Microsoft mało dba o bezpieczeństwo Windows 7, cały wysiłek poszedł w Windows 8

Niemieccy badacze Marion Marschalek i Moti Joseph mają złąwiadomość dla wszystkich tych, którzy upierają się trwać przyWindows 7, zamiast zgodnie z oczekiwaniami Microsoftu kupić noweWindows 8.1. Z ich badań wynika, że choć Redmond zobowiązało siędostarczać aktualizacje bezpieczeństwa do tego ogromnie popularnegosystemu przez jeszcze ponad pięć lat, to zobowiązań swoich nietraktuje z entuzjazmem. Nowe zabezpieczenia trafiają dziś tylko doWindows 8.1, pozostawiając Windows 7 bez porządnej ochrony.

Podczas tegorocznej konferencji TROOPERS eksperci zademonstrowaliswoje napisane w Pythonie narzędzie DiffRay, służące doautomatyzacji porównywania komponentów software'owych w Windows 7 iWindows 8 (8.1). Za jego pomocą zeskanowane zostało 900 biblioteksystemowych. Skan pozwolił ustalić, że nowsza wersja Windowsotrzymała przynajmniej cztery dodatkowe funkcje bezpieczeństwa wplikach nagłówków intsafe.h i strsafe.h (przeznaczonych do ochronyprzed przepełnieniami bufora).

Zdaniem badaczy to zaniechanie producenta może wskazać drogę donowych podatności, działających tylko w Windows 7. Moti Josephuważa, że Microsoft po prostu nie chce dziś marnować czasu ipieniędzy na prace nad starszymi systemami, robiąc dla nich tylkoto, co konieczne. Celem firmy jest zmuszenie ludzi do przejścia nanowsze wersje systemów, a nie rozwijanie czegoś, co powinno zostaćzapomniane.

Oszczędzanie na bezpieczeństwie może się jednak dla Redmondskończyć znacznie większymi wydatkami. Kolejne wersje DiffRayapozwolić mają na automatyzację procesów wyszukiwania podatnościw Windows, i jak Joseph zapewnia, jeśli z tego projektu uda sięuzyskać choć jedną lukę 0-day, to spełni on swoje zadanie.

Należy jednak podkreślić, że wbrew temu, co niektóre mediapiszą o tym odkryciu, nie mamy tu do czynienia z lukami w Windows 7,których nie ma w Windows 8. Wspomniane funkcje nie są częściąsystemowych interfejsów, lecz przynależą do narzędzideweloperskich (SDK) dla języków C/C++, i jeśli ktoś w aplikacjibędzie do nich statycznie linkował, to powinny działać też naWindows 7. Ich nieobecność w „siódemce” oznacza po prostu, że„ósemka” jest lepiej zabezpieczona przed potencjalnymi błędamiprogramistów.

Niekoniecznie też taki stan rzeczy musi być efektem złej woli –równie dobrze może to być efekt niezależnej pracy różnychzespołów deweloperskich, które nawzajem nie informowały się ozmianach wprowadzanych do SDK. Być może nawet Windows 7 po prostunie potrzebuje tych nowych funkcji dla utrzymania właściwegopoziomu bezpieczeństwa.