image

'Vermijd Explorer-advies geeft vals gevoel van veiligheid'

zondag 4 mei 2014, 13:21 door Redactie, 12 reacties

Het advies van de Amerikaanse overheid en andere instanties om Internet Explorer vanwege een ongepatcht lek in de browser tijdelijk te vermijden was verkeerd en gaf een vals gevoel van veiligheid. Dat stellen het Belgische CERT en Steve Ward van beveiligingsbedrijf Invincea.

Het bedrijf dat eind vorig jaar nog de populaire sandbox Sandboxie overnam. "Het vermijden van IE voor het valse gevoel van veiligheid dat naar verluidt door een alternatieve browser gegeven zou worden is niet alleen een verkeerde strategie, in veel gevallen is het ook niet mogelijk", laat Ward weten. Hij wijst naar bedrijven die vaak interne applicaties gebruiken die alleen met Microsofts browser werken.

Volgens Ward is ook de Amerikaanse overheid van Internet Explorer afhankelijk en kunnen veel ministeries en overheidsinstanties dan ook het eigen advies om IE te vermijden niet opvolgen. Ward preekt echter voor eigen parochie, omdat zijn bedrijf producten aanbiedt die gebruikers van kwetsbare software juist moeten beschermen.

Ook het Belgische CERT stelt echter dat het overstappen naar een andere browser een vals gevoel van veiligheid kan geven en in veel gevallen niet haalbaar is. "Het verwisselen van browsers kan andere problemen introduceren en voorkomen dat je zakelijke legacy applicaties kunt gebruiken."

Terecht

Veel experts konden zich wel vinden in het advies van het Amerikaanse Computer Emergency Readiness Team (US-CERT), alsmede overheidsinstanties uit Duitsland en Groot-Brittannië. Hoewel er ook in alternatieve browsers kwetsbaarheden voorkomen worden die niet of nauwelijks bij actuele aanvallen gebruikt om computers met malware te infecteren. Zo zijn er bijvoorbeeld geen aanvallen bekend die direct tegen lekken in Google Chrome waren gericht en waar nog geen update voor beschikbaar was. Ook zero day-aanvallen tegen lekken in Firefox zijn een zeldzaamheid.

Reacties (12)
04-05-2014, 15:29 door spatieman
nou, vals gevoel...
IE is gewoon een virus magneet...
04-05-2014, 16:01 door Anoniem
Door spatieman: nou, vals gevoel...
IE is gewoon een virus magneet...
Dat valt mee, als je een goede beveiliging hebt.
04-05-2014, 17:34 door Anoniem
Weet je wat een verkeerd signaal is? Dat Microsoft, ondanks dat Windows XP end-of-life is, tóch besloten heeft om de IE-patch ook voor XP-gebruikers beschikbaar te stellen. Maar ja.... Microsoft kan ook niet anders, want ze zijn blijkbaar bang dat het restant van deze eigenwijze XP-gebruikers een alternatief OS gaan zoeken omdat zij niet bereid zijn om een nieuwe PC te kopen of te moeten betalen voor een upgrade naar minimaal Vista.

Ik merk het ook om me heen. Sinds 8 april heb ik al 18 mensen, allemaal XP-gebruikers, mogen voorzien van Ubuntu, Xubuntu en Linux Mint. Dat zegt natuurlijk ook wel iets...
04-05-2014, 20:43 door Anoniem
Door Anoniem:
Door spatieman: nou, vals gevoel...
IE is gewoon een virus magneet...
Dat valt mee, als je een goede beveiliging hebt.
Klinkt als apologisme. Zo van "de rest is net zo slecht dus is het toegestaan". Vind ik niet. Daarbij bouwt het op een fundament de naam niet waardig, zodat je op je vingers na kan tellen dat jouw voorwaarde niet zal opgaan.


Door Anoniem: Weet je wat een verkeerd signaal is? Dat Microsoft, ondanks dat Windows XP end-of-life is, tóch besloten heeft om de IE-patch ook voor XP-gebruikers beschikbaar te stellen.
Want automatisch geinstalleerde patches zijn veel onveiliger dan niet bestaande patches?

Oh, je bedoelt dat als je de gebruikers maar een flink schuldgevoel aanpraat dat ze dan vast wel geld aan redmond gaan geven voor de veul betere volgende versie... waar ze ook gelijk maar een nieuwe computer voor moeten kopen want deze werkt nu nog wel maar is wel al meer dan vijf jaar oud. Aangenomen dat die groep het ook doorheeft, en het is maar helemaal de vraag of je dat zomaar mag aannemen.


Sinds 8 april heb ik al 18 mensen, allemaal XP-gebruikers, mogen voorzien van Ubuntu, Xubuntu en Linux Mint. Dat zegt natuurlijk ook wel iets...
Een beetje druk op de monopolist om eens beter de best te gaan doen op veilige code en op interoperabiliteit mag best wel.

(Alleen een beetje jammer dat de prutsers van freedesktop.org hun best doen de "Unix"-smaak uit linux te verbannen en te vervangen voor veel minder doorzichtige constructies. Zodat ze beter de nieuwe windows kunnen zijn? Zit ik niet echt op te wachten.)
04-05-2014, 21:17 door Anoniem
>'Vermijd Explorer-advies geeft vals gevoel van veiligheid'

Als meer dan 99,9% van alle rotzooi voor Windows is. Dan is geheel Windows toch gewoon schijnheilig?
05-05-2014, 09:50 door Anoniem
Door Anoniem:
Door Anoniem: Weet je wat een verkeerd signaal is? Dat Microsoft, ondanks dat Windows XP end-of-life is, tóch besloten heeft om de IE-patch ook voor XP-gebruikers beschikbaar te stellen.
Want automatisch geinstalleerde patches zijn veel onveiliger dan niet bestaande patches?

Oh, je bedoelt dat als je de gebruikers maar een flink schuldgevoel aanpraat dat ze dan vast wel geld aan redmond gaan geven voor de veul betere volgende versie... waar ze ook gelijk maar een nieuwe computer voor moeten kopen want deze werkt nu nog wel maar is wel al meer dan vijf jaar oud. Aangenomen dat die groep het ook doorheeft, en het is maar helemaal de vraag of je dat zomaar mag aannemen.

Nee, hij bedoelt dat klanten die niet naar Microsoft luisteren beloond worden met updates die niet meer zouden komen terwijl de klanten die wel geluisterd hebben extra kosten gemaakt hebben zoals jij beschrijft. Microsoft bevoordeelt dus slechte klanten ten opzichte van goede klanten en dat is een verkeerd signaal.
05-05-2014, 11:01 door Anoniem
Sowieso heeft dat advies geen zin. Kun je lekker met Firefox of Chrome aan de slag en dan vervolgens voor de mail gewoon Outlook openen waarbij IE als rendering engine wordt gebruikt. Even de plaatjes in de mail laten zien en de exploit kan geladen worden.
05-05-2014, 14:19 door Anoniem
Door Anoniem: Nee, hij bedoelt dat klanten die niet naar Microsoft luisteren beloond worden met updates die niet meer zouden komen terwijl de klanten die wel geluisterd hebben extra kosten gemaakt hebben zoals jij beschrijft. Microsoft bevoordeelt dus slechte klanten ten opzichte van goede klanten en dat is een verkeerd signaal.
Klanten als goed en slecht bestempelen, subtiel zeg. Maar kijk even mee naar het marketeeringverhaal:

"Hier, kompjoetertje voor jou, is makkuluk, geen training nodig, intuitief en handug, echies hoor!"

Dus dat doen klanten dan. En dan gaat de fabrikant piepen dat ze toch maar extra moeten betalen. Hoezo, hiermee was de kous toch af? Dus de ene klant stinkt er wel in en de andere niet. Tsja. Had dat andersom moeten zijn? Ik denk dat je dit alleen maar redmond kan aanrekenen, want het is hun wisselvallige gedrag en hun marketeering en hun slechte software.
05-05-2014, 14:20 door Anoniem
Wat ik feitelijk bedoel is dat het uitrollen van een patch voor een browser op een besturingssysteem die niet meer wordt gepatcht een vals veiligheidsgevoel genereert. Microsoft maakt voor XP-gebruikers wèl een pleister voor Internet Explorer, maar elk gat dat vanaf nu ontdekt wordt in XP zal niet meer gedicht worden. Dat is hetzelfde als een kapotte voordeur van je op instorten staand huis vervangen voor een nieuwe, stevige deur. En dat terwijl aan de achterkant van je huis de stenen aan het afbrokkelen zijn. Dat klopt dus gewoon niet.

De vraag is: waarom "buigt" Microsoft ineens tóch richting diezelfde XP-gebruikers, terwijl ze al jaren aan hebben gekondigd dat op 8 april het voor XP afgelopen is? Om die mensen weer veilig te laten zijn? Nee hoor, helemaal niet.

Het is inconsequent, en dus moet de reden waarom Microsoft dit doet (en ik kan me niets anders bedenken) zijn omdat deze XP-gebruikers dreigen af te vallen van Windows. Om de klantenbinding (lees: afhankelijkheid) van Microsoft te blijven garanderen komen ze deze gebruikers met deze patch ineens tóch tegemoet. Maar dit is een fout "aanmoedigingsbeleid, want Microsoft werkt hierdoor mee aan een onveiliger internet. Diegenen die XP gebruiken denken dan: "Hey... ik krijg nog steeds updates! Dus ik hoef XP nog helemaal niet de deur uit te doen! En dát is de crux van dit hele verhaal: Stel je je toch eens voor dat binnenkort alle overgebleven XP-machines aangesloten op internet (en dat zijn er nog steeds miljoenen!) één groot besmettingshaard van malware, virussen, Trojans, rootkits en weet ik veel wat voor "ware" vormt?

We weten allemaal dat Microsoft de illegale kopieën van Windows XP al jaren heeft geaccepteerd c.q. gedoogd (en zelfs heeft ingecalculeerd) om het marktaandeel zo groot mogelijk te houden. Dit onder het mom: "niet betalende gebruikers van nu zijn de potentiële klanten van de toekomst", juist omdat ze dan tóch afhankelijk zijn/blijven van Windows. Want dát is wat die illegale gebruikers kennen en gebruiken. Dit principe werkt grotendeels nog steeds, maar het vertoont haarscheurtjes. Veel XP-gebruikers hebben toch verder gekeken dan hun neus lang is en kijken naar alternatieven. En zelfs websites die toch écht pro-Windows waren zien dat alternatieve besturingssystemen ook steeds beter en gebruiksvriendelijker zijn geworden. En dat is ook zo. En dat weet Microsoft. En dát, beste mensen, is de ware reden waarom een dood OS tóch zijn patch(es?) krijgt. Het dient allemaal het doel die Microsoft nastreeft: het marktaandeel en de daarbij gegarandeerde inkomsten.

Maar hoe zit het dan met de security holes van het OS zelf die binnenkort gegarandeerd gevonden worden en boven water komen? Die zullen dan niet gepatcht worden. En alle mensen op internet zullen dan nóg meer maatregelen moeten treffen om ongewenste zaken buiten de PC te houden, alleen maar omdat er miljoenen ongepatchte en ongetwijfeld besmette PC met het internet verbonden zijn. Microsoft moet zijn verantwoordelijkheid consequent nemen en dus GEEN patches meer uitrollen voor XP. Ik hoor mensen nu denken: "Ja, maar als je lekken niet dicht, dan zijn deze gebruikers óók onveilig. Is dat dan de bedoeling?" Mijn antwoord: JA! Het wèl patches blijven uitgeven, en ik zeg het nogmaals, moedigt mensen alleen maar aan om dit onveilige besturingssysteem te blijven gebruiken, met als resultaat dat de schade op termijn alleen maar groter wordt. Niet alleen voor deze XP-gebruikers, maar voor heel het internet. Kijk eens verder dan je neus lang is en denk hier maar eens over na...
06-05-2014, 07:49 door Anoniem
Yes! Het aloude Microsoft bashing is weer begonnen! Punt is wel dat 12 jaar geleden toen XP groot werd mijn ouders zonder al te veel moeite hun computer konden gebruiken terwijl ik nog liep te kutten met Red Hat 7. Dat nu Linux toegankelijker en Mac betaalbaarder is geworden is natuurlijk niet de schuld van Microsoft.

Bij Microsoft maken ze mooie producten die veel eerder dan de rest zich lieten verkopen aan de normale consument. Niet te duur en niet te moeilijk. IE 10 en hoger met Beveiligde Modus aan is hartstikke prima. Niet mijn keuze... en gelukkig kunnen we kiezen tegenwoordig.
06-05-2014, 09:54 door Mysterio
Door Anoniem: >'Vermijd Explorer-advies geeft vals gevoel van veiligheid'

Als meer dan 99,9% van alle rotzooi voor Windows is. Dan is geheel Windows toch gewoon schijnheilig?
Dat is natuurlijk onzin. Neem Android of Apache...

Als je niet kan autorijden dan kun je wel een veiligere auto kopen, maar dat maakt het er toch niet echt veiliger op. Stel nu dat 90% van alle Windows gebruikers nu overstappen op... zeg Ubuntu. Al die Windows gebruikers gaan de fora platleggen met vragen en verzoeken en binnen no-time zit je net zo te zeuren over Ubuntu. Ik geloof er namelijk niet zo in. Zodra een OS groot, populair en breed toegepast wordt, is het game over. Het is makkelijk praten, want het scenario heeft zich nog nooit voltrokken.

Maar laten we het op de browser houden. Stel nu dat Microsoft het goed gedaan had met IE, dan zou het zo kunnen gebeuren dat IE niet standaard bij Windows zat en Chrome wereldwijd de onbetwiste nr 1 is. (Stel dat dus hè) Als er dan een lek gevonden wordt in Chrome, dan zou de Politie waarschuwen tegen het gebruik van Chrome. Het gebruik van alternatieve software geeft een vals gevoel van veiligheid.
06-05-2014, 12:34 door Anoniem
Kritiek op Microsoft wordt meteen "bashing" genoemd. Ik heb helemaal niet het doel om te "bashen". Ik wil alleen aangeven dat Microsoft zijn verantwoordelijkheid moet nemen en consequent moet zijn. Dat zijn ze niet, en de reden hiervoor is dubieus. Waarom is dat zo moeilijk in te zien?
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.