Artikel top billede

Dusører sætter skub i sikkerhedsforskerne - men hvor er de danske dusører?

Når softwarehuse udlover dusører for sikkerhedshuller, får sikkerhedsforskere bedre arbejdsbetingelser, mens vi alle får bedre sikkerhed. Men det kræver klare aftaler.

For nylig lukkede Facebook et sikkerhedshul, der lod angribere overtage enhver Facebook-side. Fejlen lå i værktøjet Business Manager.

Sandsynligvis har ingen angribere udnyttet sårbarheden.

Sikkerhedsforsker Arun Sureshkumar opdagede den og informerede Facebook om problemet den 29. august. Dagen efter svarede Facebook, at firmaet havde lukket hullet.

Nogle dage senere skrev Facebook til Arun Sureshkumar, at han fik 16.000 dollars i belønning for at have fundet sårbarheden.

Historien er et godt eksempel på den værdi, dusører for sårbarheder medfører: Sikkerhedsforskere som Arun Sureshkumar får betaling for deres arbejde. Facebook undgår sikkerhedsproblemer. Og brugerne af Facebook slipper for at få deres sider eller brugerkonti overtaget.

Mindsker kriminel udnyttelse

En vigtig fordel ved dusørprogrammerne er, at de gør det mindre tillokkende at misbruge sikkerhedshuller.

Hvis Facebook ikke betalte dusør, kunne sikkerhedsforskere overveje at bruge nyopdagede sikkerhedshuller til angreb. Eller de kunne sælge dem til kriminelle bander.

Den slags foregår stadig. Har man opdaget en tilstrækkelig alvorlig sårbarhed, er der firmaer, efterretningstjenester og kriminelle, som vil betale gode penge for den.

Men hvis man kan slippe for at hjælpe kriminelle og samtidig få en reel dusør, er det et godt incitament til at gå direkte til producenten.

Ideen om dusører for sårbarheder er ikke ny. Et af de første programmer, der satte dusørerne i system, var Netscape Bugs Bounty fra midten af 1990'erne.

De senere år har der været stor vækst i antallet af programmer - og i de beløb, der udbetales.

I 2005 opstod Zero Day Initiative (ZDI), der koordinerer kontakten mellem sikkerhedsforskere og softwareudviklere.

I 2012 fulgte HackerOne, som året efter fik opgaven med at koordinere Internet Bug Bounty. Dette program giver dusør for sårbarheder i en række udbredte open source-projekter, som ikke selv har midler til at finansiere dusører.

Styr på offentliggørelsen

Hvorfor ser vi en stigning i dusørprogrammerne? Årsagen er efter min mening, at dusørerne er med til at løse et gammelkendt problem inden for sårbarheder: Spørgsmålet om offentliggørelse.

Nogle sikkerhedsfolk går ind for fuld åbenhed. Så snart en sikkerhedsforsker opdager en sårbarhed, skal den offentliggøres.

På den måde bliver brugerne hurtigst muligt advaret om, at der er en sårbarhed i det system, de bruger.

Ulempen ved den tilgang er imidlertid, at sårbarheden offentliggøres, før producenten får mulighed for at udvikle en rettelse, der lukker hullet.

Derfor får hackere frit spil til at udnytte sårbarheden, indtil en rettelse er klar.

Som modspil har it-branchen foreslået en ansvarlig offentliggørelsespolitik. Det går ud på, at sikkerhedsforskeren først informerer producenten. Når producenten har udviklet en rettelse, bliver den udsendt - og først da bliver offentligheden informeret om sårbarheden.

Den model medfører bedre sikkerhed. Dog beskytter den ikke mod, at kriminelle selv kan opdage sårbarheden og udnytte den i det skjulte.

Da ingen kender til sårbarheden, har brugerne ingen mulighed for at beskytte sig mod angreb.

Et andet problem er, at nogle softwarehuse er meget længe om at udvikle en rettelse. På den måde kan et hul stå åbent i månedsvis, mens udviklerne arbejder.

Derfor er der også en række dusørprogrammer, der har indbyggede tidsfrister: Producenten får en vis frist til at udvikle en rettelse, hvorefter information om sårbarheden offentliggøres.

En fordel ved et formaliseret program er, at det tager hånd om de problemer, der kan opstå. For eksempel skal der være klare regler, der forhindrer, at ønsket om en dusør udarter til decideret afpresning.

Samtidig skal regler beskytte sikkerhedsforskeren, så han eller hun ikke risikerer at blive sagsøgt for hacking, når vedkommende har undersøgt en tjeneste for sikkerhedshuller.
Interessekonflikten mellem producenter og sikkerhedsforskere vil fortsat eksistere.

Men dusørprogrammerne er med til at fjerne nogle af spændingerne: Sikkerhedsforskerne får belønning for deres arbejde, og producenterne får kontrol over, hvornår information om sårbarhederne bliver offentliggjort.

Hvor er danskerne?

Hvordan ser det ud i Danmark?

Jeg kan ikke umiddelbart komme i tanker om virksomheder eller organisationer, der tilbyder dusører til dem, der finder sårbarheder i deres produkter. Hvis du kender til nogen, må du gerne oplyse mig om dem.

Jeg synes, danske udbydere af it-løsninger bør overveje dusørordninger som et led i deres sikkerhedsarbejde.

Det kan medføre, at flere sikkerhedshuller bliver opdaget og lukket, før de it-kriminelle begynder at udnytte dem.

DKCERT (www.cert.dk) er et dansk Computer Security Incident Response Team, der håndterer sikkerhedshændelser på forskningsnettet. I samarbejde med tilsvarende organisationer over hele verden indsamler DKCERT information om internetsikkerhed. DKCERT er en organisation i DeIC (Danish e-Infrastructure Cooperation).

Henrik Larsen, der er chef for DKCERT og bestyrelsesmedlem i Rådet for Digital Sikkerhed, opdaterer en gang om måneden Computerworlds læsere med de seneste tendenser inden for informationssikkerhed.

Læs også:

Fandt kritiske sårbarheder i Google Chrome: Nu vælter han sig i dusør-penge




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Konica Minolta Business Solutions Denmark A/S
Salg af kopimaskiner, digitale produktionssystemer og it-services.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Sådan vil AI-assistenten Microsoft Copilot transformere processer og dit arbejdsliv

Med Microsoft Copilot får du for første gang en intelligent, personlig assistent ved hånden, som kan løse opgaver og lette hverdagen. Få inspiration til, hvordan Copilot kan automatisere rutineopgaver og transformere din hverdag.

18. juni 2024 | Læs mere


Den digitale trussel er konstant, kompleks og stadigt stigende - også i den offentlige sektor

I dagens Danmark har vi indrettet os sådan, at alt kommunikation mellem det offentlige og borgerne foregår på forskellige digitale platforme, hvilket gør både borgerne og de offentlige institutioner skrøbelige overfor cyberkriminalitet. Samtidig lyder det fra rapporter, at de offentliges it-systemer er støvede og fulde af teknisk gæld. Dette er en farlig cocktail for de offentlige institutioner, men en særdeles lækker drink for cyber-kriminelle.

20. juni 2024 | Læs mere


Bliv klar til AI Act: Det vil påvirke både din udvikling, drift og organisation

Fordelene ved at anvende kunstig intelligens bliver stadig mere udtalte, og både som virksomhed og myndighed er det i stigende grad uholdbart ikke at udforske mulighederne. Men der er også risici forbundet på den nye teknologi, og på dette formiddagsseminar ser vi på, hvordan verdens første regulatoriske kompleks – EUs kommende AI Act – adresserer behovet for en etisk, ansvarlig og kontrolleret anvendelse af AI.

20. august 2024 | Læs mere