"Vista UAC biedt geen bescherming tegen malware"
Microsoft predikt al jaren het mantra dat gebruikers met verminderde rechten moeten inloggen, omdat malware dan minder kansen krijgt, maar Vista's User Account Control ten spijt is dit niet het geval, zegt Robert Grimes. Het zou veel van de huidige malware stoppen, net als met veel legitieme software het geval is die eisen dat de gebruiker als administrator is ingelogd. Toch is er ook vandaag de dag voldoende malware die creditcardgegevens kan stelen, je computer overnemen of andere nare dingen kan doen zonder dat hier admin toegang voor nodig is.
"Het heeft me altijd verbaasd waarom Windows malware probeert om bestanden in de System32 map te wijzigen of zichzelf hier te plaatsen. De meeste mensen zeggen dat dit is omdat de malware het Windows OS wil aanpassen, en dat klopt. De System32 map is echter helemaal niet nodig", gaat Grimes verder. Hij heeft een lijst bijgehouden van locaties waar vandaan malware schade kan veroorzaken, en dat zijn er meer dan 130.
Het ingelogd zijn als administrator maakt het leven een stuk eenvoudiger voor virusschrijvers. Oplossingen als User Account Control zullen daar echter niets aan veranderen. "Er is niets dat malware vandaag de dag kan doen, dat niet kan zonder verhoogde rechten. Ik heb het niet over de manier waarop het het systeem aanpast, maar het gewenste resultaat van de aanpassing."
Reacties (26)
En daarom zijn OS X en Linux net zo vatbaar voor malware als
Windows. De veiligheid van het OS is nauwelijks van invloed.
De meeste malware werkt prima onder slechts de rechten van
een normale gebruiker. Alleen met malware voor Windows valt
veel meer te verdienen omdat er simpelweg meer installaties
zijn.
Windows. De veiligheid van het OS is nauwelijks van invloed.
De meeste malware werkt prima onder slechts de rechten van
een normale gebruiker. Alleen met malware voor Windows valt
veel meer te verdienen omdat er simpelweg meer installaties
zijn.
14-01-2008, 10:52 door
SirDice
Volgens mij roep ik dat al een tijdje.....
Mooi. Lekker paniek gezaaid, bravo! En nu? Het zou wel sjiek zijn om er
een simpele tip voor Bep van drie-hoog-achter bij te doen. Anders komt de
tijd dat mensen het nog verdommen om via internet financiele transacties
te doen.
Peter.
een simpele tip voor Bep van drie-hoog-achter bij te doen. Anders komt de
tijd dat mensen het nog verdommen om via internet financiele transacties
te doen.
Peter.
14-01-2008, 11:27 door
Bitwiper
Deels mee eens; als er geen sprake is van privilege escalation kan de malware wat de user kan.
Bij een goed geconfigureerd systeem betekent dit echter onder meer:
[list][*] als de gebruiker uitlogt draait de malware niet meer
[*] geen invloed op andere gebruikers
[*] het systeem zelf (registry, OS, programma's) blijft onaangetast (kernel rootkits of services kunnen niet worden geinstalleerd)
[*] de hosts file kan niet worden gewijzigd
[*] afhankelijk van de software kan beveiligingssoftware (zoals virusscanners en firewalls) niet worden uitgezet en/of aangepast[/list] De afgelopen jaren ging de meeste malware (net zoals veel gewone software) ervan uit dat de user met admin privileges werkte, en functioneerde niet goed of geheel niet als dat niet zo was. Indien UAC een succes wordt heeft Roger Grimes gelijk; malwaremakers zullen zich aanpassen waardoor het statistisch gezien minder veilig zal zijn (dan voorheen) om als nonadmin te werken
Problematischer is dat malwaremakers op zoek zullen gaan naar privilege escalations of andere methoden om bijv. beveiligingssoftware uit te schakelen; Microsoft en applicatie bouwers hebben nog genoeg te doen op dat gebied (zie bijv. mijn [url=http://www.security.nl/article/17799/1/Panda_beste_proactieve_virusscanner_van_2007.html]bijdrage[/url] over Panda Antivirus die haar programmabestanden "Full Control" geeft voor Everyone).
Bij een goed geconfigureerd systeem betekent dit echter onder meer:
[list][*] als de gebruiker uitlogt draait de malware niet meer
[*] geen invloed op andere gebruikers
[*] het systeem zelf (registry, OS, programma's) blijft onaangetast (kernel rootkits of services kunnen niet worden geinstalleerd)
[*] de hosts file kan niet worden gewijzigd
[*] afhankelijk van de software kan beveiligingssoftware (zoals virusscanners en firewalls) niet worden uitgezet en/of aangepast[/list] De afgelopen jaren ging de meeste malware (net zoals veel gewone software) ervan uit dat de user met admin privileges werkte, en functioneerde niet goed of geheel niet als dat niet zo was. Indien UAC een succes wordt heeft Roger Grimes gelijk; malwaremakers zullen zich aanpassen waardoor het statistisch gezien minder veilig zal zijn (dan voorheen) om als nonadmin te werken
Problematischer is dat malwaremakers op zoek zullen gaan naar privilege escalations of andere methoden om bijv. beveiligingssoftware uit te schakelen; Microsoft en applicatie bouwers hebben nog genoeg te doen op dat gebied (zie bijv. mijn [url=http://www.security.nl/article/17799/1/Panda_beste_proactieve_virusscanner_van_2007.html]bijdrage[/url] over Panda Antivirus die haar programmabestanden "Full Control" geeft voor Everyone).
14-01-2008, 11:42 door
SirDice
Door Bitwiper
Deels mee eens; als er geen sprake is van privilege escalation kan de malware wat de user kan.
Bij een goed geconfigureerd systeem betekent dit echter onder meer:
[list][*] als de gebruiker uitlogt draait de malware niet meer
[*] geen invloed op andere gebruikers
[*] het systeem zelf (registry, OS, programma's) blijft onaangetast (kernel rootkits of services kunnen niet worden geinstalleerd)
[*] de hosts file kan niet worden gewijzigd
[*] afhankelijk van de software kan beveiligingssoftware (zoals virusscanners en firewalls) niet worden uitgezet en/of aangepast[/list]
Wat malware overigens nog wel kan (ook zonder privilege escalation):Deels mee eens; als er geen sprake is van privilege escalation kan de malware wat de user kan.
Bij een goed geconfigureerd systeem betekent dit echter onder meer:
[list][*] als de gebruiker uitlogt draait de malware niet meer
[*] geen invloed op andere gebruikers
[*] het systeem zelf (registry, OS, programma's) blijft onaangetast (kernel rootkits of services kunnen niet worden geinstalleerd)
[*] de hosts file kan niet worden gewijzigd
[*] afhankelijk van de software kan beveiligingssoftware (zoals virusscanners en firewalls) niet worden uitgezet en/of aangepast[/list]
[list]
[*] E-mail versturen
[*] Websites bezoeken
[*] Inloggen op IRC
[*] Poort scannen (connect scan)
[*] Een poort openen (op *nix >1024, op windows alles)
[*] Alle bestanden waar de gebruiker schrijfrechten toe heeft vernaggelen.
[/list]
Genoeg om de rest van de wereld flink lastig te vallen...
14-01-2008, 11:50 door
SirDice
Door Anoniem
Een roepende in de Redmond" woestijn ;-))
Een roepende in de Redmond" woestijn ;-))
In Unix/Linux/BSD, this means not being logged in as root or bin or whatever else is close. In the AS/400, it means not being logged in as Qsysop or Qsecofr. For mainframes, it might mean superuser, terminal 0, or another user label indicating special privileges.
Wat ik ook regelmatig geroepen heb... Ook onder Linux/BSD/OS-X loop je, als 'gewone' gebruiker risico en zijn dezelfde zaken mogelijk..
14-01-2008, 11:54 door
Bitwiper
Door SirDice
Wat malware overigens nog wel kan (ook zonder privilege elevation):
-knip-
Ja, maar dat is ook wat ik wil kunnen (en wat ik ook al schreef, de malware kan wat de user kan). Ik begrijp jouw reactie niet, het doel van beperkte rechten en/of privileges is de gewone handelingen te kunnen verrichten terwijl de integriteit van het systeem verder zoveel mogelijk gewaarborgd blijft. Moet ik concluderen dat jij als non-admin werken ineens minder belangrijk vindt?Door Bitwiper
Deels mee eens; als er geen sprake is van privilege escalation kan de malware wat de user kan.
-knip-Deels mee eens; als er geen sprake is van privilege escalation kan de malware wat de user kan.
Wat malware overigens nog wel kan (ook zonder privilege elevation):
-knip-
14-01-2008, 12:27 door
SirDice
Door Bitwiper
Ja, maar dat is ook wat ik wil kunnen (en wat ik ook al schreef, de malware kan wat de user kan). Ik begrijp jouw reactie niet, het doel van beperkte rechten en/of privileges is de gewone handelingen te kunnen verrichten terwijl de integriteit van het systeem verder zoveel mogelijk gewaarborgd blijft.
Helemaal mee eens..Ja, maar dat is ook wat ik wil kunnen (en wat ik ook al schreef, de malware kan wat de user kan). Ik begrijp jouw reactie niet, het doel van beperkte rechten en/of privileges is de gewone handelingen te kunnen verrichten terwijl de integriteit van het systeem verder zoveel mogelijk gewaarborgd blijft.
Moet ik concluderen dat jij als non-admin werken ineens minder belangrijk vindt?
Nee, ik wil er alleen op wijzen dat je ook zonder admin rechten op moet passen wat je start..Onkwetsbare software bestaat niet. Niemand beweert dat malware voor *X
niet mogelijk is; het was er eerder dan voor Windows. Het gaat er alleen
om, de schade van malware zoveel mogelijk te beperken. Dat begint al
met de mogelijkheden om malware te starten. Ongestart doet malware
ook niet veel.
Bitwiper zegt in feite (en m.i. terecht) dat het verwijderen van malware veel
makkelijker is, als die malware het systeem zelf niet kan aanpassen.
Onder oudere Windows-versies kan je de meeste zaken al goed
beveiligen door de rechten goed in te stellen. Probeer eens je gebruikers-
account lid te maken van de groep Guests. De meeste software zal
gewoon blijven werken, maar de mogelijkheden om het systeem aan te
passen worden nog wat verder (en actiever) beperkt. UAC voegt m.i. niet
veel meer toe dan een interface (en daar heeft men dan 5 jaar voor nodig
gehad). In plaats van UAC had men misschien beter kunnen zorgen dat
men niet standaard als Admin zonder wachtwoord werkt.
De mogelijkheden onder *X om het systeem zelf te beschermen zijn al vele
jaren veel uitgebreider dan onder Windows. Ook zal een beperkte
gebruiker doorgaans meer moeite moeten doen om malware te starten
dan onder Windows. *X maakt het niet onmogelijk maar wel een stuk
lastiger.
Tipje: maak een apart account om ranzige sites te bezoeken. Maak dat
account lid van alleen Guests, niet Users. Met een runas (evt.
met /savecred) start je je browser onder het beperkte account, en kan het
niet bij je eigen spullen komen. Voor de extra veiligheid kan je kiezen voor
een browser die niet te diep in je systeem geintegreerd is.
niet mogelijk is; het was er eerder dan voor Windows. Het gaat er alleen
om, de schade van malware zoveel mogelijk te beperken. Dat begint al
met de mogelijkheden om malware te starten. Ongestart doet malware
ook niet veel.
Bitwiper zegt in feite (en m.i. terecht) dat het verwijderen van malware veel
makkelijker is, als die malware het systeem zelf niet kan aanpassen.
Onder oudere Windows-versies kan je de meeste zaken al goed
beveiligen door de rechten goed in te stellen. Probeer eens je gebruikers-
account lid te maken van de groep Guests. De meeste software zal
gewoon blijven werken, maar de mogelijkheden om het systeem aan te
passen worden nog wat verder (en actiever) beperkt. UAC voegt m.i. niet
veel meer toe dan een interface (en daar heeft men dan 5 jaar voor nodig
gehad). In plaats van UAC had men misschien beter kunnen zorgen dat
men niet standaard als Admin zonder wachtwoord werkt.
De mogelijkheden onder *X om het systeem zelf te beschermen zijn al vele
jaren veel uitgebreider dan onder Windows. Ook zal een beperkte
gebruiker doorgaans meer moeite moeten doen om malware te starten
dan onder Windows. *X maakt het niet onmogelijk maar wel een stuk
lastiger.
Tipje: maak een apart account om ranzige sites te bezoeken. Maak dat
account lid van alleen Guests, niet Users. Met een runas (evt.
met /savecred) start je je browser onder het beperkte account, en kan het
niet bij je eigen spullen komen. Voor de extra veiligheid kan je kiezen voor
een browser die niet te diep in je systeem geintegreerd is.
14-01-2008, 13:22 door
SirDice
Bitwiper zegt in feite (en m.i. terecht) dat het verwijderen van malware veel makkelijker is, als die malware het systeem zelf niet kan aanpassen.
Hier ben ik het ook mee eens.UAC voegt m.i. niet veel meer toe dan een interface (en daar heeft men dan 5 jaar voor nodig gehad). In plaats van UAC had men misschien beter kunnen zorgen dat men niet standaard als Admin zonder wachtwoord werkt.
Ook hier ben ik het helemaal mee eens.De mogelijkheden onder *X om het systeem zelf te beschermen zijn al vele jaren veel uitgebreider dan onder Windows. Ook zal een beperkte gebruiker doorgaans meer moeite moeten doen om malware te starten dan onder Windows. *X maakt het niet onmogelijk maar wel een stuk lastiger.
Niet echt lastiger. Je kunt het systeem zelf niet vernaggelen inderdaad.. Er is echter niets wat het starten van malware stopt/voorkomt aangezien, zoals Bitwiper ook zei, malware precies de dingen kan doen die je als gebruiker ook wil doen.Wat Grimes dus zegt roep ik ook al heel lang..
"Er is niets dat malware vandaag de dag kan doen, dat niet kan zonder verhoogde rechten. Ik heb het niet over de manier waarop het het systeem aanpast, maar het gewenste resultaat van de aanpassing."
Door SirDice
is echter niets wat het starten van malware stopt/voorkomt aangezien,
zoals Bitwiper ook zei, malware precies de dingen kan doen die je als
gebruiker ook wil doen.
Onder *X zal de gebruiker toch vaker eerst de malware uitvoerbaar moeten De mogelijkheden onder *X om het systeem zelf te beschermen zijn
al vele jaren veel uitgebreider dan onder Windows. Ook zal een beperkte
gebruiker doorgaans meer moeite moeten doen om malware te starten
dan onder Windows. *X maakt het niet onmogelijk maar wel een stuk
lastiger.
Niet echt lastiger. Je kunt het systeem zelf niet vernaggelen inderdaad.. Er al vele jaren veel uitgebreider dan onder Windows. Ook zal een beperkte
gebruiker doorgaans meer moeite moeten doen om malware te starten
dan onder Windows. *X maakt het niet onmogelijk maar wel een stuk
lastiger.
is echter niets wat het starten van malware stopt/voorkomt aangezien,
zoals Bitwiper ook zei, malware precies de dingen kan doen die je als
gebruiker ook wil doen.
maken en dan handmatig starten. Ongeveer alle OS/X/malware van de
afgelopen tijd had dit extra handwerk nodig om in beweging te komen.
14-01-2008, 14:21 door
SirDice
Onder *X zal de gebruiker toch vaker eerst de malware uitvoerbaar moeten maken en dan handmatig starten.
Malware inpakken met gzip/tar (execute bit wordt netje mee uitgepakt).. En ja, dan zijn er handelingen nodig.. Maar er zijn genoeg windows virussen die een gebruiker allerhande dingen laat doen voordat het uberhaubt aktief kan worden en toch staan diezelfde virussen in de top 10. Als je er vanuit gaat dat het daarom niet kan of niet gedaan wordt heb je het dus mis.Persoonlijk denk ik dat het zelfs makkelijker is om iemand onder *nix te social engineeren... Onder *.nix hoeft een bestand wat eindigd op .jpg namelijk geen plaatje te zijn ;)
En het draaien onder/in een Sandbox, geeft dat niet meer
veiligheid?
Alles wat daar draait blijft erook en , dacht ik, kan niet
de rest aanpakken.
Of zie ik het verkeerd??
Groet Hot Burmees
veiligheid?
Alles wat daar draait blijft erook en , dacht ik, kan niet
de rest aanpakken.
Of zie ik het verkeerd??
Groet Hot Burmees
Als je er vanuit gaat dat het daarom niet kan of niet gedaan wordt
heb je het dus mis.
Een kwestie van goed lezen De discussie gaat niet om wel/niet mogelijk heb je het dus mis.
maar om makkelijker/moeiljker. En dan in het algemeen.
De vatbaarheid van je systeem hangt af van de vatbaarheid van alle
onderdelen van dat systeem, en vooral de software waarmee je werkt.
Die vatbaarheid wordt bepaald door de mate van automatisering,
instellingen en de kwaliteit van de software.
Voor het gemak liet je vroeger het touwtje uit de deur hangen. Voor de
veiligheid tegenwoordig bijna nooit meer. Want het gemak dient niet alleen
de gebruiker, maar ook de misbruiker.
In Windows kan een beperkte gebruiker met 1 klik een dialer installeren.
Onder *X niet. Toch kan je een *X-machine heel goed configureren om een
duur nummer te gaan bellen, maar het zal wat meer moeite kosten. Want
je hebt er meestal root-rechten voor nodig. Het is maar een voorbeeldje.
Windows legt de nadruk op gebruiksgemak, en daarmee dus ook op
misbruikgemak.
14-01-2008, 16:13 door
Bitwiper
Door SirDice
Wat Grimes dus zegt roep ik ook al heel lang..
'Niets' gaat me te ver. Naast beveiliging van je systeem en andere lokale accounts biedt een XP ordinary user account ook een stuk netwerkbeveiliging.Wat Grimes dus zegt roep ik ook al heel lang..
"Er is niets dat malware vandaag de dag kan doen, dat niet kan zonder verhoogde rechten. Ik heb het niet over de manier waarop het het systeem aanpast, maar het gewenste resultaat van de aanpassing"
Als ordinary user kun je, bij mijn weten, een NIC niet in promiscuous mode zetten en dus niet serieus sniffen. Tools als ettercap, dsniff, etherchange en etherflood werken bij mijn weten ook niet, en je kunt geen winpcap of andere netwerkstacks/drivers installeren.
PS als iemand bypasses weet voor bovenstaande zaken lees ik dat graag!
Als malware hetzelfde kan met of zonder Administrator-rechten, dan heeft
het hele rechtensysteem geen enkele zin. Dan kunnen we net zo goed
Windows 9x of Linspire gebruiken.
het hele rechtensysteem geen enkele zin. Dan kunnen we net zo goed
Windows 9x of Linspire gebruiken.
14-01-2008, 16:20 door
SirDice
Dialers zijn niet echt meer aan de orde tegenwoordig.. Een
virus zoals Netsky wel. En er waren een tijdje terug zelfs
een aantal virussen die in een wachtwoord beveiligde zip/rar
binnenkwamen. Gek genoeg hebben hele volkstammen het ding
uitgepakt, wachtwoordje ingetypt en het programma gestart,
allemaal handmatig.. Het enige wat een dergelijk virus kan
stoppen is de gebruiker zelf. Er is namelijk, technische
gezien, niets wat een soortgelijk virus in de weg zit op een
willekeurige *nix doos.
virus zoals Netsky wel. En er waren een tijdje terug zelfs
een aantal virussen die in een wachtwoord beveiligde zip/rar
binnenkwamen. Gek genoeg hebben hele volkstammen het ding
uitgepakt, wachtwoordje ingetypt en het programma gestart,
allemaal handmatig.. Het enige wat een dergelijk virus kan
stoppen is de gebruiker zelf. Er is namelijk, technische
gezien, niets wat een soortgelijk virus in de weg zit op een
willekeurige *nix doos.
14-01-2008, 16:35 door
SirDice
Door Bitwiper
Als ordinary user kun je, bij mijn weten, een NIC niet in promiscuous mode zetten en dus niet serieus sniffen.
Nu weet ik niet hoe dat met Linux zit maar onder BSD kun je helemaal niet sniffen. Wat overigens, om interessant info te krijgen, niet in promiscuous mode hoeft.Als ordinary user kun je, bij mijn weten, een NIC niet in promiscuous mode zetten en dus niet serieus sniffen.
dice@maelcum:~>tcpdump -npi rl0
tcpdump: (no devices found) /dev/bpf0: Permission denied
14-01-2008, 16:39 door
SirDice
Door Anoniem
Als malware hetzelfde kan met of zonder
Administrator-rechten, dan heeft
het hele rechtensysteem geen enkele zin.
Dan heb je het verhaal toch niet helemaal begrepen (malwareAls malware hetzelfde kan met of zonder
Administrator-rechten, dan heeft
het hele rechtensysteem geen enkele zin.
kan het systeem zelf niet meer infecteren). Maar dat het
huidige rechten systeem niet (meer) voldoet klopt wel.
14-01-2008, 16:52 door
SirDice
En het draaien onder/in een Sandbox, geeft dat niet meer veiligheid? Alles wat daar draait blijft erook en , dacht ik, kan niet de rest aanpakken.
Beetje afhankelijk van de sandbox want als je in die sandbox bijv. een email kan sturen kan malware dat dus ook. Je hebt wel meer controle over wat er wel en niet toegestaan wordt. Daardoor geeft het inderdaad meer veiligheid.Wat Grimes dus zegt roep ik ook al heel lang..
Er is niets dat malware vandaag de dag kan doen, dat niet
kan zonder verhoogde rechten. ...
en ...
Ik heb het niet over de manier waarop het het systeem
aanpast, maar het gewenste resultaat van de aanpassing.
Hij zegt twee dingen, die je imho niet los van elkaar kan
zien. De mogelijkheid om het systeem aan te passen is
namelijk wel belangrijk. Zeker als dat systeem door meer
gebruikers gedeeld wordt en/of in een netwerk hangt. Wat als
de gebruiker toevallig domain admin is?
Nee, ik wil er alleen op wijzen dat je ook zonder admin
rechten op moet passen wat je start..
Kan je de massa bewuster maken van de mogelijke gevaren?
Kan je systemen zo maken dat men minder snel schade oploopt?
Er is niets dat malware vandaag de dag kan doen, dat niet
kan zonder verhoogde rechten. ...
en ...
Ik heb het niet over de manier waarop het het systeem
aanpast, maar het gewenste resultaat van de aanpassing.
Hij zegt twee dingen, die je imho niet los van elkaar kan
zien. De mogelijkheid om het systeem aan te passen is
namelijk wel belangrijk. Zeker als dat systeem door meer
gebruikers gedeeld wordt en/of in een netwerk hangt. Wat als
de gebruiker toevallig domain admin is?
Nee, ik wil er alleen op wijzen dat je ook zonder admin
rechten op moet passen wat je start..
Kan je de massa bewuster maken van de mogelijke gevaren?
Kan je systemen zo maken dat men minder snel schade oploopt?
14-01-2008, 21:13 door
SirDice
De mogelijkheid om het systeem aan te passen is namelijk wel belangrijk.
Tot op zekere hoogte. Om een spam zombie of een virus/worm slachtoffer te worden is dat niet nodig.Zeker als dat systeem door meer gebruikers gedeeld wordt en/of in een netwerk hangt. Wat als de gebruiker toevallig domain admin is?
Als die gebruiker domain admin is dan zijn de rapen natuurlijk helemaal gaar. Ik zeg ook niet dat het niet hebben van administrator rechter geen zin heeft. Sterker nog als er iemand is die altijd roept dat je die weg moet halen dan ben ik dat wel. Als we het over bedrijfsnetwerken hebben dan is het een laag van de vele die je in je zou moeten hebben. Een dergelijke e-mail of webpagina moet niet eens bij die gebruiker terecht
komen.
Nee, ik wil er alleen op wijzen dat je ook zonder admin rechten op moet passen wat je start..
Kan je de massa bewuster maken van de mogelijke gevaren?
Nope. Aard van het beestje, nieuwsgierigheid.. Kijk maar naar de top 10, zelfs als een bepaald virus de media haalt. En kijk maar naar spam, iedereen klaagt er steen en been over. Iedereen kent 't en toch werkt spam?Kan je de massa bewuster maken van de mogelijke gevaren?
Kan je systemen zo maken dat men minder snel schade oploopt?
Een bedrijfsnetwerk is wat dat betreft makkelijker omdat je meerdere lagen kunt maken. Je hebt veel meer controle over wat wel en niet mag/kan.Voor een 'enkele' huis, tuin en keuken pc heb ik helaas geen oplossing. Althans, niet 1 die idiotproof is.
Het probleem is bij het IBAC model dat elke applicatie
gestart door een gebruiker de rechten heeft van die
gebruiker. Binnen het IBAC model kun je het proberen op te
lossen door de gebruiker minder rechten te geven en dan houd
het op. Als alternatief zou MS, maar zeker ook de
concurenten op de desktop (Linux, OSX, FreeBSD etc) eens
naar de mogelijkheden van ABAC moeten kijken. Daarbij
draait een applicatie (en dus ook de malware) met alleen die
rechten die de gebruiker expliciet opgeeft. Jammer dat
veel mensen nog steeds niet snappen dat het waanzin is dat
een applicatie met de zelfde rechten draait als de gebruiker
die de applicatie opstart.
gestart door een gebruiker de rechten heeft van die
gebruiker. Binnen het IBAC model kun je het proberen op te
lossen door de gebruiker minder rechten te geven en dan houd
het op. Als alternatief zou MS, maar zeker ook de
concurenten op de desktop (Linux, OSX, FreeBSD etc) eens
naar de mogelijkheden van ABAC moeten kijken. Daarbij
draait een applicatie (en dus ook de malware) met alleen die
rechten die de gebruiker expliciet opgeeft. Jammer dat
veel mensen nog steeds niet snappen dat het waanzin is dat
een applicatie met de zelfde rechten draait als de gebruiker
die de applicatie opstart.
15-01-2008, 08:55 door
Nomen Nescio
Wat een discussies allemaal! Als je het goed beschouwt, is alleen een
computer die helemaal uitgeschakeld is en met geen enkele kabel
ergens op is aangesloten, nmm de enige veilige computer.
Ik vergelijk het met een huis: een echt veilig huis heeft geen ramen en
geen deuren. Dan kan er niemand binnen komen. Maar jijzelf ook niet.
Zodra je een toegang mogelijk maakt, kan een ander die toegang ook
misbruiken. Tenzij je zelf gaat opletten wie je binnen laat. Kortom:
wees nou eens zelf zo slim om op te letten wat je doet.
En dombo's? Och, die vergelijk ik met een kleuter die met lucifers
speelt. Alleen kun je van die kleuter de lucifers afpakken. Wil je dan de
dombo's nou gaan verbieden een computer te gebruiken?
Kortom: volledige beveiliging is nooit mogelijk. Maar je schiet al een
heel eind op als je je hersens ook eens zou gaan gebruiken en niet
alles klakkeloos accepteert. Zoals ik nogal eens ouderen tegenkom
die roepen dat een antivirusprogramma voor hun niet nodig is omdat
ze nooit naar onveilige sites gaan. Zoveel eigenwijze dommigheid,
daar is geen kruid tegen gewassen, wat je ook probeert.
computer die helemaal uitgeschakeld is en met geen enkele kabel
ergens op is aangesloten, nmm de enige veilige computer.
Ik vergelijk het met een huis: een echt veilig huis heeft geen ramen en
geen deuren. Dan kan er niemand binnen komen. Maar jijzelf ook niet.
Zodra je een toegang mogelijk maakt, kan een ander die toegang ook
misbruiken. Tenzij je zelf gaat opletten wie je binnen laat. Kortom:
wees nou eens zelf zo slim om op te letten wat je doet.
En dombo's? Och, die vergelijk ik met een kleuter die met lucifers
speelt. Alleen kun je van die kleuter de lucifers afpakken. Wil je dan de
dombo's nou gaan verbieden een computer te gebruiken?
Kortom: volledige beveiliging is nooit mogelijk. Maar je schiet al een
heel eind op als je je hersens ook eens zou gaan gebruiken en niet
alles klakkeloos accepteert. Zoals ik nogal eens ouderen tegenkom
die roepen dat een antivirusprogramma voor hun niet nodig is omdat
ze nooit naar onveilige sites gaan. Zoveel eigenwijze dommigheid,
daar is geen kruid tegen gewassen, wat je ook probeert.
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
