Μερικές φορές, ακόμα και οι γιατροί κάνουν λάθη βλάπτοντας τους ασθενείς τους. Η αστυνομία επίσης κάποιες φορές αποτυγχάνει να υπηρετήσει και να προστατεύσει το δημόσιο συμφέρον. Όταν συμβαίνουν τέτοια πράγματα, οι πολίτες δικαίως απαιτούν να διερευνηθούν και να διορθωθούν τυχόν αποτυχίες και τα λάθη. Κανείς ωστόσο δεν ζητάει την κατάργηση του αστυνομικού σώματος και την εξάλειψη των γιατρών.

Γιατί όμως μερικοί ζητούν την κατάργηση και τον παροπλισμό των antivirus και των anti-malware όταν συμβαίνουν λάθη και αποτυχίες; Πρόκειται για ένα ερώτημα που απασχολεί τους ανθρώπους της Sophos για αρκετά μεγάλο διάστημα.

Οι ερευνητές αποκαλύπτουν τρωτά σημεία και ευπάθειες σε προϊόντα ασφαλείας σε μόνιμη βάση. Ένα πρόσφατο παράδειγμα είναι η εταιρεία Trend Micro, η οποία βρέθηκε στο επίκεντρο του ενδιαφέροντος τον Ιανουάριο, όταν κάποιοι ερευνητές ανέφεραν 223 ευπάθειες και τρωτά σημεία σε 11 από τα προϊόντα της. Ο Tavis Ormandy, ένας οξυδερκής και ταλαντούχος ερευνητής από το Google Zero Project που πρόσφατα ανακάλυψε το CloudBleed συχνά βάζει στόχο προϊόντα ασφαλείας συμπεριλαμβανομένων και προϊόντων της Sophos και άλλων προμηθευτών όπως των Kaspersky και Symantec.

Εντωμεταξύ, κάποιος είτε θα ανακοινώσει το τέλος των antivirus, των anti-malware και της προστασίας τερματικών συσκευών είτε θα αρχίσει να ζητάει την κατάργηση τους. Πέρυσι, την περίοδο που αποκαλύφθηκαν οι ευπάθειες της Trend Micro, κάποιοι ερευνητές ασφαλείας δήλωσαν ότι τα προϊόντα antivirus αποτελούν απειλή για την ασφάλεια.

Άραγε θα πρέπει να καταργήσουμε τα antivirus και antimalware όπως ακριβώς μερικοί πιστεύουν ότι θα πρέπει να καταργηθούν τα εμβόλια και να σταματήσουν οι εμβολιασμοί; Όχι βέβαια. Για να δούμε το θέμα περισσότερο σφαιρικά, μιλήσαμε με τον CTO της Sophos, Joe Levy.

Η ιατρογενής νοσηρότητα, ακολουθούμενη από χαιρεκακία είναι κάτι που υπάρχει

Η ιατρογενής νοσηρότητα, ακολουθούμενη από αυτό που ονομάζεται “schadenfreude”, χαιρεκακία δηλαδή (ικανοποίηση για το κακό) είναι κάτι που συμβαίνει. “Σε απάντηση στο ερώτημα που τίθεται συχνά σχετικά με βλάβες που μπορεί να προκαλούν προϊόντα ασφάλειας τερματικών συσκευών, είναι φανερό το πόσο τέτοιες πεποιθήσεις μοιάζουν με αυτές του κινήματος κατά των εμβολιασμών. Και τα δύο έχουν καλό σκοπό, αλλά δυστυχώς, έχουν και την δυνατότητα να κάνουν αρκετό κακό. Όπως και να έχει, όσοι επισημαίνουν τα προβλήματα με τα antivirus, έχουν σωστή επιχειρηματολογία” είπε ο Joe Levy. “Οποιοδήποτε λογισμικό έχει ελαττώματα”.

O Joe Levy κάνει δύο ακόμα παρατηρήσεις:
 
1. “Πρόκειται για τη περίπτωση που κάποιος φωνάζει για ιατρογενή νοσηρότητα (κακό που έχει προκαλέσει ο θεραπευτής) σε ένα αμφιθέατρο γεμάτο κόσμο. Πρόκειται για κάτι ιδιαίτερα συγκλονιστικό, λόγω της ειρωνείας, που σε αρκετές περιπτώσεις αποτελεί και πηγή χαιρεκακίας (ευχαρίστηση που προέρχεται από την ατυχία ή το κακό που βρήκε τον άλλον).
2. Η επιφάνεια επίθεσης του λογισμικού ασφαλείας πολλές φορές μεγεθύνεται από το επίπεδο του προνομίου που απαιτεί για την αποτελεσματική λειτουργία του (π.χ σε επίπεδο πυρήνα) ώστε να μπορεί να πραγματοποιήσει το είδος της εργασίας για το οποίο προορίζεται (τερματισμός διεργασίας, καθαρισμός συστήματος κ.ά).

Ακριβώς όπως οι ασθενείς μερικές φορές αντιμετωπίζουν επιπλοκές μετά την επέμβαση, η τεχνολογία ασφαλείας μερικές φορές αποτυγχάνει, δημιουργώντας ακούσιες βλάβες για τον χρήστη, δήλωσε ο Levy. Όταν συμβαίνει κάτι τέτοιο, οι επικριτές λατρεύουν να ορμούν και να χτυπούν τον φταίχτη.

Ο Joe Levy επίσης επισήμανε ότι όταν η ιατρική περίθαλψη κάνει λάθη, δεν βλέπουμε τις μάζες να ξεσηκώνονται ζητώντας την κατάργηση των νοσοκομείων και την εξάλειψη των γιατρών. Μερικές φορές και η αστυνομία κάνει λάθη στη γραμμή του καθήκοντος. Όταν συμβαίνει κάτι τέτοιο, υπάρχει δημόσια κατακραυγή αλλά κανείς δεν ζητάει το τέλος της αστυνομίας.

Όπως η μοντέρνα ιατρική και η επιβολή του νόμου, η βιομηχανία της ασφάλειας έχει εξίσου υποχρέωση να προστατεύσει τους χρήστες από το κακό. Και αυτό σημαίνει να επιδεικνύεις αποτελεσματικότητα τόσο ενάντια σε επιθέσεις που έχουν στόχο λειτουργικά συστήματα και εφαρμογές όσο και ενάντια σε επιθέσεις που έχουν στόχο τα ίδια. Και όμως, παρά τη συγκεκριμένη επίγνωση, δημοφιλές και διαδεδομένο λογισμικό ασφαλείας, με τεράστια βάση εγκατάστασης, μερικές φορές αποδεικνύεται ότι δεν είναι και τόσο καλά… θωρακισμένο όσο πιστευόταν.

Αλλά ακριβώς όπως χρειαζόμαστε ακόμα και τα νοσοκομεία και τους αστυνομικούς, εξακολουθούμε να χρειαζόμαστε τα συγκεκριμένα εργαλεία ασφαλείας, δήλωσε ο Joe Levy. Ενώ η Microsoft συνεχίζει να κάνει μεγάλα άλματα στην ασφάλεια των λειτουργικών της συστημάτων και εφαρμογών σε ετήσια βάση, μία ματιά στον αριθμό των τρωτών σημείων ή των ευπαθειών της Microsoft απεικονίζει την διαρκή ανάγκη για πρόσθετη προστασία. Οι ευπάθειες και τα τρωτά σημεία στο λειτουργικό σύστημα και εφαρμογές της Microsoft μεταξύ 2009 και 2016, όπως καταχωρήθηκαν από την ιστοσελίδα Common Vulnerabilities and Exposures είναι οι παρακάτω:

2009: 74
2010: 106
2011: 103
2012: 83
2013: 106
2014: 85
2015: 135
2016: 155

Στα πέντε από τα τελευταία οκτώ χρόνια, η Microsoft κυκλοφόρησε περισσότερα από 100 ενημερωτικά δελτία ασφαλείας τον χρόνο. Ο αριθμός των ενημερωτικών δελτίων κάθε έτους έχει πέσει κάτω από τα 75 από το 2009 και μετά. Το antivirus παραμένει πρώτη γραμμή άμυνας όταν οι επιτιθέμενοι προσπαθούν να εκμεταλλευτούν προς όφελος τους τρωτά σημεία και ευπάθειες, είτε στο λογισμικό, είτε σε χειριστές λογισμικού.

“Παίρνουμε πολύ σοβαρά την υποχρέωση μας να προστατεύουμε, και κάνουμε συνεχείς επενδύσεις σε εργαλεία και προγράμματα για να βελτιώσουμε την ασφάλεια των προϊόντων μας, από SDLC (Secure Development Lifestyle),  στατικά/ δυναμικά/ runtime εργαλεία ασφαλείας μέχρι το πρόγραμμα επιβράβευσης εύρεσης bugs που διατηρούμε, για να μιλήσουμε για μερικά” είπε ο Levy. “Είμαστε πραγματικά ευγνώμονες στους ερευνητές ασφαλείας που ασκούν υπεύθυνη κριτική και αποκαλύπτουν κενά ασφαλείας. Όλοι μας στον κλάδο ασφάλειας, είτε πρόκειται για ερευνητές είτε για προμηθευτές λογισμικού, επιδιώκουμε ένα πράγμα, να καταστήσουμε τα συστήματα πληροφορικής ασφαλέστερα” και συμπλήρωσε “Θα πρέπει όλοι μας να δώσουμε κατά κάποιο τρόπο ένα είδος όρκου, σαν τον Όρκο του Ιπποκράτη για να μην κάνουμε κακό, και αυτό σημαίνει να διατηρήσουμε υψηλά στάνταρντ στην κατασκευή λογισμικού ασφαλείας, καθώς και να βάζουμε τους χρήστες πάνω από όλα, πάνω από την δόξα και τον εντυπωσιασμό. Η αποτυχία, όπως και να έχει, είναι κάποια μορφή αμέλειας αλλά το να ζητούμε την κατάργηση του λογισμικού ασφαλείας είναι ανόητο και ανεύθυνο. Θα πρέπει να εστιάσουμε όχι στο να κλωτσάμε τον άλλον όταν βρίσκεται κάτω, αλλά να κάνουμε ο ένας τον άλλον καλύτερο”.

Διαβάστε το πρωτότυπο άρθρο, εδώ.