erfahrungen mit bitbox? (browser-in-the-box)

[jutta]

welche erfahrungen gibt es hierboards mit bitbox (browser-in-the-box)?

ich bin beim frühmorgendlichen googlen nach windows-handbuch-rezensionen darüber gestolpert. bitbox ist ein firefox (oder chrome) in einer debian-vm. wurde von der sirrix ag in saarbrücken auf anregung des bsi kreiert und war zunächst für die verwendung bei behörden und großen unternehmen gedacht, inzwischen gibt es auch eine version für den privatgebrauch.

http://de.wikipedia.org/wiki/BitBox
https://www.bsi.bund.de/DE/Themen/Produ ... _node.html
http://www.sirrix.de/content/pages/BitBox.htm

die grundidee - den browser in einer vm zu betreiben, damit allfällige angriffe durch bösartige webseiteninhalte nicht den hostrechner infizieren, und das für den user weitgehend transpartent, gefällt mir. (wär auch was für den pc, den ich demnächst aufsetzen soll)

im detail hab ich aber nach durchsicht der faq ein paar bedenken. so steht da zb drinnen, dass eine java-aktualisierung nicht nötig ist, weil der rechner durch die trennung zwischen host und gast eh geschützt ist. stimmt zwar, aber es irritiert die anwender dennoch, wenn sie beim surfen immer wieder darauf hingewiesen werden, dass ihr system veraltet und gefährdet ist. und es gibt auch anwendungen, die mit veraltetem java schlicht nicht funktionieren. (und es ist unglaublich, wie viele websites noch immer java voraussetzen)

die aktuelle version ist nur mit virtualbox bis version 4.2.16 kompatibel. ein problem, wenn man auch andere vms betreiben will.

auf die frage nach der aktualisierung von firefox kommt die antwort, dass updates sicherheitstechnisch nicht nötig sind, weil die VM eh auf den ursprungszustand zurueckgesetzt werden kann. das klingt mir fast so wie "ich brauch keinen virenscanner, weil wenn was ist, setz ich windows neu auf".

in dem werbebanner auf der seite steht denn auch "antivirensoftware ist tot" "sichern sie sich verlässlich ...", in der technischen beschreibung steht aber, dass die bitbox auf den am hostrechner installierten virenscanner zugreift, wenn es darum geht, downgeloadete dateien auf dem rechner (in einem speziellen folder) zu speichern.

und: in den release-notes ist immer nur die rede davon, welche features dazu gekommen sind und eventuelle browser- oder virtualbox-updates, aber nichts über das debian, das in der vbox läuft. http://download.sirrix.com/content/pages/63665.htm
ob die sicherheitslücken bei openssl und bash behoben wurden, weiss man also nicht. sonst weiss man auch nur, dass ein "gehärtetes" debian 6 (squeeze) verwendet wird.

http://www.sirrix.de/content/pages/produktdetails.htm
https://support.sirrix.com/otrs/public. ... tegoryID=2

mich tät daher interessieren, ob das schon jemand verwendet hat und wie die erfahrungen dabei waren. auch hinsichtlich anwenderfreundlichkeit, denn ein paar fragen in den faq deuten darauf hin, dass das doch nicht sooo transparent funktioniert.

und im prinzip würde ich es als sinnvoll ansehen, auch den e-mail client in eine VM zu verpacken. bei großunternehmen, wo die mails sowieso über den eigenen server laufen und dort "verarztet" werden, besteht der bedarf natürlich weniger.

//ps: beim googeln gefunden: http://alternativeto.net/software/bitbox/ das meiste in der liste sind zwar keine "alternativen" zu BitBox, aber ein paar programme waren für mich neu, nicht zuletzt die vielen firefox-derivate, aber auch sandboxie und bufferzone pro.

[WaJoWi]

Kann zum eigentlichen Thema zwar nicht wirklich was beitragen, aber Java habe ich schon lange von Board geworfen. Es gibt auch nicht wirklich eine Seite die ich unbedingt brauche die Java noch voraussetzt. Beim Rechner meiner Frau musste ich es einmal installieren weil es ein Englischkurs vorausgesetzt hat. Ist jetzt aber auch schon wieder eine Weile her.

Sicherheit hat auch immer einen Preis - meist den des Komforts. Sicherheit und Komfort passt selten zusammen...

[jutta]

ich hab inzwischen weiter gegoogelt und dabei festgestellt, dass es 2011/12 eine menge ankündigungen, testberichte, rezensionen gab, aber seither kaum mehr. nun ist es klar, dass behörden und grossunternehmen ihre hardware und software nicht spontan, sondern in mehrjährigen zyklen tauschen, also nicht pausenlos was neues (und gewollt!) wird. aber irgendwie sieht es mir dennoch nicht nach einem intensiv betriebenen projekt aus.

muss mir überlegen, wie ich es selbst testen kann (mein problem: auf allen sicher funktionierenden rechnern sind neuere versionen von virtualbox installiert) mich tät halt interessieren, wie schnell das ding startet und wie einfach oder kompliziert der datenaustausch funktioniert. monika betreibt surfen ja nicht als selbstzweck, sondern zur informationsbeschaffung. und dann sollen eben textstellen oder grafiken von websites kopiert und in ein word- oder powerpoint-dokument kopiert werden können und dgl. es gibt zwar eine "sichere zwischenablage" aber laut faq hatte zumindest ein anfrager damit probleme.

ein paar rezensionen:
http://blog.botfrei.de/2012/01/bitbox-d ... n-der-box/
http://www.netzwelt.de/news/86657-bitbo ... r-bsi.html
http://www.freeware.de/download/browser ... 52034.html
http://www.pcworld.com/article/227838/f ... urity.html

[jutta]

so. doch selbst ausprobiert. nachdem ich mich erinnert habe, dass auf meinem nur mehr selten verwendeten lenovo t410 auch eine noch viel seltener verwendete native win 7 installation drauf ist (dualboot hat auch in zeiten von virtualisierungen noch manche vorteile) und dass die dort installierte virtualbox vermutlich älter als alle anderen ist - bingo! 4.0.x

bitbox funktioniert gar nicht so schlecht. bei der installation kann man auswählen, ob die zwischenablage zur verfügung stehen soll und welche einstellungen gespeichert werden sollen. wenn man da nicht alles verbietet, lassen sich auch firefox-addons installieren und bleiben nach dem ausschalten erhalten. beim ersten einschalten dauert es ein bisschen, weil erst das image extrahiert wird und diverse einstellungen angepasst werden (automatisch, dh, man sieht den scrollbar und manchmal hinweise, aber muss nicht eingreifen), danach gehen die starts einigermaßen flott, also sicher nicht langsamer als zb Gimp. und wenn man mehr RAM zur vefügung hat (hier 4 GB am host), gehts vielleicht noch schneller.

in der aktuellen version ist ein echter firefox installiert (in früheren war es iceweasel) und auch die gängigen plugins. youtube funktioniert also installiert ist aktuell die ESR version 24.6.0 (zotero funktioniert daher nicht und andere plugins, die es nur für die jeweils neuesten ff-versionen gibt, wohl auch nicht) //update: siehe aber viewtopic.php?f=24&t=56324

am oberen rand des firefox-fensters ist ein debian-kringel mit "Browser in the Box 3.5.2-r41 usw " zu sehen, aber auf das debian und die VM hat man keinen zugriff, auch nicht mit hostkey F1 oder dgl.

lustige beobachtung eben: ich habe die zotero download-seite aufgerufen, weil ich wissen wollte, ob das plugin wirklich nicht kompatibel ist (den hinweis hatte ich aus dem zotero-forum und er stimmt). https://www.zotero.org/download/ da gibts nebeneinander 2 angebote fürs browser-plugin und für die standalone-version. bei der standalone bietet er mir zotero 4.0 für linux 32-bit an. mit der installation hätte ich unter den gegebenen bedingungen allerdings ein paar kleine probleme

im technischen handbuch wird übrigens erklärt, wie man das bitbox image in einer regulären virtualbox (auf einem anderen rechner!) auspacken und bearbeiten kann. aber so weit hab ich mich darin noch nicht vertieft.