Ernstig lek in Noord-Koreaanse Linuxdistro Red Star ontdekt
Een groep hackers heeft een ernstig beveiligingslek in de Noord-Koreaanse Linuxdistributie Red Star OS ontdekt waardoor het mogelijk is om gebruikers van het besturingssysteem op afstand aan te vallen. Alleen het openen van een hyperlink door de gebruiker is voldoende om malware te installeren.
Dat meldt Hacker House, een team van hackers. In het verleden zijn er al vaker kwetsbaarheden in Red Star OS ontdekt. Het nu ontdekte beveiligingsprobleem bevindt zich in de standaard meegeleverde browser genaamd Naenara, wat "Mijn land" in het Koreaans betekent. Naenara is op een zeer oude Firefoxversie gebaseerd. De browser blijkt niet goed om te gaan met uri-argumenten in een hyperlink. Via een speciaal geprepareerde hyperlink op een webpagina kan een aanvaller willekeurige commando's op het systeem uitvoeren, zoals het installeren van malware, als de link door de gebruiker wordt geopend. In onderstaande video wordt de aanval gedemonstreerd.
Hoe weten we dat het niet overal in de wereld gebeurd? Sterker nog, er komen al steeds meer geluiden naar buiten dat er ook backdoors in o.a. Amerikaanse chips in zitten gebakken en dan is er niks meer tegen te doen.
Maak je geen illusies, voor de overheidsdiensten blijft niets meer gehaim.
Deze "eigen" distributie is gebaseerd op een Ubuntu LTS, oorspronkelijk 10.10, vervolgens op 12.04 LTS enz. De basis is dus van zeer behoorlijk en volwassen niveau en de eigenheid zit 'm vooral in de toegesneden configuratie en keuze van in de distributie opgenomen software.
De problemen waarmee is geschermd om tegen dit project te ageren waren vaak van het type verdachtmaking en zondebok en in de regel niet onderbouwd. Alle grote organisaties hebben problemen met hun IT en in dit geval waren problemen vooral te wijten aan gebrek aan personeel en ook tegenwerking door leveranciers van gesloten software die hun silo (=> vendor lock-in) willen beschermen. In Nederland heeft Heerenveen uiteindelijk bakzeil moeten halen door de onwil van bedrijven als Centrix, Pink enz. De integratie van hun systemen met OpenOffice i.p.v. MS Office zou niet kunnen of heel duur zijn.
Dat een dergelijk groot project als Limux er in is geslaagd de migratie binnen de geplande tijdspanne en kosten af te ronden is iets waar een gemeente als Amsterdam met haar MS omgevingen van zou dromen !
Deze "eigen" distributie is gebaseerd op een Ubuntu LTS, oorspronkelijk 10.10, vervolgens op 12.04 LTS enz. De basis is dus van zeer behoorlijk en volwassen niveau en de eigenheid zit 'm vooral in de toegesneden configuratie en keuze van in de distributie opgenomen software.
...
Dat een dergelijk groot project als Limux er in is geslaagd de migratie binnen de geplande tijdspanne en kosten af te ronden is iets waar een gemeente als Amsterdam met haar MS omgevingen van zou dromen !
De keus bij elk bedrijf is tegenwoordig om de softwareontwikkeling buiten de deur te doen. Dan heb je het met een eigen desktop zeer zwaar. Bij limux was nooit het doel alle windows machines te vervangen ze wisten dat dat niet haalbaar is.
Het ging ze meer om de standaardwerkplekken.
In Nederland is gekozen voor open standaarden zoals http://gemmaonline.nl/index.php/StUF_Berichtenstandaard Zoiets heeft niets met office of de desktop te maken. Dat is wel waar alle Gemeentes mee stuk lopen als afhankelijkheid met een beperkt aantal leveranciers. http://www.centric.eu/NL/Default/Nieuws/Nieuwsitem/gemeente-heerenveen-operationeel-met-key2burgerzaken. Wat zegt Heerenveen zelf
https://www.heerenveen.nl/fileadmin/website/actueel/A1_Themabegroting_2017.pdf
"Begin 2015 is een risicoanalyse op de ICT functie uitgevoerd. De belangrijkste ICT risico’s zijn in kaart gebracht en er zijn maatregelen vastgesteld om de kans op het optreden van het risico te beperken.
Een voorbeeld hierbij is een onvoldoende informatiebeveiliging en daarmee een risico op continuïteit van de informatievoorziening en de gemeentelijke dienstverlening. Naast informatiebeveiliging was er sprake van onvoldoende uitvoering van het ICT beleid van de gemeente Heerenveen. Ook op dit onderdeel meerdere maatregelen afgesproken. Inmiddels hebben we de eerste maatregelen uitgevoerd en ronden we dit in 2017 verder af waarmee we de risico’s voor ICT mitigeren."
ICT en security is echt wel iets meer dan politieke voorkeuren met een OS op de desktop.
Er moet natuurlijk door allerlei partijen geld aan worden verdiend dus het loont aan alle kanten om de zaken onnodig ingewikkeld te maken.
Kiss is een mooi principe.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
