Red Hat: Microsoft misleidt publiek met security claims
Red Hat beschuldigt Microsoft ervan dat het in haar nieuwste aanval op Linux het publiek misleidt. Tijdens een recente conferentie richtte Mike Nash zich op Linux, en dan met name Red Hat. Volgens Nash zouden er tussen januari en juni 38 security bulletins voor Windows Server 2003 zijn uitgekomen, terwijl er in dezelfde periode 234 voor Red Hat Enterprise Linux 3 verschenen. Mark Cox, hoofd van Red Hat’s security response team, laat echter weten dat deze eenvoudige vergelijking niet opgaat en dat alleen het kijken naar het aantal advisories misleidend is. Microsoft vergat namelijk te melden dat er in de periode slechts twee kritieke Red Hat lekken waren.
"Op de Microsoft schaal is een lek kritiek wanneer een aanvaller een systeem kan overnemen. Windows Server 2003 had in dezelfde periode acht kritieke lekken, vier keer zoveel" zegt Cox. Ook de tijd tussen het verschijnen van een lek en een patch zou verkeerd door Microsoft worden voorgesteld.
waarschijnlijk in hun loze beloften / empty statements. Net
als die president aldaar.
HELP de SLACHTOFFERS van de OVERSTROMING!!
-de BrulBaviaan-
zwaar het weegt, niet hoeveel het er waren. Daarin had m$ gelijk. 234 is
toch ietsje meer dan 38. Fout is fout, je kan pech hebben dat de eene fout
zwaardere consequenties heeft.
pech hebben dat de eene fout zwaardere consequenties
heeft.
software die opzich niets met Linux en/of Red Hat te maken
heeft. Als je dezelfde soort fouten voor windows mee zou
rekenen, bijvoorbeeld een probleem met MDaemon (mailserver
voor windows) kom je vast tot een andere conclusie. Wedden
dat je dan veel hoger dan 234 uitkomt?
Gewoon weer ouderwets verdraaien van cijfertjes net zolang
tot ze zelf goed uit de bus komen. Kortom FUD.
Lul er maar omheen, enigste waarover gediscusseerd wordt
over hoe
zwaar het weegt, niet hoeveel het er waren. Daarin had m$
gelijk. 234 is
toch ietsje meer dan 38. Fout is fout, je kan pech hebben
dat de eene fout
zwaardere consequenties heeft.
Nee Microsoft heeft géén gelijk. Ze moeten niet de bugs in
third-party software meetellen. En dan nog trekken ze, adhv.
misleidende informatie, de verkeerde conclusie dat windows
veiliger zou zijn dan Linux (De RedHat distributie in dit
geval).
komen we op nog minder uit dan die 38. Eerlijk is eerlijk.
mogelijkheden tot uitbuiting zijn interessant maar theorie.
Meten = weten vindt ook Bruce Schneier. Zijn bevindingen
lees je op
http://www.schneier.com/blog/archives/2005/01/linux_security_1.html.
Maar moeten we dan niet iis, ftp etc ook niet zien als aparte software. Dan komen we op nog minder uit dan die 38. Eerlijk is eerlijk.
Maar opzich zou je, om het eerlijk te houden, alleen de fouten van het basis OS moeten vergelijken. De grote vraag blijft wat hoort nu wel en wat niet tot het basis OS.
Aan de andere kant, Apache is echt een third party t.o.v. Linux/RedHat en IIS t.o.v. MS niet. Hmmm...
gaat om third party software. Als dat waar zou zijn, zou Red
Hat dat ook wel genoemd hebben. Omdat ze dit niet zeggen,
zal het dus ook niet waar zijn, en staan de reagerende
security.nl bezoekers wederom voor schut wegens onwetendheid.
Linux gaat om third party software. Als dat waar zou zijn,
zou Red Hat dat ook wel genoemd hebben.
gekeken naar lekken die daadwerkelijk erg kritiek waren. Dit
om de discussie "hoort apache/IIS nu wel of niet tot het
basis OS?" direct te omzeilen.
waar zijn, en staan de reagerende security.nl bezoekers
wederom voor schut wegens onwetendheid.
Maar je hebt gelijk...
[url=http://secunia.com/product/2535/]Red Hat ES 3[/url]
[url=http://secunia.com/product/1174/]Windows 2003 Ent.[/url]
De rest mag je zelf nakijken...
Waarschijnlijk bekijkt RedHat het net andersom en hebben ze
gekeken naar lekken die daadwerkelijk erg kritiek waren. Dit
om de discussie "hoort apache/IIS nu wel of niet tot het
basis OS?" direct te omzeilen.
install CD's, DUS kunnen we deze bugs wel meerekenen met het
OS. Als je third party software niet meerekent, kun je een
Linux Distro niet afrekenen op software fouten, omdat
bijvoorbeeld een Red Hat zelf vrij weinig software maakt.
Het gaat dan namelijk niet alleen om Apache, maar ook om de
kernel van het OS. Dit hebben zij namelijk ook niet gemaakt.
Zo zie je maar weer hoe dom het is om third party software
niet mee te rekenen. Je moet kijken naar de software die
geleverd word op de installatie cd's, want die horen bij het OS.
Waarschijnlijk bekijkt RedHat het net andersom en hebben ze
gekeken naar lekken die daadwerkelijk erg kritiek waren. Dit
om de discussie "hoort apache/IIS nu wel of niet tot het
basis OS?" direct te omzeilen.
install CD's, DUS kunnen we deze bugs wel meerekenen met het
OS. Als je third party software niet meerekent, kun je een
Linux Distro niet afrekenen op software fouten, omdat
bijvoorbeeld een Red Hat zelf vrij weinig software maakt.
Het gaat dan namelijk niet alleen om Apache, maar ook om de
kernel van het OS. Dit hebben zij namelijk ook niet gemaakt.
Zo zie je maar weer hoe dom het is om third party software
niet mee te rekenen. Je moet kijken naar de software die
geleverd word op de installatie cd's, want die horen bij het
OS.
standaard-configuraties regelmatig te beoordelen.
B.v. RHES 3.0 + Apache 2.x, W2K3 Webserver, WinXP met Office
2003, Fedora Core 4 met OpenOffice.org enz. enz.
een exploit van user naar root status te kunnen gaan. Dit
soort advisories zijn erg belangrijk als je een server hebt
met 200 gebruikers, waar er mogelijk slimme gasten/dames
tussen zitten die dingen willen proberen. Door de advisories
wordt het OS meer secure.
Over dat andere bedrijf kan ik niks uitleggen, want ik draai
het simpel niet.
lekker open deurtje van red hat
Nouja, vergelijk het met de kreten die langsvliegen als je
XP installeert: "dat je veilig kunt internetten" enz. Over
misleiding gesproken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
