Wozu brauch ich eigentlich den verdammten Virenscanner???

[Ralph]

Liebe SelfHTMLller,

mal eine richtig bloede Frage! Klar weiss ich, wozu ich einen Virenscanner unbedingt brauche: zum Scannen von Dateien, bevor ich sie öffne oder ausführe. Soweit sogut...

Aber wozu brauche ich eine Instanz, die bei mir persistent im Hintergrund läuft? Das Teil löst alle paar Wochen oder Monate mal einen Alarm aus:
a) bei Spam-Mails mit verseuchten Anhängen.
b) oft nur einen falschen Alarm (z.B. trägt bei mir von 50.000 verarbeiteten JPGs eines eine verdächtige Signatur).

Bei a) brauche ich keine Warnung, wird eh geloescht. b) ist definitiv kein Virus und nervt.

Und den Fall c) steuere ich selber, wenn ich mir bei einer Datei nicht sicher bin. Also sehe ich das doch richtig, dass die persistente Instanz fuer mich eigentlich ueberfluessig ist, oder?

Ich nutze uebrigens AntiVir in der aktuellen Version. Ausserdem habe ich nur 384 MB RAM und kann nicht aufrüsten. AntiVir braucht ueber 60 davon. Darum die Frage!

Ralph

[LarsSW]

Hallo Ralph,

also ein aktueller Virenscanner gehört eigentlich zum Standard - egal ob Windows, MacOS oder Linux eingesetzt wird (auch wenn manche Benutzer alternativer Systeme gerne behaupten, sie bräuchten keinen ;-)). Aber grade unter Windows wäre es etwas riskant, den "Wächter" abzuschalten, da es eben Angriffsziel Nr. 1 ist.

Du solltest nicht die Fehlalarme zählen... es genügt ein einziger Ernstfall, der vielleicht in 2 Wochen, 3 Monaten oder auch erst in einem Jahr eintreten mag... wenn dann der Scanner aus ist, kann es für deine Daten schon zu spät sein.

Statt den Scanner abzuschalten würde ich lieber auf 512 MB Ram (oder mehr, je nach Geldbeutel) aufrüsten. RAM ist inzwischen so günstig geworden: 1024 MB gibts bereits für 18€, kleinere Module sind teilweise noch günstiger.

Für die paar Euros würde ich auf den Schutz nicht verzichten wollen... letztlich musst du aber das Risiko selbst einschätzen, nur du weißt ja, was für Daten auf dem Rechner liegen und wieviel sie dir Wert sind...

Beste Grüße
Lars

[Mega]

also ein aktueller Virenscanner gehört eigentlich zum Standard - egal ob Windows, MacOS oder Linux eingesetzt wird (auch wenn manche Benutzer alternativer Systeme gerne behaupten, sie bräuchten keinen ;-))

Sowas behaupten nur Noobs. Jeder halbwegs intelligente User weiss, auch für Linux sind Viren möglich. Nur aufgrund der Verbreitung ist es für einen Programmierer nicht "rentabel" einen Virus zu schreiben.

Wenn also jemand erzählt, für Linux gibt es keine Viren, ist es der ultimative Beweis, er hat keine Ahnung.

[Peter Pan]

Hi!

Jeder halbwegs intelligente User weiss, auch für Linux sind Viren möglich.

Du wirst doch von Redmond bezahlt, Du Teufel;)

off:PP

[Mega]

Du wirst doch von Redmond bezahlt, Du Teufel;)

Schon immer. Ich gehöre zu der Bewegung, die Winzigweich unterwandert und von innen heraus zerstören soll. :D

[Cheatah]

Hi,

Aber wozu brauche ich eine Instanz, die bei mir persistent im Hintergrund läuft? Das Teil löst alle paar Wochen oder Monate mal einen Alarm aus:

Du hast absolut Recht. Das gleiche gilt für einen Feueralarm: Wozu braucht man in großen Gebäuden so ein Teil? Alle paar Monate gibt's eine Übung, die nichts als Zeit kostet, dann gelegentlich einen Fehlalarm, für den sogar die Feuerwehr anrücken muss. Brennen tut's nie. Und wenn doch, ist in einem großen Gebäude eh immer jemand da, der's bemerken würde. Was soll das also?

Die Antwort ist leicht: Sicherheit ist kein Ziel, sondern ein Weg. Man kann Sicherheit nie erreichen, sondern muss den Weg stetig weiter gehen. Wenn Du Sicherheitsmaßnahmen ergreifst und nichts passiert: Sei froh. Ergreifst Du sie nicht und es passiert irgendwann doch was: Selbst schuld.

Cheatah

[Beat]

mal eine richtig bloede Frage! Klar weiss ich, wozu ich einen Virenscanner unbedingt brauche: zum Scannen von Dateien, bevor ich sie öffne oder ausführe. Soweit sogut...
Aber wozu brauche ich eine Instanz, die bei mir persistent im Hintergrund läuft?

Weil Onlinescannen weit weniger die Harddisc belastet als wöchentlicher Vollscan der Harddisk.
Bei konsequentem Onlinescan kann man sich den Vollscan fast ganz sparen.

Das Teil löst alle paar Wochen oder Monate mal einen Alarm aus:
a) bei Spam-Mails mit verseuchten Anhängen.
b) oft nur einen falschen Alarm (z.B. trägt bei mir von 50.000 verarbeiteten JPGs eines eine verdächtige Signatur).

Das Spricht für die Qualität deiner Post.

Bei a) brauche ich keine Warnung, wird eh geloescht. b) ist definitiv kein Virus und nervt.

Ja das Löschen von Mails ist so eine Sache. Aus den Augen ist nicht aus dem Sinn. Handelt es sich um eine Ressource, die ein trojaner braucht, holt er sie aus dem Cache.

Und den Fall c) steuere ich selber, wenn ich mir bei einer Datei nicht sicher bin. Also sehe ich das doch richtig, dass die persistente Instanz fuer mich eigentlich ueberfluessig ist, oder?

Ich nutze uebrigens AntiVir in der aktuellen Version. Ausserdem habe ich nur 384 MB RAM und kann nicht aufrüsten. AntiVir braucht ueber 60 davon. Darum die Frage!

Kann ich jetzt ECHT nicht glauben. Im RAM sollten um die 24 MBytes liegen.
Immerhin hast du nicht Symantec Antivirus.

mfg Beat

[Ralph]

Danke euch allen fuer eure Sichtweise! Ihr habt natuerlich Recht, die Philosophie "lieber auf Sicherheit" macht Sinn ;-) Danke also!
Ich werde jetzt mal probieren, ob ich vielleicht mit einer kompletten Neuinstallation das Speicherproblem in den Griff kriege, hat bei anderen Programmen oefter mal geholfen.

Ralph

[LarsSW]

Ich werde jetzt mal probieren, ob ich vielleicht mit einer kompletten Neuinstallation das Speicherproblem in den Griff kriege, hat bei anderen Programmen oefter mal geholfen.

Ralph

Hallo,

sonst teste doch mal Avast Antivirus - ebenfalls kostenlos, vielleicht ist das etwas speicherschonender als Antivir. Ich persönlich mochte Antivir jedenfalls noch nie, auch aufgrund der Werbeeinblendungen in der kostenlosen Version.

Beste Grüße
Lars

[Beat]

sonst teste doch mal Avast Antivirus - ebenfalls kostenlos, vielleicht ist das etwas speicherschonender als Antivir. Ich persönlich mochte Antivir jedenfalls noch nie, auch aufgrund der Werbeeinblendungen in der kostenlosen Version.

Welche Werbung?
Klär mich auf?

mfg Beat

[LarsSW]

Welche Werbung?
Klär mich auf?

Nach jedem automatischen Update der Virendefinitionen geht ungefragt ein Fenster auf, müllt mich mit irgendwas zu und möchte per "OK" beendet werden. Auf ein Wiedersehen beim nächsten Update.

Bei dir nicht?

[Beat]

Nach jedem automatischen Update der Virendefinitionen geht ungefragt ein Fenster auf, müllt mich mit irgendwas zu und möchte per "OK" beendet werden. Auf ein Wiedersehen beim nächsten Update.

Bei dir nicht?

Nö...
Antivir besteht aus verschiedenen Prozessen, wie andere Programme auch.
Immerhin ist es ein separater Prozess.
Du bist Meister auf deinem PC, oder?

mfg Beat

[LarsSW]

Nö...
Antivir besteht aus verschiedenen Prozessen, wie andere Programme auch.
Immerhin ist es ein separater Prozess.
Du bist Meister auf deinem PC, oder?

Immerhin Meister genug, AntiVir runterzuschmeißen. Ich verwende seit etwa 2 Jahren Kaspersky in der jeweils aktuellen Version. Das AntiVir-Szenario kenne ich nur noch von anderen PCs, die ich damit bestücke...

Ich muss aber gestehen, ich habe mir dort auch nie die Mühe gemacht und geschaut, ob man diese Meldung nicht doch irgendwie abschalten oder einfach nicht zulassen kann.

Beste Grüße
Lars

[Beat]

Ich muss aber gestehen, ich habe mir dort auch nie die Mühe gemacht und geschaut, ob man diese Meldung nicht doch irgendwie abschalten oder einfach nicht zulassen kann.

Ohne eine Firewall wohl nicht.
Avira Antivir hat eine Evolution durchgemacht.
Ich hatte früher Probleme damit. Heute läuft es eigentlich wie am Schnürchen.
Die GUI finde ich klar, und was man dort einstellt, verhält sich auch so.

Wie immer sind die Defaulteinstellungen diverser Virenscanner unnötig fleissig eingestellt. Ein wöchentliches Update (mache ich händisch) reicht vollkommen.
Systemprüfung einmal wöchentlich.
Vollprüfung nur einmal im Monat.

mfg Beat

[Auge]

Hallo

Ein wöchentliches Update (mache ich händisch) reicht vollkommen.

Holla, einmal die Woche updaten? Das halte ich für geradezu fahrlässig. Schadsoftware kann in stündlichem Rythmus in neuen Versionen daherkommen, die von den alten Signaturen oftmals nicht erkannt werden. Da sollte der Scanner so oft wie möglich aktualisiert werden.

Im Idealfall passiert das täglich mehrfach, jedoch sind die freien Versionen der Virenscanner oft so konfiguriert, dass sie nur einmal am Tage nach einer Aktualisierung suchen. _Das_ aber sollte man dann auch nutzen.

Tschö, Auge

[Beat]

Holla, einmal die Woche updaten? Das halte ich für geradezu fahrlässig. Schadsoftware kann in stündlichem Rythmus in neuen Versionen daherkommen, die von den alten Signaturen oftmals nicht erkannt werden. Da sollte der Scanner so oft wie möglich aktualisiert werden.

Praktisch sind es alle 2 bis 4 Tage.

Im Idealfall passiert das täglich mehrfach, jedoch sind die freien Versionen der Virenscanner oft so konfiguriert, dass sie nur einmal am Tage nach einer Aktualisierung suchen. _Das_ aber sollte man dann auch nutzen.

Nein.

Die Avira Server sind schlicht nicht auf solche Intervalle eingerichtet. Der Server wird dich abweisen (habe ich schon erlebt, nach versuchter Updatewiederholung nach einem Unterbruch).
Es ist zudem so, dass während der Updatephase der Dateien der Scanner nicht scannt.
Auch von daher ist ein, übertrieben gesagt, permanentes Updaten irgendwann kontraproduktiv.
Der vitalste Punkt dürfte schlicht der Online-Scanner sein.

mfg Beat

[Auge]

Hallo

Holla, einmal die Woche updaten? Das halte ich für geradezu fahrlässig. Schadsoftware kann in stündlichem Rythmus in neuen Versionen daherkommen, die von den alten Signaturen oftmals nicht erkannt werden. Da sollte der Scanner so oft wie möglich aktualisiert werden.

Praktisch sind es alle 2 bis 4 Tage.

Bei der von mir benutzten freien Avast-Version wird ein- bis zweimal täglich ein Update bereitgestellt.

Im Idealfall passiert das täglich mehrfach, jedoch sind die freien Versionen der Virenscanner oft so konfiguriert, dass sie nur einmal am Tage nach einer Aktualisierung suchen. _Das_ aber sollte man dann auch nutzen.

Nein.

Die Avira Server sind schlicht nicht auf solche Intervalle eingerichtet. Der Server wird dich abweisen (habe ich schon erlebt, nach versuchter Updatewiederholung nach einem Unterbruch).

Unschön.

Es ist zudem so, dass während der Updatephase der Dateien der Scanner nicht scannt.
Auch von daher ist ein, übertrieben gesagt, permanentes Updaten irgendwann kontraproduktiv.

Das mag sein, ich kann es nicht beurteilen, aber das passiert auch bei Updates, die nur zweimal wöchentlich stattfinden, nur entsprechend seltener. Wenn der Angriff genau zu diesem zeitpunkt stattfindet ist das aber auch egal, nicht gescannt ist nicht gescannt.

Der vitalste Punkt dürfte schlicht der Online-Scanner sein.

Hmm, kann man dem vertrauen? Es müssten ja alle angeforderten Ressourcen über einen externen Server geschleust werden, oder verstehe ich dich da falsch?

Tschö, Auge

[Beat]

Der vitalste Punkt dürfte schlicht der Online-Scanner sein.
Hmm, kann man dem vertrauen? Es müssten ja alle angeforderten Ressourcen über einen externen Server geschleust werden, oder verstehe ich dich da falsch?

Online Scann bezeichnet das permanente Scannen aller im System transportierter lokalen Dateien/Zugriffe. (hat nichts mit einem externen Scanner zu tun, nennt sich nur so) Es ist genau das, was viele lästig finden, wenn der Virenscanner im lokalen Webserver Server gleich doppelt scannt.
Ich halte aber permanentes Scan für wichtiger als die die Vollscans, die ja nur die Harddisc unnötig belasten.

Du müsstest jetzt halt eine statistische Risiko-Rechnung machen, in welchem du das Aussetzen des Onlinescans gegen die Gefahr eines jüngsten Virus verrechnest.

mfg Beat

[Auge]

Hallo

Der vitalste Punkt dürfte schlicht der Online-Scanner sein.
Hmm, kann man dem vertrauen? Es müssten ja alle angeforderten Ressourcen über einen externen Server geschleust werden, oder verstehe ich dich da falsch?

Online Scann bezeichnet das permanente Scannen aller im System transportierter lokalen Dateien/Zugriffe.

Also der Virenscanner als "Hintergrunddienst", naja denn.

Ich halte aber permanentes Scan für wichtiger als die die Vollscans, die ja nur die Harddisc unnötig belasten.

Es ist zwar genau die Fragestellung des OP, ob dies wirklich nötig ist, aber ja, auch meiner Meinung nach sollte der Virenscanner permanent im Hintergrund laufen. Avast nimmt bei mir (momentan) <nachschau>huii, satte 54 Mb</nachschau> des RAMs (insgesamt physische 384 Mb) für sich in Anspruch. Die dabei auftretenden Verzögerungen beim Öffnen von Programmen und Dateien sind mir allerdings allemal lieber als der Heckmeck mit einem infizierten System.

Mein System läuft jedenfalls seit Januar 2007 ohne Problem. Ich sehe auch keinerlei Anlass, dies zu ändern. :-)

Tschö, Auge

[Der Martin]

Hallo,

Aber wozu brauche ich eine Instanz, die bei mir persistent im Hintergrund läuft?

das frage ich mich auch.
Ich vertrete persönlich sogar die Überzeugung, dass *ein einziger* ausgefeilter Virenscanner vollkommen genügt. Laien oder unbedarfte User sind damit aber in der Regel überfordert.

Ich werde zwar hier regelmäßig wegen dieser Meinung für verrückt gehalten, aber damit kann ich umgehen. ;-)

a) bei Spam-Mails mit verseuchten Anhängen.
Bei a) brauche ich keine Warnung, wird eh geloescht.

Richtig. Warum Beat in diesem Zusammenhang irgendeinen Cache erwähnt, ist mir allerdings schleierhaft - meine Mailclients haben keinen Cache.

b) oft nur einen falschen Alarm (z.B. trägt bei mir von 50.000 verarbeiteten JPGs eines eine verdächtige Signatur).
b) ist definitiv kein Virus und nervt.

Seh ich auch so. Zumal eine JPEG-Grafik definitiv keinen ausführbaren Code enthält, also kann sie meinetwegen Signaturen haben, soviel sie will.

Ausserdem habe ich nur 384 MB RAM und kann nicht aufrüsten.

Huch. Was ist das für ein Rechner? "Will nicht aufrüsten" könnte ich ja noch akzeptieren, aber "kann nicht"?

AntiVir braucht ueber 60 davon. Darum die Frage!

Das ist in der Tat viel für ein Programm, das eigentlich möglichst unauffällig sein soll.

So long,
 Martin

[Beat]

Aber wozu brauche ich eine Instanz, die bei mir persistent im Hintergrund läuft?
das frage ich mich auch.
Ich vertrete persönlich sogar die Überzeugung, dass *ein einziger* ausgefeilter Virenscanner vollkommen genügt. Laien oder unbedarfte User sind damit aber in der Regel überfordert.
Ich werde zwar hier regelmäßig wegen dieser Meinung für verrückt gehalten, aber damit kann ich umgehen. ;-)

Nein nein.
Ich erkäre mir bei dir das so:

<zitat>
Nach einiger Zeit lässt die Leistungsfähigkeit von Brain.exe ab. Dies geschieht aber erst nach durchschnittlich 50 Jahren Laufzeit. Durch andauernde Updates und neuen Informationen ist es Brain.exe nach dieser Zeit leider nicht mehr möglich, korrekt zu arbeiten. Brain.exe beendet sich selbstständig nach durchschnittlich 78 Jahren mit der Meldung "Brain.exe - EOL".
</zitat>

;))))))

mfg Beat

[Patrick Andrieu]

Hallo Beat!

Nach einiger Zeit lässt die Leistungsfähigkeit von Brain.exe ab. Dies geschieht aber erst nach durchschnittlich 50 Jahren Laufzeit.

Ich habe Brain.exe ...10.58, die 50 Jahre Laufzeit sind also bald erreicht... Muss ich mir sorgen machen?

Wollte schon immer ein Upgrade auf MasterMind.exe machen, ist mir aber nie richtig gelungen (Für dieses Upgrade steht nicht genug Speicherplatz zur Verfügung)...

Viele Grüße aus Frankfurt/Main,
Patrick

[Beat]

Nach einiger Zeit lässt die Leistungsfähigkeit von Brain.exe ab. Dies geschieht aber erst nach durchschnittlich 50 Jahren Laufzeit.

Ich habe Brain.exe ...10.58, die 50 Jahre Laufzeit sind also bald erreicht... Muss ich mir sorgen machen?
Wollte schon immer ein Upgrade auf MasterMind.exe machen, ist mir aber nie richtig gelungen (Für dieses Upgrade steht nicht genug Speicherplatz zur Verfügung)...

Ja virtueller Speicher, die Suche nach dem Heiligen Gral etc...
altes nie endendes Thema...

;)

mfg Beat

[Daniel Thoma]

Hallo Martin,

Ich vertrete persönlich sogar die Überzeugung, dass *ein einziger* ausgefeilter Virenscanner vollkommen genügt.

Ausnahmsweise stimme ich Dir da sogar zu ;-)
Das gilt evtl. nicht mehr, wenn man sehr verbreitete Browser oder Mailprogramme, insbesondere solche von Microsoft, einsetzt, wo schon ab und an mal das Ansehen einer Mail oder einer Webseite reichen kann, um irgend einen Wurm auszuführen.

Seh ich auch so. Zumal eine JPEG-Grafik definitiv keinen ausführbaren Code enthält, also kann sie meinetwegen Signaturen haben, soviel sie will.

Das ist nicht ganz richtig. Grundsätzlich können Daten in jeder Art von Datei in einem Anzeigeprogramm einen Pufferüberlauf erzeugen, der dann dazu führt, dass Daten ausgeführt werden. Bei diversen Bildbibliotheken sind solche Fehler durchaus schon vorgekommen.

Grüße

Daniel

[Cheatah]

Hi,

Zumal eine JPEG-Grafik definitiv keinen ausführbaren Code enthält,

mal abgesehen davon, dass dies falsch ist: Woher weißt Du, dass es sich bei etwas um eine JPEG-Grafik handelt?

Cheatah

[Detlef G.]

Hallo Cheatah

mal abgesehen davon, dass dies falsch ist: Woher weißt Du, dass es sich bei etwas um eine JPEG-Grafik handelt?

Ist doch ganz winfach: Weil da hinten .jpg dransteht! ;)

Auf Wiederlesen
Detlef

[Der Martin]

Hallo,

Zumal eine JPEG-Grafik definitiv keinen ausführbaren Code enthält,
mal abgesehen davon, dass dies falsch ist

Präzisiere das bitte. Das JPEG-Dateiformat (bzw. die Spezifikation, die dahintersteht) sieht an keiner Stelle innerhalb der Daten ausführbaren Programmcode vor. Wäre ja auch unsinnig, wo doch das JPEG-Format plattformübergreifend sein soll und schon deshalb keinen Code enthalten *kann*.
Dass man ungeachtet einer Spezifikation jede Sequenz von Bytes auch als Programmcode interpretieren *kann*, steht auf einem anderen Blatt. Aber hier geht es um den Kontext "Daten als Grafik interpretieren".

Woher weißt Du, dass es sich bei etwas um eine JPEG-Grafik handelt?

Weil sie in dem Moment dazu wird, in dem man versucht, einen Wust von Bytes als JPEG-Grafik zu interpretieren. Äußere Merkmale (z.B. Dateiname oder MIME-Type) begünstigen dabei die Absicht, das auch zu tun.

Schönes Wochenende noch,
 Martin

[Cheatah]

Hi,

Zumal eine JPEG-Grafik definitiv keinen ausführbaren Code enthält,
mal abgesehen davon, dass dies falsch ist
Präzisiere das bitte. Das JPEG-Dateiformat (bzw. die Spezifikation, die dahintersteht) sieht an keiner Stelle innerhalb der Daten ausführbaren Programmcode vor.

und wer zwingt einen Bösewicht, sich an eine Spezifikation zu halten? Siehe Daniels Posting.

Woher weißt Du, dass es sich bei etwas um eine JPEG-Grafik handelt?
Weil sie in dem Moment dazu wird, in dem man versucht, einen Wust von Bytes als JPEG-Grafik zu interpretieren.

Genau. Und der- bzw. dasjenige, das diese Interpretation vornimmt, kann beliebige Fehler enthalten. Damit diese nicht zum Tragen kommen, gibt es Virenscanner, die verhindern sollen, dass schadhafte Datenkonglomerate an etwas weitergereicht werden, das dann ein Problem verursachen können. Es ist *absolut* egal, ob sich etwas JPEG nennt - oder es auch ist, was man im übrigen erst durch eine Interpretation erkennen kann, die verfrüht durchzuführen zu verhindern ist. Mit anderen Worten:

Daten sind Daten. Es gilt sie zu prüfen, egal ob sie irgend einem Format angehören *könnten*, welches bei *korrekter* Handhabung gefahrfrei ist. Immer. Ohne Ausnahme.

Cheatah

[Der Martin]

Hallo,

und wer zwingt einen Bösewicht, sich an eine Spezifikation zu halten?

niemand. Aber wenn er das nicht tut, wird auch das Stück Software, das die Daten empfängt und auswertet, irgendwann feststellen: "Das ist kein Jim Be^W^WJPEG".

Woher weißt Du, dass es sich bei etwas um eine JPEG-Grafik handelt?
Weil sie in dem Moment dazu wird, in dem man versucht, einen Wust von Bytes als JPEG-Grafik zu interpretieren.
Genau. Und der- bzw. dasjenige, das diese Interpretation vornimmt, kann beliebige Fehler enthalten.

Sicher. Das gilt dann aber ebenso für den Virenscanner.  :-P

Daten sind Daten. Es gilt sie zu prüfen, egal ob sie irgend einem Format angehören *könnten*, welches bei *korrekter* Handhabung gefahrfrei ist. Immer. Ohne Ausnahme.

Sag' ich doch.

So long,
 Martin

[Cheatah]

Hi,

und wer zwingt einen Bösewicht, sich an eine Spezifikation zu halten?
niemand. Aber wenn er das nicht tut, wird auch das Stück Software, das die Daten empfängt und auswertet, irgendwann feststellen: "Das ist kein Jim Be^W^WJPEG".

ja. Ich würde sogar soweit gehen zu behaupten, dass genau das das Ziel des Bösewichts wäre.

Genau. Und der- bzw. dasjenige, das diese Interpretation vornimmt, kann beliebige Fehler enthalten.
Sicher. Das gilt dann aber ebenso für den Virenscanner.  :-P

Deswegen interpretiert er die Daten ja auch nicht ;-)

Daten sind Daten. Es gilt sie zu prüfen, egal ob sie irgend einem Format angehören *könnten*, welches bei *korrekter* Handhabung gefahrfrei ist. Immer. Ohne Ausnahme.
Sag' ich doch.

Nein, Du hast das Gegenteil davon gesagt, nämlich dass ein JPEG unbedenklich ist und dabei in einen Kanon eingestimmt, der das Scannen entsprechender Dateien als unnötig bezeichnet. Meine Aussage ist, dass das Scannen *aller* Daten nötig ist.

Cheatah

[Der Martin]

Moin,

und wer zwingt einen Bösewicht, sich an eine Spezifikation zu halten?
niemand. Aber wenn er das nicht tut, wird auch das Stück Software, das die Daten empfängt und auswertet, irgendwann feststellen: "Das ist kein Jim Be^W^WJPEG".
ja. Ich würde sogar soweit gehen zu behaupten, dass genau das das Ziel des Bösewichts wäre.

dann wäre er als Bösewicht aber ein Versager. Denn dann hätte er nur gezeigt, dass die verwendete Anzeigesoftware fehlerhafte Eingabedaten erkennt und abweist oder ignoriert, so wie es sein soll.
War es nicht eher das Ziel des Bösewichts, dass die Anwendung bestimmte Fehler *nicht* erkennt, um damit ein vorhersehbares und ausnutzbares Fehlverhalten eben dieser Anwendung zu provozieren?

[...] kann beliebige Fehler enthalten.
Sicher. Das gilt dann aber ebenso für den Virenscanner.  :-P
Deswegen interpretiert er die Daten ja auch nicht ;-)

Doch, das tut er. Nur eben nach anderen Gesichtspunkten. Er untersucht sicher nicht, ob der Datenstrom eine korrekte JPEG-Grafik darstellt (dazu müsste er ja die Spezifikation von Tausenden von Dateitypen kennen), sondern nur, ob er verdächtige oder als "bösartig" bekannte Muster aufweist.

Sag' ich doch.
Nein, Du hast das Gegenteil davon gesagt, nämlich dass ein JPEG unbedenklich ist und dabei in einen Kanon eingestimmt, der das Scannen entsprechender Dateien als unnötig bezeichnet. Meine Aussage ist, dass das Scannen *aller* Daten nötig ist.

Du hast gesagt:

Daten sind Daten. Es gilt sie zu prüfen, egal ob sie irgend einem Format angehören *könnten*, welches bei *korrekter* Handhabung gefahrfrei ist.

Und dem habe ich zugestimmt. Das Prüfen der Daten, ob sie einem bestimmten Format angehören, ist Aufgabe der jeweiligen Zielsoftware und fällt bei der Interpretation der Daten gegen eine Spezifikation ganz automatisch als Nebenprodukt ab. Eine Verletzung der Spec ist entweder egal und produziert nur unsinnige Ergebnisse; oder sie führt dazu, dass die Interpretation an Formalitäten scheitert. Dieser Arbeitsschritt ist gefahrfrei, solange nicht die Daten selbst Programmcode in irgendeiner Weise enthalten (z.B. Scripte, Makros), der bei der Interpretation ausgewertet und "ausgeführt" wird. Eine *zusätzliche* Prüfung durch einen Virenscanner halte ich für ebenso überflüssig wie mit der Taschenlampe nachzusehen, ob die Deckenlampe auch wirklich aus ist.

Schönen Sonntag noch,
 Martin

[Cheatah]

Hi,

niemand. Aber wenn er das nicht tut, wird auch das Stück Software, das die Daten empfängt und auswertet, irgendwann feststellen: "Das ist kein Jim Be^W^WJPEG".
ja. Ich würde sogar soweit gehen zu behaupten, dass genau das das Ziel des Bösewichts wäre.
dann wäre er als Bösewicht aber ein Versager.

nicht, wenn er das "irgendwann" in seinem Sinne zu steuern vermag.

War es nicht eher das Ziel des Bösewichts, dass die Anwendung bestimmte Fehler *nicht* erkennt, um damit ein vorhersehbares und ausnutzbares Fehlverhalten eben dieser Anwendung zu provozieren?

Nö. Es reicht, wenn es zu spät erkannt wird.

Sicher. Das gilt dann aber ebenso für den Virenscanner.  :-P
Deswegen interpretiert er die Daten ja auch nicht ;-)
Doch, das tut er. Nur eben nach anderen Gesichtspunkten. Er untersucht sicher nicht, ob der Datenstrom eine korrekte JPEG-Grafik darstellt (dazu müsste er ja die Spezifikation von Tausenden von Dateitypen kennen), sondern nur, ob er verdächtige oder als "bösartig" bekannte Muster aufweist.

Er untersucht. Er interpretiert nicht.

Sag' ich doch.
Nein, Du hast das Gegenteil davon gesagt, [...]
Du hast gesagt: [...]
Und dem habe ich zugestimmt.

Ich bezog mich auf den Beginn dieses Teilthreads, bei dem Du eine Äußerung tatest, die ich aus Sicherheitsgründen für kritisch halte.

Das Prüfen der Daten, ob sie einem bestimmten Format angehören, ist Aufgabe der jeweiligen Zielsoftware und fällt bei der Interpretation der Daten gegen eine Spezifikation ganz automatisch als Nebenprodukt ab. Eine Verletzung der Spec ist entweder egal und produziert nur unsinnige Ergebnisse; oder sie führt dazu, dass die Interpretation an Formalitäten scheitert. Dieser Arbeitsschritt ist gefahrfrei, solange nicht die Daten selbst Programmcode in irgendeiner Weise enthalten (z.B. Scripte, Makros), der bei der Interpretation ausgewertet und "ausgeführt" wird.

Ich weise noch mal auf Daniels Posting hin, nach dem mir völlig unklar ist, wieso Du noch immer sowas behaupten kannst. Was Du hier schreibst ist schlicht und ergreifend falsch.

Eine *zusätzliche* Prüfung durch einen Virenscanner halte ich für ebenso überflüssig wie mit der Taschenlampe nachzusehen, ob die Deckenlampe auch wirklich aus ist.

Dann bleibt mir nur, Dir viel Glück zu wünschen ...

Cheatah

[Daniel Thoma]

Hallo Martin,

Erstmal eine Anmerkung zu einer falschen Grundannahme, die ihr beide hier macht: Eine gefährliche Datei muss nicht unbedingt die Spezifikation des entsprechenden Dateiformats verletzen, Programme haben auch genügend Fehler bezüglich der Interpretation völlig korrekter Daten. Die Daten werden in der Regel natürlich eher untypisch sein, wahrscheinlich sogar unsinnig (bezüglich des eigentlichen Zwecks des Dateiformats) aber nicht notwendigerweise unzulässig. Das aber nur am Rande.

Du hast letzten Endes zwei Argumente:

• Man kann die Angreifbarkeit direkt beheben, statt einen Virenscanner vorzuschalten, der die Ausnutzung verhindert.
• Der Virenscanner selbst kann auch angreifbar sein.
  Mit beiden Punkten hast Du prinzipiell recht.

Man kann ja zu nächst einmal zwei Szenarien unterscheiden, in denen ein Virenscanner hilfreich ist:

• Der Benutzer macht Fehler und öffnet gefährliche Dateien. Wenn man sich selbst sicher ist, dass einem das nicht passiert, hat man das Problem offensichtlich nicht.
• Die Software macht Fehler. Dieses Problem kann man alternativ dadurch lösen, dass man die Software immer rechtzeitig aktualisiert, sofern korrigierte Versionen immer rechtzeitig erreichbar sind.
  Beim zweiten Punkt bringt ein Virenscanner letzten Endes den Vorteil, dass man die gefährdete Software nicht so konsequent aktuell halten muss. Gerade wenn Systeme über kein automatisches Aktualisierungssystem verfügen, dass das für alle relevante Software zuverlässig übernimmt, ist das ein entscheidender Vorteil. Es wird in dem Fall sehr wahrscheinlich einfach nicht gelingen, immer alle Software beim Bekanntwerden von Lücken zu aktualisieren.
  Mit einem Virenscanner tauscht man also die Notwendigkeit, alle Software regelmäßig zu aktualisieren gegen die Notwendigkeit, den Virenscanner regelmäßig zu aktualisieren.
  Zusätzlich können Virenscanner natürlich auch noch teilweise vor noch unbekannten Lücken schützen. Da das aber wohl nur sehr eingeschränkt möglich ist, halte ich das für weniger relevant.

Grüße

Daniel

[Der Martin]

Hallo,

Du hast letzten Endes zwei Argumente:

• Man kann die Angreifbarkeit direkt beheben, statt einen Virenscanner vorzuschalten, der die Ausnutzung verhindert.
• Der Virenscanner selbst kann auch angreifbar sein.
  Mit beiden Punkten hast Du prinzipiell recht.

gut, mehr will ich ja schon gar nicht in Anspruch nehmen.

• Der Benutzer macht Fehler und öffnet gefährliche Dateien. Wenn man sich selbst sicher ist, dass einem das nicht passiert, hat man das Problem offensichtlich nicht.

Selbstverständlich tu ich das oft, schon aus reiner Forscher-Neugier. Aber dann immer auf einem isolierten Testrechner oder in einer virtuellen Maschine, so dass ich die Auswirkungen meines Tuns gefahrlos beobachten und analysieren kann.

• Die Software macht Fehler. Dieses Problem kann man alternativ dadurch lösen, dass man die Software immer rechtzeitig aktualisiert, sofern korrigierte Versionen immer rechtzeitig erreichbar sind.

Oder dadurch, dass man so alte Versionen der jeweiligen Software einsetzt, dass sie das jeweilige Problem noch gar nicht haben[*]. Das wäre mein Ansatz. Ich nutze nur unter massivem Zwang eine Software(-version), die nicht mindestens zwei bis drei Jahre alt ist, so dass ihre Bugs und Schwächen hinreichend bekannt sind. Und dann werde ich alles tun, um eine eventuelle automatische Aktualisierung zu verhindern.

Schönen Abend noch,
 Martin

[*] In den letzten fünf bis acht Jahren habe ich sowieso die Erfahrung gemacht, dass bei den meisten Softwareprodukten nichts Sinnvolles oder Nützliches mehr dazugekommen ist, sondern die Programme in erster Linie schwerfälliger, fetter und reicher an lästigen Nervensägen geworden sind. Für Browser gilt der erste Teil dieser Feststellung nur eingeschränkt, der zweite aber in vollem Umfang.

[Orlando]

Aber wozu brauche ich eine Instanz, die bei mir persistent im Hintergrund läuft?

Als Gehirnschrittmacher?

Roland

[Schuer]

Klar weiss ich, wozu ich einen Virenscanner unbedingt brauche: zum Scannen von Dateien, bevor ich sie öffne oder ausführe.

Folge dem weisen Kaninchen. *

Viele Grüße
_Dirk

(* Adaptiert, Quelle)