NSA finder stor sikkerhedsfejl i Windows 10, gratis rettelse udstedt

National Security Agency har opdaget en stor sikkerhedsfejl i Microsofts Windows 10-operativsystem, der kunne give hackere mulighed for at opsnappe tilsyneladende sikker kommunikation.

Men i stedet for at udnytte fejlen til sine egne efterretningsbehov, NSA tippede Microsoft, så det kan ordne systemet for alle.

Microsoft udgav en gratis softwarepatch for at rette fejlen tirsdag og krediterede agenturet for at opdage det. Virksomheden sagde, at det ikke har set nogen beviser for, at hackere har brugt teknikken opdaget af NSA.

Amit Yoran, CEO for sikkerhedsfirmaet Tenable, sagde, at det er "usædvanligt sjældent, hvis ikke hidtil uset", for den amerikanske regering at dele sin opdagelse af en så kritisk sårbarhed med en virksomhed.

Yoran, som var stiftende direktør for Department of Homeland Securitys computerberedskabsteam, opfordrede alle organisationer til at prioritere at patche deres systemer hurtigt.

En meddelelse sendt af NSA tirsdag sagde, at "konsekvenserne af ikke at lappe sårbarheden er alvorlige og udbredte."

Microsoft sagde, at en angriber kunne udnytte sårbarheden ved at spoofe et kodesigneringscertifikat, så det så ud som om en fil kom fra en pålidelig kilde.

"Brugeren ville ikke have nogen måde at vide, at filen var ondsindet, fordi den digitale signatur ser ud til at være fra en betroet udbyder, " sagde virksomheden.

Hvis det lykkes, en angriber ville have været i stand til at udføre "man-in-the-middle-angreb" og dekryptere fortrolige oplysninger om brugerforbindelser, sagde virksomheden.

Nogle computere vil få rettelsen automatisk, hvis de har den automatiske opdatering aktiveret. Andre kan få det manuelt ved at gå til Windows Update i computerens indstillinger.

Microsoft udgiver typisk sikkerhedsopdateringer og andre opdateringer en gang om måneden og ventede til tirsdag med at afsløre fejlen og NSA's involvering. Microsoft og NSA afviste begge at sige, hvornår agenturet underrettede virksomheden.

Agenturet delte sårbarheden med Microsoft "hurtigt og ansvarligt, "Neal Ziring, teknisk direktør for NSA's cybersikkerhedsdirektorat, sagde i et blogindlæg tirsdag.

Priscilla Moriuchi, som trak sig tilbage fra NSA i 2017 efter at have kørt sine operationer i Østasien og Stillehavet, sagde, at dette er et godt eksempel på den "konstruktive rolle", som NSA kan spille for at forbedre den globale informationssikkerhed. Moriuchi, nu analytiker hos det amerikanske cybersikkerhedsfirma Recorded Future, sagde, at det sandsynligvis er en afspejling af ændringer foretaget i 2017 til, hvordan USA bestemmer, om de skal afsløre en større sårbarhed eller udnytte den til efterretningsformål.

Fornyelsen af ​​det, der er kendt som "Vulnerability Equities Process", lagde mere vægt på at afsløre uoprettede sårbarheder, når det var muligt for at beskytte kerneinternetsystemer og den amerikanske økonomi og offentligheden generelt.

Disse ændringer skete, efter at en gruppe, der kalder sig "Shadow Brokers", frigav en skare af hackingværktøjer på højt niveau, der var stjålet fra NSA.

© 2020 The Associated Press. Alle rettigheder forbeholdes.