Το μεσημέρι μίλησα λίγο πιο έντονα σε ένα φίλο. Το σκέφτηκα λίγο αργότερα και (επειδή κανείς δεν χαίρεται με το να φωνάζει σε φίλους του) είπα να κατασκευάσω μια ιστορία για να καταλάβει το point μου:

Έστω ο administrator Χ. ο οποίος έχει ένα μηχάνημα με XP σπίτι του για να συνδέεται στο Internet από το σπίτι. Όπως είναι (ίσως) λογικό ο administrator της ιστορίας μας έχει στήσει και την υποδομή του έτσι ώστε να μπορεί να συνδέεται και στο εταιρικό του δίκτυο για να “κοιτάζει τι δεν πάει καλά”.

Επειδή κανείς δεν είναι μόνος σε αυτή τη ζωή ο administrator παραχωρεί (όχι με ιδιαίτερη ευχαρίστηση) δικαιώματα χρήσης και σε τρίτους στο (οικογενειακό) desktop. Φυσικά και έχει πάρει κάθε (δυνατό) μέτρο ώστε να προστατεύει το μηχάνημα από λάθη και “λάθη”. Ξέρει όμως πως οι χρήστες είναι ανίκητοι: Και όταν χρειάζονται ένα πρόγραμμα, θα το εγκαταστήσουν και χωρίς την άδειά του. Ακόμα κι αν είναι “παράνομο” και κατεβάσουν το άγνωστης προέλευσης binary crack από το Internet (“Μα αφού δουλεύει, τι με νοιάζει αν κάνει και κάτι άλλο;”).

Αν σε αυτό προσθέσει κανείς πως τα XP δεν έχουν ένα αξιοπρεπές sudo, και πως πολύς κόσμος μετά το SP2 σχεδόν άφοβα μπορεί να έχει τον λογαριασμό του administrator passwordless για να τρέχει το runas χωρίς να δίνει password (για να κάψει ένα CD για παράδειγμα^*), οι δυνατότητες που δίνονται στον binary patcher είναι πάρα πολλές. Όπως και το εταιρικό δίκτυο που διαχειρίζεται ο Χ.

Ο administrator της ιστορίας μας μπορεί να την πατήσει και όχι γιατί δεν ήταν αυτός προσεκτικός⁺.

Στη χειρότερη εκδοχή του παραπάνω σεναρίου αυτά συμβαίνουν όχι στον υπολογιστή του administrator, αλλά σε αυτόν του CEO, ο οποίος απαιτεί να έχει και remote access στο εταιρικό δίκτυο, και ένα κάρο προγράμματα που κατέβασε από το Internet γιατί είναι “cool”.

Αν με βρίσκετε υπερβολικό, you are entitled your own level of paranoia.

Και αν φτάσατε μέχρι εδώ, ρίξτε μια ματιά στο “Malware on the fly” και στο “Would You Install Pirated Software at Work?“.

Update: Μερικές φορές η πραγματικότητα επιβεβαιώνει καλύτερα από οποιοδήποτε σενάριο.

[*] – Καλύτερο παράδειγμα: Εγκαταστήστε το Office 2000 (complete installation) σε XP. Μετά κάντε login σε limited account και προσπαθήστε να εκτελέσετε μια εφαρμογή για πρώτη φορά. Για να υπερβείτε το πρόβλημα που θα παρουσιαστεί, προσωρινά κάντε το limited account -> computer administrator και εκτελέστε όλα τα προγράμματα του Office που σας ενδιαφέρουν μία φορά. Μετά αλλάξτε το λογαριασμό πάλι σε limited account και είστε OK. Το πρόβλημα προκύπτει γιατί το O2K θέλει administrator rights για να γράψει κάποια keys στο registry όταν εκτελείται πρώτη φορά.

[+] – Η ιστορία αυτή είναι ισοδύναμη με το να σπαταλάς χρόνο, χρήμα και ενέργεια για να μπεις σε ένα ασφαλή χώρο, ενώ την ίδια στιγμή μπορεί να καταφέρεις το ίδιο πράγμα δίνοντας λιγότερα χρήματα στην καθαρίστρια ή κάνοντας σωστό social engineering.