Ист. xakep.ru Полная версия тут - https://xakep.ru/2015/08/12/oracle-csos-letter/

автор: МАРИЯ НЕФЁДОВА
АВГ 12, 2015

ДИРЕКТОР ПО БЕЗОПАСНОСТИ ORACLE: ПРЕКРАТИТЕ ИСКАТЬ УЯЗВИМОСТИ В НАШЕМ КОДЕ!



В официальном блоге компании Oracle вчера появилось объемное письмо, написанное от лица директора по безопасности Oracle Мэри Энн Дэвидсон (Mary Ann Davidson). Послание, озаглавленное «Нет, вам действительно нельзя» (No, You Really Can’t), было обращено ко всем исследователям в области информационной безопасности. Дэвидсон буквально потребовала от них оставить компанию в покое, прекратить реверсить код Oracle и искать в нем какие-то уязвимости. В сети сразу заговорили о том, что Дэвидсон или Oracle, должно быть, взломали. Но, как бы поразительно это ни звучало, данная информация не подтвердилась.

Письмо провисело в блоге компании несколько часов, после чего было удалено (что только подогрело слухи о взломе). Полную версию послания Дэвидсон можно прочитать либо в кэше Google, либо в конце этой заметки.

Послание начинается с жалоб Дэвидсон на то, что в последнее время ей приходится очень, очень много писать. Она рассказывает, что на досуге, вместе с сестрой, пишет детективы и это куда увлекательнее, нежели переписка с пользователями. А пользователям директор по безопасности, оказывается, пишет десятки писем в день, и все они построены по одному и тому же шаблону, то есть оканчиваются требованием: «пожалуйста, соблюдайте лицензионное соглашение и прекратите, наконец, заниматься реверс инжинирингом нашего кода». Далее Дэвидсон, по сути, требует от общественности оставить их систему в покое и тратить время на поиск багов в своих программах:

«Я понимаю, что в этом мире каждый день находят новую брешь в чьей-нибудь безопасности, и теряют бессчетные газиллионы данных из-за безымянных злоумышленников, которые могут работать на вражеские государства. Конечно, люди хотят приложить дополнительные усилия, чтобы точно обезопасить свои системы.
С другой стороны, можно подумать, что пользователи, прежде чем перейти к этим «дополнительным усилиям», убедятся, что выявили все свои критические системы, зашифровали все приватные данные, установили все последние патчи, работают на последних и актуальных версиях продуктов… Говоря проще, можно подумать, они проведут обычную гигиену безопасности, перед тем как пытаться искать 0day уязвимости в продуктах, которые используют».

Ну это ее позиция.) Периодически тут и там появляются даже на высоких постах много о себе возомнившие самодуры, которых всегда очень жестко опускают. Найдут у них 0day сделают эксплоит и факапнут либо кучу клиентских серверов, либо их внутреннюю сетку, а потом где-нибудь в блоге издевательских напишут: "Ты ж сказала не сообщать о багах. Вот мы и не сообщили.".

Знать она сильна, что лает на слона. (с)

P.S. Хорошо, что удалили. Значит в Оракл у кого-то есть голова на плечах и ее поставили на место.

~ ~

Увидев тему, подумал, что сообщение от IB