Black Hat: prawdopodobnie czai się więcej błędów internetowych

Przez kilka dni w kwietniu cały świat bardzo poważnie traktował bezpieczeństwo w Internecie. W oprogramowaniu używanym przez setki tysięcy stron internetowych znaleziono krytyczną lukę nazwaną Heartbleed, która wraz z jej logo stała się gwiazdą mediów.

Jednak pod koniec czerwca, nieco ponad dwa miesiące później, próby załatania słabych serwerów internetowych przeciwko Heartbleed utknęła w martwym punkcie, a ponad 300 000 wciąż jest w Internecie. OpenSSL , projekt open source, w którego oprogramowaniu znaleziono błąd, nadal nie ma zasobów, których potrzebuje, aby zapewnić bezpieczeństwo kodu. Co więcej, nowe badania sugerują, że okoliczności, które zmieniły Heartbleed w problem na tak dużą skalę, są powszechne.

Kymberlee Cena firmy ochroniarskiej Synack i Jake Kouns, dyrektor generalny organizacji non-profit Fundacja Otwartego Bezpieczeństwa , przedstawił w czwartek wyniki badania wykorzystania i bezpieczeństwa bibliotek open source. Zwrócili uwagę na kilka bibliotek open source, które są niezwykle szeroko stosowane, ale mają niestabilne zabezpieczenia. Usterka w jednej z tych bibliotek może mieć podobny wpływ, jak błąd kwietniowy, który przyciąga nagłówki. To absolutnie może się powtórzyć z każdą biblioteką innej firmy, powiedział Price Przegląd technologii MIT na konferencji Black Hat w zeszłym tygodniu.

To, co naprawdę otwiera oczy, to fakt, że niektóre programy lub produkty dostępne na rynku mogą zawierać setki takich bibliotek, powiedział Kouns. Wszyscy są teraz narażeni na to ryzyko systemowe.

Jedną z bibliotek zidentyfikowanych przez Price i Kouns jako potencjalny problem jest źródło Heartbleed, OpenSSL. Od czasu Heartbleed odkryto kilka innych błędów w OpenSSL, z których niektóre mogą być bardziej niebezpieczne niż błąd Heartbleed, powiedział Kouns.

Więcej można się spodziewać. Pomimo wzrostu rozgłosu dzięki Heartbleed, OpenSSL wciąż nie ma wystarczającej ilości pieniędzy, aby poradzić sobie z takimi problemami. Po incydencie w ramach projektu przeprowadzono przegląd i oszacowano, że do prawidłowego utrzymania oprogramowania potrzeba sześciu pełnoetatowych programistów. Pieniądze obiecane przez IBM, HP, Google i inne duże firmy technologiczne w następstwie błędu wystarczyły na opłacenie tylko dwóm pełnoetatowym programistom. Nawet coś, o co matki ludzi pytały ich przy stole, nie otrzymuje wsparcia, którego potrzebuje, powiedział Price.

Kolejną potencjalnie problematyczną biblioteką jest FreeType , który służy do wyświetlania czcionek i jest zawarty w ponad miliardzie urządzeń wyprodukowanych przez takie firmy, jak Apple, Google i Sony. Kouns i Price naliczyli ponad 50 luk znalezionych w FreeType w ciągu ostatnich siedmiu lat. Jeden z nich stał się podstawą ataku o nazwie Jailbreakme, który umożliwił zdalne przejęcie iPhone'ów (patrz Masz iPhone'a? Jest aplikacja do hakowania tego).

Inne biblioteki open source oznaczone przez tę parę to LibPNG, używany w setkach popularnych urządzeń i oprogramowania jako sposób wyświetlania obrazów, oraz FFMpeg, na którym Apple, Google, Microsoft i Sony polegają na odtwarzaniu wideo.

Większość powszechnie używanych bibliotek jest aktualizowana kilka razy w roku z poprawkami bezpieczeństwa, mówi Price. Ale inżynierom oprogramowania nie jest łatwo śledzić wszystkie te aktualizacje, a nawet wersje bibliotek, z których korzysta ich firma. A niewiele firm stosuje każdą aktualizację każdej biblioteki w odpowiednim czasie, powiedział Price. Częściej firmy aktualizują biblioteki tylko wtedy, gdy wypuszczają nową wersję własnego produktu. Powiedziała, że ​​​​jeśli aktualizujesz tylko każdą ze swoich wersji, prawdopodobnie brakuje Ci kilku głównych luk w zabezpieczeniach.

Niektórzy eksperci uważają, że firmy produkujące oprogramowanie powinny być prawnie odpowiedzialne za problemy związane z bezpieczeństwem ich produktów. Jedną z opcji dyskutowanych przez kierownictwo Black Hat było to, czy inwestorzy powinni mieć prawo do wezwania zewnętrznych audytów kodeksu firmy, rozszerzając proces, który jest już standardową częścią due diligence w przypadku fuzji i przejęć, powiedział Price.

Dan Geer, dyrektor ds. bezpieczeństwa informacji w funduszu inwestycyjnym CIA W-Q-Tel , przedstawił bardziej radykalną sugestię w swoim przemówieniu do Black Hat w środę. Wezwał do wprowadzenia przepisów, które narażałyby firmy produkujące oprogramowanie na odpowiedzialność, gdyby problemy z bezpieczeństwem w ich produktach powodowały szkody.

Jedyne dwa produkty, które nie są objęte odpowiedzialnością za produkt, to religia i oprogramowanie, a oprogramowanie nie powinno uciekać na dłużej, powiedział Geer. Zasugerował, że firmy programistyczne ponoszą odpowiedzialność za wszelkie szkody powstałe z powodu wad oprogramowania, ale firmy, które udostępniły pełny kod źródłowy do wglądu, byłyby zobowiązane do zwrotu pieniędzy tylko w przypadku wystąpienia szkody.

Ta propozycja spotkałaby się z silnym sprzeciwem branży oprogramowania i jest mało prawdopodobne, aby zyskała popularność. Price powiedział, że najbardziej praktycznym, choć częściowym, rozwiązaniem na razie jest podniesienie świadomości na temat zagrożeń związanych z bibliotekami stron trzecich oraz stworzenie narzędzi, które ułatwiają powiadamianie o najnowszych błędach i aktualizowanie pakietów. Nie możemy wyeliminować tego ryzyka, więc musimy sobie z nim radzić – powiedziała.

ukryć