ГлавнаяНовостиСтатьиКаталогВендорыСтандартыОбучениеКонтакты  +7 (495) 231-4831    © 


[ Список статей ] ...


WatchGuard Technoligies. Новые возможности сервисов Network Discovery и Mobile Security позволили WatchGuard значительно увеличить "Прозрачность" cети

С-Терра СиЭсПи. Защита удаленного доступа. Доверенный сеанс связи

CNews. Fortinet включает защиту уровней доступа в систему обеспечения ИБ

CNews. ИТ-подразделениям всё труднее контролировать корпоративные данные в «облаке»

Jammer.ru. Apple следит за своими поль-зователями через Yosemite

Lenta.ru. Разоблачение «Корпорации добра»

Securelist. Доставка от спамеров: опасность гарантирована

Lenta.ru. Интернет-Мерфи

3DNews. Сноуден как повод

Компьютерра. Plug&Pray: скрытая атака через USB

SecurityLab. Как я взломал роутер

Securelist. Дыры в защите корпоративной сети: облачные сервисы

Андрей Козенко, Султан Сулейманов. «Не понимают, как работает интернет»

Евгений Царев. Впечатление от PHDays 2013 или кто заказчик кибербезопасности в России?

Олег Парамонов. Десять страхов: крах интернета, Big Data, утрата знаний и другие вещи, которые пугают учёных и футурологов

Brian Donohue. Альтернативные браузеры с улучшенной защитой

Бёрд Киви. Специалисты предупреждают...

Андрей Шуклин. Big Data: новый рынок, новые перспективы

Luis Corrons. Twitter, Facebook, Apple, Microsoft… кто следующий?

Антон Носик. Лохотрон в зоне .рф

Cio.com (перевод — Елена Фирсова). Самые опасные работы в области технологий

 Опрос 

  

Хакеры и сетевые вандалы: разница в мотивации

  МОО ВПП ЮНЕСКО «Информация для всех» и информационно-аналитический портал SecurityLab завершили проведение опроса «Хакеры: где граница между подвижничеством и преступлением?» В опросе приняли участие 1.354 пользователей Рунета, выразивших свое мнение относительно допустимых границ исследования уязвимости информационных систем (ИС) - программного обеспечения, веб-сайтов, сетей передачи данных и т.д.

  Опрос проводился в рамках исследовательского проекта «Право и общество в цифровую эпоху», целью которого является поиск справедливого компромисса между интересами общества, бизнеса и государства в области обеспечения гражданских прав и соблюдения принципа верховенства права при использовании плодов информационно-коммуникационных технологий (ИКТ).

  Большая часть респондентов придерживается умеренной позиции «ответственного разглашения» (responsible disclosure) в рамках которой исследователь должен уведомить производителя об обнаруженной уязвимости и может опубликовать информацию о ней лишь в двух случаях: после успешного устранения уязвимости или отсутствия реакции со стороны производителя. Этот подход является общепризнанной мировой практикой и применяется такими известными компаниями, занимающимися поиском уязвимостей, как ISS, EEYE, Positive Technologies и т.д.

  Неприятным, но вполне предсказуемым является тот факт, что 10% опрошенных считают возможным опубликовать информацию о найденной уязвимости в отместку за отсутствие вознаграждения или благодарности со стороны производителя уязвимой ИС, а 18% предпочли бы не никому не сообщать об обнаруженной уязвимости и использовать ее в своих интересах или продать сведения о ней любому заинтересованному лицу.

  По мнению эксперта Positive Technologies Сергея Гордейчика, «Здесь уместно вспомнить положение одной из первых политик разглашения - RFPolicy: денежная компенсация [за сообщение о найденной уязвимости] или действия, которые могут быть истолкованы как вымогательство, категорически не одобряются (monetary compensation, or any situation that could be misconstrued as extortion, is highly discouraged). В то же время существует ряд компаний, которые открыто скупают информацию о найденных уязвимостях и выступают в качестве посредника между исследователями уязвимостей и производителями уязвимых ИС».

  Практически никто из опрошенных не высказался за необходимость запрета на поиск уязвимостей и разглашение сведений о них. За полный запрет высказались лишь 1,6% респондентов, за запрет поиска уязвимостей в «неблаговидных целях» - 15%. Большая часть опрошенных - почти 75% - считает, что данный вид деятельности должен быть разрешен вне зависимости от целей поиска уязвимостей.

  «Попытка запретить поиск уязвимостей, скорее всего, приведет к появлению очередной мертворожденной нормы», - считает Гордейчик, - «а искусственное ограничение рамок разглашения - к активизации черного рынка и непрозрачности реальной ситуации с качеством программных продуктов».

  Достаточно ожидаемо распределение точек зрения между представителями различных групп опрошенных. Разработчики больше тяготеют к ограничению разглашения информации об уязвимостях или снижению объема публикуемых технических деталей, что объяснимо: мало кому приятно публичное обсуждение недостатков его работы.

  Однако концепция «полного разглашения» (full-disclosure) родилась не на пустом месте. Отсутствие технических деталей в публичном сообщении о найденной уязвимости (за которое высказалось 17% опрошенных) ранее являлось сдерживающим фактором, но сегодня теряет свою эффективность (как и любой метод security by obscurity) в связи с отработкой техники восстановления уязвимости по программной «заплатке». Иногда подобная «лаконичность» может приводить к неожиданным последствиям таким, как обнаружение серии уязвимостей в службе RPC ОС семейства Windows NT в 2003 году или недавнем комичном случае, связанным с непредумышленной публикацией DoS-экслойта для службы SMB ОС семейства Windows.

  «Большинство опрошенных проводят четкий водораздел между хакерами-исследователями и сетевыми вандалами», - отметил эксперт МОО ВПП ЮНЕСКО «Информация для всех» Евгений Альтовский, - «Граница между ними проходит не по тому, на что готовы пойти одни, и не готовы другие, а по мотивам этих поступков - большинство считает неприемлемым поиск уязвимостей в злонамеренных целях. Интересно также, что опрошенные считают значительно более действенным средством борьбы с сетевыми вандалами повышение уровня знаний пользователей и администраторов ИС, чем ужесточение ответственности за эксплуатацию уязвимостей, и с этим мнением трудно не согласиться».

Источник: SecurityLab  




Рейтинг @Mail.ru

Rambler's Top100
Rambler's Top100