• Technologie
  • Byznys
  • Software
  • Hardware
  • Internet
  • Telco
  • Science
  • České IT
  • Události
Žádné výsledky
Zobrazit všechny výsledky
ITBiz.cz
ITBiz.cz
Žádné výsledky
Zobrazit všechny výsledky

Ohlédnutí za Stuxnetem více jak rok poté: proč nás trápí deset let staré slabiny zabezpečení aplikací?

Jiří Nápravník
9. 1. 2012
| Články

Hledáte vysvětlení vzniku a dlouhou dobu skrytého působení viru Stuxnet, případně dalších virových infekcí? Jak se virus mohl dostat do relativně dobře zabezpečených počítačů uživatelů
internetbankingu? Jedním z vysvětlení je způsob nakládání se zdrojovými kódy počítačových programů ve spojení s mnoho let neopravenými chybami v operačních systémech a prohlížečích.

Slabiny, díry nebo zadní vrátka se v operačních systémech, prohlížečích a dalších programech objevují stále. Vedle závažnosti slabiny je ale také důležité, jak dlouho byla nalezená slabina v
systému a kdo ji mohl objevit dřív než byla zveřejněna.

Šířen viru Stuxnet v síti

Šířen viru Stuxnet v síti

Pokud se v operačním systému nebo v nadstavbové aplikaci objeví kritická slabina, která se
vyskytuje pouze v poslední verzi konkrétního programu, tak je to nepříjemné, ale kdo z vás by
dokázal takovou slabinu ve zdrojovém kódu najít, otestovat a následně vytvořit s využitím takové
slabiny i škodlivý program? Kolik času byste potřebovali? 3 měsíce, 6 měsíců nebo celý rok?
Musíte být rychlí, velmi rychlí jinak se může stát, že dříve než celý úkol dokončíte může být
konkrétní slabina odhalena někým jiným a následně opravena. V případě slabin, které jsou v
programu víc jak 3500 dnů mají počítačoví podvodníci mnohem více „času na práci“.

Zdrojové kódy programů

S rychlostí jakou může být slabina odhalena úzce souvisí i přístupnost zdrojových kódů
konkrétního operačního systému nebo aplikace. V případě veřejně přístupného zdrojového kódu
jsou možnosti všech vyrovnané. Ke zdrojákům mají přístup všichni zájemci. Přesněji všichni, kteří
se zapojí do vývojového týmu což ale není překážka. Všichni zájemci mají možnost zkoumat
zdrojové kódy. Takže tuto možnost mají ti kdo hledají slabiny z důvodů vylepšení konkrétního
programu a současně i ti kdo by chtěli takovou slabinu zneužít.

Počet zranitelností za rok 2011

Počet zranitelností za rok 2011

Druhým přístupem je striktní utajování zdrojového kódu. V takovém případě jsou možnosti
všech zájemců mimo firmu, která program vytvořila opět vyrovnané. Pominu fakt, že počítačoví
podvodníci mají vždy větší zájem hledat a následně zneužívat slabiny a zadní vrátka v programech.
To ale platí pro všechny způsoby nakládání se zdrojovými kódy.

Velmi zvláštní situace existuje v případě kdy ke zdrojovým kódům mají přístup pouze
vybrané týmy. To znamená, že takové programátorské týmy mají přístup k jinak nepřístupným
zdrojovým kódům. To je například případ společnost Microsoft a jejího Government Security
Programu. Na základě této nebo podobných dohod mají již minimálně od roku 2003 vybrané
partnerské země a vysoké školy přístup k vybraným zdrojovým kódům Windows, MS Office,
Internet Exploreru, atd. Mezi státy, které měly nebo mají přístup ke zdrojovým kódů patří například
Norsko, Austrálie, Velká Británie a také Ruská federace a Čína.

Rozdílný přístup ke zdrojovým kódům

V analýze slabin, kterou jsme zveřejnili počátkem ledna 2012 jsou jasně vidět dva přístupy
ke zdrojovým kódům počítačových programů. Bohužel těmto dvěma přístupům přesně odpovídají i
výsledky analýzy slabin.

V operačním systému Windows 7 bylo v průběhu let 2010 a 2011 zveřejněno a opraveno
176 slabin. Přičemž 137 slabin bylo společných s verzí Windows Vista a XP. Dalších 31 dokonce s
Windows 2000. Stejná situace platí i v případě prohlížeče Microsoft Internet Explorer. V obou
případech byly zveřejněné slabiny v programech více jak deset let, více jak 3600 dnů.

V prohlížečích Mozilla Firefox nebo Google Chrome jsou také slabiny dokonce jich tam je
na první pohled více než v programech společnosti Microsoft. Jenže doba existence jednotlivých
slabin byla několik týdnů (Google Chrome) a v nejhorším případě u prohlížeče Firefox 8.0 se
jednalo o 500 dnů.

Při tvorbě analýzy slabin zveřejněných v roce 2011 jsme zjistili „dlouhověkost“ slabin v
operačním systému Windows a prohlížeči Microsoft Internet Explorer. Nerevidovaný zdrojový
kód, který se používá v mnoha po sobě jdoucích verzích stejného programu (Windows 7, Vista, XP
a 2000) ve spojení s tím, že k těmto zdrojovým kódům má přístup pouze vybraná skupina státních
úředníků, případně studentů je prostorem pro vytváření sofistikovaných škodlivých programů.
Specializované škodlivé programy mohou být vytvořeny a vyvíjet svoji činnost právě proto,
že v programech jsou dlouhodobě neopravené slabiny a současně pouze vybraná skupina odborníků
má možnost analyzovat zdrojové kódy a mohou v nich hledat nová zadní vrátka.

Co to znamená?

Jedním z důvodů pro vytvoření naší analýzy slabin v operačních systémech a prohlížečích
byly případy kdy uživatelům někdo zneužil jejich elektronický podpis, vykradl účet přes internet
banking a v neposlední radě i působení viru Stuxnet, který mimochodem zneužíval několik (5) do
té doby neznámých slabin v operačním systému Windows.

Z výsledků analýzy je patrné, že slabiny zveřejněné v roce 2011, které se týkají Windows 7
se současně týkají i Windows Vista a XP. Běžný programátor nebo analytik nemá možnost
prozkoumat zdrojové kódy Windows nebo Internet Exploreru a musí jako jakýkoliv jiný uživatel
spoléhat na prohlášení tvůrce Windows a MSIE, že nový operační systém, prohlížeč nebo další
program jsou lepší a bezpečnější než předchozí verze.

Využívání počítačů nabývá stále více a více na významu. Jsou tlaky na řešení bezpečnosti
jednotlivých uživatelských počítačů, firemních sítí i počítačů, které řídí výrobní technologie. To
vše se děje v prostředí kdy autoři operačního systému používají bez revizí části nebo celé
počítačové moduly více jak deset let. Současně jinak chráněné zdrojové kódy dávají k dispozici
zástupcům zemí, které jsou podezřelé z organizování počítačových útoků. Za takových podmínek je
řešení bezpečnosti v podmínkách internetbankingu a dalších obchodních aplikací složitý úkol.

Možná je to náhoda, ale Ruská federace i Čína již před časem oznámily, že prosazují jako hlavní operační
systém ve státní správě obou zemí vlastní distribuce Linuxu. Že by to byla pouze náhoda??

Rubriky: Podnikový softwareSecurityTechnologie

Související příspěvky

Zprávičky

Hackeři ukradli data 5,7 milionu zákazníků australských aerolinek Qantas

11. 7. 2025
Meta lákala zaměstnance OpenAI na bonus ve výši 100 milionů dolarů
Zprávičky

Muskova společnost xAI představila novou verzi chatbota Grok 4

11. 7. 2025
Články

Útoky zaměřené na cloud jsou stále sofistikovanější kvůli automatizaci a vytrvalosti

11. 7. 2025
Nebojte se hlásit na seniornější pozice, radí IT pracovní portál
Články

NÚKIB vydal oficiální varování před některými produkty společnosti DeepSeek

10. 7. 2025

Napsat komentář

Vaše e-mailová adresa nebude zveřejněna. Vyžadované informace jsou označeny *

Souhlasím se Zásadami ochrany osobních údajů .

Zprávičky

750 zaměstnanců ČSOB se díky Atosu zvládlo rychle přesunout do domácích kanceláří

Google investuje 2,4 miliardy dolarů do technologie AI od start-upu Windsurf

ČTK
12. 7. 2025

Společnost Google ze skupiny Alphabet zaplatí asi 2,4 miliardy USD (50,64 miliardy Kč) za

Muskova xAI chce další peníze od investorů při ohodnocení na 200 miliard dolarů

ČTK
12. 7. 2025

Americká společnost xAI miliardáře Elona Muska plánuje vybrat peníze od investorů v novém kole

Kryptoměny a jejich ekonomika

Bitcoin pokračuje v růstu na další rekordy, překonal hranici 118 000 dolarů

ČTK
11. 7. 2025

Cena bitcoinu dnes pokračuje v prudkém růstu. Kolem 8:30 SELČ se vyšplhala na další

Hackeři ukradli data 5,7 milionu zákazníků australských aerolinek Qantas

ČTK
11. 7. 2025

Hackeři v rámci rozsáhlého kybernetického útoku z minulého týdne ukradli data 5,7 milionu zákazníků

Meta lákala zaměstnance OpenAI na bonus ve výši 100 milionů dolarů

Muskova společnost xAI představila novou verzi chatbota Grok 4

ČTK
11. 7. 2025

Americká společnost xAI miliardáře Elona Muska představila nový model chatbota Grok 4. Ten má

Sophos představil XDR řešení pro synchronizované zabezpečení

Ministerstvo vnitra odhalilo kybernetický útok, údaje občanů neunikly

ČTK
10. 7. 2025

Ministerstvo vnitra odhalilo kybernetický útok na jeden ze systémů úřadu, oznámil dnes na tiskové

Český T-Mobile vyčleňuje vysílače do samostatné firmy

Na Slovensku skončila největší elektronická aukce mobilních frekvencí

ČTK
10. 7. 2025

Na Slovensku včera skončila největší elektronická aukce mobilních frekvencí v historii země. Vynesla rekordní

Vláda zakázala používat ve státní správě produkty čínské společnosti DeepSeek

ČTK
9. 7. 2025

Vláda zakázala používat ve státní správě jakékoli produkty čínské společnosti DeepSeek. Rozhodla tak na

Tiskové zprávy

Společnost QNAP představuje myQNAPcloud One Beta

Acer slaví několikanásobné ocenění cenou Red Dot Product Design Awards 2025

Acer for Business EMEA překonává růst trhu

Nejnovější modely Acer Chromebook Plus nyní s 12měsíčním balíčkem Google AI Pro včetně služby NotebookLM zdarma

ANECT mění vedení společnosti a posiluje management

Optimize by Acer: nejnovější evoluce v oblasti podnikových záručních podmínek

Zpráva dne

Květen je měsícem růstu, můžete růst s Windows 11 jen za €20.00!

Květen je měsícem růstu, můžete růst s Windows 11 jen za €20.00!

Redakce
15. 5. 2025

Kupte Windows 11 CDkey od Goodoffer24.com a můžete růst s tímto OS jak při...

Komentujeme

Chvála černých skřínek

Malé modely AI mají být velkým trendem

Pavel Houser
3. 1. 2025

V záplavě prognóz technologického vývoje (nejen) v roce 2025 zde prozatím trochu zapadlo jedno téma, které...

Slovník

AWK

Brand sales manager

Teledesic

Nejpopulárnější články

Žádný obsah není dostupný

Kategorie

  • Články
  • Komentujeme
  • Slovník
  • Tiskové zprávy
  • Zprávičky

Portál ITbiz.cz přináší informace z IT a byznysu již od roku 2006. Provozuje jej internetové vydavatelství Nitemedia. Hosting zajišťuje společnost Greenhousing.cz. Mezi další naše projekty patří například ABClinuxu.cz a Sciencemag.cz. Na stránce Redakce naleznete informace o redakci a možnostech inzerce.

Rubriky

Akce a události Byznys Cloud Ekomerce Hardware Internet Operační systémy Podnikový software Právo Science Security Technologie Telekomunikace Veřejná správa Vývoj a HTML Zpráva dne České IT
Žádné výsledky
Zobrazit všechny výsledky
  • Technologie
  • Byznys
  • Software
  • Hardware
  • Internet
  • Telco
  • Science
  • České IT
  • Události

© 2019 Vydává Nitemedia s.r.o. Hosting zajišťuje Greenhousing.cz.

Tento web používá cookies. Pokračováním dáváte souhlas s jejich používáním. Více na itbiz.cz/soukromi.