Novērošanas kā pakalpojuma nozarei ir jātiek galā

Šeit mēs atkal: ir parādījies vēl viens valdības uzraudzības piemērs, kurā iesaistīti Apple un Google viedtālruņi, un tas parāda, cik sarežģīti var kļūt valdības atbalstīti uzbrukumi un kāpēc ir attaisnojums mobilo platformu pilnīgai bloķēšanai.

Kas ir noticis?

Es nedomāju pārāk daudz koncentrēties uz jaunumiem, bet īsumā tas ir šāds:

• Google draudu analīzes grupai ir publicēta informācija, kas atklāj uzlaušanu.
• Uzbrukumu izveidoja Itālijas novērošanas firma RCS Labs.
• Uzbrukums izmantots Itālijā un Kazahstānā, un, iespējams, arī citur.
• Dažas uzbrukuma paaudzes tiek izmantotas ar interneta pakalpojumu sniedzēju palīdzību.
• Operētājsistēmā iOS uzbrucēji ļaunprātīgi izmantoja Apple uzņēmuma sertifikācijas rīkus, kas nodrošina iekšēju lietotņu izvietošanu.
• Tika izmantoti aptuveni deviņi dažādi uzbrukumi.

Uzbrukums darbojas šādi: Mērķim tiek nosūtīta unikāla saite, kuras mērķis ir pievilt viņus lejupielādēt un instalēt ļaunprātīgu lietotni. Dažos gadījumos spocēni sadarbojās ar interneta pakalpojumu sniedzēju, lai atspējotu datu savienojumu, lai maldinātu mērķus lejupielādēt lietotni un atjaunot šo savienojumu.

Apple ir novērsis šajos uzbrukumos izmantotās nulles dienas darbības. Tas jau iepriekš brīdināja, ka ir bijuši slikti aktieri ļaunprātīgi izmanto savas sistēmas, kas ļauj uzņēmumiem izplatīt apps in-house. Atklāsmes ir saistītas ar jaunākajām ziņām no Lookout Labs par uzņēmuma līmeņa Android spiegprogrammatūru Hermit.

Kas ir pakļauts riskam?

Problēma ir tāda, ka tādas novērošanas tehnoloģijas kā šīs ir komercializētas. Tas nozīmē, ka iespējas, kas vēsturiski bijušas pieejamas tikai valdībām, izmanto arī privātie darbuzņēmēji. Un tas rada risku, jo ļoti konfidenciāli rīki var tikt atklāti, izmantoti, apgriezti un ļaunprātīgi izmantoti.

As Google teica: “Mūsu atklājumi uzsver, cik lielā mērā komerciālās novērošanas pārdevēji ir palielinājuši iespējas, kuras vēsturiski izmantojušas tikai valdības, kurām ir tehniskas zināšanas, lai izstrādātu un ieviestu ekspluatāciju. Tas padara internetu mazāk drošu un apdraud uzticību, no kuras ir atkarīgi lietotāji.

Ne tikai tas, bet arī šie privātie novērošanas uzņēmumi ļauj izplatīties bīstamiem uzlaušanas rīkiem, vienlaikus nodrošinot valdībām pieejamas šīs augsto tehnoloģiju slaucīšanas iespējas, no kurām dažas, šķiet, bauda disidentu, žurnālistu, politisko oponentu un cilvēktiesību darbinieku spiegošanu. 

Vēl lielākas briesmas rada tas, ka Google jau izseko vismaz 30 spiegprogrammatūru veidotājus, kas liecina, ka komerciālās uzraudzības kā pakalpojuma nozare ir spēcīga. Tas arī nozīmē, ka pat vismazāk uzticamajai valdībai tagad teorētiski ir iespējams piekļūt rīkiem šādiem nolūkiem — un, ņemot vērā tik daudz identificēto apdraudējumu, tiek izmantoti kibernoziedznieku identificētie ekspluatācijas veidi, šķiet loģiski uzskatīt, ka šī ir vēl viena ienākumu plūsma, kas veicina ļaunprātīgu izmantošanu. pētījumiem.

Kādi ir riski?

Problēma: šīs ciešās saiknes starp privatizētās uzraudzības un kibernoziedzības piegādātājiem ne vienmēr darbosies vienā virzienā. Šie varoņdarbi, no kuriem vismaz daži šķiet pietiekami grūti, lai atklātu, ka tikai valdībām būtu resursi, lai to varētu izdarīt, galu galā noplūdīs.

Un, lai gan Apple, Google un visi pārējie joprojām ir apņēmušies iesaistīties kaķa un peles spēlē, lai novērstu šādu noziedzību, slēdzot ekspluatācijas iespējas, kur vien iespējams, pastāv risks, ka jebkura valdības pilnvarota aizmugures durvju vai ierīces drošības kļūda galu galā iekļūs reklāmā. tirgiem, no kuriem tas nonāks līdz noziedzīgajiem.

Eiropas datu aizsardzības regulators brīdināja: "Atklāsmes par Pegasus spiegprogrammatūru radīja ļoti nopietnus jautājumus par mūsdienu spiegprogrammatūras rīku iespējamo ietekmi uz pamattiesībām un jo īpaši uz tiesībām uz privātumu un datu aizsardzību."

Tas nenozīmē, ka drošības izpētei nav likumīgu iemeslu. Trūkumi pastāv jebkurā sistēmā, un mums ir nepieciešams, lai cilvēki būtu motivēti tos identificēt; drošības atjauninājumi vispār nepastāvētu bez dažādu drošības pētnieku pūliņiem. Apple maksā līdz sešciparu skaitlim pētniekiem, kuri identificē tās sistēmu ievainojamības.

Kas notiek tālāk?

ES datu aizsardzības uzraugs šā gada sākumā aicināja aizliegt NSO Group bēdīgi slavenās programmatūras Pegasus izmantošanu. Faktiski aicinājums tika virzīts tālāk, tieši meklējot "aizliegumu izstrādāt un izvietot spiegprogrammatūru ar Pegasus iespējām".

NSO grupa tagad acīmredzot līdz pārdošanai.

Jūsu darbs IR Klientu apkalpošana ES arī teica ka gadījumā, ja šādas izmantošanas tika izmantotas izņēmuma situācijās, šādai izmantošanai būtu jāpieprasa, lai tādi uzņēmumi kā NSO tiktu pakļauti normatīvajai uzraudzībai. Tā ietvaros tām ir jāievēro ES tiesību akti, tiesas kontrole, kriminālprocesuālās tiesības un jāpiekrīt neimportēt nelikumīgu izlūkdatu, valsts drošības politisku ļaunprātīgu izmantošanu un atbalstīt pilsonisko sabiedrību.

Citiem vārdiem sakot, šie uzņēmumi ir jāsaskaņo.

Ko tu vari darīt

Pēc pagājušā gada atklājumiem par NSO Group Apple publicēja šādus paraugprakses ieteikumus lai palīdzētu mazināt šādus riskus.

• Atjauniniet ierīces uz jaunāko programmatūru, kas ietver jaunākos drošības labojumus.
• Aizsargājiet ierīces ar piekļuves kodu.
• Apple ID izmantojiet divu faktoru autentifikāciju un spēcīgu paroli.
• instalēt apps no App Store.
• Izmantojiet spēcīgas un unikālas paroles tiešsaistē.
• Neklikšķiniet uz saitēm vai pielikumiem no nezināmiem sūtītājiem.

Lūdzu, sekojiet man tālāk Twitter, vai pievienojies man AppleHolic bārs un grils un Apple diskusijas grupas vietnē MeWe.