Zaloguj się, aby obserwować tę zawartość
Obserwujący
0
Vista sobie nie radzi?
dodany przez
KopalniaWiedzy.pl, w Technologia
-
Podobna zawartość
-
przez KopalniaWiedzy.pl
Każde oprogramowanie zawiera błędy, ale jak mogliśmy się dowiedzieć podczas konferencji Black Hat Europe, najwięcej błędów zawiera oprogramowanie tworzone przez instytucje państwowe lub na ich potrzeby.
Chris Wysopal z firmy Veracode, która specjalizuje się w wyszukiwaniu dziur w programach, poinformował o wynikach badań przeprowadzonych pomiędzy drugą połową roku 2010 a końcem roku 2011.
W tym czasie jego firma przeanalizowała 9910 różnych aplikacji. Eksperci stwierdzili, że 80% programów nie spełnia wymagań bezpieczeństwa firmy Veracode. Oprogramowanie tworzone dla instytucji państwowych wypadło znacznie gorzej, niż programy komercyjne. Okazało się bowiem, że jedynie 16% stworzonych przez rząd i dla rządu aplikacji sieciowych można było uznać za bezpieczne z punktu widzenia standardów OWASP (Open Web Application Security Project). Dla sektora finansowego odsetek ten wynosił 24%, a dla innego komercyjnego oprogramowania - 28%.
Z kolei do wyników badań innych programów niż programy sieciowe posłużono się kryteriami opracowanymi przez SANS Institute. Za bezpieczne uznano 18% oprogramowania rządowego, 28% oprogramowania finansowego i 34% innego oprogramowania komercyjnego.
Rząd zachowuje się tak, jakby bezpieczeństwo było problemem sektora prywatnego i próbuje go ściśle regulować. Jeśli jednak bliżej się temu przyjrzymy to okazuje się, że sektor prywatny jest zdecydowanie bardziej bezpieczny niż sektor rządowy - mówi Wysopal.
Aż 40% aplikacji sieciowych wytworzonych dla agend rządowych było podatnych na ataki SQL injection. Dla sektora finansowego odsetek ten wynosił 29%, a dla oprogramowania komercyjnego 30%. Na ataki typu XSS (cross-site scripting) narażonych było 75% rządowych aplikacji sieciowych, 67% aplikacji wytworzonych przez sektor finansowy oraz 55% aplikacji komercyjnych.
Alan Paller, dyrektor ds. badań w SANS Institute mówi, że przyczyną takiego stanu rzeczy jest to, iż sektor prywatny karze firmy za błędy, a sektor rządowy je nagradza. Jeśli przedsiębiorstwo stworzy komercyjne oprogramowanie zawierające błędy, to ryzykuje utratę klientów oraz dobrego imienia, co wpłynie na jego wyniki finansowe w przyszłości. Jeśli zaś napisze wadliwe oprogramowanie dla sektora rządowego, to zostanie nagrodzone kolejnym kontraktem na poprawienie tego oprogramowania. Nie twierdzę, że nie próbują wykonać swojej pracy właściwie. Ale w ten sposób działa system nagród i zachęt - mówi Paller. To powoduje, że błędy w oprogramowaniu rządowym istnieją nawet wówczas, gdy zanikają w oprogramowaniu komercyjnym. Specjaliści od dwóch lat obserwują spadek odsetka dziur typu SQL injection i XSS w oprogramowaniu komercyjnym. W programach rządowych nic się w tym zakresie nie zmieniło.
Wszystkie powyższe dane dotyczą USA.
-
przez KopalniaWiedzy.pl
Amerykańska Narodowa Agencja Bezpieczeństwa (NSA) poinformowała o zbudowaniu około 100 „ultrabezpiecznych“ smartfonów z systemem Android. Urządzenia Fishbowl powstały w oparciu o standardowe ogólnodostępne podzespoły i są na tyle bezpieczne, że pozwalają agentom na prowadzenie rozmów na tajne tematy.
Margaret Salter z NSA, przemawiając podczas konferencji RSA powiedziała, że połączenia są prowadzone za pośrednictwem komercyjnej infrastruktury, a mimo to dane pozostają bezpieczne. Przyznała jednocześnie, że napotkano poważne kłopoty podczas budowy urządzeń, a ich główną przyczyną był brak kompatybilności pomiędzy produktami różnych firm. Z tego też powodu wykorzystano np. IPSEC a nie SSL VPN. Zdecydowano się na większą liczbę tego typu kompromisów, jednak ogólne bezpieczeństwo smartfonów nie doznało przez to uszczerbku. Potrzebowaliśmy aplikacji głosowej, która obsługiwałaby DTLS, Suite B oraz SRTP, ale nie mogliśmy takiego kupić. Przemysł bardziej skupia się na Session Description Protocol, więc zdecydowaliśmy się na to rozwiązanie - powiedziała Salter.
-
przez KopalniaWiedzy.pl
Po skandalu Carrier IQ w Izbie Reprezentantów złożono projekt ustawy, która ma zapewniać lepszą ochronę klientom sieci telefonii komórkowych. Mobile Device Privacy Act został złożony przez Edwarda Markeya’a z Partii Demokratycznej.
Ustawa przewiduje, że „konsumenci mają prawo wiedzieć jakie oprogramowanie, które zbiera i przesyła ich dane osobiste, jest obecne na urządzeniu przenośnym i mają prawo nie zgodzić się na jego obecność“. Przewidziano też, że w przyszłości zbieranie i przesyłanie danych nie będzie możliwe bez wyraźnej zgody użytkownika. Ponadto firmy, które chciałyby przekazać takie dane firmom trzecim, będą musiały uzyskać zgodę Federalnej Komisji Handlu i Federalnej Komisji Komunikacji.
Ustawa nakłada też na sprzedawców urządzeń mobilnych informowanie użytkownika o tym, czy na urządzeniu zainstalowano oprogramowanie zbierające dane, jakie dane są zbierane, do kogo zostają wysłane i w jakim celu są używane. Firmy zbierające dane będą zaś musiały odpowiednio je zabezpieczyć.
Teraz Markey musi znaleźć odpowiednie poparcie dla swojej ustawy, co pozwoli prowadzić nad nią dalsze prace.
-
przez KopalniaWiedzy.pl
Microsoft oskarżył jednego z największych brytyjskich sprzedawców detalicznych o produkowanie pirackich kopii Windows. Zdaniem koncernu firma Comet Group PLC, która posiada drugą co do wielkości sieć sprzedaży elektroniki, w jednej ze swoich fabryk nielegalnie produkuje CD z Windows.
Microsoft wystąpił do sądu przeciwko Comet Group. Jak napisaliśmy w złożonej dzisiaj skardze, Comet wyprodukował i sprzedał niczego niepodejrzewającym klientom w Wielkiej Brytanii tysiące podrobionych płyt. Działania Cometa były nieuczciwe wobec klientów. Oczekujemy innej postawy od sprzedawców produktów Microsoftu - i nasi klienci zasługują na lepsze traktowanie - powiedział David Finn, prawnik z Microsoftu.
Koncern twierdzi, że w fabryce w Hampshire Comet wyprodukował dziesiątki tysięcy płyt z Windows XP i Windows Vista i rozprowadził je wśród klientów w Wielkiej Brytanii.
-
przez KopalniaWiedzy.pl
Microsoft poinformował, że w bieżącym roku załatał rekordowo małą liczbę krytycznych dziur. Ostatnio tak mało luk znaleziono w produktach koncernu w 2005 roku.
W całym bieżącym roku Microsoft wydał 99 biuletynów bezpieczeństwa, z czego 32% stanowiły biuletyny oznaczone jako „krytyczne". W drugiej połowie roku ich odsetek wynosił 20%.
Zdaniem przedstawicieli Microsoftu, mniejsza liczba wykrywanych krytycznych błędów to efekt dobrej pracy poszczególnych grup produktowych.
Przed dwoma dniami, we wtorek, koncern wydał ostatni w bieżącym roku zestaw łat. W jego skład weszło 13 biuletynów, poprawiających 19 dziur. Trzy biuletyny zyskały ocenę „krytyczne". Początkowo planowano publikację 14 biuletynów dla 20 dziur, jednak okazało się, że jedna z łat jest niekompatybilna z oprogramowaniem firmy trzeciej, zostanie więc udostępniona po rozwiązaniu problemu.
-
-
Ostatnio przeglądający 0 użytkowników
Brak zarejestrowanych użytkowników przeglądających tę stronę.