Cisco: 'Broncodediefstal zal weinig gevolgen hebben'

Als we het van Cisco mogen aannemen, zullen de gevreesde gevolgen van de diefstal van broncode vorige week uitblijven. Afgelopen zondag werd bekend dat een paar hackers maar liefst 800MB aan broncode van Cisco's IOS-besturingssysteem hadden ontvreemd. De grote vrees was dat er op deze manier onveiligheden in de broncode aan het licht zullen komen, wat kwalijke gevolgen kan hebben voor het internet in het algemeen: een groot deel van de hardware achter het internet is namelijk geleverd door Cisco. Het bedrijf probeert deze vrees nu de kop in te drukken door te vertellen dat er geen verhoogd veiligheidsrisico is voor de apparatuur in kwestie, al wordt er niet dieper ingegaan op de technische details.

Desalniettemin geeft Cisco aan dat het samenwerkt met onder meer de FBI om de daders van de broncodediefstal te pakken te krijgen. De broncode is in ieder geval al verwijderd van de website waar hij publiekelijk voor het grabbelen werd gelegd. Tevens heeft men aangegeven dat er geen reden is om aan te nemen dat de inbraak werd uitgevoerd door een werknemer of partner van Cisco. Ondanks de pogingen tot geruststellen van Cisco is het niet uitgesloten dat er exploits zullen opduiken voor in de broncode gevonden veiligheidslekken, de broncodediefstal is immers slechts iets meer dan een week geleden uitgevoerd.

Reacties (35)

[BartOtten]

Ik wil niet lullig zijn, maar Cisco werkt al jaren aan die software. Dan zullen er toch niet gelijk exploits gevonden worden? Volgens mij word die software wel 100 keer nagekeken voordat ze het uitgeven. Zodra er een wordt gevonden is het misschien een groot probleem, maar ik denk dat ze zelf de gestolen broncode ook al wel weer hebben laten nakijken of zelf nog een keer helemaal hebben uitgeplozen. Ik denk dat het allemaal dus wel meevalt.

[Gregoor]

Ben ik het helemaal mee eens. Tuurlijk zouden er wel kleine bugs gevonden kunnen worden, maar geen met een grote impact. Ik geloof namelijk niet dat een bedrijf als Cisco, dat zulke kritische software schrijft, deze zomaar ontwikkeld en niet door verschillende personen op regelniveau doorloopt. Daarnaast zullen ze heus wel intern lui in dienst hebben die als dagtaak hebben het proberen te vinden van fouten in deze software. Dus ik geloof niet dat hier veel verassende dingen uit zullen volgen.

Het feit dat dit in de eerste week ook nog niet gebeurt is zegt denk ik ook al het een en ander.

[Verwijderd]

Het lijkt erop dat je niet echt veel ervaring hebt in dit "vakgebied"

Hele "kleine" fouten kunnen grote gevolgen hebben...

De Cisco code bestaat uit code van veel verschillende bedrijven die Cisco heeft overgenomen de afgelopen jaren, of gewoon gekocht heeft.

Auditen op "regelniveau" kun je beter aan een programma overlaten.

Het is onmogelijk om te claimen dat zoveel code veilig is... omdat de "beperkte geest" van een mens het nooit allemaal kan omvatten... Je kunt dus alleen goed zoeken... De code die ooit gelekt was van IOS 11.3 was nu ook niet van denderende kwaliteit, om enige referentie te gebruiken...

En het goed zoeken kan de "tegenpartij" ook... Maar dat wil niet zeggen dat we hier volgende week fouten van gepubliceerd zullen zien... ik verwacht van niet, en dat niet omdat de Cisco code zo'n juweeltje is.

[Verwijderd]

(reactie op gregoor/xarenion) Geloof het maar niet... Als je software ontwikkelaar bent bij een groot bedrijf, dan kom je er vanzelf achter dat 'kwaliteit' een zeer flexibel begrip kan zijn, dat bijgesteld kan worden als de markt-druk groter wordt.

Als het product immers niet op tijd op de markt komt, dan verlies je marktaandeel en dat kost geld. Terwijl van 'kwaliteit' veel moeilijker de impact te meten is.

In zo'n situatie zie je dat het bedrijf de neiging heeft om snelle oplossingen te implementeren in plaats van technisch goede - en dat komt daarna vaak dubbel zo hard terug als de zoveelste wijziging niet meer zo makkelijk is en de code zo onoverzichtelijk is geworden dat fouten er aan alle kanten kunnen insluipen.

Wat dat betreft is het interessant een stukje van de source code te zien, zodat je een indruk van de kwaliteit kunt vormen...

[lammert]

voor de duidelijkheid...dit is niet bedoeld als flame naar Microsoft, maar meer ter vergelijking.

MS werkt ook al tig jaren aan Windows, toch worden er met grote regelmaat nog veiligheidsproblemen geconstateerd. MS heeft uiteraard ook mensen in dienst om de software daarop te checken en te testen. Een OS voor pc's lijkt me trouwens ook behoorlijk 'kritische software' (zoals gregoor t verwoordt hierboven).

Punt is dat Cisco het probleem bagatelliseert, ik snap ook wel dat er geen behoefte is aan paniek. Ik bedoel...je weet niet eens in wiens handen de broncode is gevallen, en dus niet of iemand er kwaad mee wil. Maar mocht iemand er kwaad mee willen... dan zou het best eens een serieus probleem kunnen opleveren.

[Verwijderd]

Er zijn nochtans al redelijk wat exploits gevonden in Cisco IOS hoor, zonder de broncode ter beschikking te hebben. En zelfs dan nog: in elke software zit fouten, zelfs al kijken ze het 100 keer na.

[n4m3l355]

windows wordt jarenlang aan gewerkt daar duiken zo nu & dan ook exploits, bugs enz. op
ik heb hier het idee dat cisco eigenlijk meer het publiek probeert gerust te stellen dat er niets aan de hand is. meer kunnen ze nu ook eigenlijk niet doen nu het gebeurt is.
het zou me ook niet verbazen als er nu spoedig een tal van 'fixes' uitkomen die toch potentiele exploits zullen fixen, en tevens specifieke password setups zoals we vaker in switches & routers tegenkomen zal switchen.

[WEBsel]

Geen prettig idee dat bijna het hele internet draait op hardware van één fabrikant, want 1 foutje en het hele internet loopt risico.
Begrijpelijk dat Cisco de gemoederen tot bedaren wil brengen, anders zal er wel weer een paniek-rush ontstaan.

[YaPP]

[offtopic][quote]
Geen prettig idee dat bijna het hele internet draait op hardware van één fabrikant, want 1 foutje en het hele internet loopt risico.
[/quote]

..dat zelfde kan gezegt worden van software, maar waarom begint niemand daar over?

[Verwijderd]

Software kan snel gepatcht worden. Hardware is niet zomaar globaal vervangen.

[Max|Burn]

firmware/OS upgrade ...

[burne]

Kun jij dat dan eens uitleggen aan de beheerders van de met soms drie jaar oude wormen besmette dozen die nog altijd mijn logfiles vervuilen? Let op datum en tijd:

213.113.121.42 - - [24/May/2004:01:39:37 +0200] "GET /default.ida?XXXXX[knip]%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0" 404 416

Overigens: broncode van hardware? Er zijn geen tekeningen gestolen, enkel C, C++ en assembly sources. Da's niet erg hardware, en heel erg software.

[VisionMaster]

Juniper, Foundry en Force10 (de laatste het minste) zijn een paar voorbeelden van fabrikanten die ook erg veel internet infrastructuur leveren.

[the_stickie]

je vergeet Extreme Networks!

[ROFLASTC]

k weet er niet veel van maar wat als er nou eens goedkope cisco klonen verschijnen die draaien op software ontwikkeld uit het gejatte spul? Voor cisco is het misschien geen beveiling issue maar wellicht wel een ander soort probleem ?

[Belboer]

Ten eerste zijn er al goedkope klonen met als voorbeeld FREESCO ( http://www.freesco.org/ ). Om dat te maken heb je de broncode van Cisco niet nodig.
Ten tweede heb je de chips nodig van Cisco om de volledige functionaliteit te kunnen bieden. Cisco apparatuur (tenminste de snelle apparaten) maken gebruik speciaal hiervoor ontworpen chips. Deze kan je niet maken met de broncode. Alhoewel ik niet weet of er ook VHDL code is gestolen heb je dan ook nog een fab nodig die ze kan bakken.
Ten derde is een belangrijke factor bij het aanschaffen van Cisco spullen de support die je er op krijgt. Plus het feit dat Cisco over een paar jaar waarschijnlijk nog wel bestaat om problemen met de nu gekocht apparatuur op te lossen en dat hun apparatuur al bewezen heeft goed te werken.

Concurrentie op basis van de gestolen software lijkt mij dus niet de grootste zorg van Cisco.

[YaPP]

Ten eerste zijn er al goedkope klonen met als voorbeeld FREESCO

ahum... de router-functionaliteit van een freesco bak bestaat gewoon uit een standaard Linux kernel.

..your point..?

edit: voor een aantal zaken heb je toch wel wel cisco nodig!

[Belboer]

Daar heb je dus geen Cisco code voor nodig. Das mijn punt.

[burne]

Voor welke zaken zou je dan niet anders dan bij Cisco terecht kunnen? Je zou succesvol kunnen beweren dat je voor bepaalde zaken (zoals het routeren van een paar gigabit/s) speciale hard- en software nodig hebt. Maar er is niets op het internet wat niet door andere leveranciers gedaan wordt. En vaak veel beter.

[The-Freak]

De hackers hebben slechts een deel van de broncode in handen gekregen. Met deze broncode kunnen andere fabrikanten echt niet hele klonen gaan maken. Ik denk ook niet dat dit dus echt heel erg is

[Verwijderd]

Tja, als je zoals in dit stukje

De broncode is in ieder geval al verwijderd van de website waar hij publiekelijk voor het grabbelen werd gelegd.

Zo met je code omgaat, lijkt het me niet meer dan logisch dat t gejat word.
Als zo'n bedrijf wat prat gaat op zijn securety zo'n "domme" fout al dan niet bewust maakt ga ik als consument toch twijfelen aan mijn productkeuze.

Zou dit enige impact hebben op het finantiele plaatje op langere termijn?

Oh, als men echt die code voor het grabbelen hebben gelegd. Mag je naar mijn mening niet over "hackers" praten.

No flames intended

[Verwijderd]

Oh, als men echt die code voor het grabbelen hebben gelegd. Mag je naar mijn mening niet over "hackers" praten.

Het is natuurlijk maar net je onder 'voor het grabbelen' verstaat. Misschien was het beveiligd middels een user/login voor werknemers om aan de code te werken. Ook is mij niet duidelijk of het 1 stuk broncode is van 800MB. Of dat het diverse stukjes zijn van bijvoorbeeld een aantal medewerkers (mocht mijn theorie kloppen).

[HaterFrame]

Ik denk eerder dat ze het over een site hebben die het gewoon er op heeft gezet nadat het gejat is. Niet een site van Cisco zelf dus. Tenminste dat denk ik. Cisco is vast niet zo dom geweest om het zo makkelijk te laten jatten omdat het vitale software is.

[dvdmeer]

Ja, duh!
Ze zouden eens wat anders zeggen. Tuurlijk is dit hun reactie. Het feit dat het kan gebeuren is natuurlijk al een behoorlijk slechte reclame voor een bedrijf wat veiligheid zou moeten leveren aan klanten maar dan zelf blijkbaar net even niet veilig genoeg waren.

[hulliex]

De broncode is in ieder geval al verwijderd van de website waar hij publiekelijk voor het grabbelen werd gelegd.

Zo met je code omgaat, lijkt het me niet meer dan logisch dat t gejat word.
Als zo'n bedrijf wat prat gaat op zijn securety zo'n "domme" fout al dan niet bewust maakt ga ik als consument toch twijfelen aan mijn productkeuze.



Degenen die het hebben gestolen hebben het weer verwijderd van de website waarop zij het publiceerder..

[Fairy]

De broncode is in ieder geval al verwijderd van de website waar hij publiekelijk voor het grabbelen werd gelegd.

Ik dacht dat het om hackers ging, maar het staat gewoon op een webserver gehost

Niet echt slim als je mij vraagt.

[Verwijderd]

Beetje simpel voor dit soort bedrijven.
Hoe dom kun je zijn, om vitale data en informatie aan het internet te hangen.
Iedereen snapt toch dat de beste beveiliging tegen hackers is,...Geen Internet

Zo zie je maar dat ook grote "jongens" soms erg dom kunnen zijn.

[MandersOnline]

Ik meen ergens gelezen te hebben dat het zelfs mogelijk uit een apparaat gehaald is, die dingen zijn er toch om je op intermet aan te sluiten??

[DataGhost]

dat is dan heel knap als dat in een apparaat zit, dat betekent dat ze dus iedereen de broncode meegeven zegmaar... de broncode wordt gecompileerd in hocuspocus en gebrabbel (voor iets/iemand anders dan een cisco geval dan), daar haal je echt niks uit... hoogstens de assembly code en als je dat hebt dan heb je (schat ik) een paar terabyte code die nog eens heel erg lastig leest... lijkt me niet

[Verwijderd]

Als je een paar terrabyte machinecode hebt zou dat inhouden dat er ook een dergelijke hoeveelheid solid state geheugen in die dingen zit om die code te herbergen. Doe mij ook een paar van die chipjes ;-)

[AirX]

Iedereen snel overstappen op safeway

[DeadPool]

Iedereen snel overstappen op safeway

Dat heet sweex tegenwoordig he