12
Autsch: Microsoft bündelt Windows 10 mit unsicherer Passwort-Manager-App
Unter Microsofts Windows 10 haben Endbenutzer keine Kontrolle mehr, was Microsoft an Apps auf dem Betriebssystem installiert (die Windows 10 Enterprise lasse ich mal außen vor). Bei Windows 10 Home und leider auch bei Windows 10 Pro ist in den letzten Tagen verschiedenen Benutzern aufgefallen, dass nach einer Neuinstallation automatisch die Passwort-Manager-App Keeper installiert wird.
Mal abgesehen vom Umstand, dass das nicht bei jedem Administrator erwünscht ist, haben betroffene Nutzer wohl auch festgestellt, dass die App nach der Deinstallation wieder kam. Ich tippe darauf, dass der in Windows 10 V1607 eingeführte Content Delivery Manager dafür verantwortlich war. Damit kann Microsoft Apps auf die System schieben, ohne die Benutzer zu fragen.
Nun ist Sicherheitsforscher Tavis Ormandi von Google aufgefallen, dass die Keeper-Geschichten immer mal wieder durch Sicherheitslücken glänzen. Er hat sich die App angesehen und festgestellt, dass beliebige Webseiten die Kennwörter von Keeper abfischen könnten. Nachdem die Entwickler informiert wurden, haben die zwar die betreffenden Funktionen aktualisiert und diese Schwachstelle beseitigt. Aber das Ganze zeigt, wie wackelig das Ganze Thema Apps unter Windows 10 geworden ist.
Admins in Firmenumgebungen werden unter Windows 10 Enterprise zwar die installierten Apps kontrollieren oder ganz entfernen. Aber ich schätze, es laufen auch eine Reihe Windows 10 Pro-Systeme im Firmenumfeld, wo das nicht so gehandhabt wird. Wer sich für einige Details und Hintergründe interessiert, findet in meinem Blog-Beitrag Windows10: Unsicherer Passwort-Manager-App eingeschleust etwas Lesefutter.
Spannende Frage: Ist irgend jemandem von Euch das untergekommen?
Mal abgesehen vom Umstand, dass das nicht bei jedem Administrator erwünscht ist, haben betroffene Nutzer wohl auch festgestellt, dass die App nach der Deinstallation wieder kam. Ich tippe darauf, dass der in Windows 10 V1607 eingeführte Content Delivery Manager dafür verantwortlich war. Damit kann Microsoft Apps auf die System schieben, ohne die Benutzer zu fragen.
Der Sicherheits-GAU
Nun ist Sicherheitsforscher Tavis Ormandi von Google aufgefallen, dass die Keeper-Geschichten immer mal wieder durch Sicherheitslücken glänzen. Er hat sich die App angesehen und festgestellt, dass beliebige Webseiten die Kennwörter von Keeper abfischen könnten. Nachdem die Entwickler informiert wurden, haben die zwar die betreffenden Funktionen aktualisiert und diese Schwachstelle beseitigt. Aber das Ganze zeigt, wie wackelig das Ganze Thema Apps unter Windows 10 geworden ist.
Admins in Firmenumgebungen werden unter Windows 10 Enterprise zwar die installierten Apps kontrollieren oder ganz entfernen. Aber ich schätze, es laufen auch eine Reihe Windows 10 Pro-Systeme im Firmenumfeld, wo das nicht so gehandhabt wird. Wer sich für einige Details und Hintergründe interessiert, findet in meinem Blog-Beitrag Windows10: Unsicherer Passwort-Manager-App eingeschleust etwas Lesefutter.
Spannende Frage: Ist irgend jemandem von Euch das untergekommen?
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 358431
Url: https://administrator.de/contentid/358431
Ausgedruckt am: 21.11.2024 um 12:11 Uhr
12 Kommentare
Neuester Kommentar
Moin.
Sollte man wirklich bevor man genau weiß, wann diese App installiert wird und unter welchen Umständen sie sich auch zur Nutzung anbietet, von "bündeln" sprechen? Macht es hierbei nicht auch einen Unterschied, ob man mit einem Microsoft-Konto arbeitet, oder nicht?
Wenn Tavis Ormandy nicht in der Lage ist, hinzuzufügen, welche Version und Edition er denn installiert hat, und ob MS-Account oder nicht, dann ist das auch ziemlich "Autsch" - und die Weitergabe dieser ungewissen Infos ebenso.
Und nein, hier hat sich der Keeper noch nirgendwo gezeigt, weder mit MS-Konto oder ohne, egal ob Pro, Home oder Enterprise - weder auf Phone, noch auf Desktop, weder in 1607, noch in 1703 oder 1709.
Sollte man wirklich bevor man genau weiß, wann diese App installiert wird und unter welchen Umständen sie sich auch zur Nutzung anbietet, von "bündeln" sprechen? Macht es hierbei nicht auch einen Unterschied, ob man mit einem Microsoft-Konto arbeitet, oder nicht?
Wenn Tavis Ormandy nicht in der Lage ist, hinzuzufügen, welche Version und Edition er denn installiert hat, und ob MS-Account oder nicht, dann ist das auch ziemlich "Autsch" - und die Weitergabe dieser ungewissen Infos ebenso.
Und nein, hier hat sich der Keeper noch nirgendwo gezeigt, weder mit MS-Konto oder ohne, egal ob Pro, Home oder Enterprise - weder auf Phone, noch auf Desktop, weder in 1607, noch in 1703 oder 1709.
1
Hallo,
Exakt selbiges hier. Auch nicht in den verschiedenen Insider-Editionen, welche hier haeufiger "neu" gemacht werden wie die 1607 - 1709.
[Update]
Gerade nach gesehen, nagelneues englisches W10 Home, lokaler Account, hat zwar den Spielekrams dabei, von Keeper keine Spur.
BFF
Und nein, hier hat sich der Keeper noch nirgendwo gezeigt, weder mit MS-Konto oder ohne, egal ob Pro, Home oder Enterprise - weder auf Phone, noch auf Desktop, weder in 1607, noch in 1703 oder 1709.
Exakt selbiges hier. Auch nicht in den verschiedenen Insider-Editionen, welche hier haeufiger "neu" gemacht werden wie die 1607 - 1709.
[Update]
Gerade nach gesehen, nagelneues englisches W10 Home, lokaler Account, hat zwar den Spielekrams dabei, von Keeper keine Spur.
BFF
Hallo,
ich dachte, es reicht dass man die App-Vorschläge deaktiviert.
Nicht?
Gruß,
Jörg
ich dachte, es reicht dass man die App-Vorschläge deaktiviert.
Nicht?
Gruß,
Jörg
Stimmt, er hat nicht angegeben, dass er Pro installiert hat. Ansonsten ist ziemlich klar, was er gemacht hat: ISO von MSDN heruntergeladen und in einer VM installiert.
Also - lass mich mal kurz zusammenfassen: Irgendein Blogger hat irgendwo gelesen das irgendwer ein Windows wie auch immer installiert hat und dann mit irgendwelchen Screenshots auf einem System das keiner kennt dokumentiert das dort eine Unsichere Software ist. Weder der Blogger selbst noch die hier vertretenden Kollegen können das irgendwie nachvollziehen - aber du nimmst das erst mal als Wahr und gegeben hin?
Wenn ich gleich in meinen Blog (den ich dann kurz erstellen muss) schreibe das die Welt untergeht weil ich irgendwo gehört habe das es passiert - aber gegen die Zahlung von 20 BitCoin (hey, ich gehe mit der Mode!) kannst du dich freikaufen. Bekomme ich die dann von dir?
Wenn ich gleich in meinen Blog (den ich dann kurz erstellen muss) schreibe das die Welt untergeht weil ich irgendwo gehört habe das es passiert - aber gegen die Zahlung von 20 BitCoin (hey, ich gehe mit der Mode!) kannst du dich freikaufen. Bekomme ich die dann von dir?
1
Moin,
naja, dieser "irgendein Blogger" ist führender Sicherheitsanalyst bei Google und verdient vermutlich nicht schlecht unabhängig davon, was er da veröffentlicht.
Es scheint wohl sein Hobby zu sein, Sicherheitslücken in Passwordmanagern nachzuweisen, denn das macht er quasi ständig. Nicht nur bei Microsoft auch Lastpass und ein paar andere hat er sich schon genauer angesehen und diesen entsprechende Hinweise gegeben, die schließlich tatsächlich zur Schließung eben solcher Lücken geführt haben.
So auch in diesem Fall. Seine Aussage war, er hat die Sicherheitslücke gemeldet und Microsoft hat sie anschließend "geschlossen". Nun ein paar Wochen später, will er nochmal nachschauen, nimmt das gleiche Script und muss die Selektoren anpassen und es geht weiterhin. Das ist das, worüber er sich beschwert hat. Dass das Ding per default mit irgendwelchen Windows Versionen kommt, setzt dem ganzen nur den Hut auf.
Gruß
Chris
naja, dieser "irgendein Blogger" ist führender Sicherheitsanalyst bei Google und verdient vermutlich nicht schlecht unabhängig davon, was er da veröffentlicht.
Es scheint wohl sein Hobby zu sein, Sicherheitslücken in Passwordmanagern nachzuweisen, denn das macht er quasi ständig. Nicht nur bei Microsoft auch Lastpass und ein paar andere hat er sich schon genauer angesehen und diesen entsprechende Hinweise gegeben, die schließlich tatsächlich zur Schließung eben solcher Lücken geführt haben.
So auch in diesem Fall. Seine Aussage war, er hat die Sicherheitslücke gemeldet und Microsoft hat sie anschließend "geschlossen". Nun ein paar Wochen später, will er nochmal nachschauen, nimmt das gleiche Script und muss die Selektoren anpassen und es geht weiterhin. Das ist das, worüber er sich beschwert hat. Dass das Ding per default mit irgendwelchen Windows Versionen kommt, setzt dem ganzen nur den Hut auf.
Gruß
Chris
3
Moin,
ich kann bei meinem frischen Windows 10 Pro 1703 die App ebenfalls nicht finden.
Aber selbst wenn, warum sollte man überhaupt eine Version mit den ganzen nervigen Apps verteilen?
Abbild per DISM anpassen oder direkt nach der Installation per PS-Skript die Apps entfernen.
Gruß
ich kann bei meinem frischen Windows 10 Pro 1703 die App ebenfalls nicht finden.
Aber selbst wenn, warum sollte man überhaupt eine Version mit den ganzen nervigen Apps verteilen?
Abbild per DISM anpassen oder direkt nach der Installation per PS-Skript die Apps entfernen.
Gruß
Das ist schön - das sind alles führende sonstwas mit expertenwissen usw... Aber: Selbst auf der deutschen Seite steht doch das die da nicht drin ist. Merkwürdigerweise hat das auch kein anderer hier finden können... Jetzt legt das einfach die Vermutung nahe das entweder die nicht enthalten ist oder das die ISO eben aus "irgendeiner" Quelle kommt - nicht zwingend von MS selbst... Und daher wird hier mit irgendwelchem Halbwissen eine "News" verbreitet die eher auf "Grenzwissenschaften-aktuell" passen würde als in ein Admin-Forum. Aber das ist halt wie mit diesen "Einstein hat mal gesagt...." -> das war auch unbestritten ein Experte, aber bei dem was der angeblich alles mal gesagt hat kam der nie dazu mal zu arbeiten. Irgendwie glaube ich da nicht immer dran wenn es heisst ein "Experte" hat mal gesagt, geschrieben oder sonstwas...
Moin,
nun ja, dass es hier niemand gefunden hat, kann viele Gründe haben.
Das fängt bei Sprach- und Regioneneinstellungen an und hört bei einer Zuordnung über GeoIPs auf. Sprich auch wenn ich es nicht sicher weiß, ist es zumindest nichts ungewöhnliches für Deutschland andere Anpassungen auszurollen als für andere Länder wie z.B. Kanada oder die USA.
Denn zumindest "Hackernews" (ist seriöser als es klingt ;)) hat zumindest ziemlich klar erklärt wo und wie der Programm auf die Systeme kommt.
https://thehackernews.com/2017/12/windows-10-password-manager.html
Und auch der Bugreport selbst ist recht klar wie und wo das Image her kommt und was man damit gemacht hat:
https://bugs.chromium.org/p/project-zero/issues/detail?id=1481&desc= ...
Von daher würde ich mir mehr Recherche und weniger Meckern wünschen ;)
Gruß
Chris
nun ja, dass es hier niemand gefunden hat, kann viele Gründe haben.
Das fängt bei Sprach- und Regioneneinstellungen an und hört bei einer Zuordnung über GeoIPs auf. Sprich auch wenn ich es nicht sicher weiß, ist es zumindest nichts ungewöhnliches für Deutschland andere Anpassungen auszurollen als für andere Länder wie z.B. Kanada oder die USA.
Denn zumindest "Hackernews" (ist seriöser als es klingt ;)) hat zumindest ziemlich klar erklärt wo und wie der Programm auf die Systeme kommt.
https://thehackernews.com/2017/12/windows-10-password-manager.html
Und auch der Bugreport selbst ist recht klar wie und wo das Image her kommt und was man damit gemacht hat:
https://bugs.chromium.org/p/project-zero/issues/detail?id=1481&desc= ...
Und daher wird hier mit irgendwelchem Halbwissen eine "News" verbreitet die eher auf "Grenzwissenschaften-aktuell" passen würde als in ein Admin-Forum.
Von daher würde ich mir mehr Recherche und weniger Meckern wünschen ;)
Gruß
Chris
1
@maretz
Wieso so skeptisch? Es gab Verlinkungen zu anderen Seiten und Usern, die das Verhalten bestätigt haben. Eine gewisse Neugier vorausgesetzt, hätte man das auch selbst erlesen können. Beispiele:
https://www.reddit.com/r/Windows10/comments/6dpj78/keeper_password_manag ...
https://www.askwoody.com/forums/topic/watch-out-for-the-win10-apps-orman ...
Es handelt sich hier um Microsoft Windows, so viel wie die von uns sammeln und auslesen, kann es doch sein, das die App still und leise installiert worden ist. So unrealistisch oder weit hergeholt ist das nicht.
Nehmen wir also mal an, es ist die Wahrheit und die App wurde in einigen Regionen durch den "Content Delivery Manager", den es auf jeden Fall gibt, heimlich nachinstalliert. Wie wäre dann deine Reaktion?
Gruß
max
Wieso so skeptisch? Es gab Verlinkungen zu anderen Seiten und Usern, die das Verhalten bestätigt haben. Eine gewisse Neugier vorausgesetzt, hätte man das auch selbst erlesen können. Beispiele:
https://www.reddit.com/r/Windows10/comments/6dpj78/keeper_password_manag ...
https://www.askwoody.com/forums/topic/watch-out-for-the-win10-apps-orman ...
Es handelt sich hier um Microsoft Windows, so viel wie die von uns sammeln und auslesen, kann es doch sein, das die App still und leise installiert worden ist. So unrealistisch oder weit hergeholt ist das nicht.
Nehmen wir also mal an, es ist die Wahrheit und die App wurde in einigen Regionen durch den "Content Delivery Manager", den es auf jeden Fall gibt, heimlich nachinstalliert. Wie wäre dann deine Reaktion?
Gruß
max
So etwas 'wundere' ich mich auch über die Reaktionen - es muss jeder wissen, wie er mit der Info umgeht. Aber egal - ein kurzer Nachtrag.
Inzwischen hat Arstechnica von Microsoft ein paar Zeilen auf eine Anfrage erhalten, die ich nachgetragen habe. Es wird weder dementiert noch bestätigt, dass die App über MS kam, man verweigert diesbezüglich jeden Kommentar (wobei 'MSDN Download' bei Tavis Ormandy ziemlich eindeutig ausgeführt ist). MS selbst führt lediglich aus, dass die 'App aktualisiert wurde und niemand einem Risiko ausgesetzt gewesen sei'.
Dass ich inzwischen von zwei deutschen Nutzern die Rückmeldung bekam, dass die App auf Systemen gefunden wurde, ist nur eine Fußnote - werde ich auch nicht hoch hängen, da ich die Validität der Nutzer nicht beurteilen kann. Bei Tavis Ormandy schaut es etwas anders aus - der Vorposter hat ja darauf hingewiesen, was der Gute macht.
Inzwischen hat Arstechnica von Microsoft ein paar Zeilen auf eine Anfrage erhalten, die ich nachgetragen habe. Es wird weder dementiert noch bestätigt, dass die App über MS kam, man verweigert diesbezüglich jeden Kommentar (wobei 'MSDN Download' bei Tavis Ormandy ziemlich eindeutig ausgeführt ist). MS selbst führt lediglich aus, dass die 'App aktualisiert wurde und niemand einem Risiko ausgesetzt gewesen sei'.
Dass ich inzwischen von zwei deutschen Nutzern die Rückmeldung bekam, dass die App auf Systemen gefunden wurde, ist nur eine Fußnote - werde ich auch nicht hoch hängen, da ich die Validität der Nutzer nicht beurteilen kann. Bei Tavis Ormandy schaut es etwas anders aus - der Vorposter hat ja darauf hingewiesen, was der Gute macht.
Nimm's nicht tragisch. 
Natuerlich wurde die App "untergejubelt" per CDM. Per Zufall oder was immer.
Und das die App "unsicher ist" ist ein ganz anderes Ding fuer mich, wie das Installieren per CDM.
Wie schon gesagt. Bei uns war nix mit Keeper, ist nix mit Keeper.
Das irgendwelche Versuche die Situation nachzustellen nix bringen, duerfte daran liegen, dass MS halt Keeper nicht mehr per CDM ausliefert.
Und vielleicht spaeter mal von der (unsicheren) App als Problem ran gehen, duerfte produktiver sein, wie dem Teufel zu verteufeln.
BFF
Natuerlich wurde die App "untergejubelt" per CDM. Per Zufall oder was immer.
Und das die App "unsicher ist" ist ein ganz anderes Ding fuer mich, wie das Installieren per CDM.
Wie schon gesagt. Bei uns war nix mit Keeper, ist nix mit Keeper.
Das irgendwelche Versuche die Situation nachzustellen nix bringen, duerfte daran liegen, dass MS halt Keeper nicht mehr per CDM ausliefert.
Und vielleicht spaeter mal von der (unsicheren) App als Problem ran gehen, duerfte produktiver sein, wie dem Teufel zu verteufeln.
BFF
