På årskonferansen til sikkerhetsselskapet RSA Security i Amsterdam gjorde Microsoft mer enn produkter som NGSCB ("Next Generation Secure Computing Base") og RMS ("Rights Management Services"). Sikkerhetsansvarlige Mike Nash – "Corporate Vice President Security" – kom også med løfter, om store forbedringer i fikse-prosessen, om metoder for å styrke sikkerheten i mangel av fiks, og om framgangsmåter som kan gi bedre kvalitet generelt i programvaren.
Les også:
- [06.05.2004] Microsoft utvider sikkerheten i Longhorn
- [22.04.2004] Kopisperre i kommende Intel-prosessorer
- [11.03.2004] Slik stopper du smitte fra bærbare
- [15.01.2004] Dagen for personlige brannmurer
- [18.12.2003] Microsoft publiserer beta av servicepakke
- [16.12.2003] Microsoft i detalj om Windows XP-oppdatering
- [11.12.2003] Microsoft sendte ut sikkerhetsfiks på nytt
- [04.12.2003] Oppgradert PC-vern fra Trend Micro
- [02.12.2003] Usikrede PC-er kartlegges – kan varsle ny internettorm
- [28.11.2003] Planlegger oppdateringer på CD
- [27.11.2003] Slik sikrer Microsoft sitt eget nettverk
- [24.11.2003] Microsoft avslører nyheter i kommende servicepakke
- [21.11.2003] Konsumenter, ikke bedrifter, velger bærbare PC-er
- [12.11.2003] Månedens Windows-oppdatering er tilgjengelig
- [05.11.2003] Slik er Microsofts egentlige sikkerhetsteknologi
- [04.11.2003] Slik kan info-katastrofen unngås
- [04.11.2003] Microsoft lar deg styre hvem som får lese hva
- [03.11.2003] RSA-kode lenger inn i Microsofts ID-teknologi
- [03.11.2003] Overdrevet om ID-konflikt mellom Microsoft og Sun
– Vi har fått mange tilbakemeldinger fra våre kunder om at de har store problemer med å forholde seg til en stadig strøm av fikser og oppdateringer. De peker også på at fikse-prosessen i dag påfører dem store utgifter. Vi har arbeidet med metoder for å gjøre prosessen mer liketil og mindre kostbar, sa Nash i sin innledning.
Mer effektiv fiksing.
Behov for fiks – "patch" – oppstår når noen oppdager at det er en programvarefeil enten gjør det vanskelig å bruke en applikasjon etter hensikten, eller åpner for dataangrep. Microsofts tjeneste for oppdatering av Windows fungerer godt for forbrukere og småbedrifter, men er ikke så enkelt å håndtere i store brukermiljøer eller på serversiden, der fikser må testes før de installeres i produksjonssystemer.
Nash bedyrer at tiltak gjennomført av Microsoft vil føre til store forbedringer i fikse-prosessen rettet mot bedrifter og organisasjoner.
– Vi har redusert kompleksiteten i fikse-prosessen ved å sørge for at hver fiks er enklere å installere i store og kompliserte miljøer. Vi har skjerpet kvalitetssikringen i vår utvikling av fikser. Vi har stadfestet som prinsipp at ingen fiks skal leveres uten innebygget mulighet for avinstallering, slik at man skal kunne gjenopprette systemet slik den var dersom fiksen mot formodning ikke skulle fungere etter hensikten. Vi har også utviklet "delta patching", det vil si at fiksen bare inneholder endringene i dll-filer, ikke hele den nye versjonen. Erfaringsmessig reduserer det fiksstørrelsen med opptil 80 prosent. Til slutt vil vi sørge for at stadig færre fikser krever at man starter maskinen om igjen. Denne "hot patching" for servere innebærer at fiksing ikke lenger skal være ensbetydende med nedtid.
Microsoft lanserte i juli i fjor tjenesten Software Update Services (SUS) som skulle tilsvare Windows Update på brukersiden. I juli ble SUS utvidet til også å ta seg av de større oppdateringene som går under navnet Service Pack.
– Tidlig i 2004 vil vi lansere tjenester som oppdaterer applikasjoner på samme måte som vi i dag oppdaterer systemprogramvaren. På serversiden vil versjon 2.0 av SUS omfatte automatisert oppdatering av SQL Server, Office System og Exchange.
Serveren skal inspisere klientene.
Fiksing er per definisjon noe man gjør i etterkant. Sikkerhet innebærer også forebyggende tiltak. Med mer robust programvare kan man gjøre det langt vanskeligere å utnytte sikkerhetshull som brukeren ennå ikke har tettet.
– Vi vil gjennomføre tiltak på både klient- og serversiden for å gjøre Windows-baserte maskiner og nettverk mer motstandsdyktige. Service Pack 2 for Windows XP vil omfatte en rekke slike tiltak. Den vil komme i beta innen årsskiftet, og gjøres allment tilgjengelig innen juni 2004.
Windows XP SP2 vil ha ordninger som gjør at brannmuren er på i utgangspunktet, og Nash lover å rette på forhold som i dag får folk til å slå av brannmuren. Det vil bedre vernet mot ukjente ormer. Pakken vil også ha en ny metode for minnebeskyttelse, som skal hindre misbruk av usikrede buffere, en gjenganger i mange sårbarheter i eksisterende programvare. Minnebeskyttelsen vil hindre hackere fra å utnytte usikrede buffere til å overta kontrollen over offerets maskin.
Den samme tidsrammen gjelder for Service Pack 1 for Windows Server 2003. Her vil Microsoft tilby nye verktøy for rollebasert brukerkonfigurering. En annen interessant egenskap vil la servere i lokalnettet løpende sjekke sikkerhetsegenskapene til klientene.
– Dette er spesielt viktig i miljøer der folk rutinemessig bruker bærbare PC-er som også jevnlig koples til nettverk utenfor bedriftens kontroll. Det er helt vanlig at en bærbar bruker plukker opp en trojaner fra en usikret oppkopling, og sprer den internt, bak bedriftens brannmur, neste gang han kommer på jobb. Med den kommende inspeksjonsordningen til Windows Server 2003 til ikke maskinen slippe til på nettet før serveren har sjekket at den for eksempel har oppdatert og aktiv virusvern, korrekt innstilt brannmur og så videre.
Kvalitetssikring av utviklingsprosessen.
Microsoft har gjennomgått hver fase i prosessen der programvare utvikles, og lagt inn nye rutiner for kvalitetssikring.
– Mange sårbarheter skyldes feil i komponenter som i utgangspunktet ikke har noe med sikkerhet å gjøre. For å forebygge slike feil, har vi sett på hvert trinn i utviklingsprosessen, med konstruksjon, utvikling, testing, sikkerhetsrevisjon og oppdatering, og identifisert hva som kan gå galt. Vi har endret metodikk og gitt utviklerne nye verktøy.
Nash mener dette har gitt målbare resultater.
– Service Pack 3 til henholdsvis Exchange Server 2000 og SQL Server 2000 var begge underlagt denne nye prosessen. SP3 for Exchange har vært ute i 16 måneder, og vi har bare måtte gå ut med én sikkerhetsbulletin. I månedene før SP3, måtte vi ut med 5 sikkerhetsbulletiner. Med SQL Server 2000, der SP3 har vært ute i 10 måneder, er tallene henholdsvis 1 og 10. Vi ser en liknende utvikling i Windows Server 2003 sammenliknet med Windows Server 2000. Antall fikser 90 og 180 dager etter lanseringen var henholdsvis 3 og 6 for 2003, mot henholdsvis 9 og 21 for 2000. Og fiksene for 2003 gjaldt langt mindre dramatiske sårbarheter enn for 2000.
