Ekstremt viktig sikkerhets­oppdatering kommer til alle Windows-versjoner

[Harald Brombach (digi.no)]

Ekstremt viktig sikkerhets­oppdatering kommer til alle Windows-versjoner

[tommyb]

Første gang, ja. Det setter jo endel gamle teoretiske diskusjoner vi har hatt om hvorvidt NSA og tilsvarende aktører i det store bildet bidrar til sikkerhet i et skittengrått lys.

Ideelt sett burde de som statlige aktører hatt et ansvar for å heve samfunnssikkerheten. Dette er tydeligvis et unntak.

[Betroz]

NSA sørger vel bare for at kun dem har bakdør i Windows 

[the_student]

NSAs publikasjon om CVEen: https://media.defense.gov/2020/Jan/14/2002234275/-1/-1/0/CSA-WINDOWS-10-CRYPT-LIB-20190114.PDF

Etter installasjon og restart blir også angrep loggført i hendelseslisten

[Gjest Slettet+9817234]

tommyb skrev (8 timer siden):

Første gang, ja. Det setter jo endel gamle teoretiske diskusjoner vi har hatt om hvorvidt NSA og tilsvarende aktører i det store bildet bidrar til sikkerhet i et skittengrått lys.

Ideelt sett burde de som statlige aktører hatt et ansvar for å heve samfunnssikkerheten. Dette er tydeligvis et unntak.

Jeg tror NSA kun tipser MS og andre om sikkerhetshull når de ser at andre enn NSA godkjente byrå bruker sårbarheten. Før det så vil det være naturlig å tro at NSA utnytter sikkerhetshullene til det fulle. 

[Terje Henriksen]

Hadde psykologiprofessorer vært involverte i denne feilen, da hadde de kunnet komme med en sikkerhetsoppdatering som åpnet et sikkerhetshull istedenfor å lukke et. Jeg tenker på dem som AS Fusk og Fanteri, fordi det er det de er.

[digimator]

16 hours ago, tommyb said:

Første gang, ja. Det setter jo endel gamle teoretiske diskusjoner vi har hatt om hvorvidt NSA og tilsvarende aktører i det store bildet bidrar til sikkerhet i et skittengrått lys.

Ideelt sett burde de som statlige aktører hatt et ansvar for å heve samfunnssikkerheten. Dette er tydeligvis et unntak.

Eg trudde det var velkjent at slike feil er handelsvare. Etter å ha lest https://www.amazon.com/Countdown-Zero-Day-Stuxnet-Digital/dp/0770436196 er det ingen grunn til å ha illusjonar om korleis statlige organisasjonar (og andre) opererar.

[tommyb]

49 minutes ago, digimator said:

Eg trudde det var velkjent at slike feil er handelsvare. Etter å ha lest https://www.amazon.com/Countdown-Zero-Day-Stuxnet-Digital/dp/0770436196 er det ingen grunn til å ha illusjonar om korleis statlige organisasjonar (og andre) opererar.

Det er velkjent. Den i overkant teoretiske diskusjonen går/gikk på på hvor stor en trussel må være før f.eks. NSA (som jo er blant de fremste på fagfeltet) bidrar til å lukke trusselen i stedet for å beholde informasjonen for seg selv. Det er nå vist at de vil beholde den for seg selv nesten uansett. Med så liten flyt av direkte informasjon tror jeg vi kan gå ut fra at NSA ikke vil rapportere inn noen sikkerhetshull med mindre de kjenner til angrep eller planlagte angrep. Men så er det lov å håpe at det finnes mindre direkte kanaler også. Vissnok skal NSA ha bidratt mye på fagfeltene, de har jo bl.a. jobbet med hardening av Linux (SELinux). 

[tommyb]

9 hours ago, JØI said:

Jeg tror NSA kun tipser MS og andre om sikkerhetshull når de ser at andre enn NSA godkjente byrå bruker sårbarheten. Før det så vil det være naturlig å tro at NSA utnytter sikkerhetshullene til det fulle. 

Jeg tror egentlig at de mesteparten av tiden sitter passivt på en stadig økende portefølje slik at de kan bruke den i målrettede angrep. Sånn som når de skulle infiltrere Syrias knutepunkt og tok ned hele landets Internett ved et uhell. Litt som å spare på enkelte antibiotika-varianter til man virkelig trenger dem.