Hull i Microsofts webserver

[abene]

Det er oppdaget et sikkerhetshull i IIS 6 som kan gi angripere tilgang til beskyttede filer.

 

Les mer

[War]

Rart ingen har sett dette før.

[adder1972]

@War - Artig!

 

Hvorfor sliter Microsoft på dette området også? Jeg skjønner ikke hvorfor det stadig dukker opp nye sikkerhetshull. Er ikke programvaren testet skikkelig ut før den lanseres, eller er det at kompleksiteten har blitt så høy at det er uendelig mange mulige feilmodi?

 

Det står i den sedvanlig svært korte snutten (HW kaller det "artikkel") at feilen gir inntrengere tilgang til delte filer. Det virker som en stor svakhet særlig i våre dager hvor svært mye informasjon er sensitivt på en eller annen måte. Er det noen her i forumet som bruker denne typen maskinvare/software som kan foklare litt hvordan problemet evt påvirker dem?

[Zerge]

Vi som følger litt med har visst om dette hullet siden det ble offentliggjort.

Det er litt merkelig at det tar nettaviser flere dager før de kommenterer slikt..

 

Et eksempel på hvordan du kan utnytte hullet med forklaring kan du se her: http://www.milw0rm.com/exploits/8704

[adder1972]

Takk for interessant link.

 

Enig at det tar for lang tid å få ting publisert på HW.no. Det må liksom innom de aller største web-avisene før det blir oversatt her.

[Arve Systad]

@War - Artig!

 

Hvorfor sliter Microsoft på dette området også? Jeg skjønner ikke hvorfor det stadig dukker opp nye sikkerhetshull. Er ikke programvaren testet skikkelig ut før den lanseres, eller er det at kompleksiteten har blitt så høy at det er uendelig mange mulige feilmodi?

 

Trur nok det er fordi programvaren er så stor og kompleks at å teste 100% av alt som kan skje med den i bruk truleg ville tatt mange år og enorme ressursar. Det er vel det som er grunnen til at det meste av programvare med ein viss storleik blir kontinuerlig oppdatert, og alle gjer det - ikkje berre MS.

[del_diablo]

Hvorfor sliter Microsoft på dette området også? Jeg skjønner ikke hvorfor det stadig dukker opp nye sikkerhetshull. Er ikke programvaren testet skikkelig ut før den lanseres, eller er det at kompleksiteten har blitt så høy at det er uendelig mange mulige feilmodi?

 

Du vil aldri finne alle sammen, og siden koden er lukket vil hullene være direkte kritiske mens de oppdages. Hadde koden vært åpen derimot ville mange hull blitt tettet før folk begynte å utnytte dem.

[adder1972]

Enig det. Tror feilmodiene nesten er uendelige. Det finnes jo noen standarder for produksjon og testing av kode, men med en gang man møter den virkelige verden, dukker det vel alltid opp noe.

 

Tror derfor det er avgjørende at både produsent, leverandør og bruker har en godt system for å teste, detektere, varsle og korrigere feil. Som med alt sikkerhetsarbeid er det en evighetsjobb. Jeg syntes imidlertid det ofte virker som Microsoft bagatelliserer mange avv feilene. Det kan kanskje skyldes at det er PR og markedsavdelingen som tar seg av slike ting, mens ingeniørene jobber skjorta av seg i bakgrunnen ...

[Nordmoen]

Security through obscurity vs. Linus's Law

[adder1972]

Security through obscurity vs. Linus's Law

 

Tror nok du er inne på et kjernepunkt der ja.

[DarkSlayer]

Security through obscurity vs. Linus's Law

Kan du da forklare hvorfor FF har tonnevis av hull i seg? Det er jo bare til å google opp de som deltok på pwn2own.

 

http://blogs.zdnet.com/security/?p=2941

"Firefox on Mac is pretty easy too. The underlying OS doesn’t have anti-exploit stuff built into it."

 

Det blir ikke bedre kvalitet bare fordi det er open source.

At utenforstående kan gå inn og fikse ting har sine positive sider. Dette ser man på populære programmer som ikke er for komplekse. Når kompleksitet øker, eller popularitet synker, så begynner feilene å komme på løpende bånd. Tror det er få personer som kan gå inn og finne, og patche feil i FF, eller som gidder det.

[del_diablo]

Kan du da forklare hvorfor FF har tonnevis av hull i seg? Det er jo bare til å google opp de som deltok på pwn2own.

 

2 bokstaber: IE

Denne lukkede netlesern er kjent som det største hullet i windows. Hvorfor har de ikke fikset det?

Og ikke glem at Firefox blir konstant fikset, feilene blir funnet. Du kan ikke si det samme om IE derimot, der kilden er lukket.

Alt som er større en "hello world" er det bugs i, og det vil altid være en liten feil her og der. Når kodeb er åpen kan feilene bli funnet uten å bryte deg igjennom sikkerhetshull. Du kan finne leaks i koden, og sende in patcher. Med lukket kode må du håpe på at det blir fikset, så feil kan bli liggende LENGE før de blir fikset.

[wiberos]

Fikse og fikset!

 

Du skriver IE generelt, og er det alt?

 

Studies når det gjelder IE8 viser at browser er sikrere hele 69 % imot threats som de fleste her på forumet, inkludert deg, er mest utsatt for, enn Firefox, som får ikke mer enn 39 %. Dvs at IE8 er 30 % sikrere enn Firefox.

Endret 20. mai 2009 av wiberos

[Arve Systad]

Kan du da forklare hvorfor FF har tonnevis av hull i seg? Det er jo bare til å google opp de som deltok på pwn2own.

 

2 bokstaber: IE

Denne lukkede netlesern er kjent som det største hullet i windows. Hvorfor har de ikke fikset det?

Og ikke glem at Firefox blir konstant fikset, feilene blir funnet. Du kan ikke si det samme om IE derimot, der kilden er lukket.

Alt som er større en "hello world" er det bugs i, og det vil altid være en liten feil her og der. Når kodeb er åpen kan feilene bli funnet uten å bryte deg igjennom sikkerhetshull. Du kan finne leaks i koden, og sende in patcher. Med lukket kode må du håpe på at det blir fikset, så feil kan bli liggende LENGE før de blir fikset.

 

IE har vel strengt tatt ingenting med Firefox sin sikkerhet å gjere.

[del_diablo]

Studies når det gjelder IE8 viser at browser er sikrere hele 69 % imot threats som de fleste her på forumet, inkludert deg, er mest utsatt for, enn Firefox, som får ikke mer enn 39 %. Dvs at IE8 er 30 % sikrere enn Firefox.

 

Kjører IE fortsatt Active X? Da er allerede argumenter lagt død og begravd.

Og IE kan umulig være mer sikker en Firefox, 1 grunn:

*Folk kan faktisk finne feilene før de blir utnyttet på det groveste

 

Mens under IE får du bare håpe at feilene ikke blir funnet, og at MS patcher med en gang de blir funnet. Du kan ikke gjøre noe som helst med det selv bortsett fra å sende inn en halvgjærta bug-report. Og jeg vil gjerne vite hvordan det kalkuleres, siden IE også kjører Active X.

 

IE har vel strengt tatt ingenting med Firefox sin sikkerhet å gjere.

 

Firefox sin sikkerhet har egentlig ingenting med artikkelen å gjøre. Men den er fri i forskjell fra IE, som er lukket.

Linux servere er fri, mens MS servere er lukket. Saken er om sikkerhetshull i MS servere.

[Nordmoen]

Security through obscurity vs. Linus's Law

Kan du da forklare hvorfor FF har tonnevis av hull i seg? Det er jo bare til å google opp de som deltok på pwn2own.

 

http://blogs.zdnet.com/security/?p=2941

"Firefox on Mac is pretty easy too. The underlying OS doesn’t have anti-exploit stuff built into it."

 

Det blir ikke bedre kvalitet bare fordi det er open source.

At utenforstående kan gå inn og fikse ting har sine positive sider. Dette ser man på populære programmer som ikke er for komplekse. Når kompleksitet øker, eller popularitet synker, så begynner feilene å komme på løpende bånd. Tror det er få personer som kan gå inn og finne, og patche feil i FF, eller som gidder det.

1. Lover deg at det er flere som jobber med å finne feil med FF enn med f.eks IE.

2. Det at FF har tonnevis av hull er forsåvidt riktig, men det har alle de andre nettleserene også. Eneste forskjellen er at FF har en oversikt over hullene og om de er fikset eller ikke.

 

La oss si at det står to selgere(utviklere) ved siden av to biler(IE og FF). Den ene bilen(FF) mister et hjul, det første selgeren(FF utvikleren) gjør er å innrømme feilen og forteller hvordan de skal fikse det osv. Så mister den andre bilen(IE) et hjul, selgeren gjør ikke noe. Du synes det er litt rart og spør han om han har tenkt å gjøre noe med det, det første han da gjør er å benekte at det er en feil der. Du peker og sier at den har mistet et hjul, men han fortsetter å nekte. Du finner fram muttere og prøver å sette hjulet på plass, men han nekter deg. Du prøver å fortelle han hvordan han kan fikse problemet, men han snur seg bare og nekter for problemet.

 

Hvilken er da best? Den som innrømmer at den har et problem eller den som nekter for det?

 

Fikse og fikset!

 

Du skriver IE generelt, og er det alt?

 

Studies når det gjelder IE8 viser at browser er sikrere hele 69 % imot threats som de fleste her på forumet, inkludert deg, er mest utsatt for, enn Firefox, som får ikke mer enn 39 %. Dvs at IE8 er 30 % sikrere enn Firefox.

Gjerne en link

Endret 21. mai 2009 av Nordmoen