Archiv

Profant: řešení je Otevřená bezpečnost

20. 07. 2015
Sdílet na Facebooku Tweet

V minulých dnech proběhla médii šokující zpráva. Firma Hacking team, která hackovala mimojiné pro vlády, byla sama hacknuta. Pojďme se podívat, jaké nám z toho plyne ponaučení. V textu se záměrně zabývám pouze technickými aspekty věci.

password_hand_silhoutte_reuters.jpg

Žádný systém není dokonale bezpečný. To je nerozporovatelný fakt, snaha vyvrátit ho je marná. Co však již hlídat jde je Single point of failure (tedy jediná část produktu, která v případě selhání zlikviduje celý produkt). A to je nejvíce šokující část celé zprávy. Tímto útokem byly údajně znehodnoceny produkty které Hacking team prodával. Firma sama požádala zákazníky, aby je přestali používat.1

Říkáte si: "To snad není možné, kde se stala chyba?" Já také. Problém je, že se důsledně nerozlišují služby a software.

Software by měl být nezávislý, neměl by se spoléhat na Security through obscurity a klíčové věci musí mít konfigurovatelné. V softwaru nelze tolerovat chyby. Pokud se nějaké objeví, tak je třeba je odstranit, nikoliv nesystémově zalátat.

Zatímco služba by měla ulehčovat běžný úkon. (konfigurace, provoz, dohled, ...). Bohužel v komerčním světe se tyto zásady mnohdy nedodržují. Firmy si vypomáhají tím, že nedostatky v jedné oblasti nahradí hotfixem v oblasti druhé.2 Navíc firmy jsou pochopitelně motivovány ziskem. A úměra s kvalitou je často jen velmi iluzorní. Proto v softwaru ponechávají zadní vrátka (backdoor), používají centralizované řešení, a tím pádem, když padne centrální bod služby (typicky privátní klíče dané společnosti), jsou kompromitováni všichni.

Opačným příkladem je bitcoin (decentralizovaná kyberměna). Od vzniku čelil mnoha "skandálům". Avšak ty se vyznačují jedním společným bodem: nikdy nebyl narušen samotný software (tedy samotná měna). Vždy byly kompromitovány jednotlivé služby či jedinci. Pokud uživatel decentralizoval své portfolium, či si úspory držel u sebe, tak v ohrožení nebyl.

Z toho plyne ponaučení:

  • Nikdy nevěřte Security through obscurity. To neplatí jen pro návrh software, ale i pro bezpečnostní pravidla a jejich používání v praxi.

  • Nevěřte silně centralizovaným řešením.

  • Neberte velikost firmy jako věrohodnou referenci. Jedině kvalitní architektura podložena kvalitní teorii (např. asymetrická kryptografie) je zárukou kvality (i když samozřejmě ne stoprocentní).

  • Pokud někdo vyvíjí něco, co už existuje, tak musí mít dobrý konkrétní důvod. Anebo se jen přiznává, že neumí používat univerzální řešení. Ne náhodou např. Google, Facebook, Github a mnoho dalších staví na opensource řešeních, kde mění jen to, co jim přímo nevyhovuje.

  • Obchoďák se vám vždy snaží prodat produkt bez ohledu na kvalitu. Spoléhejte na rady nezávislých odborníků3 a pěstujte si vlastní kvalitní lidi.

Samozřejmě tyto zásady nejsou nijak objevné. Kdokoliv, kdo se v dané oblasti pohybuje, by je měl brát jako samozřejmost. Bohužel se tak neděje. Tyto myšlenky jsem prezentoval na konferenci Cybersecurity 2014, ale má přednáška se nesetkala s příliš velkým ohlasem. Snad se svět IT poučí a začne preferovat dobrá řešení před dobrým marketingem.

Zdroje


  1. Hacking Team Asks Customers to Stop Using Its Software After Hack

  2. Máte chybu v software? Nevadí, vyřešíme to na serveru. A po migraci na jiný si necháme opravu zaplatit znova!

  3. Jak sehnat nezávislého obchodníka vám již bohužel neporadím. To je samozřejmě velmi těžké.

Sdílet na Facebooku Tweet

Autor: Ondřej Profant

Štítky: #bezpečnost #hacking #Ondřej Profant #opensource #svobodný software

Související články

Facebook Pirátské listy Twitter Pirátské listy Redakce Pirátských listů Česká pirátská strana
Redakce | Kontakt | Piráti | Facebook | Twitter | RSS články | RSS aktuality

Copyleft Pirátské listy. Publikování nebo další šíření obsahu serveru Pirátské listy je umožněno i bez písemného souhlasu. Všechna práva vyhlazena.