L'industrie de la surveillance en tant que service doit être mise au pas

C'est reparti : un autre exemple de surveillance gouvernementale impliquant des smartphones d'Apple et de Google a émergé, et il montre à quel point les attaques soutenues par le gouvernement peuvent devenir sophistiquées et pourquoi il est justifié de garder les plateformes mobiles complètement verrouillées.

Que s'est-il passé?

Je n'ai pas l'intention de trop m'attarder sur l'actualité, mais en bref c'est comme suit :

• Le groupe d'analyse des menaces de Google a informations publiées révélant le piratage.
• La société de surveillance italienne RCS Labs a créé l'attaque.
• L'attaque a été utilisée en Italie et au Kazakhstan, et peut-être ailleurs.
• Certaines générations de l'attaque sont utilisées avec l'aide des FAI.
• Sur iOS, les attaquants ont abusé des outils de certification d'entreprise d'Apple qui permettent le déploiement d'applications en interne.
• Environ neuf attaques différentes ont été utilisées.

L'attaque fonctionne comme ceci : la cible reçoit un lien unique qui vise à la tromper pour qu'elle télécharge et installe une application malveillante. Dans certains cas, les espions ont travaillé avec un FAI pour désactiver la connectivité des données afin d'inciter les cibles à télécharger l'application pour récupérer cette connexion.

Les exploits zero-day utilisés dans ces attaques ont été corrigés par Apple. Il avait précédemment averti que de mauvais acteurs avaient été abuser de ses systèmes qui permettent aux entreprises de distribuer apps interne. Les révélations sont liées aux récentes nouvelles de Lookout Labs sur les logiciels espions Android de niveau entreprise appelés Hermit.

Qu'est-ce qui est en danger?

Le problème ici est que des technologies de surveillance telles que celles-ci ont été commercialisées. Cela signifie que des capacités qui, historiquement, n'étaient disponibles que pour les gouvernements sont également utilisées par des entrepreneurs privés. Et cela représente un risque, car des outils hautement confidentiels peuvent être révélés, exploités, rétro-conçus et abusés.

As Google a dit: "Nos résultats soulignent à quel point les fournisseurs commerciaux de surveillance ont proliféré des capacités historiquement utilisées uniquement par les gouvernements disposant de l'expertise technique pour développer et opérationnaliser des exploits. Cela rend Internet moins sûr et menace la confiance dont dépendent les utilisateurs.

Non seulement cela, mais ces sociétés de surveillance privées permettent à des outils de piratage dangereux de proliférer, tout en mettant ces installations d'espionnage de haute technologie à la disposition des gouvernements - dont certains semblent aimer espionner les dissidents, les journalistes, les opposants politiques et les défenseurs des droits de l'homme. 

Un danger encore plus grand est que Google suit déjà au moins 30 fabricants de logiciels espions, ce qui suggère que l'industrie commerciale de la surveillance en tant que service est forte. Cela signifie également qu'il est désormais théoriquement possible, même pour le gouvernement le moins crédible, d'accéder à des outils à de telles fins - et étant donné qu'un si grand nombre des menaces identifiées utilisent des exploits identifiés par des cybercriminels, il semble logique de penser qu'il s'agit d'une autre source de revenus qui encourage les attaques malveillantes. rechercher.

Quels sont les risques?

Le problème : ces liens apparemment étroits entre les fournisseurs de surveillance privatisée et la cybercriminalité ne fonctionneront pas toujours dans un sens. Ces exploits – dont certains au moins semblent suffisamment difficiles à découvrir pour que seuls les gouvernements disposent des ressources nécessaires pour le faire – finiront par fuir.

Et tandis qu'Apple, Google et tous les autres restent attachés à un jeu du chat et de la souris pour empêcher une telle criminalité, en fermant les exploits là où ils le peuvent, le risque est que toute porte dérobée ou faille de sécurité de l'appareil mandatée par le gouvernement finisse par se glisser dans le commercial. marchés, à partir desquels il atteindra les criminels.

Le régulateur européen de la protection des données a mis en garde : "Les révélations faites sur le logiciel espion Pegasus ont soulevé de très sérieuses questions sur l'impact possible des outils logiciels espions modernes sur les droits fondamentaux, et en particulier sur les droits à la vie privée et à la protection des données."

Cela ne veut pas dire qu'il n'y a pas de raisons légitimes pour la recherche sur la sécurité. Des failles existent dans tout système, et nous avons besoin que les gens soient motivés pour les identifier ; les mises à jour de sécurité n'existeraient pas du tout sans les efforts des chercheurs en sécurité de toutes sortes. Pomme paie jusqu'à six chiffres aux chercheurs qui identifient les vulnérabilités de ses systèmes.

Qu'est-ce qui se passe ensuite?

Le contrôleur de la protection des données de l'UE a appelé à interdire l'utilisation du tristement célèbre logiciel Pegasus du groupe NSO plus tôt cette année. En fait, l'appel est allé plus loin, recherchant carrément une "interdiction du développement et du déploiement de logiciels espions avec la capacité de Pegasus".

Le groupe NSO est maintenant apparemment mise en vente.

La L'UE a également déclaré que dans le cas où de tels exploits seraient utilisés dans des situations exceptionnelles, une telle utilisation devrait obliger des entreprises telles que NSO à se soumettre à une surveillance réglementaire. Dans ce cadre, ils doivent respecter le droit de l'UE, le contrôle juridictionnel, les droits de procédure pénale et accepter de ne pas importer de renseignements illégaux, de ne pas abuser politiquement de la sécurité nationale et de soutenir la société civile.

En d'autres termes, ces entreprises doivent être mises au pas.

Ce que vous pouvez faire

Suite aux révélations sur NSO Group l'an dernier, Apple publié les recommandations de bonnes pratiques suivantes pour aider à atténuer ces risques.

• Mettez à jour les appareils avec le dernier logiciel, qui inclut les derniers correctifs de sécurité.
• Protégez les appareils avec un mot de passe.
• Utilisez une authentification à deux facteurs et un mot de passe fort pour l'identifiant Apple.
• Installer apps de l'App Store.
• Utilisez des mots de passe forts et uniques en ligne.
• Ne cliquez pas sur des liens ou des pièces jointes provenant d'expéditeurs inconnus.

S'il vous plaît suivez-moi sur Twitter, ou rejoignez-moi dans le Bar & grill AppleHolic ainsi que  Discussions Apple groupes sur MeWe.