Největším kupcem exploitů není černý trh, ale americká vláda, výsledek je ovšem podobný

Karel Michal , 14. květen 2013 10:00 2 komentářů
Největším kupcem exploitů není černý trh, ale americká vláda, výsledek je ovšem podobný

Vláda spojených států je údajně největším zákazníkem, pokud se jedná o informace o exploitech a chybách v komerčně užívaném software a obecně informací o překonávání počítačových ochran. S touto překvapující informací přišla nedávno ve své rozsáhlé analýze tisková agentura Reuters.

Hlavním předmětem nákupu jsou podle zdrojů agentury, což jsou především známé renomované bezpečnostní společnosti, 0-day zranitelnosti a exploity, které jsou známé zatím pouze mezi hackerskou komunitou.

Prosil bych kilo backdoorů a deset deka támhle těch 0-day zranitelností

Jak je takový obchod vlastně realizován? Americká vláda k nákupu využívá svých tajných služeb, nebo lehce transparentnější cestou přes dodavatele ministerstva obrany. Ohromující je částka, která na podobné výdaje jde, jedná se o desítky milionů dolarů a to přitom nakupuje pouze zlomek nabízeného zboží, nejedná se totiž o strategii prevence. Vláda nenakupuje nebezpečné zranitelnosti kvůli tomu, aby je mohla využít k ochraně sítí, ale ke kybernetickým útokům.

Reuters tvrdí, že průměrná cena za 0-day zranitelnost, se pohybuje okolo 50 tisíc dolarů, nejhodnotnější jsou prý zranitelnosti pro iOS, že je cena až pětinásobná. Například za velmi populární exploitů internet browserů jako je Internet Explorer či Google Chrome, zde se cena pohybuje od 80 do 200 tisíc USD. Ceny pro Firefox začínají na 60 tisících, tedy na podobné částce jaké se vyplácejí za exploity pro Windows.

Kontroverzní strategie

Většina bezpečnostních expertů, které tisková agentura oslovila, se shodují v tom, že na samotném nákupu není nic špatného, jednoznačně ale odsuzují útočné využití chyb. Situace je o to problematičtější, že se jedná o peníze amerických daňových poplatníků. Když už byly prostředky za podobným účelem vynaloženy, měly by být použity zejména na ochranu a lepší zabezpečení amerických počítačových sítí.

Potíž je v tom, že často v době nákupu exkluzivní informace j v krátkém časovém horizontu objevena také dalšími bezpečnostními experty a může dojít k jejímu zneužití třetí stranou, nebo jednoduše k tomu, že o chybě bude vědět cíl útoku a může tak USA jako útočníka snadno identifikovat.

Abychom nemluvili pouze abstraktně, k takovému případu již několikráte skutečně došlo, stačí si vzpomenout například na kauzu trojského koně DUQU, který měl sloužit jako pomůcka k napadání kritické iránské infrastruktury. Duqu instaloval program pro snímání úderů kláves a získával tak citlivé informace z nakažených počítačů. Trojan se skládal z instalačního souboru, ovladače, knihovny DLL a konfigurátoru a maskoval se jako legitimní kód podepsaný platným digitálním certifikátem. Ten původně používala jedna tchajwanská firma, která jej po zjištění zneužití zneplatnila 14. října 2012.

Potíž s koněm je v tom, že informace, na které dlouho seděla americká rozvědka, byla nakonec zneužita jinými objeviteli a využit k útokům proti cílům v samotné USA. Bezpečnostní společnosti na to přišly tehdy, když se jim podařilo po masivním rozšíření koně detekovat a rozlišit původní kód Duqu a celou řadu jeho variant, přinejmenším jedna verze přitom kolovala stejnou dobu paralelně s původním koněm.

Útoky s pomocí Duqu a jeho variant začaly již v prosinci minulého roku. Na základě zjištění kompilačních časů to zjistila společnost Symantec.

Nevidím zlo, neslyším zlo, …

Samotné Spojené státy k celé záležitosti zarytě mlčí, nejsou v situaci, kdy by si chtěly digitální ofenzivu obhajovat, důkazů proti nim ale existuje poměrně dost. Počátkem léta loňského roku deník
The New York Times zveřejnil přesvědčivé důkazy o vývoji duchovního předchůdce Duqu – sofistikovaného červa jménem Stuxnet. Červ, který vláda USA vyvíjela ve spolupráci s Izraelem, napadal íránské SCADA systémy pro řízení řídících centrifug v továrnách na obohacování uranu a snažil se centrifugy předčasně opotřebovat jejich roztáčením do nebezpečných otáček.

O tom, že se jedná pouze o špičku ledovce, svědčí loňský článek z Forbesu, který popisuje proces transakce, během které dodavatel vlády USA koupil exploitů v bezpečnostní chybě v operačním systému iOS 250 tisíc dolarů.

Nebezpečí zde spočívá hlavně v tom, že podobné komerční částky za exploity mnohonásobně přesahují množství peněz, které jsou ochotni za odhalené chyby vyplácet bezpečnostní společnosti, nebo tvůrci software.


Komentáře

dizz. #1
dizz. 14. květen 2013 12:25

"Vláda nenakupuje nebezpečné zranitelnosti kvůli tomu, aby je mohla využít ke kybernetickým útokům. "
A to mate duveryhodne potvrzene nebo je to jen domenka?
Ne, ze bych byl nejaky anti-usa fanatik ale prijde mi takoveto tvrzeni smesne.

Karel Wolf 14. květen 2013 17:15

Důkazem jsou třeba uvedené (starší) škodlivé kódy Stuxnet a Duqu, oba byly útočným způsobem použity. Více jsme ovšem tezi neověřovali, jde de facto o parafrázi původního zdroje: „U.S. intelligence and military agencies aren't buying the tools primarily to fend off attacks. Rather, they are using the tools to infiltrate computer networks overseas, leaving behind spy programs and cyber-weapons that can disrupt data or damage systems.“

RSS 

Komentujeme

Microsoft a GitHub

Pavel Houser , 13. červen 2018 13:30
Pavel Houser

Transakce v hodnotě 7,5 miliardy dolarů je dost velká i na poměry Microsoftu, takže se prodejem GitH...

Více







RSS 

Zprávičky

Kryptoměnovou burzu Bithumb napadli hackeři

ČTK , 20. červen 2018 10:16

Za poslední týden jde již o druhý útok na kryptoměnové burzy v Jižní Koreji. Bitcoin opět klesl....

Více 0 komentářů

Největší australská telekomunikační firma masivně propouští

ČTK , 20. červen 2018 09:52

Telstra dominuje australskému trhu mobilních telefonů a širokopásmových sítí, zisky z pevných sítí a...

Více 0 komentářů

Dotace EU na bezplatné wifi se kvůli chybě systému odkládají

ČTK , 20. červen 2018 08:00

Obce mohly získat poukázku v hodnotě 15 000 eur. Nová výzva bude zveřejněna na podzim....

Více 0 komentářů

Kalendář

17. 06.

21. 06.
Cyber Week 2018
19. 06.

22. 06.
Automatica 2018
23. 06.

24. 06.
Maker Faire Prague 2018

Starší zprávičky

E-shopy českých řetězců: Lidl, Globus, DM drogerie

ČTK , 19. červen 2018 16:32

Loni stouply tržby českých e-shopů o 18 % na 115 miliard Kč. On-line nakupuje potraviny již 26 % Čec...

Více 0 komentářů

Virtuální realita přinese revoluci srovnatelnou s robotizací

Pavel Houser , 19. červen 2018 11:23

Firmy budou na změny související se zaváděním virtuální reality reagovat další centralizací procesů....

Více 0 komentářů

Digital Broadcasting rozšířila síť DVB-T2 na 85 % populace

ČTK , 19. červen 2018 08:00

Digital Broadcasting začal přechodovou síť budovat loni v červenci v Praze....

Více 0 komentářů

Manažeři France Télécom půjdou před soud kvůli sebevraždám

ČTK , 18. červen 2018 12:47

Vlna sebevražd ve France Télécom (dnes Orange) začala v roce 2008 a vyžádala si desítky životů. ...

Více 0 komentářů