Microsoft geeft NAVO toegang tot broncode Windows
Microsoft heeft met de NAVO een overeenkomst gesloten zodat de verdragsorganisatie toegang tot de broncode van Windows en andere Microsoft-producten krijgt. Ook kan het Communicatie en Informatie Agentschap van de NAVO in speciale transparantiecentra direct met de broncode werken en zal Microsoft informatie over kwetsbaarheden en dreigingen delen.
De afspraken zijn onderdeel van het Government Security Programma dat Microsoft in 2003 begon. Sindsdien heeft het met meer dan 40 agentschappen en overheidsdiensten dergelijke overeenkomsten gesloten. Volgens Microsoft gebruiken deelnemers aan het programma de geboden mogelijkheden om meer kennis van Microsoft's software te krijgen, bijvoorbeeld voor evaluatie en certificering. Ook kan het programma helpen bij het overstappen op nieuwe besturingssystemen, zoals Windows 10, en het migreren naar de cloud.
"NAVO heeft met nieuwe en steeds gevaarlijkere cyberdreigingen te maken en deze dreigingen kunnen gevolgen voor nationale economieën en burgers hebben. Om dit te voorkomen vindt het NCI Agentschap het belangrijk om snel en in een vroeg stadium beveiligingslekken met bedrijven te delen zoals Microsoft. Vertrouwen is de sleutel tot succes", aldus Koen Gijsbers, algemeen-directeur van het NCI Agentschap. In juni van dit jaar opende Microsoft in Brussel een transparantiecentrum waar organisaties de broncode van Microsoft kunnen bekijken en hiermee kunnen werken.
Dat laatste is dus het probleem. Ze willen de mogelijkheid hebben code te auditten. Dat is een legitiem verzoek, de NATO is niet zomaar een organisatie. Er spelen grote veiligheidsbelangen.
@ben987
Dat heb je helemaal verkeerd begrepen. Er is geen sprake van aftappen.
Of worden die machines niet meer bijgewerkt voor de broncode ingezien is?
Microsoft geeft NATO de broncode, maar er wordt nergens gezegd dat de broncode onveranderd gebruikt wordt in het eind product.
Volgen mij wordt het voor de NATO pas interessant als ze de GEHELE broncode krijgen en deze met een compiler en linker naar eigen keuze, compileren en linken om een Windows OS te produceren. Anders heb je nog steeds niks!
Microsoft geeft NATO de broncode, maar er wordt nergens gezegd dat de broncode onveranderd gebruikt wordt in het eind product.
Volgen mij wordt het voor de NATO pas interessant als ze de GEHELE broncode krijgen en deze met een compiler en linker naar eigen keuze, compileren en linken om een Windows OS te produceren. Anders heb je nog steeds niks!
Dat klopt en de code is tegenwoordig constant aan verandering onderhevig. Dus een audit zou niet eenmalig moeten zijn.
Wil je een systeem goed aan de tand voelen dan is inzage in de broncode een goed uitgangspunt voor whitebox testing. Dat is veel effectiever dan Black box. Bij http://www.istqb.org/ kun je nagaan wat het verschil is. Dat de source niet gelijk hof te zijn aan de exécutable maakt niet uit dat komt als testresultaten naar boven.
Een ander probleem kan zijn dat er zero_days gevonden worden. Dat is het zelfde resultaat als gangbaar is bij de gangbare open source. Laten we aannemen dat zoiets niet het doel is van de nato. Dan moeten ze ook open leggen aan darpa en elke andere grote klant. Vervelender is als iets als Bugzilla naar verkeerde personen gelekt wordt.
1. Ik vermoed dat je het niet zelf mag builden - er zijn andere organisaties geweest die vergelijkbare voorwaarden krijgen (om te voorkomen dat men zich niet aan de licentie houd)
2. het build waarschijnlijk alleen met de compiler van Microsoft, dus je hebt een bootstrap probleem ? Of je moet ook de source van de compiler er bij krijgen en andere compiler gebruiken om die compiler te builden ? Is dat uberhaubt mogelijk met hun compiler ?
3. de source is veeel te groot, als je een audit wilt doen heb je veel te veel tijd nodig.
En er zijn er vast nog meer...
Zoals problemen met updates zoals hierboven al eerder genoemd.
De kreet "in (Westerse) democratien zijn ondernemingen onafhankelijk" is een wassenneus.
Ze zijn verkapte staatsbedrijven!
.
Waarom ga je eigenlijk voorbij aan de gedegen testaanpak? Als je op zoek naar bepaalde mogelijke fouten dan helpt inzicht in broncode het is geen voorwaarde om zelf te compileren.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?