Gbitten

Hoje, estava a ouvir o excelente podcast "i sh0t the sheriff", quando um assunto abordado Luiz Eduardo, Nelson Murilo e Willian Caprino me chamou a atenção. A conversa, se não me engano, era sobre IDS e como este tipo de controle pode ser ineficiente. Em determinado momento da discussão, foi colocado que a culpa é dos desenvolvedores e arquitetos de software que produzem sistemas vulneráveis, a ponto de sugerir que sistemas operacionais são vulneráveis a vírus, bots e trojans por causa de deficiências em suas arquiteturas.

Nesta questão é que minha opinião diverge. Softwares não são vulneráveis apenas por preguiça ou incompetência dos desenvolvedores, muitas vezes, estes mesmos softwares necessitam ser vulneráveis para serem viáveis. É justamente o caso dos sistemas operacionais em relação a vírus, bots e trojans, onde não há solução fácil. Trusted Computing, que por exemplo promete alguma efetividade contra esses tipos de malware, é uma tecnologia cara e pouquíssimo disseminada.

Fazendo uma analogia, não vejo ninguém reclamando dos projetistas automobilísticos por causa da vulnerabilidade dos pneus, onde um prego pode até mesmo causar a morte de um ser humano. A solução para esta vulnerabilidade é simples, um pneu maciço, porem é anti-econômica para a maioria dos casos. O mesmo ocorreu com os protocolos da família TCP/IP, muito mais vulneráveis em sua arquitetura do que os protocolos OSI, porem muito mais viáveis economicamente. E se dependêssemos apenas da família OSI, tenho convicção de que hoje não haveria internet.

Da mesma forma que desenvolvedores e analistas de sistemas precisam rever seus conceitos no processo de desenvolvimento de softwares, os profissionais de segurança precisam aceitar a existência de vulnerabilidades, elas são intrínsecas a qualquer ambiente. Tentar eliminá-las por completo quase sempre torna os produtos caros demais, pesados demais e difíceis demais de manusear.

Marcadores: Viagem

postado por Gustavo Araujo Bittencourt  # 1:34 AM