Aktualizacje: szybkość kontra zdrowy rozsądek

Specjaliści ds. bezpieczeństwa powtarzają — kiedy nadejdzie czas na aktualizację oprogramowania, nie zwlekaj. Jednak i nadmierny pośpiech nie zawsze popłaca.

Niespełna trzy miesiące temu błędna aktualizacja oprogramowania bezpieczeństwa zatrzymała pracę około 8,5 miliona maszyn z systemem Windows. Awaria dotknęła firmy korzystające z systemów operacyjnych Windows 10 i Windows 11. Media informowały o paraliżu linii lotniczych, banków, placówek opieki zdrowotnej, czy portów morskich. Wprawdzie o letnim incydencie prawie już wszyscy zapomnieli, z pewnością przejdzie on do historii jako jedna z największych awarii wywołanych przez błąd oprogramowania.

• Myślę, że kurz już nieco opadł i dyskusja na ten temat ustała. Niemniej awaria oprogramowania bezpieczeństwa nauczyła nas kilku rzeczy i warto z nich wyciągnąć wnioski. Dostawcy oprogramowania bardzo się spieszą, aby z jednej strony załatać luki bezpieczeństwa, zaś z drugiej wprowadzić nowe możliwości i funkcjonalności – i zrobić to przed konkurentem. Nie można jednak przy tym wszystkim zapominać o starannym projektowaniu, rozwoju i testowaniu oprogramowania. – mówi Michał Łabęcki z G DATA Software.

 Jednym ze sposobów na uniknięcie błędu podczas aktualizacji jest przeprowadzenie tego procesu etapami. W przypadku wykrycia problemów pozwoli to zminimalizować liczbę systemów dotkniętych błędami. Szczególnie ostrożnie należy postępować z systemami krytycznymi. W takich sytuacjach organizacja, załóżmy duży międzynarodowy bank, powinna przetestować aktualizację przed wypuszczeniem jej do wszystkich udziałów. Innym dobrym rozwiązaniem są automatycznie aktualizacje, jednak umożliwiające przeprowadzenie pilotażu, aby w razie wykrycia nieprawidłowości zatrzymać masową dystrybucję.

 Kiedy trzeba się spieszyć, a kiedy pomyśleć

 O ile pośpiech związany z wprowadzaniem różnego rodzaju ulepszeń nie zawsze ma sens, tyle w przypadku luk bezpieczeństwa jest on jak najbardziej wskazany. Duża rolę w wykrywaniu i naprawianiu podatności odgrywają tak zwani etyczni hakerzy, czasami też nazywani „białymi kapeluszami”. Po odnalezieniu luki kontaktują się oni bezpośrednio z producentem rozwiązania, aby ten jak najszybciej opracował łatkę i udostępnił ją użytkownikom. Bardzo często tworzą też exploit proof-concept, aby pokazać zagrożenie w praktyce. Niestety, zdarzają się przypadki, że producent zlekceważy informacje uzyskane od etycznych hakerów. Wówczas ci ostatni informują o zaistniałym zdarzeniu media.

Oczywiście cyberprzestępcy postępują odmiennie niż „białe kapelusze” i usiłują jak najdłużej zachować w tajemnicy wiedzę o lukach w zabezpieczeniach, aby za jej pomocą przeprowadzić maksymalną liczbę ataków. Warto w tym miejscu zaznaczyć, że w ubiegłym roku opublikowano ponad 30 tysięcy nowych luk w zabezpieczeniach. Według raportu Skybox Security 75 procent nowych luk w zabezpieczeniach jest wykorzystywanych w ciągu 19 dni lub szybciej. To pokazuje, jak duże znaczenie ma szybka reakcja dostawcy.

Ale aktualizacja nie zawsze wynika z potrzeby „łatania dziur”, bowiem bardzo często niesie ze sobą nowe funkcjonalności, poprawienie wydajności pracy systemu czy też zapewnić jego kompatybilność z najnowszymi dostępnymi na rynku technologiami.

Producent chce w ten sposób zyskać przewagę nad rywalami, lub co najmniej od nich nie odstawiać. Jednak czasami to się nie udaje. Znamienna jest tutaj historia Sonosa – dostawcy domowych bezprzewodowych systemów dźwiękowych. Firma w maju bieżącego roku udostępniła nowo zaprojektowaną aplikację przeznaczoną do obsługi swoich urządzeń, jednak klienci nie byli zachwyceni wprowadzonymi innowacjami, a niektórzy wręcz nie ukrywali frustracji. Odświeżona aplikacja nie zawierała najbardziej lubianych przez użytkowników funkcji. W rezultacie Sonos niemal co dwa tygodnie musiał wprowadzać poprawki korygujące błędy.

Czasami dochodzi do kuriozalnych sytuacji. Takowa miała miejsce w ostatnich dniach września na rynku amerykańskim. W czerwcu bieżącego roku w USA zakazano sprzedaży oprogramowania Kaspersky Lab. Biały Dom argumentował swoją decyzję tym, iż Kaspersky zagraża bezpieczeństwu narodowemu USA i prywatności użytkowników. Zakaz zaczął obowiązywać 20 lipca, aczkolwiek producent uzyskał pozwolenie na dostarczanie aktualizacji oprogramowania i zabezpieczeń obecnym klientom do 29 września. W ostatnich dniach września część amerykańskich użytkowników tego antywirusa otrzymała automatyczną aktualizację zawierającą inne oprogramowanie – UltraAV, choć nie wyrazili na to przedtem zgody. Były wysoki rangą urzędnik rządu USA ds. cyberbezpieczeństwa powiedział, iż był to przykład ogromnego ryzyka, na jakie narażeni są użytkownicy oprogramowania Kaspersky.

Wszystkie jajka w jednym koszyku

W świecie nowych technologii często ścierają się dwie koncepcje. Jedna zakłada maksymalną koncentrację rozwiązań, zaś druga zachęca do dywersyfikacji. Rynek cyberbezpieczeństwa cechuje się bardzo dużym rozdrobnieniem – działa na nim ponad 3 tysiące dostawców, a średnia, bądź duża firma zazwyczaj korzysta z kilkunastu narzędzi bezpieczeństwa IT, pochodzących od różnych vendorów. Część ekspertów, a także przedstawiciele największych koncernów działających w tej branży, nawołuje więc do konsolidacji.

– Jak pokazuje lipcowa awaria, koncentracja wielu rozwiązań o znaczeniu krytycznym w rękach kilku dużych graczy, może być brzemienna skutkach. To przeczy opiniom części specjalistów przekonujących klientów, że duża fragmentacja rynku jest jedną z największych bolączek branży cyberbezpieczeństwa. – zauważa Michał Łabęcki.

Osobną kwestią jest przywiązane wielu firm do Microsoftu, który zapewnia, że może dostarczyć użytkownikom praktycznie wszystko, czego potrzebują. Przedsiębiorstwa umieszczają wszystkie swoje przysłowiowe jajka w jednym koszyku. To nie tylko zwiększa ryzyko, że coś pójdzie nie tak, ale zwiększa prawdopodobieństwo, że rozwiązanie problemu będzie trudniejsze niż w przypadku zdywersyfikowanej infrastruktury.

Co istotne, część pracowników 19 lipca po uruchomieniu komputerów z systemem operacyjnym Windows, ujrzała niebieski ekran. Z kolei użytkownicy urządzeń pracujących pod kontrolą macOS czy ChromeOS mogli tego dnia spokojnie pracować. Otwarta koncepcja Microsoftu gwarantuje programistom tworzenie aplikacji współpracujących z systemem operacyjnym na bardzo głębokim poziomie. Ma to swoje plusy, ale czasami niesie ze sobą poważne konsekwencje. Jak by nie patrzeć, restrykcyjna polityka firmy Apple w tym zakresie zapewnia użytkownikom komputerów z nadgryzionym jabłuszkiem większe bezpieczeństwo, bowiem jedna wadliwa aktualizacja nie wywraca do góry nogami pracy biur, urzędów czy instytucji finansowych.