Jump to content
Forum Kopalni Wiedzy
Sign in to follow this  
KopalniaWiedzy.pl

Bez pytania bezpieczniej

Recommended Posts

Badania przeprowadzone przez Google Szwajcaria i Politechnikę w Zurichu wykazały, że im mniej pytań do użytkownika w czasie instalowania poprawek do przeglądarki, tym więcej łat zostaje zainstalowanych.

W przypadku Opery jedynie 24% użytkowników korzystało z w pełni załatanej przeglądarki w ciągu 21 dni od ukazania się łat. Opera wymaga bowiem ręcznego pobrania i zainstalowania poprawek, a podczas procesu instalacyjnego użytkownik musi odpowiedzieć na liczne pytania. Rośnie więc ryzyko, że po prostu przerwie instalację.

W przypadku Safari odsetek w pełni załatanych przeglądarek wynosił 53%, a dla Firefoksa było to 85%. Najlepiej pod tym względem wypadło Chrome. Produkt Google'a automatycznie pobiera poprawki i nie jest możliwe wyłączenie tego mechanizmu. Dlatego też po 21 dniach od ukazania się łat aż 97% użytkowników Chrome'a posługiwało się całkowicie załatanym programem.

Eksperci nie byli w stanie przeprowadzić podobnych badań dla Internet Explorera, gdyż przeglądarka Microsoftu zostawia na odwiedzanych serwerach zbyt mało informacji, by na ich podstawie wnioskować o zainstalowanych łatach.

Na podstawie swoich wyników specjaliści uznali, że producenci przeglądarek powinni zaimplementować mechanizmy automatycznego i autonomicznego pobierania łat.

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this  

  • Similar Content

    • By KopalniaWiedzy.pl
      Ostatni zestaw poprawek udostępniony przez Microsoft spowodował kilka niespodziewanych problemów. Najpierw Microsoft potwierdził, że pojawiły się problemy z menu Start oraz Windows Search. Niedługo później użytkownicy zaczęli się skarżyć na problemy z systemem audio, w tym na brakujące efekty dźwiękowe i niższy niż zwykle poziom głośności. Wydaje się, że problemy te dotykają osoby, które mają zainstalowany build 18362.356.
      Jakby jeszcze tego było mało, jeden z użytkowników forum Microsoftu poinformował, że po zainstalowaniu poprawki KB4515384 moja karta bezprzewodowa Intela i karta sieciowa LAN Intela przestały działać. Menedżer Urządzeń informuje o błędzie i nie jest w stanie uruchomić kart. Po odinstalowaniu KB4515384 problem znika. O podobnych problemach poinformowali inni użytkownicy, którzy stwierdzili, że poprawka tworzy nowe urządzenia sieciowe o takiej samej nazwie jak dotychczasowe i dodaje do nich cyfrę 2. Te nowe urządzenia również nie działają, ich odinstalowanie z systemu nie pomaga. Nie pomaga też zainstalowanie najnowszych sterowników Intela. Jedynym rozwiązaniem jest odinstalowanie całej poprawki.
      Microsoft potwierdził istnienia takich problemów. Dotyczą one kart Intel Centrino 6205/6235 oraz Broadcom 802.11 ac WiFi w wersji 1903 działających w pewnych szczególnych konfiguracjach. Wyłączenie i ponowne włączenie działa WiFi w Menedżerze urządzeń działa tylko w niektórych przypadkach.

      « powrót do artykułu
    • By KopalniaWiedzy.pl
      Każde oprogramowanie zawiera błędy, ale jak mogliśmy się dowiedzieć podczas konferencji Black Hat Europe, najwięcej błędów zawiera oprogramowanie tworzone przez instytucje państwowe lub na ich potrzeby.
      Chris Wysopal z firmy Veracode, która specjalizuje się w wyszukiwaniu dziur w programach, poinformował o wynikach badań przeprowadzonych pomiędzy drugą połową roku 2010 a końcem roku 2011.
      W tym czasie jego firma przeanalizowała 9910 różnych aplikacji. Eksperci stwierdzili, że 80% programów nie spełnia wymagań bezpieczeństwa firmy Veracode. Oprogramowanie tworzone dla instytucji państwowych wypadło znacznie gorzej, niż programy komercyjne. Okazało się bowiem, że jedynie 16% stworzonych przez rząd i dla rządu aplikacji sieciowych można było uznać za bezpieczne z punktu widzenia standardów OWASP (Open Web Application Security Project). Dla  sektora finansowego odsetek ten wynosił 24%, a dla innego komercyjnego oprogramowania - 28%.
      Z kolei do wyników badań innych programów niż programy sieciowe posłużono się kryteriami opracowanymi przez SANS Institute. Za bezpieczne uznano 18% oprogramowania rządowego, 28% oprogramowania finansowego i 34% innego oprogramowania komercyjnego.
      Rząd zachowuje się tak, jakby bezpieczeństwo było problemem sektora prywatnego i próbuje go ściśle regulować. Jeśli jednak bliżej się temu przyjrzymy to okazuje się, że sektor prywatny jest zdecydowanie bardziej bezpieczny niż sektor rządowy - mówi Wysopal.
      Aż 40% aplikacji sieciowych wytworzonych dla agend rządowych było podatnych na ataki SQL injection. Dla sektora finansowego odsetek ten wynosił 29%, a dla oprogramowania komercyjnego 30%. Na ataki typu XSS (cross-site scripting) narażonych było 75% rządowych aplikacji sieciowych, 67% aplikacji wytworzonych przez sektor finansowy oraz 55% aplikacji komercyjnych.
      Alan Paller, dyrektor ds. badań w SANS Institute mówi, że przyczyną takiego stanu rzeczy jest to, iż sektor prywatny karze firmy za błędy, a sektor rządowy je nagradza. Jeśli przedsiębiorstwo stworzy komercyjne oprogramowanie zawierające błędy, to ryzykuje utratę klientów oraz dobrego imienia, co wpłynie na jego wyniki finansowe w przyszłości. Jeśli zaś napisze wadliwe oprogramowanie dla sektora rządowego, to zostanie nagrodzone kolejnym kontraktem na poprawienie tego oprogramowania. Nie twierdzę, że nie próbują wykonać swojej pracy właściwie. Ale w ten sposób działa system nagród i zachęt - mówi Paller. To powoduje, że błędy w oprogramowaniu rządowym istnieją nawet wówczas, gdy zanikają w oprogramowaniu komercyjnym. Specjaliści od dwóch lat obserwują spadek odsetka dziur typu SQL injection i XSS w oprogramowaniu komercyjnym. W programach rządowych  nic się w tym zakresie nie zmieniło.
      Wszystkie powyższe dane dotyczą USA.
    • By KopalniaWiedzy.pl
      Zaoferowana przez Google’a nagroda za złamanie zabezpieczeń Chrome’a zachęciła hackerów do działania. Przeglądarka Google’a jako pierwsza poddała się uczestnikom konkursu Pwn2Own. W ubiegłym roku żaden z hackerów nie próbował się do niej włamać. Tym razem było inaczej i nie pomogło łatanie przeglądarki na kilka dni przed konkursem. Współzałożyciel francuskiej firmy VUPEN Chaouki Bekrar i jego zespół wykorzystali dwie dziury typu zero-day w Chrome do przejęcia kontroli nad komputerem z w pełni załatanym 64-bitowym Windows 7.
      Bekrar powiedział, że znalezienie dziur i napisanie odpowiedniego kodu zajęło 6 tygodni. Musieliśmy użyć dwóch dziur. Za pomocą pierwszej obeszliśmy technologie zabepieczające DEP i ASLR w Windows, a druga umożliwiła nam wyjście poza „piaskownicę“ Chrome’a. Nie chciał zdradzić, czy luka działa na kodzie Google’a czy firmy trzeciej. To była dziura typu use-after-free [związana z nieprawidłowa alokacją pamięci po jej zwolnieniu - red.] w domyślnej instalacji Chrome’a. Nasz kod działa na domyślnej instlacji, więc nie ma znaczenia, czy wykorzystuje on [dostarczony wraz z przeglądarką - red.] kod firmy trzeciej - mówi.
      Podczas demonstracji Bekrar stworzył spreparowaną witrynę, a gdy odwiedzono ją za pomocą komputera wyposażone w Chrome, doszło do automatycznego ataku i otwarcia Kalkulatora poza „piaskownicą“. Nie jest wymagana żadna interakcja ze strony użytkownika, żadne dodatkowe kliknięcia. Wchodzimy na stronę i program jest uruchamiany.
      Bekrar pochwalił jednocześnie Chrome’a. Jego zdaniem Google stworzył bardzo bezpieczny sandbox i Chrome jest jedną z najbezpieczniejszych przeglądarek.
      Drugą przeglądarką, która poddała się atakom, była Safari zainstalowana w systemie Mac OS X. Również i ona padła ofiarą ekspertów z VUPEN. Atak przeprowadzono w zaledwie 5 sekund, co każe poważnie zastanowić się nad prawdziwością poglądu, jakoby Mac OS X był bezpieczniejszy od Windows. Zdaniem hackerów, wcale tak nie jest. System Apple’a nie dość, że korzysta tylko z technologii ASLR, a nie używa DEP, to dodatkowo jest ona źle zaimplementowana. Ataku na Safari dokonano za pośrednictwem silnika WebKit, który zawiera wiele dziur. Co prawda z WebKita korzysta też Chrome, jednak Google znacznie poprawił kod silnika, dzięki czemu jego przeglądarka jest bezpieczniejsza.
    • By KopalniaWiedzy.pl
      Amerykańska Narodowa Agencja Bezpieczeństwa (NSA) poinformowała o zbudowaniu około 100 „ultrabezpiecznych“ smartfonów z systemem Android. Urządzenia Fishbowl powstały w oparciu o standardowe ogólnodostępne podzespoły i są na tyle bezpieczne, że pozwalają agentom na prowadzenie rozmów na tajne tematy.
      Margaret Salter z NSA, przemawiając podczas konferencji RSA powiedziała, że połączenia są prowadzone za pośrednictwem komercyjnej infrastruktury, a mimo to dane pozostają bezpieczne. Przyznała jednocześnie, że napotkano poważne kłopoty podczas budowy urządzeń, a ich główną przyczyną był brak kompatybilności pomiędzy produktami różnych firm. Z tego też powodu wykorzystano np. IPSEC a nie SSL VPN. Zdecydowano się na większą liczbę tego typu kompromisów, jednak ogólne bezpieczeństwo smartfonów nie doznało przez to uszczerbku. Potrzebowaliśmy aplikacji głosowej, która obsługiwałaby DTLS, Suite B oraz SRTP, ale nie mogliśmy takiego kupić. Przemysł bardziej skupia się na Session Description Protocol, więc zdecydowaliśmy się na to rozwiązanie - powiedziała Salter.
    • By KopalniaWiedzy.pl
      Kara, którą sam sobie wymierzył Google, okazała się dotkliwa dla przeglądarki Chrome. Jej rynkowe udziały spadły, zyskały natomiast Internet Explorer i Firefox.
      Jeszcze w grudniu dotychczasowy trend wśród przeglądarek utrzymywał się. Chrome zyskiwał, jego najwięksi konkurenci tracili. W listopadzie, według Net Applications, do IE należało 52,64% rynku, a w grudniu odsetek ten spadł do 51,87%. W tym samym czasie udziały Firefoksa zmniejszyły się z 22,14% do 21,83%. Chrome zwiększył swój stan posiadania z 18,18% do 19,11%.
      Jednak na początku stycznia Google ukarał się za wpadkę z płatnymi linkami w swojej wyszukiwarce zmniejszając Page Rank witryny Chrome’a do 0.
      Od razu zyskał na tym Internet Explorer, którego udziały zwiększyły się do 52,96%. Firefox znowu spadł do 20,88%, ale spadły też udziały Chrome’a, który stracił 0,17 punkta procentowego. W lutym udziały Chrome’a zmniejszyły się do 18,90%. Spadł też - o 0,12 pp - Internet Explorer. Zyskał za to Firefox, do którego należy obecnie 20,92% rynku.
      Obserwując rynkowe trendy można stwierdzić, że gdyby Google się nie ukarał, to w lutym miałby szansę ostatecznie przegonić Firefoksa i zostać drugą najpopularniejszą przeglądarką na świecie.
  • Recently Browsing   0 members

    No registered users viewing this page.

×
×
  • Create New...