Es barato explotar el software y ese es un gran problema de seguridad.

¿Cuánto costaría hackear tu teléfono? La mejor estimación para un iPhone está entre 0 y $65,000 – y este precio depende principalmente de ti. Si omitiste una actualización de seguridad realmente importante, el costo se acerca más a $0.

Supongamos que estuviera al tanto. Esos $65,000 son un costo de uso más alto para el consumidor promedio: si actualiza a un dispositivo Android, Mac o PC, el costo podría ser significativamente menor. Apple ha invertido enormes recursos al endurecer el iPhone. El precio de venta por un único exploit en lugar de un servicio puede disminuir hasta $8 millones. Compárese esto con el coste de explotar un lector de PDF como Adobe Acrobat -que está notoriamente lleno de agujeros de seguridad- que Informe de investigación de TrendMicro (PDF) cuesta $250 y más.

Pase de atacar a una persona específica a atacar a una de las miles de personas de una gran organización y las posibilidades son infinitas. Un atacante sólo tiene que encontrar los medios más baratos.

El hecho de que un exploit moderno para iPhone se venda por millones, a diferencia de cientos por un exploit de Adobe Acrobat, es un logro extraordinario para Apple, que vale la pena celebrar y repetir en otros lugares. Esto refleja que durante los últimos 20 años, las grandes empresas de tecnología han gastado silenciosamente enormes recursos aumentando el costo del uso del software.

¿Cómo aumentamos el coste de explotación?

Fuera de las mayores empresas tecnológicas, la idea de hacer que el software sea más difícil de explotar suele considerarse una causa perdida. Imagine un gusano moviéndose por su red. Lograr que 1.000 trabajadores de oficina reinicien sus computadoras es difícil. Por lo tanto, instala un firewall en el borde de la red para bloquear los paquetes de red del gusano. Esto mantiene alejado al gusano, pero las máquinas siguen siendo vulnerables si ingresa a la red.

El enfoque moderno (Confianza cero, desarrollado por Forrester) supone que el “perímetro” ya ha sido violado, por lo que ahora todos los dispositivos y todas las aplicaciones deben estar protegidos, independientemente de la ubicación de la red. ¿Cómo? Incrementando el costo de uso del software en sí.

Aunque este método se consideraba prohibitivamente caro, se está volviendo cada vez más popular. A continuación se muestran algunas técnicas que han aumentado significativamente el costo del uso de software y explican por qué son costosas o difíciles de adoptar:

• Seguro por arquitectura de diseño: Diseñar para la posibilidad de patrones de vulnerabilidad comunes que conduzcan a exploits. Esto es sorprendentemente efectivo y un Parte de la arquitectura del iPhone Esto es subestimado por el público en general. Secure by Design se puede hacer a nivel de hardware o a nivel de lenguaje, como ocurre con un lenguaje como este óxidodiseñado por Mozilla también reducir la probabilidad de errores de programación que provocan agujeros de seguridad en Firefox. Firefox se lanzó en 1998 y Rust en 2018; Después de cinco años de arduo trabajo, Rust ahora representa el 10% del código de Firefox. Imagine el esfuerzo que supondría portar un sistema operativo completo como Linux. A menos que empiece desde cero, Secure by Design es difícil y lento de implementar.
• Defensa contra exploits de hardware y sistemas operativos: Podría decirse que esto es más un perímetro, pero cuando se integra puede ser efectivo ya que no hay comparación directa con ejecutar la aplicación fuera del perímetro, ya que requiere un sistema operativo para ejecutarse. Este enfoque fue una parte importante del endurecimiento a principios de la década de 2000, particularmente al escribir o ejecutar Linux y la Prevención de ejecución de datos de Microsoft. Los enfoques más nuevos, como el control de la integridad del flujo, son teóricamente sólidos, pero a menudo conllevan penalizaciones de rendimiento que los desarrolladores generalmente no están dispuestos a pagar.
• Pagar por vulnerabilidades (también llamado recompensa por errores): Irónicamente, una de las técnicas más baratas es simplemente pagar a los piratas informáticos para que compartan sus conocimientos. En teoría, los piratas informáticos podrían monetizar los exploits por mucho más dinero del que paga el proveedor. Sin embargo, en la práctica, maximizar el valor extraído requiere mucho trabajo y puede plantear problemas éticos a un hacker. Las recompensas por errores son particularmente ideales para empresas con muchos servicios de Internet porque requieren poco esfuerzo para configurarlas.
• Herramientas de prueba automatizadas: A principios de la década de 2000, surgieron varias empresas emergentes en torno a pruebas automatizadas para problemas de seguridad. La idea de encontrar errores en el código parece intuitiva, pero es propensa al fracaso porque los revisores humanos tienen un contexto que es difícil de codificar en un análisis de fase del compilador. Sigue siendo popular porque la implementación es relativamente sencilla: configurar un trabajo que escanea el código a medida que avanza por el ciclo de vida de desarrollo. Existe un gran mercado de herramientas que escanean código en tiempo de compilación (SAST) y en tiempo de ejecución (DAST). La queja más común sobre las herramientas es que tienen una gran cantidad de falsos positivos.
• Revisiones de código manuales o automatizadas: Transmitir experiencia de desarrolladores más experimentados a desarrolladores más jóvenes o usar herramientas que eliminan o encuentran automáticamente antipatrones simples. Esto puede resultar desproporcionadamente eficaz. La automatización de la revisión de código puede implementar efectivamente una versión menos ambiciosa de seguridad por diseño, llamada barreras de seguridad seguras, donde, en lugar de una re-arquitectura fundamental, los comentarios automatizados guían a los desarrolladores por un nuevo camino que evita toda una clase de vulnerabilidades.

¿Cuáles son las posibles soluciones?

Creo que el futuro requiere tres cosas. Primero, más ingenieros e ingenieros de seguridad: contrate ingenieros de seguridad con experiencia en desarrollo y asuma el liderazgo técnico, adoptando el concepto de aumentar el costo del uso del software. En segundo lugar, estamos cambiando nuestro enfoque de herramientas que limpian la detección y la respuesta a herramientas de construcción que aumentan el costo de uso. En tercer lugar, desarrollar nuevas herramientas no en un mundo aislado y centrado en la seguridad, sino en colaboración con los desarrolladores interesados ​​y teniendo en cuenta las necesidades de la empresa para una entrega rápida.

El software devora el mundo y su explotación es barata. Definitivamente no vamos a frenar lo primero, así que cambiemos lo segundo.