Offenes Updatesystem unsicher ?

[Mieze]

Hallo!


Zusammenhang ist ersteinmal egal, aber man wollte mir heute weiß machen, dass ein PC/Server auf dem automatische Updates aktiviert sind unsicher seien.

Wenn so etwas aktiviert wäre, wäre immer ein Port offen über den jemand eindringen könnte. "Ein offenes Updatesystem ist immer unsicher."
Derjenige hatte die Info von einem, "der das studiert hat und seit Jahren Server verwaltet".
Ich hielt dagegen, dass für die Windows Updates normal nur Port 80 frei sein muß - und der wäre ja eh immer offen wenn man Internet nutzt.

Ich weiss zwar, dass es noch den Port 443 gibt der für die Updates genutzt wird, aber ich war immer der Meinung, dass wenn Port 443 blockiert ist er den port 80 nutzt.
Zumal ich denke, dass es Quatsch ist zu sagen, sobald ein Port offen ist könnten Eindringlinge böses anrichten.

Meinungen dazu ?


lg
Mieze

 

[jorey]

mieze war zwar dabei und kann es selber lesen, aber trotzdem nochmal "fuer die allgemeinheit":
<suidroot> Mieze, das ist richtig, was du denkst
<suidroot> sowas ist doch humbug
<Mieze> gut, ich dachte schon...
<Mc_Goodi> ausser die anwendung hinter diesem port (der update service z.B.) haette nen bug der sich ausnutzen liess und in dem fall waer es glaub ich auch egal ob automatisches updaten aktiviert
ist oder nicht *denk*
<suidroot> ack
<suidroot> naja, wenn deaktivert, dann machts schon einen unterschied, weil du dann keinen bug ausnutzen kannst
<Mieze> frag mich nur warum windows dann nur so oft angegriffen werden kann
<Mc_Goodi> irgendwann muss man updaten. tut man das nicht is das system genauso unsicher
<Mieze> das kam grad als antwort...
<Mieze> ja klar und deshalb is zum bleistift sassa ja auch nur damals ??bern port reingekommen
<suidroot> ja, sasser nutzte aber nen bug im rpc-dienst. also genau das, was Mc_Goodi gemeint hat
<suidroot> wenn du ne anwendung hast, die auf nem port lauscht und die anfällig ist gegen irgendeine art exploit, dann hast du ein problem

 

[Mieze]

Die beiden Aussagen:

Mieze> frag mich nur warum windows dann nur so oft angegriffen werden kann
Mieze> ja klar und deshalb is zum bleistift sassa ja auch nur damals ??bern port reingekommen

kamen nicht von mir sondern von der Person.

 

[Gulliver]

ein wsus server bezieht _seine_ updates ueber einen MS server- immer auf port 80/443. Das laesst sich auch nicht aendern.

Der wsus server wiederum kann die updates fuer die clients auf beliebigen ports anbieten.

Zumal ich denke, dass es Quatsch ist zu sagen, sobald ein Port offen ist könnten Eindringlinge böses anrichten.

<suidroot> wenn du ne anwendung hast, die auf nem port lauscht und die anfällig ist gegen irgendeine art exploit, dann hast du ein problem

und mit Meinungen hat das nichts zu tun.

 

[CDW]

ich denke mal, das sagt schon alles aus

original aus ms doku
To configure your firewall
? If there is a corporate firewall between WSUS and the Internet, you might need to configure that firewall to ensure that WSUS can obtain updates. To obtain updates from Microsoft Update, the WSUS server uses port 80 for HTTP protocol and port 443 for HTTPS protocol. This is not configurable.
? If your organization does not allow port 80 and/or port 443 to be open to all addresses, you can restrict access to only the following domains, so WSUS and Automatic Updates can communicate with Microsoft Update:
? http://windowsupdate.microsoft.com
? http://*.windowsupdate.microsoft.com
? https://*.windowsupdate.microsoft.com
? http://*.update.microsoft.com
? https://*.update.microsoft.com
? http://*.windowsupdate.com
? http://download.windowsupdate.com
? http://download.microsoft.com
? http://*.download.windowsupdate.com
? http://wustat.windows.com