Perché non era stato risolto il problema del heartbleing prima? [chiuso]

Non puoi correggere il bug finché non lo trovi.

Come la domanda "Chi ha trovato l'insetto Heartbleed?" in heartbleed.com:

Questo bug è stato scoperto in modo indipendente da un team di ingegneri della sicurezza (Riku, Antti e Matti) presso Codenomicon e Neel Mehta di Google Security, che per primi lo hanno segnalato al team OpenSSL. Il team di Codenomicon ha riscontrato un bug insopportabile, migliorando la funzionalità di SafeGuard negli strumenti di test di sicurezza Defensics di Codenomicon e segnalato questo bug al NCSC-FI per il coordinamento delle vulnerabilità e la segnalazione al team di OpenSSL.

Quindi è stato scoperto di recente, anche se il bug esiste da molti anni.

Quando si guarda il codice sorgente, può essere molto difficile individuare tutti gli errori.

La fonte è una descrizione di cosa fa il programma, ma non di come. Se uno sviluppatore commette un errore, potrebbe non essere ovvio che lo abbia fatto, o anche che sia un errore, se non influisce sull'apparente funzionalità del programma

Per assicurarti che non ci siano vulnerabilità, il codice deve essere esaminato per i bug. Questo richiede a chi capisce cosa dovrebbe fare il programma (in questo caso implementando un heartbeat TLS) per leggere il codice sorgente ed eseguire test sul programma, che richiede tempo e denaro. Il team di OpenSSL non ha la capacità di cercare tutti i potenziali bug, soprattutto perché è composto da volontari. È per questo motivo che il bug è passato inosservato. È stato solo dopo che un ricercatore di sicurezza su Google ha esaminato OpenSSL che la vulnerabilità è stata scoperta e corretta.

Hai bisogno della capacità di trovare bug per poterli risolvere.

Viene rilasciata una patch, c'è sempre una finestra tra quando la patch viene rilasciata e quando viene applicata dagli utenti. Gli aggressori hanno la possibilità di attaccare gli utenti in quella finestra poiché sono ancora vulnerabili. È lo stesso con tutto il software.

Gli exploit e le scappatoie esistono in tutto, dai dispositivi medici ai telefoni, ed è solo una volta che questi dispositivi vengono spinti in produzione e spinti all'estremo che questi buchi vengono scoperti.

Se vuoi andare giù per il percorso matematico è una curva esponenziale in cui si prende un semplice requisito per un prodotto e si aggiunge ad esso. Man mano che si aggiunge più complessità, si introducono maggiori possibilità di buchi e exploit di sicurezza. Il modo più semplice per pensarci non è exploit, bug e altro, ma piuttosto solo operazioni non volute.

Il test per ogni possibile interazione e circostanza è quasi impossibile, quindi un'azienda o un'organizzazione (o addirittura una singola persona) faranno una quantità accettabile di test, ma potrebbero non trovare mai tutti i bug. Questo è vero per più di un semplice software, naturalmente. I richiami del produttore sono un ottimo esempio.

tl; dr

Gli exploit esistono ovunque e non esiste alcuna teoria cospirativa o cattiva chiamata sul motivo per cui non sono stati corretti. A volte ci vuole più tempo per trovare questi problemi in quanto avvengono solo in circostanze specifiche che in genere non possono essere pianificate in anticipo. La nostra unica speranza è che la persona o il gruppo che la trova, la riferisca alle persone giuste.