Pentagon Bot Battle mostra come i computer possono risolvere i propri difetti

Potrebbe essere lo spettacolo meno spettacolare che abbia mai abbellito un palco di Las Vegas.

Diverse centinaia di persone si sono stipate in una sala da ballo del casinò giovedì per vedere sette potenti computer delle dimensioni di un armadio illuminati con LED lampeggianti. Invisibilmente, ogni macchina ha passato ore a cercare di attaccare il software in esecuzione sugli altri computer sul palco, difendendosi anche dagli attacchi in arrivo.

L'astruso concorso e il suo primo premio di 2 milioni di dollari potrebbero portare Internet e i computer in generale a diventare molto più sicuri. La Cyber ​​Grand Challenge è andata in scena al DEF CON conferenza di hacking della Defense Advanced Research Projects Agency del Pentagono per stimolare l'invenzione di un software in grado di individuare, testare e correggere automaticamente i difetti di sicurezza. Ciò potrebbe rivoluzionare la lotta contro problemi come i criminali che sfruttano le debolezze della sicurezza per rubare milioni di record di consumatori ogni anno.

La folla al casinò di Parigi ha esultato quando il software creato dalla società di sicurezza ForAllSecure è stato dichiarato vincitore provvisorio alla fine di giovedì. La conferma finale del risultato arriverà venerdì mattina dopo che la DARPA avrà analizzato i registri dei dati del concorso.

David Brumley , il professore della Carnegie Mellon University che ha cofondato ForAllSecure, ha affermato di ritenere che il risultato dimostrasse che era possibile per il software risolvere autonomamente alcuni problemi di sicurezza. Consideriamo questo come il primo passo, ha detto.

ForAllSecure e gli altri sei team hanno dovuto sviluppare ciascuno un bot da eseguire su un computer ad alta potenza raffreddato ad acqua e occuparsi di una raccolta di quasi cento programmi creati per il concorso. Quei programmi sono stati liberamente modellati su pacchetti che potrebbero essere trovati su un server Web e progettati intenzionalmente con falle di sicurezza.

La Cyber ​​Grand Challenge della DARPA

Il bot di ogni team ha guadagnato punti per aver corretto i difetti nei programmi sotto la sua cura, mantenendoli in esecuzione e sondando i programmi di altri team per identificare le vulnerabilità non risolte. I bot non sono riusciti a vedere i programmi di cui dovevano occuparsi prima del concorso.

Molte società di sicurezza, ricercatori di sicurezza e hacker criminali utilizzano strumenti che automatizzano il processo di analisi del software per potenziali vulnerabilità. Ma il lavoro di creazione e distribuzione di patch per i difetti di sicurezza ricade esclusivamente sugli esseri umani, ha affermato Mike Walker , il responsabile del programma DARPA che ha guidato il lavoro sul concorso. Il motivo per cui è una 'grande sfida' è che nessuna di queste funzionalità è stata automatizzata, ha affermato.

Walker ha riconosciuto che alcune delle capacità automatizzate in mostra potrebbero essere eventualmente utilizzate per attaccare le reti di computer e per difenderle. Ma ha affermato che il fatto che la DARPA abbia tenuto il concorso all'aperto e stia pubblicando tutti i dati da esso inclinerà la tecnologia verso l'offerta di protezione. Tutti gli strumenti di sicurezza informatica sono a duplice uso', ha affermato. 'La differenza tra uso offensivo e difensivo è spesso l'apertura'.

Pietro Lee , che guida le attività di ricerca di Microsoft e ha partecipato all'evento di giovedì, ha affermato che essere in grado di generare automaticamente correzioni per i difetti di sicurezza aiuterebbe le società di software a rendere i loro prodotti molto più sicuri. Sarebbe un grosso problema per qualcosa come Windows o Office, ha detto.

Tim Bryant, dell'appaltatore della difesa Raytheon, ha affermato di aspettarsi di utilizzare la tecnologia sviluppata per il bot Rubeus dell'azienda con i clienti del settore della sicurezza dell'azienda. Sistemi complessi come le reti elettriche che si basano su molti tipi di hardware, software e computer potrebbero trarre vantaggio da modi migliori per individuare o correggere le vulnerabilità, ha affermato. Penso che parleremo con società di infrastrutture critiche, questo potrebbe davvero aiutarle, ha affermato Bryant.

Il fatto che sei delle dozzine di difetti con cui i bot hanno dovuto affrontare fossero basate su vulnerabilità reali che hanno causato il caos online può anche fornire prove del potenziale pratico della tecnologia.

Le squadre hanno risolto collettivamente cinque dei classici difetti, tra cui il Verme Morris che ha paralizzato Internet nel 1988 e il bug Heartbleed ha rivelato nel 2014 che potrebbe violare la crittografia che protegge le transazioni online. Il bot Jima, dell'Università dell'Idaho, ha persino trovato e corretto un difetto che non era stato incluso intenzionalmente nei programmi del concorso ma si era verificato per caso.

Tuttavia, il concorso ha mostrato anche alcune limitazioni dei robot di sicurezza. Il vincitore, Mayhem, ha subito un crash che lo ha reso incapace di generare nuove patch o sondare altri team per un certo periodo. Una soluzione implementata dal bot Rubeus di Raytheon ha funzionato ma era troppo complessa e ha assorbito la potenza di calcolo da altri programmi in esecuzione sullo stesso computer.

Il bot vincitore gareggerà di nuovo venerdì nei DEF CON concorso annuale per hacker umani, noto come Capture the Flag o CTF. Un hacker noto come Gynophage, uno degli organizzatori della CTF, ha detto da quello che ha visto dai bot, il vincitore non dovrebbe essere un pushover. Potrebbe essere assolutamente tra i primi cinque, ma alla fine pensiamo che sarà superato dall'adattabilità degli umani, ha detto.

Walker della DARPA ritiene che il bot abbia la possibilità di essere in testa per un breve periodo all'inizio del concorso di venerdì, poiché il software può agire più velocemente di una persona. A lungo termine, prevede bot che riparano e proteggono il software che lavora insieme agli esseri umani, senza sostituirli del tutto.

Vediamo il futuro della difesa della rete più come una partnership, ha affermato Walker. DARPA sta valutando la possibilità di organizzare un secondo concorso di hacking in cui persone e robot lavorano insieme.

nascondere