Microsoft bagatelliseert Bitlocker wachtwoord-lek
Onlangs werd bekend dat verschillende encryptie programma's de pre-boot authenticatie wachtwoorden in platte tekst opslaan, maar volgens Microsoft is de kans op misbruik zeer onwaarschijnlijk. Ook bij BitLocker werd het probleem aangetroffen. De pre-boot authenticatie routines gebbruiken de BIOS API om de input van het toetsenbord te lezen. De BIOS kopieert de toetsaanslagen in het BIOS Keyboard buffer, dat zich binnen het geheugen van het BIOS bevindt. Het probleem is dat het buffer na gebruik niet wordt geleegd, waardoor wachtwoorden kunnen lekken als het besturingssysteem is opgestart, ervan uitgaande dat de aanvaller het wachtwoord op de geheugenlocatie 0×40:0×1e kan lezen.
Microsoft verhielp het probleem in Service Pack 1, toch zouden Vista-gebruikers zich geen zorgen hoeven te maken. "De in de presentatie gemaakte beweringen over BitLocker zijn correct. Het is echter een theoretische aanval die alleen in sommige situaties mogelijk is, hoewel het mogelijk is, is het zeer onwaarschijnlijk," zegt Bill Sisk, security response communications manager.
de grap is dat Microsoft de FIPS 140-2 certificering haalden met een systeem wat blijkbaar niet "out of the box" veilig was. Of de aanvallen nu wel of niet plaats kunnen vinden is niet relevant: het systeem was lek op het moment dat de certificering werd afgegeven.
En dat heeft niks te maken met het zoeken naar negatief nieuws over Microsoft: als security.nl er op uit zou zijn om alleen maar negatief over Microsoft te schrijven, zouden ze niet vermeld hebben dat het probleem opgelost is in ServicePack 1, laat staan dat zie die beveiligingsmanager aan het woord zouden laten (met link naar zijn artikel waarin het probleem net zo hard gebagatelliseerd wordt).
Maar aangezien jij zo lekker allergies reageert op alles wat een beetje neigt naar kritiek op Microsoft:
Het bagatelliseren is de tweede standaard-reactie in Microsoft-land:
1 negeren. Als dat niet (meer) kan:
2 bagatelliseren. Als dat niet meer werkt:
3 schuld aan anderen geven.
4 fix maken voor het probleem
Hierbij zijn 2 en 3 onderling uitwisselbaar.
Kortom: het feit dat het probleem gebagatelliseerd wordt, is niet verbazingwekkend...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
