Джоанна получила известность после
публикации работ об установке бекдоров в
Windows Vista и их сокрытии. Ее конек - технологии
проникновения и сокрытия, скрытые каналы
передачи данных. Сегодня мы представляем
интервью с Джоанной Рутковской.
Как вы начали интересоваться
безопасностью Windows?
Когда я начала играться с внутренностями
Windows, я уже имела опыт взлома
пользовательского режима Linux и
программирования ядра. Переход к Windows был
естественной эволюцией и продиктован моим
любопытством.
Какое ваше общее мнение о безопасности
Windows Vista? Действительно ли она безопаснее,
чем XP, как Microsoft говорит?
Действительно, Windows Vista более совершенна
по сравнению с XP. Одно из главных
нововведений - это User Account Control, надеюсь, оно
заставит пользователей работать в
ограниченных аккаунтах. UAC по-прежнему
далека от совершенства, например, очень
раздражает, что инсталлер каждого
приложения (даже Тетриса) требует
административных привилегий, и
пользователь не может продолжить установку,
не согласившись с этим. Однако я вижу, что UAC -
важный шаг во внедрении принципа меньших
привилегий в Windows.
В дополнение к этому Microsoft представила
некоторые технологии, препятствующие
взлому, например, ASLR, и инвестирует много
денег и времени в улучшение качества кода в
операционной системе и приложениях.
Введение технологии BitLocker, которая использует
Trusted Platform Module (TPM) для удостоверения
целостности загружаемых процессов, похоже,
стало важным улучшением. Конечно, нельзя
думать о ней как о совершенном решении
проблемы руткитов и malware.
В 64-разрядной версии Vista Microsoft также ввела
новшество, и теперь требуется, чтобы все
драйверы ядра имели цифровую подпись,
однако я не верю, что такой механизм
эффективно остановит взлом ядра. К тому же
широко обсуждаемый Kernel Patch Protection (Patch Guard)
не стоит расценивать как эффективную
защиту против компрометации ядра, авторы
вредоносного софта легко смогут обойти его.
Тем не менее, я вижу пользу от этих двух
механизмов для обнаружения взлома (не
путайте с предотвращением взлома).
По вашему мнению, какую самую большую
ошибку сделала Microsoft в области безопасности
в 2006 году?
Я
не видела никаких впечатляющих ошибок в 2006,
но есть некоторые вещи, с которыми я не могу
согласиться - например, с механизмом
уровней целостности (Integrity Level), который
предотвращает только запись, но не
запрещает чтение, или с защитой ядра, или
с тем, что, подобно многим другим
поставщикам ОС, Microsoft сконцентрировалась на
предотвращении и ничего не сделала для
систематизации такого предотвращения
вторжений. Я полагаю, это просто разные
точки зрения, и не назвала бы это "большой
ошибкой".
Что вы думаете о публикации сведений (full
disclosure) об уязвимостях?
На самом деле я отношусь к этому вопросу
нейтрально. С одной стороны я думаю, что это
право потребителей - знать о дырках в
продуктах, которые они покупают, и не вижу
никакой причины, почему те, кто нашел такие
уязвимости, должны обязательно докладывать
в первую очередь вендору, почему они должны
нахаляву общаться с производителем?
С другой стороны, когда мы видим качество
таких рекомендаций, большинство багов являются
тем или иным видом отказа в обслуживании. Я
думаю, люди просто ищут дешевой славы.
Вполне понятно, что компании, которые стали
жертвами такого "аудита", чувствуют
некоторое неудобство.
На самом деле, время от времени мы видим очень
интересные сообщения об ошибках, иногда
появляются новые классы ошибок или новые
методы эксплуатации. Трудно переоценить
значение таких докладов для сообщества
безопасности, так что если их авторы решили
опубликовать эту информацию бесплатно, все
должны быть благодарны им.
Что вы думаете о Microsoft Patch Tuesdays? Не
следует ли выпускать патчи более часто?
Я полагаю, им следует быть, но я в то же
время понимаю, что выпуск патчей - сложный
бизнес-процесс - исправление требует массы
тестов и т.д. Я также думаю, что даже если
выпускать патчи ежедневно, это не улучшит
ситуацию, так как атакующие по-прежнему
смогут использовать еще неизвестные
уязвимости. Поэтому операционной системе
важно самой иметь ряд технологий,
препятствующих взлому, и она должна быть
сконструирована таким образом, чтобы
ограничить ущерб потенциального взлома.
Сейчас ясно, что Microsoft следует по этому пути,
но тем не менее еще есть масса мест для
улучшения.
Какой наиболее интересный факт вы
осознали, проводя исследования для своих
последних публикаций?
Мне трудно определить один факт. Обычно
самая удивительная вещь состоит в том, что
то, о чем вы думали раньше, начинает работать
при создании proof-of-concept кода. Это всегда
очень радует меня.
Какая ваша позиция в споре open source vs. closed
source?
Я не люблю, когда люди говорят, что вещь
безопасна только потому, что она имеет
открытый код и по определению небезопасна
только потому, что она коммерческая, closed source
продукт.
Хотя следует признать, что масса
технологий безопасности впервые была
представлена в open-source-системах, та же ASLR,
изобретенная PaX 6 лет назад.
Какие у вас планы на будущее? Если какие
интересные проекты?
Я думаю, что сконцентрируюсь на защите. В
прошедшие два года я работала над
несколькими технологиями
нападения, но, к сожалению, я не вижу
серьезных усилий в мире безопасности для
решения определенных мною проблем. У нас по-прежнему нет хорошего решения для
предотвращения или обнаружения множества
нападений. Я бы хотела перейти на сторону
защиты - я верю, что мы должны убедить
производителей операционных систем и
процессоров делать системы поддающимися
проверке - так, чтобы могли реализовать
систематический подход для проверки
поражения систем разными вредоносными
программами.
