Windows Media Playerissa vakava tietoturva-aukko

Toinen vaihtoehto on lopettaa noiden tietoturva-aukkojen kehittäminen. Jos kaikki olisivat rehellisiä ja kilttejä ja tahtoisivat vain hyvää niin eihän näitä aukkoja edes tarvitsisi korjata. Valitettavasti kaikkien etiikka ei ole samanlainen...

Sinänsä tuon tietoturva-aukon löytäjä on toiminut esimerkillisesti ilmoittaessaan ensiksi mikrosoftille ja vasta kun vikaan on paikka, on asiasta ilmoitettu keskustelufoorumeihin ja muihin mukaviin paikkoihin jotka ovat naurettavan hyviä paikkoja hakea kunnon exploitit kohdekonetta varten. Esimerkkinä pari viikkoa sitten eräs tutkimuslaitos pyysi murtamaan järjestelmänsä rootin salasanan ( rootin salasana oli /etc/shadow tiedostossa vaihtunut erään lumipalloefektin seurauksena *LK* muotoon.). Bugtrack etc. listoja 15 min kahlaamalla aivan tuntemattoman käyttiksen/rautakonfiguraation sai murrettua 5 rivin scriptillä.

Millä tällaiset tietoturva-aukot voitaisiin muuten tiedottaa kaikelle kansalle? 1% tietoturvattoman koneen käyttävästä väestöstä lukee, saatika tekee näille tietoturva-aukoille mitään.

Kyllä nämä tiedot mainitaan MS:n ko. Security Bulletinissa MS02-032:

<clippiti>
Acknowledgments
Microsoft thanks the following people for working with us to protect customers:

jelmer for reporting the Cache Patch Disclosure via Windows Media Player.
The Research Team of Security Internals (www.securityinternals.com) for reporting Privilege Elevation through Windows Media Device Manager Service:
Elias Levy, Chief Technical Officer, SecurityFocus http://www.securityfocus.com/), for reporting the Media Playback Script Invocation.
</clappiti>

Eli ihan tunnettuja nimiä siis. Microsofthan antaa ns. krediittejä niille tahoille, jotka hoitavat aukoista raportoimisen MS:n toivomusten mukaan, eli käytännössä ilmoittavat bugista ensin Microsoftille eivätkä esimerkiksi julkaise exploitteja ennen patchin valmistumista.

-j.

Historian opetukset.

Voisin vastata tähän ja noihin muihinkin kysymyksiin, että kyllä ihmiset haluavat maksaa, suurta osaa ei voisi vähempää kiinnostaa tämä tietoturvaintoilu mitä tällä sivustolla harrastetaan. Alan harrajastajat / ammattilaiset (tämän palstan lukijakunta) tietysti haluavat kontrolloida kaikkea mitä koneella tapahtuu, samoin kuin yritykset. Mutta yksityishenkilöiden osalta tilanne on minusta hieman toinen.

Keskivertokäyttäjä käyttää konettaan varmaan suurimmaksi osaksi www-selailuun, sähköpostin lukemiseen ja ehkä tekstinkäsittelyyn. Oletetaan, että tietoturva pettää. Joku saattaa päästä lukemaan käyttäjän sähköpostin, mitä sitten? Harvoin siellä kuitenkaan on mitään kovin salaista, ja ei kukaan niitä mailejaan kuitenkaan salaa, joten tietoturva on aina postikortin tasoa. Joku mainosohjelma tai aina ilkeä Microsoft saattaa kerätä markkinointitietoja, entäs sitten? Ei voisi jotain keskivertokäyttäjää jälleen vähempää kiinnostaa, kunhan vaan sähköposti toimii ja ohjelmat toimii. Ehkä pahin tapaus voisi olla, että ilkeä hakkeri tunkeutuu koneelle ja tuhoaa sieltä tiedostoja, mutta eipä taida näitä hakkereita normaalien ihmisten windowsien tiedostojen tuhoaminen juuri kiinnostaa. Hyvin moni normaali käyttäjä ei jaksa intoilla näistä tietoturvista, se kun on aikaa vievää, ja on parempaakin tekemistä. Ja tietoturvan pettäminen kotikoneella on harvoin kovin vakava juttu.

En pyri vähättelemään tietoturvan merkitystä, usein tietoturva on todella tärkeää. Mutta väitän, että hyvin moni keskivertokäyttäjä ottaisi paljon mieluummin helppokäyttöisen ei-turvallisen järjestelmän, kuin vaikeakäyttöisen turvallisen järjestelmän.

Mitä sitten taas Windowsiin tulee, niin ne jotka haluavat käyttää Windowsia turvallisesti pystyvät kyllä tarvittaessa konfiguroimaan järjestelmän sellaiseksi, että se ei ole yhtään turvattomampi kuin mikään muukaan järjestelmä kuten Linux. Ihanne tietysti olisi, että kaikki organisaatiot jotka näitä järjestelmiä luovat tekisivät niistä 100% turvalisia, mutta tämä ei ikinä ole käytännössä mahdollista. Ja sen vuoksi pitää miettiä mikä on tietoturvaan panostetun ajan ja vaivan suhde tietoturvan pettämisestä johtuviin ongelmiin.

Mitäs ihmeellistä tuossa nyt muka on? Kun yhden bugin korjaa, niin tulee kolme bugia lisää.

Windows Media Playeristä on lähes aina joku versio koneella, 6.4 tulee ainakin IE:n mukana ja Windows 98/2000:n mukana tulee joku vanhempi versio.

Itsellänikään ei ole WMP7:ää (joka IMHO on hidas ja buginen) asennettuna vaan sen vanhempi versio 6.4 (joka on ainakin minusta yksi Microsoftin parhaiten toimiva ohjelma).

All your base all now belong to us :-)

On se kivaa, että microsoft saa jatkossa asentaa koneelleni mitä haluaa, kunhan internet-yhteys on auki, niinkuin se yleensä on. Modeemikäyttäjät varmasti rakastavat tätä ominaisuutta. Onneksi minulla on 100 Mbps.

Vielä kivempaa on se, että tietokoneellani olevien tiedostojen käyttö estetään, jos se ei microsoftille sovi. Kyllä maailma menee paljon pahempaan suuntaan, jos tietokone ei enää soita kuin DRM-suojattuja WMA-tiedostoja ja mp3-lakkaa tyystin toimimasta. Ehkä ohjelma tarjoaa konversion, jos tarpeeksi maksan microsoftille. Onhan WMA:ssa paljon parempi äänenlaatu.

No onneksi tämä ei tapahdu ihan minun huomaamattani, jonnekin microsoftin webbisivuille ilmestyy uutisia asiasta, kunhan ne "kohtuullisella vaivalla" sinne saadaan.

No onneksi tämä päivitys estää ihmisiä ajamasta omaa koodiaan minun koneellani. Enhän haluisi, että siellä tapahtuu jotain minun huomaamattamani.

Jos tämmöisiä salaliittoja olisi olemassa niin uskon että ne vuotaisivat julkisuueteen. Kuinka paljon on kyseisten softien ja konseptien kehityksessä ihmisiä koodaamassa? Eli tyypit jotka "tekisivät" nämä reijät. Eli uskon että kyseessä on silkkaa sattumaa ja vika löytyy ohjelmisto suunnittelusta. Ei tuollaisella tasolla ole mahdollista suunnitella näin valtavia ja laajoja salaliittoja. Ei tarvittaisi kuin yksi ainut katkeroitunut työntekijä ( joita varmasti microsoftilla riittää) että heidän suuri ja mystinen salaliitto paljastuisi.

Näitä on vain nyt alkanut kasaantumaan, koska kaikki ovat kiinnittäneet huomionsa niihin ja softat joutuneet erityisen tarkastelun sekä puukottamisen kohteeksi.

Jätetään tuo salaliittojen keksiminen niistä pitäville eli jenkeille ja pysytään todellisuudessa.

$kormus->reality_chek(int 0);