Google ujawnia kolejną lukę bezpieczeństwa w Windowsie

Dziwnym zbiegiem okoliczności błąd został wykryty przez Jamesa Forshawa, tę samą osobę, która znalazła poprzednią lukę 0-day. Opublikowanie informacji o niej spowodowało agresywną reakcję Microsoftu, który uznał działania Google za kompletnie nieodpowiedzialne. To jednak nie zrobiło żadnego wrażenia na programistach korporacji posiadającej niemalże monopol na wyszukiwarkę. Grupa Projekt Zero zajmująca się wynajdywaniem luk bezpieczeństwa w oprogramowaniu innych firm właśnie przedstawiła efekty swoich poszukiwań, które obejmują błąd w funkcji CryptProtectMemory dostępnej w Windows 7 i Windows 8.1.

Wspomniana funkcja jest bardzo istotna, bo zapewnia ona programistom możliwość szyfrowania wrażliwych obszarów pamięci ich aplikacji. Jest więc wykorzystywana np. do przechowywania haseł czy innych tego typu danych w trakcie działania programu. Jedna z jej flag, CRYPTPROTECTMEMORY_SAME_LOGON, umożliwia szyfrowanie i deszyfrowanie pamięci za pomocą klucza tworzonego na podstawie identyfikatora sesji użytkownika. Dzięki temu możliwe jest przekazywanie zaszyfrowanych danych do innych procesów tego samego użytkowania i ich odszyfrowanie – założenie jest poprawne i bardzo przydatne. Problem pojawia się z implementacją w pliku CNG.sys, która w żaden sposób nie sprawdza poziomu personifikacji tokenu w trakcie pobierania danych sesyjnych. Otwiera to drogę użytkownikom do podszywania się pod innych, a w efekcie deszyfrowanie i szyfrowanie danych przeznaczonych dla tej funkcji w przechwyconych sesjach.

Problem został odkryty 17 października i Microsoft został o nim powiadomiony. Do tego czasu nie została wydana żadna łatka, która by go naprawiała, a więc pracownicy Google, zgodnie z przyjętymi przez siebie zasadami, upublicznili informacje o nim po upływie 90 dni od odkrycia. Forshaw twierdzi, że został poinformowany przez Microsoft o tym, iż poprawka pierwotnie miała być dostępna w styczniu, ale z powodu problemów z kompatybilnością przesunięto ją na aktualizacje, które zostaną wydane w lutym. Podanie szczegółów technicznych wydaje się więc w tej sytuacji czystą złośliwością ze strony Google i w pewien sposób potwierdza słowa Chrisa Betza, który ostatnio krytykował tę firmę za tego typu praktyki – to, co wydaje się rozwiązaniem dobrym dla Google, wcale nie musi być czymś dobrym dla użytkowników i ich ochrony.

Istotną kwestią jest tutaj właśnie ujawnianie szczegółów technicznych. Według Microsoftu informacje o lukach zgłaszane drogą prywatną są znacznie trudniejsze do wykorzystania przez twórców szkodliwego oprogramowania – w końcu mogą oni nawet o tych problemach nie wiedzieć, co wymusza na nich samodzielne analizy. Podanie im na tacy gotowego rozwiązania znacznie zwiększa ryzyko ataków, tym bardziej, że na kolejne aktualizacje poczekamy jeszcze niemal miesiąc. Dla Google jest to natomiast kolejny sukces, tyle tylko, że jedynie marketingowy.