Traag Windows Update is veiligheidsrisico

Volgens de onderzoekers is het mogelijk binnen enkele minuten of zelfs seconden automatisch een exploit te maken, op basis van de informatie die een patch bevat. Aan de hand van zo’n update kan immers worden achterhaald welke code is aangepast in een programma (en dus welke fout er is gerepareerd). De onderzoekers noemen deze aanpak automatic patch-based exploit generation (APEG).

Microsoft stuurt zijn updates gespreid uit over een lange periode, om verkeerspieken te vermijden. De universiteit wijst op een grootschalig onderzoek onder Windows Update-gebruikers. Dit toont aan dat het zo’n 24 uur duurt voordat tachtig procent van de computers bij Microsoft is langsgekomen voor een pleister. Daardoor kunnen aanvallers die een patch al vroeg krijgen snel een exploit maken en hiermee alle nog kwetsbare systemen compromitteren.

Hoewel APEG in veel gevallen mogelijk niet werkt, moet het toch als een realistische bedreiging worden gezien, stellen de onderzoekers. De consequentie is dat de distributie van beveiligingsupdates anders moet. “Updateschema’s zoals de huidige toepassing van Windows Update kunnen afbreuk doen aan de totale veiligheid en moeten opnieuw worden ontworpen”, zo luidt het advies.

In de paper staat een aantal voorstellen. Ten eerste: verberg welke lijnen code worden aangepast door een patch. Het voordeel van deze methode is dat er al veel ‘verdoezelingtechnieken’ beschikbaar zijn. Ten tweede: versleutel de patch, zodat deze geen informatie lekt na installatie. Stuur dan na een bepaalde periode een korte sleutel naar alle gebruikers tegelijkertijd, om de pleister bruikbaar te maken.

De laatste oplossing is een veel snellere verspreiding van updates. Het doel is dat iedereen ze ongeveer op hetzelfde moment ontvangt. Hiervoor kan een peer-to-peer-netwerk worden gebruikt, om de last voor servers te verlichten. De vraag is of dit model snel genoeg is om de automatische patchgebaseerde exploitproductie te verslaan.