[Discussie] Een OS is veilig als....

dinsdag 24 februari 2004 20:40

Topicstarter

Justice schreef op 24 februari 2004 @ 20:18:
Is een OS dan pas onveilig wanneer er hacks geconstateerd worden? Dat is een vraag die je misschien eerst moet beantwoorden denk ik.

Ik denk dat een syteem pas onveilig word gemaakt door beheerder en gebruikers nadat een OS gecomprimeerd is, want vanaf dat moment moet een beheerder het systeem gaan updaten/patchen. Dit blijkt altijd het grote probleem te zijn.
Dus ja, een OS is onveilig zodra er daadwerkelijk een hack op uitgevoerd is, omdat dan de echte noodzaak voor updaten en patchen naar boven komt. Een bug die een hack mogelijk maakt die in de praktijk onuitvoerbaar is, maakt een OS niet bijvoorbaad onveilig.

Veilig zal iets nooit worden, op het ene systeem wordt meer gezocht naar foutjes/achterdeurtjes dan bij andere systemen, maar is het dan meteen onveilig en het andere veilig? Overal zitten foutjes of achterdeurtjes in maar ze moeten wel ontdekt worden. Echt 100% bugvrij/achterdeurtjes vrij bestaat niet naar mijn idee.

100% bug vrije software bestaat niet. Dat een systeem meer foutjes/achterdeurtjes bevat geeft niet aan dat het OS minder veilig is dan het andere.....

Geen enkel OS is 100% waterdicht. Het is dus eigenlijk een vraag van HOE veilig kan je je OS maken?

Als je kijkt naar de recente ontwikkelingen op Windows gebied met de laatste gigantische bug die naar buiten kwam welke al 6 a 7 maanden bij Microsoft bekend is en dat gaat vergelijken met Linux waar in luttele dagen (en soms zelfs uren) nadat de bug geconstateerd is al een fix aanwezig is.

Was het bestaan van die bug dan al 6 a 7 maanden bekend bij anderen? Misschien bij 1 security firm die netjes zijn mond dicht hield ja, maar niet in de hacking community.

Het is dus meer het vraagstuk hoeveel de mensen achter het OS daadwerkelijk doen om het OS veilig te maken. Hoe meer de mensen erachter er aan werken hoe sneller de problemen opgelost zullen worden. En hoe sneller de problemen opgelost zijn, hoe veiliger het OS.

Momenteel is het zo dat Linux (sowwy, toch ff NOS/WOS) de meeste bugs sneller heeft gevonden omdat er een veel grotere community achter zit door het OSS gebeuren. Maar daar staat tegenover dat Linux veel minder gebruikt wordt, dus worden er minder bugs aangetroffen.
Windows daarentegen heeft alleen Microsoft (en een paar externe partijen) en een aantal gebruikers van een paar miljoen. De bugs hier _moeten_ sneller opgelost worden omdat de gevolgen veel groter zijn. Maar het is dus zo dat bij de "kleine" Operating Systems de bugs sneller geconstateerd en opgelost worden dan bij de grotere... en dat is nu juist het hele punt waarom Windows onveiliger is dan Linux.

Nee, dat ben ik dus duidelijk met je oneens. Windows is tegenwoordig echt niet meer onveiliger dan een van de andere OS'en. Wel is het zo dat het systeem zelf kwetsbaarder is bij niet patchen en slecht beheer. Maar vergeet niet dat de laatste bug in bijv. Linux ook te maken hadden met localroot exploits. Dit is net zo gevaarlijk als een slecht gepatchte windows, als er nl naast een bug in je kernel ook nog een bug in bepaalde deamons zit, kan men zo root rechten verkrijgen.
Dat bugs sneller geconstateerd en opgelost worden kan best zo zijn. Maar een bug geconstateerd in windows wordt de laatste tijd toch ook pas naar buiten gebracht als er een oplossing is?

[ Voor 51% gewijzigd door Zwerver op 24-02-2004 20:42 . Reden: s/dagen/maanden ]

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

Acties:

PipoDeClown

Izze Zimpell

TS, kun je een definitie geven van "veilig"?

anyway, wat ik zelf heb geleerd is dat programmeren zoiets is als 99% transpiratie en 1 inspiratie.
en dat je nooit iets moet "aannemen" (bijv. dat de gebruiker geen letters intoetst, zodra er een cijfer wordt gevraagd).

kijk bijv naar gentoo, dat moet allemaal maar geoptimaliseerd worden. -fomit-frame-pointers. voor die paar instructies per seconde meer, maar je zou ook kunnen stellen dat het bepaalde checks tenietdoet.

God weet alles, want hij is lid van de Mosad. To protect your freedom i will take that away from you. Mijn drankgebruik heeft ernstig te lijden onder mijn gezondheid.

dinsdag 24 februari 2004 21:46

Acties:

Bor

Coördinator Frontpage Admins / FP Powermod

01000010 01101111 01110010

Zwerver schreef op 24 februari 2004 @ 20:05:

aan het gecomprimeerde systeem e.a. systemen)

Ik neem aan dat je gecompromitteerd bedoelt?

TS, kun je een definitie geven van "veilig"?

vei·lig (bn.)
1 beschermd tegen gevaar => safe, vertrouwd; <=> onveilig
2 met weinig risico => risicoloos, zeker

van

vei·lig·heid (de ~ (v.), -heden)
1 het veilig zijn

[ Voor 44% gewijzigd door Bor op 24-02-2004 21:47 ]

Over Bor | Vraag & Aanbod feedback | Frontpagemoderatie Forum

dinsdag 24 februari 2004 22:00

Acties:

dinsdag 24 februari 2004 22:11

Officieel moto fan :)

Ik denk dat de grootste risicos op daadwerkelijk impact op de beschikbaarheid, op dit moment bij de gebruiker danwel beheerder ligt.

Dit is op te splitsen in de professionele kant, dus kijkende naar de afgelopen exploits in (bv.) Windows zag je dat een groot veel van de problemen zich niet voordeden in juist geconfigureerde IIS installaties die juist gepatched waren (CodeRed was al maanden een patch voor, en was mits goed geconfigged niet kwetsbaar), maar juist in slecht beheerde systemen.

Voor de thuisgebruikerskant komt daar nog een stuk onwetendheid bij - veel van de recente virussen gebruiken geen exploits meer (zoals dat een aantal jaren terug was), maar gebruiken de goedgelovigheid van de gebruiker om zichzelf te verspreiden. Ik denk dat gebruikers die altijd met administrator rechten werken, en daar niet voldoende geschikt voor zijn, ook als 'onwetend' te beschouwen zijn.

Wanneer is een OS dan veilig? Ik denk dat een OS pas veilig is als de gebruiker voldoende bewust is van de risicos die het gebruik en beheer ervan met zich mee brengt

Zwerver schreef op 24 februari 2004 @ 20:35:
Wel is het zo dat het systeem zelf kwetsbaarder is bij niet patchen en slecht beheer.

Waar baseer je dat op dan?

Acties:

dinsdag 24 februari 2004 22:17

Topicstarter

elevator schreef op 24 februari 2004 @ 22:00:
Ik denk dat de grootste risicos op daadwerkelijk impact op de beschikbaarheid, op dit moment bij de gebruiker danwel beheerder ligt.

Dit is op te splitsen in de professionele kant, dus kijkende naar de afgelopen exploits in (bv.) Windows zag je dat een groot veel van de problemen zich niet voordeden in juist geconfigureerde IIS installaties die juist gepatched waren (CodeRed was al maanden een patch voor, en was mits goed geconfigged niet kwetsbaar), maar juist in slecht beheerde systemen.

Voor de thuisgebruikerskant komt daar nog een stuk onwetendheid bij - veel van de recente virussen gebruiken geen exploits meer (zoals dat een aantal jaren terug was), maar gebruiken de goedgelovigheid van de gebruiker om zichzelf te verspreiden. Ik denk dat gebruikers die altijd met administrator rechten werken, en daar niet voldoende geschikt voor zijn, ook als 'onwetend' te beschouwen zijn.

Wanneer is een OS dan veilig? Ik denk dat een OS pas veilig is als de gebruiker voldoende bewust is van de risicos die het gebruik en beheer ervan met zich mee brengt

[...]

Waar baseer je dat op dan?

Op het feit dat onder windows afaik bij slecht beheer (even over thuisgebruik gesproken nu) een gebruiker automatisch admin rechten heeft? Want zo wordt het systeem toch geinstalleerd dacht ik? Ik moet dit wel even uit mijn hoofd doen, want heb zelf geen windows systeem vers geinstalleerd staan.

[ Voor 7% gewijzigd door Zwerver op 24-02-2004 22:14 . Reden: patch verhaal weg ]

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

Acties:

Verwijderd

Ik denk dat er echt wel verschillen zijn in de veiligheid van OS-en. Niks is 100% veilig, ok... Maar ik denk dat je met een VMS of Trusted Solaris een heel end op weg bent. In deze OS-en zitten de meeste fouten toch in 3th party software.

Het is de manier hoe een OS bepaalde dingen afhandeld, bv de IP (of netwerk) stack in het algemeen, en vooral ook rechtenafhandeling (wat bv in windows imo een lachertje is).

dinsdag 24 februari 2004 22:24

Acties:

dinsdag 24 februari 2004 22:26

Officieel moto fan :)

Zwerver schreef op 24 februari 2004 @ 22:11:
Op het feit dat onder windows afaik bij slecht beheer (even over thuisgebruik gesproken nu) een gebruiker automatisch admin rechten heeft?

Dat is onwetendheid van de gebruiker.

Verwijderd schreef op 24 februari 2004 @ 22:17:
en vooral ook rechtenafhandeling (wat bv in windows imo een lachertje is).

Kan je dit iets meer uitleggen?

Acties:

Verwijderd

Zwerver schreef op 24 februari 2004 @ 22:11:
[...]

Op het feit dat onder windows afaik bij slecht beheer (even over thuisgebruik gesproken nu) een gebruiker automatisch admin rechten heeft? Want zo wordt het systeem toch geinstalleerd dacht ik? Ik moet dit wel even uit mijn hoofd doen, want heb zelf geen windows systeem vers geinstalleerd staan.

Een (n00b) linux gebruiker zonder veel linux "bagage" zal hetzelfde doen: namelijk een root account aanmaken en daarmee verder werken.

dinsdag 24 februari 2004 22:26

Acties:

dinsdag 24 februari 2004 22:46

Topicstarter

elevator schreef op 24 februari 2004 @ 22:24:
[...]

Dat is onwetendheid van de gebruiker.

is dat niet hetzelfde als slecht beheer dan? Volgens mij wel....

Verwijderd schreef op 24 februari 2004 @ 22:26:
[...]

Een (n00b) linux gebruiker zonder veel linux "bagage" zal hetzelfde doen: namelijk een root account aanmaken en daarmee verder werken.

Laatste wat ik zeg over linux..... Als je de volwassen dist's als RH en SuSE pakt, dan kan je niet om het aanmaken van een gewone gebruiker heen. Standaard staat het dan nog zo ingesteld dat je de grafische shell (X-window etc) niet in mag als root. Dus wat dat betreft gaat je opmerking niet helemaal op....

[ Voor 56% gewijzigd door Zwerver op 24-02-2004 22:31 . Reden: stukje erbij ]

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

Acties:

Verwijderd

Zwerver schreef op 24 februari 2004 @ 22:26:
Laatste wat ik zeg over linux..... Als je de volwassen dist's als RH en SuSE pakt, dan kan je niet om het aanmaken van een gewone gebruiker heen. Standaard staat het dan nog zo ingesteld dat je de grafische shell (X-window etc) niet in mag als root. Dus wat dat betreft gaat je opmerking niet helemaal op....

Ik zie Microsoft ook al die kant opgaan. Als je XP installeert dien je eerst een Admin wachtwoord in te voeren (volgens mij krijg je een waarschuwing als je het niet doet) en vervolgens krijg je tijdens de eerste opstart meteen een wizard voor je waarin gesteld wordt dat je een account moet aanmaken. In Longhorn en volgende zal dit alleen nog maar meer benadrukt gaan worden.

Zelfde geval met SQL Server. Tijdens installatie wordt je erop gewezen dat je beter Windows dan SQL authentication kan gebruiken. Mocht je voor beide gaan dan moet je expliciet een vinkje aanzetten om het Admin wachtwoord blanco te laten zijn.

Maar een slechte installatie is m.i. geen slecht beheer. Installatie van een OS wordt meestal niet gezien als een 'beheer' taak. Juist het beheer (Windows Update, gratis cd-roms met updates, ingebouwde firewalls) is stukken veiliger geworden m.i. De laatste keer dat ik naar linux keek (RH 6) had je wel een update site, maar hierbij kon je de updates niet automatisch laten downloaden en installeren.

dinsdag 24 februari 2004 23:05

Acties:

dinsdag 24 februari 2004 23:43

Topicstarter

Verwijderd schreef op 24 februari 2004 @ 22:46:
[...]

Ik zie Microsoft ook al die kant opgaan. Als je XP installeert dien je eerst een Admin wachtwoord in te voeren (volgens mij krijg je een waarschuwing als je het niet doet) en vervolgens krijg je tijdens de eerste opstart meteen een wizard voor je waarin gesteld wordt dat je een account moet aanmaken. In Longhorn en volgende zal dit alleen nog maar meer benadrukt gaan worden.

Uhmz, ik kan me zo niet helemaal goed voor de geest halen hoe en wat enzo, maar is het dan nog steeds niet zo dat de gebruiker die je aanmaakt standaard admin rechten heeft?

Zelfde geval met SQL Server. Tijdens installatie wordt je erop gewezen dat je beter Windows dan SQL authentication kan gebruiken. Mocht je voor beide gaan dan moet je expliciet een vinkje aanzetten om het Admin wachtwoord blanco te laten zijn.

Maar een slechte installatie is m.i. geen slecht beheer. Installatie van een OS wordt meestal niet gezien als een 'beheer' taak. Juist het beheer (Windows Update, gratis cd-roms met updates, ingebouwde firewalls) is stukken veiliger geworden m.i. De laatste keer dat ik naar linux keek (RH 6) had je wel een update site, maar hierbij kon je de updates niet automatisch laten downloaden en installeren.

Dat eerste: is een goede zaak. Maar dat installatie geen beheer taak zou zijn kan ik niet beamen. Want voor de meeste thuisgebruikers (want daar gaat het natuurlijk ook over) is dat de enige beheer taak die ze ooit zullen uitvoeren.

Maar ik vind dit te veel linux <--> Windows worden en het gaat helemaal niet meer over waar we over begonnen waren.

Is het nou zo dat het veilig maken van een systeem weinig te maken heeft met de bugs die er in zitten, maar meer met de snelheid waarmee die gepatched dan wel naar buiten gebracht worden? of is dat niet zo

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

Acties:

Verwijderd

Een (realistisch) veilig OS is...

een OS met een goed doordacht ontwerp met veiligheid al vanaf het ontwerp meegenomen
z'n beheerder precies weet waar ie mee bezig is
er actieve ondersteuning is van de fabrikant/community met het oplossen van problemen / bugs / mogelijke beveiligingslekken != security through obscurity
de beveligingsupdates netjes worden geinstalleerd door de beheerder
de gebruikers met precies de rechten werken die ze nodig hebben en niks meer
ervan uitgegaan wordt dat de gebruiker 'dom' is en overal op klikt wat beweegt en dan nog geen schade mag kunnen aanbrengen aan het systeem, hooguit aan zijn eigen bestanden

Er zijn ook nog andere factoren die van belang zijn bij het veilig zijn van het OS, bijvoorbeeld de veiligheid van het netwerk waarop de computer met het OS is aangesloten als er gewerkt wordt met protocollen die data unencrypted versturen (remote login).

[ Voor 7% gewijzigd door Verwijderd op 24-02-2004 23:47 ]

woensdag 25 februari 2004 11:00

Acties:

woensdag 25 februari 2004 11:06

Topicstarter

Verwijderd schreef op 24 februari 2004 @ 23:43:
Een (realistisch) veilig OS is...
een OS met een goed doordacht ontwerp met veiligheid al vanaf het ontwerp meegenomen
z'n beheerder precies weet waar ie mee bezig is
er actieve ondersteuning is van de fabrikant/community met het oplossen van problemen / bugs / mogelijke beveiligingslekken != security through obscurity
de beveligingsupdates netjes worden geinstalleerd door de beheerder
de gebruikers met precies de rechten werken die ze nodig hebben en niks meer
ervan uitgegaan wordt dat de gebruiker 'dom' is en overal op klikt wat beweegt en dan nog geen schade mag kunnen aanbrengen aan het systeem, hooguit aan zijn eigen bestanden
Er zijn ook nog andere factoren die van belang zijn bij het veilig zijn van het OS, bijvoorbeeld de veiligheid van het netwerk waarop de computer met het OS is aangesloten als er gewerkt wordt met protocollen die data unencrypted versturen (remote login).

Ik sluit me hier helemaal bij aan. Dit is de ideale situatie. Punt blijft dat die ideale situatie imho voor thuisgebruikers nooit bereikt zal worden.
Ik zie hier met name reacties die er vanuit gaan dat security alleen belangrijk is voor bedrijven, terwijl ik van mening ben dat je ook moet zorgen voor een veilig OS/systeem voor de kleine thuisgebruiker. Deze hebben ook last van 4russen/bugs etc. en zullen niet zo snel aan de hand genomen worden om het op te lossen.
Dus hoe zou je de situatie voor de thuisgebruiker nu kunnen verbeteren? Want het zou toch mooi zijn om ook de thuisgebruiker zijn OS veilig te krijgen/houden.

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

Acties:

Buzz_Lightyear

To infinity and beyond!

een OS is zo veilig als de gebruiker die 'm gebruikt
_{nieuw statement is dit overigens niet}

Virussen (toch maar ff dat attachment openen), Malafide sw (ff progje uitproberen) en Spyware (ff naar die "spannende" sites kijken)... toch allemaal zaken die de meeste ellende veroorzaken in de OS wereld van 2004

An Explanation of l33t Speak

woensdag 25 februari 2004 11:25

Acties:

woensdag 25 februari 2004 11:49

Topicstarter

Nee, maar het is wel een dooddoener. Want op deze manier wordt alle schuld bij de gebruiker neergelegt, terwijl imho de producent van een OS moet zorgen dat zijn OS zo veilig mogelijk is, ook voor de domme, simpele, klikgrage eindgebruiker

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

Acties:

Wilke

Ik zou wel eens naar praktische oplossingen voor dit probleem naar willen kijken.

Het is duidelijk dat de op dit moment gangbare OSen (of de applicaties die daarop i.h.a. gedraaid worden) niet erg veilig zijn. Over Windows wil ik niet eens beginnen, maar ook met Linux zijn er regelmatig problemen. Eigenlijk elk OS waarvoor veel software is heeft op de een of andere manier zulke problemen. Het zal bv. zo zijn dat OpenBSD echt erg veilig is, maar als je er dezelfde software op installeert als je onder Linux doet (er van uitgaande dat dit uberhaupt mogelijk is), zou het weer vrijwel net zo onveilig zijn wegens alle bugs die je dan toevoegt (in browsers, mailclient, desktop environment, etc.)

Kort samengevat, de meeste huidige software zuigt op dit gebied (zowel OSen als applicaties), tenzij het speciaal ontworpen is om veilig te zijn, wat veel tijd en moeite kost en zelfs dan nog regelmatig mis gaat, zoals bv. met OpenSSH.

Hoe komt dat? Vrij simpel: mensen maken fouten, en de meest gebruikte programmeertalen (i.e. C, C++) doen weinig om dit te voorkomen.

Ik denk dan ook dat het totaal onrealistisch is om te verwachten dat software vanzelf veiliger wordt. Er wordt continu zoveel nieuws bedacht, dat er ook steeds nieuwe foutjes in zitten.

Dus wat je wilt is dat programmeertalen het moeilijker maken om zulke fouten toe te laten, waarbij hardware support dit ook praktisch mogelijk kan maken (zonder dat alles heel traag wordt).

Waar ik dus aan denk:

Talen als C en C++ zijn inherent onveilig, omdat rare constructies en rekenen met pointers toegestaan zijn, en rangechecking daardoor feitelijk onmogelijk is (dus: buffer overflows). Een compiler kan niet (goed) checken of iets 'bedoeld' is of een mogelijke fout, immers: alles mag. Java zal hier bijvoorbeeld een stuk minder problemen mee hebben (hoewel er natuurlijk nog steeds bugs in de Virtual Machine zelf kunnen zitten, want raad maar in welke taal die is geschreven...). C# zal deze problemen in principe waarschijnlijk ook niet hebben, maar daar heb ik geen ervaring mee. In het algemeen worden talen steeds meer ontwikkeld om deze problemen te ondervangen.
Hardware support voor het beter beschermen van de stack/bescherming tegen buffer overflows. Dit is opgenomen in de AMD x86-64 architectuur, wat een grote stap voorwaarts zou kunnen worden (hiervoor verdient AMD echt een staande ovatie IMO ). Als deze feature werkt zoals beloofd, betekent het dat een programma voortaan zal crashen (dat valt dus meteen op) als een gevaarlijke buffer overflow en daarmee een stack overschrijving plaatsvindt. Ik gok dat daarmee ook een hoop fouten opgespoord zullen gaan worden, omdat 'ach who cares, het werkt toch' verandert in 'hey, het crasht! Go fix!'. En zelfs zo niet, dan laat je een programma hooguit crashen, exploiten is dan iig op de 'gebruikelijke' manier niet mogelijk (het kan natuurlijk wel als Denial of Service attack gebruikt worden door een prog, bv. de webserver, continu te laten crashen..)

In ieder geval lijkt het gebruik van betere tools (programmeertalen, hardware support) me de manier om de beveiliging sterk te verbeteren. Op beter/foutlozer programmeerwerk hoeven we iig niet te rekenen denk ik

offtopic:
Verwar 'hardware support voor betere veiligheid' alsjeblieft niet met het DRM-offensief wat Microsoft, Disney, Sony, Intel e.a. voeren om de consument zijn rechten te ontnemen of tenminste meer macht naar zich toe te halen (Palladium of noem het NGSCB, TCPA, die ellende). Als je verwacht dat dat gaat helpen, moet je nodig eens wat bijlezen.

woensdag 25 februari 2004 11:52

Acties:

Verwijderd

Er is niet zoiets als een veilig os. Een veilig os is te benaderen, door een stakke configuratie op te zetten, en deze goed onderhouden. Veilig zal het echter nooit worden omdat je, tenzij je echt bakken met geld en contacten hebt, altijd reactief zult beheren ipv proactief. Het is n'l onmogelijk om bijvoorbeeld een patch te schrijven voor een zero-day exploit.

woensdag 25 februari 2004 12:05

Acties:

woensdag 25 februari 2004 12:44

Topicstarter

Verwijderd schreef op 25 februari 2004 @ 11:52:
Er is niet zoiets als een veilig os. Een veilig os is te benaderen, door een stakke configuratie op te zetten, en deze goed onderhouden. Veilig zal het echter nooit worden omdat je, tenzij je echt bakken met geld en contacten hebt, altijd reactief zult beheren ipv proactief. Het is n'l onmogelijk om bijvoorbeeld een patch te schrijven voor een zero-day exploit.

Ja oke, helemaal mee eens wat je hier zegt (ook met wilke overigens!!). Maar er moet toch een manier zijn om een systeem veiliger te maken? Zoals wat wilke net aangaf? Zeggen dat een os nooit veilig kan worden vind ik een beetje een flauw. Alsof jij je er maar bij neer moet leggen...

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

Acties:

Verwijderd

Zwerver schreef op 25 februari 2004 @ 12:05:
Ja oke, helemaal mee eens wat je hier zegt (ook met wilke overigens!!). Maar er moet toch een manier zijn om een systeem veiliger te maken? Zoals wat wilke net aangaf? Zeggen dat een os nooit veilig kan worden vind ik een beetje een flauw. Alsof jij je er maar bij neer moet leggen...

D'r zijn manieren, en die zijn patchen, fatsoenlijk beheren en je users goed trainen. Veel meer kun je simpelweg niet doen, tenzij je in staat bent om zelf patches te schrijven (voor een closed-source software product ?) of een "eindgebruiker" het concept van security laten begrijpen.

edit:

Lange termijn oplossingen, zoals hardware protectie en fatsoenlijke programeer talen ff daar gelaten natuurlijk...

[ Voor 11% gewijzigd door Verwijderd op 25-02-2004 12:46 ]

woensdag 25 februari 2004 12:57

Acties:

woensdag 25 februari 2004 13:26

Officieel moto fan :)

Wat Wilke aanhaalt is natuurlijk waar - al kan je dit ook gedeeltelijk ondervangen door een techniek, die al een tijd gebruikt wordt op zowel Win32 als Linux, welke maar een klein gedeelte in elevated (root/system) rechten laat draaien, en de complexere gedeelten in 'normale' rechten laat draaien. Hiermee beperk je de schade op een systeem al voor een groot gedeelte.

Je ondervangt hier echter niet mee de grote aantallen aan virussen zoals die er op dit moment rondzwerven - deze worden namelijk gewoon veroorzaakt door gebruikers die programma's opstarten - tenzij je attachments standaard in een niet-executable directory zou zetten waarmee je de bruikbaarheid van een systeem om laag brengt (en de acceptatie dus lager maakt)

Acties:

woensdag 25 februari 2004 13:33

Topicstarter

elevator schreef op 25 februari 2004 @ 12:57:
....
Je ondervangt hier echter niet mee de grote aantallen aan virussen zoals die er op dit moment rondzwerven - deze worden namelijk gewoon veroorzaakt door gebruikers die programma's opstarten - tenzij je attachments standaard in een niet-executable directory zou zetten waarmee je de bruikbaarheid van een systeem om laag brengt (en de acceptatie dus lager maakt)

Sorry elevator, ik kan het hier niet met je eens zijn. Als je kijkt naar het systeem wat bijvoorbeeld MacOSX hanteerd dan wordt het al een stuk moeilijker om schadelijk attachments zichzelf te laten installeren. Werkelijk voor elk ding wat er geinstalleerd moet worden in het OS zelf wordt er geprompt om een wachtwoord en imo is dat niet storend, maar geeft het eerder een gevoel van veiligheid.

Om even duidelijk het verschil aan te geven: Mac OSX wordt dus standaard zo geinstalleerd, als gebruiker wordt je er dus mee geconfronteerd. Je hebt niet de keuze om er onderuit te komen en toch hoor ik daar geen mensen klagen over een imperking van de usability.

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

Acties:

woensdag 25 februari 2004 13:58

Officieel moto fan :)

Zwerver schreef op 25 februari 2004 @ 13:26:
Als je kijkt naar het systeem wat bijvoorbeeld MacOSX hanteerd dan wordt het al een stuk moeilijker om schadelijk attachments zichzelf te laten installeren. Werkelijk voor elk ding wat er geinstalleerd moet worden in het OS zelf wordt er geprompt om een wachtwoord en imo is dat niet storend, maar geeft het eerder een gevoel van veiligheid.

Windows kan dat ook (doet dat ook) - toch is het een extra beperking - mensen moeten de 'hele tijd' (...) hun wachtwoord ingeven, en dat ervaren veel gebruikers als een beperking. Ofdat dat terecht is is natuurlijk iets anders

Acties:

woensdag 25 februari 2004 14:12

boelkloedig

Zwerver schreef op 25 februari 2004 @ 13:26:
[...]maar geeft het eerder een gevoel van veiligheid
[...]

Ik vrees dat je hiermee de spijker precies op z'n kop slaat. Voor jou geeft het een gevoel van veiligheid, maar je was toch al redelijk actief met veiligheid bezig dus het heeft geen toegevoegde waarde. Voor de doorsnee eindgebruiker die veiligheid een worst zal wezen, is het enkel de zoveelste irritante dialoog die hij zo snel mogelijk weg moet klikken om die beloofde blote juffrouw op z'n scherm te zien. Ook geen toegevoegede waarde, dus.

[...]en toch hoor ik daar geen mensen klagen over een imperking van de usability[...]

Maar dat wordt voornamelijk veroorzaakt door het feit dat Mac gebruik een religie is die geen openlijke kritiek duldt

QnJhaGlld2FoaWV3YQ==

Acties:

Verwijderd

Zwerver schreef op 25 februari 2004 @ 11:00:
[...]

Ik sluit me hier helemaal bij aan. Dit is de ideale situatie. Punt blijft dat die ideale situatie imho voor thuisgebruikers nooit bereikt zal worden.

Dat moet toch wel mogelijk worden, zoniet zullen de ISPs steeds meer moeten ingrijpen, je ziet nu al veel ISPs die tcp/25 in/out blokkeren

Ik zie hier met name reacties die er vanuit gaan dat security alleen belangrijk is voor bedrijven, terwijl ik van mening ben dat je ook moet zorgen voor een veilig OS/systeem voor de kleine thuisgebruiker.
Deze hebben ook last van 4russen/bugs etc. en zullen niet zo snel aan de hand genomen worden om het op te lossen.
Dus hoe zou je de situatie voor de thuisgebruiker nu kunnen verbeteren? Want het zou toch mooi zijn om ook de thuisgebruiker zijn OS veilig te krijgen/houden.

Thuisgebruikers en computers zijn een hel

veel thuisgebruikers installeren niet de updates van het OS
veel thuisgebruikers hebben geen of geen up-to-date virusscanner*
veel thuisgebruikers werken met verkeerde rechten
...

Dus het OS zal (oa) deze dingen moeten afdwingen omdat de thuisgebruiker er gewoonweg geen verstand van heeft, veel meer dan bij zakelijke gebruikers waar er nog een (hopelijk competente) admin rondloopt.

Als natuurlijk blijkt dat een OS dat deze dingen afdwingt niet werkbaar is voor thuisgebruikers moet er misschien iets veranderen aan dat OS. Het *is* wel mogelijk! Het is natuurlijk een zwak excuus om een vraag voor een (admin) wachtwoord weg te laten als er system-wide software geinstalleerd moet worden omdat dat niet handig zou zijn, ergens moet de grens liggen.

Wat betreft de eerder genoemde attachments: executables horen in principe niet via e-mail gestuurd te worden. Als dat wel gebeurt en ze worden ook nog eens uitgevoerd slopen ze hooguit de account van de gebruiker, andere gebruikers hebben daar absoluut geen last van, behalve misschien een beetje hoge CPU load bij een proggeltje dat echt dwars wil liggen

Wat betreft de updates: ik denk echt dat het automatisch downloaden en installeren van updates in de toekomst voor thuisgebruikers bijna onoverkomelijk is (in ieder geval alvast downloaden en dan een grote popup met ik ga nu updates installeren met alleen een Ok knop).

* virusscanners zijn overbodig bij een OS wat aan mijn genoemde punten uit de eerdere post voldoen

woensdag 25 februari 2004 14:34

Acties:

Verwijderd

elevator schreef op 24 februari 2004 @ 22:24:
[...]

Dat is onwetendheid van de gebruiker.

[...]

Kan je dit iets meer uitleggen?

Omdat je in de huis tuin en keuken windows niet gedwongen word met verschillende gebruikers met verschillende rechten te gebruiken. In windows 98 / ME kan je standaard alles. In Windows 2000/XP zijn het meerendeel van de gebruikers toch ook als Administrator ingelogd.

Geen VMS gebruiker die hele dagen als SYSTEM ingelogd is, idem met UNIX en root gebruiker...

Ook de gebruiksrechten van bestanden (rwx) zijn in Windows minder geregeld voor de gebruikers.

Maar: eens met wat al vaker is gezegd, het grootste probleem is hoe de gebruiker met de installatie om gaat...

[ Voor 3% gewijzigd door Verwijderd op 25-02-2004 14:35 ]

woensdag 25 februari 2004 14:50

Acties:

woensdag 25 februari 2004 15:18

Officieel moto fan :)

Verwijderd schreef op 25 februari 2004 @ 14:34:
Omdat je in de huis tuin en keuken windows niet gedwongen word met verschillende gebruikers met verschillende rechten te gebruiken. In windows 98 / ME kan je standaard alles. In Windows 2000/XP zijn het meerendeel van de gebruikers toch ook als Administrator ingelogd.

Dat is een mentaliteit - en hetgene wat ik ook al aanhaalde - de security zit bij de gebruiker. Overigens is het altijd werken onder 'administrator' iets wat langzaam maar zeker ook in Windows aan het verdwijnen is - gelukkig maar, want het is absoluut onwenselijk.

Ook de gebruiksrechten van bestanden (rwx) zijn in Windows minder geregeld voor de gebruikers.

Ik snap niet waar je dat op baseert

Acties:

Verwijderd

Verwijderd schreef op 25 februari 2004 @ 14:34:
[...]
Geen VMS gebruiker die hele dagen als SYSTEM ingelogd is, idem met UNIX en root gebruiker...

Dit zijn aannames, en zoals Gameover ooit zei, die zijn fataal

Ik ken zat unix gebruikers die standaard als root inloggen, en dan ook rustig achter hun console vandaan lopen zonder de terminal te locken. Feit is, als je niet weet hoe gevaarlijk het is om als god op een systeem in te loggen, je dat dan ook rustig zal doen, en ook rustig je systeem omver zal helpen zonder dat je een clue hebt met waar je mee bezig bent..

Ook de gebruiksrechten van bestanden (rwx) zijn in Windows minder geregeld voor de gebruikers.

ik durf zelfs te zeggen dat het filesystem permissie model van NTFS vele malen beter is dan dat van unix. Niet alleen ondersteunt ntfs meer opties dan de standaard Read+Write+Execute, ook zijn user cq group based ACL's ingebouwt. Dat standaard de permissies verkeerd zijn ingesteld, is terug te voeren op usability (de tegenhanger van security).

woensdag 25 februari 2004 15:45

Acties:

Verwijderd

Verwijderd schreef op 25 februari 2004 @ 15:18:
[...]

Dit zijn aannames, en zoals Gameover ooit zei, die zijn fataal Ik ken zat unix gebruikers die standaard als root inloggen, en dan ook rustig achter hun console vandaan lopen zonder de terminal te locken. Feit is, als je niet weet hoe gevaarlijk het is om als god op een systeem in te loggen, je dat dan ook rustig zal doen, en ook rustig je systeem omver zal helpen zonder dat je een clue hebt met waar je mee bezig bent..

[...]

ik durf zelfs te zeggen dat het filesystem permissie model van NTFS vele malen beter is dan dat van unix. Niet alleen ondersteunt ntfs meer opties dan de standaard Read+Write+Execute, ook zijn user cq group based ACL's ingebouwt. Dat standaard de permissies verkeerd zijn ingesteld, is terug te voeren op usability (de tegenhanger van security).

Zoals Kevin Mitnick ook zegt: Het grootste beveiligingsrisico is de gebruiker (en de mens in het algemeen)

woensdag 25 februari 2004 16:15

Acties:

woensdag 25 februari 2004 16:55

boelkloedig

Verwijderd schreef op 25 februari 2004 @ 15:45:
Zoals Kevin Mitnick ook zegt: Het grootste beveiligingsrisico is de gebruiker (en de mens in het algemeen)

In SG en W&L zie je regelmatig topics verschijnen over verkeersveiligheid en de invloed daarop van de maximum snelheid voor auto's. Dan is er altijd wel een grapjas die met de trouvaille komt dat de veiligste snelheid voor auto's 0 km/u is. Analoog daaraan kun je stellen dat de veiligste computer uit staat. Welk OS je (niet) draait is dan niet relevant meer.

QnJhaGlld2FoaWV3YQ==

Acties:

Verwijderd

het geen windows heet!

ff serieus het is pas veilig als er goede programma rechten zijn(dus programmas mogen NIET alles bv. systeem folder delete enz.)

woensdag 25 februari 2004 16:58

Acties:

gomaster

Ik heb er niet veel verstand van maar ik ben het zeker eens met de mensen boven mij dat de gebruikers niet veilig zijn.
Ik vind een os veilig als er binnen een snelle tijd patches worden uitgebracht. Ik denk dan toch (dit is al eerder gezegt) dat je dan eerder bij llinux moet zijn. ms heeft het met de laatste patches goed gedaan door niks te zeggen, maar wie geeft de garantie dat de bewuste vinder van het lek het niet ook meteen de wereld inknalt en het bv op bugtraq gooit. Het is natuurlijk niet netjes maar het gebeurd wel. Dan krijg je van die situaties dat het lek bekend is en de vendor (in dit geval ms) is ingeligt er vervolgens niks gebeurd. Zo'n situatie (of het zonder overleg bekend is gemaakt weet ik niet) deed zich voor met de bug in de url's die is misbruikt door de postbank wannabe's.
Deze bug was dan wel niet in windows maar het zegt toch wel wat over de makers, ms dus.
Ik denk dan toch dat het met linux dan beter gaat. Daar wordt door de hele community gezocht en gelezen in de code en is de bug meteen openbaar en kan iedereen eraan werken. Dit gaat redelijk snel, zie als voorbeeld de do_brk vuln die ook voor de debianservers hack heeft gezorgd.

Verwijderd schreef op 25 februari 2004 @ 16:55:
het geen windows heet!

ff serieus het is pas veilig als er goede programma rechten zijn(dus programmas mogen NIET alles bv. systeem folder delete enz.)

Dit is in linux en ik dacht ook windows (geen ervaring

) al aanwezig. Hier draaien services onder andere users. Verder moet je als gebruiker uiteraard met een useraccount inloggen.

[ Voor 17% gewijzigd door gomaster op 25-02-2004 17:00 . Reden: quoteje ]

woensdag 25 februari 2004 17:03

Acties:

Verwijderd

Brahiewahiewa schreef op 25 februari 2004 @ 16:15:
[...]

In SG en W&L zie je regelmatig topics verschijnen over verkeersveiligheid en de invloed daarop van de maximum snelheid voor auto's. Dan is er altijd wel een grapjas die met de trouvaille komt dat de veiligste snelheid voor auto's 0 km/u is. Analoog daaraan kun je stellen dat de veiligste computer uit staat. Welk OS je (niet) draait is dan niet relevant meer.

Ja, uiteraard. Maar dat is wel heel vergezocht gezien het feit dat de computer dan ook geen doel meer dient.

_{Dan zou je net kunnen zeggen de veiligste computer is geen computer ofzo}

woensdag 25 februari 2004 17:03

Acties:

PipoDeClown

Izze Zimpell

Verwijderd schreef op 25 februari 2004 @ 15:45:
[...]Zoals Kevin Mitnick ook zegt: Het grootste beveiligingsrisico is de gebruiker (en de mens in het algemeen)

aangezien er nog vrij weinig programma's "in the wild" zijn aangetroffen die zelf waterdichte code genereren voor een bepaalde toepassing.

God weet alles, want hij is lid van de Mosad. To protect your freedom i will take that away from you. Mijn drankgebruik heeft ernstig te lijden onder mijn gezondheid.

woensdag 25 februari 2004 17:06

Acties:

Verwijderd

Verwijderd schreef op 25 februari 2004 @ 16:55:
het geen windows heet!

Dat soort "grapjes" in een dergelijke dicussie zijn niet leuken worden als zeer storend ervaren. Laat dit gewoon.

donderdag 26 februari 2004 08:52

Acties:

_JGC_

Veilig OS bestaat er gewoon niet, en is ook niet te maken zolang er debiele gebruikers rondlopen op deze wereld.

Ik weet nog wel dat ik NT4 server op mn 486 had draaien, open voor internet, wel password beveiligd, maar dat was alles. Of mn mailserver met "relay_local_from" instellingen, zodat als het from: adres klopte, ik kon relayen. Lekker makkelijk, zal wel wat meevallen met security denk je dan.

Bovenstaande is dan nog minder erg dan wat ik heb meegemaakt bij iemand:
ik krijg van hem een link naar zn website, ik openen, ik meteen nimda over mn hele PC. Had die eik0l win2k zonder servicepacks op zn server lopen met IIS, terwijl er al lang en breed anti-nimda patches uit waren. Maar denken dat ie wil patchen? nee hoor, want dan moet ik dat grote Win2K SP1 downloaden...

Mensen die altijd onder administrator en root werken denken net zo makkelijk. Overigens betrap ik mezelf er ook wel op, ik compileer al mn source als root zowat. Leuk als er nou es "rm -rf /" in een makefile staat, ben je lekker klaar mee (en natuurlijk controleer je dat niet ff voor je make install gaat draaien

)

MS kan nou standaard wel windows gaan dichttimmeren, doen ze in beperkte mate ook wel, maar je weet wel hoe het gaat:
"Ik vind het stom dat ik dat niet kan doen..." *klik* beveiliging uit.
Hoe vaak zie je wel niet dat als je met een PC van iemand bezig bent geweest dat je vergeet de verborgen bestandjes weer te verbergen, week later bellen ze op: "NTLDR is missing zegt ie, ik heb helemaal nix gedaan hoor!"

Een gebruiker is of dom, of eigenwijs. Je hebt daartussenin nog een soort gebruiker die alles serieus neemt en heel erg goed leest voor ie op JA klikt, nadenkt voor ie dat doet, en om raad vraagt op het moment dat ie er niet uitkomt door gewoon te lezen wat er op het scherm staat. Deze mensen zijn dan wel vervelend omdat ze elke keer vragen stellen, maar je weet iig zeker dat je niet elke 3 weken met je windows CD'tje bij hem voor de deur staat. Ik heb zo'n klant, en ik ben er ook blij mee. draait wekelijks windows update, defragmenteert wekelijks, opent niet alles wat ie tegenkomt, die gast heeft nu 2 jaar een computer met windows 98, een internetaansluiting, maar geen virusscanner. Heb nog nooit heen gehoeven om adaware of f-secure te runnen. Het kan dus wel, als de gebruiker maar meewerkt.

donderdag 26 februari 2004 08:55

Acties:

Verwijderd

_JGC_ schreef op 26 februari 2004 @ 08:52:
Ik heb zo'n klant, en ik ben er ook blij mee. draait wekelijks windows update, defragmenteert wekelijks, opent niet alles wat ie tegenkomt, die gast heeft nu 2 jaar een computer met windows 98, een internetaansluiting, maar geen virusscanner. Heb nog nooit heen gehoeven om adaware of f-secure te runnen. Het kan dus wel, als de gebruiker maar meewerkt.

ok, theoretisch kan het zonder AV (met win 9x dan

), maar ik weiger nog mensen te helpen zonder AV. het gaat gewoon vanzelf een keer mis, hoegoed je ook je best doet om op te letten.

donderdag 26 februari 2004 12:00

Acties:

Verwijderd

Verwijderd schreef op 26 februari 2004 @ 08:55:
[...]

ok, theoretisch kan het zonder AV (met win 9x dan ), maar ik weiger nog mensen te helpen zonder AV. het gaat gewoon vanzelf een keer mis, hoegoed je ook je best doet om op te letten.

Precies... Ik heb altijd zonder AV gedraaid (heb 2 computers met Windows), en _nooit_ wat gehad. Tot dit weekeind, mijn (lieve) vriendinnetje had voor school wat dingen gedaan achter mijn computer, wat gesurfd en een paar spelletjes gespeeld... En gister kwamen de mailtjes binnen van boze vrienden/kenissen/maillinglisten.... En ja hoor, ik was de lul...

vrijdag 27 februari 2004 10:41

Acties:

zaterdag 28 februari 2004 16:14

Topicstarter

Verwijderd schreef op 26 februari 2004 @ 12:00:
[...]

Precies... Ik heb altijd zonder AV gedraaid (heb 2 computers met Windows), en _nooit_ wat gehad. Tot dit weekeind, mijn (lieve) vriendinnetje had voor school wat dingen gedaan achter mijn computer, wat gesurfd en een paar spelletjes gespeeld... En gister kwamen de mailtjes binnen van boze vrienden/kenissen/maillinglisten.... En ja hoor, ik was de lul...

Kijk en daar kom je dus direct het probleem tegen. Mensen _moeten_ tegenwoordig wel met een pc werken maar krijgen te weinig kennis overgedragen. Als je hoort dat mensen dan zeggen dat ligt aan een stomme gebruiker, dit is een gebruikersfout dan wil ik toch even dit stukje uit de computable van 13/2 aanhalen:

Consumenten en ondernemers maken op grote schaal gebruik van virusscanner om hun computersystemen te beveiligen. Met firewalls zijn ze minder bekend, zo blijkt uit onderzoek. [.......]

De helft zegt dat de overheid verantwoordelijk is. Xs4all roept de overheid op om met een publiekscampagne burgers en bedrijven te wijzen op hun eigen verantwoordelijkheid...

M.a.w. het gevoel is bij de "simpele" gebruiker niet dat het probleem bij hem ligt maar bij de ISP dan wel de overheid. Vergis je hier niet in, er is geen domme gebruiker, er is alleen een onwetende gebruiker. Als je niet elke dag op sites als T.net, webwereld, /. etc zit, dan weet je ook niet dat MyDoom(.A/.B) geen uitzondering is. Er wordt op dit moment gewoon te weinig aandacht besteed aan veiligheid van systemen in het algemeen.
Als ik zie dat ze op een kantoor een mailtje krijgen waarin vermeld wordt dat men een programma moet downloaden omdat iemand uit Zweden verteld dat de pc's zo overgenomen kunnen worden, terwijl er zowel inbound als outbound een hele strakke firewall tussen zit, dan moet ik lachen.

Krijg je dat als onwetende gebruiker, wat doe je dan? Juist, je download dat programma (trojan/4rus/whatever) om je systeem te beveiliggen.

Als de overheid/de ISP's/de OS bouwers hier eens wat meer aandacht aan zouden besteden dan zou het probleem een stuk minder zijn.

Verder zou iedere gebruiker die een executable meestuurt met een mailtje wat mij betreft aan de hoogste boom opgehangen moeten worden. De kans dat de onwetende gebruiker dat executable opent en de volgende keer een andere exe opent is naar mijn mening veels te groot.

* Zwerver heeft nu een hele lap tekst geschreven.....

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

Acties:

_JGC_

Ach ja, laatst belde mij iemand op:
"Ik kreeg net een mailtje waarin stond dat ik een virus had en er zat een bestand bij om het virus mee op te ruimen, heb ik nu een virus?"

Ik vragen of ze dat bestand uitgevoerd had, nee dus, want dat vertrouwde ze niet, ze wilde eerst zeker weten of het wel waar was voor ze er allerlei progsels overheen ging halen waar ze niet eens van wist dat ze bestonden.

Ze las me de tekst voor, en die klonk mij heel erg bekend in de oren, die had een klasgenoot die uitsluitend FreeBSD gebruikt nml die dag ervoor nog aan me voorgelezen, waar we dus vrolijk om hadden zitten te lachen.

Ik uiteindelijk dus maar uitleggen dat ze iig niet dat virus had waar dat mailtje over ging, en dat het mailtje zelf het virus was. Dit werd beantwoord met "wat een gemene kutstreken, maar goed dat ik eerst gebeld heb", waarna het gesprek beeindigd werd.

Ze belde eigenlijk niet omdat ze niet wist wat voor ding het was in dat mailtje, maar omdat dat mailtje zei dat ze een virus op haar systeem had raakte ze in paniek

zondag 29 februari 2004 02:42

Acties:

Verwijderd

Zwerver schreef op 27 februari 2004 @ 10:41:
Kijk en daar kom je dus direct het probleem tegen. Mensen _moeten_ tegenwoordig wel met een pc werken maar krijgen te weinig kennis overgedragen. Als je hoort dat mensen dan zeggen dat ligt aan een stomme gebruiker, dit is een gebruikersfout dan wil ik toch even dit stukje uit de computable van 13/2 aanhalen:

Mja, da's niet helemaal waar hoor; je hebt gelijk in het feit dat het overgrote deel van de beroepsbevolking tegenwoordig gedwongen word om met computers te werken. Het overgrote deel van de beroepsbevolking zou het echter om het even zijn wat ze met zo'n computer moeten, en het ze zal ze nog minder kunnen schelen wat security is. Die onverschilligheid ben ik zelf in verschillende IT bedrijven tegen gekomen. Tevens dient een user dusdanig veel te weten om iets als een virus echt te kunnen snappen, en er ook echt aan wat kunnen doen, dat het het bedrijf ook teveel geld aan training kan gaan kosten om er iets aan te doen (vergeet dat ook niet he, het kost geld om mensen security-awareness toe te brengen, wat overigens meestal uit het IT budget moet komen, hence het feit dat er geen security trainingen gehouden worden

) Ter voorbeeld kan ik een verhaal uit eigen ervaring vertellen:

Bij een niet nader te noemen effectenkantoor waar ik ooit eens gewerkt heb, is het vanzelfsprekend dat de security van de it infrastructuur goed is geregeld. Er lag dus ook een mooi strak ingericht redundant dichtgetimmert netwerk, zware firewalls, transparent proxy's, IDS's, zware rapportage tools voor management, the works... Echter is het mij, na dik een jaar lobbyen tot in de hogere lagen van management daar, niet gelukt om een wachtwoord policy in te voeren die niet was gebaseerd op de welbekende opvolgende cijfercombinaties

De reden? onze users vertikte het om "moeilijke" passwords te onthouden (heb ik zelf ook te horen gekregen van m'n "linux" users op de tradingfloor daar), en dus zou het de helpdesk teveel tijd kosten om alle users te helpen hun wachtwoorden te onthouden...
Daar wij een helpdesk bestaande uit 1 persoon hadden (+ de nt admins

), die het al dusdanig druk had, moesten wij als admins zelf als helpdesk gaan dienen (dwz, de unix admins, want alle nt admins daar waren al constant aan het helpdesken, wij deden bv ook het onderhoud aan de windows servers

). Daar lag dus een hele sterke nadruk op het zo "soepel" mogelijk te laten verlopen van de dagelijkse worlflow, zodat de helpdesk het minder druk had, zodat wij ons meer bezig konden houden met waar we goed in waren, zodat het geld van het kantoor beter besteed zou worden...

Zelf denk ik dat,.afgezien van het afdwingen van sterke passwords (of nog mooier, een chipcard systeem), er weinig meer is wat je een user kunt laten doen om een infrastructuur veiliger te maken. Wat je wel kunt doen, is een proactief security beleid voeren. Dwz desktop policy's (waar zijn de policy + desktop lockdown tools voor linux??? een groot gebrek imho), NIDS door het hele netwerk heen, acls+firewalls+hostbased IDS op alle nodes, en een goede perimeter defense. Om nog maar geeneens te spreken over fysieke beveiliging. Maarja, ik dwaal af, tijd voor bier

zondag 29 februari 2004 13:03

Acties:

Wilke

Verwijderd schreef op 29 februari 2004 @ 02:42:
Dwz desktop policy's (waar zijn de policy + desktop lockdown tools voor linux??? een groot gebrek imho)

De KDE for sysadmins documentatie wel eens gelezen? Maar ik geef toe dat hoewel het framework er is, je nog aardig wat kennis moet hebben om dit in de praktijk ook te kunnen gebruiken.

Zoiets bedoel je toch met desktop policy/lockdown, right?

zondag 29 februari 2004 13:15

Acties:

RVW

Brahiewahiewa schreef op 25 februari 2004 @ 13:58:Maar dat wordt voornamelijk veroorzaakt door het feit dat Mac gebruik een religie is die geen openlijke kritiek duldt

Tjonge jonge, wat een suffe troll zeg

, maar goed, toch een reactie: als er ergens over gezeken wordt door Mac-gebruikers dan is het wel OS X en dan in het bijzonder over die onderliggende UNIX-beveilingstructuur. "Waarom vraagt ie steeds om m'n wachtwoord? Kan dat niet uit? Waarom kan ik niks in m'n System-directory doen?" Het wordt wel degelijk als irritant gezien dat ze, zoals ze zelf zeggen, niet meer volledig de macht hebben over hun Mac met OS X.

Dit komt voornamelijk door het feit dat deze beveiliging in oudere systeemversies compleet ontbrak en de gebruiker toen lekker z'n gang kon gaan.

Kijk maar eens op de diverse Mac-fora, of bij de Discussions op de site van Apple zelf.

zondag 29 februari 2004 15:49

Acties:

zondag 29 februari 2004 15:56

boelkloedig

RVW schreef op 29 februari 2004 @ 13:15:
Tjonge jonge, wat een suffe troll zeg

Nou, nou, nou; d'r worden in dit topic wel ergere dingen beweerd over andere OS-en en daar stoort niemand zich kennelijk aan.

Kijk maar eens op de diverse Mac-fora, of bij de Discussions op de site van Apple zelf.

Da's nauwelijks openbaar te noemen. Waarmee ik bedoel: je ziet niet op allerlei bekende nieuws sites dat Mac gebruikers zich verenigd hebben om de securityt features uit OSX te slopen of anderszins kritiek hebben op Apple. Er is ook geen grote dip in de verkoop cijfers van Apple geweest en er zijn ook geen noemenswaardige gevallen bekend van mensen die hun Mac eruit hebben gesmeten en ingeruild voor een apparaat met een concurrerend OS. Da's niet omdat er een kleiner percentage van de gebruikers zich zou storen aan de nieuwe security features maar puur omdat in het algemeen Mac gebruikers veel loyaler zijn aan hun Apple dan gebruikers van een willekeurig ander platform.

QnJhaGlld2FoaWV3YQ==

Acties:

Bleet

Losing my edge.

Een OS is veilig als? een OS is nooit veilig, er zullen altijd foutjes in blijven zitten
Misschien is Linux wel veel slechter als het kwa fouten wordt bekeken, maar omdat Windows veel meer wordt gebruikt vallen de fouten gewoon meer op

Last.fm |
If bullshit could fly, i'd be an astronaut.

zondag 29 februari 2004 18:40

Acties:

maandag 1 maart 2004 19:46

Topicstarter

Kijk, nou gaan we ergens komen. Als ik lees wat er over Longhorn op de FP staat kan ik eigenlijk alleen maar happy worden. Dit zou wel eens de manier zijn om de domme gebruikers die niet updaten/patchen/4rus scannen minder kwetsbaar te maken. Het nadeel hiervan, wat ook al op de FP genoemd wordt, is dat als de servers die dit aansturen gehackt worden (iets wat niet ondenkbaar is) de hackers/crackers een heel OS zouden kunnen beinvloeden, immers elke pc met Longhorn wordt op dezelfde manier aangestuurd... en kan dus ook op de zelfde manier onbruikbaar gemaakt worden.

Dat dit echter wel een voorbeeld is van hoe men om moet gaan met dit soort gebruikers staat denk ik wel voorop.

Woonachtig Down Under. Ik negeer je insults niet, maar tegen de tijd dat ik ze lees zijn ze meestal niet relevant meer

Acties:

Verwijderd

Ik weet het niet hoor, of dat wel zo goed is. De sterkte van de security gaat bepaald worden door windows zelf, in plaats van een gebruiker cq een beheerder. Enerzijds kan ik dit alleen maar toejuichten, omdat nu de "vendor" op gaat draaien voor het gebrek aan clue bij end-users en beheerders. Anderzijds, hoe goed is een monopolist als microsoft te vertrouwen, en is het, als industrie en als samenleving, niet de bedoeling dat wij ons minder vendor afhankelijk maken? Met dit soort maatregelen krijgt een monopolist alleen nog maar meer macht en invloed, en is dat niet juist iets wat wij moeten beperken? Wat ook geld is de last op de beheerder; hoe goed werkt deze security feature, en hoe makkelijk is het te managen (tot in de orde van ~100.000 desktops oid) en hoeveel tijd is men bezig om het product te implementeren in een infrastructuur?
Tevens "vernietigt" ms hier potentieel wel 2 software markten, die van de anti-virus en hostbased firewalls. Ik heb begrepen dat er nieuwe "hooks" komen voor av en fw software, en het zal mij niets verbazen als er binnen niet al te lange tijd "corporate" firewall en av tools komen van ms voor ms platformen.

maandag 1 maart 2004 20:33

Acties:

dinsdag 2 maart 2004 16:56

boelkloedig

Verwijderd schreef op 01 maart 2004 @ 19:46:
Ik weet het niet hoor, of dat wel zo goed is. De sterkte van de security gaat bepaald worden door windows zelf, in plaats van een gebruiker cq een beheerder. Enerzijds kan ik dit alleen maar toejuichten, omdat nu de "vendor" op gaat draaien voor het gebrek aan clue bij end-users en beheerders. Anderzijds, hoe goed is een monopolist als microsoft te vertrouwen, en is het, als industrie en als samenleving, niet de bedoeling dat wij ons minder vendor afhankelijk maken? Met dit soort maatregelen krijgt een monopolist alleen nog maar meer macht en invloed, en is dat niet juist iets wat wij moeten beperken?

Het lijkt me dat je deze twee zaken moet scheiden. Dat je Microsofts monopolie wilt bestrijden, soit. Maar dat je daarvoor de security features voor potentieel een half miljard eindgebruikers gaat opofferen; daar is de consument ook niet bij gebaat.

Wat ook geld is de last op de beheerder; hoe goed werkt deze security feature, en hoe makkelijk is het te managen (tot in de orde van ~100.000 desktops oid) en hoeveel tijd is men bezig om het product te implementeren in een infrastructuur?

Let wel dat de security features van Longhorn met name bedoeld zijn voor consumenten systemen. Bedrijfs systemen zijn minder kwetsbaar omdat die meestal al door firewalls van de buitenwereld gescheiden zijn en vaak hebben eindgebruikers daar al geen administrative privileges

Tevens "vernietigt" ms hier potentieel wel 2 software markten, die van de anti-virus en hostbased firewalls. Ik heb begrepen dat er nieuwe "hooks" komen voor av en fw software, en het zal mij niets verbazen als er binnen niet al te lange tijd "corporate" firewall en av tools komen van ms voor ms platformen.

Tja, zo heeft Microsoft wel meer markten "vernietigd": vroegâh betaalde je een godsvermogen voor een TCP/IP stack (Wollongong, FTP, elk zo'n 1500 gulden per gebruikers licentie) kun je je nu nauwelijks meer voorstellen, en vin je't erg? Dat soort producenten moet ook blijven innoveren om hun bestaansrecht te behouden.
Je ziet nu dat veel mensen, na een jaar lang de gratis meegeleverd Norton Antivirus te hebben gebruikt, niet meer gaan updaten omdat ze moeten gaan betalen.
Overigens kun je er over blijven twisten of met deze maatregelen het OS veiliger maken of dat ze het product Windows veiliger maken.

QnJhaGlld2FoaWV3YQ==

Acties:

Verwijderd

Brahiewahiewa schreef op 01 maart 2004 @ 20:33:
[...]
Het lijkt me dat je deze twee zaken moet scheiden. Dat je Microsofts monopolie wilt bestrijden, soit. Maar dat je daarvoor de security features voor potentieel een half miljard eindgebruikers gaat opofferen; daar is de consument ook niet bij gebaat.

Je hoort mij ook nergens zeggen dat het niet ingevoerd moet worden, er moet alleen heel goed naar gekeken worden. Al helemaal als je dit plaats in het grotere kader van TPCA en het "trusted computing" platform.. Zal mij niet verbazen als dit tweeledig gebruikt gaat worden; Enerzijds om een user een gevoel van security te geven (ja echt, uiteindelijk moet de user zelf nog updates uitvoeren..), anderzijds ter voorbereiding van een "groter" plan, waarin "MS" based security centraal staat (en ik vrees dan vooral voor de compatibility met niet-ms producten, iets waarvan iedereen afweet dat dat niet de sterkste kant van ms is, zie ook ms isa server bijvoorbeeld..)

Let wel dat de security features van Longhorn met name bedoeld zijn voor consumenten systemen. Bedrijfs systemen zijn minder kwetsbaar omdat die meestal al door firewalls van de buitenwereld gescheiden zijn en vaak hebben eindgebruikers daar al geen administrative privileges

Thuisgebruikers ok, dat snap ik, maar volgens mij is het nog steeds zo dat iets van 80% van alle succesvolle hacks vanaf het interne netwerk komen ipv erbuiten. Dus kan dit zeer zeker relevant zijn voor corporate omgevingen. En dan val ik toch weer terug op de historie die we met ms hebben: hoe goed kun je een product vertrouwen, als het bedrijf wat erachter zit een zeer slechte historie heeft als het op security en bugfixes aankomt? Ok, het verleden zegt niets over resultaten behaald in de toekomst, maar zonder uitgebreide auditing van ms zelf is niet onafhankelijk te zeggen _dat_ daar ook echt verbetering in gebracht is.

Tja, zo heeft Microsoft wel meer markten "vernietigd": vroegâh betaalde je een godsvermogen voor een TCP/IP stack (Wollongong, FTP, elk zo'n 1500 gulden per gebruikers licentie) kun je je nu nauwelijks meer voorstellen, en vin je't erg? Dat soort producenten moet ook blijven innoveren om hun bestaansrecht te behouden.
Je ziet nu dat veel mensen, na een jaar lang de gratis meegeleverd Norton Antivirus te hebben gebruikt, niet meer gaan updaten omdat ze moeten gaan betalen.
Overigens kun je er over blijven twisten of met deze maatregelen het OS veiliger maken of dat ze het product Windows veiliger maken.

De TCP/IP stack markt is onderuit gegaan, omdat iedereen de reference implementatie (of een variatie hierop) van 4.4BSD is gaan gebruiken. Ook windows. De voornaamste reden hiervoor is, denk ik, de BSD license die erachter hangt (die zegt dat iedereen alles met zo'n stack kan doen en laten). Op het moment dat ms ook de av + fw markt in handen hebben, kan iemand jou dan nog garanderen dat er onafhankelijke advisories cq bugfixes gaan uitkomen? De markt van av en fw software is heel wat groter dan de markt voor ip stacks, dus waar gaan al die mensen werken? Denk je dat, op de langere termijn, we beter af zijn met een software monocultuur?

dinsdag 2 maart 2004 23:40

Acties:

woensdag 3 maart 2004 00:12

Officieel moto fan :)

Verwijderd schreef op 02 maart 2004 @ 16:56:
Op het moment dat ms ook de av + fw markt in handen hebben, kan iemand jou dan nog garanderen dat er onafhankelijke advisories cq bugfixes gaan uitkomen? De markt van av en fw software is heel wat groter dan de markt voor ip stacks, dus waar gaan al die mensen werken? Denk je dat, op de langere termijn, we beter af zijn met een software monocultuur?

Hoewel ook ik niet (nee, echt niet

) voorstander ben van 'alles door Microsoft' - moet je wel in de gaten houden dat het al jarenlange traditie is dat programma's elkaar cannabaliseren.

Waar je vroeger speciale programatjes had om je harddisk op fouten te controleren heb je dat nu ingebouwd zitten, waar je vroeger een text-editor moest kopen (wou je niet van edlin afhankelijk zijn

) heb je nu notepad, had je vroeger een advanced command interpreter/scripttaal ala kixstart nodig, tegenwoordig heb je VBscript en zo door. Dat AV's onderdeel worden van het OS is niet meer dan een logische stap denk ik

Wel vormt het een beveiligingsrisico - zoals je zelf ook al zegt zou het zomaar kunnen dat er gekozen wordt voor een oplossing door middel van een workaround (AV) ipv een echte oplossing (patch) omdat een workaround vaak sneller / goedkoper te maken is

Acties:

Verwijderd

elevator schreef op 02 maart 2004 @ 23:40:
Hoewel ook ik niet (nee, echt niet ) voorstander ben van 'alles door Microsoft' - moet je wel in de gaten houden dat het al jarenlange traditie is dat programma's elkaar cannabaliseren.

Als de allergrootsten telkens maar blijft cannibaliseren, wat blijft er dan over? Software concurrentie is goed, want dat houd onder andere software innovatie en evolutie in stand. Als er 1 partij is die alle software maakt, wat is dan het nut van innovatie en evolutie als iedereen toch al (verplicht) gebruikt wat jij maakt? Een ander punt is dat ms nog steeds een commercieel bedrijf is, en dus winst wil maken. Software licenties (al helemaal als er _niets_ anders te krijgen is) kunnen/zullen dan steeds meer wurgend gaan werken op bedrijven. En aangezien er geen alternatief is, kunnen bedrijven ook geen kant op...

Waar je vroeger speciale programatjes had om je harddisk op fouten te controleren heb je dat nu ingebouwd zitten, waar je vroeger een text-editor moest kopen (wou je niet van edlin afhankelijk zijn ) heb je nu notepad, had je vroeger een advanced command interpreter/scripttaal ala kixstart nodig, tegenwoordig heb je VBscript en zo door. Dat AV's onderdeel worden van het OS is niet meer dan een logische stap denk ik

Ik denk van niet, enerzijds om bovenstaande redenering, anderzijds omdat het in principe helemaal niet de bedoeling is van een operating system om iets anders te zijn dan een koppeling tussen hardware en de gebruiker met zijn/haar applicaties. Dat maakt het operating system inherent meer buggy, wat wellicht de security van het platform niet ten goede komt. Wat ook speelt, is dat tegenwoordig centrale configuratie gedaan word (lees dingen zoals AD, eDirectory). Des te meer controle over de applicaties centraal beheert kan worden, des te meer kan er ook stuk gaan als de centrale configuratie beschadigt raakt cq de database gecompromized word.

Wel vormt het een beveiligingsrisico - zoals je zelf ook al zegt zou het zomaar kunnen dat er gekozen wordt voor een oplossing door middel van een workaround (AV) ipv een echte oplossing (patch) omdat een workaround vaak sneller / goedkoper te maken is

/me houd z'n hart vast in het geval dat gaat gebeuren....

[ Voor 4% gewijzigd door Verwijderd op 03-03-2004 00:22 ]

woensdag 3 maart 2004 20:20

Acties:

ValHallASW

Tsja, ik weet het ook niet zo goed, maar een ketting is zo sterk als de zwakste schakel.

Oftewel: met een waardeloos OS en een-of-andere supergebruiker kom je nog niet verl, en met een compleet top-beveiligd systeem en een stomme gebruiker (en sysadmin in dit geval als er geen virusscanner is) schiet het ook niet op.

Ik zeg niet dat je iedere pc-gebruiker een complete computercursus moet geven, maar als ze niet meer gewoon attachments bij mailtjes openen, dan ben je ook klaar

Dan heb ik het nog niet eens over patchen, met blaster enzo

Ik neem het MS niet eens kwalijk dat er bugs in Windows zitten eigenlijk. Ze zouden alleen wat eerder mogen worden opgelost

zaterdag 6 maart 2004 00:11

Acties: