Een nieuw ontdekt beveiligingsprobleem in Internet Explorer toont aan dat het Trustworthy Computing initiatief van Microsoft heeft gefaald. Dat zegt beveiligingsonderzoeker Jeremiah Grossman. Via een fuzzingtool ontdekte de Poolse onderzoeker Michael Zalewski meer dan honderd kwetsbaarheden in Internet Explorer, Firefox, Chrome, Safari en Opera. Eén van de lekken in Internet Explorer zou ook al bekend zijn bij Chinese hackers. Microsoft had Zalewski gevraagd om met het uitbrengen van de tool te wachten, maar de onderzoeker vond dat de softwaregigant geen geldige reden had gegeven waarom het zolang met patchen had gewacht.

"Voor mijzelf is niet het belangrijkste punt of Zalewski, Evans of welke onderzoeker dan ook zich verantwoord heeft gedragen", zegt Grossman. "De vraag die we ons moeten stellen is waarom na bijna een decennium van investeringen in Trustworthy Computing, deze problemen nog steeds aanwezig zijn, en zoals gedemonstreerd, zelf vaak voorkomen?"

Sandbox
Grossman vraagt zich af hoe het in 2011 nog steeds kan dat aanvallers slechts één beveiligingslek nodig hebben om de gehele machine over te nemen. "Bezoek een besmette website, open een kwaadaardig PDF of Word document, en het is game over." De oplossing ligt volgens Grossman in het implementeren van een sandbox. De aanvaller heeft dan minimaal twee lekken nodig om uit de sandbox te breken en het systeem over te nemen.

Google Chrome heeft het succes van het sandbox-model volgens de onderzoeker aangetoond, en inmiddels gebruikt ook Adobe een sandbox voor Adobe Reader. "Het is makkelijk voor te stellen dat Microsoft en Firefox met hun respectievelijke browsers en desktop software zullen volgen."