Securityforum

Hallo,
da ich mich ziemlich intensiv mit sog. "Unattended Installations" beschäftige, war es für mich quasi ein MUSS, den IE7 in eine Unattended Windows XP SP3 Installation DVD einzubinden, damit der standardmäßige IE6 direkt ersetzt wird, bevor man zum ersten Mal online geht. MS- Setuproutinen verhalten sich da in der Regel sehr zuvorkommend und bieten von Haus aus schon die entsprechenden Parameter. So lautet die Befehlszeile für IE7 folgendermaßen: Damit installiert sich der IE7 ohne Userinteraktion und ohne Reboot. Das hat anfangs auch prima geklappt, doch seit einiger Zeit habe ich festgestellt, dass die Installation nur noch abgeschlossen werden kann, wenn eine Onlineverbindung zu Microsoft hergestellt wird und eine Überprüfung auf Legitimation stattgefunden hat.
Ich empfinde es als Unart eines Softwareanbieters (Microsoft steht da nicht allein), dass Installationen in zunehmendem Maße Onlineverbindungen voraussetzen, damit das Produkt überhaupt installiert werden kann. Nicht allein aus Sicherheitsaspekten heraus, ist es nicht hinnehmbar, dass sich eine solche Ideologie durchsetzen würde...

Gruß,
Thomas

thbrueck hat geschrieben:Ich empfinde es als Unart eines Softwareanbieters (Microsoft steht da nicht allein), dass Installationen in zunehmendem Maße Onlineverbindungen voraussetzen, damit das Produkt überhaupt installiert werden kann. Nicht allein aus Sicherheitsaspekten heraus, ist es nicht hinnehmbar, dass sich eine solche Ideologie durchsetzen würde...

Gruß,
Thomas

Nanana Thomas, nicht grollen, boykottieren !

Vielleicht hilft Dir und anderen der folgende Ansatz.
Editiere Deine Host-Datei (... \Windows\System32\Drivers\etc\ )dahingehend, dass Du am Ende folgende Zeile anfügst: 127.0.0.1 mpa.one.microsoft.com Bitte auf Konventieren und Formatierungen zu/in der Host-Datei achten.

Nun muss noch der versteckte Unterordner \Dokumente und Einstellungen\All Users\Anwendungsdaten\Windows Genuine Advantage
gelöscht werden.

Im letzten Schritt muss das System noch dazu bewegt werden, die Hosts-Datei neu einzulesen.
Also:
Rechtsklick auf das Desktop-Symbol "Netzwerkumgebung", "Eigenschaften"
Rechtsklick auf die (aktive) LAN-Verbindung und "Reparieren" auswählen.
Auch wenn die Aktion scheinbar fehlschlägt, kann nun die Setup-Datei des IE 7 einfach ausgeführt werden.

Bei normaler manueller Installation wird man zwar noch zur Verifikation der Windows-Version aufgefordert, aber da klickt man auf verifizieren und statt der Verbindung zu MS meldet der Localhost, dass alles in Ordnung ist.

Ob dann eventuell doch ein Neustart notwendig ist, um den IE-7 zu nutzen musst Du nun selbst herausfinden.

Rückmeldung erwünscht, und nun viel Erfolg.

Hallo AAHJA, da hast du mich wohl falsch verstanden:

Bei normaler manueller Installation wird man zwar noch zur Verifikation der Windows-Version aufgefordert, aber da klickt man auf verifizieren und statt der Verbindung zu MS meldet der Localhost, dass alles in Ordnung ist.

Während der "Unattended Installation" von Windows XP von CD oder DVD muss man davon ausgehen, dass keine Onlineverbindung besteht. Es kann demnach keine Verifikation abgefragt werden, selbst wenn diese durch eine Trick (hosts) auf den Localhost umgeleitet wurde, denn u.U. ist noch kein (W)LAN- Device ansprechbar. Dennoch habe ich deine Anleitung befolgt, jedoch erwartungsgemäß funktionierte es nicht. Die Installation läuft zwar "silent" an, aber verläuft ebenso still im Sande ohne jegliche Rückmeldung. Ich habe dann trotzdem die Installation bei bestehender Onlineverbindung versucht, aber auch dann funktionierte die Installation nicht "silent" bzw. "unattended".
Schlimmer noch:



Sicherheitstechnisch ist es nicht hinzunehmen, dass andere Programme, insbesondere sicherheitsrelevante, während eines Onlinezugriffes deaktiviert werden müssen und besonders Weshalb überhaupt ?

Da weder eine "silent Installation" möglich zu sein scheint, noch der Griff in die Trickkiste hilfreich ist, scheint die Verwendung eines Alternativbrowsers unter Windows XP auch bei einer Unattended Installation des Betriebssystemes sicherheitstechnisch die bessere und einfachere Lösung zu sein.
Selbst wenn der entsprechende User nach Abschluss der Betriebssysteminstallation sowieso die Benutzung eines Alternativbrowsers vorziehen würde, wäre aus Sicherheitsgründen ein bereits auf IE7 upgegradetes System durchaus vorteilhaft gewesen. Ich wüßte auch nicht, was dagegen sprechen würde, den IE7 "offline" installieren zu können ?

Versuch einmal den IE7 mittels nlite einzubinden. DAmit sollte es eigentlich klappen.

Hallo Thomas,

wird bei Deiner (unattendend) Installation nicht auch eine Log-Datei erstellt, die Aufschluß über den Grund des Fehlschlages gibt ?
Vielleicht ließe sich der Griff in die Trickkiste entsprechend anpassen. (Bspw.: Verbindung zu xyz.com gescheitert, Host-Datei entsprechend anpassen)

Grundsätzlich gilt bei allen MS-Installationen, dass diese versuchen sich Heimwärts zu connecten, um MS Informationen über gelungene oder mißlungene Installationen zu informieren. (Auto-Update, WGA und Windows-Installer)

Aufschlußreich könnte auch die Installationsreihenfolge Deiner Unattendend-CD/DVD sein, in Hinsicht auf den Windows-Installer 3.0/3.1 und der Patche zu diesem.

Ansonsten kann ich Dir zu den Kriterien bezüglich Sicherheit, Deaktivierung von Viren-Scannern und der erforderlichen Online-Verbindung nur zustimmen.

...wird bei Deiner (unattendend) Installation nicht auch eine Log-Datei erstellt, die Aufschluß über den Grund des Fehlschlages gibt ?

Im Grunde ja, aber in diesem Fall läßt sich leider nichts daran erkennen. NLite wurde ja anfänglich für die Erstellung verwendet, doch alles weitere mache ich dann in Handarbeit. Da ja aber die "unattended Installation" des IE7 allein in einem bestehenden XP- System mit Onlineverbindung fehlschlägt, deutet darauf hin, dass es
1. nichts mit der "unattended Installation" von XP zu tun hat.
2. ein Problem der IE7 eigenen Setuproutine sein muss. (könnte sogar ein Bug sein, denn die Silent- Parameter wären dann sinnlos)

Als Workaround werde ich daher die "Silent Installation" des IE7 bis auf weiteres auf Eis legen und wahlweise Opera und Firefox einbinden. Unter den diskutierten Sicherheitsumständen dürfte das wohl die richtige Entscheidung sein. Es stört mich nur, dass der Internet Explorer in Version 6 dann leider im System bleibt und anschließend der User ein manuelles Update auf Version 7 durchführen muss (sollte), ob der Anwender nun diesen Browser nutzt oder nicht...

Anmerkung: Microsoft will angeblich die eigenen Betriebssysteme sicherer gestalten und Bill Gates hatte sich dies noch vor Abgabe seiner aktiven Tätigkeit öffentlich auf die "Fahne" geschrieben, aber Steve Ballmer scheint das nicht wirklich fortsetzen zu wollen, sondern schreitet weiter in Richtung Kontrollfähigkeit des Betriebssystems und seiner Nutzer. Dabei scheint der generelle Sicherheitsaspekt weitgehend untergeordnet zu sein ?

Es ist nicht nachvollziehbar, weshalb eine Software rein während der Installationsphase eine Verbindung zum Heimatserver aufbauen sollte. Auch bei den neuen Versionen der Fernwartungssoftware UltraVNC ist mir dieses Verhalten aufgefallen. Eine Software, die sich nicht lokal von einem Speichermedium installieren läßt, ist zweifelsohne ein Sicherheitsrisiko, da unnötigerweise eine Onlineverbindung initiiert werden muss. Dabei denke ich nicht an Tools zur Malware- oder Virensuche, die nach ihrer Installation auf ein evt. notwendiges Update ihrer Datenbank drängen. Wenn diese Unart bei den Softwareherstellern Schule machen sollte und die Anwender dies reaktionslos hinnehmen, wird in Zukunft die 1. Stunde der Onlinezeit nicht dem Anwender, sondern den installierten Programmen gehören, die PhoneHome Aktivitäten als gesellschaftsfähig etabliert hätten.

In diesem Sinne,
Thomas