搜索

[4082] 2017-07-25_BlackHat2017零日漏洞的二次发现率远高于预期

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-16
2017-07-25_BlackHat2017零日漏洞的二次发现率远高于预期 ​ B l a c k   H a t   2 0 1 7 : 零 日 漏 洞 的 二 次 发 现 率 远 高 于 预 期 原 创   E 安 全 编 辑 部   E 安 全   2 0 1 7 - 0 7 - 2 5 E 安 全 7 月 2 5 日 讯   哈 佛 大 学 发 布 的 最 新 研 究 结 论 表 明 ， 零 日 漏 洞 这 类 软 件 安 全 缺 陷 被 二 次 发 现 的 速 度 要 远 快 于 以 往 安 全 人 员 们 的 想 象 。 零 日 漏 洞 二 次 发 现 的 危 害 事 实 上 ， 零 日 漏 洞 的 二 次 发 现 率 对 于 美 国 的 网 络 安 全 政 策 存 在 很 大 影 响 。 这 是 因 为 美 国 情 报 机 构 在 发 现 零 日 漏 洞 后 ， 相 关 人 员 往 往 会 采 取 秘 而 不 宣 的 作 法 ， 并 借 此 通 过 网 络 行 动 窥 探 他 国 竞 争 对 手 。 但 二 次 发 现 率 高 企 则 会 迫 使 相 关 人 员 重 新 考 虑 如 何 对 这 些 漏 洞 进 行 修 复 或 者 保 密 。 哈 佛 大 学 贝 尔 弗 中 心 博 士 后 研 究 员 崔 伊 · 赫 尔 指 出 ， “ 如 果 二 次 发 现 率 如 此 之 高 ， 那 么 应 当 下 调 用 于 网 络 行 动 的 ‘ 秘 密 保 留 ’ 漏 洞 的 具 体 数 量 ， 或 者 进 行 更 为 积 极 的 相 关 安 全 审 查 。 ” 除 了 赫 尔 之 外 ， 安 全 技 术 大 师 布 鲁 斯 · 施 奈 尔 与 哈 佛 大 学 工 程 学 院 研 究 助 理 克 里 斯 托 弗 · 莫 里 斯 也 一 同 参 与 了 上 周 研 究 结 果 的 发 表 ， 他 们 还 将 在 本 周 于 拉 斯 维 加 斯 举 行 的 美 国 黑 帽 大 会 上 公 布 这 份 已 经 经 过 同 行 长 期 评 议 的 报 告 。 由 于 全 球 软 件 市 场 的 固 有 性 质 ， 即 世 界 各 地 的 人 员 与 企 业 皆 采 用 相 同 的 软 件 程 序 。 这 种 高 企 的 漏 洞 二 次 发 现 率 意 味 着 美 国 发 现 并 保 有 的 安 全 漏 洞 很 可 能 被 国 外 情 报 部 门 乃 至 网 络 犯 罪 分 子 以 独 立 方 式 再 次 发 现 ， 从 而 抢 在 相 关 供 应 商 将 其 修 复 之 前 利 用 此 对 抗 美 国 。
赫 尔 解 释 称 ， 相 关 数 据 表 明 ， 黑 客 “ 实 际 使 用 的 零 日 漏 洞 当 中 ， 有 三 分 之 一 ” 可 能 美 国 机 构 已 秘 密 知 晓 。 他 同 时 指 出 ， 这 意 味 着 在 被 网 络 间 谍 或 者 犯 罪 分 子 用 于 攻 击 行 动 之 前 ， 这 些 安 全 漏 洞 本 可 以 得 到 及 时 修 复 。 另 一 些 研 究 人 员 则 提 出 质 疑 ， 认 为 这 样 的 结 论 并 无 法 从 研 究 人 员 们 提 供 的 数 据 当 中 确 切 得 出 。 白 宫 网 络 安 全 局 长 罗 伯 · 乔 伊 斯 即 抱 有 这 样 的 疑 问 。 他 目 前 正 在 对 “ 漏 洞 公 平 裁 决 程 序 ” 进 行 审 查 ， 这 项 政 策 负 责 决 定 发 现 零 日 漏 洞 的 美 国 企 业 是 否 应 当 向 相 关 供 应 商 披 露 信 息 ， 抑 或 选 择 将 其 保 留 并 用 于 执 行 网 络 攻 击 。 不 过 白 宫 方 面 并 没 有 回 应 关 于 此 次 新 数 据 的 评 论 请 求 。 二 次 漏 洞 相 关 数 据 哈 佛 大 学 研 究 人 员 们 在 论 文 当 中 提 及 的 数 字 较 此 前 小 规 模 研 究 披 露 的 对 应 数 字 高 出 几 倍 ， 作 者 希 望 这 样 的 结 果 能 够 迫 使 “ 漏 洞 公 平 裁 决 程 序 ” 对 具 体 要 求 作 出 重 新 考 量 。 各 位 作 者 分 析 了 来 自 四 套 b u g 追 踪 数 据 库 的 安 全 漏 洞 报 告 ， 其 中 记 录 有 研 究 人 员 在 目 前 世 界 范 围 内 使 用 最 为 广 泛 的 各 类 开 源 软 件 中 发 现 的 安 全 漏 洞 ， 具 体 包 括 ：
M o z i l l a 公 司 的 火 狐 浏 览 器 2 0 1 2 年 到 2 0 1 6 年 版 本 。 O p e n   S S L 代 码 库 2 0 1 4 年 到 2 0 1 6 年 版 本 。 A n d r o i d 操 作 系 统 2 0 1 5 年 到 2 0 1 6 年 版 本 。 谷 歌 C h r o m i u m 浏 览 器 （ 即 C h r o m e 的 开 源 版 本 ， 二 者 共 享 大 部 分 源 代 码 ） 2 0 0 9 年 到 2 0 1 6 年 版 本 。 最 后 一 套 数 据 库 则 提 供 了 全 部 8 6 9 8 个 安 全 漏 洞 中 的 超 过 四 分 之 三 比 例 。 为 了 缩 小 数 据 范 围 ， 作 者 们 仅 关 注 最 为 严 重 的 漏 洞 ， 即 4 3 0 7 项 被 评 为 “ 危 险 ” 或 者 “ 高 危 ” 的 安 全 漏 洞 。 赫 尔 在 接 受 采 访 时 指 出 ， 这 是 因 为 问 题 严 重 程 度 越 高 ， 相 关 记 录 就 越 是 详 尽 （ 为 了 更 加 准 确 地 反 映 情 报 机 构 需 要 寻 找 并 利 用 的 相 关 漏 洞 ） 。 赫 尔 指 出 ， “ 对 我 们 来 说 ， 相 关 数 据 的 可 访 问 性 相 当 惊 人 ” ， 而 且 大 部 分 直 接 公 开 。 但 他 同 时 补 充 称 ， “ 但 整 理 工 作 非 常 麻 烦 ， 需 要 投 入 大 量 精 力 进 行 归 纳 。 ” 2 0 1 6 二 次 发 现 概 率 逼 近 二 次 发 现 概 率 逼 近 2 0 % 总 结 来 讲 ， 报 告 指 出 最 近 七 年 以 来 ， 每 年 零 日 漏 洞 的 二 次 发 现 率 都 保 持 在 1 5 % 到 2 0 % 之 间 ， 但 这 一 水 平 正 在 稳 步 提 升 ， 且 在 去 年 几 乎 逼 近 2 0 % 。 今 年 3 月 R A N D 公 司 发 布 的 研 究 报 告 则 显 示 ， 其 整 理 2 0 0 项 零 日 漏 洞 后 得 出 的 二 次 发 现 率 低 于 6 % 。 而 曾 任 奥 巴 马 政 府 资 深 网 络 安 全 官 员 的 安 迪 · 奥 赞 特 则 在 2 0 0 5 年 发 布 的 研 究 结 果 中 指 出 ， 2 0 0 2 年 到 2 0 0 4 年 当 中 与 微 软 相 关 之 零 日 漏 洞 二 次 发 现 率 为 8 % 。 其 它 研 究 同 样 认 为 此 类 漏 洞 的 二 次 发 现 率 低 于 1 0 % 。 漏 洞 二 次 发 现 的 实 际 概 率 高 于 现 有 数 据 赫 尔 表 示 ， 这 些 研 究 主 要 基 于 规 模 较 小 且 多 样 性 较 差 的 样 本 ， 且 通 常 并 未 直 接 涉 及 二 次 发 现 问 题 。 他 在 评 论 R A N D 研 究 报 告 时 指 出 ， “ 这 是 一 份 出 色 的 论 文 ， 但 问 题 在 于 其 探 究 方 向 有 所 不 同 。 这 篇 论 文 的 主 旨 在 于 ‘ 零 日 漏 洞 的 秘 密 能 够 保 持 多 久 ？ ’ 有 些 偏 见 可 能 会 对 数 据 的 具 体 解 读 产 生 扭 曲 。 ” 而 最 具 争 议 的 是 ， 哈 佛 方 面 的 论 文 在 计 划 当 中 ， 选 择 计 算 已 经 被 发 现 实 际 应 用 的 零 日 漏 洞 同 美 国 情 报 机 构 可 能 已 经 秘 密 掌 握 的 漏 洞 间 的 比 值 。 根 据 哥 伦 比 亚 大 学 的 杰 森 · 海 利 此 前 估 算 得 出 的 国 安 局 零 日 漏 洞 掌 握 数 量 ， 再 配 合 赛 门 铁 克 公 布 的 相 关 数 据 ， 即 2 0 1 5 年 内 共 有 5 4 项 零 日 漏 洞 被 用 于 实 际 攻 击 。 最 终 发 现 “ 政 府 保 有 之 零 日 漏 洞 在 2 0 1 5 年 年 内 的 二 次 发 现 率 大 约 在 7 . 5 % 到 3 3 % 之 间 。 ” 然 而 这 些 数 字 正 面 临 着 其 他 研 究 人 员 的 挑 战 。
要 想 分 析 真 实 数 据 巨 困 难 要 想 分 析 真 实 数 据 巨 困 难 网 络 安 全 企 业 I m m u n i t y 公 司 C E O 大 卫 · 阿 泰 尔 在 接 受 邮 件 采 访 时 指 出 ， “ 我 认 为 具 体 数 据 并 不 像 他 们 想 象 的 那 么 广 泛 ， 这 对 于 一 篇 学 术 报 告 来 说 非 常 致 命 。 ” 在 此 后 的 一 篇 博 文 当 中 ， 他 进 一 步 补 充 称 研 究 人 员 们 在 数 据 集 中 纳 入 的 不 少 漏 洞 似 乎 都 是 通 过 混 淆 方 式 （ 这 是 一 种 相 对 基 本 的 黑 客 技 术 ） 所 发 现 。 他 同 时 强 调 道 ， “ 对 此 类 数 据 进 行 分 析 非 常 困 难 ， 需 要 对 安 全 漏 洞 拥 有 深 入 了 解 ， 同 时 亦 需 要 进 行 大 量 无 聊 的 数 据 分 析 工 作 。 ” 在 T w i t t e r 上 ， 阿 泰 尔 指 出 这 项 研 究 结 合 了 由 “ B u g 赏 金 猎 人 ” 及 白 帽 黑 客 发 现 的 b u g ， 再 加 上 另 外 一 组 存 在 巨 大 差 异 的 数 据 集 ： “ 你 的 对 手 可 能 发 现 的 b u g ” 。 但 他 同 时 承 认 ， 要 想 找 到 这 个 问 题 的 完 美 答 案 ， 即 同 时 为 美 国 及 国 外 情 报 机 构 或 者 其 他 攻 击 者 所 掌 握 的 零 日 漏 洞 数 量 ， 基 本 上 是 不 可 能 的 。 他 在 邮 件 当 中 解 释 称 ， “ 对 美 国 、 中 国 与 俄 罗 斯 三 方 掌 握 的 零 日 漏 洞 进 行 汇 总 ， 需 要 三 国 同 时 介 入 并 给 予 协 助 。 ” 赫 尔 则 认 为 ， 无 论 具 体 数 字 如 何 ， 这 一 问 题 已 经 非 常 严 重 且 亟 待 解 决 ， 况 且 “ 每 年 超 过 1 0 项 零 日 漏 洞 已 经 足 以 构 成 严 重 的 安 全 威 胁 。 ” 2 5 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 7 月 月   0 1 快 来 找 漏 洞 ！ 洋 葱 （ T o r ） 网 络 启 动 漏 洞 悬 赏 计 划
0 2 g S O A P 现 缓 冲 区 溢 出 漏 洞 - 数 千 台 物 联 网 设 备 受 影 响 【 视 频 】 0 3 L i n u x 用 户 小 心 ！ “ B a d   T a s t e ” 漏 洞 利 用 M S I 文 件 运 行 任 意 代 码 0 4 N A S 设 备 面 临 新 威 胁 ： S a m b a C r y 安 全 漏 洞 引 入 后 门 0 5 小 心 ！ M Q T T 安 全 漏 洞 影 响 能 源 行 业 及 物 联 网 设 备 安 全 0 6 国 防 科 大 威 武 ！ 发 现 卫 星 电 话 加 密 算 法 G M R - 2 重 大 漏 洞 0 7 【 注 意 】 戴 尔 系 统 多 个 预 装 软 件 现 漏 洞   易 被 黑 客 攻 击 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理