Microsoft: Windows CardSpace niet lek zoals beweerd

Met behulp van Windows CardSpace is het mogelijk om digitale identiteiten op een centrale plaats op te slaan binnen Windows. Wanneer een gebruiker een bepaald programma wil starten of wil inloggen op de site van zijn bank, dan verschijnt de CardSpace Private Desktop waar de gebruiker een van de beschikbare identiteiten kan selecteren. Hierna verloopt het authenticatieproces geheel automatisch. Gezien de gevoeligheid van de informatie die via CardSpace wordt opgeslagen, is het erg belangrijk dat de gegevens veilig worden opgeslagen en tot op heden zijn er nog geen lekken in de software gevonden. Developer Sergey Shishkin meldde vorige week op zijn weblog echter dat hij een fout had gevonden in de software.

Wanneer een gebruiker via het 'Open File'-dialoogvenster een afbeelding wil selecteren om de verschillende identiteiten in CardSpace visueel te onderscheiden, verschijnt gedurende een korte periode het bureaublad van de actieve gebruiker. Het openen van een afbeelding wordt namelijk afgehandeld door het OS en niet door de beveiligde CardSpace-omgeving. Met behulp van de Windows-toets kan men vervolgens vrijelijk toegang krijgen tot het besturingssysteem, wat in het geval van bijvoorbeeld een kiosk-pc ongewenste effecten kan opleveren. Mocht de CardSpace Private Desktop de afbeeldingselectie zelf afhandelen, zou het voor een indringer echter gemakkelijker zijn met de digitale identiteiten te gaan rommelen. Bij Microsoft is men dan ook niet van mening dat het door Shishkin ontdekte achterdeurtje een lek is: CardSpace is bedoeld voor het beheren van digitale identiteiten en niet voor het afschermen van een computer.

Windows CardSpace -- Identiteit selecteren

Reacties (30)

[humbug]

In dit geval lijkt MS gelijk te hebben en wilde Sergey Shishkin Cardspace waarschijnlijk voor een verkeerd doel toepassen. Een hoop commotie om niets dus.

[HKS-Skyline]

commotie hou je altijd rond dit soort gevoellige onderwerpen, dat mag ook wel, want des te eerder zijn alle fouten er uit.
van firefox dachten we ook dat het waterdicht was, maar toch werden daar ook nog lekken in gevonden.

[tvdleur]

dachten we? Voor een uitdaging willen we best staan maar naief zijn de meesten niet hier (hoop ik dan)

[Verwijderd]

ik weet toch nog neit of ik dergelijke gegevens in een windows tool op wil slaan. Als hij nu opensource zou zijn dan was veel meer controle nodig, nu heb ik toch echt het idee dat ik mijn gegevens toevertrouw aan een van de programmeurs van MS, en als die zijn werk niet goed gedaan heeft of simpelweg een redenatiefout heeft gemaakt liggen die gegevens op straat...

edit:
ik doelde dus vooral ook dat opensource projecten volgens mij veel beter gecheckt worden omdat er veel meer mensen naar kijken...

[Herby]

Is dit niet het geval bij alle software ? Bijna alle software bevat informatie die ik liever niet in handen van iemand anders zie, echter vertrouw je op de techniek en waan de data beschermd.

Verder vind ik de aaname nogal vreemd dat programmeurs van MS per definitie eerder een fout zouden maken dan een willekeurige andere programmeur.

Verder ben ik het wel met je eens dat ik ook liever geen tool gebruik voor dit soort zaken behalve de hardcoded versie in brain 1.0

[Luuk1983]

Tja ik vind juist opensource in dit geval gevaarlijker: iedereen kan de code bekijken en mogelijk gaten in de software vinden.

Kortom: ik vind het sowieso gevaarlijk je gegeven aan een programma toe te vertrouwen (open- en closed source). Alle programma's worden door mensen gemaakt en bevatten daarom ook altijd fouten.

[Verwijderd]

Keerzijde is dat juist omdat iedereen de code kan bekijken, er veel sneller gaten ontdekt worden en dus ook verholpen worden.

[Koffie]

En dus niet alleen 1 hackertje een bug heeft gevonden, maar heel de wereld de bug ziet en begrijpt hoe te exploiten; theorethisch is de kans op exploits dan dus groter.

[Pruttelpot]

De kans op exploits is in eerste instantie groter, maar de kans op het snel dichten is nog veel groter.

Bij closed source bugs/exploits, kan iemand maanden lang de iedereen die er gebruik van maakt exploiten, waarom? Omdat er geen community achter zit die de bugs makkelijk kan vinden.

Dat is juist de kracht van Open Source, iets is pas goed, als de gehele community het klaar vind, niet zodra een bedrijf met een winst visie roept dat t af is zonder enige vorm van controle.

[Verwijderd]

@Luuk1983:

Security through obscurity is per definitie een fout concept hoewel het in sommige gevallen heel effectief is. (Of lijkt te zijn)

http://en.wikipedia.org/wiki/Security_through_obscurity

[Left]

Security through obscurity is controversieel, maar zeker niet per definitie fout. Kijk bijvoorbeeld maar in de link op wikipedia die je zelf geeft, daar staan een aantal argumenten tegen, maar ook een aantal elementen voor.

[OetZitterd]

Maar je gegevens in handen geven van een Open Source programmeur doe jij dus wel? Beetje vreemde gedachte aangezien zij ook fouten kunnen maken. De niet-tweaker zal zich echt niet de moeite nemen om de bron erop na te slaan om te kijken of er fouten instaan.

Reken maar dat die MS-programmeurs echt wel goed opletten en dat fouten alleen maar gevonden worden omdat er ook echt wordt naar gezocht.

[the___butcher]

Het vershcil zit hem erin dat Open Source software - en zeker een dergelijk programma - vaak door vele van elkaar onafhankelijke programmeurs wordt ontwikkeld en getest. Hierdoor is de kans veel groter dat fouten ontdekt worden.

[Tijger]

En Microsoft producten worden niet getest? Mwah, ik denk toch echt dat er meer mensen dagelijks bezig zijn met het vinden van gaten in Microsoft producten dan met de meeste Open Source producten.

[Pim.]

Klopt, niets is helemaal zeker maar dat is natuurlijk al redelij bekend.
Ik heb wel meer vertrouwen in open source omdat de code door meer (onafhankelijke) mensen bekeken kan worden.

Toch bleek er bijvoorbeeld ook in UNIX een backdoor te zitten (http://rixstep.com/2/20060410,00.shtml <-onder 8->), dus kom ik weer bij mijn eerste stelling dat niets zeker is (behalve de dood en de belastingen )

[catfish]

het grootste voorbeeld is eigenlijk de software die je bank gebruikt, deze is ook closed source en je vertrouwt er volledig ik op

ik vraag mij eigenlijk meer af, waar MS (of andere bedrijven die gelijkaardige software maken) staat indien er aangetoond kan worden dat ik schade heb geleden door fouten in dergelijke programma's
aangezien het doel van het programma net het beveiligen is van dergelijke data

[AtleX]

De reactie van Microsoft is heel begrijpelijk. Het is geen programma om je computer mee te beveiligen, maar om DID's te managen. Zolang het programma zelf niet lek is, is er niks aan de hand.

Natuurlijk is het slechts een kwestie van tijd voordat er eventuele lekken en bugs gevonden worden. Maar foutloze code bestaat niet, en zolang Windows het populairste besturingssysteem is zullen mensen proberen de zwakheden uit te buiten.

[Verwijderd]

En daarom is het ook van groot belang dat Linux NIET mainstream wordt...

Zolang iedereen windows blijft gebruiken zitten de *nix'ers en de OSX'ers veilig

[humbug]

Wat is dit nu weer voor onzin? Er worden vrijwel dagelijks lekken gevonden in de verschillende Unixen, BSD en Linux. Ook als je die OSen gebruikt dien je je gewoon goed te beveiligen.

Misschien is de kans dat je toevallig last hebt van een virus wat kleiner, maar een gerichte aanval op een linux systeem is net zo eenvoudig voor een hacker als op een windows systeem. Het is dan ook niet zo dat een webstore die op Linux draait de beveiliging links kan laten liggen simpelweg omdat weinig mensen Linux gebruiken.

[Verwijderd]

Er zijn ook populaire windows programma's die zo goed als bugvrij zijn vergeleken met tegenhangers op Linux. Cardspace is daar een voorbeeld van maar zeker ook IIS 6.0 dat extreem weinig vunerabilities heeft voor een webserver.
Je kan op windows dus prima zeer veilig programma's bouwen ook al is dat mainstream programmatuur die door heel veel mensen gebruikt wordt.

[Wim-Bart]

Ach, het was weer een Windows basher van het type: Windows is heel onveilig. Want als ik de Windows CD op mijn motorkap van mijn auto leg en ik rij tegen een boom aan heb ik toch schade aan mijn auto.

[Cameleon73]

CardSpace is bedoeld voor het beheren van digitale identiteiten en niet voor het afschermen van een computer.

En als je je (kiosk-)PC wel wat meer wilt afschermen, kan ik Security Administrator aanraden.

[Luppie]

Sorry hoor, maar is dit niet een beetje Group Policy for Dummies ? Alle features die dit programma op de website noemt kan je ook eenvoudig doen met GPO's

[Verwijderd]

En toch vind ik een kwalijke zaak. MS mag het dan wel geen probleem vinden, maar als je indentieiten gaat vastleggen waar je mogelijk bij privacy gevoelige gegevens, of bijvoorbeeld bij geheime documenten van een bedrijf of overheidsinstellingen kan komen, dan dient dit wel degelijk goed afgeschermd worden.

Gaat MS hier niets aan doen, dan mogen ze elke keer dat het programma start wel een hele duidelijke disclaimer laten zien. Ik vind dit een beetje als zeggen dat een kluis niet bedoeld is voor het veilig bewaren van belangrijke documenten, enkel een gemakkelijke centrale opslagruimte.

Ik zie het al wel weer gebeuren, Peter R. de Vries komt weer naar voren met gegevens van de AIVD

[DarkTemple]

Je ziet het verkeerd.

Het is niet zo dat de gegevens in de kluis niet veilig zijn. Het is zo dat je door zelf je kluis te openen je ergens anders bij kunt.

[Ma.rkus.nl]

"That's not a bug, it's a feature!"

[Verwijderd]

CardSpace is bedoeld voor het beheren van digitale identiteiten en niet voor het afschermen van een computer.

ja, zo zou ik me er ook vanaf helpen...
"wij beheren jou online identiteiten, maar zijn niet zo goed beveiligd, dus iedereen mag meegenieten van je bankrekening enz..."

safety first

[memphis]

Zolang je binnen windows wachtwoorden van internetadressen kan laten onthouden en je wachtwoorden user accounts van buiten windows kan hacken blijft het onveilig.

[Zack_Leonhart]

heerlijk dat Microsoft bashen... but mark my words... ooit zullen *nix systemen net zo (on)veilig zijn als een microsoft systeem... hoe je dit wil interpreteren laat ik helemaal aan jou...

dit is gewoon een degelijk stukje software wat z'n werk doet... dat het je dan gedurende korte periode toegang verschaft tot het OS betekent niet dat de software foutief is...