🚀 go-pugleaf

In article <1014321293.667320@seven.kulnet.kuleuven.ac.be>,
	"Pieter" <no@email.com> writes:
> "Erik Warmelink" <erik@flits102-126.flits.rug.nl> wrote in message
> news:ect25a.3kl.ln@erik.selwerd.nl...

>> > Je kan 'in theorie' een Windows server zeer secure instellen. In
> praktijk

Huh?

>> > wordt dit echter meestal niet gedaan wegens onbekwaamheid van
>> > de Administrators.
>> Wat heeft dat te maken met Frans' opmerking over *onjuiste* kennis van
>> zaken?
> 
> De twee lijnen die je net hebt weggelaten in je quote maken dit duidelijk.

Wat heeft de (door jou geponeerde) mogelijkheid tot het secure instellen
van een Windows server te maken met het feit dat kennis van zaken niet
onjuist kan zijn, ook al is het kennis die niet door chairman Gates is
gesanctioneerd?

>> Dat vind ik een knap hufterige opmerking, het gaat er niet alleen om
>> welke problemen jij er zelf mee hebt, maar ook welke overlast jouw
>> systeem anderen zal bezorgen (om het er nog maar niet over te hebben
>> dat het een cracker zou zijn, geen hacker).
> 
> Als iemand zijn eigen code begint uit te voeren dmv. een buffer overflow
> en die code kan niets doen omdat de user account waaronder het process
> draait tegoei is ingesteld, over welke overlast heb je het dan??

Over de DDoS die nog steeds plaatsvindt tegen 192.0.0.0/8 door met
CodeRed ge-infecteerde machines.

>> Die "gebruikersvriendelijke" installatie is volgens mij juist
>> onvriendelijk (en dat is zeker niet alleen bij Microsoft zo), er wordt
>> maar van alles ge-installeerd, juist omdat je niet weet dat dat gebeurd
>> is, zul je waarschuwingen over exploits niet snel opmerken.
> 
> Als je wil kan je alles perfect instellen. Zoals eerder gezegd, het probleem
> ligt niet bij de software maar bij de Administrators.

Het probleem ligt bij de standaard installatie die overbodige servers
installeert.

> Ze weten gewoon niet _hoe_ ze alles moeten instellen.

Maar waarom zouden ze moeten weten hoe ze servers moeten instellen
als ze er niet voor gekozen hebben om die te installeren?
Dat is *niet* gebruikersvriendelijk.

> Ze gaan ervan uit dat alles secure is na de installatie, zonder er
> zelf aan te prullen... Dat is natuurlijk fout, maar dat is bij
> bijvoorbeeld Linux ook zo.

Ik ken zelf Slackware en Debian het beste, en die zijn secure na de
installatie. Pas als je er zelf voor kiest om een server te installeren,
zul je die ook moeten instellen, soma zul je die server zelfs moeten
upgraden.

>> Ook omdat Microsoft staat op security by obscurity: een bug wordt
>> ontdekt, wordt aan Microsoft gemeld, die dan zelf de servers upgrade-t
>> en de patch pas publiek maakt als script kiddy's hetzelfde lek vinden.
>> <http://www.theregister.co.uk/content/8/19915.html> voor defacements
>> van microsoft.com zelf (inderdaad niet www.microsoft.com).
> 
> Zoals al eerder gezegd, who cares dat er een of andere debug computer
> wordt gehacked

Jij bijvoorbeeld, anders zou je geen Engels gebruiken om te vertellen
dat het je niets uitmaakt. Het maakt duidelijk dat zelfs Microsoft
zelf de patches niet bij kan houden.

> (trouwens, het artikel geeft zelf toe dat 3 van de 4 computers
> nog 'under development' waren). Het zijn de publieks trekkers
> (www.microsoft.com, msdn.microsoft.com, www.msn.com etc etc) die
> men niet kan hacken.. Waarom niet? Omdat die goed ingesteld zijn.

Je gaat niet in op het argument dat dat komt omdat Microsoft exploit-
informatie voor zichzelf houdt, het lijkt me geen fijn idee dat jouw
server nog wel vatbaar is voor een exploit.

-- 
erik@selwerd.nl