Ivanti EPMM: kad ti zaštita treba prije nego što je instaliraš

Nulta rupa u sigurnosnom proizvodu koju napadači već koriste prije nego što je proizvođač uopće objavio da postoji — to nije bug, to je poslovni model. I tako svaki put. Kao da kupiš sef, doneseš ga kući, a u njemu već sjedi tip s pajserom i pita: "Jesi donio pivo?"

Ivanti je objavila upozorenje za novu ranjivost u EPMM-u, njihovom alatu za upravljanje mobitelima. Visoka ozbiljnost, daljinsko izvršavanje koda, zero-day u divljini. Prevedeno: netko je već provalio, ti si vjerojatno sljedeći, a zakrpa stiže — pogodi kad stigne. "Što prije moguće", kažu. To je u prijevodu "nadamo se da će vaši serveri izdržati još koji tjedan dok mi skužimo kako smo usrali kod".

Ove stvari više nisu iznimka. Postale su pravilo. Svaki mjesec, kao po švicarskom satu, društvo za sigurnosne proizvode objavi da njihov proizvod ima rupu koju netko već koristi. I svaki put se čudimo. Koji kurac? Pa vi prodajete sigurnost. To je kao da ti mesar proda pileća prsa pa ti na odlasku kaže: "Usput, moguće da su pokvarena, ali javit ćemo ti za tjedan dana."

Industrija sigurnosnog softvera je najveća ironija moderne tehnologije. Prodaješ rješenje za problem koji si sam stvorio. I to naplaćuješ. I to dobro. Tržište cyber securityja vrijedi preko dvjesto milijardi dolara, a broj uspješnih napada raste brže od broja sigurnosnih certifikata. Netko tu zarađuje na obje strane jednadžbe. Nije pametno, nije slučajno, nije greška. To je struktura.

Sjeti se onog starog vica: "Koja je razlika između sigurnosnog inženjera i terorista? S teroristom možeš pregovarati." Ivanti EPMM nije izoliran slučaj. To je simptom. Dijagnoza je jednostavna: industrija proizvodi softver brže nego što ga može osigurati, a korisnici ga instaliraju brže nego što ga mogu razumjeti. I tu smo. U začaranom krugu gdje je jedina sigurnost u tome da nisi na meti, a jedina nesigurnost je što ne znaš na čijoj si meti.

Ranjivost u EPMM-u je klasični primjer. Proizvod koji bi trebao štititi tvoje mobitele od napada — sam postaje ulazna točka za napad. To je kao da angažiraš tjelohranitelja koji te na kraju opljačka. I onda ti on kaže: "Izvini, stari, nisam znao da imam problema s impulzivnošću." A ti plaćaš pretplatu.

Ako misliš da je ovo samo problem Ivantija, varaš se. taj obrazac se ponavlja kod svih. Palo Alto, Fortinet, Cisco, Microsoft — svi su prošli istu priču. Objave ranjivost, kažu da je zero-day, da se već koristi, da je kritično, da treba hitno zakrpati. I onda čekamo. I dok čekamo, netko negdje već koristi tu rupu. To nije sigurnost. To je igra brojeva. I ti si broj.

Najgore od svega je što su korisnici navikli. Postalo je normalno. Kao da ti vodoinstalater kaže: "Evo ti slavina, ali curi. Javit ću ti kad stigne brtvica." I ti to prihvatiš. I plaćaš. I čekaš. A voda ti polako plavi podrum. E pa, u digitalnom svijetu, taj podrum su tvoji podatci. A voda je netko tko ih već čita.

Ivanti kaže da nema dokaza da je ranjivost korištena protiv njihovih kupaca. To je standardna rečenica. Prevodi se: "Znamo da rupa postoji, znamo da je netko koristi, ali ne znamo koga je pogodila, i nadamo se da niste vi." I to je najbolje što možeš dobiti. Ako si korisnik EPMM-a, tvoj dan je upravo postao zanimljiviji. Ako nisi, tvoj dan je upravo postao poučniji.

Jer ovo nije samo o Ivantiju. Ovo je o svemu što kupuješ, instaliraš i vjeruješ. Softver nije proizvod. Softver je obećanje. I ta obećanja se krše svaki dan, u svakoj industriji, na svakoj razini. Jedina razlika između sigurnosnog alata i običnog alata je u cijeni i u tome koliko brzo ćeš saznati da ne radi.

Ako moraš objasniti zašto tvoj sigurnosni proizvod nije prijevara, vjerojatno jest.

Izvor: bleepingcomputer.com