Microsoft mener Russland står bak nytt hackingangrep

[NTB - digi]

Microsoft mener Russland står bak nytt hackingangrep

[Kikert]

Det var tung lesing, kanskje dere kan prøve med litt kortere artikler og kanskje ha en infoboks på siden for å summere kjappt hva saken dreier seg om?

[1RX8ZRIG]

Her er hele artikkelen fra Microsoft: https://www.microsoft.com/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/

 

[Samms]

Sikkerheit mot innbrudd i Microsoft og andre sine dataprogrammer liknar stadig meir på sikkerheit mot innbrudd i ein gamal Ford Taunus. Som enno er på vegen med slitte låser. Eller den VW Golf 1 eg hadde, med ein bit ståltråd og øving kunne den låsast opp like raskt som med nøkkel.

La Microsoft og andre bli økonomisk ansvarleg for følgeskader ved dårleg sikkerheit i eit halvt år frå produktet er levert. Og kvar ny oppdatering nullstiller desse seks månandane. Då blir nok sikkerheita til programmvaren raskt skjerpa.

[digimator]

32 minutes ago, Samms said:

La Microsoft og andre bli økonomisk ansvarleg for følgeskader ved dårleg sikkerheit i eit halvt år frå produktet er levert. Og kvar ny oppdatering nullstiller desse seks månandane. Då blir nok sikkerheita til programmvaren raskt skjerpa.

Når du tar i bruk produktet må du akseptera "terms of service". Du står fritt til ikkje å akseptera betingelsane og la vera å bruka produktet.

Å innbilla seg at programvareprodukter er eller kan bli feilfrie er i beste fall naivt. 

[Samms]

40 minutes ago, digimator said:

Når du tar i bruk produktet må du akseptera "terms of service". Du står fritt til ikkje å akseptera betingelsane og la vera å bruka produktet.

Å innbilla seg at programvareprodukter er eller kan bli feilfrie er i beste fall naivt. 

Eg tenkte meir at lovgjevar, til dømes EU endrar lova slik at det blir eit krav til produktet. På same måte som det er krav til kollisjonssikkerheit på ein bil for at den skal bli typegodkjent. Ingen godkjenning i dette tilfellet, berre ei lovendring som eksponerer leverandør for erstattningsansvar.

Programmvare blir heilt sikkert ikkje feilfrie, men pragramvarehusa hadde heilt sikkert testa betre og retta fleire feil før levering.

[Theo343]

Ei heller Linux er sikkert om man overlater det til seg selv.

 

[arne22]

29 minutes ago, Samms said:

Programmvare blir heilt sikkert ikkje feilfrie, men pragramvarehusa hadde heilt sikkert testa betre og retta fleire feil før levering.

Hvis man skal optimalisere sikkerheten til et produkt så vil jo ett av grunnprinsippene være å redusere antallet mulige angrepspunkter til et minimum. Det kan vel se ut som at utviklingen går den motsatte vei at man øker kompleksiteten og antallet angrepspunkter til det maksimale, slik at det skal være best mulig tilrettelagt for en hacker å ha noe å gripe fatt i. Ref "The Cyber Security kill Chain"

https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html

En annen side ved saken det er vel at produktenes kompleksitet øker samtidig som nødvendig trafikk for oppdateringer og vedlikehold også øker, så blir det tilsvarende vanskelig å se forskjell på ønsker og uønsket datatrafikk. 

Skal man optimalisere for sikkerhet så bør man forenkle produktene og redusere antallet mulige angrepspunkter til et minimum. Trafikkbildet inn og ut av servere bør også forenkles og minimaliseres, slik at det blir enklest mulig å oppdage uønsket trafikk. 

13 minutes ago, Theo343 said:

Ei heller Linux er sikkert om man overlater det til seg selv.

Men det er godt mulig å sette opp tjenester og funksjoner i Linux ut i fra en slik "minimalistisk tilnærming" der man har redusert kompleksiteten i systemene og antallet mulige angrepspunkter til et minimum.

Endret 28. mai 2021 av arne22

[KjeRogJør]

Samms skrev (1 time siden):

Sikkerheit mot innbrudd i Microsoft og andre sine dataprogrammer liknar stadig meir på sikkerheit mot innbrudd i ein gamal Ford Taunus. Som enno er på vegen med slitte låser. Eller den VW Golf 1 eg hadde, med ein bit ståltråd og øving kunne den låsast opp like raskt som med nøkkel.

La Microsoft og andre bli økonomisk ansvarleg for følgeskader ved dårleg sikkerheit i eit halvt år frå produktet er levert. Og kvar ny oppdatering nullstiller desse seks månandane. Då blir nok sikkerheita til programmvaren raskt skjerpa.

Det er noe i det du skriver som jeg liker, samme hvor feil noen måtte mene at det er.

Å la ansvar bety noe for den som selger en vare når det gjelder slikt også.

De lesser ned kundene med metervis med vilkår som må krysses av, for å tåkelegge en mulig antydning til eget ansvar.

Penger tjener de plenty av, på å masseprodusere nye utgaver, nye utseender, og oppdateringer med uviss nytteverdi(?)

Så kan hackere bare leke seg med "halvåpne bakdører", som ikke blir lukket før andre påpeker dem...

Hva bruker de tiden til selv,... endre utseende på ting slik at de "dørene" som skal brukes blir verre å finne for oss som ikke er kriminelle, og fakturering...?

Sånn føles det egentlig.

Endret 28. mai 2021 av KjeRogJør

[arne22]

Når man designer produkter som er så komplekse at de krever en vedvarende strøm av sikkerhetsmessige oppdateringer, da legger man jo til rette for såkalte "0-dags sårbarheter" der 3'dje part oppdager disse innebygde feilene først.

Hvis man skal utvikle sikre dataprodukter, så må man jo sørge for at graden av kompleksitet er minst mulig, slik at det bare i veldig liten grad er behov for sikkerhetsmessige oppdateringer og oppdateringer i det hele tatt.

Jo mindre "angrepsflate" en server eller et datasystem har, jo færre behov for oppdateringer, desto større grad av sikkerhet kan man "bygge inn".

Hvis man ønsker å fokusere på en høyest mulig grad av sikkerhet sa er det fullt ut mulig å gjøre det.

Da må man velge "sikkerhet" i stedet for "bredde i funksjonalitet".

Endret 28. mai 2021 av arne22

[Theo343]

Men det er jo ikke noe nytt. Always been that way.

[arne22]

14 minutes ago, Theo343 said:

Men det er jo ikke noe nytt. Always been that way.

Ja, og det er jo det som er det nesten helt utrolige.

Hvis man ønsker å fokusere på sikkerhet da må man designe og optimalisere systemene for sikkerhet.

Endret 28. mai 2021 av arne22