mboost-dp1

unknown

Windows version af Safari fyldt med sikkerhedshuller

- Via VNU-net - , redigeret af Pernicious

Blot timer efter udgivelsen af betaen af browseren Safari til Windows, har sikkerhedseksperterne Aviv Raff, David Maynor og Thor Larholm uafhængigt af hinanden fundet flere sikkerhedsfejl i Apples browser til Windows.

Der er naturligvis stadig tale om et forholdsvist tidligt smugkig, men sikkerhedshullerne er der, til trods for at Apple fremhæver Safari som værende sikker fra dag 1.

Avi Raffs eget blogindlæg kan ses her
David Maynors eget blogindlæg kan ses her
Thor Larholms eget blogindlæg kan ses her





Gå til bund
Gravatar #51 - DanaKaZ
14. jun. 2007 07:57
#46 Yikes det tog dig ikke lang tid at finde en obskur sammenhæng til at få brug f-ordet.

Men forklar mig hvorfor jeg skulle bruge lang tid på at sidde og kigge skins igennem, nå jeg kan hente Camino som fra starten af ser godt ud. Og desuden køre langt bedre end firefox.

Og jeg sagde ikke at Brushed Metal er tudegrimt, men der er tit folk der kritiserer OS X for at have for mange forskellige temaer på dets vinduer, og det retter Uno op på.

Så slap lige en anelse af før du overfortolker situationen.

#48 Jaja det er godt med dig. Nu var det jo ikke udseendet der var det eneste jeg havde at udsætte på Firefox. Men du så vel bare dit snit til at kaste omkring dig med fanboy termet, og så gad du egentligt ikke lige læse resten af mit indlæg.
Gravatar #52 - DanaKaZ
14. jun. 2007 08:01
#50 Mja, ikke rigtig. De har ikke fået ordnet det med bookmarks. Selvom der er en ret nem løsning. her.

Autofill får stadig browseren til at crashe. Og der er stadigt et eller andet helt galt med den måde den viser sider på. Hvordan de har formået at lave så meget rod i det, bare for at porte den til windows, det forstår jeg ikke rigtigt. Ikke engang google ser ordentligt ud.

#46
At du siger at folk skal være ligeglade med en ting, men kristerer et produkt for selvsamme ting, så er du fanboy!

Jeg kunne faktisk godt tænke mig at vide hvor du får alt det der fra. Hvor siger jeg at folk skal være ligeglade med brushed metal, eller for den sags skyld at jeg synes det er grimt? Jeg gjorde de folk der er trætte af brushed metal, opmærksomme på at der er et godt alternativt.

Og jeg skulle mene at det er skrevet rimeligt klart. Men jeg tror aldrig at folks vilje til at misforstå en situation vil holde op med at overraske mig.
Gravatar #53 - fidomuh
14. jun. 2007 08:25
#52

Loesningen virker ikke her.

( Koerer Vista, nok derfor )

Den mangler support for "FED" tekst, det er lidt underligt at det er lykkedes dem at oedelaegge saadan noget :D

I am impressed :P
Gravatar #54 - DanaKaZ
14. jun. 2007 08:29
#53 Ja det kan godt være at det kun er xp det virker I.
Gravatar #55 - BurningShadow
14. jun. 2007 08:37
#53

Den mangler support for "FED" tekst, det er lidt underligt at det er lykkedes dem at oedelaegge saadan noget :D
Nej, det er faktisk ikke så underligt, for det problem har vi også haft (har ikke mere) med ABrowse på Syllable. Den nye udgave er baseret på WebCore (samme som Safari), og det kræver faktisk lidt arbejde at få fed og kursiv til at virke. Dog skal jeg da lige nævne at hos os blev teksten alligevel vist, men bare som alm. tekst.

Jeg har ikke så meget forstand på det, så jeg ved ikke om det er et normalt KHTML (og WebCore) problem, men jeg blev ikke overrasket da jeg så det.
Gravatar #56 - fidomuh
14. jun. 2007 08:43
#55

Oh, okay..

Jeg taenkte bare at det var en normal font-integration :)

Jeg kan umiddelbart ikke lige forestille mig hvorfor det skulle vaere svaert at implementere, men nu har jeg jo ikke set WebCore, saa det kan det jo sagtens vaere :D

Men godt at faa lidt mere info om det ;)
Gravatar #57 - janmansilver
14. jun. 2007 19:46
Lige få at rette nogle misforståelser - QuickTime er en mediearkitektur ikke et "format/codec", derfor laver apple ikke bare et "codec" til fx Windows Media Player. Mht. "playabilitien" så er Quicktime-filformatet en åben standard, som MPEG-4-filformatet oven i købet er baseret på.

Langt de fleste QuickTime filer kan nemt afspilles med fx VLC.
Gravatar #58 - Cyberguyen
14. jun. 2007 22:32
#43
Du glemmer at Apple ikke er særligt dygtige til at produkt teste deres software. En anden ting er deres OS-X, som pr. defination er sikkert, men det har Apple jo heller ikke selv opfundet. Faktisk er de fleste huller som er opdaget i MacOS-X nogle som Apple efterfølgende har lavet eller lavet mulige ved dårlig implementering.
Nu lægger man en Apple produceret Safari browser på en usikker Windows platform og foretager dårlig produkt test. Hvor sikker tror i så den browser bliver?

#57 så kan jeg igen rette... Quicktime er en container og er ikke en åben standard. Man kan ikke få specifikationen på opbygningen af softwaren og det som kan afspille Quicktime er enten en hacket Quicktime eller reverse engineered. Der er dog dokumentation til hvordan man skal benytte API'et hvis det er installeret. Desuden er MPEG-4 formatet ikke baseret på quicktime, men implementeret i quictime. Apple får ikke kreditten for udviklingen af MPEG-4 kodningen.
Man kan dog skrive codec til at handle containers og derfor vil det være muligt at lave et codec som kan afspille Quicktime, hvis der samtidig er andre nødvendige codecs til stede og dette kunne være mpeg-4 og mpeg-layer3.
Gravatar #59 - fidomuh
15. jun. 2007 05:23
#58

Nu lægger man en Apple produceret Safari browser på en usikker Windows platform og foretager dårlig produkt test. Hvor sikker tror i så den browser bliver?


Sikker nok?

MEn det du siger er reelt at det er umuligt at lave et stykke software som er sikkert, fordi det koerer paa windows? :)

Eller hvis ikke "umuligt" saa "meget meget svaert".. :)
Gravatar #60 - Cyberguyen
15. jun. 2007 06:19
#59 Lige precis :-(

Jeg er selv Windows bruger, men mener ikke sikkerheden er i orden på det OS.
Der er så mange angrebsvektorer at tage i betragtning på eksempelvis Windows XP, at det er uhyggeligt svært at kode noget avanceret software, som ikke har et hul eller som får et hul fordi det er afhængigt af andet software.

MacOS-X er pr. definition bygget sikkert, fordi man har tænkt i andre baner og meget af den tankegang kommer fra militær materiel.

Windows brugere kører for de flestes vedkommende med Administrator adgang til systemet som modsvarer root. Derfor er der ikke meget som beskytter brugeren imod dumme handlinger. At man så opfinder forskellige scripts der kan automatisere ting for brugeren, gør at skadelig kode er istand til at blive eksekveret automatisk og med Fuld adgang i systemet.

Vista skulle dæmme en smule op for denne problematik, men spørgsmålet er om de har præsteret at skrive systemet tilstrækkeligt meget om til at forhindre fremtidige trusler.

De orme/vira som kommer til MacOS-X benytter enten et hul i en applikation eller en 3. parts udvidelse til en applikation. Det er yderst sjældent at kernen har problemet. Langt de fleste stykker skadelig kode på MacOS-X paltformen skal eksekveres af brugeren og kræver indtastning af root password.
Apple har som sagt ikke den bedste kvalitetsafdeling når det gælder software. De er desværre slet ikke nok til at kunne gennemteste så meget software. Fordelen for Apple er at de har meget hardware som er ens bygget og at deres software ikke er udbredt nok til at det er interessant at skrive skadelig kode.

DanaKaZ: Du kan vælge at rate mig Flamebait, men er det så ikke bare dig selv du narre ved ikke at se realiteterne i øjnene?
Gravatar #61 - DanaKaZ
15. jun. 2007 06:23
#60 Næh, det synes jeg personligt ikke. Du har ikke rigtigt noget der bakker dine udsagn op, så det er svært at se det som et sagligt indlæg. Men kom med noget dokumentation og jeg skal da gladeligt revurdere min opfattelse.
Gravatar #62 - fidomuh
15. jun. 2007 06:33
#60

Men nu glemmer du jo saa bare at tage hoejde for hvad det er for et produkt vi snakker om..

Det er en browser.
Den skal vaere sikker ifht. browsing.

Hvorfor skulle Safari vaere mere usikker end "de andre" som koerer paa samme OS?
Om ikke andet saa siger Apple jo at de har udviklet safari med sikkerheden for oeje fra dag 1, saa det KAN jo vaere at det lykkedes..

Derudover saa ved du jo reelt INTET om deres produkttest.
De har sendt en public beta ud.. Havde du regnet med at de testede noget som var saa aabenlyst ufaerdigt, flere maaneder?

Derudover er det fint at du ikke kan lide windows som platform, men det har bare intet med Apples browser at goere..
Gravatar #63 - trylleklovn
15. jun. 2007 10:19
#60
og at deres software ikke er udbredt nok til at det er interessant at skrive skadelig kode.

Resten i dit indlæg er jeg helt enig i men der er intet sagligt grundlag for den sidste kommentar der. Der var vira til Mac OS 9 og ældre til trods for at disse var langt mindre udbredt end Mac OS X er i dag.
Gravatar #64 - Trentors
15. jun. 2007 10:52
#63
Selvfølgelig er der grundlag for den bemærkning. Apple lapper tit OS X for alvorlige exploits og ALLIGEVEL bliver de tilsyneladende ikke udnyttet? Vi har altså et system som der KAN udnyttes men ikke BLIVER det - Ergo har Cyberguyen ret.

Hvis OS X nu ALDRIG blev patchet og der stadig ikke findes virusser til det så vil jeg sige du måske havde en sag.
Gravatar #65 - fidomuh
15. jun. 2007 11:00
#64

Selvfølgelig er der grundlag for den bemærkning. Apple lapper tit OS X for alvorlige exploits og ALLIGEVEL bliver de tilsyneladende ikke udnyttet? Vi har altså et system som der KAN udnyttes men ikke BLIVER det - Ergo har Cyberguyen ret.


Nej? Hvad er det dog for et latterligt argument?

Saa fordi du IKKE goer et eller andet, saa er det modsatte automatisk sandt?

Wtf..

Der kunne ogsaa vaere 10.000.000 andre aarsager, saa det er helt reelt umuligt at vide.

Vi kan diskutere hvorvidt der er overhaengede sandsynlighed for at det er aarsagen, men saa vil stigende markedsandel og bedre udbredelse end et system som netop BLEV angrebet, jo blot tale imod ;)
Gravatar #66 - Trentors
15. jun. 2007 14:32
#65
Jeg siger at OS X ikke er 100% sikkert pga. det bliver patchet og at der er blevet påbevist svagheder ved OS X flere gange.

Men der er tilsyneladende ikke nogen virusser/orme.

Man kan altså godt udnytte exploits i OS X men ingen gør det. Hvad er det lige der ikke er sandt i det?

Så hvorfor skulle argumentet ikke være at der ikke er udbredt nok? De fleste Linux-boxe er jo også piv-åbne men alligevel er der ingen der skriver virusser hertil.

Altså finder folk det ikke interessant.

Og hvorfor ikke? Virusser skrives enten af økonomiske grunde eller fordi en eller anden idiot vil være kendt over hele verden. Hvilken platform går man så efter i disse to sammenhænge? Den som er på næsten 90% af markedet eller en af de andre som deler de sidste 10%?


Hvis OS X i så fald skal være interessant så skal deres markedsandele altså være på over 50%.
Gravatar #67 - fidomuh
15. jun. 2007 15:41
#66

Man kan altså godt udnytte exploits i OS X men ingen gør det. Hvad er det lige der ikke er sandt i det?


Eh? Det er sandt, men det er er stadig kun 1! ud af 100.000 mulige aarsager ...

Altså finder folk det ikke interessant.


Igen, een konklusion ud af 100.000... :)

Og hvorfor ikke? Virusser skrives enten af økonomiske grunde eller fordi en eller anden idiot vil være kendt over hele verden. Hvilken platform går man så efter i disse to sammenhænge? Den som er på næsten 90% af markedet eller en af de andre som deler de sidste 10%?


Ja, eller bare hvis man vil se om man kan..?

Der er masser af scenarier hvor dit postulat ikke er sandt, ergo er det kun en potentiel aarsag :)

Hvis OS X i så fald skal være interessant så skal deres markedsandele altså være på over 50%.


Ja, i det enkelte scenarie..

Men det er stadig ikke den eneste mulige aarsag :)


( Du misforstod nok mit indlaeg, det gik paa din konklusion alene..
Ie, "exploits bliver ikke udnyttet, saa maa det vaere fordi det ikke er udbredt", hvilket er en antagelse i sig selv.
Det kan ogsaa vaere fordi det ikke kan svare sig at angribe et teknisk svaerere OS, eller fordi der ikke ER exploits, eller fordi nissen er lyseblaa.. Der kan vaere 100.00 aarsager..
Een er ikke rigtig bare fordi muligheden er der ;) )
Gravatar #68 - Trentors
16. jun. 2007 00:04
#68
Well, så kom med en (100.000 er forholdsvis mange)... ;-)

Og den med det ikke kan svare sig at angribe et "svært" OS frem for et let holder heller ikke. F.eks. er der stadig mange Windows 98'ere derude og det jo hullet som en si i forhold til XP SP2. For ikke at tale om det ikke bliver opdateret mere.

Alligevel skrives stort set alle vira til XP eller Win32 API'en (har ikke hørt om nogen som er skrevet til 98 specifikt længe). Og bare vent - om 2 år skrives der masser af virusser til Vista selvom stort set alle anmeldere er enige om det er mere sikkert end XP. Igen tyder udbredelsen på at det er den afgørende fakta.

Jeg tror stadig at CAD har ret:
http://www.ctrlaltdel-online.com/comic.php?d=20060...
Gravatar #69 - fidomuh
16. jun. 2007 10:07
#68

En?

Teknisk svaerere.
Faerre brugere = faerre mennesker med noedvendig kompetence, fx ..

Men det var ikke min pointe, jeg tror ogsaa det er pga markedsfordelingen, det er bare ikke den eneste aarsag ;)

Og naar OS9 havde SAA mange vira og OS X har taet paa ingen, saa taler det ret meget imod ;)
Gravatar #70 - Cyberguyen
16. jun. 2007 17:16
#63
Jeg har selv roddet massere med MacOS 6 op til version X.
Under de gamle systemer har jeg selv lavet kode som dog kun kunne replikeres på systemer hvor koden fandt en tekstfil som jeg havde lagt på maskinen. Dette var for at forhindre at jeg ikke slap noget "løs" som jeg ville fortryde.
Det var peanuts at skrive den kode og intet i maccen forhindrede imod at få den eksekveret når jeg stak en diskette i drevet.

Jeg ville med alt sandsynlighed ikke kunne gøre det på nutidens systemer, fordi der er tænkt en smule over tingene i retning af sikkerhed. Men hvis jeg viede mit liv til det, så kunne det måske nok lykkedes.

Grunden til at der fandtes så mange vira til MacOS9 var fordi der ikke var lås på hoveddøren.
På MacOS-X har de fået sat lås på og det stopper de fleste ubudne gæster, men det vil stadig ikke forhindre en låsesmed i at komme ind. (eksperten)

Hvis en større sikkerhedstjeneste (NSA, MI6) skulle ind på en terrorcelle's computere og terror-cellen benyttede maccer fordi de jo skulle være sikre. Så skulle de sikkert nok finde en angrebsvektor og komme ind. Men det er også kun fordi informationen er så vigtig at den helliger midlet.
For virus scribenterne er det sikkert ikke arbejdet vær kun at ramme en del af de 10% maskiner som kører MacOS.
Så hellere ramme en del af de mange windows maskiner.
Det er jo mange gange for at indlemme maskinerne i et bot netværk og den vej igennem tjene nogle penge.

Problemet med mac er at der allerede nu godt kunne være et kæmpe bot netværk. Men det sikkert kun ville blive opdaget af en udefra kommende sikkerheds mand, som kunne se maccerne stå og lave en masse som de ikke burde.
Der ville sikkert ikke være en enste macbruger som ville finde ud af det på egen hånd. Hvor tit sidder macbrugerne og kigger på de processer som kører på maccen?
Gravatar #71 - trylleklovn
16. jun. 2007 17:22
#70
Der ville sikkert ikke være en enste macbruger som ville finde ud af det på egen hånd. Hvor tit sidder macbrugerne og kigger på de processer som kører på maccen?

Det gør du jo åbenbart selv? Jeg har ikke valgt mac fordi jeg ikke kan finde ud af at bruge en computer eller fordi jeg synes den er pæn. Jeg har valgt den fordi jeg kan køre photoshop OG have alle de unix værktøjer jeg har behov for.

For virus scribenterne er det sikkert ikke arbejdet vær kun at ramme en del af de 10% maskiner som kører MacOS.

Alligevel ser vi koncepter som Month Of Apple Bugs. Hvorfor det? Personerne bag kunne jo bare bruge et par minutter på at finde sourcecoden til en tilfældig Windows bots, som rent faktisk virker her og nu og kan inficere massevis af maskiner.

Du tror virkelig ikke at der ville være en masse prestige i rent faktisk at skrive en virus til Mac OS X? Du tror ikke der er masser, der arbejder hårdt på at løse denne opgave lige nu?
Gravatar #72 - fidomuh
16. jun. 2007 17:22
#70

Grunden til at der fandtes så mange vira til MacOS9 var fordi der ikke var lås på hoveddøren.
På MacOS-X har de fået sat lås på og det stopper de fleste ubudne gæster, men det vil stadig ikke forhindre en låsesmed i at komme ind. (eksperten)


Saa du giver mig ret i at det ikke er pga udbredelsen?
At sikkerhedsfaktoren ogsaa spiller ind ? :)

NSA og MI6 har ikke magiske adgange til noget som helst, de har samme muligheder som de fleste andre og medmindre de kan finde sikkerhedshuller, saa snakker vi brute force..

Hvis vi snakker sikkerhedshuller har flere eksperter nok ligesaastor mulighed for at finde dem :)

For virus scribenterne er det sikkert ikke arbejdet vær kun at ramme en del af de 10% maskiner som kører MacOS.


Specielt ikke hvis arbejdet tager 10 gange laengere tid ;)

Så hellere ramme en del af de mange windows maskiner.
Det er jo mange gange for at indlemme maskinerne i et bot netværk og den vej igennem tjene nogle penge.


Ja, hvor vi igen kigger paa OS X unix-baggrund og ser at det ikke er "bare lige" at fixe en bot paa saadanne ;)

Problemet med mac er at der allerede nu godt kunne være et kæmpe bot netværk. Men det sikkert kun ville blive opdaget af en udefra kommende sikkerheds mand, som kunne se maccerne stå og lave en masse som de ikke burde.


Lol?
Saa du tror simpelthen ikke at nogen macbrugere gaar op i sikkerhed?

Det var da nok den latterligste generalisering jeg nogensinde har set :)

Der ville sikkert ikke være en enste macbruger som ville finde ud af det på egen hånd.


Jeg ville.
99% af alle jeg kender som koerer OS X ville.

Hvor tit sidder macbrugerne og kigger på de processer som kører på maccen?


Hvor tit sidder windowsbrugerne og kigger paa de processor som koerer paa pc'en ?
Gravatar #73 - DanaKaZ
18. jun. 2007 10:21
#70
Problemet med mac er at der allerede nu godt kunne være et kæmpe bot netværk. Men det sikkert kun ville blive opdaget af en udefra kommende sikkerheds mand, som kunne se maccerne stå og lave en masse som de ikke burde.
Der ville sikkert ikke være en enste macbruger som ville finde ud af det på egen hånd. Hvor tit sidder macbrugerne og kigger på de processer som kører på maccen?

Det der mener du seriøst ikke vel? Har du ikke langt mærke til alle de "nyheder" der kommer af at et eller andet sikkerheds firma spår at der snart kommer mere malware til OS X. Tror du ikke at de firmaer konstant holder øje med om de kan finde en enkelt god grund til at få solgt deres software?

Jeg har ratet dig sjovt, fordi det der er fandme morsomt. Magen til fordomsfuld generalisering skal man sgu lede længe efter. Og at du så også lige for flettet ind at Mac brugere ikke selv har begreb om hvad der skulle foregå på Mac'en, gør det hele bare endnu mere komisk. Tak, mange tak.

Og btw. jeg kigger ofte på de processer der kører.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login