Nieuws
image

Wat hackers leren en de rest van ons niet

woensdag 22 augustus 2007, 11:23 door Redactie, 9 reacties

Menig beveiligingscursus is erop gericht om ontwikkelaars zoals hackers te laten denken. De eerste stap in het neerzetten van een succesvolle verdediging is weten hoe de "vijand" denkt, toch is de brug tussen ontwikkelaar en hacker niet eenvoudig te overbruggen. Sergey Bratus bekeek de verschillen tussen beide partijen, en kwam tot de volgende punten:

  • Ontwikkelaars werken onder druk en volgen een standaard oplossing, of de weg van de minste weerstand om het werkend te krijgen.

  • Ontwikkelaars worden meestal niet getraind in onderliggende APIs omdat de extra geinvesteerde tijd zich meestal niet uitbetaalt.

  • Ontwikkelaars zien meestal een beperkt gedeelte van de API, vaak zonder enige details over de implementatie ervan.

  • Ontwikkelaars worden standaard opgeleid om bijzondere uitzonderingen te negeren en kennen daardoor niet de gevolgen.

  • Ontwikkelaars kunnen zelf expliciete opdrachten krijgen om specifieke problemen te negeren omdat die bij een andere ontwikkelaar of partij behoren.

  • Ontwikkelaars missen de tools om de volledige status van een systeem te controleren, laat staan het aan te kunnen passen buiten de API om.

Hackers daarentegen
  • Hackers besteden veel tijd en aandacht in het onderzoeken van uitzonderingen in standaarden.

  • Hackers willen de onderliggende implementatie van de APIs begrijpen en uitzoeken.

  • Hackers twijfelen aan de logica van de implementatie.

  • Hackers verkennen de gevolgen van het afwijken van de standaard handleidingen.

  • Hackers beschikken over tools om de volledige status van het systeem te onderzoeken en aan te passen, waardoor ze de standaard API omzeilen. Als zo'n tool niet bestaat, dan krijgt dit de hoogste prioriteit.

  • Hackers interesseren zich in de interne werking en mechanismes van verschillende programmeertalen, dat is kenmerkend voor de aanpak van de hacker.
Het artikel van Bratus kost 35 dollar, met dank aan Richard Bejtlich voor de samenvatting, die hij toepast op een vacature voor een Windows systeembeheerder.
Reacties (9)
22-08-2007, 11:33 door Anoniem
Of om samen te vatten:

Als verantwoordelijke voor beveiliging moet je ervoor zorgen
dat je alle gaten hebt gedicht, wat uiteraard heel moeilijk
is. Als hacker heb je genoeg aan één gat om binnen te komen.
Fundamenteel oneerlijk dus. ;-)
22-08-2007, 11:56 door Anoniem
Kat, muis....

en dat zal nog lang (altijd) zo blijven, mede dankzij 'de gesloten' Windows
source code.
22-08-2007, 11:56 door [Account Verwijderd]
[Verwijderd]
22-08-2007, 12:39 door Anoniem
Hackers nemen dan ook de tijd en werken niet onder druk.
Dit is dan ook een ideaal omgeving om te werken.

ze zijn ook niet gebonden aan regels. En regeltjes zijn
meestal barrieres.
deze barrieres dienen soms ook als persoonlijke bescherming.
22-08-2007, 20:30 door Anoniem
Door Anoniem
Kat, muis....

en dat zal nog lang (altijd) zo blijven, mede dankzij 'de
gesloten' Windows
source code.
Als iets open source is kunnen meer mensen gaten dichten.
22-08-2007, 22:06 door [Account Verwijderd]
[Verwijderd]
23-08-2007, 10:53 door Anoniem
fundamenteel oneerlijk: dat zeker. In de IT is het net als
overal: de ketting is zo sterk als de zwakste schakel. Er
hoeft maar één developer een keer zijn maandagochtend
niet gehad te hebben (en een gaatje achter te laten), en je
hele applicatie is zo lek als een zeef.

Maar aan de andere kant: als je een ontwikkelproces
aanpast en net zoveel moeite en tijd steekt in het goed
doorgronden van je eigen applicatie, sta je minstends net
zo sterk als een inbreker. Sterker nog: waarom ga je niet
precies net zo te werk als een cracker.
In menig Open Source community werken veel hackers (EN
DAT IS IETS ANDERS DAN CRACKERS) die creatief, grondig,
afwijkend, of gewoon slim te werk gaan. Je moet dus
gewoon zorgen dat je bedrijfsproces en je team anders
werkt. Dan sta je weer op gelijke voet.
23-08-2007, 11:59 door SirDice
"Out-of-the-box" kunnen denken is toch wel een enorm voordeel..

Door Jos Visser
Daarnaast wil het er blijkbaar ook niet in dat het schrijven van software moeilijk is en dat je beter drie experts op de klus kan hebben dan tien prutsers.
Die 10 prutsers zijn goedkoper dan die 3 experts..

Men wil zo snel mogelijk zo veel mogelijk geld verdienen. Privacy en security zijn daar ondergeschikt aan. Iemand met een bedrijfskundige opleiding begrijpt dat. Een ras IT-techneut niet.
24-08-2007, 09:06 door spatieman
men kan wetgeving aanpassen wat men wil, de hacker wit of
zwart zal zich er niets van aan trekken.

men zal alleen op weerstand stoten als het verboten is om te
onderzoeken om als men gehackt wordt.

de wetgeving in duitsland is bezopen, daar zullen ze echt
niet naar de politie lopen om te janken dat men gehackt is
gaat worden.

die hebbe net als hier andere prioriteiten. (flitsen etc)
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search