211service.com
Łatanie procesu aktualizacji zabezpieczeń
Ostatnie badania pokazują, że typowy użytkownik komputera musi instalować aktualizację zabezpieczeń mniej więcej co pięć dni, aby bezpiecznie korzystać z systemu Microsoft Windows i wszystkich programów innych firm, które zwykle na nim działają. W odpowiedzi duńska firma zajmująca się bezpieczeństwem komputerowym twierdzi, że wkrótce zadebiutuje z nową, bezpłatną usługą, która po cichu automatyzuje instalację aktualizacji zabezpieczeń dla dziesiątek najczęściej używanych produktów oprogramowania.
Pięciodniowa liczba pochodzi z informacji zebranych przez firmę Secunia, która przeglądała statystyki około dwóch milionów użytkowników swojego bezpłatnego serwisu Osobisty Inspektor Oprogramowania (PSI), program przeznaczony do ostrzegania użytkowników o przestarzałym i niezabezpieczonym oprogramowaniu działającym na ich komputerach. Secunia odkryła, że typowy użytkownik Microsoft Windows ma na swoim komputerze ponad 66 programów od ponad 22 różnych producentów oprogramowania.
Chociaż aktualna wersja oprogramowania PSI zawiera łącza do najnowszych aktualizacji dla każdej przestarzałej aplikacji, wielu użytkowników nadal uważa proces aktualizacji za zbyt uciążliwy, mówi Thomas Kristensen, dyrektor ds. bezpieczeństwa Secunia.
Większość użytkowników nie chce zawracać sobie głowy tymi wszystkimi aktualizacjami, mówi Kristensen. Nawet jeśli udostępnimy im odpowiednie łącza do pobierania aktualizacji, wielu użytkowników mówi: „Nie, nie chcę klikać tych wszystkich rzeczy”. Chcielibyśmy zmniejszyć liczbę użytkowników, którzy zrezygnowali proces łatania w tym momencie.
Istnieje wiele dowodów sugerujących, że przeciętny użytkownik nie może zawracać sobie głowy instalowaniem aktualizacji zabezpieczeń na czas – chyba że proces ten jest mniej lub bardziej zautomatyzowany. W badaniu opublikowanym latem ubiegłego roku naukowcy z Google Switzerland i Szwajcarski Federalny Instytut Technologii odkrył, że przeglądarki, które zawierały ciche, automatyczne aktualizacje – takie jak Firefox Mozilli i Chrome Google – działały znacznie lepiej i szybciej w dostarczaniu łatek niż mechanizm ręcznej instalacji używany przez przeglądarki rywali, takich jak Microsoft, Opera i Apple.
Kiedy hakerzy coraz częściej atakują luki w zabezpieczeniach oprogramowania, zanim dostawcy będą mogli dostarczyć łatki, aby je zatkać, łatanie na czas jest ważniejsze niż kiedykolwiek, mówi Wolfgang Kandek, dyrektor ds. technologii w firmie Qualys , firma zajmująca się bezpieczeństwem komputerowym z siedzibą w Redwood Shores w Kalifornii, która pomaga firmom zarządzać wdrażaniem poprawek. Kandek mówi, że Microsoft dokonał wielkich postępów dzięki Windows XP Service Pack 2, który skłonił użytkowników do włączenia automatycznych aktualizacji systemu operacyjnego. Dodaje jednak, że zbyt niewielu głównych producentów oprogramowania innych firm zawiera podobne mechanizmy automatycznej aktualizacji.
Weź starsze wersje oprogramowania Adobe, które nie mają składnika aktualizacji, mówi Kandek. Użytkownicy na nich po prostu pozostaną w dowolnej wersji, z której korzystają, i nigdy nie będą aktualizować. Alan Paller, dyrektor ds. badań w Bethesda z siedzibą w MD BEZ Instytutu , grupa szkoleniowa z zakresu bezpieczeństwa komputerowego, twierdzi, że Microsoft wiele lat temu rozważał udostępnienie usługi Windows Update zewnętrznym dostawcom oprogramowania jako kanału aktualizacji, ale ostatecznie porzucił ten pomysł ze względu na obawy związane z odpowiedzialnością prawną.
Kristensen z Secunia twierdzi, że narzędzie jego firmy pozwoli uniknąć problemów z odpowiedzialnością, pobierając poprawki dla każdej aplikacji w dokładnie taki sam sposób, jak zrobiłby to zwykły użytkownik. Mimo to, mówi, nie wszyscy dostawcy oprogramowania mogą to ułatwić.
Kwestie odpowiedzialności pojawiają się, gdybyśmy zaczęli modyfikować poprawki lub umieszczać je w naszym własnym repozytorium aktualizacji, mówi Kristensen. Jedną rzeczą, którą możemy zagwarantować, jest to, że nie będzie działać w 100 procentach oprogramowania. Chcielibyśmy, żeby to zrobić, ale wymagałoby to stuprocentowej współpracy wielu dostawców, którzy nie mają w tym dobrej historii.
Według Pallera głównym wyzwaniem Secunia jest atrakcyjność dla użytkowników, którzy nie mają wystarczającej wiedzy na temat bezpieczeństwa, aby wiedzieć, że muszą wdrażać aktualizacje innych firm. Dlatego uważam, że taka usługa – jeśli ma mieć przyzwoity efekt – musi być oferowana przez [dostawców usług internetowych] – mówi. Moim celem byłoby stwierdzenie, że jeśli zamierzasz zostać dostawcą usług internetowych, musisz świadczyć taką usługę.
Narzędzie do łatania Secunia prawdopodobnie będzie wymagało poważnych testów, zanim będzie mogło zostać wdrożone na tak szeroką skalę. Firma Secunia dostosowała już korporacyjną wersję PSI do wdrażania aktualizacji innych firm, ale zrobienie tego samego w przypadku komputerów konsumenckich byłoby znacznie większym wyzwaniem, szczególnie w przypadku, gdy oprogramowanie będzie działać we wszystkich implementacjach tych produktów innych firm w językach obcych. .
Celem jest uczynienie tego skalowalnym i legalnym, a żeby to zrobić, będziemy musieli – przynajmniej na początku – nadać priorytet produktom, które łatamy, w oparciu o te, które są najczęściej instalowane, ponieważ nie ma mowy, abyśmy byli w stanie zrobić 13 000 aplikacji na raz, mówi Kristensen.
Secunia zamierza udostępnić w kwietniu wersję zapoznawczą dla doświadczonych użytkowników komputerów PC, a kilka miesięcy później wersję beta do użytku publicznego.