Open Source może oznaczać otwarte drzwi dla hakerów

Jak wynika z artykułu analizującego dane dotyczące ataków z dwóch lat, możliwość dostępu do kodu aplikacji typu open source może dać atakującym przewagę w opracowywaniu exploitów dla oprogramowania.

Artykuł, który ma zostać zaprezentowany w tym tygodniu na warsztatach na temat ekonomiki bezpieczeństwa informacji, skorelował 400 milionów alertów z systemów wykrywania włamań ze znanymi atrybutami atakowanego oprogramowania i lukami w zabezpieczeniach. Dane potwierdzają twierdzenie, że luki w oprogramowaniu open source są atakowane szybciej i częściej niż luki w oprogramowaniu o zamkniętym kodzie źródłowym, mówi Sam Ransbotham, adiunkt w Carroll School of Management w Boston College i autor artykułu.

Korzystając z regresji nieliniowej i innych modeli, Ransbotham odkrył, że ataki na luki w oprogramowaniu o otwartym kodzie źródłowym miały miejsce trzy dni wcześniej i prawie o 50 procent częściej. Ransbotham twierdzi, że wiedza o tym, jak wykorzystać konkretną lukę w zabezpieczeniach, rozprzestrzenia się podobnie jak dyfuzja innowacji technologicznych.

Jeśli myślisz o tym wszystkim jako o grze między dobrymi a złymi, poprzez zmniejszenie wysiłku złych ludzi, istnieje znacznie większa motywacja do wcześniejszego wykorzystywania celów i uderzania w więcej firm, mówi Ransbotham.

Artykuł prawdopodobnie ożywi debatę między zwolennikami modeli programistycznych z otwartym kodem źródłowym i zamkniętym kodem źródłowym, którzy argumentują, czy system operacyjny Linux o otwartym kodzie źródłowym jest bezpieczniejszy niż Windows, czy też przeglądarka Firefox z otwartym kodem źródłowym Mozilli jest bezpieczniejsza niż Internet Explorer firmy Microsoft. . Zwolennicy open-source twierdzą, że dostępność kodu pozwala dobrym ludziom szybciej znajdować błędy, podczas gdy krytycy twierdzą, że więcej atakujących niż obrońców przebija się przez kod, więc efektem netto jest gorsze bezpieczeństwo.

W badaniu wykorzystano dane alarmowe pobrane z systemów wykrywania włamań zarządzanych w imieniu 960 firm przez dostawcę usług bezpieczeństwa SecureWorks. Ransbotham skorelował alerty z konkretnymi lukami w National Vulnerability Database (NVD), dużym zbiorze informacji o błędach oprogramowania zarządzanym przez National Institute of Standards and Technology. Ransbotham twierdzi, że chociaż NVD wymienia luki w zabezpieczeniach ponad 13 000 produktów oprogramowania na lata 2006 i 2007, czyli dwa lata, od których wykorzystywano dane alarmowe, tylko połowa produktów może być sklasyfikowana jako open-source lub closed source.

Łącząc te dane ze zdolnością systemów wykrywania włamań do rozpoznawania ataku na podatny system, Ransbotham opracował listę 883 luk w potwierdzonym oprogramowaniu o otwartym lub zamkniętym kodzie źródłowym, na których można rozpoznać ataki. Sklasyfikował również luki według innych atrybutów, takich jak stopień skomplikowania wykorzystania luki przez atakujących oraz to, czy w momencie zgłoszenia luki istniała sygnatura dostępna dla systemów wykrywania włamań.

Ostatecznie tylko 97 z 883 luk było celem atakujących w ciągu dwóch lat. Stanowi to jednak 111 milionów, czyli około jednej czwartej alertów. Pozostałe alerty można było przypisać atakom na oprogramowanie, którego nie można było zaklasyfikować jako otwartego lub zamkniętego źródła, atakom na luki, które nie miały atrybutu identyfikującego, lub fałszywym alarmom.

W swojej analizie Ransbotham odkrył, że ataki na luki w zabezpieczeniach oprogramowania o otwartym kodzie źródłowym miały miejsce wcześniej niż ataki na oprogramowanie o zamkniętym kodzie źródłowym, jak zmierzono na podstawie pierwszego raportu każdej firmy na temat luki w zabezpieczeniach. Ponadto, średnio większa liczba firm była ostatecznie celem ataków na każdą lukę w zabezpieczeniach. W obu przypadkach jednak liczba ataków w końcu się nasyciła.

Ransbotham mówi, że gdy obrońcy wyjmują swoje łatki, atakujący mają większą motywację do przejścia na inny exploit.

Możliwość dostępu do kodu o otwartym kodzie źródłowym to nie jedyna zaleta, jaką dają atakującym. Analiza Ransbotham wykazała korelację między istnieniem sygnatur — używanych przez różne produkty zabezpieczające w celu dopasowania znanego wzorca z błędem — a wcześniejszymi atakami, co sugeruje, że aktualizacje wykorzystywane przez obrońców w celu poprawy ich ochrony rzeczywiście pomagają atakującym.

To mówi mi, że w posiadaniu tego podpisu jest coś, co pomaga ludziom… daje im wskazówkę, jak wykorzystać tę lukę, mówi Ransbotham.

Inne badania sugerują, że sygnatury – i inne środki obronne – ujawniają informacje atakującym. W 2007 roku dwóch konsultantów ds. bezpieczeństwa opisało wykorzystanie sygnatur z popularnego systemu wykrywania włamań do stworzenia kodu ataku. W 2008 roku badacze akademiccy stworzyli system generowania potencjalnego kodu exploita na podstawie automatycznej analizy łat wydawanych przez firmy programistyczne.

Specjaliści od bezpieczeństwa ostrzegają jednak, aby nie czytać zbyt wiele w analizie Ransbothama. Wiele czynników może zniekształcić dane, mówi David Aitel, dyrektor ds. technologii w firmie zajmującej się bezpieczeństwem Immunity, która – wśród swoich usług – tworzy exploity do testowania zabezpieczeń sieci korporacyjnych. Według artykułu Ransbothama tylko 30 z 97 luk w zabezpieczeniach atakowanych przez osoby atakujące było w oprogramowaniu typu open source, co oznacza, że ​​stosunkowo niewiele luk było atakowanych znacznie częściej, mówi Aitel. Twierdzi, że napastnicy mogą bezkrytycznie zalewać sieć firmy atakami na stosunkowo nieistotne oprogramowanie typu open source, jednocześnie koncentrując się na poważniejszych atakach na ważniejszych systemach z oprogramowaniem o zamkniętym kodzie źródłowym.

Ponieważ klienci Immunity są najbardziej zaniepokojeni systemami z oprogramowaniem o zamkniętym kodzie źródłowym, takim jak Microsoft Windows, Internet Explorer, Adobe Acrobat i Sun firmy Java, badacze Immunity próbują wykorzystać luki w oprogramowaniu o zamkniętym kodzie źródłowym w ciągu 24 godzin od pierwszego zgłoszenia. Luki w oprogramowaniu open source mają znacznie niższy priorytet.

Twierdzi, że wyciąganie szerokiego wniosku, że oprogramowanie open source jest łatwiejsze do wykorzystania, zdecydowanie nie jest prawdą. Można wyciągnąć dokładnie odwrotny wniosek z bazy exploitów, które są dostępne na [stronach badawczych, takich jak] Packetstorm.

Inni specjaliści ds. bezpieczeństwa mają szerszy pogląd, że mniej chodzi o open- lub closed-source, a bardziej o to, jak firma rozwija swoje oprogramowanie. Atakujący mogą w końcu uzyskać informacje, których potrzebują, aby wykorzystać błąd, czy to za pomocą oprogramowania do automatycznego ataku, za pomocą poprawek inżynierii wstecznej, czy też w jakiś sposób uzyskując dostęp do kodu źródłowego, więc firmy powinny się tego spodziewać, mówi Gary McGraw, dyrektor ds. technologii w Cigital. doradztwo w zakresie bezpieczeństwa oprogramowania.

To mit, że musisz mieć kod źródłowy, aby wykorzystać luki, mówi McGraw. Ty (twórcy oprogramowania) musicie zdać sobie sprawę, że wasze oprogramowanie jest tam, i dajecie atakującemu wszystko, czego potrzebuje, aby je wykorzystać.

ukryć