Järelevalve-kui-teenusetööstus tuleb kärpida

Siin läheme uuesti: ilmnenud on järjekordne näide valitsuse järelevalvest, mis hõlmab Apple'i ja Google'i nutitelefone, ja see näitab, kui keerukaks võivad valitsuse toetatud rünnakud muutuda ja miks on õigustatud mobiiliplatvormide täielik lukustamine.

Mis juhtus?

Ma ei kavatse uudistele liiga palju keskenduda, kuid lühidalt on see järgmine:

• Google'i ohuanalüüsi rühm on avaldatud teave, mis paljastab häkkimise.
• Rünnaku lõi Itaalia jälitusfirma RCS Labs.
• Rünnakut on kasutatud Itaalias ja Kasahstanis ning võib-olla ka mujal.
• Mõnda põlvkonda rünnakut juhitakse Interneti-teenuse pakkujate abiga.
• iOS-is kuritarvitasid ründajad Apple'i ettevõtte sertifitseerimistööriistu, mis võimaldavad rakendusesisest juurutamist.
• Kasutati umbes üheksa erinevat rünnakut.

Rünnak toimib järgmiselt: sihtmärgile saadetakse ainulaadne link, mille eesmärk on meelitada teda pahatahtlikku rakendust alla laadima ja installima. Mõnel juhul töötasid õudused koos Interneti-teenuse pakkujaga andmeühenduse keelamiseks, et meelitada sihtmärke selle ühenduse taastamiseks rakendust alla laadima.

Apple on parandanud nendes rünnakutes kasutatud nullpäeva rünnakud. See oli varem hoiatanud, et halvad näitlejad on olnud kuritarvitades oma süsteeme, mis võimaldavad ettevõtetel levitada apps ettevõttesisene. Paljastused on seotud Lookout Labsi hiljutiste uudistega ettevõttetasemel Androidi nuhkvara nimega Hermit.

Mis on ohus?

Probleem seisneb selles, et sellised seiretehnoloogiad on turule viidud. See tähendab, et võimalusi, mis on ajalooliselt olnud kättesaadavad ainult valitsustele, kasutavad ka eratöövõtjad. Ja see kujutab endast ohtu, kuna väga konfidentsiaalseid tööriistu võidakse paljastada, ära kasutada, pöördprojekteerida ja kuritarvitada.

As Ütles Google: „Meie leiud rõhutavad, mil määral on kommertsjärelevalve müüjad suurendanud võimalusi, mida on ajalooliselt kasutanud ainult valitsused, kellel on tehniline teadmine kasutusvõimaluste arendamiseks ja kasutuselevõtuks. See muudab Interneti vähem turvaliseks ja ohustab usaldust, millest kasutajad sõltuvad.

Mitte ainult see, vaid need privaatsed jälgimisettevõtted võimaldavad ohtlikel häkkimistööriistadel levida, pakkudes samal ajal valitsustele kättesaadavaks need kõrgtehnoloogilised nuhkimisvõimalused – mõned neist näivad nautivat teisitimõtlejate, ajakirjanike, poliitiliste oponentide ja inimõiguste töötajate järele luuramist. 

Veelgi suurem oht ​​on see, et Google jälgib juba vähemalt 30 nuhkvaratootjat, mis viitab sellele, et kommertsjärelevalve kui teenuse tööstus on tugev. See tähendab ka seda, et praegu on teoreetiliselt võimalik isegi kõige vähem usutavamal valitsusel sellistel eesmärkidel kasutada tööriistu – ja arvestades, et paljud tuvastatud ohud kasutavad ära küberkurjategijate tuvastatud ärakasutamist, tundub loogiline arvata, et see on veel üks sissetulekuallikas, mis julgustab pahatahtlikke uurimine.

Millised on riskid?

Probleem: need lähedased seosed erastatud järelevalve ja küberkuritegevuse pakkujate vahel ei tööta alati ühes suunas. Need ärakasutamised – millest vähemalt mõned näivad olevat piisavalt rasked, et avastada, et ainult valitsustel on selleks ressursid – lekivad lõpuks.

Ja kuigi Apple, Google ja kõik teised jäävad sellise kuritegevuse ärahoidmiseks pühenduma kassi-hiire mängule, sulgedes võimalusel ärakasutamise, on oht, et kõik valitsuse volitatud tagaukse või seadme turvavead libisevad lõpuks reklaami. turgudele, kust see jõuab kriminaalseteni.

Euroopa andmekaitseamet hoiatas: "Pegasuse nuhkvara kohta tehtud paljastused tekitasid väga tõsiseid küsimusi kaasaegsete nuhkvaratööriistade võimaliku mõju kohta põhiõigustele, eriti õigustele eraelu puutumatusele ja andmekaitsele."

See ei tähenda, et turvauuringuteks poleks õigustatud põhjuseid. Igas süsteemis on puudusi ja me vajame, et inimesed oleksid motiveeritud neid tuvastama; turvavärskendused poleks üldse olemas ilma erinevate turvauurijate pingutusteta. Apple maksab kuni kuuekohaline teadlastele, kes tuvastavad selle süsteemide haavatavused.

Mis saab edasi?

EL-i andmekaitseinspektor kutsus selle aasta alguses üles keelustama NSO Groupi kurikuulsa Pegasuse tarkvara kasutamise. Tegelikult läks kõne kaugemale, taotledes otse Pegasuse võimekusega nuhkvara arendamise ja juurutamise keelustamist.

NSO Group on nüüd ilmselt müügiks.

. EL ütles ka et juhul, kui selliseid ärakasutusi kasutati erandolukordades, peaks selline kasutamine nõudma, et sellised ettevõtted nagu NSO alluksid regulatiivsele järelevalvele. Selle osana peavad nad austama ELi õigust, kohtulikku järelevalvet, kriminaalmenetlusõigusi ning nõustuma ebaseadusliku luureteabe impordi mittetoomisega, riigi julgeoleku poliitilise kuritarvitamisega ning toetama kodanikuühiskonda.

Teisisõnu, need ettevõtted vajavad vastavusse viimist.

Mida sa saad teha

Pärast paljastusi NSO Groupi kohta eelmisel aastal, Apple avaldas järgmised parimate tavade soovitused et aidata selliseid riske maandada.

• Värskendage seadmeid uusimale tarkvarale, mis sisaldab uusimaid turvaparandusi.
• Kaitske seadmeid pääsukoodiga.
• Kasutage Apple ID jaoks kahefaktorilist autentimist ja tugevat parooli.
• paigaldama apps App Store'ist.
• Kasutage võrgus tugevaid ja ainulaadseid paroole.
• Ärge klõpsake tundmatute saatjate linke ega manuseid.

Palun järgige mind puperdamavõi liituge minuga AppleHolici baar ja grill ja Apple'i arutelud rühmad saidil MeWe.