'Israël waarschuwde VS dat Russische hackers via Kaspersky-software spioneerden'

Je moet voor jezelf bepalen of je een voorziening veilig genoeg vindt. Veiligheid is namelijk geen zwart-wit vergelijking, het is een risico inschatting.

Een client-side antivirus pakket heeft een hoofddoel: het beschermen van je bestanden tegen malware. Dat doet het pakket enerzijds door schrijfacties te filteren _voordat_ het bestand fysiek naar de lokale opslag wordt weggeschreven. En anderzijds door patroonherkenning in bestanden bij leesacties op bestanden op de lokale opslag.

Kaspersky antivirus doet dat zoals de meeste antivirus leveranciers doen: ze houden een actuele lijst van malware fingerprints bij, en haken in op low-level functies in het operating systeem om transparant, dus zonder dat de eindgebruiker er iets van merkt, die filteracties op lees- en schrijfbewerkingen uit te kunnen voeren.

Daarnaast kan het pakket dus fingerprints downloaden, en malware uploaden, naar Kaspersky. Dit alles om de lijst van fingerprints zo actueel mogelijk te houden.

Die lijst van fingerprints is namelijk het onderscheidende onderdeel van een antimalware pakket. Deze moet zeer actueel zijn (om zero days te kunnen detecteren) en compleet genoeg zijn. En dit zijn meteen 2 factoren die je mee moet nemen in je risico inschatting, aan de positieve zijde van de balans. Andere factoren aan de positieve zijde zijn zaken zoals gebruikersvriendelijkheid, featurecompleetheid enzovoort.

Aan de negatieve zijde van de balans zitten echter de applicatiefuncties die niet, of minder, met de core functionaliteit van de applicatie te maken hebben. Als voorbeeld: inhaken op de low level functies van het operating systeem is leuk omdat de gebruiker niet lastig gevallen wordt met vragen zoals: "kasperksy wil nu bestand XYZ scannen. mag dat?" Maar als je een applicatie voor deze functionaliteit carte blanche geeft heb je vervolgens ook geen zicht meer op het feit dat zo'n applicatie misschien _meer bestanden_ dan nodig kan inzien.

Dus .. leesrechten op bestanden voor fingerprinting-doeleinden, of leesrechten om gegevens in te kunnen zien?

Of .. uploadrechten om nieuw gevonden malware naar kaspersky te sturen zodat zij de wereld kunnen voorzien van nieuwe fingerprints, of uploadrechten om willekeurige belangrijke bestanden te exfiltreren naar kaspersky.

Van Kaspersky is nu gezegd dat hun software een achterdeurtje bevat, zodat Kaspersky, of misschien wel de Russische overheid, mee kan kijken via de antivirus client. Stel dat het waar is, hoe erg vind jij het dat zij dat kunnen doen?

En stel je gebruikt een antivirus pakket van een andere leverancier. In hoeverre verdenk jij die leverancier van een achterdeur; wie kan er gebruik van maken, en hoe erg vind je dat dan?

[Reactie gewijzigd door DrClaw op 11 oktober 2017 11:50]

Ik vind het vreemd dat er bewezen is dat Israël Kaspersky geïnfiltreerd heeft, maar dat er nu zonder duidelijk hard bewijs naar de Russen wordt gewezen.
Als er hard bewijs was, dan zal deze zaak toch wel hard gemaakt worden?
Wat mij opvalt is dat er de laatste tijd veel modder naar de Russen gegooid word, maar dat er maar weinig tot geen bewijs getoond wordt.

Het was natuurlijk een kwestie van tijd tot dat Kaspersky WEER in verkeerd licht kwam.

Het gaat om hetzelfde incident dat ze maar blijven herhalen. Ik geloof het eerlijk gezegd niet. Er is een veel eenvoudigere verklaring die alles verklaard. Kaspersky heeft een cloud-feature waarbij verdachte bestanden naar de cloud worden gestuurd voor nadere inspectie. Die feature heeft bestanden van de NSA herkent omdat er malware in zat en heeft ze vervolgens braaf naar de cloud gestuurd.
Nu vind ik die feature persoonlijk een erg slecht idee, juist om deze reden, maar dat is niet uniek aan Kaspersky, zo'n beetje alle software in die sector doet dat. Kaspersky heeft een uitstekende reputatie, deels ook omdat ze niet onder controle van de Amerikanen staan en dus geen uitzonderingen maken voor NSA-virussen. Ik vrees dat het een propaganda-campagne is om dat vervelende Kaspersky kapot te maken zodat ze ophouden met de NSA tegen te werken.

Naar het grote plaatje kijken is het onvoorstelbaar dat we closed source software gebruiken op belangrijke computersystemen. Geen enkel land kan alles alleen doen. Je bent altijd afhankelijk van software en programmeurs uit andere landen. De enige manier om die te vertrouwen is om de broncode te inspecteren en zelf te compileren. Als je een grensoverschrijdend project hebt is open source de enige manier om elkaar te vertrouwen en iedereen eerlijk te houden.

Kort door de bocht: ik zou geen enkele virusscanner willen draaien die alleen is goedgekeurd door Amerika of Rusland, dan bestaat het risico dat de geheime dienst zich er mee heeft bemoeit. Een virusscanner die door zowel Amerika als Rusland wordt goedgekeurd zou ik dan weer wel vertrouwen. Als de experts van beide landen niks hebben kunnen vinden dan zal het wel in orde zijn (nog steeds geen garantie, maar beter dan dit wordt het toch niet).

[Reactie gewijzigd door CAPSLOCK2000 op 11 oktober 2017 11:29]