Industriju nadzora kao usluge treba staviti na petu

Idemo ponovo: pojavio se još jedan primjer vladinog nadzora koji uključuje pametne telefone iz Apple-a i Google-a, i pokazuje koliko sofisticirani napadi koje podržava vlada mogu postati i zašto postoji opravdanje za potpuno zaključavanje mobilnih platformi.

Ono što se dogodilo?

Nemam nameru da se previše fokusiram na vesti, ali ukratko to je sledeće:

• Googleova grupa za analizu prijetnji ima objavljene informacije koje otkrivaju hak.
• Napad je napravila italijanska kompanija za nadzor RCS Labs.
• Napad je korišten u Italiji i Kazahstanu, a možda i drugdje.
• Neke generacije napada su vođene uz pomoć ISP-a.
• Na iOS-u su napadači zloupotrijebili Apple-ove alate za certifikaciju preduzeća koji omogućavaju primjenu aplikacija u kući.
• Korišteno je oko devet različitih napada.

Napad funkcionira ovako: Cilju se šalje jedinstvena veza koja ima za cilj da ih prevari da preuzmu i instaliraju zlonamjernu aplikaciju. U nekim slučajevima, sablazni su radili s ISP-om kako bi onemogućili povezivanje podataka kako bi prevarili mete da preuzmu aplikaciju kako bi povratili tu vezu.

Apple je ispravio eksploatacije nultog dana koje se koriste u ovim napadima. Ranije je upozoravalo da su bili loši glumci zloupotrebljavajući svoje sisteme koji omogućavaju preduzećima da distribuiraju apps U kući. Otkrića su povezana s nedavnim vijestima iz Lookout Labs-a o poslovnom Android špijunskom softveru pod nazivom Hermit.

Šta je u opasnosti?

Problem je u tome što su tehnologije nadzora poput ovih komercijalizirane. To znači da mogućnosti koje su istorijski bile dostupne samo vladama koriste i privatni izvođači. A to predstavlja rizik, jer visoko povjerljivi alati mogu biti otkriveni, iskorišteni, obrnuti inženjering i zloupotrebljeni.

As Rekao je Google: „Naši nalazi naglašavaju stepen do kojeg su dobavljači komercijalnog nadzora proširili sposobnosti koje su u prošlosti koristile samo vlade sa tehničkom ekspertizom za razvoj i operacionalizaciju eksploata. To čini internet manje sigurnim i ugrožava povjerenje o kojem korisnici ovise.”

I ne samo ovo, već ove privatne kompanije za nadzor omogućavaju širenje opasnih hakerskih alata, dok ove visokotehnološke mogućnosti za njuškanje daju na raspolaganje vladama - od kojih neke izgleda uživaju u špijuniranju disidenta, novinara, političkih protivnika i radnika za ljudska prava. 

Još veća opasnost je da Google već prati najmanje 30 proizvođača špijunskog softvera, što sugerira da je industrija komercijalnog nadzora kao usluge jaka. To također znači da je sada teoretski moguće da čak i najmanje vjerodostojna vlada pristupi alatima za takve svrhe - a s obzirom na to da mnoge identificirane prijetnje koriste eksploatacije koje su identificirali kibernetički kriminalci, čini se logičnim misliti da je ovo još jedan izvor prihoda koji potiče zlonamjerne istraživanja.

Koji su rizici?

Problem: ove naizgled bliske veze između dobavljača privatizovanog nadzora i sajber kriminala neće uvijek funkcionirati u jednom smjeru. Ti podvigi — od kojih se barem neki čine dovoljno teškim za otkrivanje da bi samo vlade imale resurse da to mogu učiniti — će na kraju procuriti.

I dok Apple, Google i svi ostali ostaju privrženi igri mačke i miša kako bi spriječili takav kriminal, zatvarajući eksploatacije gdje god mogu, postoji rizik da će bilo koji propust u sigurnosti stražnjih vrata ili uređaja koji je propisala vlada na kraju skliznuti u reklamu. tržišta, sa kojih će doći do kriminalnih.

Evropski regulator za zaštitu podataka upozorio je: “Otkrića napravljena o špijunskom softveru Pegasus pokrenula su vrlo ozbiljna pitanja o mogućem uticaju modernih špijunskih alata na osnovna prava, a posebno na prava na privatnost i zaštitu podataka.”

To ne znači da ne postoje legitimni razlozi za istraživanje sigurnosti. Mane postoje u svakom sistemu i potrebni su nam ljudi da budu motivisani da ih identifikuju; sigurnosna ažuriranja uopće ne bi postojala bez napora istraživača sigurnosti raznih vrsta. Apple plaća do šestocifrenih istraživačima koji identifikuju ranjivosti u njegovim sistemima.

Šta se dalje dešava?

Nadzornik EU za zaštitu podataka pozvao je na zabranu korištenja zloglasnog softvera Pegasus grupe NSO ranije ove godine. U stvari, poziv je otišao dalje, direktno tražeći „zabranu razvoja i postavljanja špijunskog softvera sa mogućnostima Pegaza“.

NSO Grupa je sada očigledno na prodaju.

The EU je takođe saopštila da u slučaju da se takva eksploatacija koristi u izuzetnim situacijama, takva upotreba treba da zahteva da kompanije kao što je NSO budu podvrgnute regulatornom nadzoru. Kao dio toga, oni moraju poštovati zakone EU, sudsku reviziju, krivična procesna prava i pristati da ne uvoze ilegalne obavještajne podatke, da nemaju političku zloupotrebu nacionalne sigurnosti i da podržavaju civilno društvo.

Drugim riječima, ove kompanije treba uskladiti.

Šta možete učiniti

Nakon prošlogodišnjih otkrića o NSO Grupi, Apple objavio sljedeće preporuke najbolje prakse pomoći u ublažavanju takvih rizika.

• Ažurirajte uređaje na najnoviji softver, koji uključuje najnovije sigurnosne ispravke.
• Zaštitite uređaje lozinkom.
• Koristite dvofaktorsku autentifikaciju i jaku lozinku za Apple ID.
• Instaliraj apps iz prodavnice App Store.
• Koristite jake i jedinstvene lozinke na mreži.
• Ne klikajte na linkove ili priloge nepoznatih pošiljalaca.

Molim te, prati me dalje cvrkut, ili mi se pridružite u AppleHolic's bar & grill i Apple diskusije grupe na MeWe.