Desktop-Computer sind ja mittlerweile ziemlich out – heutzutage kommt man bestens mit Tablet und Smartphone aus. Und macht darüber dann alles im Netz, was man so macht: Online-Banking, alle möglichen Accounts aufrufen, Passwörter eingeben. Da gibt es allerdings einen kleinen Haken, und der heißt „Bewegungssensor“. Der steckt in allen Mobilgeräten drin und ist sehr feinfühlig – so feinfühlig, dass er wirklich alle Bewegungen mitbekommt. Auch, wie man gerade die PIN für das Konto eingebt. Britische Forscher haben jetzt noch einmal auf ein altbekanntes Problem aufmerksam gemacht.
Böswillige Apps nämlich, die den Bewegungssensor abgreifen und übers Netz ausplaudern, gab es als “proof of concept” oder vielleicht auch in freier Wildbahn schon länger – die muss man sich allerdings auch erst einmal gutgläubig und freiwillig installieren. Der viel heiklere Angriffsvektor, so Maryam Mehrnezhad von der Newcastle University, liegt in einem “drive-by”, einem schlichten Webseitenaufruf mit dem Mobilgerät. Dann wird nämlich auf einer “bösartigen” Website oder bei einem “bösartigen” Werbebanner JavaScript-Code ausgeführt, der den Bewegungssensor abfragt – im Unterschied etwa zum Geolokalisation-Tracking ohne das Einholen einer Genehmigung des Users.
Die Sensor-Abfrage ist in den W3C-Standards vorgesehen und ja auch als Feature für bestimmte Zwecke sinnvoll (Bewegungs-, Gesundheits- oder Schlaf-Tracker z.B. ) – tatsächlich haben Browser-Hersteller in Zusammenarbeit mit den Forschern auch schon nachgebessert: So wird mittlerweile die Sensordaten-Übermittlung geblockt, wenn die ursprünglich abfragende Webseite nicht mehr im Vordergrund angezeigt wird. Auch eine Reduzierung der Sensor-Samplingrate, der übermittelten Genauigkeit also, kann die Rekonstruktion von PIN- oder Passworteingaben erschweren oder unmöglich machen.
Und so merkwürdig das klingt – beim derzeitigen Stand könnte es sinnvoll sein. das Mobilgerät bei allen “heiklen” Aktionen nicht in der Hand zu halten, sondern auf den Tisch zu legen. 🙂
P.S. – Für die sensible Plaudertasche an Bord gibt es ja auch sehr lehrreiche Anwendungen wie PhyPhox von der RWTH Aachen.
DRadioWissen – Hielscher oder Haase vom 10.04.2017 (Moderation: Till Haase)
P.S. 15.04.2017 – Mein Kollege Manfred Kloiber hat das Thema auch heute in der Sendung Computer & Kommunikation noch einmal beleuchtet und ein Interview mit der Studienautorin geführt.
Automatische Gesichtserkennung – das ist ja mittlerweile quasi eine Standard-Technologie. Bei den aktuellen Smartphones ist das eingebaut; Bildbearbeitungssoftware kann das, die Software von Google oder Facebook kann das auch, um z.B. Personen auf Fotos zu „taggen“. Und grundsätzlich funktioniert das natürlich nicht nur bei Fotos, sondern auch bei einem Video, etwa dem aus Überwachungskameras. In den USA ist gerade eine Diskussion neu entflammt, wie das FBI automatische Gesichtserkennung einsetzt – und bei uns in Deutschland, in Berlin soll die Technik demnächst auch wieder einmal erprobt werden.
Was das Hearing des Überwachungsausschusses des Repräsentantenhauses angeht – da wundert man sich fast schon, warum denn das Problem den nun Bedenken äußernden Politikern nicht schon nach dem Bericht des Rechnungshofes präsent war. Eine flächendeckende Überwachung von unbescholtenen Bürgern ist natürlich nicht in Ordnung. Andererseits – wenn eine Gesichtserkennungssoftware Personen identifiziert, die den ganzen Vormittag eine Rolltreppe rauf- und runterfahren (um nämlich anderen Zeitgenossen Geldbörse und Handy aus den Taschen zu ziehen…); oder die irgendwo am Gleis einen Koffer deponieren und sich dann schnurstracks entfernen – dann habe ich da irgendwie auch nichts gegen einzuwenden.
DRadio Wissen – Hielscher oder Haase vom 28.03.2017 (Moderation: Till Haase)
Wenn man über Computerthemen schreibt und spricht, dann geht es ja normalerweise eher darum, wie man Daten zuverlässig sichern kann – auch im (jederzeit möglichen…) Notfall, wenn eine Festplatte ausfällt oder wenn wir uns Schadsoftware eingefangen haben. Aber auch das genau entgegengesetzte Szenario ist einen Gedanken wert: Wie können wir unsere Daten im Notfall eigentlich zuverlässig zerstören?
Wenn wir also etwas sehr heikles auf unseren Systemen gespeichert haben und die Polizei klingelt gerade unten an der Haustür? Natürlich soll das jetzt kein Ratschlag für Kriminelle, Steuerhinterzieher oder Kinderpornografie-Sammler werden.
Aber für eine Firma, ein Medienunternehmen, eine Oppositionellengruppe oder vielleicht auch für Diplomaten (oder Pseudo-Diplomaten, sprich Agenten…) in einem totalitären oder „kritischen“ Land stellt sich das Problem ja tatsächlich und ganz ernsthaft – und der australische Sicherheitsforscher und Autor von populären TV-Sendungen, “Zoz” Brooks beschäftigt sich schon seit einiger Zeit theoretisch und praktisch…
…mit dem Thema – wie also vernichte ich schnell (innerhalb von 60 Sekunden…) nicht nur eine einzelne Festplatte (ein Schwertangriff auf den eigenen Computer ist z.B. nicht sehr zielführend…), sondern ein ganzes Datencenter?
Forensiker und Datenretter können ja selbst aus ziemlich angeschlagenen Datenträgern noch allerhand herausholen, bei den zeitgemäßen SSDs gibt es zwar theoretisch den “Secure Erase”-Befehl, aber auch ganz neue Herausforderungen – und letztlich stellt das auch alle User in sicherheitskritischen Bereichen vor die schwierige Frage, wie sie eigentlich ausgemusterte Datenträger zuverlässig vernichten.
Die Vorgabe “60 Sekunden, aber keine vollständige Zerstörung von Gebäuden und anwesenden Mitarbeitern” macht die Sache – so die Experimente von Zoz Brooks – ziemlich schwierig. Mein Vorschlag wäre ja ein Hardware-Verschlüsselungsmodul, über das alle Daten hinein und wieder hinausgehen. Ein Modul, das den Schlüssel (nach einem State-of-the Art-Verfahren…) selbst erzeugt; unzugänglich für die Administratoren. Aus Sicherheitsgründen müsste dieses Modul redundant ausgelegt sein. Und im Zweifelsfall jagt man diese Module in die Luft oder grillt, plasmastrahlt, zernagelt oder verglüht die – und auf den Datenträgern bleibt nur Datenmüll. (Hochladen in selbst schon verschlüsselter Form ist natürlich eh eine gute Idee für die Datencenter-User…)
Zwei kleine Haken: Die ermittelnden Behörden, Schurken oder Geheimdienste könnten die Daten solange ins Archiv legen, bis sie einen passenden Quantencomputer zur Entschlüsselung haben. Und sie müssen natürlich auch begreifen, dass Erzwingungshaft oder Folter in diesem (tunlichst sehr transparent dokumentierten…) Szenario keinen Sinn haben. Wobei – man kann natürlich auch für die anschauliche und physisch überzeugende “Vernichtung von Beweismitteln” in Haft kommen oder gefoltert werden. Die in Frage kommenden Regime sehen das ja bekanntlich alles nicht so eng…
Da habe ich vor ein paar Tagen ein Briefchen von der Telekom erhalten:
Automatische Umschaltung im Netz. Sie brauchen nicht vor Ort zu sein.
Wenn man es genau nimmt, wäre es sogar besser, wenn ich nicht vor Ort bin bei der automatischen Umschaltung. Weil dann nämlich meine Leitung tot ist.
Wichtig dabei: An diesem Tag sind Sie für bis zu 30 Minuten nicht erreichbar. In dieser Zeit können Sie mit dem oben genannten Anschluss nicht telefonieren, im Internet surfen oder Entertain nutzen. Bitte denken Sie daran, insbesondere, wenn Sie einen Hausnotruf oder eine Alarmanlage an Ihrem Anschluss haben.
OK – das wäre jetzt suboptimal, wenn die automatische Umschaltung mir in eine Sendungs-Vorbereitung hineingrätschen würde. Also schau ich doch mal nach, wann der Termin denn bei meinem Anschluss konkret angesetzt ist. Dafür hat die Telekom eine Abfrage-Seite aufgesetzt: www.telekom.de/netzumschaltung. Hier erfährt man z.B., was einem die tolle Umschaltung überhaupt alles bringt an Verbesserungen – wer mag, kann dazu auch ein extra produziertes kleines Filmchen auf der Seite anschauen, das hat einen ganz speziellen Charme. (Tschüss. Und machen Sie’s gut.)
Die Technologie, die wir einführen, heißt Broadband Network Gateway. Sie ermöglicht zum Beispiel, dass Ihr Anschluss automatisch erkannt wird. Dadurch wird die Einrichtung eines Internet-Zugangs künftig viel einfacher. Mit einem aktuellen Router der Telekom müssen Sie dann keine Zugangsdaten mehr eingeben!
Juchu!! Obwohl – war das nicht schon seit gefühlt zwanzig Jahren eh so, dass mit dem automatische-Zugangsdaten-eintragen? Na ja, egal. Und einen Telekom-Router habe ich ja auch schon nicht mehr, seit mir ein Gewitter und eine dadurch ausgelöste Überspannung den reichlich funktionsbeschränkten grauen Kasten geschrottet hat. Aber da bin ich ganz zuversichtlich, mit meinem geballten IT-Know-How bekomme ich im Zweifelsfall auch meine Fritzbox wieder zum Laufen, nach der automatischen Umschaltung. Wann ist die jetzt noch mal?
Screenshot Telekom-Netzumschaltung
Die Netzumschaltung Ihres Anschlusses hat sich kurzfristig verschoben. Im Moment können wir Ihnen leider noch keinen neuen Termin nennen. Bitte versuchen Sie es in vier Wochen erneut, vielen Dank.
Ach so. Alles klar. Soll meine Sekretärin auf Wiedervorlage setzen. Fräulein Hiltrud, bitte erinnern Sie mich dann rechtzeitig.
Aus technischen Gründen kann sich das angegebene Datum noch kurzfristig ändern.
Ja. Klar. Natürlich. Telekom. Erleben, was verbindet.
Wissenschaftler von der Uni Lancaster haben ein Programm entwickelt, mit dem Diebe, böse Kollegen oder eifersüchtige Partner einen per Geste gesicherten Lockscreen, die Sperrfunktion von Android-Smartphones oder Tablets unbefugt aushebeln können. Dazu müssen sie allerdings zuvor einmal filmen, wie der rechtmäßige User sein Gerät entsperrt. Wer jetzt spontan denkt “so what?”, liegt daneben – mit “filmen” ist selbstverständlich keine freie Sicht auf den Bildschirm und Finger gemeint. Das Ganze funktioniert vielmehr auch dann, wenn das Gerät gedreht, gekippt und abgewandt ist, solange die grundsätzliche Bewegung der Hand erkennbar bleibt.
The popular Pattern Lock system used to secure millions of Android phones can be cracked within just five attempts — and more complicated patterns are the easiest to crack, security experts reveal. Credit: Lancaster University
Anschließend setzt der Algorithmus die registrierten Bewegungen in Beziehung zur relativen Position des Gerätes – und erstellt eine Liste mit plausiblen Entsperrmustern, nach Wahrscheinlichkeit geordnet. Hilfreich ist dabei, dass die Punktmatrix beim Lockscreen die Anzahl der möglichen Varianten beschränkt, und paradoxerweise lassen sich komplizierte Gesten (die ja an sich einen besseren Schutz gegen das einfache Ausprobieren bieten…) sogar leichter “entschlüsseln” als einfache. Auch wenn nicht jeder potentielle Dieb, böse Kollege oder eifersüchtige Partner sofort mit der Methode operieren wird – das Verfahren ist auf jeden Fall weit weniger aufwendig und daher plausibler als das Fingerabdruck-nachmachen vom Selfie-Foto 🙂 …
Manchmal werden Albträume wahr. Ein smarter, intelligenter, emotional authentischer und sportlich gutaussehender Mensch verlässt das Amt des “mächtigsten Mannes der Welt” (auch wenn die tatsächliche Bilanz nach acht Jahren ernüchternd mager ausfällt, haut einen der Kontrast unfassbar aus den Latschen…) und ein unappetitlicher, infantiler, narzisstischer, rachsüchtiger, sexistischer und höchstwahrscheinlich intellektuell noch unterhalb der Bush-Grenze (* s.u.) daherschrammender Fatzke mit orangem Haupthaar übernimmt.
Ein ernster Tag für uns alle, ein ernster Tag aber auch für Donald Trump selbst. Zum einen stellt sich die Frage “wie bedient man eigentlich diesen komischen Atom-Koffer, wo ich doch schon meinen Videorekorder nicht programmieren kann”.
Aber noch viel schlimmer: Der Reality-Darsteller und 45. US-Präsident muss “eigentlich” sein Smartphone abgeben, auf dem er doch permanent und manisch herumtwittert. Weil Smartphones bekanntlich unsicher sind. Und speziell Android-Smartphones der Sicherheits-SuperGAU – ok, ein Modell aus Südkorea ist immer noch besser als eins aus China.
Aber vielleicht ist das vermeintliche Security-Problem bei Donald Trump erstmals gar keins. Der Mann ändert ja eh täglich seine Meinungen, Positionen, Drohungen oder Versprechungen. Was soll man da groß abhören und analysieren? Dem @realDonaldTrump folgen reicht ja völlig.
Na gut, ok, ich überlade hiermit mein SSD-Erlebnis. Das war schon bislang sehr schön, aber tatsächlich sind alle vier vorgesehenen Slots in meinem Rechner belegt. Woher wussten die Heinis von Crucial (ist halt deutlich billiger als Samsung…) das nur?
Gerade haben wir noch gestaunt, mit welchen Datenmengen unbekannte Angreifer den IT-Journalisten Brian Krebs mundtot machen wollten, da kommt schon der nächste Rekordwert für eine DDoS-Attacke: 1,1 Terabit pro Sekunde soll in der Spitze auf die Server des französischen Webhosters OVH niedergegangen sein. Der Angriff zieht sich schon seit 10 Tagen hin, das berichtet der Gründer des Unternehmens, Octave Klaba, auf Twitter. Klaba vermutet, vom gleichen Botnetz wie im Falle von Brian Krebs attackiert zu werden – was ja noch nicht einmal heißen muss, dass auch die gleichen Verantwortlichen bzw. Auftraggeber dahinterstecken: Möglicherweise handelt es sich ja wiederum um “DDOs as a service”.
Auf jeden Fall kommt die Datenflut erneut von scheinbar “unschuldigen” kleinen Internet-Dingen; hauptsächlich von gehackten Webcams – die Angreifer haben da offenbar Zugriff auf eine gewaltige Anzahl; zum Wochenanfang registrierte Klaba innerhalb von 48 Stunden 15.000 neu hinzugeschaltete Zombie-Cams, in den nächsten 24 Stunden waren es dann sogar weitere 18.000. Die neue Rekordattacke dürfte auch Admins in größeren Firmen und Medienhäusern die Sorgenfalten tiefer werden lassen – denn bei solchen Traffic-Dimensionen kann man auch mit einer gut ausgestatteten Firewall-Architektur die eigene Website nicht mehr verteidigen.
Fragt sich, ob die großen Content-Distribution-Anbieter der neuen Herausforderung noch gewachsen sind und ihren Kunden weiterhin bezahlbaren Schutz bieten können. Die aktuellen Rekord-Attacken könnten innerhalb von zwei Jahren der neue DDoS-Standard geworden sein, so sieht es auch Martin McKeay, “Senior Security Advocate” bei Akamai und verantwortlich für den regelmäßigen “State of the Internet/Security Report” des Unternehmens. Aber er bleibt zuversichtlich:
Mit jedem neuen Angriff lernen wir, unsere eigenen Fähigkeiten neu zu überprüfen, damit unsere Verteidigung besser und effizienter wird. Einerseits müssen wir sicherstellen, dass wir ausreichende Kapazitäten haben, um die Attacken zu absorbieren. Andererseits müssen wir aber auch mit neuen Entschärfungstechniken kontern, die nicht allein auf einer “noch dickeren Leitung” beruhen. Es ist auch sehr wichtig, die Werkzeuge und die Fähigkeiten der Angreifer zu analysieren, um mit zukünftigen Attacken umgehen zu können.
Das Problem, so Martin McKeay, besteht nicht zuletzt darin, dass Angriffspakete aus dem IoT zunächst einmal überhaupt nicht exotisch daherkommen, es ist also keineswegs trivial, den “bösen” und den “guten” Traffic auseinanderzuhalten:
Die meisten “Internet-der-Dinge”-Geräte nutzen ganz herkömmliche Computerhardware, keine Spezialanfertigungen. Und auch die verwendete Software ist allgemeiner Standard, der Traffic sieht also praktisch genauso aus und verhält sich praktisch genauso wie bei jedem anderen Gerät oder Computer im Internet.
Und auch wenn man Botnetz-Traffic mit viel Know-How immerhin noch teilweise identifizieren könne – der Schlüssel zum Problem liege woanders, so McKeay.
Der entscheidende Faktor, mit den IoT-Bots fertig zu werden: Wir müssen den Geräteherstellern klarmachen, welche Gefahren sie mit ihren unsicheren und schlecht wartbaren Produkten schaffen.
Bislang ist auf dieser Seite allerdings von entsprechendem Problembewusstsein nichts zu spüren. Vielleicht müsste da einmal in einer Reihe von Fällen die ganz große Produkthaftungs-Keule zur Anwendung kommen.
DRadio Wissen – Hielscher oder Haase vom 30.09.2016 (Moderation: Till Haase)
Nachklapp 03.10.2016 – Mittlerweile weiß Brian Krebs höchst interessante Details zu der IoT-Attacke zu berichten: Ein Hacker, der sich “Anna-senpai” nennt, macht den Quellcode seiner Botnetz-Malware öffentlich. Er (oder sie) selbst habe nicht vorgehabt, allzu lange im DDoS-Business zu bleiben. Und neben diesem “Mirai”-Toolkit kursiert noch ein weiteres namens “Bashlight”. Das ist ja großartig, dann werden IoT-Angriffe vielleicht bald schon etwas für Script-Kiddies. 🙂 Und um mal direkt mit dem Finger zu zeigen: Laut der Security-Firma Level 3 haben Webcams des Herstellers Dahua (Default-Passwort “7ujMko0admin”) im aktuellen Fall die Zombie-Armee gestellt.
Nachklapp 04.10.2016 – Ein Teil der Verantwortung liegt natürlich bei Kunden, die Default-Passwörter nicht ändern. Dabei ist anzumerken, dass ein “einfacher Konsument” ein Smart-TV oder ähnliches eben “in Betrieb nimmt” und nicht wie ein Admin oder Computerfachmann bewusst als neues Netz-System einrichtet. Hier gehören unübersehbare Hinweise in die Betriebsanweisungen und in den Setup-Ablauf. Richtig übel: Anscheinend gewährleistet die Wahl eines eigenen Passwortes im Web-Interface der Geräte noch lange nicht, dass nicht Telnet- oder SSH-Zugang munter weiter mit dem Default-Account erreichbar bleiben.
DRadio Wissen – Hielscher oder Haase vom 4.10.2016 (Moderation: Diane Hielscher)
Es ist zwei Wochen her, da haben wir über ein reichlich dreistes Geschäftsmodell zweier Jugendlicher in Israel geredet. Enttarnt hatte die beiden ambitionierten Hacker der bekannte US-amerikanische IT-Journalist Brian Krebs. Und dessen Webseite wurde nun letzte Woche aus dem Netz gepustet – mit dem größten jemals registrierten DDoS-Angriff. Das klingt jetzt nicht unbedingt nach reinem Zufall. Mittlerweile ist der Kollege wieder erreichbar im Netz – unter den Fittichen von Googles “Shield”.
Zuvor hatte Akamai mit seinem – ebenfalls gratis zur Verfügung gestellten – CDN und DDoS-Schutz das Handtuch geworfen; ob das letztlich eine kluge und ökonomisch sinnvolle Entscheidung war, das kann man getrost bezweifeln. Kapitulation vor den Netz-Bösewichtern ist kein geschäftsförderndes Signal, auch wenn das Dagegenhalten richtig Geld kostet. Wie nah das Netz wirklich an der Kippe und in der Hand von Vandalen oder Plattmachern ist, darüber kann man jetzt trefflich spekulieren. Denn ganz klar – der Angriff auf Krebs war eine Machtdemonstration; dass die Attacke von den doch eigentlich arrestierten israelischen Sportsfreunden stammt, ist relativ unwahrscheinlich – außer, die beiden wollen ihre Zukunft hinter Gittern noch signifikant verlängern 🙂 …
Aber Krebs hat ganz recht mit seiner aktuellen Überschrift – die Möglichkeit zur Zensur, dazu, unliebsame Stimmen im Netz zum Schweigen zu bringen, die hat mittlerweile jeder böswillige Akteur. Nicht zuletzt, weil Hersteller millionenfach vermeintlich simple und dumme Devices ins “internet der Dinge” bringen – simple, dumme, einfach ausnutzbare und niemals gestopfte Sicherheitslücken inklusive. Die Webcams, Router, Fernseher und Android-Zombies bringen aber ein ganz ordentliches Botnet zusammen. Das kann so nicht weitergehen.
DRadio Wissen – Hielscher oder Haase vom 27.09.2016 (Moderation: Till Haase)
Eine SSD als Systemlaufwerk ist heutzutage fast schon der Normalfall – der Performanceschub gegenüber einer normalen Festplatte ist gewaltig. Gewaltig sind allerdings auch die Datenmengen, die ein ganz normal vor sich hinlaufendes Betriebssystem so produziert, das am Netz hängt. Da werden im Hintergrund Updates gezogen, Inhalte aktualisiert, dazu kommen dann natürlich Mails und der komplette Traffic beim Surfen. Und dabei läppert sich einiges zusammen, wohlgemerkt ohne dass man jeden Tag ein paar BluRay-Filmchen aus obskuren Quellen heruntersaugt 🙂 …
Auf dem Systemlaufwerk spielen sich üblicherweise auch alle temporären Schreibprozesse ab – also die Zwischenspeicherung von Downloads, auch wenn die anschließend auf der externen “Datengrab”-Festplatte landen. Oder das Auspacken von Zip-Dateien, auch wenn die auf anderen Laufwerken liegen. Und genau deswegen, weil all diese Prozesse nun mit wesentlich höheren Schreib- und Leseraten auf der SSD ablaufen, fühlt sich der ganze Rechner schneller an. Soweit, so gut – selbstverständlich sind aktuelle SSDs auch so konstruiert, dass sie in einem normalen Nutzungs-Szenario jahrelang ihren Dienst tun. “Unkaputtbar” sind die Festplatten-Nachfolger hingegen keineswegs.
Die Anzahl der Schreibzyklen, die eine Flash-Speicherzelle verkraftet, ist endlich. Und deswegen geben die Hersteller für ihre Produkte – und zwar aufgeschlüsselt für die billigeren “Consumer” und die teureren “Professional”-Produktlinien – eine zulässige durchschnittliche Schreibrate z.B. pro Tag an, die dann zu einer bestimmten Lebenserwartung der SSD führt. Wenn ein Nutzer diese Schreibrate überschreitet, dann darf er mit einem vorzeitigen Ableben des Laufwerks rechnen. Und genau das könnte Firefox-Usern drohen – zumindest “Heavy-Usern”, die schon mal drei Browserfenster parallel aufmachen und darin jeweils eine Reihe von Tabs geöffnet haben.
Das nämlich führt offenbar zu ziemlich exzessiven Schreibaktivitäten, die schon einmal locker die Hälfte der “zulässigen” Tagesdosis verbraten – so die Analyse von IT-Fachmann Sergei Bobik. Verantwortlich ist ein Feature von Firefox, das nach einem Absturz des Browsers oder des Systems (oder auch nach einem versehentlichen Schließen des Browserfensters) die Fenster und Tabs wiederherstellt. In den Kommentaren unter dem Blogartikel bestätigt ein Firefox-Programmierer, man sei sich des Problems bewusst – andererseits sei das Feature für viele Anwender absolut unverzichtbar. Als Hotfix schlägt Bobik vor, das Sicherungsintervall in der Firefox-Konfiguration (about:config) etwa von den standardmäßigen 15 Sekunden auf eine halbe Stunde zu erhöhen. Dann könne man die “sessionstore”-Funktion aber auch ebensogut ganz abschalten, lautet eine Gegenstimme.
Fazit: Ein SSD-Killer ist Firefox (Chrome verhält sich übrigens ähnlich…) damit noch nicht. Aber ernstnehmen sollte man die Sache schon – und gegebenfalls die Balance zwischen dem Nutzwert des Sicherungsfeatures und der Lebensdauer der SSD neu austarieren. Übrigens – haben Sie eigentlich ein aktuelles Backup bzw. Image Ihres Systemlaufwerks? Sollten Sie aber haben.
P.S. 27.09.2016 – Wir haben das Thema heute auch bei DRadio Wissen besprochen. Firefox-Hersteller Mozilla hatte auf Anfrage die Aussagen des Programmierers unter dem Artikel von Bobik bestätigt. Das Ganze sei aber kein Bug, sondern ein Feature:
„Firefox schreibt die Daten der Browsersitzung regelmäßig auf das Laufwerk, damit wir sie im Falle eines Absturzes oder Stromausfalls wiederherstellen können. Die Standardeinstellung von Firefox räumt dabei der Sicherheit der Nutzerdaten einen höheren Stellenwert ein als der Schreibleistung des Laufwerks.“
Wenn ein Nutzer das anders gewichten möchte, empfiehlt auch Mozilla die Verlängerung des Sicherungsintervalls – möglicherweise wird auch in einer kommenden Firefox-Version der Default-Wert nach oben angepasst.
DRadio Wissen – Hielscher oder Haase vom 27.09.2016 (Moderation: Till Haase)
P.S. 29.09.2016 – Für den Artikel bei Spiegel Online hatte ich auch noch bei Samsung um eine Erläuterung gebeten – die Spezifikationen auf den Produktwebseiten des Herstellers sind nämlich zunächst einmal nicht ganz einfach zu interpretieren: Die zulässigen Höchstwerte gibt Samsung in drei verschiedenen Größeneinheiten an: In „TBW“, was mal für „Terabytes Written“, mal für „Total Bytes Written“ steht. Im Datenblatt für das ältere Modell 840 Proist hingegen z.B. von „5 Jahren Garantie bei maximaler Schreibleistung von 40 GB/Tag“ die Rede.
Laut Samsung kann TBW “sowohl als ‘Total Bytes Written’ wie auch als ‘Terabyte Written’ aufgefasst werden, wobei ersteres gängiger ist.” Tatsächlich ist es aber so, dass innerhalb einer Baureihe die SSDs mit höheren Speicherkapazitäten für einen höheren TBW-Wert innerhalb der Garantiefrist spezifiziert sind:
Der Rechenweg lautet hier:
(TBW-Wert / (Garantiejahre*365))*1000 (wir sind hier mit SI-Einheiten unterwegs – die Multiplikation mit 1000 benötigen wir für die Umrechnung von TB in GB)
Im Konkreten Fall der 850 EVO 250 GB und 120 GB lautet der Rechenweg folgendermaßen: (75 TB / (5 * 365)) * 1000 = 41,1 GB pro Tag
Die 500 GB und 1 TB Varianten haben 150 TB TBW. (150 TB / (5 * 365)) * 1000 = 82,2 GB pro Tag
Die 2 TB und 4 TB Varianten haben 300 TB TBW. (300 TB / (5*365)) *1000 = 164,4 GB pro Tag
Das heißt im Klartext: Auf SSDs mit höheren Kapazitäten fällt die von Firefox bzw. anderen Browsern durch die Sitzungswiederherstellung erzeugte Schreibbelastung verhältnismäßig weniger stark ins Gewicht. Samsung gibt also Entwarnung:
Für Samsungs SSDs stellt aber auch die höhere Schreibbelastung von 12 GB am Tag kein Problem dar. Die von den Browsern verursachte Schreiblast ist zwar ärgerlich, aber nichts, was die Lebensdauer von Samsungs SSDs bedroht.
Zumindest wenn man Lebensdauer mit dem Garantiezeitraum gleichsetzt, hat Samsung hier bei den größeren Modellen bestimmt recht. Und fairerweise muss man auch anmerken – selbst nach den Erfahrungen von Datenrettungsunternehmen ist es keineswegs so, dass eine SSD nach Überschreiten der garantierten Schreiblast von heute auf morgen ausfällt – da ist eine Menge “Luft nach oben” mit einkalkuliert. Aber zumindest bei kleinen SSDs (viele SSD-Einsteiger oder-Aufrüster dürften solche Laufwerke eingebaut haben, weil sie ja das Gesamtsystem signifikant beschleunigen und große SSDs im Vergleich zu Festplatten immer noch erheblich teurer sind…) ist das “kein Problem” nicht so einfach nachvollziehbar. Denn wie schon erwähnt – die 12 GB (oder mehr…) sind ja eine zusätzliche Belastung zu der “normalen” und auch schon sehr datenintensiven Nutzung eines Systemlaufwerks.
Und die kann offenbar (es kommt natürlich immer auf die individuellen Nutzungsgewohnheiten an…) bei 30 GB/Tag liegen – das ist jedenfalls der Wert, den mir mein Samsung-Diagnosetool als tägliche Belastung meines Systemlaufwerks anzeigt, wenn der Rechner durchläuft. Und mit meinem Firefox-Anteil bin ich dabei weit unter den bei Bobik angegebenen Werten, obwohl ich auch oft mehrere Browserfenster und zig Tabs regelmäßig geöffnet habe. Möglicherweise liegt das am Adblocker und NoScript 🙂 .
