Microsoft: controleer hashes Windows updates
Om de authenticiteit van Windows updates te garanderen, voorziet Microsoft elke update van een hash. Een soort digitale handtekening waarmee gebruikers het gedownloade bestand kunnen controleren. Wijkt de hash van het gedownloade bestand af van de hash die Microsoft geeft, dan kan het zijn dat een aanvaller de update heeft aangepast. Microsoft voorziet alle beveiligingsupdates van een SHA1- en SHA2-hash.
Via de Windows Powershell en .Net Cryptographic Services is het eenvoudig om de hash van Microsoft updates te controleren, zoals Dustin Childs van Microsoft Trustworthy Computing in deze blogposting demonstreert.
Volgens Childs vinden de meeste mensen het niet nodig om de hashes te controleren, aangezien dit ook al door de automatische update-functie wordt gedaan. "Toch blijven we de lat verhogen als onderdeel van onze continue drive om defense-in-depth-maatregelen te beoordelen en verbeteringen door te voeren."
Dit is de wereld op z'n kop. Zorg nu eens voor een beter, stabieler, sneller en veiliger Windows !!
Is het nu zo moeilijk om goede software te ontwerpen en te implementeren ? Misschien snappen ze bij Microsoft hun eigen OS en applicaties niet meer.
En de hash op een schone machine bekijken of de hash die je ziet is niet de hash
Ik mis nog iets dat mij essentieel lijkt: de hashes zijn toch hopelijk wel digitaal ondertekend door Microsoft zodat je door de handtekening te controleren kan zien of de updates werkelijk door Microsoft aangemaakt zijn? In de blog blijkt dat nergens uit. Ik kan me eigenlijk niet voorstellen dat een bedrijf dat wel met secure boot begint te werken patches niet al sinds jaar en dag op die manier zou ondertekenen en aan de client-kant zou controleren, dat zou schokkend nalatig zijn.
http://support.microsoft.com/kb/2761451[/sarcasme]
Automatisering? Ho maar. Sterker nog, als je de updates automatisch pusht, wordt er volgens mij geen hash gelezen.
Gerookt misschien... Wazige MS af en toe...
En het zou -IMHO- fijn zijn als eindelijk heel de MS-update functionaliteit gewoon eens wordt losgekoppeld van de IE-activeX-elementjes.
Mahja, hashes copy-pasten is óók leuk :]
Deze posting is gelocked. Reageren is niet meer mogelijk.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.