Ik ben het eens met deze stelling.

Alle software heeft fouten, zo ook IE, Firefox en co. Omdat er minder
mensen zijn die alternatieve browers gebruiken, is de impact van een fout
in deze browsers minder groot.

Nu Firefox ook populairder wordt, zie je het aantal meldingen van bugs in
die software toenemen. Nog even en Security Respons Teams adviseren
om maar weer IE te gaan gebruiken.

Natuurlijk is de beheerder van welke server dan ook verantwoordelijk voor
de veiligheid van die server. Zeker als je er diensten voor anderen op draait.

Een beetje beheerder had toch zeker op zo'n loadbalancer voldoende
waarschuwingsmechanismen geinstalleerd. Een IDS, een loganalyzer
enz. Wat heb je aan een loadbalancer als je niet monitort of zo'n
monitorsysteem niet goed instelt?

Evengoed, zolang IE geen patch krijgt of dat mensen geen SP 2
installeren, blijven kwaadwillenden deze exploit op grote schaal
misbruiken. Dus ik hoop dat men de ernst hiervan wel gaat inzien, zowel
bij MicroSuf als thuis.

http://www.claimyourrights.eu/
http://www.thinkfree.ca/

- Unomi -

Exact, er zijn voldoende methodes om dit in de gaten te
houden en de beheerder is dus zeker grotendeels
verantwoordelijk.
IE had al een patch, maar IE krijgt de zwarte piet
toegespeeld omdat er al zoveel fouten en bugs in bekend
zijn/waren. IE moet minder geintegreerd zijn met het OS waar
het op draait. Ook zijn de standaard
beveiligingsinstellingen in IE gewoon niet veilig genoeg.

maar het internet storm center zegt nog iets veel belangrijkers

wie gaat de getroffen sites die de banners van hun netwerk hebben
moeten halen - nu al sinds 3 dagen - vergoeden en welke (verplichte ?)
verzekering heeft falk hiervoor

trouwens dit wijst op een nog veel fundamenteler probleem. Het is niet
meer zo dat men echt een site aanvalt maar men pakt op een veel
gerichtere en professionelere manier de verdelende sites aan (dns,
bannerserver, load-balancer,.....) De background infrastructure die een
trustrelatie heeft met de server en het netwerk erachter moeten daarom
even goed beveiligd en opgevolgd worden als de rest. En als de
verzekeringen verzekeren wie doet dan de technische controle van deze
installaties en de procedures etc.....

nog een feit, lang leve het internet storm center en het wordt tijd dat we er
in de benelux ook één hebben.

en IE, zet hem in HIGH Security voor internet, lastig maar je kan alle scripts
weigeren van sites die je niet kent, want alle browsers hebben hetzelfde
probleem.

Trouwens het fundamenteel probleem IE en elke huidige browser is dat ze
een verbinding is tussen de pc en het netwerk, terwijl voor het internet je
wel moet kunnen surfen, maar het niet dezelfde applicatie moet zijn die je
de pc of het netwerk laat verkennen. De downloads van internet komen dan
in een secured folder terecht die ook niet direct applicaties laat draaien
etc... Lastig, maar veilig. Een autogordel is dat ook.

http://www.securingit.tk collection of freeware and esecurity

Oneens.
Ze moeten nu misschien maar eerst eens goeds fabriceren vóór
ze iets op de markt gooien en minder laks zijn met
patches.Misschien is er door deze gebeurtenis bij sommige
mensen de ogen opengegaan dat ze werelds meest brakste
browser op hun pc hebben.Het probleem deed zich ook voor op
systemen die er niet vatbaar voor waren volgens .

Ik heb dus inderdaad met mijn firefox nergens geen problemen
mee gehad .
Ik blokkeer sowieso al die banners.

Dit is een drogredenering. (kuch apache kuch)

Een ook met de stelling van het artikel ben ik het niet
eens, als Falk niet gecrackt was dan hadden de geinfecteerde
plaatjes wel ergens anders vandaan kunnen komen.

Slechts gedeeltelijk mee eens: er wordt gebruik gemaakt van
een lek in Internet Explorer, dus IE is er *gedeeltelijk*
schuld aan.

Het is onredelijk te stellen dat het probleem helemaal de
schuld van IE is, maar naief om te zeggen dat IE helemaal
geen blaam treft.

Haha, een toonbeeld van manipulatie. Uit zichzelf zou iedereen hebben
verkondigd dat Microsoft de schuldige was.

-1 Troll

Ik lees op Secunia betreffende de 2 browsers toch wat anders
dan wat de geleerden hier neerpoten.
Elke vastgelopen pc die opgeschoond wordt en terug het net
opgaat met Firefox blijft behoorlijk schoon, daar kunnen die
geleerden nu toch niet zomaar en gratis aan voorbij?

Oneens. (Okay, wellicht manipulatie, ik bijt toch). Om te beginnen:

> Gebruikers die geen Service Pack 2 geinstalleerd hadden
Alsof de hele wereld XP draait.

Ik wil naar elke site kunnen surfen zonder bang te hoeven zijn voor
gaten in m'n browser. Ik wil dat m'n zoon als hij van school een
opdracht heeft om op internet te zoeken, dat kan doen zonder z'n PC
te besmetten (hij weet dondersgoed waar hij wel en niet moet
clicken). Dit vereist een goed werkende browser en dat is IE gewoon
niet (m'n zoon heeft afgelopen zaterdagochtend zonder problemen
Firefox gebruikt op een Win98SE PC).

Iedereen die een beetje securityminded is weet dat er al jaren veel
gecompromitteerde websites zijn, aantal stijgend. Natuurlijk is dat
laakbaar gedrag van beheerders, maar met dalende inkomsten
wordt dit alleen maar erger. Internetsites zijn, net als chemicalien,
giftig tot het tegendeel bewezen is. Virusscanners en anti-spyware
spul zijn hier maar van zeer beperkt nut. Een beetje "professional"
tuned net zo lang aan z'n exploit tot ie door zo min mogelijk poort-
wachters wordt gedetecteerd, en brengt de malware vervolgens
begin van het weekend uit (vrijdagavond dus, zoals ook in dit geval).
Als ik me niet vergis beschermt Norton AntiVirus je sinds maandag.

Onder voorbehoud dat ik het goed begrijp, maar het gaat meen ik
om een ordinaire bufferoverflow. Met XP SP2 is die niet gefixed,
maar door het SP2 stack-protectie mechanisme raakt je PC niet
gecompromitteerd (als ik goed begrepen heb kan hij een XP-SP2
PC wel erg traag maken of zelfs laten crashen, de bug is er dus
nog wel).

De historie: Op 18 okt. heeft Michal Zalewski een tool gepubliceerd
die webbrowsers aan de tand voelt (N.B. zijn eerste tests wezen uit
dat andere browsers veel buggier waren dan IE, dus waan je niet
100% safe met FF et al).
Zie: http://www.securityfocus.com/archive/1/378632

Daarop heeft "Ned" is aan python versie van deze tool gemaakt en
daarmee de IFRAME bug in IE gevonden, en op 23 okt. gepubliceerd:
http://lists.netsys.com/pipermail/full-disclosure/2004-October/028009.html

Op 25 okt. is deze bug door Berend-Jan Wever toegelicht:
http://lists.netsys.com/pipermail/full-disclosure/2004-October/028035.html

Mijn vragen aan Microsoft:

(1) Waarom maken en draaien zij zelf niet dergelijke tools? Dat lijkt
me wijzer dan trutten over "unresponsible disclosure" als iemand
resultaten van zo'n tool publiceert, immers er zijn op dat moment ook
al ongure lieden mee bezig die niet publiceren (die waarschijnlijk
zelf ook tools maken, en misschien nog wel betere). Bovendien kan
Microsoft dit soort tools in principe effectiever maken, rekening
houdend met de IE sourcecode (waar zij wel bij kunnen). Als je
marktdominantie wilt (lees hebt afgedwongen) en bezit, ben je de
grootste schietschijf en heb je dus de grootste verantwoordelijkheid.

(2) Het betreft een bufferoverflow, dat zijn bugs die meestal eenvoudig
te fixen zijn, zonder allerlei lastige bijwerkingen. Waarom is de bugfix
niet in de patches van november meegenomen? (BG pretendeert
immers dat Microsoft in no time een patch kan maken). Of is het soms
zo dat patches voor alles ouder dan XP SP2 minstens een maand
worden vertraagd om mensen te dwingen naar XP over te stappen?

(3) Waarom heb ik het gevoel dat de marketing afdeling van Microsoft
mede bepaalt hoeveel en welke patches worden gepubliceerd? (Ja,
laten we vooral naar 2x per jaar gaan). Hebben grote bedrijven die
moeite hebben met uitrol van de stroom patches, maar door allerlei
andere maatregelen als corporate firewalls en proxies minder hete
adem voelen, dan echt zo'n grote vinger in de pap? Bedrijven die
bovendien per Windows licentie aanmerkelijk minder betalen dan
nauwelijks beschermde particulieren? (Gelukkig is FF gratis...)

Erik van Straten

Als Microsoft nou eens met een service pack komt die *niet*
meteen ook irritaties verzorgt, wellicht gaan er dan meer
mensen die service pack installeren. Nu is het zo dat het
weer spannend is welke applicaties nog werken na het
installeren van een SP. Veel mensen zien de onveiligheden
niet maar de irritaties van een SP wel, dus die patchen
gewoon niet.

Wat een domme reacties weer. MS heeft allang een patch voor
die bug. Die patch heet SP2. Al die onzin dat mensen het
niet willen installeren altijd.... SP2 is iets goeds. MS
moet wel alles in een SP zetten en dat in het nieuws
brengen, want anders zijn er knulletjes zoals die hier komen
die gewoon niet updaten. En zelfs als ze zwaar bekend maken
dat er een SP is tegen alle bekende problemen zijn er nog
steeds mensen die zo dom zijn dat ze het gewoon niet
installeren!

Mijn mening is dus overduidelijk dat het de fout is van de
reclame maker en die van de niet-updatende-thuisgebruiker
zoals sommigen hier.

Achjah, microsoft had al lang geleden gedumpt moeten worden
door gebruikers. Sinds wanneer krijgen mensen een honderdste
kans, van mij niet iig, ik heb 6 jaar geleden al gezwaaid..
mensen blijven het niet alleen slikken maar ze gaan het
zelfs verdedigen, bah

Tuurlijk is dit niet alleen IE fout dat is duidelijk.. ik
snap niet wat nu de stelling is, zeggen dan IE 0% blaam
treft is gewoon geen mening meer maar onzin.

Zeggen dat iedereen SP2 moet installeren is kortzichtig tot
blind te noemen daar zijn genoeg argumenten voor. MS zegt
dat ze vanaf win2k en winnt4 nog ondersteunen dus motte ze
verdomme PATCHES maken voor die OSs, windows is fundamenteel
insecure en SP2 is dus geen gunst maar een noodzaak.

Ben ik het 100% mee eens,mensen zijn kudde dieren als ze al
horen firefox is sneller hup erop over zonder ze weten wat
ze daadwerkelijk in huis halen Jos

Zeker heeft alle software fouten, niks nieuws onder zon:
maar geen enkele andere browser heeft het zwakke zone-model
van IE (gelukkig maar) en geen enkele andere browser
ondersteunt (gelukkig) zomaar het ActiveX gebeuren - de
grootste gaten in Windows zitten in IE, de grootste gaten in
IE zitten in de zones en ActiveX.

Safe for Scripting? Safe voor cracking zul je bedoelen.

Terecht krijgt IE de zwarte Piet toegespeelt omdat het
buiten dat het chronisch kritische securityfouten huisvest
daarnaast evenmin normen en aanbevelingen respecteerd.

Gebruikers zijn daardoor over de gehele linie beter af met
een ander product, ongeacht perceptie.

Hier zien we alweer de 'macht' van het PR apparaat van
Microsoft...... Omdat het zo erg is met I.E. gaan we er,
haast automatisch, vanuit dat dit bij Firefox 'ook wel zo
zou zijn'.

Vergeet alsjeblieft hoe Microsoft werkt, en projecteer dit
al helemaal niet over het ontwikkeltraject van een
open-source product. Het gaat bedrijven om geld, niet
om kwaliteit. Als het om kwaliteit ging, hadden ze
allang al andere, betere, producten opgekocht. Ohw shit! De
meeste open source software is GPL'd... </sarcasme>

De fout in IE was toch al langer bekend ?
Dit is gewoon een gehackte server die daarvan gebruik heeft
gemaakt van dit lek.

Bij het begin beginnen lijkt me, IE is dus de fout.
De webserver de "applicatie" die van die fout gebruik maakt.

Ik ga even mee in je kinderlijke tirade:
Het zijn juist de kuddedieren die IE hebben en blijven
gebruiken.
En for that matter: die Microsoft gebruiken. 1- 1 !