"Vi må starte arbejdet. Dem, der ikke vil indordne sig, må om nødvendigt dø," lyder det fra DK-CERT's leder.

Tredjepartsprogrammer skal standardiseres eller dø

Flash, Java og QuickTime udhuler sikkerheden på nettet. Tredjepartsprogrammerne åbner for sårbarheder, fordi de ikke går i spænd med browseren. Der skal gøres noget nu, siger to eksperter.

Flash, Java, QuickTime og de øvrige tredjepartsprogrammer til browseren vedligeholdes langt fra lige så godt som selve styresystemet og browseren.

I praksis betyder det, at brugerne ikke får opdateret programmerne, hvilket giver dårlig sikkerhed.

Denne problemstilling er for længst opdaget af de it-kriminelle, der i langt højere grad går efter tredjepartsprogrammerne frem for Windows.

Og det er langt hen ad vejen programudviklernes egen skyld, siger en sikkerhedsekspert.

"Indstiks-producenterne skal være langt bedre til at oplyse brugerne om opdateringer, og så skal de producere ordentlige produkter hver gang," lyder det fra Peter Kruse, sikkerhedsekspert i CSIS.

Han fortæller blandt andet om uheldige opdateringsløsninger af programmet Java, der bruges af mange netbanker, hvor opdateringerne ikke fjerner den version, der afløses.

Det medfører, at it-kriminelle kan kalde den gamle version på maskinen og udnytte sårbarheder, der rent faktisk er blevet lukket, fortæller Peter Kruse.

"Problemet er, at stribevis af tredjepartsprogrammerne udvider med faciliteter, der egentlig aldrig har været tiltænkt i en browser. Derfor skal sikkerhedsindstillingerne foretages to forskellige steder. Samtidig er der ofte ingen automatik i opdateringerne, og det er der mange, som glemmer," siger han.

Et eksempel på dette er Adobe Flash, hvor de cookie- og sikkerhedsindstillinger, der foretages i programmet, ikke gælder i browseren og vice versa.

Så må de dø
En løsning på problemet kan ifølge CSIS-manden være en samling af opdateringerne.

Han foreslår, at man udvider Windows Update til også at omfatte opdateringer til tredjepartsprogrammer.

"Ved at samle det hele et sted vil det blive meget enklere for brugeren at holde maskinen opdateret. Samlingen af opdateringer et sted bliver en af de store udfordringer i 2009," vurderer Peter Kruse.

"Det kommer sikkerhedsbranchen til at knokle med, fordi tredjepartsprogrammerne er så svære at holde styr på," siger han.

"Men det vil kræve et koordineret og formaliseret samarbejde mellem Microsoft og indstiks-udviklerne."

Den holdning deles af lederen i DK-CERT, men han forudser dog, at det kan blive meget svært at få gang i arbejdet.

En mild form for tvang kan derfor blive nødvendig.

"Det er altid et problem når man standardiserer," siger Shehzad Ahmad.

"Især når markedet er så broget, som det er for indstiksprogrammer. Her indgår alt fra store firmaer som Adobe til open source-projekter."

"Jeg tror, at man vil komme langt, hvis man bare kaster sig ud i arbejdet. De producenter, der ikke kan indordne sig, må blive kørt ud på et sidespor og om nødvendig dø. Problemet er for stort til bare at lade tingene flyde, som det er tilfældet i øjeblikket," siger han.

En anden mulighed kunne være en overordnet standard for, hvordan man producerer tredjepartsprogrammer til Windows.

"Derved kunne man fastsætte sikkerhedsniveauet fra centralt hold, hvilket ville give langt bedre overblik over sikkerheden," siger Peter Kruse.

Begge eksperter vurderer dog, at den løsning ligger længere ude i fremtiden.


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Erhvervsakademiet Lillebælt
Udvikling og salg af klassebaseret undervisning, blandt andet inden for multimedie og it.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Få succes med sourcing

Sourcing er en af de vigtigste strategiske discipliner i moderne it-drift. Uanset om du overvejer at in- eller outsource og hvad enten det er globalt eller lokalt, så kræver det viden og styr på aftaler og kontrakter. Læs mere



Datasikkerhed

Aldrig tidligere har det været mere afgørende, at vores it-systemer og data er sikre, for aldrig tidligere har vi været så afhængige af data. Og aldrig tidligere har vores data og systemer været så udsatte med så mange indgangsveje og muligheder for at blive ramt: Cloud, mobilbrug, BYOD samt virksomhedernes ofte meget fragmenterede it-infrastruktur med mange forskellige applikationer på kryds og tværs har givet mange nye kanaler ind til virksomhedernes netværk og systemer. Læs mere



Tips og tricks med Excel - Gratis inspirationsseminar

Kom til et spændende inspirationsseminar, der giver dig indsigt i hvordan Excel også kan benyttes til opgaver, som du måske ikke i dag bruger programmet til. Læs mere







Computerworld
Dansk sikkerhedsfirma slår alarm: "Jeg har fundet et atomkraftværk, hvor man kunne hæve strålingsniveauet og et fængsel, hvor fængselsdørene kan åbnes fra en server"
Dansk sikkerhedsfirma finder hidtil ukendt fejl, der kan udløse en katastrofe, hvis data havner i de forkerte hænder. Men der findes en løsning.
CIO
It-sikkerhed skal tænkes helt om: Det forkromede overblik er en mangelvare
Klumme: It-sikkerhed og bekæmpelse af cybercrime er kommet øverst på to-do-listen på direktionsgangene. Men hvis virksomhederne for alvor skal forstærke det digitale forsvarsværk, skal sikkerhedsbranchen se anderledes på it-løsningerne.
Comon
25.000 danskere gået i kuponsvindel-fælde på Facebook på blot seks timer: "Det spredte sig som en steppebrand"
Fakta, Netto, Aldi, Lidl, Lego og flere andre varemærker bliver lige nu udnyttet i forbindelse med kuponsvindel på Facebook, og danskerne klikker i hobetal. Læs hvad der sker, hvis du klikker.
Channelworld
Dansk hosting-direktør: På disse tre områder banker danske hosting-firmaer Microsoft og Amazon af banen
Den danske hostingbranche er godt polstret til at modstå konkurrencen fra globale cloud-spillere som Amazon og Microsoft. Her er tre grunde til, at danske hostingudbydere ikke blæser omkuld i konkurrencen.
White paper
Intelligente forretningsprocesser
Læs her om de centrale egenskaber ved intelligente forretningsprocesser, deres fordele og hvordan du hæver dine egne forretningsprocessers IQ.