Facebook: lepiej zwalczać napastników niż naprawiać luki w zabezpieczeniach
Szef działu bezpieczeństwa Facebooka Max Kelly niegdyś pracował jako specjalista od kryminalistyki komputerowej w amerykańskiej agencji śledczej FBI. Od 2005 roku zajmuje stanowisko szefa biura bezpieczeństwa (Chief Security Officer, CSO) w Facebooku – największym istniejącym serwisie społecznościowym. Olbrzymia liczba użytkowników jest dla Kelly'ego największym powodem do zmartwień: Facebook dla cyberprzestępców jest tak interesujący, że każdy atak albo sieciowa plaga, jaką można sobie wyobrazić, prędzej czy później trafia na jego biurko.
Według oceny Kelly'ego liczący obecnie prawie 2. osób zespół nigdy nie będzie w stanie załatać wszystkich luk i zapobiec wszystkim atakom. "Zawsze będą jakieś luki, niezależnie od tego, jak bardzo będziemy się starać. A usiłując załatać dziury, tworzymy nowe" – powiedział Kelly podczas odbywającej się obecnie konferencji Black Hat.
W rozmowie z heise Security Kelly zażartował, że "byłbym szczęśliwy, gdyby udało nam się załatać 80. wszystkich luk". W celu tworzenia bezpiecznego kodu ekipy programistów Facebooka bazują na samodzielnie stworzonym frameworku. Zdaniem szefa bezpieczeństwa wyzwania związane z Facebookiem są zbyt nietypowe, aby można było korzystać z gotowych rad i polityki np. Security Development Lifecycle Microsoftu.
W tym serwisie społecznościowym stosuje się dewizę, zgodnie z którą zbieranie informacji o atakach i kryjących się za nimi przestępcach jest ważniejsze niż naprawianie wszystkich luk. Dlatego Facebook na całej stronie utrzymuje swego rodzaju przynęty, honeypots, aby w ten sposób móc wcześnie zwracać uwagę na ataki. Poza tym firma kupowała także listy z nazwami kont Facebooka, które miały być celem ataków spamerskich. Zespół ds. bezpieczeństwa współpracuje również ze specjalistami White Hats, aby wspólnie rozpracowywać szczegóły luk i exploitów.
"Ataki to nie są katastrofy naturalne, za nimi zawsze stoi człowiek" –. powiedział Kelly. Im więcej jego zespół wie o przeciwnikach, tym łatwiej można wsadzać cyberprzestępców za kratki. "Jeśli oprócz tego wiemy, co motywuje napastników do tego, aby nas atakować zamiast grać na Xboksie, możemy im w ten sposób w przyszłości jeszcze bardziej uprzykrzyć życie" – kontynuował. Coraz bardziej udoskonalone środki mają działać frustrująco na napastników, a przy okazji zwiększać nakład ich pracy do tego stopnia, że szachrajstwa stają się nieopłacalne.
Przeciwko spamowi –. a do tego w sieciach społecznościowych zaliczają się nie tylko uciążliwe e-maile reklamowe, ale też niepożądane zaproszenia do znajomych albo zaproszenia do jakichś gier lub ankiet – Facebook działa zasadniczo w sposób w pełni zautomatyzowany. Jeśli jakiś członek sieci wysyła nagle bardzo wiele wiadomości, ich wysyłka jest najpierw opóźniana – wyjaśnia Max Kelly. W następnym kroku system żąda podawania kodów CAPTCHA. Ostatecznie, jeśli i to nie pomaga, automaty blokują konto.
Na podstawie amerykańskiego prawa antyspamowego (CAN-SPAM Act) Facebook od zidentyfikowanych spamerów żąda do 10. dolarów za jeden wysłany e-mail, niezależnie od tego, czy wiadomość dotarła do adresata, czy też została odfiltrowana w skrzynce użytkownika. W procesach sądowych takie kary przeciwko spamerom, takim jak wskazany przez Facebooka i skazany w 2008 roku Adam Guerbuez, szybko się kumulują nawet do wysokości 873 milionów dolarów. I mimo że Guerbuez i jego – w większości nieznani – współoskarżeni nigdy nie będą w stanie zapłacić takich kwot, dla Maksa Kelly'ego takie procesy są niezwykle ważne: "W ten sposób pokazujemy napastnikom, że ich działania mogą mieć opłakane konsekwencje" – mówi CSO.
W podobnie niekonwencjonalny sposób co w przypadku luk w zabezpieczeniach Kelly obchodzi się także z długoterminowym problemem polityki Compliance: "Compliance nie ma nic wspólnego z bezpieczeństwem IT. Jeśli ktoś próbuje jedynie spełniać narzucone wymogi, szybko stanie się ofiarą". Jeśli zaś ktoś pisze bezpieczny kod, a poza tym trzyma się bezpiecznych procesów, to przejdzie wszystkie audyty niejako mimo woli". Zapytany przez heise Security o sprawy ochrony danych i plany Facebooka, aby wymieniać dane o użytkownikach z innymi stronami, szef bezpieczeństwa wypowiada się dyplomatycznie: "Nie zrobimy nic, co odrzuciłaby większość naszych użytkowników".
Mniej tajemniczo Kelly mówi o krytykowanej przez użytkowników złożoności ustawień ochrony danych osobowych w profilach: "Oczywiście na pierwszy rzut oka widać tam mnóstwo możliwości, ale inaczej nie da rady, ponieważ użytkownicy muszą konfigurować swoje ustawienia w jak najbardziej zróżnicowany sposób. Poza tym moim zdaniem wielu użytkowników te opcje odstręczają, ponieważ po raz pierwszy ktoś w ogóle każe im się zająć tym, komu właściwie chcą udostępniać swoje informacje".
wydanie internetowe www.heise-online.pl