HARD CORE SECURITY LAB

Jedna z hiszpańskich firm tworzących oprogramowanie dla małych i średnich przedsiębiorstw w dość niezwykły sposób postanowiła zapewnić sobie dochody z tytułu serwisowania własnych programów. Otóż bomby logiczne umieszczane w poszczególnych programach co jakiś czas uniemożliwiały klientom korzystanie z nabytego oprogramowania i zmuszały ich do korzystania z płatnej pomocy technicznej. Cały proceder trwał od kilkunastu lat, jak się więc okazuje, w praktyce obrona przed tego typu niespodziewanym zagrożeniem nie jest wcale prosta.

W całą sprawę zamieszana jest hiszpańska firma programistyczna cipsa, która od 1998 roku znalazła ponad tysiąc nabywców na swe specjalnie spreparowane oprogramowanie. Programy były poza wiedzą klientów wyposażane w bomby logiczne, czyli fragmenty kodu mające wraz z nadejściem określonej daty zaburzyć działanie całego systemu. W momencie gdy klienci korzystali z płatnej pomocy technicznej, złośliwa funkcja była przez technika usuwana, jednak wprowadzana była nowa bomba logiczna związana z nową datą.

W związku z całą sprawą hiszpańska Straż Obywatelska (hiszp. Guardia Civil) zatrzymała już trzy osoby. Cała sprawa wyszła na jaw dzięki anonimowemu zgłoszeniu przekazanemu za pośrednictwem portalu www.gdt.guardiacivil.es. Warto podkreślić, że działania firmy cipsa nie tylko narażały jej klientów na koszty związane z niepotrzebnym zamawianiem pomocy technicznej, lecz również zaburzały pracą przedsiębiorstw poprzez powtarzające się przestoje systemów informatycznych. Pytanie jednak w jaki sposób można się przed tego typu zagrożeniami bronić?

Zakładając więc, że dane przedsiębiorstwo nabywa od pewnej firmy programistycznej oprogramowanie w pełni zamknięte, bez możliwości wglądu do jego kodu źródłowego, to w jaki sposób możliwa jest ochrona przed tego typu zagrożeniami? Problem jest podobny do kwestii potencjalnych celowych luk bezpieczeństwa umieszczanych przez Chińczyków w masowo produkowanym przez nich sprzęcie teleinformatycznym. Jeśli macie w tej kwestii jakieś interesujące sugestie, to jak zwykle proszę o ich wyrażanie w komentarzach.

[źródło]