Gepubliceerd: Donderdag 12 november 2009
Een dag na Patch Tuesday heeft een hacker een proof of concept gepubliceerd van een nog niet gedicht lek in Windows 7. De kernel is hierdoor kwetsbaar.
Toon volledig artikel
Inderdaad, een blamage.
Of oplichterij. Windows 7 is dus helemaal niet nieuw. Kennelijk hebben al die Windows versies dezelfde code base en hebben ze vooral de buitenkant veranderd om het nieuw en anders te laten lijken. Zes jaar hebben we op Vista moeten wachten en er was niets nieuw.
Nu zijn we na de Vista flop weer twee jaar verder en hebben we het "betere" Windows 7. Microsft heeft weer iets geleverd dat meer lijkt op een Service Pack waarvoor iedereen grof moet betalen.
"Beter" en helemaal "nieuw'. Microsoft heeft de innovatie voorgoed uit het oog verloren.
Wachten tot de eerste service pack voor windows 7????? Zijn ze nu helemaal gek bij microsoft?
Het is inderdaad een blamage van de bovenste plank. Kunnen ze nu helemaal niks goed doen? Wat een prutswerk. AUB Zo snel mogelijk dichten dit lek.
Trouwens een eerder bericht van WW over dit probleem klopt dus niet. Hierin werd gesteld dat w7 dit probleem niet had en dat het kernellek juist bij de ontwikkeling van W7 was ontdekt. Is dit nu uit de duimzuigwerk?
Overigens vraag ik me af wat een kernnellek is? Gaarne met een N schijven aub.
Wachten op een service pack?
Windows 7 is toch een servicepack voor Windows Vista? Of het had moeten zijn wat Vista had moeten zijn (volg je het nog). Op naar servicepack 129338 voor Vista dus.
Volgens Ballmer is Windows 7 gelijk aan Windows Vista (met verbeteringen). Zou hij iedereen wat op de mouw gespeld hebben?
MS is tijden op de hoogte lees ik. Al sinds 8 november en het nu 12 november. Dat is 4 dagen. Wel gewaagd om dat 'tijden' te noemen.
Kan iemand MS een e-mailtje doen, want op Microsoft Security Bulletin MS09-065 - Critical staat nog steeds:
Non-Affected Software
Operating System
Windows 7 for 32-bit Systems
Windows 7 for x64-based Systems
Windows Server 2008 R2 for x64-based Systems
Windows Server 2008 R2 for Itanium-based Systems
Gisteren na aanleiding van Vinyls link ens even gezocht en de reactie van MS was een heel andere: er zou zo spoedig mogelijk een oplossing komen eventueel een buiten de gangbare patchtuesday.
Dat Gaffie deze fout op deze wijze wereldkundig maakt is onverantwoord. MS is hier pas 3 dagen van op de hoogte en hij zet er zelfs een voorbeeldcode bij. Dat is puur netwerk vanadalisme. Ook de wijze waarop hij het nieuws zoekt ( zijn mleding is door hem naar vrijwel elke security en hacksite gezonden. Ook zijn taalgebruik wijst op een puber die aandacht zoekt.
#FAIL,#FAIL,#FAIL
SDL FAIL, 'Most Secure Os Ever' --> Remote Kernel in 2 mn.
#FAIL,#FAIL,#FAIL
en dan . REVISION HISTORY
-------------------------
November 8th, 2009: MSRC contacted
November 8th, 2009: MSRC acknoledge the vuln
November 11th, 2009: MRSC try to convince me that multi-vendor-ipv6 bug shouldn't appears on a security bulletin.
November 11th, 2009: Win 7 remote kernel smash released
Het ziet er naar uit dat dit alleen werkt in SMB2 en niet in SMB 1.
A Microsoft spokesman confirmed that the company is looking into Gaffie's claims. "Microsoft is investigating new public claims of a possible denial-of-service vulnerability in Windows Server Message Block," said the spokesman in an e-mail reply to questions. "Once were done investigating, we will take appropriate action & [which] may include providing a security update through the monthly release process, an out-of-cycle update or additional guidance to help customers protect themselves."
BRON
Dat Gaffie deze fout op deze wijze wereldkundig maakt is onverantwoord.
No argument there. Gelukkig wordt Windows 7 -- in verhouding tot het totale aandeel Windows -- nog niet veel gebruikt, maar dit soort publiciteitsgeil gedrag is toch behoorlijk schadelijk.
Is dat "publiciteitsgeil gedrag" schadelijk? Lijkt me wel, maar het is Microsoft die verantwoordelijk is voor het lek. Niemand anders. Als het zo is dat het een kwalijk lek is, en Microsoft wil wachten tot de eerste Service Pack, dan geeft het aan hoe serieus het bedrijf omgaat met de veiligheid van haar besturingssysteem (en dus het belang waardeert van haar gebruikers).
maar het is Microsoft die verantwoordelijk is voor het lek. Niemand anders.
Joh!? Natuurlijk is dat zo, maar dat was hier niet de discussie. Doordat deze persoon onmiddellijk de publiciteit zoekt met een POC, geeft hij Microsoft geen enkele kans om het lek tijdig te herstellen. Zo'n patch moet ook nog getest worden. In de tussentijd loopt de gebruiker risico.
Dat is ook zo, maar wees eerlijk er zullen altijd problemen zijn zelfs Linux en Apple zullen er niet aan ontkomen en na deze bug komen er weer anderen etc etc. Als je nergens las van wil hebben in dit zogenaamde feilloos digitale tijdperk, dan moet je gewoon weer 20 jaar terug naar de tijd dat men alles nog op papier deed met een IBM schrijfmachine en Overtoom Archiefkasten. Trouwens toen werkte alles veel beter, alleen niet zo snel als nu, want men kon de computer niet de schuld geven wat nu schering en inslag is bij instanties en bedrijven, terwijl het toch echt dat peopeltje achter het toetsenbord is. :-))
SED,
U zegt het zelf al ..."Ook zijn taalgebruik wijst op een puber die aandacht zoekt."
of het 'zijn' of 'haar' taalgebruik is even buiten beschouwing gelaten, maar als een PUBER al een lek kan vinden in de kernel van Windows 7, dan zegt dat al genoeg over Windows 7 zelf en over de developers (developers, developers) van Windows7.
Microsoft beschouwt het lek als een mogelijke denial-of-service aanval.
Dat is dan het enige geluk bij dit ongeluk. :( Wel jammer, nu waren ze er zelf al achter gekomen en meenden het in Windows 7 opgelost te hebben. Krijg je alsnog dit.
Heeft iemand al een workaround gevonden zodat grapjassen je machine niet kunnen laten crashen?
Dat is een open deur natuurlijk, maar voor die machines vroeg ik het niet. het gaat me om een workaround specifiek voor Windows 7.
In mijn geval, nu nog even de overstap uitstellen, maar er zijn mensen die al over zijn. Die hebben nu mogelijk een levensgroot probleem.
Ik heb het artikel nog eens wat beter gelezen. ;) Volgens mij moet je Netbios aanvragen blokken. dat deed ik al, dus de problemen vallen misschien nog redelijk mee.
... er zijn mensen die al over zijn. Die hebben nu mogelijk een levensgroot probleem.
Natuurlijk is het prachtig dat je probeert het bijdehante jongetje uit te hangen. Ik heb de indruk dat die Gaffie dat doet. Ik zie met mijn lekenverstand echter het probleem nog niet. Kan iemand uitleggen wat het feitelijke risico is, afgezien van een vastloper? In mijn optiek is het vooralsnog niets anders dan een kwajongensstreek als belletje trekken.
Nog wel. Helaas willen dit soort DOS lekken zich nog wel eens ontwikkelen naar Exploiteerbare lekken. Daarom zeg ik ook nu alleen nog dat ze *mogelijk* een probleem hebben.
En kwajongensstreken die in een groot netwerk kunnen zorgen voor crashende computers noem ik geen kwajongensstreken.
Ik denk dat je je moet hoeden voor het bagatelliseren van het probleem. Ik hoop dat Microsoft het lek snel dicht en dat het niet duurt tot de volgende SP.
netbios hoef je niet extern te blokkeren netbios is niet routeerbaar. DE aanval kom t dus vanuit het eigen subnet om te slagen.
Is geen oplossing, hoe mooi de buntu's ook zijn, serieuze beeldbewerking is er niet mee mogelijk, daar heb je windows of apple voor nodig.
Photoshop en andere software van Adobe voor foto en video bewerking werken anders prima op mijn ubuntu 9.10 systeem.
Wat een nepfiguur ben jij.
Jezelf op de borst kloppen dat je linux draait, maar vervolgens wel photoshop gebruiken.
He blijft me verbazen dat hier zo ongeveer alleen grafisch designers reageren. Echt iedereen heeft Photoshop nodig op het moment dat het over Linux gaat. :D
Of A0 printers. ;)
photoshop is best duur, :D en als ik dan hier op deze site hoor dat ze windows 7 zo duur vinden dan gaan mijn wenkbrauwen fronsen :D
Daar bedoel je mij dus mee, tsja de ene verdient zijn geld met jatten, de andere met werken en weer een ander met niets doen ;-)
Wat is het probleem? Buiten dat het slordig is dat je een pc kunt laten crashen, is er geen probleem. een soort doss aanval binnen een lan. Vervelend that's it.
geen remote code, geen bot installeren, rootkit niets.. gewoon een crash van je pc, hey je installeert toch windows dan kan dat gebeuren..
Dit kan inderdaad (bijna) niet misbruikt worden in thuis situaties, waar je meestal achter een router zit (of je eigen, of die van je ISP). Deze laten SMB niet door, dus np.
Op een LAN is het een ander verhaal, kan me 'leuke' situaties op bv scholen voorstellen...
Anyway, lullige bug, kan vervelend zijn, maar idd geen security risk.
Natuurlijk,forse minpunten voor Microsoft. Dat is inmiddels vaste regelmaat.........
Maar als je nu gewoon regelmatig een image maakt van je systeem-schijf; en 't zou ooit (voor een normale thuisgebruiker zelden) gebeuren dat je systeem onderuit gaat door dit soort gein;
dan zet je toch je image weer terug........
Dat zet deze (onderhand wekelijkse en heel soms ietwat overtrokken)reacties weer met beide beentjes op de bekende Windows-grond...........
Ik heb een vaag vermoeden dat het uitschakelen van SMB het testen van je Windows Server 2008 toch een ietwat bemoeilijkt. ;)
Wordt gewoon een Linux distro hoor. Daar hoor je helemaal niemand over lachen, als alleen dat ze het fijn vinden dat het gewoon werkt.
Haha blijkbaar heb je niet echt even naar de OS gezocht XD. Zoals netlemon ook zei "Daar hoor je helemaal niemand over lachen". bug in het systeem wordt ten minste snel wat aangedaan.
Vind het trouwens best eng ik had voor dat de eerste beta van win7 uit was gekomen gezegd, nou we wachten wel af tot een half jaar na de Final release van win7 en zien dan pas of die werkelijk zo "goed" is. Geen windows meer voor mij Ubuntu doet alles goed en zelfs beter.
lol het is ook altijd hetzelfde zodra er nieuws is over een bug in een windows versie..
Je hebt dan altijd die sneue types die gaan roepen hoe slecht ze zijn bij ms... Wat ik me altijd afvraag is: Waarom komen die mensen die altijd maar roepen hoe slecht iets is nooit eens zelf met iets beters aan zetten..
grow up!
nooit eens zelf met iets beters aan zetten..
Ik weet niet hoe vaak je hier komt, maar men prijst hier doorlopend zijn/haar Linuxversie of Mac aan. Ik heb een vaag vermoeden dat ze dat doen omdat ze die beter vinden.
"beter vinden"is een mening en dus geen feit. Ik begrijp die gefrustreerde Linux en Appeltjes aanhangers niet zo. Ik gebruik al jaren Windows en ook Opensuse. Geloof me, geen van beide zijn heilige boontjes en bij beide heb ik problemen gehad. Bij Opensuse alleen ging er net iets vaker iets mis wanneer ik een patch installeerde. Maar goed...dat kan gebeuren.
Dit soort bugs mag je na het eerste jaar programeren niet meer maken. Van een renormeerde OS-bouwer mag je verwachten dat ze robuuste en veilige software maken. Het is allemaal mensenwerk maar dit is een wel erg basic fout. Deze kritiek mag rustig worden gezegd.
Een OS zelf maken is wel wat veel gevraagd van de gemiddelde gebruiker.
Webwereld brengt leuke nieuwtjes naar buiten en maakt het daarom best een leuke site om te lezen. De reacties daarin tegen zijn te kinderlijk en triest voor woorden.
Een MS vs Linux front waarvan scholieren nog zouden lachen zo kinderlijk. Mensen!, reageren als kinderen hoort niet thuis op WebWereld, hou het een informatieve website en geen flame site.
Er zal altijd een groep voorstanders voor het Microsoft product zijn en zo ook voor Linux, Apple etc. Laten we gewoon objectief blijven en reageren hoe het bedoeld is.
Sowieso is het helemaal niet terrecht om windows en linux dankzij dit gat tegenover elkaar te zetten, wat nog niet zo lang geleden is er ook een enorm lek naar buiten gekomen in de linux kernel (die local root mogelijk maakte).
@ DvMourik
Dat is inderdaad nogal jammer. Soms lees ik in de reacties dat er lui zijn die juist bij voorkeur zo reageren om het vuurtje weer eens lekker op te stoken. Of om een ander stokpaardje te berijden. Helaas is dit een verschijnsel dat doorgaans meer regel dan uitzondering is op het www in z'n algemeenheid. Die vervuiling is jammer, maar hier bij webwereld niet eens zo extreem.
Wel heb ik mij altijd verbaasd over het gebruik van de plusjes en minnetjes. Heeft de redactie deze ooit ingesteld als bliksemafleider voor de overgevoelige lezers? Een ander schijnbaar zinvol gebruik kan ik niet bedenken. In elk geval wordt het systeem door sommige gebruikers enthousiast te pas en vooral te onpas gebruikt. Ik heb ook geen enkele leidraad kunnen vinden wat de betekenis van een plusje of een minnetje zou moeten zijn. Is het een inhoudelijke kwalificatie van het artikel? Geeft de beoordelaar aan dat hij het juist wel of niet eens is met de eventuele mening? Is het een beoordeling op grammatica en spelfouten?
Wanneer ik een open vraag stel of het huidige onderwerp krijg ik meteen een stuk of drie of vier minnetjes aan mijn broek. Zou het plus/min systeem een beoordeling kunnen zijn van de vermeende intelligentie van de opsteller?
Mijn vraag luidde met zoveel woorden wat nou eigenlijk de impact is van zo'n exploit. Naar mijn mening is dat nou allemaal niet zo erg en een reactie als "wat een blamage" komt op mij nogal overdreven over. Maar ik kan het helemaal onderschatten, ik ben zeker geen expert. Misschien denk ik in het algemeen te naïef over dergelijke kwetsbaarheden. In weerwil van de rustige uitleg van Peter Koopman ben ik er nog steeds niet over uit dat dit meer is dan een theoretisch probleem. Toch krijg ik meer minnetjes dan antwoorden, buiten dat van Peter vooralsnog geen een.
Eerlijk gezegd is het een beetje masochisme dat ik toch ook steeds weer de reacties ga zitten lezen. Maar ik ben het volledig met je eens dat enige zelfkritiek bij de commentaren niet misplaatst zou zijn.
Als je maar een zo lang mogelijk antwoord met omslachtige omschrijvingen plaatst, ben je vanzelf volwassen? Wat ben jij een aansteller zeg.
Op internet wordt nou eenmaal zo gereageerd, deal with it.
Dat was blijkbaar nog niet duidelijk: plusjes en minnetjes op webwereld doen me echt helemaal niets. Mijn mening is mijn meningen die wordt niet anders als ik een berg minnetjes krijg.
Maar omdat jij er blijkbaar wel waarde aan hecht, krijg je van mij een plusje. Zomaar.
Als je maar een zo lang mogelijk antwoord met omslachtige omschrijvingen plaatst, ben je vanzelf volwassen?
Sommige mensen hebben een mening waarvoor meer nodig is dan drie woorden om die over te brengen. Als jij al tot zoiets in staat bent hou je dat zorgvuldig verborgen.Wat ben jij een aansteller zeg.
Nee. Iemand met een mening die jij niet kan velen.Op internet wordt nou eenmaal zo gereageerd, deal with it.
Dat doe ik door jou mee te delen dat je een proleet bent.
Nee, jij dénkt dat ik een proleet ben. Dat is wat anders. Waarmee je zelf overigens ook aardig meedingt naar de hoofdprijs proletisme.
Sommige mensen hebben een mening waarvoor meer nodig is dan drie woorden om die over te brengen. Als jij al tot zoiets in staat bent hou je dat zorgvuldig verborgen.
Ik had zijn verhaal in ongeveer één alinea van 5 a 6 zinnen op kunnen schrijven, met precies dezelfde boodschap. Doen alsof je over een grote vocabulair beschikt gaat vaak gepaard met groot willen doen, maar het niet zijn.
En nu er toch met URLs wordt gesmeten: Durf om duidelijke taal te vragen
Nee, jij dénkt dat hansmiv een aansteller is. Dat is wat anders. Waarmee je zelf overigens ook aardig meedingt naar de hoofdprijs aanstellerij.
Zoiets?
Ik had zijn verhaal in ongeveer één alinea van 5 a 6 zinnen op kunnen schrijven, met precies dezelfde boodschap.
Dat suggereert begrip van de boodschap. Daar heb ik nog weinig van gemerkt.
Zoiets?
Je weet dingen wel uit hun verband te trekken zeg. Mijn opmerking was om aan te geven hoe ik over hem denk, jij zet het als feit neer.
Dat suggereert begrip van de boodschap. Daar heb ik nog weinig van gemerkt.
Ik suggereer helemaal geen begrip voor de tekst. Begrijpend lezen is niet je sterkste vak (geweest) denk ik.
Op zich is het wel leuk om nu te zien dat je het in geschrift zo roerend eens was met Hans (ik mag Hans zeggen), maar in de praktijk behoor je gewoon tot de groep waar hij commentaar op heeft.
Mijn opmerking was om aan te geven hoe ik over hem denk
OK. Jouw opmerking:Wat ben jij een aansteller zeg
...zegt dat hansmiv een aansteller is, terwijl je bedoelt dat je denkt dat dat zo is. Dank voor de nuance, ik wist niet dat je het in je had.
Ik suggereer helemaal geen begrip voor de tekst.
Ik bedoelde begrip als in dat je de strekking te pakken hebt. Begrip van de tekst. Begrip voor de tekst. Dat je het niet met hansmiv eens bent is zo zoetjesaan wel duidelijk.
in de praktijk behoor je gewoon tot de groep waar hij commentaar op heeft
Kan dat met jouw eigen gekleurde bril te maken hebben?
Haha, prima, ik wil het hier graag bij laten. Ik voorzie echter nog wel een reactie van jou, maar daar zal ik niet meer op reageren.
Je hebt wat mij betreft de prijs voor grootste hypocriet van Nederland te pakken. En nee, dat heeft werkelijk niets met mijn 'gekleurde bril' te maken, die ik overigens tracht zoveel mogelijk achterwege te laten.
Haha, prima, ik wil het hier graag bij laten.
Dank. Ik voorzie echter nog wel een reactie van jou, maar daar zal ik niet meer op reageren.
Dank.Je hebt wat mij betreft de prijs voor grootste hypocriet van Nederland te pakken.
Dank.En nee, dat heeft werkelijk niets met mijn 'gekleurde bril' te maken, die ik overigens tracht zoveel mogelijk achterwege te laten.
Laat die bril voortaan maar niet achterwege, want je leest niet heel nauwkeurig als je van en voor door elkaar haalt.
Okay, ik heb gelogen. Ik ga nog wel reageren.
Als je achteraf dingen aan gaat passen in je reacties, zodat mijn reactie daarop nergens op slaat, vind ik dat gewoon ronduit kinderachtig. Het is helemaal niet erg als je niet meer uit een antwoord komt, of gewoon simpelweg niets meer weet te bedenken, maar nu heb je je wel heel erg verlaagd. We waren gewoon met een gezonde zijdelingse discussie bezig, maar jij gaat nu met modder gooien en drogredenen aandragen.
Ik hoop dat je jezelf een hele grote jongen vindt.
Dit stond in mijn reactie van 11:44 (waar ik achteraf niets aan heb veranderd):Dat suggereert begrip van de boodschap.
Dit stond in jouw reactie van 12:23:Ik suggereer helemaal geen begrip voor de tekst.
Dit heb ik achteraf in mijn reactie van 12:33 ingevoegd:Begrip van de tekst. Begrip voor de tekst.
Ik benadruk enkel wat ik al eerder om 11:44 heb gezegd, waar jij om 12:23 op reageerde.
zodat mijn reactie daarop nergens op slaat
Zit wat in.
Graag gedaan. Het is nu inderdaad helemaal lek van iedereen die er doorheen prikt. Precies wat het nodig had.
Goh, ik heb te maken met iemand die psychologie interessant vindt. Ik denk alleen dat je de potentie niet hebt om er dieper in te duiken. Jammer.
Maar goed, wat ik wilde zeggen, is dat je zelf net zo (zoals je zelf bedoelt) onbewust asociaal bezig bent. Het verschil is alleen dat ik het bewust doe, om een punt te maken en mensen uit de tent te lokken. Jij, en nog wat andere onderkruipsels hier, doen het puur en alleen om mij af te branden. Naast dat ik het een dappere poging vind, hebben jullie hopeloos gefaald en heb ik mijn punt gemaakt.
...en mensen uit de tent te lokken...
Tja. Als je mensen uit overtuiging voert, dan is elke uiting van verontwaardiging zuivere huichelarij.
Wat ben jij een aansteller zeg.
Mijn mening is mijn meningen die wordt niet anders als ik een berg minnetjes krijg.
Je weet dingen wel uit hun verband te trekken zeg.
Je hebt wat mij betreft de prijs voor grootste hypocriet van Nederland te pakken.
We waren gewoon met een gezonde zijdelingse discussie bezig, maar jij gaat nu met modder gooien en drogredenen aandragen.
Ik hoop dat je jezelf een hele grote jongen vindt.
Calimero.
Onbegrijpelijk. Hoeveel lekken zijn er nu al in dat SMB geweest? Dit is nog erger dan gatenkaas. Hoe fracking moeilijk is het nou om die service eens een beetje secure te maken? Ik mag hopen dat MS inmiddels het belang van goede input validation wel onderkent?? Je zou toch bijna gaan denken dat SMB door een stelletje zolderkamerprutsertjes op een regenachtige zondagmiddag in elkaar is geflanst!
Tjonge wat een berg ophef paniek en frustratie om een foutje in een stukje software. SMB 2.0 bestaat al sinds 2006 en nu komt er iemand achter dat hij Windows 7 en Windows 2008 R2 kan laten crashen. Vooral die mensen die niet kunnen leven met dit soort issues is maar een advies! Niet meer computeren! Ontwikkelaars zijn mensen en die maken nou eenmaal fouten en het is onmogelijk om elke soort situatie door te testen.
De kans dat je systeem crasht door een verkeerd geschreven driver is volgens mij nog groter dan dat je pc gaat hangen door deze fout.
Ik heb zelf heel veel software geschreven en kan zeggen dat het niet controleren van berichtlengte met het aantal ontvangen bytes een schandelijke amateuristische programmeerblunder is. Dat dan ook nog het "multithreading/multitasking" operating systeem in een harde lus gaat staan wachten op de ontbrekende bytes is een evengrote amateuristische tekortkoming. Ooit van debugging en code reviews gehoord.
SCHANDE MICROSOFT !
Software wordt nooit foutloos'
Andrew Tanenbaum, onderzoeker bij de Vrije Universiteit (VU).
Software zal nooit foutloos worden omdat ontwikkelaars bestaande software onvoldoende doorontwikkelen en te veel gefocust zijn op nieuwe versies. Dat stelt VU-onderzoeker Andrew Tanenbaum die de betrouwbaarheid en veiligheid van systeemsoftware onderzoekt.
U heeft een subsidie van 2,5 miljoen euro gekregen van de European Research Council (ERC). Wat gaat u precies onderzoeken?
Ik ga onderzoek doen naar betrouwbare en veilige systeemsoftware. Ik wil het systeem Minix, dat ik in de jaren tachtig maakte, verder ontwikkelen.
In software zitten altijd fouten, dat zijn bugs in de code. Een bug zorgt niet altijd voor een crash, dat gebeurt alleen in bijzondere omstandigheden. Software moet deze fouten eigenlijk zelf detecteren en oplossen, zodat de gebruiker er niets van merkt. Er is wel zelfregulerende software, maar niet veel en het werkt niet zo goed.
Veel software is zo ontwikkeld dat er geen wijzigingen aangebracht kunnen worden terwijl de programmatuur draait. Programma's moeten gestopt of herstart worden om updates door te voeren. Dat lukt niet altijd, servers bij banken moeten altijd blijven draaien. Door meer te moduleren moet het mogelijk worden om bijvoorbeeld de software op een draaiende fileserver te vernieuwen.
U gaat dus verder met Minix?
De ontwikkeling van Minix staat al een jaar of tien stil. Ik ontwikkelde Minix in de jaren tachtig. Linus Torvals ontwikkelde het systeem verder, maar wijzigde het zo erg dat het een ander systeem werd. Dat werd Linux. Linux heeft te veel regels code, het is te groot. Windows is nog veel groter. Hoe meer code, hoe meer fouten. Uit onderzoek blijkt dat er in goede software gemiddeld een fout per honderd regels code zit. Als je er echt alles aan doet, bijvoorbeeld door goed te testen en een goed beleid, dan kom je uit op een bug per duizend regels code. Maar beter dan dat kun je het niet doen. Linux heeft vijf miljoen regels code. De complete Windows Vista distributie is 70 miljoen regels.
Hoeveel geld heeft u hier voor beschikbaar?
Ik heb hiervoor 2,5 miljoen euro beschikbaar voor vijf jaar. Een deel van dat geld gaat naar de Vrije Universiteit (VU) als overhead. Dat betekent dat ik ongeveer 0,4 miljoen euro heb per jaar. Hier kan ik ongeveer vijf mensen voor aan het werk zetten. Waarschijnlijk zijn dat twee tot drie programmeurs, een aantal aio's (assistenten in opleiding) en wat post-doctorale onderzoekers.
Wat hoopt u over vijf jaar te hebben?
Ik hoop dat we dan veel ideeën hebben over hoe het beter moet. En dat we een werkend prototype hebben.
Wordt software ooit foutloos?
Het zal wel ooit mogelijk worden dat software foutloos wordt, maar ik denk niet dat het ooit gebeurd. Softwareleveranciers komen met een constant stroom van updates en nieuwe features (met nieuwe bugs) en iedere paar jaar met een nieuw systeem. Een televisie draait tien jaar zonder problemen, die is redelijk stabiel. Ik wil dat een computer net zo stabiel is als een televisie.
Softwareontwikkelaars werken altijd aan nieuwe versies. Als Microsoft nu nog Windows 98 ontwikkelde, was het foutenvrij geweest. Maar dat gebeurt niet. Programma's krijgen steeds meer functies, vaak steeds nuttelozere functies. Zolang softwaremakers nieuwe versies blijven ontwikkelen (in plaats van de oude versies debuggen), blijven er altijd fouten in software zitten.
Read more: http://www.computable.nl/artikel/ict_topics/development/2680861/1277180/software-wordt-nooit-foutloos.html#ixzz0WlCzGtR5
Je negeert zijn punt:
het niet controleren van berichtlengte met het aantal ontvangen bytes een schandelijke amateuristische programmeerblunder is.
Dit soort fouten wordt meestal veroorzaakt door luie programmeurs en/of managers die in de nek van de programmeur staan te hijgen dat de deadline nadert.
Meestal wil men snel functionaliteit en de veiligheid/robuustheid is stap twee. En daardoor vergeet men wel eens wat.
Stap 1 en 2 moeten dus tegelijkertijd uitgevoerd worden.
Een voorbeeldje, even snel een string copieren doe je met 1 regel:
strcpy(str1, str2);
Een uiterst gevaarlijke exercitie wanneer je niet absoluuut zeker weet hoe groot str2 is. Men gaat maar al te vaak uit van de documentatie van een protocol maar dat zegt niet alles.
Het tweede voorbeeld lost het probleem op maar vereist meer code en men moet meer nadenken...
strncpy(str1, str2, STR1SIZE);
str1[STR1SIZE - 1] = 0;
En nadenken is vermoeiend...
Mijn schoolmeester had vroeger al moeite met 30 schriften nakijken :D
Laat staan vista endergelijke met 80 miljoen regels code :P
Er zijn zelfs velen die al moeite hebben met een foutloze reactie op Webwereld. ;)
Het blijft mensenwerk. Aangezien mensen fouten maken, zal software vanaf een bepaalde complexiteit ook altijd fouten bevatten.
Het gaat erom wat je als ontwikkelaar doet met de fouten die boven komen. Vroeger vond ik dat Microsoft op dat punt behoorlijk laks was, maar volgens mij hebben ze geleerd.
Software dat zo massaal gebruikt wordt als windows, en nu dus ook windows 7, daar worden nu eenmaal veel sneller problemen gevonden. Het is simpel boeren verstand.
Tevens gaat het hier ook WEER over een NetBios exploit, dat is al de zoveelste keer.
Hier wat meer informatie over de problemen van NetBios:
http://blogs.techrepublic.com.com/security/?p=196
en nu dus ook windows 7
Een piek van 4 procent is massaal gebruik? :D Amusant dat mensen, tegen beter weten in, vast houden aan boerenverstand.
Ten eerste lees je niet goed, het gaat over windows gebruik in het algemeen. Ten tweede, 4% van een potentiele gebruikersgroep van bijna een miljard mensen is alsnog "massaal gebruik". Dat gebrek aan boerenverstand breekt je nu wel aardig op.
Om je een idee te geven:
http://www.w3counter.com/globalstats.php
Er gebruiken dus nu al meer mensen windows 7 dan alle linux distributies bij elkaar.
Sorry, ik werd dan waarschijnlijk op het verkeerde been gezet door de uitspraak "en nu dus ook Windows 7" in combinatie met massaal gebruik.
Als je dat miljard afzet tegen Linux gebruik wordt Linux ook Massaal gebruikt. Bij bepaalde aantallen, wordt bijna elke fractie wel massaal.
En dat Windows 7 meer gebruikt wordt dan Linux? Wie probeer je daarmee te verrassen? :) Natuurlijk is dat zo. Ik denk zelfs dat de W3Counter te optimistisch is en dat het aandeel Linux kleiner is.
Ik vind alleen de stelling dat marktaandeel evenredig met problemen moet opgaan nogal flauwekul. Het wordt al jaren zorgvuldig gecultiveerd waardoor het bijna de waarheid lijkt, maar de echte waarheid ligt natuurlijk een flink stuk genuanceerder.
NetBios is standaard via de Firewall uitgeschakeld, althans bij de meeste computers is dat zo. Staat NetBios geconfigureerd voor een LAN, dan kan ik mij voorstellen dat je dan een probleem kan ondervinden. Bijvoorbeeld: in je eigen LAN draait een computer het kwaadaardig scipt en jij maakt er contact mee met je eigen computer.
Groot voordeel is dat er geen extreem gevaarlijk lek betreft (je kan geen willekeurige code uitvoeren)
Ik vraag me daarom af of we moeten wakker liggen van dit lek.
Ik vraag me daarom af of we moeten wakker liggen van dit lek.
Wakker liggen van zoiets lulligs als een lek lijkt me überhaupt contra-productief. :)
Aan de andere kant, net doen alsof er niets aan de hand is lijkt me ook weer niet de beste raad. Zolang dit lek alleen een crash veroorzaakt valt de impact nog wel mee. Ik kan je echter garanderen dat veel crackers nu aan het zoeken zijn naar een truc om van deze crash een exploit te maken die misbruik van de machine toestaat. Mocht dat lukken, dan is Leiden in last.
Om te kunnen reageren, dient u ingelogd te zijn.
2 jaar geleden: 13 februari 2010
3 jaar geleden: 13 februari 2009
4 jaar geleden: 13 februari 2008
5 jaar geleden: 13 februari 2007
14 jaar geleden: 13 februari 1998
IDG Nederland is uitgever van: AppFish
, CIO, Computer!Totaal, Computerworld, ITworld, Jobworld, MacWorld, RAW fotomagazine, TechFish, Tips & Trucs, Webwereld en Zoom.nlMeer informatie: IDG Nederland, IDG.com, Privacy-statement, Cookie-statement Hosting by Terremark.
