Hjelper sikkerhetsforskningen faktisk hackere?

Da historien brøt i 2011 om at forskere hadde endret det dødelige H5N1-viruset for å være mer overførbare og ønsket å publisere funnene sine, ble de fleste av oss med rette skremt. Mens viruset ble modifisert som en del av forskning designet for å bestemme hva som kan bidra til å redusere menneskelig overføring av viruset, kunne kritikere ikke la være å spørre: Hva ville skje hvis noen brukte denne informasjonen til å produsere og distribuere dette livsfarlige viruset?

Selv om det ikke er potensielt livstruende, eksisterer en lignende dynamikk innen datasikkerhet. Sikkerhetsforskere, noen akademiske og noen amatører, søker etter feil i sikkerhetssystemer, operativsystemer og applikasjoner. Når de finner en slik feil, offentliggjør de vanligvis funnene sine, ofte med tilhørende informasjon om hvordan feilen kan utnyttes. I noen tilfeller kan denne informasjonen faktisk hjelpe ondsinnede hackere med å planlegge og marskalere angrepene sine.

Hvite hatter og sorte hatter

Hackere er normalt gruppert i to grunnleggende kategorier: svarte hatter og hvite hatter. Black hat-hackere er "skurkene", og prøver å identifisere sikkerhetsproblemer, slik at de kan stjele informasjon eller starte angrep på nettsteder. White hat-hackere søker også etter sikkerhetsproblemer, men de informerer enten programvareleverandøren eller offentliggjør funnene sine for å tvinge leverandøren til å adressere sårbarheten. Hvite hathakkere kan variere fra universitetsakademikere som driver sikkerhetsundersøkelser til tenårede amatører motivert av nysgjerrighet og et ønske om å pitche ferdighetene sine mot fagfolkene.

Når en sikkerhetsfeil blir offentliggjort av en hvit hathacker, er den ofte ledsaget av proof-of-concept-kode som demonstrerer hvordan feilen kan utnyttes. Fordi Black Hat-hackere og White Hat-hackere hyppige de samme nettstedene og leser den samme litteraturen, har Black Hat-hackere ofte tilgang til denne informasjonen før programvareleverandøren kan lukke sikkerhetshullet. Studier har vist at hacking utnyttelse ofte er tilgjengelig innen 24 timer etter avsløring av en sikkerhetsfeil.

Trenger du hjelp med å knekke en PIN-kode?

En annen kilde til informasjon er forskningsartikler om datasikkerhet utgitt av akademikere av hvit hatt. Selv om akademiske tidsskrifter og forskningsartikler sannsynligvis ikke er til smak for den gjennomsnittlige hacker, kan noen hackere (inkludert potensielt farlige i Russland og Kina) fordøye og bruke abstruse forskningsmaterialer.

I 2003 publiserte to forskere fra University of Cambridge en artikkel som beskrev en metode for å gjette personlige identifikasjonsnummer (PIN-er) som vil forbedre den brute force-teknikken som ble brukt til mange hackere. Denne artikkelen inneholdt også informasjon om maskinvaresikkerhetsmodulene (HSM) som ble brukt til å generere krypterte PIN-koder.

I 2006 publiserte israelske forskere en artikkel som beskrev en annen angrepsmetode som krevde hjelp fra en innsider. Like etterpå begynte Graham Steel, en sikkerhetsforsker ved University of Edinburgh som publiserte en analyse av PIN-blokkeringsangrep samme år, med å få russiske e-poster der han spurte om han kunne gi informasjon om cracking-PIN-koder.

I 2008 ble en gruppe hackere tiltalt for å ha stjålet og dekryptert blokker med PIN-nummer. Utgaven som ble fremmet for retten tiltalte at de siktede hackerne hadde mottatt "teknisk assistanse fra kriminelle medarbeidere i å dekryptere krypterte PIN-nummer."

Kunne disse "kriminelle medarbeiderne" brukt eksisterende akademisk forskning for å utvikle metoder for å stjele og dekryptere krypterte PIN-koder? Ville de ha vært i stand til å skaffe den informasjonen de trengte uten hjelp av sikkerhetsforskningsartikler? (Hvis du vil ha flere hacker-triks, kan du sjekke ut 7 lurste måter hackere kan få ditt Facebook-passord.)

Slik gjør du et eple til et murstein

Batteriet til en Apple bærbar PC har en innebygd brikke som gjør at den kan fungere sammen med andre komponenter og operativsystemet. I 2011 lurte Charlie Miller, en sikkerhetsforsker som spesialiserer seg på Apple-produkter, over hvilken ødeleggelse han kunne skape hvis han kunne få tilgang til batteribrikken.

Å få tilgang viste seg å være ganske enkel, ettersom Miller var i stand til å finne ut standardpassordet som satte brikken i full tilgangsmodus. Dette gjorde at han kunne deaktivere batteriet (noen ganger referert til som "murstein", sannsynligvis fordi et murt batteri er omtrent like nyttig for en datamaskin som en murstein). Miller teoretiserte at en hacker også kunne bruke full tilgangsmodus for å plassere skadelig programvare på batteribrikken.

Ville hackere etter hvert funnet denne uklare svakheten i Apple bærbare datamaskiner uten Millers arbeid? Det virker usannsynlig, men det er alltid sjansen for at en ondsinnet hacker også kunne ha snublet over den.

Senere på året avdekket Miller en feil i Apples iOS-operativsystem for iPad og iPhones som kan gjøre det mulig for en hacker å kjøre ondsinnet kode. Deretter opprettet han en ufarlig proof-of-concept-applikasjon for å demonstrere feilen og fikk den godkjent for Apple Store ved å forkledd den som en aksje-ticker-applikasjon.

Apple ble ikke underholdt, og hevdet at Miller hadde brutt vilkårene i Apple-utvikleravtalen. Apple kastet ut Miller fra utviklerprogrammene sine.

Tilbyr hackere en verdifull tjeneste?

Selv om de kan gi informasjon som kan være til bruk for ondsinnede hackere, er hvite hathacker også uvurderlige for programvareleverandører. Charlie Miller, for eksempel, hadde varslet Apple om dusinvis av feil før utviklerens lisens ble sagt opp. Selv om publisering av informasjon om et sikkerhetssårbarhet midlertidig kan eksponere et system for angrep, er det sannsynligvis at offentliggjøring er å foretrekke fremfor å få en ondsinnet hacker til å oppdage sårbarheten og utnytte den uten å vite for leverandøren.

Sikkerhetsfagfolk har til og med grudgisk erkjent viktigheten av svart hat-hackere. På black hat-konferanser som DEFCON, blander sikkerhetsforskere, akademikere og advokatfullmektiger seg med hackere og kjeks for å høre på presentasjoner om hacking. Informatikk-akademikere har fått verdifull innsikt fra hackersperspektivet og har brukt dem til å forbedre læreplanene. Mange selskaper har også ansatt (antagelig) reformerte hackere som sikkerhetskonsulenter for å teste nettverk og systemer. (For å lære mer om hackere, sjekk ut fem grunner til at du bør være takknemlig for hackere.)

Den pågående duellen mellom sikkerhetsforskere og hackere

Tilbyr sikkerhetsforskning ofte utilsiktet nyttig informasjon til hackere? Ja. Imidlertid gir forskning utført av hackere også nyttig informasjon til akademikere og designere av sikkerhetssystemer. Drevet av internettets frihet, vil de kreative sinnene til hackere og sikkerhetsforskere sannsynligvis fortsette å være innelåst i både en pågående duell og en utdypende gjensidig avhengighet.