Tylko dlatego, że go nie użyją, nie oznacza, że ​​ktoś inny go nie znajdzie i nie użyje.

Backdoor to wbudowana luka w zabezpieczeniach, z której może korzystać każdy. Powinieneś wyjaśnić, że zrobienie czegoś takiego jest bardzo ryzykowne dla Twojej firmy. Co się stanie, gdy jakiś złośliwy napastnik znajdzie ten backdoor i użyje go? Będzie to kosztować Twoją firmę dużo czasu i pieniędzy na naprawę. A co powie Twoja firma, gdy ludzie będą pytać, dlaczego oprogramowanie zawierało ten backdoor? Reputacja firmy może zostać zniszczona na zawsze.

Ryzyko z pewnością nie jest warte umieszczania go w kodzie.

Jeśli poinformowałeś decydentów i zdecydowali się nic w tej sprawie nie robić, to z definicji Twoja firma świadomie dostarcza produkt z poważną luką w zabezpieczeniach. (I zakładam, że ukrywa to przed swoimi klientami). To bardzo poważna sprawa. Co najgorszego może zrobić złośliwa osoba z dostępem do tego backdoora? Gdyby było wystarczająco źle, poszedłbym w tej sprawie do FBI. (Lub kogokolwiek, kto ma jurysdykcję nad bezpieczeństwem komputerów, jeśli nie jesteś w USA).

Jeśli Twoja firma wie o problemie i nie dba o to, ujawnienie go jest jedynym etycznym sposobem postępowania. A jeśli spróbują podjąć działania odwetowe przeciwko tobie, możesz mieć dostępne środki prawne, w zależności od okoliczności i przepisów, w których mieszkasz. (Porozmawiaj o tym z prawnikiem, jeśli uważasz, że może to dotyczyć Twojej sprawy).

Proszę wybaczyć mój cynizm, ale nie jest to pierwszy i nie ostatni backdoor, jaki widzimy w naszych legalnych, mało zarabiających aplikacjach i urządzeniach. Aby odświeżyć naszą pamięć, możemy zacząć od najnowszego, nowego Big Brother Kindle firmy Amazon [1] [2].

Ale mamy całą gamę oprogramowania i usług objętych wsteczną administracją, takich jak PGP Disk Encryption [3] [4], ProFTPD [5] czy Hushmail [6], żeby wymienić tylko kilka.

I nie zapominaj o systemach operacyjnych: M $ jest zawsze na czele ze swoim NSA_KEY [7] [8], ale także OpenBSD [9] i jądro Linuksa [10] nie mogą być uważane za w 100% bezpieczne. Zapłaciliśmy również za próby uzyskania dostępu do Skype'a przez tylne drzwi, przeprowadzone przez NSA [11], który jednak został oceniony jako „bezpieczny architektonicznie” [12].

Przechodząc do oprogramowania układowego, w dzisiejszych czasach jesteśmy prawie zaaklimatyzowani, mając ludzi od naszego dostawcy usług internetowych, którzy mogą obserwować wnętrze naszych routerów (tak, może nawet zobaczyć nasze ukochane hasło WPA), ale te [13] [14] [15] z pewnością można również uznać za backdoory!

Na koniec kilka uwag na temat sprzętu i BIOS-ów [16] i (to jest zabawne i nieco dramatyczne) umowy EULA [17] [18], ponieważ również prawnicy mają swoje tylne drzwi.

Ok, biorąc pod uwagę tę preambułę, spróbuję krótko odpowiedzieć na pytanie. Nie, nie masz racji, że się wściekasz, ale powinieneś skupić swój gniew na właściwej motywacji. Powinieneś być zły, ponieważ straciłeś zaufanie do firmy, dla której pracujesz, a nie z powodu samego backdoora (zostaw ten gniew klientom).

A gdybym był tobą, ja ' Po prostu będę bardzo ostrożny. Po pierwsze, naprawdę upewnię się, że to, co zobaczyłem, było tylnym wejściem, mam na myśli prawnie mówiąc. Po drugie, spróbuję w jakikolwiek sposób przekonać firmę do usunięcia backdoora.

Prawdopodobnie podpisałeś umowę NDA [19] ze swoją firmą, więc Twoje pytanie może już naruszać zasady. Nie wiem jednak, gdzie kończy się umowa o zachowaniu poufności, a zaczyna prawo stanowe (może to być nawet oszustwo klienta) i prawdopodobnie ze względu na techniczny aspekt sprawy mógłby ci w tej sprawie pomóc tylko wysoce wyspecjalizowany prawnik. Tak więc, jeśli chcesz kontynuować, zanim zrobisz cokolwiek innego, nawet rozmawiając z władzami, powinieneś zatrudnić bardzo wykwalifikowanego prawnika i być przygotowanym na utratę dużo czasu i pieniędzy, a nawet pracy.

Jeśli nie postrzegają tego jako poważną sprawę, nie zadajesz im właściwego pytania. Pytanie o motywowanie do działania nie brzmi „czy to prawda?” ale "co się z nami stanie, gdy ktoś to znajdzie i opublikuje?" Niezależnie od tego, czy jesteś dużą, czy małą firmą, patrzysz na poważne szkody dla swojej reputacji i wszystkie złe rzeczy, które się z tym wiążą, jeśli ktoś spoza firmy odkryje to, zanim to naprawisz.

Naprawianie ta kwestia jest nie tylko etyczna, jest niezbędna dla przetrwania Twojej firmy. O wiele lepiej jest teraz po cichu to naprawić niż tydzień po tym, jak wszyscy użytkownicy i klienci Cię opuścili, ponieważ ujawnił to jakiś dziennikarz internetowy.

Powinieneś poważnie rozważyć pójście z tym do jakiegoś organu rządowego lub regulacyjnego, aby się zabezpieczyć.

Wyobraź sobie taki scenariusz:

1. Informujesz kierownictwo o backdoorie. Teraz wiedzą, że wiesz.
2. Zły hacker ZmEu dowiaduje się o backdorze i umieszcza coś na pastebinie.
3. Twoje kierownictwo dowiaduje się o pastebinie złego hakera ZmEu.
4. Twoje kierownictwo obwinia cię i wyrzuca z powodu twoich zapewnień o niewinności.

Większość luk w zabezpieczeniach jest odkrywana wielokrotnie. Nie będziesz jedynym, który go znajdzie, po prostu będziesz najbardziej oczywistym, z którego zrobisz kozła ofiarnego.

W porządku, ludzie nadal będą kupować iPhone'y produkowane przez Twoją firmę - Twój sekret jest bezpieczny. ;)

Gdyby to było moje miejsce pracy, w którym jestem zatrudniony jako analityk ds. bezpieczeństwa, zaakceptowałbym, że moja praca polega na identyfikowaniu i komunikowaniu ryzyka; akceptacja ryzyka zależy od firmy. Nie mogę osobiście zaakceptować ryzyka, więc jedyną realną opcją jest upewnienie się, że poziom ryzyka został przedstawiony na odpowiednim forum najlepiej, jak potrafię. Tak więc, jeśli jesteś zatrudniony na poziomie, na którym możesz zaakceptować ryzyko, decyzja, czy to jest w porządku, zależy od Ciebie. Jednak na podstawie postu nie jesteś na poziomie, na którym możesz zaakceptować ryzyko w imieniu firmy. Więc prawdopodobnie wszystko, co możesz zrobić, to zakomunikować ryzyko w sposób zrozumiały dla obszaru biznesowego, a następnie pozwolić temu obszarowi podjąć odpowiednią decyzję biznesową, wykorzystując wszystkie dostępne mu informacje.

mieć kontrolę to zaakceptowanie ryzyka związanego z pracą dla firmy, która podejmuje decyzje, które Twoim zdaniem są złe. Dostępne sposoby ograniczenia tego ryzyka są udokumentowane na stronie Monster.com i znajomych. :)

Przed obszarem smartfonów standardową funkcją wszystkich telefonów komórkowych było posiadanie tylnych drzwi. Protokół GSM umożliwił stacji bazowej aktualizację oprogramowania telefonu. http://events.ccc.de/congress/2009/Fahrplan/events/3654.en.html to dobra rozmowa o tym, jak szalone system bezpieczeństwa był.

O ile wiem, żadna z firm zaangażowanych w tworzenie GSM nie wpadła w żadne kłopoty prawne związane z tą sprawą. Agencjom rządowym takim jak NSA podobał się fakt, że mają backdoory. W tej chwili w rządzie są ludzie, którzy chcą upoważnić backdoory dla każdej platformy komunikacyjnej.

Myślę, że istnieje duża szansa, że ​​backdoor istnieje, ponieważ jakiś inny podmiot, taki jak NSA, chce, aby tam był. Jeśli ludzie na wyższych stanowiskach w Twojej firmie zawarli umowę z NSA, prawdopodobnie nie powiedzą Ci, kiedy przyjdziesz, aby narzekać na backdoora.

Z tego, co wiesz, może to być Mossad, który płaci Twojej firmie. aby zachować backdoora w oprogramowaniu.

Czysty backdoor w nowoczesnym smartfonie jest prawdopodobnie wart 6 cyfr lub więcej na czarnym rynku. Pracownik mógł go sprzedać lub mógł otrzymać specjalne wynagrodzenie za umieszczenie go tam.

Z drugiej strony, jeśli backdoor naprawdę istnieje, ponieważ osoby z wyższych stanowisk w Twojej firmie są ignorantami, niż możesz im to wyjaśnić, jest to poważny problem.

Masz obowiązek zawodowy i etyczny, aby się tym zająć, IMO. Wkroczyłeś na pole minowe. Chroń się. Proszę uważać. Idź powoli. Pomyśl kompleksowo o obronie. Udało mi się pozyskać demaskatora, który był w stanie zachować anonimowość. Nagabywanie obejmowało porady dotyczące zachowania anonimowości; Spójrz.

Whistleblower.org ma dla Ciebie dobre informacje, mimo że jest to rządowe .

Dodatek : Czy przejrzałeś dzienniki kontroli wersji kodu źródłowego, aby zobaczyć, kto umieścił backdoora?

Potraktuj to jako odkrytą lukę w zabezpieczeniach i zgłoś ją na przykład do CVE. Anonimowo, jeśli chcesz.

Twoja reakcja jest rozsądna, a na poziomie instynktu intuicyjnego oznacza, że ​​zależy Ci na co najmniej jednym z następujących elementów: prywatność klientów, publiczny wizerunek firmy, jakość kodu, Twoja własna skóra.

W w moim miejscu pracy, byłbym na tyle starszy, by wiedzieć, że jest to błąd w zabezpieczeniach (a nie z intencji firmy lub mandatu rządu) - i usunąć go. Wygląda na to, że to nie ma zastosowania w twoim przypadku.

Jeśli możesz prześledzić „nie będziemy go używać” do „, umieścimy to tam na własny użytek, ale nie potrzebujemy to "prawdopodobnie możesz opisać komuś wystarczająco wysoko w organizacji zagrożenia, jakie stwarza dla firmy, gdy pojawia się w bugtraq / zostaje wykorzystany do nikczemnych celów przez jakąś osobę trzecią, co może się zdarzyć, jeśli twój smartfon jest popularny, powszechny i wystarczająco wartościowy (jako cel - co może oznaczać „używany przez dostatecznie ważne osoby”), aby zaatakować.

Jeśli możesz prześledzić to jako „jest tam na podstawie mandatu rządu” lub w podobny sposób, możesz nalegać na wewnętrznej dokumentacji w tym celu, abyś przynajmniej mógł ją zostawić i wiedzieć, że zrobiłeś wszystko, co w Twojej mocy, aby chronić swoją firmę i uratować innych swoich wykwalifikowanych współpracowników przed dylematem, w którym się znajdujesz, praktyki utrzymania kodu. (I zastanów się, jakie masz możliwości pracy w branży, tworząc narzędzia, które służą i poświęcają ich właścicielom, jeśli jest to głęboko demotywujące).

Masz znaną lukę w zabezpieczeniach, a Twoja firma jest tylko jedną z nieskończonej liczby stron, które mogą ją wykorzystać. Jakiekolwiek wykorzystanie tej dziury przez jakąkolwiek stronę może w uzasadniony sposób skutkować obciążeniem w skali Sony po fiasku zestawu głównego. Ich koszt zarówno w dolarach, jak i reputacja poszybowały w górę do setek milionów dolarów w bezpośrednio analogicznej sytuacji.

Przedstawić argumentację, rysując bezpośrednie podobieństwa do Sony, biorąc pod uwagę liczbę użytkowników w stosunku do Sony jako miernika aby obliczyć potencjalną odpowiedzialność w przypadku wykorzystania tej dziury.

Możesz się tym martwić, nie martw się, Twoja reakcja jest normalna ^^

Zrobiłbym jedną z dwóch rzeczy:

• Zaktualizowałbym umowa użytkownika wyjaśniająca, że ​​taka możliwość istnieje, dlatego proszę o zgodę użytkownika (jeśli osoby odpowiedzialne za naprawdę nie chcą usuwać backdoora)
• całkowicie usunąłbym backdoora (lepsza opcja moim zdaniem )

Ponadto, jeśli prawdą jest, że ten backdoor nigdy nie jest używany, po co go tam zostawiać?

Poważnie odradzałbym natychmiastowe informowanie o nieprawidłowościach. Nie tylko dlatego, że jest duża szansa, że ​​tak się stanie, ponieważ ktoś z CIA / FBI odbył małą rozmowę z szefem firmy, który nakazał to za pośrednictwem zaufanych kanałów zarządzania, i dlatego tak się dzieje, mimo że wszyscy powinni uznać, że to gówno pretekst.

Słusznie uznajesz to za gównianą wymówkę. Problem w tym, że inni też powinni. Gdzieś z mocą musiał zdecydować, że tak się stanie. Konstrukcja, że ​​jest „OK, ponieważ nie będziemy go używać”, jest następnie utrwalana.

Oznacza to, że jeśli zgłosisz gwizdek (i zostaniesz zwolniony) i wytoczysz pozew, nie tylko a) może ci być bardzo trudno znaleźć inną pracę, b) Twój pozew może nigdzie nie trafić, ponieważ może się zmienić (hej, nie jestem prawnikiem, ale jest to prawdopodobne), że nie zostanie to uznane przez firmę za „niewłaściwe postępowanie”. Gdybym był rządem federalnym, dołożyłbym wszelkich starań, aby chronić ludzi dokonujących moich brudnych czynów.

Z drugiej strony, jeśli masz fundusz powierniczy i chcesz katapultować się do 15-minutowej sławy, mogą o tym mówić. Po prostu wytycz alternatywną ścieżkę w „Alternatywnym przetwarzaniu” lub Ruchu Wolnego Oprogramowania. Nie ma prywatnego odrzutowca na tej trasie.

Radzę uzyskać przyzwoitą ilość szczegółów na ten temat, znaleźć nowe zatrudnienie, a następnie anonimowo skontaktować się z profilem bezpieczeństwa i powiedzieć, że chcesz ujawnić to publicznie / ujawnić za ich pośrednictwem. Pierwsza osoba, z którą się skontaktujesz, prawdopodobnie się zgodzi. Firma może próbować cię ścigać, ale NIE POWINNA mieć żadnego konkretnego dowodu w żadnych dziennikach ani nakazach przeszukania i nie jest to „oficjalne” w tym sensie, że nowi pracodawcy byliby zmuszeni to uznać.

OP: Wiesz, co się stało w przypadku ZTE? Przejdź do pastebin, przygotuj pełne i kompleksowe porady dotyczące bezpieczeństwa. Nie trzeba dodawać, że zatrzeć ślady. To znaczy, jeśli nie byłeś pewien, że zadałeś tutaj pytanie, możesz skorzystać z porady dla nas wszystkich.

Jak wspomniano w innym miejscu, tym, co mogłoby mnie przerazić, byłoby użycie funkcji przechwytywania, nawet bez złego zamiaru jego oryginalnych programistów / instalatorów. Od razu przychodzi na myśl tak zwana „sprawa ateńska”, która podkreśla tę troskę. Aby uzyskać technicznie pouczającą i jednocześnie ekscytującą lekturę, możesz sprawdzić:

Afera ateńska : jak niektórzy niezwykle sprytni hakerzy dokonali najbardziej zuchwałej przerwy w sieci komórkowej -nigdy

Prawdopodobnie jest tam, aby umożliwić agencjom rządowym dostęp do twojego telefonu komórkowego i podsłuchiwanie wszystkiego, co robisz w danym momencie. Jest to wymagane przez prawo.

Zobacz:

• Zdalnie aktywowane mikrofony do telefonów komórkowych (Wikipedia)

• Zdalne podsłuchiwanie z mikrofonów telefonów komórkowych (opublikowano 05.12.2006)

Zostało to zgłoszone na początku tego tygodnia w chińskim smartfonie ZTE Ships z Backdoor do MetroPCS , ale w końcu niektórzy to dostrzegają. Wydawało się, że wielu go nie zauważyło ...

To naprawdę zależy od charakteru tylnych drzwi. Czy to jest gorsze niż IQ Carrier?

Wiem, że operator komórkowy może przechwycić wszystkie moje transmisje głosu i danych i przekazać je rządowi. W rzeczywistości NSA może to wszystko przechwycić. Oczekuję również, że operator i producent telefonu, mając fizyczny dostęp do telefonu, będą w stanie w całości odczytać wszystkie zawarte w nim dane bez mojej zgody. Więc jeśli tylne drzwi są ograniczone do tego typu rzeczy i osobiście nie możesz użyć tylnych drzwi, aby dostać się do czyjegoś telefonu z powodu innych ograniczeń bezpieczeństwa, nie straciłbym z tego powodu zbytniej formy. Prześlij swoje obawy przełożonemu w e-mailu i zapisz jego kopię na papierze w domu.

Teraz, jeśli jest to rodzaj tylnych drzwi, których haker może użyć do kradzieży haseł zapisanych na smartfonie bez bycia wykryty, to czas, aby przejść do pełnego informatora, jeśli nie możesz go zmusić do zablokowania tego. Dostęp do telefonu klienta powinien wymagać specjalnych uprawnień bezpieczeństwa w firmie połączonych z pełnym logowaniem, aby osoby, które nadużywały swoich uprawnień bezpieczeństwa, mogły zostać zidentyfikowane i odebrane (przynajmniej).

Jeśli jest gdzieś pomiędzy, no cóż, może przeciekać to badaczowi bezpieczeństwa…

Cóż, to, czego naprawdę powinieneś szukać, to ich motywy wprowadzenia backdoora. Jak powiedział najwyższy wyborca, tylko dlatego, że go nie użyjesz, nie oznacza, że ​​nie zostanie znaleziony. Gdybym to był ja, dowiedziałbym się, jaki jest motyw tego backdoora, anonimowo ostrzegając dużą publikację techniczną o tym backdoorie. Z drugiej strony zależy to od tego, czy czujesz się odpowiedzialny wobec ogółu społeczeństwa, czy też uważasz, że do firmy należy oczyszczenie własnego czynu i pozwolenie komuś innemu pociągnąć go do odpowiedzialności za swoje występki.

Oczywiście tylne drzwi nie pojawiły się tam bez poważnego przemyślenia. Narodowe agencje bezpieczeństwa są w to zaangażowane i zapłaciły za to, miejmy nadzieję, że nikt tego nie zauważy. Inżynierowie komórkowi zaprojektowali możliwość włączania mikrofonu komórkowego bez wiedzy właściciela (wyłączając lampki kontrolne). Spodziewam się, że lokalizacje GPS mogą być nadawane nawet wtedy, gdy właściciel ma wyłączoną funkcję GPS, a zdjęcia mogą być robione i transmitowane bez wiedzy właściciela.

Hmm, zamieszczając to tutaj po ostrzeżeniu ich, powiedziałbym, że powinieneś pomyśleć o tym, aby faktycznie wejść na giełdę, ponieważ w pewnym sensie już to zrobiłeś.

Backdoory są dość powszechne w nowych technologiach, ponieważ zwykle wymagają przepisów chwilę, żeby nadrobić zaległości. Ponadto społeczności deweloperskie nie są w pełni zjednoczone. Na przykład Internet był notorycznie niebezpieczny, dopóki dostawcy usług internetowych nie musieli zapewnić bezpośredniego dostępu do organów rządowych za pośrednictwem przepisów, licencji i giełd. Dopiero wtedy bezpieczeństwo stało się ważne, ponieważ „właściwi” ludzie zapewnili sobie dostęp do wszystkich potrzebnych im osób.

Gdyby to było moje miejsce pracy, STFU... Ale może to być trochę za późno.

JEŚLI podpisałeś „umowę o zachowaniu poufności” dotyczącą rodzaju pracy i produktów, z którymi masz do czynienia w swojej firmie, nie powinieneś nawet zadawać tego pytania ani publikować go tutaj. Jeśli nie, możesz opublikować nazwę swojej firmy i oprogramowanie zainstalowane w telefonach, aby ostrzec wszystkich.