An manchen Dingen merkt man, daß die Welt noch in Ordnung ist. Zum Beispiel, wenn Microsofts Update-Dienst immer noch so ausgelegt ist, daß unbedarfte Nutzer darüber Software installieren können, die auf ihrem System neue Schwachstellen öffnet – die vorher nicht vorhanden waren.
Zu den Zeiten von Windows 98 sah der Windows-Update-Algorithmus etwa so aus:
Alle laufenden Anwendungen beenden.
Windows Update starten.
Wenn keine Updates vorhanden sind, endet der Algorithmus hier.
Alle angebotenen (Sicherheits-)updates auswählen. Download starten.
Reboot bestätigen.
Nach dem Reboot bei Punkt 2 fortfahren.
Wie der geneigte Leser sich vorstellen kann, unterließen die meisten Nutzer den erneuten Aufruf von Windows Update nach dem Systemstart. Dadurch wurde bei Updates, die nicht parallel installiert werden konnten, nur die erste Welle installiert, so daß einige Schwachstellen, für die eigentlich Updates vorhanden waren, nicht behoben wurden.
Das hat sich zwar im wesentlichen gebessert: Es gibt weniger einzelne Updates und daher auch weniger Konflikte, praktisch alle Updates können in einem Rutsch installiert werden. Angeblich soll der Windows-Update-Dienst auch deutlich warnen, wenn noch nicht verarbeitete Sicherheitsupdates in der Warteschlange stehen (bevor der Systemstart erfolgt).
Was aber noch immer nicht funktioniert, ist die Installation von Sicherheitsupdates für neu installierte Windows-Komponenten. Um zu schauen, ob die Java-Firewall-Schwachstelle sich auch mit .NET statt Java realisieren läßt (es sieht übrigens nicht danach aus), installierte ich jüngst das .NET-Framework, zunächst Version 1.1. Ohne jegliche Warnhinweise wurde die SP-0-Version eingespielt, die zumindest laut Microsoft von einigen Sicherheitsproblemen betroffen ist. Erst Tage später, am Patch-Dienstag, wurde dann angezeigt, daß .NET 1.1 Service Pack 1 verfügbar ist („Durch das […] Service Pack 1 werden verschiedene Probleme gelöst […]. Es handelt sich dabei unter anderem auch um Sicherheitslücken.“) Erst dann ging mir ein Licht auf, und ich erinnerte mich wieder an den alten, offenbar noch immer gültigen Update-Algorithmus. Nach Service Pack 1 kommt übrigens noch ein Sicherheitsupdate, und zusätzlich kann man auch noch .NET 2.0 installieren.
Sicher, wenn man automatische Updates aktiviert, werkelt das System von alleine im Hintergrund, um die Schwachstellen auszubügeln, aber es gibt ein paar Gründe, darauf zu verzichten (gute Gründe sind es allerdings nicht, weil sie gleichermaßen für den Verzicht auf Windows und andere nicht quelloffene Microsoft-Produkte sprechen).
Alles in allem ist die Welt aber noch in Ordnung: Windows-Sicherheit hat immer noch dieselben Kinderkrankheiten wie vor ein paar Jahren. Zudem versuchte secure@microsoft.com neulich, mich auf dem Arm zu nehmen. Aus einem „wir sind zuständig“ wurde ein „wir sind nicht zuständig, haben es aber weitergeleitet", dann „das ist ein Beta-Produkt, für das wir keinen Security-Support anbieten“, und schließlich war die Ausrede „das ist keine Schwachstelle in unserem Produkt“ (sondern die Kunden sind selbst schuld, wenn sie durch diesen Microsoft-Dienst erhöhten Risiken ausgesetzt sind). Im vorliegenden Fall war das sogar ein legitimer Standpunkt, aber das kann man auch gleich schreiben – und so gewinnt das ganze einen schalen Beigeschmack.
Auf gewisse Dinge kann man sich eben verlassen.
2005-11-11 12:45: veröffentlicht