כשתיקון מגיע, אבל הפרס לא
חוקר אבטחה גילה פגיעות קריטית במנגנון העדכון האוטומטי של AMD, דיווח עליה כראוי, המתין 124 ימים לתיקון, ובסוף לא קיבל דבר. AMD תיקנה את הבעיה, אישרה את הממצא, אך סירבה לשלם את פרס ה-10,000 דולר שהחוקר ציפה לקבל במסגרת תוכנית ה-Bug Bounty שלה. המקרה הזה אינו טכני בלבד, הוא מהותי לאופן שבו ארגונים בונים (או הורסים) את האמון עם קהילת החוקרים.
124 ימים: מה משמעות הזמן הזה בעולם האבטחה
הסטנדרט המקובל בתעשייה לתגובה על חולשות אבטחה הוא 90 ימים. מדיניות זו, שגובשה על ידי גופים כמו Google Project Zero, נועדה ליצור לחץ ממשי על ספקים לטפל במהירות בפגיעויות. AMD חרגה ממסגרת זו ב-34 ימים נוספים, תוך שהחוקר ממתין בסבלנות ומחזיק את המידע בסודיות.
מניסיוננו בעבודה עם ארגונים שמתחברים לתשתיות צד שלישי, ממשקי עדכונים אוטומטיים הם בדיוק סוג הרכיבים שתוקפים מחפשים: גישה ישירה, הרשאות גבוהות, ולעיתים פיקוח נמוך. פגיעות כזו, אם מנוצלת, מאפשרת שליטה על מכונות קצה בהיקף רחב.
תוכניות Bug Bounty: כלי חשוב עם בעיה מבנית
תוכניות Bug Bounty הפכו לעמוד שדרה של מדיניות אבטחה אצל יצרני חומרה ותוכנה גדולים. הרעיון פשוט: מי שמוצא חולשה ומדווח עליה בצורה אחראית, יזכה לתגמול. אך כפי שמקרה AMD מדגים, הכללים לאחר הגשת הדיווח אינם תמיד שקופים:
- האם התשלום מותנה בחומרת הפגיעות בלבד, או גם בנסיבות הגילוי?
- מה קורה כשהחברה תיקנה אך טוענת שהחוקר לא עמד בקריטריונים מסוימים?
- כיצד מוגנים חוקרים מפני שינוי כללי משחק חד-צדדי?
כשחברה מסרבת לשלם לאחר תיקון, היא לא רק מפסידה חוקר אחד, היא שולחת מסר לכל קהילת האבטחה: הסיכון אינו שווה את התגמול. התוצאה ארוכת הטווח היא פחות דיווחים אחראיים ויותר חולשות שנשארות לא ידועות לחברה, אבל לא בהכרח לתוקפים.
המשמעות לארגונים שמסתמכים על תוכנת צד שלישי
עבור ארגונים שמשתמשים בציוד AMD, המסקנה המיידית היא מעשית: עדכוני קושחה ותוכנה חייבים להיות מנוטרים ולא רק מאופשרים. מנגנוני עדכון אוטומטי שמתנהלים ללא בקרה הם נקודת תורפה, במיוחד כשנודע בדיעבד שבמשך חודשים רצים בסביבה פגיעה.
מי שמתכנן ארכיטקטורת IT עם רכיבי צד שלישי צריך להניח שחולשות קיימות, ולתכנן מנגנוני בקרה פנימיים בהתאם. ספקים, גם הגדולים, לא תמיד פועלים בקצב שארגון מצפה לו תחת לחץ.
ההיבט העסקי של הסכסוך עם החוקר חשוב לא פחות: ארגונים שבונים מדיניות אבטחה חייבים לוודא שכל שותף חיצוני, כולל יצרני חומרה, פועל לפי אמות מידה ברורות, שקופות ועקביות. אמון הוא תשתית, לא נחמד שיש.