Microsoft geeft NAVO toegang tot broncode Windows
Microsoft heeft met de NAVO een overeenkomst gesloten zodat de verdragsorganisatie toegang tot de broncode van Windows en andere Microsoft-producten krijgt. Ook kan het Communicatie en Informatie Agentschap van de NAVO in speciale transparantiecentra direct met de broncode werken en zal Microsoft informatie over kwetsbaarheden en dreigingen delen.
De afspraken zijn onderdeel van het Government Security Programma dat Microsoft in 2003 begon. Sindsdien heeft het met meer dan 40 agentschappen en overheidsdiensten dergelijke overeenkomsten gesloten. Volgens Microsoft gebruiken deelnemers aan het programma de geboden mogelijkheden om meer kennis van Microsoft's software te krijgen, bijvoorbeeld voor evaluatie en certificering. Ook kan het programma helpen bij het overstappen op nieuwe besturingssystemen, zoals Windows 10, en het migreren naar de cloud.
"NAVO heeft met nieuwe en steeds gevaarlijkere cyberdreigingen te maken en deze dreigingen kunnen gevolgen voor nationale economieën en burgers hebben. Om dit te voorkomen vindt het NCI Agentschap het belangrijk om snel en in een vroeg stadium beveiligingslekken met bedrijven te delen zoals Microsoft. Vertrouwen is de sleutel tot succes", aldus Koen Gijsbers, algemeen-directeur van het NCI Agentschap. In juni van dit jaar opende Microsoft in Brussel een transparantiecentrum waar organisaties de broncode van Microsoft kunnen bekijken en hiermee kunnen werken.
Dat laatste is dus het probleem. Ze willen de mogelijkheid hebben code te auditten. Dat is een legitiem verzoek, de NATO is niet zomaar een organisatie. Er spelen grote veiligheidsbelangen.
@ben987
Dat heb je helemaal verkeerd begrepen. Er is geen sprake van aftappen.
Of worden die machines niet meer bijgewerkt voor de broncode ingezien is?
Microsoft geeft NATO de broncode, maar er wordt nergens gezegd dat de broncode onveranderd gebruikt wordt in het eind product.
Volgen mij wordt het voor de NATO pas interessant als ze de GEHELE broncode krijgen en deze met een compiler en linker naar eigen keuze, compileren en linken om een Windows OS te produceren. Anders heb je nog steeds niks!
Microsoft geeft NATO de broncode, maar er wordt nergens gezegd dat de broncode onveranderd gebruikt wordt in het eind product.
Volgen mij wordt het voor de NATO pas interessant als ze de GEHELE broncode krijgen en deze met een compiler en linker naar eigen keuze, compileren en linken om een Windows OS te produceren. Anders heb je nog steeds niks!
Dat klopt en de code is tegenwoordig constant aan verandering onderhevig. Dus een audit zou niet eenmalig moeten zijn.
Wil je een systeem goed aan de tand voelen dan is inzage in de broncode een goed uitgangspunt voor whitebox testing. Dat is veel effectiever dan Black box. Bij http://www.istqb.org/ kun je nagaan wat het verschil is. Dat de source niet gelijk hof te zijn aan de exécutable maakt niet uit dat komt als testresultaten naar boven.
Een ander probleem kan zijn dat er zero_days gevonden worden. Dat is het zelfde resultaat als gangbaar is bij de gangbare open source. Laten we aannemen dat zoiets niet het doel is van de nato. Dan moeten ze ook open leggen aan darpa en elke andere grote klant. Vervelender is als iets als Bugzilla naar verkeerde personen gelekt wordt.
1. Ik vermoed dat je het niet zelf mag builden - er zijn andere organisaties geweest die vergelijkbare voorwaarden krijgen (om te voorkomen dat men zich niet aan de licentie houd)
2. het build waarschijnlijk alleen met de compiler van Microsoft, dus je hebt een bootstrap probleem ? Of je moet ook de source van de compiler er bij krijgen en andere compiler gebruiken om die compiler te builden ? Is dat uberhaubt mogelijk met hun compiler ?
3. de source is veeel te groot, als je een audit wilt doen heb je veel te veel tijd nodig.
En er zijn er vast nog meer...
Zoals problemen met updates zoals hierboven al eerder genoemd.
De kreet "in (Westerse) democratien zijn ondernemingen onafhankelijk" is een wassenneus.
Ze zijn verkapte staatsbedrijven!
.
Waarom ga je eigenlijk voorbij aan de gedegen testaanpak? Als je op zoek naar bepaalde mogelijke fouten dan helpt inzicht in broncode het is geen voorwaarde om zelf te compileren.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
