Profant: řešení je Otevřená bezpečnost

Žádný systém není dokonale bezpečný. To je nerozporovatelný fakt, snaha vyvrátit ho je marná. Co však již hlídat jde je Single point of failure (tedy jediná část produktu, která v případě selhání zlikviduje celý produkt). A to je nejvíce šokující část celé zprávy. Tímto útokem byly údajně znehodnoceny produkty které Hacking team prodával. Firma sama požádala zákazníky, aby je přestali používat.¹

Říkáte si: "To snad není možné, kde se stala chyba?" Já také. Problém je, že se důsledně nerozlišují služby a software.

Software by měl být nezávislý, neměl by se spoléhat na Security through obscurity a klíčové věci musí mít konfigurovatelné. V softwaru nelze tolerovat chyby. Pokud se nějaké objeví, tak je třeba je odstranit, nikoliv nesystémově zalátat.

Zatímco služba by měla ulehčovat běžný úkon. (konfigurace, provoz, dohled, ...). Bohužel v komerčním světe se tyto zásady mnohdy nedodržují. Firmy si vypomáhají tím, že nedostatky v jedné oblasti nahradí hotfixem v oblasti druhé.² Navíc firmy jsou pochopitelně motivovány ziskem. A úměra s kvalitou je často jen velmi iluzorní. Proto v softwaru ponechávají zadní vrátka (backdoor), používají centralizované řešení, a tím pádem, když padne centrální bod služby (typicky privátní klíče dané společnosti), jsou kompromitováni všichni.

Opačným příkladem je bitcoin (decentralizovaná kyberměna). Od vzniku čelil mnoha "skandálům". Avšak ty se vyznačují jedním společným bodem: nikdy nebyl narušen samotný software (tedy samotná měna). Vždy byly kompromitovány jednotlivé služby či jedinci. Pokud uživatel decentralizoval své portfolium, či si úspory držel u sebe, tak v ohrožení nebyl.

Z toho plyne ponaučení:

• Nikdy nevěřte Security through obscurity. To neplatí jen pro návrh software, ale i pro bezpečnostní pravidla a jejich používání v praxi.

• Nevěřte silně centralizovaným řešením.

• Neberte velikost firmy jako věrohodnou referenci. Jedině kvalitní architektura podložena kvalitní teorii (např. asymetrická kryptografie) je zárukou kvality (i když samozřejmě ne stoprocentní).

• Pokud někdo vyvíjí něco, co už existuje, tak musí mít dobrý konkrétní důvod. Anebo se jen přiznává, že neumí používat univerzální řešení. Ne náhodou např. Google, Facebook, Github a mnoho dalších staví na opensource řešeních, kde mění jen to, co jim přímo nevyhovuje.

• Obchoďák se vám vždy snaží prodat produkt bez ohledu na kvalitu. Spoléhejte na rady nezávislých odborníků³ a pěstujte si vlastní kvalitní lidi.

Samozřejmě tyto zásady nejsou nijak objevné. Kdokoliv, kdo se v dané oblasti pohybuje, by je měl brát jako samozřejmost. Bohužel se tak neděje. Tyto myšlenky jsem prezentoval na konferenci Cybersecurity 2014, ale má přednáška se nesetkala s příliš velkým ohlasem. Snad se svět IT poučí a začne preferovat dobrá řešení před dobrým marketingem.

Zdroje

• Hack společnosti Hacking Team: na seznamu klientů je i česká policie
• Policie ČR: Šmírovací software jsme koupili, ale vše je tajné, nic neřekneme
• Hrozba je vážná, přiznal Hacking Team, který neuhlídal šmírovací software
• Policie mohla díky programu šmírovat každého, říká hacker

Autor: Ondřej Profant

Štítky: #bezpečnost #hacking #Ondřej Profant #opensource #svobodný software

Související články

• Stopli jsme obří IT zakázku na Praze 10. Co přijde dál?

• Je open source opravdu bezpečný?

• Kopírování pro osobní potřebu je v Anglii opět zakázané