margin-top: 125px; border: 1px solid gray; } -->

Největším kupcem exploitů není černý trh, ale americká vláda, výsledek je ovšem podobný

Karel Michal , 14. květen 2013 10:00 2 komentářů
Největším kupcem exploitů není černý trh, ale americká vláda, výsledek je ovšem podobný

Vláda spojených států je údajně největším zákazníkem, pokud se jedná o informace o exploitech a chybách v komerčně užívaném software a obecně informací o překonávání počítačových ochran. S touto překvapující informací přišla nedávno ve své rozsáhlé analýze tisková agentura Reuters.

Hlavním předmětem nákupu jsou podle zdrojů agentury, což jsou především známé renomované bezpečnostní společnosti, 0-day zranitelnosti a exploity, které jsou známé zatím pouze mezi hackerskou komunitou.

Prosil bych kilo backdoorů a deset deka támhle těch 0-day zranitelností

Jak je takový obchod vlastně realizován? Americká vláda k nákupu využívá svých tajných služeb, nebo lehce transparentnější cestou přes dodavatele ministerstva obrany. Ohromující je částka, která na podobné výdaje jde, jedná se o desítky milionů dolarů a to přitom nakupuje pouze zlomek nabízeného zboží, nejedná se totiž o strategii prevence. Vláda nenakupuje nebezpečné zranitelnosti kvůli tomu, aby je mohla využít k ochraně sítí, ale ke kybernetickým útokům.

Reuters tvrdí, že průměrná cena za 0-day zranitelnost, se pohybuje okolo 50 tisíc dolarů, nejhodnotnější jsou prý zranitelnosti pro iOS, že je cena až pětinásobná. Například za velmi populární exploitů internet browserů jako je Internet Explorer či Google Chrome, zde se cena pohybuje od 80 do 200 tisíc USD. Ceny pro Firefox začínají na 60 tisících, tedy na podobné částce jaké se vyplácejí za exploity pro Windows.

Kontroverzní strategie

Většina bezpečnostních expertů, které tisková agentura oslovila, se shodují v tom, že na samotném nákupu není nic špatného, jednoznačně ale odsuzují útočné využití chyb. Situace je o to problematičtější, že se jedná o peníze amerických daňových poplatníků. Když už byly prostředky za podobným účelem vynaloženy, měly by být použity zejména na ochranu a lepší zabezpečení amerických počítačových sítí.

Potíž je v tom, že často v době nákupu exkluzivní informace j v krátkém časovém horizontu objevena také dalšími bezpečnostními experty a může dojít k jejímu zneužití třetí stranou, nebo jednoduše k tomu, že o chybě bude vědět cíl útoku a může tak USA jako útočníka snadno identifikovat.

Abychom nemluvili pouze abstraktně, k takovému případu již několikráte skutečně došlo, stačí si vzpomenout například na kauzu trojského koně DUQU, který měl sloužit jako pomůcka k napadání kritické iránské infrastruktury. Duqu instaloval program pro snímání úderů kláves a získával tak citlivé informace z nakažených počítačů. Trojan se skládal z instalačního souboru, ovladače, knihovny DLL a konfigurátoru a maskoval se jako legitimní kód podepsaný platným digitálním certifikátem. Ten původně používala jedna tchajwanská firma, která jej po zjištění zneužití zneplatnila 14. října 2012.

Potíž s koněm je v tom, že informace, na které dlouho seděla americká rozvědka, byla nakonec zneužita jinými objeviteli a využit k útokům proti cílům v samotné USA. Bezpečnostní společnosti na to přišly tehdy, když se jim podařilo po masivním rozšíření koně detekovat a rozlišit původní kód Duqu a celou řadu jeho variant, přinejmenším jedna verze přitom kolovala stejnou dobu paralelně s původním koněm.

Útoky s pomocí Duqu a jeho variant začaly již v prosinci minulého roku. Na základě zjištění kompilačních časů to zjistila společnost Symantec.

Nevidím zlo, neslyším zlo, …

Samotné Spojené státy k celé záležitosti zarytě mlčí, nejsou v situaci, kdy by si chtěly digitální ofenzivu obhajovat, důkazů proti nim ale existuje poměrně dost. Počátkem léta loňského roku deník
The New York Times zveřejnil přesvědčivé důkazy o vývoji duchovního předchůdce Duqu – sofistikovaného červa jménem Stuxnet. Červ, který vláda USA vyvíjela ve spolupráci s Izraelem, napadal íránské SCADA systémy pro řízení řídících centrifug v továrnách na obohacování uranu a snažil se centrifugy předčasně opotřebovat jejich roztáčením do nebezpečných otáček.

O tom, že se jedná pouze o špičku ledovce, svědčí loňský článek z Forbesu, který popisuje proces transakce, během které dodavatel vlády USA koupil exploitů v bezpečnostní chybě v operačním systému iOS 250 tisíc dolarů.

Nebezpečí zde spočívá hlavně v tom, že podobné komerční částky za exploity mnohonásobně přesahují množství peněz, které jsou ochotni za odhalené chyby vyplácet bezpečnostní společnosti, nebo tvůrci software.


Komentáře

dizz. #1
dizz. 14. květen 2013 12:25

"Vláda nenakupuje nebezpečné zranitelnosti kvůli tomu, aby je mohla využít ke kybernetickým útokům. "
A to mate duveryhodne potvrzene nebo je to jen domenka?
Ne, ze bych byl nejaky anti-usa fanatik ale prijde mi takoveto tvrzeni smesne.

Karel Wolf 14. květen 2013 17:15

Důkazem jsou třeba uvedené (starší) škodlivé kódy Stuxnet a Duqu, oba byly útočným způsobem použity. Více jsme ovšem tezi neověřovali, jde de facto o parafrázi původního zdroje: „U.S. intelligence and military agencies aren't buying the tools primarily to fend off attacks. Rather, they are using the tools to infiltrate computer networks overseas, leaving behind spy programs and cyber-weapons that can disrupt data or damage systems.“


RSS 

Komentujeme

Chatbot mluví za mrtvého – od nápadu k realizaci

Pavel Houser , 30. listopad 2016 13:00
Pavel Houser

Na webu The Verge popsala Casey Newton příběh dvou přátel (Eugenia Kuyda a Roman Mazurenko). Peripet...

Více





Kalendář

20. 03.

24. 03.
CeBIT 2017
RSS 

Zprávičky

Nový zákon o výzkumu chystá "blacklist" příjemců i ministerstvo

ČTK , 09. prosinec 2016 16:31

Velké změny ve fungování Grantové a Technologické agentury, novou vědeckou radu ČR i takzvaný "black...

Více 0 komentářů

Fitbit koupil průkopníka chytrých hodinek Pebble

ČTK , 09. prosinec 2016 15:00

Americký výrobce chytrých náramků a hodinek Fitbit koupil software, patenty a další aktiva duševního...

Více 0 komentářů

Američané možná umožní v letadlech telefonování přes wi-fi

ČTK , 09. prosinec 2016 13:00

Aerolinky ve Spojených státech by v budoucnu mohly umožňovat telefonování v letadle s použitím wi-fi...

Více 2 komentářů

Starší zprávičky

Česká pošta od ledna zdraží posílání do zahraničí o pět až 20 Kč

ČTK , 09. prosinec 2016 11:39

Česká pošta od ledna zvýší ceny za posílání listovních zásilek do zahraničí o pět korun, balíky podr...

Více 0 komentářů

Za vzněcováním smartphonu iPhone 6 jsou vnější vlivy, tvrdí Apple

ČTK , 08. prosinec 2016 11:30

Firma Apple odmítla podezření čínských uživatelů svého chytrého telefonu iPhone 6, že za problémy s ...

Více 0 komentářů

Verizon prodá firmě Equinix datová centra za 3,6 miliardy USD

ČTK , 08. prosinec 2016 10:00

Největší americký mobilní operátor Verizon Communications prodá specializované společnosti Equinix 2...

Více 0 komentářů

Tchajwanský Foxconn jedná o rozšíření svých aktivit v USA

ČTK , 07. prosinec 2016 15:00

Tchajwanská společnost Foxconn jedná o rozšíření svých aktivit ve Spojených státech. Oznámila to dne...

Více 0 komentářů