"Stop met IE, Microsoft fix onvoldoende"
Gebruikers van Internet Explorer die veilig willen internetten kunnen beter een andere browser kiezen totdat Microsoft met een beveiligingsupdate komt. Dat adviseert Metasploit-ontwikkelaar 'Sinn3r'. Metasploit is een programma waarmee security professionals de veiligheid van systemen en netwerken kunnen testen. Het zorgt er echter ook voor dat minder getalenteerde cybercriminelen de beschikking over nieuwe aanvallen krijgen. Inmiddels zijn twee recent ontdekte IE-lekken aan Metasploit toegevoegd.
Eén van deze kwetsbaarheden heeft Microsoft gepatcht, voor de andere kwetsbaar is een 'fix' uitgekomen. "Het is duidelijk dat dit beperkingen met zich meebrengt. Je kunt het beste een andere browser zoals Google Chrome gebruiken, totdat een officiële patch beschikbaar is", aldus Sinn3r..
Hoe duidelijk/obvious is dat precies?
Kan iemand uitleggen waarin die betreffende Microsoft Fix it oplossing precies zijn beperkingen heeft?
sinn3r neemt daartoe spijtig genoeg niet de moeite. Blijkbaar is het al te zeer voor de hand liggend, of sinn3r vindt dat iedereen maar het doorzicht moet hebben dat hij/zij bezit?
De fix van microsoft is nu om dat ene specifieke item te initialiseren op het moment dat IE wordt gestart. Dat is dus inderdaad geen totale fix is, maar een quick 'n dirty oplossing
Microsoft Fix it oplossingen zijn doorgaans 'quick 'n dirty'.
Maar dat brengt niet per definitie met zich mee dat dat beperkingen meebrengt ("has its limitations") in het beschermen tegen het misbruiken van de kwetsbaarheid, en dat je daarom maar beter een andere browser kunt gebruiken ("your best bet may be to use a different browser").
Tot zoverre is niet duidelijk gemaakt dat de Fix it oplossing beperkt zou zijn in de mate waarmee het bescherming zou bieden tegen het misbruiken van de kwetsbaarheid.
Ik ben nog steeds benieuwd of iemand kan uitleggen waarin die betreffende Microsoft Fix it oplossing dan precies zijn beperkingen zou hebben in het beschermen tegen het misbruiken van de kwetsbaarheid.
De kans dat je per ongeluk zo'n site bezoekt wordt daarmee groter.
Zie:
http://www.security.nl/artikel/41922/1/Grootschalig_misbruik_nieuw_IE-lek_dreigt.html
Mac te duur? Als je door een gehackt Mickeysoftsysteem omzet misloopt en/of bestolen wordt, is dat veel duurder dan een Mac. Dat wil je blijkbaar niet inzien. Ga maar rustig door met die dames en heren te vertrouwen. Als je voor goedkoop wil gaan kan dat ook. Neem een ASUS of een tweedehands Apple. Loop je echt (veel) minder kans 'getild' te worden.
Wij zijn heel blij 10 jaar geleden voor OSX te hebben gekozen (toen 10.1 inmiddels 10.6 en dan zijn we nog niet helemaal bij de nieuwste waar nog wat haken en ogen aanzitten)
Trouwens over alternatieve browsers gesproken. Safari draait ook onder Windows...
Als mijn M$-systeem 'gehackt' moest worden, dan zet ik gewoon de backup terug. En oplichten via internetbankieren? Dat zie ik hier niet echt gebeuren, maar moest het toch gebeuren, dan zal ik daar geen traan om laten; in België zijn de banken verantwoordelijk en wordt het geld terugbetaald. Ook als zou blijken dat ik met onveilige software zou werken.
Safari zuigt onder Windows. Kan je er add-ons zoals NoScript, HTTPS-Everywhere, Adblock Plus, BetterPrivacy, ... op installeren?
Ik hoef trouwens geen Safari als browser te hebben om veiliger te werken onder Windows. Mozilla Firefox in combinatie met NoScript doet al heel wat, naast een aangepast HOSTS-bestand (mvps.org), SpyBot Search & Destroy, avast! Free Antivirus, Online Armor Free (met HIPS) etc. Ik hoef echt geen Mac (meer) hoor!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
