Bước ngoặt về bảo mật của Microsoft cách đây 12 năm

Bản ghi nhớ vào năm 2002 của Bill Gates, nhà đồng sáng lập Microsoft, đã thay đổi nhận thức về bảo mật của ngành công nghệ khi phát triển phần mềm và dịch vụ.

Vào thời điểm trước năm 2001, việc đối phó lại với các vấn đề bảo mật không nằm trong diện ưu tiên khi xây dựng phần mềm. Trung tâm phản ứng bảo mật của Microsoft (MSRC) thậm chí chỉ là một phần của bộ phận tiếp thị Windows Server. Việc vá các lỗ hổng cũng là một thách thức bởi những quan niệm rằng sẽ không ai phát hiện ra chúng hay đó chỉ là những nguy cơ mang tính lý thuyết.

Tuy nhiên, 2001 là một năm đầy khó khăn đối với Microsoft. Trong bài viếtLife in the Digital Crosshairs, đồng tác giả Steve Lipner, sau này trở thành người đứng đầu nhóm Security Development Lifecycle, kể lại rằng ông bị đánh thức vào 2h sáng ngày 13/7/2001 bởi một cuộc gọi khẩn liên quan đến sâu mang tên Code Red đang lan truyền với tốc độ đáng kinh ngạc bằng cách tự nhân bảo chính nó qua Internet. Chỉ trong vòng 2 tuần đã có tới hơn 300.000 máy tính chạy Windows bị lây nhiễm, trong đó cả các hệ thống của Bộ Tư pháp và Bộ Quốc phòng Mỹ.

Một loạt virus khác xuất hiện sau đó như Blaster, Nimda, Code Red II… cho thấy tội phạm mạng bắt đầu ngày càng tinh vi hơn. Hệ điều hành Windows XP ra đời vào mùa thu 2001 và một lỗ hổng cũng đã nhanh chóng xuất hiện với khả năng kết nối máy in, modem, mạng… để mở đường cho kẻ xấu thâm nhập hệ thống.

Những khủng hoảng trên bộc lộ rằng mức độ quan tâm của Microsoft tới bảo mật không còn phù hợp trước các mối đe doạ ngày càng tăng lên. Ngày 15/1/2002, Bill Gates gửi đi bản ghi nhớ khẳng định Trustworthy Computing (điện toán đáng tin cậy) phải được coi là ưu tiên cao nhất, nói cách khác là bảo mật, sự riêng tư và độ tin cậy phải đóng vai trò chính trong việc phát triển sản phẩm và dịch vụ.

Câu nói của Bill Gates trong bản ghi nhớ được nhắc lại trong cuộc họp về bảo mật diễn ra ngày 3/6 tại trụ sở Microsoft.

“Điện toán đã trở thành một phần quan trọng trong cuộc sống của nhiều người. Trong 10 năm tới, nó sẽ là thứ không thể thiếu trong gần như mọi hoạt động của chúng ta”, Gates viết trong bản ghi nhớ. “Chúng ta phải đi đầu trong việc đưa ngành công nghiệp máy tính đạt được độ đáng tin cậy mới. Tin cậy là khái niệm rộng hơn nhiều so với an ninh, và giành được lòng tin của khách hàng lớn hơn nhiều so với việc chỉ đơn thuần sửa lỗi”.

Bản ghi nhớ đó không đồng nghĩa khủng hoảng bảo mật của Microsoft được giải quyết sau một đêm. Thế nhưng, đây chính là cơ sở cho sự ra đời của chương trình Trustworthy Computing và Security Development Lifecycle (SDL) sau này.

Không lâu sau bản ghi nhớ, một nhóm kỹ sư bảo mật của Microsoft được triệu tập tại Bellevue, Washington (Mỹ) với mục đích tạm dừng phát triển Windows để xem xét lại toàn diện mã với bảo mật là trọng tâm. Tháng 2/2002, bộ phận Windows đóng cửa và các chuyên gia phát triển bắt đầu được đào tạo để phát triển hệ thống bảo mật hơn.

Microsoft đã tạo ra một đội có khả năng tìm kiếm những lỗ hổng và xây dựng công cụ để loại bỏ chúng. Năm 2004, SDL, bao gồm các nguyên tắc bảo mật và riêng tư, được giới thiệu như là quy trình bắt buộc được nhúng vào trong quá trình phát triển, được cập nhật định kỳ và áp dụng cho mọi sản phẩm, mọi dịch vụ trực tuyến.

Nói cách khác, mọi thứ đều phải thông qua SDL, giúp các nhà phát triển viết mã an toàn hơn trong khi khách hàng luôn được thông tin về vấn đề bảo mật và được cung cấp các bản vá lỗi thường xuyên. Nhiều công ty khác đã tiếp nhận hoặc tự xây dựng các quy trình bảo mật tương tự dựa trên SDL như Cisco và Adobe. Microsoft cho biết hiện bản hướng dẫn và công cụ SDL đã đạt hơn 1 triệu lượt tải.

Ngày nay, máy tính không hoàn toàn sạch lỗi, và chúng cũng sẽ không bao giờ có thể hết lỗi. Sản phẩm càng phổ biến càng trở thành mục tiêu khai thác của tội phạm mạng. Tuy nhiên, những nỗ lực của Microsoft trong việc phát triển sản phẩm với khả năng bảo mật đã có sự tác động lan rộng ra ngoài hệ điều hành Windows. Mọi công ty công nghệ ngày nay đều phải tính đến mức độ bảo mật ngay từ khi hình thành ý tưởng về sản phẩm và dịch vụ, thay vì như trước đây bảo mật chỉ sự đối phó khi mà mọi thứ đã quá muộn.

Theo VNE