Windows 7 non completamente patchato rispetto a Windows 8?

Parliamo qui dei rootkit hypervisor-level, ma anche di quale piattaforma mobile preferire o delle ripercussioni di Facebook sulla nostra privacy.
Regole del forum
Rispondi
[Claudio]

Windows 7 non completamente patchato rispetto a Windows 8?

Messaggio da [Claudio] »

Per caso, sono inciampato in QUESTO ARTICOLO :o
Microsoft has left Windows 7 exposed by only applying patches to its newest operating systems.
Researchers found the gaps after they scanned 900 Windows libraries and uncovered a variety of security functions that were updated in Windows 8 but not in 7.
They said the shortcoming could lead to the discovery of zero day vulnerabilities.
The missing safe functions were part of Microsoft's dedicated libraries intsafe.h and strsafe.h that help developers combat various attacks.
Non serve precisare che THE REGISTER è un sito di divulgazione piuttosto serio, però vorrei una opinione di developerwinme ( o di chi, sul forum, è più vicino alle "questioni Microsoft" ) perché se le cose fossero quelle descritte nell'articolo ( numerose falle di sicurezza NON risolte su Windows 7, ma risolte su Windows 8 ), le conseguenze, per gli utilizzatori di Windows 7, non sarebbero piacevoli.

System
System
Bot ufficiale TurboLab.it
Bot
Messaggi:
Iscritto il: sab dic 31, 2016 6:19 pm
Contatta: Contatta

Re: Windows 7 non completamente patchato rispetto a Windows 8?

Messaggio da System » lun giu 16, 2014 11:13 am


Avatar utente
developerwinme
Livello: Workstation (10/15)
Livello: Workstation (10/15)
Messaggi: 1319
Iscritto il: mer mag 01, 2013 1:35 pm
Località: Como
Contatta:

Re: Windows 7 non completamente patchato rispetto a Windows 8?

Messaggio da developerwinme »

[Claudio] ha scritto:però vorrei una opinione di developerwinme ( o di chi, sul forum, è più vicino alle "questioni Microsoft" )
Ho letto solo l'articolo, e non ho tempo per ulteriori ricerche, quindi posso fornire solo un punto di vista parziale: presupponendo che la problematica è comunque potenzialmente importante, e che vanno attese ulteriori analisi di terze parti e risposte ufficiali, ci sono due aspetti che noto:
1- La modifica rilevata sembra (dico "sembra" per l'assenza di dettagli tecnici ulteriori nell'articolo; magari nel PDF, che non ho il tempo di leggere, è presente più informazione) essere correlata ad una qualche forma di mitigazione aggiuntiva disposizione degli sviluppatori di terze parti, che ha ricevuto delle migliorie in Windows 8.x, e non ne ha ricevute in Windows 7. Non stiamo parlando di una falla di sicurezza non corretta;
2- Ogni volta che Microsoft prepara e rilascia un aggiornamento di sicurezza, vengono tenuti in considerazione vari fattori (c'è un whitepaper ufficiale da qualche parte che li descrive in dettaglio, ma non riesco a trovarlo), tra cui gravità, disponibilità di exploit in rete funzionanti, problemi di compatibilità con applicazioni già esistenti ecc... Per questo motivo, può accadere che delle correzioni vengano apportate diversamente, o non apportate, su sistemi operativi diversi. è un modo assolutamente naturale e lecito di farlo, e ho sempre avuto l'idea, fatta durante anni di osservazione, che la priorità della società sia sempre stata quella di "andare a risolvere i problemi dove è più necessario, bilanciando sempre vantaggi in termini di sicurezza e svantaggi in termini di compatibilità e potenziali problemi per gli utenti finali": non credo che, data l'intrinseca somiglianza dei vari sistemi operativi a base NT e l'enorme diffusione di Windows 7, che a Microsoft convenga economicamente di non risolvere problemi nei sistemi precedenti: a meno di casi estremamente particolari (leggi problemi che necessitino di fare una reingegnerizzazione di ampie porzioni del sistema), portare una patch tra Windows 8 e Windows 7, una volta che è pronta la versione per Windows 8, non è sicuramente un costo di rilievo particolare per una società delle dimensioni di Microsoft: se questo non viene fatto è perché 1) la situazione non viene valutata a rischio (e la valutazione di rischio può cambiare nel tempo -> se necessario la patch arriva) e 2) ci sono particolari e validi motivi per non farlo.

La mia opinione è che, fino a quando non si fa chiarezza sulla questione in modo più approfondito, sia dal punto di vista tecnico, con ulteriori analisi, che dal punto di vista ufficiale, con una eventuale risposta da parte di Microsoft in merito, la problematica non è particolarmente rilevante dal punto di vista pratico.
Marco Adriani
developerwinme.wordpress.com

Avatar utente
developerwinme
Livello: Workstation (10/15)
Livello: Workstation (10/15)
Messaggi: 1319
Iscritto il: mer mag 01, 2013 1:35 pm
Località: Como
Contatta:

Re: Windows 7 non completamente patchato rispetto a Windows 8?

Messaggio da developerwinme »

Ho trovato, molto velocemente, questo articolo, piuttosto interessante, che avvalora la mia tesi: http://www.zdnet.com/is-microsoft-not-p ... 000030374/
Marco Adriani
developerwinme.wordpress.com

[Claudio]

Re: Windows 7 non completamente patchato rispetto a Windows 8?

Messaggio da [Claudio] »

Scusa Marco, a parte la "diversa visione" tra chi divulga l'informazione (e faccio riferimento all'articolo che ho linkato per aprire la discussione e a quello linkato da te), a me la cosa sembra ancora più seria di come proposta da THE REGISTER:
These are the calls that Joseph's and Marschalek's research looked for. They are not "patches," and the distinction is a significant one. Patches address a known problem. These calls protect against potential problems. They are proactive measures added to make the product more resistant to attack. It's likely that many of them are unnecessary, that the code being protected is not, as a practical matter, exploitable, assuming that there are even problems in the code being protected with the safe functions. But over time, the standards for these things become stricter, and it's not surprising to find more used in Windows 8 than Windows 7.
non si parlerà di falle di sicurezza non corrette, ma ci si spinge ancora oltre: una marcata differenza tra i sistemi di protezione adottati in Windows 8 e quelli in Windows 7; concorderai con me, che a fronte si diversità cosi marcate (e non spiegabili solo con la differenza nello sviluppo), arrivare a falle di sicurezza (0-day potenziali) il passo è breve.

Banalmente: che uno la giri come viene girata da THE REGISTER, oppure come viene girata da ZDNET ( --->>> che rispecchia, in parte, la conclusione prospettata da te), il problema è, comunque serio.

Mio pensiero personale: d'accordo che Windows 7 si porta dietro 4 anni e mezzo di vita, ma mi sembra un pochino presto iniziare (lato Microsoft) a "spingere" la sua dismissione.

Avatar utente
developerwinme
Livello: Workstation (10/15)
Livello: Workstation (10/15)
Messaggi: 1319
Iscritto il: mer mag 01, 2013 1:35 pm
Località: Como
Contatta:

Re: Windows 7 non completamente patchato rispetto a Windows 8?

Messaggio da developerwinme »

[Claudio] ha scritto:una marcata differenza tra i sistemi di protezione adottati in Windows 8 e quelli in Windows 7
Non si parla di sistemi di protezione, ma di mitigazioni presenti nel codice di alcuni funzioni del sistema (stando a quanto si può capire con le informazioni disponibili): è una differenza che per essere capita fino in fondo necessità di conoscenze di programmazione in C/C++: semplificando, i ricercatori hanno scoperto che in Windows 8 ci sono alcune funzioni (chiamabili, per esempio, da linguaggio C++) offerte dal sistema che sono progettate in modo da evitare che alcune situazioni pericolose possano accadere. Si tratta di "protezioni" che aggiunge Microsoft per fare in modo da rendere la vita più semplice agli sviluppatori, e rendere più difficile per codice di terze parti scritto in modo non sufficiente "adeguato" di diventare vulnerabile, a causa di errori "comuni" nell'uso di tali funzioni.

Queste "mitigazioni" non sono state aggiornate in Windows 7 a tutte le ultime innovazioni trovate per Windows 8 nei tre anni dello sviluppo (così come avviene per svariate componenti del sistema, anche inerenti alla sicurezza (per esempio, Windows 8 ha un nuovo modello di ASLR, non portato su Windows 7, e numerosi miglioramenti di base al kernel, di nuovo non portati)): si tratta di misure preventive, con potenziali rischi per la compatibilità piuttosto importanti (se Microsoft modifica il funzionamento di una API, i programmi che la usano potrebbero funzionare in modo diverso, o non funzionare proprio, e questa non è una situazione accettabile per un aggiornamento veicolato tramite Windows Update).

è un problema di portata assolutamente minore (anzi, direi che non è proprio un problema), e non credo sia affatto ragionevole pretendere che la società possa portare ogni modifica e miglioria, anche se di basso livello (nel senso di profondità nel nucleo del sistema), in tutte le versioni supportate del sistema operativo: le migliorie più importanti e di ragionevole implementazione vengono portate (come Internet Explorer, o nuove librerie DirectX), e le problematiche di sicurezza vengono corrette: non si può chiedere che anche i frutti di una più o meno profonda reingegnerizzazione di parti del sistema vengano portate anche sulle versioni precedenti: a questo punto tanto varrebbe distribuire Windows 8.1 tramite Windows Update a tutti gli utenti che hanno da Vista in poi. (con tutti i problemi di compatibilità che questo comporterebbe, INDIPENDENTEMENTE dal lato economico della faccenda: a Microsoft potrebbe pure convenire di fare aggiornare gli utenti gratuitamente a Windows 8.1, per ampliare il parco di utenti per lo Store, e quindi rendere la piattaforma più appetibile per gli sviluppatori)

PS: Come nota a margine, dal punto di vista giornalistico, a mio modo di vedere, l'articolo di THE REGISTER è scritto in modo impreciso e potenzialmente fuorviante, proprio perché può far credere che la situazione sia ben più grave di quanto effettivamente sia in realtà, contribuendo a distribuire errata (o imprecisa) informazione.
Marco Adriani
developerwinme.wordpress.com

[Claudio]

Re: Windows 7 non completamente patchato rispetto a Windows 8?

Messaggio da [Claudio] »

developerwinme ha scritto:..... e non credo sia affatto ragionevole pretendere che la società possa portare ogni modifica e miglioria, anche se di basso livello (nel senso di profondità nel nucleo del sistema), in tutte le versioni supportate del sistema operativo: le migliorie più importanti e di ragionevole implementazione vengono portate (come Internet Explorer, o nuove librerie DirectX), e le problematiche di sicurezza vengono corrette: non si può chiedere che anche i frutti di una più o meno profonda reingegnerizzazione di parti del sistema vengano portate anche sulle versioni precedenti.
Posso concordare, ma solo in parte; d'altronde questo è l'atteggiamento (ben conosciuto) che Microsoft ha adottato dal lancio di Windows 8 (un S.O. che, se stiamo ai numeri nudi e crudi, è un vero fallimento); un esempio lo abbiamo con la diversa versione di Internet Explorer 11 su Windows 8 (con Flash integrato) e su Windows 7 (lasciato esposto alle continue vulnerabilità di un plug-in di terze parti); ritengo non fosse cosi complicato implementare la stessa versione anche in Windows 7.

E non deve essere un caso se (leggevo un paio di articoli in merito, giusto qualche giorno fa), recentemente, Microsoft ha iniziato a suggerire ai propri utenti il ricorso ad un tool (EMET) proprietario che, per anni, ha tenuto "quasi nascosto" spesso mi sono chiesto quali difficoltà di carattere tecnico avrebbe determinato integrare EMET di default nei sistemi, a partire da Windows 7 .... resterà un mistero insondabile (o, forse no, visto cosa è emerso con il DATAGATE).

Comunque questa vicenda è poco chiara, quindi non resta che seguirne l'evoluzione (alla fine Microsoft in qualche modo dovrà rispondere ai dubbi sollevati .... almeno .... si spera).

Ovviamente, ti ringrazio per i chiarimenti (ti ho chiamato in causa, mi sembra perlomeno doveroso farlo).

System
System
Bot ufficiale TurboLab.it
Bot
Messaggi:
Iscritto il: sab dic 31, 2016 6:19 pm
Contatta: Contatta

Re: Re: Windows 7 non completamente patchato rispetto a Windows 8?

Messaggio da System » lun giu 16, 2014 3:02 pm


Rispondi
  • Argomenti simili
    Risposte
    Visite
    Ultimo messaggio