Hallo Euch,
ich habe zwei PC als Netzwerk mit Internetverbindungsfreigabe (T-DSL). Muß auf beiden PC Norten Firewall installiert sein oder reicht es auf dem Server?
Gruß Mausi!
ich habe zwei PC als Netzwerk mit Internetverbindungsfreigabe
(T-DSL). Muß auf beiden PC Norten Firewall installiert sein
oder reicht es auf dem Server?
Auf dem Server reicht das völlig.
CU
Caleb
ich habe zwei PC als Netzwerk mit Internetverbindungsfreigabe
(T-DSL). Muß auf beiden PC Norten Firewall installiert sein
oder reicht es auf dem Server?Auf dem Server reicht das völlig.
Verbose: Nein. Diese Desktop Firewall bringen nichts[1] ausser einem gefühl falscher Sicherheit. Aber das sagte ich wohl schon?
Sebastian
[1] Eventuell sind sie auch lehrreiches Spielzeug
ich habe zwei PC als Netzwerk mit Internetverbindungsfreigabe
(T-DSL). Muß auf beiden PC Norten Firewall installiert sein
oder reicht es auf dem Server?Auf dem Server reicht das völlig.
Verbose: Nein. Diese Desktop Firewall bringen nichts[1] ausser
einem gefühl falscher Sicherheit. Aber das sagte ich wohl
schon?[1] Eventuell sind sie auch lehrreiches Spielzeug
Hallo Sebastian!
Könntest Du das etwas ausführen?
Ich bin der Meinung, daß eine Personal Firewall durchaus eine Schutzfunktion bietet. Insbesondere ist hier der Schutz gegen abgehende Kommunikation vom eigenen Rechner zu nennen.
CU
Markus
Verbose: Nein. Diese Desktop Firewall bringen nichts
Könntest Du das etwas ausführen?
Ich bin der Meinung, daß eine Personal Firewall durchaus eine
Schutzfunktion bietet. Insbesondere ist hier der Schutz gegen
abgehende Kommunikation vom eigenen Rechner zu nennen.
das typische Windowssystem (95|58|ME):
1)
Keinerlei Benutzerverwaltung. Jedes Programm darf ersteinmal alles. Programm X kann die gesamte Netzwerkfunktionalität austauschen.
Jedes Programm kann direkt auf den Neztwerkrteiber zugreifen und Daten senden/empfangen.
Bei Mehrbenutzersystemen (NT, 2000) sollte das nicht ohne weitres möglich sein.
Konsequenz: Jedes Programm unter den „Home-Windows“-Rechnern kann die Firewall umgehen.
2)
Nur bestimmten Programmen wird der Zugriff auf das Netzwerk erlaubt.
Problem: Wie erkennt man diese Programme zuverlässig? An Namen explorer.exe? Sicher nicht. Und selbst wenn es gelingen sollte:
Es gibt unter Windows eine API (MAPI?), über die externe Programme - Word zum Beispiel - Outlook zum Mailversand nutzen können.
‚Hallo. Ich bin die Firewall. Outlook will ins Internet. Ist das gut?‘ - „Logisch!“
So könnte man problemlos Daten nach aussen bekommen.
3)
Eine Firewallist ein technisch anspruchsvolles Konzept. Ohne individuelle Konfiguration kaum sinnvoll. Dafür braucht man gewisse Kenntnisse von Nwetzwerktechnik (TCP/IP)
4)
Falsches Sicherheitsgefühl. „Ich habe auf soetwas geklickt und nun macht mein Compi Voodoo“ liest man hier - und anderswo erschreckend häufig. „dabei habe ich doch die Virus-Wall!“
Es können leider nur bekannte Viren erkannt werden - oder mnahe Verwandte. Bei neuen viren gibbet Probleme.
5)
Ich will Schutz vor Cookies!. Ein hinreichend intelligentetr Filter könnte entsprechendes aus dem Datenstrom herausfischen. Cookies, ActiveX, mailanhänge mit Viren. Sobald verschlüsselung (https, S/MIME, PGP) ins Spiel kommt, fällt man naseunten.
„aber ich kann doch keine gefährlichen Mails oder Applets bekommen“
6)
Schutz vor „Trojanern“ gibts nur, indem man sie nicht installiert. Also keine unbekannten Programme ausführt.
7)
Schutz vor PortScans
„Connection to SevenDeath Port from 127.0.0.19“
Huch! da hat mich jemand hacken wollen.
Auch das ist Quatsch. Sofern hinter dem Port kein Trojaner lauscht, wird ein Connect nur zum Versuch.
Und der zu einem Erfolg der Personal Firewall Marketing-Fuzzies („meine Firewall für nur 100 Maak kat mich schon wieder vor der Apokalypse gerettet“)
Also: Window sicher konfigurieren reicht.
Das heisst: Keine Programme aus unsichere Quelle installieren (da gehört letzlich auch Zonealarm dazu. Wer weiss, ob es nicht auch daten verschickt? http://www2.little-idiot.de/firewall/zusammen-163.html)
Datei- und Druckerfreigabe vom DFÜ-Netzwerk entfernen.
Hm. das wars, was mir spontan einfällt.
Sebastian,
der noch nie[1] eine Personal Firewall getestet hat sondern sie nur aus Berichten/Anfragen kennt.
[1] Nicht zuletzt mangels Windows.
1 „Gefällt mir“
Hi Sebastian!
Also jetzt tust DUden armen kleinen Firewalls aber unrecht! *einLanzebrech*
Es gibt auch professionelle Lösungen die Schutz bieten, gut 100%ig nicht aber es geht ja drum die ganzen „MöchtgernaiengrosserHackersein“ einen Riegel vorzuschieben. Bei nem echtem Profi hast eh keine Chance.
Ich mein damit auch keine Personalfirewall sondern einen dezidierden Rechner mit meinentwegen NetBSD drauf, den kann man schon ganz schön zuschrauben und wenn man die logs regelmäßig auswertet dann sollte die auch halten.
Klar nix für daheim! So schlecht find IchZonealarm gar nicht, vorzugsweise die Pro Version.
Gruss
MICHA
So schlecht find IchZonealarm gar nicht,
vorzugsweise die Pro Version.
Auf Grundlage von was „findest“ Du?
Welche Anforderungen hast du genau?
„Ich finde, men Motorrad ist total sicher, weil es eine gute Polsterung des Lenkers hat“.
das typische Windowssystem (95|58|ME):
1)
Keinerlei Benutzerverwaltung. Jedes Programm darf ersteinmal
alles. Programm X kann die gesamte Netzwerkfunktionalität
austauschen.Jedes Programm kann direkt auf den Neztwerkrteiber zugreifen
und Daten senden/empfangen.Bei Mehrbenutzersystemen (NT, 2000) sollte das nicht ohne
weitres möglich sein.Konsequenz: Jedes Programm unter den „Home-Windows“-Rechnern
kann die Firewall umgehen.
Das ist ein ganz grundliegendes Problem von Software und IMHO nicht durch Firewalls zu lösen. Woher weiss ich, daß die Software nur das tut, was dokumentiert ist?
Auch, wenn ich unter Linux Software installieren muß, bin ich nicht besser dran als z.B. unter Win2k. Benötige ich root-Rechte zur Installation, so bin ich auf die Gutmütigkeit des PRogramms angewiesen. Wenn man dies auf die Spitze treibt, kann man also noch nicht einmal sicher sein, daß die auf einem dedizierten Rechner eingerichtete Firewall keine „Zusatzfunktionen“ hat. Zugegebenernmaßen ist das Risiko unter WIn9x aber ungleich höher, da man praktisch ständig mit root-Rechten arbeitet.
2)
Nur bestimmten Programmen wird der Zugriff auf das Netzwerk
erlaubt.Problem: Wie erkennt man diese Programme zuverlässig? An Namen
explorer.exe? Sicher nicht. Und selbst wenn es gelingen
sollte:
Bei einer sinnvollen Lösung wird nicht nur der Dateiname, sondern der gesamte Pfad harangezogen.
Wie löst Du dieses Problem bei einer dedizierten Lösung?
Ich finde es wesentlich, bei einer Personal Firewall z.B. dem Webbrowser outbound http traffic zu gestatten, während andere Programme dies nicht dürfen. Eine solche Konfiguration ist mit einer separat aufgebauten Firewall nicht möglich!
Es gibt unter Windows eine API (MAPI?), über die externe
Programme - Word zum Beispiel - Outlook zum Mailversand
nutzen können.‚Hallo. Ich bin die Firewall. Outlook will ins Internet. Ist
das gut?‘ - „Logisch!“
Mangels Outlook bin ich mir nicht sicher, welches Programm in diesem Fall gemeldet würde. Wird für die Verwendung der MAPI wirklich eine Instanz von Outlook erzeugt oder werden nur DLLs geladen?
3)
Eine Firewallist ein technisch anspruchsvolles Konzept. Ohne
individuelle Konfiguration kaum sinnvoll. Dafür braucht man
gewisse Kenntnisse von Nwetzwerktechnik (TCP/IP)
Dies ist jedoch kein Problem einer Personal Firewall. Diese Kenntnisse benötige ich auch und insbesondere bei komplexeren Lösungen.
Man darf sich natürlich nicht durch die einfache Installation verleiten lassen. Hier würde ich mir wünschen, daß die Personal Firewalls in einem Zustand ausgeliefert werden, in dem sie keinen Traffic zulassen. So würde man gezwungen zu konfigurieren. Das liegt aber offenbar nicht im Interesse der Unternehmen, die die Software vertreiben. Es besteht also in der Tat die Gefahr, das Sicherheit vorgetäuscht wird.
5)
Ich will Schutz vor Cookies!. Ein hinreichend intelligentetr
Filter könnte entsprechendes aus dem Datenstrom herausfischen.
Cookies, ActiveX, mailanhänge mit Viren.
Aktive Inhalte und Cookies nach differenzierten Regeln filtern zu können stellt für mich ein wesentliches Feature einer Personal Firewall dar.
Einen wirklich guten Virenscanner habe ich jedoch bis jetzt in keiner Firewall gefunden. Hier sehe ich auch nicht unbedingt einen Sinn. Wenn ein von der Firewall unabhängiger Scanner alle Schreibzugriffe auf die Platte überwacht, dann ist das mindestens genau so zuverlässig. Hier halte ich eine Bindung der Funktion an die Firewall nicht für sinnvoll.
Sobald
verschlüsselung (https, S/MIME, PGP) ins Spiel kommt, fällt
man naseunten.
„aber ich kann doch keine gefährlichen Mails oder
Applets bekommen“
Es hat seinen Grund, daß der Browser einen Warnhinweis liefert, sobald man eine SSL-Verbindung aufbaut. Das angezeigte Zertifikat des Servers weist den Inhaber aus. Du mußt selbst entscheiden, ob Du ihm vertraust.
6)
Schutz vor „Trojanern“ gibts nur, indem man sie nicht
installiert. Also keine unbekannten Programme ausführt.
Dieses Problem wird durch keine Firewall gelöst - so teuer sie auch sein mag! Ab einem gewissen Punkt ist der Mensch das schwächte Glied in der Kette.
7)
Schutz vor PortScans
„Connection to SevenDeath Port from 127.0.0.19“
Diese übertriebene Angst vor Portscans ist mir auch ein Dorn im Auge, wenn sich noch zu Marketingzwecken mißbraucht wird. Andererseit schärft es ein wenig das Bewußtsein für Sicherheitsprobleme im Netz - wenn die wirkliche Bedrohung auch nicht durch einen Protscan entsteht.
CU
Markus
Hallo, Markus!
Jedes Programm kann direkt auf den Neztwerkrteiber zugreifen
und Daten senden/empfangen.
[…]
Konsequenz: Jedes Programm unter den „Home-Windows“-Rechnern
kann die Firewall umgehen.Das ist ein ganz grundliegendes Problem von Software
… auf Betriebssystemen ohne abgestufte Rechtevergabe
und IMHO
nicht durch
„Personal“_
Firewalls zu lösen. Woher weiss ich, daß die
Software nur das tut, was dokumentiert ist?
Wenn Du Dir deine Setup.exe herunterlädst, vermutlich garnicht.
Auch, wenn ich unter Linux Software installieren muß, bin ich
nicht besser dran als z.B. unter Win2k.
Jein.
Also. Prinzipiell ist unter Win 2000 eine sichere Konfiguration einer Firewall möglich, eben wegen des Rechtesystems.
Nun zum Problem: Was macht die Firewall? Solange man sich ein Binary herunterlädt, ist das nicht nachzuvollziehen. Dieses ist in Windowskreisen die übliche Installationsmethode.
Unter Linux ist es üblicher, sich denn Quellcode zu laden und das Programm aus dem Quellcode auf dem eigenen Rechner zu kompilieren.
Man hat also den Quellcode und hat die Möglichkeit nachzuvollziehen, was das Programm eigentlich tut.
Wie man das im detail macht, sei dahingestellt. Ob man das selberbeherrscht, ob man jemanden dafür bezahlt oder ob man darauf vertraut, daß von den vielen fähigen Leuten ein „Schmuu“ aufgedeckt werden würde.
Verallgemeinernd (!) hat man unter Linux diese Möglichkeit, unter Windows nicht.
Benötige ich
root-Rechte zur Installation, so bin ich auf die Gutmütigkeit
des PRogramms angewiesen. Wenn man dies auf die Spitze treibt,
kann man also noch nicht einmal sicher sein, daß die auf einem
dedizierten Rechner eingerichtete Firewall keine
„Zusatzfunktionen“ hat. Zugegebenernmaßen ist das Risiko unter
WIn9x aber ungleich höher, da man praktisch ständig mit
root-Rechten arbeitet.
Und den Quellcode nicht hat…
2)
Nur bestimmten Programmen wird der Zugriff auf das Netzwerk
erlaubt.
Wie löst Du dieses Problem bei einer dedizierten Lösung?
Ich finde es wesentlich, bei einer Personal Firewall z.B. dem
Webbrowser outbound http traffic zu gestatten, während andere
Programme dies nicht dürfen. Eine solche Konfiguration ist mit
einer separat aufgebauten Firewall nicht möglich!
Einverstanden. Hier hilft tatsächlich nur, keine „Mogelpackungen“ zu installieren. Zumindest unter Linux kein Problem (s.o.).
Und wozu brauche ich 6 Downloadmanager, die sich hauptsächlich in ihrer Absturzgeschwindigkeit unterscheiden 
Es gibt unter Windows eine API (MAPI?), über die externe
Programme - Word zum Beispiel - Outlook zum Mailversand
nutzen können.
Mangels Outlook bin ich mir nicht sicher, welches Programm in
diesem Fall gemeldet würde. Wird für die Verwendung der MAPI
wirklich eine Instanz von Outlook erzeugt oder werden nur DLLs
geladen?
Ehrlich gesagt bin ich da überfragt. Aber das Problem sollte sich auf den Explorer übertragen lassen.
verknüfung mit http://www.boese-hacker.de/cgi/crackme?bank=postbank…
3)
Eine Firewallist ein technisch anspruchsvolles Konzept. Ohne
individuelle Konfiguration kaum sinnvoll. Dafür braucht man
gewisse Kenntnisse von Nwetzwerktechnik (TCP/IP)Dies ist jedoch kein Problem einer Personal Firewall.
Um die Meldungen einer Firewall einschätzen zu können und zu wissen, was eine FW kann und was nicht, ist eine „Schiebereglereinstellung“ zwar 'irgendwie k3wl" aber auch verdammt sinnfrei.
Diese
Kenntnisse benötige ich auch und insbesondere bei komplexeren
Lösungen.
ACK
Man darf sich natürlich nicht durch die einfache Installation
verleiten lassen. Hier würde ich mir wünschen, daß die
Personal Firewalls in einem Zustand ausgeliefert werden, in
dem sie keinen Traffic zulassen. So würde man gezwungen zu
konfigurieren.
‚Komisch. Das lustige Hallo.exe ist erst richtig lustig, wenn die SupaDupaSoftwall deaktiviert ist‘
‚Immer wenn ich Java gucken will, muß ich die Firewall beenden‘
Das liegt aber offenbar nicht im Interesse der
Unternehmen, die die Software vertreiben. Es besteht also in
der Tat die Gefahr, das Sicherheit vorgetäuscht wird.
Das ist Problem. Sicherheit wird vorgetäuscht. Gefährdung auch.
Aktive Inhalte und Cookies nach differenzierten Regeln filtern
zu können stellt für mich ein wesentliches Feature einer
Personal Firewall dar.
Für mich nicht. Für Cookies habe ich meinen Browser, aktive Inhalte sind meist deaktiviert. (Hier brauchts zumindest JavaScript. *Grummel*)
Einen wirklich guten Virenscanner habe ich jedoch bis jetzt in
keiner Firewall gefunden. Hier sehe ich auch nicht unbedingt
einen Sinn.
Ich behaupte einfach mal ketzerisch: es gibt keinen ‚wirklich guten Virenscanner‘ und es wird nie einen geben.
Wenn ein von der Firewall unabhängiger Scanner
alle Schreibzugriffe auf die Platte überwacht, dann ist das
mindestens genau so zuverlässig. Hier halte ich eine Bindung
der Funktion an die Firewall nicht für sinnvoll.
Äh. Alle Schreibzugriffe? das ist viel. Wie wäre es damit, auf die Ausführung fremden Codes einfach zu verzichten?
Sobald
verschlüsselung (https, S/MIME, PGP) ins Spiel kommt, fällt
man naseunten.
„aber ich kann doch keine gefährlichen Mails oder
Applets bekommen“Es hat seinen Grund, daß der Browser einen Warnhinweis
liefert, sobald man eine SSL-Verbindung aufbaut. Das
angezeigte Zertifikat des Servers weist den Inhaber aus. Du
mußt selbst entscheiden, ob Du ihm vertraust.
Ich habe es nicht ausprobiert. Aber prinziepiell gibt es verschiedene Möglickeiten der https-Übertragung: verschlüsselt, signiert oder beides.
Kommt die Warnung auch, wenn man nur verschlüsselt?
Egal. Auch auf vertrauenswürdige Server können „böse Applets“ landen. Microsoft wurde bereits gehackt.
und: Ich denke bei der Warnung nicht automatisch daran, daß nun keine Viren mehr erkannt werden können. Ob das bei dem durschschnittlichen Verwendervon PF auch so ist, weiss ich nicht
und: Ich habe keine Quelle, aber es gab vor ein paar Monaten einen Bericht, wie haarsträubend einfach es ist, sich bei VeriSign und Konsorten ein „lecker Zertifikat“ zu holen.
Dieses Problem wird durch keine Firewall gelöst - so teuer sie
auch sein mag! Ab einem gewissen Punkt ist der Mensch das
schwächte Glied in der Kette.
Ja.
Wie heisst es immer so schön:
„Man kann ein soziales Problem nicht durch Technik lsen, egal wieviel Geld man draufwirft“
Man kann es dem User aber immerhin schwer machen, Mistsoftware zu installieren.
7)
Schutz vor PortScans
„Connection to SevenDeath Port from 127.0.0.19“Diese übertriebene Angst vor Portscans ist mir auch ein Dorn
im Auge, wenn sich noch zu Marketingzwecken mißbraucht wird.
ACK.
Andererseit schärft es ein wenig das Bewußtsein für
Sicherheitsprobleme im Netz - wenn die wirkliche Bedrohung
auch nicht durch einen Protscan entsteht.
… und eine Einstllung der Ports auf „Stealth“ (was auch immer die Marketingidioten darunter verstehen) dem DAS (Dümmster Anzunehmender Port-Scanner) kein Iota an Sicherheit bringt sofern er nicht endlich seine Dateifreigabe abschaltet und nicht auf alles klickt, was nicht bei „drei“ auf den Bäumen sitzt.
Sebastian
Hi Sebastian,
AUf Grund von „selber ausprobiert“ find Ich Zonealarm gar nicht so schlecht! Ist für jeden DAU kinderleicht zu konfigurieren, ok
nix für prof. Einsatz, das hab Ich aber auch nie behauptet.
Und besser als nix is sie allemal, zudem die „normale“ Version Freeware ist.
Den Kommentar mit dem Motorrad…hmmm find Ich den lustig?!?
Naja is bestimmt nett Dein „Motorad“, ist es eins von „BIG“ oder doch von „Lego“??
Nich bös sein!
Grüßla
MICHA
AUf Grund von „selber ausprobiert“ find Ich Zonealarm gar
nicht so schlecht!
Erfolgskriterium war genau was?
Ist für jeden DAU kinderleicht zu
konfigurieren, ok
Also deshalb gut.
nix für prof. Einsatz, das hab Ich aber auch nie behauptet.
Und besser als nix is sie allemal, zudem die „normale“ Version
Freeware ist.
Klar. Mir kann ja nix passieren. Meinen Beitrag zum Personal Filht Security System hast Du nicht gelesen, oder?
Den Kommentar mit dem Motorrad…hmmm find Ich den lustig?!?
Bei Deinem eigenwilligen Verständnis von Sicherheit will ich besser nicht drüber nachdenken.