Все новости от 28 июля 2005 г.

Cisco дала отпор исследователю уязвимостей

В среду сетевой гигант и компания Internet Security Systems подали совместное ходатайство о временном судебном запрете против Майкла Линна и организаторов конференции по безопасности Black Hat. Эта мера последовала после того, как Линн продемонстрировал презентацию, посвященную способу взлома маршрутизаторов Cisco — по его словам, эта проблема способна поставить на колени интернет.

В иске, поданном в Окружной суд Северного округа Калифорнии, истцы просят запретить Линну и Black Hat «дальнейшее раскрытие принадлежащей Cisco и ISS секретной информации», сообщил представитель Cisco Джон Ноу (John Noh). «Мы уверены, что информация, которую Линн представил на Black Hat сегодня утром, была добыта нелегально и нарушает наши права интеллектуальной собственности», — сказал он. Линн декомпилировал программное обеспечение Cisco для исследовательских целей и тем самым нарушил права компании, пояснил Ноу.

Юридические действия последовали в среду днем, через считанные часы после выступления Линна. Он сообщил аудитории на конференции в Лас-Вегасе, что ради этой презентации он оставил свою работу исследователя в ISS — после того как ISS решила отменить семинар. Сведения об уязвимости и доклад «The Holy Grail: Cisco IOS Shellcode and Remote Execution» были изъяты из трудов конференции, так что в толстой книге осталось пустое место.

Линн рассказал, как можно атаковать Cisco Internetwork Operating System, используя известное слабое звено в защите IOS. Это ПО работает на маршрутизаторах Cisco, на которые опирается инфраструктура интернета. Широкая атака может серьезно повредить интернету, сказал он.

По словам экспертов, участвующих в конференции Black Hat, о самой уязвимости, которую Линн использует для атаки, Cisco было известно, и она включила соответствующую поправку в недавние версии IOS.

Главный технолог ISS Крис Роуланд рассказал в интервью, что в понедельник группа исследователей ISS, куда входит Линн, решила отменить презентацию. «Она еще не готова», — пояснил он. Однако в среду утром Линн порвал с ISS и все равно провел презентацию. По словам Роуланда, Линн представил исследование ISS, уже не будучи сотрудником компании.

Источник, близкий к организации Black Hat, утверждает, что отмены презентации добивалась Cisco. По его словам, Линна попросили прочесть другой доклад, о безопасности технологии Voice over Internet Protocol. Однако Роуланд говорит, что «ни о какой презентации по VoIP речь не шла», и что семинар в среду вообще должен был быть отменен. «Это очень важное исследование, и лежащая в его основе работа тоже чрезвычайно важна, но мы должны были вместе с Cisco как следует изучить все последствия», — сказал он.

Источник, близкий к Cisco, сообщил, что компания принимала участие в отмене презентации. Сетевой гигант провел совещание с ISS, и они вместе решили, что исследование еще не готово.

В презентации описывалась атака на непосредственно подключенный маршрутизатор, а не дистанционная атака через интернет. «Вы можете взломать свой собственный маршрутизатор, но не удаленный», — пояснил Роуланд. Однако на специалиста по безопасности Даррила Тейлора, участника Black Hat, презентация Линна произвела впечатление. «Он действительно легко вскрывает оболочку (shell) и показал, как это сделать. Многие говорили, что это невозможно, а он сел и сделал». (Shell — это командная строка, позволяющая управлять операционной системой.)

Ноу сказал, что презентация Линна не содержит информации о какой-либо новой уязвимости или вновь обнаруженных пробелах в защите. «В своем исследовании он изучает возможные способы расширенного использования существующих уязвимостей, влияющих на маршрутизаторы», — сказал представитель Cisco.

За последний год Cisco исправила несколько ошибок в IOS. В прошлом году сетевой гигант объявил, что часть исходного кода IOS была украдена, что вызвало опасения по поводу возможности обнаружения новых багов.

В среду Ноу повторил обычную рекомендацию компании, чтобы заказчики во избежание уязвимостей обновили свое ПО на последние версии.

После презентации Линн продемонстрировал аудитории свое резюме и объявил, что он ищет работу. Получить у него комментарии не удалось. Представители организации Black Hat сообщили, что исследователь консультируется с адвокатами. 

 Предыдущие публикации:

 В продолжение темы:

Обсуждение и комментарии

	ммм 28 Jul 2005 10:19 PM
Дешевый выпендреж. Мужик захотел быстрой славы, намереваясь потягаться с Cisco :-) Теперь без работы и под следствием. Ну молодец.
	Anti-MS 29 Jul 2005 12:43 AM
специалисты без работы не остаются, особенно в области безопасности
	rGlory 29 Jul 2005 12:48 AM
2 ммм Ага пусть лучше этим пользуются втихомолку, лишь бы деловая репутация циски не пострадала.
	Andrew 29 Jul 2005 1:21 PM
По моему, он нашел какой-то backdoor. Иначе такого кипиша ни с его стороны, ни со стороны Циски не было бы.
	Alexander S. Kharitonov 29 Jul 2005 1:40 PM
2 rGlory: > Ага пусть лучше этим пользуются втихомолку, лишь бы деловая репутация циски не пострадала. Вероятно она пострадала больше, чем если бы они проигнорировали это событие. А так они показали, что препятствуют независимому анализу качества их продукции, и у нас стало меньше оснований ей доверять. В статье говорится, что отменённая презентация демонстрировала уже исправленные уязвимости, но тогда к чему такая агрессивная реакция? Сразу возникает подозрение, что речь шла о существующей уязвимости, которую они ещё не успели исправить. Посмотрим, выйдет ли в ближайшее время какое-нибудь обновление их системы.
	rGlory 29 Jul 2005 5:13 PM
2 Alexander S. Kharitonov > Вероятно она пострадала больше, чем если бы они проигнорировали это событие Возможно, но я не думаю, что они стремились к шумихе. Они ведь просто пытались втихую это замять. Но "мужик" проявил неравнодушие в этом вопросе, которое некоторые называют "дешевый выпендреж". Ага сиди и не выпендривайся, мы все знаем, куда этот лозунг завел совок в свое время... (про дешевый выпедреж это не в Ваш огород камень, Александр)
	ммм 29 Jul 2005 9:49 PM
2 Alexander S. Kharitonov: а где тут независимый анализ? Сотрудник компании (не независимый тестер) явно рвался выставить напоказ грязное белье компании, пользуясь данными компании и собственностью компании. Так, знаете ли, не делается.
	rGlory 29 Jul 2005 11:09 PM
2 ммм А как делается?
	Alexander S. Kharitonov 30 Jul 2005 9:41 AM
2 ммм: > а где тут независимый анализ? Сотрудник компании (не независимый тестер) Он был сотрудником другой компании, не Cisco.
	ммм 30 Jul 2005 7:49 PM
2 Alexander S. Kharitonov: верно, я ошибся. 2 rGlory: > А как делается? При всей общей нелюбви к американской корпоративной политике, ее все-таки надо уважать и принимать в расчет. То есть в случае Линна, если его так задела тема уязвимости сиськовских маршрутизаторов, то ему надо было направить всю энергию на контакты с руководством Сisco и проводить свою презентацию перед их собранием директоров, а не выставлять это напоказ для всей мировой публики. То есть человек явно хотел скандала, он его и получил. Неудивительно, что руководство Cisco взбесилось, и я их реакцию вполне понимаю.
	ммм 30 Jul 2005 8:05 PM
2 rGlory: прикинь, что приходящий программист 1-С на твоей фирме, вдруг устраивает презентацию среди ТВОИХ клиентов, где наглядно показывает, что такие-то и такие-то пробелы в твоих продуктах угрожают безопасности как твоих клиентов, так клиентов этих клиентов. То есть фактически он ломает твой бизнес. Что ты с ним сделаешь, с этим чудаком?
	dima 30 Jul 2005 9:12 PM
2ммм >прикинь, что приходящий программист 1-С на твоей фирме, вдруг устраивает презентацию среди ТВОИХ клиентов, где наглядно показывает, что такие-то и такие-то пробелы в твоих продуктах угрожают безопасности как твоих клиентов, так клиентов этих клиентов. То есть фактически он ломает твой бизнес. Что ты с ним сделаешь, с этим чудаком? А что потом с тобой сделают эти клиенты? :) Когда они узнаяю что твой супер-пупер продукт на деле является полной лажей, не хорошо ведь людей обманывать.
	Anti-MS 30 Jul 2005 11:33 PM
2ммм обычная практика, называется бизнесс :)
	Сергей Т. 31 Jul 2005 12:51 PM
Суть в том, что Cisco ни чем не лучше, чем отдельный человек. И если в их системе есть потайная дверь (которая возникла вследствии программисткой ошибки или они специально ее оставили для спецслужб), то независимый исследователь имеет право и морально обязан предупредить всех остальных людей. Даже если фирма, на которую он работал спелась с руководством Cisco, и решила замять это дело. Он имеет право и его поступок - это гражданский подвиг (хотя звучить напыщено). То есть поступок, направленный на благо всего общества, а не отдельной кучки акционеров Cisco.
	fi 1 Aug 2005 7:40 AM
то ммм Во-первых он даже уволился (это к корпоративной политике), а во-вторых он показал на форуме по данной теме, таким же как и он.
	Чр - Чр 1 Aug 2005 1:06 PM
инетерсно а денгьи они ему предлагали.. а елси бчесто бы не отказался от пол лимона.. за молчание 6 месяцев. но не больше-> устраняте а там постморим с другео сторы и замочить могут.
	Чр - Чр 1 Aug 2005 1:07 PM
инетерсно а денгьи они ему предлагали.. а елси бчесто бы не отказался от пол лимона.. за молчание 6 месяцев. но не больше-> устраняте а там постморим с другео сторы и замочить могут.
	eXOR 1 Aug 2005 6:50 PM
Интересные способы борьбы с багами в своих системах? Может быть вообще всех тестеров начать сажать за найденные баги?
	Юзер 2 Aug 2005 4:06 AM
А почему не слышно о том, что Линн еще год назад сообщал руководству Cisco о баге и просил исправить его, но они отказались? И именно такое наплевательское отношение к безопасности побудило его раскрыть баг на публику. И правильно сделал. В какой жопе сидел бы мир, не будь таких людей, как Линн, Митник, Йохансен, Торвальдс, Гутенберг, Коперник, Галилей?
	ммм 2 Aug 2005 10:33 AM
2 юзер: отказались исправить свой баг? Быть такого не может, они же не враги себе. Ссылочку дайте, плиз.
	Чр - Чр 2 Aug 2005 11:28 AM
ммм скоре всего просто не смогли. или это реально был bakcdoor для спецслужб.
	Black Bat 5 Aug 2005 8:36 PM
а этот урод ещё не хочет всем рассказать как всыпать цианид и водопровод ?!
	White Bat 10 Aug 2005 1:41 PM
Black Bat, кто захочет, и так всыпет туда цианид. Речь идет о том, чтобы стимулировать внедрение в водопровод химического детектора, а не чтобы скрыть способ насыпания цианида от 99%. Большинство все равно не будет этого делать, а вот хакерские секреты (дыры) нужно делать достоянием общественности хотя бы потому, чтобы предотвратить возможность заговора "блатных" хакеров, спецслужб и разработчиков (или вирмейкеров с Касперским под крышей ФСБ, что давно уже не секрет). К тому же Линн уже год назад обращался в циско с предложением закрыть дыру. Им было лень это делать, ну он и решил, что надо избавить мир от пофигистической корпорации. Ибо глючное цисковское железо после хотя бы одной успешной атаки покупать будут намного меньше. А "всему интернету" от дыры угрозы вообще никакой нет - баг поражает отдельно взятые маршрутизаторы, работающие с протоколом IPv6. Который еще не очень распространен, к счастью.