Spor, který neustále přináší neopravené chyby ve Windows
Dlouhotrvající spor mezi Microsoftem a bezpečnostním výzkumníkem vystupujícím pod přezdívkou Nightmare Eclipse dospěl k novému milníku, a to ne zrovna příznivému pro uživatele Windows. Krátce po posledním opravném úterý Microsoftu zveřejnil výzkumník devátý zero-day exploit postihující Windows, což znamená, že je nyní veřejně dostupný útočný kód pro zranitelnost, kterou Microsoft dosud neopravil. Pro každého, kdo používá Windows, je takováto Windows zero-day zranitelnost podstatná, protože ji potenciálně mohou zneužít útočníci ještě předtím, než existuje oficiální záplata.
Na tomto případu není neobvyklá existence jediné chyby, ale celý vzorec. Jde už o devátý exploit, který výzkumník v rámci zjevně pokračující patové situace zveřejnil, což naznačuje zhroucení běžné komunikace mezi bezpečnostními výzkumníky a dodavateli produktů, které testují.
Jak eskaloval spor s Microsoftem
Podle informací o tomto konfliktu se zdá, že Nightmare Eclipse nabyl dojmu, že Microsoft jeho hlášení o zranitelnostech nebere prostřednictvím standardních kanálů pro oznamování dostatečně vážně. Místo aby dál čekal, až zareaguje bezpečnostní proces Microsoftu, rozhodl se výzkumník raději veřejně zveřejnit proof-of-concept kód exploitu, přičemž načasoval toto poslední vydání tak, aby bezprostředně navazovalo na pravidelný měsíční cyklus záplat Microsoftu.
Tento přístup se vymyká odvětvové normě koordinovaného zveřejňování, kdy výzkumník chybu dodavateli soukromě nahlásí a souhlasí s tím, že veřejné podrobnosti odloží, dokud nebude k dispozici oprava. Když se tato důvěra naruší, což se zde zřejmě stalo, výsledkem je přesně to, co se děje nyní: funkční kód exploitu koluje veřejně ještě předtím, než Microsoft vydá záplatu. Každé nové zveřejnění v této sérii zvyšuje tlak na bezpečnostní tým Microsoftu a zároveň dává potenciálním útočníkům náskok.
Celá tahanice se údajně vyhrotila natolik, že přitáhla pozornost celé bezpečnostní komunity, přičemž základní otázkou zůstává, zda k tomuto bodu situaci částečně nedotlačil právě způsob, jakým Microsoft nakládal s hlášeními výzkumníka, nebo absence uspokojivé odezvy. Bez ohledu na to, na čí straně je větší vina, je praktický důsledek pro běžné uživatele stejný: další neopravená chyba s veřejně dostupným exploitem.
Proč jsou opakovaná zveřejnění zero-day chyb větším problémem než jednotlivé chyby
Jediná neopravená zranitelnost už je legitimním důvodem k obavám, ale celá série devíti zranitelností poukazuje na něco strukturálnějšího. Naznačuje, že jakýkoli proces prověřování či třídění, který mezi výzkumníky a bezpečnostním týmem reakce Microsoftu existuje, v tomto konkrétním případě nefunguje hladce. Pro uživatele to znamená, že počítače s Windows mohou být současně vystaveny více potenciálním cestám útoku, namísto aby čelily jednomu problému, který se vyřeší dříve, než se objeví další.
Zvyšuje to také sázky v souvislosti s měsíčním rytmem záplat Microsoftu. Opravné úterý existuje proto, aby IT týmy i spotřebitelé mohli plánovat aktualizace v předvídatelném harmonogramu. Když se zero-day exploity objeví hned po tomto cyklu, musí obránci čekat týdny na další oficiální termín oprav, pokud se Microsoft nerozhodne vydat mimořádnou havarijní záplatu. A právě toto čekací období je okamžikem, kdy oportunističtí útočníci obvykle jednají nejrychleji.
Co to znamená pro vás
Pokud používáte Windows, nic z toho nevyžaduje paniku, ale rozhodně to vyžaduje obezřetnost. Zero-day exploity jsou nejnebezpečnější právě v období, než existuje záplata, a toto okno je nyní u devátého problému otevřené. Nejefektivnější reakcí je ta, která platí vždy během aktivní zero-day situace: mějte zapnuté automatické aktualizace, abyste opravu od Microsoftu obdrželi okamžitě po jejím zpřístupnění, a neodkládejte instalaci bezpečnostních aktualizací, jakmile dorazí, i kdyby to znamenalo restart v nevhodnou chvíli.
Také je dobré mít na paměti, že veřejně dostupný kód zero-day exploitu automaticky neznamená, že je aktivně cíleno na každého uživatele Windows. Útočníci stále potřebují životaschopnou cestu k zasažení zranitelného systému, a proto i proti zero-day hrozbám zůstává cenná základní hygiena – obezřetné zacházení s nečekanými e-mailovými přílohami a odkazy a provoz systému s omezeným vystavením internetu tam, kde to není nutné.
Jak zůstat napřed v nevyřešené situaci
Zdá se, že tento konflikt mezi Microsoftem a Nightmare Eclipse ještě neskončil, a pokud se základní neshoda nevyřeší, jsou další zveřejnění pravděpodobná. Prozatím je praktické ponaučení pro uživatele Windows jednoduché: přistupujte k této Windows zero-day zranitelnosti stejně jako k jakékoli neopravené, veřejně známé zranitelnosti. Zkontrolujte, zda je váš systém nastaven na automatickou instalaci aktualizací, sledujte oficiální pokyny od Microsoftu nebo nouzovou záplatu a zachovávejte obezřetnost u neznámých odkazů a souborů, dokud nebude oprava na vašem zařízení potvrzena. Udržování záplat v aktuálním stavu zůstává tou nejspolehlivější obranou, dokud tento spor pokračuje.
