תגית: Microsoft

handbook

פלדלת בחממה

הבוס התקשר. האם הפצנו את תיקון האבטחה האחרון של מיקרוסופט. לא.

למה לא?

יש לנו תכנה שפותחה על ידי צוות פנימי. בכדי לעבוד:

  • היא מתקשרת לבסיס הנתונים עם סיסמת ברירת המחדל של מנהל מערכת.
  • על מנת להפעיל אותה יש להשתמש בשם משתמש ובסיסמה אחידה הידועה לכולם.
  • שרת הקבצים מאפשר קריאה וכתיבה בלתי מוגבלים לכולם, שאם לא כן התכנה משתוללת.

מי צריך וירוסים ורוגלות מבחוץ כשיש מפתחים מבית.

feed

מי הזיז את האוכמניה שלי?

לענין שינויים

חברת הזנק הביאה שני מנהלים מחו"ל. אותם מנהלים היו קודם בחברות אמריקאיות1 גדולות, וככאלו, נתננו לבכיריהם מכשיר BlackBerry. לשני כשנתיים התקבל מכשיר זה בארץ ברגשות מעורבים. כיום, חברות הסלולר עושות מאמצים להעלים אותו.

לכאורה כלי פשוט, פונקציונלי העושה את מטלתיו ללא יומרות. עד שאתה יוצא מהמסגרת החמימה והקשיחה. המסגרת של שרת דואר אירגוני, שרת BlackBerry ארגוני, חוזה שרות של ספק סלולרי ללא הגבלת תעבורת נתונים, וסגל Helpdesk בזמינות גבוהה.

המנהלים לא הבינו מדוע אינם יכולים לקבל את אותו שרות כפי שהיו רגילים אליו בחברות הקודמות שלהם. הסברתי להם שהם יכולים, תמורת השקעה של מספר אלפי דולרים בתשתית, ועוד מספר עשרות דולרים לחודש, או לחלופין להתשמש במכשירים אחרים, התומכים בתכנולוגיות ActiveSync או SyncML.

תגובותיהם היו מרתקות. ממצב שבו הם היו בקלילות מטילים משימות על אנשי ה-IT, ללא מחשבה או שיקול דעת, הם נאלצו פתאום לקבל החלטות. לשקול עלות מול תועלת ולבצע הערכת סיכונים על טכנולוגיה. התסכול שלהם היה גדול. אם לא די בכך, הם נאלצו להתמודד עם הגדרות המכשירים מול שרותי הדואר החדשים, לדבר בעצמם מול ספקי השרות, ולגלות איך ניתן בכל מכשיר, ומול כל ספר לבטל את הודעת Sent using blackberry, שהופיע בכל דואר יוצא.

אני כבר מחכה למנהל הבא עם ה-iPhone….

  1. אמריקניות? []
language

קוד פתוח, קוד בטוח?

אילן שביט תוהה האם תכנה פתוחה1 היא בטוחה יותר יותר או מתכנה קניינית.

אני חסיד של תכנות פתוחות. כאשר אני בוחן תכנות פתוחות מול תכנות קנייניות, התכנה הפתוחה תמיד מתחילה עבורי מנקודת יתרון, ועל התכנה הקניינית להציג יתרונות מהותיים על מנת להתחרות. אחד השיקולים הוא אבטחת מידע.

קוד פתוח איננו בטוח יותר מקוד סגור מעצם מהותו. קוד בטוח הוא תוצר של שיטות עבודה ובקרת איכות.  יתר על כן, מרבית המשתמשים קוראים או מהדרים קוד בעצמם, אם משתמשים במוצר הסופי. מרבית כשלי האבטחה אינם מתגלים בתהליך הפיתוח אלא במהלך יישום החושף את התכנה לעולם האמיתי.

לתכנה מבוססת על קוד פתוח יתרון בתחום אבטחת המידע המצבים שתהליך הפיתוח הוא הוא פתוח:

  • קבוצות דיון או רשימות תפוצה גלויות הדנות בתכנה
  • ניהול באגים  גלוי לקהל הרחב
  • גילוי נאות

לשיקול המסחרי יש משקל2, וחברות המתבססות על מודל מסחרי קנייני בלבד סובלות מחסרון. הודאה בכשל בטיחותי לו אין להן פתרון זמין יוצר סיכון כלכלי ומשפטי חמור יותר. חברות אלו נוטות יותר להסתיר פגמים מאשר לחשוף אותם עד למציאת פתרון. תהליך זה מתארך, כאשר התכנה תלויה ברכיבים קנייניים של יצרנים אחרים. לקוד פתוח יתרון משום שאת העזרה למציאת הפתרון ניתן לקבל גם מחוץ למסגרת של צוות הפיתוח המיידי.

מעט מאוד מערכות מידע הן אי של קוד המסוגל לקיים את עצמו. תכנה משתמשת בספריות של מערכת ההפעלה, ברכיבים של תכנה אחרת ומתממשקת מול תכנות אחרות. לעיתים כשל אבטחה הוא חלק מהתוכנה, לעיתים כשל של מערכת תומכת או נלוות, לעיתים היישום הוא הבעיה, ולעיתים קרובות רק האינטראקציה היא זאת החושפת את כשל האבטחה.

באחד הבנקים בישראל ישנה מערכת המבוססת על Windows NT 4.0. לא ניתן לשדרג את המערכת היות ואחת מתת המערכות היא מוצר קנייני של חברה שפשטה את הרגל, ואותה תת מערכת איננה פועלת במערכות מתקדמות יותר3 של Microsoft. המערכת תכתב מחדש מתישהו מול תת מערכת חדשה. אם ברשות הבנק היה קוד המקור אל אותה תת מערכת, אין זאת אומרת שבהכרח היה הבנק מתחזק את הקוד בעצמו, אך ניתן היה אולי למצוא מתחזק אחר.

  1. אני כאן מערבב מעט בין המושגים של קוד פתוח ותכנה חופשית []
  2. ויש לא מעט חברות מסחריות התבססות על קוד פתוח []
  3. דהיינו כאלו שזוכות לעידכוני אבטחה []
participate

הסכנה לא בטכנולוגיה

יהונתן קלינגר מציג השינויים החשאיים שמיקרוסופט ביצעה כחלק מתהליך האוטומטי של Windows כחלק מטענה להמנעות של שימוש ממשלתי בקוד קנייני.
לפי הידוע לי, השינויים האמורים פעלו רק במצב בו לא התבצעו עידכונים אוטומטיים, אך המשתמש בחר לסמן את אפשרות הבדיקה של קיום עדכונים. אני, ואחרים, חושבים שהתגובה חריפה מדי.

מידה ועובדה זו נכונה, השינויים יכולים להיות מהותיים להמשך אפשרות הבדיקה (למנוע מצב של ביצה ותרנגולת, שבו המערכת לא יכולה לבדוק יותר קיום עדכונים כי מערכת העדכון השתנתה).מיקרוסופט מאפשרת (בתנאים מסיימים), לראות (אם כי לא לשנות) קוד. מעט מאוד בחרו לממש אפשרות זאת. יתר על כן, הרתיעה של ארגונים רבים מויסטה נובעת מהתלות של מוצר זה בתקשורת מול מיקרוסופט.

מיקרוסופט סובלת מבעיה של חוסר עמינות הן בצד העסקי, והן בצד הטכנולוגי. אבל שתי בעיות אלו אינן בהכרח תלויות אחת בשניה. וניסיונות לתקן בעיה בצד אחד מובילות לפעמים לבעיה בצד השני. תסבוכת זאת הולכת וגדלה כאשר לא ברור אם מיקרוסופט היא חברת של טכנולוגיה, מוצרי צריכה או בידור.

בחזונו של תומס ווטסון הייתה מכונה של IBM בכל חברה, ו"שלום דרך מסחר". דא עקא, שעם כל מכונת IBM הגיעו אנשי IBM, והמסחר כלל גם מסחר עם גרמניה הנאצית. את IBM הורידו מגדולתה חברות כמו NCR, דיגיטל ומיקרוסופט, לא האגודה לזכויות האזרח.

קוד פתוח איננו התשובה לכל, ואיננה החרב לפתרון כל הקשרים הגורדיים של אבטחת מידע וצנעת הפרט ללא מי שיבחן את הקוד.

e-mail

הסטה לה ויסטה, בוב.

האמרה "Bob's your uncle" מקובלת בעולם האנגלו-סאקסי כמציינת דבר-מה פשוט, טריוויאלי. האם מישהו במחלקת השיווק של מיקרוסופט חשב על כך, אי אז, בשנת 1995, כאשר על העולם הונחת מיקרוסופט בוב. לענין זה, האם באג Y2K, הנחה את מחלקת השווק במתן השם Windows Millennium, או שמה גלגל הענק בלונדון

ראו שני מאמרים על Windows ME, אחד עם יציאתו, שני פחות משנה מאוחר יותר.

והיום, ויסטה.

rss