Expert waarschuwt voor patchbeleid Windows 10
Windows 10 moet nog verschijnen, maar een beveiligingsexpert van het Slowaakse anti-virusbedrijf ESET heeft zowel eindgebruikers als bedrijven al gewaarschuwd dat Microsofts patchbeleid voor het nieuwe besturingssysteem de deur voor zero day-aanvallen openlaat.
Met Windows 10 gaat Microsoft updates op verschillende manieren uitrollen. Zo komt er een Long Term Servicing (LTS) branch voor bedrijven met belangrijke systemen. In dit geval zullen er alleen beveiligingsupdates worden uitgerold, maar geen nieuwe features. Dan is er nog de "Current branch for Business". Door computers en apparaten hiervoor in te stellen zullen er nieuwe feature-updates worden uitgerold nadat die uitgebreid in de consumentenmarkt zijn getest en gevalideerd.
Op deze manier kunnen systemen met grote zekerheid worden geüpgraded. Het gaat hier alleen om nieuwe features. Beveiligingsupdates worden nog wel steeds meteen aangeboden. Als laatste zijn er de consumenten die alle updates, zowel security als nieuwe features, meteen ontvangen. Volgens expert Aryeh Goretsky is het zinnig om Windowsgebruikers in verschillende groepen op te delen om patches te kunnen testen. Hij vermoedt dat patches die onder consumenten worden uitgerold en niet goed werken eerst worden gerepareerd voordat ze onder bedrijven worden verspreid.
Deze aanpak brengt volgens de expert ook nadelen met zich mee. Consumenten en organisaties die niet de enterprise-versie van Windows 10 draaien zouden minder goed geteste patches kunnen ontvangen en zo met crashes te maken kunnen krijgen. Bedrijven aan de andere kant moeten misschien langer wachten totdat Microsoft vindt dat de updates voldoende zijn getest en ze groen licht geeft.
Goretsky zegt dat het nog afwachten is hoe het nieuwe patchbeleid van Windows 10 zal uitpakken, maar geeft wel alvast het advies dat als de vertraging waarmee bedrijven updates ontvangen ervoor zorgt dat het aanvalsoppervlak toeneemt, organisaties beter af zijn met een oudere enterprise-versie van Windows die updates eerder ontvangt dan de enterprise-versie van Windows 10.
Oplossing: laat consumenten onwetend beta-tester spelen
Resultaat, goedkope testers met vele configuraties in vele verschillende stadia van gebruik.
Mogelijke backfire: Windows consumenten gaan de stabiliteit van Windows nog meer in twijfel trekken en ze willen al niet graag over naar Vista, 7, 8, 8.1 of 10.
Verder vind ik het onzin. Bedrijven hebben wel een IT afdeling waar ze via een update server alles zelf kunnen regelen. Bedrijven die geen IT afdeling hebben zijn toch al niet interessant voor een megalomaan bedrijf als Microsoft.
Oplossing: laat consumenten onwetend beta-tester spelen
Resultaat, goedkope testers met vele configuraties in vele verschillende stadia van gebruik.
Mogelijke backfire: Windows consumenten gaan de stabiliteit van Windows nog meer in twijfel trekken en ze willen al niet graag over naar Vista, 7, 8, 8.1 of 10.
Verder vind ik het onzin. Bedrijven hebben wel een IT afdeling waar ze via een update server alles zelf kunnen regelen. Bedrijven die geen IT afdeling hebben zijn toch al niet interessant voor een megalomaan bedrijf als Microsoft.
Er is nog een nadeel voor de bedrijven: De patches worden vandaag de dag meteen geanalyseerd en binnen dagen wordt er een exploit geschreven, die kan worden los gelaten op de nog niet gepatchte software van bedrijven.
Kortom, niet echt handig!
Want hoe vaak gaat zo'n update nu echt fout?
Van de tijd die de gemiddelde consument kwijt is aan "problemen" (in de ruimste zin van het woord), maken problemen met brakke updates volgens mij een heel, heel erg klein gedeelte uit.
Van de tijd die de gemiddelde consument kwijt is aan "problemen" (in de ruimste zin van het woord), maken problemen met brakke updates volgens mij een heel, heel erg klein gedeelte uit.
Het enige probleem is denk ik dat de consument vaak de kennis niet heeft om eventuele problemen op te lossen. Als MS niet uitkijkt kan dit ze wel consument klanten gaan kosten. Ze zullen wel de eigen test kwaliteit op peil moeten houden, en niet op de consument markt gaan vertrouwen als testers.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
