Конспект

Конспект

Почему необходимо сообщать о проблемах безопасности

· Долг каждого – сообщать об уязвимостях, так как в противном случае их может обнаружить злоумышленник, который использует свое знание для атаки на чужие системы.

· Не стоит беспокоиться о том, что вам не хватит знаний и навыков для составления исчерпывающего сообщения об уязвимости. Многие будут готовы или помочь вам, или принять на себя выполнение этой задачи.

· Полное раскрытие означает публикацию всей имеющейся информации о проблеме, включая код, использующий уязвимость. Сторонники этой концепции полагают, что хакеры все равно получат информацию об уязвимости тем или иным способом, поэтому будет лучше, если обычные пользователи тоже узнают о проблемах безопасности и смогут принять необходимые меры.

Когда и кому направить сообщение

· Все обнаруживаемые уязвимости можно отнести к одной из трех основных категорий в зависимости от того, в каких продуктах они обнаруживаются: узкоспециализированный (low-profile) продукт или служба, продукт или служба, рассчитанные на широкий круг пользователей (high profile), или же продукты или службы, работающие на различных платформах. В качестве примеров можно привести приложение CD-Ex, почтовый сервис Hotmail и ядро операционной системы Linux соответственно.

· Каждая из этих категорий требует специального подхода к составлению сообщения об уязвимости, соответственно влиянию последней на ресурсы пользователя.

· Сообщение, направляемое производителю, должно содержать как можно более полную информацию. Недостаток сведений затрудняет процесс устранения уязвимости, а в некоторых случаях производитель даже не станет этим заниматься.

Какие подробности следует опубликовать

· Стоит тщательно оценить ситуацию, прежде чем включать в сообщение об уязвимости использующий ее код. Впрочем, в некоторых случаях лишь его обнародование способно заставить производителя признать существование проблемы.

· Сообщение о проблемах безопасности связано с определенным риском, который нужно осознавать. Можно столкнуться с судебным преследованием со стороны производителя. Можно также вызвать панику в рядах обычных пользователей.

· Следует быть особо осторожным при обнародовании способов обхода механизма защиты авторского права, так как в настоящее время эти вопросы не урегулированы окончательно законом.

Поделитесь на страничке

Следующая глава >

Похожие главы из других книг:

Конспект

Из книги автора

Конспект Обзор законов безопасности· Рассмотрены законы.· Законы нужно знать для того, чтобы сделать систему более безопасной.· Помните, что законы изменяются.Закон 1. Невозможно обеспечить безопасность клиентской части· Безопасность клиентской части целиком


Конспект

Из книги автора

Конспект Обзор классов атак· По своему результату атаки разбиты на семь классов: отказ в обслуживании, утечка информации, нарушение прав доступа к файлу, дезинформация, получение доступа к специальным файлам / базам данных, удаленное выполнение программ и расширение


Конспект

Из книги автора

Конспект Суть методологии исследования уязвимости· Анализ и экспертиза исходного текста программы – идеальная методология поиска ее уязвимостей.· Исследование исходного текста программ предполагает поиск подверженных ошибкам директив, построчную экспертизу


Конспект

Из книги автора

Конспект Суть поиска различий· Поиск различий – процесс сравнения исследуемых объектов до и после свершения событий.· Поиск различий может использоваться для обнаружения изменения файла программным путем или выяснения сути исправления уязвимости.· Команда diff может


Конспект

Из книги автора

Конспект Концепции криптографии· Незашифрованные данные называются открытым (незашифрованным) текстом ( plaintext), а зашифрованные – зашифрованным текстом (ciphertext). · Криптографические системы могут быть симметричными и асимметричными. В симметричных криптосистемах


Конспект

Из книги автора

Конспект Опасность непредвиденных входных данных· Почти все приложения взаимодействуют с пользователем, получая от него данные.· В приложении должен быть предусмотрен контроль действий пользователя.· Особое внимание в приложении должно быть обращено на


Конспект

Из книги автора

Конспект Стек· Область стека предназначена для хранения локальных переменных функции. Обычно она настраивается для работы в прологе функции – части программного кода, расположенного в начале функции, и очищается в эпилоге – части программного кода, расположенного в ее


Конспект

Из книги автора

Конспект Уязвимость форматирующей строки· Уязвимость форматирующей строки обязана своим происхождением программистам, позволяющим присваивать входные данные программы параметрам функции printf() без необходимой в таких случаях проверки.· Уязвимость форматирующей


Конспект

Из книги автора

Конспект Что такое прослушивание сетевого трафика?· Sniffing – прослушивание сетевого трафика (пассивное).· В классических операциях анализатор сетевого трафика присоединяется на стороне сетевой шины.· В новых операциях анализаторы устанавливаются на машине или шлюзе для


Конспект

Из книги автора

Конспект Основные сведения о перехвате сеанса· Перехват сеанса основан на злоупотреблении доверием участвующих в соединении сторон.· Перехват сеанса описывается сценарием гонки: сможет ли злоумышленник получить пакет с ответом раньше легитимного сервера или клиента?


Конспект

Из книги автора

Конспект Определение спуфинга· Мерике Кеао (Merike Keao) утверждает, что атаки спуфинга «обеспечивают ложную информацию об идентификационных данных для получения неавторизованного доступа к системе».· Атаки спуфинга – это нападения, которые фальсифицируют


Конспект

Из книги автора

Конспект Основные требования к системам туннелирования· В общем случае наиболее эффективными оказываются подходы инкапсуляции, которые предусматривают перехват трафика, не требуя взамен знания его содержимого.· Сквозная безопасность ограничивает угрозы со стороны


Конспект

Из книги автора

Конспект Основные сведения о хакинге аппаратных средств· Как правило, хакинг аппаратных средств преследует цель извлечь выгоду из получения доступа к секретным данным или заставить устройство выполнить нечто, для чего первоначально оно не предназначалось.· Атаки на


Конспект

Из книги автора

Конспект Различия между вирусами, Троянскими программами и червями· Вирусы остаются на локальном компьютере, черви могут распространяться через Интернет, а Троянские программы обычно вообще не распространяются.· Макровирусы используют для активизации язык,


Конспект

Из книги автора

Конспект Принципы работы, основанной на анализе сигнатур системы обнаружения вторжений· Возможности сетевых систем обнаружения вторжения определяются их базами сигнатур. Именно из этого следует необходимость повторных обновлений баз данных сигнатур сетевых систем


Конспект

Из книги автора

Конспект Краткие сведения об автоматизированных средствах оценки безопасности· Ни одно из автоматизированных средств сканирования не предлагает законченного решения.· Опираясь на рекламную информацию, предоставляемую производителями о своих сканерах, примите