Bill Gates schrijft over Palladium en beveiliging

The Inquirer heeft in het kader van Microsoft Executive Mail een email mogen ontvangen van Bill Gates, waarin Palladium en andere beveiligingszaken besproken worden. In de inleiding spreekt hij van onze toenemende afhankelijkheid van het internet en de veiligheidsrisico's die dat met zich meebrengt. De resultaten van deze problemen, zoals hackers en internetwormen, kosten handen vol geld. Alleen al in de USA bedroegen deze kosten bijna een half miljard dollar in 2001. Het internet wordt in 74 procent van de gevallen aangewezen als hoofdbron van aanvallen en problemen. Microsoft voelt zich geroepen om zich op te werpen als redder, aangezien zij vooroplopen in de computerindustrie. Gebruikers moeten niet langer hoeven kiezen tussen 'security' en 'usability'. Gates noemt een aantal gebieden waarin actie ondernomen moet worden, waaronder het infameuze Digital Rights Management (DRM), cryptologie en multi-site authenticatie.

Een jaar geleden daagde Gates zijn 50,000 medewerkers uit om een Trustworthy Computing-omgeving te creëren, zodat het werken met een computer betrouwbaarder en veiliger kan worden. Hiervoor wordt gefocust op vier gebieden: security, privacy, reliability en business integrity. Microsoft heeft in samenspraak met klanten nieuwe methoden ontwikkeld om ontwerpen, programmeren, testen en ondersteunen van software beter te laten passen in hun veiligheidsraamwerk. Er wordt ingegaan op drie gebieden waarop Microsoft dat momenteel doet: 'secure by design', 'secure by default' en 'secure in deployment'.

Secure by design - begin 2002 werden 8,500 Microsoft programmeurs van hun werk gehaald om 10 weken lang naar fouten te speuren in de code van bestaande producten zoals Windows en Office. Hoewel deze programmeurs academisch geschoold waren, hadden weinigen van hen veel kennis van het specifiek schrijven van veilige code. Elke Windows-programmeur en enkele duizenden andere programmeurs kregen daarom een speciale opleiding. Deze opleiding behelsde veilig programmeren, testtechnieken en zogenaamd 'threat modelling', waarbij programmeurs geleerd wordt te denken als kwaadwillenden. Ook is de gebruikte testsoftware bijgewerkt, zodat een testrun nu bijgewerkte code een hogere prioriteit geeft tijdens het testproces. Hierdoor kan testen nu binnen enkele minuten, in plaats van de uren tot dagen die eerder nodig waren.

Dit systeem begint zijn vruchten af te werpen door het elimineren van kwetsbaarheden in producten als Windows XP SP1 en Visual Studio .NET. Ook producten die binnenkort uitgebracht gaan worden zijn door deze Trustworthy Computing-cyclus gegaan; Windows Server 2003 en de volgende versies van SQL, Exchange Server en Office. Ook noemt Microsoft hier Palladium, een nieuwe hardware-/software-architectuur voor het PC-platform. Dit systeem moet beveiliging verhogen door verschillende zwakke schakels uit de huidige architectuur te elimineren. Gates geeft hier het voorbeeld van het geheugen van de grafische kaart, dat iedereen uit kan lezen. Een van de doelen van Palladium is het creëren van afgeschermd geheugen. Ook moet de weg van het keyboard naar de monitor verder beveiligd worden. Zie voor meer informatie hierover dit artikel.

Secure by default - in het verleden was het normaal om alles wat gebruikers ook maar enigszins nodig zouden kunnen hebben in te schakelen in een product. Tegenwoordig wordt precies andersom gewerkt. Alles dat ook maar enigszins uitgezet kan worden wordt uitgezet, om de veiligheid van het systeem te bevorderen. Zo zullen in het nog uit te brengen Windows Server 2003 services als Content Indexing Services, Messenger en NetDDE standaard uitgezet worden. In Office XP SP1 staan macros standaard uit en in Internet Explorer worden frames uitgeschakeld voor de restricted zone, om mogelijke aanvallen tegen te gaan.

Secure in deployment - consumenten en kleine bedrijven worden ondersteund in hun beveiligingsbeleid door een uitgebreide set aan beveiligings-instrumenten aan te bieden en bij te werken. Een hiervan is Automatic Update, waardoor Windows altijd up-to-date is. Voor grotere bedrijven is er Software Update Services (SUS) en het Systems Management Server 2.0 Feature Pack om patch-management te vergemakkelijken. Verder is Microsoft Baseline Security Analyzer uitgebracht, welke scant voor missende updates en analyseert of er nog zwakke plekken bestaan in de configuratie. Voor Windows 2000 en Exchange zijn documenten opgesteld die klanten bijstaan in het veilig configureren en implementeren van de producten. Bovendien wordt er gewerkt aan een smartcard-systeem dat Microsoft zelf al gebruikt, waarbij er geen wachtwoorden meer gebruikt hoeven te worden.

Communications - om klanten beter op de hoogte te houden van belangrijke beveiligingszaken zijn er bij Microsoft veranderingen doorgevoerd. Klanten gaven namelijk aan dat ze niet tevreden waren over de security bulletins, omdat die teveel details zouden bevatten. MS heeft daarom nu een nieuw systeem ontwikkeld waarin de security bulletins een bepaalde prioriteit krijgen. Ook kunnen klanten zelf aangeven welk type updates ze wel en niet willen uitvoeren. Gates sluit af door een blik op de toekomst te werpen:

WHAT'S NEXT In the past decade, computers and networks have become an integral part of business processes and everyday life. In the Digital Decade we're now embarking on, billions of intelligent devices will be connected to the Internet. This fundamental change will bring great opportunities as well as new, constantly evolving security challenges.

While we've accomplished a lot in the past year, there is still more to do - at Microsoft and across our industry. We invested more than $200 million in 2002 improving Windows security, and significantly more on our security work with other products. In the coming year, we will continue to work with customers, government officials and industry partners to deliver more secure products, and to share our findings and knowledge about security. In the meantime, there are three things customers can do to help: 1) stay up to date on patches, 2) use anti-virus software and keep it up to date with the latest signatures, and 3) use firewalls.

There's much more I'd like to share with you about our security initiatives. If you would like to dig deeper, information and links are available at http://www.microsoft.com/mscorp/execmail/2003/01-23security2.asp to help you make your computer systems more secure.

Bill Gates