По свидетельству представителей Microsoft, это беспрецедентное событие, ибо компании компьютерной индустрии еще никогда не делали на хакерских конференциях столь развернутой презентации пока еще не выпущенных на рынок продуктов. Объясняют же необходимость новаций тем, что ОС Vista позиционируется изготовителем как наиболее безопасная из всех систем, когда-либо созданных в Microsoft, да и для браузера IE 7 вопросы безопасности изначально были поставлены во главу всей разработки.
Первая конференция Black Hat состоялась в 1997 году и уже с рождения задумывалась как сугубо деловая встреча хакеров-практиков, далеких от отвлеченных изысканий, свойственных академической среде. Поэтому с самого начала цель едва ли не всех выступлений на конференции сводилась к живой демонстрации уже сделанного и стимулированию коллег к работе в обозначенном направлении — созданию эффективных мер защиты или усовершенствованию наработанных методов атаки. Иначе говоря, все интересы участников сосредоточены на доскональном изучении исключительно практических аспектов технологий безопасности.
С каждым годом это колоритное мероприятие, избравшее местом проведения «город греха» Лас-Вегас, стало привлекать все больше и больше заинтересованного народа. Среди пестрой толпы участников в разных пропорциях можно встретить типичных хакеров компьютерного андеграунда, специалистов по безопасности из солидных фирм и банков, сотрудников федеральных спецслужб и представителей ведущих компаний компьютерной индустрии. Стабильный рост числа участников, желающих приобщиться к «переднему краю хакерского прогресса» отмечается ежегодно, однако самый значительный скачок зарегистрирован в этом году, когда по сравнению с прошлогодней конференцией количество предварительных регистраций возросло аж на 20 процентов.
Причин для столь существенных перемен несколько. Это и рост популярности форума, и возрастающий интерес к проблемам компьютерной безопасности вообще, и смена статуса конференции, ощутимо прибавившей в респектабельности после того, как в ноябре 2005 года все права на Black Hat купила крупная издательская фирма CMP Media.
Специфическая хакерская природа конференции и регулярно звучащие с ее трибуны «разоблачения» в прежние годы неоднократно приводили к серьезным конфликтам с крупными ИТ-компаниями. Но конкретно Microsoft, что характерно, никогда не замечалась в попытках «задавить хакеров массой». Скорее напротив, здесь значительно раньше других поняли, что с независимыми исследователями гораздо полезнее быть в одном лагере, поддерживая с ними позитивные и конструктивные отношения. Начало существенных перемен обычно связывают с 2002 годом, когда Билл Гейтс разослал сотрудникам меморандум, выдвигающий вопросы безопасности в главные приоритеты корпорации. А поскольку наиболее объективной картиной о реальной безопасности Windows обладают хакеры, профессионально занимающиеся выявлением дыр, в Microsoft логично решили обратиться за помощью к ним.
В 2003 году руководство корпорации впервые устроило в рамках Black Hat вечеринку для участников, своего рода «встречу признания и знакомства». Заранее не было ни малейшего представления, как среагируют хакеры и сколько народа захочет прийти на подобное мероприятие, так что первый контакт получился довольно натянутым. Однако этот шаг помог наладить первые связи и в последующем существенно улучшить отношения со многими яркими персонажами из хакерской среды. Microsoft стала регулярно приглашать их сделать доклады-презентации на конференции по безопасности для собственных сотрудников (эти встречи получили название Blue Hat). Так что к сегодняшнему дню, по общему признанию хакеров, в контактах с ними эта корпорация намного обошла других разработчиков программного и аппаратного обеспечения. Во всяком случае, шутят они, если измерять данный процесс в количестве выставленных банок пива.
Когда на нынешней конференции Black Hat было объявлено об устраиваемой Microsoft широкомасштабной презентации Windows Vista, то среди публики еще можно было услышать голоса, по старой памяти сомневающиеся, что столь официальное (и наверняка нудное) мероприятие сможет привлечь здесь хоть сколько-нибудь значительную аудиторию. Однако годы подготовительной работы не прошли даром, и в действительности все оказалось совсем не так. Презентация Microsoft собрала огромную аудиторию, заметно превышающую стандартные сессии конференции и практически полностью заполнившую огромный танцзал отеля Caesars Palace. Дабы подчеркнуть свой интерес и уважение к собравшейся аудитории, всем пришедшим представители Microsoft раздали копии последней, наиболее стабильной бета-версии Vista — для экспериментов и поиска слабостей.
В ходе сессии все аспекты доклада, естественно, так или иначе вращались вокруг проблем безопасности. Ибо Windows Vista — это первая клиентская ОС, разработка которой с начала и до конца полностью прошла через Security Development Lifecycle, новый технологический процесс для предотвращения дефектов и критичных ошибок в коде программ.
Но помимо сугубо технических достоинств SDL другим важнейшим аспектом в борьбе за безопасность стал мощный упор на человеческий «хакер-фактор» — как внутри, так и вне Microsoft. В больших количествах и на контрактной основе корпорация уже несколько лет приглашает независимых исследователей для тотальных испытаний защиты «Висты» — с самых ранних этапов готовности ПО. Ныне в Microsoft считают, что им удалось организовать беспрецедентный по масштабам «коммерческий тест на проникновение» для проверки безопасности новой системы еще до ее вывода на рынок. Как говорит Бен Фатхи, вице-президент подразделения MS, отвечающего за технологии безопасности, корпорация сумела собрать самую большую в мире группу из авторитетных специалистов по проникновениям. Это, конечно, стоило очень немалых денег. Однако в фирме считают, что затраты явно того стоили.
В этой связи можно отметить, что довольно своеобразным отражением значительных финансовых затрат корпорации на безопасность стали дискуссии вокруг защиты Windows на последней конференции Black Hat USA. Хотя формально Microsoft являлась спонсором всех этих дискуссий и вроде бы заинтересована в публичном обсуждении выявленных слабостей, в действительности многие из наиболее известных экспертов по безопасности Windows уже находятся под условиями контрактного соглашения о неразглашении информации. По честному свидетельству Джефа Мосса, директора Black Hat, «они (MS) наняли очень много самых ярких людей — а это значит, что количество докладчиков, которые реально могут выйти и открыто говорить о слабостях в Windows Vista очень существенно сократилось»…
Корпорация Microsoft оказалась не единственной из ведущих фирм ИТ-индустрии, широко представленных на Black Hat в этом году. Весьма активно работала здесь и Oracle, другая софтверная фирма-гигант, а платиновыми спонсорами конференции наряду c MS стали корпорация Cisco Systems и консалтинговая компания Ernst amp; Young.
Для сравнения можно напомнить, что не далее как в прошлом году та же Cisco устроила здесь грандиозный скандал, подав в суд на одного из докладчиков и на организаторов конференции за то, что они провели сессию, посвященную серьезнейшей дыре в защите «неприступных» маршрутизаторов знаменитой компании. А еще несколькими годами ранее, как многие наверное помнят, корпорация Adobe инициировала арест агентами ФБР одного из участников конференции, российского программиста Дмитрия Склярова, за его доклад о слабостях защиты электронных книг.
Поняв-таки, что столь агрессивные действия не могут помешать распространению неприятной для них информации и одновременно катастрофически портят имидж, ныне корпорации в корне изменили тактику. Помимо щедрого спонсорства, компания Cisco, в частности, прислала на конференцию своего директора по безопасности Джона Стюарта, который выступил с докладом — о новых взглядах на взаимоотношения между поставщиками продуктов и независимыми исследователями.