Microsoft: controleer hashes Windows updates
Om de authenticiteit van Windows updates te garanderen, voorziet Microsoft elke update van een hash. Een soort digitale handtekening waarmee gebruikers het gedownloade bestand kunnen controleren. Wijkt de hash van het gedownloade bestand af van de hash die Microsoft geeft, dan kan het zijn dat een aanvaller de update heeft aangepast. Microsoft voorziet alle beveiligingsupdates van een SHA1- en SHA2-hash.
Via de Windows Powershell en .Net Cryptographic Services is het eenvoudig om de hash van Microsoft updates te controleren, zoals Dustin Childs van Microsoft Trustworthy Computing in deze blogposting demonstreert.
Volgens Childs vinden de meeste mensen het niet nodig om de hashes te controleren, aangezien dit ook al door de automatische update-functie wordt gedaan. "Toch blijven we de lat verhogen als onderdeel van onze continue drive om defense-in-depth-maatregelen te beoordelen en verbeteringen door te voeren."
Dit is de wereld op z'n kop. Zorg nu eens voor een beter, stabieler, sneller en veiliger Windows !!
Is het nu zo moeilijk om goede software te ontwerpen en te implementeren ? Misschien snappen ze bij Microsoft hun eigen OS en applicaties niet meer.
En de hash op een schone machine bekijken of de hash die je ziet is niet de hash
Ik mis nog iets dat mij essentieel lijkt: de hashes zijn toch hopelijk wel digitaal ondertekend door Microsoft zodat je door de handtekening te controleren kan zien of de updates werkelijk door Microsoft aangemaakt zijn? In de blog blijkt dat nergens uit. Ik kan me eigenlijk niet voorstellen dat een bedrijf dat wel met secure boot begint te werken patches niet al sinds jaar en dag op die manier zou ondertekenen en aan de client-kant zou controleren, dat zou schokkend nalatig zijn.
http://support.microsoft.com/kb/2761451[/sarcasme]
Automatisering? Ho maar. Sterker nog, als je de updates automatisch pusht, wordt er volgens mij geen hash gelezen.
Gerookt misschien... Wazige MS af en toe...
En het zou -IMHO- fijn zijn als eindelijk heel de MS-update functionaliteit gewoon eens wordt losgekoppeld van de IE-activeX-elementjes.
Mahja, hashes copy-pasten is óók leuk :]
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
