Jarenlang met 98SE gewerkt, maar ik ben blij dat ik dat krakkemikke
besturingsysteem kwijt ben!

Door S.G, op donderdag 19 mei 2005 13:00

Eeen vergiet heeft minder gaten dan windows 98!

ligt aan de soort vergiet...

De gratis ondersteuning van Windows 98 SE eindigde in
2003, maar Microsoft stelt nog wel security updates voor het
bejaarde besturingssysteem beschibkaar.

Wat veel spellingsfouten in zo'n klein geschreven artikel.
Weet iemand hoe W98 nu werkt met SP2, stabieler oid?

Sinds wanneer is/was Windows98 een besturingssysteem?

sinds 1998

Ik moet het toch even kwijt,ik heb al jaren win98SE en ik wil
niet anders

her

Wat een briljant onderbouwde en zinvolle reacties
weer, op de laatste twee na. Verder allemaal Microsoft
resellers neem ik aan?

Als je NBT (NetBIOS over TCP/IP) uitzet kun je een
ongepatchte Win98SE zonder firewall aan Internet
hangen, zonder bang te hoeven zijn voor wormen of om op
andere wijze via het netwerk gehackt te worden (moet je eens
met een ongepatchte W2K, XP of 2K3 proberen). Zelfs
met NBT, mits "file and printer sharing" uit staat,
zijn er voor zover ik weet nooit exploits gepubliceerd die
remote code execution mogelijk maken. Natuurlijk zijn DoS
attacks wel mogelijk, maar dat geldt ook voor recente en
geheel gepatchte Windows versies
(http://www.frsirt.com/exploits/20050517.LandIpV6.c.php,
en bijv. http://www.kb.cert.org/vuls/id/637934:
"Microsoft Corporation Vulnerable 18-May-2005", hoewel
andere bronnen vermelden dat je met MS05-019 niet meer
vulnerable zou zijn).

Een zwak punt van W98 is Internet Explorer en de integratie
in de shell, maar dat geldt ook (en vaak nog meer) voor z'n
opvolgers. Maar onder W98 kun je bijv. probleemloos
mshta.exe, wscript en cscript een schop geven zonder dat dit
gevolgen heeft voor beheer en dagelijks gebruik (zie bijv.
http://www.sarc.com/avcenter/venc/data/win.script.hosting.html).
Jammer dat je teveel kapot maakt met het verwijderen van
"html help". Aan de andere kant, pas sinds XPSP2 is MSIE
enigzins safe te gebruiken (SP2 is nog geen jaar
beschikbaar, maar sinds het uitkomen ervan bleken al weer
een heel stel patches noodzakelijk).

Natuurlijk is het zo dat iedereen admin is onder Win98, maar
dat geldt ook voor verreweg de meeste andere Windows
installaties bij mensen thuis (en daar was Win98 ten slotte
voor bedoeld). Daarnaast, bij out-of-the-box W2K en XP
installaties zijn er voldoende privilege escalations
mogelijk dat je niet de illusie moet hebben dat je (of code
die -onbedoeld- onder jouw account gestart wordt) met je
gewone user-account het systeem niet om zeep kunt
helpen, en je huisgenoten niet bij jouw bestanden kunnen
komen. N.B. met fisieke access tot een PC is zowiezo alles
mogelijk tenzij je EFS gebruikt, wat in elk geval onder W2K
helaas weer te wensen over laat
(http://www.securityfocus.com/products/vendor/457).

Een ander nadeel van W98 is het geheel ontbreken van
logging. De meeste grote broertjes kunnen dit wel
maar meestal staat het niet aan (of stopt als er 64K
geschreven is o.i.d.), en als er al iets aan staat,
ontbreken vaak belangrijke details (zoals IP- en
MAC-adressen in security logs).

Wel is Win98 door z'n 16-bits GUI, nauwelijks of geen
scheiding van geheugen tussen applicaties en vaak minder
robuuste drivers (waaronder die van grafische kaarten) bij
intensief gebruik eerder instabiel dan z'n opvolgers. Maar
dat heeft op zich niets met security te maken (en
daar ging deze site toch over dacht ik).

Een voordeel is dat je gewoon DOS kunt booten. Mocht er
rootkit-achtige malware geinstalleerd zijn, dan is dat de
laatste jaren (bijna?) zonder uitzondering 32bit code die
dan niet werkt en is vinden en verwijderen een stuk simpeler
(vergelijk bijv. recente Sober's onder Win32, zie
http://www.viruslist.com/en/weblog onder
"Protection mechanisms" van 12 mei).

Als je een wat oudere PC, een inbelverbinding en geen
behoefte aan de laatste games en multimedia toepassingen
hebt, heb je een gaatje in je hoofd als je om
security redenen zou updaten naar XP Home (de
voorbestemde opvolger van 98/ME volgens MS). Sterker, hoe
meer mensen die zich niet voor security interesseren (lees
bijna iedereen) daarop overstappen, hoe meer spammende
zombies erbij komen.

Win98 gecombineerd met Firefox en Thunderbird (of Pegasus
Mail) is een prima low-budget systeem voor mensen die alleen
af en toe een briefje schrijven, wat emailen en zo nu en dan
wat opzoeken op het web. Jammer van de recente serieuze bugs
in Firefox, maar ondanks dat is af en toe een update daarvan
(zeker voor inbellers) een stuk onderhoudsvriendelijker dan
XP (waarbij je je bijna elke maand suf kunt patchen), zeker
zodra de update functie van Firefox goed werkt en patches
substantieel kleiner worden dan 5MB.

Erik van Straten (geschreven+gepost vanaf een W98SE PC)

Je hoeft niet bang
te zijn gecracked te worden bedoel je, want je systeem
wil je hacken om deze robuust te maken tegen aanvallen.
Nee? Dus je vind het niet echt een punt dat
vervelende applicaties in het geheugensegment van andere
programma's kunnen lezen?
Weet je dat je onder NT based systemen ook de
prompt kunt installeren voor vergelijkbare
onderhoudswerkzaamheden? Installeer gewoon vanaf de
installatie-CD i386winnt32.exe /cmdcons
...dan heb je toch iets essentieels over het
hoofd gezien en niet weten te voorkomen.

Daarnaast werkt het natuurlijk 'prettig' met FAT onder Win98
zonder foutcontrole en prestatieverlagende hogere
fragmentatie en zonder de mogelijkheid om rechten op
bestanden of directories te kunnen zetten, waarop bestanden
vrij makkelijk gecorrumpeerd kunnen raken.
Ik begrijp niet dat je er wat anders en recenters
opzet als jij op een low budget systeem werkt en alleen maar
af en toe een briefje schrijft, wat e-mailt en soms wat
opzoekt? Distributies te over :)

Laat hem toch!

Wat een gelul zeg!

Wanneer iemand goed uit de voeten kan met wat voor een OS dan
ook en er verantwoordelijk mee omgaat, andere internetters er niet
mee bedreigt, wie ben jij dan om daar aanmerkingen op te maken?

Duidelijk iemand wiens PC de Internet APK-keuring weer glansrijk
heeft doorstaan, terwijl er nog hele volksstammen rondrijden die
denken veilig te zijn door een twee jaar geleden geïnstalleerde Linux-
distributie zonder daarna nog maar een seconde over updates
nagedacht te hebben.

Per slot van rekening gaat het om degene achter het keyboard.

Als die niet fris genoeg is en op de hoogte, houdt geen enkel OS de
boel droog.

Ik ben het met de laatste poster eens.

Hee, eindelijk een inhoudelijke discussie, thanx!

Op vrijdag 20 mei 2005 01:01 schreef Anoniem:
> Dus je vind het niet echt een punt dat vervelende
> applicaties in het geheugensegment van andere
> programma's kunnen lezen?

Nauwelijks. Als er een vervelende applicatie draait ben ik
te laat, want die kan ongeacht het besturingssysteem ook
mijn bestanden wissen en/of elk email adres dat op mijn
systeem voorkomt met junk bestoken. Maar het zou natuurlijk
om een "stille" en niet door AV gedetecteerde trojan kunnen
gaan. Echter, ook met het beste besturingssysteem ben je
momenteel vulnerable indien je de een Intel CPU met
hyperthreading gebruikt (met name ongewenst als je een
serieus multi-user systeem als terminal server draait of
bijv. een *bsd systeem met interactieve ssh gebruikers). Zie
http://www.security.nl/article/10797/1/Gevaarlijk_lek_in_Intel_processoren_met_Hyper-Threading.html

En niet te vergeten mijn argument dat bijna 100% van alle
thuisgebruikers met een admin account draait, waarmee ze het
"debug" privilege hebben en dus effectief in het geheugen
van elke applicatie kunnen peeken en poken. Linux heeft een
wat betere reputatie op dit gebied maar ook deze week was er
weer een kernel bugfix die ongewenste privilege escalations
moet voorkomen
(http://www.kernel.org/pub/linux/kernel/v2.6/ChangeLog-2.6.11.10).

Verder neemt het gebruik van "injection" technieken toe in
exploits, waarmee je effectief iets vergelijkbaars bereikt
(malware die via een in MSIE space geladen DLL "naar huis
belt" om outbound firewall detectie te voorkomen), BHO's
kunnen "sniffen" wat je intikt en keyloggers kunnen ook
zonder admin rechten geinstalleerd worden en draaien.

> Installeer gewoon vanaf de installatie-CD
> i386winnt32.exe /cmdcons

Weet ik, maar als ik ergens op bezoek ben en een
niet-bootend systeem moet herstellen dan is dat nooit vooraf
gebeurd natuurlijk. Onder Win98 kun je zonder verdere tools
(zoals Knoppix- of BartPE CD's) al wat doen.

> > rootkit-achtige malware
> ...dan heb je toch iets essentieels over het
> hoofd gezien en niet weten te voorkomen.

Persoonlijk let ik erg goed op welke code ik start. Maar
soms zijn fouten (vooral voor doorsnee gebruikers)
nauwelijks te voorkomen; bijv. PuTTY is ooit, getrojaned en
wel, via download.com verspreid. De meeste software die je
downloadt zijn exe files die je niet vooraf uit kunt pakken
(om een gevoel te krijgen waar je aan begint), en die je op
een goed beveiligd systeem als admin zult moeten
installeren (i.v.m. schrijfrechten onder Program Files en
bijv. System32). Updates van system components en services
zul je onder elk OS als root/admin (of ander privileged
account) moeten doen, en met vulnerabilities in bijv. CVS
systemen blijft dit vaak een gok.

Ook heb ik zelf al behoorlijk wat malware onderzocht; daar
zit vaak rommel bij (die bijv. via een webbrowser exploit je
systeem infecteert) waarvan je het de gebruiker nauwelijks
of niet kunt aanrekenen dat deze zijn systeem heeft
overgenomen. Grappig in dit verband is recente malware die
naar verluid niet onder Win9x draait:
http://www.sarc.com/avcenter/venc/data/trojan.webloin.html
"The Trojan will only run successfully on computers running
Windows NT/2000/XP/2003".

> Daarnaast werkt het natuurlijk 'prettig' met FAT onder
> Win98 zonder foutcontrole en prestatieverlagende
> hogere fragmentatie

Geen security issue, en bovendien geen enkel probleem mee.
Grote FAT partities hebben grote clusters, daar verspil je
veel ruimte mee, maar het is wel snel. Ik heb vele jaren
geleden al onder NT3.51 de ervaring opgedaan dat het
compileren van grote C++ projecten (veel files dus) op een
FAT16 partitie met grote clusters sneller gaat dan op een
NTFS partitie (4K clusters, zelfde drive en tracks), zo goed
als zeker t.g.v. de overhead van het evalueren van ACL's
(FAT32 is door de grote FAT-tabellen weer ongunstiger, en/of
kost relatief veel cache geheugen). In mijn ervaring wordt
het "fragmentatie perfomance probleem" zwaar overtrokken.
Fragmentatie is wel erg vervelend als je met een
diskeditor een gewist bestand probeert terug te halen maar
dan is FAT toch nog steeds makkelijker dan NTFS. N.B. een
virusscanner die alle bestandstypen scanned, da's pas
prestatieverlagend - ongeacht Windows versie.

Met "foutcontrole" bedoel je waarschijnlijk een journalling
system dat 98 niet kent. Maar ik ken verschillende mensen
die hun 98 PC zonder afsluiten uitgooien en daar telkens
weer mee wegkomen (ik raad ze dat natuurlijk af) dus de
robuustheid van FAT valt in de praktijk ook reuze mee.
Sterker, ik heb na bijv. een stroomstoring fsck op ext2
vaker flinke correcties zien uitvoeren dan scandisk op fat32.

> zonder de mogelijkheid om rechten op bestanden of
> directories te kunnen zetten, waarop bestanden
> vrij makkelijk gecorrumpeerd kunnen raken.

Mijn eigen bestanden zijn de belangrijkste op mijn systeem
en zeker de actuele wil ik kunnen wijzigen, dus daar gaan
permissies me niet mee redden. Het is een illusie te denken
dat een besturingssysteem 100% bescherming biedt "zodra je
binnenbent". Vergelijkbaar met het slot op je
slaapkamerdeur; als een vastberaden persoon eenmaal je
voordeur is gepasseerd gaat dat slot ze echt niet
meer tegenhouden. Je hebt wel een punt als je zegt
dat het volledig overnemen van een systeem na een
"unprivileged" intrusion onder NT/2K/XP moeilijker
gemaakt kan worden. Voor network based attacks gaat
dit echter zelden op want daarbij wordt meestal meteen
SYSTEM access verkregen.

> Ik begrijp niet dat je er wat anders en recenters
> opzet als jij op een low budget systeem werkt en alleen
> maar af en toe een briefje schrijft, wat e-mailt en soms
> wat opzoekt? Distributies te over :)

Ik draai van alles (Win98, NT4, XP, Linux en indien nodig
DOS) maar op dit systeem staat nog Win98SE. Met meer
of minder moeite is elk systeem te beveiligen, maar op een
gemiddelde Linux distro uit 1999 zul je mogelijk meer
services moeten disablen c.q. poorten dicht moeten zetten
dan op Win98SE wil je niet ge[cr|h]acked worden via een
netwerk attack (ervan uitgaande dat je geen NAT-router
o.i.d. hebt die je daartegen beschermt). Mijn Win98 luistert
momenteel op geen enkele poort, en het is een koud
kunstje om het zover te krijgen.

Natuurlijk valt er qua security, zeker indien er spake is
van meerdere gebruikers (mits geen lid van administrators of
power users) veel te zeggen voor een vakundig
dichtgetimmerd en fully patched XPProSP2 (of Linux)
systeem, maar 99% van de thuisgebruikers draait dat niet en
gaat dat ook niet doen.

Win98 is, zelfs out-of-the-box (dus zonder een enkele
patch) qua security, zeker gezien de leeftijd, helemaal zo
gek nog niet (de enige gapende gaten zijn IE en OE maar die
kun je blijven patchen). Dat auteurs en verkopers je
liever wat anders vertellen begrijp ik, maar bijv. Anoniem
van donderdag 19 mei 2005 13:02 is door het volledig
weglaten van enige onderbouwing gewoon een zwatelaar. Ik
hoop dat minder ervaren en nieuwsgierige bezoekers van dit
forum zich niet door dit soort "bijdragen" laten overhalen
om hun werkende win98 door een neefje of buurman te laten
vervangen door een illegale (vaak niet te patchen) XP Home,
of het via de computerboer regelen die ze ongetwijfeld (qua
performance waarschijnlijk terecht) tevens een nieuwe PC zal
aansmeren.

Erik van Straten

Een kritische opmerking is niet per definitie negatief, maar
kan een basis vormen voor een leuke discussie.
Gedeeltelijk met je eens:
Als het doe-het-zelf is, zonder kundig
beheer al of niet door een derde, klopt die stelling.
Dat hangt van de
rechten af die de vervelende applicatie zou hebben versus
die van de bestanden en afhankelijk van O.S. Maar te laat
ben je dan inderdaad.
Dat onder
een admin account draaien moeten ze dus afleren. Hoewel ik
je moet nageven dat dit onder Windows nauwelijks verschil
zal maken, gelet op z'n architectuur.
Daar
waar je op bezoek komt hebben ze niet de originele
installatiemedia liggen? Het hoeft niet vooraf geïnstalleerd
te worden maar kun je ook van de installatiemedia booten en
daar voor de console kiezen.
Dat kan ik mij voorstellen als de gegevens nog
niet geflushed zijn, dat er wat te corrigeren is. Voor
stroomstoringen heeft men UPS' uitgevonden, het is ook
moeilijk flushen zonder power :)
Eens. In dat
geval kan het alsnog overal bij.
Ik ben overigens geen Linux fan en verbaas
mij regelmatig dat dit van stal wordt gehaald, maar als het
goed is kun je het zo installeren dat er alleen op komt te
staan dat daadwerkelijk gebruikt wordt. Het vervelende bij
Windows is, ook bij Windows 98, dat het bulkt van spulletjes
die never nooit niet gebruikt worden waarvan bij het
leeuwedeel ook niet je bedoeling zal zijn dat deze worden
ge/misbruikt. Ik ben het met je eens dat je met puinruimen
het Windowssysteem aardig op orde kunt krijgen. Onder NT
gebaseerde systemen heb je inderdaad een boel services te
disablen :)
Dat vind ik ook een voordeel van Windows 98
ten opzichte van zijn opvolgers die hardnekkig op enige
poorten blijven luisteren (zoals de Location Service en SMB).
Vakkundig laten
beheren/dichttimmeren bedoel je? :)
Die kun je er ook uitslopen :)
Niet helemaal, Windows 98 kom
je nog wel tegen bij bedrijven die het soms in hun bol
krijgen te denken over te willen stappen op XP terwijl het
gebruik niet veel anders is dan jij bijvoorbeeld schetste.
Dan is het doodzonde om zulke bedragen uit te geven voor
licenties en apparatuur voor al die overkill die niet
benodigd is. Ik lever dan ook geen kritiek op je stuk maar
was en ben benieuwd naar je gedachten achter de bewuste
keuze die je duidelijk hebt gemaakt. Ik ben met je eens dat
Windows 98 zeker voordelen biedt maar blijf er moeite mee
hebben om het (voor thuisgebruikers) min of meer als
'default secure' te presenteren met, ik citeer: 'als enige
gapende gaten IE en OE.'
Dat is overigens precies hetzelfde bezwaar dat ik ook heb
met andere O.S. discussies, geen enkele uitgezonderd.

Ik ben het grotendeels eens met Anoniem van zaterdag 21 mei
2005 09:49. Enkele reacties:

M.b.t. installatiemedia: als er al veel gepatched is, kan
het link zijn om die nog in je drive te stoppen (ik
herinner me vaag een incident maar het schiet me niet te
binnen, in elk geval wil je zeker niet dat een
meedenkende setup.exe je NTLDR of ATAPI.SYS vervangt
door eentje van een paar jaar geleden). Bovendien twijfel ik
er aan of op "restore" CD's (die bijv. Dell meelevert)
dergelijke tools staan. Ten slotte zijn de mensen die hulp
nodig hebben met hun PC meestal degenen die geen flauw benul
hebben waar de "Asus doos" met CD's, grijze zakjes en
nooitgelezen boekjes is gebleven.

> Windows 98 zeker voordelen biedt maar blijf er moeite
> mee hebben om het (voor thuisgebruikers) min of meer
> als 'default secure' te presenteren

Ik raad mensen altijd aan WEL te patchen, maar gezien het
feit dat veel (de meeste?) MS gebruikers dat NIET doen is
het beter voor het Internet (en het milieu) als zij Win98
(blijven) draaien dan XP, o.a. omdat dat type dit bijna
zonder uitzondering als admin doet. En niet in de laatste
plaats omdat dit vaak de aanleiding is om een permanente en
snelle internet verbinding aan te schaffen en de PC nooit
meer uit te zetten.

Een off-topic reactie op de volgende interessante
opmerking:

> Dat hangt van de rechten af die de vervelende
> applicatie zou hebben versus die van de bestanden

Onder Windows bestaat dit nog niet, maar idealiter wordt aan
elke applicatie (en DLL) een unieke identiteit gekoppeld,
zodat je met ACL's toegangspermissies daarmee op
bestanden kunt regelen; ten slotte zitten ook de
programmeurs aan jouw bestanden. In plaats van een
wachtwoord slaat het OS een betrouwbare cryptografische hash
op van de binary. Daarnaast kun je ook de bekende privileges
koppelen aan deze "accounts" en deze wellicht uitbreiden met
bijv. het recht om uitgaande TCP verbindingen op te zetten.

Natuurlijk wordt het systeem veel te log als per bestand een
ACL wordt toegevoegd die de toegangsrechten van een enkele
applicatie vastlegt, dus het gebruik van groepen ligt voor
de hand. Maar zelfs met groepen als "Applicaties met
internet connectiviteit" wordt beheer erg gecompliceerd en
het gebruik ondoorzichtig (helpdesks gaan dit niet leuk
vinden), en liggen door de vereenvoudiging (ftp.exe moet wel
files kunnen lezen en schijven, maar nslookup.exe niet)
achterdeurtjes op de loer.

Neemt niet weg dat je veel problemen zou kunnen voorkomen
door bijv. IE te draaien onder een een apart account
met minimale privileges en een profile dat telkens van
scratch wordt opgebouwd, waarbij hooguit bookmarks en
cookies de sessies overleven. Door de manier waarop IE in de
Windows shell geintegreerd is, is dit een utopie; maar voor
bijv. Firefox zou dit best een prima truuk kunnen zijn (voor
alle duidelijkheid, alleen op NT4 en hoger, dus niet op 98/ME).

Misschien moeten ze dit in Firefox inbouwen: een lijstje met
trusted sites, en zodra je daarvan afwijkt wordt via een
soort "RunAs" een geheel nieuwe browser (goed herkenbaar,
ander kleurtje o.i.d.) opgestart onder een wegwerp account.
Of bestaat zoiets al?

Erik van Straten