Jedan dolar

Čitava industrija informacijske sigurnosti izgradila je katedrale od betona i ponosa na ideji da je obrana skupa, kompleksna i da je zahtijeva vojsku konzultanata s certifikatima koji koštaju više nego kuća u Gorskom kotaru. Prodavali su nam strah u kutijama s licencama koje obnavljaš svake godine, a ispostavilo se da je rješenje — dosadno. Jebeno dosadno. Pisati kod koji ne puca na prvi dodir. Memory-safe jezici. Provjere granica. Stvari koje bi svaki programski inženjer trebao raditi od prvog dana, a ne nakon što mu neki klinac iz Rumunjske sruši produkciju jer je zaboravio provjeriti duljinu unosa.

Pedeset godina smo gradili softver kao da ga pišemo za jednokratnu upotrebu. Svaka nova ranjivost bila je iznenađenje, kao da netko nije očekivao da će voda biti mokra. A sada, kad je AI ubrzao proces otkrivanja i iskorištavanja tih rupa s mjeseci na minute, industrija se čudi što su napadi jeftini. Naravno da su jeftini. Kad je alat za probijanje dostupan svakom tko ima browser i malo strpljenja, cijena napada pada na nulu. Napadači ne trebaju superračunala. Trebaju im samo tvoje greške.

I tu dolazimo do dijela koji boli. Memory-safe kod nije nova ideja. Rust postoji od 2010. Go je izašao 2012. Čak je i Java, za koju su svi govorili da je spora, imala garbage collector i zaštitu memorije prije nego što je većina današnjih startupa uopće postojala. Ali ne. Industrija je inzistirala na C i C++ jer su bili brzi i jer su stari programeri znali raditi s njima. Brzina je pobijedila sigurnost, a sada plaćamo račun.

Zamislite građevinara koji bi rekao: "Da, znam da bi temelji trebali biti od armiranog betona, ali meni je lakše raditi s glinom i drvetom, a i brže je." I onda se čudi kad kuća padne nakon prvog jačeg vjetra. To je industrija softvera u sažetku. Svaki propust, svaki buffer overflow, svaka SQL injekcija nije greška u kodu — to je odluka. Netko je odlučio da je brže i jeftinije ne provjeriti. I eto nas.

A najbolji dio? Kompanije koje su prešle na memory-safe jezike i prakse ne pričaju o tome kao o herojskom pothvatu. One to rade tiho, kao da peru zube. Nema konferencija, nema keynoteova, nema članaka u Forbesu. Samo manje incidenata, manje hitnih zakrpa, manje noćnih poziva. Dosadno, zar ne? Nema drame. Nema heroja. Samo kod koji radi.

Ali to je cijela poanta. Sigurnost nije proizvod. Nije vatrozid koji instaliraš i zaboraviš. Nije antivirus koji kupiš svake godine. Sigurnost je proces. Način na koji pišeš svaki red koda. Način na koji testiraš. Način na koji misliš o podacima koji prolaze kroz tvoj sustav. I to, jebote, ne možeš kupiti. Moraš raditi.

I dok se velike kompanije hvale svojim AI sustavima za detekciju prijetnji, mali timovi u garažama rade jedinu stvar koja stvarno funkcionira: pišu bolji kod. Ne pametniji. Ne brži. Bolji. Provjereniji. Sporiji ako treba. Jer brzina bez sigurnosti nije brzina. To je trka u provaliju.

A što je s onima koji i dalje inzistiraju na starim navikama? Oni će nastaviti kupovati skupe alate za detekciju i čuditi se zašto im sustavi i dalje padaju. Platit će konzultante koji će im reći ono što su znali od početka, ali su odbili čuti. I na kraju će zakrpati rupe, umjesto da su od početka gradili zidove koji ne propuštaju.

Jedina konstanta u tech industriji je sposobnost ljudi da budu iznenađeni očekivanim.

Izvor: spectrum.ieee.org