Ведется контроль над ограничением свободного прохода через уязвимые места защиты компьютеров. В прошлом месяце Скотт Кулп (Scott Culp), менеджер центра защиты Microsoft, издал эссе, описывающее текущую практику защиты, чтобы навести порядок в этой "информационной анархии". Он утверждает, что мы будем намного более защищены, если исследователи оставяет при себе подробности относительно недостатков в своих программах и не будут публиковать их, вооружая хакеров новыми инструментальными средствами. На прошлой неделе, на Вычислительном Форуме Microsoft, Кулп объявил о создании новой коалиции, чтобы провести эту идею в практику.

Это были дебаты о "сохранении тайны, имеющихся уязвимостей защиты, от полного раскрытия". Я написал относительно этого предварительно в Crypto-Gram; другие специалисты также писали об этом. Это сложная проблема стоит на всем протяжении компьютерной защиты, и имеет смысл, чтобы снова ее обсуждать.

Для незащищенности я предложил термин, назвав его "Window of Exposure", чтобы пояснить изменения нахождение точки уязвимости защиты во времени. Уязвимость это как жучок; это ошибка, сделанная программистом во время создания программы и не обнаруженная во время испытаний. Это отверстие, через которое кто - то может нарушить режим эксплуатации, чтобы ворваться в компьютер или сделать что-что, обычно запрещаемое.

Предположите, что в изделии имеется уязвимость, и никто этого не знает. Имеется небольшая опасность, что кто-то использует эту уязвимость. Эта уязвимость может быть неоткрытой для коротких отрезков времени, например, в Windows XP она была обнаружена, прежде чем программа была распространена. В других случаях она может сохраняться в течение многих лет. В конечном счете, кто - то обнаруживает уязвимость. Возможно, это хороший человек, который сообщит об этом разработчику. Возможно, это плохой человек, который использует эту уязвимость, чтобы войти в систему. Возможно, этот человек не сообщает об этом никому, но потом кто-то еще обнаруживает эту дырку несколькими месяцами позже. В любом случае, как только кто-то узнает относительно этой слабости, опасность использования программ увеличивается.

Тогда, для тех, кто пишет программы, которые используют эту уязвимость, переходят через ту точку, которая не имеет практического аналога по двум причинам. Во-первых, программное обеспечение имеет способность отделить навыки от способности. Как только инструмент-программа написана, любой может эксплуатировать уязвимость, независимо от его навыка или понимания. Во-вторых, этот инструмент может быть распределен широко и бесплатно, таким образом, может быть доступен каждому, кто захочет использовать эту "дырку". Это приводит к тому, когда любопытные могут получить информацию им совсем ненужную и даже вредную, используя инструментальные средства проникновения в системы. Как только инструмент написан, такая опасность резко увеличивается.

Хронология полного раскрытия

В ранние годы развития компьютеров и сетей тайна ошибки была нормой. Когда пользователи и исследователи находили уязвимость в программном продукте, они спокойно предупреждали продавца. В теории, продавец тогда устранял уязвимость. После основания в 1988 CERT, который стал центром обмена информации по уязвимости, люди присылали недавно обнаруженные ошибки в CERT. CERT проверял их, предупреждал продавца, и издавал коррекцию, как только она становилась доступной.

Проблема с этой системой состоит в том, что продавцы не имели побуждения находить такие ошибки. CERT не издал бы ее местоположение, так не имелось никакой безотлагательности. Было проще сохранить тайну уязвимости. Имелись так же обстоятельства у продавцов, которые угрожали исследователям, если они делали ошибки известными общественности. Кампании начинали борьбу против исследователей, которые объявили о существовании таких ошибок (даже если они опускали подробности). И, таким образом, много уязвимости остались не зафиксированными в течение ряда лет.

Движение за полное раскрытие было рождено из-за недостатков в быстром решении этой проблемы. Как только уязвимость продукта опубликована, общее давление на продавцов дает сильный стимул разрешить проблему быстро. Главным образом, это работало. Сегодня многие исследователи публикуют уязвимость, помещая ее на сайты типа Bugtraq. Пресса пишет относительно уязвимости в компьютерных журналах. Продавцы борются, чтобы исправить эти уязвимость, как только они разглашены, так что они могут публиковать собственные официальные сообщения в печати относительно того, как быстро и насколько, полно они исправили обнаруженные ошибки. Движение за полное раскрытие улучшает защиту Internet.

Противники полного раскрытия доказывают, что опубликованные подробности уязвимости делают больше вреда, чем полезного, вооружая хакеров инструментальными средствами, которые они могут использовать, чтобы ворваться в системы. Защита будет намного лучше, если она будет скрывать точные подробности уязвимости.

Сторонники полного раскрытия противостоят этому, говоря, что исследователь, который предает гласности уязвимость, обычно первый, который ее обнаружил. А уязвимость, обычно, является ошибкой. Иногда уязвимость была известна нападавшим в течение месяцев или лет до того как ее обнаружит продавец. Они говорят, чем скорее ошибка установлена и разглашена, тем лучше для каждого. Возврат к тайне жучка только вернул бы нас к бездействию продавца.

Так как полное раскрытие стало нормой, компьютерная промышленность преобразовала группы компаний, которые игнорируют защиту и умаляют уязвимость, в компании, которые устанавливают уязвимость настолько быстро, насколько возможно. Некоторые компаний даже идут дальше и понимают защиту достаточно серьезно, чтобы пытаться формировать качественное программное обеспечение с самого начала: устанавливая возможные ошибки-уязвимости, перед тем как программа выпущена. И намного меньше проблем возникает с хакерами. Это обычно бывает с той информацией уязвимости, которая была доступна немногим: исследователям защиты и хакерам, которые были объединены в соответствующих сообществах. Теперь это становится доступным каждому.

И детальная информация требуется. Если исследователь только издает неопределенные инструкции относительно уязвимости, то продавец может утверждать, что это не реально. Если исследователь издает научные подробности без кода примера, то продавец может утверждать, что это только теоретически. Единственный способ заставить продавцов искать и находить решение, это издание подробностей: и в человеческой, и компьютерной форме. (Microsoft виновен в обоих действиях, используя свою машину PR, чтобы отрицать и умалить уязвимость, они пока не показывают нам фактический код). А код - единственный способ проверить, что заплата (горячий ремонт) продавца фактически исправила ошибку.

Пример тайны жучка

Вы можете видеть проблемы с тайной жучка в промышленности на примере "цифрового допуска". DMCA ввел парадигму тайны жучка в закон; в большинстве случаев незаконно издать уязвимость или автоматические инструментальные средства раскрытия схем защиты от копирования. Исследователям не дают нормально работать. Уязвимость защиты сохраняется секретной. И результат - множество опасных систем, их владельцы, задавленные законом, надеются, что никто не выясняет, как плохи они в действительности.

Имеется и другой пример: несколько недель назад, выпуск ядра Linux поступил без общепринятой, детальной информации относительно защиты ОС. Разработчики процитировали опасение DMCA, как причину, почему в этих подробностях они отказывали. Вообразите, что вы оцениваете операционные системы: Вы чувствуете себя, более или менее уверенными относительно защиты ядра Linux, версии 2.2, а теперь, когда Вы не имеете никаких подробностей?

Полное раскрытие и ответственность

Рассмотрим пункт, когда говорят относительно ответственности. (Конечно, Скотт избегает понятия "моя вина".) Цель здесь состоит в том, чтобы улучшить защиту, не вооружая людей, которые врываются в компьютеры и сети. Автоматические инструментальные средства взлома с простыми правилами использования, готовое изделие для детского сценария, вызывают много ущерба организациям и их сетям. Они могут относиться как к ответственному, так и безответственному раскрытию. Не всегда просто определить разницу, но я имею некоторые рекомендации.

Во вторых, я верю в предоставление предварительных сведений продавца. CERT принимал это к экстремальному значению, иногда давая продавцу годы, чтобы установить проблему. Я хотел бы видеть, что исследователь сообщает продавцу, что он издаст уязвимость через несколько недель, и затем будет придерживаться этого обещания. В настоящее время продавцам дают 45 дней, но раскрывают информацию об уязвимости немедленно для оплаченных абонентов. Microsoft предлагает 30-дневный период. В то время как это - хорошая идея в теории, создает для специальной группы посвященных лиц собственный комплекс проблем.

В третьих, я соглашаюсь с Колпом, что безответственно, и возможно преступно, чтобы эксплуатировались более простые в использовании изделия. В системе безопасности, обнаруженная уязвимость, исследовательские документы относительно ее, и даже код демонстрации, приносят пользу исследованию. Все позволяет принимать более сильные решения при проектировании новых безопасных систем. Эксплуатация только делают нас более уязвимыми. Я хотел бы, например, получить информацию от специалистов, кто пишет вирусы. У них есть много, что мне ответить.

Подобно "быть частью решения, не частью проблемы". Исследование защиты - часть решения. Убедить продавцов, что установление проблемы - часть решения. Сеяние опасений - часть проблемы. Вручение инструментальных средств нападения невежественным подросткам - часть проблемы.

Неизбежность уязвимости защиты

Ничего из этого не было бы проблемой, если программное обеспечение проектировалось должным образом. Уязвимость защиты - ошибка программирования: например, ошибка типа буферного переполнения, которое должно быть перехвачено и предотвращено, или, например, дыра, введенная из-за недостатка понимания взаимодействия в комплексе кода программы. Если не имелось никаких уязвимостей защиты, не будет и никакой проблемы. Это недостаточное качество программ, которое и вызывает беспорядок.

Продавцы не принимают защиту всерьез, потому что не имеется никакого рыночного стимула для них, и никаких неблагоприятных эффектов, когда они не делают этого. Я долго спорил, что продавцы программ не должны быть освобождены от ответственности за изделие по закону, который управляет остальной частью торговли. Когда это случается, продавцы будут делать больше чем запудривание мозгов покупателей по уязвимости защиты: они установят их настолько быстро, насколько возможно. Но до тех пор, полное раскрытие - единственный путь, которым мы должны мотивировать продавцов, чтобы они действовали ответственно.

Повод в продвижении тайны дефекта очевиден: во-первых, это намного легче, забыть информацию о безопасности, чем надежно устанавливать проблемы для изделия проекта. Устойчивый поток ошибок защиты Microsoft привел много людей к тому, чтобы подвергнуть сомнению защиту их будущих программ. И с аналитиками подобно Gartner люди начинают думать о том, чтобы отказаться от Microsoft IIS из-за всех его ненадежных программ. Поэтому предоставление клиентам меньшего объема информации о безопасности относительно их изделий было бы хорошо для бизнеса

История показывает, этого не было. Читайте эссе Скотта Кулпа; он не говорил: "Ребята, если у Вас есть ошибка, присылайте ее мне, и я буду удостоверяться, что она быстро устраняется". Что он был против публикации уязвимости, и просил, чтобы исследователи сохраняли детали ошибок у себя. Иначе, он угрожал: "продавцы не будут иметь никакого выбора, кроме нахождения других способов защитить своих клиентов", независимо от того, к чему это ведет. Это еще раз показывает, что полное раскрытие единственный жизнеспособный способ уменьшить окно уязвимости.

Благодарю Tina Bird, Jon Callas, Scott Culp, Greg Guerin, Elias Levy, Jeff Moss, Eric Raymond, и Elizabeth Zwicky за просмотр и комментарии к этой статьи.