– Windows XP er en mye større sikkerhetsrisiko enn Heartbleed

[AfterGlow]

Klar tale fra flere sikkerhetseksperter.

– Windows XP er en mye større sikkerhetsrisiko enn Heartbleed

[Simen1]

Sikker på at ikke trusselen er litt overdrevet?

XP har tross alt 13 år med sikkerhetsoppdateringer bak seg.

 

Dinside: Klarte ikke å knekke XP - 179 hackere prøvde i 13 timer

Sikkerhetspakken er riktignok på kinesisk, men er gratis å laste ned herfra.

Endret 24. april 2014 av Simen1

[covah]

Windows XP deler en god del kode med Vista/7/8.

Når da Vista/7/8 får oppdateringer, og XP ikke, vil det være mulig å finne ut om oppdateringene løser feil/hull som også XP har, og så utnytte disse.

[Kybber]

Problemet er at så snart et sikkerhetshull blir identifisert i Win 7 eller 8, noe som bare er et tidsspørsmål, vil det sendes ut en oppdatering fra Microsoft for å tette hullet. Med utgangspunkt i informasjon om hullet og sikkerhetsoppdateringen, vil man forholdsvis enkelt kunne sjekke om XP er utsatt for det samme hullet, og deretter utnytte det. Dette hullet vil forbli åpent for XP-maskiner.

 

Edit: Må visst taste kjappere

Endret 24. april 2014 av Kybber

[Simen1]

Med tanke på den store markedsandelen til XP, særlig i Kina, vil det vel være et stort marked for 3.parts leverandører som Qihoo 360 å blokkere angrep (eller tette hullene hvis mulig) ?

[Kybber]

Ja, det er helt klart et marked. Men hvor mange XP-brukere kommer faktisk til å benytte seg av slike tredjeparts løsninger? Ikke min svigermor ihvertfall, som er grunnen til at jeg kommer til å installere Win 7/8 på hennes gamle laptop neste gang vi treffes

[sinnaelgen]

hvordan har disse sikkerhets ekspertene , Microsoft o.s.v tenkt å løse floken får de som er totalt avhengig xp for å få produksjonsanlegget til å fungere når de blir tvunget til bytte ut alt som de ikke har økonomi til) ?

[Simen1]

Hvordan er det Microsofts eller sikkerhetseksperters ansvar å holde orden i økonomien i andre bedrifter?

Den såkalte "tvangen" er ikke noe annet enn selvskapt avhengighet, noe man må ta ansvar for selv.

 

Forøvrig tilbyr Microsoft en betaltjeneste for å sikre XP i flere år fremover også, for de mest nødne.

[sinnaelgen]

Hvordan er det Microsofts eller sikkerhetseksperters ansvar å holde orden i økonomien i andre bedrifter?

Den såkalte "tvangen" er ikke noe annet enn selvskapt avhengighet, noe man må ta ansvar for selv.

 

Forøvrig tilbyr Microsoft en betaltjeneste for å sikre XP i flere år fremover også, for de mest nødne.

 

Du tar alt for let på det , så lett at jeg mistenker deg for ikke å forstå de virkelige problemet.

 

jeg er heller ikke så sikker på det er helt selvforskyldt

[efikkan]

Jeg har hele tiden sagt at vi har langt mer alvorlige sikkerhetstrusler for vanlige folk enn Heartbleed. Ja "Heartbleed" er alvorlig, men det skal adresseres av systemadministratorer og er ikke noe alle andre trenger gjøre noe med med mindre de får beskjed fra tjenesteleverandørene. Folk flest har svært sårbare routere, operativasystem, JRE, flash og nettlesere, dette er trusler som er reelle i dag.

[Omnithunder]

 

Hvordan er det Microsofts eller sikkerhetseksperters ansvar å holde orden i økonomien i andre bedrifter?

Den såkalte "tvangen" er ikke noe annet enn selvskapt avhengighet, noe man må ta ansvar for selv.

 

Forøvrig tilbyr Microsoft en betaltjeneste for å sikre XP i flere år fremover også, for de mest nødne.

 

Du tar alt for let på det , så lett at jeg mistenker deg for ikke å forstå de virkelige problemet.

 

jeg er heller ikke så sikker på det er helt selvforskyldt

 

Jeg ser heller ikke problemet. Kan du opplyse oss? MS har varslet opphør av støtten i lang tid, samt lansert 3 OS + serverutgaver etter XP.

[sinnaelgen]

Det skal finnes bedrifter som har gammelt og fungerende utstyr

Disse bedriften har råd til reparerer utstyret .

De har også råd til nye bilige pcer .

 

De har derimot ikke råd til bytte produksjonsutstyret til nyere utgaver

 

Problemet vil være stort når nye pcer og os ikke gir støtte til produksjonsutstyret

 

Det kan være at de så vidt hadde råd til brukt utstyr en gang i tiden

 

og da ender det med at de stenger fordi Xp ikke er trygg lenger

 

hva skjer med alle minibankene som bruker Xp ?

[Simen1]

De har derimot ikke råd til bytte produksjonsutstyret til nyere utgaver

 

Problemet vil være stort når nye pcer og os ikke gir støtte til produksjonsutstyret

Det er produksjonsutstyret som må støtte OS-et ikke omvendt. De må henvende seg til utstyrsprodusenten og få de til å lage nye drivere. Eventuelt leie inn folk selv eller i spleiselag med andre eiere av utstyret dersom produsenten er konkurs eller motsetter seg. Og ikke minst, ta lærdom av hvilke fremtidsproblemer utstyrsprodusenter med lukkede drivere genererer. Velger de utstyr med åpne driver neste gang så er det mye enklere å få tilpasset utstyret til nye OS, også dersom utstyrsprodusenten har gått konkurs.

 

og da ender det med at de stenger fordi Xp ikke er trygg lenger

XP er trygg, men man må nå betale for videre sikkerhetsoppdateringer. Eller ty til 3.parts sikkerhetsselskaper som Qihoo 360.

 

hva skjer med alle minibankene som bruker Xp ?

Minibanker bruker ikke XP. De bruker XP embedded. Det er en vesentlig forskjell. Videre er disse koblet opp i et lukket nett og det finnes ikke fysisk adgang til å klusse med OS-et slik man kan med en tilfeldig PC. Du kan for eksempel ikke trykke ctrl-alt-delete og lukke eller starte prosesser på måfå. Du kan heller ikke reboote eller dytte inn en bootbar minnepinne eller kjøre noe som helst.

[sinnaelgen]

 

Det er produksjonsutstyret som må støtte OS-et ikke omvendt. De må henvende seg til utstyrsprodusenten og få de til å lage nye drivere. Eventuelt leie inn folk selv eller i spleiselag med andre eiere av utstyret dersom produsenten er konkurs eller motsetter seg. Og ikke minst, ta lærdom av hvilke fremtidsproblemer utstyrsprodusenter med lukkede drivere genererer. Velger de utstyr med åpne driver neste gang så er det mye enklere å få tilpasset utstyret til nye OS, også dersom utstyrsprodusenten har gått konkurs.

 

Hvis det er gammel utstyr så vil selvfølgelig produsenten ikke lage nye drivere til det

og da må bedriften bruke en del millioner for kjøpe nytt utstyr , hvis de har råd

 

Poenget mit var at de ikke har råd til det .

 

XP er trygg, men man må nå betale for videre sikkerhetsoppdateringer. Eller ty til 3.parts sikkerhetsselskaper som Qihoo 360.

 

 

det ble jo nettop ( for neon dager siden ) hevdet at Xp var en sikkerhets risiko

 

 

 

 

Minibanker bruker ikke XP. De bruker XP embedded. Det er en vesentlig forskjell. Videre er disse koblet opp i et lukket nett og det finnes ikke fysisk adgang til å klusse med OS-et slik man kan med en tilfeldig PC. Du kan for eksempel ikke trykke ctrl-alt-delete og lukke eller starte prosesser på måfå. Du kan heller ikke reboote eller dytte inn en bootbar minnepinne eller kjøre noe som helst.

 

Det med XP-embeddet skjønte jeg ikke helt.

( det er jo windows Xp)

at det kjøre i et lukket system forstår jeg

[efikkan]

 

hva skjer med alle minibankene som bruker Xp ?

Minibanker bruker ikke XP. De bruker XP embedded. Det er en vesentlig forskjell. Videre er disse koblet opp i et lukket nett og det finnes ikke fysisk adgang til å klusse med OS-et slik man kan med en tilfeldig PC. Du kan for eksempel ikke trykke ctrl-alt-delete og lukke eller starte prosesser på måfå. Du kan heller ikke reboote eller dytte inn en bootbar minnepinne eller kjøre noe som helst.

 

Slike maskiner er som regel dårlig oppdatert, og det eneste som ofte skiller de fra innbrudd er fysisk tilgang. Det har vært en rekke eksempler hvor folk med kjennskap til spesifikke minibanker har utnyttet fysisk tilkobling for å bryte seg inn, f.eks. lage et hull og få tilgang til en USB-port.

http://www.bbc.com/news/technology-25550512

Et fysisk adskilt nettverk er ikke nok til å sikre et system. Det trengs flere sikkerhetsbarrierer, og dette er ofte en dårlig barriere. Det har vært mange skandaler tilknyttet til f.eks. scada-systemer på slike nettverk. Alt som skal til er en person med en minnepinne eller noen som bryter seg inn i et VPN. Det samme gjelder "sikre" forsvarssystemer.

 

Edit:

Brukte scada-systemer, minibanker osv. kan skaffes på bruktmarkedet. I tillegg har du en rekke folk som jobber med service på slike systemer. Et hvert system som kan bli kompromittert av at noen kjenner systemet er per definisjon ikke sikkert.

Endret 25. april 2014 av efikkan

[Omnithunder]

XP er en voksende sikkerhetsrisiko for hver dag som passerer. Dette kan man betale seg ut av, enten direkte via MS eller via tredjeparts sikkerhetsselskaper.

 

XP Embedded er i bunn og grunn et spesialtilpasset operativsystem som bygges av komponenter fra Windows XP. Ved utelatelse av komponenter, som Windows Explorer og standard shell, forbedrer en sikkerheten dramatisk. Maskinen vil mer eller mindre oppleves som en hardware enhet, og mindre som en PC.

 

Fysisk tilgang, som efikkan beskriver, vil alltid gi muligheter (uansett OS / system). Fysisk sperre / alarm er derfor veldig aktuelt ved slike systemer.

[efikkan]

Det er mulig å sikre fysisk tilgang, f.eks. kun tillate innlogging via terminal med nøkkel. Problemet med typisk embedded-systemer er at de gjerne har ingen beskyttelse eller har et dårlig standardpassord, de er designet for enkel service.

[Omnithunder]

Det er mulig å sikre fysisk tilgang, f.eks. kun tillate innlogging via terminal med nøkkel. Problemet med typisk embedded-systemer er at de gjerne har ingen beskyttelse eller har et dårlig standardpassord, de er designet for enkel service.

Jeg er ikke uenig med deg i prinsippet, men det vil alltid finnes svake ledd (utro medarbeidere etc). Det er ikke det samme som at dagens minibanker er usikre.

[007CD]

Vell Target sine Embedded XP kassapparat var på ett separat nettverk, og ingen tuklet med dem i kassa.

Riktignok fikk de innbrudd via ett hopp i ett annet system, styrings programmet for air condition anlegget som var drevet av ett 3 parts firma.

[Omnithunder]

Vell Target sine Embedded XP kassapparat var på ett separat nettverk, og ingen tuklet med dem i kassa.

Riktignok fikk de innbrudd via ett hopp i ett annet system, styrings programmet for air condition anlegget som var drevet av ett 3 parts firma.

Og dette skal bevise?