NSA avslöjar kritisk sårbarhet i Windows 10

@TheSlicker:

'security by obscure' är alltid bland det sämsta alternativen när det gäller säkerhetstänk - sådant ger bara falsk säkerhet och de berörda som ändå tänker göra en attack har redan utforskat möjligheterna.

Det är påfallande ofta att det brister på hög nivå även för 'säkerhets program' med ofta väl tilltagen prislapp just för att de använder 'security by obscure' på en del viktiga kärnfunktioner och tror att 'ingen' kan lista ut det....

För ett antal år sedan fanns det en PDF-krypteringsprogram win9x-tiden (innan det blev inbbygt mer standard) som med hög svansföring marknadsfördes som säkert - ja till någon hittade att om man använde '42' på rätt ställe i exor/hashalgoritmen så föll det hela som en korthus, och var '42' kommer ifrån vet väl många av er, i alla fall ni som gillar SciFi...

Eller så har en av deras dedikerade bakdörrar blivit allmänt känd för främmande makt och måste därför täppas till

"Security by obscurity" heter det iofs. I datasäkerhetssammanhang kanske det inte är en giltig metod, men i verkligheten kan det funka bra.

CIA drev en hemlig flygtestbas i Nevada under 25 års tid, utan att området ens var avspärrat. Det var bara gjort så bra (tomma områden på kartor, bl a) att ingen misstänkte nåt. Sen kom USAF och tog över driften, med en extrem säkerhetsmani och spärrade av, satte ut vakter, tvångsinlöste enorma landytor som hade sikt in i området. Och naturligtvis blev det oerhört intressant för utomstående att försöka få reda på vad som hände där inne. Visserligen är de ändå bra på att hemlighålla projekt där inne (se bara på Boeings Bird of Prey som hade utvecklats och testats i tio år utan att ett knyst läckt ut), men till en astronomisk kostnad.

@cyklonen:

Sedär, tyckte ändå att jag kollade stavningen...

Om man drar till sig uppmärksamheten eller inte ändrar inte attacktåligheten i sak, men visst totala säkerhetsnivån minskar när man klart annonserar för alla att här finns det intressanta saker att titta på...

'security by obscure' ger dålig skydd om någon av någon anledning skulle titta närmare saken och kanske också kunna göra det utan upptäckt av den som angrips.

Ta konceptet med självkrypterade externa hårddiskar - hindret är till för vanligt folk men inte för mer resursrika angripare/myndigheter då det är inbyggda multipla svagheter för att det skall finna flertal vägar in i dessa även om somliga av dem åtgärdas och 'tätas' om de skulle upptäckas i framtiden.

Forskare som tittat på det att det finns en del saker i koden som är så slarvig skrivna att det kan inte vara annat än avsiktligt för att skapa sprickor i systemet för framtida forcering....

ta tex. https://eprint.iacr.org/2015/1002.pdf för främst WD-passport-diskar men även andra tillverkare med liknande chip i sig.

notera sidan 16 med avsiktlig försvagning av slumptalsgeneratorn för att den nya nyckeln skall vara mindre slumpmässig och med större sannolikhet att vaska fram samma slump igen med begränsat antal prov. - det var motsvarande det här som NSA försökte få in som en del i systemet för hela Internet och svårt att ändra igen med sin "Dual_EC_DRBG (Dual Elliptic Curve Deterministic Random Bit Generator)" och försökte med stora påtryckningar forcera in i alla säkerhetsstandarder (dvs. din HTTPS, SSH mfl. som alla använder) för att on the fly kunna avkryptera trafiken obemärkt när alla tror att de kör på säkrade överföringsprotokoll/VPN-tunnlar etc.

Open sourcevärlden lyckades med konstycket att få all sin källkod för de krypterande protokollen (inklusive "Dual_EC_DRBG" stöd) att passera alla standardtester som krävdes för att få sina certifikat (det vi idag alla använder så fort vi surfar eftersom en väldigt stor del av Internet 'drivs' av Open source-kod) men ändå en 'bugg' i det så att det inte går att använda detta i praktiken.

- om man fråga om det var av misstag så är det ingen som svarar men man säger bestämt att man inte kommer att rätta det och dra igenom hela certifieringsprocessen igen för att 'fixa' detta, och med tillägget att ingen har klagat hittills på den den 'buggiga' delen med "Dual_EC_DRBG".

sidan 22 (Symwave 6316) i samma pdf ovan har man klart fall implementation med 'security by obscure'

för SSD

https://www.ieee-security.org/TC/SP2019/papers/310.pdf.

Med andra ord den som letar han finner och det går väldigt mycket fortare att passera barriärerna när det bara baseras på "security by obscure" än när det är mer seriös tänk bakom det hela och förstås inte har avsiktligt införda svagheter som visas med WD:s passport pro mfl.

Med andra ord skall man aldrig bygga sin dataskydd på enheter som deklarerar sig 'säkra' utan hellre, även om det inte är perfekt, kända opensource-lösningar som veracrypt, Luks-crypt mfl. som används allmänt inom opensource-världen och med koden fullt inspekterbar

Jag vet inte hur pålitlig den här sidan är men enligt den var det 26.79% i december som använde Windows 7.
https://gs.statcounter.com/os-version-market-share/windows/de...
Enligt steam så använder 33% Windows 7 så det ligger nog i det området.
https://store.steampowered.com/hwsurvey/Steam-Hardware-Softwa...
Det märkliga med steam är att det är +14.57% som gått över till Windows 7! Visserligen skickas deras undersökning ut random men det är en väldigt hög siffra och 14.57% lär vara rätt många människor! Det kanske är något med Kina och just Windows 7?

Is your system susceptible to a ChainOfFools/CurveBall CVE-2020-0601 attack?
https://www.askwoody.com/2020/is-your-system-susceptible-to-a...

Länkar till denna sida: https://curveballtest.com/index.html
This page will test if you are vulnerable to CVE-2020-0601, the Windows CryptoAPI vulnerability. You may be vulnerable if you are using Windows 10, Windows Server 2016 or 2019. Firefox will not be vulnerable. It does not use the Windows CryptoAPI. Chrome may show up as not vulnerable due to certificate transparency issues.

Det är enklare att göra det på något som inte får säkerhetsfixar.
Sen är det en hel del som använder Windows 7.

Finns massor av sådana inom industrin och som ingen skulle våga att uppgradera då det är att binda ris till sin egen rygg då det kanske riskera stora investeringar i maskiner blir obrukbara eller att det blir kostsamma produktions-stopp...

inom infrastruktur vill man ha stabila saker och tendenserna med MS-program såg man redan i början av 2000-talet och kan vara en del av många faktorer sammanvägt varför MS förlorade hela embedded-marknade till linux-kloner och där också i förlängningen hela smartphone-industrin.

Det är många som rensat ut företagsdatorer med win 7 under dec 2019 så antagligen är det just nu få som har kvar arbetsdatorer med win 7 av de som har seriösa licenser och piraterna lär inte påverkas åt nått särskilt håll bara för att supporten upphört.
Jag kan däremot tänka mig att det finns några fler virtuella maskiner som kör nån "internet-isolerad" kopia av win 7 med nån mjukvara som inte går att använda på annat sätt.