Connect with us

technokrata

Vásároljunk szoftverhibát az Interneten!

Dotkom

Vásároljunk szoftverhibát az Interneten!

Kis anyagi befektetetéssel bárkiből lehet rosszfiú a cybertérben.

Több mint öt évvel ezelőtt, a Windows XP 2001 őszén való megjelenésekor a szoftveres biztonsági réseket a hackerek a dicsőségért és a hírnévért kutatták fel – nem pedig anyagi előnyökért. A sérülékenységek azonban komoly pénzt érnek; főleg, ha még ismeretlenek az IT-biztonsággal foglalkozó szakértők, vagy az adott szoftvert fejlesztő cégek, használó internetezők előtt. Ugyanúgy megvan a feketepiaci értékük, mint az ellopott hitelkártya számoknak és a spammelhető e-mailcímeket tartalmazó adatbázisoknak.

Érdekes, hogy a sebezhetőségekkel való kereskedést mindkét oldal fontosnak tartja. A legitim biztonsági cégek azért folytatják ezt a gyakorlatot, mert szolgáltatást biztosítanak a maguk hálózatát, szoftvereit, rendszereit megvédeni kívánó ügyfeleik számára (nem mellesleg ezáltal meg tudják fizetni a kutatásokkal foglalkozó alkalmazottjaikat). A „gonosz” hackerek és tolvajok pedig a már fent ismertetett okokból kifolyólag bizniszelnek.

Mostanában mindkét csoport célkeresztjében új célpont jelent meg: a Windows Vista. Az Idefense Labs közlése szerint a múlt hónapban 8 ezer dollárt kínáltak fel az első hat kutatónak, hogy találjanak biztonsági réseket a Microsoft operációs rendszerében, illetve további 4 ezer dollárt ajánlottak az exploitért, azaz a hibák kihasználásához szükséges leírások átadásáért. Az Idefense ezeket az információkat azon cégek és kormányzati ügynökségek számára értékesíti tovább, melyek már éltek a lehetőséggel és futtatják a Vistát számítógépe rendszereiken. Ezen ismeretek birtokában nagyobb védelemben lehet részük az online fenyegetésekkel szemben.

A Microsoft, és a többi, hasonlóan szoftverfejlesztőként tevékenykedő IT-cég nem igazán örül ennek a legalitás határán mozgó piacnak. Az alkalmazáskészítő vállalatok hagyományosan arra kérik az IT-biztonsággal foglalkozó kutatókat, hogy őket értesítsék először, ha sebezhetőségre bukkannak, mert ebben az esetben tudnak a leghamarabb reagálni, elkészíteni a szükséges patch-eket. A kutatók (illetve az őket alkalmazó cégek) azonban egyre inkább úgy gondolják, hogy munkájuk sokkal többet ér, mintsem hogy ingyen megosszák a tudást, legyen szó akár magáról a gyártóról is. Ez végülis megérthető: az ilyen jellegű munkát csak magasan képzett szakemberek tudják elvégezni, akik viszont sokba kerülnek – a köszönömre átadott adatokkal pedig nem lehet kifizetni őket.

Az illegális piac
Akad azonban nagyobb problémájuk is a szoftverfejlesztőknek: a cyberbűnözők. Ezek az online csoportok a fentieknél sokkal nagyobb összegeket hajlandók kifizetni egy friss, még senki által nem ismert biztonsági rés leírásáért, mellyel sokkal könnyebben indíthatnak támadást az internetezőkkel szemben, mint egy becsapós e-mailben terjedő féreg vagy trójai révén.

Erre példát a japán Trend Micro szolgáltatott: a vállalat közlése szerint a múlt év decemberében egy román weboldalon akadtak rá egy olyan hirdetésre, mely 50 ezer dollárt kért egy Windows Vista hiba leírásának átadásáért. Szakértők szerint ez teljesen reális ár; ekkora összeg nem is mondható nagyon ritkának az alvilág berkeiben. Elsősorban az úgynevezett nulladik napi (zero-day) exploitok esetén kérnek ennyit az információért – és ne higgyük, hogy nincsen rá kereslet.

Az ilyen hibákra alapuló támadásokkal szemben pedig jóval védtelenebb a hétköznapi felhasználó – nem véletlenül kell tehát tűzfalat használni internetezés közben, és figyelmet fordítani arra, hogy hova kattintunk…



Szólj hozzá!

További Dotkom

Technokrata a Face-en

Tesztek