ActiveX blijft gevaarlijkste browser-plugin
Van de 321 beveiligingslekken die vorig jaar in browser-plugins werden gevonden, zaten er 134 in ActiveX. Java was met 84 lekken tweede, gevolgd door Adobe Reader (49), QuickTime (27) en Flash (23). De overige vier lekken zaten in Firefox extensies. Het aantal lekken in browser-plugins neemt af, in 2008 ging het nog om 424 kwetsbaarheden, waarvan er 287 in ActiveX zaten. De afname van ActiveX-lekken, 42% in 2009 ten opzichte van 70% in 2008, wordt volgens Symantec door verschillende factoren beïnvloed, zoals fuzzers. Deze tools zitten mogelijk aan hun limiet, waardoor ze weinig nieuwe problemen vinden.
Het meest misbruikte beveiligingslek was de Windows SMB2-kwetsbaarheid in Vista en Server 2008. Oorspronkelijk werd gedacht dat het alleen een denial of service probleem betrof, maar al gauw werd duidelijk dat aanvallers er kwetsbare systemen mee konden overnemen. Een lek in Adobe Reader en Flash Player zet Symantec op de tweede plek, gevolgd door een lek in Internet Explorer 7. De kwetsbaarheid in het MPEG2TuneRequest’ ActiveX Control en een lek in Adobe Reader maken de top 5 compleet.
Browser-lekken
Vorig jaar werden 45 nieuwe lekken in Internet Explorer ontdekt, twee minder dan de 47 kwetsbaarheden in 2008. Toch behoorde één van deze lekken tot de meest aangevallen kwetsbaarheden van 2009. Safari kreeg 94 lekken te verwerken, meer dan een verdubbeling ten opzichte van het jaar daarvoor, toen het om 40 lekken ging.
Opera zag het aantal lekken met tien dalen, van 35 in 2008 naar 25 in 2009. Google moest in Chrome 41 lekken patchen, 30 meer dan de 11 van 2008. Mozilla Firefox spande vorig jaar de kroon. In totaal werden er in de opensource browser 169 lekken gevonden, terwijl dat er in 2008 nog 99 waren. Meer grafieken en cijfers zijn te vinden in het Symantec Internet Security Threat Report.
Lijkt me zeer partijdig.
Java wordt toch ook veel gebruikt en ook op heel andere platformen dan Windows, op heel wat grotere omgevingen en met vaak heel wat gevoeliger data.
Hoe komt het dan toch dat criminelen Java maar zo weinig gebruiken en ActiveX juist zoveel ?
JVM plaatje -> http://farm2.static.flickr.com/1193/1362294785_88638a7b97.jpg
1. De Java Virtual Machine beschermt het onderliggende operating system (Unix. Linux, Os/X. Windows) tegen "gek gedragende, corrupte java programma's". Hierdoor kan een Java applicatie nooit RECHTSTREEKS met het operating
system en/of de hardware van de computer communiceren!. Dit loopt allemaal via de JVM.
vergelijking met real life
- Zie het maar als een baby (java applicatie) die opgesloten zit in een box in je woonkamer.
- Baby komt niet uit de box, en je interieur blijft onbeschadigd :-)
ActiveX plaatje: http://i.msdn.microsoft.com/Aa741313.IE4Arch%28en-us,VS.85%29.gif
2. ActiveX zijn "losse bouwstenen" van ongeveer!! hetzelfde type als waaruit het geheel Windows operatings system is opgebouwd. Als deze ActiveX bouwstenen worden gedownload komen ze RECHTSTREEKS in contact met je operating system. Geen beschermende kooi tussen de ActiveX bouwsteen en het Windows operating system
vergelijking met real life
- Zie het maar als een baby (ActiveX-blok) die vrij rondkruipt, loopt in je woonkamer
- Baby kan zijn gang gaan (uit de box) en de rest kun je je wel voorstellen ;-)
3. Internet Exploder (IE) browser is geen browser APPLICATIE, maar een internet-verlengstuk van Windows
Dus als een Active_X bouwblok binnen IE gedownload word, kan het meteen RECHSTREEKS in contact komen met het BINNENSTE van het Windows bestruring systeem! En das levensgevaarlijk.. security wise gezien!
4. Daarnaast kan een ActiveX bouwsteen ook nog toegang krijgen (via via achterdeurtjes, en ezelsbruggetjes) met de interne Windows operating systeem "huishoud database" het Register, De Registry. Gegevens die in Het Register staat bepalen voor een groot deel de instellingen en het gedrag van Windows. Dus.. de jackpot voor criminelen :-) want wie (op afstand) controle kan krijgen over het Register van andermans pc, kan 'm laten doen wat ie wil (zoals ie ongedetecteerd blijft uiteraard)
java (applet, applicatie)
-=-=-=-=-=-=-=-=-=-=-=-
javam virtual machine
=================
besturings systeem
=================
JVM - situatie
ActiveX | Internet Explorer |
Windows besturings systeem
Active_X - situatie
Samenvatting:
Java -> Applicatie nivo -> in de box van de Java Virtual Machine -> geen schade mogelijkheid
ActiveX -> system-nivo -> vrij ronddolend tot het HART van je windows systeem -> ellende troef!.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Met jou als Chief Information Security Officer werken we samen aan het inrichten van een digitale leer-, werk- en onderzoeksomgeving en investeren in digitalisering. De beveiliging van alle daarbij gebruikte middelen en informatie én het zorgen voor bewustzijn bij alle partijen is hierbij een belangrijke pijler. Daar kom jij in beeld.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.