Złośliwe oprogramowanie? Czy naprawdę istnieje? ;)

Czytaliście już newsa z niebezpiecznika o tym jak pewna 75‑nia staruszka odcięła od Internetu dwa kraje bo jej łopata przecięła strategiczny światłowód? Jeśli nie – to polecam ;)

Kluczem do komputerowego bezpieczeństwa jest człowiek a nie reguły firewalla, programy antywirusowe czy też silne, niesłownikowe hasła. Póki co, to nie komputery włamują się na konta bankowe, to nie maszyny wymyślają złośliwe algorytmy. To nie oprogramowanie jest złośliwe – tylko projektujący je ludzie. Dopóki nie uda nam się stworzyć sztucznej inteligencji, która okaże się z natury swojej (a nie jej projektanta) - złośliwa - używanie tego przymiotnika jako cechy programistycznego kodu nie jest poprawne.

Dziś przeczytałem na blogu webnulla, że zna On łatwą metodę zabezpieczenia komputera:

"Najłatwiej jest chyba przejść z Windowsa na jakiś system oparty o Linuksa który jest na pewno wiele razy bardziej bezpieczny".

W tym często powtarzanym przez Wyznawców Pingwina zdaniu sensu jest tyle samo co w memento pewnego byłego już wicepremiera, który każdą publiczną wypowiedź podsumowywał stwierdzeniem, że: "Balcerowicz musi odejść" bo wiedział, że jeśli pewne rzeczy powtarzane są bardzo często, to w końcu większość uzna je za prawdę bez wnikania w istotę sprawy.

Wiecie czym jest CanSecWest ? To odbywająca się co roku, począwszy od 2007, konferencja poświęcona bezpieczeństwu (ogólnie mówiąc: informatycznemu). A wiecie co to jest Pwn2Own ? To odbywające się w ramach tej konferencji zawody, które polegają na rywalizacji w komputerowych włamaniach (Pwn2Own od "przejmij i wygraj").

W takcie konferencji w 2008, uczestnicy Pwn2Own mogli próbować włamać się na trzy laptopy: MacBooka Air z Mac OS X, Fujitsu U810 z Windows Vistą oraz Sony VAIO VGN‑TZ37CN z Ubuntu Linux. Wszystkie systemy oczywiście były w 100% aktualne. Aby nie było za łatwo, stopień trudności malał wraz z czasem bo pierwszego dnia konferencji można się było włamywać wyłącznie zdalnie, przez sieć ethernet, drugiego dnia można już było usiąść przy komputerze i uruchamiać aplikacje dostarczone wraz z systemem natomiast ostatniego dnia można było także uruchamiać dodatkowe oprogramowanie. Wyniki? Pierwszego dnia nikomu nie udało się włamać zdalnie - przez sieć - do żadnego z laptopów. Drugiego dnia (czyli kiedy poprzeczka trudności została obniżona i uczestnicy mieli fizyczny dostęp do komputera i możliwość uruchamiana na nim aplikacji), już po kilku minutach ataku poległ laptop z Mac OS X. Do udanego ataku wykorzystano lukę w przeglądarce Safari (nawiasem mówiąc atakującym był ekspert od bezpieczeństwa, który wcześniej pracował dla NSA). Do laptopów z Windows i Ubuntu nie udało się włamać nikomu. Trzeciego dnia, po 7‑u godzinach grupie trzech pracujących razem specjalistów udało się włamać do Visty poprzez dziurę w zainstalowanej aplikacji Adobe Flash (pamiętajmy, że tego dnia znowu obniżono poprzeczkę pozwalając na uruchamianie i atakowanie aplikacji dodatkowych – nie systemowych). Do laptopa z zainstalowanym Ubuntu nikomu nie udało się włamać.

Niektórzy, nie wysilając się za bardzo, idą na myślowe skróty i wyciągają z powyższego wniosek, że Linux jest najbezpieczniejszym systemem, na który nie można się włamać. Inni mają jednak świadomość, że sedno problemów bezpieczeństwa już dawna nie leży w samym systemie...