Microsoft geeft VS toegang tot ongepatchte lekken
Microsoft informeert Amerikaanse inlichtingendiensten over beveiligingslekken in Windows, Internet Explorer en Office waarvoor nog geen beveiligingsupdates beschikbaar zijn. De Amerikaanse overheid kan via deze kwetsbaarheden de computers van buitenlandse overheden binnendringen, iets wat ook zou zijn gebeurd, zo meldt persbureau Bloomberg vandaag.
In een reactie stelt Microsoft dat het delen van informatie kan worden gebruikt om de impact van kwetsbaarheden te bepalen en te helpen bij het beveiligen van systemen. Microsoft zou niet weten hoe de informatie verder door inlichtingendiensten zoals de NSA, FBI en CIA wordt gebruikt.
MAPP
Aangezien het artikel van Bloomberg verder geen details bevat is het onduidelijk om wat voor programma het precies gaat. Microsoft deelt al jaren informatie over beveiligingslekken die het gaat patchen met andere beveiligingsbedrijven. In oktober 2008 startte Microsoft het Microsoft Active Protections Program (MAPP).
Het bestaat uit een samenwerkingsverband met zo'n 80 anti-virusbedrijven en leveranciers van IDS/IPS oplossingen. In het geval van een beveiligingslek in Microsoft software, worden deze partijen ingelicht, zodat ze detectie van exploits aan hun producten kunnen toevoegen voordat er een update van Microsoft beschikbaar is.
Programma
Volgens Bloomberg zou niet alleen Microsoft informatie delen, maar zouden duizenden techbedrijven, financiële instellingen en andere bedrijven nauw samenwerken met Amerikaanse inlichtingendiensten. De bedrijven verstrekken gevoelige gegevens in ruil voor bijvoorbeeld geclassificeerde inlichtingen. Via deze gegevens zouden de diensten buitenlandse computers kunnen infiltreren.
Update 12:18
Het lijkt erop dat Bloomberg op het Defensive Information Sharing Program (DISP) doelt. Dit programma werd op 18 mei 2010 door Microsoft gelanceerd en voorziet overheidsinstanties die onderdeel van zowel het Government Security Program (GSP) als het Security Cooperation Program (SCP) zijn van technische informatie over kwetsbaarheden die Microsoft nog moet patchen.
DISP-leden zouden de informatie over de kwetsbaarheden pas aan het einde van het patchproces ontvangen en kunnen de gegevens gebruiken om de kritieke infrastructuur te beschermen, aldus Microsoft.
Bounty vendor: $1000
Bounty cybercrimineel: $50 000
Bounty full-disclosure: Algemeen belang = onbetaalbaar
geven om in te breken. Dat zijn dus lekken waar weliswaar "nog geen beveilingingsupdates voor beschikbaar zijn"
maar die komen er ook niet zomaar.
Als een 3e partij een dergelijk lek per ongeluk vindt dan komt er wel een update, maar deze update zal dan
waarschijnlijk weer een nieuw lek introduceren.
De vraag is, hoe wordt dit bij open source software geregeld, bijvoorbeeld bij Linux. Waar zitten die lekken en waarom
ziet niemand ze?
Wat gebeurt er bij nieuwe projecten die door weinig mensen worden getrokken? Hoe infiltreert men daarin?
Het maakt niet uit in hoeverre andere landen dat ook (proberen te) doen. De amerikanen staan altijd op voorsprong. Niet dat je ze kan tegenhouden. Je moet er gewoon vanuitgaan dat het gaat gebeuren.
En indien die informatie eerder verstrekt wordt aan (bijvoorbeeld) inlichtingendiensten, dan geeft Microsoft dat natuurlijk eerlijk toe ? ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
