F5 Networks wint 'Pwnie'-award voor beveiligingsprobleem

Op de Black Hat-conferentie in Las Vegas heeft F5 Networks een Pwnie-award gewonnen. Apparaten uit een bepaalde reeks beschikten over dezelfde privésleutel, waardoor ze voor iedereen met kennis van die sleutel toegankelijk waren.

De privésleutel, die kon worden gevonden in de firmware, was gelijk voor alle BigIP-apparaten, waardoor het mogelijk was om met kennis van de sleutel op elk willekeurig product in die reeks in te loggen.

De BigIP-productreeks van F5 Networks, een fabrikant van netwerkapparatuur voor de zakelijke markt, omvat onder meer load-balancers en netwerkbeveiligingsapparatuur.

Om die reden heeft F5 Networks tijdens de uitreiking van de Pwnie-awards een 'Epic Fail'-award toegekend gekregen. Andere kanshebbers in deze categorie waren LinkedIn, dat begin vorige maand met een zeer groot datalek kampte, evenals de antivirusindustrie.

"Eigenlijk horen antivirusbedrijven die prijs elk jaar te krijgen", schamperde een van de juryleden van de Pwnie Awards. Dit jaar zouden de antivirusbedrijven hun eigen onvermogen echter zelf hebben toegegeven, stelt hij. Beveiligingsonderzoeker Mikko Hypponen van F-Secure gaf aan dat de antivirusindustrie had 'gefaald' bij de megavirussen Flame, Duqu en Stuxnet, die virusscanners niet wisten te detecteren.

Datzelfde Flame-virus won wel een prijs, in de categorie 'Epic 0wnage'. De Pwnie-awards zijn bedoeld om hoogte- en dieptepunten op het gebied van ict-beveiliging te eren. Ook onderzoekers die bugs in MySQL, Windows en wifi hebben gevonden, werden geëeerd met een Pwnie.

Reacties (18)

[BeQuietAndDrive]

Of het nu echt heel handig is om een virus te gaan 'eren' met een award kun je je vraagtekens bij hebben. Maakt de sport om zo'n ding te programmeren misschien weer wat groter.

Verder geinige awards zo, die Epic Fail award lijkt me gepast toegekend

[Rixter223]

Niet mee eens, geeft die anti virus jongens misschien een stimulans om eens met een goed product te komen want dat word eigenlijk wel eens tijd!
Verder ben ik het met je eens met die epic fail award, wat een beginnersfout

[DarkBlazer]

Misschien een goed voorbeeld voor Microsoft Security Essentials? is alleen maar een anti virus en niet een compleet pakket. Weinig virussen worden herkend maar de oude wel weer....

[Bierfustje]

Meeste pakketten bevatten een compleet overbodige firewall (zit al in het OS en 3rd party FW's gebruiken dezelfde hooks (kunnen dus niet veiliger zijn; hooguit vriendelijker), een malware scanner (wat MSE dus is) en plugins voor mail applicaties en browsers.

Die laatste twee zijn er niet van MSFT voor de consumenten.
Echter, wanneer je e.g. een bijlage ontvangt in je email, zal deze gescanned worden oordat je de code uitvoerd en/of opslaat.

Daarentegen: heb nog niemand ooit horen klagen over negatieve performance van hun OS nadat ze MSE geinstalleerd hadden. Dit itt de 'vette varken' pakketten van e.g. McAfee en Symantec.

Er zijn onafhankelijke instanties die malware scanners testen; hier komt MSE telkens goed uit; vaak in de top 3, maar idd niet op elk onderdeel. Dit laaste geld overigens ook voor de overige anti-malware pakketten.

Maar installeer jij maar een pakket van 100 euro (met malware geinfecteerde keygenerator, of een legale versie) als dit jou blij maakt.

[bogy]

als msse een compleet pakkeet zou zijn... kocht niemand nog een AV .. en wat denk je dat er dan gebeurt??? antitrust case nr zoveel ... en microsoft kan dan weer x miljoen betalen aan al die bedrijven die schade lijden...

neen; wil jij dégelijke beveiliging (of toch beter dan die msse 'ik scan tegenover een bekende database beveiliging') dan zul je moeten betalen...

je kan al voor vrij lage bedragen een av krijgen tegenwoordig

[Verwijderd]

Al kan je je natuurlijk afvragen wat de logica is om additionele software te installeren om veilig te kunnnen werken. Waarom is dit geen integraal onderdeel van het OS?

[Bierfustje]

elk OS is en zal altijd kwetsbaar blijven voor malware.
Niemand kan op geen enkel OS voorkomen dat 'domme gebruikers' malware activeren.

Het ene OS is vanuit historisch oogpunt populairder om malware voor te schrijven en zal dat voorlopig ook nog wel blijven. Ken echter maar weinig mensen die malware op hun machine hebben gekregen de afgelopen jaren.
Zij gebruiken dan ook echter geen illegale software met bijbehorende 'ja hoor, negeer je AV melding maar, deze keygen is echt goed'-keygenerator...

En gelukkig worden de consumenten steeds IT bewuster (lees: doen ze minder domme dingen) en maakt MSFT het steeds moeilijker voor gebruikers om een 'domme aktie' uit te voeren.

[0rbit]

Nee, inderdaad, als je net voor een paar miljoen aan schade gedaan hebt dan ga je maar al te graag je hoofd laten zien en een prijs ophalen

[THX]

Inderdaad. 'k Zie het al voor me:
"Ladies and gentlemen; the President of the United States!"

[dasiro]

"voor de sport" zijn die echt niet gemaakt hoor. Er zat voor miljoenen dollars aan budget achter de ontwikkeling van duqu en stuxnet.

Dat zou zijn alsof Michael Phelps mee doet aan een zwemwedstrijd voor 10-jarigen

[tes_shavon]

Ook onderzoekers die bugs in MySQL, Windows en wifi hebben gevonden, werden geëeerd met een Pwnie.

Hmm.,.. de Pwnie heeft in deze dan toch een dubbele betekenis. Enerzijds negatief aan F5, anderzijds positief aan de onderzoekers.

[ltcom]

Het zou de toon van het artikel en de reputatie van de Pwnies wel ten goede komen als de positieve awards wat breder werden uitgelicht dan de negative. Nu staan de mensen die op een nette manier hebben bijgedragen aan de veiligheid van het internet in een voetnoot, terwijl anonieme virusschrijvers en een prutsend bedrijf breed uitgemeten worden.

[Mashidaru]

De Pwnie is het award, die kan je krijgen in verschillende categorieën. Net als de Oscar en de Emmy.

[TonnyTonny]

Ja maar "negatieve" awards heten geen Oscar of Emmy: Dat zijn Razzies.

[S7YX]

Waarom is het niet erkennen van een nieuw virus een faal als datzelfde virus meerdere zero day exploits gebruikt?

[Verwijderd]

aangezien het helemaal geen knappe prestatie is omdat het resultaat is verwezenlijkt door georganiseerde misdaad die wellicht wegens politieke redenen door de VS danwel Israel gefundeerd wordt.

Dat er veel zerodays in te vinden zijn is echt niet knap als je de capaciteit voor het zoeken van exploits er maar voor hebt, het wordt pas knap als Henk Quinten uit noord-brabant een zeroday in veel gebruikte software vindt.

Los daarvan vind ik eigenlijk heel dat BlackHat maar een jammerlijk gebeuren; de hele hacking scene pivoteert om het opensourcen van informatie en het summum van hackersconferenties is potdicht.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 20:11]

[Maurits van Baerle]

"Eigenlijk horen antivirusbedrijven die prijs elk jaar te krijgen", schampte een van de juryleden van de Pwnie Awards. Dit jaar zouden de antivirusbedrijven hun eigen onvermogen echter zelf hebben toegegeven, stelt hij. Beveiligingsonderzoeker Mikko Hypponen van F-Secure gaf aan dat de antivirusindustrie had 'gefaald' bij de megavirussen Flame, Duqu en Stuxnet, die virusscanners niet wisten te detecteren.

Een beetje eigenaardig eerlijk gezegd. De reguliere AntiVirus bedrijven hebben als doel om hun klanten te beschermen. Hun klanten zijn consumenten en bedrijven. De meeste bedrijven is het sowieso verboden om software of hardware te leveren voor uranium centrifuges of nucleaire installaties, laat staan dat je van een AV bedrijf kunt verwachten dat ze scannen voor aanvallen die alleen op die toepassingen gericht zijn.

Ik heb liever dat mijn AV fabrikant haar energie richt op dingen waar ik last van heb, niet Flame of Stuxnet. Ik heb namelijk geen industriële centrifuges of nucleaire verrijkingsinstallaties thuis staan.

[Reactie gewijzigd door Maurits van Baerle op 23 juli 2024 20:11]

[moreasy]

Dat het uiteindelijke doel industrieele installaties betrof, neemt niet weg dat het virus herkend had moeten worden zodra deze zich op een desktop had genesteld. Het blijft hoe dan ook een virus en een antivirusprogramma had dat dus gewoon moeten herkennen.