[img=right]http://www.macfreak.nl/base/data/news/images/Safari_3_Icoon.jpg[/img]Op het internet is het nieuws al weer op veel plekken te lezen: Safari is op de CanSecWest-wedstrijd al meteen en als eerste(!) gekraakt. Daarbij lijkt het niet uit te maken dat ook de eerste poging op Safari gericht was en dat de daaropvolgende kraakpogingen van Internet Explorer 8 en Firefox even succesvol waren. Het is waar dat hoge bomen nu eenmaal veel wind vangen, maar wat meer nuance hier en daar zou geen kwaad kunnen.

De hele aanpak van de CanSecWest wedstrijd heeft in het verleden ook al veel kritiek geoogst. Zo komen de hackers binnen met kant en klare attacks, wat betekent dat als een softwaremaker net een patch heeft uitgebracht de kans groter is dat die hack dan niet werkt. Maar dat zegt weinig over de veiligheid van de software in het dagelijks leven.

Hetzelfde is ook het geval bij de aanvallen op Operating Systems. Zo waren de aanvallen vorig jaar vooral op Vista gericht en dit jaar op Windows 7, maar Vista was vorig jaar helemaal niet de meest gebruikte versie van Windows en hetzelfde geldt dit jaar voor Windows 7.

En wat betekent dit allemaal voor ons? Eigenlijk niets, de werkend hack wordt keurig aan Apple gemeld en wij krijgen in de komende tijd weer een Security Update van Apple binnen en kunnen gewoon blijven genieten van ons favoriete OS.

Bron: AppleInsider

Zoals wel vaker gebeurt, zal dit wel een gesponsord onderzoek zijn. Drie maal raden uit welke hoek de geldschieter komt...

Omdat er wel gebruik wordt gemaakt van een beta OS (Windows 7), maar niet van een beta browser (IE 8.0, gisteren officieel uitgekomen), zegt MS hiermee volgens mij impliciet dat IE 8 nog niet helemaal klaar is!

Veel kinderen hebben de neiging om slecht gedrag af te wimpelen met "ja, maar pietje mag het wel" of "ja maar, jantje doet het ook" en soms "*snikkend* maar marieke krijgt geen straf ..."

Welnu: Cansec is een conferentie die staat in het teken van beveiliging en wordt door de CADSI uitgeschreven. CADSI staat voor Canadian Association of Defence and Security Industries.

CADSI is een forum van Canada's beveiliging-industrie. JA, de CanSec-conferentie is omstreden, vaker nog de sponsors en 'winnaars' als Charlie Miller. Hoe het ook zij: het lek zit in Safari en er is toch nog een uitspraak van Charlie Miller die wel degelijk hout snijd:

"De producten van Apple zijn zeer gebruiksvriendelijk. Neem Safari, de browser is ontworpen om vrijwel elk bestand te openen. Met dergelijke uitgebreide functionaliteit komt een verhoogd risisco op fouten. Hoe complexer de software, hoe meer kans op fouten."

Verder in het interview zegt Miller: "MacOS X is een van de oorzaken dat Safari vrij gemakkelijk te kraken is. Windows Vista en Windows 7 maken gebruik van Address Space Randomization (ASLR)", aldus Charli Milller in een interview met ComputerWorld.

Vooral de uitspraak over MacOS X deed Doctor Apple zijn wenkbrouwen fronzen. Immers: MacOS X Leopard doet toch aan Address Space Randomization dankzij de "Library Randomization" was mijn eerste gedachte?

Die Charlie Miller toch en de CanSecWest: altijd maar weer Apple Bashen. Na enig leeswerk en wat tests vanmorgen op de Windows Vista en Apple MacOS X Development Machines op kantoor kwam ik tot de ontdekking dat die Miller toch een punt heeft.

Waarom?

Zowel MacOS X Leopard als Vista maken gebruik van Adress Space (Layout) Randomization. Maar de implementatie tussen de twee OS'en verschilt dramatisch, met Vista in het voordeel (tot mijn stomme verbazing).

Bij Microsoft Windows is het programma beveiligd door zowel de geheugenlocaties 'willekeurig' te addresseren, maar ook door zowel een software- en hardware- mechanisme om de 'execution space' te beveiliging.

Bij MacOS X Leopard wordt eveneens gebruik gemaakt van zowel 'execution space' als 'address randomization'. Althans, en nu komt de aap uit de mouw: enkel de stack-waarden (niet de heap) en ook nog eens alleen op de INTEL processor. Op PowerPC processoren wordt geen Execution Space Protection geboden.

De beveiliging van de 'heap' wordt alleen aan 64-bit INTEL processors geboden.

Uit Apple's eigen doos:

"In Leopard, stack execute disable is available for both 32- and 64-bit applications. For 64-bit processes, Leopard provides protection from code execution in both heap and stack data areas. "

(bron: http://images.apple.com/macosx/pdf/MacOSX_Leopard_Security_TB.pdf )



Maar? Maar? wacht... MacOS X Leopard biedt dus alleen beveiliging aan 64-bit INTEL processoren? En alle 32-bit INTEL- en alle PowerPC-processoren niet? Maar ...

Vrijwel ALLE Leopard toepassingen zijn 32-bit.

Safari bijvoorbeeld:

/Applications/Safari.app/Contents/MacOS/Safari (for architecture i386): Mach-O executable i386

Sh!@# was mijn eerste gedachte een kwartier geleden: die Charlie heeft gewoon gelijk.

Windows Vistas Adres Space (Layout) Randomization en Execution Bit Protection is superieur in alle opzichten aan MacOS X Leopard. Hoe groter het marktaandeel van Apple, hoe meer hacks we zullen zien. Laat de iPhone nu ook op MacOS X draaien.

Korte toelichting:

Voor de mensen die niet weten waar het om gaat: Address Space Randomization is een beveiligingstechniek waarbij delen van het geheugen willekeurig worden herschikt opdat kwaadwillenden niet (delen van) programma's kunnen uitvoeren door een specifiek geheugenadres rechtsstreeks aan te spreken. De onderdelen van een programma worden elke keer dat het wordt gestart 'gehusseld' in het geheugen weggeschreven opdat er geen peil te trekken is waar, welk onderdeel van het programam in het geheugen staat.

@ Doctor Apple: Ik heb de titel van het nieuwsbericht aangepast van 'niets aan de hand' naar 'weinig aan de hand'. Want zelf met de mindere beveiliging op een PPC en iets meer op een 32 bits Intel (dat laat ook meteen zien waarom Snow Leopard naar volledig 64 bits gaat) levert de gevonden hack geen effectief gevaar voor ons op, Apple zal simpelweg weer een gat dichten.

Windows Vistas Adres Space (Layout) Randomization en Execution Bit Protection is superieur in alle opzichten aan MacOS X Leopard. Hoe groter het marktaandeel van Apple, hoe meer hacks we zullen zien. Laat de iPhone nu ook op MacOS X draaien.

Dat gaat pijn doen bij sommigen.  

Voor zowel windows als OSx blijft het opletten op welke links je klikt en wat je installeert.
Het is al vaker gezegd, Microsoft heeft op het gebied van security hele grote stappen gemaakt en heeft helaas nog steeds last van erfenissen uit het verleden die vaak om compatibiliteits redenen niet losgelaten kunnen worden.

Uiteindelijk zal ook Apple aangevallen gaan worden en dan maar hopen dat de leercurve minder stijl is dan bij microsoft

Blijft het feit dat je als eindgebruiker gewoon weinig te maken hebt
met dit soort zaken. Dus neem ik alles met een korreltje zout.

Misschien nog een interessante link voor Doctor Apple, over
de implementatie (en bypassen) van ASLR technieken:
http://taossa.com.nyud.net:8080/archive/bh08sotirovdowd.pdf

Wel leuk om er over te lezen. Zijn toch meerdere bronnen die vraagtekens
zetten bij de Vista implementatie. Maar eerlijk is eerlijk Apple heeft ook nog
heel wat werk te verzetten.

(Bewerkt door Blender om 9:54, 20-03-2009)

(Bewerkt door Blender om 15:58, 20-03-2009)

De Core Duo (eerste Intel iMac's) en Core Solo (eerste Intel Mac Mini's) processoren zijn 32 bits processoren. Alle andere Intels, de Core 2 Duo en alle Xeon's, zijn 64 bits processoren. Dat is het gros van de Intel Mac's die er uitgeleverd zijn.

Voor 64 bits beveiliging hoef je niet noodzakelijkerwijs 64 bits toepassingen te draaien, dat werkt ook met 32 bits code.

Dankzij enkele breuken met het verleden (MC 680x0 naar PPC, PPC naar Intel, OS 9 naar OS X) zit er in OS X veel minder oude code dan in Windows. In OS X kun je dezelfde functie vaak op 2 verschillende manieren uitvoeren, in Windows is dat een veelvoud. Met veel fout als resultaat!

Het patchen van OS X kan daardoor veel efficiënter dan het patchen van Windows.

Hoi,

Prima artikel van AppleInsider mijns inziens, enigszins bevooroordeeld ten gunste van de Mac (natuurlijk).

Op deze site kun je een ergerlijk artikel negatief waarderen door op "thumb down" te klikken.

Ik heb overigens in 20 jaar twee keer zelf met een virus te maken gehad. Een paar jaar geleden ontdekte de virusscanner een of ander virusje op mijn PC, maar in de tijd van Systeem 6 had ik een probleempje met het NVirB virus. Volgens CanSecWest zou dat moeten betekenen dat Systeem 6 wel heel erg onveilig is

Groet,

Mark


(Bewerkt door marksch om 11:25, 20-03-2009)

Calvin om 9:24, 20-03-2009
Uiteindelijk zal ook Apple aangevallen gaan worden en dan maar hopen dat de leercurve minder stijl is dan bij microsoft

Die curve vindt allang plaats, zoals Doctor Apple al schrijft, de latere versies van Mac OS X worden steeds beter beveiligd. Tegen de tijd dat de Mac zo'n marktaandeel heeft dat het rendabel wordt zijn PPC-processors zo verouderd en in zo'n minderheid dat dat allang niet meer interessant is.

Maar het is waar dat MS op dit moment op sommige vlakken voorloopt.

‘the memory protection mechanisms available in the latest versions of
Windows are not always effective when it comes to preventing the exploitation
of memory corruption vulnerabilities in browsers. They raise the bar,
but the attacker still has a good chance of being able to bypass them.’

Interessant artikel (voor code freaks):
http://taossa.com.nyud.net:8080/archive/bh08sotirovdowd.pdf
Ook leerzaam voor Apple lijkt me...

Ze zijn echter al op de goede weg gezien Leopard Server:
Leopard Server, which runs some services, such as the Apache web server,
as 64-bit processes. Using the vmmap command reveals that no memory
allocated by these 64-bit apps is both writable and executable.

Probleem is dus ook dat sommige beveiligingstechnieken niet of nauwelijks zinvol zijn in 32-bits.
In 64-bits heb je pas voldoende ruimte om geladen code te verbergen...

(Bewerkt door Blender om 9:58, 23-03-2009)