Otestuj se
Byla to jedna ze zajímavých zpráv minulého týdne. Známý server Secunia vydal kandidátní verzi svého software pro klientské počítače – nástroje Personal Software Inspector (PSI). O programu jsme zde již krátce psali, jeho podrobnou recenzi pak najdete na serverech zabývajících se informatikou u nás i v zahraničí. Pokud skutečně toužíte po tom zjistit, jak moc je právě váš počítač s Windows nebezpečný, můžete si PSI zadarmo stáhnout a používat.
Princip nástroje, který má identifikovat bezpečnostní hrozby v klientském softwaru a následně pomoci s jejich eliminací, je velmi jednoduchý a podobá se principům každého antiviru. Program po svém nainstalování nejprve aktualizuje metodiku procházení počítače. Pak proskenuje pevný disk na přítomnost známého softwaru a porovná jeho verze nejspíše na základě metainformací a hashe s databází serveru Secunia. Pokud je nalezená verze označena za rizikovou (byla v ní objevena bezpečnostní díra) a vydavatel dal k dispozici aktualizaci, může PSI uživatele navést na přímý odkaz ke stažení nového softwaru. V opačném případě může aspoň poradit, a některé problémy by měly být řešitelné i pomocí jednoduchého průvodce.
To není vše. PSI umí identifikovat zastaralý software, u nějž byla ukončena podpora ze strany dodavatele, a který je tedy potenciálně nebezpečný. Umí zůstat rezidentní na pozadí operačního systému a sledovat nové instalace. Uživatele pak upozorní na to, když se do jeho PC dostane potenciální bezpečnostní hrozba nebo naopak když je tato hrozba odstraněna. Automaticky plánuje bezpečnostní testy počítače a výsledky své práce podává v podobě přehledného grafu. Každý tak může otestovat, kolik je dle Secunie v jeho PC bezpečnostních děr.
Ale proč?
Ponechme stranou fakt, že Secunia má díky PSI přesný přehled o tom, jak moc „zabugovaný“ software uživatelé mají, jak jsou ochotni jej aktualizovat i co vlastně používají. Je to zajímavá statistika, pro čtenáře Lupy jistě velmi relevantní. Důvěryhodnost známé a etablované bezpečnostní firmy, respektive otázku toho, jak se získanými údaji naloží, by jistě bylo velmi pošetilé napadat. Na druhou stranu pro nejednoho uživatele softwaru, který funguje současně jako malý a spolehlivý audit počítače, asi není nejlepším nápadem ji testovat právě na sobě. Otázka, která by si zasloužila širší diskuzi, je jiná. Zní: jaké údaje vlastně PSI uživatelům poskytuje, jak je správně interpretovat a jak využít? Touto tezí se sice pouštíme na tenký led, ale není ani zdaleka tak jednoznačně hloupá, jak se na první pohled může zdát.
Jedním ze základních principů počítačové bezpečnosti v současné době a již několik let je udržování aktuálnosti. Týká se to zejména operačního systému, bezpečnostních aplikací a těch programů, které samostatně komunikují přes síť. Ve druhé řadě jsou aplikace, které ke komunikaci využívají něco jiného (např. embeddované jádro webového prohlížeče) než své vlastní funkce. Následují ostatní programy a nástroje, které lze „potenciálně“ využít k útoku na počítač pouze při vhodné konstelaci hvězd a prostřednictvím několika dalších vad komponent, které jsme uvedli dříve.
Aktualizace operačního systému je u produktů Microsoftu zajišťována většinou automaticky. S příchodem nové generace OS se totéž týká i dalších nástrojů, sady Office i jiných aplikací. Mnoho běžně používaných a víceméně komunikujících programů obsahuje od výrobce aktualizační rutiny. Secunia na to namítne, že i přes všechna tato opatření je stále mnoho softwaru neaktuálního a potenciálně vystaveného bezpečnostním hrozbám. Otázkou je: je tento software skutečně nutné aktualizovat?
Mnoho chyb objevených Secunií v aplikacích má ve skutečnosti nepatrnou praktickou využitelnost. V případě ošetřeného a zabezpečeného operačního systému je prakticky nelze použít. Naproti tomu zásadní aktualizace používaného softwaru – zvláště z již nepodporované verze na novou – může mít negativní důsledky pro uživatele počítače. Je to třeba v případě, kdy starý (nebezpečný) software funguje na „historickém“ hardwaru, zatímco nový a bezpečný je ve skutečnosti mnohem méně použitelný, protože má výrazně vyšší systémové nároky.
To není všechno. Pro některé uživatele je ohodnocení softwaru jako rizikového argumentem nejen k jeho aktualizaci (většinou bezplatné), ale i k upgradu (obvykle placenému). Z PSI by se tak mohl stát bezděčný, ale zato účinný marketingový nástroj dodavatelů programů, navíc opatřený puncem „nezávislé třetí strany“. Stejně tak i nástroj konkurenčního boje založeného na tom, že podle známé autority obsahuje software společnosti X-n krát více kritických chyb než software společnosti Y.
Svoboda pro všechny
Test počítače pomocí PSI je určitě nesmírně užitečný ke zjištění, co si Secunia myslí o vašem softwaru. Na druhou stranu je otázka, zda by měl být také důvodem k překotnému aktualizování Quicktime, prohlížeče obrázků, softwaru pro přepočty jednotek a primitivní dětské hříčky. To vše může být zdrojem bezpečnostních problémů a napadení počítače. To všechno aktuální „release candidate“ verze PSI označila jako nebezpečné komponenty. Profesionální uživatelé a správci systémů, u nichž závisí na absolutně dokonalém zajištění všech stanic, mají již dávno k dispozici software, který nabízí obdobné (lepší) funkce, samozřejmě za tomu odpovídající cenu. Domácí uživatel se jistě rád dozví, že jeho operační systém je plně záplatován, ale na druhou stranu mu PSI může také pěkně zmást hlavu. A možná pocit bezpečnosti spíše ubrat, než přidat.
ČLÁNKY DO MAILU