 |  |
|
מארגנת תחרות ההאקרים: לינוקס אינה מאובטחת לחלוטין, היא פשוט הוזנחה על ידי המשתתפים
מערכת ההפעלה ויסטה הציגה רמת אבטחה גבוהה יחסית | צלם: יח"צ
לטענת טרי פורסלוף, לא צריך לקפוץ למסקנות מכך שלינוקס הייתה מערכת ההפעלה היחידה שלא נפרצה בתחרות. את המחמאות היא שומרת דווקא למיקרוסופט
02.04.08 | 17:01Software | Security | Microsoft
אנשים לא צריכים לקפוץ למסקנות חפוזות בעקבות העובדה שמתוך שלושת המחשבים הניידים שהשתתפו בשבוע שעבר בתחרות ההאקרים "PWN to OWN", היחיד שלא נפרץ היה זה שהריץ מערכת הפעלה לינוקס, כך טוענת היום חוקרת האבטחה שניהלה את התחרות.
"פשוט לא הייתה כל התעניינות באובונטו", אומרת טרי פורסלוף, מנהלת תגובות האבטחה של TippingPoing, חברת בת של תאגיד 3Com, שהייתה זו שפרשה את חסותה על האירוע. "תחרות כמו זו אינה אמת מידה להשוואה בין רמות האבטחה של מערכות ההפעלה. לא מדובר על ברומטר מדויק".
לדבריה, העובדה שמחשב הסוני הנייד שהריץ אובונטו 7.10 היה היחיד שלא נפרץ אינה אומר שמערכת ההפעלה שלו בטוחה יותר בהשוואה למקינטוש או לויסטה, שתי המערכות האחרות שהשתתפו בתחרות.
"למעשה, היה מדובר על חוסר עניין מצידם של ההאקרים בתחרות", אומרת פורסלוף. "המתקפה של שיין מקאולי למשל (פרטים בהמשך) הייתה עובדת בקלות גם על לינוקס. אבל המתחרים מפיקים הרבה יותר תועלת ותשומת לב ממתקפות על מק או חלונות", היא מסבירה.
מתוך שלושת המחשבים, הראשון שנפרץ היה ה-MacBook Air. הדבר נעשה ביום חמישי שעבר, היום השני של התחרות, על ידי האקר בשם צ'ארלי מילר, תוך שימוש בנקודת תורפה לא מוכרת בדפדפן הספארי. למחרת, ביום שישי, פרץ מקאולי למחשב הפוג'יטסו שהריץ מערכת הפעלה של ויסטה שכללה את חבילת השירות הראשונה (SP1), זאת תוך שימוש בנקודת תורפה בתוכנת הפלאש של אדובי.
בשני המקרים גרפו ההאקרים פרס כספי נאה בתמורה לנקודות התורפה החדשות אותן גילו -10,000 דולר למילר ו-5,000 דולר למקאולי. נקודות התורפה גם דווחו לאפל ולאדובי על מנת שתוכלנה לתקן אותן בהקדם.
היום הראשון של PWN to OWN תוכנן כך שניתן יהיה לעשות שימוש אך ורק במתקפות דרך הרשת, ולהאקרים לא ניתנה כל גישה למערכות ההפעלה עצמן. כתוצאה מכך איש לא הצליח לפרוץ לאף אחד משלושת המחשבים באותו יום. רק למחרת, לאחר שרמת החשיפה של המחשבים הורחבה, תחילה כך שתכלול שימוש ביישומים מקומיים שמותקנים על מערכות ההפעלה כברירת מחדל, ולאחר מכן גם לקבוצה גדולה יותר של תוכנות צד שלישי, רק אז נפרצו ה-MacBook Air והפוג'יטסו.
"למען האמת, לא ציפינו שמישהו יצליח ביום הראשון", אומרת פורסלוף. לא זו בלבד שקשה מאוד לזהות ולנצל נקודות תורפה שעומדות בקריטריונים של היום הראשון, אלא שהן ככל הנראה שוות הרבה יותר מ-20,000 הדולרים אותם הציעה TippingPoint באותו יום, היא מסבירה.
"התחרות שלנו מלמדת שנקודות התורפה מטפסות במעלה פירמידת היישומים", טוענת פורסלוף. המגמה של מעבר מתקיפה של מערכת ההפעלה עצמה לתקיפה של היישומים שרצים עליה הולכת ומתרחבת כבר חודשים רבים. כיום, הרוב המכריע של נקודות התורפה שמתגלות הן נקודות תורפה ביישומים מקומיים כגון דפדפני אינטרנט, מיקרוסופט וורד, Adobe Reader, ואחרים.
חלק מהמעבר לתקיפה של יישומים נכפה על האקרים בגלל העובדה שמערכות ההפעלה עצמן הופכות מאובטחות יותר ויותר, אומרת פורסלוף. התחרות של השנה הדגימה את זה יפה כאשר מקאולי התקשה מאוד בתחילה לפרוץ לפוג'יטסו שהריץ את Vista SP1.
"SP1 היוותה אתגר עצום עבורו", מספרת פורסלוף. "כאשר הוא נכנס לחדר בו התקיימה התחרות, הוא היה מאוד בטוח בעצמו. הוא אמר שהוא עומד לפרוץ למחשב בתוך 2 דקות. הוא אמר שהוא עומד להדהים את הקהל".
אבל זה לא מה שקרה, לפחות לא בשלב הראשון. מקאולי הכין מתקפה, אומרת פורסלוף, אבל הוא לא בחן אותה מראש מול ויסטה שכוללת את SP1, חבילת השירות ששוחררה באופן רשמי רק לפני שבועיים.
"מיקרוסופט הכניסה למערכת ההפעלה הרבה דברים חדשים על מנת להקשות על תוקפים", מסבירה פורסלוף. "מקאולי צריך היה לשלוף כמה וכמה טריקים מהשרוול על מנת לגרום למתקפה אותה הכין לעבוד על SP1".
פורסלוף טוענת עוד שנקודת התורפה בתוכנת הפלאש בה עשה מקאולי שימוש על מנת לחדור לויסטה היא למעשה מאפיין חוצה פלטפורמות, ולכן קיימת גם על Mac OS X וגם על לינוקס. לדבריה, מקאולי יכול היה בקלות רבה לפרוץ לכל אחד משני המחשבים האחרים.
"הקושי הגדול בו נתקל מקאולי בניסיון לנצל את נקודת התורפה בפלאש מראה שמיקרוסופט החלה להערים יותר קשיים בדרכם של האקרים", אומרת פורסלוף. "כמה מאסטרטגיות האבטחה החדשות של החברה מקשות מאוד על החדירה למחשב. לכל מערכת ניתן בסופו של דבר לפרוץ, החוכמה היא לבנות מערכות שייהפכו את מלאכת הפריצה למסובכת יותר, ובכך יצמצמו את מספר האנשים שמסוגלים לעשות זאת", היא מסכמת.
פורמט להדפסה
שלח באימייל
חזרה למעלה
עשרת הגדולים
- 1. חורף 2009 בג'ימייל: תיבת הדואר של גוגל בעיצוב חדש
- 2. HP משיקה מחשב נייד מולטי טאץ' על בסיס הטכנולוגיה של אן-טריג הישראלית
- 3. מיקרוסופט תשיק אנטי וירוס חינמי
- 4. נמשכים הפיטורים בהיי-טק: 1,004 מפוטרים ב-38 חברות ישראליות
- 5. פלייבוי מציג: גיבורות משחקי המחשב ככוכבות פורנו
- 6. הפיירפוקס של עולם המדיה סנטר: הסטארט-אפ הישראלי boxee גייס 4 מיליון דולר
- 7. סבב פיטורים נוסף במודו: מפטרת 88 עובדים
- 8. האינטרנט הישראלי נטול כרום
- 9. ג'ימייל: לא רק צ'ט וידיאו
- 10. מנה עסקIT: מחשב-על ישראלי במקום ה-120 מתוך 500 המחשבים החזקים בעולם
ראש צוות QA – דרושים הייטק
ניסיון בניהול צוותי QA לפחות שנתיים. ניסיון בתקשורת – יתרון. אופק ניהולי למצטיינים
Internet | Israeli Hi-Tech and Startups | Silicon Wadiתוכניתן C++
תואר ראשון במדעי המחשב. לפחות שנה ניסיון בפיתוח C++. ניסיון בעבודה בסביבת Microsoft Visual Studio
Internet | Silicon Wadi | Israeli Hi-Tech and Startupsדרושים מהנדסי תוכנה
פיתוח אפליקציות לעיבוד נתונים, ניתוחם והצגתם. בוגרי מתמטיקה, פיזיקה או מדעי המחשב
Internet | Israeli Hi-Tech and Startups | Silicon Wadiדרושים מתכנתי JAVA
נסיון של שנתיים בפיתוח Java/J2EE לפחות שנתיים נסיון בפיתוח Java בצד הserver
Internet | Israeli Hi-Tech and Startups | Silicon Wadi