Programování a bezpečnost IT je exaktní obor, nikoliv krasobruslení

ICT bezpečnost se již mnoho měsíců, spíš let točí v kruhu. V začarovaném kruhu. Jasně objevují se nové bezpečnostní programy. Odborníci vytváří nové normy a postupy, ty ale neřeší skutečné příčiny a základ problémů ICT bezpečnosti. Situace se stále zhoršuje a rozšiřuje se i oblast zařízení, která mohou být cílem počítačových útoků. Už dávno to nejsou pouze PC. Dalším cílem jsou chytré telefony, SCADA / PLC systémy, IoT (Internet of Things).

Do bezpečnosti Internetu a jednotlivých zařízení se investuje mnoho úsilí a peněz. O jejich smysluplném využití se dá, ale dlouze polemizovat, neboť se objevují útoky, které mají stále stejný základ. Objevují nová pojmenování typů škodlivých programů a útoků na ICT, ale velmi často se ve skutečnosti jedná o již v minulosti objevený počítačový virus nebo hackerský útok v mírně upravené (modernizované) podobě. O skutečných řešeních takového problému se nemluví.

Můj učitel matematiky mi říkal, „Když si nevíš rady, tak se vrať na začátek“. Měl pravdu. Mnohokrát jsem viděl, že při řešení problémů, jeho řešitelé vytvořili, tak komplikované konstrukce a postupy, že se následně zabývali pouze těmito postupy a již neřešili jádro problému. To je i případ ICT bezpečnosti.

Tvorba SW je exaktní obor. Celý obor tvorby operačních systémů a dalších programů je exaktní obor. V oblasti návrhu, tvorby a testování software je možné (a musí být možné) jasně popsat procedury a funkce. Exaktně je možné vždy popsat i povolené reakce. V prostředí založeném na jasném popsání úloh je možné zavést i jasnou kontrolu.

Současné počítačové viry jsou založeny na tom, že jejich tvůrci znají způsob jak se virus může připojit k již existujícímu souboru. Následně při spouštění infikovaného souboru je skrytě spouštěn i virus. Druhou možností je, že tvůrci virů najdou způsob jak jedenkrát v napadeném počítači spustit počítačový virus tím, že znají nějakou zero-day slabinu v programu nebo zneužijí důvěřivosti uživatele. Slabiny v počítačových programech byly, jsou a budou tvůrci se snaží jejich počet minimalizovat, ale s existencí zero-day slabin musí ICT odborníci počítat. Stejně tak musí počítat s nezkušeností a možná i naivitou běžných uživatelů.

Když zabráníme počítačovým virům, aby se připojovaly k legálním souborům nebo jinak upravovaly tyto soubory, tak zmizí velká část počítačových virů. Když navíc zabráníme tomu, aby se v systému spouštěly neznámé soubory, tak se odstraní další prostor pro existenci počítačových virů a pro činnost počítačových podvodníků.

Je to velmi jednoduché řešení. Ano v zásadě je to jednoduchý princip, který bude vyžadovat mnoho úsilí a poctivé práce než bude uveden do života. Na takovém řešení vydělají všichni. Běžní uživatelé nebudou žít ve strachu z počítačových virů, administrátorům systémů ubude starostí s podivným chováním uživatelských zařízení i serverů a vydělají i firmy, které se věnují ICT bezpečnosti, ty se budou moci věnovat skutečné bezpečnosti a vyhodnocování kdo, co a kdy prováděl.

Nový základ ICT bezpečnosti je jednoduchý. Stačí zajistit kontrolu toho, že soubor v počítači uživatele má stejné parametry jako ten samý samý soubor, když jej vydal jeho tvůrce. Jedná se o jednoduché a skutečně funkční řešení, které bude ale znamenat obrovskou změnu v ICT bezpečnosti a bezpečnosti uživatelských zařízení (PC, mobil, IoT, atd.).

Ve všech exaktních oborech kde je možné přesně popsat funkce a algoritmy je také možné přesně a jasně nastavit kontrolní pravidla. Máte chuť a zájem taková pravidla prosadit i v oblasti software nebo se za měsíc budeme bavit o dalším, novém sofistikovaném virovém útoku?

-----

Základ řešení bezpečnosti ICT (počítače, mobily, SCADA/PLC, IoT, atd) není v komerčních produktech, ale v nové bezpečnostní službě v síti Internet.  Komerční produkty na takovou službu mohou navazovat.

Jeden z návrhů najdete na adrese http://scs.salamandr.cz