Бақылау-қызмет көрсету саласын өкшеге келтіру керек

Міне, біз тағы да қайталаймыз: Apple және Google смартфондарына қатысты үкіметтік қадағалаудың тағы бір мысалы пайда болды және ол үкімет қолдайтын шабуылдардың қаншалықты күрделі болуы мүмкін екенін және мобильді платформаларды толығымен құлыптауға негіз бар екенін көрсетеді.

Не болды?

Мен жаңалықтарға көп көңіл бөлгім келмейді, бірақ қысқаша төмендегідей:

• Google-дың Қауіптерді талдау тобы бар бұзғанын анықтайтын ақпаратты жариялады.
• Шабуылды RCS Labs итальяндық бақылау фирмасы жасады.
• Шабуыл Италия мен Қазақстанда, мүмкін басқа жерлерде қолданылған.
• Шабуылдың кейбір буындары ISP көмегімен жүзеге асырылады.
• iOS жүйесінде шабуылдаушылар Apple корпорациясының ішкі қолданбаларды орналастыруға мүмкіндік беретін кәсіпорын сертификаттау құралдарын теріс пайдаланды.
• Шамамен тоғыз түрлі шабуыл қолданылды.

Шабуыл келесідей жұмыс істейді: нысанаға зиянды қолданбаны жүктеп алу және орнату үшін оларды алдауға бағытталған бірегей сілтеме жіберіледі. Кейбір жағдайларда споуктар осы қосылымды қалпына келтіру үшін қолданбаны жүктеп алу үшін мақсаттарды алдау үшін деректер қосылымын өшіру үшін ISP-пен жұмыс істеді.

Бұл шабуылдарда пайдаланылған нөлдік күндік эксплойттарды Apple түзеді. Ол бұған дейін жаман актерлер болғанын ескерткен болатын бизнеске таратуға мүмкіндік беретін өз жүйелерін теріс пайдалану apps Үйде. Ашылғандар Hermit деп аталатын кәсіпорын деңгейіндегі Android шпиондық бағдарламасының Lookout Labs соңғы жаңалықтарымен байланысты.

Қандай қауіп бар?

Мұндағы мәселе – бақылау технологиялары коммерцияланған. Бұл тарихта тек үкіметтерде болған мүмкіндіктерді жеке мердігерлер де пайдаланады дегенді білдіреді. Және бұл тәуекелді білдіреді, өйткені өте құпия құралдар ашылуы, пайдаланылуы, кері өңдеуі және теріс пайдаланылуы мүмкін.

As Google деді: «Біздің қорытындыларымыз коммерциялық қадағалау сатушыларының эксплуаттарды әзірлеу және пайдалану үшін техникалық тәжірибесі бар үкіметтер тарихи түрде ғана қолданатын мүмкіндіктерінің қаншалықты кеңейгенін көрсетеді. Бұл интернетті қауіпсіз етеді және пайдаланушылардың сеніміне қауіп төндіреді».

Бұл ғана емес, бұл жеке бақылау компаниялары қауіпті хакерлік құралдардың көбеюіне мүмкіндік береді, сонымен бірге үкіметтерге жоғары технологиялық бақылау құралдарын береді - олардың кейбіреулері диссиденттерге, журналистерге, саяси қарсыластарға және құқық қорғаушыларға тыңшылық жасауды ұнататын сияқты. 

Бұдан да үлкен қауіп - Google кем дегенде 30 шпиондық бағдарлама жасаушыны қадағалап отыр, бұл қызмет ретінде коммерциялық қадағалау саласының күшті екенін көрсетеді. Бұл сондай-ақ, тіпті ең аз сенімді үкіметтің де осындай мақсаттарға арналған құралдарға қол жеткізуі теориялық тұрғыдан мүмкін екенін білдіреді - және анықталған қауіптердің көпшілігі киберқылмыскерлер анықтаған эксплуатацияларды пайдаланатынын ескере отырып, бұл зиянды әрекеттерді ынталандыратын басқа кіріс ағыны деп ойлау қисынды болып көрінеді. зерттеу.

Қандай қауіптер бар?

Мәселе: жекешелендірілген бақылауды жеткізушілер мен киберқылмыс арасындағы тығыз байланыстар әрқашан бір бағытта жұмыс істей бермейді. Бұл эксплуатациялар - кем дегенде кейбіреулері тек үкіметтер мұны істей алатын ресурстарға ие болатынын анықтау өте қиын болып көрінеді - ақырында ағып кетеді.

Apple, Google және басқалардың барлығы мұндай қылмыстың алдын алу үшін мысық пен тышқан ойынын ұстанып, мүмкіндігінше эксплойттерді жабуға тырысса да, үкімет бекіткен кез келген артқы есік немесе құрылғы қауіпсіздігінің кемшілігі ақыры коммерциялық жүйеге түсіп қалу қаупі бар. нарықтар, олардан қылмыскерлерге жетеді.

Еуропаның Деректерді қорғау реттеушісі: «Pegasus шпиондық бағдарламасына қатысты ашылған ақпарат қазіргі шпиондық құралдардың негізгі құқықтарға, әсіресе жеке өмірге қол сұғылмаушылық пен деректерді қорғау құқықтарына ықтимал әсері туралы өте маңызды сұрақтар туғызды» деп ескертті.

Бұл қауіпсіздікті зерттеудің заңды себептері жоқ дегенді білдірмейді. Кемшіліктер кез келген жүйеде бар және біз оларды анықтауға ынталы болуымыз керек; қауіпсіздік жаңартулары әртүрлі түрдегі қауіпсіздік зерттеушілерінің күш-жігерінсіз мүлдем болмайды. Алма алты цифрға дейін төлейді оның жүйелеріндегі осалдықтарды анықтайтын зерттеушілерге.

Бұдан кейін не болады?

ЕО-ның деректерді қорғау жөніндегі супервайзері осы жылдың басында NSO Group компаниясының әйгілі Pegasus бағдарламалық жасақтамасын пайдалануға тыйым салуға шақырды. Шындығында, қоңырау одан әрі «Pegasus мүмкіндігі бар шпиондық бағдарламаны әзірлеуге және орналастыруға тыйым салуды» талап етті.

NSO Group енді анық сатылымға шығарылды.

The ЕО да айтты мұндай эксплуатациялар ерекше жағдайларда пайдаланылған жағдайда, мұндай пайдалану NSO сияқты компанияларды өздері реттеуші қадағалауға алуды талап етуі керек. Оның бір бөлігі ретінде олар ЕО заңнамасын, сот сараптамасын, қылмыстық іс жүргізу құқықтарын құрметтеуге және заңсыз барлауды әкелмеуге, ұлттық қауіпсіздікке саяси қиянат жасамауға және азаматтық қоғамды қолдауға келісулері керек.

Басқаша айтқанда, бұл компанияларды сәйкестендіру қажет.

Сіз не істей аласыз

Өткен жылы NSO Group туралы мәлімдемелерден кейін Apple келесі ең жақсы тәжірибе ұсыныстарын жариялады осындай тәуекелдерді азайтуға көмектесу.

• Құрылғыларды соңғы қауіпсіздік түзетулерін қамтитын соңғы бағдарламалық құралға жаңартыңыз.
• Құрылғыларды рұқсат коды арқылы қорғаңыз.
• Apple ID үшін екі факторлы аутентификацияны және күшті құпия сөзді пайдаланыңыз.
• орнату apps App Store дүкенінен.
• Күшті және бірегей құпия сөздерді желіде пайдаланыңыз.
• Белгісіз жіберушілердің сілтемелерін немесе тіркемелерін баспаңыз.

Маған жазылыңыз Twitter, немесе маған қосылыңыз AppleHolic бар және гриль және Apple талқылауы MeWe желісіндегі топтар.