Fatalna wpadka Oracle, dyrektor bezpieczeństwa potępia inżynierię wsteczną

dodał 11 sierpnia 2015 o 21:08 w kategorii Błędy, Info  z tagami: • •
Fatalna wpadka Oracle, dyrektor bezpieczeństwa potępia inżynierię wsteczną

Na blogu dyrektor bezpieczeństwa Oracle pojawił się przedziwny wpis, w którym potępia ona używanie inżynierii wstecznej do analizy kodu produktów Oracle oraz wyśmiewa programy bug bounty. Wpis został usunięty, ale niesmak pozostał.

Oracle nigdy nie należało do firm, które dobrze współpracują z niezależnymi badaczami bezpieczeństwa, lecz wpis, który pojawił się dzisiaj rano na blogu Mary Ann Davidson, szefowej bezpieczeństwa Oracla, zaskoczył wszystkich. Wpis został po kilku godzinach usunięty, lecz internet nie zapomina.

Czy ich zhakowali?

Wpis Mary Ann Davidson miał tak kuriozalną treść, że w sieci pojawiły się komentarze pytające, czy doszło do włamania i jakiś komik przejął konto szefowej działu bezpieczeństwa. Niestety wpis okazał się prawdziwy. Co napisała Mary Ann?

Pod tytułem „Nie, naprawdę nie możecie” narzeka ona na klientów, którzy samodzielnie lub z pomocą firm trzecich przeprowadzają proces inżynierii wstecznej kodu Oracle i przysyłają jego wyniki, wskazujące na błędy bezpieczeństwa. Co w tym jest zdaniem szefowej bezpieczeństwa złego? Otóż klienci ci łamią licencję programu, która zakazuje prowadzenia inżynierii wstecznej. Co zatem robi Oracle, gdy otrzyma od klienta informacje wskazujące na użycie inżynierii wstecznej? Wysyła mu list od swoich prawników, w którym wzywa do zaprzestania takich działań oraz do usunięcia wszelkich wyników prowadzonej w ten sposób analizy. Co prawda jeśli błąd faktycznie istnieje, to zostanie on naprawiony, jednak Oracle nie planuje dziękować za jego zgłoszenie.

Kampania Oracle "nie do złamania"

Kampania Oracle „nie do złamania”

Co więcej, Mary Ann pisze, że tylko wewnętrzne zespoły Oracle posiadają wystarczające kompetencje, by prowadzić analizę bezpieczeństwa kodu swoich programów. Podobno Oracle samodzielnie znajduje 87% wszystkich błędów, 10% zgłaszają klienci a jedynie 3% pochodzi od niezależnych badaczy. Z tego też powodu autorka wpisu wyśmiewa programy bug bounty, porównując je do fanek (tu firmy) obrzucających boysband (tu badacze) swoją bielizną. Oryginalne porównanie.

Wpis zawiera w zasadzie jeden ważny wątek, którym jest otrzymywana przez Oracle duża liczba fałszywych, niezweryfikowanych zgłoszeń o błędach, często generowanych przez automatyczne narzędzia. Tu trudno się nie zgodzić z autorką – zasada „przykładowy kod albo błąd nie istnieje” wydaje się mieć tutaj zastosowanie.

Długa historia konfliktu z badaczami

Oracle nie pierwszy raz przedstawił podobne stanowisko. Mary Ann już w 2005 narzekała na fatalną współpracę z badaczami i krótkie terminy narzucane przez nich na naprawę błędów. W walce z Oracle szczególnie zasłużył się David Litchfield, który, gdy Oracle rozpoczął kampanię reklamową pod hasłem „Nie do złamania”, w ciągu kilku tygodni opublikował kilkadziesiąt poważnych luk bezpieczeństwa w produktach tej firmy (w bazie OSVDB znajduje się ich prawie 4 tysiące…). Gdy Oracle zabrał się za ich łatanie, okazało się, że mimo spędzenia długiego czasu na tworzeniu łat, w co najmniej jednym przypadku metodą załatania błędu było ignorowanie zapytań zawierających spację identycznych z zapytaniami znajdującymi się w przykładowym kodzie wykorzystującym błąd dostarczonym przez badacza. Sam błąd pozostał nieusunięty – Oracle jedynie uniemożliwiło działanie jednego konkretnego eksploita. Z praktykami Oracle długo borykała się również firma Veracode, autor oprogramowania do analizy wstecznej kodu aplikacji.

Epilog

Wpis Mary Ann po kilku godzinach zniknął. Jak poinformował wiceprezes firmy, wpis „nie odzwierciedlał zasad firmy ani relacji, jakie buduje z klientami”. Tymczasem internauci obstawiają, że Oracle jest już pewnym kandydatem do przyszłorocznej nagrody Pwnie za najgorszą reakcję dostawcy. Inni sugerują, by publikowane od dzisiaj eksploity na produkty Oracle opatrywać licencją zabraniającą przeprowadzania na nich operacji inżynierii wstecznej. Niektórzy twierdzą, że swoim wpisem Mary Ann Davidson zrobiła więcej dla wolnego i otwartego oprogramowania niż wszyscy szefowie działów bezpieczeństwa razem wzięci. A może był to tylko sprytny spisek, by namówić wszystkich obrażonych badaczy, by za darmo przyjrzeli się kodowi produktów Oracle?

Podobne wpisy