您好,欢迎访问三七文档
当前位置:首页 > 商业/管理/HR > 信息化管理 > 利用安全强度鉴别软件产品
利用安全强度鉴别软件产品柠檬市场是一个消费者无法从有缺陷的产品(柠檬)中确定产品质量的市场[1]。在这样一个市场中,一个生产者的主导战略是卖柠檬,它们对制造商(或获得)的成本较低,假设消费者出售的任何产品必须都是柠檬。因此,假设在消费者愿意支付产品的价格的条件下,他们将得到一个柠檬。投资于生产高品质的产品的公司将会被那些以较低的成本生产柠檬的公司挤出市场。罗斯安德森[9]等人所说的市场的安全软件就是一个柠檬市场。因为没有一个标准来使消费者区分软件的安全性,因此软件生产商也就没有增加他们出售产品的安全性的动机了。基于安全性区分软件使问题更为复杂,在阻止一种威胁的情况下最强的软件可能会在阻止另一种不同的威胁下最弱,安全强度只有在有安全要求或者构成安全故障的时候才会进行测量和比较并且作出详细说明。如果你的竞争对手不愿意为一个安全漏洞提供奖励,那么你如何将你产品的安全性和竞争对手的安全性进行比较?一种方法是向消费者解释,如果在你的竞争对手的软件中找到一个可能会导致威胁的漏洞的情况下实现的奖励是0美元,那么,可以被利用来执行该方案的一个漏洞的市场价格的下限(标价)也为0美元。然而,比较两个下限不能肯定地说你的系统是更安全的。证明软件的安全优势需要你对竞争对手的漏洞市场的价格设置一个上限,并且证明竞争对手产品的低于你产品的MPV。建立竞争对手软件的安全上限的一种方法是在该软件中找到(或购买)一个漏洞。然后,你可以相同或者更高的价格来提供漏洞。只要你的竞争对手没有修复它并且漏洞信息可以被任何支付者获得,你的要价就是产品MPV的上限。任何人都可以从你的手中以你设定的价格购买系统的一个漏洞,无论他们的意图是良性的或恶意的。只要你的竞争对手的软件漏洞很容易被利用并且比你的软件漏洞的投标价格更低的报价,则可以表明在两款软件在对抗威胁的情况上你的软件更强一些。一个具有指导意义的虚构例子三个不满意开源操作系统安全状态的计算机制造商组成一个贸易集团,SBU,促进一个“安全”的版本伯克利UNIX。这种新的操作系统是针对客户寻求一个安全的网络文件系统和默认配置支持此应用程序。操作系统必须允许管理者通过SSH访问。两个脚本的任何一个的缺失都可能会导致保密性或完整性的丢失。在试验中投资数百万美元,SUB建立一个市场价500000美元的一个漏洞,操作系统为默认配置,漏洞可能会导致机密性或完整性的缺失。在Linux竞争对手的安全强度上建立一个上限,它对所有的Linux版本(RedHat、Debian等)提供了100000美元的漏洞,这个漏洞可能会被对手利用,以获得对系统的根访问权限。在Unix系统,root权限可以为攻击者提供完全控制操作系统并且侵犯其数据的机密性和完整性的能力。发现漏洞,SBU购买它,然后提供给任何愿意支付100000美元标价的人。作为SBU的对手都没有能够或愿意掏出100000美元发现漏洞,在SBU的操作系统漏洞的市场价格已被证明是比竞争对手高400000美元。如果你的竞争对手购买了你的漏洞报告,那么你将需要找到另一个漏洞,以恢复你对竞争对手的软件在安全性上的上限的控制。如果你的竞争对手继续购买你提供的销售的每一个漏洞,那么他可能会在提供奖励前,以建立一个系统的安全性的下限。这相当于你的竞争对手要在安全强度做竞争。如果你产品的安全漏洞较少,那么你将在安全强度的奖励上花费更少的钱,这就会让你处在竞争的优势上。RedHat、Debian和IBM结盟购买和修复了任何其他SBU可以得到证明Linux是不太安全的漏洞。他们并不知道,在Linux上找到一个漏洞支付100000美元是一个非常保守的成本下限。事实上,在前二十个漏洞中每个支付2000000美元,然而当SBU在100000美元购买漏洞的时候,效率丝毫没有减缓的迹象。在所有的基金章程,联盟被迫暂时屈服于在保持他们产品的安全的SBU中重点寻找更具成本效益的方式来删除Linux漏洞(在6章也许使用的方法)作为衡量安全强度的标准,MPV的怀疑论者可能会问,当一个财大气粗的公司试图缩小以竞争公司产品漏洞的市场价格购买漏洞,然后倾销漏洞远远低于成本会怎样?想象一下,例如,一个在市场领先的公司,购买在其竞争对手产品的漏洞,然后100000美元卖给他们,这个价格比他们支付的还要低。这样的市场操纵破坏MPV可以作为度量?虽然上述策略肯定会受到市场领导者的剥削,但MPV仍然是一个有效的度量。一个竞争对手以低于其成本价格在市场上倾销所有漏洞,从而达到对他们对手补贴的目的。如果对手接受这个补贴,并且帮助他攻击一个特定的软件产品,那么该产品将是不太昂贵的攻击。微软认为,用奖励来提高WindowsXQ漏洞,其市场价格是昂贵的,其中有超过十亿行代码,超过目前的25000美元水平。微软认为在SBU的产品中购买漏洞是更具成本效益得,在25000美元的价位卖出。虽然这会让微软至少以475000美元的漏洞价格购买(并可能出售给SBU),微软认为其充足的资金可以以市场价格比SBU以25000美元的价格购买更多的漏洞。有三个很好的理由,为什么一个公司要避免倾销在其竞争对手的产品漏洞来提高自己的比较实力。首先,倾销更强的产品是更昂贵的,如果购买市场漏洞的价格上涨,成本差逐渐减小那么公司将会做倾销。如果竞争的软件开发商,通过这一战略目标能买得起的漏洞和修复它们,那么企业做倾销将为这一竞争对手做测试。长此以往,这只会使竞争对手的产品更安全。第三的结果是,如果企业能够吸引积极资助者(而不是仅仅作为一个漏洞的贸易中心)那么它可能会承担协助责任导致犯罪活动。本章小结在这一章中,我展示了如何用经济的方法来测量软件的安全强度,在前面章节中详细介绍的,可以应用到软件产业。通过提供技术来约束软件产品安全强度和漏洞的市场价格(MPV),我已为软件生产商提供了必要的工具,证明他们产品的强度与他们竞争对手产品的相对强度。用漏洞的市场价格来区分产品的安全强度度量是必要的,并且是更为经济的措施。这个问题是特别重要的,因为继续测量需要奖励(投标价格)提供给一个潜在的无限数量的漏洞。如果奖励是声称比预期更多的时候,MPV可能是一个昂贵的度量。公司也将需要一个成熟的机制,提高他们的软件的安全强度。在下章中,我将解决这两个问题,在软件开发和测试过程中通过引入市场的方法来建立一个程序的安全强度的下限。
本文标题:利用安全强度鉴别软件产品
链接地址:https://www.777doc.com/doc-2609028 .html