Microsoft over 'Plug and Play Extensions'-technologie

In alle moderne Windows-versies is het mogelijk om zonder al te veel moeite een USB- of Bluetooth-apparaat aan te sluiten en direct te gebruiken. Hierdoor is het bijvoorbeeld mogelijk om op een eenvoudige wijze een USB-stick of een mp3-speler aan te sluiten en bestanden over te zetten van de pc naar de betreffende randapparatuur. Voor veel managers is dit een doorn in het oog. Deze apparaten kunnen namelijk ook gebruikt worden om geheime of gevoelige bedrijfsinformatie mee te nemen naar huis of kwaadaardige software op de pc te installeren. Microsoft heeft dit probleem onderkend en zal in Windows Longhorn met een passende oplossing gaan komen, zo schrijft ZDNet. De technologie die hiervoor nodig is, heeft van Microsoft de naam 'Plug and Play Extensions' meegekregen en omvat beduidend meer dan enkele functies om USB- of Bluetooth-gebruik aan banden te leggen.

Hiervoor zal namelijk het hele drivermodel voor draadloze en niet-draadloze apparatuur veranderd worden. Voor consumenten betekent dit dat het eenvoudiger zal worden om allerlei apparaten, zoals draadloze printers, mediaspelers en andere draadloze apparaten, aan te sluiten op Windows. Voor gebruik binnen bedrijven zullen functies toegevoegd worden om het gebruik van draadloze en niet-draadloze apparatuur beter in te perken. Microsoft heeft in SP2 voor Windows XP al functionaliteit toegevoegd waarmee het onmogelijk gemaakt kan worden om naar USB-apparaten gegevens weg te schrijven. Analistenbureaus zijn tevreden met deze nieuwe features om de veiligheid van computersystemen verder te verbeteren. Desalniettemin wordt ook geadviseerd om medewerkers bewust te maken van de waarde van bedrijfsinformatie en zo te voorkomen dat men er met de gegevens vandoor gaat.

Naast de genoemde veranderingen op het gebied van Plug-and-Play zullen in Longhorn ook zaken gewijzigd gaan worden aan het drivermodel in het algemeen. Dit nieuwe model, genaamd Windows Driver Foundation (WDF), zal het huidige model gedeeltelijk gaan vervangen. WDF zal namelijk voorzien in twee lagen, een low-level laag die werkt zoals het huidige model en een abstractere user-mode framework laag voor bijvoorbeeld IP-toepassingen. Verder zullen er wijzigingen worden doorgevoerd in de wijze waarop drivers geïnstalleerd worden. Hierdoor wordt het bijvoorbeeld mogelijk om een rollback te doen wanneer er iets misgaat met de installatie van drivers. Ook kunnen systeembeheerders eenvoudig netwerkbreed een bepaalde driver installeren zonder dat daarvoor nog manueel handelingen uitgevoerd hoeven te worden.

Reacties (38)

[punisher007]

Naja als men het perse wil hebben krijgt men het toch wel. Dan wordt het gebrand of naar http of ftp geupload of nog op een andere manier

[SuperNull]

Ja preises, dat was mijn gedachte ook.
Als een medewerker volledige toegang heeft tot een file, kan hij altijd een manier verzinnen om em op een of andere manier naar buiten te smokkelen, als hij dat wil.

De enige manier om dat te voorkomen is een computer zonder netwerk, met de floppy/cd-drive/usb/printer port die in de bios zijn uitgeschakeld en met een slot op de case en een password op de bios.
Iets dat nu ook kan.

[MossMan]

Zolang een *mens* toegang kan krijgen tot info is deze altijd nog te bespioneren...

Camera meenemen en screen-shots maken, bijvoorbeeld!

[mjtdevries]

Klopt, maar met een camera screenshots maken van een rapport van 100 pagina's A4 is wel even wat lastiger dan een filetje kopieren en aan een journalist geven of een printout toevallig op een terras laten liggen.

Al dat lekken dat ambtenaren nu bv doen zou je dan op een hele simpele manier een stuk moeilijker voor ze maken.

[Verwijderd]

*reactie op mtjdevries*
Met als gevolg dat belangrijke zaken die bekend moeten worden gemaakt dat niet meer worden.

Liever problemen met te veel informatie dan met te weinig informatie wat dat betreft.

[mjtdevries]

En dat is dus de reden dat bedrijven heel geinteresseerd zijn in DRM software.

Daarmee kan de auteur van een file/rapport precies bepalen welke mensen leesrechten hebben. (Of zelfs rechten om het te printen of een copy&paste te doen)

Iemand kan dan de file wel meesmokkelen, en aan iemand anders geven, maar daar heeft ie dan niets aan omdat het bestand encrypted is.

[Adm.Spock]

Dat kan nu ook al.....

[Rex]

En dan laat je een programma één of ander BruteForce aanval doen op je file en binnen een paar uur heb je 'adminrechten' op de file en kun je er van alles mee doen.

[PcDealer]

Of printen in de avonduren als niemand er is. Hoewel dit misschien, net als vele andere dingen, gelogd kan worden.

[Metal Baron]

Alle internetconnecties kunnen worden bijgehouden in een bedrijf. Email kan gecontroleerd worden, ftp verbindingen ook. Zorg voor een computer met CD-ROM, geen floppy drive, en je bent al een heel eind.

[Verwijderd]

ja, gezellig 24x7 een 34 Mbit connectie bekijken

[PipoDeClown]

als je dan zo paranoid bent over veiligheid, dan ga je echt niet wachten totdat microsoft er iets aan doet.

verzin dan zelf een besturingssysteem of installeer een (commerciele) unix bijv.

met gecentraliseerd computeren (dus een domme buis op je buro)

[Blokker_1999]

Alle computers die bij ons op het netwerk staan hebben geen mogelijkheid tot aansluiting van opslagapparaten. De diskettestations zijn verwijderd, branders zijn niet aanwezig en ze zijn oud genoeg om geen USB te bevatten. Je kan er wel mee op het netwerk, maar een internet gateway is er niet. De PC snel even openvijzen om er zelf een apparaat aan te sluiten gaat ook niet aangezien dit zou opvallen.

Het is dus niet altijd snel even mogelijk om rond beperkingen te gaan zoals men hierboven suggereerd.

[mjtdevries]

Zit er een seriele of parallle poort op?
Daarover kan je heel makkelijk data kopieren.
Ok het duurt even wat langer voor je 500MB over hebt, maar waardevolle data van een bedrijf zijn meestal rapporten of iets dergelijks, die wellicht een keertje 1 MB of zo zijn.

[memphis]

Ach... je kunt ook altijd de INF file van de USB mass storage device deleten....
Maar hoe ver moet je gaan ?
Mailen kan ook en vaak doen de oude vertrouwde floppies het ook nog....

Bij mij op het werk is het ook allemaal super beveiligd maar daartegen hebben alle medewerkers een 16mb stick als een soort floppydrive wat zeer positief werkt.

[RayLar]

In de C'T stond onlangs een artikel om het e.e.a. af te vangen met administrator-rechten op dat bestand, zodat een gewone gebruiker de driver(s) niet kon laden. Het betreft de Nederlandse C'T uitgave september 2004 , blz.58.

Dat leek me in eerste instantie handig, maar na een test bleek dat het nog altijd "misgaat" wanneer de persoon in kwestie dezelfde USB-stick (zelfde merk / type) heeft als de beheerder. Je moet dan als beheerder goed opletten dat je nooit je stick op werkstations gebruikt ...

Maar ik denk net als de meeste hier dat je iemand die echt kwaad in de zin heeft niet tegenhoudt.

[Adm.Spock]

Je kan dan altijd nog (bijv. met TweakUI) de drive verbergen.
Is ook niet waterdicht, maar maakt het al weer een stuk moeilijker.

[boesOne]

Desalniettemin wordt ook geadviseerd om medewerkers bewust te maken van de waarde van bedrijfsinformatie en zo te voorkomen dat men er met de gegevens vandoor gaat.

De werknemers zijn hier al bewust van anders zouden ze niet met de data ervandoor gaan

Dit nieuwe model, genaamd Windows Driver Foundation (WDF), zal het huidige model gedeeltelijk gaan vervangen

Ik neem aan dat de 'ouwe' XP drivers ook nog steeds werken, anders kunnen we weer gedag zeggen tegen een heleboel hardware.. Zo is er maar 1 drivertje voor mijn Terratec DMX Xfire..

[Verwijderd]

Desalniettemin wordt ook geadviseerd om medewerkers bewust te maken van de waarde van bedrijfsinformatie en zo te voorkomen dat men er met de gegevens vandoor gaat.

Dat zal toch niet altijd het gewenste effect hebben.

[Koldur]

Nee, maar dat wordt hier ook helemaal niet gesuggereerd. Het gaat er gewoon om dat MS niet wil dat zij gezien worden als het bedrijf wat ervoor zorgt dat de bedrijven hun personeel niet vertrouwd. Als ze op die manier aan hun personeel vragen om geen gegevens mee te nemen wekken ze nog de indruk dat er te praten is met het personeel. Als ze alles gaan beveiligen (dus ook metaaldetectors en weet ik het allemaal) en niet met personeel gaan praten voel je je net een terrorist. Dat is nou net niet het doel dat je als bedrijf wil bereiken denk ik, het is de bedoeling dat iedereen zich gewaardeerd voelt.

[Verwijderd]

Jup. Klinkt voor mij nogal als Brein die consumenten tevergeefs duidelijk probeert te maken dat je moreel gezien geen mp3's mag downloaden, omdat de artiest dan inkomsten mis zou lopen. Denk niet dat netjes vragen of ze het aub niet willen doen veel helpt...

[Gover]

Vertellen dat je iets niet mag doen (fikkie stoken bijv, prompt had ik de hele dijk in de hens staan) is wel iets anders dan bewustwording, je moet een sfeer creeëren binnen je bedrijf waardoor je je thuisvoelt, gegevens jatten wordt meestal pas interessant als je onterecht weggestuurd wordt of wanneer je je niet op je plek voelt,

[BartOtten]

@mephisto1982

Je hebt nogal gelijk ja. BREIN roept dat ze een site gaan aanklagen (en doen dat tot nu toe nog niet) maar ondeertussen kent iedereen weer een site extra om het spul vanaf te trekken.
Zo kan een bedrijf beter zich stlhouden over dat er MOGELIJK gegevens gestolen kunnen worden. Dan blijven de medewerkers in de waan dat het goed beveiligd is...

*als ze sowieso bij de bestanden kunnen dan is de waarschuwing ook zinloos...

[Adm.Spock]

Security by obscurity......

Nee, dat werkt echt hoor

[Verwijderd]

Het gaat hier tevens om gegevens die ter goeder trouw mee worden genomen (ik werk thuis wel even verder) en die eventueel met viri en andere verminkingen terug komen, óf in een later stadium inderdaad tegen het bedrijf gebruikt kan worden.

[Verwijderd]

...en omvat beduidend meer dan enkele functies om USB- of Bluetooth-gebruik aan banden te leggen.

Zoals Microsoft vroeger zoveel mogelijk deed om mensen zoveel mogelijk met de computer te laten doen, doen ze nu zoveel mogelijk om het gebruik van computers aan banden te leggen... Vind ik jammer, MS was vroeger zo goed (buggy, maar goed)

Voor consumenten betekent dit dat het eenvoudiger zal worden om allerlei apparaten, zoals draadloze printers, mediaspelers en andere draadloze apparaten, aan te sluiten op Windows.

Leg eens uit? Het idee van plug en play was dat je een apparaat erin steekt en het werkt. Wat is het idee nu?

Hierdoor wordt het bijvoorbeeld mogelijk om een rollback te doen wanneer er iets misgaat met de installatie van drivers.

Zat dat niet ook al in XP?

Ook kunnen systeembeheerders eenvoudig netwerkbreed een bepaalde driver installeren zonder dat daarvoor nog manueel handelingen uitgevoerd hoeven te worden.

Waren daar niet al tooltjes voor?

[hessel]

Hier zijn we ook op het werk tegen aangelopen.
En hebben ver volgen een tooltje aangeschaft, devicelock werkt perfect. Usp poorten, serieel/paralele poorten en zelfs floppy/cd spelers worden nu geblokt. Het is nu zelfs mogelijk om per gebruiker aantegeven of de device wel of niet gebruikt mag worden

[consolefreak]

je kan ook gewoon usb uitzetten in bios en w8woord op bios zetten toch?

[number3]

Right.... USB uitzetten in de BIOS en dan overal hetzelfde wachtwoord opzetten. Moet je eens in een grote organistatie doen. En testen hoe lang het duurt voordat iemand (=iedereen) het wachtwoord weet ;-) En USB weer aanzet...

Dat gaat dus niet werken, gewoon devicelock (http://www.protect-me.com/dl/) gebruiken. Dat werkt tenminste en kan je ook fatsoenlijk beheren.

Iedereen gaat wel moord en brand schreeuwen, invoeren is een leuk traject.

[wmeerendonk]

Probeer jij nog maar eens een muis te vinden zonder USB.........lijkt me typisch geval van een middel wat erger is dan de kwaal

[Xenan]

Ik heb hier een stuk of 5 muizen liggen. USB, maar met verloopstekkertje naar PS/2 bijgeleverd. Die doen het ook zonder USB

[nAFutro]

Totdat je ook moet werken met de laptop die hebben vaak geen P/S2 meer..

[Verwijderd]

Ja, hoor. Gooi er maar weer een 'technologie' tegenaan. Gewoon de user permissies van het desbetreffende type hardware aanpassen lijkt me toch wel voldoende? Weet niet hoe dat gaat met Windows, maar onder Linux is doe je bijvoorbeeld simpelweg

chmod ugo-rwx /dev/sda1

(afhankelijk van je hardware config natuurlijk)

[CumpsD]

In SP2 kan je ook schrijven naar USB drives verbieden dacht ik.

En ik dacht dat je via rights en policies het zo hard kon toedoen dat niemand nog usb devices kon gebruiken (heb ik per ongeluk toch eens tegengekomen toen ik een home pctje securde voor de kinderen )