Повстречались как-то хакеры с программистами Microsoft…

Корпорация Microsoft не слишком-то широко рекламировала эту встречу. Впрочем, причиной тому была не конспирация, а неопределённость в отношении того, во что всё это мероприятие может вылиться.

Все, наверное, помнят эпизод из фильма "Республика ШКИД", когда студиозусы прочертили на полу белую черту и не пускали за неё преподавателей. Кончилось всё, однако, тем, что любопытство вынудило учеников самих пересечь белую черту и сползтись к пианино, на котором Викниксор резво отыгрывал Gaudeamus Igitur...

На сей раз случилось нечто похожее (с подобным же исходом), но только между программистами Microsoft и, условно говоря, хакерами. Дело было в марте, на закрытой конференции под кодовым названием Blue Hat ("Синяя шляпа" - название по аналогии с хакерскими сборищами Black Hat, но только под корпоративным знаменем Microsoft, известнейший продукт которой "умирает", как известно, весь в синем).

На днях в CNET News опубликовали обширную статью на эту тему.

"В зале стояла мёртвая тишина, все даже затаили дыхание", - рассказывает один из участников конференции, менеджер из подразделения компьютерной безопасности Microsoft Стивен Тулуз. Причиной гробового безмолвия послужил демонстрационный (и демонстративный) взлом: ноутбук с ОС Windows заманили в "коварную" беспроводную сеть, а дальше с ним уже можно было поступать, как с жадиной из известной песенки: "Ему покажешь медный грош, и делай с ним что хошь! Рам-дам-дабу-дуба-а... Рам-дам-дабу-дуба-а..."

Теперь участники конференции признаются, дескать, никто не знал, во что всё это выльется, хорошо, если до драки не дойдет. Обошлось. Более того, проявилось даже некое подобие взаимопонимания, как отметил впоследствии Дэн Камински, эксперт по вопросам безопасности, работающий в компании Avaya.

Впрочем, хакеры, демонстрировавшее своё умение эксплуатировать уязвимости в ПО Microsoft, всё-таки доставили несколько поистине неприятных минут своим оппонентам. Мэтт Томлинсон, консультирующий разработчиков ПО в Microsoft по вопросам безопасности, не без удовлетворения наблюдал, как его подопечные, которым он регулярно читает лекции о безопасном программировании, заливались краской, глядя, как хакеры разделывают их разработки под орех. Радость его проистекала не из факта взлома, а из того, что разработчики (наконец-то!) принимали происходившее близко к сердцу.

Эта "пытка" продолжалась два дня. Программисты Microsoft узнали немало нового о своих разработках, и о том, как присутствующие в них в изобилии дыры можно с изрядным успехом использовать. CNET News сравнивает это с импровизированными курсами молодого бойца, и, пожалуй, точнее определения и не найти. Особенно, если говорить о втором дне, когда на конференцию собрались, в основном, рядовые сотрудники корпорации.

А вот в самый первый день в конференц-залах нарисовались несколько топ-менеджеров, включая Джима Олчина, вице-президента группы "Платформы", и Брайана Валентайна, старшего вице-президента подразделения "Продукты Windows".

Олчин, чьё имя многие напрямую ассоциируют с Windows, по сути дела, был одним из непосредственных инициаторов этой конференции: ему хотелось, чтобы его подразделение - да и не только оно - не просто услышало (в стотысячный раз), но и узрело собственными глазами: да, случаются. И взломы случаются, и эксплойты, и взрослые суровые люди, которые эти эксплойты находят, и используют, можно сказать, по назначению.

"Я уже немало дней потратил, изучая, как пользоваться их [хакерскими] средствами. Теперь мне лично захотелось нырнуть поглубже и постараться понять, как всё выглядит с их точки зрения", - заметил Олчин.

Впрочем, едва ли следовало ожидать, что Microsoft организовывала конференцию "без задней мысли": встреча подобного рода была прекрасным поводом "задружить" с влиятельной прослойкой специалистов по сетевой безопасности и договориться с ними об "аккуратно-осмотрительной" манере оповещения разработчиков о свежеобнаруженных дырах. Microsoft, разумеется, заинтересована в "ответственном оповещении", а не в открытых публикациях.

Впрочем, проблема часто состоит в том, что коммерческие разработчики не слишком торопятся реагировать на сигналы сторонних специалистов, а когда те, спустя продолжительное или не очень время в открытую публикуют информацию об уязвимости, начинаются скандалы, и поднимается волна праведного гнева.

Один из участников конференции со стороны, противоположной Microsoft, заявил, что ему редко удаётся встретить людей, которые одновременно являются виновниками возникновения проблем и способны самостоятельно исправить такие недочёты. И что теперь он испытывает к ним большее уважение, чем прежде: "По крайней мере, теперь я знаю, что они и впрямь верят в то, что говорят".

Прочие исследователи вопросов безопасности (security researcher - словосочетание, которым в CNET News политкорректно заменяют понятие "хакер") также признают, что разработчики Microsoft в своей области, как правило, компетентны, а техническая осведомлённость руководства компании Microsoft намного выше среднего уровня, если сравнивать их с руководителями других компаний.

Когда один из security researchers, приглашённых на конференцию, Мэтт Коновер, задал слушавшим его руководителям подразделений Microsoft вопрос о том, кто из них знает, что такое heap overflow, из 20 присутствующих 18 подняли руки. По словам Коновера, подобное среди руководителей встречается нечасто. Уважения преисполнились и сотрудники корпорации Microsoft, однако нельзя сказать, чтобы все друг другом были особенно довольны.

Например, программистам Microsoft не понравилось, когда Дэн Камински продемонстрировал собравшимся программный продукт под названием Metasploit - инструмент для проверки компьютерных систем на прочность и взломоупорность. Metasploit включает в себя ряд уже известных эксплойтов и средства для обнаружения и использования новых дыр, а значит, и для проведения атак.

По словам Камински, разработчики, возмутившись до глубины души, вопрошали: "Зачем вы раздаёте направо и налево инструменты для эксплуатации уязвимостей?" Однако они несколько успокоились после разъяснения Камински:

"Мы проводим регрессивное тестирование в реальном мире разработки софта. Если мы говорим: "Эту штуку не поломать", - значит, надо проверить это. Такие инструменты [как Metasploit] дают возможность произвести подобное тестирование, и, в итоге, позволяют не просто говорить: "Мы сделали всё, что могли", но: "Мы попробовали то и это. Не сломалось"...

...Про знаменитую инициативу Билла Гейтса Trustworthy Computing сказано и написано много всего. Некогда Microsoft принято было ругать за низкую степень защищённости её продукции (на чём свет стоит), и все ругали. Однако все же и пользовались, и программы Microsoft ныне - самые распространённые в мире.

В недавнем интервью Линус Торвальдс, создатель Linux, обмолвился, что на IT-рынке реальных изменений ландшафта, при которых Microsoft сменит какой-то другой "сверхлидер", невозможны. Корпорация Microsoft разрослась до своих нынешних размеров, потому что, когда она набирала силу, рынок был незрелым. Скажем больше, когда компания Microsoft разрасталась, многих нынешних проблем в их нынешнем масштабе не существовало. В итоге, распространённость софта, разработанного в этой корпорации, сыграла против неё самой: крупная мишень всего заметнее, и по ней, стало быть, легче стрелять...

Можно до хрипоты спорить, какая операционная система лучше или хуже, приводя в доказательства независимые и не очень исследования (Microsoft в рекламных целях очень любит ссылаться на исследования, которые проводились при спонсорской поддержке корпорации. Спрашивается, что в них может быть написано, кроме "Аллилуйя!"?). Факт, однако, что Microsoft уже давно и всерьёз занимается вопросами безопасности.

CNET News приводит цифры: корпорация тратит 2 миллиарда долларов ежегодно только на security researching - исследования в области безопасности. И это далеко не только вознаграждения за поимку разработчиков очередных Sasser и Slammer.

Ну, а что до встречи программистов с хакерами... Говорят, мероприятие было не последним: "противники" снова хотят встретиться и посмотреть друг на друга сквозь перекрестие прицела. Просто потому, что, как высказался один из менеджеров Microsoft, "они [хакеры] такие же гики, как и мы".