Коллектив авторов - Защита от хакеров корпоративных сетей
Ошибки в сообщениях
Что может случиться, если в сообщении окажутся ошибки? Иногда недостаток времени или ресурсов для тщательного исследования проблемы заставляет делать необоснованные обобщения. Обычно специалисты в области компьютерной безопасности замечают ошибки такого типа, поправляют автора и дополняют его сообщение.
Но предположим, что была сделана серьезная ошибка, и, следовательно, сообщение о проблеме совершенно не соответствует действительности. Однако оно способно вызвать панику среди пользователей соответствующих продукта или службы. В результате вы, а возможно, и фирма, в которой вы работаете, приобретете недобрую славу, а ваши будущие сообщения о проблемах безопасности будут восприниматься скептически. Следовательно, прежде чем обнародовать любые сведения об уязвимости, нужно дважды или даже трижды проверить полученные результаты и убедиться, что ваша информация в высшей степени точна.
Общественное значение
Как уже упоминалось, обнародование информации о проблемах безопасности не только позволяет обычным пользователям вовремя позаботиться о средствах защиты, но и дает оружие тем, кто может применить полученные сведения в преступных целях. Впрочем, несложно догадаться, что сохранение подобной информации в секрете вовсе не является гарантией того, что хакеры никогда не обнаружат уязвимое место.
История показала, что концепция полного раскрытия приносит пользу тем, кто следит за последними новостями в этой области, и вредит тем, кто не обращает особого внимания на безопасность своей системы. По большому счету, публикация как можно более полных сведений об уязвимостях выгодна всем, так как производители получают стимул постоянно проверять и повышать надежность своих программных продуктов и служб. Кроме того, при этом создается атмосфера открытости, позволяющая быстро обсудить проблему и найти путь ее решения, а пользователи получают возможность узнать больше о компьютерной безопасности.
Резюме
Когда вы сталкиваетесь с необходимостью сообщить о найденной уязвимости, вам приходится решать множество сложных вопросов. Например, нужно решить, стоит ли делать проблемы безопасности достоянием широкой публики или же достаточно сообщить о них производителю. Что же касается вопроса, стоит ли вообще кого-либо информировать об обнаруженном изъяне, ответ на него вполне однозначен. Долг каждого – донести эти сведения до специалистов в области компьютерной безопасности раньше, чем уязвимое место обнаружат хакеры. Даже если вы не способны на полное исследование уязвимости, по крайней мере следует сообщить о ее существовании.
Концепция полного раскрытия предполагает, что обнародованию подлежат все детали уязвимости. Разумеется, таким способом хакеры получают полную информацию о слабых местах систем, но это также вынуждает производителя быстро выпустить исправленную версию и обратить пристальное внимание на вопросы безопасности. Кроме того, когда пользователи осведомлены о проблемах, обычно повышенным спросом пользуются наиболее защищенные приложения.
Наши попытки понять, кому именно следует направлять сообщение о проблемах компьютерной безопасности, привели к созданию их классификации. Проблемы можно разделить на три основные категории в зависимости от того, в каких продуктах они обнаруживаются: узкоспециализированный (low-profile) продукт или служба; продукт или служба, рассчитанные на широкий круг пользователей (high profile); продукты или службы, работающие на различных платформах. Для каждой из этих трех категорий требуется отдельный подход. В этой главе были рассмотрены процедуры направления производителю сообщения о проблемах безопасности, а такжето, какие сведения следует в него включать. В числе прочего сообщение должно содержать дату и время обнаружения уязвимости, описание конфигурации ваших аппаратных средств и действий, при которых было обнаружено уязвимое место, а также контактную информацию.
Не существует единого мнения по поводу того, стоит ли включать в сообщение код, использующий уязвимость, но в некоторых случаях это, несомненно, имеет смысл. Иногда только таким способом можно привлечь внимание производителя к проблеме и заставить искать пути ее решения.
Сообщение о проблемах безопасности сопряжено с определенным риском, например судебного преследования со стороны производителя, а наличие в нем ошибок может негативно сказаться на вашей репутации.
Конспект
Почему необходимо сообщать о проблемах безопасности
· Долг каждого – сообщать об уязвимостях, так как в противном случае их может обнаружить злоумышленник, который использует свое знание для атаки на чужие системы.
· Не стоит беспокоиться о том, что вам не хватит знаний и навыков для составления исчерпывающего сообщения об уязвимости. Многие будут готовы или помочь вам, или принять на себя выполнение этой задачи.
· Полное раскрытие означает публикацию всей имеющейся информации о проблеме, включая код, использующий уязвимость. Сторонники этой концепции полагают, что хакеры все равно получат информацию об уязвимости тем или иным способом, поэтому будет лучше, если обычные пользователи тоже узнают о проблемах безопасности и смогут принять необходимые меры.
Когда и кому направить сообщение
· Все обнаруживаемые уязвимости можно отнести к одной из трех основных категорий в зависимости от того, в каких продуктах они обнаруживаются: узкоспециализированный (low-profile) продукт или служба, продукт или служба, рассчитанные на широкий круг пользователей (high profile), или же продукты или службы, работающие на различных платформах. В качестве примеров можно привести приложение CD-Ex, почтовый сервис Hotmail и ядро операционной системы Linux соответственно.
· Каждая из этих категорий требует специального подхода к составлению сообщения об уязвимости, соответственно влиянию последней на ресурсы пользователя.
· Сообщение, направляемое производителю, должно содержать как можно более полную информацию. Недостаток сведений затрудняет процесс устранения уязвимости, а в некоторых случаях производитель даже не станет этим заниматься.
Какие подробности следует опубликовать
· Стоит тщательно оценить ситуацию, прежде чем включать в сообщение об уязвимости использующий ее код. Впрочем, в некоторых случаях лишь его обнародование способно заставить производителя признать существование проблемы.
· Сообщение о проблемах безопасности связано с определенным риском, который нужно осознавать. Можно столкнуться с судебным преследованием со стороны производителя. Можно также вызвать панику в рядах обычных пользователей.
· Следует быть особо осторожным при обнародовании способов обхода механизма защиты авторского права, так как в настоящее время эти вопросы не урегулированы окончательно законом.
Часто задаваемые вопросы
Вопрос: Как убедиться, что безопасность моей системы соответствует современным стандартам?
Ответ: Лучше всего подписаться на рассылку Buqtraq, отправив пустое сообщение по адресу [email protected] После подтверждения подписки вы начнете получать сообщения.
Информацию о проблемах безопасности операционной системы Windows можно получить в рассылке NTBugtraq. Чтобы подписаться на нее, отправьте сообщение по адресу [email protected] В теле письма должна быть помещена фраза «SUBSCRIBE ntbugtraq Firstname Lastname», где в поле Firstname указывается ваше имя, а в поле Lastname – ваша фамилия.
Вопрос: Как понять, вызвано ли уязвимостью обнаруженное отклонение от обычной работы системы, если у меня нет времени на проведение детальных исследований? Ответ: Сообщение о неисследованной или сомнительной уязвимости можно отправить в рассылку vuln-dev по адресу [email protected] Она создана специально для сообщений о потенциальных проблемах безопасности от пользователей, не имеющих времени, желания или навыков самостоятельно исследовать дефект. Для подписки на эту рассылку нужно отправить пустое сообщение по адресу [email protected] Затем требуется подтвердить свою подписку. Следует помнить, что, отправляя письмо о потенциальной или неисследованной уязвимости, вы делаете эту информацию достоянием широкой публики.
Вопрос: В процессе проверки моей системы на наличие недавно обнаруженной уязвимости оказалось, что проблема гораздо глубже, чем описано в сообщении. Стоит ли публиковать новую информацию? Ответ: Вероятнее всего, делать этого не стоит. В подобных случаях лучше связаться с автором сообщения и сравнить ваши результаты. Чтобы не умножать число источников информации об одной и той же уязвимости, можно попросить автора внести в свое сообщение дополнения и исправления (разумеется, упомянув про ваш вклад). Если же исходное сообщение было анонимным, имеет смысл опубликовать всю информацию еще раз, дополнив ее новыми сведениями.
