Wat hackers leren en de rest van ons niet
Menig beveiligingscursus is erop gericht om ontwikkelaars zoals hackers te laten denken. De eerste stap in het neerzetten van een succesvolle verdediging is weten hoe de "vijand" denkt, toch is de brug tussen ontwikkelaar en hacker niet eenvoudig te overbruggen. Sergey Bratus bekeek de verschillen tussen beide partijen, en kwam tot de volgende punten:
- Ontwikkelaars werken onder druk en volgen een standaard oplossing, of de weg van de minste weerstand om het werkend te krijgen.
- Ontwikkelaars worden meestal niet getraind in onderliggende APIs omdat de extra geinvesteerde tijd zich meestal niet uitbetaalt.
- Ontwikkelaars zien meestal een beperkt gedeelte van de API, vaak zonder enige details over de implementatie ervan.
- Ontwikkelaars worden standaard opgeleid om bijzondere uitzonderingen te negeren en kennen daardoor niet de gevolgen.
- Ontwikkelaars kunnen zelf expliciete opdrachten krijgen om specifieke problemen te negeren omdat die bij een andere ontwikkelaar of partij behoren.
- Ontwikkelaars missen de tools om de volledige status van een systeem te controleren, laat staan het aan te kunnen passen buiten de API om.
Hackers daarentegen
- Hackers besteden veel tijd en aandacht in het onderzoeken van uitzonderingen in standaarden.
- Hackers willen de onderliggende implementatie van de APIs begrijpen en uitzoeken.
- Hackers twijfelen aan de logica van de implementatie.
- Hackers verkennen de gevolgen van het afwijken van de standaard handleidingen.
- Hackers beschikken over tools om de volledige status van het systeem te onderzoeken en aan te passen, waardoor ze de standaard API omzeilen. Als zo'n tool niet bestaat, dan krijgt dit de hoogste prioriteit.
- Hackers interesseren zich in de interne werking en mechanismes van verschillende programmeertalen, dat is kenmerkend voor de aanpak van de hacker.
Als verantwoordelijke voor beveiliging moet je ervoor zorgen
dat je alle gaten hebt gedicht, wat uiteraard heel moeilijk
is. Als hacker heb je genoeg aan één gat om binnen te komen.
Fundamenteel oneerlijk dus. ;-)
en dat zal nog lang (altijd) zo blijven, mede dankzij 'de gesloten' Windows
source code.
Dit is dan ook een ideaal omgeving om te werken.
ze zijn ook niet gebonden aan regels. En regeltjes zijn
meestal barrieres.
deze barrieres dienen soms ook als persoonlijke bescherming.
Kat, muis....
en dat zal nog lang (altijd) zo blijven, mede dankzij 'de
gesloten' Windows
source code.
overal: de ketting is zo sterk als de zwakste schakel. Er
hoeft maar één developer een keer zijn maandagochtend
niet gehad te hebben (en een gaatje achter te laten), en je
hele applicatie is zo lek als een zeef.
Maar aan de andere kant: als je een ontwikkelproces
aanpast en net zoveel moeite en tijd steekt in het goed
doorgronden van je eigen applicatie, sta je minstends net
zo sterk als een inbreker. Sterker nog: waarom ga je niet
precies net zo te werk als een cracker.
In menig Open Source community werken veel hackers (EN
DAT IS IETS ANDERS DAN CRACKERS) die creatief, grondig,
afwijkend, of gewoon slim te werk gaan. Je moet dus
gewoon zorgen dat je bedrijfsproces en je team anders
werkt. Dan sta je weer op gelijke voet.
Daarnaast wil het er blijkbaar ook niet in dat het schrijven van software moeilijk is en dat je beter drie experts op de klus kan hebben dan tien prutsers.
Men wil zo snel mogelijk zo veel mogelijk geld verdienen. Privacy en security zijn daar ondergeschikt aan. Iemand met een bedrijfskundige opleiding begrijpt dat. Een ras IT-techneut niet.
zwart zal zich er niets van aan trekken.
men zal alleen op weerstand stoten als het verboten is om te
onderzoeken om als men gehackt wordt.
de wetgeving in duitsland is bezopen, daar zullen ze echt
niet naar de politie lopen om te janken dat men gehackt is
gaat worden.
die hebbe net als hier andere prioriteiten. (flitsen etc)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
