NSA znalazła w Windows 10 dziurę i... poinformowała o niej Microsoft
Amerykańska Narodowa Agencja Bezpieczeństwa (NSA) odkryła w Windows 10 poważny błąd, który pozwala napastnikowi na przechwycenie komunikacji. Co zaskakujące, zamiast wykorzystać odkrycie do własnych celów, Agencja poinformowała o nim Microsoft. Koncern z Redmond właśnie wydał łatę, a w komunikacie wskazał NSA jako źródło informacji o dziurze.
Amit Yoran, dyrektor firmy Tenable, mówi, że to wyjątkowo rzadki, jeśli nie bezprecedensowy przypadek, by firma dowiadywała się o błędach w swoim oprogramowaniu od amerykańskich agend rządowych. Yoran wie, co mówi, gdyż był twórcą i dyrektorem zespołu szybkiego reagowania na cyberzagrożenia w amerykańskim Departamencie Bezpieczeństwa Wewnętrznego.
NSA wydała oświadczenie, w którym informuje, że konsekwencje niezałatania luki są bardzo poważne i dalekosiężne. Microsoft wyjaśnia, że napastnik może wykorzystać dziurę do podrobienia certyfikatu cyfrowego. Cyberprzestępca może dzięki temu przeprowadzić atak typu „man-in-the-middle” i odszyfrować poufne informacje.
NSA i Microsoft nie chciały zdradzić, kiedy koncern został powiadomiony o błędzie. Neal Ziring, dyrektor ds. technicznych w wydziale ds. cyberbezpieczeństwa NSA zapewnił jedynie, że informacja taka została przekazana szybko.
Od kilku lat w USA obowiązuje opracowana przez Biały Dom procedura „Vulnerability Equities Process”. W jej ramach agendy rządowe, które odkryły dziury w oprogramowaniu, mają obowiązek rozważyć korzyści i zagrożenia wynikające z ich nieujawnienia producentom software'u i na tej podstawie mają podjąć decyzję o ewentualnym przekazaniu takich informacji.
Komentarze (2)
peceed, 15 stycznia 2020, 13:23
Są różne opcje.
1) Dziura została wyszpiegowana u przeciwnika.
2) Dziura została wykorzystana przeciwko NSA.
3) Pan opiekujący się dziurą został zwolniony.
cyjanobakteria, 15 stycznia 2020, 14:37
Moim zdaniem wykryli podatność i oszacowali, że ryzyko wykrycia przez obcy wywiad albo kryminalistów jest wysokie. Nawet jeżeli wykrycie jest mało prawdopodobne, to jest to podatność klasy porównywalnej z Heartbleed z 2014, więc ryzyko wykorzystanie przeciwko rządowi czy sektorowi finansowemu jest wysokie.
Utrzymywanie podatność tego typu jest ryzykowane. Chińczycy i Rosjanie są bardzo dobrzy w te klocki. Północna Korea nie ma nic do stracenia i zrobiła z atakowania systemów finansowych gałąź gospodarki, a Iran jest mocno zmotywowany. Mogliby by teoretycznie załatać kilkaset tysięcy swoich systemów, ale jest to trudne i pozwoliłoby przeciwnikowi zidentyfikować podatność.