Super-hacker: Apple og Microsoft må selv finde fejl

Super-hackeren, der netop har vundet stor konkurrence ved at finde fejl i Apples og Microsoft software, vil ikke "bare" videregive sårbarhederne. Læs hvorfor.

Computerworld News Service: Det eneste menneske, der nogensinde har vundet den store hacker-konkurrence Pwn2Own tre gange, siger nu, at sikkerhedsspørgsmålet er 'en farce', og at han derfor ikke vil videregive oplysningerne om de sårbarheder, han har fundet i Apple, Adobe og Microsofts software.

I stedet vil Charlie Miller vise virksomhederne, hvordan de selv finder fejlene.

Charlie Miller, som vandt godt 55.000 kroner i hacker-konkurrencen i denne uge ved at knække Safari på en MacBook Pro med Snow Leopard, fortæller, at han er træt af den manglende udvikling på sikkerhedsområdet.

"Vi finder en bug, og så fikser de den. Så finder vi en ny, og så fikser de også den. Det øger altså ikke produkternes sikkerhed. Okay, softwaren bliver en lille smule bedre hver gang, men der er behov for grundlæggende forbedringer på området. Jeg kan ikke tvinge virksomhederne," siger super-hackeren.

Ved hjælp af få linjer kode skabte Charlie Miller det, han kalder en "dumb fuzzer" - et værktøj der automatisk søger efter fejl i softwaren ved at lægge data ind, så man kan holde øje med, hvor programmet fejler.

'Fuzzing' er en velkendt metode, som også anvendes af udviklerne selv, inden de sender ny software på gaden. Microsoft har for eksempel brugt metoden længe som en del af virksomhedens Security Development Lifecycle (SDL), der er betegnelsen for den sikkerhedsproces et produkt gennemgår efter sin skabelse.

Fandt 20 sikkerhedshuller
Charlie Millers fuzzer fandt hurtigt 20 sårbarheder i en række applikationer og i Apples styresystem Mac OS X 10.6 - også kendt som Snow Leopard - såvel som i virksomhedens Safari-browser. Derudover fandt han fejl i Microsofts PowerPoint, i Adobes populære PDF-læser, Reader, og i og i det open source-baserede OpenOffice.org.

Og nu var det så meningen, at Charlie Miller skulle indtage scenen på konferencen CanSecWest i Vancouver, som er arrangeret af samme firma, der også står bag Pwn2Own-konkurrencen, hvor han skulle demonstrere, hvordan han fandt sårbarheden. Han håber, at Apple, Microsoft og andre leverandører vil lytte til, hvad han har at sige.

"Folk vil kritisere mig og sige, at jeg er en af 'the bad guys', når jeg ikke vil videregive sårbarhederne, men for mig giver det mere mening ikke at sige det," forklare Charlie Miller.

"Det, jeg kan gøre, er at fortælle dem, hvordan de selv finder fejlene på samme måde, som jeg gjorde. Måske kan det få dem til at 'fuzze' mere".

Det mener Charlie Miller ville medføre mere sikkert software.

Det, der virkelig skuffer Charlie Miller, er, hvor nemt det var at finde fejlene. "Der er måske nogen, der vil mene, at jeg praler, men så klog er jeg altså heller ikke. Jeg anvendte en ret triviel metode, og alligevel fandt jeg sårbarhederne."

Charlie Miller troede ikke, han ville kunne finde sårbarheder alene ved hjælp af en dumb fuzzer. "Men det gjorde jeg, og jeg fandt mange. Det var både en overraskelse og en skuffelse."

Det fik ham desuden til at spørge sig selv om, hvorfor leverandører som Microsoft, Appel og Adobe, der har masser af sikkerhedsfolk ansat, ikke selv har fundet fejlene for længe siden.

En enkelt mand med tre computere burde ikke kunne omgå så mange menneskers sikkerhedsforanstaltninger, mener Charlie Miller. "Det er ikke fordi, de ikke bruger [fuzzere], de gør det bare ikke særligt godt."

Håber at virksomhederne opper sig
Ved at nægte at videregive de tekniske oplysninger om de sårbarheder, han fandt, tror Charlie Miller, at han kan få virksomhederne til at finde fejlene på samme måde, som han gjorde og dermed måske - måske - motivere virksomhederne til at tage sikkerheden mere alvorligt.

"Jeg tror, de vil føle sig pressede til at finde fejlene," argumenterer han.

Charlie Miller brugte en af de fejl, han fandt ved hjælp af sin dumb fuzzer, til at knække Safari på en MacBook Pro, og han vandt derfor en bærbar computer, godt 55.000 kroner og en rejse til Las Vegas, hvor han skal deltage i hacker-konkurrencen DefCon.

Charlie Miller vandt også under Pwn2Own i 2008 og i 2009, begge gange ved at udnytte en sårbarhed i Safari på Mac.

Oversat af Marie Dyekjær Eriksen




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
IT Relation A/S
Outsourcing, hosting, decentral drift, servicedesk, konsulentydelser, salg og udleje af handelsvarer, udvikling af software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
RPA og software-robotter: Businesscase og teknologi

Robot process automation - RPA - har i det seneste års tid for alvor fået et gennembrud i både virksomheder, organisationer og (ikke mindst) i den offentlige sektor, hvor både kommuner, styrelser og andre institutioner har taget de små software-robotter til sig.

23. september 2020 | Læs mere


"One Minute Workflow" til ad hoc-opgaver

De seneste mange måneder har givet os alle en helt ny opfattelse af arbejdspladsen. Fjernarbejde forventes at blive en del af den nye hverdag, som vi alle kigger ind i. Det har været en øjenåbner for mange, men det har også givet os vigtig læring - hvordan sikrer du, at dine medarbejdere har samme muligheder og kan opretholde effektiviteten, også når de ikke arbejder på kontoret?

23. september 2020 | Læs mere


Digitalt seminar: Styrk økonomistyringen i en krisetid med AI og robotter

Det stiller store krav til virksomhedens økonomistyring. Blandt andet fordi det er blevet sværere end nogensinde at tage bestik af virksomhedens økonomi, konkurrence- og driftssituation på selv den korte bane. Få inspiration til at komme i gang med at styrke økonomistyringen med AI og ML på grundlag af konkrete input og erfaringer.

24. september 2020 | Læs mere





mest debatterede artikler

Premium
Telebranchen efter pludselig udskydelse af vigtige frekvensauktioner: Kommer til at ramme 5G-udbygningen i Danmark
Energistyrelsen har meldt ud, at de kommende frekvensauktioner udskydes til efteråret. Det ærgrer Jakob Willer, direktør for Teleindustrien, da det vil få Danmark til at falde bagud i forhold til udbyggelsen af 5G-netværk.
Computerworld
Så kom der pris og dato på de nye PlayStation 5-modeller
Sony slipper de nye PlayStation 5 konsoller løs blot halvanden uge efter lanceringen af Microsofts Xbox-kollektion.
CIO
Podcast: Pandoras CIO Peter Cabello afslører sine tre vigtigste mål for digitaliseringen
Podcast, The Digital Edge: Hør Pandoras CIO Peter Cabello Holmberg fortælle om, hvordan et af verdens største smykkefirmaer arbejder med innovation og digitalisering af et traditionel offline salg, og hvordan Pandora udnytter data til at skabe en bedre kundeoplevelse.
Job & Karriere
På jagt efter et it-job i Jylland? Her er 10 stillinger fra Aabenraa til Aalborg, der ledige netop nu
Vi har fundet en række spændende stillinger til dig, der jagter et it-job. Her kan du vælge og vrage mellem ledige stillinger lige fra Aabenraa til Aalborg.
White paper
Sådan vinder de etablerede virksomheder med digital transformation
For virksomheder der forbereder sig på at gennemgå en digital transformation, hvor Customer Experience er en central faktor, så har der aldrig været mere på spil end nu. Digital disruption truer med at ændre måden legacy virksomheder driver forretning på. Etablerede virksomheder udfordres af nye virksomheder, som mestrer det hurtigt udviklende digitale landskab. Kunder forventer en nem oplevelse og de vil kunne drage nytte af de samme digitale kanaler, som de bruger til at kommunikere med venner og familie med, til at kommunikere med virksomheder. Denne guide har vi designet til at hjælpe Enterprise virksomheder, der er i de tidlige stadier af deres digitale transformation, de organisationer vi kalder Digital Transformers – til at forstå de bedste næste skridt baseret på deres unikke profiler og hjælpe dem med at benchmarke mod deres konkurrenter.