Індустрію нагляду як послуги необхідно поставити на п’яту

Знову: з’явився ще один приклад державного спостереження за смартфонами від Apple і Google, і він показує, наскільки складними можуть стати атаки, підтримувані урядом, і чому є виправдання для повного блокування мобільних платформ.

Що відбулося?

Я не збираюся занадто зосереджуватись на новинах, але коротко це таке:

• Група аналізу загроз Google має опублікована інформація про злому.
• Атаку створила італійська компанія RCS Labs.
• Атака була використана в Італії та Казахстані, і, можливо, в інших місцях.
• Деякі покоління атаки здійснюються за допомогою Інтернет-провайдерів.
• На iOS зловмисники зловживали корпоративними інструментами сертифікації Apple, які дозволяють розгортати додатки всередині компанії.
• Було використано близько дев'яти різних атак.

Атака працює так: цілі надсилається унікальне посилання, яке має на меті змусити їх завантажити та встановити шкідливий додаток. У деяких випадках привиди працювали з провайдером, щоб відключити підключення до даних, щоб обманом обманом завантажити програму для відновлення цього з’єднання.

Експлойти нульового дня, які використовуються в цих атаках, були виправлені Apple. Раніше він попереджав, що погані актори зловживання своїми системами, які дозволяють підприємствам поширювати apps внутрішній. Виявлення пов’язані з останніми новинами від Lookout Labs про шпигунське програмне забезпечення Android корпоративного рівня під назвою Hermit.

Що під загрозою?

Проблема в тому, що такі технології спостереження були комерціалізовані. Це означає, що можливості, які раніше були доступні лише урядам, також використовуються приватними підрядниками. І це є ризиком, оскільки дуже конфіденційні інструменти можуть бути розкриті, використані, перепроектовані та зловживання.

As Google сказав: «Наші висновки підкреслюють ступінь, до якого постачальники комерційного спостереження розширювали можливості, які історично використовували лише уряди з технічними знаннями для розробки та введення в експлуатацію експлойтів. Це робить Інтернет менш безпечним і загрожує довірі, від якої залежать користувачі».

Не тільки це, але ці приватні компанії стеження дають змогу небезпечним інструментам злому поширюватися, надаючи ці високотехнологічні засоби стеження доступними для урядів — деякі з яких, схоже, люблять шпигувати за дисидентами, журналістами, політичними опонентами та правозахисниками. 

Ще більша небезпека полягає в тому, що Google вже відстежує щонайменше 30 виробників шпигунського програмного забезпечення, що свідчить про потужну індустрію комерційного спостереження як послуги. Це також означає, що тепер теоретично навіть найменш надійний уряд може отримати доступ до інструментів для таких цілей — і, враховуючи таку кількість виявлених загроз, які використовують експлойти, виявлені кіберзлочинцями, здається логічним вважати, що це ще один потік доходу, який заохочує зловмисників. дослідження.

Які ризики?

Проблема: ці начебто тісні зв’язки між постачальниками приватизованого спостереження та кіберзлочинністю не завжди будуть працювати в одному напрямку. Ці подвиги — принаймні деякі з них, здається, досить важко виявити, що лише уряди мають ресурси для цього — зрештою витікають.

І хоча Apple, Google та всі інші залишаються відданими грі в кішки-мишки, щоб запобігти подібним злочинам, закриваючи експлойти там, де вони можуть, ризик полягає в тому, що будь-який санкціонований урядом недолік безпеки пристрою в кінцевому підсумку проникне в рекламу. ринки, з яких вона потрапить на кримінальні.

Європейський регулятор із захисту даних попередив: «Відкриття шпигунського програмного забезпечення Pegasus підняло дуже серйозні питання щодо можливого впливу сучасних шпигунських інструментів на основні права, зокрема на права на конфіденційність та захист даних».

Це не означає, що немає законних причин для дослідження безпеки. Вади існують у будь-якій системі, і нам потрібно, щоб люди були мотивовані для їх виявлення; оновлення безпеки взагалі не існувало б без зусиль різного роду дослідників безпеки. яблуко платить до шестизначного числа дослідникам, які виявляють вразливі місця в його системах.

Що відбувається далі?

Наглядовий орган ЄС із захисту даних закликав на початку цього року заборонити використання сумнозвісного програмного забезпечення Pegasus від NSO Group. Фактично, заклик пішов далі, прямо вимагаючи «заборони на розробку та розгортання шпигунського програмного забезпечення з можливостями Pegasus».

NSO Group зараз, очевидно на продаж.

Команда ЄС також сказав що в разі використання таких експлойтів у виняткових ситуаціях, таке використання повинно вимагати, щоб компанії, такі як NSO, підлягали контролюючого контролю. У рамках цього вони повинні поважати законодавство ЄС, судовий контроль, кримінально-процесуальні права та погодитися не ввозити незаконні розвідувальні дані, не зловживати національною безпекою та підтримувати громадянське суспільство.

Іншими словами, ці компанії потребують узгодження.

Що ти можеш зробити?

Після минулорічних відкриттів про NSO Group Apple опублікували наступні рекомендації щодо найкращої практики щоб допомогти пом’якшити такі ризики.

• Оновіть пристрої до останнього програмного забезпечення, яке включає останні виправлення безпеки.
• Захистіть пристрої паролем.
• Використовуйте двофакторну аутентифікацію та надійний пароль для Apple ID.
• Встановлювати apps з магазину App Store.
• Використовуйте надійні та унікальні паролі в Інтернеті.
• Не натискайте посилання або вкладення від невідомих відправників.

Будь ласка, йдіть за мною далі Twitterабо приєднуйтесь до мене в Бар та гриль AppleHolic та  Обговорення Apple групи на MeWe.