Vlákno názorů k článku
Google varuje, že 70 % zneužitých chyb odhalených v roce 2023 byly zero-days od rapanui5 - Zajímalo by mě kolik z těchto "chyb" jsou...

Zajímalo by mě kolik z těchto "chyb" jsou ve skutečnosti jen zadní vratka odhalená nezasvěcenou osobou.

když už je zneužívaná 0D zranitelnost ve statistikách, je chyba popsané, můžeš se sám nádohně podívat a přemýšlet, jestli to byl záměr nebo nikoliv.

Chyby, které vídám mi nepřipadají, že jsou záměrné. Z těch pár odhalených záměrných chyb bych řekl, že je levnější najít chybu od vývojářů než naopak se nažit SW kompromitovat.

Dnes už neplatí, že stačí jediná chyba k průniku, málokdy, ale zpravidla to je kombinace více zranitelností najednou. Pokud se útočníkovi povede získat nad vývojem něčeho kontrolu, budou se chyby opakovat pravidelně, budou v kódech jednoho vývojáře, budou mít něco společného, to nevidím.

Jeden útočník může hledat chybu najednou v desítkách různých SW, sice mu to trvá měsíce, ale asi vždy něco najde. Naopak pokud se chceš někam infiltrovat, toho času tomu věnuješ opravdu hodně a to je pouze jeden projekt.

>Chyby, které vídám mi nepřipadají, že jsou záměrné. Z těch pár odhalených záměrných chyb bych řekl, že je levnější najít chybu od vývojářů než naopak se nažit SW kompromitovat.

Na druhu stranu mi prislo, ze afera s xz ukazala, ako je lahke a lacne vlozit zadne vratka aj do otvoreneho kodu.

s tím xs, trvalo to jednotky let, ten vývojář musel dělat nemalou aktivitu, aby získal kredit a byla spíše náhoda, že se mu podařilo tam něco dostat. To mi nepřipadá levný proces a určitě nebude tak extrémně rozšířený, to by těch odhalení bylo daleko víc.

Otázka je, kolik takových "vývojářů" je - podle mě to jsou stovky infiltrátorů, o kterých ještě vůbec nevíme.