开源的代码就真的绝对安全?

今年,汽车圈的那些事占据着媒体头条,比如黑客入侵吉普车、大众汽车在排放测试上作弊,
这说明公众开始思索汽车的软件问题,这是前所未有的。有些专家可能会争辩说,强制这些软件开源,是一个解决办法。虽然将这些软件置于公众的审视之下是有明
显好处的,但开放代码这种行为本身,并不能给你带来保障。就像Sam
Liles在一封电子邮件中给我解释的那样,开源并没有阻止“破壳(ShellShock)”漏洞的发生。

Liles教授以前是普渡大学数字取证领域的教授,在那儿工作时,他和他的学生研究过汽车和其他物联网设备的安全。他说,多重防御澳门新萄京官方网站,的思想已经落伍,我们无法再靠多设几层安全屏障来保护自己。举个例子,我们的手机和其他个人设备,知道我们的一切:我们去过哪里,和谁联系过,甚至何时做爱。这些设备,以及存在其中的所有信息,已经渗透到我们生活和工作的方方面面。一部被入侵的手机,可以挖出各种隐藏的信息,或者把威胁传播给与之相连的其他设备。

Jeep 黑客和大众汽车排放丑闻这样的汽车软件问题成为了今年的头条,表明公众开始重视之前从未考虑过的汽车软件安全问题了。一些专家认为强制要求某些软件开源是解决问题的一个好办法。尽管如此可以让软件被公众监督,但开放代码这个事情本身却不能给你带来保障。就像 Sam
Liles 最近发给我的邮件所说的一样,开源并不能够阻止破壳漏洞ShellShock的出现 。

这些设备的存量本身就是个威胁。“如果发生了安全事件,谁应为此负责?”Liles问。就我们这个问题来说,谁来审查那些代码?在《大教堂和市集》中,Eric
S.
Raymond写道,“只要给予足够的关注,所有的bug都会显形”,他称之为Linus定律,但我们不能指望什么软件都有足够的关注度。像OpenSSL这样成名已久的重要项目都因为缺乏资金而无法预防像“心脏滴血(Heartbleed)”这样的Bug,那运行在你设备中的你都已习以为常的成千上万行代码,又指望谁去审查呢?

Liles 博士曾是普渡大学网络取证专业的教授。在那时,他和他的学生研究汽车以及其他物联网设备的网络安全问题。他说,多层防御已经接近死亡,换言之我们不能再依赖于多弄几层的安全保护了。我们的手机和其他个人设备可能泄露我们正在做的事情,例如:我们去了哪儿,我们正在和谁交流,或其他更加隐私的活动等。这些设备和它们所包含的信息,存在于我们的私人和工作网络中。显然一个被入侵的手机可能被利用,入侵者可以访问其发现的所有信息,甚至把病毒传播给与它相连接的所有电子设备。

2011年,美国国家航空航天局和美国高速公路安全管理局针对丰田汽车意外加速事件进行了调查,结果显示并没有证据表明电子设备的失控能导致大量意外加速,但尽管如此,其他研究人员还是找到了能让汽车产生加速的软件方法。“如果电源管理单元被攻破,”IOActive的报告指出,”加速度就会迅速变化,汽车将处于极度危险中。”毫无疑问,软件是现代汽车安全的一个至关重要的组件。

单就这些设备的数量本身就是一个巨大挑战。Liles 提出一些问题:“谁来做这个级别的事件响应?”更重要的是,谁来审核所有的代码? Eric
S. Raymond
在《大教堂与集市》中写道,“只要有足够多的眼睛,所有的问题都将不是问题,” 此称之为林纳斯定律。但我们不能仅仅只依赖于足够多的眼睛来发现问题。假
如像 OpenSSL 这样重大的项目都会由于缺少资金而导致
Heartbleed
这类漏洞的话,那么谁来检查这些我们每天都用到的数以百万行代码的软件呢?

然而,像Liles小组所做的那类研究还是不多见的。单纯分析软件是一件困难的事。“系统中几乎从来不考虑集成一个用于搜集取证的模块,为了使证据
有法律效力,必须要使用逆向工程的手段来取证。”Liles说。此外,物联网给汽车带来的威胁在不断变化,所以我们的研究方向也要随之改变。“很多陈旧的
信息保护手段,安全规则和教条,有时还称之为科学的东西,都是基于谬见、伪事实和过时的技术概念而来的。”

澳门新萄京官方网站 1

网站地图xml地图