La tecnologia dell'informazione ha avuto un aumento o una diminuzione della sicurezza con l'introduzione di funzionalità di aggiornamento automatico?

Gli aggiornamenti automatici migliorano notevolmente la sicurezza correggendo eventuali vulnerabilità non zero-day.

La maggior parte delle vulnerabilità viene resa nota al pubblico dopo dopo che una patch è stata rilasciata. Anni fa, quando gli auto-aggiornamenti non erano la norma, gli hacker black-hat usavano per decodificare gli aggiornamenti di sicurezza, scoprire quali vulnerabilità hanno risolto, hanno scritto degli exploit e li hanno distribuiti agli utenti target che non si sono preoccupati di installare aggiornare. Questo ci ha dato epidemie come Win32.Sasser che si propagavano attraverso una vulnerabilità che era già stata riparata quando il worm appariva, ma molte persone non hanno installato la patch.

Ma al giorno d'oggi, il rilascio di un aggiornamento di sicurezza significa che in poche ore nessuno sarà più vulnerabile. Non è semplicemente il tempo sufficiente per creare un exploit e distribuirlo.

L'alta frequenza delle patch significa anche che le persone che cercano vulnerabilità zero-day (il che significa: trovare le vulnerabilità da soli prima che gli sviluppatori lo facciano) puntano a un obiettivo mobile. Una vulnerabilità potrebbe essere risolta anche mentre sta ancora lavorando al loro exploit (a volte anche involontariamente).

Questa è una di quelle domande che incoraggia il dibattito più di quanto consenta una risposta concisa. Come riconosci nella tua domanda, esistono argomentazioni per entrambe le parti, ma è assolutamente evidente che i professionisti IT preferiscono gli aggiornamenti automatici. Significa che il tuo computer potrebbe costantemente avere qualche vulnerabilità? Assolutamente. Metti la tua fiducia negli sviluppatori di un'applicazione che controllano accuratamente ogni modifica apportata a un programma o sistema operativo.

Gli aggiornamenti automatici sono ridicoli a un certo livello? Assolutamente. L'app di sintonizzazione sul mio telefono non ha bisogno di aggiornamenti costanti. Ma per browser Web, sistemi operativi e software server come Apache?

Sono dell'opinione diffusa che preferirei avere un numero incalcolabile di vulnerabilità sconosciute che si trovano sul mio sistema per una quantità di tempo relativamente infinitesimale di una vulnerabilità rispetto a qualsiasi script-kiddy possa sfruttare da una console metasploit. E se questo significa una battaglia costante tra sviluppatori e hacker, preferisco ancora l'approccio offensivo rispetto all'approccio difensivo.

Nella sicurezza del computer, gli attacchi dinamici possono e avranno sempre successo contro le difese statiche. Oltre a tutto ciò che riguarda l'usabilità e la semplificazione degli utenti, gli aggiornamenti automatici forniscono un certo livello di dinamismo.

Penso che questo sia un argomento di discussione altamente soggettivo. La cosa importante da notare qui è che funzionalità come l'aggiornamento automatico sono state progettate tenendo presente la comodità dell'amministratore di sistema / utente (immagina di accedere a ogni singolo sistema sul posto di lavoro per l'installazione degli aggiornamenti) e ogni volta che aggiungi un po 'di comodità ad un sistema la superficie di attacco ingrandisce automaticamente.

Gli aggiornamenti (Manuale / Automatico) possono correggere le vulnerabilità più vecchie, ma allo stesso tempo c'è il rischio che ne vengano introdotte di nuove nel sistema. Il miglior esempio a cui riesco a pensare negli ultimi tempi è Heartbleed. Tutta la versione OpenSSL precedente alla 1.0.1 non è stata interessata dalla vulnerabilità in quanto la funzione heartbeat è stata introdotta nella versione 1.0.1. Il clamore attorno a Heartbleed ci ha messo in una situazione difficile come i nostri clienti per mantenere aggiornati i loro sistemi.

Resta il fatto che negli odierni sistemi eterogenei in cui alcune parti del codice in esecuzione sul tuo PC / server / telefono cambiano su base giornaliera, tutto si riduce al livello di fiducia che hai sugli sviluppatori di app e alla compensazione controlli che potresti aver messo in atto (come parte della tua politica di mitigazione dei rischi aziendali).