Start Empfohlen Warum Microsoft Windows Update für Drittentwickler öffnen muss

Warum Microsoft Windows Update für Drittentwickler öffnen muss

10
0


Es herrscht viel Verwirrung darüber, wann Angriffe auf Computer aufgrund von Sicherheitslücken in Software statt einer anderen Schwachstelle, normalerweise Social Engineering, auftreten. Beim Schutz vor Sicherheitslücken unter Windows wurden erhebliche Fortschritte erzielt, und wir können die Ausnutzung noch erschweren, wenn Microsoft in mein Schema überredet werden kann: Windows Update für Anwendungen von Drittanbietern öffnen.

Meiner Meinung nach ist Social Engineering weitaus wichtiger als Schwachstellen und gewinnt zunehmend an Bedeutung. Ein Grund dafür ist, dass Schwachstellen ein schwierigeres Ziel sind als früher, und das liegt zum großen Teil an der Arbeit, die Microsoft in den letzten 6 oder 7 Jahren geleistet hat.

Microsoft meldet immer noch Sicherheitslücken in Windows und einige davon sind schwerwiegend, aber meines Wissens gab es keine weit verbreiteten Sicherheitslücken in Windows Vista oder Windows 7. Dies liegt zum Teil daran, dass diese Versionen weniger und weniger schwerwiegende Sicherheitslücken aufweisen als die dampfenden Misthaufen nennen wir Windows XP, aber auch, weil Windows Update besser funktioniert und standardmäßig aggressiver ist.

Wie Secunias Jahresabschluss 2010 macht deutlich, dass das gesamte Wachstum an Schwachstellen, einschließlich des Schweregrads, in Software von Drittanbietern liegt. Haben Sie jemals versucht, die gesamte Software von Drittanbietern auf Ihrem System zu aktualisieren? Es ist schwer, zeitaufwendig und manchmal weiß man nicht, wo man anfangen oder aufhören soll. Außerdem gibt es die ganze Frage „Ist das ein legitimes Update?“ Frage.

Es gibt eine Möglichkeit, dies zu verbessern, und Microsoft kann dies ermöglichen. Die Antwort ist, „Windows Update as a Service (WUaaS)“ zu öffnen. Software-Drittanbieter sollten ihre Updates über Windows Update anbieten können. Auf diese Weise haben die Benutzer einen Ort, an den sie gehen können – einen Ort, an den sie wahrscheinlich sowieso gehen –, um alle ihre Updates zu verwalten.

Ich habe diesen Vorschlag schon einmal gemacht, und Microsofts Reaktion war, dass es nicht dafür verantwortlich sein wollte, den Code einer anderen Person an den Computer eines Benutzers zu liefern. Ich kann mitfühlen, aber das muss nicht sein. So sollte es funktionieren: Windows Update weiß, wie man nach Updates für Microsoft-Produkte sucht. Anwendungen, die unter Windows installiert werden, sollten eine Option haben – zum Teufel, machen Sie es obligatorisch –, Adressen und Schnittstellen zum Windows Update-Subsystem für dieses Produkt und seine Updates bereitzustellen. Wenn es installiert ist, sehen Windows Update-Benutzer Registerkarten oder Dialogfelder oder was auch immer, um Updates für dieses Produkt anzuzeigen und zu installieren, genau wie bei Microsoft-Produkten. Microsoft wird die Updates nicht liefern, der App-Hersteller schon.

Der App-Anbieter muss seine Updates so verpacken, dass die Windows Update-Spezifikationen erfüllt werden. Dazu gehören Dinge wie Codesignaturen mit einem für Windows Update akzeptablen Zertifikat und die Verwendung von TLS. Es ist möglich, aber möglicherweise nicht erforderlich, dass der Anbieter die Updates auch mit einem von Microsoft bereitgestellten Zertifikat signiert. Dadurch könnte Microsoft steuern, wer Updates über dieses System bereitstellen darf.

Bedenken Sie, dass Apple mit dem Mac App Store so etwas vage macht. Einer der Vorteile für Benutzer besteht darin, dass Updates über den Store bereitgestellt werden, sodass Benutzer nur einen Ort zum Suchen haben. Dies ist einer der Vorteile von Apples Ansatz, der hilft Benutzern, sicherere Systeme zu implementieren, aber es ist nur ein Schritt. Bei Macs gibt es noch große Lücken.

Secunia hat eine Reihe von Tools, die irgendwie tun, was ich verlange. Wenn Sie einen Agenten auf Ihrem Computer ausführen und ihre umfangreichen Datenbanken mit Produkten, Schwachstellen und Updates nutzen, erfahren Sie von ihren Software Inspector-Produkten, was installiert ist, wie veraltet sie sind, wofür Sie anfällig sind und geben Ihnen Links, wo Sie hingehen können aktualisieren. Sie haben den Vorteil, mit jedem Produkt zu arbeiten, das sie unterstützen möchten, aber es ist nicht so, als ob es in Windows integriert wäre.

Larry SeltzerLarry Seltzer ist freiberuflicher Autor und Berater und beschäftigt sich hauptsächlich mit Sicherheitsfragen. Er hat kürzlich für Infoworld, eWEEK, Dr. Dobb’s Journal geschrieben und ist Mitherausgeber beim PC Magazine und Autor von dessen Security Watch-Blog. Er hat auch für Symantec Authentication (ehemals VeriSign) geschrieben und Intelligente Whitelisting-Site von Lumension.



Vorheriger Artikel31 % der Internetnutzer in der EU waren 2010 mit Würmern oder Trojanern infiziert
Nächster ArtikelChrome hacken? Google setzt 20.000 $, die Sie nicht können

Kommentieren Sie den Artikel

Bitte geben Sie Ihren Kommentar ein!
Bitte geben Sie hier Ihren Namen ein