Windows: спустя все эти годы все еще небезопасно

МНЕНИЕ: С каждым выпуском Windows Microsoft обещает лучшую безопасность. И иногда это вносит улучшения. Но затем, ну, тогда мы видим, как действительно древние дыры в безопасности обнаруживаются снова.

Я проповедовал Евангелие использования более безопасных настольных операционных систем дольше, чем некоторые из вас. Видите ли, Windows была небезопасной с тех пор, как в 1985 году вышла Windows 1.0, которая на самом деле была расширением MS-DOS. Тогда, как и сейчас, были более безопасные варианты. Тогда это были настольные операционные системы Unix. Сегодня это настольные компьютеры Linux.

Почему Microsoft так и не приняла меры по обеспечению безопасности? Фундаментальная проблема заключается в том, что Windows никогда не предназначалась для работы в сети. Она работала как автономная операционная система для ПК. И даже сегодня, 37 лет спустя, продолжают проявляться те же проблемы, что были до Интернета. Unix и Linux исходили из предпосылки, что в системе имеется более одного пользователя, и вам необходимо защитить учетные записи и программы от других пользователей, локальных или удаленных. Это хорошо послужило этим операционным системам.

Кроме того, разработчики из Редмонда могут заявить, что переписывают код Windows снизу вверх, чтобы сделать его более безопасным. Но они этого не делают.

Возьмем, к примеру, Microsoft недавно исправила уязвимость удаленного выполнения кода нулевого дня на языках сценариев Windows, CVE-2022-41128. Имея рейтинг общей системы оценки уязвимостей (CVSS) 8,8, это злодей. Это дыра в безопасности языка сценариев Windows JavaScript. В частности, это дыра в движке JavaScript JScript9 Internet Explorer (IE) 11.

Это противно. Это влияет на каждую версию поддерживаемой в настоящее время Windows. Это включает в себя все, от Windows 8.1 до различных серверов Windows и Windows 11. С тех пор, как оно появилось, северокорейские хакеры использовали его для заражения южнокорейских пользователей вредоносным ПО.

Он работает, предоставляя жертвам вредоносный документ. Когда невиновный открывает документ, он затем загружает удаленный шаблон форматированного текстового файла (RTF). HTML внутри будет затем отображаться движком IE. Потом — та-да! - у вас есть случай заражения каким-то вредоносным ПО.

Группа анализа угроз Google (TAG), обнаружившая его, заявила: «Этот метод широко используется для распространения эксплойтов IE через файлы Office с 2017 года. Доставка эксплойтов IE через этот вектор имеет то преимущество, что не требует от цели использования Internet Explorer в качестве Браузер по умолчанию."

Ох, ребята, это так, намного старше этого. Я описал проблему такого рода в давно несуществующем журнале PC Sources в 1992 году, когда обнаружил ее в Windows for WorkGroup 3.1. Тогда, как и сейчас, Windows и ее собственные программы рассматривали данные документа как инструкции по программированию.

Вот почему, по данным Atlas VPN, «Microsoft Office остается наиболее широко используемым программным обеспечением для доставки вредоносного ПО». Насколько плохо? Попробуйте 78,5% всех атак. Office на вашем компьютере, Office 365, это не имеет значения. Они все открыты для атак.

Итак, что же это за слон в комнате, о котором я еще не упомянул? Дело в том, что IE прекратил поддержку еще в июне 2022 года. Его заменил Microsoft Edge.

Итак, почему, черт возьми, все версии Windows уязвимы для атаки IE в конце 2022 года? Разве это не история? Я имею в виду, что IE никогда не был в Windows 11. Вам хотелось бы так думать, но независимо от того, какую версию Windows вы используете, движок IE все еще находится в Windows и по-прежнему готов к атакам с помощью JavaScript.

Фундаментальные недостатки безопасности Windows так и не были исправлены. Их никогда не будет. Обратная совместимость для Microsoft гораздо важнее безопасности. Итак, компания продолжает залатать дыру.

Если вы, как и я, предпочитаете безопасность обратной совместимости, вы будете использовать Linux. Несмотря на то, что вы слышали, Linux не так уж и сложен в использовании. Но если вы не хотите прилагать никаких усилий, просто купите Chromebook. Любой может использовать Chromebook, и, поскольку он основан на Linux, он намного безопаснее.