ClickShare 漏洞或许已修复，但其背后隐藏着更严峻的问题
本文的一个版本曾发表于 DevOps.com。本文已为在此处联合发布进行了更新，并包含指向漏洞挑战的交互式链接。
我想我们都记得在最近的会议或研讨会上，有人遇到演示技术故障的情景。这种情况太常见了，以至于人们几乎默认了最初的体验会有些笨拙。因此，ClickShare 的无缝应用程序能迅速受到终端用户欢迎也就不足为奇了。对他们而言，使用 ClickShare 应用程序将笔记本电脑、平板电脑或智能手机上的演示内容投射到大屏幕或会议室投影仪上，再简单不过了。总部位于比利时的数字投影和成像技术供应商 Barco 在设计其自动化平台时，正是为了实现这种便捷，而大型企业也欣然接受了这一理念。FutureSource Consulting 的数据显示，Barco 在会议技术领域的市场份额为 29%，并已集成到 40% 的财富 1000 强企业中。
当 F-Secure 的研究人员在 12 月披露这一看似无害的自动化平台存在大量安全漏洞时，在商业界引起了轩然大波。这些被发现的安全漏洞性质严重，可能导致各种恶意活动。
研究人员演示了这些漏洞如何允许远程用户窥探正在进行的演示、在安全网络中创建后门，甚至配置间谍软件分发服务器，从而感染每一个连接到 Barco 设备的终端用户。突然之间，企业面临着在整个组织的会议室和办公室中直接安装了严重安全隐患的风险。由于这些漏洞的性质，单个受损设备就可能导致整个网络被攻破。
F-Secure 的官员在报告中写道：“成功入侵一台设备的攻击者将获得解密以及为任何设备（无论是同一系列还是跨系列）生成有效加密镜像的能力。此外，此类攻击者还可能获取存储的敏感数据，例如配置的 Wi-Fi PSK 和证书。”
值得称赞的是，Barco 在发布针对其产品漏洞的补丁和修复程序方面表现得非常积极。安全供应商 Tenable 最近发布的一份报告显示，包括 Barco 在内的八种演示工具共存在 15 个漏洞。截至 2 月，只有 Barco 在积极部署修复程序。
尽管 Barco 的部分漏洞需要硬件更换（如果企业真的采取这种程度的措施来确保安全，那么部署将是一场噩梦），但其中许多漏洞可以通过软件补丁来修复。这为大多数企业用户提供了一个看似可行的短期解决方案，但他们远未脱离险境。在处理知名硬件和软件产品的漏洞时，Barco 的问题仅仅是冰山一角。
问题的根源
现在，当务之急的问题已经解决，我们需要追问：为什么这些存在严重安全缺陷的设备会出现在全球数以千计的会议室中？或者说，为什么它们在最初设计和编程时如此粗糙？F-Secure 团队发现的并非零日漏洞或此前未知的漏洞。Barco 产品中发现的十个漏洞都与众所周知的、常见的漏洞（如代码注入攻击）有关。大多数漏洞此前已有通用漏洞披露（CVE）编号。
那么，这些几十年前的 CVE 是如何被编码，甚至硬编码进现代演示工具中的呢？唯一的解释是，开发人员要么不知道这些漏洞，要么在设计 Barco 设备时并未将安全性放在首位。遗憾的是，这种情况很常见，而且绝非 Barco 团队所独有。
修复漏洞的最佳时机是在应用程序开发阶段，远在产品交付给用户之前。最糟糕（也是成本最高）的时机是在产品部署之后，或者在被攻击者利用之后。这是一个惨痛的教训，随着 Barco 在此次安全惨败后其曾经坚不可摧的市场份额受到冲击，他们必将深刻体会到这一点。
将安全修复工作前置到开发流程中并非易事，但在当今世界，即便是演示工具这类看似简单的设备，其复杂程度也令人惊讶，且已与各种网络深度互联，因此这一举措显得尤为必要。在这种环境下，安全性必须成为组织内部的最佳实践。无论一家公司是在编写社交媒体应用程序还是制造智能烤面包机，都必须在组织的各个层面考虑安全性。
优先考虑安全最佳实践并将其作为共同责任，正是 DevSecOps 运动的目标。在该模式下，开发、安全和运维团队通力合作，共同编写和部署安全的软件与产品。这需要文化上的彻底转变。新的思维方式应当是：部署一个存在安全漏洞的可用产品，与创建一个无法实现其主要功能的产品一样，都是一种失败。
在健康的 DevSecOps 环境中，任何接触软件的人都应具备安全意识，开发人员应接受相关且频繁的培训，以避免在工作中引入灾难性的漏洞。如果 Barco 的团队将安全性视为共同责任，那么像这样包含大量漏洞（包括几十年前的 CVE）的产品绝不可能进入他们的演示工具中。
安全的前进之路
没有人愿意成为下一个 Barco，不得不解释为什么众所周知的安全缺陷会通过他们的设备部署到全球数千个企业网络中。为了避免这种命运，开发软件或智能硬件的公司应立即将安全性作为共同责任和组织最佳实践放在首位。建立一个健康的 DevSecOps 项目需要时间，也可能需要文化上的转变，但其成果将远超所付出的努力。强大的 DevSecOps 可以在漏洞造成麻烦之前就将其消灭。
对于购买产品和软件的公司而言，支持那些拥抱 DevSecOps 的企业最符合其自身利益。这样做将极大地确保从这些供应商处获得的设备和软件不会成为等待被日益精明的攻击者利用的定时炸弹。
欢迎访问 Secure Code Warrior 博客，深入了解 DevSecOps，学习如何保护您的企业和客户免受安全漏洞与缺陷的侵害。
想深入了解 Barco 遇到的安全漏洞吗？
立即参与以下游戏化挑战：
在 AI 驱动的开发成果发布前实现有效治理
评估 AI 辅助风险，在提交代码时强制执行安全编码策略，并加速整个软件开发生命周期的安全交付。
探索更多博客
获取有关安全编码、人工智能治理和软件风险管理的专家内容。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
在产品发布前确保 AI 驱动的开发安全
洞察开发风险，执行安全策略，并在整个软件开发生命周期中预防漏洞。
