiersprachen entwickeln - nur mal am Rande. Das Framework SDK ist vollkommen kostenlos und bringt alles mit, was Du zum Erstellen kompilierter Programme brauchst  - aber keine IDE.

Was heißt denn hier "kostenlos". Das ist doch mal glatt unrichtig. Zum Einsatz von ASP.NET braucht man etwas, was diese Programme an den Browser bringt. Und das ist bei ASP.NET zwingend der IIS. Und den gibts nicht kostenlos, sondern nur verpackt mit einem Microsoft-Betriebssystem - ein Server-Betriebssystem, wohlgemerkt, denn die billigen Client-Packs dürften damit wohl so ihre Probleme haben.

Das Argument zieht schon lange nicht mehr. IIS ist nicht mehr zwingend erforderlich um ASP.NET-Seiten zu hosten.

Mit Apache2 geht es eingeschränkt:
http://www.covalent.net/products/rotate.php?page=93 (Quasi ein "Wrapper", der mit dem Apache zusammen funzt)

Oder mit Cassini sogar besser:
http://www.dotnetpro.de/artikel/pdf/cassini.pdf
http://www.codeproject.com/aspnet/cassini_apache_101.asp
http://msdn.microsoft.com/msdnmag/issues/03/01/CuttingEdge/default.aspx

Jetzt könnte natürlich noch argumentiert werden, das ja unbedingt Windows als Betriebssystem verwendet werden muss und bla,bla...

Mittels dem mehr als vielversprechenden Projekt MONO rückt dann auch ASP.NET unter Linux in greifbare Nähe. Also: Bei allem blinden Hass gegen MS und auch der sehr berechtigten Kritik im Hinblick auf die Geschäftstaktik, sollte auch im Auge behalten werden, das MS hier (auch aus Eigennutz) endlich ein wenig entgegenkommender ist.

http://www.go-mono.com/index.html
http://www.ondotnet.com/pub/a/dotnet/2001/07/09/mono.html

Davon einmal abgesehen - wie sieht die Praxis aus?

Windows ist bei eigentlich den meisten PCs in irgendeiner Form dabei - ob nun vorinstalliert mit Recovery-CD oder sogar als "richtige" CD - sogesehen haben die Allermeisten irgendwo eine halbwegs legale Kopie des Betriebssystems, die sie schon längst bezahlt haben.

Nehme ich hingegen eine Programmiersprache wie z.B. Perl, PHP, C, C++, Python etc., dann kann ich über Linux und Apache ohne Lizenzkosten entwickeln.

Kannst Du eigentlich (vom Betriebssystem abgesehen) auch mittels ASP.NET - aber wie sagt man so schön: Umsonst ist der Tod - und der kostet das Leben.

Das sehe ich etwas anders. Microsoft macht derzeit nur mit zwei Sparten Gewinne (und zwar unanständige Gewinne): Windows und Office. Alle anderen Bereiche machen Millionenverluste. Die X-Box z.B. wird unter Herstellungskosten verkauft, nur um gegen die Playstation bestehen zu können und sich im Markt zu etablieren - böse Zungen würden sagen: um sich in den Markt zu drücken.

Neidisch? Aus Sicht eines Geschäftsmannes ein legitimes Vorgehen - Moral gibt es im Geschäftsleben selten und sie wird einem auch selten gedankt. Abgesehen davon werden ja z.B. auch Handys in den Markt "gedrückt" die werden auch weit unter Herstellungskosten vertrieben.

Wenn Du nun das Argument bringst, das es sich um subventionierte Geräte handelt, deren Kosten über die Rechnung gedeckt werden, hast Du das Prinzip der X-Box erkannt:

• Hier wird der "Verlust" über die Spiele eingefahren - die sind exorbitant teuer. Trotzdem geht MS davon aus, das pro XBox mindestens n Spiele verkauft werden - im Mittel sind die Kosten dann wieder gedeckt.

Also: Wenn ich mir bei einer Sache ultimativ sicher bin, dann bei der, dass Microsoft mit allem, was es tut, die Zementierung seines eigenen Monopols vorantreiben will.

Das ist wahrscheinlich. Würdest Du Dir die Pfründe wieder so einfach nehmen lassen?

Windows ist ja (bzw. war) als Privatbenutzerlizenz noch verhältnismäßig billig zu kriegen - knapp 150 Mark hat es wohl mal gekostet, wenn ich mich richtig erinnere. Kann aber zu Win95-Zeiten gewesen sein. 150 Mark für Windows oder 100 Mark für eine Linux-Distribution ist kein wirklich großer Unterschied. Der Preis ist kein großes Argument der Microsoft-Kritiker.

Wann warst Du das letzte Mal in der "Real"-World? Hast Du mal nachgesehen, was z.B. eine Windows XP-Lizenz kostet? Ist ein wenig teurer als von Dir beschrieben. Selbst für mein damals gekauftes Update auf Win95 habe ich schon 179 DEM bezahlt.

Kann es sein, das hier einige schon den völligen Bezug zur Realität verloren haben? Erschreckende Vorstellung!

Gruß

Axel