Død over antivirusmafiaen

Antivirus produkter er og bliver en ikkeløsning på et problem der ikke burde existere til at begynde med, men nu er der tilsyneladende lys for enden af tunellen.

Indtil nu er der jo ikke nogen der har taget os "UNIX-freaks" alvorligt når vi har påpeget at det ville være smartere at hive nælden op ved roden, vi kunne jo ikke bevise vores påstand fik vi at vide.

Det lader til at iPhone kan blive syretesten, for Apple har ikke tænkt sig at "sikkerhedsfirmaerne" skal have lov til at inddrive beskyttelsespenge for iOS.

"Jeg tvivler på, at de har ressourcer til at tjekke hver enkelt linje kode, de lukker ind i deres butik" udtaler en af antivirus-bøllerne.

Er det bare mig, eller lyder det lidt som om en stor bredskuldret type kommer ind og siger "Dejlig butik du har her, vi må ikke håbe at der sker noget med den..." ?

Der har længe verseret rygter i branchen om at det ikke er alle "antivirus" firmaer der holder sig til "anti", man kan jo ikke sælge beskyttelse, hvis der ikke er noget at beskytte sig imod, vel ?

Hidtil har ingen kunnet bevise noget, for antivirusfirmaerne er ikke meget for at oplyse hvor de har fanget de mange virus de påstår huserer på nettet men ihvertfald en rigtig forsker er i gang med at undersøge hvor mange vira der kun findes i sikkerhedsfirmaernes fantasi eller egne laboratorier og hvor mange der faktisk er i omløb.

Men nu har sikkerhedsbøllerne opdaget at et stort marked er ved at gå deres næse forbi og det faktum at der faktisk ikke er set en eneste virus til iPhones endnu forhindrer dem ikke i at starte en skræmmekampagnen der skal få corporate IT-zombier til at sige "Ingen iPhones uden antivirus" og på den måde lægge press på Apple så mafiaen kan komme til fadet.

Dem der har fulgt med i FreeBSD commits, eller hørt Robert Watsons foredrag på OSD eller EuroBSDcon, vil vide at Apple har sponsoreret en hel del temmelig avanceret forskning i sikkerhed igennem de seneste 10 år.

Vel at mærke rigtig sikkerhed, den slags sikkerhed der gør det muligt at implementere "Principle of Least Privilege" hvilket igen gør at virus ikke kan betale sig at skrive, fordi de ingenting kan gøre.

Fidusen ved en rigtig sikkerhedsfacilitet er at den ikke er bygget med et bestemt formål for øje, men derimod med et bestemt sikkerhedsprincip for øje.

OS/X har f.eks en glimrende sandbox facilitet, baseret på FreeBSD's AUDIT/BSM facilitet, som Apple uden videre kunne konfigurere til en "Parental Controls" facilitet.

Den slags skruebrækkerarbejde huer naturligvis ikke antivirusmafiaen, de vil meget hellere have at Apple implementerede systemkald som antivirus software kan bruge til at stikke fingrene i alt hvad der sker på systemet, systemkald der er så potente at de i sig selv er blevet et sikkerhedsproblem.

Roberts næste opus hedder "Capsicum" den første ordentlige implementering af "Capabilities" under et moderne operativsystem og Apple er helt sikkert allerede ved at finde ud af hvordan de kan bruge det til at sikre deres operativsystemer.

Groft sagt, meget groft sagt, gør Capsicum det nemt at pakke dele af en applikation ind i en "sandbox" som f.eks Googles Chrome browser gør det med hver tab/window.

Det sjove af det hele er, at ikke alene jeg, men også folk i Microsoft hepper på Robert og Apple: Sidst Microsofts folk prøvede at gøre noget der for alvor ville forbedre sikkerheden, truede antivirusmafiaen med at anlægge sag om monopolmisbrug, hvis de gik videre med planerne...

Død over antivirusmafiaen!

phk

Kommentarer (56)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Jesper Louis Andersen

Der har længe verseret rygter i branchen om at det ikke er alle "antivirus" firmaer der holder sig til "anti", man kan jo ikke sælge beskyttelse, hvis der ikke er noget at beskytte sig imod, vel ?

Konpirationsteorien ud i havnen, så er der ikke nogen økonomisk gevist for et antivirusfirma i at stoppe en gruppe virusmagere selv hvis de kendte deres identitet temmeligt godt og de boede i et land hvor det var nemt at retsforfølge dem.

I stedet er der økonomisk gevinst i at lade dem producere næste virus og så holde sig orienteret om hvad de foretager sig. F.eks. ved at infiltrere dem og spionere.

Der er i denne balancegang man kan betvivle om et antivirusfirma er helt rent i filten.

  • 1
  • 0
Claus Junker Jørgensen

Antivirus produkter er i dag mere anti-malware løsninger.

At sige at problemet ikke burde eksistere er fjollet. Fordi selv uden huller i Flash o.lign, og med skaden begrænset til luser rettigheder, så vil brugeren altid kunne downloade f.eks. et skadeliget problem, der f.eks. sætter et botnet op.

Fordi et botnet kan jo sagtens kører som luser. Ligesom en keylogger også kan.

Derfor er malware-scanners eller "antivirus", en god ting for forbrugeren. Og for den sags skyld, også den garvede IT-bruger.

  • 0
  • 1
Poul-Henning Kamp Blogger

Fordi et botnet kan jo sagtens kører som luser. Ligesom en keylogger også kan.

Pointen ved "capabilities", er at man splitter checket til finere granularitet end "hvad er uid ?"

Læs Roberts Capsicum paper...

Poul-Henning

  • 0
  • 0
Lars Hansen

Mener du at smartphones ikke er sårbare?

På trods af Apples fantastiske engagement indenfor sikkerhed, og deres bundsolide fundament i unix verdenen er det åbenbart ikke lykkedes dem at sikre deres platform p.t.

Dvs. inden den anmeldte epidemi.

http://fpn.dk/digitalt/mobil/article1879953.ece

"Ormen har kun adgang til de telefoner, hvor brugeren ikke har ændret sit password og brugernavn efter at have installeret SSH"

Jeg tror ikke nogen af mine brugere af iPhones her på arbejde overhovedet ved hvad SSH er. Selv aner jeg ikke om det er installeret heller, så ingen grund til at fluekneppe de finere detaljer i mit eksempel. Spørgsmålet er blot, om ikke enhver platform er sårbar i et vidst omfang.

I bund og grund vil jeg mene, at producenten af OSet burde kunne tilpasse deres software hurtigere end et antivirus selskab kan finde orme etc. og opdatere deres tredjeparts beskyttelsesprogrammer. Det andet er jo lidt en falliterklæring.

Samtidigt, så synes jeg ikke, at man kategorisk og ud fra et rent teknisk argument, skal afskrive relevansen af software, der hjælper brugere og administratorer, med at opretholde et vidst niveau af sikkerhed i deres system.

  • Lars
  • 0
  • 1
Flemming Frandsen

Se den:
http://www.youtube.com/watch?v=rDP6A5NMeA4

En af de interessante pointer er at det bedst kan svare sig både for et botnet og for antivirus fabrikanterne at botnettet bruger legetøjs krypto.

Med en kendt svaghed som en meget lille nøgle til svag krypto kan man som botnet operator nemt skifte nøgle.

Antivirus leverandørerne kan rulle den ene opdatering ud efter den anden, som blot kender nøglen til legetøjskryptoen og ugen efter er der en ny nøgle de kan skrive på listen.

Hvis man havde valgt ordentlig krypto, så skulle antivirus folkene i stedet kigge på nogle andre dele af systemet for at genkende botnettet og de dele ville være meget sværere at ændre.

En helt anden pointe er at man fordobler angrebsfladen på et system hvis man kører antivirus på det.

  • 0
  • 0
Eskild Nielsen

"Ormen har kun adgang til de telefoner, hvor brugeren ikke har ændret sit password og brugernavn efter at have installeret SSH"

Jeg tror ikke nogen af mine brugere af iPhones her på arbejde overhovedet ved hvad SSH er. Selv aner jeg ikke om det er installeret heller, så ingen grund til at fluekneppe de finere detaljer i mit eksempel. Spørgsmålet er blot, om ikke enhver platform er sårbar i et vidst omfang.

Er der ikke tale om risikoadfærd her?

Hvis brugeren ikke ved hvad SSH er, så bør han vel ikke installere SSH?

Hvis han ved det, så bør han vide, at han skal slutte af med at ændre det nævnte.

  • 0
  • 0
Stephen Aaskov

Antivirus produkter er i dag mere anti-malware løsninger.

Nej, antivirus produkter er antivirus produkter og antimalware produkter er antimalware produkter.

Det er netop antivirus industriens strategi at forvirre begreberne.

  • 0
  • 0
Lars Hansen

@ESKILD NIELSEN
@ALLAN KIMMER JENSEN
@HENRIK MIKAEL KRISTENSEN

"Selv aner jeg ikke om det er installeret heller, så ingen grund til at fluekneppe de finere detaljer i mit eksempel."

Det har jeg skrevet fordi jeg godt ved, at lige nu, der er eksemplet ikke noget, jeg ville kunne basere en skudsikker argumentation på. Det handler kun om at vise, at interessen for at misbruge platformen, den er tilstede.
Jeg tror næppe, at mine artige brugere har jailbreaket nogetsomhelst. Men, bare det faktum, at det kan lade sig gøre, viser jo, at platformen ikke er stensikker.

"Spørgsmålet er blot, om ikke enhver platform er sårbar i et vidst omfang."

Det er sådan set det interessante. Har Apple tid til at se alle kodelinier igennem? Vil nogle smarte personer smugle noget ind? Ja så er det jo nok "syretesten" det gælder. Selv tror jeg ikke på, at platformen er så sikker - jailbreaket eller ej.

Men, Hvad med sikkerheden i forhold til brugeren i sig selv? Hvis nu spredningen af vira foregår igennem et socialt medie, og brugeren derigennem pådrager sig en skade. Kunne noget tredjeparts software have gjort en positiv forskel der?

Man kan jo godt vælge at anse ens sikkerheds software som værende andet end en service der overvåger hukommelse og filsystem i en hardware enhed. Måske er ens browsers faciliteter ikke tilstrækkelige, og hvis andre kan lave add-ons der af den ene eller anden vej, øger brugerens sikkerhed, er der vel intet negativt i det?

På mig virker det lidt forhastet, sådan decideret at ligge hele antivirus konceptet i graven lige med det samme. Thats all :-)

  • Lars
  • 0
  • 1
Henrik Mikael Kristensen

Har Apple tid til at se alle kodelinier igennem? Vil nogle smarte personer smugle noget ind? Ja så er det jo nok "syretesten" det gælder. Selv tror jeg ikke på, at platformen er så sikker - jailbreaket eller ej.

Historisk set, har Apple fjernet "tvivlsomme" programmer prompte fra App Storen, som fungerer som en centraliseret beskyttelse, dvs. fjernelse af problemet ved kilden, frem for ude hos brugeren. Herudover er der så yderligere en risiko for, at programmet og dermed virus/malware producenten får sit værk offentliggjort.

Jeg tror ikke man kan forvente at alle disse checks bliver mindre i fremtiden. For nyligt blev der indført automatisk scanning af apps med henblik på hurtig eliminering af private APIer i programmer. Det sker inden programmet overhovedet bliver lukket ind på App Store.

Det er ikke umuligt, at der kan ligge noget der i årevis, som bliver udlevet på et fåtal af telefoner, hvor man så er afhængig af telefonens sikkerhed for at eliminere problemet. Men er virusproducenterne interesseret i det?

  • 0
  • 0
Lars Hansen

Det er ikke umuligt, at der kan ligge noget der i årevis, som bliver udlevet på et fåtal af telefoner, hvor man så er afhængig af telefonens sikkerhed for at eliminere problemet. Men er virusproducenterne interesseret i det?

Det skal selvfølgelig være lønsomt for dem, og øget kontrol med hvad der afvikles, på den ene eller anden måde, vil ganske vidst gøre det mere vanskeligt at skabe profit.

Er det da utænkeligt, at f.eks. en mail applikation på ens iPhone er sårbar overfor en given exploit og derved bliver modificeret til at afvikle ondsindet zombie kode?

Fordi, det er jo slet ikke sikkert, at den slags er synligt i kildekoden. Samtidigt, er det jo ofte sådan en PC bliver inficeret, via en ikke opdateret Java version, eller usikker browser.

  • Lars
  • 0
  • 0
Stephen Aaskov

Er det da utænkeligt, at f.eks. en mail applikation på ens iPhone er sårbar overfor en given exploit og derved bliver modificeret til at afvikle ondsindet zombie kode?

Det betænkelige i forholdet forbruger/antivirus producent er, at man bliver bedt om at stole mere på antivirus leverandøren end producenten af softwaren.

Præmissen for nødvendigheden af antivirus software er:
"Enhver platform kan have sikkerhedshuller som virus kan udnytte."

Hvis man godtager det må man også godtage den generelle form : "Software kan have sikkerhedshuller som virus kan udnytte".

Antivirus software kan dermed også have huller, så hvis man ikke stoler på at f.eks. Apple kan lave tilstrækkelig sikkerhed på deres egen platform - bør man ikke tro at en antivirusproducent kan gøre det bedre.Tværtimod kan antivirus netop udgøre en angrebsvektor, som OS producenten ikke har kontrol over - dermed mindskes det maksimale sikkerhedsniveau der kan opnås.

  • 1
  • 0
Carsten Sonne

Teknisk kan optimeres meget for hindre malware og ubudne gæster, MEN der er et problem software ikke kan løse: Brugeren forståelse af sikkerhed. Capabilities - mindst mulige rettigheder for at udføre en given opgave - kan ikke rumme en bruger eskalere rettighed til eksekvering.

Eksempelvis: En bruger, Ib, modtager en mail fra moster Oda. Den indeholder en eksekverbar fil med en beskrivelse af et program moster Oda har lavet med hendes nyerhvervede udviklerfærdigheder. Ib vil gerne se hvad hende moster Oda nu har gang i og starter programmet. Styresystemer kommer med alverdens advarsler, men det forstå Ib ikke rigtig noget af. Han har altid undret sig over hvad de advarsler skulle gøre godt for. Zap - ubudne gæster.

Selv med optimal teknisk består udfordringen derfor i at finde en balance imellem brugerens sikkerhedsforståelse og systemet anvendelsesvenlighed. Teknik er blot EN parameter i sikkerhed. For at forstå den pointe kan med fordel læses om sikkerhedsteater (Security theater):

http://en.wikipedia.org/wiki/Security_theater

  • 0
  • 0
Jesper Louis Andersen

Teknisk kan optimeres meget for hindre malware og ubudne gæster, MEN der er et problem software ikke kan løse: Brugeren forståelse af sikkerhed. Capabilities - mindst mulige rettigheder for at udføre en given opgave - kan ikke rumme en bruger eskalere rettighed til eksekvering.

Jeg er helt enig i at brugeren kan vade ud over et capabilitybaseret system. Men det ændrer ikke på at systemet teknisk set har afværget en række angreb hvor et sikkerhedshul blev udnyttet. Hvis vi er nået til at brugeren skal snydes for at malware/antivirus kan køres fordi det er den nemmeste angrebsvektor, så er vi potentielt set nået langt.

Det glæder mig at høre nogen rent faktisk tager capabilityideen alvorligt. Den går meget godt i tråd med ideen om fault isolation og det at skabe fejltolerante operativsystemer ved at minimere skaden et program kan gøre.

  • 0
  • 0
Carsten Sonne

Det glæder mig at høre nogen rent faktisk tager capabilityideen alvorligt. Den går meget godt i tråd med ideen om fault isolation og det at skabe fejltolerante operativsystemer ved at minimere skaden et program kan gøre.

Utvivlsomt enig. Jeg høre også til dem der hepper på Robert og Apple. I hvert fald i den her sammenhæng :-)

  • 0
  • 0
Magnus Jørgensen

Det her anti virus software er da også noget der virkelig sløver computeren. Min mor havde en gammel Dell maskine stående der var mindst 30 minutter om at starte win xp og en browser op, efter hun havde fået installeret antivirus software på den.

Så installerede jeg Ubuntu på den og nu kører den glimrende.

  • 0
  • 0
Lars Hansen

Antivirus software kan dermed også have huller, så hvis man ikke stoler på at f.eks. Apple kan lave tilstrækkelig sikkerhed på deres egen platform - bør man ikke tro at en antivirusproducent kan gøre det bedre.Tværtimod kan antivirus netop udgøre en angrebsvektor, som OS producenten ikke har kontrol over - dermed mindskes det maksimale sikkerhedsniveau der kan opnås

Hvis man blindt stoler på at Apple kan garantere, at der ingen exploits eksisterer til deres iOS som f.eks. kan installere et rootkit, så holder det jo helt igennem vand det du skriver.

Og, selv hvis de ikke kan, så føler jeg mig fristet til at sige, med mine egne erfaringer med AV software på Windows, så kan AV softwaren heller ikke beskytte imod det.

Men, så ser jeg det ikke som noget unikt, for iOS, unix eller lignende, som der ligges op til fra start af. Fordi, som jeg skrev tidligere, har de fleste succesfulde angreb jeg har oplevet i nyere tid været igennem exploits i f.eks. Windows 7 taget afsat i Java, browseren o.lign. og ikke programmer jeg bevidst installerer.

Så handler det om, at holde sin maskine opdateret og begrænse sin egen dumhed. Kan man det, er AV software overflødig.

Tandlægen melder dog ikke altid nul huller. Og, så længe man ikke er patchet op til nyeste version, hvad beskytter så?

Nedenstående artikel handler om en exploit i iOS PDF viewer. Hvad er forskellen på at få opdateret den, også ens Adobe Acrobat på sin Windows 7 PC?

http://www.moratmarit.com/2010/08/apple-stuffs-ios-vulnerability-in.html

Jeg ser det som, at man er sårbar i en periode, indtil man opdaterer. Ligesom man er det, i Windows og andre OSer.

Spørgsmålet er så selvfølgelig, om man er mindre sårbar, såfremt man har noget AV software installeret. Igen så tror jeg, det afhænger af situationen, om der er et markede for det eller ej og hvorvidt produkterne rent faktisk gør en forskel.

Det ved vi jo først, når vi står i situationen.....

  • Lars
  • 0
  • 1
Poul Pedersen

Nu sikrer antivirus jo heller ikke mod noget, for selv med alt hvad man kan købe sig fattig i af "sikkerheds"-produkter så bliver pc'ere stadig inficeret med virus/malware/spyware/ting_som_gør_en_windows_træls-ware.

At det mest udbredte at inficere sin pc'er med lige i tiden er en antivirus ved navn Internet Security 2011 synes jeg er utroligt sigende.
Umulig at fjerne helt fra en windows, fuldstændigt som de rigtige antivirus produkter. :-)

  • 0
  • 0
Stephen Aaskov

Hvis man blindt stoler på at Apple kan garantere, at der ingen exploits eksisterer til deres iOS som f.eks. kan installere et rootkit, så holder det jo helt igennem vand det du skriver.

Og, selv hvis de ikke kan, så føler jeg mig fristet til at sige, med mine egne erfaringer med AV software på Windows, så kan AV softwaren heller ikke beskytte imod det.

Yep, men det er jo præcist det budskab antivirusfirmaerne bruger i deres salgskampagne, og så er vi tilbage ved PHK´s budskab om det uhæderlige ved den slags produkter.

  • 1
  • 0
Carsten Sonne

Jeg ser det som, at man er sårbar i en periode, indtil man opdaterer. Ligesom man er det, i Windows og andre OSer.

Som jeg ser det, forsøger AV at reducere dine risici på to områder: exploits og uvarsomhed. Sidstnævnte er kan indeholde større eller mindre risici - Det kan være forholdsvis nemt at være uvarsom.

Når skaden så er sket handler det om "damage control". Systemet diktere i høj grad de mulige konsekvenser - capabilities søger at reducere konsekvenserne til det minimale.

AV kan blot betragtes som et værktøj til risikohåndtering. Der er to sider: risiko og konsekvens. Ingen af delene burde håndteres af 3. part (AV) men derimod være en integreret del af systemet (OS).

  • 0
  • 0
Henrik Strøm

Det interessante er bare, at det endnu ikke har materialiseret sig i noget konkret. Den dårlige undskyldning om at der kun eksisterer virusproblemer på Windows fordi det er her man finder den største markedsandel holder simpelthen ikke mere - tag et kig på Apples markedsandel i USA - der burde være rigeligt med brugere at komme efter.
Microsoft har også gjort store fremskridt på sikkerhedsområdet, men planformen har to store problemer: dels den fortsat store installationsbase af XP, og dels de problemer Microsoft har i forhold til antivirusbranchen som Poul nævner. Når man dertil lægger Microsoft mantra om at være evig bagudkompatibel, så er det svært at forbedre sikkerheden på platformen, selvom det ser væsentligt bedre ud på en Window 7 maskine end en Windows XP maskine.

  • 0
  • 0
Jørgen Ramskov

"Det sjove af det hele er, at ikke alene jeg, men også folk i Microsoft hepper på Robert og Apple: Sidst Microsofts folk prøvede at gøre noget der for alvor ville forbedre sikkerheden, truede antivirusmafiaen med at anlægge sag om monopolmisbrug, hvis de gik videre med planerne..."

Måske er det derfor de har lavet deres eget AV software (Microsoft Security Essentials) der er gratis?

Det gør det faktisk ganske ok ifølge de anmeldelser jeg har set.

Derudover forstyrrer det ikke dig som bruger mere end højst nødvendigt og bruger heller ikke nævneværdige ressourcer.

  • 0
  • 0
Thomas Nielsen

Jeg syntes at det er skræmmende at de fleste "kun" taler om sikkerheden i de forskellige OS i denne debat.

De største problemer (ud over Windows XP stadig er det mest udbredte Windows OS) er alle de tredjeparts programmer der installeres.

Flere af de sårbarheder der misbruges er jo browser plug-ins såsom Java og Adobe Flash.

Personligt har jeg det godt med at mit Anti-Virus program, scanner alt kode der afvikles i min browser, så jeg undgår driveby angreb.

Jeg har flere gange set advarsler omkring ondsindet kode der er forsøgt afviklet i min browser når jeg har besøgt nyhedssider som ekstrabladet, bt, jyllandsposten, etc.

Ingen af disse sårbarheder der blev forsøgt misbrugt var OS sårbarheder, men browser plug-in sårbarheder.

Så indtil at browser + plug-ins + OS bliver bedre programmeret, så vil jeg nu stole på mit Anti-Virus produkt.

Mvh
Thomas

  • 0
  • 1
Flemming Frandsen

Så indtil at browser + plug-ins + OS bliver bedre programmeret, så vil jeg nu stole på mit Anti-Virus produkt.

Det er en absolut tåbelig ting at gøre, dit antivirus produkt øger angrebsfladen på dit system.

Det ville være langt smartere at sørge for at lade være med at køre ting du ikke har brug for at køre (flashblock er ret smart) og sørge for at bruge Chrome så en evt. defekt i en plugin ikke får adgang til din maskine.

  • 1
  • 0
Poul-Henning Kamp Blogger

Men problemet er jo netop at plugins som Flash og Acrobat afvikles med alt for mange rettigheder.

Hvis jeg beder om at se en PDF fil, skal acrobat have lov til at bruge CPU, memory og et vindue på skærmen med tilhørende input fra keyboard/mus.

Den skal ikke afvikles så den har adgang til min browsers addresserum, cache-filer, filehandles, sockets eller noget som helst andet.

Det sikkerheds princip hedder Principle of least privilege, "sandbox", "jail" eller Capsicum og der er ingen faciliteter i Windows for den slags.

Kig øverst på side 11 af Roberts Capsicum paper: Det tog Google 22350 linier kode at lave en sandbox til Chromium på windows og typisk kun 500-600 på unix.

Med Capsicum tager det 100 linier kode.

Ironien i at Capsicum er udvilket i "William Gates" bygningen, men aldrig har en chance for at komme ind i Windows er til at tage og føle på.

Poul-Henning

  • 1
  • 1
Michael Lykke

Den måde Norton og mange andre antivirus programmer sikre din computer på er jo ved at bruge så mange ressourcer fra din computer at du ganske enkelt ikke ønsker at bruge den ;)

På en lidt mere seriøs note så er problemerne med antivirus mange - Der er de rent "praktiske" ting som at de bruger for mange ressourcer og sløver ens computer alt for meget og hvem gider fx antivirus på en smartphone for derefter at se den kun have batteri til at køre 3-4 timer før det er fladt?
Fra et teknisk synspunkt så er der det problem at antivirus ofte introducere flere angebsflader men også at meget antivirus i virkeligheden giver en falsk sikkerhed men alligevel lukker rigtig mange vira og malware ind.
Antallet af gange jeg ikke har oplevet fra venner, familie og kollegaer at de har antivirus på deres maskine og alligevel er blevet ramt af virus, spyware, trojans etc. er utallige - Det er ikke meget andet end falsk sikkerhed.

I sidste ende er det symptom behandling og ikke en behandling af selve sygdommen.

  • 1
  • 0
Claus Waldersdorff Knudsen

Den måde Norton og mange andre antivirus programmer...

En oplevelse: Anvendte Norton betalingssoftware og fik en virus på en XP maskine. Surt.
Installerede den gratis version af AVG, som fjernede den virus Norton ikke kunde finde.

Konklusion: Brug ikke betalingssoftware :-)

I sidste ende er det symptom behandling og ikke en behandling af selve sygdommen.

Så sandt, så sandt. (Og så ikke mere om Windows)

  • 0
  • 0
Baldur Norddahl

Hvis jeg beder om at se en PDF fil, skal acrobat have lov til at bruge CPU, memory og et vindue på skærmen med tilhørende input fra keyboard/mus.

Hvad gør vi med feature bloat? PDF kan som bekendt indeholde javascript som kan bruges til de mærkeligste ting. Nogle af disse er måske også legale og ønsket af brugeren. PDF filer kan indeholde forms og kommunikere med en webserver. Ja, der er nok en grund til at der bliver fundet så mange huller i produktet.

Andet eksempel er java og flash. Der ønsker at åbne for flest mulige anvendelsesmuligheder. Derfor giver man dem maksimale rettigheder. Det er ikke givet på forhånd hvilket program/script der skal udføres og hvilke rettigheder der mere specifikt er brug for.

Selv den bedste sikkerhedsmodel kan ikke stoppe at udviklere blot beder om langt mere adgang end nødvendigt til deres program. Eksempelvis har mange Android applikationer det med at spørge om lov til funktioner, der næppe forekommer relevante for programmernes funktion. Men du kan vælge at acceptere eller undlade at bruge programmet. Hvis det er et vigtigt program er der nok mange der accepterer. Specielt fordi den almindelige bruger ikke kan forventes at vurdere om programmets adgangskrav er rimelige.

  • 0
  • 0
Flemming Frandsen

Adobe har ganske rigtigt haft travlt med at omdefinere PDF fra en fin måde at indkapsle postscript til at være en generel container for applikationer af alle afskygninger, så hvis man bruger Adobes programmer så kan en PDF nøjagtigt det samme som alle andre programmer.

Det bedste man kan gøre er nok at lade være med at installere programmer fra Adobe (der findes masser af fine PDF læsere, som ikke implementerer alle de nye skadelige mis-features) med mindre det er absolut nødvendigt.

jf: http://www.youtube.com/watch?v=54XYqsf4JEY

  • 0
  • 0
Joe Sørensen

En ting er hvad antivirusprogrammer ikke finder. Noget helt andet er, når de fejl detekter et almindelig styk software ( eller et ualmindelig styk software, som man tilfældigvis skal bruge ).

Der var fx et tilfælde, hvor norton antivirus opdagede at den kinesiske udgave af Windows, er en virus. Dette nedlagde flere kontor PCer, end hvad de ramte virksomheder i deres vildeste fantasi kunne have forestillet sig, at en virus kunne gøre.

http://www.cisrt.org/enblog/read.php?100

Og detsværre er det ikke det eneste tilfælde.

Et andet problem er, at nogle antivirus producenter synes det er en god ide, at parse og ændre i JavaScript, der bliver downloaded til en given browser. Det er utroligt svært at debug'e en fejl, der opstår hos et lille antal kunder, når det opstår fordi deres antivirus program synes, at det er sjovt at ændre i ens JavaScript. Og den gør det selvfølgelig uden at gøre brugeren opmærksom på det.

Antivirus producenterne forsvarer sig nok med, at der tilfældigvis var en linje der mindede nok om et bestemt angreb, som var mulig i en eller anden gammel version af IE. Det ændre dog ikke på, at den feature har ødelagt min dag oftere end vira har.

  • 1
  • 0
Bjarne Dam Sørensen

Hvis jeg beder om at se en PDF fil, skal acrobat have lov til at bruge CPU, memory og et vindue på skærmen med tilhørende input fra keyboard/mus.

Den skal ikke afvikles så den har adgang til min browsers addresserum, cache-filer, filehandles, sockets eller noget som helst andet.

Det sikkerheds princip hedder Principle of least privilege, "sandbox", "jail" eller Capsicum og der er ingen faciliteter i Windows for den slags.

Det lyder da ellers som det der hedder Code Access Security (CAS) i .NET Frameworket.

  • 0
  • 0
Daniel Madsen

Der er ikke noget som Antivirus-software der kan forvandle et ellers responsivt OS til en snegl, ja det skulle da lige være malware altså :)

Men derudover skaber det også et ustabilt system. For nylig prøvede jeg eksempelvis at være ude i et flere dages debuggingforløb, for til sidst at opdage at det var netværkstrafik-scanningen i det antivirussoftware (NOD32) vi benyttede på arbejde som ved for meget belastning crashede og rev vores service med ned... det er ikke ligefrem tillidsvækkende.

Det er mange år siden at jeg har haft antivirus installeret under Windows, det er ikke noget problem. Antivirus er big business og en pengemaskine uden lige, som med tomme trusler forsøger at få folk til at hoppe på limpinden .. og det er desværre lykkedes skræmmende godt.

  • 1
  • 0
Carsten Sonne

Jeg har aldrig rigtig gennemskuet hvilken trussel det er de sigter efter med CAS ...

CAS sigter mod at forhindre udførelse af koden uden fornødne rettigheder - Det er det omvendte koncept af capabilities, bare på kodeniveau i stedet for på filniveau.

Anvendelsen kunne f.eks. være sikring af kode i en webapplikation. Skulle en "ondsindet" person forsøge at omgå rettighedsregler (login, credentials, privileges ol), kan kode sikres mod udførelse uden fornødne CAS rettigheder (permissions).

Det er 2 modsatrettede strategier. CAS beskytter koden mod ubudne gæster - capabilities beskytter mod ubuden kode. Derfor kan de sagtens virke i forening. Det er blot 2 forskellige opgaver de søger at løse.

  • 0
  • 0
Rasmus Morten Helbig Hansen

Det er egentlig lidt snyd at sammenligne med .NET's CAS. .NET programmer kører altid i en sandkasse, og det er trivielt at instantiere yderligere sandkasser med færre rettigheder. Det hjælper dog ikke en tøddel, når sandkassen kun gælder .NET.

Men men.. Windows 6+ indeholder jo faktisk noget sandbox/"application compartmentalisation" funktionalitet. Jeg har dog aldrig brugt det, så jeg ved ikke hvor nemt tilgængeligt det er. Og der er vistnok kun 4 faste privilegieniveauer. Det er akronymerne MIC (Mandatory Integrity Control) og UIPI (User Interface Privilege Isolation), man skal kigge efter.

  • 0
  • 0
Bjarne Dam Sørensen

Nej, CAS kan ikke bruges fornuftigt i denne sammenhaeng. Jeg har aldrig rigtig gennemskuet hvilken trussel det er de sigter efter med CAS, men det lugter meget af video-codecs.

Med CAS kan man specificere hvorvidt en bestemt klump kode har adgang til fil systemet (og i hvilket omfang), kan skrive til registry, printe, acceptere socket connections osv. Hvori adskiller det sig fra de capabilities du nævner? Og hvad er det lige du synes lugter specielt af video-codecs?

Det lyder da ellers som det der hedder Code Access Security (CAS) i .NET Frameworket.
Men det er det ikke.

Fordi...? Forklaring udbedes.

CAS beskytter koden mod brugeren. Capabilities beskytter brugeren mod kode.

CAS forhindrer koden i at udføre ting den ikke har fået lov til. Hvordan bliver det det modsatte af hvad capabilities gør?

Det er egentlig lidt snyd at sammenligne med .NET's CAS. .NET programmer kører altid i en sandkasse, og det er trivielt at instantiere yderligere sandkasser med færre rettigheder. Det hjælper dog ikke en tøddel, når sandkassen kun gælder .NET.

Om noget er trivielt at implementere er vel ikke et argument for at Windows ikke har tilsvarende muligheder som capabilities. Om det hjælper: Nej, det gør det ikke hvis man tillader eksekvering af f.eks. ActiveX komponenter eller anden SW der ikke har de muligheder som .NET har. Men capabilities hjælper jo heller ikke, hvis man siger ja til at eksekvere kode der bare kræver alle capabilities for at kunne køre. Som en anden debattør var inde på, så har mange Android applikationer det med at spørge om lov til mange irrelevante ting. Så jeg kan ikke se der er den helt store forskel.

  • 0
  • 0
Rasmus Morten Helbig Hansen

Om noget er trivielt at implementere er vel ikke et argument for at Windows ikke har tilsvarende muligheder som capabilities.

Helt enig. Jeg skriver netop, at man kan bruge .NET's sikkerhedsmodel til at opnå den ønskede opdeling. Det er endda ekstremt nemt at gøre.

Så jeg kan ikke se der er den helt store forskel.

Næh, men det er ikke en sandkasse som følger operativsystemet. .NET/Java/whatever sandkasserne svæver ifht. OSet, så lag-mæssigt et der en forskel. Dermed er det ikke helt en 1-til-1 sammenligning (snyd er nok et lidt for stærkt ord). Det er nok snarere MIC/UIPI, som skal bruges i en 1:1 sammenligning.

"der er ingen faciliteter i Windows for den slags" er vel skudt i sænk 2 gange.

  • 0
  • 0
Rasmus Morten Helbig Hansen

Poul-Hennning,

Man kan kun pakke .NET programmer ind med .NET, så jeg får nok lidt svært ved at gøre noget ved programmer skrevet i C/C++.

Du kan da godt få et eksempel på hvordan man afvikler kode uden eksempelvis fil i/o eller socket permissions, fra et program som har nævnte permissions. Eller sandbox i sandbox i sandbox. Bare sig til.

  • 0
  • 0
Bjarne Dam Sørensen

Vedr. .NET's CAS:

[...] det er ikke en sandkasse som følger operativsystemet. .NET/Java/whatever sandkasserne svæver ifht. OSet, så lag-mæssigt et der en forskel. Dermed er det ikke helt en 1-til-1 sammenligning

Det kan jeg godt gå med til. MIC/UIPI kender jeg ikke noget til, så det kan jeg ikke udtale mig om.

Iøvrigt var det ikke min mening at gøre det til en diskussion om Windows contra andre OS'er, jeg reagerede blot på en kommentar. PHK's artikel er såmænd interessant nok i sig selv, og capabilities (eller hvad man nu kalder det) virker absolut som et godt princip. Men det er også et godt eksempel på at teknik i sig selv sjældent er tilstrækkelig.

Et par interessante problemer som andre debattører har nævnt er brugernes manglende forståelse for hvad der bliver bedt om adgang til, samt at programmer ofte beder om adgang til meget mere end de har (eller burde have) brug for (pga. feature bloat og generel sjusk af programmørerne). Hvis der er nogen (f.eks. usability experter) der har en løsning på de problemer, så tror jeg vi er nået et godt skridt videre.

  • 0
  • 0
Log ind eller Opret konto for at kommentere