Softwareidee für Antivirenergänzung [Lösungsansätze gesucht]

[Valle]

Falls du zu dem Thema noch Informationen brauchst:

Unter Linux gibt es sowas schon lang. Bekannteste Vertreter sind SELinux und AppArmor. Mit diesen kann man jedes Programm (auch als root laufende) sehr detailiert einschränken. Auch hier wird ein Whitelistprinzip angewendet. Für die in Linux enthaltenen Pakete gibt es dann direkt mitgelieferte Regelsätze, die beschreiben, was entsprechende Programme dürfen.

Das Erstellen eines solchen Regelsatzes ist jedoch recht aufwendig. Im Allgemeinen wird SELinux dafür in einen Modus versetzt, der alle Zugriffe zulässt. Anschließend wird mitgeloggt und daraus ein Profil erstellt. Man geht also davon aus, dass das Programm während es läuft sicher ist und nur das tut, was es tun soll. Natürlich kann man auch manuell nacharbeiten.

Generell ist der Ansatz von der Idee her nicht schlecht. Meiner Meinung nach ist er für Endanwender allerdings denkbar ungeeignet. Der durchschnittliche Benutzer hat keinerlei Ahnung von gar nichts und kann mit Begriffen wie Administrator, Berechtigung, Programmverzeichnis, Exe usw. überhaupt nichts anfangen. Für das Härten eines Servers sieht die Sache anders natürlich dabei aus.

Die größte Gefahr stammt daher meiner Meinung nach aus dem Umgang mit ausführbarem Code unter Windows. Wenn ich als erfahrener ITler selbst nicht mehr in der Lage bin, Werbung vom richtigen Downloadbutton auf einer Webseite zu unterscheiden, dann läuft etwas gewaltig schief. Unter Linux fährt man daher seit Jahrzehnten mit Paketlisten. Nahezu alle was ich auf dem Desktop brauche ist mit dem gleichen, einheitlichen Befehl installiert. Software herunterladen und installieren ist vollkommen out und verpönt. Toll wäre es, dies in der Microsoftwelt zu etablieren.

Natürlich ist Linux auch nicht Virenfrei. Aber das Einfallstor ist nicht der dumme Nutzer, der die Rechnung.exe aus dem Anhang öffnet. Es sind Bugs in Programmen, die man irgendwann schon in den Griff bekommen wird. Dass ich meine Programme aus bekannten, verifizierten Listen beziehe, ist ein riesiger Vorteil in Sachen Sicherheit und auch Einfachheit.

Sorry, das ist jetzt etwas ausgeartet, aber vielleicht interessiert's ja jemanden...

[xbkbk]

Zitat:

Also bei mir bekommt ein Programm nur Admin-Rechte, wenn ich es will und nicht wenn es das Programm will.

Bei mir auch, allerdings ist das ganze für Personen gedacht, die wahllos Sachen ausführen und dann zumindest etwas sicherer fahren können, wenn sie sehen, dass da in diverse umterschiedliche Verzeichnisse geschrieben wird und Services installiert werden.

Zitat:

Dann fragt dich das Programm, ob es eine DLL ins Systemverzeichnis kopieren darf. Du sagst ja und schwupps löscht und ersetztes System DLLs. Und ob es dir eine böse DLL ins Systemverzeichnis kopiert, weißt du dadurch auch nicht.

Das sicher nicht, aber man weiß, welche dlls ersetzt werden. Das Programm soll dann eine Sicherheitskopie von den ersetzten Dlls anlegen (inkl. Textdatei, wo die her sind) und das Ersetzen gestatten und wenn man merkt, dass etwas nicht stimmt, kann man sie schlimmstenfalls per LiveCD zurückkopieren.

Zitat:

Generell ist der Ansatz von der Idee her nicht schlecht. Meiner Meinung nach ist er für Endanwender allerdings denkbar ungeeignet. Der durchschnittliche Benutzer hat keinerlei Ahnung von gar nichts und kann mit Begriffen wie Administrator, Berechtigung, Programmverzeichnis, Exe usw. überhaupt nichts anfangen. Für das Härten eines Servers sieht die Sache anders natürlich dabei aus.

Für den durchschnittlichen Endnutzer ist das tatsächlich nichts, sondern für "etwas" erfahrenere Nutzer. Ich habe diverse Freunde, die sich mit Computern ausreichend gut auf der Nichtentwicklerebene bewegen, aber dennoch etwas Ahnung von den Vorgängen haben und ich glaube für Nutzer, die generell mit Windoof umgehen können, sich aber trotzdem Müll aus dem Netz ziehen wär das eine relativ brauchbare Lösung.

Dass das umter Linux schon recht gut umgesetzt wird weiß ich und das ist auch das Vorbild meiner Überlegung, sowas in Windows auch einzubinden.

Die Sache mit dem Rolf war nicht so gemeint, dem Admin bloß nen anderen Namen zu geben, sondern dafür zu sorgen, das ein Programm, das Admjnrechte hat, sich nicht ganz frei austoben kann wie als admin üblich. Die "Admin"Rechte wären dann useless, aber der Rolf (an sich auch useless) soll die Schnittstelle zwischen bekannten Adminrechten und dem Nutzer sein, wie in einer halben Sandbox, indem Rolf zwar auch alles gestatten kann, aber im Gegensatz zum bekannten Admin erst nach Durchwinken vom User. Das soll mit dem angesprochenen Hook geschehen, der ja nur mit Adminrechten umgangen werden kann (soweit ich weiß - wenn nicht ist die ganze Überlegung natürlich sinnfrei), was aber nichts wird, da dem Admin die Rechte dazu fehlen. Rolf soll sie aber auch nicht bekommen (den Hook auszuhebeln) und dann klappt das ganze so, dass ich etwas als Admin ausführen kann oder als Rolf und letzterer lässt die Änderung am System nur zu, wenn der Nutzer sein " okay" gibt.

Sicherlich ist das dann auch nicht die ultimative Lösung, da die Zielgruppe "ganz unerfahren" logischerweise ausscheidet, die Zielgruppe "hab ich nicht nötig, weil ich weiß was man installieren sollte" auch, aber für "ich kenne mich mit Computern aus, lade mir aber gerne/umabsichtlich Mist runter" wär das genau das richtige. Letztere Zielgruppe ist glaube ich die schrumpfende Mittelschicht der Anwender, für die das genau das richtige wäre.

Und es muss ja nicht unbeding die bekannte Rechnung.exe sein. Manchmal lädt man sich ein Programm von Chip.de runter und der Installer schlägt einem standardmäßig aktiviert vor, dies umd das noch gleich mit zu installieren und dann hat man den Salat. Das ist schon häufiger die Ursache gewesen, dass mich Leute gefragt haben, ob ich ihren Müll entfernen kann. Sowas kann mal passieren und wenn man nicht 100% weiß wo das sitzt oder dass das passiert (bzw beides) hat man verloren. Darum halte ich es für halbwegs sinnvoll, auch wenn es die bekanntesten Zielgruppen nicht bedienen kann.

Zitat:

Apropos dein "Nö", das macht Windiws bei aktivierter UAC so wie so und fragt nach einem Benutzerkonto mit den nötigen Rechten.

Aber nicht so, wie ich das meine. Die UAC kommt einmal umd dann ist das Programm nach klick auf Ja oder Yes dauerhaft fähig, alles zu tun und man bekommt auch nicht mitgeteilt, was genau denn die UAC erlauben soll. Das ist der Punkt, an dem ich ansetzen wollte.

[xbkbk]

Mein Problem mit der UAC ist, dass sie fragt "bla.exe möchte Adminrechte. Ja Nein" was ich haben wollen würde ist dann sowas wie "bla.exe möchte in Verzeichnis xyz und Unterverzeichnissen Lesen und schreiben". Checkboxen mit "Lesen", "Schreiben", "Unterverzeichnisse auch" und Buttons "markiertes erlauben" und "nichts da!"

[FarAndBeyond]

Das klingt ja nach RBAC & Co. ähnlich wie GRSecurity oder FreeBSD oder oder...

Willst du das wirklich selber bauen...? Das erfordert spitzenmäßige OS Kenntnisse, zumindest wenn das Ganze auch was taugen soll...
Ich hätte gerne 'ne SRC-Kopie als Delphi-Code, in den ich mich dann die nächsten 20 Jahre einarbeiten kann...

Aber "AV-Ergänzung" finde ich lustig.. die AV-Software macht dann alles wieder kaputt was die Sicherheitssoftware mühsam etabliert hat...

Zitat:

Sinnvoll wäre auch, dass dieses Programm dauerhaft im Hintergrund läuft und bei dem Start einer .exe erst fragt, ob die .exe überhaupt gestartet werden soll und dann bei (fast) jeder Kleinigkeit (siehe oben) erneut eine Bestätigung einholt.

Zum Teil macht Windows das ja schon und sinnvoll ist das allemal, aber hast du mal Software installiert auf einem gut abgesicherten Rechner? Das nervt unbeschreibbar, alleine die Registry-Zugriffe bei vielen Installationen sind das pure Grauen... Danach weiß man allerdings genau wer wohin macht... Oder die NVidia-Treiber-Systemsteuerung, die einfach einfriert, wenn sie gewisse Rechte nicht bekommt und dann bekommst du gar keine Fehlermeldung und auch keine Abfrage... es läuft einfach nicht mehr und man kann den Grafikkarten-Treiber nicht einstellen usw. usw....
Sowas macht hübsch aggressiv... alleine schon was man da für Zeit reinbuttert...

Zitat:

Sollte ich das Projekt irgendwann fertigstellen, werde ich es hier als open Source einstellen

Einen breiten Absatzmarkt wird es wohl auch nie geben... (ist vielleicht auch ganz gut wenn viele Leute 'nen Blick drauf werfen, desto mehr potentielle Fehlerquellen werden aufgedeckt)

Zitat:

z.B. noch viel mehr Programme, die man nie haben wollte oder wunderschöne Werbeanzeigen, die alle 2 Minuten erscheinen etc.), die Antivirenscanner oft nicht sehen. Generell bin ich enttäuscht von Antivirenscannern, weshalb ich diese Lösung als (zumindest für etwas fortgeschrittenere User) sinnvoll ansehe.

BrowserLösungen gibt es doch schon: alles was in Richtung uMatrix, uBlock und NoScript & Co. geht sieht ganz gut aus und AV-Software ist und war schon immer Spitzenklasse, zumindest für die Verkäuferseite... ist halt 'ne Geldmaschine...

Ich glaube, dass man soetwas nur mit extrem starker Nutzungseinschränkung bauen kann. Jede Abfrage/oder Meldung für normle Nutzer wie UAC & Co. sind ohne Bedeutung wenn der Nutzer sie nicht beantworten kann oder versteht was da eigentlich passiert.

Ist aber ein interessantes Thema so eine Software für Standard-Windows-Versionen zu bekommen... Groß ist die Auswahl da ja nicht, oder ich hab' bis jetzt an der falschen Stelle geschaut...

Vielleicht werde ich in 100 Jahren auch mal so gut, dann greife ich das auf jeden Fall auch auf...
Viel Erfolg!

[jaenicke]

Zitat von xbkbk:

für "ich kenne mich mit Computern aus, lade mir aber gerne/umabsichtlich Mist runter" wär das genau das richtige. Letztere Zielgruppe ist glaube ich die schrumpfende Mittelschicht der Anwender, für die das genau das richtige wäre.

Dafür gibt es ja diverse Sandbox Tools oder VMs. Das ist tausendmal einfacher als ständig irgendetwas zu bestätigen. Hat man sich was eingefangen, landet es nur in der Sandbox oder in der VM. Und die VM kann man einfach resetten auf den letzten Zustand.

Dass das mit der Bestätigung nicht so gut klappt, wenn sich jemand nicht gut auskennt, sieht man daran, dass viele dann einfach UAC Anforderungen ohne zu lesen bestätigen. Wenn dann noch mehr Fragen kommen, wird man erst recht abgestumpft...

[p80286]

Zitat von FarAndBeyond:

Oder die NVidia-Treiber-Systemsteuerung, die einfach einfriert, wenn sie gewisse Rechte nicht bekommt und dann bekommst du gar keine Fehlermeldung und auch keine Abfrage... es läuft einfach nicht mehr und man kann den Grafikkarten-Treiber nicht einstellen usw. usw....
Sowas macht hübsch aggressiv... alleine schon was man da für Zeit reinbuttert...

Wenn dem so ist, dann ist die gerade installierte Software wohl Virenfrei.
Irgendwie schaffen es Virenprogrammierer immer wieder, ihre Software zu installieren, ohne daß der Benutzer mehr als unbedingt nötig belästigt wird (meistens nie). Und in den meisten Fällen funktioniert sie auch noch.



Gruß
K-H

[mm1256]

Zitat von p80286:

Irgendwie schaffen es Virenprogrammierer immer wieder, ihre Software zu installieren...

So ist es, leider. Darum bin ich auch überzeugt davon, dass man mit weiteren/neuen Tools wie vom TE angedacht letztendlich nichts oder nicht viel erreichen kann. Der Schutz müsste schon früher ansetzen, z.B. bei der Installation. Ein nicht zertifizierter Treiber oder eine nicht zertifizierte Software sollte gar nicht installierbar oder ausführbar sein. So was könnte man doch als sinnvolle Ergänzung zu einer AV-Software sehen?

[einbeliebigername]

Hallo,

Zitat von mm1256:

Ein nicht zertifizierter Treiber oder eine nicht zertifizierte Software sollte gar nicht installierbar oder ausführbar sein. So was könnte man doch als sinnvolle Ergänzung zu einer AV-Software sehen?

Dann werden die nötigen Zertifikate halt geklaut oder es werden Schwachstellen in irgendeiner (Sicherheits-)Software ausgenutzt. Und wenn das nicht geht, dann kommen die Dummen die dieses Sicherheitsfeature ohne Grund deaktivieren.

Und dann bleiben noch die Softwareentwickler, die mit diesem Sicherheitsfeature die unterschiedlichsten Probleme haben. Wie ich. Bei einem meiner Projekte wüsste ich gar nicht wie ich das Signieren umsetzten sollte, selbst wenn ich mir das leisten könnte.

einbeliebigername.

[xbkbk]

Zitat von mm1256:

Zitat von p80286:

Irgendwie schaffen es Virenprogrammierer immer wieder, ihre Software zu installieren...

So ist es, leider. Darum bin ich auch überzeugt davon, dass man mit weiteren/neuen Tools wie vom TE angedacht letztendlich nichts oder nicht viel erreichen kann. Der Schutz müsste schon früher ansetzen, z.B. bei der Installation. Ein nicht zertifizierter Treiber oder eine nicht zertifizierte Software sollte gar nicht installierbar oder ausführbar sein. So was könnte man doch als sinnvolle Ergänzung zu einer AV-Software sehen?

An sich ist das eine sehr gute Idee, allerdings glaube ich nicht, dass jede Software, die man gerne installieren möchte, signiert/zertifiziert ist, was dann für einen großen Teil der Anwender wieder problematisch ist und jene Zertifizierung lässt sich teilweise auch fälschen.

[FarAndBeyond]

Zitat:

Wenn dem so ist, dann ist die gerade installierte Software wohl Virenfrei.
Irgendwie schaffen es Virenprogrammierer immer wieder, ihre Software zu installieren, ohne daß der Benutzer mehr als unbedingt nötig belästigt wird (meistens nie). Und in den meisten Fällen funktioniert sie auch noch.

Ja, wenn der Cracker was kann, dann merkt niemand etwas auch die AV-Software nicht. (Falls er sie nicht schon längst abgeschossen hat.. wie schwer ist es ein Icon in der TNA erscheinen zu lassen?)
Wenn im Hintergrund auf modernen Rechnern ein oder zwei Dienste zusätzlich laufen, dann macht sich das in der Geschwindigkeit überhaupt nicht bemerkbar und bei guter Programmierung werden die Dienste nichtmal mehr angezeigt... zumindest nicht mit StandardTools...

Zitat:

Dann werden die nötigen Zertifikate halt geklaut oder es werden Schwachstellen in irgendeiner (Sicherheits-)Software ausgenutzt. Und wenn das nicht geht, dann kommen die Dummen die dieses Sicherheitsfeature ohne Grund deaktivieren.
Und dann bleiben noch die Softwareentwickler, die mit diesem Sicherheitsfeature die unterschiedlichsten Probleme haben.

Ja, das sehe ich genauso, wie sollen Zertifikate helfen wenn diese genau wie alles andere aus Nullen und Einsen bestehen??? SoftwareSchutz kann immer umgangen werden, die Frage ist wie lange möchte jemand daran sitzen und es probieren. Das ganze ist soetwas wie eine Challenge und es gibt immer Leute die haben das Können und Wissen und die Zeit...

Zitat:

....wenn ich im Nachhinein feststelle, dass diese Software Schrott ist oder Dinge tut die ich nicht möchte, naja, dann fliegt sie halt wieder!

Und hast du mal darüber nachgedacht wie du das feststellen willst. Das sagt sich immer sehr einfach, aber in der Praxis bemerkst du gar nichts. Wie schwer ist es für solche klugen Köpfe eine Software zu schreiben, die einen Job macht und sich dann wieder löscht, den Email-Client oder was sonst noch nötig ist hat die Software schon mit an Bord.

Wie willst du bemerken ob eine Software:
- einen globalen Hook einrichtet
- einen direkten Speicherzugriff macht
- einen laufenden Prozess manipuliert bzw. verändert
- eine DLL initialisiert oder sich indirekt an einen laufenden Prozess anhängt
- in den Speicherbereich einer anderen Anwendung schreibt
- sich höhere oder mehr Rechte beschafft
- Dateien austauscht
- Dienste nutzt
...
Mal ganz abgesehen von der Tatsache, dass eine moderne CPU 'ne Menge an Dingen innerhalb von wenigen Millisekunden oder Mikrosekunden oder Nanosekunden macht. Danach sieht dann schon wieder alles anders aus (Tarnmodus an). Und die meisten Rechner laufen länger als nur hier und da mal 'ne Minute.

Wenn du etwas bemerkst, dann hat der Angreifer 'was falsch gemacht.
Ich will gar nicht wissen wie viele Rechner und Webseiten sich da draußen im Zombie-Modus befinden.

Ich hab' mal OpenOffice getestet (welche Version weiß ich aber nicht mehr) und war sehr überrascht, dass DRAW ohne globalen Hook nicht funktionieren wollte, nach weiteren Tests hat sich OpenOffice sogar einen direkten Speicherzugriff gönnen wollen. Komischerweise macht LibreOffice das nicht und DRAW funzt auch ohne globalen Hook in LibreOffice. Seitdem bin ich LibreOfficeFan (Portable Version).

Oder: Windows 7 Notepad holt sich immer einen globalen Hook wenn man das zulässt. Funktioniert allerdings auch prima ohne diesen. Welcher Nutzer bekommt das denn mit ????