Onderzoekers omzeilen beveiligingsmechanismes Vista

Onderzoekers hebben een nieuwe methode ontwikkeld om via een browser code te starten waarbij beveiligingsmechanismes van Windows Vista worden omzeild. Experts spreken over een bijzondere ontdekking met mogelijk grote gevolgen.

De nieuwe methode is ontdekt door Mark Dowd, werkzaam bij IBM Internet Security Systems, en Alexander Sotirov van Vmware, en is gepresenteerd op de Black Hat-bijeenkomst van deze week. De werkwijze, die in een pdf-document staat beschreven, maakt geen gebruik van bekende exploits in Windows of de browser, maar weet onder andere Vista's beveiligings­mechanismes Aslr en DEP te omzeilen.

De onderzoekers kunnen naar eigen zeggen code uitvoeren vanaf elke gewenste geheugenlocatie door gebruik te maken van de active scripting-mogelijkheden van Internet Explorer, waarbij onder andere Activex, Java en .Net-objecten als springlading ingezet kunnen worden. De toegepaste technieken – waaronder stack spraying, het misbruiken van het permissiesysteem in Java en het aanroepen van 'beveiligde' geheugenadressen via .Net-objecten – zouden volgens de auteurs echter ook zijn toe te passen via andere browsers.

Hoewel de geschetste methode op het eerste oog lijkt op een standaardaanval via een webbrowser door een al dan niet bekende exploit te benutten, stellen beveiligingsonderzoekers dat deze low-level aanvalsmethode nieuwe inzichten geeft in hoe malware vanuit de browser gelanceerd kan worden en daardoor in potentie zeer gevaarlijk is. Bovendien zou Microsoft weinig kunnen doen aan het onschadelijk maken van de hackmethode, omdat het technieken als Aslr en DEP – die Vista tot het veiligste OS van de softwaregigant zouden maken, zo werd bij de lancering beloofd – eenvoudig weet te omzeilen.

Dino Dai Zovi, een bekend veiligheidsexpert, laat aan Neowin weten: "Het geniepige van deze aanval is dat hij steeds opnieuw is te gebruiken. Zij kunnen aanvallen uitvoeren vanaf elke geheugenlocatie met zelfgekozen rechten. Dat betekent game over." Dai Zovi, verbonden aan SearchSecurity.com, stelt dat Microsoft een aanval als deze niet had zien aankomen. Zo laat de softwaregigant toe dat .Net-code aanverwante dll-bibliotheken vanuit de browser mag inladen en benaderen, in de veronderstelling dat dergelijke .Net-objecten veilig zijn.

Microsoft heeft nog niet officieel gereageerd op de bevindingen, maar een medewerker van het Microsoft Security Response Center heeft laten weten dat het bedrijf op de hoogte is van het bestaan van het onderzoek en dat het de bevindingen van de twee onderzoekers nader gaat bestuderen. Onbekend is nog of Windows XP en Windows Server 2003 gevoelig zijn voor de aanval, maar volgens sommige beveilingsonderzoekers is de methode vrij eenvoudig op andere platformen en besturingssystemen in te zetten.

Reacties (120)

[Verwijderd]

Ik ben Pietje, dit is mijn systeem. Behalve mijzelf mag ik alleen deze machine bedienen. Alles wat van buitenaf probeert de machine te bedienen is ongewenst en mag geen opdrachten uitvoeren. Alleen bewerking vanaf de klik van mijn muis mag taken uitvoeren. Ieder "zelfdenkend" scriptje moet buiten blijven of binnenshuis tegen gehouden worden. Alles wat ik invoer middels mijn toetsenbord is van mij. Ieder scriptje wat "meeleest" is ongewenst.

Soms krijg ik het gevoel dat we meer kunnen doen aan beveiliging binnen een OS maar dat progammeurs daar niet goed mee bezig zijn. Een firewall zou overbodig kunnen zijn mits het OS dermate goed is geschreven dat het zelf in de gaten houd wat er allemaal gebeurd. Wederom blijkt dus weer dat het niet goed word aangepakt vanaf de eerste regel code. Het begint imo een beetje visieloos te worden als we anno 2008 een PC niet alleen rechten kunnen ontlenen dan de gebruiker zelf.

Computers worden sneller in denken en taken uitvoeren maar het OS maakt niet optimaal gebruik van deze kracht. Beetje schaamteloos om te zien. Grootste fout ligt denk ik in de ontwikkeling tussen soft/hardware makers die niet of nauwelijks samenwerken op het gebied van beveiliging. Het is mooi om te zien dat we allemaal een eigen IP adres hebben, een eigen MAC adress, geef andere hardware dan ook een toekenning die uniek is, tot aan keyboards en muizen aan toe. Installeren, alle unieke nummers meegeven aan het OS, zwaar encrypten en klaar Scheelt overiges een hoop duiten in soft/hardware beveiligingen. Jammer dan voor die markt.

Overigens vind ik wel dat als de reclame toename zich blijft voortzetten zoals dat nu gebeurd dat internet oninteressant word. Veel bedrijven mogen er dan veel geld aan verdienen maar als je de mensen massaal wegjaagd hebben ze ook geen inkomsten meer. Sinds de adblock uit Symantec NIS is gesloopt is surfen niet meer leuk. Jah, er zijn zovele adblockers maar er is er geen 1 die alles tegenhoud en om nu mijn computer vol te installeren met die troep zie ik niet zitten.

Ah, games jah, die komen straks ook met advertenties, dat maakt computeren nu net even iets leuker

[CAPSLOCK2000]

Ik ben Pietje, dit is mijn systeem. Behalve mijzelf mag ik alleen deze machine bedienen. Alles wat van buitenaf probeert de machine te bedienen is ongewenst en mag geen opdrachten uitvoeren. Alleen bewerking vanaf de klik van mijn muis mag taken uitvoeren. Ieder "zelfdenkend" scriptje moet buiten blijven of binnenshuis tegen gehouden worden. Alles wat ik invoer middels mijn toetsenbord is van mij. Ieder scriptje wat "meeleest" is ongewenst.

Het probleem is dat je computer het onderscheid niet kan maken. Je computer is permanent dingen aan het doen die niet door het klikken van je muis geactiveerd worden. Al is het maar het teken van het pijltje van je muis. 99,9% van je computer heeft geen flauw idee waar het mee bezig is, of waar de opdrachten vandaan komen, en kan dat ook niet controleren. Als er een opdracht komt, dan wordt die uitgevoerd.

Soms krijg ik het gevoel dat we meer kunnen doen aan beveiliging binnen een OS maar dat progammeurs daar niet goed mee bezig zijn. Een firewall zou overbodig
kunnen zijn mits het OS dermate goed is geschreven dat het zelf in de gaten houd wat er allemaal gebeurd.

Ook in dit geval kan je computer dat gewoon niet beoordelen. Voor je OS is er een heel simpele regel. Een poort staat open als een programma daar om vraagt.
Je OS weet niet welke programma's welke poorten mogen gebruiken.

Je kan je OS wel leren wat wel en niet mag. Dat heet een firewall.

Wederom blijkt dus weer dat het niet goed word aangepakt vanaf de eerste regel code. Het begint imo een beetje visieloos te worden als we anno 2008 een PC niet alleen rechten kunnen ontlenen dan de gebruiker zelf.

Dit is een groot deel van het probleem, dat niet vanaf de eerste seconde over beveiliging wordt nagedacht. Maar op het leger en wat grote bedrijven na is voor niemand de beveiliging het allerbelangrijkste. De snelheid en de prijs zijn bijna altijd belangrijker.
Zelfs nu een bedrijf als MS berijdt is om grof geld te besteden aan een betere beveiliging, zitten ze nog vast aan bergen oude code, protocollen en systemen die ze niet in een keer af kunnen schaffen. Backward compatibility is een van de belangrijkste verkooppunten van Windows. Als ze al te veel veranderen dan vertrekken veel te veel klaten naar Linux.

Computers worden sneller in denken en taken uitvoeren maar het OS maakt niet optimaal gebruik van deze kracht. Beetje schaamteloos om te zien. Grootste fout ligt denk ik in de ontwikkeling tussen soft/hardware makers die niet of nauwelijks samenwerken op het gebied van beveiliging. Het is mooi om te zien dat we allemaal een eigen IP adres hebben, een eigen MAC adress, geef andere hardware dan ook een toekenning die uniek is, tot aan keyboards en muizen aan toe. Installeren, alle unieke nummers meegeven aan het OS, zwaar encrypten en klaar Scheelt overiges een hoop duiten in soft/hardware beveiligingen. Jammer dan voor die markt.

Sorry, maar ik denk dat je niet genoeg van beveiliging weet, maar zo makkelijk is het niet. Een uniek nummer is lang niet genoeg om een beveiligd kanaal te krijgen. En al had je een beveiligd kanaal, dan weet je nog niet zeker of wat er door heen komt ook zinnig is. Goede beveiliging is verdomd moeilijk, zo niet onmogelijk.

Overigens vind ik wel dat als de reclame toename zich blijft voortzetten zoals dat nu gebeurd dat internet oninteressant word. Veel bedrijven mogen er dan veel geld aan verdienen maar als je de mensen massaal wegjaagd hebben ze ook geen inkomsten meer. Sinds de adblock uit Symantec NIS is gesloopt is surfen niet meer leuk. Jah, er zijn zovele adblockers maar er is er geen 1 die alles tegenhoud en om nu mijn computer vol te installeren met die troep zie ik niet zitten.

Ah, games jah, die komen straks ook met advertenties, dat maakt computeren nu net even iets leuker

Ach, we kijken ook nog altijd TV, dat is ook een en al reclame.

[elitefly]

Hopelijk snappen nu de browser makers dat ze beter een virtuele browser ontwikkelen en dat microsoft eindelijk een totaal anders besturingssysteem maakt dat volledig gevirtualiseerd is

[MMaster23]

Volledig gevirtualiseerd? Hoe zie jij je dat voor je? Hoe gaan onderdelen met mekaar praten? En hoe denk je dat dat presteerd?

Niet zomaar de hippe IT termen die je in het nieuws hoort naar voren smijten..

Echter ik vraag me af of dit onderzoek idd ook UAC heeft meegenomen. Windows Vista laat IE7 standaard (indien UAC aanstaat) in een virtuele laag draaien. Niets komt zomaar door die laag heen (standard user), objecten die wel toegelaten worden draaien met minder rechten en eventuele infecties aan het systeem gebeurd in een virtuele laag welke vermoord word indien je je browser afsluit.

Hoewel er grote namen voorbij komen, betwijvel ik eerlijk gezegd de geldigheid van deze hack. Als ze UAC niet hebben meegenomen, of uitgezet, of de user ooit een keer om toestemming vragen voor UAC, faalt de hele "hack'.

(voor wie denkt dat ik uit mijn nek lul, ben MCITP voor Windows clients)

[Little Penguin]

Volledig gevirtualiseerd? Hoe zie jij je dat voor je? Hoe gaan onderdelen met mekaar praten? En hoe denk je dat dat presteerd?

Als je ieder programma in een eigen sandbox laat draaien, dan kan men altijd nog communiceren via TCP/IP of sockets of named pipes - voor de communicatie is er dus wel wat te regelen.

Qua geheugenverbruik zul je echter ook flink omhoog schieten, veel onderdelen zullen tenslotte in veelvoud geladen gaan worden (tenzij je een nieuwe manier van virtualiseren zou gaan bedenken natuurlijk).

Op dit moment zal zo'n systeem nog niet performen, maar dat kan in de toekomst wel anders worden - maar een goed alternatief voor ontwerpfouten in software vind ik het echter niet.

Echter ik vraag me af of dit onderzoek idd ook UAC heeft meegenomen.

Waarom zou men dat niet gedaan hebben, UAC is een mooi systeem maar dat wil nog niet zeggen dat het alles ook waterdicht beveiligd.

Je doet net of UAC ook alles beveiligd, maar als het al mogelijk is om vanuit een gewone gebruiker onder de Linux-kernel root te worden (door een bug in de kernel naaturlijk) dan zie ik niet in waarom zoiets ook niet onder Windows-V zou kunnen gebeuren (opnieuw vanwege bugs in de software).

(voor wie denkt dat ik uit mijn nek lul, ben MCITP voor Windows clients)

Ik wil niet zeggen dat jij niet weet waar je het over hebt, maar er zijn legio mensen die zo'n papiertje (ik denk ook aan MCSE) hebben maar niet weten hoe de internals van een computer en het OS verder in elkaar steken...

[Reactie gewijzigd door Little Penguin op 24 juli 2024 06:31]

[MMaster23]

Inderdaad is UAC niet waterdicht natuurlijk .. maar het principe, net als bij linux en OSX, werkt met ringen. Het is onmogelijk omzomaar door die ringen heen te komen.

Tenzij er natuurlijk een gat in die ring zit (zoals jij zegt .. in de linux kernel) .. dan kom je er wel doorheen. Maar dat is van ieder systeem.

UAC kraken zou een zeer goede prestatie zijn.. maar dan moeten ze dat wel expliciet zeggen wat ik nergens lees.

[Dreamvoid]

Het is onmogelijk omzomaar door die ringen heen te komen.

Als je op willekeurige locaties code met willekeurige rechten kan uitvoeren, dan werkt die hele ringen structuur niet meer, dat is nou juist precies het probleem.

[renevanh]

Wat ik begrijp is dat dit ook om de UAC heen zal gaan.
Ze kunnen vanuit elke willekeurige geheugenlocaties met zelfgekozen rechten iets uitvoeren. Dat betekend volgens mij al dat je om de UAC heen bent (totaal geen 'control' meer).
UAC aan of uit zou dan niks uitmaken (maar ik weet niet of ik dit goed zie).

[Goldwing1973]

Zij kunnen aanvallen uitvoeren vanaf elke geheugenlocatie met zelfgekozen rechten

Betekend dit ook dat deze "hack" werkt op werkstations waar de gebruiker via policy's sowieso al geen admin rechten meer heeft? (bedrijfs netwerken b.v.)

[wildhagen]

Waarschijnlijk wel. In Vista ben je namelijk standaard ook geen administrator, en daar werkt de exploit dus. Dat zal in een netwerkomgeving met GPO's ook het geval zijn lijkt me.

[Umbrah]

Fout. In alle consumenten OS-en ben je standaard operator, dit is een beslissing die MS in hun eerste consumenten-NT (windows XP) genomen heeft, om compatibiliteit te garanderen met vorige software, namelijk ME, 98, 95. Die besturingssystemen kenden niet zo'n uitgebreid rechten als de NT branch. (overigens: 2000 raadde draaien als administrator ook af, maar was geen consumenten OS, dus buiten beschouwing).

Microsoft gaf wel de noodzaak aan dat software producenten "leerden" te programmeren zodat software zonder admin rechten kan draaien, maarja, compatibiliteit was een punt. En jan-met-de-pet zeurt als hij moeite moet doen om "run as administrator" aan te vinken bij z'n shortcuts, als het al werkte, en niet 20 sub-programma's dat ook stuk voor stuk aangevinkt moeten worden (EA games vooral).

(helaas) door deze opvatting werd XP geplaagd door beveiligings problemen (blaster virus?), omdat alles maar als admin draaide.

Vista, de opvolger van XP, lost dit op met een "hybride" oplossing, namelijk UAC. De gebruiker logt nog steeds in als administrator, en dat is "standaard" bij de eerste account die tijdens setup werd gemaakt, maar er is een extra laag, die waarschuwt zodra er een administrator vereisende functie wordt aangeroepen, en de optie geeft te annuleren. Dit is inderdaad iritant, maar feit is dat het vooral voorkomt bij oudere software, programmeurs léren het wel. Compatibiliteit bestaat nog steeds, je klassieke Starcraft (1) zou nog steeds werken onder Vista; standaard zul je alleen stuk of 2-3 keer tijdens setup aan moeten geven (mits UAC aan staat) dat je zeker weet dat je het wilt installeren.

Tijdens software die je zelf installeert is het lullig, ja, maar je zult maar wél eens iets tegen houden. Zelf schakel ik het uit, maar bij m'n ouders en kennissen laat ik het aan staan. Naast dat windows defender ook het een en ander doet, scheelt het me tóch weer wat 1080-software en 200 toolbars verwijderen.

[Hennie-M]

Het is een mooi uitgebreid en correct verhaal maar je geeft niet aan waarom Wildhagen het 'fout' heeft.

Met deze exploit kan er lokaal een privelege elevation plaatsvinden. Dat houd in dat je op die werkplek volledige rechten weggeeft. Zolang de exploit niet uitgevoerd is op de servers zal de exploit niet kunnen voortplanten naar andere werkstations of netwerkshares.

(je kan lokaal niet jezelf lid maken van een van de domain administrator groepen)

[Little Penguin]

Volgens Umbrah is de stelling van Wildhagen dat je op Windows-V geen administrator meer bent fout, daarna gaat'ie uitleggen hoe het onder Windows-V wel werkt.

Feitelijk werkt men dus rond UAC heen en zodra je langs UAC bent, dan heb je weer adminrechten - tenminste zo lees ik het.

Tenminste, als Umbrah's verhaal klopt natuurlijk

[Reactie gewijzigd door Little Penguin op 24 juli 2024 06:31]

[Katsunami]

Vista, de opvolger van XP, lost dit op met een "hybride" oplossing, namelijk UAC. De gebruiker logt nog steeds in als administrator

Je logt in Vista in als een standaardaccount met Admin-rechten, je logt NIET in als Administrator. Die account is uitgeschakeld, en als je als Admin werkt, krijg je NOOIT UAC-popups. De extra laag die jij noemt, bestaat al eeuwen in Unix (su, sudo) en sinds 2001 ook in OSX, en nu eindelijk ook in Vista.

Lees een stuk terug, en je kunt daar precies vinden hoe je UAC kunt laten werken als su, en als de admin-popup uit OSX.

[g4wx3]

goede uitleg, maar de concuclusie is dus dat MS het nog steeds niet goed heeft aangepakt.

Op OS X log je in als gewone gebruiker. Als je dan iets speciaals wilt doen: spul van internet openen, programma instaleren (sommige moet je instaleren) dan moet je admin rechten geven, en moet je je paswoord ingeven.
Vreselijk irritant, bijgevolg heb ik een paswoord dat ik kan tikken met 1 hand.
Maar éénmaal je "spul" het recht hebt gegeven, is het voldoende.

[saftaplan]

Verhindert een extensie als NoScript voor Firefox dit niet?
Ik weet dat het een brug te ver is voor bedrijven als Microsoft, maar zou het niet beter zijn dat wat NoScript doet standaard komt in de meeste browsers? Dat de gebruiker dus alleen JavaScript en andere toeters en bellen activeert wanneer het echt nodig is?
Bovendien zou het het web een hoop meer 'puur' maken. Nu kom ik dikwijls websites tegen die niet zonder JavaScript of propriëtaire technologieën als Flash navigeerbaar zijn, terwijl daar eigenlijk geen reden voor is. Het zou developers stimuleren om enkel scripting te gebruiken wanneer het nodig is.
Als wat NoScript doet standaard geactiveerd is in de meeste browsers wordt het web meer veilig, meer open en worden meer websites bruikbaar op oudere computers. En er gaat geen functionaliteit verloren, je moet ze alleen activeren als ze echt nodig is.

Maar ik weet ook wel dat dit nooit gaat gebeuren.

[Little Penguin]

Verhindert een extensie als NoScript voor Firefox dit niet?

Voor zover ik weet houdt NoScript alleen JavaScript tegen en geen plugins oid.

Als NoScript alleen het uitvoeren van JS blokkeert dan heb je daar dus niets aan, je moet in elk geval er voor zorgen dat de plugins niet aangeroepen kunnen worden...

Edit: Hetgeen NoScript dus ook voor je kan doen...

[Reactie gewijzigd door Little Penguin op 24 juli 2024 06:31]

[Mike-RaWare]

Als je ook maar één seconde naar de site van NoScript kijkt kun je zien dat NoScript behalve JavaScript ook alle plug-ins kan tegenhouden.

[Chello200]

Als dit waar zou zijn betekent het dus dat MS hun reclame moet aanpassen ivm mogelijke law suits van consumenten die zich bedrogen voelen? Als het idd waar is dat deze low level hacking elk moment uit te voeren is en MS geen patch voor kan uitbrengen dan moeten bepaalde overheids en publieke instanties hun OS software maar vervangen naar linux varianten. Stel is voor dat bijv. Schiphol door een stel gekken wordt platgelegd. En ja ze gebruiken nog gewoon windows. Jullie hebben vast ook wel is een windows foutmelding gezien op zo'n arrival/departure bord. zorgelijk gewoon....

[wildhagen]

Ten eerste hangen bedrijfskritische systemen sowieso aan een eigen netwerk zonder verbinding naar buiten. Of op zijn minst achter een heel stevige firewall.

Ten tweede gaat op een bedrijfskritisch systeem niet gesurfd worden natuurlijk, waardoor die exploit er dus niet op kan belanden. Ook niet via andere stations, om de reden die hierboven genoemd is (gescheiden netwerken).

Ten derde is een arrival/departure bord niet bepaald kritiek, niemand gaat dood en er gebeurt niets ernstigs als er eens eentje omvalt.

Ten vierde, denk je nu echt dat een ander OS (of dat nou Linux, MacOS, FreeBSD etc doet er niet toe) geen exploits/bugs heeft?

[SirBlade]

Omzeilen ze hier ook UAC mee?

[Hennie-M]

Ja,

De exploit kan zichzelf system rechten toewijzen. Deze rechten staan boven de administrator groep en zal daarom de UAC niet aanroepen.

[mkampstra]

Ik denk dat MS redelijk slim is door de source gesloten te houden. Als het een open source zou zijn, dan kan iedereen lekken gaan zoeken, iedereen kan tegelijkertijd hacks en exploits gaan ontwerpen waardoor de security afdeling van MS opeens heeeeel veeeeel werk in een keer krijgt. Tuurlijk worden er nu bugs gevonden, maar MS heeft nu een compleet team wat op die ene bug zit omdat andere bugs wel gevonden worden maar dat het langer duurt, dus meer tijd om een beveiligingsupdate te maken. Als je een opensource hebt kan iedereen de beveiliging maken, maar kan ook iedereen een beveilingupdate maken waar de exploit inzit... Dus je neemt toch alleen de update van de maker zelf.. en dan heb ik liever een goede update waar 100 experts aangewerkt hebben dan een slechte update waar 10 experts ff snel wat gemaakt hebben omdat er nog zoveel meer bugs gevonden zijn... Nee hoor gewoon IE voor mij.

[mstam]

Ik denk dat MS redelijk slim is door de source gesloten te houden. Als het een open source zou zijn, dan kan iedereen lekken gaan zoeken, iedereen kan tegelijkertijd hacks en exploits gaan ontwerpen waardoor de security afdeling van MS opeens heeeeel veeeeel werk in een keer krijgt.

De community kan niet alleen bugs vinden, maar ook verhelpen.....dat is het mooie van open source software.

[Xirt]

Leuk dat de methode in een PDF bestandje staat beschreven, maar geeft dit mensen niet de mogelijkheid om uit te zoeken hoe ze deze methode het beste kunnen misbruiken? Het zal namelijk even duren voordat Microsoft met een antwoord komt en in de tussentijd kan er al veel schade aangericht zijn.

[Exe-cuter]

Het is dan ook een Black Hat bijeenkomst. Die houden zich niet aan de ongeschreven regels om de producent ruim op voorhand op de hoogte te brengen.

[HAL 9000]

De bijeenkomst héét "Black Hat", maar eigenlijk is het 'gewoon' een grote conferentie over security, en zijn er heel wat legitieme IT security firma's en consultant op aanwezig...

[Pim.]

Sterker nog, volgens mij is 80% van het volk wat daar rondloopt law enforcement en coorperate

[Blokker_1999]

Vraag is eerder hoe lang MS al op de hoogte is van deze exploit. Als men MS al enkele maanden geleden heeft ingelicht dan kan ik het waarderen dat men dit bekend maakt. Heeft men de info pas vorige week naar MS gestuurd dan had men idd beter nog even gewacht.

Men moet een softwaremaker tijd geven om met een oplossing te komen, maar helemaal achterhouden is geen oplossing. Als deze onderzoekers het gevonden krijgen dan kunnen mensen met minder goede bedoelingen het ook vinden.

[Xirt]

Er staat in de tekst dat ze het geheel nader gaan bestuderen. Als ze dit al een tijd wisten denk ik dat ze dat allang gedaan zouden hebben. In ieder geval moeten ze er nu wel druk opzetten aangezien dit document openbaar is.

[Katsunami]

Dit is geen "exploit" van Windows of IE. Men heeft weer eens gewoon Windows hiervoor gebruikt. Er wordt notabene gezegd dat er een zwakheid in java wordt misbruikt, en dat het met objecten en code in verschillende programmeertalen en met andere browsers werkt. Dat zou betekenen dat het per difinitie ook met java, firefox, en dus op linux of welk ander OS dan ook zou moeten werken.

[johnbetonschaar]

De attack vector is volgens het artikel .Net/ActiveX via IE. Knappe jongen die dat op Linux of OS X voor elkaar krijgt...

[Verwijderd]

Voordat je het gehele document hebt doorgelezen ben je ook een week verder

[RwD]

Ze zijn toch niet verplicht? Wat netjes is is een ander verhaal. Maar gezien de veel voorkomende types posts richting Microsoft zou ik zeggen dat veel mensen hetzelfde hadden gedaan. Hoe dan ook; ze mogen zelf beslissen wat ze met de gevonden fout doen...

[mor0n]

Maar goed dat er ook andere developers oplettend zijn en ook gewoon de beveliging testen.

[Dutchman01]

ik denk dat het eigenlijk heel simpel is, niets is veilig.

ook al sluit je de deur af, je kan dan ook nog via een raam naar binnen he

al is het eerst met een baksteen er door heen.

wat is veilig?


als je je fiets op slot zet dan vind je vaak alleen nog je slot terug maar je fiets????