Ništa nije savršeno sigurno, i nikada nećemo eliminirati svaku ranjivost vani. Ali ne bismo trebali vidjeti toliko neurednih pogrešaka koje smo vidjeli od HP-a, Applea, Intel-a i Microsofta 2017. godine.
Molimo, proizvođači računala: Provedite vrijeme na dosadnom radu kako bi naša računala bila sigurna. Trebamo više sigurnosti nego što trebamo sjajne nove značajke.
Ako je to bila neka druga godina, ljudi će držati Appleove Macove kao alternativu PC kaosu. Ali ovo je 2017., a Apple je imao najviše amaterske, neuredne pogreške svima - pa počnimo tamo.
Appleova najnovija inačica macOS-a, poznata kao "High Sierra", imala je otvorenu sigurnosnu rupu koja je omogućila napadačima da se brzo prijavljuju kao korijen i dobivaju puni pristup računalu - samo se pokušaju prijaviti nekoliko puta bez lozinke. To se može dogoditi na daljinu putem dijeljenja zaslona i može čak zaobići FileVault šifriranje koje se koristi za osiguranje datoteka.
Još gore, zakrpe koje je Apple potrudio izbrisati ovo nije nužno otklonio problem. Ako ste kasnije instalirali drugu nadogradnju (od prije pronađene sigurnosne rupice), ponovo će otvoriti rupu - Appleova zakrpa nije se uključila u druge ažuriranja OS-a. Dakle, ne samo da je to bila loša pogreška u High Sierra, ali Appleov odgovor - iako prilično brz - bio je nered.
Ovo je nevjerojatno loša pogreška od Applea. Ako je Microsoft imao takav problem u sustavu Windows, Appleovi rukovoditelji bi u godinama koje dolaze trebali snimati snimke u Windowsima.
Predugo je Apple preminuo na reputaciji Macove sigurnosti, iako su Macovi još uvijek manje sigurni od Windows računala na nekoliko osnovnih načina. Na primjer, Macovi još uvijek nemaju UEFI Secure Boot kako bi spriječili napadače da neovlašteni proces čizma, kao što Windows računala imaju od Windows 8. Sigurnost od strane opskurne neće više letjeti za Apple, a oni moraju to korak gore.
HP nije imao dobru godinu. Njihov najgori problem, koji sam osobno iskusio na svom prijenosnom računalu, bio je Conexantov keylogger. Mnoga HP prijenosna računala isporučuju se s audio vozačem koji je prijavio sve pritiske na tipke MicTray.log na računalu, koje je bilo tko mogao pregledati (ili ukrasti). Apsolutno je ludo da HP neće uhvatiti ovaj kod za otklanjanje pogrešaka prije nego što ga isporučuje na osobnim računalima. Nije ni skriveno - aktivno je stvorila datoteku keylogger!
Bilo je i drugih, manje ozbiljnih problema u HP-ovim računalima. Policija protiv HP Touchpoint Managera nije bila prilično "špijunski softver", kao što se tvrdilo puno medija, no HP nije uspio komunicirati sa svojim kupcima o problemu, a softver Touchpoint Manager je još uvijek bio beskoristan, program za zaštitu od CPU-a koji nije nužna za kućna računala.
I na vrh sve to, HP prijenosna računala imali još jedan keylogger instaliran po defaultu kao dio Synaptics touchpad vozača. Ovo nije sasvim smiješno kao Conexant - on je deaktiviran prema zadanim postavkama i ne može se omogućiti bez administratorskog pristupa - ali to bi moglo pomoći napadačima da izbjegnu otkrivanje antimalarijskih alata ako žele keylog HP prijenosnog računala. Još gore, HP-ov odgovor podrazumijeva da drugi proizvođači računala mogu imati isti upravljački program s istim keyloggerom. Znači, to može biti problem diljem šireg PC industrije.
Intelov menadžment motora je mali crni okvir s operativnim sustavom zatvorenog izvora koji je dio svih modernih Intelovih čipseta. Sva računala imaju Intel Management Engine u nekoj konfiguraciji, čak i suvremenim Macovima.
Unatoč Intelovom prividnom potiskivanju zbog sigurnosti, vidjeli smo mnoge sigurnosne propuste u Intel Management Engineu ove godine. Ranije u 2017. godini došlo je do ranjivosti koja je omogućila pristup udaljenoj administraciji bez zaporke. Srećom, ovo se odnosi samo na računala koja su aktivirala Intelovu aktivnu tehnologiju upravljanja (AMT), tako da neće utjecati na računala kućnih korisnika.
Od tada smo vidjeli hrpu drugih sigurnosnih rupa koje su trebale biti zakrpe u gotovo svakom računalu. Mnogi od pogođenih računala još uvijek nisu imali zakrpa izdana za njih još.
To je osobito loše jer Intel odbija dopustiti korisnicima da brzo onemogućuju Intel Management Engine s postavkom UEFI firmware (BIOS). Ako imate računalo s Intelom ME koje proizvođač neće ažurirati, nemate sreće i imati će ranjivo računalo zauvijek ... dobro, sve dok ne kupite novu.
U Intelovoj žurbi za pokretanjem vlastitog daljinskog upravljačkog softvera koji može raditi čak i kada se računalo isključi, uveli su sočan cilj napadača na kompromis. Napadi protiv Intelovog upravljačkog motora će raditi na gotovo svim suvremenim računalima. Godine 2017. vidimo prve posljedice toga.
Bilo bi lako ukazati na Microsoft i reći da svatko treba naučiti od tvrtke Microsoft Trustworthy Computing Initiative, koja je započela u Windows XP danima.
Ali čak i Microsoft je ove godine bio malo neuredan. Ovo nije samo o uobičajenim sigurnosnim rupama poput neugodne rupu izvršavanja koda u programu Windows Defender, već problemi koje je Microsoft trebao lako vidjeti.
Neugodne epidemije WannaCry i Petya zlonamjernih programa u 2017. godini raširene su pomoću sigurnosnih rupa u drevnom SMBv1 protokolu. Svi su znali da je taj protokol bio star i ranjiv, a Microsoft je čak preporučio njegovo onemogućivanje. Ali, unatoč svemu tome, bilo je još uvijek omogućeno prema zadanim postavkama na sustavu Windows 10 do ažuriranja autora pada. A to je samo onemogućeno jer su masivni napadi potaknuli tvrtku Microsoft da konačno riješi problem.
To znači da Microsoft toliko brine o naslijeđenoj kompatibilnosti da će korisnici sustava Windows otvarati napad, a ne proaktivno onemogućiti značajke koje su vrlo malo ljudi potrebne. Microsoft je nije ni morao ukloniti - samo ga onemogućite prema zadanim postavkama! Organizacije su ga mogle jednostavno omogućiti za naslijeđene svrhe, a kućni korisnici ne bi bili izloženi dvjema najvećim epidemijama 2017. godine. Microsoft treba predvidjeti uklanjanje takvih značajki prije nego što uzrokuju takve velike probleme.
Naravno, te tvrtke nisu jedine koje imaju problema. 2017 je Lenovo konačno rješavao američku saveznu komisiju za trgovinu tijekom instalacije softvera "Superfish" u računalima u 2015. godini. Dell je također poslao certifikat korijena koji bi omogućio napad na čovjeka u sredini 2015.
Sve to jednostavno izgleda previše. Vrijeme je da svi uključeni postanu ozbiljniji u pogledu sigurnosti, čak i ako moraju odgoditi neke sjajne nove značajke. To ne bi moglo zgrabiti naslove ... ali to će spriječiti naslove koje nitko od nas ne želi vidjeti.
Slika kredita: ja-images / Shutterstock.com, PhuShutter / Shutterstock.com
