margin-top: 125px; border: 1px solid gray; } -->

Největším kupcem exploitů není černý trh, ale americká vláda, výsledek je ovšem podobný

Karel Michal , 14. květen 2013 10:00 2 komentářů
Největším kupcem exploitů není černý trh, ale americká vláda, výsledek je ovšem podobný

Vláda spojených států je údajně největším zákazníkem, pokud se jedná o informace o exploitech a chybách v komerčně užívaném software a obecně informací o překonávání počítačových ochran. S touto překvapující informací přišla nedávno ve své rozsáhlé analýze tisková agentura Reuters.

Hlavním předmětem nákupu jsou podle zdrojů agentury, což jsou především známé renomované bezpečnostní společnosti, 0-day zranitelnosti a exploity, které jsou známé zatím pouze mezi hackerskou komunitou.

Prosil bych kilo backdoorů a deset deka támhle těch 0-day zranitelností

Jak je takový obchod vlastně realizován? Americká vláda k nákupu využívá svých tajných služeb, nebo lehce transparentnější cestou přes dodavatele ministerstva obrany. Ohromující je částka, která na podobné výdaje jde, jedná se o desítky milionů dolarů a to přitom nakupuje pouze zlomek nabízeného zboží, nejedná se totiž o strategii prevence. Vláda nenakupuje nebezpečné zranitelnosti kvůli tomu, aby je mohla využít k ochraně sítí, ale ke kybernetickým útokům.

Reuters tvrdí, že průměrná cena za 0-day zranitelnost, se pohybuje okolo 50 tisíc dolarů, nejhodnotnější jsou prý zranitelnosti pro iOS, že je cena až pětinásobná. Například za velmi populární exploitů internet browserů jako je Internet Explorer či Google Chrome, zde se cena pohybuje od 80 do 200 tisíc USD. Ceny pro Firefox začínají na 60 tisících, tedy na podobné částce jaké se vyplácejí za exploity pro Windows.

Kontroverzní strategie

Většina bezpečnostních expertů, které tisková agentura oslovila, se shodují v tom, že na samotném nákupu není nic špatného, jednoznačně ale odsuzují útočné využití chyb. Situace je o to problematičtější, že se jedná o peníze amerických daňových poplatníků. Když už byly prostředky za podobným účelem vynaloženy, měly by být použity zejména na ochranu a lepší zabezpečení amerických počítačových sítí.

Potíž je v tom, že často v době nákupu exkluzivní informace j v krátkém časovém horizontu objevena také dalšími bezpečnostními experty a může dojít k jejímu zneužití třetí stranou, nebo jednoduše k tomu, že o chybě bude vědět cíl útoku a může tak USA jako útočníka snadno identifikovat.

Abychom nemluvili pouze abstraktně, k takovému případu již několikráte skutečně došlo, stačí si vzpomenout například na kauzu trojského koně DUQU, který měl sloužit jako pomůcka k napadání kritické iránské infrastruktury. Duqu instaloval program pro snímání úderů kláves a získával tak citlivé informace z nakažených počítačů. Trojan se skládal z instalačního souboru, ovladače, knihovny DLL a konfigurátoru a maskoval se jako legitimní kód podepsaný platným digitálním certifikátem. Ten původně používala jedna tchajwanská firma, která jej po zjištění zneužití zneplatnila 14. října 2012.

Potíž s koněm je v tom, že informace, na které dlouho seděla americká rozvědka, byla nakonec zneužita jinými objeviteli a využit k útokům proti cílům v samotné USA. Bezpečnostní společnosti na to přišly tehdy, když se jim podařilo po masivním rozšíření koně detekovat a rozlišit původní kód Duqu a celou řadu jeho variant, přinejmenším jedna verze přitom kolovala stejnou dobu paralelně s původním koněm.

Útoky s pomocí Duqu a jeho variant začaly již v prosinci minulého roku. Na základě zjištění kompilačních časů to zjistila společnost Symantec.

Nevidím zlo, neslyším zlo, …

Samotné Spojené státy k celé záležitosti zarytě mlčí, nejsou v situaci, kdy by si chtěly digitální ofenzivu obhajovat, důkazů proti nim ale existuje poměrně dost. Počátkem léta loňského roku deník
The New York Times zveřejnil přesvědčivé důkazy o vývoji duchovního předchůdce Duqu – sofistikovaného červa jménem Stuxnet. Červ, který vláda USA vyvíjela ve spolupráci s Izraelem, napadal íránské SCADA systémy pro řízení řídících centrifug v továrnách na obohacování uranu a snažil se centrifugy předčasně opotřebovat jejich roztáčením do nebezpečných otáček.

O tom, že se jedná pouze o špičku ledovce, svědčí loňský článek z Forbesu, který popisuje proces transakce, během které dodavatel vlády USA koupil exploitů v bezpečnostní chybě v operačním systému iOS 250 tisíc dolarů.

Nebezpečí zde spočívá hlavně v tom, že podobné komerční částky za exploity mnohonásobně přesahují množství peněz, které jsou ochotni za odhalené chyby vyplácet bezpečnostní společnosti, nebo tvůrci software.


Komentáře

dizz. #1
dizz. 14. květen 2013 12:25

"Vláda nenakupuje nebezpečné zranitelnosti kvůli tomu, aby je mohla využít ke kybernetickým útokům. "
A to mate duveryhodne potvrzene nebo je to jen domenka?
Ne, ze bych byl nejaky anti-usa fanatik ale prijde mi takoveto tvrzeni smesne.

Karel Wolf 14. květen 2013 17:15

Důkazem jsou třeba uvedené (starší) škodlivé kódy Stuxnet a Duqu, oba byly útočným způsobem použity. Více jsme ovšem tezi neověřovali, jde de facto o parafrázi původního zdroje: „U.S. intelligence and military agencies aren't buying the tools primarily to fend off attacks. Rather, they are using the tools to infiltrate computer networks overseas, leaving behind spy programs and cyber-weapons that can disrupt data or damage systems.“

RSS 

Komentujeme

Sociální sítě pro B2B? Bláznovství!

Richard Jan Voigts , 17. květen 2017 07:00
Richard Jan Voigts

Agentura Ami Digital provedla průzkum ohledně využívání sociálních sítí v České republice. Ami Digit...

Více





RSS 

Zprávičky

Tři zranitelnosti a opravy: Samba, Joomla, videopřehrávače

Pavel Houser , 25. květen 2017 16:30

Vektorem útoku může být i soubor s titulky....

Více 0 komentářů

Lenovo opět v zisku

ČTK , 25. květen 2017 15:32

Lenovo se snaží omezit svou závislost na trhu s PC a rozšiřuje aktivity v oblasti chytrých telefonů ...

Více 0 komentářů

Zákon o elektronické identifikaci Sněmovna asi schválí beze změn

ČTK , 25. květen 2017 09:00

Jedním z cílů nových občanských průkazů je poskytnout držitelům elektronický podpis....

Více 0 komentářů

Starší zprávičky

PayPal rozšiřuje ochranu prodejců v ČR

Pavel Houser , 25. květen 2017 08:00

Tento program se dříve v České republice vztahoval jen na hmotné zboží, nyní se rozšiřuje i o služby...

Více 0 komentářů

Firmy zabývající se virtuální realitou zakládají asociaci

ČTK , 24. květen 2017 16:00

Cílem je propojit vývojářské týmy s universitami, investičními fondy a soukromým sektorem....

Více 0 komentářů

Sněmovna schválila novelu upravující přechod na vysílání DVB-T2

ČTK , 24. květen 2017 13:05

"Já jsem tam postrádal něco ve prospěch virtuálních mobilních operátorů," uvedl budoucí ministr fina...

Více 0 komentářů

Google chce propojit data z webové reklamy s nákupy v kamenných obchodech

ČTK , 24. květen 2017 10:46

Technologie dokáže propojit informace o tom, na co lidé na webu klikají a za co pak platí kartou v k...

Více 2 komentářů