Computerworld News Service: Det eneste menneske, der nogensinde har vundet den store hacker-konkurrence Pwn2Own tre gange, siger nu, at sikkerhedsspørgsmålet er 'en farce', og at han derfor ikke vil videregive oplysningerne om de sårbarheder, han har fundet i Apple, Adobe og Microsofts software.
I stedet vil Charlie Miller vise virksomhederne, hvordan de selv finder fejlene.
Charlie Miller, som vandt godt 55.000 kroner i hacker-konkurrencen i denne uge ved at knække Safari på en MacBook Pro med Snow Leopard, fortæller, at han er træt af den manglende udvikling på sikkerhedsområdet.
"Vi finder en bug, og så fikser de den. Så finder vi en ny, og så fikser de også den. Det øger altså ikke produkternes sikkerhed. Okay, softwaren bliver en lille smule bedre hver gang, men der er behov for grundlæggende forbedringer på området. Jeg kan ikke tvinge virksomhederne," siger super-hackeren.
Ved hjælp af få linjer kode skabte Charlie Miller det, han kalder en "dumb fuzzer" - et værktøj der automatisk søger efter fejl i softwaren ved at lægge data ind, så man kan holde øje med, hvor programmet fejler.
'Fuzzing' er en velkendt metode, som også anvendes af udviklerne selv, inden de sender ny software på gaden. Microsoft har for eksempel brugt metoden længe som en del af virksomhedens Security Development Lifecycle (SDL), der er betegnelsen for den sikkerhedsproces et produkt gennemgår efter sin skabelse.
Fandt 20 sikkerhedshuller
Charlie Millers fuzzer fandt hurtigt 20 sårbarheder i en række applikationer og i Apples styresystem Mac OS X 10.6 - også kendt som Snow Leopard - såvel som i virksomhedens Safari-browser. Derudover fandt han fejl i Microsofts PowerPoint, i Adobes populære PDF-læser, Reader, og i og i det open source-baserede OpenOffice.org.
Og nu var det så meningen, at Charlie Miller skulle indtage scenen på konferencen CanSecWest i Vancouver, som er arrangeret af samme firma, der også står bag Pwn2Own-konkurrencen, hvor han skulle demonstrere, hvordan han fandt sårbarheden. Han håber, at Apple, Microsoft og andre leverandører vil lytte til, hvad han har at sige.
"Folk vil kritisere mig og sige, at jeg er en af 'the bad guys', når jeg ikke vil videregive sårbarhederne, men for mig giver det mere mening ikke at sige det," forklare Charlie Miller.
"Det, jeg kan gøre, er at fortælle dem, hvordan de selv finder fejlene på samme måde, som jeg gjorde. Måske kan det få dem til at 'fuzze' mere".
Det mener Charlie Miller ville medføre mere sikkert software.
Det, der virkelig skuffer Charlie Miller, er, hvor nemt det var at finde fejlene. "Der er måske nogen, der vil mene, at jeg praler, men så klog er jeg altså heller ikke. Jeg anvendte en ret triviel metode, og alligevel fandt jeg sårbarhederne."
Charlie Miller troede ikke, han ville kunne finde sårbarheder alene ved hjælp af en dumb fuzzer. "Men det gjorde jeg, og jeg fandt mange. Det var både en overraskelse og en skuffelse."
Det fik ham desuden til at spørge sig selv om, hvorfor leverandører som Microsoft, Appel og Adobe, der har masser af sikkerhedsfolk ansat, ikke selv har fundet fejlene for længe siden.
En enkelt mand med tre computere burde ikke kunne omgå så mange menneskers sikkerhedsforanstaltninger, mener Charlie Miller. "Det er ikke fordi, de ikke bruger [fuzzere], de gør det bare ikke særligt godt."
Håber at virksomhederne opper sig
Ved at nægte at videregive de tekniske oplysninger om de sårbarheder, han fandt, tror Charlie Miller, at han kan få virksomhederne til at finde fejlene på samme måde, som han gjorde og dermed måske - måske - motivere virksomhederne til at tage sikkerheden mere alvorligt.
"Jeg tror, de vil føle sig pressede til at finde fejlene," argumenterer han.
Charlie Miller brugte en af de fejl, han fandt ved hjælp af sin dumb fuzzer, til at knække Safari på en MacBook Pro, og han vandt derfor en bærbar computer, godt 55.000 kroner og en rejse til Las Vegas, hvor han skal deltage i hacker-konkurrencen DefCon.
Charlie Miller vandt også under Pwn2Own i 2008 og i 2009, begge gange ved at udnytte en sårbarhed i Safari på Mac.
Oversat af Marie Dyekjær Eriksen
