Dva státy Evropské Unie, totiž Francie a Německo,ústy svých oficiálních míst doporučily obyvatelům, aby přestali používat Microsoft Internet Explorer a nahradili jej jiným webovým prohlížečem. Stalo se tak v reakci na objevení závažné bezpečnostní vady v Internet Exploreru 6, která za určitých okolností umožňuje spouštění neautorizovaného kódu na cílovém počítači, a která se pravděpodobně projevuje i v dalších verzích světově nejúspěšnějšího webového prohlížeče.
V Internet Exploreru již bylo objeveno (a opraveno) mnoho chyb. Některé z nich byly závažnější a nebezpečnější, než právě ta, která vedla k tak nezvyklému doporučení navíc ze strany veřejné správy. Co přimělo celé státy, aby svým občanům doporučily opustit konkrétní softwarový produkt a nahradit jej jiným? Navíc v poněkud výbušné situaci, kdy dodavatel tohoto produktu je obviňován z monopolního chování, a kdy se právě v otázce webového prohlížeče podařilo po dlouhém čase sporů dosáhnout určitého, byť ne ideálního kompromisu? Počítačová bezpečnost se možná nenápadnou zranitelností řady Internet Explorerů stala definitivně předmětem boje na globální politické scéně – daleko za hranicemi Evropy.
V zajetí draka
Pokud sledujete zpravodajství ze světa Internetu a byznysu na něm, pak vaší pozornosti nemohla ujít kauza hrozby odchodu z Čínského trhu, kterou začala společnost Google (nejaktuálnější názor). I když pro Google, který ve svém podnikání razí globální politiku „nečinění zla“, muselo být těžké skousnout povinné filtrování obsahu již od počátků, definitivní rozbuškou se stal až pokus o hacknutí účtů některých odpůrců čínského režimu, který jak se ukazuje, mohl pocházet z čínské pobočky této firmy, a za nímž možná stála tamější vláda. K cílenému útoku byla využita dříve neznámá bezpečnostní mezera Internet Exploreru, jejíž existence následně uznal Microsoft a díky níž se intenzivně uvažuje (v době psaní tohoto textu neznáme výsledek) o mimořádném vydání bezpečnostní záplaty mimo pravidelný měsíční cyklus. Jednalo se tedy o ukázku zero-day útoku, které k dokonalosti chybělo pouze to, aby nebyl objeven. Jinak ukázku takřka učebnicovou.
Vývoj chyby
Samotná bezpečnostní mezera spočívá v situaci, kdy je (volně citujeme bezpečnostní bulletin) možné za určitých okolností přistupovat k neplatnému ukazateli (v kódu IE) na objekt poté, co byl objekt smazán. V takovém případě může být Internet Explorer zneužit ke spuštění kódu. Spuštěným kódem se má namysli malware stažený z upravené webové stránky a sloužící v případě útoků proti Google ke špehování uživatelů.
Jak již bylo řečeno, podobných chyb bylo v Internet Exploreru (a nejenom v něm) již v minulosti objeveno mnoho. V tomto případě to není ani poprvé, co byl exploit (tedy popis zneužití vady) později publikován na webu. Poprvé však způsobil politickou reakci a je zřejmé, že tato politická reakce souvisí s původem útoku.
Zatímco Microsoft svým uživatelům Internet Exploreru doporučuje aktualizovat prohlížeč na nejnovější verzi 8 (byť i ta je nebezpečí vystavena), některé státy se rozhodly doporučit občanům přechod na zcela jiný prohlížeč. Zde se z bezpečnostní mezery (jejího nalezení, exploitu a možného opakování) stává definitivně politický problém. Tedy problém zcela jiné kategorie. Pro experty zabývající se primárně bezpečností musí být problematické a možná i nemístné, stane-li se jejich na výsost odborné téma předmětem politiky. V tomto případě však je nezbytné se přizpůsobit – ostatně politika zde byla vlastně od začátku.
V zajetí států
Problematika kyberterorismu je živým tématem již od poloviny 90. let minulého století, teprve v poslední době ale dostává praktičtější kontury. Příčiny jsou dvě. Jednak rozšíření univerzální komunikační sítě (Internetu) do skutečně globálních rozměrů, jednak vzestup technicky schopných útočníků. Hackování institucionálních systémů bylo v minulosti doménou solitérních útočníků, jednotlivých, velmi schopných hackerů, kteří však byli spíše nevybitými individualitami, než skutečnými teroristy. Obavy z toho, že by svou svatou válku mohly tímto způsobem na internet přenést některé fundamentalistické skupiny se nevyplnily. Prostě proto, že těmto skupinám k úspěchu chybí ony individuality. V případě „nebezpečných“ států, jako býval Irák, Afghánistán nebo je Severní Korea, nebyl příčinou, proč se nesnažily vést proti svým oponentům kybernetickou válku ani tak nedostatek lidí (ty lze zaplatit), jako spíše podcenění významu Internetu. O kybernetickém terorismu se tak spíše teoreticky hovořilo, avšak reálným problémem nebyl.
V poslední době se ale ukazuje, že útoky proti síťové infrastruktuře institucí i proti jednotlivcům stále častěji přicházejí z dálného východu; přesněji z Číny. Jejich analýzou můžeme rychle zjistit, že útočníci, přesněji řečeno institucionální útočník, si uvědomují význam technologie, jsou schopni zaplatit špičkové odborníky a jsou ochotni to udělat. Důsledkem je extrémně nebezpečný útok typu zero-day, který možná jen náhodou objevil Google. Útok, který nepředstavuje jednorázovou snahu o získání přístupu k emailovým schránkám pár disidentů, ale možná že součást globální strategie.
Taková strategie by byla (odpusťte cynismus) zcela v souladu s tradicemi čínského vládnutí a s tamějším přístupem k know-how. Číňanům lze v tomto ohledu dost těžko něco vyčítat.
V zajetí včerejška
Státy ale musí své občany chránit. Na poli technologií se Evropa těžko vyrovnává s tím, že zatímco na jedné straně je závislá na softwaru americké firmy ze západu, na straně druhé je vystavena mimořádně nebezpečným útokům z východu. Jestliže je pak něco pro její představitele dokonalou noční můrou, pak je to kombinace obojího. Tedy možného využití Internet Exploreru (z USA) pro útoky pocházející z domény .cn. Reakce v podobě doporučení občanům migrovat na jiné prohlížeče je spíše křečí, než skutečnou snahou problém vyřešit. Státy si uvědomují, že proti podobným typům útoků je jejich tradiční ochranná struktura neúčinná. Z bezpečnostního hlediska IT žijí v „časech včerejška“, zatímco rizika, která se demonstrovala na útoku proti disidentům, a která Google vykřičel do světa, jsou dnešní. Je přitom mnohem snazší svést vinu na Microsoft a jeho IE, než hledat prvotní příčiny.
Důsledky
Mediálně tolik přetřásaný útok na Google možná definitivně započal zcela novou éru bezpečnosti. Je otázkou, jak se státy a uživatelé v této éře zorientují. Evropská Unie bude možná volat po regulaci Internetu, a po předcházení podobným útokům (zcela nesmyslné). Microsoft se bude bránit, autoři dalších prohlížečů propagovat jejich bezpečnostní přednosti. V této vřavě vzájemně nesourodých hlasů by ale nemělo zaniknout to nejdůležitější. A sice, že v kybernetické válce možná konečně někdo zvedl zbraně.
ČLÁNKY DO MAILU