Ja Microsoft plāno labot operētājsistēmu Windows 10, tai vajadzētu izlabot tās pašas kļūdas operētājsistēmā Windows 7, saka Google Project Zero.
Lai gan uzņēmums koncentrējas uz Microsoft un Windows, Google mudina visus pārdevējus konsekventi lietot drošības ielāpus visās atbalstītajās programmatūras versijās.
Google Project Zero pētnieks Mateušs Jurčiks ir iedziļinājies vairāku Windows detaļās kļūdas, ko viņš atrada, lai ilustrētu, ka Microsoft ir jāizlabo tās pašas kļūdas operētājsistēmā Windows 7, kā tas tiek darīts operētājsistēmā Windows 10.
Jurčiks apgalvo, ka Microsoft būtībā atstāj norādes hakeriem, kad tas labo sistēmu Windows 10, bet ne Windows 7.
Tas ir tāpēc, ka hakeri var izmantot paņēmienu, ko sauc par “bināro diferenciāciju”, lai analizētu modernā produkta labojumus un noteiktu vecākā produkta nepilnības.
Šī metode ir piemērota operētājsistēmām Windows 7, Windows 8 un Windows 10, kas ir lielisks piemērs vienlaikus atbalstītas viena produkta filiāles, kurām ir viens un tas pats galvenais kods, taču tie ir laboti un uzlaboti savādāk.
Kā skaidro pētnieks, iespēja izmantot bināro diferenciāciju ir problēma, jo īpaši Windows 7 lietotāju drošībai, kas izraisa puse no visiem Windows lietotājiem, jo uzbrucēji zina, ka Microsoft pievieno labāku drošību un dažreiz pat kļūdu labojumus tikai jaunākajai Windows.
"Tas rada nepatiesu drošības sajūtu vecāku sistēmu lietotājiem un atstāj viņus neaizsargātus pret programmatūras trūkumiem ko var noteikt, tikai pamanot smalkas izmaiņas attiecīgajā kodā dažādās Windows versijās. viņš raksta.
"Tas ne tikai atstāj dažus klientus pakļautus uzbrukumiem, bet arī skaidri atklāj, kādi ir uzbrukuma vektori, kas darbojas tieši pret lietotāju drošību," Jurčiks turpina vēlāk.
Viens piemērs bija kļūda CVE-2017-8680, kas skāra Windows 8.1 un Windows 7, bet dīvainā kārtā ne Windows 10. Projekts Nulle ziņots maijā tas tika nosūtīts Microsoft, un tas tika labots Microsoft septembra ielāpu otrdienas atjauninājumā.
Atklājot kļūdu, pētnieks identificēja attiecīgo ielāpu operētājsistēmā Windows 10 un saprata, ka Microsoft to nav pārsūtījis uz iepriekšējām versijām.
Pēc vairāk salīdzināšanas starp Windows 7 un Windows 10 un Windows 8.1 pret Windows 10 viņš atklāja vēl divas ievainojamības. CVE-2017-8684 un CVE-2017-8685, Windows 7 un Windows 8.1 kodolos. Septembrī tās arī tika aizlāpītas.
Jurčiks uzskata, ka atšķiršanas procesam, ko viņš izmantoja, lai atrastu šīs kodola problēmas, nebūtu vajadzīgas lielas zināšanas vai zināšanas par Windows.
"Nepieredzējuši uzbrucēji to varēja viegli izmantot, lai ar ļoti nelielu piepūli identificētu trīs minētās ievainojamības," viņš raksta.
"Mēs ceram, ka šie bija daži no retajiem gadījumiem, kad šādi zemi nokareni augļi bija pieejami pētniekiem, izmantojot diferenciāciju, un mēs mudiniet programmatūras pārdevējus par to pārliecināties, konsekventi piemērojot drošības uzlabojumus visās viņu atbalstītajās versijās programmatūra."
Iepriekšējais un saistītais pārklājums
Google Project Zero izplūda populārākās pārlūkprogrammas kļūdu noteikšanai: Safari lietotājiem nepatiks rezultāti
Google Project Zero izlaiž atvērtā pirmkoda rīku, ko izmantoja jaunu kļūdu atrašanai lielākajās pārlūkprogrammās.
Windows 10 drošība: Microsoft piedāvā jaunāko Defender ATP līdzekļu bezmaksas izmēģinājuma versiju
Microsoft jaunākā Defender Advanced Threat Protection versija piedāvā labākas vadības iespējas un plašāku ieskatu drošības notikumos.
Vairāk par Windows drošību
- Windows 10 padoms: kontrolējiet Microsoft konta drošības un konfidencialitātes iestatījumus
- Windows 10 Fall Creators atjauninājums: kas gaidāms drošības jomā
- Windows 10: Microsoft jaunais Insider Preview ir aprīkots ar drošības līdzekļiem
- Microsoft novērš “kritiskās” drošības kļūdas, kas ietekmē visas Windows versijas