Windows電腦制造商把客戶干出來的有缺陷的垃圾軟件更新程序�；银澴�，遠(yuǎn)程控制軟件

admin

Windows電腦制造商把客戶干出來的有缺陷的垃圾軟件更新程序。灰鴿子，遠(yuǎn)程控制軟件


調(diào)查發(fā)現(xiàn)Windows OEM犯“嚴(yán)重的遺漏基本安全
突出的Windows電腦制造商，包括宏碁，休利特帕卡德和聯(lián)想，都在軟件更新程序包，給客戶留下他們筆記本電腦從網(wǎng)絡(luò)罪犯攻擊的風(fēng)險(xiǎn)做出了“驚人”的疏漏，安全公司說。
“2016，”史提夫說，曼如克，在雙核安全研究部主任，在接受采訪�！盵更新]這表明缺乏基本的安全措施，你應(yīng)該使用。”
本周早些時(shí)候發(fā)表的一份報(bào)告詳細(xì)說明，由于10的Windows筆記本電腦考試五OEM（原始設(shè)備制造商），宏碁，華碩，戴爾，HP，聯(lián)想，專注于軟件更新工具廠商預(yù)裝在他們的機(jī)器。
這些更新程序是用來保持自營和第三方軟件捆綁的新電腦上日期。OEM依靠更新更新設(shè)備驅(qū)動(dòng)程序和自己的支持工具，以及內(nèi)部和第三方應(yīng)用程序預(yù)裝在新系統(tǒng)。后者是由一系列的嘲笑的標(biāo)簽，包括“臃腫”和“垃圾”，“因?yàn)樗麄兘?jīng)常低價(jià)值應(yīng)用原始設(shè)備制造商支付包驅(qū)動(dòng)。
器有大公牛的眼睛畫上他們的背，說多了”。任何軟件，下載和執(zhí)行任意二進(jìn)制文件是一個(gè)誘人的目標(biāo)，攻擊者，“該公司在其報(bào)告中寫道�！贬槍�可執(zhí)行文件在傳輸線上是沒有道理的�！�
根據(jù)定義，更新程序下載的二進(jìn)制文件，然后執(zhí)行。如果罪犯攔截PC和服務(wù)器-最有可能的之間的一個(gè)更新的交通中的一個(gè)經(jīng)典的“中間人”的攻擊，說，在一個(gè)不安全的Wi-Fi網(wǎng)絡(luò)，像那些在咖啡店和機(jī)場，他們可以把代碼有更新安裝和運(yùn)行惡意軟件。
這就是為什么頂級(jí)的軟件更新程序，如微軟和蘋果的操作，積極的安全生產(chǎn)。該鎖的最重要的組成部分，說二：加密設(shè)備服務(wù)器和回流量使用TLS（傳輸層安全）協(xié)議，繼承了SSL（安全套接字層）；和數(shù)字簽名的每一次更新的“清單”或文件列表，所以它是不可改變的。
可惜沒人告訴OEM更新程序的程序員。
這五個(gè)廠商，只有戴爾和聯(lián)想發(fā)送的更新清單通過加密通道使用TLS；其余的曝光名單新軟件包和軟件被黑客截取更新。和五，只有聯(lián)想，然后只在一個(gè)更新的它使用數(shù)字簽名保護(hù)它免受未經(jīng)授權(quán)的修改清單。（令人困惑的是，聯(lián)想和戴爾采用不同的更新程序在不同的筆記本電腦在其產(chǎn)品線，馬虎的工作。越來越多的證據(jù)）
“這是一個(gè)組合，這兩樣?xùn)|西，說：”曼如克，指加密和簽名被省略。
但清單簽名的缺乏是關(guān)鍵，根據(jù)戴倫肯普，雙核安全研究員”。明顯的驅(qū)動(dòng)更新，“他說�！焙炇鹆怂�有的。如果制造商實(shí)施了正確，它會(huì)阻止幾乎所有的攻擊。”令人震驚的“真的”這個(gè)詞來形容[客戶]”的失敗。
由于發(fā)現(xiàn)的更新程序，它看著每一個(gè)安全漏洞，并與加密和清單簽名的不足，認(rèn)為利用這些漏洞為小事，或說公司用于支持寫的博客文章“坎普，需要利用的漏洞發(fā)現(xiàn)介于所擁有的二人午餐室地板的咖啡漬和一般的盆栽植物的水平�！�
曼如克的肯普的新買家的垃圾最好的建議是立即擦拭出沒的電腦設(shè)備的驅(qū)動(dòng)，重新安裝一個(gè)干凈的Windows副本。雖然這是企業(yè)的標(biāo)準(zhǔn)做法-安裝一個(gè)公司通過的圖像-許多消費(fèi)者和小企業(yè)發(fā)現(xiàn)，困難。在一個(gè)干凈的安裝場所，多建議用戶卸載不需要的軟件，包括更新程序。
微軟稱其簽名系列電腦——OEM的筆記本電腦和臺(tái)式機(jī)，沒有或很少受--作為一種方法來解決這個(gè)問題。但三簽名品牌筆記本電腦檢查，分別來自華碩、戴爾和惠普，二人發(fā)現(xiàn)所有的還包括有缺陷的更新程序。