Почему Heartbleed оставался незамеченным на протяжении двух лет

Новостное издание Vox известно тем, что пытается объяснить сложные инфоповоды простым языком. 12 апреля там появился материал о том, почему уязвимость Heartbleed была незаметна на протяжении целых двух лет — оказывается, причина в недостаточном финансировании организаций, которые занимаются разработкой и поддержкой программного обеспечения с открытым исходным кодом.

***

Что стало причиной появления широко обсуждаемого сейчас бага в OpenSSL, получившего название Heartbleed? Мы знаем, что всему виной простая невнимательность — немецкий разработчик допустил ошибку во время очередного обновления кода, забыв добавить проверку длины запроса. Человек, который проверял код, также ничего не заметил — как и никто другой на протяжении двух лет (если, конечно, АНБ не лукавит).

OpenSSL — проект с открытым исходным кодом, его поддерживают всего 4 европейских программиста, только один из которых рассматривает это как свою постоянную работу. Бюджет OpenSSL Foundation составил менее одного миллиона долларов в 2013 году. Одновременно с этим, OpenSSL используют огромное количество сайтов, и на устранение последствий придётся потратить миллионы долларов в одних только США.

АНБ отнекивается от своей причастности к этой истории

Чем брешь в безопасности отличается от других багов

В известном эссе разработчика Эрика Реймонда говорится о том, что свободное ПО управляется людьми и организациями, преследующими личные мотивы — им нужно удовлетворить свои потребности, поэтому они добавляют функции и правят ошибки для того, чтобы им самим было удобнее пользоваться этим программным обеспечением.

Если большая компания попадает в зависимость от свободного ПО, ей приходится платить программистам за то, чтобы они вносили необходимые правки. И чем лучше становится ПО, тем больше компаний его используют, что приводит к ещё большему количеству улучшений, и так далее по кругу.

Возникает вопрос — почему существование этого благотворного замкнутого круга не привело к тому, что уязвимость Heartbleed не была обнаружена гораздо раньше? Проблема в том, что такие уязвимости не похожи на остальные баги — большинство обычных ошибок всплывают во время использования программы, их быстро замечают и исправляют.

Но брешь в безопасности не проявится сама по себе. Такие вещи можно обнаружить, если искать целенаправленно. И тут есть два варианта — либо уязвимость находит специалист по безопасности и её быстро устраняют, либо её обнаруживают злоумышленники, что несёт за собой катастрофический эффект.

Так что обычная модель, принятая в open source (когда пользователи сами сообщают об ошибках), не работает, если говорить о вопросах безопасности. Это требует специального аудита, на который руководство часто не хочет тратить время и ресурсы.

Под угрозой оказались не только сайты, но и мобильные приложения

Исследованиям по безопасности нужно больше финансирования

Чтобы ПО было безопасным, нужны люди, которые будут заниматься поиском уязвимостей. Сейчас есть структуры, которые работают в этом направлении — сам Heartbleed был обнаружен исследователями из Google и Codenomicon.

Но это не должно занимать два года. Учитывая то, насколько широко используется OpenSSL, нужно иметь множество людей, которые будут инспектировать каждую строчку кода, чтобы выловить потенциальную ошибку до того, как изменения войдут в публичный релиз.

Для этого, во-первых, самому проекту OpenSSL требуется дополнительное финансирование. Правительства, корпорации и фонды, использующие эту библиотеку, могут отчислять определённую сумму, чтобы ключевая команда OpenSSL могла посвящать проекту всё своё время и нанять себе помощников.

Во-вторых, необходимо финансировать независимые проверки популярного ПО с открытым исходным кодом. Возможно, этому бы поспособствовали гранты различным некоммерческим или может даже государственным организациям, которые работают в этой области. У каждого типа таких организаций есть свои преимущества и недостатки, поэтому их совместная работа дала бы хороший результат.

Бонус: как защититься от последствий Heartbleed

Атаки, основанные на этой уязвимости, нацелены на веб-сервера. Поскольку они не зависят от пользователей, у нас нет особой возможности как-то повлиять на атаки. Пользователям придётся подождать, пока сервера не обновят программное обеспечение. С момента обнаружения бага прошло достаточно времени, так что большинство сервисов уже в безопасности.

Стоит сменить пароли везде, где только можно, и использовать специальные инструменты, которые позволяют проверить сохранность данных на том или ином сайте.

Кроме обновления ПО, администрации сайта необходимо обновить ключи шифрования. У пользователя нет возможности узнать об этом наверняка, так что остаётся верить на слово. Популярные сервисы рассылают своим пользователям письма, в которых рассказывают, на каком этапе находится их борьба с уязвимостью, но если от какого-то сайта не поступало публичных заявлений по этому поводу, то обращаться с ним нужно аккуратнее.

Источник: Цукерберг Позвонит