IE:ssä kaksi pahaa aukkoa

Ikävää, että näitä vanhoja viestejä nostetaan tarkoitushakuisesti pinnalle.

Mitä tulee Internet Explorerin haavoittuvuuteen, niin kuten tiedämme se on suljettua koodia ja siksi meillä on tiedossa vain raportoidut haavoittuvuudet, jotka eivät ole sama asia kuin kaikki haavoittuvuudet. Tähän vielä päälle hidas haavoittuvuuksien korjaaminen verrattuna kilpailijoihin, (Google, Mozilla, Opera), jotka tuovat paikat jopa vuorokauden sisällä haavoittuvuuden tultua julki.

skyblue kirjoitti:

Ikävää, että näitä vanhoja viestejä nostetaan tarkoitushakuisesti pinnalle.

Mitä tulee Internet Explorerin haavoittuvuuteen, niin kuten tiedämme se on suljettua koodia ja siksi meillä on tiedossa vain raportoidut haavoittuvuudet, jotka eivät ole sama asia kuin kaikki haavoittuvuudet. Tähän vielä päälle hidas haavoittuvuuksien korjaaminen verrattuna kilpailijoihin, (Google, Mozilla, Opera), jotka tuovat paikat jopa vuorokauden sisällä haavoittuvuuden tultua julki.

Google ja mozilla paikkaavat myös aikataulun mukaan. Uusi selainversio sisältää aina läjän tietotuvapaikkauksia, aikataulun ulkopuolella ei paikata kuin tunnetut kriittiset aukot samoin kuin MS:kin tekee IE:n suhteen.

Firefoxin tietoturvapaikkaukset / selainversio:

http://www.mozilla.org/security/known-vulnerabilities/firefox.html

UPDATE_9452388 kirjoitti:

Google ja mozilla paikkaavat myös aikataulun mukaan. Uusi selainversio sisältää aina läjän tietotuvapaikkauksia, aikataulun ulkopuolella ei paikata kuin tunnetut kriittiset aukot samoin kuin MS:kin tekee IE:n suhteen.

Firefoxin tietoturvapaikkaukset / selainversio:

http://www.mozilla.org/security/known-vulnerabilities/firefox.html

Pointtina oli että nollapäivä-haavoittuvuudet paikataan nopeammin kuin Internet Explorerin tapauksessa. Lisäksi esimerkiksi Google etsii aktiivisesti ennaltaehkäisevästi haavoittuvuksia, jotka korjataan mahdollisimman nopeasti. Googlella ja Mozillalla on käytössä kuuden viikon päivityssykli, jonka jälkeen siirrytään tuorempaan selainversioon. Tällä ei ole tekemistä suoraan haavoittuvuuksien paikkaamisessa.

http://www.cio.com/article/705169/Google_Details_Chrome_Browser_Security_testing_Technology

Mutta on erittäin hyvä, että Microsoft yllätti neljä päivää sitten paikkaamalla kriittisiä aukkoja IEsta. Microsoftillahan on käytäntönä paikata selaintaan joka toinen kuukausi vain.

http://www.zdnet.com/microsoft-drops-surprise-ie-patch-fixes-under-attack-windows-zero-day-7000000619/

skyblue kirjoitti:

Pointtina oli että nollapäivä-haavoittuvuudet paikataan nopeammin kuin Internet Explorerin tapauksessa. Lisäksi esimerkiksi Google etsii aktiivisesti ennaltaehkäisevästi haavoittuvuksia, jotka korjataan mahdollisimman nopeasti. Googlella ja Mozillalla on käytössä kuuden viikon päivityssykli, jonka jälkeen siirrytään tuorempaan selainversioon. Tällä ei ole tekemistä suoraan haavoittuvuuksien paikkaamisessa.

http://www.cio.com/article/705169/Google_Details_Chrome_Browser_Security_testing_Technology

Mutta on erittäin hyvä, että Microsoft yllätti neljä päivää sitten paikkaamalla kriittisiä aukkoja IEsta. Microsoftillahan on käytäntönä paikata selaintaan joka toinen kuukausi vain.

http://www.zdnet.com/microsoft-drops-surprise-ie-patch-fixes-under-attack-windows-zero-day-7000000619/

Tuohon Zdnetin jutun haavoittuvuuteen oli olemassa väliaikainen Fixit paikkaus koko kuukauden ajan.

Myös MS tutkii tuotteitensa tietoturvaa jatkuvasti.

UPDATE_9452388 kirjoitti:

Tuohon Zdnetin jutun haavoittuvuuteen oli olemassa väliaikainen Fixit paikkaus koko kuukauden ajan.

Myös MS tutkii tuotteitensa tietoturvaa jatkuvasti.

Tässä on se Fixit:
http://blogs.technet.com/b/srd/archive/2012/06/13/msxml-fix-it-before-fixing-it.aspx

IE:n käyttäjät:
Älkää asentako tuota Fixit:tiä, se on jo vanhentunut ja aukkoon on tehty lopullinen paikkaus joka on tullut normaalien päivitysten yhteydessä.

UPDATE_9452388 kirjoitti:

Tuohon Zdnetin jutun haavoittuvuuteen oli olemassa väliaikainen Fixit paikkaus koko kuukauden ajan.

Myös MS tutkii tuotteitensa tietoturvaa jatkuvasti.

Niin, mutta kuinka moni IEn sadoista miljoonista käyttäjistä itse aktiivisesti asentaa fixittejä? Veikkaan, että ei kovin moni. Merkittävämpää on, että kuinka nopeasti haavoittuvuus korjataan oikeasti ja Microsoft on siinä hitain.

skyblue kirjoitti:

Niin, mutta kuinka moni IEn sadoista miljoonista käyttäjistä itse aktiivisesti asentaa fixittejä? Veikkaan, että ei kovin moni. Merkittävämpää on, että kuinka nopeasti haavoittuvuus korjataan oikeasti ja Microsoft on siinä hitain.

MS:llä on tapana testata muutokset huolellisesti ettei käy näin:

http://support.mozilla.org/fi/questions/929088

UPDATE_9452388 kirjoitti:

MS:llä on tapana testata muutokset huolellisesti ettei käy näin:

http://support.mozilla.org/fi/questions/929088

Tuossa ei ole kysymys haavoittuvuudesta, vaan toiminnallisesta ongelmasta. Ja kyllä, tuollaista ei pitäisi päästää tapahtumaan. Mitä taas flashiin tulee, niin jospa ei mennä siihen, että kuinka turvallinen se activeX, johon IEn flash pohjautuu, on.

skyblue kirjoitti:

Tuossa ei ole kysymys haavoittuvuudesta, vaan toiminnallisesta ongelmasta. Ja kyllä, tuollaista ei pitäisi päästää tapahtumaan. Mitä taas flashiin tulee, niin jospa ei mennä siihen, että kuinka turvallinen se activeX, johon IEn flash pohjautuu, on.

IE:n Active-x Flash lisäosa on täsmälleen yhtä turvallinen (= turvaton) kuin minkä tahansa muun selaimen Flash lisäosa, ei eroa mitenkään.

UPDATE_9452388 kirjoitti:

IE:n Active-x Flash lisäosa on täsmälleen yhtä turvallinen (= turvaton) kuin minkä tahansa muun selaimen Flash lisäosa, ei eroa mitenkään.

Viittasin ActiveXään, en flashiin.

skyblue kirjoitti:

Viittasin ActiveXään, en flashiin.

Active-x on vain tapa jolla tuodaan lisää toiminnallisuutta IE selaimeen. Ei eroa mitenkään muiden selaimien lisäosista, esim IE:ssä Java on Active-x komponentti ja se on tasan yhtä turvaton kuin kaikissa muissakin selaimissa.

Vanhentuneet Active-x komponentit tulee tietenkin poistaa tai päivittää jos on asennellut sellaisia.

UPDATE_9452388 kirjoitti:

Active-x on vain tapa jolla tuodaan lisää toiminnallisuutta IE selaimeen. Ei eroa mitenkään muiden selaimien lisäosista, esim IE:ssä Java on Active-x komponentti ja se on tasan yhtä turvaton kuin kaikissa muissakin selaimissa.

Vanhentuneet Active-x komponentit tulee tietenkin poistaa tai päivittää jos on asennellut sellaisia.

Kyllä, Java on erittäin turvaton ja samoin ActiveX-teknologia. Tämä on tunnustettu yleisesti. En toki ala vääntää itsestäänselvyyksistä.

skyblue kirjoitti:

Kyllä, Java on erittäin turvaton ja samoin ActiveX-teknologia. Tämä on tunnustettu yleisesti. En toki ala vääntää itsestäänselvyyksistä.

Active-x on tasan niin turvallinen / turvaton kuin käyttäjä sitä hyödyntää. Ei eroa mitenkään muiden selainten liitännäisistä.

UPDATE_9452388 kirjoitti:

Active-x on tasan niin turvallinen / turvaton kuin käyttäjä sitä hyödyntää. Ei eroa mitenkään muiden selainten liitännäisistä.

Kun keskustelu on saavuttanut juupas/eipäs-tason, niin sillä ei ole kellekään argumentatiivisesti mitään annettavaa.