Microsoft zakrpao 398 rupa, ali problem nije broj nego pristup

Tristo devedeset osam sigurnosnih rupa u jednom danu, od kojih je jedna već aktivno iskorištena, a dvije su javno procurile prije nego što je itko u Redmondu stigao dignuti dupe sa stolca. To nije zakrpa. To je ispovijed. Čovjek ne objavi četiri stotine popravaka jer je bio marljiv — objavi ih jer je godinama šutio o tome koliko mu je sustav trul.

I tu počinje problem koji nitko ne želi imenovati.

Mi smo, naime, izgradili cijelu digitalnu civilizaciju na operativnom sustavu koji se popravlja kao stara Jugo: čim zalijepiš jednu rupu, druga pukne na tri mjesta dalje. I svaki mjesec svi mi — IT administratori, sysadmini, male firme koje nemaju security tim nego im je "dečko iz informatike" — sjednemo i molimo se da ovaj Patch Tuesday ne bude onaj koji će nas sjebati. A on uvijek, ali uvijek, nađe način.

Nekad je to zero-day koji je netko već prodao na crnom tržištu prije nego što je Microsoft uopće saznao da postoji. Nekad je to rupa koju je neki istraživač prijavio prije devet mjeseci, pa je čekala na red kao pacijent u riječkoj hitnoj. A nekad je to obična, klasična, jebena nemarnost — netko je ostavio vrata otvorena jer je rok bio važniji od sigurnosti.

Koji kurac se dogodio s "secure by design"?

Pitam to jer sam proveo godine gradeći mreže u vrijeme kad je Windows NT bio nešto novo i uzbudljivo, kad si znao svaki port napamet i kad je firewall bio fizički uređaj veličine kutije za cipele, a ne virtualna usluga koju netko naplaćuje po gigabajtu. U to vrijeme, sigurnost je bila inženjerska disciplina. Danas je to PR odjel.

Zamisli da svaki mjesec dobiješ izvještaj od svog vodoinstalatera: "Evo, popravili smo četiri stotine cijevi u zgradi, ali jedna još curi i netko je to već iskoristio da poplavi stan na trećem katu." Bi li rekao "odlično, marljivi ste"? Ne bi. Rekao bi "koji kurac radite s mojom zgradom?"

Ali u tech svijetu, ta ista logika prolazi kao uspjeh.

Analizirajmo brojke jer brojke ne lažu. Četiri stotine rupa po mjesecu znači trinaest dnevno. Trinaest. To znači da netko u Microsoftu svaki dan, uključujući vikende i blagdane, otkrije ili dobije prijavu za trinaest novih načina na koje te netko može zajebati. I to su samo one koje su otkrivene. Koliko ih čeka u mraku, tko to zna.

I sad dolazi dio koji me najviše živcira.

Svaki put kad se dogodi ovako nešto, iz Redmonda stigne priopćenje puno fraza o "predanosti sigurnosti" i "kontinuiranom poboljšanju". I svi to progutaju. Novinari napišu "Microsoft objavio rekordan broj zakrpa", kao da je to sportsko dostignuće. A meni to zvuči kao da hvališ kuhara što je napravio četiri stotine jela, a pola ih je spalio.

Pacijent ne umire od dijagnoze, umire od bolesti. A mi smo prestali govoriti o bolesti i fokusirali se na dijagnoze.

Bolest je strukturna. Windows je naslijeđe iz devedesetih, kad se sigurnost dizajnirala kao naknadna misao, kad je "internet" bio nešto što se spaja dial-upom na 56k i kad nitko nije razmišljao o tome da će tvoj toster biti povezan na mrežu. To naslijeđe se ne može zakrpiti. Može se samo maskirati. I Microsoft to zna, ali ne može priznati jer bi to značilo da treba početi ispočetka — a to je nemoguće, jer bi cijeli svijet stao.

Zato dobivamo četiri stotine zakrpa mjesečno. Zato je to "normalno". Zato se nitko ne čudi.

A što je s onima koji te rupe koriste? E, tu priča postaje stvarno zanimljiva. Jer za svaku od te četiri stotine rupa postoji netko tko je proučava, testira, razvija exploit. Tržište zero-day rupa je procvjetalo jer je ponuda ogromna, a potražnja još veća. Države kupuju. Kriminalci kupuju. Svi kupuju.

I tako živimo u svijetu u kojem je tvoja sigurnost roba kojom se trguje, a ti si samo krajnji korisnik koji dobije zakrpu kad je već kasno.

Najgore od svega? Većina tih rupa se može spriječiti. Ne sve, ali većina. Da se sigurnost testira prije nego što se kod objavi, da se provodi redoviti code review, da se ne šalje softver na tržište s rokom "stići ćemo" — većina ovih rupa ne bi nikad ugledala svjetlo dana. Ali to košta. A kapitalizam ne voli troškove koji se ne mogu odmah naplatiti.

Zato imamo Patch Tuesday. Zato imamo četiri stotine rupa mjesečno. Zato je "sigurnost" postala industrija koja zarađuje na vlastitim greškama.

Postoji li izlaz? Da, ali nije ugodan.

Trebali bismo prestati nagrađivati kompanije koje isporučuju softver s rupama. Trebali bismo uvesti odgovornost — ako tvoj softver ima kritičnu rupu koja je uzrokovala štetu, ti plaćaš. Ne korisnik. Ne osiguravajuća kuća. Ti. To bi promijenilo sve. Odjednom bi "secure by design" postao financijski imperativ, a ne marketinški slogan.

Ali to se neće dogoditi. Jer softver nije reguliran kao hrana ili lijekovi. Softver je "samo kod". I tako nastavljamo, mjesec za mjesecom, primati četiri stotine flastera za ranu koja krvari iznutra.

Jedina konstanta u tech industriji je sposobnost ljudi da budu iznenađeni očekivanim.

Izvor: krebsonsecurity.com