Episodio 32: di Amy Ressler a Mountain View, USA (febbraio 2023)
Puntate precedenti
Hai appena corretto un bug di sicurezza in Chrome. Congratulazioni e grazie per aver reso Chrome più sicuro per tutti gli utenti. Ma aspetta, il tuo lavoro non è ancora finito. Solo tu puoi aiutare a pensare al gap gap.
Qual è il divario di patch?
Il divario di patch è il tempo critico tra il momento in cui ricevi la correzione di sicurezza e il momento in cui la correzione viene inviata agli utenti in un aggiornamento del canale stabile di Chrome.
Quando ricevi una correzione in Chromium, questa è disponibile pubblicamente per chiunque monitori i nostri repository di codice sorgente, inclusi malintenzionati e broker di exploit.
I malintenzionati lavorano rapidamente per sfruttare il periodo di tempo che intercorre tra l'elenco delle modifiche (CL) e gli utenti che hanno accesso a quella patch in un aggiornamento stabile del canale, eseguendo il reverse engineering del CL per sviluppare un exploit da sfruttare o vendere per usarlo contro potenziali vittime. Questo è chiamato sfruttamento n-day.
Anche se non possiamo eliminare completamente il potenziale dello sfruttamento in n giorni, ridurre il tempo che intercorre tra l'arrivo della correzione e quello della spedizione in un aggiornamento del canale stabile di Chrome rende la vita molto più difficile ai malintenzionati e riduce notevolmente il potenziale di sfruttamento in n giorni.
Come puoi contribuire a prevenire lo sfruttamento di n-day?
Fai attenzione a ciò che manca nelle patch e procedi come segue.
Aggiornamento dei bug di sicurezza a Status=Risolto rapidamente
Non appena ricevi il CL con la correzione di sicurezza, aggiornalo a Status=Fixed.
In questo modo l'automazione Sheriffbot può aggiornare il bug con le etichette delle richieste di unione appropriate in base alla gravità e all'impatto sulla sicurezza.
Fornisci dettagli completi su problemi di stabilità o compatibilità
Fornisci questi dettagli in risposta al questionario relativo all'unione di Sheriffbot. Ti consigliamo di evitare l'unificazione dei dati solo se esiste dei rischi per Chrome.
Un bug di sicurezza che esiste da molto tempo non è un motivo valido per evitare il backmering. È diventato più economico e molto più facile da sfruttare come un n-day.
Le unioni di terreni non appena vengono approvate
La nostra migliore difesa è spedire velocemente.
Non tentare di nascondere o offuscare il codice o il commit dei messaggi
Gli aggressori in n-day sono intelligenti e cercano di risolvere questo problema.
Contatta il team addetto alla sicurezza
Per qualsiasi domanda o dubbio, contatta il team di sicurezza per ricevere assistenza.
Grazie per la tua pazienza, perché solo tu puoi aiutare a prevenire lo sfruttamento in n giorni.