Mostrando entradas con la etiqueta SDL. Mostrar todas las entradas
Mostrando entradas con la etiqueta SDL. Mostrar todas las entradas

viernes, febrero 02, 2007

No Compres Vista por la Seguridad

Durante los últimos tiempos he estado leyendo comentarios del tipo “Vista no trae nada nuevo” un “XP SP2 con software de terceros es suficiente”, “XP SP2 es suficientemente bueno”, “…”.

Ahora he leído por algún sitio, “Spectra nos la ha metido otra vez”, “tendrá el 50 % del mercado en un año, porque tiene el poder de los medios”, “etc…”

Bien, creo que llevan razón en casi todo (Menos en lo de que Vista no trae nada nuevo, con respecto a XP SP2 y a otros sistemas operativos). XP SP2 es un buen sistema operativo, y se puede estar seguro con él. En mi opinión, un Windows XP SP2 bien configurado con un buen usuario y/o admin y las cosas pueden ir perfectamente.

Ahora bien, XP SP2 viene de XP, un sistema operativo que no estuvo dentro de la TCI (trustworthy Computing Iniciative) y que no se desarrolló bajo el SDL (Secure Development Lifecycle). Cuando apareció SP2 (ya bajo TCI y SDL) se aplicaron las reglas de la fortificación de sistemas (defensa en profundidad, mínimo punto de exposición y mínimo privilegio posible) pero, no se pudo rehacer el sistema desde cero, la arquitectura era la que era y sobre ella había que fortificarlo.

Windows Vista, bajo SDL, empieza de cero y se trabaja limpio. Se cambia el sistema, de crean cuatro niveles de integridad en el sistema que se controlan con las nuevas tecnologías MIC (Mandatory Integrity Control) y UIPI (User Interface Privilege Isolation), se cambia la estructura de servicios ( se les añade, SID, un manifiesto de limitación y se reduce la superficie privilegiada), se añade la virtualización de procesos para evitar el acceso a ficheros y claves de registro, se añade el Bitlocker, el uso del chip TPM (Trusted Platform Module), se añaden las tecnologías DEP (Data Execution Prevention) (ya disponible en XP SP2) y el uso de ASLR (Address Space Layout Randomization) para evitar ataques de desbordamientos de buffer. Se hace que el firewall sea de entrada/salida, que se controle por políticas, se restringen por políticas los dispositivos que se pueden pinchar, se añade el modo protegido para que el IE no sea un proceso sino 2, uno de ellos corriendo en el nivel de integridad más bajo del sistema operativo, que no puede acceder a nada, se firman los drivers que entran en el kernel para subir la calidad de los desarrollos y para evitar intrusiones no autorizadas, se añade el UAC (User Account Control) para evitar el uso de privilegios incluso para los usuario logados con una cuenta privilegiada, Se añade la tecnología NAP (Network Address Proteccion) para comprobar la “salud” de las máquinas en la red, la posibilidad de usar LDAP para firmar las conexiones IPSec, el Windows defender, el Centro de Seguridad, el monitor de confiabilidad, los diagnósticos de memoria, disco duro, red. Recuperación en arranque, firma y comprobación de librerías del sistema para garantizar la integridad del sistema en llamadas a funciones,….

Y luego todo lo demás, el Aero, el ReadyBoot, el ReadyBoost, la integración de las búsquedas, Superfetch, y el resto de las cositas molonas, que me las conozco menos, lo siento.

En fin, os extraigo un párrafo de un artículo, y por favor, luego leedlo entero, que las extracciones son partidistas.

Litchfield and other security researchers are impressed with the work Microsoft has done on Vista, in particular because the operating system has gone through the company's Security Development Lifecycle, a process designed to prevent flaws and vet code before it ships. Also, Microsoft challenged hackers to break Vista before its release.

"If you're looking to buy a new computer, the security features built into Vista tip the balance in its favor over other options such as Mac OS X," Litchfield [a noted security bug hunter] said. "We've moved beyond the days of lots of bugs and worms. Recent history shows that Microsoft can get it right, as they did with XP SP2. With Vista, they will again demonstrate that."

"To be clear, XP SP2 was a massive leap for Windows security. But XP SP2 was not the systemic, top-to-bottom, scrub-everything experience that Vista is," said Dan Kaminsky, an independent security researcher. "XP SP2 secured the surface. Vista security goes much deeper. It's a far bigger leap."

Kaminsky was among about two dozen hackers asked by Microsoft to try to hack Vista. The exercise took about eight months, and Microsoft paid attention to the feedback, he said. "They did what we asked," Kaminsky said. "The security community spent years bashing Microsoft, and (Microsoft) deserved to get bashed. But they listened."
If you are in the market for a new Windows PC because your old computer is outdated or otherwise failing on you, Vista is your best bet, all experts agree.


Experts: Don't buy Vista for the security

sábado, enero 27, 2007

Con Ganas de Pelea

Bueno, ya pasó una de las tres semanas mortales que tengo por delante. Después de hacer el examen el jueves y viajar a Barna y hacer mil cosas, no tenía muchas ganas el viernes de nada, así que directamente, me autoflagelé un poquito con las críticas de mis amigos. Hoy, ya descansado (caí en la cama a las 9 de la noche de puro agotamiento) me levanto con ganas de pelea, así que primero a por mi amigo Mr Fud.

El tema es que yo escribí un post diciendo que "Cool" Google es una empresa grande, como Spectra, que en esto no hay mágia que si quieres que salgan las cosas bien, hay que hacer mucho trabajo y que se le acusa a Spectra de cosas que al resto de las empresas no se les acusa.

Julieta (voy a seguir con ese nombre, que me da mucho morbo) jugó a escribir una analogía de mi texto. No quise contestarlo, porque después de todo lo que llevo escrito durante este año, pensé que no hacía falta, pero ... como el capuyo se lo ha pasado fetén a mi costa (XD) pues ahora, que tengo ganas de guerra, te pongo unos comentarios.

Dice:

Bueno, Bueno. Ya descansado, me encuentro más recuperado y con ganas de guerra, así que voy a decirte un par de cositas sobre el comentario:

En un país como España, donde el uso de Windows es el mayor del mundo, y donde otros servicios como freebsd, MacOsX, Linux, son meras rarezas.


[Bronxtolita]
Sí, de hecho son las rarezas más grandes del mundo, pq la imnplantación en Extremadura de Linex y la de Guadalinex son de las más grandes del mundo lo que le llevo a lucir portadas de revistas a nuestros políticos de el españa cañí
[/Bronxtolita]

La seguridad de los servicios de Windows se convierte en un asunto de primera magnitud.Pensando solo en que tienen el 95 % de cuota de mercado en sistemas operativos podrían ser capaces de gestionar la información que llega a los usuarios y mediatizarla. Si quisieran, que no quieren. (no empecemos con teorías conspiratorias)

[Bronxtolita]
¡cierto!! Totalmente cierto!! Por eso, los Cuerpos de Seguridad del Estado tienen acceso al 100 % (perdón, ¿he dicho el 100 %? sí, sí, he dicho el 100 %, porque es el 100 %) del código fuente de Office y Windows, NO como decía yo en mi artículo, del código de Google!. De hecho, un amigo nuestro común, en una reunión en las oficinas de Google en Madrid se le ocurrió hacer en diciembre TAN ESTUPIDA PREGUNTA.
[/Bronxtolita]

Los problemas de Microsoft con la seguridad han ido parejos al crecimiento de la compañía en todas las áreas. En el pasado quedan los fallos que han permitido tomar el control de las cuentas de los usuarios, los agujeros de IE, la nunca jamás tan divertida cagadita de los ficheros WMF, que rápidamente fue tomado por un amiguete que pasaba por allí o la publicación accidental del código de windows en el emule.

[Bronxtolita]
De hay, hasta el nacimiento de la Trustworthy Computing Iniciative, en la que, tras fichar a personas como Michael Howard o Don Box y la creación del SDL, hizo que los fallos de los productos de Microsoft descendiera radicalmente en comparación con los fallos de sus competidores. Tanto es así, que la forma de gestionar los fallos de seguridad está siendo seguida por compañías competidoras (incluidas algunas de SL).
[/Bronxtolita]

En cuanto a mi amigo "Pajarraco" de los Santos y sus mensajitos al Spectra Office.

[Bronxtolita]

La gestión de los fallos de seguridad, como tu ya sabes tiene en Micro.., perdón, en Spectra una triple aproximación. Primero la mitigación con el SDL, segundo lugar la remediación por medio de una política de actualizaciones de seguridad que aune rapidez y calidad, esto a veces no es posible, como bien sabes, ya que, como hemos hablado muchas veces en privado, Spectra tiene firmados compromisos de prueba con multiples fabricantes de aplicaciones de Software que se realizan sobre el API de sus productos (por eso vienen siempre con el SDK). Así un parche de Office, debe ser probado en todos los sistemas operativos, en todos los idiomas y con todos los productos que tiene firmado. Luego vienen las pruebas de funcionamiento unitario, el test de integración, las de compatibilidad, las pruebas de regresión y, si afecta a componentes de E/S las pruebas de impresión. Es decir un parche se realiza en 3 cuartos de hora, porque, como ya sabes, todo el código de los productos de Spectra, está identificado y se conoce a su programador, pero las fases de prueba y despliegue se hacen con mucho cariño.

Sí, siempre podríamos utilizar la filosofía de tu OO (OtroOffice) de entregar las cosas WITHOUT WARRANTY "AS IT" y luego cobrar, no se, en lugar de una licencia, por servicios, que contrataran un mantenimiento mensual o anual obligatorio (¿o crees que se pueden tener productos en las grandes empresas sin mantenimiento contratado?) No, los parches que entrega Spectra llevan WARRANTY, ¿qué tontería verdad?

O podemos jugarnos la vida e instalar parches no oficiales, como uno que llegaron a recomendar muchas empresas y que luego daba un error muy tonto en ciertos sistemas operativos en ciertos idiomas, con el modulo de impresión (y no quiero señalar). Luego se recomendaba también desinstalar y aplicar el oficial, pero...., ¿habrían hecho todas las pruebas de regresión adecuadas en todos los sistemas operativos, idiomas, etc... o sería también jugar a la ruleta rusa?

La tercera aproximación es una que conoces bien tú, por el tema del Phising, consiste en localizar y cerrar los servidores que atacan a sus clientes con el equipo del MSRC (Spectra Security Response Center) y del MIIST (Spectra Internet Investigation Security Team) y entregar a la gente de seguridad los listados con todos los sitios, reportados a Spectra (bquintero), atancando (vamos, ese excel que te enseñe el día de la charla.

[/Bronxtolita]

Bueno, venga, un poco de caña, que esto ya parece barrio sesamo de, como dicen en Pulp Fiction, "chuparnos las pollas". Esto es El lado del Mal por algo, coño.

Entradas populares