"Tegenstanders full disclosure zijn naïef"
Beveiligingsonderzoeker H.D. Moore wordt regelmatig geprezen voor zijn bijdragen aan de security gemeenschap, maar sommige aanbieders vinden hem een luis in de pels. Volgens critici blijven veel beveiligingslekken onopgemerkt als onderzoekers er niet naar gaan zoeken. De man achter het Metasploit project is het daar niet mee eens en waarschuwt dat de ergste lekken vaak gevonden zijn nadat een aanvaller er misbruik van maakte.
Tegenstanders van full disclosure komen dan ook naïef over, aldus Moore. "Als ik een lek vind ga ik ervan uit dat iemand anders hem al eerder heeft gevonden".
Afhankelijk van de situatie wacht Moore dan ook niet op de vendor om met een patch te komen. Het is een mythe dat "responsible disclosure" betekent dat je op een patch moet wachten, in sommige gevallen is het beter om druk uit te oefenen, gaat de onderzoeker verder.
leveranciers die pas haast maakten lang bekende lekken te dichten, nadat
de ontdekker ervan de gegevens openbaar maakte (ik hoef geen namen te
noemen waarschijnlijk).
In het geval van closed source geven lekken meer inzage in de diepere
werking van het systeem, wat in elk geval de leveranciers niet graag zien.
Voor open source maakt dat niet uit.
Als je een oordeel over veiligheid moet baseren op het aantal lekken en de
ernst ervan, zie ik feitelijk weinig verschil tussen closed en open.
Bij closed source zie je dat leveranciers er geheimzinnig over doen en hun
klanten feitelijk belazeren. En dat zie je bij open source in elk geval niet.
en de ernst ervan, zie ik feitelijk weinig verschil tussen closed en open. [/
quote]
en hun klanten feitelijk belazeren. En dat zie je bij open source in elk geval
niet.
Dat is juist het GROTE verschil......;)
TT
onopgemerkt als onderzoekers er niet naar gaan zoeken.
uitgeschoten met een zaag, maar zolang ik er niet naar kijk
bloedt mijn arm echt niet..."
Het feit dat JIJ niet zoekt naar beveiligingslekken, wil
niet zeggen dat anderen dat ook niet doen. En als het
probleem eenmaal bekend is, wil je als bedrijf zijnde er
niet achteraan hoeven hobbelen om dan nog eens met een patch
te komen.
Zeker critici van bedrijven die regelmatig aangesproken
worden op hun lakse manier van omgaan met beveiligingslekken?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
