Google saka, ka hakeriem ir pārāk viegli atrast jaunus drošības trūkumus

Lūiss Ngugi vietnē Unsplash

2018. gada decembrī Google pētnieki atklāja hakeru grupu, kas bija vērsta uz Microsoft Internet Explorer. Lai gan jaunā izstrāde tika slēgta divus gadus iepriekš, tā ir tik izplatīta pārlūkprogramma, ka, ja varat atrast veidu, kā to uzlauzt, jums ir potenciāli atvērtas durvis miljardiem datoru.

Hakeri meklēja un atrada iepriekš nezināmas nepilnības, kas pazīstamas kā nulles dienas ievainojamības.

Drīz pēc tam, kad viņi tika pamanīti, pētnieki pamanīja, ka viens izmantojums tiek izmantots savvaļā. Microsoft izdeva ielāpu un savā ziņā laboja trūkumu. 2019. gada septembrī tika atklāta cita līdzīga ievainojamība, ko izmantoja tā pati hakeru grupa.

Vairāki atklājumi 2019. gada novembrī, 2020. gada janvārī un 2020. gada aprīlī palielināja vismaz piecas nulles dienas ievainojamības, kas īsā laikā tika izmantotas no vienas un tās pašas kļūdu klases. Microsoft izdeva vairākus drošības atjauninājumus: dažiem neizdevās faktiski novērst ievainojamību, uz kuru tika vērsta mērķauditorija, savukārt citiem bija nepieciešamas tikai nelielas izmaiņas, kas prasīja tikai vienu vai divas rindiņas, lai mainītu hakera kodu, lai ļaunprātīga izmantošana atkal darbotos.

'Kad jūs saprotat vienu no šīm kļūdām, varat mainīt dažas rindiņas un turpināt strādāt nulles dienas.'

Šī sāga simbolizē daudz lielāku kiberdrošības problēmu, saskaņā ar jauno Google drošības pētnieka Madija Stouna pētījumu: hakeriem ir pārāk viegli turpināt izmantot mānīgas nulles dienas, jo uzņēmumi neveic labu darbu, lai pastāvīgi. novērst trūkumus un nepilnības.

Stouna, kas ir daļa no Google drošības komandas, kas pazīstama ar nosaukumu Project Zero, veiktais pētījums atklāj vairākus piemērus, kas liecina par to darbībā, tostarp problēmas, ko rada pati Google ir bijis ar savu populāro pārlūkprogrammu Chrome.

Tas, ko mēs redzējām, skar visu nozari: nepilnīgi ielāpi atvieglo uzbrucējiem izmantot lietotājus ar nulles dienām, otrdien drošības konferencē Enigma sacīja Stouns. Mēs nepieprasām, lai uzbrucēji nāktu klajā ar visām jaunajām kļūdu klasēm, izstrādātu pilnīgi jaunu ekspluatāciju, apskatītu kodu, kas nekad iepriekš nav pētīts. Mēs atļaujam atkārtoti izmantot daudzas dažādas ievainojamības, par kurām iepriekš zinājām.

Zemi nokareni augļi

Projekts Zero Google iekšienē darbojas kā unikāla un dažkārt strīdīga komanda, kas pilnībā ir veltīta mīklaino nulles dienas trūkumu meklēšanai. Šīs kļūdas iekāro visdažādākie hakeri, un tās ir augstāk novērtētas nekā jebkad agrāk — ne vienmēr tāpēc, ka tās kļūst grūtāk izstrādāt, bet gan tāpēc, ka mūsu hipersavienotajā pasaulē tās ir spēcīgākas.

Sešu gadu darbības laikā Google komanda ir publiski izsekojusi vairāk nekā 150 lielākās nulles dienas kļūdas, un 2020. gadā Stone’s komanda dokumentēja 24 nulles dienas, kas tika izmantotas — ceturtā daļa no tām bija ļoti līdzīga iepriekš atklātajām ievainojamībām. Trīs tika nepilnīgi izlaboti, kas nozīmēja, ka bija nepieciešami tikai daži hakera koda uzlabojumi, lai uzbrukums turpinātu darboties. Viņa saka, ka daudzi šādi uzbrukumi ir saistīti ar pamata kļūdām un zemu karāšanos.

Hakeriem tas nav grūti, sacīja Stouns. Kad esat sapratis vienu no šīm kļūdām, varat vienkārši mainīt dažas rindiņas un turpināt strādāt nulles dienas.

Kāpēc tie netiek laboti? Viņa ierosina, ka lielākajai daļai drošības komandu, kas strādā programmatūras uzņēmumos, ir ierobežots laiks un resursi, un, ja viņu prioritātes un stimuli ir kļūdaini, viņi tikai pārbauda, ​​vai ir novērsusi ļoti specifisko ievainojamību, nevis risina lielākās problēmas daudzu ievainojamību sakne.

Citi pētnieki apstiprina, ka tā ir izplatīta problēma.

Sliktākajā gadījumā dažas nulles dienas, ko atklāju, bija problēma, ka pārdevējs kaut ko laboja vienā koda rindiņā, un burtiski nākamajā koda rindā joprojām bija tāda paša veida ievainojamība, un viņi to nedarīja. Neuztraucieties to novērst, saka Džons Simpsons, kiberdrošības uzņēmuma Trend Micro ievainojamības pētnieks. Mēs visi varam runāt, līdz kļūstam zili, taču, ja organizācijām nav pareizās struktūras, lai darītu vairāk, nekā tikai labotu precīzo tām ziņoto kļūdu, jūs iegūstat tik plašu ielāpu kvalitātes diapazonu.

Liela daļa no tā mainīšanas ir saistīta ar laiku un naudu: dodot inženieriem vairāk vietas, lai izpētītu jaunas drošības ievainojamības, atrastu galveno cēloni un novērstu dziļākas problēmas, kas bieži rodas atsevišķās ievainojamībās. Viņi var arī pabeigt variantu analīzi, sacīja Stouns: meklējot vienu un to pašu ievainojamību dažādās vietās vai citas ievainojamības tajos pašos koda blokos.

D dažādi augļi vispār

Daži jau izmēģina dažādas pieejas. Piemēram, Apple ir izdevies novērst dažus no iPhone nopietnākajiem drošības riskiem, izskaužot ievainojamības dziļākā līmenī.

2019. gadā cita Google Project Zero pētniece Natālija Silvanoviča nokļuva ziņu virsrakstos, kad viņa prezentēts kritiskas nulles klikšķa, nulles dienas kļūdas Apple iMessage. Šīs nepilnības ļāva uzbrucējam pārņemt visu personas tālruni, neliekot upurim kaut ko darīt — pat ja jūs nenoklikšķinājāt uz saites, jūsu tālruni joprojām varētu kontrolēt hakeri. (2020. gada decembrī jauns pētījums atklāja a hakeru kampaņa pret žurnālistiem izmantojot citu nulles klikšķu nulles dienas uzbrukumu pret iMessage.)

Saistīts stāsts

NSO, Izraēlas miljardu dolāru vērtā spiegprogrammatūras giganta iekšienē Pasaulē bēdīgi slavenākais novērošanas uzņēmums saka, ka vēlas sakārtot savu rīcību. Turpiniet, mēs klausāmies.

Tā vietā, lai šauri tuvinātu konkrētajām ievainojamībām, uzņēmums iedziļinājās iMessage iekšienē, lai risinātu fundamentālās, strukturālās problēmas, kuras izmantoja hakeri. Lai gan Apple nekad neko nav teicis par šo izmaiņu konkrēto raksturu — tā tikai paziņoja par uzlabojumu kopumu ar savu iOS 14 programmatūras atjauninājumu — nesen projekta Zero pārstāvis Samuels Gross preparēts iOS un iMessage un secināja, kas bija noticis.

Lietojumprogramma tagad ir izolēta no pārējā tālruņa ar funkciju BlastDoor, kas rakstīta valodā ar nosaukumu Swift, kas hakeriem apgrūtina piekļuvi iMessage atmiņai.

Apple arī mainīja iOS arhitektūru, lai būtu grūtāk piekļūt tālruņa koplietotajai kešatmiņai, kas liecina par dažiem pēdējos gados visplašāk izmantotajiem iPhone uzlaušanas gadījumiem.

Visbeidzot, Apple bloķēja hakeriem iespēju atkal un atkal ātri pēc kārtas mēģināt veikt brutāla spēka uzbrukumus. Jaunas ierobežošanas funkcijas nozīmē, ka ekspluatācijas, kas agrāk varēja aizņemt minūtes, tagad var aizņemt stundas vai dienas, padarot tās daudz mazāk vilinošas hakeriem.

Ir lieliski redzēt, ka Apple atliek resursus šāda veida lieliem pārveidojumiem, lai uzlabotu galalietotāju drošību, rakstīja Groß. Šīs izmaiņas arī uzsver aizskaroša drošības darba vērtību: tika novērstas ne tikai atsevišķas kļūdas, bet gan tika veikti strukturāli uzlabojumi, pamatojoties uz ieskatiem, kas gūti ekspluatācijas izstrādes darbā.

Uzlaušanas sekas kļūst arvien lielākas, jo mēs kļūstam arvien ciešāki saistīti, un tas nozīmē, ka tehnoloģiju uzņēmumiem ir svarīgāk nekā jebkad agrāk ieguldīt un noteikt prioritātes nozīmīgās kiberdrošības problēmās, kas rada veselas ievainojamību un izmantošanu.

Padoms viņu augstākajiem darbiniekiem ir investēt, ieguldīt, ieguldīt, paskaidroja Stouns. Dodiet saviem inženieriem laiku pilnībā izpētīt ievainojamības pamatcēloņus un izlabot to, dodot viņiem rīcības brīvību veikt variantu analīzi, atalgot darbu tehniskā parāda samazināšanā, koncentrējoties uz sistēmiskiem labojumiem.

paslēpties