Treść książki
Przejdź do opcji czytnikaPrzejdź do nawigacjiPrzejdź do informacjiPrzejdź do stopki
1.2.Zagrożenia,podatności,zabezpieczenia,incydenty
39
–upublicznićswojeodkrycie,oileproducentniezapłaciokreślonejkwotyza
zatajenieznaleziska48.
Ad1.Trzyostatnieprzypadkipowodują,żewiedzaobłędachprzezpewienczasbę-
dzieogólniedostępna,aleniebędądostępneoficjalnepoprawkijelikwidujące.
Ad2.Grupybadawczezwyklezgłaszająodkrycieproducentowiigonieupublicznia-
ją,tj.dajączasproducentowinaopracowanieiudostępnieniepoprawki(ang.
responsibledisclosure)49.
Ad3.Odkrycieniejestanizgłaszane,aniupublicznianeprzezgrupyprzestępcze–
zwyklenatychmiastprzystępujesiędoopracowaniasposobówwykorzystania
znalezionegobłędudocelówprzestępczych.
Wprzedzialeczasut
1−t
0odkrywcypróbująudowodnić,przezopracowanieodpo-
wiedniegoalgorytmu(tzw.proof-of-concept,PoC),możliwośćwykorzystaniawsprzy-
jającychokolicznościach
50
błędudocelówniezgodnychzintencjamiprojektanta
oprogramowania.
Oileudasiętakialgorytmskonstruować,błądstajesiępodatnościąikolejnączyn-
nościąjestzwykleprzerobieniealgorytmunaprogramlubskrypt,nazywanycheksplo-
item.Nawetzakładając,żeodkrywcynieupubliczniliswojegoodkrycia,toitakwiedza
onimbędziesięupowszechniaławkręgachosóbbiorącychudziałwopracowaniu
algorytmuieksploitalubzwiązanychzodkrywcamiwinnysposób.Dlategoryzykowy-
korzystaniapodatnościdoszkodliwychdziałańrośnie,cosymbolizujeniewielkiwzrost
nachyleniawykresuwprzedzialeczasut
1–t
0.
Wchwilit
1
następujeupublicznienieeksploita–wiedzaopodatnościisposobiejej
wykorzystaniastajesięogólnodostępna,dostępnejestteż(zadarmolubzaodpowied-
niąopłatą)narzędzie–eksploit.Odcinekwykresudlaprzedziałuczasut
2–t
1charak-
teryzujegwałtownywzrostryzykawykorzystaniapodatnościdoszkodliwychdziałań.
Dziejesiętakzdwóchpowodów:
1.
Wieleosóbmarzącychokarierzeznanegohakerapróbujewykorzystaćudo-
stępnionemożliwościdozdobyciatakiejsławy.Ponieważeksploitysąopra-
cowywaneprzezfachowcówwysokiejklasy,ichużyciejestzwykleproste
iumożliwiaosiągnięciecelutakżeosobombezwyrafinowanejwiedzyinforma-
tycznej.Problemwzrosturyzykasprowadzasięzatemnietyledoumiejętności
informatycznychosóbkorzystającychzeksploita,codoichliczby.
2.
Częśćzainteresowanychzagadnieniemprogramistówbędziepróbowałaprze-
robićeksploitanaautomat,naprzykładnarobakasieciowego.Zwykletepró-
bykończąsiępowodzeniem,coskutkuje(powypuszczeniutakiegoautomatu
wsieć)dalszymwzrostemryzyka.
48Czylijesttoszantaż.
49Chyba,żesątogrupybadawczepracującenarzeczwojskalubsłużbspecjalnych–wtedyodkrycie
niejestanizgłaszane,aniupubliczniane,aodkrytapodatnośćmożezostaćwykorzystananp.doinwigilacji
internautów.
50WCVEnazywanychprerequisities.
