> 1.) Ein System ist nicht C2-konform, diese tolle Zertifizierung
> sagt nur aus, dass man aus diesem System ein C2-konformes System
> basteln kann.
Richtig. Und genau das mache man. WinXP kann tatsächlich Basis dafür sein.
>2.)Ein vollständig C2-konformes System ist für Privatanwender und
>Firmen fast unmöglich, der Aufwand, der dafür betrieben werden muss,
>kann wirklich nur von militärischen Stellen betrieben werden.
Was soll daran so schwer sein?
OK, die extreme Menge an Logs muss man sich nicht antun, und auf meinem Laptop setzt ich auch keine Dateisystemverschlüsselung ein, weil ich das Booten von Disketten deaktivieren kann und niemand im BIOS rumpfuschen kann - und CMOS löschen mittels Jumper ist bei 'nem Laptop auch keine Sache, die man innerhalb von ein paar Minuten Unbeaufsichtigkeit erledigen könnte.
Der Rest der Geschichte (eindeutige Dateizugriffsberechtigungen, strenge Benutzertrennung, beschränkte Systemrechte) lassen sich mit WinXP dank NT-Kernel und NTFS doch hervorragend realisieren.
>Wenn du nicht alle Lücken stopfen kannst, weil du sie nicht kennst, >wie soll sie dann eine PF stopfen können, deren Programmierer sie >auch nicht kennen?
Es geht ja darum, die netzwerkfähigen Lücken mittels der Firewall als nicht mehr ausnutzbar zu machen. Das gilt sowohl für HWF also auch DTF. Und um den RPC DDE Endpoint Mapper an Port 135 zu blockieren, braucht man keine Kristallkugel.
>Was nützt einem die tollste Theorie, wenn es in der Praxis doch
>immer neue Wege gibt? Schau dir nur mal Xaffords Punkte 1+2 an.
Was nützt die tollste Praxis, wenn sie nicht funzt? :-) Schon allein theoretisch funzen kann sie nicht. Sämtliche Root-Kits müssen ja erstmal ins System gebracht werden, und dazu brauch man ersteinmal Adminrechte oder einen erfolgreichen Einbruch, der einem Adminrechte verschafft.
Und außerdem geht es ja gerade darum, Exploits zu vermeiden. Deshalb machen wir ja den Aufwasch hier.
>solange die Pf auf dem System ist, auf dem alle Programme und
>Scripte ausgeführt werden, wird es immer eine Möglichkeit geben,
>sie zu manipulieren.
Schon mal daran gedacht, dass getreu dem Prinzip von WinNT die strikte Trennung von Accounts auch der strikten Trennung von Prozessen/Threads und Dateien dient?
>Mal eben Linux auf einen ausrangierten Rechner zu kloppen
>(ich weiss, ganz so einfach ist es nicht) ist teurer als
>das neueste Super-Hyper-Mega-Security-Packet von Symantec?
Ja, da ich keinen ausrangierten Rechner mit zwei Netzwerkkarten habe.
Schon allein die Netzwerkkarten würden was kosten.
Jede Software hingegen kann man sich kostenlos beschaffen.. äh ich meine... ähhmmm, ausleihen :-)
>Wie alle anderen, also auch wie Symantec? Und warum lässt du dann
>von einer vertrauensunwürdigen Software deinen kompletten Traffic
>(zumindest den, der nicht an der PF vorbeigeht) überwachen?
Weil ich die Software von Symantec wenigstens neben dem Disassemblen auch noch direkt debuggen kann, was bei einem OS wie WinXP eher schwierig ist.
>"Wenn ich Zyankali trinke, bin ich tot"
>-"Selbiges gilt doch auch, wenn du dich erschießt"
>Kann man deshalb bedenkenlos Zyankali trinken? ;)
Nein. Kann man sich deshalb bedenkenlos erschießen? Auch Nein. Beide Methoden haben aber das gleiche Ergebnis. Deshalb sind sie, in Bezug auf das Ergebnis, gleichwertig.
Rika
