Microsoft adviseert VPN-patch voor alle Windows 8.1-gebruikers
Microsoft heeft deze week een update uitgebracht voor de in Windows 8.1 ingebouwde VPN-client van Juniper en adviseert alle gebruikers de patch te installeren, ook als ze de software niet gebruiken. Windows 8.1 en RT 8.1 beschikken over de Juniper Networks Windows In-Box Junos Pulse Client.
Via de software kan er een VPN-verbinding worden opgezet. Een VPN laat gebruikers op een beveiligde manier verbinding met computers of netwerken maken. In de client van Juniper zijn verschillende kwetsbaarheden ontdekt, waardoor een aanvaller verschillende aanvallen kan uitvoeren, waaronder de Freak-aanval. Een aanvaller kan de verbinding in dit geval naar een zwakke encryptie downgraden.
Vervolgens kan deze encryptie worden aangevallen en de inhoud van het beveiligde verkeer worden bekeken. Om de aanval uit te voeren zou een aanvaller het slachtoffer verbinding met een speciaal geprepareerde VPN-server moeten laten maken, aldus Microsoft. De softwaregigant publiceerde de advisory voor de kwetsbaarheid op 5 mei. Op 9 juni verscheen de update voor de gevonden kwetsbaarheden. Daarbij krijgen nu alle Windows 8.1-gebruikers het advies die te installeren, ook als ze de software niet gebruiken, aangezien het een standaardonderdeel van het besturingssysteem is.
Zoals ze dat ook met de virusscanner hebben gedaan?
Huh ? De VPN client was, net zoals heel erg veel andere software, kwetsbaat voor een FREAK aanval. Dit is onderkend en opgelost. Als het een door Microsoft zelf geschreven client was geweest was die ook kwetsbaar geweest. Alleen dan allicht iets eerder gepatched: https://technet.microsoft.com/library/security/MS15-031. Eigenlijk snap ik de nieuwswaardigheid van deze update niet zo. Of gaan we alle Microsoft updates op dinsdag een voor een in een nieuwsartikel behandelen.
OpenVPN is nu net niet de meest gebruiker vriendelijke VPN cliënt. Sterker nog, je hebt een hoop gezeik met routeringen als je het niet als Local Administrator draait.
En of je laat de gebruiker zelf een stukje software downloaden en installeren. Of de VPN client zit native in het OS.
95% van de eind gebruikers zal juist graag willen dat ze nergens naar willen omkijken. Dus een buildin VPN cliënt valt daar ook onder.
Daarnaast MS heeft al native VPN clients, PPTP, L2TP en SSTP VPN ondersteunding native in het OS zitten.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
