_2501 úgy tűnik, kissé felkapta a vizet a HWSW mai cikkén, ami Brad Arkin, az Adobe termékbiztonságért felelős vezetőjének a Kaspersky Security Analyst Summit 2012-n tartott előadásáról szól - azt kell mondjam, megértem a dolgot. A mondanivaló lényege nagyjából az, hogy az offenzív biztonsági kutatások - támadási módszerek, exploitok - publikálása valójában a rosszindulatú támadókat segíti, árt a gyártóknak, és a gyártón keresztül a felhasználóknak is. Arkin szerint az energiákat a defenzív megoldások fejlesztésére kellene fordítani, hogy a támadók dolgát nehezebbé tegyük.

Sajnos az általában elég bulvárosra sikerült cikkek miatt egy ideje leiratkoztam a Dark Readingről, így beletellt egy kis időbe, mire előgugliztam az eredeti cikket. Bár részben beigazolódott az a sejtésem, hogy a hiányos fordítás kiélez egyes állításokat, szegény Brad jó eséllyel páyázhat az idei legbénább gyártói reakcióért járó Pwnie-ra. Mivel a DR tudósítóiban sem bízom, vegyük csak az idézett mondatokat (melyek persze kiragadottak, de kevéssé félreérthetőek):

"[BA] says Adobe's goal is not to address each and every vulnerability that's discovered in its software, but instead to build mitigations that drive up the cost of writing exploits" - Nyilván ők is rájöttek, hogy annyira bugos a kódjuk, hogy lehetetlen javítani. Vegyük észre, hogy még a mindenki szeme-fénye Internet Explorerben is egyre kevesebb hibát találnak, az Adobe Reader meg mintha nem akarna kiapadni.

"Recent data showed that the biggest jump in attacks against Adobe applications occurs after an attack method goes public or a Metasploit penetration-testing module is written, he said" - Van a füllentés, van a hazugság, és van a statisztika. Az Adobe esetében a tipikus az, hogy megjelenik egy 0day a sztyeppéről, amit nem tudnak detektálni, és nem tudnak reprodukálni (sem a MSF-ben, sem máshol). Aztán előkerül pár malware minta, esetleg patch, ami alapján lehet AV szignatúrát generálni, meg exploitot írni - vegyük észre, hogy az információs bázis, a táptalaj közel azonos! A malware közben terjed, a szignatúrákat terítik, a VirusTotal meg pörög, a detekciós ráta így a csúcs közelébe ér mire commitolják az új exploit modult a Frameworkbe.

"We fixed thousands of bugs in Adobe 9, screwing up a lot of the code that should have stayed where it was" - Ez pedig azt hiszem, egyszerűen mindent elmond az Adobe szoftverfejlesztési folyamatairól.

Jó lenne ilyen baromságok helyett inkább arról olvasni, hogy mit prezentált Boldi ugyanezen a konfon...