Industriju nadzora kao usluge potrebno je dovesti do pete

Opet idemo: pojavio se još jedan primjer državnog nadzora koji uključuje pametne telefone Applea i Googlea i pokazuje koliko sofisticirani napadi koje podržava vlada mogu postati i zašto postoji opravdanje za potpuno zaključavanje mobilnih platformi.

Što se dogodilo?

Ne namjeravam se previše fokusirati na vijesti, ali ukratko to je sljedeće:

• Googleova grupa za analizu prijetnji ima objavljene informacije koje otkrivaju hak.
• Talijanska nadzorna tvrtka RCS Labs napravila je napad.
• Napad je korišten u Italiji i Kazahstanu, a možda i drugdje.
• Neke generacije napada su vođene uz pomoć ISP-ova.
• Na iOS-u su napadači zloupotrijebili Appleove alate za certifikaciju poduzeća koji omogućuju implementaciju aplikacija unutar tvrtke.
• Korišteno je oko devet različitih napada.

Napad funkcionira ovako: Cilju se šalje jedinstvena poveznica koja ima za cilj navesti ih da preuzmu i instaliraju zlonamjernu aplikaciju. U nekim slučajevima, sablazni su radili s ISP-om kako bi onemogućili podatkovnu povezanost kako bi naveli ciljeve da preuzmu aplikaciju kako bi obnovili tu vezu.

Apple je popravio eksploatacije nultog dana korištene u ovim napadima. Prethodno je upozoravalo da su loši glumci zlouporabe svojih sustava koji poduzećima omogućuju distribuciju apps u kući. Otkrića su povezana s nedavnim vijestima iz Lookout Labsa o poslovnom Android špijunskom softveru pod nazivom Hermit.

Što je u opasnosti?

Problem je u tome što su tehnologije nadzora poput ovih komercijalizirane. To znači da sposobnosti koje su povijesno bile dostupne samo vladama također koriste privatni izvođači. A to predstavlja rizik, budući da se visoko povjerljivi alati mogu otkriti, iskoristiti, obrnuti inženjering i zloupotrijebiti.

As Google je rekao: “Naši nalazi naglašavaju stupanj u kojem su dobavljači komercijalnog nadzora proširili sposobnosti koje su u povijesti koristile samo vlade s tehničkom stručnošću za razvoj i operacionalizaciju eksploatacija. To čini internet manje sigurnim i ugrožava povjerenje o kojem korisnici ovise.”

Ne samo to, već te privatne tvrtke za nadzor omogućuju širenje opasnih hakerskih alata, dajući pritom ova visokotehnološka sredstva za njuškanje dostupna vladama - od kojih se čini da neke uživaju u špijuniranju disidenta, novinara, političkih protivnika i radnika za ljudska prava. 

Još veća opasnost je da Google već prati najmanje 30 proizvođača špijunskog softvera, što sugerira da je industrija komercijalnog nadzora kao usluge jaka. To također znači da je sada teoretski moguće da čak i najmanje vjerodostojna vlada pristupi alatima za takve svrhe - a s obzirom na to da mnoge identificirane prijetnje koriste eksploatacije koje su identificirali kibernetički kriminalci, čini se logičnim misliti da je ovo još jedan izvor prihoda koji potiče zlonamjerne istraživanje.

Koji su rizici?

Problem: ove naizgled bliske veze između dobavljača privatiziranog nadzora i kibernetičkog kriminala neće uvijek funkcionirati u jednom smjeru. Ti podvigi — od kojih se barem čini da je dovoljno teško otkriti da bi samo vlade imale resurse da to mogu učiniti — na kraju će procuriti.

I dok Apple, Google i svi ostali ostaju predani igri mačke i miša kako bi spriječili takav kriminal, zatvarajući eksploatacije gdje god mogu, postoji rizik da će bilo koji propust u sigurnosti stražnjih vrata ili uređaja koji je odredila vlada na kraju skliznuti u reklamu tržišta, s kojih će doći do kriminalnih.

Europsko regulatorno tijelo za zaštitu podataka upozorilo je: "Otkrića o špijunskom softveru Pegasus pokrenula su vrlo ozbiljna pitanja o mogućem utjecaju suvremenih špijunskih alata na temeljna prava, a posebno na prava na privatnost i zaštitu podataka."

To ne znači da ne postoje legitimni razlozi za sigurnosna istraživanja. Nedostaci postoje u svakom sustavu i trebamo ljude motivirati da ih identificiraju; sigurnosna ažuriranja uopće ne bi postojala bez napora istraživača sigurnosti raznih vrsta. Jabuka plaća do šesteroznamenkasti istraživačima koji identificiraju ranjivosti u njegovim sustavima.

Što će se dogoditi sljedeće?

EU-ov nadzornik za zaštitu podataka pozvao je na zabranu korištenja zloglasnog softvera Pegasus grupe NSO ranije ove godine. Zapravo, poziv je otišao dalje, izravno tražeći "zabranu razvoja i implementacije špijunskog softvera s mogućnošću Pegasus".

NSO Grupa je sada očito na prodaju.

Korištenje električnih romobila ističe poručila je i EU da bi u slučaju da su takva iskorištavanja korištena u iznimnim situacijama, takva upotreba trebala zahtijevati da tvrtke kao što je NSO budu podvrgnute regulatornom nadzoru. Kao dio toga, moraju poštivati ​​zakone EU-a, sudsku reviziju, kaznena postupovna prava i pristati na neuvoz nezakonitih obavještajnih podataka, političku zlouporabu nacionalne sigurnosti i podržavati civilno društvo.

Drugim riječima, te tvrtke treba dovesti u red.

Što možeš učiniti

Nakon prošlogodišnjih otkrića o NSO Grupi, Apple objavio sljedeće preporuke najbolje prakse pomoći u ublažavanju takvih rizika.

• Ažurirajte uređaje na najnoviji softver, koji uključuje najnovije sigurnosne popravke.
• Zaštitite uređaje lozinkom.
• Koristite dvofaktorsku autentifikaciju i jaku lozinku za Apple ID.
• Instalirati apps iz trgovine App Store.
• Koristite jake i jedinstvene lozinke na mreži.
• Nemojte klikati na veze ili privitke nepoznatih pošiljatelja.

Molim vas, slijedite me dalje X / Twitter, ili mi se pridružite u AppleHolic's bar i roštilj i Jabučne rasprave grupe na MeWe.