Industrijo nadzora kot storitve je treba spraviti na glavo

Spet gremo: pojavil se je še en primer vladnega nadzora, ki vključuje pametne telefone Apple in Googla, in kaže, kako sofisticirani napadi, ki jih podpira vlada, lahko postanejo in zakaj obstaja upravičenost za popolno zaklepanje mobilnih platform.

Kaj se je zgodilo?

Ne nameravam se preveč osredotočati na novice, ampak na kratko je takole:

• Googlova skupina za analizo nevarnosti je objavljene informacije, ki razkrivajo vdor.
• Napad je ustvarilo italijansko podjetje za nadzor RCS Labs.
• Napad je bil uporabljen v Italiji in Kazahstanu ter morda tudi drugod.
• Nekatere generacije napada se izvajajo s pomočjo ponudnikov internetnih storitev.
• Na iOS-u so napadalci zlorabili Applova orodja za certificiranje podjetij, ki omogočajo uvajanje aplikacij v podjetju.
• Uporabljenih je bilo približno devet različnih napadov.

Napad deluje takole: tarči se pošlje edinstvena povezava, ki jo želi pretentati, da prenese in namesti zlonamerno aplikacijo. V nekaterih primerih so čudaki sodelovali s ponudnikom internetnih storitev, da bi onemogočili podatkovno povezljivost, da bi cilje prelisičili, da prenesejo aplikacijo in obnovijo to povezavo.

Apple je popravil izkoriščanje ničelnega dne, ki se uporablja v teh napadih. Pred tem je opozoril, da so bili slabi igralci zlorabljajo svoje sisteme, ki podjetjem omogočajo distribucijo apps interno. Razkritja so povezana z nedavnimi novicami iz Lookout Labsa o vohunski programski opremi Android za podjetja, imenovani Hermit.

Kaj je ogroženo?

Težava je v tem, da so bile tehnologije za nadzor, kot so te, komercializirane. To pomeni, da zmogljivosti, ki so bile v preteklosti na voljo samo vladam, uporabljajo tudi zasebni izvajalci. In to predstavlja tveganje, saj se lahko zelo zaupna orodja razkrijejo, izkoriščajo, preoblikujejo in zlorabljajo.

As Je rekel Google: »Naše ugotovitve poudarjajo obseg, v katerem so prodajalci komercialnega nadzora razširili zmogljivosti, ki so jih v preteklosti uporabljale samo vlade s tehničnim strokovnim znanjem za razvoj in operacionalizacijo izkoriščanja. Zaradi tega je internet manj varen in ogroža zaupanje, od katerega so uporabniki odvisni."

Ne samo to, ampak ta zasebna podjetja za nadzor omogočajo širjenje nevarnih hekerskih orodij, hkrati pa dajejo vladam na voljo te visokotehnološke naprave za vohunjenje – zdi se, da nekatere uživajo v vohunjenju za disidente, novinarje, politične nasprotnike in delavce za človekove pravice. 

Še večja nevarnost je, da Google že sledi vsaj 30 izdelovalcem vohunske programske opreme, kar nakazuje, da je industrija komercialnega nadzora kot storitve močna. To tudi pomeni, da je zdaj teoretično možno, da celo najmanj verodostojna vlada dostopa do orodij za takšne namene – in glede na to, da veliko ugotovljenih groženj uporablja izkoriščanje, ki so ga odkrili kibernetski kriminalci, se zdi logično misliti, da je to še en dohodek, ki spodbuja zlonamerne raziskave.

Kakšna so tveganja?

Težava: te tesne povezave med ponudniki privatiziranega nadzora in kibernetskega kriminala ne bodo delovale vedno v eni smeri. Ti podvigi – vsaj nekateri se zdijo dovolj težko odkriti, da bi le vlade imele sredstva, da bi to lahko storile – bodo sčasoma iztekli.

In medtem ko Apple, Google in vsi ostali ostajajo zavezani igri mačke in miške, da bi preprečili takšno kriminalnost in zaprli podvige, kjer lahko, obstaja tveganje, da bo kakršna koli vladna varnostna napaka v zadnjih vratih ali napravah sčasoma zdrsnila v komercialne namene. trgih, s katerih bo dosegla kriminalne.

Evropski regulator za varstvo podatkov je opozoril: "Razkritja o vohunski programski opremi Pegasus so sprožila zelo resna vprašanja o možnem vplivu sodobnih orodij vohunske programske opreme na temeljne pravice, zlasti na pravice do zasebnosti in varstva podatkov."

To ne pomeni, da za varnostne raziskave ni legitimnih razlogov. Pomanjkljivosti obstajajo v vsakem sistemu in potrebujemo motivacijo ljudi, da jih prepoznajo; varnostne posodobitve sploh ne bi obstajale brez prizadevanj različnih varnostnih raziskovalcev. Apple plača do šestmestno raziskovalcem, ki prepoznajo ranljivosti v njenih sistemih.

Kaj sledi?

Nadzornik EU za varstvo podatkov je v začetku tega leta pozval k prepovedi uporabe zloglasne programske opreme Pegasus skupine NSO. Pravzaprav je klic šel še dlje, odkrito je zahteval »prepoved razvoja in uvajanja vohunske programske opreme s sposobnostjo Pegasus«.

Skupina NSO je zdaj očitno naprodaj.

O je še povedala EU da bi v primeru, da so bila takšna izkoriščanja uporabljena v izjemnih situacijah, takšna uporaba zahtevala, da so podjetja, kot je NSO, podvržena regulativnemu nadzoru. Kot del tega morajo spoštovati zakonodajo EU, sodni nadzor, kazenske procesne pravice in se strinjati, da ne bodo uvažali nezakonitih obveščevalnih podatkov, politične zlorabe nacionalne varnosti in podpirali civilno družbo.

Z drugimi besedami, ta podjetja je treba uskladiti.

Kaj lahko narediš

Po razkritjih o skupini NSO lani je Apple objavila naslednja priporočila najboljše prakse pomaga ublažiti takšna tveganja.

• Posodobite naprave na najnovejšo programsko opremo, ki vključuje najnovejše varnostne popravke.
• Zaščitite naprave z geslom.
• Uporabite dvofaktorsko preverjanje pristnosti in močno geslo za Apple ID.
• namestitev apps iz trgovine App Store.
• Uporabite močna in edinstvena gesla na spletu.
• Ne klikajte povezav ali prilog neznanih pošiljateljev.

Prosim, sledite mi Twitter, ali pa se mi pridružite v AppleHolic's bar & žar in Apple razprave skupine na MeWe.