Die Surveillance-as-a-Service-Industrie muss unter Kontrolle gebracht werden

Hier sind wir wieder: Ein weiteres Beispiel für staatliche Überwachung mit Smartphones von Apple und Google ist aufgetaucht, und es zeigt, wie ausgefeilt staatlich unterstützte Angriffe werden können und warum es gerechtfertigt ist, mobile Plattformen vollständig gesperrt zu halten.

Was ist passiert?

Ich möchte mich nicht zu sehr auf die Neuigkeiten konzentrieren, aber in Kürze ist es wie folgt:

• Die Threat Analysis Group von Google hat veröffentlichte Informationen, die den Hack aufdecken.
• Die italienische Überwachungsfirma RCS Labs hat den Angriff ins Leben gerufen.
• Der Angriff wurde in Italien und Kasachstan und möglicherweise auch anderswo eingesetzt.
• Einige Generationen des Angriffs werden mit Hilfe von ISPs ausgeführt.
• Auf iOS missbrauchten Angreifer Apples Enterprise-Zertifizierungstools, die eine interne App-Bereitstellung ermöglichen.
• Rund neun verschiedene Attacken kamen zum Einsatz.

Der Angriff funktioniert folgendermaßen: Dem Ziel wird ein eindeutiger Link gesendet, der darauf abzielt, es zum Herunterladen und Installieren einer bösartigen App zu verleiten. In einigen Fällen arbeiteten die Spooks mit einem ISP zusammen, um die Datenkonnektivität zu deaktivieren, um Ziele dazu zu bringen, die App herunterzuladen, um diese Verbindung wiederherzustellen.

Die bei diesen Angriffen verwendeten Zero-Day-Exploits wurden von Apple behoben. Es hatte zuvor davor gewarnt, dass schlechte Schauspieler gewesen seien Missbrauch seiner Systeme, mit denen Unternehmen verteilen können apps im Hause. Die Enthüllungen knüpfen an aktuelle Nachrichten von Lookout Labs über Android-Spyware für Unternehmen namens Hermit an.

Was ist gefährdet?

Das Problem dabei ist, dass Überwachungstechnologien wie diese kommerzialisiert wurden. Dies bedeutet, dass Fähigkeiten, die historisch nur Regierungen zur Verfügung standen, auch von privaten Auftragnehmern genutzt werden. Und das stellt ein Risiko dar, da streng vertrauliche Tools aufgedeckt, ausgenutzt, zurückentwickelt und missbraucht werden können.

As Google sagte: „Unsere Ergebnisse unterstreichen das Ausmaß, in dem kommerzielle Überwachungsanbieter Fähigkeiten entwickelt haben, die in der Vergangenheit nur von Regierungen mit dem technischen Know-how zur Entwicklung und Operationalisierung von Exploits genutzt wurden. Das macht das Internet weniger sicher und gefährdet das Vertrauen, auf das sich die Nutzer verlassen.“

Nicht nur das, diese privaten Überwachungsunternehmen ermöglichen die Verbreitung gefährlicher Hacking-Tools und stellen diese High-Tech-Schnüffeleinrichtungen den Regierungen zur Verfügung – von denen einige anscheinend Spaß daran haben, Dissidenten, Journalisten, politische Gegner und Menschenrechtsaktivisten auszuspionieren. 

Eine noch größere Gefahr besteht darin, dass Google bereits mindestens 30 Spyware-Hersteller verfolgt, was darauf hindeutet, dass die kommerzielle Surveillance-as-a-Service-Branche stark ist. Es bedeutet auch, dass es jetzt theoretisch selbst der am wenigsten glaubwürdigen Regierung möglich ist, auf Tools für solche Zwecke zuzugreifen – und da so viele der identifizierten Bedrohungen Exploits nutzen, die von Cyberkriminellen identifiziert wurden, erscheint es logisch zu glauben, dass dies eine weitere Einnahmequelle ist, die böswillige Angriffe fördert Forschung.

Was sind die Risiken?

Das Problem: Diese scheinbar engen Verbindungen zwischen Anbietern privatisierter Überwachung und Cyberkriminalität funktionieren nicht immer in eine Richtung. Diese Exploits – von denen zumindest einige so schwer zu entdecken scheinen, dass nur Regierungen die Ressourcen dafür hätten – werden schließlich durchsickern.

Und während Apple, Google und alle anderen sich weiterhin einem Katz-und-Maus-Spiel verschrieben haben, um solche Kriminalität zu verhindern und Exploits zu schließen, wo sie können, besteht das Risiko, dass jede von der Regierung vorgeschriebene Hintertür oder Gerätesicherheitslücke schließlich in die Werbung schlüpft Märkte, von wo aus es die kriminellen erreichen wird.

Die europäische Datenschutzbehörde warnte: „Die Enthüllungen über die Pegasus-Spyware werfen sehr ernste Fragen über die möglichen Auswirkungen moderner Spyware-Tools auf die Grundrechte und insbesondere auf das Recht auf Privatsphäre und Datenschutz auf.“

Das heißt nicht, dass es keine legitimen Gründe für Sicherheitsforschung gibt. Fehler gibt es in jedem System, und wir brauchen Menschen, die motiviert sind, sie zu erkennen; Sicherheitsupdates gäbe es ohne die Bemühungen verschiedener Sicherheitsforscher überhaupt nicht. Apfel zahlt bis zu einem sechsstelligen Betrag an Forscher, die Schwachstellen in seinen Systemen identifizieren.

Was passiert als nächstes?

Der Datenschutzbeauftragte der EU forderte Anfang dieses Jahres ein Verbot der Verwendung der berüchtigten Pegasus-Software der NSO Group. Tatsächlich ging der Aufruf noch weiter und forderte direkt ein „Verbot der Entwicklung und des Einsatzes von Spyware mit der Fähigkeit von Pegasus“.

NSO Group ist jetzt offenbar zum Verkauf.

Das sagte auch die EU dass für den Fall, dass solche Exploits in Ausnahmesituationen verwendet werden, eine solche Verwendung erfordern sollte, dass Unternehmen wie NSO selbst einer behördlichen Aufsicht unterworfen werden. Als Teil davon müssen sie das EU-Recht, die gerichtliche Überprüfung und die Rechte des Strafverfahrens respektieren und sich verpflichten, keine illegalen Geheimdienste zu importieren, die nationale Sicherheit nicht politisch zu missbrauchen und die Zivilgesellschaft zu unterstützen.

Mit anderen Worten, diese Unternehmen müssen aneinander angeglichen werden.

Was Sie tun können

Nach den Enthüllungen über die NSO Group im vergangenen Jahr hat Apple veröffentlichte die folgenden Best-Practice-Empfehlungen zur Minderung solcher Risiken beitragen.

• Aktualisieren Sie Geräte auf die neueste Software, die die neuesten Sicherheitsfixes enthält.
• Schützen Sie Geräte mit einem Passcode.
• Verwenden Sie die Zwei-Faktor-Authentifizierung und ein sicheres Passwort für die Apple-ID.
• Installieren apps aus dem App Store.
• Verwenden Sie online starke und eindeutige Passwörter.
• Klicken Sie nicht auf Links oder Anhänge von unbekannten Absendern.

Bitte folge mir weiter Twitter, oder komm mit in die AppleHolics Bar & Grill und Apple-Diskussionen Gruppen auf MeWe.