Microsoft adviseert VPN-patch voor alle Windows 8.1-gebruikers
Microsoft heeft deze week een update uitgebracht voor de in Windows 8.1 ingebouwde VPN-client van Juniper en adviseert alle gebruikers de patch te installeren, ook als ze de software niet gebruiken. Windows 8.1 en RT 8.1 beschikken over de Juniper Networks Windows In-Box Junos Pulse Client.
Via de software kan er een VPN-verbinding worden opgezet. Een VPN laat gebruikers op een beveiligde manier verbinding met computers of netwerken maken. In de client van Juniper zijn verschillende kwetsbaarheden ontdekt, waardoor een aanvaller verschillende aanvallen kan uitvoeren, waaronder de Freak-aanval. Een aanvaller kan de verbinding in dit geval naar een zwakke encryptie downgraden.
Vervolgens kan deze encryptie worden aangevallen en de inhoud van het beveiligde verkeer worden bekeken. Om de aanval uit te voeren zou een aanvaller het slachtoffer verbinding met een speciaal geprepareerde VPN-server moeten laten maken, aldus Microsoft. De softwaregigant publiceerde de advisory voor de kwetsbaarheid op 5 mei. Op 9 juni verscheen de update voor de gevonden kwetsbaarheden. Daarbij krijgen nu alle Windows 8.1-gebruikers het advies die te installeren, ook als ze de software niet gebruiken, aangezien het een standaardonderdeel van het besturingssysteem is.
Zoals ze dat ook met de virusscanner hebben gedaan?
Huh ? De VPN client was, net zoals heel erg veel andere software, kwetsbaat voor een FREAK aanval. Dit is onderkend en opgelost. Als het een door Microsoft zelf geschreven client was geweest was die ook kwetsbaar geweest. Alleen dan allicht iets eerder gepatched: https://technet.microsoft.com/library/security/MS15-031. Eigenlijk snap ik de nieuwswaardigheid van deze update niet zo. Of gaan we alle Microsoft updates op dinsdag een voor een in een nieuwsartikel behandelen.
OpenVPN is nu net niet de meest gebruiker vriendelijke VPN cliënt. Sterker nog, je hebt een hoop gezeik met routeringen als je het niet als Local Administrator draait.
En of je laat de gebruiker zelf een stukje software downloaden en installeren. Of de VPN client zit native in het OS.
95% van de eind gebruikers zal juist graag willen dat ze nergens naar willen omkijken. Dus een buildin VPN cliënt valt daar ook onder.
Daarnaast MS heeft al native VPN clients, PPTP, L2TP en SSTP VPN ondersteunding native in het OS zitten.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
