Riscul se mentine
Dupa daunele de care au avut parte clientii Namebox atat in ceea ce priveste downtimeul cat si pierderea sau coruperea datelor am vazut o sumedenie de abordari gresite in ceea ce priveste providerul care tocmai si-a dezamagit toti clientii.
Astfel erau persoane care spuneau ca n-o sa plece de la Namebox, sau ca reclama asta negativa o sa fie de fapt pozitiva fiindca cei care s-au fript odata nu vor mai repeta gresala. E drept, poate nu mai repeta fix aceeasi gresala, insa exista riscul sa faca altele mai mult sau mai putin grave.
Orice hacker stie ca acolo unde a gasit o bresa de securitate exista posibilitatea sa fie mai multe, mult mai multe si mai stie ca foarte putini fac un audit extensiv de securitate pentru a identifica si alte potentiale vulnerabilitati. Majoritatea se multumesc sa securizeze doar vulnerabilitatea care a fost exploatata si cam atat.
Sa luam Yahoo! de exemplu care a fost tinta a trei atacuri majore despre care managerii au recunoscut ca STIAU, dar pe care nu le-au dezvaluit si nu le-au recunoscut pana n-au fost facute publice cu dovezi concrete. Iar Yahoo! a fost de-a lungul anilor tinta unor atacuri de cookie stuffing despre care foarte putini stiu si care au fost de multe ori patchuite in secret, dar n-au rezolvat niciodata definitiv problema.
Sau exemplul Timthumb care dupa ce a expus sute de mii de siteuri bazate pe WordPress ce foloseau pluginuri si teme cu Timthumb vulnerabil a fost securizat si a continuat sa aiba probleme cauzand daune celor care il foloseau pana cand programatorul s-a decis sa renunta la a mai suporta Timthumb, cel putin gratis.
Si exemplele in acest sens pot sa continue la nesfarsit. Contrar opiniei multora, problema Namebox n-a fost ca n-au avut backupuri, ba dimpotriva aveau backupuri, dar au fost sterse si alea fiindca se utiliza un sistem de control centralizat care odata spart a fost utilizat ca un sistem de tip C&C (Command & Conquer).
Exista de altfel si o serie de speculatii privind intruziunea respectiva care mizeaza pe faptul ca era imposibil un atac exterior (atat timp cat exista comunicare cu exteriorul nimic nu e imposibil) si ca toata treaba e din interior si reprezinta razbunarea vreunui angajat.
E drept ca nu putem exclude posibilitatea asta atat timp cat nu exista date concrete care s-o infirme, dar chiar daca asta e problema atunci nu putem exclude nici posibilitatea ca angajati suparati sa mai apara de-a lungul timpului.
Asa ca riscul se mentine, oricat de mult ar considera unii ca cei care s-au ars cu ciorba or sa sufle si in iaurt. Indolenta si indiferenta se vindeca greu, mai ales in contextul in care cei care se fac vinovati pentru bresa de securitate vor scapa basma curata si nu vor invata nimic din lectia asta.
