En fejde der bliver ved med at producere upatchede Windows-fejl
En langvarig strid mellem Microsoft og en sikkerhedsforsker under kaldenavnet Nightmare Eclipse har nået en ny milepæl, og ikke en god én for Windows-brugere. Kort efter Microsofts seneste Patch Tuesday offentliggjorde forskeren et niende zero-day-angreb, der påvirker Windows, hvilket betyder, at der nu er offentligt tilgængelig angrebskode til en sårbarhed, som Microsoft endnu ikke har rettet. For alle, der kører Windows, betyder en Windows zero-day af denne art noget, fordi den potentielt kan bruges af angribere, før der findes en officiel patch.
Det, der gør denne sag usædvanlig, er ikke eksistensen af en enkelt fejl, men mønstret. Dette er den niende exploit, forskeren har frigivet i hvad der ligner en vedvarende fastlåst konflikt, hvilket tyder på et sammenbrud i den normale dialog mellem sikkerhedsforskere og de producenter, hvis produkter de tester.
Hvordan striden med Microsoft eskalerede
Ifølge rapportering om konflikten ser Nightmare Eclipse ud til at mene, at Microsoft ikke har taget deres sårbarhedsrapporter alvorligt nok gennem virksomhedens standardkanaler for indberetning. I stedet for at fortsætte med at vente på, at Microsofts sikkerhedsproces reagerede, har forskeren valgt at offentliggøre proof-of-concept-angrebskode offentligt og timet denne seneste offentliggørelse til at lande lige efter Microsofts regulære månedlige patch-cyklus.
Denne tilgang bryder med branchens norm for koordineret offentliggørelse, hvor en forsker privat indberetter en fejl til en producent og accepterer at tilbageholde offentlige detaljer, indtil en rettelse er tilgængelig. Når den tillid bryder sammen, som den tilsyneladende har gjort her, er resultatet præcis det, der sker nu: fungerende exploit-kode, der cirkulerer offentligt, før Microsoft har leveret en patch. Hver ny frigivelse i denne serie lægger pres på Microsofts sikkerhedsteam, samtidig med at den giver potentielle angribere et forspring.
Dialogen frem og tilbage er angiveligt blevet så anspændt, at den har tiltrukket sig opmærksomhed fra hele sikkerhedsbranchen, hvor det underliggende spørgsmål er, om Microsofts håndtering af forskerens rapporter, eller mangel på et tilfredsstillende svar, delvist er det, der har drevet tingene til dette punkt. Uanset hvem der bærer mest skyld, er det praktiske resultat for almindelige brugere det samme: endnu en upatchet fejl med offentlig exploit-kode knyttet til sig.
Hvorfor gentagne zero-day-frigivelser er et større problem end enkeltstående fejl
En enkelt upatchet sårbarhed er allerede en legitim bekymring, men en stribe på ni peger på noget mere strukturelt. Det tyder på, at uanset hvilken kontrol- eller prioriteringsproces der findes mellem forskere og Microsofts sikkerhedsresponsteam, så fungerer den ikke gnidningsfrit i dette særlige tilfælde. For brugere betyder det, at Windows-maskiner kan være udsat for flere potentielle angrebsveje samtidigt, i stedet for at stå over for ét problem, der bliver løst, før det næste dukker op.
Det hæver også indsatsen for Microsofts månedlige patch-kadence. Patch Tuesday eksisterer, så IT-teams og forbrugere kan planlægge opdateringer efter en forudsigelig tidsplan. Når zero-day-angreb bliver frigivet lige efter den cyklus, står forsvarere tilbage med at vente i ugevis på det næste officielle rettelsesvindue, medmindre Microsoft vælger at udsende en akut patch uden for den normale cyklus. Den venteperiode er præcis dér, hvor opportunistiske angribere har tendens til at bevæge sig hurtigst.
Hvad dette betyder for dig
Hvis du bruger Windows, kræver intet af dette panik, men det kalder på opmærksomhed. Zero-day-angreb er farligst i vinduet, før der findes en patch, og det vindue er præcis det, der er åbent lige nu for dette niende problem. Den mest effektive reaktion er den samme, som altid gælder under aktive zero-day-situationer: hold automatiske opdateringer slået til, så du modtager Microsofts rettelse i det øjeblik, den bliver tilgængelig, og undgå at udskyde sikkerhedsopdateringer, når de først lander, selv hvis det betyder en genstart på et ubelejligt tidspunkt.
Det er også værd at huske, at offentlig zero-day-exploit-kode ikke automatisk betyder, at alle Windows-brugere bliver aktivt angrebet. Angribere har stadig brug for en brugbar vej til at nå et sårbart system, hvilket er grunden til, at grundlæggende hygiejne, forsigtig håndtering af uventede e-mail-vedhæftninger og links samt at køre et system med begrænset unødvendig eksponering mod internettet, forbliver værdifuldt selv mod zero-days.
At være på forkant med en uløst situation
Denne konflikt mellem Microsoft og Nightmare Eclipse ser ikke ud til at være ovre, og yderligere offentliggørelser er sandsynlige, hvis den underliggende uenighed ikke bliver løst. For nu er den praktiske konklusion for Windows-brugere ligetil: behandl denne Windows zero-day på samme måde, som du ville behandle enhver upatchet, offentligt kendt sårbarhed. Tjek, at dit system er indstillet til at installere opdateringer automatisk, hold øje med Microsofts officielle vejledning eller en akut patch, og vær forsigtig med ukendte links og filer, indtil en rettelse er bekræftet installeret på din enhed. At holde sig opdateret med patches forbliver det mest pålidelige forsvar, mens denne strid fortsætter med at udspille sig.
