Nieuws
image

"Tegenstanders full disclosure zijn naïef"

dinsdag 12 december 2006, 14:52 door Redactie, 3 reacties

Beveiligingsonderzoeker H.D. Moore wordt regelmatig geprezen voor zijn bijdragen aan de security gemeenschap, maar sommige aanbieders vinden hem een luis in de pels. Volgens critici blijven veel beveiligingslekken onopgemerkt als onderzoekers er niet naar gaan zoeken. De man achter het Metasploit project is het daar niet mee eens en waarschuwt dat de ergste lekken vaak gevonden zijn nadat een aanvaller er misbruik van maakte.

Tegenstanders van full disclosure komen dan ook naïef over, aldus Moore. "Als ik een lek vind ga ik ervan uit dat iemand anders hem al eerder heeft gevonden".

Afhankelijk van de situatie wacht Moore dan ook niet op de vendor om met een patch te komen. Het is een mythe dat "responsible disclosure" betekent dat je op een patch moet wachten, in sommige gevallen is het beter om druk uit te oefenen, gaat de onderzoeker verder.

Reacties (3)
12-12-2006, 16:14 door Anoniem
Er zijn de laatste tijd best voorbeelden genoemd op deze site, van
leveranciers die pas haast maakten lang bekende lekken te dichten, nadat
de ontdekker ervan de gegevens openbaar maakte (ik hoef geen namen te
noemen waarschijnlijk).
In het geval van closed source geven lekken meer inzage in de diepere
werking van het systeem, wat in elk geval de leveranciers niet graag zien.
Voor open source maakt dat niet uit.
Als je een oordeel over veiligheid moet baseren op het aantal lekken en de
ernst ervan, zie ik feitelijk weinig verschil tussen closed en open.
Bij closed source zie je dat leveranciers er geheimzinnig over doen en hun
klanten feitelijk belazeren. En dat zie je bij open source in elk geval niet.
12-12-2006, 20:08 door Anoniem
Als je een oordeel over veiligheid moet baseren op het aantal lekken
en de ernst ervan, zie ik feitelijk weinig verschil tussen closed en open. [/
quote]
Bij closed source zie je dat leveranciers er geheimzinnig over doen
en hun klanten feitelijk belazeren. En dat zie je bij open source in elk geval
niet.

Dat is juist het GROTE verschil......;)

TT
14-12-2006, 11:48 door Anoniem
Volgens critici blijven veel beveiligingslekken
onopgemerkt als onderzoekers er niet naar gaan zoeken.
Dit is wel erg triest. Zoiets als: "ja, ik ben met
uitgeschoten met een zaag, maar zolang ik er niet naar kijk
bloedt mijn arm echt niet..."
Het feit dat JIJ niet zoekt naar beveiligingslekken, wil
niet zeggen dat anderen dat ook niet doen. En als het
probleem eenmaal bekend is, wil je als bedrijf zijnde er
niet achteraan hoeven hobbelen om dan nog eens met een patch
te komen.

Zeker critici van bedrijven die regelmatig aangesproken
worden op hun lakse manier van omgaan met beveiligingslekken?
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search