Reikäinen Windows

CanSecWest-tietoturvatapahtuman Pwn2Own-kilpailussa tehtävänä oli murtaa selain niin, että selaimen pyörittämään Windows 7 -koneeseen päästään sisään. Kilpailussa mukana olivat Googlen Chrome, Microsoftin Internet Explorer 9, Mozillan Firefox ja Applen Safari.

Selainvalmistajat ovat ottaneet sovellustensa suojakeinoksi hiekkalaatikoinnin eli se, että sovellus pyörii mahdollisimman tiukasti eristettynä käyttöjärjestelmän prosesseista.

"Minkähänlainen hiekkalaatikko mahtaa olla upuntun oletus-selaimessa Firefoxissa????

Ai niin, eihän siinä ole minkäänlaista hiekkalaatikkoa. "

Perustele.

«» kirjoitti:

CanSecWest-tietoturvatapahtuman Pwn2Own-kilpailussa tehtävänä oli murtaa selain niin, että selaimen pyörittämään Windows 7 -koneeseen päästään sisään. Kilpailussa mukana olivat Googlen Chrome, Microsoftin Internet Explorer 9, Mozillan Firefox ja Applen Safari.

Selainvalmistajat ovat ottaneet sovellustensa suojakeinoksi hiekkalaatikoinnin eli se, että sovellus pyörii mahdollisimman tiukasti eristettynä käyttöjärjestelmän prosesseista.

"Minkähänlainen hiekkalaatikko mahtaa olla upuntun oletus-selaimessa Firefoxissa????

Ai niin, eihän siinä ole minkäänlaista hiekkalaatikkoa. "

Perustele.

http://www.tietokone.fi/uutiset/lunta_tuliketun_tupaan_firefox_turvattomin_selain

Kuvassa "sandboxing"

«» kirjoitti:

CanSecWest-tietoturvatapahtuman Pwn2Own-kilpailussa tehtävänä oli murtaa selain niin, että selaimen pyörittämään Windows 7 -koneeseen päästään sisään. Kilpailussa mukana olivat Googlen Chrome, Microsoftin Internet Explorer 9, Mozillan Firefox ja Applen Safari.

Selainvalmistajat ovat ottaneet sovellustensa suojakeinoksi hiekkalaatikoinnin eli se, että sovellus pyörii mahdollisimman tiukasti eristettynä käyttöjärjestelmän prosesseista.

"Minkähänlainen hiekkalaatikko mahtaa olla upuntun oletus-selaimessa Firefoxissa????

Ai niin, eihän siinä ole minkäänlaista hiekkalaatikkoa. "

Perustele.

"Järjestelmäoikeuksia rajoittavaa hiekkalaatikointia Firefox ei käytä lainkaan. Toisin kuin Chromessa ja IE:ssä haittaohjelman saastuttama prosessi ei tarvitse mitään menetelmää, jolla se voisi laajentaa ajo-oikeuksiaan ohi selainistunnon."

Tuo IE9:n haavoittuvuusjutut on huuhaata. Microsoftilla kun ei ole avointa politiikkaa paikkauksessa ja lähdekoodissa vaan se tunnetusti paikkaa reikiä salaa, ja toisaalta taas jättää reikiä paikkaamatta niistä ei tiedetä ja mikäki niiden korjaus on kallista tai on riski, että se särkee yhteensopivuuksia.

Microsoft toimii samaan tapaan yleisestikin ohjelmilla ja niissä on paikkaamattomia reikiä pitkän aikaa koska se palapelihässäkkä hajoaa helposti jos vikoja korjataan. Microsoft kun ei voi vaikuttaa niihin kolmannen osapuolen lisäkilkkeisiin jos ne ovat riippuvaisia Microsoftin tekemiin ohjelmointivirheisiin.

Tästä syystähän Ubuntussa yhden tietoturva-aukon paikkaus saattaa ajaa päivityksistä useita komponentteja jotka siitä riippuvaisia, että saadaan vika korjattua. Windows kun on sellainen "tynkä" niin Microsoft joutuu keskittymään niihin vikoihin jotka voidaan korjata ilman muutoksia riippuvuusketjuun.

Tästä hyvänä todisteena esim. tämä sivu: http://en.wikipedia.org/wiki/Comparison_of_web_browsers#Vulnerabilities

Vuosien saatossa on vanhempiin IE versioihin kasautunut valtavat määrät reikiä joita EI KORJATA. Microsoft kun ei uskalla korjata niitä ettei hajoa mikään mikä on riippuvainen näistä vanhoista IE selaimista.

Tämän takia Microsoft niin hanakasti haluaa sitä hiekkalaatikointia, että voi jättää vikoja enemmän korjaamatta. Googlella samat syyt, sillä laitevalmistajat eivät oikein päivitä niitä Androideja että toimivat sitten turvallisemmin kun on se hiekkalaatikko blokkaamassa vikoja.

Todellisuudessa Firefox on koodiltaan laadukkain selaimista koska he korjaavat ne virheet mitä löytyy. Niitä toki korjataan paljon kun niitä virheitäkin on paljon, samalla tavalla joka valmistajalla. Mutta projekti on hoidettu kurinalaisesti ja bugit korjataan niin Mozillan pidemmän elinkaaren selaimet ovat parasta laatua tällä hetkellä.

Se miten Firefox ja (Chrome) sitten onnistuu olemaan avoinna olevissa haavoittuvuuksissa nollilla johtuu osittain myös siitä, että ne ovat lyhytikäisempiä joten selain ehditään uusia kokonaan ennen kuin sinne tulee vikoja joita ei oikein osata korjata hajoittamatta mitään.

Microsoft nyt on tässä asiassa ymmärrettävästikin vainoharhainen ettei mitään hajoa päivityksistä koska Microsoft joutuu jakelemaan ne päivitykset valtavalle määrälle laitteita ja Microsoft on rakentanut Windowsin niin, että siihen tulisi mahdollisimman paljon riippuvuuksia ja monet yritysohjelmistot ovat naimisissa jonkun selainversion kanssa. Siitähän riemu repeää miljoonan softa menee rikki kun Microsoft vähän päivittää tietoturvareikiä.

Eli siis Firefox tosiaankin on laadukkain selain. Toisaalta, Chromen ja Safarin käyttämä Webkit moottori ja Chromen V8 Javascript moottori ovat kyllä erittäin hyvälaatuisia ohjelmistokomponentteja.

m-kar kirjoitti:

Tuo IE9:n haavoittuvuusjutut on huuhaata. Microsoftilla kun ei ole avointa politiikkaa paikkauksessa ja lähdekoodissa vaan se tunnetusti paikkaa reikiä salaa, ja toisaalta taas jättää reikiä paikkaamatta niistä ei tiedetä ja mikäki niiden korjaus on kallista tai on riski, että se särkee yhteensopivuuksia.

Microsoft toimii samaan tapaan yleisestikin ohjelmilla ja niissä on paikkaamattomia reikiä pitkän aikaa koska se palapelihässäkkä hajoaa helposti jos vikoja korjataan. Microsoft kun ei voi vaikuttaa niihin kolmannen osapuolen lisäkilkkeisiin jos ne ovat riippuvaisia Microsoftin tekemiin ohjelmointivirheisiin.

Tästä syystähän Ubuntussa yhden tietoturva-aukon paikkaus saattaa ajaa päivityksistä useita komponentteja jotka siitä riippuvaisia, että saadaan vika korjattua. Windows kun on sellainen "tynkä" niin Microsoft joutuu keskittymään niihin vikoihin jotka voidaan korjata ilman muutoksia riippuvuusketjuun.

Tästä hyvänä todisteena esim. tämä sivu: http://en.wikipedia.org/wiki/Comparison_of_web_browsers#Vulnerabilities

Vuosien saatossa on vanhempiin IE versioihin kasautunut valtavat määrät reikiä joita EI KORJATA. Microsoft kun ei uskalla korjata niitä ettei hajoa mikään mikä on riippuvainen näistä vanhoista IE selaimista.

Tämän takia Microsoft niin hanakasti haluaa sitä hiekkalaatikointia, että voi jättää vikoja enemmän korjaamatta. Googlella samat syyt, sillä laitevalmistajat eivät oikein päivitä niitä Androideja että toimivat sitten turvallisemmin kun on se hiekkalaatikko blokkaamassa vikoja.

Todellisuudessa Firefox on koodiltaan laadukkain selaimista koska he korjaavat ne virheet mitä löytyy. Niitä toki korjataan paljon kun niitä virheitäkin on paljon, samalla tavalla joka valmistajalla. Mutta projekti on hoidettu kurinalaisesti ja bugit korjataan niin Mozillan pidemmän elinkaaren selaimet ovat parasta laatua tällä hetkellä.

Se miten Firefox ja (Chrome) sitten onnistuu olemaan avoinna olevissa haavoittuvuuksissa nollilla johtuu osittain myös siitä, että ne ovat lyhytikäisempiä joten selain ehditään uusia kokonaan ennen kuin sinne tulee vikoja joita ei oikein osata korjata hajoittamatta mitään.

Microsoft nyt on tässä asiassa ymmärrettävästikin vainoharhainen ettei mitään hajoa päivityksistä koska Microsoft joutuu jakelemaan ne päivitykset valtavalle määrälle laitteita ja Microsoft on rakentanut Windowsin niin, että siihen tulisi mahdollisimman paljon riippuvuuksia ja monet yritysohjelmistot ovat naimisissa jonkun selainversion kanssa. Siitähän riemu repeää miljoonan softa menee rikki kun Microsoft vähän päivittää tietoturvareikiä.

Eli siis Firefox tosiaankin on laadukkain selain. Toisaalta, Chromen ja Safarin käyttämä Webkit moottori ja Chromen V8 Javascript moottori ovat kyllä erittäin hyvälaatuisia ohjelmistokomponentteja.

laittaa erilliseen hiekkalaatikkoon niin ei tarvii näiden pikkuasioiden kanssa niin paljon näperrellä