Black Hat hackers bestoken IE en Flash

Gepubliceerd: Zaterdag 30 januari 2010

Op securityconferentie Black Hat zullen experts weer aantonen hoe makkelijk het is om software te kraken. Met name IE (Microsoft) en Flash (Adobe) worden gepakt.

Toon volledig artikel

linus4ever op Zaterdag 30 Januari 2010 12:40

zal er bijvoorbeeld laten zien hoe een aanvaller elk bestand op een computer kan lezen als die Internet Explorer gebruikt. De aanval maakt niet gebruikt van fouten, maar van features.

Gaat u maar zitten.

Als het waar is dan betekent dat dat al die IE ellende, waarvan we hier al zoveel hebben gehoord, niet zozeer programmereingsfouten betreft maar de architectuur.

Windows en IE zijn kennelijk zo gebouwd dat dit moet kunnen. Het is al langer mij idee geweest: Hoe slecht, inconsistent en rommelig de progammatuur ook gebouwd moge zijn, het zijn niet aleen bug bij Microsoft.

Het echte Microsoft probleem is een architectuur probleem, Van Wensveen heeft dat op een rijtje gezet.

2 / 14

pokko35 op Zaterdag 30 Januari 2010 22:48

En daar is ie weer!!

lol lol lol

-3 / 15

linus4ever op Zondag 31 Januari 2010 02:01

lol lol lol

Ehhhhhhh, en On Topic? Ik ben daar in jouw geval wel aan toe.

Ik vind het nogal wat als het echt "features" zijn. Stel je ben een CIO bij een grote tent met meer dan 2.000 werkplekken, ik heb daar wel eens als klein baasje rond gelopen vandaar. Ik zou mij in zijn positie toch steeds ongemakkelijker voelen met de jaren oude Microsoft "strategie".

Ik heb door de jaren heen behoorlijk wat pret gemaakt over al die Microsoft issues, maar de laatste tijd neem ik het steeds serieuzer.

Het is voor de trouwe betalende Windows gebruiker allang niet leuk meer. Kijk tegen virussen en wormen heeft de gebruiker nog "a fighting chance", hij kan de computer up to date houden met patches en meerdere anti virussen installeren. Tegen ingebouwde features kan hij echter niets beginnen.

Voor een serieuze CIO is Microsoft onderhand helemaal geen optie meer, hartenjagen en solitaire kunnen de werknemers net zo goed thuis spelen.

2 / 10

pokko35 op Zondag 31 Januari 2010 10:24

Zit niet te blaten als een gek, ons vertellen hoe verschrikkelijk het wel niet is dat microsoft dit doet, joh, alles is hackbaar, kraakbaar, misbruikbaar, ook jou heilige linux is net zo vatbaar voor dit soort onzin als windows, geef hackers/crackers genoeg motivatie dan ligt linux binnen no time plat op zijn bek.

zoals ik al eerder zei, ik vind linux fantastisch en draai er bijna alles op, maar aub haal die oogkleppen van je kop.

-4 / 14

linus4ever op Zondag 31 Januari 2010 13:25

linux is net zo vatbaar voor dit soort onzin als windows

OK, als dat zo is dan moet het niet zo moelijk zijn om met een goed voorbeeld te komen. Iedereen die zoiets roept of vindt en dat verkondigt moet dit waarmaken, of er anders het zwijgen toe doen. Kom dus met hard bewijs!

Microsoft is de laatste tijd behoorlijk aan de bak met zero day exploits en nu deze feature van IE waarmee het mogelijk is van alles op een willekeurige machine (dus ook servers) uit te spoken

Ik wacht met spanning op een goed werkend voorbeeld op een Linux machine of een Apple Macintosh.

@pokko35
Als het jou niet lukt om met zo'n voorbeeld te komen, zou ik je in overweging willen geven om jouw reacties de Nettiquette in acht te nemen.

-3 / 11

anonymous_118315 op Zondag 31 Januari 2010 13:36

ook jou heilige linux is net zo vatbaar voor dit soort onzin als windowsOok Linux is vatbaar voor dit soort onzin, dat klopt. Over 'heilige' en 'net zo als Windows' verschillen we toch danig van mening.

Voor zover mij bekend is er vrij weinig heilig aan Linux en ik geloof ook niet dat L4E het heilig heeft verklaard. Een Mint gebruiker weet dat pure Open Source niet heilig is, anders ga je geen Mixed Source distro gebruiken.

En 'net zo als Windows', dan ga je er van uit dat Linux een monocultuur moet zijn. Maar dat is het natuurlijk niet. Alleen al de gemêleerdheid van het Linux landschap zet je stelling 'net zo' op losse schroeven.

Dan hebben we nog het punt van de packagemanager voor software. Hierdoor hoeven gebruikers veel minder het web af te schuimen voor hun software, wat de risico's toch aardig beperkt.

Dan de centrale updates die alle software pakketten bijhouden, dus niet alleen die van het core besturingssysteem. Waardoor lekken in alle software gepatched kunnen worden.

En het feit dat een object niet uitvoerbaar is op basis van een extentie, maar dat hiervoor apart rechten worden toegekend.

Zo kan ik nog wel meer argumenten geven tegen het 'net zo als Windows', maar ik denk dat hiermee de strekking wel zo'n beetje duidelijk is.

3 / 9

eb0108 op Zondag 31 Januari 2010 10:04

Ja, die Van Wensveen is objectief hoor, wanneer je je pagina IhateMS.html noemt

-2 / 8

anonymous_118315 op Zondag 31 Januari 2010 12:32

Heel apart inderdaad om je pagina zo te noemen, als het ook zo ongeveer de titel van het artikel is. :) Ik heb het nog niet gelezen, maar om een heel artikel af te schieten op de naamgeving van het html bestand is wel kort door de bocht in het kwadraat.

1 / 5

linus4ever op Zondag 31 Januari 2010 13:45

Van Wensveen is objectief hoor

Nee, dat is hij zeker niet.

Er is een verschil:
- Een journalist moet objectief zijn als hij een nieuwsbericht maakt;
- Hij mag ook een standpunt hebben als hij een opiniestuk schrijft.

Of het handig is van Van Wensveen om het artikel deze titel mee te geven? Ik denk het niet. Ik heb het artikel gekozen vanwege de inhoud, hij zet alles heel systematisch en netjes op een rij. Hij is daarbij soms humoristisch, objectief en feitelijk.

Het is of je voor of tegen Microsoft bent, over een biertjeof een wijntje, zonder meer de moeite van het lezen waard.

0 / 6

anonymous_118315 op Zondag 31 Januari 2010 12:36

Als het waar is...Als? Ik heb niet echt de indruk dat de waarheid je in het geringste interesseert.

"Never let the facts get in the way of a good story." lijkt me een spreuk die prima bij je past.

0 / 4

linus4ever op Zondag 31 Januari 2010 13:40

Ik heb niet echt de indruk dat de waarheid je in het geringste interesseert

Een jaar of tien geleden was dat inderdaad zo. :-)

Ik ben bang dat de waarheid mij meer dan de gemiddelde Windows gebruiker interesseert. Er is teveel ongecontroleerd mogelijk met het Windows platform. De gebruiker kan zijn platform niet vertrouwen, omdat hij niet weet wat er buiten zijn directe waarneming met zijn gegevens gebeurt.

Voor mij is de ommekeer gekomen toen ik negen jaar geleden als baasje in een grote tent (2.500 werkplekken over meerdere vestigigen) van een operationeel Windows beheer team werd geconfronteerd met de onbeheersbaarheid van de omgeving.

Het begon met anti-virus, waarvan ze om allerlei operationele en technische redenen niet voor elkaar kregen om de signatures op tijd op de Windows '95 clients te krijgen. Na een jaar is die hele tent onderuit gegaan vanwege de Nimda worm, servers, werkplekken alles deed mee. Er was een project voor belegd, maar dat kampte met gebrek aan middelen.... Die besparing heeft over de duim zo'n Eur 5 mln gekost!

Ik voer voor klanten verschillende services uit en daarbij gewoon last heb van al die Windows botnets, al was het alleen maar om de verkeersverstoppingen en het bewaken van het mail verkeer. Het kost mij gewoon tijd en geld.

Mijn gegevens staan op talloze machines van relaties die ik zelf heb uitgekozen om zaken mee te doen. Ik zit er echt niet op te wachten dat malafide figuren deze "feature" van IE gebruiken om achter informatie over mij te komen waarmee ik het risico op schade loop.

0 / 6

anonymous_118315 op Zondag 31 Januari 2010 13:51

Ik ben bang dat de waarheid mij meer dan de gemiddelde Windows gebruiker interesseert.En ik ben bang dat jouw 'waarheid' naar het andere uiterste is geschoten.

Net zo goed als niet elk 'hosanna' verhaal over Windows waar is, is ook niet elk 'ramp' artikel waar. En dat geldt vice versa ook voor Linux en OSX.

Ik heb echter nogal sterk de indruk dat die 'ramp' verhalen van Microsoft er bij jou kritiekloos als zoete koek in gaan.

2 / 4

linus4ever op Zondag 31 Januari 2010 14:36

die 'ramp' verhalen van Microsoft

Sinds die Microsoft Kerstramp van 2001, die mij
- in de aanloop tot de Kerst met vele nachten in hotels heeft opgeleverd;
- de doorgewerkte dagen rond de Kerst heeft gebracht;
- een Euro conversie liet doen langs steile kliffen en duizeling wekkende dieptes, het hing echt af van een paar floppies en een machine die maanden uit had gestaan en dus niet was besmet. Het ging hier nog om mensen levens ook, goedkeuring voor medische behandelingen, mind you;
- een collega van mij letterlijk zijn huwelijk en uiteindelijk zijn baan heeft gekost;
- de ellende op de werkvloer heeft doen delen.

Ja, neem ik elk securuty issue met vooral Microsoft bloedserieus.

Bovendien worden de mensen die een beetje voorzichtig zijn de laatste tijd op hun wenken bediend, we krijgen flink wat hyper kritische beveiligings issues, extra patch rondes, een lekken die ook nog aanwezig blijken te zijn op het "verbeterde" en "veiliger" Windows 7, dat volgens Microsoft nu eindelijk "af" was en ook nog eens "echt veilig".

Als bij wijze van klap op de vuurpijl een security issue geen lek, maar een "feature" blijkt te zijn, dan is wat mij betreft de grens overschreden, bereikt was die allang. Als dit waar is, dan is het het toch "The Bloody Limit"?

Je mag het "voor zoete koek slikken" noemen, maar je moet wel heel erg standvastig zijn in je geloof of zelfs goedgelovig als je nu nog op Microsoft vertrouwt.

0 / 6

anonymous_118315 op Zondag 31 Januari 2010 15:40

Je mag het "voor zoete koek slikken" noemenDat deed ik toch ook? Uit de rest van je relaas kon ik helaas geen wijs worden. Maar goed, laten we het hier maar bij laten.

0 / 2

Nappy op Zondag 31 Januari 2010 21:46

Volgens mij is het niet MS maar slecht management wat je al die ellende heeft bezorgd.

0 / 4

linus4ever op Maandag 1 Februari 2010 00:34

niet MS maar slecht management

Da's te makkelijk.

Het staat buiten kijf dat het Microsoft OS een centrale rol speelde in het hele drama. Het raakte zowel de desktop Windows '95, als de servers Windows NT 4. Alleen: daar bleef de kwalijke rol van Microsoft niet bij.

We hadden ook nog wat AIX / Unix, maar dat bleef buiten schot en dat heeft altijd goed gedraaid. Zo slecht was dat management dus ook weer niet.

Het was een kwestie van een kleine non-profit organisatie die op weg was zich te ontwikkelen naar een commerciele organisatie. Er was weinig geld, vanwege de strakke budgetten en externe controle.

Het was heel moeilijk om tot een platform met een brede ondersteuning van alle applicaties te komen. We hadden heel veel verschilende pakket software met verschillend versies van achterliggende databases. Je kon deze databases aansturen in een klassieke client - server constructie, maar dan liep je tegen incompatibiliteiten tussen de verschillende drivers aan, de beruchte MDAC waarvan je er maar een op elk platform kon hebben. Hier hielp het Microsoft platform dus ook al niet.

Na heel veel moeite waren we er in 1999 in geslaagd op tot een software standaard te komen op basis van Windows '95. We kregen elke week tussen de 20 en 30 nieuwe PC's, met de courante OS versie, binnen voor vervanging en nieuwe werkplekken.
We rustten deze machines natuurlijk uit met onze eigen software standaard op Windows '95, anders werd het een rommeltje en een helemaal onbeheersbare bende.

Ten gevolge van die bewuste Nimda melt down, zie hierboven, bleek het nieuwe anti virus het bestaande machine park te machtig: er moesten op grote schaal nieuwe machines komen. Aldus besloot de raad van bestuur.

Wij namen toen het besluitom over te stappen op Windows XP, service pack 0. Dat mocht van Microsoft, we moesten alleen even inventariseren, ze waren daarbij bijzonder geinsteresseerd in de versie van het met de PC meegeleverde OS en het daadwerkelijk werkende OS.

Wat bleek? We kregen een brief met een felicitatie voor de keuze voor Windows XP, maar....
We hadden alle machines Windows '98, Windows '98 SE, Windows ME, Windows NT Workstation, Windows 2000 en Windows XP uitgerust met Windows '95 en dat was tegen de licentie voorwaarden. We kregen ondanks onze bescheiden middelen het dringende verzoek om een boete van HFL 380.000,; terstond te voldoen.

Ze hebben betaald en daardoor weer minder aan beheer kunnen doen. Geef nu het management nog maar eens een keer de schuld.

1 / 3

edjez op Maandag 1 Februari 2010 19:03

Geef nu het management nog maar eens een keer de schuld.
Als het management bewust licenties inzet op een manier die niet toegestaan is en de rekening gepresenteerd krijgt, is het haar eigen schuld, ja. En dan doet het er niet toe of het een groot commerciëel bedrijf of een charitatieve instelling is.

-2 / 2

linus4ever op Dinsdag 2 Februari 2010 09:56

Als het management bewust licenties inzet op een manier die niet toegestaan is

Niemand was zich hiervan bewust, het stond in de kleine lettertjes.

Voor mij zou die factuur van hfl 380.000,- aanleiding zijn geweest om Microsoft er voor eens en voor altijd uit te gooien, maar helaas ik had het daar niet voor het zeggen.
Ik zou dus ook hebben betaald, na inwinning van juridisch advies, maar ook zou ik Microsoft hebben uitgenodigd. Ik zou duidelijk hebbn gemaakt dat wij dank zij hun platform een miljoenen schade hadden geleden en deze vorm van verrrijking tegen die achtergrond ongepast te vinden. Deze combinatie van schrokkerigheid en kwaliteitsgebrek is de aanleiding voor het verbreken van de relatie, Pats!

0 / 0

zwart-wit op Zondag 31 Januari 2010 22:03

Er is teveel ongecontroleerd mogelijk met het Windows platform. De gebruiker kan zijn platform niet vertrouwen, omdat hij niet weet wat er buiten zijn directe waarneming met zijn gegevens gebeurt.

Weet een 'normale' doorsnee gebruiker van Linux of ieder ander OS dat wel dan? Een doorsnee automobilist heeft ook geen flauwe notie van wat er onder de motorkap gebeurt. Belangrijkste voor hem of haar is dat men zo vlekkeloos mogelijk van punt A naar punt B kan rijden. Mocht men de motorkap openmaken, dan is de kans, dat men als een aap in een roestig horloge kijkt, meer dan levensgroot aanwezig.

Vanuit de rest van je verhaal kan ik alleen maar opmaken dat jullie bedrijf toen te kampen had met een hoofd automatisering die noch van de hoed, noch van de rand wist. Die persoon hadden ze direct moeten ontslaan

1 / 3

anonymous_118315 op Maandag 1 Februari 2010 08:23

Vanuit de rest van je verhaal kan ik alleen maar opmaken...Uit zo weinig info kan jij zoveel opmaken? Ik zou me opgeven Jurie Geller (Of hoe die gast maar mag heten).

1 / 1

hermanb op Zaterdag 30 Januari 2010 14:19

Mac OS X 10.5 gekraakt
ov kaart gekraakt
pasport gekraakt
Beveiligings-certificaten websites gekraakt
De nieuwe chipkaart die de pinpas moet opvolgen, is al gekraakt.
Mijn rolluik van de winkel gekraakt :D (kosten 3000 euro)

Pff bijna tijd, gaat maar zo genieten van mijn weekend en het mooie winterweer ;)