PC virksomheder bliver sløv med sikkerhed
Intet er helt sikkert, og vi vil aldrig fjerne alle sårbarheder derude. Men vi bør ikke se så mange sjusket fejl som vi har set fra HP, Apple, Intel og Microsoft i 2017.
Venligst PC-producenter: Brug tid på det kedelige arbejde for at gøre vores pc'er sikre. Vi har brug for mere sikkerhed, end vi har brug for skinnende nye funktioner.
Apple forlod et gaping hul i macOS, og havde en dårlig jobpatching det
Hvis dette var noget andet år, ville folk holde Apples Macs op som et alternativ til PC-kaoset. Men det er 2017, og Apple har haft den mest amatørlige, sjusket fejl af alle - så lad os starte der.
Apples seneste version af macOS, kendt som "High Sierra", havde et hul i sikkerhedshullet, der gjorde det muligt for angribere at logge hurtigt ind som root og få fuld adgang til din pc - bare ved at prøve at logge ind et par gange uden et kodeord. Dette kan ske eksternt via skærmdeling, og det kan endda omgå filen FileVault-kryptering, der bruges til at sikre dine filer.
Værre endnu, plasterne Apple sprang ud for at ordne dette ikke nødvendigvis løse problemet. Hvis du installerede en anden opdatering bagefter (fra før sikkerhedshullet blev fundet), ville det genåbne hullet. Apples plaster blev ikke inkluderet i andre OS-opdateringer. Så det var ikke kun en dårlig fejl i High Sierra i første omgang, men Apples svar - mens det var ret hurtigt - var et rod.
Dette er en utroligt dårlig fejl fra Apple. Hvis Microsoft havde et sådant problem i Windows, ville Apple-ledere tage potskud i Windows i præsentationer i de kommende år.
Apple har kæmpet for Macs sikkerhedsanvendelse alt for længe, selvom Macs stadig er mindre sikre end Windows-pc'er på nogle grundlæggende måder. For eksempel har Mac'er stadig ikke UEFI Secure Boot for at forhindre angribere i at manipulere med opstartsprocessen, som Windows-pc'er har haft siden Windows 8. Sikkerhed ved dunkelhed vil ikke flyve til Apple længere, og de skal træde op.
HPs forudinstallerede software er en absolut mess
HP har ikke haft et godt år. Deres værste problem, som jeg personligt oplevede på min bærbare computer, var Conexant keyloggeren. Mange HP-bærbare computere blev sendt med en lyddriver, der loggede alle tastaturer til en MicTray.log-fil på computeren, som alle kunne se (eller stjæle). Det er helt vanvittigt, at HP ikke ville fange denne fejlkode før den blev sendt på pc'er. Det var ikke engang skjult - det var aktivt at oprette en keylogger-fil!
Der har også været andre, mindre alvorlige problemer i HP-pc'er. HP Touchpoint Manager-kontroversen var ikke helt "spyware" som mange medier ønskede, men HP mislykkedes i at kommunikere med sine kunder om problemet, og Touchpoint Manager-softwaren var stadig et ubrugeligt, CPU-hogging program, der ikke er nødvendigt for hjemmecomputere.
Og på toppen af det hele havde HP laptops endnu en anden keylogger installeret som standard som en del af Synaptics touchpad drivere. Denne er ikke lige så latterlig som Conexant. Den er deaktiveret som standard og kan ikke aktiveres uden administratoradgang, men det kan hjælpe angriberne til at undgå detektering ved hjælp af antimalwareværktøjer, hvis de ønskede at keylog en HP-bærbar computer. Endnu værre betyder HPs svar, at andre pc-producenter kan have samme driver med den samme keylogger. Så det kan være et problem på tværs af den bredere pc-industri.
Intels hemmelige processor-indenfor-en-processor er gået med huller
Intels ledelsesmotor er et lille lukkekilde sorte boks operativsystem, der er en del af alle moderne Intel-chipsæt. Alle pc'er har Intel Management Engine i en konfiguration, selv moderne Macs.
På trods af Intels tilsyneladende pres for sikkerhed ved dunkelhed har vi set mange sikkerhedsproblemer i Intel Management Engine i år. Tidligere i 2017 var der en sårbarhed, der tillod fjernadgang uden adgangskode. Heldigvis gælder dette kun for pc'er, der havde Intels Active Management Technology (AMT) aktiveret, så det ville ikke påvirke hjemmebrugernes pc'er.
Siden da har vi dog set en række andre sikkerhedshuller, der skulle patches i stort set alle pc'er. Mange af de berørte pc'er har stadig ikke fået lapper frigivet til dem endnu.
Dette er særlig dårligt, fordi Intel nægter at tillade brugere hurtigt at deaktivere Intel Management Engine med en UEFI-firmware (BIOS) indstilling. Hvis du har en pc med Intel ME, som producenten ikke vil opdatere, har du ikke held og har en sårbar pc for evigt ... godt, indtil du køber en ny.
I Intels hastighed at starte deres egen fjernadministrationssoftware, der kan fungere, selv når en pc er slukket, har de introduceret et saftigt mål for angriberne at gå på kompromis. Angreb mod Intel Management-motoren vil fungere på praktisk taget enhver moderne pc. I 2017 ser vi de første konsekvenser af det.
Selv Microsoft har brug for lidt fremsyn
Det ville være let at pege på Microsoft og sige, at alle skal lære af Microsofts troværdige computerinitiativ, som begyndte i Windows XP-dage.
Men selv Microsoft har været lidt sjusket i år. Det handler ikke kun om normale sikkerhedshuller som et uhyggeligt fjernbetjeningshul i Windows Defender, men problemer, Microsoft burde nemt have kunnet se.
De ubehagelige WannaCry og Petya malwareepidemier i 2017 spredte begge med sikkerhedshuller i den gamle SMBv1-protokol. Alle vidste, at denne protokol var gammel og sårbar, og Microsoft anbefalede endda at deaktivere den. Men trods alt det var det stadig aktiveret som standard på Windows 10 indtil Fall Creators Update. Og det var kun deaktiveret, fordi de massive angreb skubbede Microsoft for endelig at løse problemet.
Det betyder, at Microsoft bekymrer sig så meget om gammel kompatibilitet, at den vil åbne Windows-brugere for at angribe i stedet for at proaktivt deaktivere funktioner, som meget få mennesker har brug for. Microsoft behøvede ikke engang at fjerne det - bare deaktiver det som standard! Organisationer kunne nemt have genaktiveret det til arvsmæssige formål, og hjemmebrugere ville ikke have været udsatte for to af 2017's største epidemier. Microsoft har brug for fremsynet for at fjerne funktioner som dette, før de forårsager sådanne store problemer.
Disse virksomheder er ikke de eneste, der selvfølgelig har problemer. I 2017 så Lenovo endelig til at afvikle med US Federal Trade Commission over at installere "Superfish" man-in-the-middle-softwaren på pc'er tilbage i 2015. Dell sendte også et rodcertifikat, der ville tillade et man-i-midten-angreb tilbage i 2015.
Det hele ser bare ud til for meget. Det er på tide, at alle involverede bliver mere seriøse om sikkerhed, selvom de skal forsinke nogle skinnende nye funktioner. Hvis du gør det, må du ikke få fat i overskrifter ... men det forhindrer overskrifterne, ingen af os ønsker at se.
Billedkredit: ja-billeder / Shutterstock.com, PhuShutter / Shutterstock.com
