Phần lớn chống virus mới là tìm hiểu chúng hoạt động ra sao. Cần reverse-engineering (kỹ thuật đảo ngược) cho đó. NSA (Cơ quan An ninh Quốc gia Mỹ) rõ ràng làm việc này nhiều, nên họ tự tạo công cụ Ghidra hỗ trợ.

Cách phát âm: Ghee-dra. Phát hành miễn phí và mã nguồn mở ngày 5/3/2019 tại hội nghị RSA San Francisco. Có thể xem ghi chép trình bày Ghidra của Robert Joyce, Cố vấn cấp cao NSA.

Để hiểu tại sao phát hành Ghidra quan trọng, cần hiểu reverse-engineering là gì và dùng làm gì.

Reverse Engineering là gì và tại sao dùng?

Chung chung, reverse-engineering (RE) là quá trình tháo dỡ thứ gì đó để hiểu nó được làm như thế nào. Bạn có thể tự làm với thiết bị nhỏ tại nhà, chỉ để sửa nó. Nhưng chúng ta nói RE chương trình. Chỉ là code thôi, phải không? Tại sao không xem code phía sau?

Viết chương trình bằng C hay Java, có bước giữa viết và dùng trên máy. Ngôn ngữ bạn dùng đọc được bởi bạn, nhưng không nhất thiết máy đọc được. Phải dịch sang thứ máy làm việc được. Quá trình gọi là compiling (biên dịch).

Sau khi biên dịch, chương trình không còn đọc được bởi con người.

Muốn hiểu chương trình đó hoạt động ra sao, cần tháo dỡ đến mức thấy bên trong. Cần bộ công cụ cho đó, giống như cần bộ tuyp, khoá anh để tháo thiết bị nhỏ hoặc động cơ.

Đó là lúc Ghidra xuất hiện. Hộp công cụ tháo software xem nó "tick" như thế nào. Đã có công cụ tương tự: IDA, Radare, Binary Ninja.

NSA dùng Ghidra tháo virus, malware, chương trình khác đe dọa an ninh quốc gia. Dựa trên phát hiện, họ lập kế hoạch ứng phó. Với số sự kiện hack do nhà tài trợ nhà nước gần đây, bạn biết đây là việc lớn.

Ai cũng dùng được Ghidra không?

Chưa chắc. Cần ít nhất trình độ lập trình. Không cần là kỹ sư phần mềm, nhưng nếu học vài môn lập trình đại học, bạn vào được Ghidra và tự học dùng.

Thêm vào đó, trang chính thức Ghidra có hướng dẫn cài đặt, tham khảo nhanh, wiki, issue tracker. Mục đích cung cấp tất cả: mọi người cùng học, cùng làm thế giới an toàn hơn khỏi hacker độc hại.

NSA làm điều này để "cải tiến công cụ an ninh mạng..." và "xây dựng cộng đồng..." nhà nghiên cứu thành thạo Ghidra đóng góp phát triển, theo bài trình bày của Robert Joyce.

Tại sao Ghidra là việc lớn?

Nó từ NSA. Công ty nào có nguồn lực như cơ quan liên bang Mỹ? Kinh nghiệm nào công ty bảo mật tốt nhất có thể so với cơ quan an ninh quốc gia mạnh nhất Trái Đất?

Vậy, đúng, công cụ rất mạnh. Nhà nghiên cứu bảo mật Joxen Coret tweet: "Ghidra s**t lên mọi công cụ RE khác, chỉ ngoại trừ IDA."

Pot đó là mặt miễn phí. Có thể lấy công cụ RE mạnh nhất (có thể) miễn phí, rào cản vào nghiên cứu bảo mật hạ thấp còn chỉ cần máy tính và Internet.

Đây là một phần lý do NSA phát hành. Hy vọng thế hệ nhà nghiên cứu mới thành thạo nó và cân nhắc sự nghiệp tại NSA.

Pot nữa là mã nguồn mở. Cơ quan an ninh không biết để người xem sau màn che vì lý do tốt. Nếu biết họ làm như thế nào, dễ 저지 họ hơn. Toàn bộ mã nguồn Ghidra công khai để ai cũng lướt qua xem chính xác nó hoạt động ra sao.

Và không, không có báo cáo backdoor chính phủ trong đó. Ron Joyce giải quyết nhanh: cộng đồng nghiên cứu bảo mật, "là cộng đồng cuối cùng bạn muốn phát hành thứ có backdoor, cho những người săn backdoor để tháo dỡ."

Góc độ giáo dục: Ghidra cho kỹ sư phần mềm mầm non tháo chương trình xem cách hoạt động, học làm tương tự cho dự án riêng. Xem code người khác lâu nay là thực hành chấp nhận được giữa lập trình viên để giỏi hơn. Nếu code được chia sẻ mở, đương nhiên.

Có lẽ việc lớn nhất: Ghidra thiết kế dùng cộng tác. Có kho chung với đồng nghiệp/bạn bè để cùng làm dự án cùng lúc. Tăng tốc quá trình phân tích劇.

Tiếp theo là gì?

Chính phủ liên bang Mỹ cam kết phát hành thêm phần mềm liên quan an ninh. Một phần rất kỹ thuật như Ghidra, phần khác thân thiện hơn như Android bảo mật nâng cao.

Tất cả báo hiệu thời kỳ độc đáo hợp tác chính phủ - dân sự nhằm giữ cơ sở hạ tầng dữ liệu an toàn nhất có thể.

U.S. Secret Service – https://www.secretservice.gov/data/press/reports/USSS_FY2013AR.pdf

https://media.defense.gov/2012/Apr/27/2000157039/-1/-1/0/120417-F-JM997-405.JPG