Sicherheits-FAQ für Google Chrome / Für Browser

[mope7]

Sicherheits-FAQ für Google Chrome / Für Browser​

WICHTIG: Weder das United Forum, noch seine Betreiber, Administratoren, Moderatoren oder User haften zu irgendeiner Zeit für eventuelle Schäden an Hard- oder Software oder Datenverlust ect beim befolgen dieser oder anderer FAQs, das verwenden aller FAQs ist stets auf eigene Gefahr!

ANMERKUNG: kann sein dass nicht alle Bilder sofort laden ! Imageshack ist atm etwas lahm. Sollten 9 (neun) Bilder sein !

erstmal vorweg, wer Chrome benutzen möchte aber auf die Google-Spionage keinen Bock hat, der nimmt einfach Chromium oder den "Iron"-Browser.... sollte man denken

Allerdings hat man bei Chrome immer die neueste Version und das was Iron anbietet kann man auch mit ein paar Klicks erledigen

Und, die wirklich perversen Sachen von Chrome (wie die Client-ID existieren NICHT mehr, also muss man da keine Angst mehr haben !)

Also wir basteln uns unseren eigenen "Iron" Browser

Also, als erstes installieren wir uns Google Chrome



startet das Ding einfach und gehen direkt in die Einstellungen


und dann stellt ihr einfach so ein wie hier

Grundeinstellungen

da müsst ihr eigentlich NICHTS einstellen, das ist alles Geschmackssache Wer es mag, dass die alten Tabs neu geladen werden wenn man den Browser schließt, der klickt die Option "zuletzt geöffnete Seiten..." an

Privates

Passwörter nie speichern und AutoFill deaktivieren !

Details

Hier alles so einstellen wie bei mir.
ABER: "Automatische Vorschläge...." also die zweite Option AUSschalten wenn ihr absolute Funkstille haben wollt !
der Rest den man mit Scrollen erreicht erklärt sich von selbst. Ich würde das Übersetzungsding noch abschalten. Taugt eh nix

als nächstes geht ihr in die "Content" Einstellungen unter "Details" und setzt am besten das Häkchen, dass KEINE Cookies zugelassen werden. Wollt ihr Cookies haben (z.B. fürs UF) dann könnt ihr die betreffende Website unter "Ausnahmen" hinzufügen. Einfacher geht es sogar, wenn ihr folgendes macht: Häkchen bei "Bestätigung anzeigen wenn Website versucht..." und dann einmal kurz all eure Foren besuchen - ihr werdet jedesmal gefragt ob ihr Cookies zulassen wollt und drückt einfach auf "ja". Danach setzt ihr das Häkchen wieder auf "Nie zulassen" und gut ist
Ihr bekommt übrigens in der Adressleiste angezeigt ob Cookies zugelassen sind oder nicht (durch einen durchgestrichenen Keks ).

(edit Touji hat mich darauf aufmerksam gemacht: Beim Reiter "Plug-Ins" das Kästchen "Verwendung [...] für KEINE Seite zulassen" aktivieren. Zum komfortablen surfen müsst ihr hier dann auch hier wieder per Hand die entsprechenden Ausnahmen hinzufügen. Aber es lohnt sich. Ich habs ja schon mal gesagt: 90% der Seiten die man ansurft sind die selben - und selbst da braucht man nicht immer alle "Features"
also gut überlegen. Ich kann nur aus eigener Erfahrung sagen wie schnell man was böses aufem PC und 1000 Euro weniger aufem Paypal hat (auch wenn es am Ende gut ging )

Bei den restlichen Content-Einstellungen müsst ihr selber wissen was ihr tun möchtet. Java-Script ja oder nein ? Bilder anzeigen ? etc etc.
Java-Script ist dabei wohl der interessanteste Aspekt, weil das immer noch von 90% der Websites benutzt wird, aber auch Schaden anrichten kann.
Ich empfehle hier auch einfach Javascript allgemein zu verbieten und nur die Webseiten (Youtube z.B.) zu erlauben wo ihr es wirklich braucht. Das geht ähnlich einfach wie die Sache mit den Cookies:

Ihr bekommt in der Adresszeile angezeigt ob eine Seite Java verwendet

dieses Papierchen mit dem roten Kreuz müsst ihr anklicken, dann erscheint folgendes Dropdown:


Und hier dann einfach die entsprechenden Seiten zulassen.
Zugegeben, am Anfang vllt nen biiiiischen Arbeit, aber man ist zu 90% der Zeit eh immer auf den selben Seiten unterwegs. Und No-Script und Co muss man auch erst so "anlernen".

NoScript ist ein gutes Stichwort - wir brauchen noch eine Extension für Werbung !
Der bekannteste Werbeblocker dürfte wohl AdBlock+ sein.
Gibts mittlerweile auch für Chrome, aber ich finde AdThwart besser. Einfach installieren und dann wieder wie vorher auf den Schraubenschlüssel, nur diesmal "Erweiterungen" statt "Optionen"
Dann kommt ihr zu diesem Fenster:

Da dann auf "Optionen" und einfach die Filterlisten einstellen die ihr wollt (und ja, das sind die selben wie bei AdBlock )


Dass AdThwart funzt sagt euch wieder das kleine Symbol in der Adressleiste.


So und jetzt noch ein Tipp, den JEDER umsetzen sollte: Das editieren der sog. hosts File.

Eine aktuelle gibt es immer hier: http://www.mvps.org/winhelp2002/hosts.htm

Was macht diese Datei ?

Manchmal wird die Hosts-Datei dazu verwendet, bekannte Werbeserver zu blockieren, indem sie als Alias für 127.0.0.1 eingetragen werden. Die Besonderheit dieser Methode gegenüber den zu installierenden Werbefiltern ist, dass diese Sperrung systemweit Gültigkeit hat, also nicht nur auf einen Browser beschränkt ist. Darüber hinaus kann man solche Filter auch gegen manche Schadprogramme einsetzen, wenn diese Anweisungen von bereits bekannten Servern abzurufen versuchen.
Die exzessive Verwendung dieser Datei kann jedoch den gesamten Prozess der Namensauflösung verlangsamen, da diese Datei nicht für große Datenmengen optimiert ist. Vorgefertigte Dateien für die Verwendung als Werbefilter oder DNS-Ersatz sind im Internet erhältlich.
[...]
Besonders Windows-Betriebssysteme sind häufig das Ziel von Viren, die die Hosts-Datei so modifizieren, dass Benutzer auf gefälschte Onlinedienste geleitet werden. Mit diesem Trick kann etwa ein Benutzer auf eine gefälschte Online-Banking Seite umgeleitet werden (siehe Pharming und Phishing). Im Zweifelsfall empfiehlt es sich auf verschlüsselte Verbindungen zu achten sowie das Zertifikat des Verbindungsschlüssels zu überprüfen.
Dies wird meist durch Einträge begleitet, welche eine Aktualisierung der Antivirenprogramme unterbinden. Die Server des Herstellers erreichen sie durch dessen Internetadressen, auf diesen Servern werden die aktualisierten Virensignaturen bereitgestellt. Sind aufgrund der in der Hosts-Datei ungültigen oder falsch eingetragenen IP-Adressen diese nicht zu erreichen, verhindern diese Einträge somit das automatische oder manuelle Aktualisieren der Software.

Ich kann das jetzt leider nur für Linux (hab Mint, also ein Ubuntu-Derivat) genau erklären, aber da steht ja für die Windows User dabei, dass eine Batch-Datei mitgeliefert wird die alles macht
Win7 / Vista User sollten sich das hier anschauen:
http://www.mvps.org/winhelp2002/hostswin7.htm
http://www.mvps.org/winhelp2002/hostsvista.htm

Für Ubuntu und Co:
Die Datei /etc/hosts (alt+f2: gksu gedit /etc/hosts) öffnen und den plain text einfügen

127.0.0.1	localhost
127.0.1.1	RECHNERNAME

 The following lines are desirable for IPv6 capable hosts
::1     localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
ff02::3 ip6-allhosts

>Ab hier den Inhalt einfügen<

Viel spaß .top

 

[katsch]

Und warum jetzt genau Chrome? Was sind denn die Vorzüge? Oder geht es einfach nur darum zu zeigen, dass man Spyware auch ohne Spy nutzen kann?

 

[mope7]

eigentlich mehr darum, weil viele Leute Unbehagen vor Chrome haben (was auch mal gerechtfertigt war, Stichwort Client-ID) - aber das dies nicht mehr begründet ist.
Und meiner Meinung nach ist Chrome einfach nur ein toller Browser. Sieht gut aus, ist super schnell - so leid es mir für de Fuchs tut, aber der kann da einfach nicht mehr mithalten.

Außer man braucht seine 1000 Plugins

 

[Little.]

Warum installieren wir uns nicht einfach gleich Chromium?

 

[mope7]

Der Hauptgrund liegt daran, dass man Chromium selbst kompilieren muss, und die meisten dabei überfordert sein dürften.


edit: btw, als Alternative bietet sich noch "ChromPlus" an.
http://www.chromeplus.org/

hat noch ein paar extra-Features an Bord. Krankt aber wie Chromium daran, nicht ganz aktuell zu sein (d.h. Sicherheitsupdates kommen erst etwas später als bei Chrome - Iron hingegen hat gar keine Updatefunktion)

 

[Touji]

Hat das einen bestimmten Grund, dass du das DNS-Vorabruf deaktiviert hast? Mir fällt so spontan kein vernünftiger Grund ein das zu tun, zumindest keiner der die Sicherheit des Systems an sich beeinträchtigen würde.

(BTW: Wer verhindern möchte, dass Texteingaben in der Adressleiste an Google bzw. den Standardsuchanbieter gesendet werden, kann dafür das Häkchen bei "Automatische Vorschläge zur Vervollständigung der in der Adressleiste eingegebenen Suchanfragen und URLs" deaktivieren.)

Ansonsten würde ich bei den "Content-Einstellungen" unter "Plug-ins" noch "Verwendung von Plug-ins für keine Webseite zulassen" aktivieren. Die Sicherheitslücken in weit verbreiteten Plug-ins wie Flash Player, Adobe Reader und Java werden bei Malware-Schreibern immer beliebter, da es bei diesen oftmals egal ist welchen Browser das Opfer benutzt.
Erschwerend kommt hinzu, dass Chromes Sandbox, anders als bei Sicherheitslücken im Browser an sich, hiergegen vollkommen wirkungslos ist. Wer eine Sicherheitslücke in Chrome ausnutzen möchte braucht muss zusätzlich zur der Lücke im Browser an sich noch eine weitere finden mit welcher er aus der Sandbox ausbrechen kann. Bei einer Lücke im Flash Player braucht man nur diese ausnutzen, denn das Programm läuft nicht in der Sandbox.

Aber genug rum gemäkelt, ein tolles FAQ.

 

[mope7]

das hat in der Tat einen Grund - vllt ein bisschen zu paranoid, aber ich bin auch jemand der öfter mal mit TOR rumdüst, von daher vom Nerdfaktor noch verständlich --> http://verlorenegeneration.de/2009/06/30/firefox-3-5-netzsperren-und-die-probleme-fangen-an/

aber im Grunde will ich nur ein bisschen mehr Kontrolle darüber haben, was mein Browser macht

Deine Bemerkung zu der Plug-Ins Deaktivierung ist übrigens richtig. Ich hab es oben noch eingefügt