Profesjonalni administratorzy – wiadomo – żyją tym aby aktualizować oprogramowanie na zarządzanych przez siebie workstacjach. Zwykli śmiertelnicy – wiadomo – żyją czym innym, ale zdają sobie sprawę, że baza wirusów musi być najnowsza, a aktualizacje wyskakujące czasami z prawego dolnego rogu to generalnie przeszkadzające coś, w co można kliknąć „Później” i na jakiś czas będzie spokój. Aplikacji zainstalowanych standardowo u przeciętnego użytkownika jest mnogo, a prędzej czy później trzeba je zaktualizować i tu wiadomo znów kolejny problem. Zasadniczo więc świat powinien być w połowie bezpieczny, a w połowie nie [upraszczając na poziomie 2 latka ;] Zakładając natomiast wersję bardzo negatywną – świaŧ powinien być w 3/4 podatny na ataki i choć w 25 % bezpieczny. W szalonej wersji idealnej do scenariuszy filmów amerykańskich – ponad 90% użytkowników powinna być przysłowiowo „dziurawa” i apokalipsa z Brucem Willisem wpasuje się jak znalazł…
A jak jest naprawdę?
Firma Secunia, która udostępnia darmową aplikację PSI [sprawdza czy wszystkie zainstalowane w systemie aplikacje, są zaktualizowane do najnowszych czyli (prawie) bezpiecznych wersji], opublikowała na swoim blogu pierwsze statystyki z ich narzędzia w wersji 1.0. Przebadane 20 000 komputerów w przeciągu 7 dni jasno pokazały, ze jedynie 1.91 % (czytaj: jeden przecinek dziewięćdziesiąt jeden procenta) przetestowanych komputerów – było w pełni połatanych!!! Myślę, że należy się więcej wykrzykników !!!!!!!!!
Co gorsza te statystyki tak naprawdę obnażają jeszcze jedną prawdę. Użytkownicy, którzy pobrali te aplikacje (specjalnie i wyłącznie tę, w tym celu i z określonej strony – to nie malware ;) – to teoretycznie ludzie choćby delikatnie świadomi, że jest coś takiego jak bezpieczeństwo i że ono jest w jakiś sposób ważne… Jakby jeszcze do tego chcieć uprościć to wychodzi, ze 98 komputerów na 100 w sieci Internet, jest zagrożonych znanym atakiem (dobrze, że w większości lokalnym albo wymagającym interakcji).
Ilość podatnych na atak aplikacji | Procent użytkowników
0 : 1.91 %
1-5 : 30.27 %
6-10 : 25.07 %
11+ : 45.76 %
Chciałoby się w jakiś mądry sposób skomentować. Że na pewno aplikacja PSI wynajduje dziwne programy, których nikt nie używa, że źle analizuje i specjalnie generuje fałszywe alarmy, aby ładnie wyglądało, że wszystkiemu winny jest aktualny kryzys……. Czekam na bardziej szczegółowe dane z większej ilości komputerów, bo może się coś ciekawego wyjaśni i uda nam się zejść poniżej magicznej granicy 90 % scenariusza filmu konkretnej akcji…
Jeden komentarz do
9 grudnia, 2008 o godzinie 17:21
zalóżmy ze secunia uznaje za błąd związany z bezpieczeństwem wszystkie DoS oraz „code execution”. DoS możemy odrzucić ponieważ zwykły użytkownik dostrzeże jedynie irytujący zwis aplikacji. Większość błędów które POTENCJALNIE mogą doprowadzić do uruchomienia kodu jest bezużyteczna, od teorii do praktyki baaardzo długa droga. Firmy produkujące soft wolą dmuchać na zimne, dlatego wypuszczają advisory z informacją o wielkim zagrożeniu, a nuż jakiś zapalony researcher udowodni że błąd można wyexploitować z skutecznością 1/100000, oczywiście jeśli uda się za pierwszym razem, ponieważ każda próba powoduje crash aplikacji. Zarabiają na tym producenci ips chwalący się statystykami przed iloma to błedąmi ich urządzonko chroniło sieci klientów. Pozostaje marny odsetek błędów które faktycznie mogą z dużą skutecznością doprowadzić do uruchomienia dowolnego kodu. secunia/vupen/zdi/idefense/chwc wszystkim zależy na tym aby wyolbrzymiać zagrożenie w świadomości swoich klientów. Po nałożeniu tych przemyśleń myślę ze uda się zejść poniżej magicznej granicy :-)