Niebezpieczne patchowanie Microsoftu?

Grupa czterech naukowców z Carnegie Mellon University,University of California w Berkeley oraz University of Pittsburghostrzega Microsoft, że sposób, w jaki wydawane są poprawkizabezpieczeń do jego produktów stwarza, wbrew pozorom, całkiempoważne zagrożenie. Na dowód tej tezy opracowali oni metodę nazwanąAPEG(automatic patch-based exploit generation), dzięki której możliwejest błyskawiczne, automatyczne stworzenie exploitu - jedyne, czegopotrzeba, to wydana przez Microsoft poprawka i oryginalnebiblioteki. To właśnie na podstawie jej analizy możliwe jestopracowanie złośliwego kodu. Autorzy APEG twierdzą, że Microsoft wydając poprawkę, sam podajekod eksploatujący "na talerzu". Ostrzegają, że stosując APEGatakujący są w stanie wytworzyć exploit niemalże natychmiast powydaniu poprawki przez Microsoft. Oczywiście hakerzy z całegoświata dekompilowali poprawki od zawsze, aby poznać łatane przeznich luki. Zajmowało to jednak pewną ilość czasu - przy pomocy APEGkod powstaje w kilka sekund, a w najgorszym przypadku w kilkaminut. Podczas demonstracji udało się opracować exploity do pięciunajnowszych łat wydanych przez Microsoft. Metoda nie jest jednakniezawodna i nawet sami twórcy zastrzegają, że nie działa zwszystkimi typami luk w zabezpieczeniach. Niewątpliwie jest tojednak ważny krok w inżynierii poprawek i warto tę kwestięprzemyśleć.