Microsoft vs Core Security - spór o dziurę w wirtualnym Windows

securitystandard.pl 18 marca 2010 15:56, securitystandard
Specjaliści z firmy Core Security twierdzą, że w oprogramowaniu Microsoftu jest luka, umożliwiająca włamywanie się do systemów Windows uruchomionych w wirtualnych maszynach. Koncern z Redmond nie zamierza jednak przygotować łaty, ponieważ jego zdaniem żadnego błędu nie ma.
Przedstawiciele Core Security oficjalnie poinformowali o wykryciu owego błędu przedwczoraj. Zwlekali z tym siedem miesięcy - lukę znaleźli we wrześniu ubiegłego roku i wtedy też powiadomili o niej pracowników Microsoftu. Ale koncern do dziś nie rozwiązał problemu i wygląda na to, że na razie nie zamierza tego robić.

"Microsoft nie uważa tego problemu za lukę w zabezpieczeniach - ich zdaniem żadna poprawka nie jest w tej chwili potrzebna. Powiedzieli nam, że być może zrobią coś z tą usterką w jakimś kolejnym service packu. Naszym zdaniem to poważny błąd - tę lukę należy usunąć jak najszybciej" - mówi Ivan Arce, szef działu technicznego Core Security.

Microsoft faktycznie przyznał, że nie traktuje problemu z oprogramowaniem Virtual PC, Virtual PC 2007 oraz Virtual Server 2005 jako błędu w zabezpieczeniach - "Funkcja, o której mówią przedstawiciele Core, to nie jest błąd jako taki. Oni opisali po prostu pewną teoretyczną metodę ataku, w którym musi zostać wykorzystany jakiś inny błąd w zabezpieczeniach - to raczej pewien sposób wykorzystania innych błędów, niż luka jako taka. Zdaje sobie sprawę z tego, że na pierwszy rzut oka różnica jest dość subtelna - ale właściwe rozróżnienie tych dwóch spraw jest bardzo ważne" - komentuje Paul Cooke, jeden z dyrektorów działu odpowiedzialnego za bezpieczeństwo produktów Microsoftu.

Opisany przez Core Security błąd umożliwia "napastnikowi" ominięcie kilku podstawowych dla bezpieczeństwa systemu Windows technologii zabezpieczających - chodzi tu m.in. o DEP (data execution prevention) oraz ASRL (address space layout randomization). To z kolei może pozwolić na skuteczne wykorzystanie jakiejś luki w oprogramowaniu (która normalnie nie byłaby groźna, ponieważ DEP lub ASRL blokowałyby wszelkie próby użycia jej do zaatakowania Windows). Co ważne - metoda opisana przez specjalistów z Core Security jest skuteczna wyłącznie w przypadku systemu uruchomionego w wirtualnej maszynie - Okna zainstalowane na zwykłym komputerze nie są podatne na taki atak. Błąd nie występuje również w oprogramowaniu wirtualizacyjnym Microsoft Hyper-V (wprowadzonym w Windows Server 2008).

Ivan Arce przyznaje, że przedwczorajsze opublikowanie exploita i szczegółowego opisu problemu było próbą wywarcia nacisku na Microsoft - specjaliści chcieli w ten sposób zmusić firmę do szybkiego przygotowania poprawki. Jak widać, plan spalił na panewce - koncern z Redmond łaty przygotować nie zamierza. W każdym razie nie w najbliższym czasie.

Microsoft przyznaje, że wirtualne systemy faktycznie mogą być bardziej narażone na ataki niż te zainstalowane na fizycznej maszynie - koncern potwierdził też, że dotyczy to m.in. Windows XP uruchomionego w ramach tzw. Trybu XP w Windows 7 (dzięki tej funkcji w nowym systemie można bez większych problemów uruchamiać stare aplikacje). Ale przedstawiciele firmy zastrzegają, że ryzyko jest niewielkie - nawet jeśli atak zakończy się powodzeniem, to napastnik i tak uzyska dostęp tylko do zasobów Windows działającego w maszynie wirtualnej - system, w którym ta maszyna będzie uruchomiona, przez cały czas będzie bezpieczny.


Komentarze (27)

  • ~gość
  • 2010-03-18 16:16:44

gdyby MS działął pod publiczkę domorosłych znawców (jak FX i wielu innych z open sorce) to codziennie wypuszczałby kilkanaście poprawek - co za różnica, prawda domorośli?

  • ~Ajnsztajn
  • 2010-03-18 16:20:28

Ta... To nie błąd - to funkcjonalność ;)

  • ~Adam
  • 2010-03-18 16:30:23

Tad, znów trafiłeś w samo sedno: gdyby M$ chciał załatać swoje dziury (jak FX i wielu innych z open sorce), to codziennie wypuszczałby kilkanaście poprawek.

  • ~Zeke
  • 2010-03-18 16:31:12

Tak tak, MS nie wypuszcza poprawek, bo klient i tak już przecież zapłacił za system, więc co za różnica, prawda ekspercie?

  • ~phi
  • 2010-03-18 16:49:51

Dlaczego nikt sie nie zastanawia co będzie, gdy w ten sposób ktoś się włamie do maszyny, która jest dołączona do domeny... KIEDYŚ administrator domeny musi się na nią zalogować :) Czasami warto poczekać, podrzuciwszy kukułcze jajo. Niejedna domena została przejęta tą drogą.

  • ~Yeti
  • 2010-03-18 17:08:04

Czyli jak firma ma program do wystawiania faktor i paragonów uruchomiony pod trybem XP to haker może bez żadnych kłopotów przejąc numery kart kredytowych czy dane osobowe klientów.

  • ~Piki
  • 2010-03-18 17:16:56

Kiedy do panienek z IDG dotrze, że publikując adresy IP naruszają prawo o ochronie danych osobowych? Druga rzecz. Skasujcie posty Tadeusza, bo zaniżają poziom serwisu, nie wnosząc niczego poza dezinformacją.

  • ~emzol
  • 2010-03-18 17:46:46

Ale jak to? W Windows? Niemożliwe, przecież kilka tygodni temu ten system w teście systemów operacyjnych sporządzonym przez redakcję ZRÓWNAŁ Z ZIEMIĄ linuksy i Mac OS X! "lukę znaleźli we wrześniu ubiegłego roku i wtedy też powiadomili o niej pracowników Microsoftu." Ale jak to? Przecież do NAJBEZPIECZNIEJSZEGO systemu operacyjnego łatki są wydawane regularnie co miesiąc!

  • ~Zeke
  • 2010-03-18 17:58:41

@emzol Zapomniałeś, że w teście sporządzonym profesjonalnie... I że niewydawanie łatek jest zaletą :)

  • ~Wesoły
  • 2010-03-18 19:31:22

Emzol, ale przecież to prawda że co miesiąc Microsoft wydaje łatki. Po protu mało co one łatają :-D

  • ~rusineck
  • 2010-03-18 20:32:07

Najwspanialszy pod słońcem Windows przypomina mi polskie drogi - kładą łatę obok łaty, a dziury i tak wyłażą. Ale taniej jest dalej łatać, niż zrobić całkiem nową i lepszą nawierzchnię.

  • ~viśtek(R)
  • 2010-03-18 23:17:10

@rusineck: no popatrz a mi te polskie drogi przypominają właśnie lajnuxxa ;) wasi developerzy codziennie zarzucają po kilkaset łat a po paru miesiącach i tak zapominają o tych załatanych dziurach i błędach przepisując je na nowe (tym razem już na pewno najdoskonalsze :) ) api...

  • ~Wesoły
  • 2010-03-19 07:59:26

@viśtek, zauważ dziecko że w systemie mamy aktualizowane również niemal WSZYSTKIE aplikacje. Wiesz gdzie jest różnica ? Mój system jest w miarę szczelny. Twój nie dość że jest dziurawy, nie dość że ma zintegrowaną dziurawą przeglądarkę to jeszcze ma masę nieaktualizowanego dziurawego softu. Ogólnie taki serek. Współczuję...

  • ~luki100011
  • 2010-03-19 09:20:20

To są procedury bezpieczeństwa 1) zewnętrzna firma zgasza błąd 2) MS - bagatelizuje go 3) zewnętrzna firma opisuje błąd jawnie 4) MS - bagatelizuje go nadal ;-) :)

  • ~Mery
  • 2010-03-19 09:50:52

Ciekawe kiedy znajdzie się jakiś majster co napisze exploita, który sobie z trybu XP w Win7 botnet zrobi :D. Albo lepszy pacjent, który podrzuci coś do wirtualnego XP w taki sposób, że wyjdzie to do bazowego systemu. Nie ma tu filozofii - wystarczy współdzielony dysk między systemem bazowym, a wirtualnym i zostawiamy na dysku śmieci - user wyklika resztę za szkodnika :).

  • ~Next
  • 2010-03-19 10:05:56

Wesoły, po co to "dziecko" w twoim komentarzu? Czyżbyś jednak nie był pewien swoich argumentów, że podpierasz się metodą ad personam? Emocje grają? Coś innego? Tak czy owak - to "dziecko" najwięcej mówi o tobie: osobie, której wypowiedzi należy zignorować.

  • ~max
  • 2010-03-19 12:38:48

re viśtek: już raz rozmawialiśmy na ten temat, a ty jak katarynka powtarzasz swoje absurdalne teorie. re Next: widzisz, kolego, po którejś id*otycznej prowokacji takiego trola jak viśtek, tad czy ramol, odechciewa się pisać do nich miło, kulturalnie i ogólnie w tonie porozumienia.

  • ~oh ty karol
  • 2010-03-19 17:42:50

Będę to przypominał przy każdej okazji. Panie Dawidzie Długoszu jak ma się Pana poczucie rzetelności w kontekście Pańskich stwierdzeń w artykule http://www.pcworld.pl/news/356265/Windows.7.kontra.reszta.swiata.html oraz powyższego artykułu. Patrzy Pan ludziom bez zawstydzenia w twarz ? Akurat mam XP-eka i Windows 7 na wirtualce. Nie popadł bym w czarną rozpacz gdyby się posypały, mam początkowe migawki, lecz nie lubię gdy mi ktoś/coś grzebie w maszynie.

  • vi¶tek
  • 2010-03-19 19:43:01

@ maxiu & wesoły: a ja pisałem już wielokrotnie (choć akurat tych postów cenzura nie chciała pu¶cić) żeby¶cie się dokładnie przyjrzeli logom z losowej aktualizacji swojego lubudu.. gołym okiem można zauważyć stosunek updateów dotycz±cych samego systemu (programów systemowych i bibliotek) do tych dotycz±cych programów użytkowych (czyli w zasadzie dwóch: oo i ff)... poza tym nie zapominajcie że u normalnego, statystycznego usera Windows dochodzi jeszcze ms Office który również się aktualizuje przez win update! i zapamiętaj sobie maxiu że nie lepszej prowokacji niż wasz nadęty ton linuchowych mędrców... żaden schizofreniczny ramol waszego bełkotu nie przebije! bo za nim przynajmniej stoj± liczby i zadowoleni użytkownicy a za wami cóz.. chyba tylko jeszcze bardziej nawiedzona grupka oszołomów.. :D

  • ~max
  • 2010-03-19 19:45:32

viśtek - a nie mówiłem ci już, żebyś sobie w swoim super-profesjonalnym gadżecie do grania w gierki poprawił kodowanie, bo znakami zapytania sypiesz?;) jeśli twierdzisz, że mam zainstalowane tylko dwa programy, czyli ff i oo, to nie mamy o czym rozmawiać. Nie mam zwyczaju marnować czasu na beserwiserów i mitomanów.

  • vi¶tek
  • 2010-03-19 20:02:06

ależ maxiu również i na to ci odpowiadałem (choć pewnie znów cenzura wycięła) że na mojej maszynie wszystko się wy¶wietla ok :) a najwyraĽniej twój l33towy system ma jaki¶ problem z rozpoznaniem kodowanie na tej stronie :) ja też nie mam ochoty na jałow± dyskusję zwłaszcza że prędzej ¶wiat się skończy niż wy się przyznacie do czegokolwiek co łamie wasze dogmaty.. :) przypomnę tylko że identyfikacja projekcyjna jest częstym zjawiskiem u zakompleksionych outsiderów obrażonych na cały ¶wiat :D

  • vi¶tek
  • 2010-03-19 20:03:23

ależ maxiu również i na to ci odpowiadałem (choć pewnie znów cenzura wycięła) że na mojej maszynie wszystko się wy¶wietla ok :) a najwyraĽniej twój l33towy system ma jaki¶ problem z rozpoznaniem kodowanie na tej stronie :) ja też nie mam ochoty na jałow± dyskusję zwłaszcza że prędzej ¶wiat się skończy niż wy się przyznacie do czegokolwiek co łamie wasze dogmaty.. :) przypomnę tylko że identyfikacja projekcyjna jest częstym zjawiskiem u zakomplksionych outsiderów obrażonych na cały ¶wiat :D

  • ~och ty karol
  • 2010-03-19 20:15:38

Świstek się wkurzył. Jeden post ze złym kodowaniem to mało muszą być dwa obok siebie.

  • vi¶tekź
  • 2010-03-19 21:00:38

nie moja wina że wasz systemik nie odróżnia iso-8859-2 od utf-8 ... zainstalujcie normalny system to będzie wam się wy¶wietlało ok :D

  • ~emzol
  • 2010-03-19 21:28:32

@viśtek Ja siedzę teraz na "swoim" legalnym Windowsie i też widzę znaki zapytania w twoich komentarzach.

  • ~Tomek
  • 2010-03-22 11:23:22

Microsoftowi NIE ZALEŻY na łataniu Virtual Server/PC, bo chce tę linię produktów uśpić, a istniejących użytkowników skłonić do migracji do Hyper-V/App-V/MED-V (nie za darmo, oczywiście). Rozgrzebywanie tych mechanizmów jest swoją drogą trudne, długotrwałe i kosztowne, więc... szkoda się do tego brać. Taniej jest udawać, że problemu nie ma, a za rok się powie, że to niszowy problem. Prawda jest wręcz taka, że Microsoftowi jest na rękę dokładnie taka sytuacja. Niepewność została zasiana.

  • ~tyfus
  • 2010-05-05 15:10:20

Gościu! Widać że nie wiesz co piszesz. Niestety Windows jest dziurawy jak sito. Nazywając kogoś domorosłym sam sobie ubliżasz. Zobacz dlaczego w żadnym systemie Linux nie złapiesz wirusa, czy nie zaznasz próby żadnego włamania.Zastanów się nad tak prostą sprawą, a dopiero krytykuj kogoś kto się na tym zna.

reklama

Popularne produkty

Nokaut

Pobierz bezpłatnego e-booka

20 lat polskiej sieci
Ebook 20 lat polskiej sieci to kompletna charakterystyka polskiego internetu (oraz polskiego internauty). Odpowiadamy na pytanie, jak wygląda nasz kraj na tle bliższych i dalszych europejskich sąsiadów pod względem popularyzacji szerokopasmowych łączy internetowych i rynku mobilnego. Wymieniamy również wady i zalety korzystania z bezpłatnych punktów dostępowych.
Jeśli chcesz otrzymać darmowego e-booka, wpisz swój adres e-mail. Wyślemy Ci go natychmiast!
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »

  Kariera w IT 2012

Kariera w IT 2012
Uczelnie, rynek pracy, rekrutacja, pracodawcy, rozwój zawodowy - czyli wszystko, co chcielibyście wiedzieć o pracy specjalistów IT w Polsce. Piszemy jakie uczelnie wybrać, dlaczego warto studiować informatykę i kierunki techniczne, jak wygląda proces rekrutacji i jak dobrze wypaść przed pracodawcą, opisujemy pracodawców - firmy IT - i możliwe ścieżki kariery.

  Rekomendacje

reklama
reklama
Warunki obsługi - Kontakt - Regulamin
Polityka prywatności - Serwis zgodny z ASME
Serwisy IDG - Reklama -
© Copyright 2011 International Data Group Poland S.A.
04-204 Warszawa ul. Jordanowska 12
tel.(+4822)321-78-00   fax(+4822)321-78-88
Archiwum wiadomości: 2011 2010 2009 2008 2007 2006 2005 2004 2003 2002 2001