Коллектив авторов - Защита от хакеров корпоративных сетей

История показала, что концепция полного раскрытия приносит пользу тем, кто следит за последними новостями в этой области, и вредит тем, кто не обращает особого внимания на безопасность своей системы. По большому счету, публикация как можно более полных сведений об уязвимостях выгодна всем, так как производители получают стимул постоянно проверять и повышать надежность своих программных продуктов и служб. Кроме того, при этом создается атмосфера открытости, позволяющая быстро обсудить проблему и найти путь ее решения, а пользователи получают возможность узнать больше о компьютерной безопасности.

Когда вы сталкиваетесь с необходимостью сообщить о найденной уязвимости, вам приходится решать множество сложных вопросов. Например, нужно решить, стоит ли делать проблемы безопасности достоянием широкой публики или же достаточно сообщить о них производителю. Что же касается вопроса, стоит ли вообще кого-либо информировать об обнаруженном изъяне, ответ на него вполне однозначен. Долг каждого – донести эти сведения до специалистов в области компьютерной безопасности раньше, чем уязвимое место обнаружат хакеры. Даже если вы не способны на полное исследование уязвимости, по крайней мере следует сообщить о ее существовании.

Концепция полного раскрытия предполагает, что обнародованию подлежат все детали уязвимости. Разумеется, таким способом хакеры получают полную информацию о слабых местах систем, но это также вынуждает производителя быстро выпустить исправленную версию и обратить пристальное внимание на вопросы безопасности. Кроме того, когда пользователи осведомлены о проблемах, обычно повышенным спросом пользуются наиболее защищенные приложения.

Наши попытки понять, кому именно следует направлять сообщение о проблемах компьютерной безопасности, привели к созданию их классификации. Проблемы можно разделить на три основные категории в зависимости от того, в каких продуктах они обнаруживаются: узкоспециализированный (low-profile) продукт или служба; продукт или служба, рассчитанные на широкий круг пользователей (high profile); продукты или службы, работающие на различных платформах. Для каждой из этих трех категорий требуется отдельный подход. В этой главе были рассмотрены процедуры направления производителю сообщения о проблемах безопасности, а такжето, какие сведения следует в него включать. В числе прочего сообщение должно содержать дату и время обнаружения уязвимости, описание конфигурации ваших аппаратных средств и действий, при которых было обнаружено уязвимое место, а также контактную информацию.

Не существует единого мнения по поводу того, стоит ли включать в сообщение код, использующий уязвимость, но в некоторых случаях это, несомненно, имеет смысл. Иногда только таким способом можно привлечь внимание производителя к проблеме и заставить искать пути ее решения.

Сообщение о проблемах безопасности сопряжено с определенным риском, например судебного преследования со стороны производителя, а наличие в нем ошибок может негативно сказаться на вашей репутации.

Почему необходимо сообщать о проблемах безопасности

· Долг каждого – сообщать об уязвимостях, так как в противном случае их может обнаружить злоумышленник, который использует свое знание для атаки на чужие системы.

· Не стоит беспокоиться о том, что вам не хватит знаний и навыков для составления исчерпывающего сообщения об уязвимости. Многие будут готовы или помочь вам, или принять на себя выполнение этой задачи.

· Полное раскрытие означает публикацию всей имеющейся информации о проблеме, включая код, использующий уязвимость. Сторонники этой концепции полагают, что хакеры все равно получат информацию об уязвимости тем или иным способом, поэтому будет лучше, если обычные пользователи тоже узнают о проблемах безопасности и смогут принять необходимые меры.

Когда и кому направить сообщение

· Все обнаруживаемые уязвимости можно отнести к одной из трех основных категорий в зависимости от того, в каких продуктах они обнаруживаются: узкоспециализированный (low-profile) продукт или служба, продукт или служба, рассчитанные на широкий круг пользователей (high profile), или же продукты или службы, работающие на различных платформах. В качестве примеров можно привести приложение CD-Ex, почтовый сервис Hotmail и ядро операционной системы Linux соответственно.