Microsoft: controleer hashes Windows updates
Om de authenticiteit van Windows updates te garanderen, voorziet Microsoft elke update van een hash. Een soort digitale handtekening waarmee gebruikers het gedownloade bestand kunnen controleren. Wijkt de hash van het gedownloade bestand af van de hash die Microsoft geeft, dan kan het zijn dat een aanvaller de update heeft aangepast. Microsoft voorziet alle beveiligingsupdates van een SHA1- en SHA2-hash.
Via de Windows Powershell en .Net Cryptographic Services is het eenvoudig om de hash van Microsoft updates te controleren, zoals Dustin Childs van Microsoft Trustworthy Computing in deze blogposting demonstreert.
Volgens Childs vinden de meeste mensen het niet nodig om de hashes te controleren, aangezien dit ook al door de automatische update-functie wordt gedaan. "Toch blijven we de lat verhogen als onderdeel van onze continue drive om defense-in-depth-maatregelen te beoordelen en verbeteringen door te voeren."
Dit is de wereld op z'n kop. Zorg nu eens voor een beter, stabieler, sneller en veiliger Windows !!
Is het nu zo moeilijk om goede software te ontwerpen en te implementeren ? Misschien snappen ze bij Microsoft hun eigen OS en applicaties niet meer.
En de hash op een schone machine bekijken of de hash die je ziet is niet de hash
Ik mis nog iets dat mij essentieel lijkt: de hashes zijn toch hopelijk wel digitaal ondertekend door Microsoft zodat je door de handtekening te controleren kan zien of de updates werkelijk door Microsoft aangemaakt zijn? In de blog blijkt dat nergens uit. Ik kan me eigenlijk niet voorstellen dat een bedrijf dat wel met secure boot begint te werken patches niet al sinds jaar en dag op die manier zou ondertekenen en aan de client-kant zou controleren, dat zou schokkend nalatig zijn.
http://support.microsoft.com/kb/2761451[/sarcasme]
Automatisering? Ho maar. Sterker nog, als je de updates automatisch pusht, wordt er volgens mij geen hash gelezen.
Gerookt misschien... Wazige MS af en toe...
En het zou -IMHO- fijn zijn als eindelijk heel de MS-update functionaliteit gewoon eens wordt losgekoppeld van de IE-activeX-elementjes.
Mahja, hashes copy-pasten is óók leuk :]
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?