Kommentar: Wie Apple Microsoft unterminiert
ml, den 13. Juni 2008
Seit Apple auf Intel-Prozessoren setzt, ist der Marktanteil Apples wieder messbar gestiegen. Die iPod-Company hat es erfolgreich geschafft das Momentum des MP3-Players zu nutzen, um Microsoft Marktanteile abzutrotzen.
Das gelang zum einen durch hervorragende Software und ein Betriebssystem, das mit seinen Technologien und der Benutzerfreundlichkeit Standards setzt. Zum anderen ist dafür auch Apples Hardware verantwortlich, die im Bereich Design immer wieder die Marschrichtung vorgibt.
Apple jubelt Windows-Nutzern Safari unter
Doch es scheint als wolle sich Apple, um weitere Marktanteile zu gewinnen, nicht mehr allein auf diese Vorteile verlassen. Quasi im Handstreich versuchte man in Cupertino zunächst sämtlichen Windows-iTunes-Nutzern Safari per Software-Update unterzuschieben. Zugegeben, das war kein feiner Zug für ein Unternehmen, dass in der Wahrnehmung als hip und cool gilt. Die umstrittene Praxis wurde geändert. Nun kann Safari zumindest nicht mehr unbeabsichtigt auf den Windows-Rechner des Anwenders gelangen. Mission gescheitert?
Download auf dem Desktop speichern
Keineswegs. Denn im sonnigen Kalifornien machte man schon die zweite Waffe scharf. Die heißt „Downloads ungefragt auf dem Desktop speichern“. Sie lässt sich wunderbar dazu nutzen über den Internet Explorer ein großes Loch in Windows aufzureißen. Es wundert mich, dass da vorher noch keiner drauf kam. Weil bei Apple aber Spezialisten arbeiten, die ihren Job zudem auch noch lieben, fanden sie dieses Loch. Dabei konnten sie auch auf die freundliche Unterstützung der Programmierer in Redmond zählen.
Apple macht Windows unsicher
Zugegeben, Apple ignoriert beharrlich existierende Windows-Standards. Einer dieser Standards ist, dass ein Windows-Programm nie etwas tun darf, ohne den Benutzer vorher zu fragen. Um ganz sicher zu gehen, wird dann meistens auch noch mal mit „Wollen Sie wirklich…“ nachgefragt. Ja? Nein? Vielleicht! Über diese Konvention hat sich Apple in seiner arroganten Art viele Entscheidungen standardmäßig für den Anwender zu entscheiden, einfach hinweg gesetzt und erlaubt Safari, Downloads auch von unbekannten Dateitypen automatisch im Standard-Downloadpfad abzulegen. Ohne Nachfrage. Einfach auf den Windows-Desktop. So gut, so falsch.
Jetzt kommt das, was man gemeinerweise mit „Diese Sicherheitslücke wurde ihnen präsentiert von: Apple“ bezeichnen könnte. Startet ein Anwender seinen Internet Explorer über die Desktop-Verknüpfung, so scannt der IE zunächst den Desktop, ob er dort vielleicht die von ihm benötigten Bibliotheken (DLLs) findet. Falls er fündig wird, so werden diese von dort und nicht aus dem Systemverzeichnis geladen. Die Motivation für ein solches Verhalten, welches auch trotz aktivierter SafeDLLSearchMode-Option so bleibt, wird auch bei längerem Nachdenken nicht klar und schiebe ich daher mal auf meine eigene Unwissenheit.
Da Safari nun ungefragt Downloads auf dem Desktop ablegt, kann eine böse Webseite dem Anwender also eine manipulierte DLL unterschieben. Wie das geht, hat der Sicherheitsspezialist Liu Die Yu mit Hilfe eines Demo-Exploits gezeigt, der die für die SSL/TLS-Verschlüsselung zuständige schannel.dll ersetzt und beim Start des IE den Editor startet. Jeder kann sich ausmalen, was bei entsprechender Motivation sonst noch so alles möglich ist.
Nun mag man einwenden, dass jemand, der sich schon Safari auf seinem Windows-Rechner installiert, ja wohl kaum wieder zum Internet Explorer zurückkehren wird. Aber der IE ist nicht irgendein Windows-Programm, sondern Bestandteil des Systems. So wird er auch geladen, wenn man z. B. die systemeigene Hilfe aufruft.
Safari kastriert?
Microsofts erste Reaktion auf die Entdeckung dieser Sicherheitslücke war, in einem Security-Advisory dazu aufzurufen, die Nutzung von Safari einzuschränken und die Safari-Einstellungen bezüglich des Standard-Download-Orts zu ändern. Das Default-Verhalten des IE wurde auch mit dem Sicherheitsupdate vom vergangenen Dienstag nicht geändert. Bugfixing the Microsoft way.
Nun wird in der Expertenwelt heiß diskutiert, ob das Verhalten von Safari Bug oder Feature ist. Ob allerdings eine Nachfrage beim OK-klick-konditionierten Windows-Anwender einen Unterschied machen würde, darf getrost angezweifelt werden. Davon abgesehen, dass es für Apple ein Leichtes ist, einfach bei Downloads von unbekannten Dateitypen eine Nachfrage einzubauen, ist es interessant zu sehen, wie Microsoft die Umsetzung einer Sicherheitsrichtlinie auf die Anwender abwälzt. Es scheint, als wäre es Aufgabe des Anwendungsentwicklers zu überprüfen, ob er mit seinem Programm nicht in Kombination mit irgendeiner kruden Windows-Besonderheit ein Sicherheitsloch aufreißt.
Elementare Sicherheitsregeln scheinen für Microsoft uninteressant zu sein. Zwei davon sind Least privilege und Keine Software aus nicht vertrauenswürdigen Quellen. Das Erste bedeutet, dass ein Programm immer mit den kleinst möglichen Rechten ausgeführt wird und das Zweite bedeutet, dass das System niemals Code aus einer vertrauensunwürdigen Quelle ausführen darf und der Desktop des Users ist zutiefst vertrauensunwürdig.
Um nochmal auf den Anfang zurück zu kommen. Apple schießt aus allen Rohren. Und das nicht nur mit innovativen Produkten, sondern auch mit viel subtileren Methoden. Ein, sagen wir mal, kleines Safari-Feature, hat deutlich gemacht, welche Leichen womöglich noch im Windows-Keller liegen.