25 сентября 2020 года издание Verge сообщило, что Microsoft начала внутреннее расследование по поводу утечки исходных кодов Windows XP и Windows Server 2003.
Эксперты Verge и независимые исследователи проанализировали утекшие материалы по Windows XP, Windows Server 2003 и Windows 2000 и подтвердили их подлинность.
Один из специалистов по Windows обнаружил в утечке ключи подписи корневого сертификата пользователя NetMeeting.
По данным портала ZDNet, данная утечка исходных кодов произошла от одной из компаний или исследовательских организаций правительств некоторых стран, которые ранее получили доступ от Microsoft к этой информации с целью аудита безопасности. Программа по передаче кодов и технического контента Microsoft называется Government Security Program (GSP). К ней имеют доступ специалисты по безопасности из 45 стран, а также 90 различных агентств.
Ранее 24 сентября на портале 4chan был опубликован торрент-файл размером 42,9 Гб, в составе которого находились исходные коды Windows XP и Windows Server 2003.
6 августа 2020 года разработчик и IT-консультант из Швеции Тилли Коттманн (Tillie Kottmann) выложил в сети ссылки на файлообменный сервис MEGA и магнет ссылку на торрент с 20 ГБ исходных кодов прошивок процессоров и внутренней документации компании Intel, включая отладочные инструменты, схемы, драйверы, обучающие видео. В настоящее время Intel занимается расследованием этого инцидента. Intel рассказала, что утечка, скорее всего, произошла из Центра ресурсов и проектирования (Intel Resource and Design Center).
C_21
Теперь можно со спокойной душой никому исходники не давать. А если сильно хотят ознакомиться, то пусть приезжают в офис Microsft и там смотрят.
Если какие баги энтузиасты найдут и поправят это хорошо, но утечка таких масштабов может навредить пользователям актуальным версиям ОС.
Tangeman
Чем она может навредить? Исходники Linux/*BSD и кучи других проектов свободно доступны уже больше 20 лет — многим это навредило?
Проанализировать код такого объёма на предмет возможных уязвимостей — это просто чудовищные затраты по времени, к тому же требующие хорошей квалификации, а если учесть что на данные момент у того что работает на этом коде пользовательская база очень мала (и в основном без подключения к интернету) — это просто неэффективно.
wmgeek
Многие подсистемы, например, print spooler, не переписывались и через их уязвимости давно проходит эксплоиты, теперь их поиск и эксплуатация облегчаются. С линуксом это несоавнимо, ибо там исходники были изначально и подрбные уязвимости устранялись эволюционно.
Serge78rus
Так пусть и Майкрософт, хоть «эволюционно», хоть еще как, но устраняет уязвимости, которым почти 20 лет.
artmv32
Примеры есть?
Tangeman
Есть. Не 20 лет, но 17, к тому же это не просто дыра, это огромный кратер.
Можно и ещё нарыть, но найти такие дыры чисто изучением исходников очень непросто, особенно если не знать где искать.
Впрочем, надо отдать им должное — хоть и со скрипом, но ситуация с патчами улучшилась, а сами дыры… в продукте такой сложности, над которым работают тысячи разработчиков, неудивительно их наличие, а весьма широкая пользовательская база только способствует их нахождению — как злоумышленниками, так и самими пользователями.
artmv32
Вы можете и сейчас пользоваться этими уязвимостями? Или откуда у вас такая информация? После 2016 года было сделано очень многое чтобы снизить attack surface.
androidovshchik
Если говорить о потребительском рынке, то фактически они не используются. Если говорить о серверах, то безопасностью обычно заведуют люди с пониманием того, что надо делать. Утечки винды опасны тем, что она широко используется большим кругом людей, которые знать ничего не знали о безопасности. К тому же майкрософт не спешит закрывать дыры в безопасности даже в актуальных версиях винды, не говоря уже о легаси
KanuTaH
С учётом рынка мобильных устройств говорить, что Linux (Android, который, кстати, и сам по себе в основном опенсорсный) и *BSD (iOS, да и MacOS тоже) "на потребительском рынке фактически не используются" — ну, это такое. У iOS и MacOS, конечно, с опенсорсностью все не очень, но уязвимости в ядре у них вполне могут оказаться общими со, скажем, FreeBSD, не говоря уж о том, что в них хватает и других опенсорсных библиотек и сервисов типа openssh.
bilayan
KanuTaH
Так речь же не о том, что кто-то заставляет «живого человека» напрямую с линуксом работать, а о том, что любые баги в (опенсорсном) ядре линукса и в опенсорсных стандартных утилитах и сервисах будут в таком количестве устройств, которое Windows и не снилось (и, кстати, если гугл и выпилит линукс из андроида, то это абсолютно ничего не изменит — андроид в целом все равно останется опенсорсным, даже если вместо линукса будет какая-нибудь фуксия).
Грубо говоря, аргумент «в опенсорсе проблемы с безопасностью менее страшны потому, что им пользуются только люди с пониманием и только на серверах» абсолютно несостоятелен.
bilayan
ТОлько вот гугл очень активно многие фичи перетаскивает в гуглсервисы, которые открывать никак не обязан, AOSP и так уже не особо юзабельный. если телефон нужен больше чем для позвонить. СЛишком много софта уже завязано на гугл сервисы.
Karpion
Осталось понять, что мешало и мешает Биллу Гейтсу и Стиву Балмеру аналогично изолировать интерфейс, обновление, прикладные модули от Windows — и сделать систему безопасной.
Кстати, чтоб дважды не вставать — расскажите мне скорее, как вообще это всё можно изолировать, если оно изначально входит в состав системы. У меня ощущение, что Вы вообще не понимаете смысл слов, составляющих Ваши фразы.
bilayan
В ведроиде всё в писочнице, и приложениям в целом плевать, что там за его окружением, линуксом там и не пахнет. Об этом речь. И пишут не с расчётом на линукс, абсолютно.
Причем с линуксоидами оч весело, когда надо им — андроид это линукс, вон же как много кругом. А когда что то негативное — так сразу открещиваются — это не линукс.
osmanpasha
Это если приложениям не надо вылезать из песочницы. А если надо, то Android Native Development Kit — стандартный, официальный, документированный способ добавить в приложение нативных библиотек. Например, очень многие программы с графикой, видео, звуком, работают с ними из нативных модулей.
NeoCode
Взлом осуществляется как раз таки через сеть, а не через пользовательский интерфейс:)
artmv32
artmv32
я не отрицаю что таких дыр нету, я говорю есть ли у вас живые пример таких дыр.
chupasaurus
medium.com/@TalBeerySec/glueball-the-story-of-cve-2020-1464-50091a1f98bd
C_21
Баг найти и пофиксить это и правда сложно, а вот уязвимость найти и гадость сделать — так специалисты находятся.
Tangeman
Чтобы пофиксить, баг сначала нужно найти, но наличие исходного кода этому поможет только если поиском будут заниматься суровые эксперты, причём явно не один день и даже не год. Простой пример — Heartbleed, 4 года прошло с момента когда уязвимость появилась до её обнаружения, хотя код доступен всем.
Менее опасный баг в OpenSSH вообще почти 20 лет не был обнаружен (CVE-2018-15473), хотя казалось бы, занимаются этим совсем не школьники.
Так что нет, простая публикация кода — плохое подспорье, чтобы его прочитать, понять и найти уязвимость — нужны очень серьёзные усилия, знания и опыт, в то время как для "бытового" хакинга вполне можно фаззингом обойтись, а также пониманием того как безответственно относятся некоторые разработчики и админы к валидации данных и вообще к безопасности.
Ладно бы речь шла про конкретный модуль, где кода кот наплакал, но целая ось… миллионы строк кода, и каждую нужно "помыть, завернуть" — это не для кулхацкеров, а те у кого есть ресурсы уже и так давно имели этот код.
Вспомните попытку ввести backdoor в ядро Linux — если нечто подобное присутствует в коде Windows, то найти его "с нуля" — это совсем не то же самое что обнаружить модификацию нескольких строк кода в системе контроля версий.
DrPass
Всё, что мы знаем, это что прошло четыре года до её публикации. А как давно она была обнаружена и начала использоваться, мы, к сожалению, не знаем. Это обратная сторона открытых исходников, если продукт популярный, то людей, которые там целенаправленно ищут уязвимости, чтобы исправить, намного меньше, чем людей, которые ищут, чтобы использовать.
saboteur_kiev
Тем, что исследуют исходники в первую очередь те, кому это выгодно. То есть парочке энтузиастов и множеству профессиональных хакеров.
Причем у энтузиастов особо инструментов для исправления ошибок нет, так как исходники не публичны — слать пулл реквесты некуда. Можно только слать письма в Microsoft или писать в бложиках. Но крупное комьюнити на этом организовать не получится.
P.S. IMHO совсем не случайно именно через полгода-год после утечки, появились довольно неприятные вирусы/черви, которые использовали уязвимость ОС, а не социальное распространение через почту — типа Blaster, LoveSun и др.
Like_fa
Тут скорее дело не во вреде исходников в свободно доступе, а сам факт утечки.
LencoDigitexer
Intel утечка пока ничем особо не навредила.
Balling
Как минимум Intel пришлось сделать полный ребрендинг, так как утекли полные векторные .ai файлы логотипов и т.д. Кстати, статья бред. Утечка произошла не на 4chan скорее всего.
LencoDigitexer
Многие компании практикуют открытый брендинг.
Твиттер
ВК
AMD
tmin10
Эм, а чем повредит компании, что утекли исходники логотипа? Кто-то сделает неотличимый логотип? Ну это и так можно сделать, просто пепрерисовав его.
Balling
Там утекли все исходники дизайна, в том числе для внутренней документации и презентаций продуктов. В формате Adobe Illustrator и pdf-ки.
tmin10
Но как это вредит компании? Ну сделает кто-то презентацию по типу внутренней, пара жёлтых изданий купится, что это слив, не более.
Alexsey
Смешно. Ребрендинг интела вообще-то слили в интернет как минимум за месяц, а то и больше, до того как у них те самые утечки произошли.
Balling
А, действительно. Через 6 дней…
mSnus
Что за ерунда? Публикация исходников дизайна ничем не может навредить компании
artmv32
Предоставление исходников на анализ — это требование закона, иначе Windows не будут устанавливать в гос учреждениях. Насколько я знаю, особо критичный код находится в отдельном репозитории и вы можете его посмотреть только на кампусе в Редмонде.
jedecuz
Windows XP и Windows Server 2003 как-то не назвать актуальной версией во1х и во2х М$ это будет как раз только выгодно — чтобы занать на w10 тех кто еще сидит на старых…
Nikita22007
Никто и не назвал эти ОС актуальными. Другое дело.что каждая новая версия ОС не переписывается с нуля, а основывается на предыдущих версиях. Таким образом части кода, содержащие уязвимость, могут иметь ооочень долгий жизненный цикл, если к ним никто не прикасался со времен Windows ME.