A közelmúltbeli hír, miszerint az XP forráskódja nyilvánosan elérhetővé vált, változatos visszhangot váltott ki. Érthető módon néhányan azt feltételezik, hogy már olyan régóta nem támogatják, hogy ez nem igazán számít. Van azonban néhány kulcsfontosságú módja annak, hogy ez a nyilvánosságra hozatal komoly hatással lehet.

Először is, ott van a kritikus vertikumokat fenyegető kockázat

Ez a hír elgondolkodtatott arról a problémáról, amely még mindig fennáll a különböző ágazatokat átható, életciklusuk végére érő operációs rendszerekkel kapcsolatban. Míg a Windows XP-s gépek globális piaci részesedése mindössze 0,82%, addig ez a kiemelkedő szerep bizonyos iparági szegmensekben – köztük a pénzkiadó automaták és az orvosi eszközök esetében – megnő.

Amikor tehát leültem ezt megírni, felkerestem a pénzügyi és egészségügyi ágazatban dolgozó barátaimat, hogy kicsit jobban utánanézzek a problémának. Bár az ideális válasz a “Hány ATM-gépen és orvosi eszközön fut még Windows XP?” kérdésre az lenne, hogy 0%, a valóság nem ilyen egyszerű.

2014. április 8-án a Microsoft megszüntette a Windows XP szabványos támogatását. Ekkor a Payment Card Industry Security Standards Council (PCI SSC) becslése szerint világszerte az ATM-ek 95%-án Windows XP futott, ezért megkezdődött a Windows 7-re való áttérés. A Trend Micro Research és az Europol 2017-ben tovább vizsgálta a pénzkiadó automatákat érintő kiberbiztonsági kockázatokat.

Történt 6 évvel később, 2020. január 14-én, amikor a Microsoft hatályba léptette a Windows 7 élettartamának végét (EoL). Becslések szerint a lépés a Microsoft operációs rendszert futtató több mint 3,5 millió ATM 85%-át érinti világszerte. Ezúttal azonban a frissítés miatt az ATM-üzemeltetőknek mind a szoftvert, mind a hardvert frissíteniük kell. Ennek a frissítésnek a költségei a pénzintézetek és az ATM-üzemeltetők számára magasak, mind a tényleges kiadások, mind pedig az ilyen széles körű változás támogatásához szükséges erőforrások tekintetében.

Az általam megkérdezettek szerint a becslések szerint a még 6 év után is Windows XP-t futtató ATM-ek aránya körülbelül 25%. Durva becslések szerint ez több mint 750 ezer gépet jelenthet világszerte, ami jelentős kockázatot jelent.

Az ilyen gépek verzióváltásának jelentős költségei miatt a pénzügyi szektorban egyesek a Windows operációs rendszerek mellett kardoskodnak. Ez enyhítheti az ATM-ek néhány évenkénti frissítésének költségeit és terheit, de nem oldja meg az ATM-támadások kockázatát. A Diebold éppen idén nyáron adott ki egy riasztást, amelyben egy új jackpot-kampányt írtak le, amelyben a kiberbűnözők egy csatlakoztatott fekete dobozt használnak fel arra, hogy jogtalan kiadási parancsokat küldjenek, amelyek potenciálisan a Diebold szoftvercsomagjának védett részeit is tartalmazzák. Legyen szó Windowsról, Linuxról vagy akár egy szabadalmaztatott veremből, a szoftverek frissítésének elmaradása idővel sokkal nagyobb költséggel jár, mint a kezdeti átállás, mind a kitettség, mind a kockázat szempontjából.

Az egészségügyben a kitettség sokkal nagyobb, és őszintén szólva a kockázat is. A Trend Micro Research 2017-es jelentése szerint az amerikai és a világ kórházaiban az internetre csatlakoztatott képalkotó eszközök hatalmas része elavult operációs rendszert futtat.

A Windows XP-t futtató orvosi eszközök között vannak olyan gépek, amelyek röntgen-, MRI-, mammográfiai és CAT-vizsgálatokat végeznek. A kockázat kézzelfoghatóvá válik, ha az ezekhez az eszközökhöz való hozzáférés megszakad, romlik vagy megtagadják.

A kritikus iparágakon túl is van kockázat

Míg a kritikus iparágakat és gépeket érintő kockázat magas, nem ez az egyetlen kockázati terület, amelyet a Windows XP még mindig jelent. A forráskód kitettsége két másik módon is szélesebb körű hatást gyakorolhat.

1. A világ egyes részei még mindig nagymértékben támaszkodnak erre az operációs rendszerre. A támogatás megszűnése ellenére a Windows XP egyes globális piacokon még mindig uralkodik. Ez nagy célpontot jelent a gyors győzelemre vágyó kiberbűnözők számára.
2. A Windows XP örökölt rendszerei még mindig léteznek a Windows 10-ben. A kiberbűnözők bányászhatnak XP-hibák után ezekben az örökölt kódokban, amelyek még mindig támogatás alatt állnak, létrehozva egy életképes exploit-láncot, amely a modern operációs rendszereken is működne.

Dustin Childs, a Trend Micro Zero Day Initiative kommunikációs vezetője a következőket mondta a lehetséges hatásról:

“Jelenleg az exploit-fejlesztők valószínűleg átfésülik a kódot olyan hibák után kutatva, amelyeket a modern operációs rendszerek ellen használhatnak. Ez azonban nem egy 1 az 1-hez fordítás. A modern operációs rendszerek további enyhítésekkel rendelkeznek, amelyek megnehezítik a kihasználást. Ez egy újabb ok arra, hogy frissítsen a legújabb operációs rendszerre, hogy kihasználhassa az új védelmi funkciók előnyeit.”

A frissítések sosem egyszerűek. Egy tipikus üzleti környezet átalakítása egy új operációs rendszer futtatásához jelentős emelést és költségvetést igényel. Ha ezt megszorozzuk egy kormányzat, kórházi rendszer, gyár vagy globálisan szétszórt ATM-ek léptékével, akkor olyan problémával szembesülünk, amelyet sokan nem tudnak kezelni.