Googles ChromeOS ist auf den ersten Blick ein Touchdown für die Betriebssystemsicherheit. Es ist wahrscheinlich das sicherste Betriebssystem der Welt (auf Kosten einiger eingeschränkter Funktionen) Alles, was Sie über den Umstieg auf ein Chromebook wissen müssen Alles, was Sie über den Umstieg auf ein Chromebook wissen müssen Chromebooks verwenden ein abgespecktes Betriebssystem, das für den Einstieg optimiert ist das Web nur mit dem Chrome-Browser und Chrome-Apps. Können Sie auf ein Chromebook wechseln? Lesen Sie mehr). Leider ist ChromeOS kein Allheilmittel und ernsthafte Sicherheitsbedenken hinsichtlich der Plattform bleiben bestehen.
Zunächst aber die gute Nachricht:
ChromeOS (das abgespeckte Linux-Betriebssystem, das auf preiswerten Chrome-Netbooks läuft) Toshiba CB35-A3120 Chromebook Review und Giveaway Toshiba CB35-A3120 Chromebook Review und Giveaway Sie können einige wirklich günstige Chromebooks bekommen, wenn Sie eine 11.6- (Mehr anzeigen) bietet eine Reihe wirklich netter Funktionen für sicherheitsbewusste Benutzer. Der Bootloading-Code wird im Nur-Lese-Speicher gespeichert und prüft die digitale Signatur des Betriebssystemkerns vor dem Hochfahren (das "verifizierte Boot" -Feature). Da sich der Bootloader im ROM befindet, können Hacker ihn unmöglich modifizieren, ohne den Chip physisch zu manipulieren. Wenn die Systemdateien die Prüfung nicht bestehen, setzt der Bootloader das gesamte Gerät einfach auf die Werkseinstellungen zurück und zerstört dabei eventuell vorhandenen bösartigen Code.
Die Sicherheit der Plattform wird weiter gestärkt, da sie auf Web-Apps basiert, die in einer Sandbox laufen: Threads und Speicher werden getrennt gehalten, was theoretisch verhindert, dass eine schädliche Web-App auf Informationen zugreift oder die Kontrolle über andere Apps übernimmt. Systemaktualisierungen, die Sicherheitsupdates enthalten, werden automatisch und unsichtbar angewendet, wenn der Computer mit dem Netzwerk verbunden ist, um sicherzustellen, dass Chromebooks immer auf dem neuesten Stand sind. Es gibt sogar ein paar Sicherheitsoptionen Schützen Sie Ihr Chromebook mit zwei einfachen Optimierungsmöglichkeiten Sichern Sie Ihr Chromebook mit zwei einfachen Optimierungsmöglichkeiten Eines der meistgenutzten Vorteile eines Chromebooks ist seine Sicherheit. Aber gibt es irgendwelche Schritte, die die Eigentümer ergreifen können, um das derzeitige Schutzniveau zu verbessern und zu verbessern? Read More können Sie aktivieren, um das Gerät vor Angreifern mit physischem Zugriff auf das Gerät zu schützen. Der Versuch, Malware auf eine ChromeOS-Maschine zu bekommen, ist keine beneidenswerte Aufgabe. Sie können hier mehr über die Sicherheit der Chrome OS-Plattform erfahren.
Also, was ist das Problem?
Sie können der Sandbox nicht vertrauen
Leider ist die Sicherheit, die das Web-Sandboxing bietet, weitgehend informell und unbewiesen. Bei vielen Sandboxes, einschließlich Java, wurden Fehler entdeckt, die es Anwendungen erlaubten, aus ihnen herauszukommen und willkürliche Anweisungen auf dem Rechner auszuführen. Chrome selbst hat Sandbox-brechende Angriffe von Black-Hat-Hackern dagegen demonstriert. Diese speziellen Exploits sind jetzt behoben, aber es gibt keine Garantie, dass es nicht mehr gibt. Rik Ferguson, ein Sicherheitsforscher, sagt es so:
"Exploits, die aus dem Sandboxing ausbrechen, wurden bereits für den Internet Explorer, für Java, für Google Android und natürlich für den Chrome-Browser (um nur einige zu nennen) demonstriert, während der Google-Sandkasten effektiv ist, nicht undurchdringlich und zuverlässig ist darauf für 100 Prozent Sicherheit wäre kurzsichtig. "
Der schlimmste Täter hier ist das interaktive Web, insbesondere WebGL, eine Implementierung von OpenGL (eine gemeinsame Grafikbibliothek) für den Einsatz in Webbrowsern. Mit WebGL können Sie grafisch beeindruckende 3D-Demos von Ihrem Browser aus starten, was wirklich cool ist (wie diese Beispiele), aber leider auch ein Albtraum für die Sicherheit. WebGL ermöglicht es Web-Apps, beliebige Shader-Anweisungen an die Grafikkarte der Maschine zu senden, was einen ganzen fantasievollen Regenbogen möglicher Sandbox-brechender Exploits ermöglicht. Die offizielle Position von Microsoft ist, dass WebGL zu unsicher für den internen Gebrauch ist:
" Die Sicherheit von WebGL als Ganzes hängt von niedrigeren Ebenen des Systems ab, einschließlich OEM-Treibern, die Sicherheitsgarantien garantieren, über die sie sich nie wirklich Sorgen machen müssen. Angriffe, die zuvor möglicherweise nur zu einer lokalen Erhöhung von Berechtigungen geführt haben, können jetzt zu einer Remote-Kompromittierung führen. Während es möglich ist, diese Risiken in gewissem Maße zu mindern, bleibt die große Angriffsfläche, die von WebGL exponiert wird, ein Problem. Wir erwarten Bugs, die nur auf bestimmten Plattformen oder mit bestimmten Videokarten vorhanden sind und möglicherweise gezielte Angriffe ermöglichen. "
Sie können der Cloud nicht vertrauen
Noch schlimmer als mögliche Bedrohungen gegen die Sandbox ist jedoch die Art der Plattform selbst. Chromebooks sind von Entwurf stark abhängig von der Cloud. Wenn Sie Ihr Chromebook versehentlich zerstören (indem Sie es beispielsweise betreten oder in einen See aus geschmolzenem Gestein fallen lassen), sind Ihre Daten nicht gelöscht. Sie können einfach einen neuen kaufen, sich anmelden und alle Ihre Daten und Einstellungen abrufen.
Dies führt leider zu erheblichen Risiken für die Benutzer auf der Cloud-Seite der Gleichung. Sean Gallagher von Ars Technica weist in seinem Leitartikel "Warum die NSA das Google-Chromebook mag" darauf hin, dass die NSA invasive Backdoors in den Cloud-Speicher von Google integriert hat (und möglicherweise immer noch hat) und damit alle Dateien ausspionieren kann von Google Drive-Nutzern, einschließlich Nutzern von Chromebooks. Wie Gallagher es ausdrückt,
"Nichts davon ist notwendigerweise Google schuld. Aber es ist eine Schwachstelle des Browsers als Plattform: Indem das Chromebook-Modell nahezu alle Computerressourcen für Anwendungen neben der Präsentation in die Cloud überträgt, können Angreifer oder Beobachter sich aus einer Hand Zugang zu Ihrer Computerwelt verschaffen. "
Es ist nicht nur die NSA. Während der vertrauenswürdige Bootloader Sie vor persistenten, bösartigen Änderungen am Betriebssystem schützen kann, die über Ihre Aktivitäten berichten, könnte sogar eine einzige Sicherheitsverletzung durch eine Webanwendung ausreichen, um Ihre Schlüssel und Authentifizierungsdetails zu stehlen, auf die ein Angreifer dann zugreifen kann Ihre Cloud-Daten und durchsuchen Sie sie in ihrer Freizeit.
Native Apps kommen
Zu allem Überfluss ist die Sandbox von ChromeOS kein besonders reines Paradigma: Die Browser-Erweiterungen, die auf Webseiten laufen, wie Adblock Plus und Google Translate, sind nativer Code, der auf der Maschine läuft, und sie können alle Arten von unangenehmen Dingen ( einschließlich der Anzeige von Adware und Ausspionieren Ihrer Passwörter). Es gibt sogar Erweiterungen, die Sie herunterladen können, um andere schädliche Erweiterungen zu erkennen und zu entfernen - eine Form der Antiviren-Software, die ChromeOS nicht benötigt. Zu Gunsten von Google wird ChromeOS nur Apps aus dem Chrome-Erweiterungsspeicher installieren, die bereits den Genehmigungsprozess von Google durchlaufen haben. Unglücklicherweise beruht dieser Prüfprozess auf menschlichem Urteilsvermögen, und die Garantien, die durch diese Prüfung geboten werden, sind viel schwächer als die, die durch gutes Sandboxing bereitgestellt werden.
Es wird noch schlimmer: Google plant native Apps in Form von Android-Apps zu implementieren, die in ChromeOS über eine Interface-Ebene laufen. Dabei handelt es sich um native Apps, die ChromeOS eine ganze Breite und Tiefe von Sicherheitsbedenken verleihen, und diese Sicherheitsbedenken werden durch die relative Anfälligkeit der Cloud für Schlüsselthemen noch verschärft. Verstöße sind ernster, wenn sie unsichtbar und hartnäckig sind.
Natürlich werden alle Android-Apps, die auf ChromeOS zugelassen sind, vermutlich vom Google-Team sorgfältig auf bösartigen Code überprüft, aber das reicht nicht aus, um die Sicherheit des Computers aufzuheben. Selbst wenn der Code nicht bösartig ist, werden sie mit Sicherheit mit ihren eigenen Exploits und Sicherheitslücken kommen, die für den Zugriff auf das Betriebssystem genutzt werden könnten. Nativer Code ist gefährlich und verstößt gegen die Sicherheitsprinzipien, die ChromeOS schützen sollen.
ChromeOS: Sicher, aber Bedenken bestehen
Es lohnt sich, hier kurz zu wiederholen, dass ChromeOS sehr sicher ist. Wenn Sie Windows, Linux oder OSX verwenden, ist ChromeOS sprunghafter und sicherer. Tatsächlich gilt das für praktisch jedes Betriebssystem außer Plan 9, einem hyper-sicheren Betriebssystem, das so undurchsichtig ist, dass es zumindest teilweise Malware vermeidet, da es keine "Ware" gibt, von der man sprechen könnte. Nehmen Sie dies jedoch nicht als Ausrede, um unvorsichtig zu sein: Es bestehen weiterhin ernsthafte Sicherheitsbedenken bezüglich ChromeOS, und es lohnt sich, auf sie zu achten, wenn Sie Ihrem Computer vertrauliche Informationen anvertrauen.
Bildnachweis: Hacker mit einem Laptop via Shutterstock, "Chrome Lapel Pin" von Stephen Shankland, "Chromebook", von slinkckgc, "Chromebook foto test", von ?? ?, "Kryha-Chiffriermaschine, Kryha-Verschlüsselungsgerät", von Ryan Somma