"Integratie Windows-IE grootste Microsoft blunder"
Van alle dingen die Microsoft bij de ontwikkeling van Windows heeft fout gedaan, is de integratie van Internet Explorer met het besturingssysteem wel de grootste blunder, aldus IT-veteraan Kevin McAleavey. De eerste problemen begonnen echter met MSDOS, dat over geen enkele beveiliging beschikte. Systemen konden besmet raken via kwaadaardige applicaties of het opstarten vanaf besmette diskettes en floppy's. Volgens McAleavey werd de traditie van ontbrekende beveiliging met Windows 3.x, 95, 98 en ME voortgezet, aangezien MSDOS nog steeds onderdeel van het OS was.
De beveiliging in Windows 95 bestond uit het vragen van een wachtwoord tijden het inloggen, wat eenvoudig was te omzeilen. Op het gebied van netwerkbeveiliging maakte Microsoft het mogelijk om gedeelde mappen als "read only" in te stellen, maar luisterde Windows bestands- en printerdeling nog steeds op poort 137, 138 en 139, waardoor het eenvoudig was om een ongeautoriseerde verbinding op te zetten.
Backdoor
Microsoft verhielp het probleem door een "werkgroep" toe te voegen, waarvan de gebruiker de naam moest opgeven. In veel gevallen werd hiervoor het standaard "workgroup" gekozen. "Het eerste slechte idee van Redmond was hun te misbruiken NETBIOS-ontwerp, dat open machines aan alle bellers aankondigde, zelfs over het internet." Een probleem waar machines in 2006 nog mee te maken hadden.
"En Redmond was nog niet tevreden dat ze één backdoor hadden ingebouwd, en besloten er één aan Win98 en NT toe te voegen, genaamd 'NETBUI' en een nieuwe poort 445, dat de hackbaarheid van Windows, waaronder het 'veilige' NT vergrootte." Wederom een probleem dat standaard stond ingeschakeld, gaat McAleavey verder.
Integratie
Andere problemen die gebruikers plaagden waren het niet weergeven van bestandsextensies en de Autrorun functionaliteit. "Meer mensen zijn de afgelopen jaren door bestanden geïnfecteerd die de extensie verborgen, dan enige andere aanvalsvector in Windows", zegt McAleavey. Het grootste "moment van stupiditeit" is echter de integratie van Windows met Internet Explorer. Daardoor opende Microsoft een gat waardoor het internet ongestoord toegang tot het bestandssysteem kon krijgen.
McAleavey waarschuwde zelfs de Amerikaanse toezichthouder FTC voor deze situatie. Microsoft reageerde echter door tal van security-gerelateerde en belangrijke DLL-bestanden van IE-onderdelen te voorzien. Om te voorkomen dat de rechter dit ongedaan zou maken, lanceerde Microsoft Windows 98 dat nog niet af was, waardoor Windows een "nooit eindigende securityramp" werd en een broeiplaats voor malware. De IT-veteraan concludeert echter dat ook Mac OS X en Linux de nodige problemen hebben. "En toch zetten we mensen achter machines met besturingssystemen die gewoon nog niet klaar voor hen zijn."
Ik denk dat de lijn zit in een verkeerde denk volgorde van Microsoft. Eerst wordt gedacht aan functionaliteit, dan wordt het gerealiseerd en dan gaat ze pas denken aan de veiligheid.
Maar van mij geen verkeerd woord over Kevin, slimme vent die goede software ontwikkelt en altijd klaar staat om support te leveren. Dat was al zo in de tijd van BOClean (dat vern**kt is door COMODO) en hij is nog steeds niet te beroerd om 18 uur per dag hulp te bieden bij vragen en/of problemen.
Voor deze keer vind ik 't dus niet zo erg dat 't weer een soort WC-Eend verhaal is, ik gun hem 't succes dat 'm zeer zeker toekomt.
"De eerste problemen begonnen echter met MSDOS, dat over geen enkele beveiliging beschikte."
Wat onzinnig om iets te roepen voor het 30 jaar geleden aan toe ging. Hij wilt suggereert dat in die tijd het perspectief op het gebruik van een PC op hetzelfde niveau staat als vandaag. In die tijd bestond geen multimedia, breedband internet, virussen, spam, scriptkiddies. Het idee van security is vanzelfsprekend achteraan gehobbeld door wat in die tijd gebeurde.
Tja, de eerste vliegtuigen konden de Grote Ocean ook niet oversteken, ze hadden geen druk cabines, je rook het brandstof, ze hadden geen GPS, betrouwbare hoogte meters, geen reddingsvesten...
Wat een malloot die Kevin McAleavey, zeker op zoek naar een baan?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
