211service.com
Gdzie czai się następny błąd Heartbleed?
Po wywołaniu powszechnej paniki i zmianie haseł, błąd Heartbleed w dużej mierze zniknął z wiadomości. Jednak implikacje tego odkrycia wciąż są przedmiotem dyskusji w branży komputerowej. Największym zmartwieniem ekspertów ds. bezpieczeństwa jest to, jak zapobiegać innym błędom kryjącym się w fundamentach Internetu.
Błąd Heartbleed został odkryty na początku tego miesiąca w oprogramowaniu o nazwie OpenSSL który jest powszechnie używany do ustanowienia bezpiecznego połączenia między przeglądarkami internetowymi a serwerami poprzez zarządzanie zaangażowanymi kluczami kryptograficznymi. OpenSSL to projekt open source, co oznacza, że kod źródłowy jest publikowany wraz z oprogramowaniem. Podobnie jak wiele innych działań open source, jest on utrzymywany przez niewielką grupę programistów-wolontariuszy (patrz The Underfunded Project Keeping the Web Secure ).
Problem jest dostrzegany przez duże firmy programistyczne, które polegają na wysiłkach takich jak OpenSSL. W zeszłym tygodniu Fundacja Linuksa , który zapewnia wsparcie dla popularnego systemu operacyjnego Linux, uruchomił projekt o nazwie Inicjatywa dotycząca infrastruktury podstawowej wspierać małe projekty open-source. Firmy, w tym Google, Amazon, Facebook, IBM, Intel, Cisco i Dell, przeznaczyły dotychczas na ten wysiłek ponad 3 miliony dolarów. Komitet sterujący postara się zidentyfikować projekty typu open source, które najbardziej potrzebują wsparcia finansowego.
Problem z open source polega na tym, że masz problem z „gapowiczem” – mówi Chris Wysopal, znany ekspert ds. bezpieczeństwa komputerowego, dyrektor ds. technologii i współzałożyciel Kod Vera , firma zajmująca się oceną bezpieczeństwa aplikacji. Ludzie i firmy, które go używają i czerpią z tego ogromne korzyści, nie dają dużo pieniędzy, aby go utrzymać.
Nawet trzy tygodnie po wykryciu błędu niektóre słabiutkie firmy wciąż aktualizują serwery, instalują nowe certyfikaty kryptograficzne i polecają użytkownikom resetowanie haseł. Bardziej niepokojący dla ekspertów, takich jak Wysopal, jest to, że inne fundamentalne składniki Internetu, takie jak OpenSSL, to małe projekty typu open source. I może być trudno stwierdzić, któremu brakuje zasobów potrzebnych do rygorystycznego sprawdzenia ich kodu pod kątem luk w zabezpieczeniach.
Zanim odkryto błąd Heartbleed, niewielu słyszało o OpenSSL lub o 11 programistach, którzy poświęcili większość swojego czasu projektowi. ten Fundacja oprogramowania OpenSSL , która zajmuje się kontraktacją komercyjną dla organizacji, zatrudnia tylko jednego programistę na pełen etat. W zeszłym roku otrzymała sumę 2000 dolarów darowizn i nigdy nie uzyskała więcej niż 1 miliona przychodów za usługi konsultingowe i wsparcie.
Powinno być co najmniej pół tuzina pełnoetatowych członków zespołu OpenSSL, a nie tylko jednego, którzy byliby w stanie skoncentrować się na opiece i karmieniu OpenSSL bez konieczności pośpiechu w pracy komercyjnej, napisał Steve Marquess, oficjalny zajmujący się zbieraniem funduszy i kontakt biznesowy dla oprogramowania OpenSSL. Fundacja, w poście na blogu krótko po ujawnieniu Heartbleed. Jeśli jesteś decydentem korporacyjnym lub rządowym, który może coś z tym zrobić, zastanów się nad tym. Proszę.
Marc Maiffret, dyrektor ds. technologii w Poza zaufaniem , firma zajmująca się oprogramowaniem zabezpieczającym, twierdzi, że inne projekty open-source borykają się z podobnym problemem. Ludzie zakładają, że tylko dlatego, że coś jest open source, następuje magiczny wysiłek, który ma na celu znalezienie błędów i zabezpieczenie go. Ale zwykle zaczyna się od kilku osób, być może staje się popularny, a potem kończy się… na kilku osobach.
Wysopal z Veracode mówi, że głównym problemem jest to, że nie ma sposobu, aby ocenić znaczenie różnych elementów infrastruktury internetowej: jeśli ktoś chciałby przeprowadzić szeroko zakrojone ataki na wiele witryn, które komponenty są powszechnie używane i znajdują się na froncie ataku?
Wyzwanie polegające na przewidzeniu, gdzie mogą pojawić się duże luki, jest spotęgowane faktem, że programiści internetowi coraz częściej budują swój kod przy użyciu szeregu różnych narzędzi. w raport wydana w zeszłym roku firma o nazwie Aspect Security odkryła, że 26 procent bibliotek pobranych do użytku w aplikacjach ma znane luki w zabezpieczeniach. Problem polega na tym, że istnieje tak wiele komponentów, od których zależy stos oprogramowania, mówi Jeff Williams, współzałożyciel i CTO firmy Aspect. Internet to stóg siana pełen igieł.