Microsoft brukte sju år på fiks
Først sju år etter at sikkerhetshullet ble oppdaget klarte Microsoft å tette det. Les hvorfor.
Microsofts siste månedlige oppdatering inkluderte en fiks for et sikkerhetshull som har vært kjent i hele syv år, melder Computerworlds internasjonale nyhetstjeneste.
Feilen ligger i Microsofts SMB-protokoll (Server message block), som brukes av Windows for å dele filer og skrivere over et nettverk.
I Microsoft security response center blog innrømmer talsmann Christopher Budd at denne feilen har vært kjent i syv år, men altså ikke blitt fikset før nå.
- Da feilen ble oppdaget i 2001, sa vi at vi ikke kunne fikse den uten å ødelegge for nettverksbaserte applikasjoner, skriver han i bloggen.
LES OGSÅ: Microsoft-info førte til orm
- Hadde vi gjort noe, ville det ødelagt for nesten alle slike applikasjoner.
I stedet for å fikse feilen, sa Microsoft at folk burde beskytte seg ved å bruke SMB-signaturer. Dette viste seg å ikke være noen mirakelkur, ettersom å innføre slike signaturer var vanskelig.
I mellomtiden utviklet hackeren Sir Dystic en angrepsmetode som beviste at feilen kunne utnyttes, men koden ble aldri distribuert i særlig grad.
Siden den gang har Microsoft fundert over hvordan de kan tette hullet uten å påvirke for mange nettverksapplikasjoner. Og nå har de altså klart det.
Syv år etter.
LES OGSÅ: Sjokktest av sikkerhetspakker
- Det virker faktisk fornuftig, sier Eric Schultze til Computerworlds internasjonale nyhetstjeneste.
Han jobbet tidligere i Microsoft, og var den som advarte selskapet om SMB-angrepsmetoden.
- Jeg kjørte hardt på for å få dem til å fikse det. Vi hadde møter med operativsystem-utviklerne og Internet Explorer-utviklerne. Det tok tid før alle forstod hva som foregikk, forteller han.
- Microsoft overdriver nok litt når de sier at alle nettverksapplikasjoner ville bli ødelagt, men ja, det var vanskelig å fikse, sier Schultze, som mener hverken operativsystem-utviklerne eller Internet Explorer-utviklerne ville ta ansvar for å gjøre jobben.
Han tror grunnen til at det nå er fikset, er at Microsoft har hatt svært så god tid til å jobbe med problemet, og tid var noe han ikke fikk nok av da han jobbet hos it-giganten.
En annen grunn kan også være at sikkerhetshullet ble utnyttet i en ny modul til hackeverktøyet Metasploit. Denne modulen kom faktisk ikke tidligere enn for noen måneder siden, til tross for at hullet er syv år gammelt.
- Dessuten har Microsoft et annet syn på sikkerhet nå enn i 2001, fortsetter den tidligere Microsoft-arbeideren.
- Jeg er glad hullet nå er tettet, men jeg er skuffet over at det ikke skjedde tidligere.
LES OGSÅ: Google med sikkerhetsvarsel
