Ook Windows Vista tijdens hackerwedstrijd gekraakt
Was gisteren de MacBook Air aan de beurt, op de laatste dag van de PWN to OWN wedstrijd is het een hacker ook gelukt om een volledig gepatchte Windows Vista met SP1 te kraken. Via een zero-day beveiligingslek in Adobe Flash wist Shane Macaulay het nieuwste Microsoft besturingssysteem over te nemen. In het geval van Apple was Safari het slachtoffer, een applicatie die in tegenstelling tot Flash standaard op het systeem geïnstalleerd is.
Op de laatste dag van de CanSecWest conferentie mocht er ook naar software van derden worden gekeken, waar een lagere beloning tegenover stond. Macaulay, bekend in hackerkringen als K2, krijgt 5000 dollar voor zijn exploit en mag de Fujitsu U810 met Vista Ultimate SP1 (32bit) mee naar huis nemen. Charlie Miller die de MacBook Air in twee minuten wist te hacken ontving 10.000 dollar. Beide zero-day exploits zijn eigendom van TippingPoint's Zero Day Initiative geworden, dat details pas bekend zal maken als er patches beschikbaar zijn. Als extra beloning kregen de onderzoekers ook nog een exclusieve Zero Day Initiative laptoptas mee.
Ubuntu overleeft
De aangekondigde wedstrijd der giganten is dan ook gewonnen door Ubuntu. De organisatie houdt echter vol dat de wedstrijd alleen bedoeld was om nieuwe lekken te vinden. Volgens sommigen was het waarschijnlijker geweest dat ook Ubuntu gehackt zou worden. "Er is teveel Linux software in alpha/beta fases. Het is waarschijnlijker door alle open source om daar een exploit te vinden. Ik ben bang dat de Ubuntu laptop de volgende is. Het is natuurlijk ook lastig om gelijke regels voor alle systemen op te stellen. Vista's messenger ondersteunt bijvoorbeeld slechts één protocol in tegenstelling tot het dozijn van Ubuntu's pidgin." Of de Ubuntu laptop werkelijk hackbestendig is zullen we mogelijk volgend jaar zien, aangezien de wedstrijd nu is afgelopen.
maar via Adobe Flash...
wat Tippingpoint doet. Wat dat aangaat kunnen wat leren van een Microsoft.
Door beveiligingslek in Adobe Flash Vista gekraakt .
Niet dat het daardoor minder zorgelijk is uiteraard.
Het maakt totaal niet uit wat voor OS je draait.
Ik draai Windows, MacOS en Linux op verschillende systemen, waarbij Os
nadelen en voordelen heeft.
Overigens is het altijd software wat specifiek draait, een kaal OS met 0,0 aan
applicaties erop is nog altijd het veiligst.
En een PC die niet op Internet zit, nog veiliger :)
Dus ingebroken, maar dan niet via het besturingssysteem,
maar via Adobe Flash...
Daar heeft Mickeysoft voor Vista toch een extra laag in aangebracht
die dit soort hacks moet tegengaan.....??
Conclusie: Ook die extra '?eveiliging' laag met zijn onnodig gebruik
aan systeembronnen is dus waardeloos.......!!
Wat een waardeloze wedstrijd. Het is ronduit gevaarlijk en
niet verantwoord
wat Tippingpoint doet. Wat dat aangaat kunnen wat leren van
een Microsoft.
verantwoord zijn? Ze houden de lekken achter de schermen tot
er fixes beschikbaar zijn. Verder kunnen deze dingen ook
real life gebeuren buiten een zaal met nerds. Dus wat is
hier onveiliger aan dan in het dagelijkse leven?
Buiten dat we nu weten dat flash lek is, ow dat wisten we al
jaren, dat is waar ook. Deed flash geen cross domain access
geven, waardoor het makkeijker voor hackers is om een XSS
uit te voeren? Deed flash niet..... etc.
Ipv te zeggen dat het gevaarlijk / onverandwoord is. Te
schoppen en te schelden. Lijkt het mij een beter idee als je
ook serieuze onderbouwing geeft.
Och alles is hackbaar.. zolang je er maar lang genoeg tijd voor neemt.
Het maakt totaal niet uit wat voor OS je draait.
Ik draai Windows, MacOS en Linux op verschillende systemen, waarbij Os
nadelen en voordelen heeft.
Overigens is het altijd software wat specifiek draait, een kaal OS met 0,0 aan
applicaties erop is nog altijd het veiligst.
En een PC die niet op Internet zit, nog veiliger :)
in het stopcontact doen.
Wat een waardeloze wedstrijd. Het is ronduit gevaarlijk en
niet verantwoord
wat Tippingpoint doet. Wat dat aangaat kunnen wat leren van
een Microsoft.
verantwoord zijn? Ze houden de lekken achter de schermen tot
er fixes beschikbaar zijn. Verder kunnen deze dingen ook
real life gebeuren buiten een zaal met nerds. Dus wat is
hier onveiliger aan dan in het dagelijkse leven?
Buiten dat we nu weten dat flash lek is, ow dat wisten we al
jaren, dat is waar ook. Deed flash geen cross domain access
geven, waardoor het makkeijker voor hackers is om een XSS
uit te voeren? Deed flash niet..... etc.
Ipv te zeggen dat het gevaarlijk / onverandwoord is. Te
schoppen en te schelden. Lijkt het mij een beter idee als je
ook serieuze onderbouwing geeft.
zetten is zonder vooroordelen.
Ik dacht dat het wel duidelijk was gegeven de feiten. Er is geen sprake van
enige maatschappelijke verantwoordelijkheid.
De lekken achter de schermen houden is een goedmakertje. Wat ze doen is
een moderne vorm van afpersing van bedrijven en heling van lekken.
want zelfs als je nieuwere versies van flash installeerd
(dit geldt eveneens voor java), dan laat de fabrikant vaak
de oude troep gewoon staan, en dus nog steeds bruikbaar voor
exploits.
draaien met veel te veel rechten, namelijk alle rechten van de gebruiker.
Een punt waar elk out of the box OS zo'n beetje last van heeft, behalve dan
OLPC. Kids in 3e wereld landen zijn blijkbaar de enige die behoorlijke
security nodig hebben.
beschikbaar zijn bij een of meerdere \'organisaties\'
waartegen op dit moment geen bescherming is...
programmas open hebt
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
