Samma debackel de glatt och lönsamt var minst sagt drivande i att bygga allt genom åren. Här - vilket jag som snusare väl förstår - är en initial tyst minut med medlidande över hur svårt ett missbruksproblem kan vara att bryta korrekt innan vi tittar över hur defekt de divergerat från en friskt tänkande organisationer när dom är i domänen säkerhetsfrågor.
Microsoft's säkerhetsproblem med sina OS-klienter har varit legio genom åren. Två stora grundläggande problem ser jag särskilt. Dels diskuterat förr en enorm fet-OS-kärna jag tror är helt korrekt att hellre se som minst tre till fem olika OS som sammanförts i ett prestanda- och säkerhetsmässigt dåligt fungerande försök att slippa koda om funktioner för att få program-kompatbilitet över och mellan (alla?) Microsoft generationer och varianter resp. Microsofts varianter av POSIX m.m.
Problem två är att Microsoft förlorat så många gånger när det kommer till klientsäkerheten att de nog börjat tro att det är normalt och givit upp lite som naturligt tillstånd. Konsekvensen av det är dels att de försöker undvika att ta ansvar genom att införa pseudo-lösningar som tycks fungerande på pappret men i praktiken inte fungerar. Ett utmärkt exempel är deras gamla idé om kodsignering som varken kommer med behov av att ta egentligt ansvar för koden eller förändrat de mer problematiska praktiska säkerhetsproblemen för de flesta användare i deras upplevelse (vilket är diverse junk-program som i sig är säkerhetsproblem resp. för in dåligt dokumenterade komponenter ej önskade resp. ersätter grundläggande komponenter resp. förstör inställningar i OS). Samtidigt kan jag inte se att gör något alls åt internet-infrastrukturens större problem relaterat Microsoft klienter vilket är introduktionen av fjärr-användning av Microsoft-klienter ex. för distribuerad denial of service. Sådan inställning använder ju i sig själv normalt i alla fall inte kodsignering eftersom det är olagligt och kommer i alla fall med viss risk (om nu kodsigneringen ej köps ex. med stulet kreditkort från privatperson eller något företagskort ex. från Microsoft vilket räcker bra åtminstone för en del CA-utfärdare när jag tittade på det för en artikel IDG många år sedan men med mitt eget kreditkort givetvis).
Det värre problemet av att Microsoft givit upp är de många mindre saker man kan göra som aldrig görs därför att individ-lokal såväl som övergripande drivkraft saknas. Ett av många enkla åtgärder som praktiskt kan hjälpa användare både att upptäcka och lösa problem akuta man rimligen borde infört för evigheter sedan är ett gott exempel därför att det kräver ingenting nytt alls i OS: det handlar endast om att presentera information på en plats till. Åtgärden går förvissa att manipulera om jag känner Microsoft's OS-lösning rätt men realitet är att det troligen regelmässigt skulle fungera samtidigt som de flesta antagligen inte gör det ändå korrekta lösningen när OS varit angrepet: ta ner alla uppdateringar från en ej angripen dator, formatera angrepen dator, installera OS från CD-skiva, installera alla aktuella uppdateringar från CD-skiva, konfigurera OS från papper eller med annan dator vars skärm vi ser med internet från allt aktuellt känt , installera alla ev. sekundära säkerhetsprogram från CD-skiva och därefter sist återställa internet.
Åtgärden är helt enkelt att i processhanteraren ge information - om man väljer att ha det kvar - när den kod som körs som process installerades. Det ger enkel möjlighet att kontrollera vilka ev. odokumenterade processer en installation kan ha igång.
Ett exempel på en till - åtminstone utan allt som sakns i övrigt - pseudo-lösning de börjat fundera kring relaterat lätt till ett område jag i början av karriären gjorde en del kring (först på Ericsson med implementation av Keynote i Java istället för C som i referensimplementationen en liknande men praktisk bättre standard och därefter en del annat som vanligt relaterat konsulttjänster silence-agreement men ej lika omfattande som först refererat): signerade policy-system för att lösa privacy-problem. Felet är exakt samma som för signerad kod:
- Väljer vi att följa det kan vi göra det.
- Användarna är mer benägna att samtycka standard-artat för att få något att bara fungera.
- Ansvar genom en ursäkt för att fritt med dåligt praktiskt informerade användare ges för Microsoft med flera aktörer.
- Vill jag strunta i att använda det men ändå våldföra mig på användare av Microsoft klienter i domän av privacy fungerar det jämförbart.
- Vill jag missbruka systemet i sig utanför vad definierat är det för policy-system möjligt att begränsa men ingenting jag sett här lär lösa något relaterat det för mer problematiska privacy-frågor.
Som nyligen konstaterat bl.a. i följande studie från medarbetare Google Research resp. University of California at Berkeley gäller (som välkänt sedan år) samma problem när det kommer till SSL-certifikat. Användare trycker sig förbi varningar därför att målfokus är att få sidan eller filen som ska laddas ner:
På tema av en fet-os-kärna där man försöker återanvända mycket man redan gjort tycks det vara ett falerat licenshanterings-protokoll riktat för musik, film m.m. Microsoft reflekterar över:
Jag träffade för övrigt Craig Mundie en gång. Funktionen han fyllde vid det tillfället upplevde jag var att vandra runt bland inbjudna journalister och hälsa på dem varande en känd Microsoft-medarbetare. Däremot tror jag vad jag kunde se i konferens-rummet i alla fall att just någon tid där i alla fall att ställa frågor till honom fanns. Jag tror ett liknande värde för att i media pröva sådana här förenklingar av det egna ansvaret finns. Ett kändare namn ger en bunt rubriker och kaske viss respons.
Rörande allt här får aldrig det första grundproblemet glömmas. Är OS i sin grund-konstruktion vettigt betyder det enormt. Linux är inte särskilt avancerat i säkerhet eller ens alla gånger speciellt säkerhetsmedvetet programmerat. Men bara genom ett vettigt omfång på saker och ting mer än att bara humpa in (ev. lite överdrivet) nästan hela kodgenerationerna bakåt av allt man presterat genom åren försvinner oerhört mycket av problemen och praktiskt får man som användare mycket färre problem.
Foto:
Kommentera