Video: Thorium. (Oktober 2024)
Sikkerhetsguruen Mikko Hypponen trakk seg ut av RSA-konferansen tidligere i år for å protestere mot det faktum at en feil i RSA-krypteringsalgoritmen lot NSA bryte inn i krypterte filer. Enten gjorde de det bevisst, eller så var det en ulykke. Ondt, eller udugelig? Det er ille uansett. På Black Hat 2014-konferansen i Las Vegas utvidet Hypponen hva vi kan forvente når regjeringer kommer inn i skadevirksomhetsbransjen.
Hypponen ledet med en liten historietime. "Det er en vanlig misforståelse, " sa han, "at hvis et selskap blir hacket dårlig nok, vil de gå konkurs. Men det er ikke slik. De fleste store organisasjoner kommer seg raskt. Tenk på Sony PSN-bruddet." Han fortsatte med å påpeke ett bemerkelsesverdig unntak. I 2011 ble det nederlandske firmaet Diginotar brutt av en utenforstående angriper som brukte selskapets sertifikatgenereringssystem for å generere falske sertifikater for Google, Mozilla, Microsoft, Twitter og mer.
"Dette angrepet ble brukt av den iranske regjeringen til å overvåke og finne dissidenter i deres eget land, " sa Hypponen. "Et angrep som dette kan gjøres hvis du kontrollerer hele ditt nettverk i landet. Diginotar brettet ikke fordi de ble hacket; de brettet fordi de ikke fortalte det til noen. Da det kom ut, mistet de tilliten og som et sertifikat leverandørtillit er det de solgte."
En nylig endring
"Tenk på sikkerhetsbransjens fiender de siste 20 årene, " sa Hypponen. "Det var bare barn, hobbyister som lanserte angrep fordi de kunne. Da for 15 år siden, kom profesjonelle kriminelle gjenger inn i virksomheten. Regjeringsprogramvare for skadelig programvare har bare vært med oss i over ti år."
"For ikke lenge siden ville ideen om at demokratiske vestlige regjeringer ville være aktivt involvert i dette høres latterlig ut, " fortsatte Hypponen. "Ideen om en demokratisk vestlig regjerings bakdørssystem for å spionere mot en annen demokratisk regjering? Men det er der vi er."
Hypponen sammenlignet den nåværende oppbyggingen av regjering sponset malwareopprettelse med det gamle atomvåpenløpet. Han påpekte at det ikke er snakk om attribusjon når det ene landet mister et naken på et annet. Kraften til atomvåpen er i avskrekkelse, ikke i faktisk bruk. Cyber "armer" er helt forskjellige.
Regjeringen din kan smitte deg
Hypponen la ut fem formål en regjering måtte vurdere for oppretting av skadelig programvare: rettshåndhevelse, spionasje (i andre land), overvåking (av egne borgere), sabotasje og faktisk krigføring. "Mitt eget land, Finland, gjorde det lovlig i januar for politiet å smitte deg med malware hvis du er mistenkt for en alvorlig forbrytelse, " bemerket Hypponen. "Hvis verktøy som dette blir brukt, må vi ta en diskusjon. Hvilken kriminalitet er ille nok? Jeg vil gjerne se statistikk: I fjor smittet vi så mange innbyggere, så mange var skyldige, dette var ikke mange." Han fortsatte med å antyde at hvis rettshåndhevelse smitter deg og du er uskyldig, skulle de eie opp. "Jeg vil at de skal si at de er lei, " la han til. "Det ville være rettferdig."
Den fulle presentasjonen gikk i detalj om en rekke spesifikke regjeringssponserte malware-angrep. Du kan lese den her. Hypponen lukket med et edruelig poeng. I henhold til Genève-konvensjonen inkluderer definisjonen av et legitimt militært mål "de objekter som av deres art, beliggenhet, formål eller bruk gir et effektivt bidrag til militær aksjon og hvis total eller delvis ødeleggelse, fangst eller nøytralisering, under omstendighetene som hersker over tiden, gir en klar militær fordel. " "Det er oss, " sa Hypponen. "I krig er antivirusfirmaer et legitimt mål."
