Groot aantal lekken in oude Firefox-versies

Origineel bericht van Peter Am*dam 20/04/2006
De meeste lekken, die secunia beschrijft, zijn lekken, die verband houden met java en popup windows. Bij staan die allbei standaard uit en dan blijven er maar erg weinig fouten over, terwijl dat toch de enige fouten zijn, die je direct aan firefox toe kunt schrijven.

Origineel bericht van NastY 20/04/2006
En daar heb je dus helemaal gelijk in!
Zo denk ik persoonlijk al lang over FireFox (en linux).

En ooit... ooit... zal ik gelijk krijgen.

Origineel bericht van Zaffo 20/04/2006
Zou wel mooi zijn als firefox en andere OSS als Linux zoveel marktaandeel krijgen.

Maar niet zeuren, we hoeven niet weken op updates te wachten zoals dat bij Micro$oft het geval is.

Versie 1.5.0.2 van Thunderbird is trouwens ook gekomen heb ik vernomen.

Origineel bericht van -=- Stadsdorperveen 20/04/2006
Uiteraard ben ik het hier niet mee eens

Het aantal lekker word namelijk niet bepaald door het aantal gebruikers, eerder door het aantal ontwikkelaars dat eraan werkt.

En zeg nou eerlijk, wat heb je liever, dat een ontwikkelaar wat vind en direct kan herstellen (FF), of dat een wazig figuur er een vind, het eerst flink gaat misbruiken, dan M$ inlocht, die vervolgens gewoon tot de volgende patchdag wacht ?

Overigens klopt het ook niet als we naar webservers kijken .... Apache heeft een meerderheid in de webserver markt, en toch zijn er het minste problemen mee ... hiermee bedoel ik niet updates, maar lekken die massaal uitgebuit zijn.

Een van de redenen dat dit niet gebeurd, is diversiteit. Als iemand met een M$ client werkt, weet je dat er een brakke browser en email client aanwezig zijn, je weet dat het op een x86 processor draait ... bij andere platvormen heb je dat niet ... ze kunnen vaak op veschillende soorten processoren draaien, en applicaties die niet te uninstallen zijn kennen ze ook niet.

Wat mij betreft krijg je dus geen gelijk, en zal je het ook nooit krijgen .... verschil is dat M$ spullen voornamelij min-of-meer per ongeluk veilig kunnen zijn, en anderen doen aan secure by design.

Origineel bericht van Bart 20/04/2006
Blijkbaar snappen velen niet het doel van "patch Tuesday" bij Microsoft. Het uitbrengen van patches is een mes dat langs beide kanten snijdt. Uiteraard los je het probleem op bij de mensen die de patch meteen binnenhalen en installeren maar anderzijds geef je aan hackers meteen een directe verwijzing naar wat er fout was in de vorige versie (reverse engineering of programma-analyse is géén grote kunst). Zo zijn er "zero day exploits" waar hackers "in control" zijn. Geef een patch en de exploit is quasi meteen beschikbaar (een grote hoeveelheid gebruikers is een geliefd target). Het voornaamste probleem zit er hem in dat bedrijven niet zomaar - bvb op servers of op een hele resem clientcomputers - zonder meer een patch willen uitrollen die elke dag kan uitkomen. Daar moet de patch door een systeem zoals WSUS, SMS, ... gaan en eerst getest worden voor roll-out. Door de patches op een vooraf gekende dag beschikbaar te maken (namelijk "patch Tuesday", tweede dinsdag van de maand) en de bulletins een paar dagen ervoor, kan planning bij bedrijven gebeuren en patching efficiënter en sneller het ganse proces doorlopen, terwijl de thuisgebruiker nog steeds de patch via Windows Update/Microsoft Update meteen binnenkrijgt.

Dan nog een reactie op "Stadsdorperveen". Gaten worden zelden rechtstreeks gevonden door developers, zeker als de software ouder wordt. De vraag is wat een vinder doet: eerlijk rapporteren of exploiten? En "secure by design" is bij MS géén gebakken lucht (SD3@TWC).

Origineel bericht van Bart 20/04/2006
Graag nog een extra reactie op de "secure by design" vermelding die hier gebeurde. Secure by design is één van de 3 pillaren bij Microsoft onder het Trustworthy Computing Initiative en is heus géén gebakken lucht. In feite is het grootste probleem vandaag het feit dat gebruikers by default als high-privileged gebruiker (zeg maar administrator) draaien op hun pc. Waarom? Antwoord: gebruiksgemak. Security staat steeds orthogonaal op gebruiksgemak (het veiligste systeem is een pc die niet in de stekker zit). Hoe leg je een thuisgebruiker uit dat om programma's te installeren een andere gebruikersaccount nodig is met méér rechten ("ik weet toch wat ik doe")? Een optie vandaag is "run as" onder Windows, waar je als low-privileged gebruiker de privileges kan verhogen door in te loggen (via de secondary logon service) als bvb een administrator, om een programma te installeren of aan configuratie te sleutelen. Voor "power users" is dit een goede optie (die ik bvb toepas) maar voor de huis-tuin-en-keuken gebruiker is dit te complex. Windows Vista lost het anders op en verlaagt de privileges van programma's ook al draaien ze als administrator. Zo is er bijvoorbeeld "low-rights IE" met IE7 in Vista wat ervoor zorgt dat de browser quasi niks kan doen op het systeem behalve zijn eigen werk, en als er meer nodig is de gebruiker alle controle in handen heeft. Dit reduceert niet alleen zaken zoals spyware maar ook wat een mogelijke exploit kan aanrichten op een systeem ("least privilige").

Origineel bericht van -=- Stadsdorperveen 20/04/2006
HUmmm, volgens mij ben jij met beide benen in de hele mooie marketing-praat van M$ getrapt, al bewonder ik wel hoe je ze verdedigd

Als M$ zo "druk bezig" is met "Trustworthy Computing", waarom merken we daar op security gebied zo wijnig van ? Beste voorbeeld vind ik nog de WMF fout van begin dit jaar. Als ze "Trustworthy" hadden willen zijn, had er binnen enkele dagen een patch moeten liggen, tuurlijk moet dat getest worden, maar daar hebben ze overuren voor uitgevonden.

Nee, weet je waar "Trustworthy Computing" echt om gaat ? DRM ! Vertrouwen voor de content leveranciers, en vooral zorgen dat er geen "illegale" dingen gedaan kunnen worden, trusted media path en dat soort ongein. Tuurlijk zal dat wat ellende tegen houden, maar het is geen security maatregel.

Waarom is programma's draaien als "normale" gebruiker, en meer privileges krijgen als dat nodig is zo moeilijk voor gebruikers ? ... of laat ik het anders zeggen, waarom is de implementatie op M$ systemen blijkbaar zo brak dat men wel moet, omdat men in sommige gevalen anders niet eens normaal kan werken ?

Neehoor, als M$ security echt serieus had genomen, was de ingebouwde firewall van windinges beter geweest, was je virusscanner zo goed als overbodig geworden, en had IE al lang niet meer zo diep in het systeem geworteld gezeten. (Hoe verzinnen ze het, een applicatie die contact heeft met het internet zo diep in het systeem integreren dat je niet zonder kan)

Origineel bericht van -=- Stadsdorperveen 20/04/2006
Tuurlijk is voor bedrijven zo'n drama dinsdag handig, dat snap ik ook wel. Je gaat niet overhaast een patch indraaien. Probleem is dat je door dit beleid ook heeeeeeeeeeeeeeeeel veel thuis gebruikers met de problemen laat zitten, die willen namelijk wel zo snel mogelijk patchen ...

Origineel bericht van Stef 20/04/2006
Als een browser eenmaal flink gebruikt wordt komen de lekken blijkbaar vanzelf boven drijven.
Als Firefox 50% van de markt beheerst dan is de veilige browser niet zo veilig meer.

?? Aantal lekken in Firefox; a x evenredig met marktprenentatie, a >1,2,3,.. ??