Все новости от 6 февраля 2003 г.

Я не виноват, что моим кодом воспользовались, говорит исследователь

Исследователь утверждает, что такие примеры кода играют важную и благотворную роль для безопасности интернета и он будет продолжать их публикацию.

Дэвид Литчфилд из компании NGS Software признал, что код proof of concept, написанный им для демонстрации ошибки в программном обеспечении Microsoft SQL, использовался, скорее всего, в качестве «шаблона» для червя SQL Slammer, или Sapphire, который две недели назад вывел из строя корпоративные сети, веб-сайты и даже банкоматы и компьютерные системы аэропортов. На прошлой неделе в сообщении, распространенном через список рассылки Bugtraq, Литчфилд написал, что он пересматривает практику публикации подобных кодов.

«Учитывая, что кто-то взял мой код и использовал его фрагменты в неблаговидных целях, я должен поставить под сомнение целесообразность публикации демонстрационных кодов, — пишет он. — Серьезный сбой компьютеров служб спасения, таких как 911/999, может привести к гибели людей — а я не хочу чувствовать, что в этом есть и моя вина».

Однако во вторник Литчфилд изменил свое мнение: он решил, что публиковать примеры кодов необходимо для сохранения безопасности сетей и компьютеров, так как секретность на самом деле не защищает. Его комментарии не понравятся некоторым членам сообщества специалистов по безопасности и антивирусам, которые расценивают публикацию демонстрационных кодов как помощь писателям вирусов.

Литчфилд говорит, что этот аргумент несостоятелен, так как успешная атака на уязвимую программу — просто дело квалификации хакера, который может обойтись и без примеров. Когда выходит поправка, хакер может сравнить исправленное ПО с оригиналом и легко определить, в чем состоит уязвимость и как ее использовать.

«Такие люди, и их тысячи, не нуждаются в демонстрационном коде или подсказках, и эксплойты, черви и вирусы будут появляться и без них», — пишет Литчфилд в своем e-mail. Даже несмотря на то, что программа была исправлена, очень много компьютеров все равно остаются уязвимыми, как было в случае со Slammer: баг, который использовал этот червь, был исправлен несколько месяцев назад.

На самом же деле, риск возникает при оповещении производителей ПО об обнаружении ошибки. Как только поставщик выпускает поправку, всем сразу становится известно, что брешь существует. «Если бы NGS Software держала информацию при себе... никто вообще бы не узнал, что брешь существует. Так мы попадаем в ситуацию ловушки-22», — пишет Литчфилд.

Общедоступный демонстрационный код позволяет таким специалистам, как системные администраторы, производители сканеров безопасности и поставщики оборудования для обнаружения проникновений, быстрее выпускать свои продукты. «Публикация всех деталей в интересах всех игроков на этом поле», — утверждает Литчфилд. Кроме того, демонстрационный код помогает разработчикам учиться на чужих ошибках.

Не все секьюрити-эксперты разделяют взгляды Литчфилда, особенно те, чья задача — защищать клиентов от вирусов. «Мы считаем неправильной публикацию примеров вирусов или кода, который легко использовать для создания вируса, — говорит старший консультант Sophos Anti-Virus Грэм Клули (Graham Cluley). — Мы не видим в этом большой пользы». По его словам, Sophos планомерно обменивается исходным кодом новых вирусов с другими антивирусными компаниями, но избегает предавать эту информацию гласности. «Такой уровень ответственности мне кажется более подходящим, чем полная открытость в интернете», — говорит он. 

 Предыдущие публикации:

 В продолжение темы:

Обсуждение и комментарии

	ABB - Alexander.bondarenkohp.com 7 Feb 2003 10:26 AM
Виноват не автор кода, а автор идеи выпускать на рынок ну очень сырой программный продукт. Только ленивый не знает про дыры Микрософта и Линуха. А кто-нибудь пробовал вломиться в VMS или хотя бы в DEC UNIX ??
	Linuxoid - linuxoidmailru.com 7 Feb 2003 2:38 PM
Во всех операционках есть ошибки в безопасности, и в дорогих, и в бесплатных. Проблема в ленивых сис. админах :-)
	ABB - Alexander.bondarenkohp.com 7 Feb 2003 2:55 PM
Да, разумеется во всех, дело только в числе 1 или 100 на поверхности ... Просто жирная компания за свои деньги (и их потерю) может подать в суд и мало не покажется, а хилая команда на мелкомягкий не замахнется. Дорогие потому были раньше и дороги, что создавались и тестировались на совесть.
	Tiga 7 Feb 2003 3:38 PM
Чем менее распространена ОС, тем меньше энтузиастов ищут в ней ошибки. В старых ОС ошибок было не меньше, чем в новых, и тестировались они не намного лучше, да и были гораздо проще во многих отношениях. Шума при обнаружении ошибок было меньше, т.к. компьютер не стоял на каждом столе и любой нынешний пользователь Word или Opera не мог считать себя крутым специалистом. Да и затрагивали эти ошибки единицы пользователей. Поэтому говорить, что качество программирования ОС упало, нельзя. Оно выросло, но не пропорционально росту сложности ОС.
	Tiga 7 Feb 2003 3:47 PM
А этот Дэвид Литчфилд просто козел. Аргументы его просто смешны. Видите ли, публикация кода помогла безопасности. Класс. После публикации кода практически любой лопух с минимальной квалификацией может сделать любую дрянь. Сколько тысяч систем избежали бы заражения, если бы он не опубликовал код - неизвестно. Господа чайники из Кореи выбрали не того адресата для своего иска. Им должен был стать этот Дэвид Литчфилд. Никогда не защищал МС, но в этот раз (нет, есть еще случай с САН-овской явой) они свое дело сделали. И не их вина, что многие админы зарплату получают ни за что.
	Linuxoid - linuxoidmailru.com 8 Feb 2003 3:03 PM
> После публикации кода практически любой лопух с минимальной квалификацией может сделать любую дрянь. Как по твоему лопух сможет сделать что-нибудь серьезное? :-) А ты предлагаешь держать все ошибки в тайне? :-) Экспетры по безопасности публикуют эксполиты только после того, как пройдет некоторое время после обнаружения и разработчики выпустят исправления. На мой взгляд он поступает правильно. Только MS не всегда бросается патчить свои продукты...
	Linuxoid - linuxoidmailru.com 8 Feb 2003 3:12 PM
> Да, разумеется во всех, дело только в числе 1 или 100 на поверхности ... Они и дорогие из-за того, что на них тратся больше средств. По моему все нормально: не хочешь много платить, покупай ненадежную и нестабильную систему, а если хочешь понадежнее, покупай подороже.
	Interrupt 9 Feb 2003 9:37 AM
2 Linuxoid: Фигня, эти продукты дорогие не потому что на них тратятся больше средств в процессе разработки/тестирования, а потому что они тиражируются в намного меньшем кол-ве. А бабки надо же как-то получать, вот и поднимают цены повыше...
	glassy 11 Feb 2003 11:33 AM
2Interrupt: почему такие хорошие программисты вроде тебя плохо ознакомлены с содержимым joel on software?...
	Grumbler 19 Mar 2003 9:42 AM
>По моему все нормально: не хочешь много платить, покупай >ненадежную и нестабильную систему, а если хочешь понадежнее, >покупай подороже. Хххххххха! OpenBSD - бесплатная и надежная. Для офисного файлового сервера (OS+samba и/или NFS), для сервера интернет, сервера баз данных вполне подходит. Да и на клиентское место в офисе - тоже (OS+openoffice). Еднственно: она не рассчитана на игры и прочую домашнюю лабуду.