Auttaako turvallisuustutkimus todella hakkereita?

Kun tarina hajosi vuonna 2011, että tutkijat olivat muuttaneet tappavaa H5N1-virusta tarttuvammaksi ja halusivat julkaista havaintonsa, useimmat meistä olivat perustellusti huolestuneita. Vaikka virusta muunnettiin osana tutkimusta, jonka tarkoituksena oli auttaa selvittämään, mikä voisi auttaa vähentämään viruksen leviämistä ihmisissä, kriitikot eivät voineet kysyä: Mitä tapahtuisi, jos joku käyttäisi näitä tietoja tämän tappavan viruksen tuottamiseen ja levittämiseen?

Vaikka vastaava dynamiikka ei olekaan hengenvaarallinen, se on olemassa tietoturvan alalla. Turvallisuustutkijat, jotkut akateemiset ja jotkut amatöörit, etsivät puutteita turvajärjestelmissä, käyttöjärjestelmissä ja sovelluksissa. Kun he löytävät tällaisen puutteen, he yleensä julkistavat havaintonsa, usein mukana seuraavilla tiedoilla, miten virhe voidaan hyödyntää. Joissain tapauksissa nämä tiedot voivat todella auttaa pahantahtoisia hakkereita suunnittelemaan ja marssimaan hyökkäyksiään.

Valkoiset ja mustahatut

Hakkerit ryhmitellään yleensä kahteen perusluokkaan: mustat hatut ja valkoiset hatut. Mustahattu hakkerit ovat "pahoja poikia", jotka yrittävät tunnistaa tietoturva-aukkoja, jotta he voivat varastaa tietoja tai käynnistää hyökkäyksiä verkkosivustoille. Valkoisten hattujen hakkerit etsivät myös suojausheikkouksia, mutta he joko ilmoittavat siitä ohjelmistotoimittajalle tai julkistavat havaintonsa pakottaakseen myyjän käsittelemään haavoittuvuutta. Valkoisten hattujen hakkerit voivat vaihdella turvallisuustutkimusta tekevistä yliopisto-akateemikoista teini-ikäisiin amatööreihin, joita motivoi uteliaisuus ja halu pistää taitojaan ammattilaisten taitoihin nähden.

Kun turvallisuusvirhe julkistetaan valkoisten hattujen hakkeroinnilla, siihen liittyy usein konseptikoodi, joka osoittaa, miten virhe voidaan hyödyntää. Koska mustahattu- ja valkohattu-hakkerit ovat usein samoja verkkosivustoja ja lukevat samaa kirjallisuutta, mustahattu-hakkereilla on pääsy näihin tietoihin ennen kuin ohjelmistotoimittaja voi sulkea tietoturva-aukon. Tutkimukset ovat osoittaneet, että hakkerointihyökkäyksiä on usein saatavana 24 tunnin sisällä turvallisuusvirheen paljastamisesta.

Tarvitsetko apua PIN-koodin löytämisessä?

Toinen tietolähde on white hat -opiskelijoiden julkaisemat tietoturvatutkimuspaperit. Vaikka akateemiset lehdet ja tutkimuslehdet eivät todennäköisesti ole keskivertokäyttäjän makuisia, jotkut hakkerit (mukaan lukien potentiaalisesti vaaralliset Venäjällä ja Kiinassa) voivat sulauttaa ja käyttää hankalaa tutkimusmateriaalia.

Kaksi Cambridgen yliopiston tutkijaa julkaisi vuonna 2003 lehden, jossa hahmotellaan menetelmää henkilökohtaisten tunnuslukujen arvaamiseksi, mikä parantaisi huomattavasti brute force -tekniikkaa, jota käytettiin monissa hakkereissa. Tämä artikkeli sisälsi myös tietoja laitteistojen suojausmoduuleista (HSM), joita käytetään salattujen PIN-koodien luomiseen.

Israelin tutkijat julkaisivat vuonna 2006 lehden, jossa hahmotellaan erilaista hyökkäysmenetelmää, joka vaati sisäpiiriläisten apua. Pian sen jälkeen Edinburghin yliopiston turvallisuustutkija Graham Steel, joka julkaisi samana vuonna PIN-lohkojen hyökkäysten analyysin, alkoi saada venäläisiä sähköpostiviestejä, joissa kysyttiin, voiko hän antaa tietoja PIN-koodien murtamisesta.

Vuonna 2008 ryhmä hakkereita vastaan ​​nostettiin PIN-numeroiden lohkojen varastaminen ja salauksen purkaminen. Tuomioistuimeen jätetyssä vakuutuksessa väitettiin, että syytetyt hakkerit olivat saaneet "teknistä apua rikollisilta avustajilta salattujen PIN-numeroiden salaamisessa".

Voivatko nämä "rikolliset yhdistykset" käyttää olemassa olevaa akateemista tutkimusta auttaakseen suunnittelemaan menetelmiä salattujen PIN-koodien varastamiseksi ja salauksen purkamiseksi? Olisivatko he voineet saada tarvitsemansa tiedot ilman turvallisuustutkimusasiakirjojen apua? (Saat lisää hakkere temppuja, katso 7 salaista tapaa, jolla hakkerit voivat saada Facebook-salasanasi.)

Kuinka muuttaa omena tiiliksi

Apple-kannettavan tietokoneen akussa on sulautettu siru, jonka avulla se voi toimia yhdessä muiden komponenttien ja käyttöjärjestelmän kanssa. Vuonna 2011 Apple-tuotteisiin erikoistunut tietoturvatutkija Charlie Miller ihmetteli, millaista tuhoa hän voisi aiheuttaa, jos hän pääsee käsiksi akun siruun.

Pääsy osoittautui melko yksinkertaiseksi, koska Miller pystyi selvittämään oletussalasanan, joka asetti sirun täyteen käyttötilaan. Tämä antoi hänelle mahdollisuuden deaktivoida akku (jota joskus kutsutaan "tiivistämiseksi") luultavasti siksi, että tiilet on pari yhtä hyödyllinen tietokoneelle kuin tiili). Miller teoriassa, että hakkeri voisi käyttää myös täydellistä käyttötilaa haittaohjelmien sijoittamiseen akun sirulle.

Olisivatko hakkerit lopulta löytäneet tämän epäselvän heikkouden Apple-kannettavissa tietokoneissa ilman Millerin työtä? Vaikuttaa epätodennäköiseltä, mutta on aina mahdollista, että haittaohjelma hakija olisi saattanut myös kompastua siihen.

Myöhemmin vuonna Miller löysi virheen Applen iOS-käyttöjärjestelmässä iPadeille ja iPhoneille, jotka mahdollistivat hakkerin suorittaa haitallisen koodin. Sitten hän loi vahingollisen konseptikontrollisovelluksen osoittaakseen virheen ja sai sen hyväksymään Apple Store -kauppaan naamioimalla sen osakekauppiasovellukseksi.

Apple ei ollut huvittunut ja väitti, että Miller oli rikkonut Applen kehittäjäsopimuksen ehtoja. Apple erotti Millerin kehittäjäohjelmistaan.

Tarjoavatko hakkerit arvokasta palvelua?

Vaikka valkoisten hattujen hakkerit voivat tarjota tietoa, josta voi olla hyötyä haitallisille hakkereille, ne ovat myös arvokkaita ohjelmistotoimittajille. Esimerkiksi Charlie Miller oli hälyttänyt Applelle kymmenistä virheistä ennen hänen kehittäjänsä lisenssin voimassaolon päättymistä. Vaikka tietoturvaheikkoutta koskevien tietojen julkaiseminen voi väliaikaisesti altistaa järjestelmän hyökkäyksille, julkinen paljastaminen on todennäköisesti parempi kuin se, että pahantahtoinen hakkeri havaitsee haavoittuvuuden ja hyödyntää sitä tietämättä myyjälle.

Turvallisuusammattilaiset ovat jopa häpeällisesti tunnustaneet mustahattu-hakkereiden merkityksen. Mustahattu-yleissopimuksissa, kuten DEFCON, turvallisuustutkijat, tutkijat ja lainvalvontaviranomaiset sekoittavat hakkereita ja hakkereita kuuntelemaan hakkerointia koskevia esityksiä. Tietojenkäsittelytieteen akateemikot ovat saaneet arvokkaita näkemyksiä hakkereiden näkökulmasta ja ovat hyödyntäneet niitä opetussuunnitelmiensa parantamiseksi. Monet yritykset ovat myös palkanneet (oletettavasti) uudistettuja hakkereita tietoturvakonsultteiksi testaamaan verkkojaan ja järjestelmiään. (Lisätietoja hakkereista saat tarkistamalla 5 syytä, miksi sinun pitäisi olla kiitollinen hakkereista.)

Turvallisuustutkijoiden ja hakkereiden käynnissä oleva kaksintaistelu

Tarjoaako tietoturvatutkimus usein tahattomasti hyödyllistä tietoa hakkereille? Joo. Hakkereiden suorittama tutkimus tarjoaa kuitenkin hyödyllistä tietoa akateemikoille ja turvallisuusjärjestelmien suunnittelijoille. Internetin vapauden tarjoama hakkereiden ja turvallisuustutkijoiden luova mieli pysyy todennäköisesti lukittuneena sekä meneillään olevaan kaksintaisteluun että syventyvään keskinäiseen riippuvuuteen.