Whistler komt met signed application systeem

The Register heeft wat info over een nieuwe beveiligingsfeature van Windows Whistler, dat recentelijk het beta-stadium in is gegaan. Het nieuwe operating systeem kan namelijk onderscheid maken tussen 40 verschillende type's executables, die van de gebruiker allemaal verschillende rechten en resticties kunnen krijgen. In de meest extreme instelling mag er alleen gesigneerde code draaien. Dit is onder andere handig voor bedrijven om te voorkomen dat hun werknemers programma's draaien die ze niet mogen of willen draaien, zoals Trojan horses:

Many system managers will be mad-keen on this kind of approach, because it promises to make their lives a lot easier, but on the flip side you can see how it could be restricting from the users' point of view, and - weirdly - how difficult it would have been for Microsoft and the PC business to penetrate corporate networks from the bottom up, if this level of control had existed at the time.

[...] Signed applications apparently won't give you direct protection against viruses either. If it works like existing signing systems, then you'd get a certificate for an app from an authority like Verisign, or as a user you could get a company-wide certificate, or set up your own internal certificate authority that would allow internal machines to trust anything bearing that certificate.

Of thuisgebruikers ook kunnen profiteren van deze feature, die gedeeltelijk al in Windows 2000 aanwezig is maar in Whistler pas echt uitgewerkt wordt, is de vraag. Kleine softwarebedrijven krijgen het op deze manier een stuk moeilijker om hun software te verspreiden, maar als te veel mensen rechten krijgen om certificaten uit de delen zou het idee van Microsoft ook snel niets meer waard kunnen zijn. Bedankt sd-m voor de tip.

Reacties (32)

[Verwijderd]

Dit vindt ik een hele enge ontwikkeling.
Op deze manier kan MS software van andere (concurerende) bedrijven als "gevaarlijk" over laten komen.
Als een leek nu een gratis applicatie wil installeren kan het dus zijn dat hij een melding krijgt dat die software geen certificaat heeft. Dat komt eng over en de leek kiest er toch maar voor om de betaalde variant van MS aan te schaffen.


* 786562 elefino

[Ropniko]

die van de gebruiker allemaal verschillende rechten en resticties kunnen krijgen

de gebruiker bepaald dat zelf.. want als WIndows ook nog eens zelf gaat denken dan hebben we denk ik een major probleem..

edit:
ok dit gaat weer fout.. gaan we dit nou bij elke microsoft post doen? iedereen neerhalen?? ik probeer behulpzaam te zijn omdat elefino de tekst niet helemaal goed had gelezen dus niks overbodigs aan dacht ik zo!

[Verwijderd]

Tuurlijk kan de gebruiker dat soort dingen instellen.
dat doe jij, dat doe ik. Maar niet m'n moeder of m'n buurman of een andere leek. Die laten zich overbluffen door zo'n melding van Windows (MS dus).

[Verwijderd]

Dan ga je er vanuit dat MS deze certificaat controle default uit zet. En dat is nog maar afwachten.

[Ropniko]

Die melding komt er dus niet als de gebruiker er niks aan doet..

[Verwijderd]

Nou lijkt me wel anders heeft hun helpdesk wat uit te leggen...
Ik denk dat het meer is om grote klanten tegemoet te komen die willen dit soort zaken juist graag hebben en daar is Microsoft ook in geinteresseerd niet in thuisgebruikers. In die grote bedrijven is het toch een project wat dat gaat organiseren dus dan is het niet zo'n probleem om dat allemaal goed in te regelen.

Wim
--

www.win2kwereld.nl

[Uitvreter]

Even opzij kijkend naar Internet Explorer: de browser die zonder twijfel de meeste (en vergelijkbare) security instellingen van het hele stel heeft, maar ook degene met de meeste beveiligings bugs. En daar krijgen we nu een heel OS van?
Het idee heeft zeker wel voordelen: in principe zou software die je willekeurig waar vandaan haalt op internet veilig zijn, zonder trojans of virussen. Als er met de software gerommeld is, of het niet of verkeerd gesigneerd is draait het niet.
Twee moeilijkheden: waneer komt de eerste trojan uit die het verificatiesysteem van whistler verbouwt?
En ten tweede, de volgende stap is natuurlijk een OS dat alleen applicaties draait waarvoor MS een licentie voor heeft afgegeven: wilt U maar even uw chipkaart door de reader halen, anders werkt de software niet. Met ander woorden: money, money, money!

May you live in interesting times...

[nightlight]

Kleine softwarebedrijven krijgen het op deze manier een stuk moeilijker om hun software te verspreiden,

Juist. Dat is precies wat Microsoft voor ogen heeft. Die wil dat de gebruikers over gaan van desktop applicaties naar gedistribueerde applicaties. De laatste soort heeft geen last van deze nieuwe technologie omdat het geen executable-files zijn.

[wouzer]

Ja, en een trojan horse zal zeker niet een ander 'type' executable kunnen immiteren? Volgens mij doet hij dat altijd al, en dat zal je op deze manier ook wel niet tegenhouden.

Alles wordt gekraakt, dus dit ook

[Jaymz]

Dit doet me ergens anders aan denken:

Hoe wil MS typen executabels 'definieren'. Moet je dit als programmeur in je exe opnemen ?.

Ik kan me niet voostellen dat je aan een EXE kan zien, tot wat voor type hij behoort (behalve uitvoerbaar) als je dit van te voren niet aangeeft

[Jaymz]

Mooie ontwikkeling, ik ben alleen bang dat het om in 1e instantie in te stellen gruwelijk veel werk gaat kosten. Maar aan de andere kant, dat is (bijna) overal zo. De tijd die je er in de voorberiding in steekt, haal je er later drie-dubbel-dwars weer uit en andersom.

[Verwijderd]

Volgens mij wordt meer iets bedoeld met een Public key / Security sertificate oplossing.

Kortom: Een TTP (trusted third party) garandeerd door middel van de handtekening op de executable dat de executable goed is.

Dus: Als jij microsoft vertrouwd, en het certificaat geeft aan dat Volgens microsoft het stuk software in orde is, dan is het goed. Vanwege de redelijk high tech encryptie die hier voor gebruikt wordt is dit nagenoeg niet te hacken..

Het is dus eenvoudig een kwestie van kiezen welke TTP jij vertrouwd en welke niet...

[Verwijderd]

Misschien begrijp ik het niet goed maar zou dit M$ niet ook de mogelijkheid kunnen bieden certificates als een soort licence key te gebruiken? Dat zou dan betekenen dat nu het OS ipv de software bepaalt of je al dan niet legale software wil draaien en dit kan blokkeren.

[Verwijderd]

het is niet te hopen dat er in windows whistler niet de game funktienalieteit van win me wordt gebruikt want er zijn aardig wat games die botweg gewoon niet willen draaie pak maar MDK2 geeft gewoon errors aan

[servies]

Ik heb m'n twijfels of dit soort beveiliging gaat werken... Wat ik hier wel zie is een mogelijkheid om te controlleren wat voor software waar wordt gebruikt... Je moet blijkbaar contact met de buitenwereld leggen om het te controleren... en wie voert de controle uit???

[lucid]

Hmzz, lijt mij dat de "TCO" total cost of ownership, juist omhoog gaat door deze feature, omdat hier wordt uitgegaan van het geval van een perfecte administratie en systeembeheer . Bijna overal is dat een utopie, kijk maar naar het tekort aan ICT-ers.. Overigens lijkt het mij dat het ongeveer een uurtje of twee duurt voordat tweakende gebruikers een maniet hebben gevonden om die "key/signed verification" te omzeilen.. Lang leve de tweakers !!

[Jaymz]

Misschien is dit een feature, waar MS op kan vallen als het een keertje misgaat. " Ja, maar we hebben toch voor extra security gezorgd. Alleen U heeft dit niet goed ingesteld/geimpementeerd"

Ik ben beniewd, hoe ze dit standaard instellen (als ik een nieuwe HD erinhang en formatteer, zet NT standaard op everyone: Full Control. Heb je dit niet door (thuisgebruiker); is dat errug lullig

Of ben ik nu te negatief ??

edit:

Excuus, had achteraf in de hoofddraad terecht moeten komen zie ik nu