Microsoft moet onderzoekers betalen voor security lekken
Bij het bekend worden van een lek in haar software roept Microsoft regelmatig dat security onderzoekers op een verantwoorde manier hiermee om moeten gaan. Wat de softwaregigant eigenlijk zegt is dat zij als eerste wil worden ingelicht, waarna de rest van het publiek pas na het verschijnen van een patch van de kwetsbaarheid mag weten.
Niet alleen zijn er onderzoekers die direct hun bevindingen bekend maken, zonder de aanbieder in kwestie in te lichten, het verkopen van lekken wordt ook steeds populairder. Nu kun je onderzoekers niet verwijten dat zij lekken vinden die door de ontwikkelaar zijn veroorzaakt.
Nu hebben onderzoekers natuurlijk ook hun eigen verantwoordelijkheid, de verleiding van het grote geld lonkt. Geld dat ook Microsoft kan bieden. Het bedrijf zegt al jaren dat de security van haar klanten de hoogste prioriteit heeft. Zou het dan niet zo moeten zijn dat men er alles voor over heeft om die klanten tegen onbekende security lekken te beschermen? Waarom heeft Microsoft geen geld over voor dit soort waardevolle informatie. Niet alleen bevordert dit verantwoordelijke "disclosure", het geeft Microsoft meteen de gelegenheid om actie te ondernemen. Onze stelling luidt derhalve: Microsoft moet onderzoekers betalen voor security lekken
dat ook gewoon.
What's next. Moet dadelijk ook de politie betalen voor elke "gouden
tip"?
Microsoft had er geen belangstelling voor. Hint: Outlook Express kan zo
geconfigureerd worden dat het geen uitvoerende bestanden via bijlages
kan utivoeren.....althans dat gelooft Microsoft. Ik heb een paar wegen
gevonden waardoor kwaadaardige codes alsnog kunnen worden
uitgevoerd, terwijl de computergebruiker denkt dat hij of zij veilig zit.
De lekken zitter er nog steeds in overigens en zijn dus nog steeds niet gepatched.
de verleiding van het grote geld lonkt. "
De tijd van security research vanuit ethische beweegredenen zijn al jaren
voorbij. Men kan niet stellen dat een onderzoeker een verantwoordelijkheid
draagt jegens een fabrikant. Sterker nog elke fabrikant heeft een
verantwoordelijkheid richting haar afnemers en derhalve zou elke
frabrikant wettelijk verplicht moeten worden om significante fouten waarop
ze gewezen worden te vergoeden ter grote van een percentage van de
schade die er mee voorkomen is.
Zou houd je alle partijen scherp en kun je er op aan dat elke fout in wat
voor product dan ook (fouten zitten niet alleen in software namelijk)
uiteindelijk bij de fabrikant bekend word gemaakt.
te zetten en bespaart daarmee ontwikkelkosten en 'time to
market'. Hierdoor kan MS dus meer winst maken en daar mogen
vinders van een lek best een financieel voordeel uit halen.
je vooral geld gaan aannemen van belanghebbende partijen,
dan ben je voor mij het slijk der aarde.
Peter V. schijnt er overigens wel trek in te hebben ;-)
tijd en moeite is helemaal niet onredelijk
kritieke zone dit ligt. Een klein lek hoeft niet zo snel beloond te worden voor
ontdekking, maar een zeer kritiek lek, wat voor veel problemen kan zorgen,
mag dan wel beloond worden.
niet door security onderzoekers GEMAAKT, ze worden slechts GEVONDEN
door security onderzoekers. Iedereen die zo naief is die denkt dat ALLEEN
security onderzoekers lekken kunnen vinden moet zich heel snel
verstoppen achter z'n Microsoft Keyboard. Microsoft heeft er echter baat bij
om GEEN lekken naar buiten te laten borrelen. Uit persoonlijke ervaringen
uit het verleden blijkt dat Billysoft vaak roept "kan niet, is onmogelijk,
prettige dag verder". Hoe kun je verwachten van een leverancier dat je dan
nog 'vriendelijk' om kunt gaan met die toko? Dat fixen van simpele, doch
kritische lekken wel 15 jaar duurt bij onze 'vrienden' uit Redmond zegt
eigenlijk genoeg. Het NIET publiceren van lekken brengt de gebruikers in
gevaar. Het is het tegenovergestelde. Het uitstellen van publicatie
veroorzaakt nu juist een security probleem. Zie het als die minister van
justitie.. Het is een PRIKKEL om van je luie reet af te komen en GOED te
programmeren.
De uitspraak is: Gun's don't kill people, people kill people!
Mijn mening is dat er een nieuwe goede afspraak moet komen tussen
ontdekkers van bugs en de makers van de software. Want als Microsoft
zou moeten gaan betalen, moet de rest dan dat ook? Zie Linus Thorvald al
betalen voor elke bug in de kernel van Linux?
En ja, soms mag er wel wat betaald worden als beloning, maar het zou
niet het uitgangspunt mogen zijn.
gebruik, dan mét een wapen.
Ik vraag me dan af of ze nog steeds zouden beweren dat wapens geen
mensen doden...
gooit daar 10% van z'n omzet in.
De lekken zitter er nog steeds in overigens en zijn dus nog
steeds niet gepatched.
je het wat harder wil aanpakken via de full-disclosure list
van Secunia. Moet je eens merken wat een beetje officiele en
gerespecteerde druk bij Microsoft kan opleveren.
What's next. Moet dadelijk ook de politie betalen voor elke
"gouden
tip"?
Niets onzin. Software fabrikanten hebben er zeer veel belang
bij dat hun producten waar ze flink geld aan verdienen
veilig zijn en ze hun klanten niet in gevaar brengen. Wie
een lek vind werkt mee aan ontwikkeling waar ze zelf aan
verdienen en heeft taken overgenomen die ze zelf hebben
nagelaten of hebben geblunderd.
Het is niet vergelijkbaar met betalen door politie voor
tips. De politie is geen organisatie waar het doel
winstmaken is voor eigen belang.
#1 Security vindt een bug, report aan vendor, vendor zegt "dank je wel" en
fixt probleem.
#2 Security vindt een bug, report aan vendor, vendor zegt "hahahaha,
grappig, don't call us, we'll call you" en doet vervolgens niets.
#3 Security vindt een bug, report aan vendor, vendor zegt "hahahaha,
grappig, en blijkt inderdaad 'niets spannends' te zijn. en doet vervolgens
niets
#4 Security vind een bug, report aan vendor, vendor zegt "dan je wel." en
doet vervolgens niets.
Ik zou toch zeggen bij regel 2 en 4 dat je wel wat 'pressie' mag gaan
uitvoeren... Laat ik zo zeggen, de meeste fabrikanten DOEN niets anders
dan 2 of 4... En wat heb je dan aan je 'vendor-friendly disclosure' ?
Helemaal nada.. noppes, niets... En de gebruikers blijven onbeschermd.
Maarja, volgens toko's als Microsoft is DAT veiliger... (voor hun overvolle
beurs waarschijnlijk).
Je hebt wel een aantal scenario's.
#1 Security vindt een bug, report aan vendor, vendor zegt "dank je wel" en
fixt probleem.
#2 Security vindt een bug, report aan vendor, vendor zegt "hahahaha,
grappig, don't call us, we'll call you" en doet vervolgens niets.
#3 Security vindt een bug, report aan vendor, vendor zegt "hahahaha,
grappig, en blijkt inderdaad 'niets spannends' te zijn. en doet vervolgens
niets
#4 Security vind een bug, report aan vendor, vendor zegt "dan je wel." en
doet vervolgens niets.
Ik zou toch zeggen bij regel 2 en 4 dat je wel wat 'pressie' mag gaan
uitvoeren... Laat ik zo zeggen, de meeste fabrikanten DOEN niets anders
dan 2 of 4... En wat heb je dan aan je 'vendor-friendly disclosure' ?
Helemaal nada.. noppes, niets... En de gebruikers blijven onbeschermd.
Maarja, volgens toko's als Microsoft is DAT veiliger... (voor hun overvolle
beurs waarschijnlijk).
Niet mee eens. Check anders de statistieken maar eens voor dat je wat
blaat. TIP. Check http://www.eeye.com of http://www.securityfocus.com maar eens...
Microsoft neemt security steeds meer serieus en terecht, natuurlijk!
Kunnen bedrijven als Apple en Google nog een voorbeeld aan nemen.
I rest my case.
het leven te roepen, maar ze zijn het niemand verplicht.
software... Elke toko gooit daar 10% van z'n omzet in.
Dit soort ideeen klinken leuk, maar hebben in de praktijk
vaker wel dan niet een ongewenst effect. Zoals hier
bijvoorbeeld: als je als bedrijf zoveel mogelijk wil
terugzien van het geldt wat je in dat fonds moet laten
verdwijnen, dan maak je toch lekker lekke software?
een producent inlicht over beveiligingsproblemen in software.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?