გაზვიადებული უსაფრთხოების ცნობები პროექტებს ათიათასობით დოლარი უჯდებათ

ერთ-ერთ მაგალითად გუტმანი SWEET32-ს ასახელებს. შეტევისთვის მსხვერპლმა საკუთარ ბრაუზერში თავდამსხმელის კოდი უნდა გაუშვას და მისთვის 785 გიგაბაიტი ვებტრაფიკი დაშიფროს. საბოლოო შედეგი მხოლოდ ერთი HTTP ფუნთუშას მიღებაა. შეტევას საკუთარი ლოგო და ვებგვერდი ჰქონდა, მაგრამ პრაქტიკულად გამოუსადეგარი იყო.

სხვა მაგალითი EFAIL-ია, რომლითაც დაშიფრული ელექტრონული წერილების შინაარსის აღდგენა შეიძლებოდა, თუმცა მხოლოდ ზუსტად განსაზღვრულ პირობებში. გუტმანი ასევე CVE-2023-51767-ს იხსენებს. აკადემიურ ნაშრომში პირველი ნაბიჯი Root-ის უფლებებით sshd-სთვის SIGSTOP-ის გაგზავნა იყო. შემდეგ რამდენიმე გვერდი რთულ კრიპტოგრაფიულ მოქმედებებს ეთმობოდა. თუმცა Root წვდომის მქონე პირს ეს მოქმედებები საერთოდ არ სჭირდება.

გუტმანი ფინანსურად მოტივირებულ სისტემურ სქემას გამორიცხავს. მისი თქმით, სისტემა შემოქმედებით და უჩვეულო ნაშრომებს აჯილდოებს. მიზანი ფული კი არა, რეპუტაციისა და პროფესიული ბიოგრაფიის გაუმჯობესებაა.

გუტმანმა დიდი ღია კოდის პროექტის ერთ-ერთი მონაწილესთან საუბრის საფუძველზე კონკრეტული შემთხვევა აღწერა. საქმე FIPS-140-ის მიხედვით დამოწმებულ კოდს ეხებოდა. CVE-ის გამო FIPS-ის ხელახალი დამოწმება, ჩვეულებრივ, 30 000-დან 50 000 დოლარამდე ჯდება და სამიდან ექვს თვემდე გრძელდება.

ხარჯი მხოლოდ ერთ პროექტს არ ეხება. CVE ნომერი პლატფორმისგან დამოუკიდებელია და დამოწმებას ყველგან ერთდროულად აუქმებს. ეს ეხება მათაც, ვინც საკუთარი დამოწმება ამ კოდზე დააფუძნა. მრავალი FIPS შეფასება სხვისი შეფასების ახალი სახელით გამოყენებაა, რადგან თავიდან დამოუკიდებელი პროცესის გავლა რთულია.

CVE-ის უგულებელყოფა შეუძლებელია, რადგან ის ხარვეზების ყველა სკანერსა და მომხმარებლის შესაბამისობის ყველა საკონტროლო სიაში ჩნდება. გუტმანის თქმით, იქმნება კაფკასეული მდგომარეობა: CVE უნდა გამოსწორდეს, მაგრამ რეალური ხარვეზი არ არის და შესასწორებელიც არაფერია. ამის ახსნა ინფორმაციის ყველა მიმღებისთვის ცალ-ცალკე ხდება საჭირო.

დასაბუთებული პასუხის მომზადებაც მნიშვნელოვან შრომას მოითხოვს. GnuPG-მ GPGFail-ის მტკიცებებზე პასუხს დაახლოებით სამი ადამიან-კვირა მოანდომა. არცერთი მათგანი გამოყენებადი ხარვეზი არ აღმოჩნდა. პრობლემის უბრალოდ გამოსწორებულად გამოცხადება ხარჯს ქვედა რგოლის მომხმარებლებზე გადაიტანს, რომლებსაც განახლება უსაფუძვლოდ მოუწევთ.

ზუსტი საერთო თანხა არ არსებობს. ხარჯი კოდის გავრცელებასა და შესაბამისობის მოთხოვნებზეა დამოკიდებული. ფართოდ გამოყენებული ბიბლიოთეკის შემთხვევაში ერთ არასაფუძვლიან CVE-ს ასიათასობით დოლარის ხარჯი და ჯამურად მრავალწლიანი სამუშაო შეიძლება მოჰყვეს. მხოლოდ libcurl დაახლოებით 30 მილიარდ ეგზემპლარშია დაყენებული.

დიდ ორგანიზაციებს ჩვეულებრივი შესწორების გასავრცელებლად ხუთიდან ექვს თვემდე სჭირდებათ, მაღალი სიმძიმის უსაფრთხოების ხარვეზისთვის კი სამი თვე. საგანგებო დაჩქარებული პროცესიც ექვსი კვირიდან სამ თვემდე გრძელდება და იმდენად ძვირია, რომ მას იშვიათად იყენებენ.

PCI DSS-ის მსგავსი შესაბამისობის წესები კრიტიკული და მაღალი სიმძიმის აღმოჩენებისთვის 30 დღეს, დანარჩენებისთვის კი 90 დღეს აწესებს. მნიშვნელობა არ აქვს, პრობლემა რეალურია თუ არა. გვერდითი ზიანი ზოგჯერ სავარაუდო ხარვეზზე უარესია. როცა სკანერებმა Windows-თან ერთად მიწოდებულ curl.exe-ში დაბალი სიმძიმის CVE აღმოაჩინეს, მომხმარებლებმა ფაილი System32-დან წაშალეს. შედეგად Windows Update-მა ჩარევა დააფიქსირა და მომსახურებაზე უარი თქვა.

გუტმანის წინადადებით, CVE-ის სიმძიმე თავად დაზარალებულმა პროექტმა უნდა განსაზღვროს და არა შეტყობინების წარმდგენმა. შესაძლო შეფასებებს შორის უნდა იყოს „არ ეხება“ ან, უკეთეს შემთხვევაში, „პატივმოყვარეობისთვის შექმნილი“.

დიდ პროექტებს შეუძლიათ თავად გახდნენ CVE ნომრების მიმნიჭებელი ორგანო და არასაფუძვლიანი განაცხადები გამოქვეყნებამდე შეაჩერონ. ერთი ადამიანის მიერ მართული პროექტისთვის ეს შეუძლებელია. CVE-ის გასაჩივრებაც შეიძლება, როგორც OpenSSH-მა CVE-2023-51767-ის შემთხვევაში გააკეთა, მაგრამ პროცესი ნელი და უმეტესად უშედეგოა. აშკარად მცდარი CVE-2016-2427 წლებია „სადავო“ სტატუსით რჩება, რადგან საჩივრების განხილვას ვადა არ აქვს.

გუტმანი გამოსავლად აკადემიური სამყაროს მიერ ისეთი ნაშრომების მიღებას მიიჩნევს, რომლებიც შეტევას საინტერესო, მაგრამ სრულიად არაპრაქტიკულ ხერხად წარმოაჩენს. თუმცა იგი ასეთ ცვლილებას არ ელის.

ექსპერტისთვის უცნობია ღია კოდის სფეროში რაიმე კოორდინირებული წინააღმდეგობა. რეაგირება ცალკეული პროექტების დონეზე ხდება. curl-ი ზოგ აღმოჩენას უკვე „დაბალზე დაბალი სიმძიმისად“ აფასებს. რამდენიმე პროექტი CVE-ებს დამოუკიდებლად ასაჩივრებს, ზოგი კი განსაკუთრებით უსაფუძვლო CVE-ების გამო ნომრების მიმნიჭებელ ორგანოდ თავად იქცა. ინდუსტრიის მასშტაბის ინიციატივა ჯერ არ შექმნილა.

თემებიპეტერ გუტმანიCVEუსაფრთხოების ცნობებიღია კოდის პროექტები

გამოქვეყნდა 12 სექტემბერი, 2026