The Bat! 10.2.1.2 (BETA)

  • Hello All,

    The Bat! v10.2.1.2 is available for testing.

    https://www.ritlabs.com/download/files3/the_bat/beta/v10/thebat_32_10-2-1-2.msi

    https://www.ritlabs.com/download/files3/the_bat/beta/v10/thebat_64_10-2-1-2.msi

    https://www.ritlabs.com/download/files3/the_bat/beta/v10/nau_thebat_32_10-2-1-2.msi

    https://www.ritlabs.com/download/files3/the_bat/beta/v10/nau_thebat_64_10-2-1-2.msi

    [+] Built-in viewer for most of Office documents (DOC, DOCX, XLT, XLTX, PPT, PPTX) as well as MD, EPUB, FB2

    [+] "Attachment autopreview" option to allow automatic switch to the attachment's tab of the preview pane (if any)

    Quelle: https://www.mail-archive.com/tbbeta@thebat.…/msg115906.html


    The Bat! Pro 11.x BETA (32bit) | Win 11 Pro x64 | GnuPG 2.4.x | XMP + Regula

    Wer mich Er oder der Drache nennt, bekommt von der Drachin Pratze und Feuer zu spüren.

  • Der Viewer für mehr Formate ist nett.

    Allerdings rendert die Vorschau Markdown nicht korrekt sondern zeigt es nur als Quältext :/

    FB2 (=russisches ePub) konnte ich nicht testen.


    The Bat! Pro 11.x BETA (32bit) | Win 11 Pro x64 | GnuPG 2.4.x | XMP + Regula

    Wer mich Er oder der Drache nennt, bekommt von der Drachin Pratze und Feuer zu spüren.

  • Da das alles über CEF geht, wird man so wie mit PDF auch mit diesen Formaten ein gewisses Sicherheitsrisiko haben, insbesondere da man die Vorschau nicht abschalten kann. Es entsteht das Gefühl, dass der Abschnitt Anlagensicherheit aus den Benutzereinstellungen keine Bedeutung mehr hat.

  • sanyok Ja, diese leichten Sorgen habe ich auch mit der Sicherheit.

    Viewer waren schon immer ein Einfallstor.


    The Bat! Pro 11.x BETA (32bit) | Win 11 Pro x64 | GnuPG 2.4.x | XMP + Regula

    Wer mich Er oder der Drache nennt, bekommt von der Drachin Pratze und Feuer zu spüren.

  • Ja, diese leichten Sorgen habe ich auch mit der Sicherheit.

    Viewer waren schon immer ein Einfallstor.

    Ich bin da eher zwiegespalten:

    Einerseits:

    Die Ritlaboranten wollen mit ihrem Produkt Geld verdienen, und dann muss man dem "Userpöbel" (= zahlende Kunden) auch schon mal ein paar größere Krumen hinwerfen. Und neue Features zu entwickeln ist eben auch aus Sicht eines Entwicklers more fun (als langweilige Fehler zu beheben..).

    Andererseits:

    Gibts gerade keine anderen Probleme bei dieser Software?

    Ich fühlte mich ein wenig in die Neunziger zurückversetzt und an Outlook und Outlook express erinnert, die ein Loch in der Größe einer Galaxie in der Mail(!)vorschau hatten.

    Von deren Anlagensicherheit will ich erst gar nicht reden...!

    Jörg Schiermeier
    Informatiker, Bielefeld

    The Bat! professional v9.x (32bit NAU) mit XMP-, Regula- und Shell-Plugin • wine v9.x • devuan linux (excalibur/ceres)

    2 Mal editiert, zuletzt von sotel (14. Oktober 2022 um 21:10)

  • Und neue Features zu entwickeln ist...

    Nichts spricht dagegen. Es geht ausschließlich darum, dass durch diese neuen Features die eigenen Sicherheitsvorkehrungen des Programms außer Gefecht gesetzt werden. Das soll zumindest im Einklang mit den Anlagensicherheiten funktionieren und/oder abschaltbar sein, wie z.B. der interne Bildbetrachter. Denn sonst wirbt man mit einem sicheren Produkt, das es aber mittlerweile nicht mehr ist.

    Und ob der Hinweis von Stefan Tanurkov ausreicht, dass da keine Skripts ausgeführt werden, ist fraglich. Wenn man eingestellt hat, dass bestimmte Anlagen entweder gar nicht oder erst nach einer Warnung geöffnet werden sollen, dann muss das auch für die internen Betrachter ungeachtet davon gelten, auf welche Art und Weise die Anlage im Betrachter angezeigt wird.

  • Was hältst Du davon, das nochmal in den Thread zu der aktuellen Version in die Mailingliste zu posten?

    man hat doch eine feste Meinung zu dem Thema, da wird nicht mehr dran gerüttelt = friss oder stirb.

    Ich werde v10 nicht benutzen.

    > Automatic viewers for PDF, DOC, XLS etc.? Really?

    The files are converted by the built-in converter into HTML and displayed in the HTML viewer, actually. No scripts execution and other unsafe stuff. Do you still see anything to worry security wise?

    --

    Best regards,

    Stefan Tanurkov

  • Wenn ich Tarnurkovs Antwort bezüglich des builtin-converter lese, möchte ich schreien. Wer prüft die Konverter denn bei Ritlabs automatisiert auf Löcher (Pufferüberläufe, Use after Free, etc.)?

    Gerade bei closed-source und kleineren Firme wird nicht immer schnellstens reagiert, falls Lücken da sind.

    Ich hab was in die Beta-Liste geschrieben.

    https://www.mail-archive.com/tbbeta@thebat.…/msg115907.html


    The Bat! Pro 11.x BETA (32bit) | Win 11 Pro x64 | GnuPG 2.4.x | XMP + Regula

    Wer mich Er oder der Drache nennt, bekommt von der Drachin Pratze und Feuer zu spüren.

    2 Mal editiert, zuletzt von GwenDragon (15. Oktober 2022 um 14:13)

  • Ich kann ja als Feature in The Bat! zum besseren Marketing verstehen, dass es nett sein kann MS-Dokumente auch kurz einsehen zu können.

    In Zeiten in denen diverse Dienste/Angreifer Malware auch als Anhänge verteilen, finde ich solche Viewer als Risiko.

    Konverter sind immer komplex, können abstürzen, oder noch schlimmer, nutzen z.B. unsichere Bibliotheken (wenn ich mich da an xml oder zlib-Bibliotheken unter Windows & Linux so erinnere).

    Externe Closed-Source (die Konverter) in einem Closed-Source-Produkt (The Bat!), wehe wenn da jemand Murks macht.


    The Bat! Pro 11.x BETA (32bit) | Win 11 Pro x64 | GnuPG 2.4.x | XMP + Regula

    Wer mich Er oder der Drache nennt, bekommt von der Drachin Pratze und Feuer zu spüren.

  • Ich kann ja als Feature in The Bat! zum besseren Marketing verstehen, dass es nett sein kann MS-Dokumente auch kurz einsehen zu können.

    In Outlook nutze ich dieses Feature der PDF Vorschau tatsächlich hin und wieder auch. Allerdings hat man vor dem Öffnen noch einmal über ein Dropdown die Wahl ob man es tatsächlich öffnen, oder doch lieber speichern möchte. Bei TB! wird es sofort geöffnet. Aus meiner Sicht ein nogo.

  • Und da der Konverter auf einer Browser-Engine basiert

    Kann kann eine nur hoffen, dass die interne Erweiterung PDF-Viewer sicher ist. Edge ist da schon mal bei Updates einige Tage später als Chromium.

    Wenn die "Konverter" in The Bat! auch direkt über CEF laufen, gilt die selbe Unsicherheit.


    The Bat! Pro 11.x BETA (32bit) | Win 11 Pro x64 | GnuPG 2.4.x | XMP + Regula

    Wer mich Er oder der Drache nennt, bekommt von der Drachin Pratze und Feuer zu spüren.

  • Und es gibt noch einen Aspekt zu beachten. Während der Konvertierung wird der Anhang nicht auf der Festplatte gespeichert, zumindest nicht in der Originalform. Das führt aber dazu, dass ein Antivirus-Programm ihn höchstwahrscheinlich nicht überprüfen wird, was grundsätzlich geschieht, wenn man den Anhang manuell speichert und in einem separaten Programm öffnet.

    Hat man also nicht die Überprüfung schon während des Nachrichtenempfangs aktiviert, was die Untersuchung von sicheren Verbindungen erfordert, was wiederum zu Problemen mit den sich dazwischen geschalteten AntiVirus-Zertifikaten führen könnte, was wir hier schon oft erlebt haben, wird man also auch nicht darauf vertrauen können, dass notfalls das Antivirus-Programm einspringt.

    In TBBETA wurde übrigens der Begriff "Sandbox" in einem anderen Zusammenhang erwähnt. Damit es keine Missverständnisse gibt, die internen Betrachter funktionieren nicht in einer Sandbox. Was dort geschieht, kann also sehr wohl Auswirkungen auf das gesamte System haben.

  • Wer hat schon einen Virenscanner, der während des Empfangs scannt, das war früher immer problematisch bei mir. Und Windows Defender kann es sowieso nicht.

    Ja, da der Konverter den Anhang gleich öffnet und nicht erst temporär speichert, ist das ein Risiko.

    Moment, die Betrachter laufen nicht als isolierte Chromium-Extensions in einer Sandbox? Huh! Das macht diese Vorschau noch mehr unsympathisch für mich.


    The Bat! Pro 11.x BETA (32bit) | Win 11 Pro x64 | GnuPG 2.4.x | XMP + Regula

    Wer mich Er oder der Drache nennt, bekommt von der Drachin Pratze und Feuer zu spüren.

    Einmal editiert, zuletzt von GwenDragon (15. Oktober 2022 um 15:52)

  • Man kann die Auto-Vorschau deaktivieren - wenn es schon zu spät ist, da ist als Standard aktiv ist. Rechtsklick auf die Anhang-Spalte und bei 'Attachment autopreview' den Haken entfernen (ab v10.2.1.2).

    Warum befindet sich diese wichtige Einstellung nicht unter 'Anlagensicherheit' in den Benutzereinstellungen? :thumbdown:

    Und vor allem warum ist sie standardmäßig aktiv? :thumbdown:

  • Allerdings sind durch das Abschalten der automatischen Vorschau die Vorschau-Tabs nicht weg. Wer se nicht wil, sollte sie auch da weg bekommen können. Ich hoffe, dass sowas noch eingeführt wird.


    The Bat! Pro 11.x BETA (32bit) | Win 11 Pro x64 | GnuPG 2.4.x | XMP + Regula

    Wer mich Er oder der Drache nennt, bekommt von der Drachin Pratze und Feuer zu spüren.