Fuzzing je metoda testování software nejen vůči bezpečnostním chybám (které v závislosti na objevené chybě mohou způsobit přetečení bufferu a spuštění nežádoucího kódu). Základní princip spočívá v tom, že se do vstupu programu odesílají náhodné znaky a testuje se, zda si program poradí s těmito požadavky. To že program spadne však ještě neznamená, že se jedná o bezpečnostní chybu, jedná se pouze o chybu v programu. Zda tato chyba nese nějaké bezpečnostní riziko se musí zjišťovat jinými mechanismy.
Metoda není nová. Již v letech 1990 a 1995 Barton P. Miller s kolegy testovaly unixové nástroje a to jak z komerčních Unixů, tak open source GNU. Tím že se jim posílaly náhodné řetězce na vstupy, programy padaly (s core dumpem) nebo se zasekly (v nekonečné smyčce). Podle studie Bartona P. Millera ve více než 40 % případů se u komerčních aplikací objevily chyb. Selhán unixových nástrojů tak přineslo pády mezi 15 % a 43 % aplikací. Na druhé straně u GNU aplikací se pády objevovaly okolo 7 % případů. Podrobnější informace naleznete v práci Fuzz Revisited: A Reexamination of Realiability of Unix Utilities and Services (bohužel práce je pouze v PostScriptu a angličtině)
Jednotlivé technologie okolo Fuzz testování se postupně vylepšují. Nedávno Microsoft oznamoval 1800 nalezených chyb v MS Office 2010, které nalezl pomocí botnetu do kterého zapojil všechny počítače ve firmě. Tento botnet využíval veškerý nevyužitý výkon pro testování Office aplikace, stejně jako to například dělá projekt SETI@home.
Není bez zajímavosti, že právě pomocí fuzz testování vyhrál Charlie Miller Pwn20wn v minulém roce. Právě zde pak prezentoval způsob, jakým tyto chyby odhalil, ale neuvedl jaké chyby našel. Obvinil komerční softwarové firmy, že neprovádí žádné fuzz testování nebo jej provádí chybně a nevěnují se tak řádně bezpečnosti svých produktů. Krátce na to se právě Microsoft chlubí 1800 chybami v Office objevenými pomocí jeho botnetu.
Prameny:
