Большие перемены

Автор: Киви Берд.

Традиционная тематика выступлений на спаренном форуме Black Hat/Defcon 33 — это выявление новых слабостей и разного рода дыр в защите компьютерных систем, а также методы проникновений, использующие эти бреши. На конференции Black Hat USA 2006 всего этого, как обычно, имелось в достатке, но было и весьма выразительное новшество. Целый ряд сессий был посвящен не дырам, а совсем даже наоборот — средствам безопасности операционной системы Windows Vista и браузера Internet Explorer 7. «Нетрадиционный» для Black Hat комплекс мероприятий устроила корпорация Microsoft, ставшая одним из главных, так называемых «платиновых», спонсоров хакерской конференции.

По свидетельству представителей Microsoft, это беспрецедентное событие, ибо компании компьютерной индустрии еще никогда не делали на хакерских конференциях столь развернутой презентации пока еще не выпущенных на рынок продуктов. Объясняют же необходимость новаций тем, что ОС Vista позиционируется изготовителем как наиболее безопасная из всех систем, когда-либо созданных в Microsoft, да и для браузера IE 7 вопросы безопасности изначально были поставлены во главу всей разработки.

Первая конференция Black Hat состоялась в 1997 году и уже с рождения задумывалась как сугубо деловая встреча хакеров-практиков, далеких от отвлеченных изысканий, свойственных академической среде. Поэтому с самого начала цель едва ли не всех выступлений на конференции сводилась к живой демонстрации уже сделанного и стимулированию коллег к работе в обозначенном направлении — созданию эффективных мер защиты или усовершенствованию наработанных методов атаки. Иначе говоря, все интересы участников сосредоточены на доскональном изучении исключительно практических аспектов технологий безопасности.

С каждым годом это колоритное мероприятие, избравшее местом проведения «город греха» Лас-Вегас, стало привлекать все больше и больше заинтересованного народа. Среди пестрой толпы участников в разных пропорциях можно встретить типичных хакеров компьютерного андеграунда, специалистов по безопасности из солидных фирм и банков, сотрудников федеральных спецслужб и представителей ведущих компаний компьютерной индустрии. Стабильный рост числа участников, желающих приобщиться к «переднему краю хакерского прогресса» отмечается ежегодно, однако самый значительный скачок зарегистрирован в этом году, когда по сравнению с прошлогодней конференцией количество предварительных регистраций возросло аж на 20 процентов.

Причин для столь существенных перемен несколько. Это и рост популярности форума, и возрастающий интерес к проблемам компьютерной безопасности вообще, и смена статуса конференции, ощутимо прибавившей в респектабельности после того, как в ноябре 2005 года все права на Black Hat купила крупная издательская фирма CMP Media.

Специфическая хакерская природа конференции и регулярно звучащие с ее трибуны «разоблачения» в прежние годы неоднократно приводили к серьезным конфликтам с крупными ИТ-компаниями. Но конкретно Microsoft, что характерно, никогда не замечалась в попытках «задавить хакеров массой». Скорее напротив, здесь значительно раньше других поняли, что с независимыми исследователями гораздо полезнее быть в одном лагере, поддерживая с ними позитивные и конструктивные отношения. Начало существенных перемен обычно связывают с 2002 годом, когда Билл Гейтс разослал сотрудникам меморандум, выдвигающий вопросы безопасности в главные приоритеты корпорации. А поскольку наиболее объективной картиной о реальной безопасности Windows обладают хакеры, профессионально занимающиеся выявлением дыр, в Microsoft логично решили обратиться за помощью к ним.

В 2003 году руководство корпорации впервые устроило в рамках Black Hat вечеринку для участников, своего рода «встречу признания и знакомства». Заранее не было ни малейшего представления, как среагируют хакеры и сколько народа захочет прийти на подобное мероприятие, так что первый контакт получился довольно натянутым. Однако этот шаг помог наладить первые связи и в последующем существенно улучшить отношения со многими яркими персонажами из хакерской среды. Microsoft стала регулярно приглашать их сделать доклады-презентации на конференции по безопасности для собственных сотрудников (эти встречи получили название Blue Hat). Так что к сегодняшнему дню, по общему признанию хакеров, в контактах с ними эта корпорация намного обошла других разработчиков программного и аппаратного обеспечения. Во всяком случае, шутят они, если измерять данный процесс в количестве выставленных банок пива.

Когда на нынешней конференции Black Hat было объявлено об устраиваемой Microsoft широкомасштабной презентации Windows Vista, то среди публики еще можно было услышать голоса, по старой памяти сомневающиеся, что столь официальное (и наверняка нудное) мероприятие сможет привлечь здесь хоть сколько-нибудь значительную аудиторию. Однако годы подготовительной работы не прошли даром, и в действительности все оказалось совсем не так. Презентация Microsoft собрала огромную аудиторию, заметно превышающую стандартные сессии конференции и практически полностью заполнившую огромный танцзал отеля Caesars Palace. Дабы подчеркнуть свой интерес и уважение к собравшейся аудитории, всем пришедшим представители Microsoft раздали копии последней, наиболее стабильной бета-версии Vista — для экспериментов и поиска слабостей.

В ходе сессии все аспекты доклада, естественно, так или иначе вращались вокруг проблем безопасности. Ибо Windows Vista — это первая клиентская ОС, разработка которой с начала и до конца полностью прошла через Security Development Lifecycle, новый технологический процесс для предотвращения дефектов и критичных ошибок в коде программ.

Но помимо сугубо технических достоинств SDL другим важнейшим аспектом в борьбе за безопасность стал мощный упор на человеческий «хакер-фактор» — как внутри, так и вне Microsoft. В больших количествах и на контрактной основе корпорация уже несколько лет приглашает независимых исследователей для тотальных испытаний защиты «Висты» — с самых ранних этапов готовности ПО. Ныне в Microsoft считают, что им удалось организовать беспрецедентный по масштабам «коммерческий тест на проникновение» для проверки безопасности новой системы еще до ее вывода на рынок. Как говорит Бен Фатхи, вице-президент подразделения MS, отвечающего за технологии безопасности, корпорация сумела собрать самую большую в мире группу из авторитетных специалистов по проникновениям. Это, конечно, стоило очень немалых денег. Однако в фирме считают, что затраты явно того стоили.

В этой связи можно отметить, что довольно своеобразным отражением значительных финансовых затрат корпорации на безопасность стали дискуссии вокруг защиты Windows на последней конференции Black Hat USA. Хотя формально Microsoft являлась спонсором всех этих дискуссий и вроде бы заинтересована в публичном обсуждении выявленных слабостей, в действительности многие из наиболее известных экспертов по безопасности Windows уже находятся под условиями контрактного соглашения о неразглашении информации. По честному свидетельству Джефа Мосса, директора Black Hat, «они (MS) наняли очень много самых ярких людей — а это значит, что количество докладчиков, которые реально могут выйти и открыто говорить о слабостях в Windows Vista очень существенно сократилось»…

Корпорация Microsoft оказалась не единственной из ведущих фирм ИТ-индустрии, широко представленных на Black Hat в этом году. Весьма активно работала здесь и Oracle, другая софтверная фирма-гигант, а платиновыми спонсорами конференции наряду c MS стали корпорация Cisco Systems и консалтинговая компания Ernst amp; Young.

Для сравнения можно напомнить, что не далее как в прошлом году та же Cisco устроила здесь грандиозный скандал, подав в суд на одного из докладчиков и на организаторов конференции за то, что они провели сессию, посвященную серьезнейшей дыре в защите «неприступных» маршрутизаторов знаменитой компании. А еще несколькими годами ранее, как многие наверное помнят, корпорация Adobe инициировала арест агентами ФБР одного из участников конференции, российского программиста Дмитрия Склярова, за его доклад о слабостях защиты электронных книг.

Поняв-таки, что столь агрессивные действия не могут помешать распространению неприятной для них информации и одновременно катастрофически портят имидж, ныне корпорации в корне изменили тактику. Помимо щедрого спонсорства, компания Cisco, в частности, прислала на конференцию своего директора по безопасности Джона Стюарта, который выступил с докладом — о новых взглядах на взаимоотношения между поставщиками продуктов и независимыми исследователями.

Интересным и содержательным дополнением к сложившейся картине является существенно иная конференция, которой по случайному (а может и нет) стечению обстоятельств нынешним летом тоже исполнилось десять лет.

С 1997 года корпорация Microsoft начала устраивать ежегодные деловые встречи с ведущими компаниями в области борьбы с компьютерными вирусами и прочими зловредными кодами. Со временем это мероприятие обрело название Microsoft Virus Initiative, как правило проходя в редмондской штаб-квартире корпорации без приглашений прессы и сопутствующей тому ненужной шумихи. Все эти годы Microsoft и софтверные фирмы компьютерной безопасности, такие как McAfee или Symantec, были близкими деловыми партнерами, а цель их регулярных встреч в Редмонде была совершенно ясна — формирование более стабильного и надежного фундамента для общего бизнеса партнеров. На конференциях MS Virus Initiative, в частности, эксперты по антивирусной борьбе собирались ради того, чтобы обсудить вопросы наилучшей защиты Windows. В этом русле традиционно и обсуждались идеи о том, какого рода продукты были бы для пользователей Windows наиболее ценными и какие еще меры могли бы усилить защиту ОС наилучшим образом.

Однако за последнее время ситуация изменилась самым решительным образом. Ныне Microsoft уже имеет собственные приложения в сфере безопасности, то есть выступает в качестве явного конкурента для производителей антивирусов и файрволов. Учитывая же гигантскую долю программного обеспечения MS в настольных системах, недавние партнеры корпорации ныне очень сильно нервничают, когда речь заходит о том, чтобы делиться с «большим братом» накопленной информацией и важными результатами исследований. По их признаниям в кулуарах, особенно неприятно, когда при этом Microsoft требует от участников встреч Virus Initiative подписать документ, позволяющий корпорации использовать в своей работе все сказанное выступающими в ходе конференции. Такое правило было введено в последние годы, и в этих условиях у участников стало все отчетливее ощущаться сильное нежелание говорить что-либо существенное.

Одновременно и в докладах представителей Microsoft стало заметно, что корпорация уже не желает раскрывать в подробностях нюансы защиты новой Windows перед потенциальными конкурентами. В таких условиях регулярные участники встреч начинают задаваться естественными вопросами о назначении этого мероприятия. Корпорация-гигант сообщает партнерам лишь то, что им и без того известно из общедоступных публикаций, но при этом выражает живейший интерес в получении от них информации, не предназначенной для широкого распространения.

В явной форме разрыва пока что не произошло, однако компании покрупнее, вроде Symantec, вполне дипломатично, но в решительной форме стали все чаще выступать с общей критикой инициатив Microsoft в области безопасности. Фирмы же помельче, вроде российской Agnitum, наиболее известной среди пользователей своей популярной программой-файрволом Outpost, выступают более резко и конкретно. Вскоре после завершения последней встречи фирм безопасности в Редмонде, компания Agnitum сделала через прессу весьма жесткое и решительное заявление о том, что практикуемые ныне корпорацией Microsoft новые меры делают более сложной интеграцию в Windows средств защиты сторонних разработчиков, и вынуждают их прибегать к хакерским методам анализа системы.

К этому выводу компания пришла после изучения технологии Kernel Patch Protection, разработанной в Microsoft для защиты ядра операционной системы. Данная технология, по идее, должна защитить Windows от руткитов (вредоносных программ, скрывающих свое присутствие в зараженной системе) существенным ограничением доступа к низкоуровневым функциям ядра. Из соображений безопасности подробности о работе Kernel Patch Protection не разглашаются. Однако Agnitum, как поставщик серьезной программы защиты Outpost Firewall Pro, считает необходимым устанавливать свой продукт именно на уровне ядра системы. Заранее предвидя потенциальные проблемы с прямой установкой Outpost в Vista, компания предприняла необходимые меры анализа системы и обнаружила, что в принципе возможность для обхода новых мер безопасности Microsoft имеется — но при использовании тех же технологий обратной инженерной разработки, что обычно используют хакеры.

Подводя итог своему исследованию, в Agnitum охарактеризовали Kernel Patch Protection как шаг в ошибочном направлении, если не умышленно антиконкурентную инициативу. Данная технология, по их мнению, в действительности не решает реально серьезную проблему руткитов, но делает более сложным для независимых разработчиков ПО обеспечение полной совместимости с Windows. Никто достоверно не знает, сделано ли это в Microsoft умышленно, но есть сильное подозрение, говорят в Agnitum, что этим шагом пользователей Windows пытаются подтолкнуть к средствам безопасности самой Microsoft и только Microsoft.

Нельзя сказать, что все более энергичная критика инициатив Microsoft со стороны таких компаний, как Symantec или Agnitum, встречает полную и безоговорочную поддержку среди компьютерной общественности. Например, достаточно часто можно услышать мнение, что сторонним разработчикам вообще совершенно незачем углубляться на деликатный уровень ядра операционной системы, и чем надежнее его сумеют оградить — тем лучше будет для всех. Вопрос этот, короче, явно спорный, и даже взгляды специалистов на подобные проблемы могут отличаться диаметральной противоположностью.

Но что можно констатировать вполне определенно, так это очевидные перемены в отношениях Microsoft с индустрией безопасности и хакерской публикой. Явное укрепление сотрудничества с хакерами проходит на фоне бесспорного охлаждения отношений с бывшими партнерами по бизнесу. Можно говорить, что в Microsoft затеяли своего рода «выравнивание игрового поля» для всех внешних сил, заинтересованных в укреплении безопасности Vista. Кому-то сейчас это представляется шагами в ошибочном направлении, однако оценивать происходящее разумнее будет все же по конечному результату.

А значит, когда Windows Vista получит массовое распространение — тогда и станет яснее, кто тут прав.

Если конечные пользователи не увидят в ОС Vista явно более безопасную систему, нежели все ее предшественницы, то для корпорации Microsoft это без преувеличений может оказаться катастрофой. В последние годы компания принципиально изменила технологию создания программного обеспечения, введя для всего процесса новый комплекс мер под общим названием Security Development Lifecycle. В рамках этой перестройки программисты-разработчики прошли курсы переподготовки, а параллельно был создан и введен в действие специальный инструментальный комплекс для автоматизированной проверки новых программ на отсутствие известных слабостей.