Microsoft geeft NAVO toegang tot broncode Windows
Microsoft heeft met de NAVO een overeenkomst gesloten zodat de verdragsorganisatie toegang tot de broncode van Windows en andere Microsoft-producten krijgt. Ook kan het Communicatie en Informatie Agentschap van de NAVO in speciale transparantiecentra direct met de broncode werken en zal Microsoft informatie over kwetsbaarheden en dreigingen delen.
De afspraken zijn onderdeel van het Government Security Programma dat Microsoft in 2003 begon. Sindsdien heeft het met meer dan 40 agentschappen en overheidsdiensten dergelijke overeenkomsten gesloten. Volgens Microsoft gebruiken deelnemers aan het programma de geboden mogelijkheden om meer kennis van Microsoft's software te krijgen, bijvoorbeeld voor evaluatie en certificering. Ook kan het programma helpen bij het overstappen op nieuwe besturingssystemen, zoals Windows 10, en het migreren naar de cloud.
"NAVO heeft met nieuwe en steeds gevaarlijkere cyberdreigingen te maken en deze dreigingen kunnen gevolgen voor nationale economieën en burgers hebben. Om dit te voorkomen vindt het NCI Agentschap het belangrijk om snel en in een vroeg stadium beveiligingslekken met bedrijven te delen zoals Microsoft. Vertrouwen is de sleutel tot succes", aldus Koen Gijsbers, algemeen-directeur van het NCI Agentschap. In juni van dit jaar opende Microsoft in Brussel een transparantiecentrum waar organisaties de broncode van Microsoft kunnen bekijken en hiermee kunnen werken.
Dat laatste is dus het probleem. Ze willen de mogelijkheid hebben code te auditten. Dat is een legitiem verzoek, de NATO is niet zomaar een organisatie. Er spelen grote veiligheidsbelangen.
@ben987
Dat heb je helemaal verkeerd begrepen. Er is geen sprake van aftappen.
Of worden die machines niet meer bijgewerkt voor de broncode ingezien is?
Microsoft geeft NATO de broncode, maar er wordt nergens gezegd dat de broncode onveranderd gebruikt wordt in het eind product.
Volgen mij wordt het voor de NATO pas interessant als ze de GEHELE broncode krijgen en deze met een compiler en linker naar eigen keuze, compileren en linken om een Windows OS te produceren. Anders heb je nog steeds niks!
Microsoft geeft NATO de broncode, maar er wordt nergens gezegd dat de broncode onveranderd gebruikt wordt in het eind product.
Volgen mij wordt het voor de NATO pas interessant als ze de GEHELE broncode krijgen en deze met een compiler en linker naar eigen keuze, compileren en linken om een Windows OS te produceren. Anders heb je nog steeds niks!
Dat klopt en de code is tegenwoordig constant aan verandering onderhevig. Dus een audit zou niet eenmalig moeten zijn.
Wil je een systeem goed aan de tand voelen dan is inzage in de broncode een goed uitgangspunt voor whitebox testing. Dat is veel effectiever dan Black box. Bij http://www.istqb.org/ kun je nagaan wat het verschil is. Dat de source niet gelijk hof te zijn aan de exécutable maakt niet uit dat komt als testresultaten naar boven.
Een ander probleem kan zijn dat er zero_days gevonden worden. Dat is het zelfde resultaat als gangbaar is bij de gangbare open source. Laten we aannemen dat zoiets niet het doel is van de nato. Dan moeten ze ook open leggen aan darpa en elke andere grote klant. Vervelender is als iets als Bugzilla naar verkeerde personen gelekt wordt.
1. Ik vermoed dat je het niet zelf mag builden - er zijn andere organisaties geweest die vergelijkbare voorwaarden krijgen (om te voorkomen dat men zich niet aan de licentie houd)
2. het build waarschijnlijk alleen met de compiler van Microsoft, dus je hebt een bootstrap probleem ? Of je moet ook de source van de compiler er bij krijgen en andere compiler gebruiken om die compiler te builden ? Is dat uberhaubt mogelijk met hun compiler ?
3. de source is veeel te groot, als je een audit wilt doen heb je veel te veel tijd nodig.
En er zijn er vast nog meer...
Zoals problemen met updates zoals hierboven al eerder genoemd.
De kreet "in (Westerse) democratien zijn ondernemingen onafhankelijk" is een wassenneus.
Ze zijn verkapte staatsbedrijven!
.
Waarom ga je eigenlijk voorbij aan de gedegen testaanpak? Als je op zoek naar bepaalde mogelijke fouten dan helpt inzicht in broncode het is geen voorwaarde om zelf te compileren.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.