Vista: La seguridad en entredicho

Loa

Los expertos en seguridad informática, Mark Dowd (IBM Internet Security Systems (ISS)) y Alexander Sotirov (VMware Inc.), habrían demostrado la total vulnerabilidad del sistema operativo Windows Vista a los ataques.

Según demuestran Mark y Alexander, las medidas de seguridad empleadas por Windows Vista pueden quedar totalmente inútiles, puesto que han descubierto una vulnerabilidad intrínseca de su arquitectura. Así pues, la Data Execution Prevention (DEP) o Address Space Layout Randomization (ASLR) no servirían de nada contra el mencionado ataque, proporcionando una seguridad cero ante ellos. Lo preocupante del caso, es que al afectar a la arquitectura de Vista, Microsoft tendrá una gran dificultad en solucionar el problema si es que puede hacerlo.

Fuente.

aNuBiS

¿Fuente? ¿Algun sitio donde podamos seguir la noticia? Gracias :P.

Loa

hecho ^^

lolost

La caja de WinVista está impresionante.

TheV1ruSS

#4, porque? porque no cuadra con las otras cajas de cd's dvd's classicas? habra que hacer un hueco especial para esa caja en el mobiliario tipico de ordenador que se vende en todas las tiendas, xDDDD!
PD: Lo de Vista ya se habia demonstrado cuando salio,mas vulnerable que el XP, solo los cabezotas no queren entender eso. Saludos!

aNuBiS

Llevo un rato mirando, y aun no he encontrado nada "util", la verdad es que estos tios son una maquina, son los mismos que descubrieron la vulnerabilidad de ANI (Si mal no recuerdo el tema de los cursores animados & el escritorio).

De momento solo copio una frase:

""As Sotirov notes, these defenses can be repaired in Vista but do not exist in XP.""

No todo esta perdido para vista, jajaja.

Edit: #5 Claro, mucho mas vulnerable que XP, donde ira a parar!!...Estos cabezotas...
Igual que firefox no tiene bugs ni xploits e IE 7 tiene todos los del mundo.

Edit2: Sigo mirando un rato:

And in many cases, third-party applications are not compiled to use the Vista memory protections. For example, Java and Flash are not compiled using the critical protection called ASLR.

Lo que saco en conclusion (sigo sin encontrar el articulo original ni la explicacion de los que lo han descubierto) tienen que haber encontrado una manera de ejecutar codigo en vista atraves de los "browsers" (plural, entiendo que IE & mozilla?) utilizando algun flash, java u otra cosa que no tiene la proteccion de vista activada...Por lo tanto, ¿De quien es la culpa?.

Por otra parte tambien encontre un xploit que utilizaba flash para poder ejecutar codigo en vista, que TAMBIEN afectaba a IE & firefox pero que ya esta parcheada (salio en abril, muchos bugs seguidos?), que curiosamente tambien lo desubrio el mismo tio, asi que no se si es la misma vulnerabilidad o no, para quien le interese dejo un enlace a un pdf de IBM donde se explica:

http://documents.iss.net/whitepapers/IBM_X-Force_WP_final.pdf

TheV1ruSS

#6, la comparacion de FF e IE lo has echo tu, yo no he dicho nada de eso, y de lo que se trata aqui nada mas que poner en google "vulnerabilidades vista" y te sale bastante para hacerte una idea...lo que he dicho antes, solo cabezotas no quieren entender....

B

#5 pero qué tontería estás diciendo amigo? xDDD

también llevo un rato mirando y bueno, cuesta encontrar algo referente a esto que dices. mucho titular catastrofista veo yo con referente a vista siempre... :)

A

podeis contar algo q no sepa?todo el mundo sabe q un sistema operativo nuevo es mas vulnerable q el anterior por el simple hecho de q no lleva sus años detras corrigiendo fallos pero bueno cada uno a su bola....

ArcheR

#9, es que precisamente ahí erradica parte de la tristeza. Que hagan falta AÑOS para que un sistema operativo sea seguro (y no completamente) es lamentable. Que arreglen los fallos de seguridad y después ya lanzen el producto al mercado, ah, no, espera, que eso no les favorece.

TheV1ruSS

#8 vete aprender ingles y leete otravez el articulo que dejo el link de #1.
#6 tu conclusion final no es del todo correcta,porque aunque ie y ff u otro navegador tiene la culpa,como tu dices, eso afecta solo a SO Vista y no a otros sistemas operativos, por tanto vista es vulnerable..

aNuBiS

#11 Era un ejemplo, yo no entro a compararlos, solo digo que hay mucha, demasiada gente que va contra microsoft sin tener ni idea de que esta hablando, por la simple norma de que micro"$"oft = mierda, por que lo dicen "los listos" (Y esto es real, no lo digo por ti, ni por nadie concreto, no me malinterpretes).

Igual que hay vulnerabilidades para Vista, hay vulnerabilidades para Unix/linux, ¿Que es lo que pasa? Deberias de saberlo de sobra, ¿Cuantas personas conoces que usen Linux? ¿Cuantas microsoft? ¿Vamos a buscar/explotar vulnerabilidades que afecten a unos pocos o a unos muchos? Vulnerabilidades las hay en cualquier sitio, y no hay mas.

Y es normal que solo afecte a Vista por que esta especificamente encontrado/escrito para el, ¿Crees que si se pusieran a buscar en Linux no encontrarian? Yo creo que eso si es de ser cerrados y ciegos, pero alla cada uno con sus opiniones.
Y si piensas, Pero en linux saldra una actualizacion que lo solventara, en windows, tambien, como han hecho siempre, el producto final debe ser lo mas seguro posible, pero siempre se encontraran vulnerabilidades, que no pasan demasiado tarde en tener un fix o alguna actualizacion por aprte de microsoft, asi que tan dejados no estaran los usuarios.

#10 ¿Programas? En un programa SENCILLO al cabo de x tiempo de usarlo puedes encontrar un problema en el que no habias caido, es lo mas normal del mundo, pues imaginate en un SO y al que acceden cientos/miles de programas, en algun eslabon tiene que haber algun fallo ¿no? En cuanto tengas un fallo, alguna vulnerabilidad habra, es IMPOSIBLE sacar un SO completamente seguro, por años que pasen, ¿Acaso crees que linux, que llevas MUCHOS años de desarrollos, investigaciones, pruebas y demas es completamente seguro? Siempre habra algo que falle, y si no lo hay, se buscara (ahora se me viene a la mente el problema que hubo en debian y unos paquetes de openSSL (o el h, ahora no me acuerdo, ni viene al caso!! jajaja), fallo al escribirlos y un agujero de seguridad en las conexiones ssl de la leche).

Aissok

#10 Bienvenido al mundo cruel y real a la vez.

Si es que aquí todos viven en el mundo de las florecillas.

Loa

aqui la gente no se ni que discute, la cosa es bastante sencilla, pongo la noticia igual que pongo el resto sobre cualquier SO, plug in o browser...

en cuanto al fallo en concreto, el problema no es de los navegadores, simplemente es el medio para explotar un bug en la arquitectura de seguridad de vista, por lo tanto, no es problema de todos los SO ni de los navegadores, simplemente que a la gente de MS se les olvido tapar eso.

en cuanto a la eterna discursion sobre los SO a mi me da igual, cada uno que use lo que le guste

TheV1ruSS

#12 es problema esta en que los venden como un sistema seguro, sin fallos y sin vulnerabilidades...eso a mi me parece un engaño...si gente ajena de microsoft descubren las vulnerabilidades, creo que los propios de microsoft saben algo de eso pero no quieren hablar..bueno, de eso se trata, el pueblo compra algo que no es lo que dice la etiqueta.

aNuBiS

#14 ¿Que problema hay en hablar sobre la vulnerabilidad de la noticia? No discutimos nada, intentamos encontrar de que va realmente, por que no termiino de verlo claro, osea, que si se utiliza una vulnerabilidad del flash, atraves del navegador, por que el flash no utiliza ¿"ASLR"? (o lo que sea) por no estar compatibilizado la culpa es del SO? Vale, tiene un agujero GRANDE, pero yo sigo diciendo que es IMPOSIBLE tapar todos los agujeros de todo el software que utilizamos en windows.

#15 Pero joder, no vivimos en los mundos de yupi para creernos cualquier cosa que nos vendan ¿no? Si, vale, se que mucha gente se lo creera, pero tambien es mucha gente que llega y dice "Dame el ordenador que este a la moda ahora mismo" sin tener ni idea de las necesidades que tienen, o quieren.

Sobre que lo sepan o no, no estoy tan seguro, sabran que algo "falla", pero dejar los bugs aposta, me extraña mucho, ten en cuenta que esta gente se dedica EXCLUSIVAMENTE (bueno, tanto no, pero dedican gran parte de sus esfuerzos) a encontrar agujeros de seguridad, ¿Cuanto han tardado en encontrar este desde que salio vista? Yo creo que un tiempo "prudencial" y teoricamente siempre ha estado aqui, por eso digo que los fallos no deben ser TAN garrafales como se esta intentando vender, igual que lo de que afectaba a la arquitectura y no tendria solucion, cuando el propio tio que lo encontro dijo que Vista si lo podia tener.

¿Soy el unico que lo ve asi? :(

Usuarios habituales