Коллектив авторов: Защита от хакеров корпоративных сетей

В обоих случаях сокрытие информации должно вызывать обеспокоенность, так как большинство пользователей не осведомлены об уязвимости, известной только немногим. И пока кто-нибудь другой не обнаружит этот дефект или пока эти немногие не объявят о нем, производители не смогут начать работу по устранению проблемы. Следовательно, как только возникают достаточно серьезные основания предполагать существование уязвимости, тот, кто ее обнаружил, должен сообщить о ней (по крайней мере, производителю).

Полное раскрытие

Насколько подробным должно быть сообщение о найденной уязвимости? Какая информацию, кроме необходимой для воспроизведения проблемной ситуации, должна быть обнародована? Стоит ли делать код, использующий уязвимость, доступным широкой публике? Все эти вопросы так или иначе имеют отношение к концепции полного раскрытия (full disclosure), согласно которой обнародованию подлежат все аспекты проблемы. Считается, что пользователям должна быть предоставлена информация, позволяющая воспроизвести ситуацию. Кроме того, необходимо вообще дать им как можно больше информации о проблеме, включая код, использующий уязвимость. Дебаты о концепции полного раскрытия идут до сих пор, ведь у нее имеются и отрицательные стороны. Например, при таком подходе хакеры получают информацию о слабых местах системы, а код, использующий уязвимость, может быть сразу же использован для вторжения. Чтобы лучше понять концепцию полного раскрытия, потребуется историческая справка.

Раньше информация о проблемах безопасности распространялась только среди специалистов. Когда производители получали информацию об уязвимых местах, обнаруженных в их продуктах, они вообще никак не поступали с этой информацией или, в лучшем случае, дожидались, когда выйдет следующая версия продукта, чтобы внести исправления. Широкой публике не сообщалось об этом, так что никто и не знал, что вообще были какие-то проблемы с безопасностью.

Недостаток такого подхода состоит в том, что пользователи не осознают, насколько уязвимо программное обеспечение, которым они пользуются, и, соответственно, не понимают, насколько важно вовремя его обновлять, а также не требуют от производителей более надежных продуктов. Поскольку клиентов мало беспокоит безопасность, производители перестают считать надежность своей продукции первоочередной задачей. В свою очередь потребители не могут составить мнение о том, насколько безопасным является тот или иной продукт, поскольку отсутствует соответствующая информация от производителей. Таким образом, возникает порочный круг.

Ситуация осложняется тем, что даже информация, доступная только узкому кругу специалистов, имеющих непосредственное отношение к проблеме, иногда каким-то образом становится известной хакерам. Впрочем, изредка хакеры самостоятельно обнаруживают те самые уязвимые места, о которых говорят в узких кругах экспертов по безопасности. Некоторые хакеры сделали своей мишенью компьютеры экспертов по безопасности, где они надеются почерпнуть сведения об обнаруженных уязвимостях. Если удается взломать компьютер эксперта и получить новую информацию об уязвимостях, дальнейшее проникновение в чужие системы упрощается.

По большей части пользователи не осведомлены даже о существовании многочисленных проблем безопасности, не говоря уж о способах борьбы с ними. В результате неосведомленность публики и осведомленность хакеров привели к тому, что число удачных атак стало угрожающе расти.

Концепция полного раскрытия явилась попыткой решить эти проблемы. Люди, придерживающиеся данной концепции, обнародуют все детали обнаруженных ими проблем безопасности, что позволяет другим пользователям воссоздать проблемную ситуацию. Применение концепции полного раскрытия на практике имело следующие последствия.

• Прежде всего пользователи начали понимать, насколько ненадежны программные продукты, с которыми они работают.

• Во многих случаях время, в течение которого система оставалась уязвимой, было минимизировано, так как пользователи получили возможность самостоятельно тестировать свою систему в целях обнаружения проблем безопасности и быстро их устранять, вместо того чтобы ждать, пока это сделает производитель.

• Производители были вынуждены оперативно выпускать пакеты обновлений, устраняющих изъяны. Поскольку пользователей стали интересовать проблемы безопасности, надежность программного обеспечения и услуг стала для производителей приоритетной задачей.