Microsoft geeft VS toegang tot ongepatchte lekken
Microsoft informeert Amerikaanse inlichtingendiensten over beveiligingslekken in Windows, Internet Explorer en Office waarvoor nog geen beveiligingsupdates beschikbaar zijn. De Amerikaanse overheid kan via deze kwetsbaarheden de computers van buitenlandse overheden binnendringen, iets wat ook zou zijn gebeurd, zo meldt persbureau Bloomberg vandaag.
In een reactie stelt Microsoft dat het delen van informatie kan worden gebruikt om de impact van kwetsbaarheden te bepalen en te helpen bij het beveiligen van systemen. Microsoft zou niet weten hoe de informatie verder door inlichtingendiensten zoals de NSA, FBI en CIA wordt gebruikt.
MAPP
Aangezien het artikel van Bloomberg verder geen details bevat is het onduidelijk om wat voor programma het precies gaat. Microsoft deelt al jaren informatie over beveiligingslekken die het gaat patchen met andere beveiligingsbedrijven. In oktober 2008 startte Microsoft het Microsoft Active Protections Program (MAPP).
Het bestaat uit een samenwerkingsverband met zo'n 80 anti-virusbedrijven en leveranciers van IDS/IPS oplossingen. In het geval van een beveiligingslek in Microsoft software, worden deze partijen ingelicht, zodat ze detectie van exploits aan hun producten kunnen toevoegen voordat er een update van Microsoft beschikbaar is.
Programma
Volgens Bloomberg zou niet alleen Microsoft informatie delen, maar zouden duizenden techbedrijven, financiële instellingen en andere bedrijven nauw samenwerken met Amerikaanse inlichtingendiensten. De bedrijven verstrekken gevoelige gegevens in ruil voor bijvoorbeeld geclassificeerde inlichtingen. Via deze gegevens zouden de diensten buitenlandse computers kunnen infiltreren.
Update 12:18
Het lijkt erop dat Bloomberg op het Defensive Information Sharing Program (DISP) doelt. Dit programma werd op 18 mei 2010 door Microsoft gelanceerd en voorziet overheidsinstanties die onderdeel van zowel het Government Security Program (GSP) als het Security Cooperation Program (SCP) zijn van technische informatie over kwetsbaarheden die Microsoft nog moet patchen.
DISP-leden zouden de informatie over de kwetsbaarheden pas aan het einde van het patchproces ontvangen en kunnen de gegevens gebruiken om de kritieke infrastructuur te beschermen, aldus Microsoft.
Bounty vendor: $1000
Bounty cybercrimineel: $50 000
Bounty full-disclosure: Algemeen belang = onbetaalbaar
geven om in te breken. Dat zijn dus lekken waar weliswaar "nog geen beveilingingsupdates voor beschikbaar zijn"
maar die komen er ook niet zomaar.
Als een 3e partij een dergelijk lek per ongeluk vindt dan komt er wel een update, maar deze update zal dan
waarschijnlijk weer een nieuw lek introduceren.
De vraag is, hoe wordt dit bij open source software geregeld, bijvoorbeeld bij Linux. Waar zitten die lekken en waarom
ziet niemand ze?
Wat gebeurt er bij nieuwe projecten die door weinig mensen worden getrokken? Hoe infiltreert men daarin?
Het maakt niet uit in hoeverre andere landen dat ook (proberen te) doen. De amerikanen staan altijd op voorsprong. Niet dat je ze kan tegenhouden. Je moet er gewoon vanuitgaan dat het gaat gebeuren.
En indien die informatie eerder verstrekt wordt aan (bijvoorbeeld) inlichtingendiensten, dan geeft Microsoft dat natuurlijk eerlijk toe ? ;)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.