„Klausimas, kaip veikia visa interneto adresavimo schema, yra labai svarbus, – spaudos konferencijoje sakė „Securosis“ analitikas Richas Mogulas. – Nors jūs vis dar turėtumėte internetą, tai nebūtų toks internetas, kokio jūs tikitės. Viską kontroliuotų programišiai.“
Šis trūkumas būtų palaima „phishing“ apgavystėms. Tokie sukčiavimai dažniausia yra daromi žmonių, kurie imituoja komercine veikla užsiimančių įmonių tinklapius (bankų ar kredito kortelių kompanijų). Taip siekiama apgaule iš žmonių išgauti sąskaitos numerius, slaptažodžius ir kitą informaciją. Tokias atakas rengiantys asmenys galėtų pasinaudoti trūkumu ir nukreipti interneto vartotojus, kur tik sukčiai norėtų, visai nepriklausomai nuo to, koks adresas būtų įrašytas į naršyklę.
Saugumo srityje besidarbuojantis tyrėjas Danas Kaminsky maždaug prieš pusę metų iš „IOActive“ netyčia atrado Srities vardų struktūros (DNS) pažeidžiamumą ir prašė pagalbos tokių gigantų, kaip „Microsoft“, „Sun“ ir „Cisco“, siekdamas užsitikrinti jų bendradarbiavimą ieškant sprendimo.
DNS naudoja kiekvienas kompiuteris, kurį ši struktūra prijungia prie interneto panašiai, kaip telefonų sistema nukreipia skambučius į norimus numerius, – šiuo atveju yra nukreipiama į tinklapių adresus.
Antradienį JAV Tinklų ir informacijos saugumo incidentų valdymo padalinys (CERT), jungtinis vyriausybės ir privataus sektoriaus partnerystės užtikrinant saugumą darinys, išplatino perspėjimą, kuriame buvo pabrėžta vadinamųjų DNS „atmintinės užteršimo atakų“ problema, tapusi grėsminga atradus pažeidžiamumą.
„Atakuotojas, sugebantis sėkmingai atlikti atmintinės užnuodijimo ataką, gali priversti vardų serverio klientus prisijungti prie neteisingo kontakto, kuris galėtų būti naudojamas piktavališkiems tikslams, – buvo teigiama CERT pranešime. – Dėl šios priežasties interneto pranešimų srautas, elektroninis paštas ir kiti svarbūs tinklo duomenys galėtų būti nukreipiami į sistemas, kurias kontroliuotų atakuotojai.“
„Žmonės turėtų susirūpinti, bet neturėtų panikuoti, – sakė Kaminsky. – Mes jums išlošėme tiek laiko, kiek tik galėjome, kad norėdami užtaisyti spragas išbandytume ir panaudotume kodą. Tokio masto veikla anksčiau niekada nebuvo vykdyta.“ Kaminsky sukūrė tinklapį www.doxpara.com, kuriame žmonės gali sužinoti, ar jų kompiuteriai turi DNS pažeidžiamumą.
Kaminsky buvo vienas iš šešiolikos tyrėjų iš viso pasaulio, kurie kovo mėnesį susirinko „Microsoft“ miestelyje Redmonde, Vašingtono valstijoje. Jų tikslas buvo surasti problemos sprendimą.
„Aš tai atradau visiškai netyčia, – sakė Kaminsky. – Žiūrėjau į kai ką, kas yra visiškai nesusiję su saugumu. Šita problema palietė ne tik „Microsoft“ ir Cisco, bet visus.“ Programinės įrangos talentai pasirinko beprecedentį kelią. Jie sukūrė kodą, skirtą ištaisyti spragas, kuris būtų išleistas vienu metu visoms kompiuterių programinės įrangos platformoms. „Tai niekuomet nebuvo daryta, ir šis darbas yra didžiulis sumanymas, – sakė Kaminsky. – Daug žmonių smarkiai pasistengė ir parodė, kaip bendradarbiavimas gali apsaugoti klientus.“
Automatinis atnaujinimas turėtų apsaugoti daugumą asmeninių kompiuterių. „Microsoft“ pristatė pataisymus programinės įrangos atnaujinimo pakete antradienį. Siekdami pasinaudoti trūkumais programišiai negali tikrinti pataisymo naudodamiesi apgrąžos inžinerija. Šio pataisymo techninės detalės bus laikomos paslaptyje dar mėnesį – taip bendrovėms bus suteikta pakankamai laiko atnaujinti savo kompiuterius.
„Tai yra tikrai svarbi diena, – sakė Jeffas Mossas, „Black Hat“ kompiuterių saugumo konferencijos, kuri kasmet vyksta Las Vegase, įkūrėjas. – Mes turime daugybei tiekėjų skirtą pataisymą, kuris skirtas ištaisyti visą interneto adresavimo schemą. Spraga galėtų reikšti, kad kiekvienas, mėginantis pasiekti „Google.com“, galėtų būti nukreiptas, kur tik panorėtų atakuotojas.“ Programišiai, besinaudojantys šiuo trūkumu, sugebėtų atakuoti kompanijų kompiuterių tinklus ir taip perimti elektroninio pašto informaciją bei kitus duomenis.
Kaminsky įspėjo JAV nacionalines saugumo agentūras apie spragą kibernetinio karo gynybos linijose. „Tai parodo, kaip nepriklausomi tyrėjai sukuria pridėtinę vertę“, – teigė buvęs Tėvynės saugumo departamento nacionalinio kibernetinio saugumo skyriaus vadovas Jerry Dixonas.