Deset let staré slabiny v počítačovém softwaru



Hledáte vysvětlení dlouhé doby skrytého působení viru Stuxnet, případně dalších virových infekcí? Přemítáte, jak se virus mohl dostat do relativně dobře zabezpečených počítačů uživatelů internetbankingu? Jedno z vysvětlení nabízí pohled na způsob nakládání se zdrojovými kódy počítačových programů ve spojení s mnoho let neopravenými chybami v operačních systémech a prohlížečích.

Slabiny, díry nebo zadní vrátka se v operačních systémech, prohlížečích a dalších programech objevují stále. Vedle jejich závažnosti je důležité i to, jak dlouho se nalezená slabina v systému nacházela a kdo ji mohl objevit dříve, než byla zveřejněna.

Pokud se v operačním systému nebo v nadstavbové aplikaci objeví kritická slabina, která se vyskytuje pouze v poslední verzi konkrétního programu, je to nepříjemné, ale kdo z vás by dokázal takovou slabinu ve zdrojovém kódu najít, otestovat a následně vytvořit s využitím takové slabiny i škodlivý program? Kolik času byste potřebovali? 3 měsíce, 6 měsíců nebo celý rok? Musíte být rychlí, velmi rychlí, jinak se může stát, že dříve, než celý úkol dokončíte, může být konkrétní slabina odhalena někým jiným a následně opravena. V případě slabin, které jsou v programu více než 3500 dnů mají ovšem počítačoví podvodníci mnohem více času na své aktivity.

Přístup ke zdrojovým kódům programů

S rychlostí, jakou může být slabina odhalena, úzce souvisí i přístupnost zdrojových kódůV případě některého softwaru zůstávají známé slabiny neopraveny i v řadě po sobě následujících verzí.
V případě některého softwaru zůstávají známé slabiny neopraveny i v řadě po sobě následujících verzí.
konkrétního operačního systému nebo aplikace. V případě veřejně přístupného zdrojového kódu jsou možnosti všech vyrovnané. Ke zdrojákům mají přístup všichni zájemci. Přesněji všichni, kteří se zapojí do vývojového týmu, což ale není překážkou. Všichni zájemci mají možnost zkoumat zdrojové kódy. Takže tuto možnost mají i ti, kdo hledají slabiny z důvodů vylepšení konkrétního programu a současně i ti, kdo by chtěli takovou slabinu zneužít.

Druhým přístupem je striktní utajování zdrojového kódu. V takovém případě jsou možnosti všech zájemců mimo firmu, která program vytvořila, opět vyrovnané. Pominu fakt, že počítačoví podvodníci mají vždy větší zájem hledat a následně zneužívat slabiny a zadní vrátka. To ale platí pro všechny způsoby nakládání se zdrojovými kódy.

Velmi zvláštní situace existuje v případě, kdy ke zdrojovým kódům mají přístup pouze vybrané týmy. To znamená, že takové programátorské týmy mají přístup k jinak nepřístupným zdrojovým kódům. To je třeba případ společnost Microsoft a jejího Government Security Programu. Na základě příslušných dohod mají již minimálně od roku 2003 vybrané partnerské země a vysoké školy přístup k vybraným zdrojovým kódům Windows, MS Office, Internet Exploreru, atd. Mezi státy, které měly nebo mají přístup ke zdrojovým kódům, patří například Norsko, Austrálie, Velká Británie a také Ruská federace a Čína.

Rozdílný přístup ke zdrojovým kódům

V analýze slabin, kterou jsme zveřejnili počátkem ledna 2012, jsou jasně vidět dva přístupy ke zdrojovým kódům počítačových programů. Bohužel těmto dvěma přístupům přesně odpovídají i výsledky analýzy slabin.

V operačním systému Windows 7 bylo v průběhu let 2010 a 2011 zveřejněno a opraveno 176 slabin. Přičemž 137 slabin bylo společných s verzí Windows Vista a XP. Dalších 31 dokonce s Windows 2000. Stejná situace platí i v případě prohlížeče Microsoft Internet Explorer. V obou případech byly zveřejněné slabiny v programech více než deset let, více než 3600 dnů.

V prohlížečích Mozilla Firefox nebo Google Chrome jsou také slabiny – a dokonce jich tam je na první pohled více, než v programech společnosti Microsoft. Jenže doba existence jednotlivých slabin byla několik týdnů (Google Chrome) a v nejhorším případě u prohlížeče Firefox 8.0 se jednalo o 500 dnů.

Při tvorbě analýzy slabin zveřejněných v roce 2011 jsme zjistili „dlouhověkost“ slabin v operačním systému Windows a prohlížeči Microsoft Internet Explorer. Nerevidovaný zdrojový kód, který se používá v mnoha po sobě jdoucích verzích stejného programu (Windows 7, Vista, XP a 2000) ve spojení s tím, že k těmto zdrojovým kódům má přístup pouze vybraná skupina státních úředníků, případně studentů, je prostorem pro vytváření sofistikovaných škodlivých programů.

Specializované škodlivé programy mohou být vytvořeny a vyvíjet svoji činnost právě proto, že v programech jsou dlouhodobě neopravené slabiny a současně pouze vybraná skupina odborníků má možnost analyzovat zdrojové kódy a mohou v nich hledat nová zadní vrátka.

Existující rizika a možné cesty dál

Jedním z důvodů pro vytvoření naší analýzy slabin v operačních systémech a prohlížečích byla existence případů, kdy uživatelům někdo zneužil jejich elektronický podpis, vykradl účet přes internet banking a v neposlední radě i působení viru Stuxnet, který mimochodem zneužíval několik do té doby neznámých slabin v operačním systému Windows.

Z výsledků analýzy je patrné, že slabiny zveřejněné v roce 2011, které se týkají Windows 7, se současně týkají i Windows Vista a XP. Běžný programátor nebo analytik nemá možnost prozkoumat zdrojové kódy Windows nebo Internet Exploreru a musí jako jakýkoliv jiný uživatel spoléhat na prohlášení tvůrce Windows a MSIE, že nový operační systém, prohlížeč nebo další program jsou lepší a bezpečnější než předchozí verze.

Využívání počítačů nabývá stále více na významu a existují proto i významné tlaky na řešení bezpečnosti jednotlivých uživatelských počítačů, firemních sítí i počítačů, které řídí výrobní technologie. To vše se děje v prostředí, kdy autoři operačního systému používají bez revizí části nebo celé počítačové moduly více než deset let. Současně ovšem jinak chráněné zdrojové kódy dávají k dispozici zástupcům zemí, které jsou podezřelé z organizování počítačových útoků.

Za takových podmínek je řešení bezpečnosti v podmínkách internetbankingu a dalších obchodních aplikací složitý úkol. Možná je to náhoda, ale Ruská federace i Čína již před časem oznámily, že prosazují jako hlavní operační systém ve státní správě obou zemí vlastní distribuce Linuxu. Že by to byla pouze náhoda?

Analýzu slabin zveřejněných v roce 2011 si můžete stáhnout zde. Publikována se svolením autora. (Při použití ve čtečce elektronických knih, například Kindle, doporučujeme otočení na šířku, kdy je zde PDF lépe čitelné.)

Jiří Nápravník, Salamandr


(leden 2012 | redakce2)


Předcházející článek: <<< Chraňte svou síť s odlehčenou technologií NBA <<<
Následující článek: >>> Průšvih za 34 milionů dolarů >>>

Tento článek je součástí speciálu:

Bezpečnost v IT: Nepodceňujte aktuální rizika


Problematika bezpečnosti IT se ještě stále mnohde podceňuje.

Málokteré téma je tak rozporuplné jako bezpečnost IT: Na jednu stranu se o ní stále mluví a všichni si uvědomujeme, kde případně může hrozit průšvih, na druhou stranu řada z nás prostě doufá, že bude mít zase štěstí a průšvih nenastane. Ještě chvíli nám to štěstí musí vydržet, ale pak, pak už dokončíme všechny plánované bezpečnostní projekty a všechno bude OK. Ale co když nás štěstí opustí? V tomto speciálu vám nabízíme pohled na vybraná rizika, a to z pohledu statistik i ve formě přehlídky možných řešení.



Partneři speciálu:








Komentáře, názory a rady

Všeobecně známé
Řekl bych, že je to všeobecně známý problém. Dokud se to pořádně nerozmázne, v softu chyby zůstanou. Ale ty statistiky v PDF jsou zajímavé....

>>> Číst a vkládat komentáře <<<

Tip - Konference: Cloud computing v praxi - 23.3.2017!


Otázky a odpovědi z IT: Diskusní portál Bizio.cz
Pozoruhodné IT produkty pro rok 2017
Věříme, že v tomto přehledu pozoruhodných produktů najdete ty, které vám pomohou ve vaší práci v IT.




Anketa


©2011-2017 BusinessIT.cz, ISSN 1805-0522 | Názvy použité v textech mohou být ochrannými známkami příslušných vlastníků.
Provozovatel: Bispiral, s.r.o., kontakt: BusinessIT(at)Bispiral.com | Inzerce: Best Online Media, s.r.o., zuzana@online-media.cz
Používáme účetní program Money S3
O vydavateli | Pravidla webu BusinessIT.cz a ochrana soukromí | pg(235)