Budoucí scénáře útoků budou mnohem rozmanitější a závislé na možnosti ekonomicky identitu zneužít. Kdykoli se útočníkům investice do zkoumání zneužitelnosti nějaké služby vyplatí, dříve nebo později se tato služba stane předmětem útoku. Bude se tedy nadále jednat především o služby typu internetového bankovnictví a platebních služeb.

Překonávání antivirů založených na signaturách a heuristice

Dnešní škodlivý software (malware) je psán převážně ve vyšších jazycích. Je tedy možné pouhou změnou například nastavení překladače vytvořit množství identických variant vykazujících odlišné „otisky“ (např. MD5). To vede k exponenciálnímu nárůstu signatur při velmi nízkých nákladech útočníků. Například ve druhé polovině roku 2011 bylo zaregistrováno kolem třiceti tisíc škodlivých URL a od roku 2005 bylo v USA kompromitováno pět set milionů jednotlivých informací. Útočníci mohou využít řady nástrojů k otestování, zda je škodlivý software odhalitelný pomocí známých antivirů (např. MultiAVsFixer, KIMS, Scanlix).

Příklad nástroje typu multi antivirus scanner v akci (zdroj: virustotal, Pandalabs Blog)

V případě překonávání heuristických antivirů (založených na analýze struktury a chování škodlivého kódu) zatím neexistují masově využitelné nástroje, proto je těžké odhadnout potřebné investice útočníků. Nicméně lze říci, že tomuto způsobu obrany bude patřit v budoucnu zásadní význam.

Překonávání personálních firewallů

Útočníci se přeorientovali z využívání síťových zranitelností operačních systémů na tzv. drive-by downloads. Jde o nechtěné stažení malwaru z navštívených nelegitimních, ale i „hacknutých“ legitimních webových stránek. Malware v tomto případě využívá pro komunikaci povolených kanálů (HTTP/HTTPS). Dnešní personální firewall je sice možné považovat za základní ochranu, ale nic víc. Současné Web Exploit Toolkits (WET) pomáhají útočníkům stále více integrovat napadené počítače (nejčastěji na bázi OS Windows) do bot-netů. Ty pak lze dále využívat pro útoky typu DDoS, případně SPAM, a to ve stále vyšší míře i komerčně. Proto budou do budoucna zapotřebí nástroje, které budou schopny komplexně analyzovat internetový provoz (podobně jako dnešní inteligentní webové aplikační firewally). Tím však bude složitost personálních firewallů narůstat a tyto se stanou samy terčem útoků.

Překonávání ochrany aplikací

Na dnešním trhu je množství aplikací s dominantním tržním postavením, které používají a prosazují uzavřený zdrojový kód (closed source). Uzavřený kód je předmětem mnoha kontroverzí, přičemž nejdůležitější roli hrají aspekty ekonomické, společenské a bezpečnostní. Nebezpečí uzavřeného kódu je v tzv. security by obscurity, tedy klasifikace kódu jako bezpečného, ačkoli zdrojový kód není znám, a tedy nemohl být předmětem analýzy bezpečnostních odborníků. Tudíž není možné objektivizovat bezpečnost použitých algoritmů, a především způsob jejich konkrétní implementace. Takzvaný Kerckhoffův axiom totiž říká, že kryptosystém musí být bezpečný i v případě, že všechny informace o systému, kromě klíče, jsou veřejně známy.

Překonávání dalších obranných mechanismů

WET jsou často aktualizovány tak rychle, že výrobci obranných mechanismů nestačí reagovat na nové zranitelnosti. Nejaktuálnější jsou známé jako zero-day (0 day). Jedná se o takové zranitelnosti, které ještě nebyly publikovány, a tudíž pro ně neexistují záplaty. Na toto reaguje uskupení Zero Day Initiative (ZDI) založené firmou TippingPoint. Ta se zasazuje o odměňování za odhalené zranitelnosti, které jsou publikovány takovým způsobem a s takovými cíli, které neumožňují její využití. Bohužel se společnosti, kterých se zranitelnosti týkají, agresivně brání a odrazují tím od tohoto způsobu publikování výzkumníky v oblasti zranitelnosti pod pohrůžkou právních kroků. V budoucnu bude zajisté zapotřebí legislativního rámce, který umožní takovým výzkumníkům (white hats) publikování beze strachu z pronásledování.

Překonávání hardwarových bezpečnostních mechanismů

Jedná se zejména o překonávání zabezpečení pomocí čipových karet a hardwarových bezpečnostních modulů (HSM). I bezpečnost těchto systémů může být ohrožena malwarem. Jsou založeny na principu veřejných a privátních klíčů (asymetrická kryptografie), a jsou proto prakticky nepřekonatelné. Nicméně dnes existuje minimálně několik způsobů útoků ze strany malwaru proti elektronickým podpisům (popsané Dr. H. Langwegem v letech 2001 až 2006, které umožnily digitálně podepisovat dokumenty bez vědomí uživatele). Jedná se o problém implementace elektronického podpisu. V budoucnu bude záležet na tom, jak se výrobci vyrovnají s pevnější integrací čipových karet a čteček do celkové aplikační architektury.

Překonávání bezpečnostních mechanismů na straně serverů

Zabezpečení na straně serverů je stejně obtížné, jako na straně klientů. Útočníkovi stačí využít jeden z exploitů, proti kterému zatím neexistují, anebo ještě nejsou aplikovány bezpečnostní záplaty. V minulosti se útoky soustředily na bezpečnost síťové a transportní vrstvy operačních systémů, dnes a v budoucnosti je potřeba stále více počítat s útoky na zranitelnosti zejména webových aplikací. Tyto útoky patří k nejčastějším v první desítce zranitelností. Obrázek 2 ilustruje rostoucí počet zranitelností směrem od sítí k aplikacím.

Počet zranitelností v síti, operačním systému a aplikacích

Jedná se především o následující zranitelnosti:

• SQL injection – jde o vnesení databázových příkazů přes aplikační přístupovou vrstvu (webové rozhraní a aplikační server). Tyto útoky se budou i nadále těšit velké oblibě útočníků kvůli velké rozšířenosti. Zatímco ke zcizení dat je zapotřebí individuálního přístupu, ke změně položek databází je možnost využít automatických nástrojů.
• Cross-site scripting (XSS) – jde o cílené vložení tzv. client-side skriptů do webové stránky – tyto skripty pak umožňují útočníkovi pomocí falešné identity (např. cookie) zcizení citlivých informací. Tento typ zranitelnosti je typický tím, že je jedním z nejstarších a je doposud také nejrozšířenější.
• Remote file inclusion – tato zranitelnost využívá skriptů (hlavně PHP) na webových serverech, které interpretují cesty k souborům předávané zejména přes parametry HTTP-GET a přesměrují je na cizí servery. V budoucnu bude proto zapotřebí zabývat se v mnohem vyšším měřítku validací vstupu webových aplikací.

Malware zůstane v budoucnu problémem číslo jedna. Jak již bylo zmíněno, na síťové úrovni je ochrana zabezpečena zejména pomocí firewallů. Útočníci se proto budou v budoucnu ještě více soustředit na standardní (a standardně povolené) aplikační komunikace, zejména web a e-mail, tj. primárně na webový prohlížeč. Engine dnešních prohlížečů a jejich rozšiřování je stále komplexnější, přičemž JavaScript poskytuje útočníkům mocný nástroj pro jejich napadení. Jelikož počet úspěšných útoků roste a útočníci stojí před problémem rychlého sběru a zpracování získaných dat, budou s výhodou využívat data miningu, dělby práce a komunikace přes sociální sítě.
Nové možnosti útoku si v budoucnu útočníci slibují od tzv. return oriented programming. Jde o metodu, která obchází dnešní moderní zabezpečení zabráněním provádění kódu v tzv. kernel módu. Útočník se v tomto případě snaží vložit kódové fragmenty do kódu uživatelského módu, které využívají skoky do standardních knihoven, a z těchto skoků poskládat škodlivý kód. Další metodou budoucnosti je heap spraying, který se snaží obejít obranné mechanismy tzv. address space layout randomization zavedeného operačním systémem MS Vista.
Jelikož člověk zůstává pořád nejslabším článkem řetězce, bude se v budoucnu mnohem více využívat sociálního inženýrství. Tento jev souvisí jednak s úrovní složitosti techniky a mechanizmů v ICT, kterým dnes uživatel není schopen ani ochoten plně porozumět, jednak s rozšiřováním komunikace v sociálních sítích.

Cílové platformy útoků v budoucnosti

Kromě nejrozšířenější platformy MS Windows budou v budoucnosti cílem útoků rovněž nové mobilní platformy (např. Windows Mobile, Android, iOS, Symbian, BlackBerry) a stacionární platformy (např. Mac OS, herní konzole XBOX-360, Wii, Playstation 3).
K tomu budou do budoucna přistupovat další platformy, které používají připojení k internetu, jako například televizní přijímače, multimediální centra apod. U těchto platforem bude problémem standardní zabezpečení jednak pomocí antivirů a firewallů, jednak aktualizace programového vybavení. Tyto platformy mají většinou pouze rudimentární ovládání a neposkytují nástroje běžné u desktopových platforem.
Současně se budou jako cíle útoků stále více dostávat do popředí na platformě nezávislé programy, jako například prohlížeče, Adobe PDF a Flash. Prohlížeče patří k základním nástrojům dnešní práce. V prohlížečích se uchovávají identity uživatelů a přes ně se rovněž vkládají. V budoucnu bude zabezpečení prohlížečů hlavním úkolem (např. pomocí sandboxingu, virtualizace, vynucováním politik a zabezpečením ochrany SSL/TLS – například klientských certifikátů).
Na straně serverů bude ústředním tématem zabezpečení load-balancerů, front-endů, aplikačních serverů a databází. Oddělení zmíněných vrstev je v realitě implementováno často bez čistých rozhraní, pomocí nejednotného bezpečnostního a komunikačního modelu. Důraz bývá kladen na funkcionalitu a rychlou integraci spíše než na bezpečnost.
V budoucnu se budou útoky soustředit ve vyšší míře přímo na aplikační komunikační protokoly, které spolupracují s HTTP (např. SOAP či REST). Kupříkladu standardy XML jsou tak složité, že jejich nepřehlednost často způsobuje implementační chyby a tím nové zranitelnosti.
Pro budoucnost je sice nadále důležité vzdělávání uživatelů, ale je potřeba říct, že od normálního uživatele se nikdy nedá požadovat, aby správně vyhodnotil důvěryhodnost webové stránky. Důležité budou technická a netechnická opatření, která budou uživatele v tomto rozhodnutí podporovat.

Milan Balážik
Autor je držitelem certifikace CISSP a působí jako technical solutions architect ve firmě Corpus Solutions.