Pažeidžiamumas? Už kiek parduodate?

Neseniai išdalintos nemažos premijos už naršyklės „Google Chrome“ nulaužimą (60 tūkst. JAV dolerių – už pilnavertį „exploit‘ą“) – tai adekvati rinkos kaina už surastą rimtą pažeidžiamumą populiarioje programinėje įrangoje.

Praėjusią savaitę pasirodęs tinklalapyje „Forbes“ straipsnis nurodo tokias kainas: taip vadinamas „nulinės dienos“ (0 day) pažeidžiamumas „Windows“ – nuo 60 iki 120 tūkst. JAV dolerių, „Google Android“ – nuo 30 iki 60 tūkst. JAV dolerių, „Chrome“ ir „Internet Explorer“ – nuo 80 iki 200 tūkst. ir t. t.

Atskirai reikėtų paminėti „Apple iOS“ – platformą, kurią naudoja „iPad“ ir „iPhone“: už „nulinės dienos“ pažeidžiamumus joje siūloma nuo 100 iki 250 tūkst. JAV dolerių!

Šias kainas žurnalistai sužinojo tiek iš kompanijų, dirbančių kompiuterinio saugumo srityje (kartu užsiimančių pažeidžiamumų pirkimu ir pardavimu), taip pat iš tarpininkų – žmonių, kurie yra tarpinė grandis tarp programišių ir didelių užsakovų (tarp jų yra ir specialiosios tarnybos, ir didelės valstybinės kontoros).

Taigi matome, jog dabartinės korporacijos „Google“ premijas už pažeidžiamumus naršyklėje „Chrome“ (nuo 500 iki 2–3 tūkst. JAV dolerių) tokios informacijos akivaizdoje kitaip nei juokingomis nepavadinsi. Vienas iš tarpininkų, perduodantis pažeidžiamumus dideliems užsakovams, papasakojo, jog per praėjusius metus jis uždirbo apie 1 mln. JAV dolerių komisinių, kurie sudaro apie 15 % nuo sandorio sumos. Taigi galite įsivaizduoti, kokios yra rinkos apimtys.

Kompanijos „Netragard“ atstovai, savo ruožtu, papasakojo, jog paskutiniu metu pastebimas aktyvus programišių-tyrinėtojų susidomėjimas: dabar „Netragard“ gauna apie 12–14 pažeidžiamumų kas mėnesį, nors prieš porą – trejetą metų jų kiekis buvo trigubai mažesnis.

Iš esmės, pasakos apie kibernetinius karus kažkaip nepastebimai pavirto į tikrų tikriausią realybę. Štai Kinijos karinėse pajėgose darbuojasi ištisi programišių padaliniai, „juodoji“ pažeidžiamumų rinka tampa „pilkąja“, o greitai ir visai legalizuosis. Nenustebkite, jei pasirodys, jog visi jūsų su verslu susiję pokalbiai per išmanųjį „iPhone“ jau senokai išanalizuoti jūsų konkurentų. Galbūt jus nuramins tas faktas, jog už „iOS“ pažeidžiamumą jiems teko sumokėti kelis šimtus tūkstančių JAV dolerių…