Évtizedek óta elavult az operációs rendszerek biztonsága

Ivan Krstic, a One Laptop Per Child (OLPC) projekt biztonsági főnöke tegnap beszédet tartott az Ausztráliában megrendezett AusCert 2007 konferencián. Ennek során azt boncolgatta, hogy miért elmaradottak a ma legismertebb desktop operációs rendszerek az IT-biztonság területén. Szerinte azért, mert egy 35 éves koncepción alapulnak, amely lehetővé teszi, hogy a szoftverek hasonló jogokkal futhassanak, mint amivel egy felhasználó rendelkezik. A szakember szerint rengeteg program van, ami képes leformázni a merevlemezt, kémkedni a felhasználó után (például annak tudta nélkül bekapcsolni mikrofonját, webkameráját), kémkedni a számítógép adatai között, és akár át is veheti az ellenőrzést a PC felett.

Példának az Aknakeresőt (Minesweeper) hozta fel Krstic. Ez az egyszerű logikai játék gyakorlatilag majdnem az összes Windows-ban megtalálható, lényege, hogy anélkül fedezzük fel egy kötött játéktéren a rejtett aknákat, hogy aktiválnánk („berobbantanánk”) ezeket. Mégis, az OLCP szakértője szerint a fenti fenyegetéseket még ez a program is magában hordozza: „Nem lenne helyes azt állítani, hogy az Aknakereső nem képes ezekre a dolgokra. Ez azt jelenti számomra, hogy valami nagyon rosszul alakult.” – mondta Krstic.

A probléma gyökere 1971-ig nyúlik vissza a férfi szerint. Ekkor jelent meg a Unix első változata, Ken Thompson és Dennis Ritchie jóvoltából. Ekkor még nem számított triviális veszélyforrásnak egy kód betöltése. A múlt század hetvenes éveinek elején a kódok csak úgy cserélhettek helyet, hogy szalagon elvitték az egyik számítógéptől a másikig. És habár már más a helyzet, Krstic szerint az elmúlt 35 évben még mindig ugyanazt a biztonsági környezetet feltételező alapokat használjuk, aki szerint a számítógép minden egyes website megtekintésekor futtat meg nem bízható kódot.