211service.com
L'open source potrebbe significare una porta aperta per gli hacker
La possibilità di accedere al codice delle applicazioni open source può dare agli aggressori un vantaggio nello sviluppo di exploit per il software, secondo un documento che analizza due anni di dati sugli attacchi.
Il documento, che sarà presentato questa settimana al Workshop on the Economics of Information Security, ha correlato 400 milioni di avvisi provenienti da sistemi di rilevamento delle intrusioni con attributi noti del software e delle vulnerabilità mirati. I dati supportano l'affermazione che i difetti nel software open source tendono ad essere attaccati più rapidamente e più spesso delle vulnerabilità nel software closed source, afferma Sam Ransbotham, assistente professore presso la Carroll School of Management del Boston College e autore dell'articolo.
Utilizzando la regressione non lineare e altri modelli, Ransbotham ha scoperto che gli attacchi alle vulnerabilità nel software open source si sono verificati tre giorni prima e con una frequenza quasi del 50% maggiore. Ransbotham sostiene che la conoscenza di come sfruttare una particolare vulnerabilità si diffonde in modo simile alla diffusione dell'innovazione tecnologica.
Se pensi a tutto questo come a un gioco tra i buoni ei cattivi, riducendo lo sforzo per i cattivi, c'è un incentivo molto maggiore per loro a sfruttare gli obiettivi prima e colpire più aziende, afferma Ransbotham.
Il documento probabilmente riaccenderà un dibattito tra i sostenitori dei modelli di sviluppo open source e closed source, che sostengono se il sistema operativo open source Linux è più sicuro di Windows o se il browser Firefox open source di Mozilla è più sicuro di Internet Explorer di Microsoft. . I sostenitori dell'open source sostengono che l'accessibilità del codice consente ai bravi ragazzi di trovare i bug più velocemente, mentre i critici sostengono che più aggressori che difensori stanno frugando nel codice, quindi l'effetto netto è una sicurezza peggiore.
La ricerca ha utilizzato i dati di avviso selezionati dai sistemi di rilevamento delle intrusioni gestiti per conto di 960 aziende dal fornitore di servizi di sicurezza SecureWorks. Ransbotham ha correlato gli avvisi con vulnerabilità specifiche nel National Vulnerability Database (NVD), un'ampia raccolta di informazioni sui difetti del software gestita dal National Institute of Standards and Technology. Sebbene l'NVD elenchi le vulnerabilità in oltre 13.000 prodotti software per il 2006 e il 2007, i due anni in cui sono stati utilizzati i dati di avviso, solo la metà dei prodotti potrebbe essere classificata come open source o closed-source, afferma Ransbotham.
Collegando quei dati alla capacità dei sistemi di rilevamento delle intrusioni di riconoscere un attacco a un sistema vulnerabile, Ransbotham ha compilato un elenco di 883 vulnerabilità in software open o closed-source confermato su cui è possibile riconoscere gli attacchi. Ha anche classificato le vulnerabilità in base ad altri attributi, ad esempio quanto sarebbe complesso per gli aggressori sfruttare il difetto e se fosse disponibile una firma per i sistemi di rilevamento delle intrusioni al momento della segnalazione della vulnerabilità.
Alla fine, solo 97 delle 883 vulnerabilità sono state prese di mira dagli aggressori durante il periodo di due anni. Tuttavia, questo rappresenta 111 milioni, ovvero circa un quarto, degli avvisi. I restanti avvisi potrebbero essere attribuiti ad attacchi a software che non possono essere classificati come open o closed-source, attacchi a vulnerabilità che non avevano un attributo identificativo o falsi positivi.
Nella sua analisi, Ransbotham ha scoperto che gli attacchi alle vulnerabilità nel software open source si sono verificati prima degli attacchi al software closed source, come misurato dal primo rapporto sulla vulnerabilità di ciascuna azienda. Inoltre, in media, un numero maggiore di aziende è stato infine preso di mira con attacchi a ciascuna vulnerabilità. In entrambi i casi, tuttavia, il numero di attacchi alla fine si è saturato.
Man mano che i difensori tirano fuori le loro patch, gli attaccanti hanno più incentivi a passare a un exploit diverso, dice Ransbotham.
La possibilità di accedere al codice open source non è l'unico vantaggio offerto agli aggressori. L'analisi di Ransbotham ha mostrato una correlazione tra l'esistenza di firme, utilizzate da vari prodotti di sicurezza per far corrispondere un modello noto con un difetto, e attacchi precedenti, suggerendo che gli aggiornamenti utilizzati dai difensori per migliorare la loro difesa effettivamente aiutano gli aggressori.
Questo mi dice che c'è qualcosa nell'avere quella firma che aiuta le persone... dando loro un indizio su come sfruttare la vulnerabilità, dice Ransbotham.
Altre ricerche hanno suggerito che le firme e altre misure difensive trasmettono informazioni agli aggressori. Nel 2007, due consulenti di sicurezza hanno descritto l'utilizzo delle firme di un popolare sistema di rilevamento delle intrusioni per creare codice di attacco. Nel 2008, i ricercatori accademici hanno creato un sistema per generare potenziale codice exploit basato sull'analisi automatica delle patch rilasciate dalle società di software.
Tuttavia, i professionisti della sicurezza avvertono di non leggere troppo nell'analisi di Ransbotham. Molti fattori potrebbero distorcere i dati, afferma David Aitel, chief technology officer della società di sicurezza Immunity, che, tra i suoi servizi, crea exploit per testare le difese della rete aziendale. Secondo il documento di Ransbotham, solo 30 delle 97 vulnerabilità prese di mira dagli aggressori erano in software open source, il che significa che relativamente poche vulnerabilità sono state attaccate molto più spesso, afferma Aitel. Sostiene che gli aggressori potrebbero inondare indiscriminatamente la rete di un'azienda con attacchi a software open source relativamente poco importante, concentrando gli attacchi più gravi su sistemi più importanti che eseguono software closed-source.
Poiché i clienti di Immunity sono più preoccupati per i sistemi che eseguono software closed-source come Microsoft Windows, Internet Explorer, Adobe Acrobat e Java di Sun, i ricercatori di Immunity tentano di sfruttare i difetti del software closed-source entro 24 ore dalla prima segnalazione. Alle vulnerabilità del software open source viene data una priorità molto più bassa.
Trarre un'ampia conclusione secondo cui il software open source è più facile da sfruttare non è assolutamente vero, afferma. Potresti trarre la conclusione esattamente opposta dal corpo di exploit disponibili su [siti di ricerca, come] Packetstorm.
Altri professionisti della sicurezza hanno una visione più ampia, secondo cui si tratta meno di open o closed-source e più di come un'azienda sviluppa il proprio software. Gli aggressori possono eventualmente ottenere le informazioni di cui hanno bisogno per sfruttare un bug, tramite software di attacco automatizzato, patch di reverse engineering o ottenendo in qualche modo l'accesso al codice sorgente, quindi le aziende dovrebbero aspettarselo, afferma Gary McGraw, chief technology officer di Cigital, una consulenza sulla sicurezza del software.
È un mito che sia necessario disporre del codice sorgente per sfruttare le vulnerabilità, afferma McGraw. Voi (sviluppatori di software) dovete rendervi conto che il vostro software è là fuori e state dando al vostro aggressore tutto ciò di cui ha bisogno per sfruttarlo.