Google twierdzi, że hakerom zbyt łatwo jest znaleźć nowe luki w zabezpieczeniach

Lewis Ngugi o Unsplash

W grudniu 2018 r. badacze z Google wykryli grupę hakerów, których celem jest Internet Explorer firmy Microsoft. Mimo że nowy program został zamknięty dwa lata wcześniej, jest to tak powszechna przeglądarka, że ​​jeśli znajdziesz sposób na jej zhakowanie, masz potencjalnie otwarte drzwi do miliardów komputerów.

Hakerzy szukali i znajdowali nieznane wcześniej błędy, znane jako luki dnia zerowego.

Wkrótce po ich zauważeniu naukowcy zauważyli, że jeden z exploitów został wykorzystany na wolności. Microsoft wydał łatkę i poniekąd naprawił usterkę. We wrześniu 2019 r. ta sama grupa hakerska wykryła kolejną podobną lukę w zabezpieczeniach.

Więcej odkryć w listopadzie 2019 r., styczniu 2020 r. i kwietniu 2020 r. dodało co najmniej pięć luk zero-day, które zostały wykorzystane w tej samej klasie błędów w krótkim czasie. Firma Microsoft wydała wiele aktualizacji zabezpieczeń: niektórym nie udało się naprawić luki będącej celem ataku, podczas gdy inne wymagały jedynie niewielkich zmian, które wymagały tylko jednej lub dwóch linijek, aby zmienić kod hakera, aby ponownie zadziałał exploit.

„Kiedy zrozumiesz jeden z tych błędów, możesz po prostu zmienić kilka linijek i dalej pracować bez dni”.

Według nowego badania przeprowadzonego przez Maddie Stone, badaczkę ds. bezpieczeństwa w Google, ta saga jest symbolem znacznie większego problemu w cyberbezpieczeństwie: hakerom jest zbyt łatwo nadal wykorzystywać podstępne dni zerowe, ponieważ firmy nie wykonują dobrej pracy na stałe. likwidowanie wad i luk.

Badanie przeprowadzone przez Stone, który jest częścią zespołu ds. bezpieczeństwa Google, znanego jako Project Zero, wskazuje na wiele przykładów tego w działaniu, w tym problemy, które sam Google miał ze swoją popularną przeglądarką Chrome.

To, co zaobserwowaliśmy w branży: niekompletne łatki ułatwiają hakerom wykorzystywanie użytkowników z dniami zerowymi, powiedział Stone we wtorek na konferencji poświęconej bezpieczeństwu Enigma. Nie wymagamy od atakujących wymyślenia wszystkich nowych klas błędów, opracowania zupełnie nowej eksploatacji, przyjrzenia się kodowi, który nigdy wcześniej nie był badany. Pozwalamy na ponowne wykorzystanie wielu różnych luk, o których wiedzieliśmy wcześniej.

Nisko wiszący owoc

Project Zero działa w Google jako wyjątkowy, a czasem kontrowersyjny zespół, który jest całkowicie oddany polowaniu na enigmatyczne błędy dnia zerowego. Błędy te są pożądane przez wszelkiego rodzaju hakerów i cenione wyżej niż kiedykolwiek — niekoniecznie dlatego, że coraz trudniej je rozwijać, ale dlatego, że w naszym hiperpołączonym świecie są potężniejsze.

W ciągu sześciu lat istnienia zespół Google publicznie wyśledził ponad 150 głównych błędów dnia zerowego, a w 2020 r. zespół Stone udokumentował 24 błędy dnia zerowego, które były wykorzystywane – z których jedna czwarta była bardzo podobna do wcześniej ujawnionych luk w zabezpieczeniach. Trzy zostały niekompletnie załatane, co oznaczało, że wystarczyło kilka poprawek w kodzie hakera, aby atak mógł dalej działać. Wiele takich ataków, jak mówi, zawiera podstawowe błędy i nisko wiszące owoce.

Dla hakerów to nie jest trudne, powiedział Stone. Gdy zrozumiesz jeden z tych błędów, możesz po prostu zmienić kilka linijek i nadal pracować bez dni.

Dlaczego nie są naprawiane? Sugeruje, że większość zespołów ds. bezpieczeństwa pracujących w firmach zajmujących się oprogramowaniem ma ograniczony czas i zasoby — a jeśli ich priorytety i zachęty są wadliwe, sprawdzają tylko, czy naprawili przed sobą bardzo konkretną lukę, zamiast zajmować się większymi problemami na źródło wielu luk.

Inni badacze potwierdzają, że jest to powszechny problem.

W najgorszym przypadku kilka dni zerowych, które odkryłem, to problem polegający na tym, że sprzedawca naprawił coś w jednym wierszu kodu, a dosłownie w następnym wierszu kodu, dokładnie ten sam rodzaj luki nadal był obecny i nie „Nie zawracam sobie głowy naprawą”, mówi John Simpson, badacz luk w zabezpieczeniach firmy Trend Micro zajmującej się cyberbezpieczeństwem. Wszyscy możemy rozmawiać, aż zrobimy się niebieski na twarzy, ale jeśli organizacje nie mają odpowiedniej struktury, aby zrobić coś więcej niż tylko naprawianie dokładnie zgłoszonych błędów, otrzymujesz tak szeroki zakres jakości poprawek.

Duża część zmian sprowadza się do czasu i pieniędzy: dając inżynierom więcej miejsca na badanie nowych luk w zabezpieczeniach, znajdowanie pierwotnej przyczyny i naprawianie głębszych problemów, które często pojawiają się w poszczególnych lukach. Stone powiedział, że mogą również przeprowadzić analizę wariantów: szukać tej samej luki w różnych miejscach lub innych luk w tych samych blokach kodu.

D inne owoce całkowicie

Niektórzy już próbują różnych podejść. Na przykład Apple udało się naprawić niektóre z najpoważniejszych zagrożeń bezpieczeństwa iPhone'a, usuwając luki na głębszym poziomie.

W 2019 r. inna badaczka Google Project Zero, Natalie Silvanovich, trafiła na pierwsze strony gazet, gdy przedstawione krytyczne zero-click, zero-day bug w Apple iMessage. Te wady umożliwiły atakującemu przejęcie całego telefonu danej osoby bez konieczności robienia czegokolwiek od ofiary — nawet jeśli nie klikniesz linku, Twój telefon nadal może być kontrolowany przez hakerów. (W grudniu 2020 r. nowe badania wykazały kampania hakerska przeciwko dziennikarzom wykorzystanie kolejnego ataku zero-click zero-day przeciwko iMessage.)

Powiązana historia

Wewnątrz NSO, izraelskiego giganta spyware Najsłynniejsza na świecie firma inwigilacyjna twierdzi, że chce uporządkować swoje działania. No dalej, słuchamy.

Zamiast wąsko zbliżyć się do konkretnych luk w zabezpieczeniach, firma zagłębiła się w iMessage, aby rozwiązać podstawowe problemy strukturalne wykorzystywane przez hakerów. Chociaż Apple nigdy nie powiedział nic o specyfice tych zmian — właśnie ogłosił zestaw ulepszeń wraz z aktualizacją oprogramowania iOS 14 — Samuel Groß z Projektu Zero ostatnio z bliska rozcięty iOS i iMessage i wywnioskowałem, co się stało.

Aplikacja jest teraz odizolowana od reszty telefonu dzięki funkcji BlastDoor, napisanej w języku o nazwie Swift, co utrudnia hakerom dostęp do pamięci iMessage.

Apple zmienił również architekturę iOS, aby trudniej było uzyskać dostęp do współdzielonej pamięci podręcznej telefonu – podpis niektórych z najbardziej głośnych włamań do iPhone'a w ostatnich latach.

Wreszcie Apple zablokowało hakerom ciągłe próby ataków brute force w krótkich odstępach czasu. Nowe funkcje ograniczania przepustowości oznaczają, że ukończenie exploitów, które kiedyś zajmowały kilka minut, może teraz zająć godziny lub dni, co znacznie zmniejsza ich atrakcyjność dla hakerów.

Wspaniale jest widzieć, jak Apple odkłada zasoby na tego rodzaju duże refaktoryzacje, aby poprawić bezpieczeństwo użytkowników końcowych, napisał Groß. Zmiany te podkreślają również wartość ofensywnej pracy nad bezpieczeństwem: nie tylko pojedyncze błędy zostały naprawione, ale zamiast tego wprowadzono ulepszenia strukturalne w oparciu o spostrzeżenia zdobyte podczas prac nad exploitami.

Konsekwencje włamań stają się coraz większe, gdy stajemy się coraz bardziej połączeni, co oznacza, że ​​dla firm technologicznych ważniejsze niż kiedykolwiek jest inwestowanie i priorytetyzacja głównych problemów związanych z cyberbezpieczeństwem, które rodzą całe rodziny luk w zabezpieczeniach i exploitów.

Rada dla ich wyższych sfer to inwestować, inwestować, inwestować, wyjaśnił Stone. Daj swoim inżynierom czas na pełne zbadanie pierwotnej przyczyny luk w zabezpieczeniach i popraw je, daj im swobodę analizy wariantów, nagradzaj pracę w zakresie redukcji długu technicznego, skup się na poprawkach systemowych.

ukryć