Gepubliceerd: Zaterdag 31 juli 2010
Microsoft zal aanstaande maandag een ‘out of band’ patch uitbrengen voor het gat in .lnk-bestandsformaat voor snelkoppelingen in Windows. Het aantal infecties groeit snel, constateert Redmond.
Toon volledig artikel
Het was wel leuk om met deze shotcut-lek te spelen en zo intern maar weer eens aan te tonen dat beveiliging een 24 uurs proces is en dat de blackhats niet stil zitten.
Zolang de blackhats gevonden gaten rapporteren en niet op blogs en dergelijke vrijgeven is er geen vuiltje aan de lucht. Laat ze maar lekker stoeien.
Nadeel van de beveiligingsbranche is dat het altijd achter de feiten aanloopt. Dit geldt ook voor de in software geconstateerde gaten.
Je moet eerst iets gevonden hebben om het te kunnen repararen en tot de tijd dat een reparatie heeft plaatsgevonden te pareren dmv een beveiligingspatch.
Heb je mazzel, is de creator van de software sneller met het dichten of heeft de beveiligingsbranche een patch. Heb je pech wordt het lek uitgebuit.
Uiteraard geldt dit voor alle OS'en en natuurlijk ook de daarop draaiende software.
Het belangrijkste blijft het up-to-date houden van je systeem en de daarop draaiende software. Een moment van onachtzaamheid, of een stommiteit met klikken, en je bent in de aap gelogeerd.
Zolang de blackhats gevonden gaten rapporteren en niet op blogs en dergelijke vrijgeven is er geen vuiltje aan de lucht. Laat ze maar lekker stoeien.
Blackhats rapporteren de gaten per definitie niet maar maken er alleen misbruik van. Dat is zo ongeveer de slechts mogelijke oplossing voor de eindgebruikers.
Zolang de blackhats gevonden gaten rapporteren
Ik neem maar aan dat je eigenlijk whitehats bedoelde. De term White- en Blackhat komt volgens mij voort uit de oude stereotypering in western films, waarbij de bad guys altijd een zwarte cowboyhoed droegen en de good guys een witte hoed.
Een blackhat hacker zal dus over het algemeen geen gaten melden. Tenzij je verkopen via Metasploit een vorm van melden wil noemen.
aan te tonen dat beveiliging een 24 uurs proces is
Precies. Ik vind het filmpje ook erg goed. Ik ben niet zo van demo's, zeker niet die van Microsoft in gezwollen marketing taal, maar deze is sprekend.
Half juni meldde het Wit-Russische securitybedrijf VirusBlokAda een kwetsbaarheid in de snelkoppelingsbestanden, de klikbare iconen, vaak op het bureaublad of in het Start-menu, die verwijzen naar andere programma's of bestanden. Alle Windows-versies zijn kwetsbaar. Het OS kan worden geïnfecteerd door met behulp van een kwaadaardige snelkoppeling.
Dat bewijst toch ook wel weer wat. Kennelijk gebruiken al die Windows versies, desktops en servers, ongeacht de recalmeverhalen over "nieuw" en "beter" precies dezelfde code base. De gebruikers tellen dus veel geld neer voor een product waarin enkel wat cosmetische wijzigingen zijn aagebracht.
Toch wel droevig dat Windows 7 eigenlijk behoorlijk hetzelfde is als Windows XP of Windows NT Workstation.
Hoezo helemaal nieuw? Dat hebben ze bij Vista namelijk wel degelijk gezegd. Of is het zo dat alleen Vista nieuw was en nu Windows 7 weer oud. Ik snap er onderhand helemaal niets meer van en die jongens in Redmond volgens mij ook niet.
Dat hebben ze bij Vista namelijk wel degelijk gezegd.
Ik ben trots op je. Je hebt het onthouden. :)
Maar helaas, ook Vista was niet helemaal nieuw. Een os is te groot en te complex om telkens weer helemaal opnieuw te beginnen. Ze hebben de slechtste delen opnieuw ontworpen, maar niet alles.
De link-icon handler stond duidelijk niet op de redesign rol bij Vista. En zo te horen heeft het dat ook eigenlijk nooit gestaan. Maar ik moet dan ook bekennen dat dit de eerste keer is, in mijn herinnering in elk geval, dat het kwetsbaar is.
Jouw probleem is, dat als ergens het woord nieuw op prijkt, dat je de foute aanname doet dat alles nieuw is. Ik heb dan misschien nieuws voor je... Dat is maar zelden zo. Als reclame beweert dat iets nieuw is, dan is het net zo vaak hetzelfde product in een nieuw jasje met hooguit minimale aanpassingen.
Waarom zou een os daarin anders moeten zijn?
Maar helaas, ook Vista was niet helemaal nieuw.
Ho, ho, Steve himself heeft zelf lopen brullen dat dat nare moddervette Vista echt van de grond af aan heeeeeeelemaal nieuw was.
Ik moet je gelijk geven: Steve heeft een beetje gejokt.
Ze hebben de slechtste delen opnieuw ontworpen, maar niet alles.
Ja dat is zeker, daarom hebben we de laatste vier jaar geen hyper kritische beveiligings problemen gehad en al tien jaar niet een zero day meer....
Ze hebben misschien het slechtste, volgens hun dan, verbeterd of eruit gehaald, maar volgens mij de rottigheid laten zitten.
Een ding staat als een paal boven water:
Het onderliggende ontwerp deugt niet, ander krijg je niet zo voorspelbaar als met de regelmaat van de klok allemaal grote problemen van hetzelfde karakter.
Nu weer dat shortcut lek:
Hoe kan het in een goed ontworpen OS dat het een of andere GUI tierelantijntje is staat blijkt het hele OS te compromiteren?
Het antwoord is simpel:
Die code is geen nette verzameling van goed gescheiden en netjes geprogrammeerde functies met duidelijke interfaces en specificaties, maar ook onder water een brei van allemaal shortcuts in een ondoordringbaare brei van spaghetti en verweven code.
Voorbeeld:
IE. Dat is volgens Microsoft "geintegreerd" en niet te onderscheiden van het OS of daarvan los te zien, terwijl ze die verwevenheid zelf moedwillig hebben aangebracht om Netscape uit de markt te drukken.
Microsoft betaalt ook langs deze weg voor haar misdaden, waarvoor ze overigens al zijn veroordeeld.
Wee Microsoft!
Ik heb er naar gezocht, maar ik heb geen enkel nieuwsfeit kunnen vinden waaruit blijkt dat Microsoft / Gates / Ballmer beweert dat Vista volledig vanaf de grond opnieuw is opgebouwd.
Ik vind nieuws over de userinterface, over het veiligheidsmodel, maar niets over een volledig nieuw geschreven os.
Weet jij wel heel zeker wat je je herinnert? Is dit niet meer een kwestie van het je herinneren zoals je je het liefst wil herinneren?
Ik ben wel benieuwd naar het interview of de presentatie waar Ballmer het volgens jouw heeft lopen brullen.
Microsoft kondigde in 2000 / 2001 level6 software assurance aan (vergeef me als ik dat niet helemaal correct weergeef).
Je moest dat vooral doen, omdat je dan op de meest eenvoudige manier altijd kon beschikken over de beste en de nieuwste software, zoals Longhorn dat in die tijd met veel bombarie werd aangekondigd. Binnen drie jaar een volledig nieuw OS, dus het was de goedkoopste optie om daar in te trappen.
Ja hoor, Longhorn zou het worden een innovatief OS en daar zou echt van alles in zitten. Zoals een volledig "nieuw" file system.
Het werden geen drie, geen vier, geen vijf, maar zes jaren. De mensen die de software assurance hadden gekocht keken inmiddels en beetje zuur, nu werd de software toch nog duur!
In de tussentijd kwamen geregeld berichten naar buiten over innovatieve zaken die het niet gingen halen. Hoe langer het duurde hoe meer innovatieve features het leven lieten en hoe duidelijker het werd dat Lonhorn inmiddels Vista helemaal niets nieuws zou opleveren. Het nieuwe file system was het laatste kind dat werd geofferd.
Uiteindelijk kwam Microsoft met het moddervette onmogelijke Vista op de proppen.
Ik heb er naar gezocht, maar ik heb geen enkel nieuwsfeit kunnen vinden waaruit blijkt dat Microsoft / Gates / Ballmer beweert dat Vista volledig vanaf de grond opnieuw is opgebouwd.
Tsja, wat moest Microsoft in deze situatie? Zes jaar ontwikkelen en dan niets nieuws, nog steeds onveilig, resource vretend en eigenlijk slechter dan Windows XP. Microsoft vindt het nu zelfs goed als je in het volgende Millennium nog een downgrade doet naar Windows XP.
De marketiers hadden maar een optie: Bluffen en maskeren.
Ze hebben gebluft dat ze vooral heel hard hadden gewerkt en alles beter hadden gemaakt, alle code goed hadden doorlopen en alles van de grond af aan opnieuw in elkaar hadden gezet.
Wat moesten ze dan maskeren?
De enige innovatie die het heeft gehaald was gericht tegen de klant: Het onzalige en verdoemde DRM.
Daar ging het in Vista, Longhorn al, om. Zelfs je eigen geschreven Word documenten zouden al onder DRM vallen. We kennen de verhalen van mensen die hun vacantie filmpjes vanwege DRM niet fatsoenlijk konden afspelen.
Vista ia volkomen terecht is geflopt, daar zijn vriend en vijand het over eens. Innovatie?!? Dan moet je naar de buren!
Niets maar dan ook helemaal niets nieuws van enig belang zat er in, alleen wat cosmetische trucs en een GUI die overhoop was gehaald om het tenminste nog een beetje "nieuw" te laten lijken.
Nu dan windows 7.
Daar is wat Vista ellende uitgesloopt en de markt moet dit nu maar opgedrongen gaan vreten.
De mensen gaan niet makkelijk over, daarvoor zijn de kosten te hoog en de voordelen te gering. Natuurlijk laten de cijfers zien dat er flink wat Windows 7 installaties zijn. Toch zie ik in de trein steeds vaker mensen met een Mac Book of een Mac Pro, gaan de hondstrouwe Microsoft mensen om mij heen stilletjes over op een Mac of Linux en is Linux hot in het bedrijfsleven op de server en in toenemende mate op de desktop.
Vraag die mensen of het relevant is dat Microsoft al dan niete heeft geroepen dat Vista helemaal nieuw was?
Ze hebben al niet eens meer geluisterd.
Microsoft kondigde in 2000 / 2001 level6 software assurance aan
Dat was inderdaad een stomme zet, bezien in het licht van het vertraging daarna. Maar ik zie nergens bewijs van het brullen van Ballmer dat Vista helemaal nieuw zou zijn.
alle code goed hadden doorlopen en alles van de grond af aan opnieuw in elkaar hadden gezet.
In feite spreek je jezelf zelfs tegen. Als je iets vanaf de bodem opnieuw opbouwt hoef je je code niet meer goed te doorlopen. In feite geef je dus zelf ook aan dat ze het niet helemaal opnieuw hebben gedaan.
Vraag die mensen of het relevant is
Jij bent vooral degene die het relevant lijkt te vinden, want jij bent degene die het telkens weer aanhaalt.
Helemaal nieuw zou suggereren dat alle voorgaande software weggesmeten is en alles van de grond opnieuw is opgebouwd.
Da kan je dus wel vegeten. De software bestaat uit een groot aantal main-routines, die allerhande kleinere subroutines aanroepen. Die laatsten zijn soms al tientallen jaren in gebruik.
Als er staat dat het helemala opnieuw is opgebouwd, dan zal dat hoogstens betekenen dat de mainroutines zijn aangepast, maar dat de subroutines gewoon gebruikt blijven worden en juist in die subroutines zit vaak het probleem. Die zijn nog afkomstig uit het tijdperk dat virussen en internet nog niet aan de orde waren.
Daarnaast zijn er grote aantallen subroutines die nauwelijks kwaad lijken te kunnen. Ik kan me heel goed voorstellen dat iemand bij de subroutine die een icoon op het scherm moet zetten, niet gaat denken of dit mogelijk misbruikt zou kunnen worden.
tja ik kan helemaal niets toevoegen in 2 regels, jij hebt daar lange proza's voor nodig.
Maare even in mijn omgeving rondgekeken.
niemand, niemand oow en ik vergeet er 1 niemand kijkt naar linux.
Kies je voor linux, dan kies je voor weer andere problemen. Er lijken minder security-issues te zijn, maar dat zou best kunne veranderen als d e wereld massaal overstapt op linux en dat een aantrekkelijker doelwit wordt.
Daarnaast stap je ook niet zo maar over. Als particulier kan dat nog wel, maar als bedrijf zadel je je met een hoop werk op.
Er is een linux-wereld en een windows-wereld en de enige manier hoe die twee bij elkaar zullen komen is door een botsing; de laatste planetaire botsing heeft ons de maan gegeven, dus wie weet wat die OS-botsing ons op gaat leveren :-)
Er is een linux-wereld en een windows-wereld en de enige manier hoe die twee bij elkaar zullen komen is door een botsing; de laatste planetaire botsing heeft ons de maan gegeven, dus wie weet wat die OS-botsing ons op gaat leveren :-)
Het grootste gedeelte van de bedrijven gebruikt al meerdere apparaten die op een of andere manier met linux werken. Dit kan gaan om webservers maar ook om toepassingen als routers, route planners, nas opslag of telefoons.
Als dit dus waar is dan waren er al lang spectaculaire dingen gebeurt.
Ik bedoel hoofdzakelijk de beheerders van beide platformen. Als ik de reacties van beide kampen hier lees, kunnen ze elkaar maar beter niet aan de koffietafel tegenkomen.
De software zelf zal het niet uitmaken.
Ik moet toch wel lachen om die plus/min teller. Die klopt niet.
Als er zes mensen klikken waarvan 3 op duimpje omhoog en 3 op duimpje omlaag dan zou hij gewoon op 3/6 moeten staan. Maar hij staat op 0/6. In het eerste geval kun je zo zien hoeveel plusje je hebt gehad en hoeveel minnetjes. In het tweede geval moet je gaan rekenen. Bijv een 4/6 betekent dat er 5 plusjes waren en een minnetje. Hij zou gewoon op 5/6 moeten staan.
Wat een bullshit telmechanisme zeg.
Webwereld pas dat aub aan !!!!
Om te kunnen reageren, dient u ingelogd te zijn.
2 jaar geleden: 13 februari 2010
3 jaar geleden: 13 februari 2009
4 jaar geleden: 13 februari 2008
5 jaar geleden: 13 februari 2007
14 jaar geleden: 13 februari 1998
IDG Nederland is uitgever van: AppFish
, CIO, Computer!Totaal, Computerworld, ITworld, Jobworld, MacWorld, RAW fotomagazine, TechFish, Tips & Trucs, Webwereld en Zoom.nlMeer informatie: IDG Nederland, IDG.com, Privacy-statement, Cookie-statement Hosting by Terremark.
