Kvůli zadním vrátkům trápíme dodavatele

Upozornění na chybu v produktu pro WLAN způsobuje, že se dodavatel IT dostává pod palbu nepříjemných otázek. Není ...


Upozornění na chybu v produktu pro WLAN způsobuje, že se dodavatel IT dostává
pod palbu nepříjemných otázek.
Není zdvořilé trápit vlastní dodavatele, ale během jedné schůzky se zástupci
firmy Cisco jsem prostě nemohl odolat. Pozvali jsme je, abychom s nimi
prodiskutovali nejnovější produkty v oblasti bezpečnosti a také plánované
nasazení bezdrátové LAN. Nicméně poté, co jsme si přečetli zprávy o
bezpečnostním problému jejich produktů Wireless LAN Solution Engine a Hosting
Solution Engine, jsme jim s mým týmem museli položit některé nepříjemné otázky.
Podle zmíněných zpráv je možné po přihlášení se pod určitým uživatelským jménem
a heslem převzít kontrolu nad některými verzemi těchto produktů. Jinými slovy v
těchto výrobcích jsou zabudována zadní vrátka (backdoor).
Moje zkušenosti říkají, že existují tři druhy zadních vrátek: ta, která tam
zanechají líní vývojáři, ta, která implementují inteligentní hackeři a pak ta,
která mají na svědomí hloupí hackeři nebo vývojáři. Během setkání se zástupci
firmy Cisco mě zajímalo, který z těchto tří druhů nejlépe vystihuje daný
problém.

Možné alternativy
Pokud jste hacker a podaří se vám nabourat se do určitého zařízení, jakým
způsobem si zajistíte, abyste se mohl vrátit, když budete chtít? Vlastník
daného zařízení pravděpodobně opraví díru, kterou jste využil. Pokud přidáte
svůj vlastní běžný účet, je možné, že se na něj přijde a někdo ho vypne. Takže
si raději připravíte nějaká skrytá zadní vrátka. Při vstupu zadáte správné
uživatelské jméno a heslo a jste tam.
Jestliže jste líný vývojář a je pod vaši důstojnost, abyste se obtěžoval s
nastavením a zapamatováním si uživatelských jmen a hesel do systému, pak taková
zadní vrátka můžete zahrnout do vývojového kódu a tak si zajistit přístup ke
každému systému za účelem ladění a odstraňování problémů. To je přijatelné v
kódu, který ještě nebyl vydán, ale u finálního produktu je třeba backdoor
odstranit.
Nepříliš inteligentní hacker nebo vývojář po sobě může zanechat zadní vrátka
pro pozdější využití. Nicméně pevně zapsané uživatelské jméno a heslo je zde
nepravděpodobnou volbou. Uvnitř kódu by to bylo velmi zřetelné a produktoví
manažeři by jeho původce odhalili dokonce i pomocí těch nejzákladnějších
systémů pro kontrolu změn.
Nicméně chytrý hacker nebo vývojář by mohl místo toho do kódu zahrnout
nenápadnou chybu umožňující "šikovné" přetečení vyrovnávací paměti a v případě
jejího odhalení tvrdit, že se jedná o prostou chybu v programování. Vzhledem k
vysokému počtu chyb tohoto typu v současných softwarových produktech bude
několik takových úmyslně zanechaných chyb stěží nápadných.

Mocný čaroděj
Abychom byli fér, firma Cisco není ani zdaleka první, kterou tento problém
postihl, a vydala okamžitě příslušné opravy. V době, kdy jsem ve svém oboru
začínal, bývala zadní vrátka velkým problémem. Například ta, jež byla součástí
Sendmailu, stála vysoko na seznamu každého bezpečnostního auditora. Autor byl
údajně unaven tím, jak neustále trávil čas snahou pomoci lidem, kteří nebyli
schopni jeho software zprovoznit, a tak si vytvořil zadní vrátka, jež mu
umožňovala vzdálené připojení k systému pouhým zadáním slova "wiz". Systém
odpověděl: "Please pass, oh mighty wizard" a nabídl příkazovou řádku roota,
takže bylo možné najít a odstranit problémy s doručováním e-mailu.
Nicméně Cisco nemělo takovou chybu nechat proklouznout. Jedná se o firmu, která
je předním dodavatelem produktů pro síťovou bezpečnost, takže pokud by byl
problém způsoben líným programátorem, tak by ji přece firma měla při kontrole
kódu odhalit, ne?
Vzhledem k omluvným výrazům a mumlání kolem stolu, když jsme upozornili na
zmíněné bezpečnostní chyby, jsem si celkem jist, že jejich odhalení způsobilo
změny uvnitř týmů pro vývoj produktů. Pochybuji, že by k takové záležitosti
ještě někdy v budoucnosti došlo.

Další program
Nejen trápením dodavatelů je ale člověk živ. Když jsem zrovna nebyl na schůzce
a nezabýval se upozorňováním na chyby na straně výrobce, účastnil jsem se pro
změnu schůzek, na kterých různí lidé šťourali do našich chyb.
Celá léta jsme pracovali na upgradu antivirových programů na našich desktopech.
Na všech nových systémech jsou aktuální verze s nejnovějšími signaturami. Ale
tyto signatury nestačí k tomu, abychom byli schopni porazit virové infekce.
Skenovací engine sděluje antivirovým nástrojům, kde a jak hledat části souborů,
jež mají být porovnány se signaturami. Takže pokud si virus najde novou skrýš,
nebo pokud třeba Microsoft pozmění formát dokumentů Office, budete potřebovat
aktualizovaný engine. Mám podezření, že někteří výrobci vydávají nové verze
enginů nikoli proto, že by byly třeba, ale jen jako nenápadné upozornění
uživatelům na zastarávání produktu. A tak se je snaží přimět k placenému
upgradu.
Náš stávající dodavatel určitě využívá našich prodlev při dokončování upgradu.
Ačkoliv nové signatury se starým enginem fungují, produkt došel ke konci své
životnosti. Výrobce nám v současné době účtuje každého čtvrt roku desetitisíce
dolarů za aktualizaci signatur pro starý engine. Nicméně předpokládám, že je to
i tak nízká cena vzhledem k dalším alternativám: bolestivému a vynucenému
spěchu s dokončením upgradů, nebo dokonce k tomu, že by počítače běžely bez
jakéhokoliv antiviru.
Když se nám to naposledy stalo před několika lety, díky platbám za aktualizace
signatur jsme dostali přístup na zvláštní FTP server, který obsahoval signatury
údajně zkontrolované a otestované pro náš starší skenovací engine. Avšak tyto
signatury měly naprosto totožné kontrolní součty se signaturami, jež byly
všeobecně dostupné. No, přinejmenším nám výrobce předvedl slušné představení.
Tentokrát si alespoň tuto šarádu odpustil. Sdělil nám pouze, ať platíme běžný
poplatek za aktualizaci a stahujeme si signatury z webu, odkud si je stahují
všichni ostatní.
Platit něco navíc pochopitelně nemusíme. Mohli bychom si jednoduše pouze
stáhnout aktuální soubory signatur a použít je, ale nepatříme mezi takový druh
firem, které by to dělaly. Jsme rádi, když jsou naše vztahy s dodavateli
průhledné.
Řešíte podobné problémy jako Vince Tuesday? Podělte se o svoje zkušenosti s
námi i se čtenáři Computerworldu. Můžete psát na adresu bezpecnost@idg.cz.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.