Błędy w swoich programach znajdziecie sami. Pokażę jak

Charlie Miller, trzykrotny zwycięzca hakerskiego konkursu Pwn2Own zapowiedział, że nie przekaże producentom złamanych przez niego programów informacji o znalezionych lukach. W zamian poinformuje przedstawicieli Adobe'a, Microsoftu i Apple'a jak je wykryć.
Miller stwierdził, że jest rozczarowany podejściem firm do kwestii bezpieczeństwa w tworzonych przez nie aplikacjach.

"Znajdujemy błąd. Oni go łatają. Znajdujemy następny błąd. Znowu go łatają. Takie postępowanie nie poprawia bezpieczeństwa produktu" powiedział Miller.

Miller napisał proste narzędzie, które automatycznie wyszukuje luki bezpieczeństwa w aplikacjach. Stosowana metoda znana jest jako fuzzing i polega na wprowadzaniu do aplikacji różnych wadliwych danych i obserwowaniu reakcji aplikacji. Za pomocą swojego programu Miller szybko odkrył 20 błędów w Safari i samym systemie Mac OS X 10.6. Narzędziu nie oparł się też Power Point, PDF Viewer Adobe'a a także pakiet biurowy OpenOffice.org.

Miller odniósł się też do krytyki, jak spotyka go za nieprzekazywanie informacji na temat znalezionych luk bezpieczeństwa producentom złamanych przez niego aplikacji.

"Więcej sensu ma nie mówienie o tym" twierdzi Miller. "To, co mogę zrobić to powiedzieć im, by znaleźli błędy i by zrobili to, co sam zrobiłem. Może wówczas częściej będą stosować fuzzing." dodał. Miller ma nadzieję, że swoim postępowaniem wywrze presję na programistach tworzących produkty z lukami bezpieczeństwa, by więcej uwagi poświęcali zagadnieniom bezpieczeństwa.

Millera szczególnie zirytowało to, w jak prosty sposób znalazł błędy. Jego zdaniem nie wymagało to specjalnych zabiegów. "Postąpiłem szablonowo, a pomimo to znalazłem błędy" - powiedział.

O sposobie znalezienia 20 luk Miller ma opowiedzieć na specjalnej konferencji towarzyszącej Pwn2Own.

Miller jest specjalistą od łamania Safari. W 2008 i w 2009 r. we wcześniejszych edycjach konkursu hakerskiego Pwn2Own włamał się do przeglądarki Apple'a. W tym roku udało mu się to zrobić po raz trzeci. W nagrodę otrzymał notebook, 10 tys. dolarów i bilet na konferencję DefCon w Las Vegas, która odbędzie się latem tego roku.
Tagi: Pwn2Own, konkurs, luka bezpieczeństwa
Oryginalny tekst został opublikowany na www.idg.pl
Ocena:
Twoja ocena:

Komentarze (11)

~Gość

28-03-2010 08:23

@85.222, nagadałeś się i nagadałeś a zapomniałeś że w MS Office jak to jeden ze specjalistów ładnie powiedział - schowasz lokomotywę i może upchasz ją wagonem. Pakiety biurowe to diabelnie duże aplikacje. MS nie potrafi upilnować jednej małej przeglądarki, myślisz że upilnują duży pakiet biurowy ? Dopiero co ich łata która poprawiała jakieś błędy zmieniała język aplikacji na japoński a excel podawał złe wyniki obliczeń. To jest dopiero tajemnica niewyjaśnionych problemów nienaukowego Windowsa i innych bloatware. Najbardziej żałosne jest to co mówisz. Twój bełkot o VS2010 ma sprawić że kod nagle się skróci 1,5 raza ? Wybacz ale w dobie aplikacji wieloplatformowych VS z jego problemami z zachowaniem standardów językowych jest brzydko mówiąc - bezużyteczny.

~lysy

28-03-2010 00:17

@Wesoły: Zgadzam się. Nie można usprawiedliwiać wszystkich błędów (a szczególnie tych trywialnych, tzn takich na które zwraca się na początku nauki - np przepełnienie bufora). Ogólnie: nie powinno się popadać w skrajności, tzn nie można powiedzieć jetem programistą - będę popełniał błędy, odwalcie się ode mnie. A z drugiej strony: jesteś programistą - masz pisać bezbłędny kod. Tyle :).

~m

27-03-2010 16:41

to przez te wynalaski

~emzol

27-03-2010 14:37

Tadek, nie wiem ile ci płacą w Microsofcie, ale z pewnością za mało! Powinni ci za te twoje przemyślenia wybudować zoptymalizowany globalnie zamek, a jako cegły i zaprawę wykorzystać takie nażędzia jak: sztabki złota, kawior i bardzo wiele innych specjalistycznych fajności! Oczywiście jako pracowników zatrudniać wygrywających olimpiady i mających efekty przełożonych, bo inaczej sprawa błędów będzie z góry przegrana bardziej!

~aristo

27-03-2010 12:13

Brawa dla ~Gosc :-) Niezly koles jest ... :-)

~Gość

27-03-2010 11:35

...złamano tez OpenOffice.org... W sumie znacznie ważniejsze jest nie tylko zatrudniać wyłącznie dobrych programistów, mających poczucie odpowiedzialności ale zatrudniać mających przygotowanie i efekty przełożonych. Ale i to za mało, bo bez odpowiednich nażędzi sprawa błedów jest z góry przegrana bardziej. Nażędzia decydują o tym (środowisko, języki uzupełnienia, architektury) czy to samo będzie zrobione półtora raza szybciej i taniej, czy kod będzie półtora raza krótszy czy będzie miał półtora raza mniej błdów czy nie. A taka jest róznieca między elclipse, wynalaskami iba a coraz bardziej wygrywającym VS2010 i c# z rachunkiem predykatów czy konstrukcjami zrównoleglającymi wbudowanymi w języki itd itd itd z bardzo wielema specjalistycznymi fajnościami, zwykle zwracającymi sie po miesiącu (roi) we zespołąch mających sporo roboty. To jest tajemnica "niewyjaśnialnych" problemów naukowego linuksa i jego opensoftu.

~max

27-03-2010 09:54

Gość spod dziewiątki wie wszystko o wszystkim. To przecież kolega ramola - didżej ze stodoły z własnym studiem nagraniowym, w którym nagrywa się głównie... levele w crysisie.

~spider

27-03-2010 09:42

facet nie poda ,sposobu włamania bo ma pewnie jeden i jego mutacje a także dostanie trochę pieniędzy w następnym roku na takiej samej imprezie.to jego jest trwały zawsze zarobek,bo ślęczy nad lukami 365 dni.poważne firmy nie używają żadnych przeglądarek i nie mają wejścia na internet. żenada!!!

~Wesoły

27-03-2010 07:36

Błędów nie da się uniknąć lysy, to fakt. Ale obawiam się że niektórzy programiści o wielu rzeczach zapominają. Przykładem może być maksymalna długość ciągu. Wiesz jak mogłem opędzlować sklep internetowy ? Był tak źle pocięty że przy zakupie większej ilości towaru cena nie była w całości wyświetlana. Także towar za milion złotych mogłeś kupić za 10.000zł. Tak zresztą zyskaliśmy klienta. Gdy podesłałem gościowi błędy w jego sklepie (który badaliśmy) to aż mu oko zbielało.

~lysy

27-03-2010 06:45

@Gość: Ile linijek kodu napisałeś w swoim życiu, że wyrażasz się w ten sposób o programistach? Prawdopodobnie zero, bo gdybyś napisał więcej to wiedziałbyś jak wiele wiedzy wymaga programowanie i że jak piszę się program który ma 10000 linii kodu to błędów się po prostu nie da uniknąć. Tyle.

~Gość

27-03-2010 02:13

no ale najważniesze że złamano ie8 w 2 minuty..to że reszta to mega syf to już mało ważne!!!!....adobe to padaka jakich mało..nie dośc że dziuawe to płacąc tysiace dolarów dostajemy bubla...za takiego bubla w lektronice firma by dostała tak ze by padała...ale programiscui robia buble i jeszcse chca by im płacić...to dopiero zawód

Polecane

PC World z prezentem!

Tak, zamawiam 12 wydań PC World po 14,09 zł każde (zamiast 19,90 zł) od numeru 6/2012.
Dodatkowo program Panda Antyvirus Pro 2012,
chroniący aż 3 komputery, dostanę za darmo.

PC World 6/2012
Nowy numer PC World 6/2011
Razem: 169


  • Z darmową wysyłką
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »

Pobierz bezpłatnego e-booka

20 lat polskiej sieci
Ebook 20 lat polskiej sieci to kompletna charakterystyka polskiego internetu (oraz polskiego internauty). Odpowiadamy na pytanie, jak wygląda nasz kraj na tle bliższych i dalszych europejskich sąsiadów pod względem popularyzacji szerokopasmowych łączy internetowych i rynku mobilnego. Wymieniamy również wady i zalety korzystania z bezpłatnych punktów dostępowych.
Jeśli chcesz otrzymać darmowego e-booka, wpisz swój adres e-mail. Wyślemy Ci go natychmiast!
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »