Google sier det er for enkelt for hackere å finne nye sikkerhetsfeil

Lewis Ngugi på Unsplash

I desember 2018 oppdaget forskere ved Google en gruppe hackere med sikte på Microsofts Internet Explorer. Selv om ny utvikling ble lagt ned to år tidligere, er det en så vanlig nettleser at hvis du kan finne en måte å hacke den på, har du en potensiell åpen dør til milliarder av datamaskiner.

Hackerne jaktet på og fant tidligere ukjente feil, kjent som zero-day sårbarheter.

Rett etter at de ble oppdaget, så forskerne en utnyttelse bli brukt i naturen. Microsoft utstedte en oppdatering og fikset feilen, liksom. I september 2019 ble det funnet en annen lignende sårbarhet som ble utnyttet av den samme hackergruppen.

Flere oppdagelser i november 2019, januar 2020 og april 2020 la opp til minst fem nulldagssårbarheter som ble utnyttet fra samme feilklasse på kort tid. Microsoft utstedte flere sikkerhetsoppdateringer: noen klarte ikke å fikse sikkerhetsproblemet som ble målrettet, mens andre krevde bare små endringer som krevde bare en linje eller to for å endre hackerens kode for å få utnyttelsen til å fungere igjen.

'Når du forstår en enkelt av disse feilene, kan du bare endre noen få linjer og fortsette å jobbe null-dager.'

Denne sagaen er symbolsk for et mye større problem innen cybersikkerhet, ifølge ny forskning fra Maddie Stone, en sikkerhetsforsker ved Google: at det er altfor lett for hackere å fortsette å utnytte lumske nulldager fordi selskaper ikke gjør en god jobb med permanent stenge ned feil og smutthull.

Forskningen til Stone, som er en del av et Google-sikkerhetsteam kjent som Project Zero, setter søkelyset på flere eksempler på dette i aksjon, inkludert problemer som Google selv har hatt med sin populære Chrome-nettleser.

Det vi så går på tvers av bransjen: Ufullstendige oppdateringer gjør det lettere for angripere å utnytte brukere med null-dager, sa Stone tirsdag på sikkerhetskonferansen Enigma. Vi krever ikke at angripere kommer opp med alle nye feilklasser, utvikler helt ny utnyttelse, ser på kode som aldri har blitt undersøkt før. Vi tillater gjenbruk av mange forskjellige sårbarheter som vi tidligere visste om.

Lavt hengende frukt

Project Zero opererer i Google som et unikt og noen ganger kontroversielt team som er dedikert utelukkende til å jakte på de gåtefulle nulldagers feilene. Disse feilene er ettertraktet av hackere av alle slag, og mer høyt verdsatt enn noen gang før – ikke nødvendigvis fordi de blir vanskeligere å utvikle, men fordi de i vår hyperkoblede verden er kraftigere.

I løpet av sin seks år lange levetid har Googles team offentlig sporet over 150 store nulldagers feil, og i 2020 dokumenterte Stones team 24 nulldager som ble utnyttet – en fjerdedel av dem var ekstremt lik tidligere avslørte sårbarheter. Tre ble ufullstendig lappet, noe som betydde at det tok bare noen få justeringer av hackerens kode for at angrepet skulle fortsette å virke. Mange slike angrep, sier hun, innebærer grunnleggende feil og lavthengende frukt.

For hackere er det ikke vanskelig, sa Stone. Når du har forstått en enkelt av disse feilene, kan du bare endre noen få linjer og fortsette å jobbe null-dager.

Hvorfor blir de ikke fikset? De fleste sikkerhetsteamene som jobber i programvareselskaper har begrenset tid og ressurser, foreslår hun – og hvis deres prioriteringer og insentiver er feil, sjekker de bare at de har fikset den helt spesifikke sårbarheten foran dem i stedet for å ta tak i de større problemene på roten til mange sårbarheter.

Andre forskere bekrefter at dette er et vanlig problem.

I verste fall, et par null-dager som jeg oppdaget var et problem med at leverandøren fikset noe på én kodelinje, og bokstavelig talt på neste kodelinje var nøyaktig samme type sårbarhet fortsatt til stede, og de gjorde det gidder ikke å fikse det, sier John Simpson, en sårbarhetsforsker ved cybersikkerhetsfirmaet Trend Micro. Vi kan alle snakke til vi er blå i ansiktet, men hvis organisasjoner ikke har den rette strukturen for å gjøre mer enn å fikse den nøyaktige feilen som er rapportert til dem, får du et så bredt utvalg av oppdateringskvalitet.

En stor del av å endre dette kommer ned til tid og penger: gi ingeniører mer plass til å undersøke nye sikkerhetssårbarheter, finne rotårsaken og fikse de dypere problemene som ofte dukker opp i individuelle sårbarheter. De kan også fullføre variantanalyse, sa Stone: leter etter den samme sårbarheten på forskjellige steder, eller andre sårbarheter i de samme kodeblokkene.

D annen frukt totalt

Noen prøver allerede forskjellige tilnærminger. Apple, for eksempel, har klart å fikse noen av iPhones mest alvorlige sikkerhetsrisikoer ved å utrydde sårbarheter på et dypere nivå.

I 2019 skapte en annen Google Project Zero-forsker, Natalie Silvanovich, overskrifter da hun presentert kritiske null-klikk, null-dagers feil i Apples iMessage. Disse feilene tillot en angriper å overta hele telefonen til en person uten noen gang å kreve at offeret gjorde noe – selv om du ikke klikket på en lenke, kunne telefonen fortsatt kontrolleres av hackere. (I desember 2020 fant ny forskning en hackingkampanje mot journalister utnytter nok et null-klikk zero-day angrep mot iMessage.)

Relatert historie

Inne i NSO, Israels milliard-dollar spionvaregigant Verdens mest beryktede overvåkingsselskap sier de ønsker å rydde opp i handlingen. Fortsett, vi lytter.

I stedet for å nærme seg de spesifikke sårbarhetene, gikk selskapet inn i iMessage for å løse de grunnleggende, strukturelle problemene som hackere utnyttet. Selv om Apple aldri sa noe om den spesifikke karakteren av disse endringene - det har nettopp kunngjort et sett med forbedringer med iOS 14-programvareoppdateringen - Project Zero's Samuel Groß nylig tett dissekert iOS og iMessage og utledet hva som hadde skjedd.

Appen er nå isolert fra resten av telefonen med en funksjon kalt BlastDoor, skrevet på et språk kalt Swift som gjør det vanskeligere for hackere å få tilgang til iMessages minne.

Apple endret også arkitekturen til iOS slik at det er vanskeligere å få tilgang til telefonens delte cache – en signatur på noen av de mest høyprofilerte iPhone-hakkene de siste årene.

Til slutt blokkerte Apple hackere fra å prøve brute force-angrep om og om igjen i rask rekkefølge. Nye strupefunksjoner betyr at utnyttelser som en gang kunne ha tatt minutter, nå kan ta timer eller dager å fullføre, noe som gjør dem mye mindre fristende for hackere.

Det er flott å se at Apple legger av ressursene til denne typen store refaktoriseringer for å forbedre sluttbrukernes sikkerhet, skrev Groß. Disse endringene fremhever også verdien av offensivt sikkerhetsarbeid: ikke bare enkeltfeil ble fikset, men i stedet ble det gjort strukturelle forbedringer basert på innsikt fra utnyttelsesutviklingsarbeid.

Konsekvensene av hacks blir større etter hvert som vi blir mer og mer tilkoblet, noe som betyr at det er viktigere enn noen gang for teknologiselskaper å investere i og prioritere store cybersikkerhetsproblemer som føder hele familier med sårbarheter og utnyttelser.

Et råd til de høyerestående er invester, invester, invester, forklarte Stone. Gi ingeniørene dine tid til å undersøke hovedårsaken til sårbarheter og korrigere det, gi dem spillerom til å utføre variantanalyser, belønne arbeid med å redusere teknisk gjeld, fokusere på systemiske rettelser.

gjemme seg