Ang industriya ng surveillance-as-a-service ay kailangang dalhin sa takong

Narito muli tayo: isa pang halimbawa ng pagsubaybay ng gobyerno na kinasasangkutan ng mga smartphone mula sa Apple at Google ay lumitaw, at ipinapakita nito kung paano maaaring maging sopistikadong mga pag-atake na suportado ng gobyerno at kung bakit may katwiran para panatilihing ganap na naka-lock ang mga mobile platform.

Ano ang nangyari?

Hindi ko intensyon na masyadong tumutok sa balita, ngunit sa madaling sabi ito ay ang mga sumusunod:

• Ang Threat Analysis Group ng Google ay mayroon nai-publish na impormasyon na nagpapakita ng hack.
• Ginawa ng Italian surveillance firm na RCS Labs ang pag-atake.
• Ang pag-atake ay ginamit sa Italya at Kazakhstan, at posibleng sa ibang lugar.
• Ang ilang henerasyon ng pag-atake ay ginagamit sa tulong ng mga ISP.
• Sa iOS, inabuso ng mga attacker ang enterprise certification tool ng Apple na nagbibigay-daan sa pag-deploy ng in-house na app.
• Humigit-kumulang siyam na iba't ibang pag-atake ang ginamit.

Ang pag-atake ay gumagana tulad nito: Ang target ay pinadalhan ng isang natatanging link na naglalayong linlangin sila sa pag-download at pag-install ng isang nakakahamak na app. Sa ilang mga kaso, ang mga spook ay nakipagtulungan sa isang ISP upang hindi paganahin ang koneksyon ng data upang linlangin ang mga target sa pag-download ng app upang mabawi ang koneksyon na iyon.

Ang mga zero-day exploit na ginamit sa mga pag-atake na ito ay naayos na ng Apple. Dati na itong nagbabala na ang mga masasamang artista ay naging inaabuso ang mga sistema nito na nagbibigay-daan sa mga negosyo na mamahagi apps sa bahay. Ang mga paghahayag ay nauugnay sa kamakailang mga balita mula sa Lookout Labs ng enterprise-grade Android spyware na tinatawag na Hermit.

Ano ang nasa peligro?

Ang problema dito ay na-komersyal ang mga teknolohiya sa pagsubaybay na tulad nito. Nangangahulugan ito na ang mga kakayahan na sa kasaysayan ay magagamit lamang sa mga pamahalaan ay ginagamit din ng mga pribadong kontratista. At iyon ay kumakatawan sa isang panganib, dahil ang mga napakakumpidensyal na tool ay maaaring ibunyag, pinagsamantalahan, reverse-engineered at inabuso.

As Sinabi ng Google: “Ang aming mga natuklasan ay binibigyang-diin ang lawak kung saan ang mga commercial surveillance vendor ay dumami ang mga kakayahan na ginamit lamang ng mga pamahalaan na may teknikal na kadalubhasaan upang bumuo at magpatakbo ng mga pagsasamantala. Ginagawa nitong hindi gaanong ligtas ang Internet at nagbabanta sa tiwala kung saan umaasa ang mga user.”

Hindi lamang ito, ngunit ang mga pribadong kumpanya ng pagsubaybay na ito ay nagbibigay-daan sa mga mapanganib na tool sa pag-hack na lumaganap, habang binibigyan ang mga high-tech na pasilidad ng snooping na ito na magagamit sa mga pamahalaan - ang ilan sa mga ito ay tila nasisiyahan sa pag-espiya sa mga dissidente, mamamahayag, kalaban sa pulitika, at mga manggagawa sa karapatang pantao. 

Ang mas malaking panganib ay sinusubaybayan na ng Google ang hindi bababa sa 30 gumagawa ng spyware, na nagmumungkahi na ang industriya ng komersyal na surveillance-as-a-service ay malakas. Nangangahulugan din ito na posible na ngayon para sa kahit na ang hindi gaanong kapani-paniwalang pamahalaan na mag-access ng mga tool para sa mga naturang layunin — at dahil sa napakaraming natukoy na banta ay gumagamit ng mga pagsasamantalang natukoy ng mga cybercriminal, tila lohikal na isipin na ito ay isa pang income stream na naghihikayat ng malisyosong pananaliksik.

Ano ang mga panganib?

Ang problema: ang mga malapit na link na ito sa pagitan ng mga purveyor ng privatized surveillance at cybercrime ay hindi palaging gagana sa isang direksyon. Ang mga pagsasamantalang iyon - kahit na ang ilan sa mga ito ay mukhang sapat na mahirap matuklasan na ang mga gobyerno lamang ang magkakaroon ng mga mapagkukunan upang magawa ito - sa kalaunan ay tumagas.

At habang ang Apple, Google, at lahat ay nananatiling nakatuon sa isang larong pusa-at-mouse upang pigilan ang naturang kriminalidad, isara ang mga pagsasamantala kung saan nila magagawa, ang panganib ay ang anumang ipinag-uutos ng gobyerno sa likod na pinto o depekto sa seguridad ng device ay mapupunta sa komersyal. mga merkado, kung saan maaabot nito ang mga kriminal.

Nagbabala ang regulator ng Proteksyon sa Data ng Europe: "Ang mga paghahayag na ginawa tungkol sa spyware ng Pegasus ay naglabas ng mga seryosong tanong tungkol sa posibleng epekto ng mga modernong tool ng spyware sa mga pangunahing karapatan, at lalo na sa mga karapatan sa privacy at proteksyon ng data."

Hindi ibig sabihin na walang mga lehitimong dahilan para sa pananaliksik sa seguridad. Ang mga bahid ay umiiral sa anumang sistema, at kailangan natin ang mga tao na mahikayat na kilalanin ang mga ito; hindi iiral ang mga update sa seguridad nang walang pagsisikap ng iba't ibang uri ng mga mananaliksik sa seguridad. Apple nagbabayad ng hanggang anim na numero sa mga mananaliksik na tumutukoy sa mga kahinaan sa mga sistema nito.

Ano ang susunod na mangyayari?

Ang superbisor sa proteksyon ng data ng EU ay nanawagan para sa pagbabawal sa paggamit ng kasumpa-sumpa software ng NSO Group na Pegasus mas maaga sa taong ito. Sa katunayan, ang panawagan ay nagpatuloy, tahasang naghahanap ng "pagbawal sa pagbuo at pag-deploy ng spyware na may kakayahan ng Pegasus."

NSO Group na yata ngayon ibebenta.

Ang Sinabi din ng EU na kung sakaling ang mga ganitong pagsasamantala ay ginamit sa mga pambihirang sitwasyon, ang naturang paggamit ay dapat na nangangailangan ng mga kumpanyang gaya ng NSO na isailalim sa kanilang mga sarili sa pangangasiwa ng regulasyon. Bilang bahagi nito, dapat nilang igalang ang batas ng EU, pagsusuri ng hudisyal, mga karapatan sa pamamaraang kriminal at sumang-ayon sa walang pag-import ng ilegal na katalinuhan, walang pang-aabuso sa pulitika sa pambansang seguridad at suportahan ang civil society.

Sa madaling salita, ang mga kumpanyang ito ay nangangailangan ng pagdadala sa linya.

Ang magagawa mo

Kasunod ng mga paghahayag tungkol sa NSO Group noong nakaraang taon, Apple nai-publish ang mga sumusunod na rekomendasyon sa pinakamahusay na kasanayan upang makatulong na mapagaan laban sa mga ganitong panganib.

• I-update ang mga device sa pinakabagong software, na kinabibilangan ng mga pinakabagong pag-aayos sa seguridad.
• Protektahan ang mga device gamit ang isang passcode.
• Gumamit ng two-factor authentication at isang malakas na password para sa Apple ID.
• I-install apps mula sa App Store.
• Gumamit ng malakas at natatanging mga password online.
• Huwag mag-click sa mga link o attachment mula sa hindi kilalang mga nagpadala.

Mangyaring sundan mo ako kaba, o samahan ako sa Bar & grill ng AppleHolic at Mga Talakayan ng Apple mga pangkat sa MeWe.