Microsoft moet de foutrapportages die Windows verstuurt, bijvoorbeeld als een applicatie of onderdeel van het besturingssysteem crasht, standaard versleutelen. Daarvoor pleit beveiligingsbedrijf Websense. Gisteren liet Der Spiegel weten dat de NSA foutrapportages van Windowsgebruikers onderschept.

De informatie uit de rapportages zou helpen bij het voorbereiden van een aanval op het doelwit waar ze van afkomstig zijn. Er staan namelijk gegevens in over gebruikte softwareversies en andere computerproblemen. Al voor de onthullingen door Der Spiegel zou Websense een onderzoek naar de risico's van de Windows foutrapportages hebben uitgevoerd.

Daaruit blijkt dat de rapportages ook worden verstuurd als een gebruiker bijvoorbeeld een USB-apparaat zoals een muis aansluit. Daarbij vereist Windows geen enkele interactie van de gebruiker om de rapportage naar Microsoft te versturen. De rapportages zijn echter onversleuteld, waardoor iedereen die de pakketjes kan onderscheppen de inhoud kan bekijken.

"Hoewel deze informatie ongetwijfeld belangrijk voor Microsoft is om crashes van applicaties en hardwareconfiguraties te analyseren, kan het ook een ernstig informatie-lek zijn als het onversleuteld de organisatie verlaat", zegt Alex Watson van Websense. Hij merkt op dat Microsoft bedrijven en organisaties aanraadt om de Windows foutrapportages op het eigen netwerk naar een interne server te sturen.

Encryptie

Toch kan ook Microsoft iets doen om de veiligheid van gebruikers te verbeteren, namelijk het toepassen van encryptie. "We raden aan dat diensten die telemetrie over applicaties versturen en informatie over de omgeving en onderliggende netwerkinfrastructuur bevatten, op z'n minst met SSL versleuteld zijn, idealiter TLS 1.2. Applicaties die deze informatie onversleuteld versturen, lopen het risico dat ze de data op meerdere punten zullen lekken", stelt Watson.

In het geval de foutrapportages persoonlijk identificeerbare informatie bevatten gebruikt Microsoft volgens de eigen uitleg wel encryptie. Dat geldt echter niet voor andere informatie zoals applicatienaam en versie, modulenaam en foutcode. Die informatie wordt onversleuteld verstuurd. Tijdens de RSA Conferentie van 2014 geeft Watson een presentatie over het onderwerp.