Ох, в интересное время живем. С одной стороны история с санкциями США привела к тому, что поднялись активные дискуссии на тему того, что надо дескать отказываться от всего зарубежного и проприетарного и переходить на свое собственное и опенсорсное. С другой стороны история с Heartbleed дала конкретного пинка всем, кто выступал за то, что опенсорс гарантирует бОльшую безопасность и защиту от уязвимостей.
И вот все это натолкнуло меня на размышления на тему возможности включения недекларируемых возможностей (закладок) в программный код. В этой ситуации история с Heartbleed очень показательна, уязвимость появилась в одном из обновлений пакета OpenSSL несколько лет назад и с тех пор благополучно ждала своего часа чтобы быть открытой и наделать много шума. Кроме того, появляется информация что агентство NSA якобы знало про эту уязвимость (чему я склонен верить) и использовало ее в своих интересах (что тоже вполне логично).
Теперь давайте посмотрим с другой стороны, со стороны разработчика коммерческого программного обеспечения (в т.ч. и средств защиты информации). Практически никто сейчас не разрабатывает программное обеспечение с нуля в полном вакууме. В любом случае используются какие-то IDE, компиляторы, программные библиотеки, готовые компоненты, базы данных наконец. Возьмите любую более-менее сложную программную систему (или средство защиты) и вы увидите что в сердце него обязательно есть какая-то база данных (MS SQL, MySQL, Oracle и пр.). Помните этот вирус, который несколько лет назад наделал много шума среди разработчиков ? Вредонос заражал компилятор и в итоге все созданные с помощью этого компилятора программы становились носителями вируса. Неплохо ? Как знать, может быть это были полевые испытания ?
Таким образом мы имеем то, что практически в любой программный код можно встроить скрытую уязвимость (она же закладка) через сторонние компоненты, используемые при его разработке и/или функционировании. Можно ли от этого защититься ? Давайте рассмотрим типовые предложения:
1) Использовать только опенсорс ? Нет, не поможет. Хотя у нас вот уже сколько всего государственного все порываются создать на базе опенсорса (и отечественную ОС и вот теперь вроде как защищенные мобильники для госслужащих и проч.) Да только будет ли это действительно безопасно ? История с Heartbleed очень четко показала, что нет. Современные программные компоненты содержат такое количество кода, что никто либо не в состоянии его проанализировать, либо просто не готов тратить на это время / ресурсы и деньги наконец.
2) Сертифицировать продукт на отсутствие НДВ ? Тоже не поможет. Потому что сертификацию эту проводят тоже люди. Смогут они найти скрытую уязвимость (или несколько уязвимостей) в программном коде ? Да бьюсь об заклад что скорее всего нет. А если к этому еще прибавить то, как это в принципе делается у нас, то тут вообще без шансов.
Единственный выход (по крайней мере, как мне видится) это создание всех компонентов используемых при разработке и функционировании ПО с нуля. Но разве могут это позволить коммерческие компании ? Однозначно нет. Более того большинству частных потребителей (их клиентам) это и не нужно.
Я считаю что подобными разработками могут и должны заниматься специально созданные компании (ФГУПы или что-то подобное), причем их разработки должны быть предназначены в первую очередь для военных целей (включая вопросы защиты гостайны и проч.). Такие компании за счет финансирования государства смогут себе позволить вести разработки с нуля. Более того они могли бы привлекать к этим разработкам существующие в России ВУЗы, обучающие по направлению информационной безопасности, прикладной математики, программирования. Т.е получится что-то вроде военных заводов, если проводить аналогию с разработкой оружия, только по производству программного обеспечения. При этом результат их разработки можно будет продавать и коммерческим структурам, которые посчитают для себя угрозу внедрения скрытых уязвимостей / закладок недопустимой и требующей минимизации. Вот куда лучше потратить деньги, а не на переделку под защиту гостайны очередной модификации Android или Linux. Но это если конечно мы хотим добиться реального результата, а не просто освоить бюджет.
Есть у нас подобные компании? Я не слышал, возможно и есть, но в лучшем случае они разрабатывают средства защиты каналов связи. Но ведь есть еще антивирусы, средства контроля доступа, системы фильтрации трафика и проч. А надеяться, что коммерческая компания разработает программную систему или средство защиты для широкого рынка, а потом за счет сертификации полностью исключит все скрытые уязвимости, просто наивно (хотя именно так сейчас это и "работает").
Some people prefer to absorb information audibly or visually. Luckily; for those in information security who like to learn that way, Paul Asadoorian provides podcasts and video blogs on all the latest from the world of infosec on his site, 
When you need a strong leader, someone to push through the complex business and technical problems, you should look to your Twitter feed and make sure Gal Shpantzer is on it!
No artist can work without their instruments and the same is largely true for infosec folk. Turn to Ron Gula, the CEO of Tenable Network Security, he’ll have all the tools you’ll ever need.
Do you know that man, the man that women want to be with and who men want to be? Well now you do, it’s Andrew Hay. He’s the devastatingly handsome Director of Applied Security @Cloudpassage. I look forward to your angry messages about how jealously has overcome you.
Do you like a bit of mystery on your Twitter feed? Well then you need Jayson E. Street. Scientists have long pondered as to why he only follows 403 people, but because of HTTP Error 403 they don’t have the authorisation to view this information.
A cyber security and resource auditor, who, judging by his picture has reached a level of security so profound, he has become a key.
I know it’s hard with all the power of Infosec to stay ethical, so what you need is a man so ethical it’s even in his Twitter handle. This enthusiastic security engineer will keep you from turning to the dark side of infosec.
Scribes have throughout the ages jotted down the information that would go on to influence civilisations. If you are wondering who the scribe is for infosec; it’s none other than Bill Brenner. You can read his breadth of knowledge ‘The OCD Diaries’ if you don’t believe me.
Sometimes you need to follow a Twitter user who just has it all, and since Steve is a problem solver, a business minded hacker, a master of sarcasm, an information sponge, an infosec lover AND an athlete, frankly to want anything more would just be greedy.
How many people do you follow and would trust them to stand up in court? Well wonder no more, you only need one, and that’s Eric Vanderburg. This cyber security leader and professional speaker is also an author and professor, the courtroom won’t know what hit them.
Need to focus on policy and practice, Dan is the man for you! Not only is he the editor of FISMApedia.org, he’s also a Federal cyber security, risk management, cloud security and information security practitioner.
They say as a child, the young cyberwar_Geek was bitten by a radioactive CSO which turned this humble geek into an IT professional by pure accident. So give a follow, especially if you have an interest in the practical application of technology.
Are you a 24 year veteran of the Infosec war? No? Well fall in line solider and follow Eugene Kaspersky, I doubt I need to tell you who he is beyond this.
If you ever find yourself lost in Croatia and in need of an expert in information security and a business continuity management, fear not, for you will be following Dejan Kosutic.
You ever wake up in the morning and think, ‘I really feel like speaking to a CRO who enjoys Malware adventuring and speaks at TED’? Well then, you do have some really odd wants in life, but don’t worry we have you covered, Mikko Hypponen is your man.
Your Twitter list has a hole, a hole shaped like a CSO who has blogged for 10 years and can train anyone in the arts of the black hat. So go forth reader, follow Richard Bejtlich.
Are you a fan of text adventures? Work in computer security? Read blogs? Attend speaking events? Well I’m shocked you don’t follow Graham Cluley already…
You ever wondered what a CISSP and Tenable Product Manager who occasionally blogs would do in their free time? Well, if Jack Daniel is anything to go by, the answer is MAKE SWORDS. At least that is what I took from him being an amateur blacksmith.
I don’t know how a black belt in Brazilian Jiu-Jitsu would help a White Hat Web security enthusiast and public speaker (TED Alumni)…But I’m too scared to ask.
I’d love to be a fitness culturist, who has a healthy enjoyment of Shiraz and bourbon, skilled in the art of Brazilian Jiu-jitsu while working as a Technosophing Security dude… but I’m not, so you can follow Hoff instead.
It’s often joked that everyone in Ireland knows each other; well you can join in the fun too, follow Brian! He’s an infosec consultant and Head of Ireland’s CSIRT and he blogs!
I have a movie idea about an Internet security journalist who used to work for the Washington post uncovering the cyber-crime story of the decade… do you think Brian Krebs would play the lead?
Need to add a bit of life to your Twitter feed? Well, I know a security type podcaster who blogs, plays bass and invents emoticons. So go follow the lovely Canadian called Dave already.
Do you believe in a healthy dose of paranoia? Are you an Akamai security evangelist? Do you have an interest in blogs and podcasts? If you answered yes to all of these you are potentially Martin McKeay, if you are not Martin, and answered yes to any of these, go follow him.
Feel like you need a bit of career coaching or maybe work in the security realms of influence and social engineering? You should give Mike a follow; you’d have loads in common!
Facebook
