SmartScreen w Windows 8 śledzi użytkownika
#1
SmartScreen Microsoftu nie jest niczym nowym - nazwany jest tak filtr, który wg producenta "jest funkcją dostępną w programie Internet Explorer, która pomaga wykrywać witryny sieci Web wyłudzające informacje. Filtr SmartScreen pomaga również chronić komputer przed instalowaniem złośliwego oprogramowania (kodu typu malware), które działa w sposób nielegalny, oszukańczy lub złośliwy albo wykorzystuje wirusy."
Natomiast w Windows 8 stał się osobną i nieco "utajoną" aplikacją, która zaczęła po ostatnich odkryciach budzić poważne kontrowersje...posłużę się obszernym cytatem
Cytat: Wygląda na to, że Windows 8 będzie krył wiele niespodzianek. Jedną z wyjątkowych funkcji systemu jest SmartScreen - program tworzący listę instalowanych przez użytkownika aplikacji i przesyłający ją do Microsoftu.
Zapytany o ten budzący kontrowersje dodatek, gigant z Redmond odpowiedział, że SmartScreen został stworzony z myślą o zwiększeniu bezpieczeństwa i ochronie danych przed szkodliwym oprogramowaniem.

Programista Nadim Kobeissi odkrył istnienie SmartScreen i zaniepokoiła go nie tyle sama jego obecność, ile fakt, że zbierane przez niego informacje obejmują nie tylko nazwy zainstalowanych aplikacji. SmartScreen będzie w stanie zbierać dane programów, w tym zaszyfrowane hasła do kont bankowych. Problem stanowi fakt, że możliwe jest przechwycenie raportów wysyłanych przez niego Microsoftowi. To otwarta furtka dla hakerów i handlarzy informacjami, której niewielu będzie potrafiło się oprzeć.

Źródło cytatu

[Aby zobaczyć linki, zarejestruj się tutaj]


[Aby zobaczyć linki, zarejestruj się tutaj]


Sam autor odkrycia - Nadim Kobeissi- tak podsumowuje swój artykuł (podkreślenia autora)
Cytat: To recap, here are the concerns posed by SmartScreen in Windows 8:

Windows 8 will, by default, inform Microsoft of every app downloaded and installed by every user. This puts Microsoft in a compromising, omniscient situation where they are capable of retaining information on the application usage of all Windows 8 users, thus posing a serious privacy concern. The user is not informed of this while installing and setting up Windows 8, even though they are given the option to disable SmartScreen (which is enabled by default.)
Windows 8 appears to send this information to Microsoft to a server that relies on Certificate Authorities for authentication and supports an outdated and insecure method of encrypted communication. It is possible that these insecurities could allow a malicious third party to target a Windows 8 user and learn which applications they are using. This allows them to profile the user and decide how to best exploit their personal selection of applications and their computing habits.

W polskim artykule nie podniesiono jeszcze jednej istotnej sprawy...autor odkrył, że informacje ze SmartScreen były wysyłane na serwery w Redmont za pomocą szyfrowanego protokołu SSLv2
Cytat: After running some tests on this Microsoft server, I discovered that it ran Microsoft IIS 7.5 to handle its HTTPS connections. The Microsoft server is configured to support SSLv2 which is known to be insecure and susceptible to interception.The SSL Certificate Authority chain goes down from “GTE CyberTrust Global Root” to “Microsoft Secure Server Authority.” The Certificate Authority model is itself susceptible to some serious problems.

I haven’t checked whether Windows SmartScreen does in fact use SSLv2, but the fact that the Microsoft servers support it is concerning.

I coś musiało być na rzeczy z tym szyfrowaniem, ponieważ autor w aktualizacjach do artykułu pisze w ten sposób
Cytat: Update: According to Microsoft, SmartScreen sends a hash of the app installer and its digital signature, if any. A combination of the hash and the user’s IP address is still enough to identify that IP address x attempted to install software y.

Update 2: Another researcher has discovered that a filename of the app you’re trying to install is indeed sent to Microsoft. This severely strengthens privacy concerns.

Update 3: Approximately 14 hours after this article was published, another scan of Microsoft’s SmartScreen servers reveals that they have been reconfigured to no longer support SSLv2. The servers now only support SSLv3 connections.

Oryginalny artykuł "Windows 8 Tells Microsoft About Everything You Install, Not Very Securely"

[Aby zobaczyć linki, zarejestruj się tutaj]

Tulink do jednej z dyskusji pod wiele mówiącym tytułem "Thoughts on the Windows SmartScreen scare "

[Aby zobaczyć linki, zarejestruj się tutaj]

"Bezpieczeństwo jest podróżą, a nie celem samym w sobie - to nie jest problem, który można rozwiązać raz na zawsze"
"Zaufanie nie stanowi kontroli, a nadzieja nie jest strategią"
Odpowiedz


Skocz do:


Użytkownicy przeglądający ten wątek: 1 gości