De Amerikaanse inlichtingendienst NSA had een abonnement bij het Franse bedrijf VUPEN op exploits voor beveiligingslekken die al door leveranciers gepatcht zijn. Dat blijkt uit documenten die op de website MuckRock zijn verschenen.

MuckRock helpt bij het indienen van Freedom of Information Act (FOIA) verzoeken, vergelijkbaar met de Nederlandse Wet openbaarheid van bestuur (Wob). Iemand had een verzoek ingediend of de NSA de afgelopen 10 jaar de diensten van VUPEN had afgenomen.

Geen zero-days

Uit de vrijgegeven documenten blijkt dat er op 14 september 2012 een abonnement van 12 maanden op de "binary analysis and exploits service" is afgesloten. Via de informatie van VUPEN is het mogelijk om toegang tot systemen te krijgen, hoewel de gegevens ook gebruikt kunnen worden om de eigen systemen te beschermen.

Het gaat hier echter niet om exploits voor zogeheten zero-days, beveiligingslekken waarvoor nog geen update beschikbaar is. De Binary Analysis & Exploits service evalueert de risico's en beschermt tegen de gevaarlijkste 1-day kwetsbaarheden, aldus een beschrijving op de website van VUPEN.

"De afgelopen jaren is er een toename waargenomen van aanvallen die bekende (1-day) lekken in veelgebruikte programma's zoals Adobe Flash of Microsoft Internet Explorer gebruiken. Dit is op het moment de voornaamste infectievector om computers te compromitteren die toegang tot het internet hebben", aldus de omschrijving van de dienst. Die zou elke maand 15 tot 20 binaire analyses van privé 1-day exploits voor gepatchte beveiligingslekken bieden.

Democratie

Eerder liet VUPEN nog weten dat het alleen aan democratieën verkoopt. "Vanzelfsprekend respecteren we internationale regelgeving en we verkopen alleen aan betrouwbare landen en betrouwbare democratieën", aldus Chaouki Bekrar, medeoprichter van het Franse beveiligingsbedrijf. "We verkopen niet aan repressieve regimes." De Franse bugjager heeft inmiddels ook op de documenten gereageerd. "Wat een ironie, FOIA is een backdoor :->", aldus Bekrar via Twitter, die de tweet inmiddels weer verwijderd heeft.