Drie manieren om systemen te beveiligen
Computersystemen zijn op drie manieren te beveiligen, toch is geen enkele aanpak waterdicht en is het de vraag of dit wel haalbaar is. Rootkit-expert Joanna Rutkowska, in een filosofische bui, vergelijkt "security door correctheid", "security door afscheiding" en "security door obscurity" met elkaar. De eerste manier, correctheid, probeert foutloze software af te leveren. Dan zouden er namelijk ook geen beveiligingsproblemen zijn. Het probleem is dat het gereedschap ontbreekt om te controleren dat code ook foutloos geschreven is.
Nu zijn er wel initiatieven die bugvrije code "garanderen", zoals Microsoft's Secure Development Life-cycle, het probleem is dat ze soms wel en soms niet werken. "Ik denk dat we in de nabije toekomst de implementatiefouten door veilige programmeertalen weten te voorkomen, maar ik geloof niet dat we correctheid van software voorbij het implementatieniveau kunnen garanderen," aldus de rootkit-expert.
Het afscheiden van onderdelen en processen klinkt simpel, maar is lastig te realiseren. "Eén probleem is hoe het systeem in zinnige delen te verdelen en hoe je de permissie voor elk deel instelt. Het andere probleem is de implementatie." Door de opzet van de meeste besturingssystemen kunnen kernelbugs vaak de beveiliging van de afgezonderde delen omzeilen. Een oplossing zou zijn om de onderdelen op kernelniveau te scheiden, maar daar besloot de IT-industrie vanwege prestaties en toegankelijkheid niet voor te kiezen. De Poolse is van mening dat op dit gebied door virtualisatie technologie nog de nodige winst is te boeken. "Xen kan bijvoorbeeld als een micro-kernel fungeren en de afscheiding tussen andere delen binnen het systeem opleggen."
De derde manier om systemen te beveiligen is het bekende "security by obscurity". Die aanpak gaat ervan uit dat het onmogelijk is om foutloze code te schrijven en dat het daarom beter is om misbruik van fouten zo moeilijk mogelijk te maken. Oplossingen zoals Address Space Layout Randomization (ASLR) voorkomen echter niet dat bugs nooit misbruikt worden. Het maakt het alleen lastiger. Daarnaast vormen Denial of Service aanvallen nog altijd een groot probleem die niet via deze manier zijn te voorkomen en is het obfusceren van code nadelig voor prestaties en beheer. Beveiligingslekken zijn dan vooralsnog iets waar computergebruikers mee moeten leren leven.
Ik ben blij met de invoering van de dag en datum en tijdstip en de invoering van de indeling per dag. Ik hoop dat dat behalve op de homepage ook op de andere bladen (pages) wordt ingevoerd.
De donkerder gekleurde markering is ook duidelijk. De achter de teksten wegvloeiende kleuren vind ik eerder storend dan een verbetering. Een egaal zacht gekleurde ondergrond achter het onderwerp zou een rustiger beeld geven en toch het verschil zichtbaar maken tussen het onderwerp en de daarop ontvangen reacties.
Ik worstel nog steeds met de onderverdeling op de discussiepagina. Twijfel aan de meerwaarde, omdat dit de primaire discussiepagina is. Voor de raadpleging later kan ik me een indeling zoals nu zichtbaar is wel voorstellen, maar voor de actualiteit zou mijn voorkeur toch uitgaan naar een indeling zoals die vandaag op de homepage is gestart.
computer uitlaten...
R-
Of wel een linux PC met virusscanner die het grootste deel van de tijd uit staat. :-)
Er zijn een heleboel mogelijkheden om je systeem te beveiligen. Hoe meer je daarvan gebruikt, hoe minder onveilig je systeem wordt, als het ook goed gebeurt. Dat is precies de reden dat linux veel minder vatbaar is voor malware dan Windows.
Dus een systeem dat modulair is opgebouwd, waar je uit kan schakelen of zelfs verwijderen wat je niet gebruikt (voordeeltje van *IX-kernels), dat correct gecodeerd is (buffer-overflows kan je testen), dat diverse technieken gebruikt zoals bijvoorbeeld ASLR, dat goed scheiding van rechten kent, dat niet standaard alles opent en uitvoert enz. enz. enz.
Oplossingen ... voorkomen echter niet dat bugs nooit misbruikt worden. Het maakt het alleen lastiger.
Inderdaad. 100% waterdicht bestaat niet. Maar 98% wel. Linux bijvoorbeeld is niet onkwetsbaar, en er bestaat malware voor. Maar malware op linux blijkt steeds opnieuw een stuk lastiger dan op Windows.
Het voorbeeld bij uitstek van Security by correctness lijkt mij OpenBSD. Joanna noemt OpenBSD echter niet (geen van de reageerders ook) maar ze noemt Microsoft's development lifecycle. Het zal wel onwetendheid zijn.
Als je weet dat je 20 jaar tot levenslang kan krijgen zullen er toch een hoop kwaadwillende mensen zich eventjes achter de oren krabben voordat ze een exploit of iets dergelijks gaan gebruiken.
Precies, In Amerika hanteert men behoorlijk zware straffen, en je ziet dan ook dat daar vrijwel geen criminaliteit meer is. Door de verhoging van de verkeersboetes rijdt in Nederland ook niemand meer harder dan toegestaan. Straffen helpt, bij kinderen en volwassenen.
"Xen kan bijvoorbeeld als een micro-kernel fungeren en de afscheiding tussen andere delen binnen het systeem opleggen."
Onder Xen draaien VM's echter wel onder het root-account. Mocht zich een foutje voordoen in de kernel, dan kan dat grote gevolgen hebben. Virtualisatie is geen tovermiddel voor beveiliging, het is in eerste plaats een manier om je hardware efficiënter te gebruiken.
I wonder if the above categorization is complete and if I haven't forgotten about something.
Ja dame, je vergeet Security through openness (http://www.infoanarchy.org/en/Security_through_openness).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
