Overvåking-som-en-tjeneste-industrien må bringes i sving

Her går vi igjen: Et annet eksempel på myndighetsovervåking som involverer smarttelefoner fra Apple og Google har dukket opp, og det viser hvor sofistikerte regjeringsstøttede angrep kan bli og hvorfor det er berettiget å holde mobile plattformer fullstendig låst.

Hva som har skjedd?

Jeg har ikke tenkt å fokusere for mye på nyhetene, men i korte trekk er det som følger:

• Googles trusselanalysegruppe har publisert informasjon som avslører hacket.
• Det italienske overvåkingsfirmaet RCS Labs opprettet angrepet.
• Angrepet har blitt brukt i Italia og Kasakhstan, og muligens andre steder.
• Noen generasjoner av angrepet blir utført med hjelp fra Internett-leverandører.
• På iOS misbrukte angripere Apples sertifiseringsverktøy for bedrifter som muliggjør intern appdistribusjon.
• Rundt ni forskjellige angrep ble brukt.

Angrepet fungerer slik: Målet får tilsendt en unik lenke som har som mål å lure dem til å laste ned og installere en ondsinnet app. I noen tilfeller jobbet spøkelsene med en ISP for å deaktivere datatilkobling for å lure mål til å laste ned appen for å gjenopprette den forbindelsen.

Nulldagsutnyttelsene som ble brukt i disse angrepene har blitt fikset av Apple. Det hadde tidligere advart om at dårlige skuespillere har vært det misbruker sine systemer som lar virksomheter distribuere apps in-house. Avsløringene henger sammen med nylige nyheter fra Lookout Labs om Android-spyware i bedriftsklasse kalt Hermit.

Hva er i fare?

Problemet her er at overvåkingsteknologier som disse har blitt kommersialisert. Det betyr at funksjoner som historisk sett bare har vært tilgjengelige for myndigheter, også blir brukt av private entreprenører. Og det representerer en risiko, ettersom svært konfidensielle verktøy kan bli avslørt, utnyttet, reversert og misbrukt.

As Google sa: «Våre funn understreker i hvilken grad kommersielle overvåkingsleverandører har utbredt evner som historisk sett bare ble brukt av myndigheter med teknisk ekspertise til å utvikle og operasjonalisere utnyttelser. Dette gjør Internett mindre trygt og truer tilliten brukerne er avhengige av.»

Ikke bare dette, men disse private overvåkingsselskapene gjør det mulig for farlige hackingverktøy å spre seg, samtidig som de gir disse høyteknologiske snoking-fasilitetene tilgjengelig for regjeringer – hvorav noen ser ut til å nyte å spionere på dissidenter, journalister, politiske motstandere og menneskerettighetsarbeidere. 

En enda større fare er at Google allerede sporer minst 30 spionvareprodusenter, noe som tyder på at den kommersielle overvåking-som-en-tjeneste-industrien er sterk. Det betyr også at det nå er teoretisk mulig for selv den minst troverdige regjeringen å få tilgang til verktøy for slike formål – og gitt at så mange av de identifiserte truslene bruker utnyttelser identifisert av nettkriminelle, virker det logisk å tro at dette er en annen inntektsstrøm som oppmuntrer til ondsinnet undersøkelser.

Hva er risikoen?

Problemet: disse nære forbindelsene mellom leverandører av privatisert overvåking og nettkriminalitet vil ikke alltid fungere i én retning. Disse utnyttelsene - i det minste noen av dem ser ut til å være tilstrekkelig vanskelige til å oppdage at bare regjeringer vil ha ressursene til å kunne gjøre det - vil til slutt lekke.

Og mens Apple, Google og alle andre forblir forpliktet til et katt-og-mus-spill for å forhindre slik kriminalitet, og lukker utnyttelser der de kan, er risikoen at enhver myndighetspålagt bakdør eller enhetssikkerhetsfeil til slutt vil gli inn i reklamen. markeder, hvorfra den vil nå de kriminelle.

Europas databeskyttelsesregulator advarte: "Avsløringer gjort om Pegasus-spywaren reiste svært alvorlige spørsmål om den mulige innvirkningen av moderne spionvareverktøy på grunnleggende rettigheter, og spesielt på rettighetene til personvern og databeskyttelse."

Det er ikke å si at det ikke er legitime grunner for sikkerhetsforskning. Det finnes feil i ethvert system, og vi trenger at folk er motivert til å identifisere dem; sikkerhetsoppdateringer ville ikke eksistert i det hele tatt uten innsatsen fra sikkerhetsforskere av ulike slag. eple betaler inntil sekssifret til forskere som identifiserer sårbarheter i systemene sine.

Hva skjer videre?

EUs datatilsynsleder ba tidligere i år om et forbud mot bruk av NSO Groups beryktede Pegasus-programvare. Faktisk gikk oppfordringen videre, og søkte direkte et "forbud mot utvikling og distribusjon av spionprogrammer med Pegasus-funksjonen."

NSO Group er nå tilsynelatende til salgs.

De EU sa også at i tilfelle slik utnyttelse ble brukt i eksepsjonelle situasjoner, bør slik bruk kreve at selskaper som NSO blir underlagt regulatorisk tilsyn. Som en del av det må de respektere EU-lovgivning, domstolsprøving, straffeprosessuelle rettigheter og godta ingen import av ulovlig etterretning, ingen politisk misbruk av nasjonal sikkerhet og å støtte sivilsamfunnet.

Disse selskapene må med andre ord bringes på linje.

Hva du kan gjøre

Etter avsløringer om NSO Group i fjor, Apple publiserte følgende anbefalinger for beste praksis å bidra til å redusere slike risikoer.

• Oppdater enheter til den nyeste programvaren, som inkluderer de siste sikkerhetsreparasjonene.
• Beskytt enheter med et passord.
• Bruk tofaktorautentisering og et sterkt passord for Apple ID.
• Install apps fra App Store.
• Bruk sterke og unike passord på nettet.
• Ikke klikk på lenker eller vedlegg fra ukjente avsendere.

Følg meg videre Twitter, eller bli med meg i AppleHolic's bar og grill og Apple-diskusjoner grupper på MeWe.