DAPRA Chi Hàng Triệu USD Để Tìm Kiếm Phần Mềm Có Thể Tự Bảo Vệ Mình

Mỗi năm tại Las Vegas, Defcon đều tổ chức một cuộc thi gọi là Capture the Flag. Đây là một cuộc thi về tấn công mạng: người tham gia cố gắng tấn công vào hệ thống của đội nhà trong khi đội nhà cố gắng tấn công lại máy chủ của người chơi. Cuộc thi này có cả phòng thủ và tấn công. Nếu người chơi tấn công tốt, họ có thể đột nhập vào hệ thống của đội nhà trước khi đối phương biết. Nếu người chơi trong vai trò phòng thủ, họ có thể sớm ngăn chặn sự xâm nhập của đối thủ và học hỏi từ các đối thủ của mình.

Michael Walker đã giúp thiết kế những game này, thậm chí là tham gia một vài lần. Vào năm 2013, ông đến với DARPA với một thử thách: dạy các máy tính cách chơi.

Cuộc thi Cyber Grand Challenge của DARPA, hiện đang bắt đầu vòng loại, đang kiểm tra danh sách người thi đấu với hơn 100 đội chơi. Mỗi đội đại diện có nhiệm vụ xem xét sự khác nhau của một chương trình. Nhiệm vụ cơ bản cho mỗi chương trình rất đơn giản: tìm các biện pháp để tấn công phần mềm. Không ai có thể xây dựng một thợ săn lỗi tự động cho các mục đích như thế, và không rõ về việc làm thế nào để thực hiện điều đó tốt.

Tuy nhiên, vào thời điểm Defcon tổ chức cuộc thi vào mùa hè 2016, Walker đang hướng đến mùa thi của các chương trình săn lỗi. Đội chiến thắng sẽ giành được giải thưởng 2 triệu USD, 1 triệu USD cho đội về nhì và 750 nghìn USD cho đội về ba.

DARPA đã thử nghiệm mô hình cuộc thi trước đó, tổ chức cuộc thi Grand Challenges cho các xe hơi tự lái, robot hình người và các hệ thống truyền động. Trong mỗi trường hợp, mục tiêu là có được ý tưởng với nhiều nghiên cứu mang tính lý thuyết và áp dụng nó vào lĩnh vực thực tiễn. Để làm được điều đó, DARPA đã đưa ra một giải thưởng tiền mặt lớn và có được nhiều người tham dự. Cuộc thi dành cho tất cả mọi người, từ các cửa hàng nhỏ đến các đội ngũ chuyên nghiệp cạnh tranh cùng với các tập đoàn lớn. Một số nhận được tại trợ kinh phí từ DARPA, nhưng một số khác nhận được từ bên ngoài, tất cả tạo ra càng nhiều cách tiếp cận với vấn đề càng tốt.

Đối với trường hợp xe hơi tự lái, hy vọng của Walker là nghiên cứu bảo mật tư động có thể giống với một điểm bùng phát tương tự. Ông cho rằng các nhà nghiên cứu có thể giải quyết rất nhiều vấn đề thú vị trong phòng thí nghiệm, nhưng không thể thực hiện theo các ứng dụng thực tế và không thể thực hiện chúng như một hệ thống tự lái.

Thay vì xây dựng phần mềm có thể đi hoặc lái, các đội chơi sẽ phải trả lời các câu hỏi cơ bản về nghiên cứu bảo mật: Làm thế nào bản mã này thất bại? Đây là một câu hỏi khó, một trong số đó chiếm toàn bộ ngành công nghiệp với đầy đủ những người rất thông minh và chỉ quản lý một phần nhỏ trong nhiều cách dẫn đến việc một chương trình có thể thất bại.

Có thể sẽ mất vài năm cho một lỗ hổng bảo mật trên bề mặt, ngay cả những phần mềm được sử dụng rộng rãi như Windows. Một khi nhà nghiên cứu tìm thấy một lỗ hổng bảo mật, việc xây dựng và áp dụng bản vá lỗi có thể mất vài tháng. Trong những trường hợp cao cấp hơn như lỗ hổng Heartbleed, kết quả thường giống như một cuộc đua thực sư khi các tội phạm vộ vàng khai thác lỗi trước khi các quản trị viên có thời gian sửa lỗi.

Phần mềm săn lỗi sẽ hoạt động nhanh hơn, vá các lỗ hổng bảo mật tiềm năng ngay khi nó nhận thấy được các hacker đang cố khai thác chúng. Cyber Challenge đang áp dụng cho hầu hết các dạng thành phần ý tưởng, nhưng nếu các mẫu thử nghiệm được áp dụng trong thực tế, nó sẽ trở thành một thay đổi quan trọng cho nghiệp vụ an ninh, hiện đang được giả định rằng bất cứ phần mềm nào được sử dụng rộng rãi đều có các lỗ hổng mà chúng ta không biết.

Lý thuyết về khả năng tính toán cho thấy rằng các chương trình sẽ không thể tìm thấy tất cả lỗ hổng bảo mật, việc đẩy nhanh chu kỳ vá lỗi sẽ đủ để thay đổi cách mà phần mềm hoạt động.

Cho đến nay, Walker quan tâm nhất là về việc công bố ý tưởng có thể hoạt động được. Các đội tham gia cuộc thi sẽ phải chống lại một bộ phần mềm thử nghiệm với các đội nhà giỏi nhất nhận được tài trở từ DARPA. Các đội được tài trợ sẽ cạnh tranh chống lại một lĩnh vực mở với những chuỗi thách thức cho đến Defcon 2016, cuộc thi mà các đội chơi sẽ có cuộc đối đầu khốc liệt, sử dụng các máy tính công suất lớn để thể hiện các chương trình của mình trước mọi người.

Để kiểm tra các chương trình, đội của Walker đang cung cấp một thương hiệu định dạng nhị phân mới và 100 tác phẩm phần mềm mới. Mỗi tác phẩm sẽ đi kèm với một nhiệm vụ rõ ràng, nhiệm vụ của kẻ tấn công là phải đánh bại phần mềm đó. Điều này có nghĩa là bất kỳ lỗ hổng bảo mật nào cũng sẽ trở nên hoàn toàn mới và vô dụng trước những cuộc tấn công trên phần mềm hiện có.

Bản chất của Capture the Flag có nghĩa là các chương trình sẽ chỉ cạnh tranh chống lại các chương trình khác, vì vậy điều này sẽ giúp cho các thế hệ sau của phần mềm dễ thích nghi và được cải thiện nhiều hơn.

Điều quan trọng nhất là: nếu DARPA muốn đưa ra một chương trình đối đầu trực tiếp mới một người giống như kiện tướng cờ vua Kasparov và siêu máy tính Deep Blue, chúng ta có thể biết chính xác cách nó hoạt động. Câu hỏi quan trọng hiện nay là không phải ai sẽ giành chiến thắng, mà là ai có thể chứng minh được ý tưởng của mình.