Open Source открывает двери для хакеров

...

Авторы доклада, представленного на семинаре по экономике информационной безопасности, сопоставили список из 400 млн попыток взломов данных, состоявшихся в течение 2 лет, с параметрами и уязвимостями программного обеспечения, сообщает Technologyreview.com. “Полученные результаты позволяют утверждать, что уязвимости Open Source приложений обнаруживаются хакерами гораздо быстрее и чаще, чем уязвимости закрытого ПО”, - заявил Сэм Ренсботам, профессор Бостонской Школы менеджмента Caroll.

По данным Сэма Ренсботама, взлом открытого ПО происходит в 1,5 раза чаще, чем проприетарных решений. При этом хакеры затрачивают на него в среднем на 3 дня меньше времени. Инструкции по взлому обычно распространяются примерно с той же скоростью, что и само программное обеспечение.

Исследование опиралось на данные систем по контролю за взломами, установленных в 960 компаниях сервис-провайдером SecureWorks. Сэм Ренсботам сопоставил эти данные с данными об уязвимостях, хранящимися в Национальной базе данных уязвимостей (National Vulnerability Database, NVD), формируемой Национальным Институтом Стандартов и Технологий (National Institute of Standards and Technology). NVD включает в себя уязвимости более 13000 видов ПО по состоянию на 2006-2007 гг. Однако, лишь половина этих программных продуктов может быть с уверенностью классифицирована как открытое или закрытое ПО, сообщил Сэм Ренсботам.

Таким образом, Сэм Ренсботам получил список 883 уязвимостей в закрытом и открытом ПО. Затем он классифицировал уязвимости по другим признакам, например, насколько сложно хакеру использовать уязвимость и существует ли в ней сигнатура, позволяющая системе обнаружения идентифицировать вторжение.

В конечном итоге, в участию в исследовании было допущено лишь 97 из 883 уязвимостей, подвергнутых хакерской атаке за последние 2 года, и 111 млн взломов - около четверти полученных предупреждений об атаке. Остальные попытки взлома или предпринимались в отношении ПО, которое не может быть отнесено ни к открытому, ни к закрытому, или были направлены на уязвимости с неидентифицируемыми атрибутами, или были идентифицированы как ложные атаки.

Результаты исследования свидетельствуют о том, что после выхода очередного релиза Open Source продукта хакерские атаки на него начинаются быстрее, чем в случае появления закрытых решений. Однако, как только разработчики начинают предпринимать меры по ликвидации уязвимости, хакеры быстро переключаются на другие задачи.

Возможность доступа к исходному коду – не единственное преимущество, которое Open Source дает хакерам. Сэм Ренсботам отмечает, что при наличии сигнатур, используемых производителями систем защиты, хакерские атаки происходят быстрее. “Вероятно, информация об обновлениях, распространяемая с целью усовершенствования программного обеспечения, в итоге помогает взломщикам”, - комментирует он.

Его мнение подтверждают и результаты других исследований. В 2007 г. два консультанта по безопасности показали, как можно создать новый код для атаки, используя данные сигнатур популярной системы по отслеживанию взломов. В 2008 исследователи создали систему, способную генерировать код для взлома на основании автоматического анализа обновлений, выпущенных компанией-производителем ПО.

Источник

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Google устранила опасную уязвимость в Java-клиенте OAuth

В прошлом месяце Google выпустила новую сборку клиентской Java-библиотеки, обеспечивающей авторизацию по протоколу OAuth. В продукте закрыта уязвимость, эксплуатация которой позволяет подменить токен для доступа к API и развернуть на атакуемой платформе полезную нагрузку по своему выбору.

Степень опасности проблемы CVE-2021-22573 в Google оценили в 8,7 балла по шкале CVSS. Автору находки было выплачено $5 тыс. в рамках программы bug bounty.

Согласно официальному описанию, причиной появления уязвимости является неадекватная верификация криптографической подписи токенов — удостоверения провайдера полезной нагрузки. В результате автор атаки сможет предъявить скомпрометированный токен с кастомным пейлоадом, и тот успешно пройдет проверку на стороне клиента.

Использование кода OAuth-библиотеки Google позволяет приложению или юзеру войти в любой веб-сервис, поддерживающий этот протокол авторизации. Во избежание неприятностей пользователям рекомендуется обновить пакет google-oauth-java-client до версии 1.33.3.

OAuth-авторизация пользуется большой популярностью у веб-серферов. Протокол избавляет от необходимости доверять приложению логин и пароль, а также позволяет сократить число аккаунтов в Сети, то есть аудиторию с доступом к персональным данным.

К сожалению, спецификации OAuth не предусматривают обязательных функций безопасности, и надежность в этом плане всецело зависит от усилий разработчика, реализующего эту технологию. Небрежная защита клиентского приложения или сервиса с поддержкой OAuth провоцирует атаки и грозит утечкой конфиденциальных данных.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru