האם מחקר אבטחה אכן מסייע להאקרים?

כאשר הסיפור התפרק בשנת 2011 כי החוקרים שינו את נגיף ה- H5N1 הקטלני להיות מועבר יותר ורצו לפרסם את ממצאיו, רובנו נבהלו בצדק. בעוד הנגיף השתנה כחלק ממחקר שנועד לעזור לקבוע מה עשוי לעזור להפחית את ההעברה האנושית של הנגיף, המבקרים לא יכלו שלא לשאול: מה היה קורה אם מישהו ישתמש במידע זה כדי לייצר ולהפיץ את הנגיף הקטלני הזה?

אף על פי שאינה פוטנציאלית לסכנת חיים, קיימת דינמיקה דומה בתחום אבטחת המחשבים. חוקרי אבטחה, חלקם אקדמיים וחלקם חובבים, מחפשים פגמים במערכות אבטחה, מערכות הפעלה ויישומים. כאשר הם מוצאים פגם כזה, הם בדרך כלל מפרסמים את ממצאיהם ברבים, לרוב עם מידע נלווה כיצד ניתן לנצל את הפגם. במקרים מסוימים, מידע זה יכול למעשה לעזור להאקרים זדוניים לתכנן ולחלוק את ההתקפות שלהם.

כובעים לבנים וכובעים שחורים

האקרים מקובצים בדרך כלל לשתי קטגוריות בסיסיות: כובעים שחורים וכובעים לבנים. האקרים של כובע שחור הם "החבר'ה הרעים", מנסים לזהות פגיעויות אבטחה כדי שיוכלו לגנוב מידע או להפעיל פיגועים באתרי אינטרנט. האקרים כובעים לבנים גם מחפשים פגיעויות אבטחה, אך הם מודיעים לספק התוכנה או מפרסמים את ממצאיו לציבור כדי לאלץ את הספק לטפל בפגיעות. האקרים כובעים לבנים יכולים לנוע בין אנשי אקדמיה באוניברסיטאות המנהלים מחקר ביטחוני לחובבנים מתבגרים המונעים על ידי סקרנות ורצון לבקש את כישוריהם כנגד אנשי המקצוע.

כאשר פגם ביטחוני מתפרסם על ידי האקר כובעים לבן, הוא מלווה לרוב בקוד הוכחת-מושג המדגים כיצד ניתן לנצל את הפגם. מכיוון שהאקרים של כובעים שחורים והאקרים של כובעים לבנים תכופים את אותם אתרי אינטרנט וקוראים את אותה ספרות, להאקרים של כובעים שחורים לרוב יש גישה למידע זה לפני שספק התוכנה יכול לסגור את חור האבטחה. מחקרים הראו כי ניצולי פריצה זמינים לעתים קרובות תוך 24 שעות מרגע גילוי של פגם ביטחוני.

זקוק לעזרה בפיצוח קוד PIN?

מקור מידע נוסף הוא מאמרי מחקר בנושא אבטחת מחשבים שפורסמו על ידי אקדמאים עם כובע לבן. אף כי כתבי-עת אקדמיים ומאמרי מחקר הם ככל הנראה לא לטעמו של ההאקר הממוצע, ישנם האקרים (כולל מסוכנים שעלולים להיות מסוכנים ברוסיה ובסין) יכולים לעכל ולהשתמש בחומרי מחקר מופרכים.

בשנת 2003 פרסמו שני חוקרים מאוניברסיטת קיימברידג 'מאמר ובו שיטה לנחש מספרי זיהוי אישיים (PIN) שישפרו מאוד את טכניקת כוח הזרוע בה נעשה שימוש בהאקרים רבים. מאמר זה הכיל גם מידע על מודולי אבטחת החומרה (HSM) המשמשים לייצור מספרי PIN מוצפנים.

בשנת 2006 פרסמו חוקרים ישראלים מאמר ובו שיטת התקיפה שונה שהצריכה את עזרתו של מבפנים. זמן קצר לאחר מכן החל גרהם סטיל, חוקר אבטחה מאוניברסיטת אדינבורו שפרסם ניתוח של התקפות חסימת מספר זיהוי אישי באותה שנה, לקבל דוא"ל רוסי ששאל אם הוא יכול לספק מידע על פיצוח מספרי PIN.

בשנת 2008 הוגש כתב אישום נגד קבוצת האקרים בגין גניבה ופענוח של בלוקים של מספרי PIN. בתצהיר שהוגש בבית המשפט הוגש כתב אישום כי ההאקרים הנאשמים קיבלו "סיוע טכני ממקורבים פליליים בפענוח מספרי PIN מוצפנים."

האם יכול להיות שאותם "מקורבים לפשעים" השתמשו במחקרים אקדמיים קיימים כדי לסייע בפיתוח שיטות לגניבה ופענוח מספרי PIN מוצפנים? האם הם היו מצליחים להשיג את המידע הדרוש להם ללא עזרת מחקרי אבטחה? (לעוד טריקים של האקרים, בדוק 7 דרכים מגניבות שהאקרים יכולים להשיג את סיסמת הפייסבוק שלך.)

כיצד להפוך אפל לבנה

הסוללה למחשב נייד של אפל כוללת שבב משובץ המאפשר לה לעבוד יחד עם רכיבים אחרים ומערכת ההפעלה. בשנת 2011 תהה צ'רלי מילר, חוקר אבטחה המתמחה במוצרי אפל, איזה הרס הוא יכול לעורר אם יוכל להשיג גישה לשבב הסוללה.

השגת גישה התבררה כפשוטה למדי, מכיוון שמילר הצליח להבין את סיסמת ברירת המחדל שהכניסה את השבב למצב גישה מלאה. זה איפשר לו להשבית את הסוללה (המכונה לעיתים "לבנים", ככל הנראה מכיוון שסוללה לבנה מועילה למחשב בערך כמו לבנה). מילר תיאר כי האקר יכול גם להשתמש במצב גישה מלאה כדי להציב תוכנה זדונית על שבב הסוללה.

האם האקרים היו מוצאים בסופו של דבר חולשה מעורפלת זו במחשבים ניידים של אפל ללא העבודה של מילר? זה נראה לא סביר, אבל תמיד קיים הסיכוי שהאקר זדוני יכול היה להיתקל גם בזה.

בהמשך השנה חשפה מילר באג במערכת ההפעלה של iOS של אפל עבור מכשירי iPad ו- iPhone שיכולה לאפשר להאקר להריץ קוד זדוני. לאחר מכן הוא יצר יישום הוכחה-מושג לא מזיק כדי להדגים את הבאג וקיבל את אישורו לחנות Apple בכך שהוא מתחפש ליישום טיקר למניות.

אפל לא השתעשעה, בטענה שמילר הפר את תנאי הסכם המפתח של אפל. אפל פלטה את מילר מתוכנות המפתחים שלה.

האם האקרים מספקים שירות בעל ערך?

למרות שהם עשויים לספק מידע שיכול להועיל להאקרים זדוניים, האקרים של כובע לבן הם גם לא יסולא בפז עבור ספקי התוכנה. צ'רלי מילר, למשל, התריע בפני אפל על עשרות באגים לפני סיום רישיונו של המפתח שלו. למרות שפרסום מידע על פגיעות אבטחה יכול לחשוף מערכת לתקיפה באופן זמני, ככל הנראה עדיפות גילוי הציבור על פני האקר זדוני לגלות את הפגיעות ולנצל אותה ללא ידיעה לספק.

אנשי אבטחה אפילו הכירו בטענות בחשיבותם של האקרים כובעים שחורים. בכנסים של כובע שחור כמו DEFCON, חוקרי אבטחה, אנשי אקדמיה ואנשי אכיפת החוק מתערבבים עם האקרים והפיצוחים כדי להאזין למצגות על פריצה. אנשי אקדמיה למדעי המחשב צברו תובנות יקרות ערך מנקודת המבט של ההאקר והשתמשו בהן כדי לשפר את תכניות הלימוד שלהם. חברות רבות שכרו (ככל הנראה) את האקרים מתוקננים כיועצי אבטחה לבדיקת הרשתות והמערכות שלהם. (למידע נוסף על האקרים, בדוק את 5 הסיבות שאתה צריך להיות אסיר תודה להאקרים.)

הדו קרב המתמשך בין חוקרי אבטחה להאקרים

האם לעתים קרובות מחקרי אבטחה מספקים באופן לא מכוון מידע שימושי להאקרים? כן. עם זאת, מחקר שנערך על ידי האקרים מספק גם מידע שימושי לאנשי אקדמיה ומעצבי מערכות אבטחה. מונע על ידי חופש האינטרנט, מוחם היצירתי של האקרים וחוקרי אבטחה עשויים להמשיך להיות נעולים הן בדו קרב מתמשך והן בתלות הדדית הולכת ומעמיקה.