Firefox mest sårbar

[wobble]

Synes det var litt rart at denne undersøkelsen kom på hw. Iogmed at den ikke er Firefox vennlig eller så veldig nyttig.

Ja, jeg er enig i at denne undersøkelsen er fullstendig unyttig bortsett fra det at den setter fokus på viktigheten av å holde alle installerte programmer oppdatert.

 

En god sak kan ikke nevnes for ofte: Bruk Secunia PSI. Installér det i dag.

[Smif]

En annen ting som det står er tatt med er antallet rapporterte sikkerhetshull. Med den enorme professjonelle brukerbasen som FF har, synes jeg at det ikke er merkelig at mange sikkerhetshull blir rapportert. Det har nok mye å gjøre med at det er åpen programvare.

Nettopp. Hvis man vet hva er sikkerhetshull er bruker man FF! Tviler på at bestemor rapporterer så mye sikkerhetshull i IE. Og for meg er IE er sikkerhetshull i seg selv, så ingenting å rapportere. (uten at jeg bruker den da)

[Bolson]

Husk at denne artikkelen/undersøkelsen bygger på to sentral forutsetninger som gjør at undersøkelsens resultat bare stemmer i situasjoner der sentrale policier for oppdatering etc gjelder. Undersøkelsen spør heller ikke om sårbarheter er patchet eller ei.

 

Alle programmene på lista har fikset sårbarheten, men fordi sentrale driftspersonell via Microsoft verktøy ikke kan sikre seg at fikset versjon er installert hos den enkelte eller gjøre dette sentralt/automatisk kommer programmene på lista.

 

At MS sine egne programmer har svært alvorlige ikke fiksede sårbarheter er således irrelevant, i og med at den ikke eksisterende "fiksen" kan installeres automatisk i bedriftsnettverk.

 

Og for å dra en konklusjon. Undersøkelsen forteller ikke en tøddel om hva som reelt sett er de mest usikre programmene.

 

Edit: Viktig å huske på at Bit9 lever av å selge programmer som håndterer tilsvarende oppgaver som MS SMS & WSUS

Endret 16. desember 2008 av Bolson

[tom waits for alice]

Artikkelen forvirrer litt i norsk oversettelse, fordi den snakker om "mest sårbar" og hjemmebrukere. Når jeg leser PDF'en får jeg følgende inntrykk:

 

Dette dreier seg spesifikt om sikkerhetsrisikoer i bedrifter. Poenget er å identifisere programvare som det er en stor sjanse for at ansatte installerer på eget initiativ (fordi de er populære blant sluttbrukere), som ikke kan oppdateres sentralt, og som ikke vanligvis er klassifisert som sårbare av IT-avdelinger og dermed heller ikke er svartelistet av disse.

 

Det er rettet mot IT-ansvarlige dette. De trenger ikke få vite at IE er en sikkerhetsrisiko, det vet de alt, og de har sentrale rutiner for å holde styr på oppdateringer. Problemet er Flash og Quicktime-spillerne som de ansatte installerer på eget initiativ fordi de går inn på VG eller Aftenposten og får beskjed om at det trengs for å vise siden.

 

Edit: Og ja, det er egenreklame for Bit9, dette.

 

Geir

Endret 16. desember 2008 av tom waits for alice

[Professional]

Ehh hva **** her bytter jeg ut IE for firefox og så er eg like lang hvis ikke verre :S Jaja får teste opera då. *Bannes*

[Ståle]

Men, da er det vel ikke noe problem at ansatte installerer en 3. parts nettleser framfor IE. Siden den er sikrere.

[wobble]

Ehh hva **** her bytter jeg ut IE for firefox og så er eg like lang hvis ikke verre :S Jaja får teste opera då. *Bannes*

 

I så fall har du nok misforstått artikkelen og undersøkelsen ;-)

[tom waits for alice]

Men, da er det vel ikke noe problem at ansatte installerer en 3. parts nettleser framfor IE. Siden den er sikrere.

I en bedrift er det alltid et problem når folk installerer programvarepå eget initiativ. En helt annen sak er om bedriften standardiserer på for eksempel FF. Forutsatt at de kan ha sentrale rutiner på når programvaren skal oppdateres, så ikke folk sitter på forskjellige versjoner med ulike sårbarheter. FFs oppdateringsrutiner er relativt solide, men det gikk måneder fra de første brukerne gikk over fra FF 2 til 3 (gjerne i betaversjon) og til de siste ble auto-oppdatert. Det er ikke greit.

 

Geir

[Akvarius]

Ok, dette var jo faktisk ganske enkelt:

 

• Relies on the end user, rather than a central IT administrator, to manually patch or upgrade the software to eliminate the vulnerability, if such a patch exists.

• The application cannot be automatically and centrally updated via free Enterprise tools such as Microsoft SMS & WSUS.

 

Dvs, at så lenge brukere i ein bedrift bruker disse så vil dei ha ein sårbarhet, i og med at dei neppe blir passet på slik bedriften sin egen programportefølje blir.

[Smif]

Edit: Litt treig

 

Ehh hva **** her bytter jeg ut IE for firefox og så er eg like lang hvis ikke verre :S Jaja får teste opera då. *Bannes*

Anbefaler deg å lese innleggene over. Behold gjerne FF, eller prøv Opera. Hold deg unna IE

 

 

Men, da er det vel ikke noe problem at ansatte installerer en 3. parts nettleser framfor IE. Siden den er sikrere.

Synes denne "testen" blir litt tilfeldig. Hvor skal man sette streken? Hvilket programmer er det største sikkerhetsproblemet i en bedrift av de som ikke står på svartelisten, ok, hvem står på svartelisten da? Så ja, FF er lurere enn IE. Men kan altså vege mellom 100 feil som IT avdelingen er klar over, eller 5 feil man selv må leve med.

 

Og ja, IT avdelingen/sys-ansvarlig kan ikke tvinge oppdateringer på FF, men so? En skal være ganske flink for å unngå oppdateringene når du starter FF.

Endret 16. desember 2008 av Smif

[Kahuna]

Har noen sett en god måte å sammenlikne den sikkerhetsmessige kvaliteten på programmer? En kritisk feil som blir rettet før den blir utnyttet er mindre alvorlig en en feil som blir rettet først etter at noen har utnyttet den. Teller noen reelle infeksjoner som følge av konkrete feil på programmer?

[tom waits for alice]

Men kan altså vege mellom 100 feil som IT avdelingen er klar over, eller 5 feil man selv må leve med.

Et kjapt søk i NVD ga 69 rapporterte sårbarheter for IE i 2008, og 80 for FF...

 

Geir

[Simen1]

I tillegg skal ikke programmet kunne oppdateres sentralt via Microsoft SMS eller WSUS.

Microsofts oppdateringstjeneste oppdaterer kun Microsofts egen programvare. Det er ikke som i Linux der programmer fra alle leverandører kan oppdateres gjennom den samme tjenesten. Å gi Firefox "skylden" for denne ulempen synes jeg er fullstendig bakvendt. Kanskje Microsofts oppdateringstjeneste burde toppet listen fordi den ikke kan oppdatere annet enn Microsofts egen programvare?

 

 

2. Adobe Flash og Adobe Acrobat.

Detaljene finner du på bit9.com (PDF-fil).

Morsomt med slike sammentreff.

[tom waits for alice]

Nå er vel ikke Bit9 ute etter å gi Firefox skylden for noe som helst, selv om det lett kan høres slik ut. Det er vel snarere en anledning til å markedsføre sitt egen produkt (Parity).

 

Geir

[Gjest Slettet-Pqy3rC]

Tåpelig artikkel. Den sier jo egentlig ingen verdens ting.

 

Dersom du ikke har kontroll over bedriftens ansattes i utgangspunktet spiller det svært liten rolle hvilket verktøy som potensielt fører til størst skade.

[Kahuna]

Microsofts oppdateringstjeneste oppdaterer kun Microsofts egen programvare. Det er ikke som i Linux der programmer fra alle leverandører kan oppdateres gjennom den samme tjenesten.

Klarer ikke helt å se hvordan MS kunne gjort noe sånt uten bråk. Dette er nok en tjeneste som bør utføres av tredjepart.

[Smif]

Men kan altså vege mellom 100 feil som IT avdelingen er klar over, eller 5 feil man selv må leve med.

Et kjapt søk i NVD ga 69 rapporterte sårbarheter for IE i 2008, og 80 for FF...

 

Geir

Var selvfølgelig bare tall jeg tok ut av luften. Alle vet at IE er mildt sagt en hullete ost. Eller mener du faktisk at IE er mersikker enn FF?

 

Men igjen er vi inne på dette med rapporterte sårbarheter/hull da.

Endret 16. desember 2008 av Smif

[nikjolaos]

er bare å chrome på visst

[G]

Den listen virket jo kjøpt og betalt ut av Microsoft. Uten at jeg har greie på det.

[Simen1]

Microsofts oppdateringstjeneste oppdaterer kun Microsofts egen programvare. Det er ikke som i Linux der programmer fra alle leverandører kan oppdateres gjennom den samme tjenesten.

Klarer ikke helt å se hvordan MS kunne gjort noe sånt uten bråk. Dette er nok en tjeneste som bør utføres av tredjepart.

Ved å tilby en oppdateringstjeneste som er åpen for andre produsenter, ikke at de skal levere ut andres oppdateringer.