Du kjenner ikke spesielt godt til den store sikkerhetsbransjen skjønner jeg...

Når sikkerhetsforskere finner fundamentale feil i SSL/TLS, MD5, DNS protokollen eller kommersiell programvare som SAP, Exchange, Apache, Tomcat, IIS, Oracle osv, så er det ikke fordi de sitter å loker inne på ett gutterom der de tilfeldigvis kommer over feilen fordi de selv benytter slike applikasjoner.

Sikkerhetsbransjen som står bak de største funnene rundt sårbarheter og som kommer med eksempler på exploits i dag er ansatt i selskaper som har som fokus å avsløre sikkerhetshull, og tjener penger på dette. I denne gruppen finner du selskaper som Immunity, DVlabs, Matasano, Breakingpoint, iDefense, eEye, XForce osv osv. Ingen av de som er ansatt her er Crackers, og de absolutt fleste sårbarheter som kommer frem, kommer fra disse selskapene, eller fra folk nært tilknyttet disse.

De tjener penger på å være rådgivere for programvareselskapene, holde foredrag, selge sårbarheter til f.eks. ZeroDay Initiativ, teste applikasjoner og andre konsulenttjenester.

Selskapene benytter enorme serverrom for fuzzing, tallknusing og andre former for analyse av applikasjoner, kryptering osv - for å lete etter svakheter. Dette er enormt dyre løsninger og latterlig tidkrevende.

Så det bildet folk har av den stille hackeren som sitter inne på rommet sitt og finner sårbarheter er dessverre mer skapt av media og folk romantisering rundt temaet, for dagens realitet er en helt annen.

På toppen av dette har man selvsagt malware utviklerne. Men der er også nivået av organisering, penger og trading så høyt, at forskjellen faktisk ikke er spesielt stor når det kommer til arbeidsmetoder. Flere artikler rundt razzia'er i Russland, Tyrkia osv viser godt organisert IT organisasjoner med store serverrom og mange ansatte...for å hele tiden supportere sine trojanere og spam bots.