Znajdź zawartość

Grupa anonimowych specjalistów ds. bezpieczeństwa opublikowała szczegóły znalezionej przez siebie dziury. Zrobili to, jak mówią, w proteście przeciwko temu, jak Microsoft potraktował ich kolegę. Wspomniana luka znajduje się w systemach Windows Vista i Windows Server 2008. Pozwala na uzyskanie nieautoryzowanego dostępu do systemu oraz doprowadzenie do jego awarii. Microsoft, którego specjaliści badają wspomnianą dziurę, twierdzi, że nie jest ona groźna, gdyż do jej wykorzystania konieczny jest fizyczny dostęp do maszyny bądź tez wcześniejsze przejęcie nad nią kontroli za pomocą innej dziury. Z oceną Microsoftu zgadzają się eksperci Secunii, którzy nadal jej drugi najniższy stopień zagrożenia w swojej pięciostopniowej skali. Jednak w całym tym wydarzeniu najważniejsza nie jest dziura, a postawa anonimowych badaczy. Założyli oni grupę o nazwie Microsoft-Spurned Researcher Collective (MSRC), której skrót wyraźnie nawiązuje do Microsoft Security Response Center, wydziału odpowiedzialnego w Redmond za wykrywanie zagrożeń i przygotowywanie łat. Anonimowych badaczy, na razie jest ich sześciu, oburzył fakt, że Microsoft skrytykował Tavisa Ormandy'ego, który ujawnił informację o znalezionej przez siebie dziurze jeszcze przed jej załataniem. Działanie Ormandy'ego nie spodobało się też części ekspertów oraz prasie, a dodatkowa fala krytyki uderzyła w niego, gdy okazało się, że przestępcy, korzystając z jego informacji, zaatakowali ponad 10 000 komputerów. Członkom Microsoft-Spurned Researcher Collective szczególnie nie spodobał się fakt, iż zarówno Microsoft jak i prasa powiązały działania Ormandy'ego z faktem, że pracuje w Google'u. Dlatego też członkowie MSRC zapowiadają, że w czasie wolnym od swoich obowiązków zawodowych i bez związku z tym, gdzie są zatrudnieni, będą szukali luk w programach Microsoftu i mają zamiar ujawniać szczegóły na ich temat. Zachęcają też innych, by przyłączali się do ich grupy.

Zatrudniony w Google'u specjalista ds. bezpieczeństwa, Tavis Ormandy, został skrytykowany zarówno przez Microsoft jak i niezależnych badaczy za nieodpowiedzialne zachowanie i naruszenie zasad etyki zawodowej, które propaguje jego pracodawca. Ormandy'emu dostało się za to, że ujawnił lukę w mechanizmie whitelist Windows zaledwie w pięć dni po tym, jak poinformował o niej Microsoft. Koncern z Redmond nie miał zatem szans, by zbadać dziurę oraz przygotować i przetestować poprawki. Ormandy poinformował Microsoft w sobotę, a już w najbliższy czwartek opublikował szczegółowe informacje wraz z przygotowanym przez siebie prototypowym szkodliwym kodem. Ormandy broni się mówiąc, że gdyby nie opublikował szkodliwego kodu, jego informacje zostałaby zlekceważona. Dodaje też, że działał we własnym imieniu i Google nie ma z tym nic wspólnego. Microsoft obawia się, że działanie Ormandy'ego doprowadzi do rozpoczęcia szeroko zakrojonych ataków na użytkowników Windows. Wszystko wskazuje na to, że atak można przeprowadzić nie tylko za pomocą Internet Explorera, ale wszystkich najpopularniejszych przeglądarek. Microsoft opublikował dokument, w którym opisał sposób na ominięcie niebezpieczeństwa i pracuje nad łatą. Ormandy udostępnił prototypową łatę, jednak zdaniem Microsoftu nie działa ona należycie. Tymczasem Google'owskiego eksperta krytykują też jego koledzy po fachu. Robert Hansen, szef SecTheory napisał na blogu firmy Kaspersky, że nie jest rozsądne spodziewać się, by łata powstała w tak krótkim czasie. Google w przeszłości był najbardziej aktywnym propagatorem idei odpowiedzialnego ujawniania luk. Być może dla Google'a wszystko jest w porządku, ale dla innych specjalistów tak nie jest. Hipokryzja jest zadziwiająca - stwierdził Hansen. Wtóruje mu Andrew Storms, dyrektor ds. bezpieczeństwa w firmie nCircle. Przypomina on, że nie po raz pierwszy Ormandy zdecydowanie za wcześnie ujawnia szczegóły dziur w produktach Microsoftu. Tavis próbuje twierdzić, że jego działanie nie są działaniami jego pracodawcy, ale musi dziwić fakt, że w ten sposób chętnie dolewa oliwy do ognia, podsyca walkę pomiędzy Microsoftem i Google'em oraz rysuje negatywny obraz bezpieczeństwa produktów Microsoftu - stwierdza Storms. Rzecznik prasowy Google'a również próbuje odcinać się od akcji Ormandy'ego. Jednak trudno nie zauważyć, że działanie Ormandy'ego zbiega się z czasem z ogłoszeniem przez Google'a rezygnacji z systemu Windows. Wyszukiwarkowy koncern wspomniał przy tym o względach bezpieczeństwa, jednak eksperci nie wierzą w szczerość takiej motywacji. Nie wszyscy jednak potępiają Ormandy'ego tak zdecydowanie. H.D. Moore, twórca Metasploit, uważa, że najlepszym sposobem na zmuszenie producenta oprogramowania do szybkiej publikacji łaty jest wydanie prototypowego szkodliwego kodu. Ostrożny w potępianiu jest też Gordon Lyon, niezależny ekspert ds. bezpieczeństwa i były szef Computer Professionals for Social Responsability. Stwierdził on, że dzięki działaniu pracownika Google'a jego komputer jest bezpieczny, a wszyscy użytkownicy mogą zabezpieczyć się, sięgając po poradę Microsoftu i stosując zawarty w niej sposób na obejście luki.