Hallo, ich mache bei jedem Hochfahren des Systems automatisch ein Backup mit Timeshift auf einer externen Platte. Ich habe den root-Account (der, der bei der Installation automatisch angelegt wird) und meinen Standard-Account, das Backupen läuft aber mit root-Rechten. Wenn ich mir einen Virus hole, der alles verschlüsselt, lediglich auf meinem Account, kann mein Backup dann auch verschlüsselt werden oder betrifft das dann nur meine Daten auf der lokalen Platte? Gruß PS: Ich habe ein Linux Mint 19
Backup schrieb: > PS: Ich habe ein Linux Mint 19 Gandcrap und konsorten dürfte für Linux (noch) keine große gefahr darstellen. https://www.heise.de/security/meldung/Erpressungstrojaner-Gandcrab-verbreitet-sich-ueber-gefaelschte-Bewerbungsmails-4154167.html Den größten Anteil von Betriebssystemen machen noch Android und Windows aus. Dann kommen die Unixoide (OS-X/IOS/Linux/BSD) und dann zum Schluss die ganzen anderen. https://de.statista.com/statistik/daten/studie/157902/umfrage/marktanteil-der-genutzten-betriebssysteme-weltweit-seit-2009/ https://www.giga.de/extra/linux/specials/brauche-ich-fuer-linux-einen-antivirus/ Im letzten Jahrzehnt (eher länger) hatte ich noch nie einen Virus. Und ich nutze ausschließlich Android und Linux. (Debian)
:
Bearbeitet durch User
Backup schrieb: > Hallo, > ich mache bei jedem Hochfahren des Systems automatisch ein Backup mit > Timeshift auf einer externen Platte. Ich habe den root-Account (der, der > bei der Installation automatisch angelegt wird) und meinen > Standard-Account, das Backupen läuft aber mit root-Rechten. Wenn ich mir > einen Virus hole, der alles verschlüsselt, lediglich auf meinem Account, > kann mein Backup dann auch verschlüsselt werden oder betrifft das dann > nur meine Daten auf der lokalen Platte? Ich finde, die Sicherheit von der Verbreitung eines Systems abhängig zu machen, wie Kilo S. anführt, führt zu nichts. Ein unsicheres System kann, wenn es anfällig für Schadsoftware ist, also Sicherheitslücken enthält, schließlich auch dann zum Angriffsziel werden, wenn es eine geringe Verbreitung hat. Sicherheit wird nicht durch obscurity gewonnen. Daher werde ich zum Thema Sicherheit prinzipiell etwas sagen. Wenn der Standardaccount, also der mit einfachen Rechten, kompromittiert wurde, dann wird in der Regel weitere Schadsoftware nachgeladen um mit dieser andere Sicherheitslücken auszunutzen, die es dem Angreifer ermöglichen root Rechte zu erlangen. Und wenn ein Angreifer erst einmal lokale Rechte, durch Kompromittierung eines einfachen Benutzeraccounts erreicht hat, dann ist es oftmals wesentlich einfacher, anschließend root Rechte zu erlangen. Das liegt daran, weil die mögliche Angriffsfläche viel größer ist, wenn man im System erst einmal drin ist, als die Angriffsfläche, die von außen erreichbare Netzwerkdienste anbieten oder auf die Dummheit des Nutzers angewiesen sind, dass der bspw. unbekannte Anhänge öffnet. Die Backupmedien sollten vom Rechner getrennt sein, so dass diese nicht automatisch eingebunden werden können. Und wenn das System kompromittiert wurde, dann sollte man sich nicht auf den root Account verlassen und die letzten Daten auf das Backupmedium sichern, sondern besser ein nicht kompromittiertes System, z.b. ein Live System booten und die Sicherung der letzten Daten von dort durchführen. Eine andere Möglichkeit wäre ein zweiter Rechner, mit eigenem Betriebssystem und anderen Passwörtern, der sich die Daten vom Desktopsystem holt. D.h. das Desktopsystem stellt die Dateifreigaben zur Verfügung und der andere Rechner holt sich die Daten dann von diesem Desktopsystem. In diesem Fall hat der andere Rechner dann die Kontrolle über das Anlegen der Backups und nicht der Desktoprechner. Wenn der Desktoprechner kompromittiert wurde, dann ist der andere Rechner, sofern er nicht von der gleichen Sicherheitslücke betroffen ist, nicht betroffen. Anders wäre die andere Variante, bei der der andere Rechner ein Netzverzeichnis zur Verfügung stellt und der Desktoprechner die Daten da drauf schiebt, also selbst die Kontrolle über diesen Vorgang hat. In diesem Fall kann ein kompromittierter Desktoprechner natürlich auch die über das Netzwerk eingebundenen Freigaben kompromittieren. Im Falle von Schadsoftware mit Verschlüsselungsfunktion also bspw. verschlüsseln. > > PS: Ich habe ein Linux Mint 19 Steig lieber auf Debian Stable um, das ist bezüglich dem Thema Sicherheit wesentlich besser, als Linux Mint. Linux Mint ist ein Fork von Ubuntu und damit hat es genauso, wie Ubuntu Pakete, die nach Release nicht mehr offiziell gepflegt werden und somit Sicherheitslücken enthalten können. In Ubuntu sind darin insbesondere die Repositories Universe und Multiverse betroffen. Da Linux Mint die Pakete von Ubuntu nimmt, gilt das da genauso. Und die Debian Edition soll nicht mehr fortgeführt werden bzw. in den Linux Mint Hauptzweig münden, womit diese dann auch wieder bei Ubuntu als Quelle wäre. Lies übrigens auch noch das da: https://de.wikipedia.org/wiki/Linux_Mint#mintUpdate und das hier: https://de.wikipedia.org/wiki/Linux_Mint#Linux-Mint-Hack
Kilo S. schrieb: > Dann kommen die Unixoide (OS-X/IOS/Linux/BSD) und dann zum Schluss > die ganzen anderen. > > https://de.statista.com/statistik/daten/studie/157902/umfrage/marktanteil-der-genutzten-betriebssysteme-weltweit-seit-2009/ > > https://www.giga.de/extra/linux/specials/brauche-ich-fuer-linux-einen-antivirus/ Die ganzen Marktanteile täuschen ohnehin, da oftmals nur Systeme erfasst werden, die vom Nutzer gekauft werden. Was der Nutzer dann Zuhause bei sich installiert, wird oftmals gar nicht mehr berücksichtigt. Schaut man sich bspw. den Link bei statista an, dann ist es doch seltsam, dass Windows von 95 % Marktanteile auf 75 % an Marktanteile verliert, aber die anderen im Vergleich aufgestellten Systeme Mac OS X und Linux nur zusammen 14 % Marktanteile erobern konnten. Bei einer Differenz von 20 % fehlen da also 6 %. Wo sollen die hin, wenn es hier um Desktopsysteme geht? Die 6 % kann man also den Linux Installationen zuschieben. Schaut man sich die Webseite "Am i Unique" an, dann sieht es mit der Verbreitung auch schon ganz anders aus: https://amiunique.org/stats Die Verbreitung von Linux liegt demnach mit Mac OS X bei ca. etwas über 13 % gleichauf. Wird diese Webseite eher von IT affinen Leuten besucht? Vielleicht. Aber anderseits wird diese Webseite oft genug überall gepostet, so dass auch Laien darauf stoßen könnten.
Schaut man sich übrigens die Werte an, die die Browser Statistic so hergibt, dann hat Linux schon längst nicht mehr diese nur 2 % Marktanteile. Sondern liegt demnach bei relativ stabilen 6 %. https://www.w3schools.com/browsers/browsers_os.asp
Nenn doch nur mal EINEN einzigen verschlüsselungstrojaner für Linux! Mir ist in gut und gerne 12~ Jahren nicht einer unter gekommen. Für IOS/OS-X und Windows sieht das anders aus. Abgesehen davon muss da schon was "Interessantes" am system sein. Oder ein extrem gelangweilter "Hacker" bzw. ANGEHENDER Hacker dahinter stecken. Server sind was Linux angeht eher die Hauptziele, meist ist an denen aber auch eine unsichere Webanwendung oder ein ganz frischer Zero Day das einfallstor. Oder irgendwelche dateianhänge, die eingach ohne vorherige prüfung geöffnet werden. Nano schrieb: > Sicherheit wird nicht durch obscurity gewonnen. Eben, mein ROOT Account hat ein 18 Stelliges Passwort, Groß/Klein Zahlen und Sonderzeichen. Bios/UEFI hat ein Passwort und vor dem booten läuft erst mal Cryptsetup... Mein Useracccount hat zwar nur 10 stellen aber auch der will erst mal gecknackt werden. Das will ich sehen wie du das knackst! Eine Kopie (Mit DD Geklont) des Betriebssystem ist auf einer nicht im Rechner befindlichen SSD Festplatte (Wechselrahmen) deren Passwörter nach dem Klonen geändert wurden und die daten liegen auf einer mit einem weiteren 13 Stelligen Passwort verschlüsselten 1TB HDD im Rechner, ein Backup auf einer 2,5 Ext. USB mit 1TB und eigenem Passwort zur verschlüsselung. Und über die Maßnahmen meinen Rechner im eigenen Netzwerk "Unsichtbar" zu machen fangen wir gar nicht erst an. Sonst schreibe ich Morgen noch. Nano schrieb: > Sondern liegt demnach bei relativ stabilen 6 %. Was schon mal die "Richtigen" nur gelangweilt aufgähnen lässt. "Not enough targets, not enough loot"....
:
Bearbeitet durch User
Kilo S. schrieb: > Eben, mein ROOT Account hat ein 18 Stelliges Passwort, Groß/Klein Zahlen > und Sonderzeichen. Root Zugriff wird überbewertet. Das interessanteste, die Daten, kann man auch mit User Rechten abgreifen. Ein kompromittierter Browser, PDF Reader, Mail Client,... kann deine Daten ins Internet schicken oder lokal verschlüsseln. Das Backup System überschreibt dann unbemerkt das "gute" Backup mit den verschlüsselten Daten. Daher ist es wichtig, sich anzuschauen, welche Daten das Backup Programm jetzt kopiert. Wenn da viele Dateien bei sind, welche man nicht bearbeitet hat, ist was faul! Bei rsync sieht man das z.B. SELinux wäre hier im Desktop Bereich spannend, um sicher zu stellen, dass z.B. der Browser oder DHCP-Server nicht auf Dokumente zugreifen kann, dass ein PDF Reader keine Netzwerkverbindung aufbauen kann usw. Man könnte die Capabilities und Process Flags nutzen um "su" bzw. Suid-Flag zu deaktivieren. Android macht es vor.
A. K. schrieb: > KillDisk Mann! Verrate dem doch nix! Und trotzdem muss dazu erst mal das system selbst gehackt werden um mit KillDisk richtig schaden anzurichten. Wenn er grundlegende Sicherheitsmaßnahmen trifft macht es das dem Angreifer so schwer das er schnell die lust Verlieren wird. Es sei denn er weiß schon vorher ziemlich genau was er dort abgreifen kann. Wie das zb. bei Firmennetzwerken zu erwarten ist, die sind interessanter als jede Privatmaschine. https://www.welivesecurity.com/deutsch/2017/01/05/killdisk-torpediert-linux-loesegeld-hilft-nicht/
Dr. Sommer schrieb: > Root Zugriff wird überbewertet. Das interessanteste, die Daten, kann man > auch mit User Rechten abgreifen. Muss er halt auch erst mal rankommen. Klar ist es möglich, jedoch eher weniger verbreitet. Ich Schrieb ja bereits: Kilo S. schrieb: > Gandcrap und konsorten dürfte für Linux (noch) keine große gefahr > darstellen. NOCH!
:
Bearbeitet durch User
Nano schrieb: > Ich finde, die Sicherheit von der Verbreitung eines Systems abhängig zu > machen, wie Kilo S. anführt, führt zu nichts. Genau, zumal die Statistiken unvollständig sind, da - Linux nicht mit der Hardware mit gekauft wird, - Linux nicht nur auf Desktops läuft sondern mit erheblich höherer Verbreitung auf Servern, Routern usw. und gerade da könnte es sehr verlockend sein einzusteigen. Es wird auch versucht. Ständig. Ich habe seit ca. 10 Jahren einen Linux (Debian) Server im Internet. Always on, 24/7. Da wird permanent versucht einzubrechen. Jede Minute mehrfach. Aber es war noch keiner drin. Das System ist gegenüber dem Image unverändert. Woran kann das wohl liegen?
Kilo S. schrieb: > Oder ein extrem gelangweilter "Hacker" bzw. ANGEHENDER Hacker dahinter > stecken. Das ist alles egal wenn deine Daten weg sind.
Np R. schrieb: > Aber es war noch keiner drin. Das System ist gegenüber dem Image > unverändert. Woran kann das wohl liegen? Dass du vergessen hast, Wordpress darauf zu installieren. ;-)
100% sichere Backups gibt es eigentlich nicht, da man noch nicht weiß, wann das Übel aufgetreten ist. Deshalb sollte man auch ein paar alte Backups im Schrank liegen haben und diese nur schreibgeschützt für eventuelle Restores zur Verfügung stellen. Mit einem infizierten Format-Programm hatte ich mal einen "unendliche Geschichte" vor Jahren.
Angehängte Dateien:
-
20190415_081207.jpg
240 KB
A. K. schrieb: > Dass du vergessen hast, Wordpress darauf zu installieren. ;-) :-) man denke an die force-download.php https://www.exploit-db.com/exploits/15404 Lynuxschlau schrieb: > Das ist alles egal wenn deine Daten weg sind. Np R. schrieb: > Aber es war noch keiner drin. Das System ist gegenüber dem Image > unverändert. Woran kann das wohl liegen? Weil es eben nicht so einfach ist wie sich das manche vorstellen. Np R. schrieb: > Linux nicht nur auf Desktops läuft sondern mit erheblich höherer > Verbreitung auf Servern, Routern usw. > und gerade da könnte es sehr verlockend sein einzusteigen. Eher als auf privatrechnern/privaten routern. Betrifft aber auch wieder nur große infrastrukturen. Np R. schrieb: > Ich habe seit ca. 10 Jahren einen Linux (Debian) Server im Internet. > Always on, 24/7. Da wird permanent versucht einzubrechen. Jede Minute > mehrfach. Jupp, Dito. Meinen ersten server hatte ich mit 16, zuhause an der eigenen Leitung. Damals als Alternative zu ICQ mit DreamForge. War natürlich nur "Privat" also so maximal 20-30 Clients die da drauf verbunden waren. Später dann noch SFTP zum teilen alter Dos Games. Aber wenn man entsprechende Konfigurationen (Iptables zb.), Fail2ban und Authentifizierung via. Zertifikat für SSH verwendet, regelmäßig Informationen zu Zero Day's einholt und das system Pflegt... zumindest in det heutigen zeit. Sicherheit muss man selbst herstellen. Dann kann man guten Gewissens mit dem internet leben. oszi40 schrieb: > Mit einem infizierten Format-Programm hatte ich mal einen "unendliche > Geschichte" vor Jahren. Aber auch schon ne weile her wie man raushört. Wobei damals als es noch keine "Pentester Distro's" gab, waren Hacker auch noch echte "Blackhat's" und brauchten noch eine eigene Bücherei mit Fachliteratur. Mein erstes exemplar das ich mir gekauft hab vom "Berühmten Schwarzen Buch" hab ich immer noch im regal stehen. ;-)
Kilo S. schrieb: > Sicherheit muss man selbst herstellen. > Dann kann man guten Gewissens mit dem internet leben. Richtig! Man muss sich überlegen, wo die möglichen Einfallstore sind, und die entstehen zum größten Teil durch die Nutzung. Der größte Tor sitzt meistens davor. ;-)
Kilo S. schrieb: > Nenn doch nur mal EINEN einzigen verschlüsselungstrojaner für Linux! und > Nano schrieb: >> Sicherheit wird nicht durch obscurity gewonnen. > > Eben, mein ROOT Account hat ein 18 Stelliges Passwort, Groß/Klein Zahlen > und Sonderzeichen. Na so ganz hast du das mit dem "Sicherheit wird nicht durch obscurity gewonnen" verstanden. Für dich noch einmal deutlicher: Sich in Betriebssysteme zurückzuziehen, die eine geringere Verbreitung haben, ist kein Sicherheitskonzept, sondern eben der zum Scheitern verurteilte Versuch Sicherheit durch obscurity zu erlangen. Es geht auch gar nicht, ob man als Linux Anwender auf dem Radar ist, sondern darum, ob es Sicherheitslücken geben kann, die einem im Fall der Fälle angreifbar machen würden. Und diese kommen auch unter Linux vor, man ist auch unter einem Linux System nicht davor gefeit. Deswegen ist auch der root Zugang kein Schutz für die Backups. Wie lange dein Passwort ist, ist dabei völlig egal. Rechteausweitung geht für gewöhnlich nämlich ganz anders, als das root Passwort abzugreifen. > Bios/UEFI hat ein Passwort und vor dem booten läuft > erst mal Cryptsetup... Völlig andere Baustelle.
Beitrag #5809853 wurde von einem Moderator gelöscht.
Nano schrieb im Beitrag #5809853: > Schadsoftware muss ins System eindringen um Schaden anzurichten, das ist > ja was ganz neues. Bugs, die nur ausnutzbar sind, wenn die ausnutzende Software bereits auf dem System läuft, sind eine etwas andere Baustelle, als welche, die direkt per Netz ansprechbar sind. Beispiel: Spectre setzt voraus, dass man schon drauf ist. Bei manchen Servertypen ist das üblich (Spectre und die Cloud-Server), bei anderen nicht. Ein SQL-Server Bug vor längerer Zeit hingegen konnte direkt per Netz ausgenutzt werden.
:
Bearbeitet durch User
A. K. schrieb: > Nano schrieb: >> Schadsoftware muss ins System eindringen um Schaden anzurichten, das ist >> ja was ganz neues. > > Bugs, die nur ausnutzbar sind, wenn die ausnutzende Software bereits auf > dem System läuft, sind eine etwas andere Baustelle, als welche, die > direkt per Netz ansprechbar sind. Ja, das eindringen würde sich dann in so einem Fall darauf beziehen, dass der Nutzer das selbst herbeiführt. Kurz, Schadsoftware muss irgendwie auf das System gelangen, entweder über die Hilfe des Nutzers oder eben von Außen über einen Angriff. Zwei unterschiedliche Versuche, aber der nächste Schritt, Schaden zu anzurichten, unterscheidet sich dann nicht mehr. So war das gemeint.
Backup schrieb: > ich mache bei jedem Hochfahren des Systems automatisch ein Backup mit > Timeshift auf einer externen Platte. wieviele verschiedene externe Platten hast Du und wie häufig werden die durchrotiert? Sagen wir mal Du hast 7 verschiedene Platten und hängst jeden Tag eine andere an den PC. Die anderen 6 sind nicht mit dem PC verbunden, oder besser noch, an einem anderen Standort damit sie bei Diebstahl, Brand, Überschwemmung,... erhalten bleiben. Bei so einem Setup müsste der Trojaner 6 Tage lang immer ausschließlich das Backup verschlüsseln, Deine Daten aber erstmal intakt lassen, damit Du es nicht rechtzeitig bemerkst. So ein Verhalten des Trojaners wäre zwar definitv möglich, aber schon mal deutlich unwahrscheinlicher. Außerdem schützt ein solches Setup zusätzlich auch noch vor defekten Festplatten oder Dateisystemfehlern, was auch nicht zu unterschätzen ist.
Nano schrieb: > Sich in Betriebssysteme zurückzuziehen, die eine geringere Verbreitung > haben, ist kein Sicherheitskonzept, sondern eben der zum Scheitern > verurteilte Versuch Sicherheit durch obscurity zu erlangen. Und das ist immer noch Blödsinn, wie oben schon gesagt: Np R. schrieb: > zumal die Statistiken unvollständig sind, da > - Linux nicht mit der Hardware mit gekauft wird, > - Linux nicht nur auf Desktops läuft sondern mit erheblich höherer > Verbreitung auf Servern, Routern usw. > und gerade da könnte es sehr verlockend sein einzusteigen. Ich ziehe mich nicht in ein Betriebssystem zurück, dass nur geringe Verbreitung hat. Ich nutze Linux auf Routern und Servern, wo es eine sehr hohe Verbreitung hat.
Übrigens besitzt Linux zwar eine Menge Features, aber eines ganz sicher nicht: Nano schrieb: > Sicherheit durch obscurity
Allgemein von der Verbreitung her ist MS natürlich ein lohnenderes Angriffsziel als irgendein spezielles Linux. Man sollte sich aber nicht zu sicher sein! Manche Sachen werden nur entdeckt, weil VIELE ein Problem damit hatten. Die Anti4ensoftware sucht auch nicht nach jedem Fliegendreck, der nur 3x auf der Welt vorkommt (leidige Erfahrung).
oszi40 schrieb: > Allgemein von der Verbreitung her ist MS natürlich ein lohnenderes > Angriffsziel als irgendein spezielles Linux. Warum? Weil sich irgendein Krimineller dafür interessiert, wo Du Deine Unterwäsche kaufst? Oder weil er Deinen Rechner für ein Bot-Net für Spam-Mails braucht? "Lohnend"? Ein Desktop-System? Dann gib mir doch lieber Kontrolle über ein paar Linux-Server oder Router in diversen Firmen-Netzwerken. Das wäre lohnend. Setz doch mal die Home-User-Brille ab. Laut Wikipedia wurden 2012 zwischen 32% und 55% der Webseiten von Linux-Servern gehostet. (Die Ungenauigkeit rührt daher, dass sich nicht jeder Linux-Server als solcher zu erkennen gibt.) Was meinst Du, wie groß der Marktanteil von Windows auf Routern ist?
Hallo, Danke schonmal für eure Antworten. Ich habe aus Kosten- und zugegebenermaßen auch Komfortgründen nur eine externe Platte (keine Lust immer umzustecken und umzukonfigurieren). Dass ich als Linuxer nicht einer so großen Gefahr wie ein Fensterputzer ausgesetzt bin, ist mir auch klar, aber dennoch ist das für mich kein Grund, dieses Thema zu vernachlässigen (bin auch noch nicht so lange bei Linux). Mir ist übrigens aufgefallen, dass der gesicherte Homeordner die gleichen Rechte hat wie mein Homeordner: mein Standardaccount kann darauf lesend und schreibend zugreifen. Wie kann ich das ändern, denn es bringt ja nichts, wenn der Virus einfach so auf den wichtigen Teil des Backups zugreifen kann. Gruß
Backup schrieb: > Wenn ich mir > einen Virus hole, der alles verschlüsselt, lediglich auf meinem Account, > kann mein Backup dann auch verschlüsselt werden oder betrifft das dann > nur meine Daten auf der lokalen Platte? Du hast zu viel Angst. Wenn du einen Verschlüsselungs Trojaner einfängst, ist alles verschlüsselt. Aber wenn du Computer-Hygiene machst, so wie an deinem Körper, ist die Wahrscheinlichkeit gering, so etwas zu bekommen. Unter WIN habe ich mir seit 20 Jahren keinen Virus eingeholt und es gab nur 3 Warnungen vom Virenscanner. Und wenn der BND deinen PC knacken will, dann macht der das. Egal ob WIN oder Linux.
Backup schrieb: > Wie kann ich das ändern, denn es bringt ja nichts, wenn der Virus > einfach so auf den wichtigen Teil des Backups zugreifen kann. Account und rechteverwaltung entsprechend konfigurieren. @Nano: Lass die Beleidigungen! Np R. schrieb: > (Die Ungenauigkeit rührt daher, dass sich nicht jeder Linux-Server als > solcher zu erkennen gibt.) Richtig! Selbst wenn jemand ins Netzwerk kommt, sich mein Debian aber als "Windows" oder anderes Betriebssystem ausgibt kann er da versuche starten wie er will. Die exploits laufen ins leere. Nano schrieb: > Kurz, Schadsoftware muss irgendwie auf das System gelangen, entweder > über die Hilfe des Nutzers oder eben von Außen über einen Angriff. Das Risiko ist schon alleine dadurch Minimiert in dem man eben KEINE portfreigaben für den betreffenden rechner einrichtet, vernünftige Firewalls, regelmäßig sicherheitsupdates, Patches, vertrauenswürdige aktuelle quellen für Software.... A. K. schrieb: > Ein SQL-Server Bug vor längerer Zeit hingegen konnte direkt per Netz > ausgenutzt werden. Was ein Problem des Server Deamon sein dürfte, nicht der des Betriebssystem. Der Deamon war unsicher was das ausnutzen eines exploit begünstigte. Nano schrieb: > Wie lange dein Passwort ist, ist dabei völlig egal. Rechteausweitung > geht für gewöhnlich nämlich ganz anders, als das root Passwort > abzugreifen. Naja, eher unwarscheinlich. Denn ohne Userrechte die es ermöglichen einen exploit auszuführen der die rechteverwaltung kompromittiert kommst du idr. Nicht an die /etc/passwd. Ausser du schaffst es eine unsichere verbindung mit einer MitM Attacke abzugreifen. Selbst dann kannst du durch den einsatz von Zertifikaten und Iptables verhindern das "Fremde" rechner zugriff auf die shell bekommen. Selbst wenn du an die /etc/passwd kommst ist ein komplexes langes Passwort ein "Schutz" selbst mit entsprechenden Rainbowtables brauchst du entsprechend lange um das Passwort zu cracken. Selbst 8-10 stellen bei WPA2 brauchen unter Zuhilfenahme von GPU's noch relativ viel zeit zum Abgleich. !Wenn! du das Passwort in der liste hast! Bei 18 Stellen und den daraus resultierenden möglichen (Anzahl) komplexer Passwörtern brauchst du zum erzeugen der liste schon: 1.) PETABYTES an festplattenspeicher. 2.) Zeit zum erzeugen der Liste. 3.) Zeit zum erzeugen der hashes aus der liste. 4.) Genügend Rechenleistung um genügend hashes pro sekunde zu vergleichen damit das in annehmbarer zeit passiert. 5.) Wechselt beim "Normalen" user alle 24 Stunden die IP am anschluss, du musst also das system nach 24 stunden erneut suchen sofern keine DynDNS bzw. Feste IP vorhanden ist. Da ist es Billiger, Schneller und effektiver im Baumarkt nen Hammer zu holen und dem nutzer so lange auf den Kopf zu schlagen bis er mir das Passwort rausrückt. https://xkcd.com/538/ Wer sein System absichern will kann es einem Angreifer eben einfach so schwer machen das ein "Heimcomputer" einfach kein lohnenswertes ziel abgibt.
:
Bearbeitet durch User
Np R. schrieb: > Nano schrieb: >> Sich in Betriebssysteme zurückzuziehen, die eine geringere Verbreitung >> haben, ist kein Sicherheitskonzept, sondern eben der zum Scheitern >> verurteilte Versuch Sicherheit durch obscurity zu erlangen. > > Und das ist immer noch Blödsinn, wie oben schon gesagt: Du checkst es nicht. Backups von root aus zugänglich zu machen ist immer noch kein Sicherheitskonzept, auch dann nicht, wenn man auf dem Desktop ein OS einsetzt, das weniger Leute nutzen als Windows. Und was dein Einwand bezüglich Server betrifft. Auf dem Server öffnest du keine E-Mail Anhänge.
Backup schrieb: > Hallo, > Danke schonmal für eure Antworten. Ich habe aus Kosten- und > zugegebenermaßen auch Komfortgründen nur eine externe Platte (keine Lust > immer umzustecken und umzukonfigurieren). Du brauchst mindestens zwei. Es gibt keine Garantie, dass diese eine Festplatte nicht ausfällt und dann sind alle deine Daten weg. > Mir ist übrigens aufgefallen, dass der gesicherte Homeordner die > gleichen Rechte hat wie mein Homeordner: mein Standardaccount kann > darauf lesend und schreibend zugreifen. Wie kann ich das ändern, Unter Linux mit chown und chmod. Mit der Option -R kannst du das rekursiv auf alle Dateien und Unterordner anwenden. Mit "chmod -R og-rwx verzeichnis" entziehst du allen Nutzer, außer dem Eigentümer bspw. die Lese, Schreib und Ausführungsrechte. Bei Verzeichnissen kann ein Nutzer auch nicht mehr das Verzeichnis betreten, wenn das Recht dazu mit -x entfernt wurde. Mit "chown -R root.root verzeichnis" weißt du allen Verzeichnissen und Dateien in diesem Verzeichnis den Nutzer root zu. Mit den Dateimanagern kannst du das auch einstellen. Unter Windows musst du dem "Backupordner" und dessen Unterverzeichnissen die Schreibrechte für alle Benutzer, außer die Administratoren oder besser der Administrator entfernen. Das geht auch mit dem Dateimanager. Es gibt aber auch eine Möglichkeit per Kommandozeile das zu tun.
Mit einem exotischen BS kann man natürlich etwas Sicherheit erreichen. Damals habe ich, solange es ging, mein Homebanking mit OS/2 gemacht. Dafür gab es keine Viren. Wegen der Zertifizierung mußte ich aber dann zu dem "sicheren" W98 umziehen.
Kilo S. schrieb: > Nano schrieb: >> Kurz, Schadsoftware muss irgendwie auf das System gelangen, entweder >> über die Hilfe des Nutzers oder eben von Außen über einen Angriff. > > Das Risiko ist schon alleine dadurch Minimiert in dem man eben KEINE > portfreigaben für den betreffenden rechner einrichtet, vernünftige > Firewalls, regelmäßig sicherheitsupdates, Patches, vertrauenswürdige > aktuelle quellen für Software.... Das ist mir alles bekannt. Ein Linux rettet dich und dein am Rechner hängendes Backup trotzdem nicht vor Zero Day Exploits z.B. in deinem Browser und ein Webserver, der die Malware verteilt. Nur weil du Linux einsetzt, kannst du nicht sagen: "Meine Daten sind sicher, wenn ich meine Backupmedien dauerhaft einhänge, denn auf die kann ja nur root schreiben und Linux ist nur ein kleines Angriffsziel." Denn das ist eben kein Sicherheitskonzept, sondern Security by obscurity. Siehe oben. Ein Sicherheitskonzept wäre, die Backupmedien in den Schrank zu stellen. > > Nano schrieb: >> Wie lange dein Passwort ist, ist dabei völlig egal. Rechteausweitung >> geht für gewöhnlich nämlich ganz anders, als das root Passwort >> abzugreifen. > > Naja, eher unwarscheinlich. Denn ohne Userrechte die es ermöglichen > einen exploit auszuführen der die rechteverwaltung kompromittiert kommst > du idr. Nicht an die /etc/passwd. Der Threadstarter will wissen, ob sein Backupordner auf der angeschlossenen Backupfestplatte, auf die der normale Nutzer nicht schreiben kann, sicher ist, wenn die Schadsoftware bei ihm anfängt, alle Dateien im Homeordner zu verschlüsseln. Hier zu glauben, dass die Schadsoftware nicht weitere Exploits nachlädt um mit diesen Sicherheitslücken auszunutzen, die eine Kompromittierung des root Zugangs ermöglichen, ist naiv und eben kein Sicherheitskonzept. Gerade Sicherheitslücken, die eine lokale Rechteausweitungen erlauben gab es in der Vergangenheit schon genug. Das kommt häufiger vor, als man denkt. Ich lese regelmäßig die CERT Meldungen, da merkt man das. Und nein, dafür brauchst du kein root Passwort, sondern einen lokalen Prozess, der mit root Rechten läuft, aber eine Sicherheitslücke enthält. > Selbst wenn du an die /etc/passwd kommst ist ein komplexes langes > Passwort ein "Schutz" selbst mit entsprechenden Rainbowtables brauchst > du entsprechend lange um das Passwort zu cracken. > Selbst 8-10 stellen bei WPA2 brauchen unter Zuhilfenahme von GPU's noch > relativ viel zeit zum Abgleich. !Wenn! du das Passwort in der liste > hast! Siehe oben, brauchst du nicht.
michael_ schrieb: > Mit einem exotischen BS kann man natürlich etwas Sicherheit > erreichen. > Damals habe ich, solange es ging, mein Homebanking mit OS/2 gemacht. > Dafür gab es keine Viren. > Wegen der Zertifizierung mußte ich aber dann zu dem "sicheren" W98 > umziehen. Nein, das ist keine Sicherheit, sondern eben nur scheinbare Sicherheit durch Obscurity. Ein Nischensystem, das Löcher hat, ist nicht Sicher. Ergo kann es kein Sicherheitskonzept sein. Ein Sicherheitskonzept wäre, wenn alle bekannten Löcher gestopft wären, die Zero Day Lücken kann es aber trotzdem geben. Ebenso ist ein Sicherheitskonzept, wenn man root nicht dauerhaft Zugriff auf die Backupfestplatte lässt.
Nano schrieb: > Hier zu glauben, dass die Schadsoftware nicht weitere Exploits nachlädt > um mit diesen Sicherheitslücken auszunutzen, die eine Kompromittierung > des root Zugangs ermöglichen, ist naiv und eben kein Sicherheitskonzept. Dazu muss erst mal das system kompromittiert werden... Und das ist unter Linux nun NICHT mal eben schnell gemacht! Du scheinst es nicht verstehen zu wollen! Ich bin raus! Genug Tipps gegeben!
:
Bearbeitet durch User
Kilo S. schrieb: > Und das ist unter Linux nun NICHT mal eben schnell gemacht! Ein Buffer Oberflow im PDF Reader, Browser, OpenOffice, Thunderbird, SSH Client, ein unbedacht geöffnetes Dokument, und schon kann man seinen Shell-Code ausführen. Dann noch eine Verbindung zum DBus-, SystemD-, DHCP-, DNS-, CUPS-, NetworkManager-... -Daemon aufbauen, da den nächsten Exploit nutzen und man kann Dinge mit dessen Rechte ausführen, und das ist im Zweifelsfall root. Das funktioniert letztlich genau wie unter Windows. Dazu kommt dass es dank SUID-Bit unter Linux geradezu spielend einfach ist ein (simples) rootkit anzulegen um den root-Zugang auch zu behalten. Das ach so sichere root-PW muss man dazu überhaupt nicht kennen. Die Kenntniss eines Passworts eines gewöhnlichen Users mit "sudo" Rechten macht es natürlich besonders einfach. Einfach Keylogger-artig auf die Tastenfolge "sudo ...<Return>Passwort123<Return>" warten.
Nano schrieb: > Du checkst es nicht. > > Backups von root aus zugänglich zu machen Soso, wenn Du gegen ein Argument argumentierst, das ich überhaupt nicht gebraucht habe, dann bin ich es, der es nicht checkt... Sehr witzig. Es läuft doch auf einen Unterschied zwischen Theorie und Praxis hinaus: In der Theorie ist ein Backup nur sicher, wenn es offline ist, in einem Safe verwahrt wird, der Safe sich in einer anderen Stadt oder Land befindet (Schutz vor Erdbeben, Flugzeugabstürzen, usw.) und der User die Kombination zu dem Safe vergessen hat. Die größte Gefahr für die Daten sitzt ja meist vor dem Bildschirm. In der Praxis insbesondere des Heim-Anwenders ist dies nicht praktikabel. In der Theorie ist jedes System unsicher, das eine Sicherheitslücke hat oder haben könnte. Denn auch wenn die Lücke noch nicht allgemein bekannt ist oder erst morgen entdeckt wird, ist sie eine Gefahr. In der Praxis muss eine Sicherheitslücke erst einmal durch einen praktikablen Exploit ausgenutzt werden können (Sicherheitslücken, die z.B. nur dann genutzt werden können, wenn physischer Zugang zum Rechner besteht, sind für Heimanwender reichlich uninteressant). Dann muss ein Exploit vielversprechend genug sein, dass dafür jemand Schadsoftware schreibt (was er z.B. nicht tun wird, wenn die Lücke nicht verbreitet ist oder bei jedem Rechner individuell anders genutzt werden muss). Dann muss die Software geschrieben sein und Verbreitung finden, bevor die Lücke bekannt und geschlossen wird (da hast Du bei Windows übrigens deutlich mehr Zeit). Und schließlich muss der Anwender sein System schutzlos dem Verbreitungsweg aussetzen. In der Praxis sieht es also für ein Linux-System ziemlich rosig aus. Daran kommst Du nicht vorbei. Weder in der Theorie durch theoretische Betrachtung von Sicherheitsfeatures noch ganz empirisch in der Praxis. Und das Argument, Linux sei Sicherheit durch Obscurity, ist sowohl in der Theorie als auch in der Praxis völliger Unsinn. Ganz praktisch für den TO: 1. Mach Dir nicht ins Hemd. Das größte Risiko für die Daten bist Du selbst. Das Online-Backup schützt schon einmal gegen versehentliches Löschen oder Überschreiben. 2. Konzentriere Dich auf die Daten (und evtl. noch Konfigurations-Einstellungen). Programme und "System" kannst Du immer und kostenlos aus sauberen Quellen wiederherstellen. 3. Es ist besser, wenn das Backup nicht mit Deinem Account verändert oder gelöscht werden kann. Viele Backup-Programme unter Linux richten die Berechtigungen genau so ein. 4. Noch besser ist es, wenn auch root das Backup weder löschen noch verändern oder "expiren" kann. Das kannst Du aber nur erreichen, wenn Du das Backup auf einen zweiten Rechner ziehst (auch dafür gibt es unter Linux Standard-Lösungen) oder es komplett offline machst. Platte abklemmen und weglegen. Je nachdem wie schnell sich Deine Daten ändern, kann ein wöchentliches Offline-Backup der Daten (und tägliche Online-Backups des Systems oder von "allem") schon helfen. 5. Wenn Du meinst, Du müsstest jeden Service, den Du nicht verstehst, über Deinen Rechner auch im Internet anbieten, externe Inhalte von zweifelhaften Mails automatisch laden oder auf alles, was ausführbar scheint, erst einmal doppelklicken "um zu sehen, was es macht", dann sind Hopfen und Malz sowieso verloren.
Np R. schrieb: > In der Theorie ist jedes System unsicher, das eine Sicherheitslücke hat > oder haben könnte. Endlich mal jemand der das auch so sieht. Auch wenn ich das nicht explizit erwähnt hatte. Aber: Kilo S. schrieb: > Wer sein System absichern will kann es einem Angreifer eben einfach so > schwer machen das ein "Heimcomputer" einfach kein lohnenswertes ziel > abgibt. Spricht wohl dafür das ich der gleichen meinung bin. Zumindest bin ICH dieser Auffassung!
Kilo S. schrieb: > Nano schrieb: >> Hier zu glauben, dass die Schadsoftware nicht weitere Exploits nachlädt >> um mit diesen Sicherheitslücken auszunutzen, die eine Kompromittierung >> des root Zugangs ermöglichen, ist naiv und eben kein Sicherheitskonzept. > > Dazu muss erst mal das system kompromittiert werden... Das war der Kontext. Lies ganz oben die Frage des Threadstarters. > Und das ist unter Linux nun NICHT mal eben schnell gemacht! Ein Linux System kann genauso Sicherheitslücken enthalten wie jedes andere System und ein Linux User kann genauso auf seine Anhänge klicken, wie ein Windows Nutzer oder sich seine Schadsoftware beim Surfen einfangen. Es braucht nur jemand, der es auf Desktop Nutzer von Linux Systemen abgesehen hat. Linux ist da kein Märchen OS wo so etwas unmöglich wäre. > Du scheinst es nicht verstehen zu wollen! Du argumentierst wie am Stammtisch als Laie, ich nicht.
Np R. schrieb: > Nano schrieb: >> Du checkst es nicht. >> >> Backups von root aus zugänglich zu machen > > Soso, wenn Du gegen ein Argument argumentierst, das ich überhaupt > nicht gebraucht habe, dann bin ich es, der es nicht checkt... > Sehr witzig. Du musst den Kontext des ganzen Threads beachten und nicht am Thema vorbei plappern. > In der Praxis insbesondere des Heim-Anwenders ist dies nicht > praktikabel. Warum soll es nicht praktikabel sein, sein Backup vom PC zu trennen und in den Schrank zu stellen? > > In der Theorie ist jedes System unsicher, das eine Sicherheitslücke hat > oder haben könnte. Eben und deswegen müssen Sicherheitskonzepte eben entsprechend ausgelegt sein. Ein Backup Medium gehört nicht an den Rechner dauerhaft angeschlossen und root schützt das Backup nicht. Das gilt auch unter Linux. > In der Praxis muss eine Sicherheitslücke erst einmal durch einen > praktikablen Exploit ausgenutzt werden können (Sicherheitslücken, die > z.B. nur dann genutzt werden können, wenn physischer Zugang zum Rechner > besteht, sind für Heimanwender reichlich uninteressant). In den meisten Fällen reicht ein Zugang zu einem Nutzeraccount. Der Schadcode für den root Angriff wird dann remote eingeschleust und über den lokalen Nutzeraccount werden dann root Rechte erlangt. Wenn jemand physischen Zugang hat und die Partition nicht gerade verschlüsselt ist, dann braucht er gar keine Sicherheitslücke, dann bootet er einfach ein Live System und greift auf die Daten von dort zu. > Dann muss ein Exploit vielversprechend genug sein, dass dafür jemand > Schadsoftware schreibt Nicht relevant, in unserem Thema geht es schließlich um Sicherheitskonzepte. Der Exploit ist da, das System ist angreifbar, dein dauerhaft angeschlossenes Backup ist nicht mehr Sicher. Deine überschwänglicher Stolz im Sinne von "Mein Linux ist sicher" hat dir nichts gebracht. Dein Sicherheitskonzept ist durchgefallen, es ist das eingetreten, was ich sagte. > Und das Argument, Linux sei Sicherheit durch Obscurity, ist sowohl in > der Theorie als auch in der Praxis völliger Unsinn. Ja, das Argument hast du immer noch nicht verstanden. Das ist das eigentliche Problem. > 4. Noch besser ist es, wenn auch root das Backup weder löschen noch > verändern oder "expiren" kann. Das kannst Du aber nur erreichen, wenn Du > das Backup auf einen zweiten Rechner ziehst (auch dafür gibt es unter > Linux Standard-Lösungen) oder es komplett offline machst. Platte > abklemmen und weglegen Ach jetzt auf einmal überarbeitest du dein Sicherheitskonzept. Na immerhin hast du zumindest das gelernt.
Um eure Diskussion mal abzukürzen: Etwas mehr Sicherheit bekommt man durch die geringe Verbreitung von Linux, mir ging es aber explizit um den Fall, dass ich mir trotzdem was hole. Dass ich nicht ganz so gefährdet bin wie ein Windowsnutzer ist klar, aber dennoch kann ich ja nicht sagen, ich hab Linux, scheiß auf Backups, mir passiert eh nichts.
Backup schrieb: > Dass ich nicht ganz so gefährdet bin wie ein Windowsnutzer ist klar, > aber dennoch kann ich ja nicht sagen, ich hab Linux, scheiß auf Backups, > mir passiert eh nichts. Ich hab nie behauptet das es keine Viren, Trojaner o.ä für linux gibt. Nur das deren Verbreitung nicht so ausgeprägt ist wie für OS-X, Windows usw...
:
Bearbeitet durch User
Backup schrieb: > Wenn ich mir > einen Virus hole, der alles verschlüsselt, lediglich auf meinem Account, > kann mein Backup dann auch verschlüsselt werden oder betrifft das dann > nur meine Daten auf der lokalen Platte? Wenn das richtig eingerichtet wurde, sollte nur der lokale Account verschlüsselt werden. Aber sobald man mal sudo und das Passwort eingetippt hat, könnte dann das ganze System erledigt sein. In der Praxis ist mir das zu unsicher, ich habe folgenden Aufbau: * Ein File Server mit meinen Daten * Ein Raspberry PI, der auf 2 kleinen USB Festplatten steht, mit IP Tables rules, die alle eingehenden Verbindungsversuche unterbinden, und mit cron und rsync täglich sich auf den Fileserver Fileserver verbindet, und so von den Daten ein Backup macht. Der einzige Weg, mein Backup System zu kompromittieren, wäre, wenn es einen 0-Day in rsync, iptables oder gewissen teilen des Kernel gäbe, und das, kombiniert damit, das dass jemand zuerst herausfinden müsste um es ausnutzen zu können, halte ich für eher unwahrscheinlich. Vermutlich würde das Konzept auch direkt mit PI -> PC statt PI -> Fileserver gehen. Müsste man dann halt mit WakeOnLan aufwecken, aber wie das beim PI geht, weiss ich nicht.
DPA schrieb: > Der einzige Weg, mein Backup System zu kompromittieren, wäre, wenn es > einen 0-Day in rsync, iptables oder gewissen teilen des Kernel gäbe, und > das, kombiniert damit, das dass jemand zuerst herausfinden müsste um es > ausnutzen zu können, halte ich für eher unwahrscheinlich. Und noch jemand der es versteht!
DPA schrieb: > Der einzige Weg, mein Backup System zu kompromittieren Was, wenn dein PC infiziert ist, dieser alles vom Fileserver löscht oder verschlüsselt, und der PI das brav per rsync übernimmt?
Dr. Sommer schrieb: > DPA schrieb: >> Der einzige Weg, mein Backup System zu kompromittieren > > Was, wenn dein PC infiziert ist, dieser alles vom Fileserver löscht oder > verschlüsselt, und der PI das brav per rsync übernimmt? Ich behalte Backups bis 2 Jahre zurück. Eins Jährlich, 12 Monatlich. 7 Täglich, und ein paar wöchentliche, ich glaub 5 oder so. (Allerdings mit Hardlinks zum platzsparen, das delta ist recht klein.). Wen dass also mal ne Woche unbemerkt synct, nehme ich nachher eben das von vorletzter Woche. (Und die 2 platten ist in raid1, falls mal eine ausfällt.)
Dr. Sommer schrieb: > Was, wenn dein PC infiziert ist, dieser alles vom Fileserver löscht oder > verschlüsselt, und der PI das brav per rsync übernimmt? Wenn das vom Pi rsync mit Versionierung arbeitet, bleiben die Vorversionen lange genug erhalten, bis man es merkt.
DPA schrieb: > Ich behalte Backups bis 2 Jahre zurück. Eins Jährlich, 12 Monatlich. 7 > Täglich, und ein paar wöchentliche, ich glaub 5 oder so. (Allerdings mit > Hardlinks zum platzsparen, das delta ist recht klein.). Wie bringt man rsync dazu das so zu machen?
Dr. Sommer schrieb: > DPA schrieb: >> Ich behalte Backups bis 2 Jahre zurück. Eins Jährlich, 12 Monatlich. 7 >> Täglich, und ein paar wöchentliche, ich glaub 5 oder so. (Allerdings mit >> Hardlinks zum platzsparen, das delta ist recht klein.). > > Wie bringt man rsync dazu das so zu machen? Bin mir nicht sicher, ob das noch die neuste Version von meinem Skript ist: Beitrag "Re: Warum gibt es keine vernünftigen Backup-Programme" Wird täglich von nem Cronjob gestartet.
Nano schrieb: > Warum soll es nicht praktikabel sein, sein Backup vom PC zu trennen und > in den Schrank zu stellen? Nano schrieb: > Du musst den Kontext des ganzen Threads beachten und nicht am Thema > vorbei plappern. Du musst vor allem den Kontext dessen beachten, auf das Du antwortest und das Du zitierst. Sonst kannst Du Dir Dein Geschreibsel sparen. Nano schrieb: > In den meisten Fällen reicht ein Zugang zu einem Nutzeraccount. In den meisten Fällen wovon? In den meisten von wie vielen real existierenden Fällen? Nano schrieb: > Nicht relevant, Das müsste zunächst mal der TO entscheiden, nicht Du. Denn der hatte ein konkretes Problem in der realen Welt, nicht in der Theorie. Nano schrieb: > Der Exploit ist da Bullshit. Zuerst ist da erst einmal eine Lücke. Eine Lücke ist kein Exploit. Sie bietet die Möglichkeit zu einem. Ob dieser dann aber realisiert wird oder überhaupt realisierbar ist, hängt von einer ganzen Reihe anderer Faktoren ab, die Du geflissentlich ignorierst. Nano schrieb: > Ja, das Argument hast du immer noch nicht verstanden. Nein. Du benutzt Fachbegriffe außerhalb ihrer Bedeutung. Nano schrieb: > Ach jetzt auf einmal überarbeitest du dein Sicherheitskonzept. OK - dann komm doch bitte wenigstens in diesem Fall aus Deinem theoretischen Elfenbeinturm und zeige mir ganz praktisch (mit Zitat) wo ich ein anderslautendes "Sicherheitskonzept" vorgestellt hätte, das ich hier nun "überarbeite". Wenn Dir das nicht gelingt, möchte ich Dich dringend bitten, mir nicht ständig Bullshit vorzuwerfen, den Du Dir über mich ausgedacht hast. Der entspringt nämlich Deinem Kopf, nicht meinem, und kann daher auch nur in Deinem Kopf kuriert werden.
Np R. schrieb: > Wenn Dir das nicht gelingt, möchte ich Dich dringend bitten, mir nicht > ständig Bullshit vorzuwerfen, den Du Dir über mich ausgedacht hast. Dem schließ ich mich an. Denn: Kilo S. schrieb: > Gandcrap und konsorten dürfte für Linux (noch) keine große gefahr > darstellen.
DPA schrieb: > kombiniert damit, das dass jemand zuerst herausfinden müsste um es > ausnutzen zu können, halte ich für eher unwahrscheinlich. Mit Wahrscheinlichkeiten kannst Du nano nicht kommen. Das ist zu nah an der Praxis. In der Theorie ist jedes System, das eine Lücke hat oder haben könnte per Definition unsicher. Punkt. In der Theorie ist jeder Treibstoff entflammbar. In der Praxis und für Dein Streichholz bestehen gewisse Unterschiede z.B. zwischen Benzin und Diesel.
Np R. schrieb: > Nano schrieb: >> Warum soll es nicht praktikabel sein, sein Backup vom PC zu trennen und >> in den Schrank zu stellen? > Nano schrieb: >> Du musst den Kontext des ganzen Threads beachten und nicht am Thema >> vorbei plappern. > > Du musst vor allem den Kontext dessen beachten, auf das Du antwortest > und das Du zitierst. Sonst kannst Du Dir Dein Geschreibsel sparen. Das gilt vor allem für dich, wenn du auf mein Kommentar antwortest. Wie du es ganz oben getan hast. Hättest du das gemacht, dann hättest du dir wahrscheinlich vieles erspart und vor allem vieles Unnützes nicht schreiben müssen. > Nano schrieb: >> In den meisten Fällen reicht ein Zugang zu einem Nutzeraccount. > In den meisten Fällen wovon? > In den meisten von wie vielen real existierenden Fällen? 42 Wenn du Konzepte nicht verstehst und Konzepte und Design mit Wahrscheinlichkeiten verwurstest, dann liegt der Fehler ganz bei dir. > > Nano schrieb: >> Nicht relevant, > Das müsste zunächst mal der TO entscheiden, nicht Du. Denn der hatte ein > konkretes Problem in der realen Welt, nicht in der Theorie. Nein, er hatte eine Frage nach einem Sicherheitskonzept bzw. eine Sicherheitsstrategie. Ein Sicherheitskonzept sollte sich nicht daran orientieren, was momentan der Fall ist, so wie du es machst, sondern was sein könnte. Zum Vergleich, das was du machst, um mal eine Analogie zu nutzen damit du es verstehst, ist folgendes: Du schreibst dir eine eigene Verschlüsselungssoftware und sagst dann, die wird so selten benutzt, dass sie niemand knackt. Das ist aber kein Sicherheitskonzept, das ist obscurity. Also der gleiche Fall wie du es oben machst. Richtig wäre es jetzt, das Sicherheitskonzept auf eine saubere Strategie zu stellen, also bspw. eine bewährte Verschlüsselungssoftware einzusetzen, anstatt sich selbst etwas auszudenken. Und das bedeutet in unserem Fall, die Backups müssen getrennt und nicht am Rechner angeschlossen gelagert werden, denn root und die Verwendung ist hier kein Schutz. > > Nano schrieb: >> Der Exploit ist da > Bullshit. Zuerst ist da erst einmal eine Lücke. Eine Lücke ist kein > Exploit. Ich weiß das, aber du hast es am Anfang in deinem Kommentar falsch benutzt, denn du hast geschrieben: "> Dann muss ein Exploit vielversprechend genug sein, dass dafür jemand > Schadsoftware schreibt" Du hast hier zwar wahrscheinlich Sicherheitslücke gemeint, aber Exploit geschrieben und mir war es zu blöd dich hier zu korrigieren. Ich habe da also einfach in deiner Definition weitergemacht. Denn eines ist klar, wenn man einen Exploit bereits geschrieben hat, dann muss man nicht darüber nachdenken, ob der vielversprechend ist, man hat ihn ja schon und wenn man ihn hat, dann schreibt man nicht Schadsoftware ein anderes mal. Du hast den Begriff also falsch benutzt, nicht ich. Anders gäbe dein Satz gar keinen Sinn. > Sie bietet die Möglichkeit zu einem. Ob dieser dann aber > realisiert wird oder überhaupt realisierbar ist, hängt von einer ganzen > Reihe anderer Faktoren ab, die Du geflissentlich ignorierst. Weil das beim Planen eines Sicherheitskonzepts nicht relevant ist, wann kapierst DU das endlich? > Nano schrieb: >> Ja, das Argument hast du immer noch nicht verstanden. > Nein. Du benutzt Fachbegriffe außerhalb ihrer Bedeutung. Den Fehler hast ja du gemacht, nicht ich. > > Nano schrieb: >> Ach jetzt auf einmal überarbeitest du dein Sicherheitskonzept. > OK - dann komm doch bitte wenigstens in diesem Fall aus Deinem > theoretischen Elfenbeinturm und zeige mir ganz praktisch (mit Zitat) wo > ich ein anderslautendes "Sicherheitskonzept" vorgestellt hätte, das ich > hier nun "überarbeite". Lies dazu dein allererstes Kommentar durch. Da lässt du folgende Aussage durchblicken "Ich habe Linux, ich bin sicher, mir kann deswegen niemand was." Das ich von Konzepte sprach, das ist dir gar nicht aufgefallen.
Ups. da habe ich zwei Wörter vergessen Das hier: Nano schrieb: > und die Verwendung > ist hier kein Schutz. Sollte natürlich heißen: und die Verwendung von Linux ist hier kein Schutz.
Backup schrieb: > Etwas mehr Sicherheit bekommt man > durch die geringe Verbreitung von Linux, Linux ist aber nicht geringer verbreitet. Linux läuft auf Routern, Servern, Fernsehern, Recordern... Trotzdem ist aber das Risiko geringer. Warum das so ist, kann Dir nano sicher erklären - wenn er denn fair ist und mal von seiner emotionalen Palme herunter kommt: Nano schrieb: > Deine überschwänglicher Stolz Backup schrieb: > aber dennoch kann ich ja > nicht sagen, ich hab Linux, scheiß auf Backups, mir passiert eh nichts. Nein, natürlich nicht. Wichtig ist, dass Du Dir über Deine eigenen Bedrohungs-Szenarien klar wirst, ganz spezifisch für Deinen Anwendungsfall. Da bist wahrscheinlich Du selbst die größte Bedrohung, vor allem, wenn Du noch nicht lange mit Linux arbeitest. Wenn Du versehentlich Dein System platt machst, ist es genauso weg, wie wenn das ein Virus macht. Ein Linux-System kannst Du aber aus kostenlosen Quellen jederzeit wieder herstellen - und kannst Dir einigermaßen sicher sein, dass es dann sauber ist. Ich bezweifele also, dass TimeShift wirklich die beste Lösung für Dich ist: > Timeshift is similar to applications like rsnapshot, BackInTime and TimeVault but with different goals. It is designed to protect only system files and settings. User files such as documents, pictures and music are excluded. (von https://teejeetech.in/timeshift/ ) IMHO brauchst Du für die Daten, die Dir wirklich wichtig sind, eine vernünftige Sicherungsstrategie. Offline oder auf einem anderen Rechner, je nach Art der Daten mit Datei- oder Chunk-basierter Deduplication. Meist ändern sich diese Daten ja nicht so oft, dass ein Offline-Backup eine wirkliche Last wäre.
Nano schrieb: > Wie du es ganz oben getan hast. Wo? Da Du Dein andauerndes Fehlverhalten durch ein angeblich von mir zuvor erfolgtes zu rechtfertigen suchst, bringe einen Beleg oder entschuldige Dich wie ein anständiger Mensch. Nano schrieb: > Anders gäbe dein Satz gar keinen Sinn. Ach so - und weil er anders keinen Sinn ergibt, musstest Du ihn natürlich partout anders verstehen. Um einen Gummipunkt zu machen. Nano schrieb: > Den Fehler hast ja du gemacht, nicht ich. Dann erkläre mir doch mal das Konzept "Security through obscurity" am Beispiel von Linux. Nano schrieb: > Da lässt du folgende Aussage durchblicken "Ich habe Linux, ich bin > sicher, mir kann deswegen niemand was." Lies meinen Kommentar noch einmal und überlege dann, wie viel von Deiner Aussage in Deinem eigenen Kopf entstanden ist und wie wenig ich damit zu tun habe. Meine Aussage war, dass ich seit ca. 10 Jahren einen Debian Server im Internet habe, der ständig angegriffen wird. (Ich hatte/habe davor und parallel dazu noch andere, aber dieser ist am längsten online.) Das ist ein Faktum. Das kannst Du nicht leugnen. In Fakten Intentionen hinein zu interpretieren, die jemand "durchblicken" lässt, macht zunächst mal nicht wirklich Sinn, oder? Dann hatte ich gefragt: Woran kann das liegen, dass das System nicht kompromittiert ist? Das System verwalte ich wie alle anderen selbst. Es ist ungeschützt (d.h. ohne weiter Firewall) im Internet, bei einem großen amerikanischen Provider, dessen IP-Adressen ständig von "interessierter Seite" abgegrast werden.Bei einigen dieser Server wäre ein Einbruch sehr lukrativ gewesen. Nun, bitte, erkläre es mir. (BTW: Ich habe bei diesen Servern ein einziges Mal ein Backup gebraucht. Rate mal, warum.)
> Meine Aussage war, dass ich seit ca. 10 Jahren einen Debian Server im > Internet habe, der ständig angegriffen wird. Tucholsky meinte: "Laß dir von keinem Fachmann imponieren, der dir erzählt: »Lieber Freund, das mache ich schon seit zwanzig Jahren so!« – Man kann eine Sache auch zwanzig Jahre lang falsch machen."?
Nano will uns seine Meinung aufzwingen, dabei vergisst er das man nur dann Innovative ideen haben kann wenn man auch andere meinungen Akzeptiert. Kompromissbereit ist usw. oszi40 schrieb: > Man kann eine Sache auch zwanzig Jahre lang falsch machen."? Kann man, irren ist ja eben menschlich. Aber man kann eben auch aus Fehlern lernen, sofern man das möchte.
Mal ein wenig Abwechslung hier rein? Habe heute wieder eine eMail bekommen mit Erpressungsversuch, es hätte der anonyme Hacker geschafft auf einer Schmuddel-Webseite Schad-Code zu platzieren, die in meinem System sämltiche privaten und geschäftlichen Kontakte und Dokumente entwendet hätte. Weiter hätte er meine Web-Cam aktiviert und mich beim Onanieren gefilmt, und will nun Bit-Coins, damit er das nicht an meinen Bekanntschaft weiter gibt. Bis dahin ja eigentlich ganz lustig, aber nun kommts, er weiß eines meiner Passwörter im Klartext und hat mich damit über gleich 2 email-Accounts damit angeschrieben. Jetzt komme ich ins Grübeln, oder habt ihr schon Ähnliches erlebt. Da sind mir Vieren, die nichts von mir wissen, schon angenehmer?
Jemand schrieb: > Bis dahin ja eigentlich ganz lustig, aber nun kommts, er weiß eines > meiner Passwörter im Klartext und hat mich damit über gleich 2 > email-Accounts damit angeschrieben. Gehe ich recht in der Annahme, dass dieses Password eine Webseite kennenlernte, oder sonst einen Internet-Dienst? Man nehme eine Liste aufgeflogener Passwörter, bei denen auch die Mailadresse dabei steht. Dann schreibe man diese Leute an und jage ihnen mit der Nennung des Passwords Angst ein.
:
Bearbeitet durch User
Niemand schrieb: > Jetzt komme ich ins Grübeln, oder habt ihr schon Ähnliches erlebt. Nein, noch nicht. Jedenfalls nicht als "Betroffener". Meine Ex hatte sich mal auf der Internetpräsenz einer Musikschule den "BKA" Trojaner eingefangen. Meine Ex-schwiegermutter mal eine "Rechnung" als PDF mit der ein Angreifer auf ihre Kontodaten zugreifen konnte. Hast du vor kurzem von "Kunden" PDF's, V-Cards oder sowas erhalten? Bei Facebook und Whatsapp gabs doch vor kurzem wieder mal so nen Blödsinn wegen der Passwörter im klartext. OS? Neue Software installiert? Aktuell? Aus welchen Quellen? Hatten Dritte (auch mitarbeiter) Zugang zu deinem Netzwerk oder System? Versuch doch mal deine letzten "Schritte" am Rechner nachzuvollziehen. Vielleicht kann man dann die quelle des Angriff etwas eingrenzen. NICHT! Zahlen. Mit der/n Festplatte(n) hier melden: https://www.polizei.de/Polizei/DE/Einrichtungen/ZAC/zac_node.html Nicht formatieren, ausbauen und analysieren lassen! Auch wenns "Weh tut".
A. K. schrieb: > Man nehme eine Liste aufgeflogener Passwörter, bei denen auch die > Mailadresse dabei steht. Dann schreibe man diese Leute an und jage ihnen > mit der Nennung des Passwords Angst ein. Möglich! (Das ist heutzutage echt häufig!) Bitte versuch dir aus einer Computerzeitschrift eine Live-CD/Stick zu besorgen, ändere vorsichtshalber alle Passwörter und klemm vorher die Festplatte ab. Damit das Live system nix von der platte (sofern eine Lücke vorhanden) nachladen kann.
:
Bearbeitet durch User
Kilo S. schrieb: > Nano will uns seine Meinung aufzwingen, Bitte rede nicht von uns, wenn du nur eine Person bist.
Kilo S. schrieb: > oszi40 schrieb: >> Man kann eine Sache auch zwanzig Jahre lang falsch machen."? > > Kann man, irren ist ja eben menschlich. Ja, wo oszi40 Recht hat, hat er Recht: Nur weil jemand irgendetwas soundso lange macht, ist es noch lange nicht richtig. Die Frage war aber: Der Server ist seit 10 Jahren jede Minute Angriffen ausgesetzt und doch nicht kompromittiert. Warum? Nano schrieb: > Weil das beim Planen eines Sicherheitskonzepts nicht relevant ist Wahrscheinlichkeiten sind beim Planen eines Sicherheitskonzeptes nicht relevant? Ernsthaft?
Nano schrieb: > Bitte rede nicht von uns, wenn du nur eine Person bist. Bei samwise versuchst du es auch! Und nicht nur bei mir. Kilo S. schrieb: > ändere vorsichtshalber alle Passwörter und klemm vorher die Festplatte > ab. So manches fiese "Kerlchen" versteckt sich u.a (länger her) im MBR, Uefi/Bios. Also besser:"Save then Sorry". Jetzt is das Kind ja schon in den Brunnen gefallen.
Niemand schrieb: > Mal ein wenig Abwechslung hier rein? > Habe heute wieder eine eMail bekommen mit Erpressungsversuch, es hätte > der anonyme Hacker geschafft auf einer Schmuddel-Webseite Schad-Code zu > platzieren, die in meinem System sämltiche privaten und geschäftlichen > Kontakte und Dokumente entwendet hätte. > Weiter hätte er meine Web-Cam aktiviert und mich beim Onanieren gefilmt, > und will nun Bit-Coins, damit er das nicht an meinen Bekanntschaft > weiter gibt. > Bis dahin ja eigentlich ganz lustig, aber nun kommts, er weiß eines > meiner Passwörter im Klartext und hat mich damit über gleich 2 > email-Accounts damit angeschrieben. Die Passwörter wurden höchstwahrscheinlich von der Passwortsammlung Collection 1-5, die im Januar bekannt wurde, abgegriffen. https://www.heise.de/security/meldung/Neue-Passwort-Leaks-Insgesamt-2-2-Milliarden-Accounts-betroffen-4287538.html Wie du überprüfen kannst, ob die beiden Passwörter in dieser Passwortdatenbank enthalten ist, kannst du auf folgender Webseite nachlesen: https://haveibeenpwned.com/Passwords Für die Prüfung gibt es drei Möglichkeiten. 1. Du lädst die gehashte Passwortdatenbank herunter, bildest aus deinen zwei Passwort jeweils einen Hash und schaust nach, ob der da drin ist. Wie das geht, habe ich in einem älteren Thread hier in diesem Forum beschrieben. 2. Du bildest einen Hash von deinen Passwort und nutzt die API dieser Webseite, bei der du dann nur die ersten n Zeichen des Hashs übermittelst. Wie viele das genau waren, kannst du auf der Webseite nachlesen. Die Webseite liefert dir dann ein Ergebnis an Hashwerten zurück. Diese musst du jetzt nur noch mit dem Hash deiner beiden eigenen Passwörter vergleichen. 3. (nicht zu empfehlen) Du gibst das Passwort auf dem dafür gedachten Eingabefeld der Webseite ein. Aus dem Passwort wird dann per Javascript auf deinem Browser ein Hash gebildet und wie in 2. nur ein Teil des Hash wirklich an die Webseite übertragen. Danach bekommst du eine Anzahl an verschiedenen Hashs zurück, wenn etwas gefunden wurde und das Javascript Skript wertet diese dann aus und sagt dir dann, ob dein Passwort dabei ist oder nicht. Da das ganze lokal auf deinem Browser läuft und die Webseite somit dein Passwort nicht im Klartext erhält, kann man das zwar benutzen, aber zu empfehlen ist es trotzdem nicht, weil du nie wissen kannst, ob jetzt gerade diese Webseite kompromittiert und das Javascript ersetzt wurde. Gut, du könntest das Javascript noch überprüfen, aber dazu müsstest du Javascript Code lesen und verstehen können, was ich jetzt nicht weiß. Sollte ich Recht behalten, dann musst du dir über die Mail keine Gedanken machen. Du solltest aber dringend dann die beiden Passwörter ändern. Auch noch zu beachten ist, dass die Passwörter aus Collection 2-5 sich NICHT in der gehashten Passwortliste befinden. D.h. selbst, wenn dein Passwort nicht gefunden wurde, könnten es die Schreiber dieser E-Mail aus Collection 2-5 gestohlen haben.
Niemand schrieb: > er weiß eines > meiner Passwörter im Klartext und hat mich damit über gleich 2 > email-Accounts damit angeschrieben. Der Formulierung "eines meiner Passwörter" entnehme ich, dass Du eine begrenzte Anzahl Passwörter verwendest und diese (vielleicht je nach "Sicherheits-Kategorie") für verschiedene Zwecke mehrfach verwendest. Solltest Du diese Passwörter z.B. beim Online-Handel in irgendwelchen Web-Shops eingesetzt haben, dann ist es durchaus möglich, dass sie dort "verloren" gegangen sind. Das ist mir in den letzten ca. 5 Jahren zweimal passiert - d.h. von zwei Vorkommnissen wurde ich unterrichtet. Wie oft derartige Einbrüche unentdeckt geblieben sind oder aber der Shop-Betreiber dachte, es sei für seine Kundenbeziehungen besser, wenn er lieber nichts sagt... Leuten, die im 21. Jahrhundert Passwörter noch unverschlüsselt speichern, ist alles zuzutrauen. Listen mit so erlangten Passwort/E-Mail Kombinationen kannst Du kaufen/herunterladen. Daher: keine Nutzerkonten in Webshops anlegen. Wenn unbedingt nötig, dann eine Wegwerf-Adresse verwenden. Nie der Bequemlichkeit halber auch noch Zahlungsdaten im Shop, bei Amazon oder sonst wo speichern. P.S.: Sehr schön, da bringt nano doch auch gleich die Internet-Adresse die ich gerade suchte. Da macht er doch mal was Nützliches. ;-)
:
Bearbeitet durch User
Np R. schrieb: > Nano schrieb: >> Weil das beim Planen eines Sicherheitskonzepts nicht relevant ist > Wahrscheinlichkeiten sind beim Planen eines Sicherheitskonzeptes nicht > relevant? Ernsthaft? Echte Sicherheit muss Vorrang haben. Echte Sicherheit bedeutet also, Backupfestplatte vom Rechner abklemmen. Es ist keine Sicherheit, wenn du die Backupfestplatte am Rechner angeschlossen lässt, dich durch Wahrscheinlichkeiten in falscher Sicherheit wähnst und aufgrund der geringeren Verbreitung von Linux auf dem Desktop feste daran glaubt, dass dein Linux System nicht kompromittiert werden würde. Denn GLAUBE ist keine Sicherheit. Es sollte nicht zum Sicherheitskonzept gehören, wenn man es auch richtig durch abtrennen der Festplatte lösen kann.
Nano schrieb: > Kilo S. schrieb: >> Nano will uns seine Meinung aufzwingen, > > Bitte rede nicht von uns, wenn du nur eine Person bist. Liebe/r nano, Kilo S. ist hiermit offiziell autorisiert in genau dieser Angelegenheit den Plural zu benutzen. ;-) Das ist aber doch wurscht, denn "wahr" und "falsch" werden doch nicht demokratisch entschieden. Du musst einfach nur das bessere Argument haben.
:
Bearbeitet durch User
Kilo S. schrieb: > Nano schrieb: >> Bitte rede nicht von uns, wenn du nur eine Person bist. > > Bei samwise versuchst du es auch! > > Und nicht nur bei mir. Du kannst nicht für ihn sprechen. Ebenso übersiehst du die Beiträge der anderen, z.B. von Dr. Sommer die bspw. deiner Position ebenfalls widersprechen. Hier sind zwei Beispiele: Beitrag "Re: Backups - Sicherheit vor Viren" Beitrag "Re: Backups - Sicherheit vor Viren"
Nano schrieb: > Es ist keine Sicherheit, wenn du die Backupfestplatte am Rechner > angeschlossen lässt, dich durch Wahrscheinlichkeiten in falscher > Sicherheit wähnst und aufgrund der geringeren Verbreitung von Linux auf > dem Desktop feste daran glaubt, dass dein Linux System nicht > kompromittiert werden würde. Kilo S. schrieb: > Ich hab nie behauptet das es keine Viren, Trojaner o.ä für linux gibt. > > Nur das deren Verbreitung nicht so ausgeprägt ist wie für OS-X, Windows > usw... Nano schrieb: > Denn GLAUBE ist keine Sicherheit. Es sollte nicht zum Sicherheitskonzept > gehören, wenn man es auch richtig durch abtrennen der Festplatte lösen > kann. Kilo S. schrieb: > Eine Kopie (Mit DD Geklont) des Betriebssystem ist auf einer nicht im > Rechner befindlichen SSD Festplatte (Wechselrahmen) deren Passwörter > nach dem Klonen geändert wurden und die daten liegen auf einer mit einem > weiteren 13 Stelligen Passwort verschlüsselten 1TB HDD im Rechner, ein > Backup auf einer 2,5 Ext. USB mit 1TB und eigenem Passwort zur > verschlüsselung. Ich seh bei Nano keine besserung! Alles was er hier anspricht wurde bereits von mehreren usern hier gesagt! Und natürlich wird die USB Platte nur zum Backup angeschlossen, das ist alleine vom logischen denken her das einzig richtige!
Np R. schrieb: > Daher: keine Nutzerkonten in Webshops anlegen. Wenn unbedingt nötig, > dann eine Wegwerf-Adresse verwenden. Nie der Bequemlichkeit halber auch > noch Zahlungsdaten im Shop, bei Amazon oder sonst wo speichern. Den Vorschlag mit der Wegwerf Adresse teile ich nicht. Shops wie Amazon sind weit mehr als nur ein Shop der Waren verschickt. Kauft man eine Musik CD, dann kriegt man auf seinen Account die CD auch als digitalen Download gutgeschrieben. Bei einem Verlust oder Vergessen des Passworts kann man das PW mit seiner E-Mail Adresse erneuern, hat man in dem Fall eine Wegwerf Adresse angegeben, dann kommt man nicht mehr an seinen Account heran. Ähnliche Probleme können bei der Reklamation oder 2 Faktor Authentifizierung entstehen. Deswegen empfehle ich eher folgendes: 1. Wenn vermeidbar, dann kein Nutzerkonto anlegen. 2. Wenn nicht vermeidbar, dann mit einer richtigen E-Mail Adresse anlegen, die man nur für Einkäufe und Accounts, die einem Geld kosten, verwendet. 3. Für jeden Shop ein anderes und sicheres und ausreichend langes Passwort verwenden. Das ist zwingend, wenn man wissen will, welcher Shop seine Daten verloren hat, dann kann man das später anhand anhand solcher öffentlichen Passwort Hashdatenbanken herausfinden. 4. Niemals Zahlungsdaten Dauerhaft im Shop anlegen. 5. Bei Shops, bei denen man auf Rechnung bestellen kann, ist hohe Vorsicht anzuraten. Denn die Schicken die Ware auch mal los, wenn das Geld noch nicht überwiesen wurde. Sollte dann der eigene Account kompromitiert sein und es nicht das Verschulden des Händlers ist, was nachzuweisen ist, dann hat man ein Problem. Man haftet nämlich für seinen Account und muss daher die Zugangsdaten sicher verwahren und ordentliche Passwörter verwenden. Das gleiche Passwort mehrmals woanders zu verwenden, wäre auch fahrlässig. Bei Shops, die nur Nachnahme oder Vorkasse die Ware verschicken dürfte das Problem nicht so groß sein, dennoch sollte man hier natürlich auch sichere Passwörter verwenden. 6. Für Foren, Soziale Netzwerke und sonstige privaten Dinge sollte man eine separate E-Mail Adresse verwenden. 7. Die Verknüpfung, welches Passwort man bei welchem Shop verwendet hat, sollte man sich natürlich merken und im Zweifelsfall aufschreiben und die Liste sicher verwahren.
Np R. schrieb: > Nano schrieb: >> Kilo S. schrieb: >>> Nano will uns seine Meinung aufzwingen, >> >> Bitte rede nicht von uns, wenn du nur eine Person bist. > > Liebe/r nano, > Kilo S. ist hiermit offiziell autorisiert in genau dieser Angelegenheit > den Plural zu benutzen. ;-) In dem Fall kann er nur für dich sprechen, nicht aber für die anderen, die euch beide schon korrigieren mussten.
Kilo S. schrieb: > Ich hab nie behauptet das es keine Viren, Trojaner o.ä für linux gibt. > > Nur das deren Verbreitung nicht so ausgeprägt ist wie für OS-X, Windows > usw... Ja glaubst, dass man nicht angegriffen werden würde, weil die Verbreitung geringer ist, wäre kein Glauben? Kilo S. schrieb: > Ich seh bei Nano keine besserung! Die ist eher bei dir zu beobachten. Mit dir zu diskutieren ist wie am Stammtisch zu diskutieren, bei dem du Halbwissen als Argument vorbringst und dann auch noch glaubst, dass du damit Recht hättest. > Und natürlich wird die USB Platte nur zum Backup angeschlossen, das ist > alleine vom logischen denken her das einzig richtige! Ich habe dir ja jetzt schon mehrfach gesagt, dass du die Frage des Threadstarters noch einmal lesen solltest.
Lach ... Nano, bitte lerne Kpmpromissbereitschaft! Oder Akzeptiere bitte das du nichtnder einzige bist der Ahnung hat! Du meinst ja auch man müsse (was macht ein Zero Day?!, Achtung! Die frage ist an Nano gestellt. Bitte lasst ihn zuerst Antworten)zum kompromittierten eines System keine möglichkeit haben code im Userspace/Ram/Kernel oder von der CPU/Bios/Uefi ausführen lassen zu können. Ich weiß was da wieder von ihm kommt, deswegen löse ich es selbst gleich mit auf: Um ein system zu kompromittierten, musst du eine möglichkeit (Zero, Exploit, Virus, Trojaner, Webshell, RFI, LFI, RCE, XSS usw...) haben den code auf dem zielsystem auszuführen. Unsichere passwörter, schlechte oder nicht konfigurierte Rechte, Schlechter oder Unsicherer Server Deamon, Fehlerhaftes Programm/Web-Applikation, Physischer zugriff aus das System, Infizierter stick, Netzwerkverbindung.... Das geht nur über drei möglichkeiten: WHITE-Hat: du kennst die lücke und hast genügend Informationen dazu, nutzt sie und bist drin! GREY-Hat: Teilweise informationen, findest du nach prüfung die Lücke. BLACK-Hat: Greifst auf Verdacht an und findest ein einfallstor! So... und nun wiederlege das doch mal! O.T: Erst mal Musik! Den feier ich mir gerade so übel! https://youtu.be/0y-GACXtvlk
:
Bearbeitet durch User
A. K. schrieb: > Jemand schrieb: >> Bis dahin ja eigentlich ganz lustig, aber nun kommts, er weiß eines >> meiner Passwörter im Klartext und hat mich damit über gleich 2 >> email-Accounts damit angeschrieben. > > Gehe ich recht in der Annahme, dass dieses Password eine Webseite > kennenlernte, oder sonst einen Internet-Dienst? keine Ahnung, die Prüfung meines Browsers mit dem Passwort in Verbindung mit nur einer Webseite war etwas unglaubwürdig, denn 1. eine deutsche und 2. eine gewerbliche ... aber auch dort sitzen nur einfache Leute als Mods und Admins > Man nehme eine Liste aufgeflogener Passwörter, bei denen auch die > Mailadresse dabei steht. Dann schreibe man diese Leute an und jage ihnen > mit der Nennung des Passwords Angst ein. Zu deiner Theorie hast du auch einen passenden Gegenbeweis, weil so Listen mit aufgeflogenen Passwörtern und zugehörigen email-Addys hört sich richtig einfach und sogar logisch an. Irgendwo war da vor Kurzem auch was von zu lesen, den Link dazu hast du nicht zufällig? War wohl glaube ich bei heise auch drin?
oszi40 schrieb: > Dau-Hat? rm -r ? Andere Bezeichnung für "Cracker", also jemand der aus Habgier, Schadenfreude, Spionage o.ä Handelt. Meist bzw. Immer um schaden an femden Systemen zu verursachen. https://en.m.wikipedia.org/wiki/Black_hat
Kilo S. schrieb: > Hast du vor kurzem von "Kunden" PDF's, V-Cards oder sowas erhalten? nein keine und wenn werden die vorher geprüft > Bei Facebook und Whatsapp gabs doch vor kurzem wieder mal so nen > Blödsinn wegen der Passwörter im klartext. bin weder bei WA noch bei FB > OS? > Neue Software installiert? > Aktuell? > Aus welchen Quellen? > > Hatten Dritte (auch mitarbeiter) Zugang zu deinem Netzwerk oder System? > > Versuch doch mal deine letzten "Schritte" am Rechner nachzuvollziehen. > > Vielleicht kann man dann die quelle des Angriff etwas eingrenzen. > > NICHT! Zahlen. Das ist nicht die erste EMail von dem Kaliber, nur das spez. Passwort machte mich etwas stutzig, wobei ich ja natürlich auch eine Web-cam an meinem PC habe? Die Email kam noch dazu von dort IP address: 217.19.239.61 hostname: 217.19.239.61.static.hosted.by.combell.com ISP: Sentia N.V. Organization: COMBELL Network City: Brussels Aller bisheriger Quark kam nicht aus Europa. Wer auf solchen Schwachsinn hin zahlt, der kann mir auch gleich sein Geld geben. Musste natürlich erstmal alle Möglichkeiten prüfen, und habe den Webseiten- betreiber mit der Kombination erstmal angeschrieben. Bisher keine Rückmeldung. Auf meinem PC läuft MSE und ich halte das eher wie A.K. für ne Luft-Nr..
Kilo S. schrieb: > Lach ... Nano, bitte lerne Kpmpromissbereitschaft! Oder Akzeptiere > bitte das du nichtnder einzige bist der Ahnung hat! Deine Aussage ist die folgende: =============================== Eine geringere Verbreitung des OS auf dem Desktop führt zu einer höheren Sicherheit, da es aufgrund der geringeren Verbreitung seltener angegriffen wird. Meine Aussage ist diese: ======================== Eine geringere Verbreitung des OS führt zu keiner höheren Sicherheit, da die Sicherheit eines Systems nicht von dessen Verbreitungsgrad abhängig ist. Es ist richtig, dass Angriffe wahrscheinlich seltener durchgeführt werden, aber absolut betrachtet wird die Sicherheit dadurch nicht höher. Security by Obscurity ist kein Sicherheitsgewinn. Fazit: ====== Der Fall ist technisch so klar, dass man sich da gar nicht darüber streiten muss. Aber du glaubst ja auch, dass man das Root Passwort erraten muss, um root Zugriff zu erhalten. Und da fängt eben bei dir das Halbwissen und Stammtischgequatsche an. Die Wikipedia übersetzt "Security by Obscurity" mit "Sicherheit durch Unklarheit". Man kann inhaltstreu "Obscurity" aber auch mit Verdunkelung, Verheimlichung, Verbergen übersetzen und das ist eben genau das, wenn man ein OS mit geringerer Verbreitung einsetzt und dann glauben will, dass die Sicherheit dadurch gestiegen wäre. Kann man Sicherheit garantieren, wenn man Code hätte, der absolut perfekt wäre? Wäre dies mathematisch beweisbar, dass der Code keine Fehler hätte, dann könnte man das sogar. Aber man kann nicht Sicherheit garantieren, wenn man sagt, weil ein Code nur von 2-5% der User eingesetzt wird, dass man deswegen nicht angegriffen werden würde bzw. man Sicherheit hätte. Da fängt nämlich der Glaube an. > Du meinst ja auch man müsse (was macht ein Zero Day?!, Achtung! Die > frage ist an Nano gestellt. Bitte lasst ihn zuerst Antworten)zum > kompromittierten eines System keine möglichkeit haben code im > Userspace/Ram/Kernel oder von der CPU/Bios/Uefi ausführen lassen zu > können. Hä? Wo soll ich so etwas geschrieben haben? Verwechselst du das jetzt mit dem Punkt, wo ich dir gesagt habe, dass man bei physikalischem Zugriff auf den Rechner auf eine nicht verschlüsselte Partition mit einem Live USB Stick auf diese Partition zugreifen könnte? Und was deine Frage bezüglich Zero Day betrifft? Was bitteschön willst du mit so einer Frage erreichen? Ich weiß zwar was ein Zero Day ist, aber die Frage ist doch völlig unsinnig, weil eine Antwort darauf, nicht beweisen würde, ob ich die Antwort bereits wusste, oder einfach im Internet nachgelesen hätte. Es ist genauso unsinnig, wenn ich dir sagen würde, dass ich Datenschutz und Datensicherheit als Studienfach gehabt hätte, du könntest es trotzdem nicht überprüfen. > So... und nun wiederlege das doch mal! Warum soll ich das widerlegen? Du hast das schön zusammengefasst, allerdings hast du die Variante mit dem Hammer vergessen.
Niemand schrieb: > bin weder bei WA noch bei FB Dito! Niemand schrieb: > Auf meinem PC läuft MSE und ich halte das eher wie A.K. für ne Luft-Nr.. Ja, das kann ich mir ebenfalls am ehesten vorstellen. Niemand schrieb: > nein keine und wenn werden die vorher geprüft Eben aus genau dem Grund. Ich Schätze dich nicht als Dau ein. Niemand schrieb: > IP address: 217.19.239.61 > hostname: 217.19.239.61.static.hosted.by.combell.com > ISP: Sentia N.V. > Organization: COMBELL Network > City: Brussels Könnte sein das der Server Kompromittiert wurde und er kunden dort erpresst, was nach den Informationen am wahrscheinlichsten erscheint. ;-)
:
Bearbeitet durch User
Nano schrieb: > Wenn der Standardaccount, also der mit einfachen Rechten, kompromittiert > wurde, dann wird in der Regel weitere Schadsoftware nachgeladen um mit > dieser andere Sicherheitslücken auszunutzen, die es dem Angreifer > ermöglichen root Rechte zu erlangen. > Und wenn ein Angreifer erst einmal lokale Rechte, durch Kompromittierung > eines einfachen Benutzeraccounts erreicht hat, dann ist es oftmals > wesentlich einfacher, anschließend root Rechte zu erlangen. Was überhaupt erst mal voraussetzt das er das System kompromittieren konnte! Was beim sicherheitskonzept von linux, der schwereren Erreichbarkeit eines nicht öffentlich zugänglicheb Heimcomputer und den hier vorgeschlagenen Maßnahmen zur sicherung wie wahrscheinlich ist?! Klar, IPv6 Kann heutzutage durchaus ein einfallstor sein, Sicherheitslücken in Programmen (Browser usw..) natürlich auch. Np R. schrieb: > In der Praxis insbesondere des Heim-Anwenders ist dies nicht > praktikabel. > > In der Theorie ist jedes System unsicher, das eine Sicherheitslücke hat > oder haben könnte. Denn auch wenn die Lücke noch nicht allgemein bekannt > ist oder erst morgen entdeckt wird, ist sie eine Gefahr. > > In der Praxis muss eine Sicherheitslücke erst einmal durch einen > praktikablen Exploit ausgenutzt werden können (Sicherheitslücken, die > z.B. nur dann genutzt werden können, wenn physischer Zugang zum Rechner > besteht, sind für Heimanwender reichlich uninteressant). Dann muss ein > Exploit vielversprechend genug sein, dass dafür jemand Schadsoftware > schreibt (was er z.B. nicht tun wird, wenn die Lücke nicht verbreitet > ist oder bei jedem Rechner individuell anders genutzt werden muss). Dann > muss die Software geschrieben sein und Verbreitung finden, bevor die > Lücke bekannt und geschlossen wird (da hast Du bei Windows übrigens > deutlich mehr Zeit). > Und schließlich muss der Anwender sein System schutzlos dem > Verbreitungsweg aussetzen. > In der Praxis sieht es also für ein Linux-System ziemlich rosig aus. > Daran kommst Du nicht vorbei. Weder in der Theorie durch theoretische > Betrachtung von Sicherheitsfeatures noch ganz empirisch in der Praxis. > > Und das Argument, Linux sei Sicherheit durch Obscurity, ist sowohl in > der Theorie als auch in der Praxis völliger Unsinn. ACK! P.S Die größte lücke ist der unbedarfte User. Nähmlich durch:Social Engineering(Ungeprüfte mailanhänge, Phishing Mails), in der heutigen Zeit. Danach kommen Exploits und Lücken in Programmen, Zero Day Exploits....
:
Bearbeitet durch User
Kilo S. schrieb: > Nano schrieb: >> Wenn der Standardaccount, also der mit einfachen Rechten, kompromittiert >> wurde, dann wird in der Regel weitere Schadsoftware nachgeladen um mit >> dieser andere Sicherheitslücken auszunutzen, die es dem Angreifer >> ermöglichen root Rechte zu erlangen. >> Und wenn ein Angreifer erst einmal lokale Rechte, durch Kompromittierung >> eines einfachen Benutzeraccounts erreicht hat, dann ist es oftmals >> wesentlich einfacher, anschließend root Rechte zu erlangen. > > Was überhaupt erst mal voraussetzt das er das System kompromittieren > konnte! > > Was beim sicherheitskonzept von linux, der schwereren Erreichbarkeit > eines nicht öffentlich zugänglicheb Heimcomputer und den hier > vorgeschlagenen Maßnahmen zur sicherung wie wahrscheinlich ist?! Man kann dir trotzdem E-Mail Anhänge schicken, die auf Linux Systeme bzwl. deine Distribution spezifiziert sind. Prinzipiell bildet Linux hier keine Ausnahme und dennoch argumentierst du hier wieder mit der Wahrscheinlichkeiten und einer geringen Verbreitung und darin liegt dein Fehler. > Sicherheitslücken in Programmen (Browser usw..) natürlich auch. Eben. > > Np R. schrieb: >> Und das Argument, Linux sei Sicherheit durch Obscurity, ist sowohl in >> der Theorie als auch in der Praxis völliger Unsinn. > > ACK! Ihr beiden habt es nicht verstanden. Außerdem sagte ich nicht, das Linux sei SIcherheit durch Obscurity, das hat Np R. nicht richtig gelesen, bzw. mir unterstellt, sondern ich sagte, der Glaube, Sicherheit durch eine geringere Verbreitung zu erlangen ist scheinbare Security by Obsycurity und diese Aussage ist richtig, da die geringere Verbreitung kein mehr an Sicherheit bietet. Es ist hier prinzipiell völlig egal, ob das nun Linux, FreeBSD oder ein sonstiges vergleichbares OS ist. Das traurige ist allerdings, dass du nicht dazu lernst oder nicht lernen willst. Denn in folgendem älteren Kommentar, habe ich es dir noch einmal deutlich beschrieben: Beitrag "Re: Backups - Sicherheit vor Viren"
Oder anders gesagt. Eine einzelne IP zu scannen und ein privates Netzwerk anzugreifen beschränkt die anzahl möglicher Ziele auf die anzahl Clients im Netzwerk. Einen gut besuchten Server zu Hacken und von dort aus alle Clients die den Server besuchen anzugreifen erhöht die anzahl von Zielen die durch die verwendete Lücke angreifbar sind drastisch. Was wird der Hacker wohl höchstwahrscheinlich tun? Genau, er versucht vom Server aus schadsoftware zu verbreiten um von 10.000 Client's vielleicht 3000 zu infizieren die von der lücke betroffen sind.
Nano schrieb: > Ihr beiden habt es nicht verstanden. Du argumentierst Unlogisch! Ein Ziel bringt dir ein mal Loot! 10.000 Ziele von denen 3000 infiziert werden können bringen dir 3000 Mal loot. Effizienz!
:
Bearbeitet durch User
Kilo S. schrieb: > Nano schrieb: >> Ihr beiden habt es nicht verstanden. > > Du argumentierst Unlogisch! Nein, das tue ich nicht. Weil ich von Sicherheitsstrategien spreche und dd von etwas ganz anderem. > > Ein Ziel bringt dir ein mal Loot! > > 10.000 Ziele von denen 3000 infiziert werden können bringen dir 3000 Mal > loot. > > Effizienz! Und was wenn das den Hacker alles nicht interessiert, weil er es auf genau deinen Rechner abgesehen habe? Wo ist deine Sicherheit jetzt? Siehste! Übrigens: Neulich habe ich mich mit jemandem unterhalten, der das Problem hatte, das seine Patentanmeldungen alle abgelehnt wurden, weil seltsamerweise immer ein paar Tage vorher jemand mit der gleichen Idee und Lösung beim Patentamt eine Patentanmeldung angemeldet hat. Es war sogar immer der gleiche. Er konnte sich das nicht erklären. Dazu, ihm zu sagen, dass das zwar Zufall sein könnte oder aber auch alternativ, sein Rechner auch kompromittiert sein könnte, dazu kam ich leider nicht mehr, aber in letzterem Fall ist man natürlich ein interessantes Ziel, wenn man seine patentierfähigen Ideen auf seinem Rechner entwickelt und auf die Sicherheit des Rechners nicht achtet bzw. sich in falscher Sicherheit wiegt.
Nano schrieb: > Und was wenn das den Hacker alles nicht interessiert, weil er es auf > genau deinen Rechner abgesehen habe? Wie soll er das vorher Wissen wenn er dich und dein system nicht kennt?! Np R. schrieb: > Weil sich irgendein Krimineller dafür interessiert, wo Du Deine > Unterwäsche kaufst? > Oder weil er Deinen Rechner für ein Bot-Net für Spam-Mails braucht? Nano schrieb: > Wo ist deine Sicherheit jetzt? Im Konzept das sich jeder user selbst zurecht legen muss. Nach Betrachtung der möglichen szenarien. Nano schrieb: > wenn man seine patentierfähigen Ideen auf seinem Rechner entwickelt und > auf die Sicherheit des Rechners nicht achtet bzw. sich in falscher > Sicherheit wiegt. Was das Ziel Lohnenswert macht! Ein Heimanwender von dem du eben nicht weißt ob er verwertbare daten auf dem system hat wird nicht aus jucks angegriffen. Und schon gar nicht direkt! Kilo S. schrieb: > Genau, er versucht vom Server aus schadsoftware zu verbreiten um von > 10.000 Client's vielleicht 3000 zu infizieren die von der lücke > betroffen sind. Er wird so viele daten abgreifen wie möglich um sich die lukrativen daraus zu sammeln um eben mehr lukrative Datensätze zu haben und zu Nutzen bzw. Verkaufen. Auf den Steuer-CD's waren wie viele Datensätze? Genau! NICHT nur einer! Nano schrieb: > Dazu, ihm zu sagen, dass das zwar Zufall sein könnte oder aber auch > alternativ, sein Rechner auch kompromittiert sein könnte Was wiederum wie passiert ist? Np R. schrieb: > Listen mit so erlangten Passwort/E-Mail Kombinationen kannst Du > kaufen/herunterladen. Schneller, Effizienter und lukrativer. Wahrscheinlicher als ein direkter Angriff auf einen einzelnen Computer. Google erhebt auch Alle daten und verwertet nur die lukrativsten bzw. Verwertet alle. Warum sollten sie das nur bei einem machen?!
:
Bearbeitet durch User
Und nun sind wir wieder beim thema: Es gibt mehr heimcomputer mit Windows und Android als mit Linux, weshalb ein hacker auf die größte Zielgruppen gehen wird. Entsprechend ist es zwar möglich das auch ein Linux infiziert wird, jedoch weniger oft als ein Windows oder Android! Und zusätzlich ist Linux vom sicherheitskonzept auch ausgefeilter als Windows. Und da kannst du nun versuchen zu argumentieren wie du willst! Es ist einfach so. Es lohnt für Hacker nicht systeme zu infizieren deren Anteil im internet geringer ist als der von Windows. Die menge macht's, daraus die qualitativ besten die sich an den höchstbietenden verkaufen lassen.
Kilo S. schrieb: > Nano schrieb: >> Und was wenn das den Hacker alles nicht interessiert, weil er es auf >> genau deinen Rechner abgesehen habe? > Wie soll er das vorher Wissen wenn er dich und dein system nicht kennt?! Woher willst du das wissen? Jemand der dich kennt und deine E-Mail kennt, der kann unter einer anderen E-Mail Adresse dir natürlich Anhänge zuschicken und darauf hoffen, dass du sie öffnest. Je besser man das Opfer kennt, desto leichter ist das mit dem Social Engineering. > Nano schrieb: >> wenn man seine patentierfähigen Ideen auf seinem Rechner entwickelt und >> auf die Sicherheit des Rechners nicht achtet bzw. sich in falscher >> Sicherheit wiegt. > > Was das Ziel Lohnenswert macht! > > Ein Heimanwender von dem du eben nicht weißt ob er verwertbare daten auf > dem system hat wird nicht aus jucks angegriffen. Habe ich nicht behauptet, aber darum geht es auch gar nicht. Sondern darum, ob es du eine erhöhte Sicherheit dadurch hast, dass Linux eine geringe Verbreitung hat und das ist eben nicht der Fall. > > Kilo S. schrieb: >> Genau, er versucht vom Server aus schadsoftware zu verbreiten um von >> 10.000 Client's vielleicht 3000 zu infizieren die von der lücke >> betroffen sind. > > Er wird so viele daten abgreifen wie möglich um sich die lukrativen > daraus zu sammeln um eben mehr lukrative Datensätze zu haben und zu > Nutzen bzw. Verkaufen. > > Auf den Steuer-CD's waren wie viele Datensätze? > > Genau! NICHT nur einer! Ich verstehe jetzt zwar nicht, warum du auf deine eigenen Kommentare antwortest, aber nun denn. Oder nutzt du hier zwei Accounts und hast einen Flüchtigkeitsfehler begangen mit dem richtigen das Kommentar zu schreiben?
Nano schrieb: > Sondern darum, ob es du eine erhöhte Sicherheit dadurch hast, dass Linux > eine geringe Verbreitung hat und das ist eben nicht der Fall. Doch, der größte teil an schadsoftware im Netz zielt auf die größten Zielgruppen ab. Weniger viele schadprogramme für ein Betriebssystem reduzieren die warscheinlichkeit einer Infektion drastisch! Du kaufst ja auch nicht für 1€ Mehl, wirfst für 50ct den mixer an und Bäckst danach für 2€ Stromkosten, wenn du für gerade mal 2€ ein fertiges Brot bekommst mit dem du weniger arbeit hast. Es sei denn du kannst dein Brot danach für 50€ verkaufen. Ein Hacker wird ebenso wenig einen trojaner für ein Betriebssystem schreiben dessen Verbreitung geringer ist (weniger verfügbare Datensätze) als eher für eines mit dem er eben nur ein mal einen code schreiben muss und danach XX% aller user im Netz infizieren kann und somit das X-fache an verwertbaren Datensätzen bekommt! Nano schrieb: > Ich verstehe jetzt zwar nicht, warum du auf deine eigenen Kommentare > antwortest, aber nun denn. > Oder nutzt du hier zwei Accounts und hast einen Flüchtigkeitsfehler > begangen mit dem richtigen das Kommentar zu schreiben? Damit du vielleicht beim zweiten oder dritten mal lesen die Logik hinter dieser Überlegung verstehen kannst!
:
Bearbeitet durch User
exploit-db.com Filter: Remote, Linux: 899 Einträge! Filter: Remote, Windows: 3,530 Einträge! Noch fragen?!
:
Bearbeitet durch User
Kilo S. schrieb: > Weniger viele schadprogramme für ein Betriebssystem reduzieren die > warscheinlichkeit einer Infektion drastisch! Sie reduzieren die Wahrscheinlichkeit einer Infektion, sie erhöhen aber nicht die Sicherheit. Ein kleiner, aber feiner Unterschied. Nach deiner Logik wäre man mit Windows 95 sicherer als mit Linux, weil es nur noch einen Bruchteil des Marktanteils von Linux inne hat. Eine andere fiktive Fallbetrachtung, anhand man deine Logik überprüfen kann: Es sei gegeben ein Betriebssystem mit 95 % Marktanteil, das aber keine Sicherheitslücke hat. Und es sei gegeben ein Betriebssystem mit 5 % Marktanteil, das eine Sicherheitslücke hat. Glaubst du jetzt, dass deine Sicherheit erhöht ist, wenn du das Betriebssystem mit nur 5 % Marktanteil nimmst? Oder ein anderes, weniger abstraktes Beispiel: Die meisten Einbrüche in Häuser finden laut folgendem Artikel Tagsüber statt: https://www.t-online.de/heim-garten/bauen/id_77072262/wann-einbrecher-zuschlagen-nach-uhrzeit-und-monat.html Glaubst du jetzt, dass deine Sicherheit erhöht ist, wenn du um Mitternacht ein Fenster offen stehen lässt?
Nano schrieb: > Sie reduzieren die Wahrscheinlichkeit einer Infektion, sie erhöhen aber > nicht die Sicherheit. Unlogisch, verringertes Risiko ist gleichzeitig eine gesteigerte sicherheit. Denn wo weniger Risiko besteht bist du gleichzeitg sicherer. Ob du das nun (wortklauberei) so wahr haben willst oder nicht. Wie Fahrradfahren mit Helm, egal wie gut du fährst, mit Helm bist du sicherer auch wenn du ohne genauso gut fährst. Linux ist auch vom grundkonzept her sicherer gestaltet, nochmal erhöte sicherheit.
Kilo S. schrieb: > Wie Fahrradfahren mit Helm, egal wie gut du fährst, mit Helm bist du > sicherer auch wenn du ohne genauso gut fährst. Ob du mit oder ohne Helm unter einem LKW liegst ändert an diesem beschissenen Zustand genau garnichts. Ich sehe das auch so, daß "unsicher" und "Wahrscheinlichkeit" getrennt zu betrachten sind. Geringere Wahrscheinlichkeit ist keinesfalls sicherer, es ist nur wahrscheinlicher das Unglück der Betroffenheit nicht erleben zu müssen.
Nano schrieb: >> Liebe/r nano, >> Kilo S. ist hiermit offiziell autorisiert in genau dieser Angelegenheit >> den Plural zu benutzen. ;-) > > In dem Fall kann er nur für dich sprechen, nicht aber für die anderen, Widerspruch um des Widerspruchs Willen. Damit verspielst Du das Vertrauen in Deine Ernsthaftigkeit: Du nimmst entweder Deine Mit-Diskutanten nicht ernst, so dass Du gar nicht liest, was sie eigentlich geschrieben haben und/oder Du nimmst Dich selbst zu ernst, so dass Du fürchterliche Angst vor Gesichtsverlust hast. Kilo S. kann oben den Plural benutzen. Punkt. Aussagen, die richtig sind, sollte man nicht zusammenhanglos "korrigieren". > die euch beide schon korrigieren mussten. Welche "anderen" haben mich wo korrigiert. Der Einzige, der hier laufend versucht, mich zu "korrigieren" bist Du, indem Du mir Aussagen zuschiebst, die Du Dir selber ausgedacht hast um sie dann - tataaa - widerlegen zu können. Strohmänner nennt man solche. Nano schrieb: > Den Vorschlag mit der Wegwerf Adresse teile ich nicht. > Shops wie Amazon sind weit mehr als nur ein Shop der Waren verschickt. Und wieder Widerspruch um des Widerspruchs Willen. Kannst Du das nicht mal lassen? Ist das zwanghaft? Und dann wiederholst Du noch meine Vorschläge und präsentierst sie als etwas Neues. 1. Es gibt eine ganze Reihe Reihe von Shops, die zu einer Anmeldung drängen, die aber nur dem Anbieter dient und nicht dem Kunden. Da sind Wegwerf-Adressen sehr wohl ein wirksamer Teil eines Sicherheitskonzeptes. 2. Es gibt Wegwerf-Adressen mit sehr unterschiedlichen Features und Verfalldaten. Auch bei Amazon kannst Du so eine nutzen, bis Du Deinen Download hast. 3. Wenn Du für Dich entscheidest, dass Du bei Amazon einen Dauer-Account haben willst, dann kannst Du das ja so machen. Dadurch wird daraus aber kein Sicherheitskonzept. 4. Eine bekannte, bewährte und allseits empfohlene Sicherheitsmaßnahme auszuschließen, weil Sie zu Deinem ganz persönlichen Nutzungsprofil in genau einem Fall nicht passt, hat mit Logik wirklich nicht mehr viel zu tun sondern mehr mit Rabulistik.
mal überlegen... schrieb: > Geringere Wahrscheinlichkeit ist keinesfalls > sicherer, es ist nur wahrscheinlicher das Unglück der Betroffenheit > nicht erleben zu müssen. Da wirds sprachphilosophisch, also was genau man unter Sicherheit versteht. Absolute Sicherheit gibt es nicht, weshalb dieser Begriff entweder in fundamentalistischer Interpretation völlig sinnlos ist, oder pragmatisch mit verschieden hohen Hürden und Wahrscheinlichkeiten einher geht.
:
Bearbeitet durch User
Nano schrieb: > Außerdem sagte ich nicht, das Linux sei SIcherheit durch Obscurity, das > hat Np R. nicht richtig gelesen, LOL! Ich habe nicht richtig gelesen? Unterstellst Du nicht ständig anderen Mit-Diskutanten, sie versuchten "Sicherheit durch Obscurity" herzustellen? Wiederholst Du nicht laufend Dein Mantra: Nano schrieb: > Security by Obscurity ist kein Sicherheitsgewinn. um damit effektvoll Aussagen anzugreifen, die Andere überhaupt nicht gemacht haben? Gehst Du nicht jeder Möglichkeit aus dem Weg, Dich zu Deinem Strohmann einer Diskussion zu stellen? Hierauf gab es keine Antwort von Dir: Np R. schrieb: > Dann erkläre mir doch mal das Konzept "Security through obscurity" am > Beispiel von Linux. Und ganz oben, als Erstes hatte ich geschrieben: Np R. schrieb: > Übrigens besitzt Linux zwar eine Menge Features, aber eines ganz sicher > nicht: > > Nano schrieb: >> Sicherheit durch obscurity Und trotzdem unterstellst Du mir, ich wolle mit Linux "Sicherheit durch obscurity" herstellen? Du bist auf dem Holzweg, und das schon eine ganze Weile, aber dafür mit viel Enthusiasmus. 1. Die Behauptung, Linux sei "security through obscurity" ist Blödsinn, Unsinn, Quatsch. Sie anderen unterjubeln zu wollen, um sie dann zu widerlegen, ist Rabulistik. Das kann man anders schöner und eleganter machen. Lies mal Schopenhauers eristische Dialektik. 2. "Security through obscurity" ist ein Argument, das vor 15-20 Jahren pro-Windows gebraucht worden ist, da der Quelltext ja nicht offen und damit "obscured" ist. Linux ist das Gegenteil davon. 3. Ich kann mich auch Deiner Meinung, Linux-Nutzung sei der Versuch, aufgrund der geringen Verbreitung "security through obscurity" herzustellen nicht anschließen und habe dem mehrfach widersprochen. Das ist also Dein Argument allein. Wenn Du es widerlegst, widerlegst Du nur Dich selbst, aber nicht mich. Ich widerspreche nämlich bereits Deiner Prämisse, dass Linux ein uninteressantes, wenig verbreitetes Nischen-OS ist, auf das sich Angriffe nicht lohnen. Linux ist gerade unter solchen solchen Systemen, die für einen Angreifer äußerst lukrativ wären, sehr verbreitet. Hier mal ein Artikel/Thread, in dem es genau darum geht: https://lwn.net/Articles/109395/ 15 Jahre alt! Du bist mehr als 15 Jahre hinter der Zeit! 4. Die Aussage "Security through obscurity" könne nicht Teil eines Sicherheitskonzeptes sein ist dogmatischer Unsinn eines Theoretikers. In der Praxis ist dies häufig Teil eines Gesamtkonzeptes. So macht es z.B. durchaus Sinn, Services nicht auf dem Standard-Port lauschen zu lassen und die Art des Dienstes, Art des OS und die Version des Daemons zu verschleiern.
A. K. schrieb: > Absolute Sicherheit gibt es nicht, weshalb dieser Begriff > entweder in fundamentalistischer Interpretation völlig sinnlos ist, oder > pragmatisch mit verschieden hohen Hürden und Wahrscheinlichkeiten einher > geht. Genau so ist es. Völlige Sicherheit ist das völlige Fehlen eines jeden Risikos. Ein Risiko ist die Wahrscheinlichkeit des Eintretens eines negativen Ereignisses. Völlige Sicherheit gibt's nicht, also muss man sich /in der Praxis/ mit Wahrscheinlichkeiten befassen. Alles Andere wäre theoretischer Dogmatismus. Ein Sicherheitskonzept muss versuchen, die Eintrittswahrscheinlichkeit und die Auswirkungen (meist signifikant beeinflusst durch die Wahrscheinlichkeit der frühzeitigen Entdeckung des Ereignisses) zu minimieren. Da geht es immer um Wahrscheinlichkeiten und zwar in mehreren Dimensionen.
> Da bist wahrscheinlich Du selbst die größte Bedrohung, vor allem, wenn > Du noch nicht lange mit Linux arbeitest. Wenn Du versehentlich Dein > System platt machst, ist es genauso weg, wie wenn das ein Virus macht. Ich habe schon mehrmals mein System aus Versehen plattgemacht. Da hat Timeshift mich immer gerettet. > Ein Linux-System kannst Du aber aus kostenlosen Quellen jederzeit wieder > herstellen - und kannst Dir einigermaßen sicher sein, dass es dann > sauber ist. > Ich bezweifele also, dass TimeShift wirklich die beste Lösung für Dich > ist: > Timeshift is similar to applications like rsnapshot, BackInTime and > TimeVault but with different goals. It is designed to protect only > system files and settings. User files such as documents, pictures and > music are excluded. Deshalb habe ich es so eingestellt, dass auch mein Homeordner gesichert wird. ------------------------------------------------------ Welches Backupprogramm würdet ihr mir denn empfehlen? Laut dem Text von Timeshift, haben BackInTime und Timevault die gleiche Funktionalität, der Fokus liegt aber auf den eigenen Dateien. Die sind logischerweise auch für mich das wichtigste. Mir wäre auch weiterhin wichtig, dass Hardlinks verwendet werden, das spart nämlich ordentlich Platz.
Backup schrieb: > Welches Backupprogramm würdet ihr mir denn empfehlen? Diese Frage wäre wahrscheinlich einen eigenen Thread wert. Es hängt von Deinem Nutzungsverhalten ab: Welche Daten möchtest Du sichern? Was ist Dir wirklich wichtig? Sollen die Backups komprimiert werden? (Würde ich nur im Notfall machen.) Sollen sie verschlüsselt sein? Wenn Du z.B. einen Laptop mit verschlüsselter Festplatte hast, macht es wenig Sinn, daneben eine externe Festplatte mit den unverschlüsselten Backups in der Tasche zu haben. Hast Du einen zweiten Rechner, auf den die Backups sollen? Wie "fit" bist Du mit der command line? Muss das Programm ein GUI haben? Vielleicht macht es bei Dir auch Sinn, unterschiedliche Daten (Verzeichnisse, Systemdateien, "private" Daten, Filme, Fotos) auch unterschiedlich zu handhaben, weil sie unterschiedlich wichtig sind, unterschiedliche Verfallsdaten haben oder sich unterschiedlich oft ändern? usw. Es kommt alles drauf an. Für das System kann z.B. schon ein btrfs oder LVM snapshot reichen. Oder ganz simpel ein Backup von /etc und die Liste der installierten Pakete. Wenn Deine wichtigen Daten aus vielen Klartext-basierten Dateien bestehen, kann rdiff-backup bzw. davon abgeleitete Programme interessant sein (kann Dir aber beim "Expire" Probleme machen.) File-basierte Deduplication (mit hardlinks) bieten alle Programme, die auf rsync aufbauen. Back-in-time z.B. ist sehr umfangreich konfigurierbar aber trotzdem einfach zu beherrschen. Ein bisschen sollte man sich aber mit der Funktionsweise von rsync auskennen, sonst schießt man sich evtl. in den Fuß, wenn man mal seine Platte reorganisiert (dann sind keine Daten hinzugekommen, aber wenn Du es falsch machst, kommt alles neu aufs Backup, ohne hardlinks). Wenn Du viel mit Film-Fragmenten machst, die teilweise nur geschnitten aber nicht neu encoded werden, oder wenn Du an allen Deinen Urlaubsfotos oft die EXIF-Daten änderst, kann chunk-based Deduplication sinnvoll sein. Die Übersicht im Archlinux-Wiki finde ich ganz gut: https://wiki.archlinux.org/index.php/Synchronization_and_backup_programs
:
Bearbeitet durch User
Np R. schrieb: > Nano schrieb: >> Außerdem sagte ich nicht, das Linux sei SIcherheit durch Obscurity, das >> hat Np R. nicht richtig gelesen, > LOL! Ich habe nicht richtig gelesen? Exakt, du hast nicht richtig gelesen. > Unterstellst Du nicht ständig anderen Mit-Diskutanten, sie versuchten > "Sicherheit durch Obscurity" herzustellen? > Wiederholst Du nicht laufend Dein Mantra: > Nano schrieb: >> Security by Obscurity ist kein Sicherheitsgewinn. > um damit effektvoll Aussagen anzugreifen, die Andere überhaupt nicht > gemacht haben? > > Gehst Du nicht jeder Möglichkeit aus dem Weg, Dich zu Deinem Strohmann > einer Diskussion zu stellen? Hierauf gab es keine Antwort von Dir: > Np R. schrieb: >> Dann erkläre mir doch mal das Konzept "Security through obscurity" am >> Beispiel von Linux. > > Und ganz oben, als Erstes hatte ich geschrieben: > Np R. schrieb: >> Übrigens besitzt Linux zwar eine Menge Features, aber eines ganz sicher >> nicht: >> >> Nano schrieb: >>> Sicherheit durch obscurity > > Und trotzdem unterstellst Du mir, ich wolle mit Linux "Sicherheit durch > obscurity" herstellen? Es geht gar nicht um Linux, sondern um Verbergen durch die Nutzung eines System mit geringerem Marktanteil. Auch das ist Sicherheit durch Obscurity. Und genau das habe ich jetzt schon ein dutzend mal dir erklärt, und wie man sieht, hast du es immer noch nicht gecheckt. Du hängst dich dann immer an Linux auf, obwohl ich dir schon ganz oben gesagt habe, dass es um das Prinzipielle geht. Und wenn du dann Sicherheit durch Obscurity mit Linux vermixt und nicht mit "System mit kleinem Marktanteil", dann ist das eben dein Fehler, nicht meiner. Das Prinzipielle bezüglich Security durch Obscurity durch die Wahl eines OS mit geringem Marktanteil gilt für jedes System mit geringem Marktanteil, auch FreeBSD, Haiku, AROS, Minuet und was es sonst noch so gibt. Begreif das mal. > 2. "Security through obscurity" ist ein Argument, das vor 15-20 Jahren > pro-Windows gebraucht worden ist, da der Quelltext ja nicht offen und > damit "obscured" ist. Linux ist das Gegenteil davon. Es geht in diesem Fall aber nicht um den Quelltext, sondern um das Verbergen durch die Nutzung eines OS mit geringem Marktanteil. Also um das Verschwinden unter dem Radar, um das Verstecken und das verknüpft mit dem Glauben, dass man dann Sicherheit gewonnen hätte. > 3. Ich kann mich auch Deiner Meinung, Linux-Nutzung sei der Versuch, > aufgrund der geringen Verbreitung "security through obscurity" > herzustellen nicht anschließen und habe dem mehrfach widersprochen. Das > ist also Dein Argument allein. Wenn Du es widerlegst, widerlegst Du > nur Dich selbst, aber nicht mich. Du musst einfach den Thread mal gründlich lesen und verstehen, wie es gemeint ist, spätestens dann hättest du merken können, dass du auf einer ganz anderen Baustelle bist. Aber das sagte ich ganz oben schon nach deinem allerersten Posting. > 4. Die Aussage "Security through obscurity" könne nicht Teil eines > Sicherheitskonzeptes sein ist dogmatischer Unsinn eines Theoretikers. In > der Praxis ist dies häufig Teil eines Gesamtkonzeptes. So macht es z.B. > durchaus Sinn, Services nicht auf dem Standard-Port lauschen zu lassen > und die Art des Dienstes, Art des OS und die Version des Daemons zu > verschleiern. Dein Dienst wird dadurch nicht sicherer, es sinkt lediglich die Wahrscheinlichkeit, dass dein Dienst gescannt wird. Wenn der aber eine Sicherheitslücke hat, dann ist er auch auf dem anderen Port unsicher. Genauso ist es auch Blödsinn seine SSID zu verstecken, damit erreichst du auch kein mehr an Sicherheit.
Nano schrieb: > Es geht gar nicht um Linux, sondern um Verbergen durch die Nutzung eines > System mit geringerem Marktanteil. Soso - dann halten wir doch einmal fest: 1. Dir geht es nicht um Linux - aber Du greifst mich an weil ich von Linux rede. Kommt Dir das nicht selbst widersprüchlich vor? 2. Es geht Dir also um die Nutzung eines Systems mit geringem Marktanteil. Ja, welches Systems denn? Du wirfst mir die Nutzung eines Systems mit geringem Marktanteil vor, weil ich auf Servern ein System mit großem Marktanteil verwende. Hast Du immer noch nicht gemerkt, dass Du mit Deinen "Fakten" in der Steinzeit lebst? 3. Dir geht es also ums "Prinzipielle", um Haiku, AROS, Minuet und AmigaOS - und was eierst Du mich dann die ganze Zeit an mit einem Argument, das also "off-topic" ist, "not applicable"? 4. Ja, es gibt Gründe dafür, dass rund um den Globus nahezu alle Unternehmen aus nahezu allen Wirtschaftszweigen für verschiedene Aufgaben (verschiedene Server-Dienste, verschiedene Appliances, usw.) Linux verwenden, dass diese Systeme Angriffen ausgesetzt sind und sich seit mehr als 15 Jahren bei diesen Aufgaben bewähren. Über diese Gründe könntest Du Dir ja mal Gedanken machen, wenn Deine Sachkunde oder wenigstens Deine Phantasie über das Argument "geringe Verbreitung" hinaus käme, das vor 15 Jahren bereits überholt war. Nano schrieb: > wird dadurch nicht sicherer, es sinkt lediglich die Wahrscheinlichkeit Ja, ist schon klar. Sicherheit hat nichts mit Wahrscheinlichkeit zu tun. Brandsicherheit hat ja auch nichts mit der Wahrscheinlichkeit des Ausbrechens eines Feuers, der Wahrscheinlichkeit von dessen Ausbreitung und der Wahrscheinlichkeit der Rettung von Menschenleben zu tun. Das ist zwar genau das, was "Brandschutz" macht, aber die müssten sich einfach mal von Dir beraten lassen.
Np R. schrieb: > Nano schrieb: >> Es geht gar nicht um Linux, sondern um Verbergen durch die Nutzung eines >> System mit geringerem Marktanteil. > > Soso - dann halten wir doch einmal fest: > 1. Dir geht es nicht um Linux - aber Du greifst mich an weil ich von > Linux rede. Kommt Dir das nicht selbst widersprüchlich vor? Nein, ich versuche dir zu erklären was ich bereits oben schon gesagt habe. Ich habe jetzt kein Bock mich da zu wiederholen. > 2. Es geht Dir also um die Nutzung eines Systems mit geringem > Marktanteil. > Ja, welches Systems denn? Irrelevant. Wie ich bereits sagte, geht es um Sicherheitskonzepte. Das stand oben die ganze Zeit dran, es ging nie um etwas anderes. Aber schließ ruhig deine Backupfestplatte dauerhaft an deinen PC an und vertraue darauf, dass die Hürde zum root Zugang und der geringe Marktanteil eines OS, dein Backup schützt. > Du wirfst mir die Nutzung eines Systems mit geringem Marktanteil vor, > weil ich auf Servern ein System mit großem Marktanteil verwende. Wir sprachen von der Nutzung auf dem Desktop. Außerdem ist meine Aussage generisch, deine nicht, damit hast du schon einmal verloren, wenn du jetzt so kommst. > 3. Dir geht es also ums "Prinzipielle", um Haiku, AROS, Minuet und > AmigaOS - Endlich hat er es kapiert.
Lieber nano, ich sehe, ich schreibe Dir zu viel. Du kannst die Menge an Argumenten nicht verarbeiten. Von 10 Argumenten ignorierst Du 9, verkürzt Du das 10te und schwurbelst dann darum herum. Dann machen wir das jetzt etwas leichter für Dich. Wir nehmen einfach jede Deiner Thesen einzeln und nehmen sie auseinander, so dass die heiße Luft endlich heraus kann. 1. Linux ist gering verbreitet. [ ] Ja. Linux ist gering verbreitet. Deshalb ist jede Verwendung von Linux ausschließlich dem Argument "Security through obscurity" zuzurechnen. Samweis hat oben zwar von Servern gesprochen, aber das hat nano überlesen. Es interessiert nano auch nicht, denn wir reden ja von Desktop Systemen. Worüber wir reden, bestimmt immer noch nano ganz allein. Denn sobald er Tatsachen akzeptiert, die "der Feind" ins Feld führt, verliert er sein Gesicht - und ahnt schon, wohin die Reise gehen könnte, und dann wäre sein ganzes Geschwurbel im Eimer. Also heißt es: blocken, tarnen, täuschen, Strohmänner bauen, verkürzt zitieren. [ ] Nein. Linux ist auf Servern, Routern und anderen netzwerkfähigen Geräten sehr weit verbreitet.
(Vorsicht! Antwort b ist eine unbestreitbare Tatsache! Aber sobald Du hier zustimmst, zerfällt unweigerlich das gesamte Kartenhaus deiner Argumentation. Dein Trugschluss wird offenbar. Du verlierst Dein Gesicht, ja überhaupt: Du "hast verloren" wie Du das oben selbst ausdrücktest. Diskussionen musst Du aber "gewinnen". Wen interessieren schon Argumente und der damit verbundene Erkenntnisgewinn? Du bist doch schließlich schon schlau genug!)
Np R. schrieb: > Lieber nano, > ich sehe, ich schreibe Dir zu viel. Du kannst die Menge an Argumenten > nicht verarbeiten. Von 10 Argumenten ignorierst Du 9, verkürzt Du das > 10te und schwurbelst dann darum herum. Lügen kannst du ja gut. > 1. Linux ist gering verbreitet. > [ ] Ja. Linux ist gering verbreitet. Deshalb ist jede Verwendung von > Linux ausschließlich dem Argument "Security through obscurity" > zuzurechnen. Samweis hat oben zwar von Servern gesprochen, aber das hat > nano überlesen. Samweis ist nicht der Threadstarter. Der Threadstarter ist Backup (Gast). > Es interessiert nano auch nicht, denn wir reden ja von > Desktop Systemen. Worüber wir reden, bestimmt immer noch nano ganz > allein. Nein, Backup. Er hat das Thema des Threads definiert und darauf müssen wir uns einlassen und nicht uns was anderes ausdenken, wie du es machst. Und ich habe jetzt mit dir auch keinen Bock mehr, du willst oder kannst es nicht erfassen, schön, dein Problem. In diesem Thread habe ich vor 2 Tagen alles wichtige zusammengefasst. Beitrag "Re: Backups - Sicherheit vor Viren" Die Antwort ging damals zwar an Kilo S., aber da du dir seine Ansicht zu eigen machst, gilt sie für dich genauso. Drucke dir dieses verlinkte Posting aus und hänge es über dein Bett. Lies es jeden Tag vor dem zu Bett gehen durch und versuche es über die nächsten Monate hinweg zu begreifen. Diskussion beendet.
oszi40 schrieb: > Kann man sich auch mit Backups duellieren? Wenn dir eine BackUPS mit Batterie drin auf Kopf fällt...
Nano schrieb: > Lügen kannst du ja gut. Das ist übrigens in Diskussionen ganz schlechter Stil. Genauso wie Strohmänner, falsche Zitate usw. Würde ich lügen, wäre das doch ein Glücksfall für Dich: Du könntest die Lüge beweisen und den Beweis in Dein Argument einbauen. Da Du aber keine Argumente hast, bleiben Dir nur Beleidigungen. Nano schrieb: > Nein, Backup. Er hat das Thema des Threads definiert und darauf müssen > wir uns einlassen und nicht uns was anderes ausdenken, wie du es machst. Oh, "Unterstellungen" hatte ich noch vergessen. Du unterstellst mir laufend ein Argument ("sicherer weil wenig verbreitet"), das ich nicht gebraucht habe. Ganz im Gegenteil, bereits in meinem ersten Beitrag in diesem Thread habe ich genau diesem Argument widersprochen. Seit Deiner ersten Unterstellung dementiere ich abwechselnd oder frage Dich nach einem Beleg für Deine Unterstellung. Du wiederholst einfach stumpf die Unterstellung, gewürzt mit Beleidigungen. Ginge es Dir tatsächlich um die Sache, hättest Du auch bemerkt, dass ich den Sinn eines Offline-Backups nicht in Abrede gestellt habe. Ich habe allerdings angemerkt, dass auch das keine 100% Sicherheit bietet, wie Du zu glauben scheinst. 100% Sicherheit gibt es nicht, und 90% Sicherheit überfordert je nach Use Case den Anwender und führt schnell zu 0% Sicherheit. Dieses Argument hast Du dann falsch zitiert. Was ist eigentlich Dein Problem?
oszi40 schrieb: > Kann man sich auch mit Backups duellieren? Hm, vielleicht kann man das sogar. Es gibt ja auch das Koch-Duell. Aber würdest Du Dich mit einem Heckenschützen duellieren wollen, der aus dem Hinterhalt schießt und dann wegläuft?
Thread beobachten
Seitenaufteilung abschaltenBitte melde dich an um einen Beitrag zu schreiben. Anmeldung ist kostenlos und dauert nur eine Minute.
Bestehender Account
Schon ein Account bei Google/GoogleMail? Keine Anmeldung erforderlich!
Mit Google-Account einloggen
Mit Google-Account einloggen
Noch kein Account? Hier anmelden.