Lue uutinen mobiilisivustolla

Bugijahti on hyvä ja huono homma

19.1.2007 13:18 (päivitetty 13:20) Onko oikein, että joku ottaa asiakseen tuoda järjestelmällisesti julkisuuteen paikkaamattomia haavoittuvuuksia? Parannetaanko sillä ohjelmien tietoturvaa – ja jos parannetaan, niin millä hinnalla?

Bugikuukausiprojektit aloitti viime kesänä Month of Browser Bugs. Sitä seurasi marraskuussa Month of Kernel Bugs.

Viimeisin bugikuukausi, Month of Apple Bugs, etsii tammikuun ajan ongelmia Mac-tuotteista.

MoAB on ehtinyt saada monen Mac-mielisen liikkeelle ja raivoihinsa, mutta paheksuntaa on herunut muiltakin. Kaikki eivät lainkaan hyväksy haavoittuvuuksien julkaisemista. Myös aiemmat bugijahdit ovat nostattaneet vastalauseita.

Kuten tavallista, asiassa on hyvät ja huonot puolensa.

Kuka hyötyy?

Bugijahdit kyllä asettavat paineita ohjelmistovalmistajille. Haavoittuvuuksien julkistaminen ei voi jäädä valmistajilta huomaamatta, saati niiden ohjelmien käyttäjiltä. Tiedon julkistaminenhan on hyvä asia, eikö niin?

Toinen asia on se, saavutetaanko julkaisuilla enemmän hyvää vai pahaa.

Jos haavoittuvuus julkaistaan, ohjelmistovalmistajalla on isompi kiire korjata se kuin jos se olisi julkaistu yhtiölle kaikessa hiljaisuudessa etukäteen. Mutta kenen etu sitten on se, että haavoittuvuus vain korjataan mahdollisimman nopeasti?

Jos tuloksena on hätäinen korjauspäivitys, siitä ei hyödy kukaan. Jos päivityksen tekeminen kestää haavoittuvuuden julkaisemisesta huolimatta kauan, rikolliset keräävät hyödyn. Jos käy niin, että haavoittuvuus korjataan ripeästi ja hyvin, lopputulos on olosuhteisiin nähden mahdollisimman hyvä.

MoAB hymähtelee sivustollaan avoimesti arvostelulle. Kuten asiaan kuuluu, MoAB:n takana olevat LMH ja Kevin Finisterre perustelevat hanketta sillä, että paljastamalla ohjelmien heikkoudet niitä voitaisiin parantaa.

Ongelmana on tietysti se, että verkossa julkaistut haavoittuvuudet ovat yhtä hyvin väärinkäyttäjien kuin ohjelmistoyhtiöiden ulottuvilla. Tämä on samalla koko julkistamisajatuksen ydin; ilman tuota uhkaa ohjelmistoyhtiöitä ei ehkä saataisi korjaamaan ohjelmiaan ja – mikä ehkä vielä tärkeämpää – myöntämään syyllisyyttään. Siis nöyrtymään.

Egotrippejä ja turvotusta

Nöyryyttämisestä tässä taitaa sittenkin olla ”mikrotasolla” kyse, ja turvonneista egoista. Olisiko niin, että tietokoneistuneessa maailmassa osa ihmisistä olisi äkkiä huomannut, että heillä on kykyjä, jotka tuovat heille valtaa?

Kun kaikki ovat verkossa, kaikki on kaikille yhtäkkiä käsien ulottuvilla. Maailma on avoinna osaavalle, monessakin mielessä.

Ensi näkemältä äärimmäistä demokratiaa, mutta tarkemmin ajatellen ihan jotakin muuta. Se, että kaikilla on periaatteessa mahdollisuus monenlaiseen tekemiseen verkon avulla, ei tarkoita, että heillä olisi siihen realistiset mahdollisuudet.

Paitsi että bugijahti voi tuo kuuluisuutta omien keskuudessa, se voi tuoda myös onnistumisen elämyksiä ja tunteen siitä, että saa kyykyttää kasvotonta jättiyhtiötä, jonka pelkkää olemassaoloa on tottunut vihaamaan.

Toisaalta turvoksissa ovat ohjelmistovalmistajatkin, jos ne ajattelevat, että niillä on varaa olla ottamatta haavoittuvuudet riittävän vakavasti.

Vastuullinen julkaiseminen tarkoittaa tässä sitä, että haavoittuneen ohjelman valmistajalle kerrotaan haavoittuvuudesta hyvissä ajoin ennen sen julkistamista verkossa. Näin valmistajalle jää aikaa korjata ongelma ennen kuin siitä tulee yleistä tietoa.

Bugijahtien viesti on se, että jos yritys ei reagoi ”vastuullisesti” tiedotettuihin haavoittuvuuksiin, ne julkaistaan. Tuli mitä tuli.

Antti Kirves toimitus@digitoday.fi

Kirjoita kommentti

Kommentit (2)

0

0

Onko oikein, että joku ottaa asiakseen tuoda järjestelmällisesti julkisuuteen paikkaamattomia haavoittuvuuksia? Parannetaanko sillä ohjelmien tietoturvaa - ja jos parannetaan, niin millä hinnalla?

Taloussanomat

Lainaa Ilmoita asiaton viesti

# 16.2.2007 11:21

1

0

tämä olis paljon helpompaa kun lötyy hakkeri nii linjat poikki ja sillä selvä ei sen jälkeen hakkerit riehu niinku se venäläinen rehtori kouluun tunnukset joita rehtori ei saa tietää näin ku toimittais ei ois pää hakkereita mailla eikä halmeilla

Lainaa Ilmoita asiaton viesti

# 16.2.2007 11:21

Sivut: 1 Edellinen Seuraava

Uutiset

Krp: Hyvinkään ampujan uhrit näyttävät valikoituneen sattumanvaraisesti

• Hyrian rehtori: Uhrit olivat luokkansa priimuksia
• Yksi Hyvinkään ammuskelussa haavoittuneista yhä kriittisessä tilassa
• Paatero: Poliisi toimi oikein ampumispaikalla
• Räikkönen: En saanut renkaita toimimaan