De surveillance-as-a-service-industrie moet op de rails worden gezet

Daar gaan we weer: er is weer een voorbeeld opgedoken van overheidstoezicht waarbij smartphones van Apple en Google betrokken zijn, en het laat zien hoe geavanceerd door de overheid gesteunde aanvallen kunnen worden en waarom er een rechtvaardiging is om mobiele platforms volkomen afgesloten te houden.

Wat is er gebeurd?

Ik ben niet van plan om me te veel op het nieuws te concentreren, maar in het kort komt het als volgt neer:

• De Threat Analysis Group van Google heeft dat gedaan gepubliceerde informatie waaruit de hack blijkt.
• Het Italiaanse surveillancebedrijf RCS Labs heeft de aanval bedacht.
• De aanval is gebruikt in Italië en Kazachstan, en mogelijk ook elders.
• Sommige generaties van de aanval worden uitgevoerd met hulp van ISP's.
• Op iOS misbruikten aanvallers de zakelijke certificeringstools van Apple, die de in-house implementatie van apps mogelijk maken.
• Er werden ongeveer negen verschillende aanvallen gebruikt.

De aanval werkt als volgt: het doelwit krijgt een unieke link toegestuurd die bedoeld is om hem te misleiden zodat hij een kwaadaardige app downloadt en installeert. In sommige gevallen werkten de spoken samen met een ISP om de dataconnectiviteit uit te schakelen om doelen te misleiden om de app te downloaden om die verbinding te herstellen.

De zero-day exploits die bij deze aanvallen worden gebruikt, zijn door Apple verholpen. Er werd eerder gewaarschuwd dat er slechte acteurs zijn geweest misbruik maken van de systemen waarmee bedrijven kunnen distribueren apps in-house. De onthullingen sluiten aan bij recent nieuws van Lookout Labs over zakelijke Android-spyware genaamd Hermit.

Wat loopt er gevaar?

Het probleem hier is dat surveillancetechnologieën zoals deze gecommercialiseerd zijn. Het betekent dat capaciteiten die historisch gezien alleen beschikbaar waren voor overheden, ook worden gebruikt door particuliere aannemers. En dat brengt een risico met zich mee, aangezien zeer vertrouwelijke tools kunnen worden onthuld, uitgebuit, reverse-engineered en misbruikt.

As Zei Google“Onze bevindingen onderstrepen de mate waarin commerciële surveillanceleveranciers capaciteiten hebben uitgebreid die historisch gezien alleen werden gebruikt door overheden met de technische expertise om exploits te ontwikkelen en te operationaliseren. Dit maakt het internet minder veilig en bedreigt het vertrouwen waarvan gebruikers afhankelijk zijn.”

Niet alleen dit, maar deze particuliere surveillancebedrijven zorgen ervoor dat gevaarlijke hackingtools zich kunnen verspreiden, terwijl ze deze hightech spionagefaciliteiten beschikbaar stellen aan regeringen – waarvan sommige het leuk lijken te vinden om dissidenten, journalisten, politieke tegenstanders en mensenrechtenactivisten te bespioneren. 

Een nog groter gevaar is dat Google al minstens dertig spywaremakers volgt, wat erop wijst dat de commerciële surveillance-as-a-service-industrie sterk is. Het betekent ook dat het nu theoretisch mogelijk is dat zelfs de minst geloofwaardige overheid toegang heeft tot instrumenten voor dergelijke doeleinden. En aangezien zoveel van de geïdentificeerde dreigingen gebruik maken van exploits die door cybercriminelen zijn geïdentificeerd, lijkt het logisch om te denken dat dit een andere inkomstenstroom is die kwaadwillende mensen aanmoedigt. onderzoek.

Wat zijn de risico's?

Het probleem: deze nauwe schijnbare banden tussen aanbieders van geprivatiseerde surveillance en cybercriminaliteit zullen niet altijd in één richting werken. Deze exploits – waarvan er tenminste enkele zo moeilijk lijken te zijn om te ontdekken dat alleen regeringen daartoe de middelen zouden hebben – zullen uiteindelijk uitlekken.

En hoewel Apple, Google en alle anderen zich blijven inzetten voor een kat-en-muisspel om dergelijke criminaliteit te voorkomen en exploits te sluiten waar ze kunnen, bestaat het risico dat een door de overheid opgelegde achterdeur of beveiligingsfout in het apparaat uiteindelijk in de reclame terechtkomt. markten, van waaruit het de criminele markten zal bereiken.

De Europese toezichthouder voor gegevensbescherming waarschuwde: “Onthullingen over de Pegasus-spyware riepen zeer ernstige vragen op over de mogelijke impact van moderne spywaretools op de grondrechten, en in het bijzonder op het recht op privacy en gegevensbescherming.”

Dat wil niet zeggen dat er geen legitieme redenen zijn voor beveiligingsonderzoek. In elk systeem bestaan ​​gebreken, en we hebben mensen nodig die gemotiveerd zijn om deze te identificeren; beveiligingsupdates zouden helemaal niet bestaan ​​zonder de inspanningen van verschillende soorten beveiligingsonderzoekers. Appel betaalt maximaal zes cijfers aan onderzoekers die kwetsbaarheden in haar systemen identificeren.

Wat gebeurt er nu?

De toezichthouder voor gegevensbescherming van de EU riep eerder dit jaar op tot een verbod op het gebruik van de beruchte Pegasus-software van NSO Group. In feite ging de oproep nog verder en werd regelrecht gestreefd naar een “verbod op de ontwikkeling en inzet van spyware met de mogelijkheden van Pegasus.”

NSO Groep is dat nu blijkbaar te koop.

De zei de EU ook dat in het geval dat dergelijke exploits in uitzonderlijke situaties zouden worden gebruikt, dit gebruik zou moeten vereisen dat bedrijven zoals NSO zelf aan regelgevend toezicht worden onderworpen. Als onderdeel daarvan moeten ze het EU-recht, de rechterlijke toetsing en de strafrechtelijke procedurele rechten respecteren, instemmen met het niet importeren van illegale inlichtingen, geen politiek misbruik van de nationale veiligheid en het ondersteunen van het maatschappelijk middenveld.

Met andere woorden: deze bedrijven moeten op één lijn worden gebracht.

Wat je kunt doen

Na onthullingen over NSO Group vorig jaar, Apple publiceerde de volgende aanbevelingen voor beste praktijken om dergelijke risico's te helpen beperken.

• Update apparaten naar de nieuwste software, inclusief de nieuwste beveiligingsoplossingen.
• Bescherm apparaten met een toegangscode.
• Gebruik tweefactorauthenticatie en een sterk wachtwoord voor Apple ID.
• Install apps van de App Store.
• Gebruik sterke en unieke wachtwoorden online.
• Klik niet op links of bijlagen van onbekende afzenders.

Volg me alsjeblieft op Twitter, of doe mee met de AppleHolic's bar & grill en Apple-discussies groepen op MeWe.