7-Zip ondersteunt nu optioneel Mark-of-the-Web beveiligingsfeature
Het populaire archiveringsprogramma 7-Zip heeft eindelijk ondersteuning voor de Mark-of-the-Web (MOTW) beveiligingsfeature van Windows gekregen, maar gebruikers moeten die wel zelf inschakelen. MOTW zorgt ervoor dat bestanden die via internet zijn gedownload door Windows van een aparte tag worden voorzien. Bij het openen van bestanden met een MOTW-tag zal Windows een extra waarschuwing aan gebruikers tonen of ze het bestand echt willen openen, aangezien het vanaf internet afkomstig is.
Verschillende applicaties zoals Microsoft Office ondersteunen Mark-of-the-Web. Deze ondersteuning ontbrak echter in 7-Zip. Dit tot ongenoegen van allerlei beveiligingsexperts. Wanneer gebruikers bijvoorbeeld een zip-bestand via internet downloaden en daarna de inhoud via 7-Zip uitpakken, wordt het Mark-of-the-Web niet doorgegeven aan de uitgepakte bestanden. Iets wat een beveiligingsrisico kan zijn. Zo zijn in het verleden 7-Zip-archieven gebruikt voor de verspreiding van malware.
7-Zip-ontwikkelaar Igor Pavlov heeft in de nieuwste versie van 7-Zip (22.00), die vorige week uitkwam, de feature eindelijk toegevoegd. Gebruikers moeten die wel zelf inschakelen, aangezien "Propagate Zone.Id stream", zoals het archiveringsprogramma Mark-of-the-Web noemt, standaard staat uitgeschakeld.
of krijgt, deze dan bij het opslaan op disk die vlag er aan toevoegt.
Een programma als 7-zip zou dan die vlag moeten doorcopieren naar files die het uitpakt, dus als je een .zip hebt met
die vlag dan moet je de uitgepakte files ook weer van die vlag voorzien.
Maar omdat 7-zip dat alleen maar doet als je het zelf eerst aanzet in de settings heeft die toegevoegde functie
TOTAAL GEEN ZIN, immers mensen die weten dat dit risico er is en die setting aanpassen die zijn ook wel zo slim
om geen gedownloade executables uit te gaan voeren. En beheerders die zo slim zijn om dit soort settings te
configureren die zijn wel zo slim om in het algemeen het uitvoeren van door de gebruiker gedownloade bestanden
te verbieden.
M.a.w. dit was leuk geweest als het default AAN stond, nu het default UIT staat is het totaal nutteloos.
of krijgt, deze dan bij het opslaan op disk die vlag er aan toevoegt.
Een programma als 7-zip zou dan die vlag moeten doorcopieren naar files die het uitpakt, dus als je een .zip hebt met
die vlag dan moet je de uitgepakte files ook weer van die vlag voorzien.
Maar omdat 7-zip dat alleen maar doet als je het zelf eerst aanzet in de settings heeft die toegevoegde functie
TOTAAL GEEN ZIN, immers mensen die weten dat dit risico er is en die setting aanpassen die zijn ook wel zo slim
om geen gedownloade executables uit te gaan voeren. En beheerders die zo slim zijn om dit soort settings te
configureren die zijn wel zo slim om in het algemeen het uitvoeren van door de gebruiker gedownloade bestanden
te verbieden.
M.a.w. dit was leuk geweest als het default AAN stond, nu het default UIT staat is het totaal nutteloos.
Beheerders zullen dat wel aanzetten binnen een bedrijfscontext.
Als gebruikers zelf 7-zip kunnen configureren in zo'n context zijn er wel dringendere beveiligingsproblemen om aan te pakken.
Mark-off-the-web is leuk en heeft zijn nut. Het is en blijft echter een feature van het NTFS- filesystem waarop je de bestanden opslaat. (Via een alternate data stream). Op andere filesystems werkt dit sowieso niet.
Gezien alternate data streams zelf ook te misbruiken zijn door malware, kan dit NTFS feature ook uitgeschakeld zijn.
Dus als je dat kan gebruiken, dan zet je dat aan maar aangezien het een feature is die lang niet in alle omstandigheden bruikbaar is lijkt het mij beter dat het by default niet aan staat.
Of is de integriteit van bestanden/directories niet belangrijk?
deze flag is niet zo simpel als het zetten van een bit, een flag impliceert dat er ook accounting wordt bijgehouden van deze state, voor windows is dat via de registry en/of het filesystem. Deze flag is een systeem-attribuut wat het niet mogelijk maakt om deze 'zomaar' te wijzigen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
