Агентство національної безпеки США (АНБ) виявило серйозну уразливість в операційній системі Windows 10, яка може торкнутися мільйонів користувачів ПК по всьому світу.
Про це пише Wired.
Після того як Агентство національної безпеки виявило і оприлюднило серйозну уразливість, Microsoft випустила патч для Windows 10 і Server 2016. Цей рідкісний, але не безпрецедентний випадок, підкреслює серйозність вади і — хто знає? може бути, розкриває нові пріоритети АНБ.
Пролом, що виявився у механізмі для Windows при підтвердженні легітимності програмного забезпечення і встановлення безпечного веб-з'єднання. Якщо довіри не заслуговує сама перевірка, зловмисники можуть цим скористатися для віддаленого поширення шкідливих програм або перехоплення конфіденційних даних.
"Ми рекомендуємо власникам мереж вжити невідкладних заходів щодо встановлення оновлень. Самі ми цим вже займаємося", — сказала глава управління АНБ з кібербезпеки Енн Нойбергер (Anne Neuberger,). "Варто нам виявити масштабну криптографічну вразливість, подібну до цієї, як ми одразу звертаємось до компанії-розробника щоб хоч якось пом'якшити шкоду".
Вада особливо стосується інтерфейсу Microsoft CryptoAPI, який допомагає розробникам криптографічно "підписувати" програмне забезпечення і генерує цифрові сертифікати, що використовуються при аутентифікації, - ці заходи доводять надійність і достовірність при перевірках Windows на користувацьких пристроях. Зловмисникам же цей недолік дозволяє обійти важливі засоби захисту - і в кінцевому підсумку отримати контроль над пристроями.
"Уявіть собі, що у шкідливого ПЗ буде сертифікат довіри Microsoft і зашифрований трафік буде перехоплюватися", — говорить Девід Кеннеді (David Kennedy), генеральний директор компанії TrustedSec з оцінки корпоративної безпеки, в минулому співробітник АНБ. "Це допоможе вирішити цілий ряд перепон".
Коли до уразливості придивляться дослідники і кіберзлочинці і розроблять відповідні хакерські інструменти, масштаб проблеми для користувачів стане ясніше. Але пролом в найважливішому криптографічному вікні Windows - безперечна проблема, адже Windows 10 - найпопулярніша операційна система в світі і встановлена більш ніж на 900 мільйонах персональних комп'ютерів.
"Це базовий низькорівневий компонент операційної системи Windows, який встановлює довіру між адміністраторами, звичайними користувачами і іншими комп'ютерами як у локальній мережі, так і в інтернеті", - пояснює Кенн Уайт, керівник відділу безпеки в компанії MongoDB і директор проєкту "Відкритий криптоаудит". "Вада в технології, що забезпечує довіру, може призвести до катастрофічних наслідків. Які саме для цього потрібні сценарії і попередні умови, наразі ми аналізуємо. Адміністраторів Windows у всьому світіі чекає важкий день".
Рішення АНБ оприлюднити помилку нагадує про EternalBlue - ця розроблена АНБ хакерська програма кілька років експлуатувала помилку Windows, поки її виправили на початку 2017 року. Баг цей був присутній при всіх тодішніх версіях Windows. В АНБ про це знали - і користувалися для цифрового шпигунства протягом п'яти років. Скінчилося тим, що програма з-під контролю АНБ вийшла. Через кілька тижнів після того, як Microsoft випустила виправлення, програму виклала в мережа загадкова хакерська група "Тіньові брокери" (Shadow Brokers). Поки в усьому світі не встановили потрібні патчі,
злочинці і хакери на державній службі розважалися як могли.
Можливо, повідомлення про перевірки в Windows 10 — це спроба АНБ уникнути аналогічного провалу. Нойбергер запевнила, що на відміну від Eternal Blue, цією уразливістю АНБ не скористалося.
Нойбергер назвала розкриття помилки перевірки співробітникам Microsoft і широкої громадськості частиною нової ініціативи АНБ, в рамках якої агентство має намір ділитися даними про вади безпеки частіше й оперативніше. Ці зусилля запрацюють паралельно з існуючим процесом справедливого розкриття вразливостей - цю програму веде Рада національної безпеки, намацуючи баланс між державною таємницею щодо хакерських програм і гласністю.
Ось чому АНБ не тільки розкрило уразливість, але і підкреслило свою роль. "Організаціям важко повірити, що ми ставимося до цього серйозно, - сказала Нойбергер, - і усунення вразливостей - наш абсолютний пріоритет".
Ще до фіаско з Eternal Blue АНБ широко критикували за те, що організація збирає дані про уразливість заради власної вигоди - а не розповідає про них публічно, щоб виправити їх як можна швидше.
У жовтні Нойбергер очолила нещодавно створене Управління кібербезпеки АНБ, щоб підсилити внутрішню безпеку відомства і зміцнити співпрацю між департаментами. Агентство, організація мовчазна і скритна, зробило низку інших кроків із взаємодії з дослідною спільнотою в області кібербезпеки - наприклад, оприлюднивши минулого року вихідний код аналітичного інструменту Ghidra.
Розкриття конкретної помилки зовсім не означає, що АНБ відмовиться від свого арсеналу хакерських утиліт - йому і не треба. Але прагнення до прозорості - довгоочікуваний крок, особливо якщо він послужить реабілітації його іміджу.
Лілі Хей Ньюман
За матеріалами ІноЗМІ.
