Windows 8: Was wurde gegenüber dem Vorgänger verbessert?

Mit der Veröffentlichung von Windows 8 kann im Oktober 2012 gerechnet werden, einen offiziellen Termin gab Microsoft bisher allerdings noch nicht bekannt. Anfang Juni soll eine weitere Vorschauversion erscheinen. Wie schon beim Wechsel von Windows Vista zu 7 gibt es nur eine Veränderung, die wirklich ins Auge springt – bei Windows 7 war das die neue Taskleiste, bei 8 ist es der Metro-Startbildschirm -, während es ansonsten eher die Details sind, die verbessert wurden.

Die Neuinstallation eines Windows-8-Systems wurde deutlich vereinfacht, falls sie überhaupt noch notwendig sein sollte: Die „Refresh“-Funktion versetzt Windows in seinen Urzustand und deinstalliert alle Programme; Benutzereinstellungen bleiben jedoch erhalten. Die „Reset“-Funktion gleicht dagegen einer Neuinstallation, allerdings wird diese automatisch durchgeführt: So ist es hier beispielsweise nicht notwendig, die Seriennummer erneut einzugeben. Außerdem hat der Benutzer die Möglichkeit, sich mit seiner Windows-Live-ID einzuloggen: Seine Einstellungen und installierte Metro-Anwendungen bleiben so über verschiedene PCs oder Windows-Installationen hinweg erhalten. Benutzer der Enterprise-Version bekommen mit „Windows To Go“ außerdem die Möglichkeit, das System auf einem USB-Stick zu installieren.

An der Metro-Oberfläche scheiden sich die Geister

Ob Microsofts Entscheidung, in Zukunft ein einheitliches Betriebssystem für Desktop- und Tablet-PCs anzubieten, wirklich sinnvoll war, wird sich erst in den kommenden Jahren zeigen. Im Vorfeld hat es dafür schon reichlich Kritik gehagelt. Desktop-Benutzer, die mit der neuen Metro-Oberfläche nichts anzufangen wissen, werden diese im Alltag jedoch kaum zu sehen bekommen: Häufig benutzte Programme lassen sich an die Taskleiste anpinnen, brauchen also nicht über den Metro-Startbildschirm geöffnet zu werden, und abgesehen von diesem Startbildschirm bleibt es jedem Benutzer selbst überlassen, ob er Metro-Anwendungen verwenden möchte oder lieber bei der klassischen Windows-Software bleibt.

Gelegenheitsnutzer, die ihren Computer in erster Linie für Internet, Fotos und Musik benutzen und sich von bisherigen Windows-Versionen häufig überfordert fühlten, dürften mit der stark reduzierten Metro-Oberfläche jedenfalls deutlich besser zurechtkommen. Und Tablet-Benutzer, die ebenfalls vor allem mit Metro-Anwendungen arbeiten werden, dürften es zu schätzen wissen, gleichzeitig Zugriff auf einen klassischen Windows-Desktop zu haben. Das System wird mit einigen Metro-Programmen ausgeliefert, darunter dem Internet Explorer und dem Taskmanager, die jedoch beide auch weiterhin in ihrer klassischen Desktop-Version verfügbar sein werden. Weitere Metro-Software kann über den Windows-Store gekauft werden, der mit der neuen Version des Betriebssystems eingeführt wird.

Bekannter Explorer wurde ebenfalls verbessert

Der Windows-Explorer hat jetzt einen Ribbon, wie er zum Beispiel bereits aus Office, Paint oder Windows Live Mail bekannt ist – das Erscheinungsbild der Microsoft-Programme wird damit einheitlicher. Außerdem wurde der Dialog zum Kopieren von Dateien überarbeitet: Dieser ist jetzt übersichtlicher als in Windows 7, zeigt mehr Informationen an und bietet die Möglichkeit, den Kopiervorgang pausieren zu lassen.

In der Liste der weiteren Verbesserungen befinden sich außerdem die Unterstützung von USB-3.0, schnelleres Hochfahren sowie die Virtualisierungssoftware Hyper-V, die in Zukunft auch für Heimanwender verfügbar sein soll. Die Taskleiste kann jetzt auch auf mehreren Monitoren angezeigt werden, und Eltern haben die Möglichkeit, bestimmte Funktionen des PCs für die Accounts ihrer Kinder einzuschränken.

–

Dies ist ein Gastartikel von Torben Leuschner. Er ist Betreiber von www.win-next.de und bloggt dort regelmäßig über das kommende Microsoft Betriebssystem Windows 8.

8 Prämissen für die effiziente Verwaltung privilegierter Accounts

Superuser-Accounts mit ihren weitreichenden Rechten stellen für jedes Unternehmen ein Sicherheitsrisiko dar. Problemlos beseitigen lässt es sich durch eine Lösung für die automatische Verwaltung von privilegierten Administratoren-Accounts. Dabei muss man allerdings einige Punkte beachten. Sicherheitsexperte Cyber-Ark listet die wichtigsten auf.

IT-Umgebungen bestehen in der Regel aus Hunderten oder sogar Tausenden von Servern, Datenbanken, Netzwerkgeräten und Anwendungen, die alle über verschiedene privilegierte und von mehreren Mitarbeitern genutzte Konten mit weitreichenden Berechtigungen verwaltet werden. Eine manuelle Änderung dieser privilegierten Benutzerkonten ist extrem zeitaufwändig und fehlerbehaftet – und somit kaum realisierbar. Gefragt ist hier eine Lösung zur automatischen Verwaltung von Passwörtern. Bei der Auswahl und Implementierung einer solchen Lösung sind jedoch einige elementare Aspekte zu berücksichtigen. Die acht wichtigsten nennt Cyber-Ark:

1. Identifizierung der privilegierten Accounts
Alle unternehmenskritischen Systeme, Applikationen und Datenbanken sollten identifiziert werden, einschließlich der vorhandenen Zugänge von Administratoren. Es ist konkret zu ermitteln, wer aktuell Zugang zu Passwörtern von privilegierten Benutzerkonten hat und tatsächlich Zugang haben sollte.

2. Entwicklung von Rollenmodellen
Im Hinblick auf privilegierte Administratoren-Accounts mit erweiterten Rechten müssen Prozesse für IT-Berechtigungsvergaben definiert werden. Damit kann sichergestellt werden, dass die Mitarbeiter nur die Rechte besitzen, die für ihren Tätigkeitsbereich erforderlich sind. Unerlässlich für die Verwaltung privilegierter Benutzerkennungen ist zudem auch die Implementierung einer rollenbasierten Zugriffskontrolle.

3. Zentrale Speicherung der Passwörter
Es sollte eine Lösung zur zentralen Speicherung aller Passwörter und privilegierten Aktivitäten gewählt werden. Dies ermöglicht eine zentrale Administration und Überwachung des gesamten Passwortmanagements. Mögliche Sicherheitslücken durch Insellösungen, die in der Vergangenheit installiert wurden, werden damit geschlossen.

4. Eliminierung von Application Accounts
Ein zentrales Sicherheitsproblem besteht generell auch bei Software oder Application Accounts, das heißt bei Passwörtern, die in Anwendungen, Skripten oder Konfigurationsdateien gespeichert sind
und einen automatischen Zugriff auf Backend-Systeme ermöglichen. Dies ist mit einer Vielzahl von Risiken verbunden, da die Passwörter in der Regel nie geändert werden, oft im Klartext vorliegen
und einer großen Anzahl an Usern wie Systemadministratoren und Entwicklern zugänglich sind. Die eingebetteten statischen Passwörter sollten folglich in den Applikationen und Skripten eliminiert
werden. Es empfiehlt sich, auch diese Zugangsdaten zentral abzulegen und zu überprüfen sowie regelmäßig zu ändern.

5. Einführung eines automatischen Passwort-Managements
Eine Passwortmanagement-Lösung sollte auf jeden Fall eine automatische Verwaltung und Änderung privilegierter Accounts ermöglichen. Der Anwender muss dabei die Komplexität und den Änderungszyklus – abhängig von den Vorgaben der jeweiligen Security-Policy – beliebig festlegen können. Keinesfalls ausreichend ist der Einsatz eines Tools zur Erstellung von Passwort-Datenbanken, das zwar eine Speicherung der Kennwörter ermöglicht, aber keine automatische Änderung.

6. Berücksichtigung von Remote-Zugriffen
Im Hinblick auf die unternehmensinterne Datenintegrität und -sicherheit sollten externe Zugriffe auf IT-Systeme zuverlässig überwacht werden. Dabei sollte eine Lösung implementiert werden, die
es ermöglicht, dass externe Dienstleister oder Administratoren Passwörter nie einsehen können. Realisierbar ist das zum Beispiel durch die Implementierung eines Jump-Servers für die administrativen Verbindungen. Nur er „kennt“ die Passwörter der Zielsysteme und nur er darf sich mit diesen verbinden – so verlässt ein Passwort das Unternehmensnetzwerk auch dann nicht, wenn der Zugriff von außen erfolgt.

7. Hohe Sicherheitsstandards
Die zentrale Speicherung von Passwörtern erfordert die Implementierung einer Lösung, die mit mehreren unterschiedlichen Security-Layern zuverlässigen Schutz vor unbefugten Zugriffen bietet. Mit
Authentifizierungs- und Zugriffskontroll-Features wie OTP-Token, Zertifikat, Radius, Passwort oder LDAP muss sichergestellt werden, dass nur autorisierte Anwender Zugang zu den Passwörtern haben, die zudem verschlüsselt gespeichert sein sollten. Für besonders kritische Daten oder Notfall-Passwörter sollte auch eine Autorisierung mittels Vier-Augen-Prinzip zwingend vorgeschrieben sein.

8. Protokollierung privilegierter Sessions
Die Passwortnutzung sollte revisionssicher protokolliert werden. Dabei sollten privilegierte Zugänge nicht nur im Hinblick auf das „Wer“, sondern auch auf das „Was“ gesichert und überwacht werden,  das heißt, es ist eine komplette Protokollierung von Admin-Sessions empfehlenswert. Damit lässt sich jederzeit nachvollziehen, wer wann was getan hat. Idealerweise bietet die eingesetzte Passwortmanagement-Lösung auch eine Realtime-Überwachung, die es ermöglicht, bei verdächtigen Aktivitäten direkt einzugreifen und einzelne Sessions zu beenden.

Jochen Koehler, DACH-Chef von Cyber-Ark mit Sitz in Heilbronn, erklärt: „Um die mit privilegierten Benutzerkonten verbundene Sicherheitsproblematik in den Griff zu bekommen, sollte man eine
Lösung implementieren, mit der diese Accounts automatisch verwaltet und überwacht werden können. Wenn man bei der Lösungsauswahl und -implementierung die genannten Aspekte  berücksichtigt, kann man die Gefahren des Datenmissbrauchs und -diebstahls zuverlässig ausschließen. Außerdem erfüllt man damit die Anforderungen im Hinblick auf Revisionssicherheit, gängige Compliance-Vorschriften und gesetzliche sowie aufsichtsrechtliche Bestimmungen effizient und ohne hohen Administrationsaufwand.“

Weitere Informationen zu privilegierten Accounts finden sich im neuen E-Book von Cyber-Ark unter: http://www.cyber-ark.com/ebooklanding/

CyberCrime 2012: Kongress klärt über aktuelle Themen der IT-Sicherheit auf

Aufgrund von Hacker-Angriffen, Datendiebstahl oder gezielter Verbreitung von Schad-Software bei international renommierten Unternehmen rücken die Themen Datenschutz und Informationssicherheit ins Zentrum der öffentlichen Wahrnehmung. Der Bundesverband der Dienstleister für Online-Anbieter e.V. (BDOA) bietet mit dem Kongress CyberCrime 2012 am 13. bis 15. Juni 2012 eine Plattform zum interaktiven Austausch und vermittelt aktuelles, werthaltiges Wissen zu den wichtigsten IT-Sicherheitsthemen bei Mobile Business, Cloud Computing, Social Media und Online-Handel.

Computerkriminalität ist auf dem Vormarsch

Die Sicherheitspanne bei Dropbox, die den zeitweisen Zugriff auf Dateien aller Nutzer ermöglichte, oder der Datendiebstahl bei Sony, dem rund 77 Millionen Kundendaten zum Opfer fielen, zeigen die Bedeutung der IT-Sicherheit und das potenzielle Ausmaß der Cyber-Kriminalität. Unternehmen erleiden nicht nur wirtschaftlichen, sondern auch einen enormen Imageschaden.

Computerkriminalität betrifft nicht nur die klassische IT eines Unternehmens, sondern hat längst schon Einzug in Bereiche, wie Mobile, Cloud und Soziale Netzwerke gehalten. Wegen der zunehmenden Bedeutung dieser Bereiche gehen Experten davon aus, dass die Bedrohungslage in Zukunft eine ganz neue Qualität erreichen wird. Während sich die Angreifer bisher auf Finanzbetrug oder den Datendiebstahl konzentrierten, nehmen sie mit Wirtschaftsspionage zunehmend die gesamte Wertschöpfung eines Unternehmens ins Visier.

Unternehmen sind noch nicht vorbereitet

Eine Erklärung für die häufigen Attacken ist sicherlich das geringe Bewusstsein für Computerkriminalität in Unternehmen. Oftmals wird nur reagiert, anstatt im Vorfeld aktiv zu agieren. 60 Prozent der Befragten gaben an, nicht die Kapazitäten im Haus haben, um Cyber-Straftaten aufzuspüren, belegt eine PwC-Studie. Nur jedes zweite Unternehmen ist auf einen Ernstfall mit geeigneten Strategien und Maßnahmen vorbereitet. Entsprechend gering ist auch die Vorbeugung durch Schulungen der Mitarbeiter: In mehr als 40 Prozent der Unternehmen fand in den vergangenen zwölf Monaten keine Ausbildung gegen Computerkriminalität statt. 60 Prozent der Teilnehmer gaben in der Studie an, dass Face-to-Face-Trainings die effektivste Trainingsmethode sei. Allerdings sind diese bislang wenig verbreitet.

Dreitägiger Kongress unter dem Motto „Verstehen, Vorbeugen, Schützen“

Um hier einen Beitrag zu leisten, unterstützt der BDOA vom 13. bis 15. Juni den Kongress CyberCrime 2012, der aktuelle Trends bei Cyber-Crime-Szenarien und Abwehrmaßnahmen beleuchtet. Das Motto des Kongresses lautet dabei „Verstehen, Vorbeugen, Schützen“. Kompakt, fokussiert und praxisbezogen vermitteln namhafte, dynamische Referenten und führende Persönlichkeiten aus der Branche werthaltiges Wissen zu einem breiten Spektrum an IT-Sicherheitsthemen, angefangen von klassischen IT-Infrastrukturen bis hin zu Cloud Computing, Mobile Business und Social Media. Zielgruppe sind kaufmännische Entscheider und Mitarbeiter, IT-Fachexperten, Fachleute aus der öffentlichen Verwaltung und Bildungsträger.

Den Auftakt des Kongresses bilden interaktive Workshops, in denen ausgewählte Experten zu aktuellen Cyber-Crime-Themen aufklären. Die Sessions der beiden Kongresstage bieten neben Netzwerk- und Endgerätesicherheit ein breites Themenspektrum von Live-Hacking-Sessions über Erfahrungsberichte zu neusten Betrugsszenarien, wie Social Engineering, Schutzgelderpressung mit DoS Attacken, Computersabotage oder das Ausspähen und Abfangen personenbezogener oder unternehmenskritischer Daten. Zugesagt für Workshops bzw. Vorträge haben etwa das Bundeskriminalamt (BKA) Wiesbaden, Bundesamt für Sicherheit in der Informationstechnik (BSI), Conrad Electronic SE, Deutsche Telekom AG und PricewaterhouseCoopers AG.

Zudem findet dort die konstituierende Sitzung des entsprechenden Fachbereichs statt, der IT-Experten vernetzt, Präventionsmaßnahmen erarbeitet und IT-Sicherheitsschulungen anbietet. Eine Ausstellung der Key-Player der IT-Sicherheitsbranche begleitet das weitere hoch-karätige Kongressprogramm.

Weitere Informationen und Anmeldung zum Kongress

http://www.cybercrime2012.de

Pressekontakt

Dr. Dietmar G. Wiedemann
BDOA Institut für eCommerce, IT Sicherheit, Zertifizierung, Weiterbildung und Dokumentation GmbH (BDOAi)
Mehlbeerenstr. 2

82024 Taufkirchen bei München

Telefon: +49 (0)69 – 27 13 99 79 79
Fax: +49 (0)69 – 23 42 67
E-Mail:  info@cybercrime2012.de

Lesenswerte Blogs

Jeder hat sicher einige Blogs die er oder sie regelmäßig konsumiert und sich im Idealfall über einen Feedreader oder ähnliches auf dem Laufenden hält. Es gibt zahlreiche weitere Blogs die weniger bekannt sind, aber trotzdem oft sehr lesenswert sind. Hier möchte ich jetzt ein paar davon vorstellen. Es gibt natürlich noch viele viele mehr, es wird also sicher einen zweiten Post zu diesem Thema geben :).

• blooDNAcid – Wie man am Titel eventuell schon erkennen kann: es handelt sich um einen Blog über DNA, sehr interessant geschrieben, von einem Biologen aus Bonn. Es geht vor allem um forensische Analysen und Genetik. Aber verständlich geschrieben und für jeden mit ein bisschen Zeit nachvollziehbar. Vor allem die Beiträge über DNA-Spuren sind sehr interessant, zum Beispiel die Frage ob man ebensolche fälschen kann etc. Lesenswert!
• Physikblog – Wie der Name schon sagt, ein Blog über Physik. Von Atomreaktoren über Einstein bis zum CERN ist alles dabei. Betrieben von Physikstudenten und ebenfalls auch für Laien geschrieben und verständlich. Wer etwas für Naturwissenschaften übrig hat, der sollte sich hier mal umsehen!
• Tschechisch-Blog – Weniger Naturwissenschaftlich, dafür mindestens genauso spannend, ein Blog über Tschechien und die tschechische Sprache. Viele vermeindlich deutsche Worte stammen ursprünglich aus Tschechien (z.B.: Roboter). Auch hier lohnt sich ein Blick!
• Kunden aus der Hölle – Leider kaum noch aktualisiert, aber immer wieder lustig. Kunden und Ihre manchmal wahnwitzigen Ideen…
• List25 – Top 25 Listen zu allen möglichen und unmöglichen Themen, von lustig bis erstaunlich ist alles dabei!

Das war es für´s erste, wenn ihr selber coole aber unbekannte Seiten/Blogs kennt, dann hinterlasst einfach einen Kommentar mit dem entsprechenden Link!

Entwicklung eines Browserspiels mit Java

Seit einigen Jahren ist die Welt der Computer-Spiele um eine Nische reicher. Es handelt sich dabei um Spiele, die im Browser gespielt werden und daher auch den Namen „Browserspiele“ tragen. Es gibt wahrscheinlich kaum einen Internet-Nutzer, der nicht wenigstens kurz eines dieser Spiele ausprobiert hat und somit eine ungefähre Ahnung davon hat, wie sie aussehen. In diesem Beitrag geht es jedoch nicht um das, was jeder sieht, sondern um das „Verborgene“: die Serverseite der Browserspiele.

Am Beispiel des Browserspiels „FMO“, das die Welt der Fussball Manager simuliert, stelle ich einen möglichen Systemaufbau der Browserspiele dar und gehe dabei auch auf die jeweils eingesetzten Java-Technologien ein. Auf der Client-Seite stellen die Browserspiele keine großen Anforderungen an die Hardware und Software der User. Jeder
Rechner, der über einen Browser verfügt, und das sind so gut wie alle, kann zum Spielen eingesetzt werden.

Auf der Serverseite muss das System jedoch etwas ernsteren Anforderungen genügen. Es muss mit Tausenden gleichzeitig laufenden Sitzungen umgehen können und stets eine gute Performance abliefern. Erreicht wird dies durch die Skalierung.

Die Skalierung

Die FMO-User gehören jeweils einer bestimmten Spielwelt an, die über eine eigene Hardware verfügt und auf der jeweils eine Instanz der Spiellogik, bestehend aus mehreren Modulen, läuft. Kommt eine Spielwelt an die Grenzen ihrer Leistung, so wird eine neue Spielwelt gestartet, die wiederum über ihre eigene Hardware mit der
entsprechenden Logik darauf verfügt. Auf diese Weise kann das System horizontal uneingeschränkt skalieren. Einige bestimmte Anforderungen trüben jedoch dieses perfekte Bild. Dazu gehören

• der zentral organisierte Authentifizierungsdienst
• der zentral organisierte Bezahldienst
• die Anforderung der Suchmaschinenfreundlichkeit

Um diesen Anforderungen gerecht zu werden wird ein zusätzlicher zentraler Server eingesetzt, der seine spezifischen Aufgaben mittels der entsprechenden Module erfüllt und ansonsten die ankommenden Anfragen an den jeweils zuständigen Server, für User völlig transparent, weiterleitet. Leider stellt der zentraler Server auf diese Weise einen Flaschenhals dar. Um dieses Problem zu
mildern kann jedoch ein Loadbalancer eingesetzt werden.

Die Schichten-Architektur

Das FMO-System basiert auf einer Vier-Schichten-Architektur. Die Geschäftslogik des Spiels wird in mehreren eigenständigen Komponenten abgebildet. Diese laufen als eigenständige Prozesse und
können von der Präsentationsschicht sowie anderen Geschäftskomponenten angesprochen werden. Zur Datenspeicherung nutzen sie die darunter liegende Persistenzschicht. Oberhalb der Geschäftslogik ist die WebApp-Schicht angesiedelt. Die Web-Apps bedienen die Anfragen der Web-Clients (Browser) und greift während der Verarbeitung der Anfragen auf die Dienste der Geschäftskomponenten zurück.

Schließlich ist im Browser der Spieler die vierte Schicht des Systems angesiedelt. Sie ist für die grafische Repräsentation verantwortlich und besteht aus den JavaScript- und HTML-Modulen, die
mittels der AJAX-Anfragen über HTTP mit den Web-Apps kommunizieren.

Die Java-Technologien

Die Geschäftslogik und weite Teile der Präsentations-Logik bilden den Kern des FMO-Systems. Beide Schichten sind mittels der Java-Technologien, -Frameworks und -Bibliotheken aufgebaut.

Die Komponenten der Geschäftslogik sind reine Java-Komponenten. Hier werden z.B. die Fussball-Spiele berechnet, das Training simuliert und die finanztechnischen Prozesse abgewickelt. Die nach fachlichen Gesichtspunkten gebildete Komponenten laufen als eigenständige Prozesse, nehmen Anfragen per RMI entgegen und lassen ihre Daten von der Persistenzschicht verwalten.

Die Persistenzschicht arbeitet sowohl mit dem Dateisystem als auch mit einem relationalen Datenbanksystem. Im ersten Fall werden die Daten im XML-Format gespeichert. Zur Umwandlung der in XML vorliegenden Daten zu Java-Objekten und vice versa wird die Java-Bibliothek XStream eingesetzt. Der Zugriff auf die Datenbank erfolgt per JDBC. Zur Abbildung der relationalen Daten auf der Objektebene wird außerdem auf das O/R-Tool Hibernate zurückgegriffen.

Die Web-Apps des Systems basieren auf der Servlet-Technologie und laufen in einem Servlet-Container (Tomcat). Der Datenaustausch zwischen den beiden Teilen der Präsentationsschicht (Browser- und Web-Apps) erfolgt mittels der AJAX-Technologie. Dabei wird auf die Hilfe der JSON-RPC Bibliothek jabsorb zurückgegriffen.

Fazit

Java als Programmiersprache mit den entsprechenden Frameworks und Bibliotheken hat sich bei der Entwicklung des Browserspiels „FMO Fussball Manager“ als eine sehr gute Wahl erwiesen. Sowohl in der Entwicklungs- als auch in der Betriebsphase konnten die Anforderungen problemlos erfüllt werden. Java kann daher zum Einsatz in den Projekten zur Entwicklung von browserbasierten Spielen bedingungslos empfohlen werden.

Steckbrief des Autors: Alexander Zent ist selbständiger Software-Entwickler. Er entwickelt und betreibt das Browserspiel FMO Fussball Manager.