Når de "sorte hatte" - som er ordensmændene i den vilde skov i cyberspace - viser sig at være særligt succesfulde i deres beskidte arbejde, hviner de gule medier af glæde. Som et resultat er verden begyndt at se mere seriøst på cybersikkerhed. Men desværre ikke lige med det samme. Derfor, på trods af det stigende antal katastrofale cyberhændelser, er verden endnu ikke moden til aktive proaktive foranstaltninger. Det forventes dog, at verden i den nærmeste fremtid, takket være de "sorte hatte", vil begynde at tage cybersikkerhed alvorligt. [7]

Lige så alvorlige som brande... Byer var engang meget sårbare over for katastrofale brande. På trods af den potentielle fare blev der dog ikke truffet proaktive beskyttelsesforanstaltninger – selv efter den gigantiske brand i Chicago i 1871, som krævede hundredvis af menneskeliv og fordrev hundredtusindvis af mennesker. Proaktive beskyttelsesforanstaltninger blev først truffet efter en lignende katastrofe indtraf igen, tre år senere. Det er det samme med cybersikkerhed – verden vil ikke løse dette problem, medmindre der er katastrofale hændelser. Men selv hvis sådanne hændelser opstår, vil verden ikke løse dette problem med det samme. [7] Derfor virker selv ordsproget: "Indtil en fejl opstår, vil en mand ikke blive lappet," fungerer ikke helt. Derfor fejrede vi i 2018 30 år med voldsom utryghed.

Lyrisk digression

Begyndelsen på denne artikel, som jeg oprindeligt skrev til magasinet System Administrator, viste sig på en måde at være profetisk. Udgave af et blad med denne artikel gik ud bogstaveligt talt dag efter dag med den tragiske brand i Kemerovo indkøbscenter "Winter Cherry" (2018, 20. marts).

Installer internettet på 30 minutter

Tilbage i 1988 erklærede den legendariske hackergalakse L0pht, der talte i fuld kraft før et møde med de mest indflydelsesrige vestlige embedsmænd: "Dit computerudstyr er sårbart over for cyberangreb fra internettet. Og software og hardware og telekommunikation. Deres leverandører er slet ikke bekymrede over denne situation. Fordi moderne lovgivning ikke giver mulighed for noget ansvar for en uagtsom tilgang til at sikre cybersikkerheden for fremstillet software og hardware. Ansvaret for potentielle fejl (uanset om de er spontane eller forårsaget af cyberkriminelles indgriben) ligger udelukkende hos brugeren af ​​udstyret. Hvad angår den føderale regering, har den hverken evnerne eller lysten til at løse dette problem. Derfor, hvis du leder efter cybersikkerhed, så er internettet ikke stedet at finde det. Hver af de syv personer, der sidder foran dig, kan fuldstændig bryde internettet og følgelig få fuld kontrol over det udstyr, der er tilsluttet det. Af sig selv. 30 minutters koreograferede tastetryk, og det er gjort." [7]

Embedsmændene nikkede meningsfuldt og gjorde det klart, at de forstod alvoren af ​​situationen, men gjorde ingenting. I dag, præcis 30 år efter L0phts legendariske optræden, er verden stadig plaget af "omspændende usikkerhed." Hacking af computerstyret, internetforbundet udstyr er så let, at internettet, der oprindeligt var et kongerige af idealistiske videnskabsmænd og entusiaster, efterhånden er blevet besat af de mest pragmatiske fagfolk: svindlere, svindlere, spioner, terrorister. Alle udnytter sårbarhederne ved computerstyret udstyr til økonomiske eller andre fordele. [7]

Leverandører forsømmer cybersikkerhed

Leverandører forsøger selvfølgelig nogle gange at rette nogle af de identificerede sårbarheder, men de gør det meget modvilligt. Fordi deres fortjeneste ikke kommer fra beskyttelse mod hackere, men fra den nye funktionalitet, de leverer til forbrugerne. Ved udelukkende at være fokuseret på kortsigtet profit investerer sælgerne kun penge i at løse reelle problemer, ikke hypotetiske. Cybersikkerhed er i mange af dems øjne en hypotetisk ting. [7]

Cybersikkerhed er en usynlig, uhåndgribelig ting. Det bliver først håndgribeligt, når der opstår problemer med det. Hvis de tog sig godt af det (de brugte mange penge på dets levering), og der ikke er nogen problemer med det, vil slutforbrugeren ikke ønske at betale for meget for det. Ud over at øge de økonomiske omkostninger kræver implementeringen af ​​beskyttelsesforanstaltninger yderligere udviklingstid, kræver begrænsning af udstyrets muligheder og fører til et fald i dets produktivitet. [8]

Det er svært at overbevise selv vores egne marketingfolk om gennemførligheden af ​​de anførte omkostninger, endsige slutforbrugerne. Og da moderne leverandører kun er interesseret i kortsigtede salgsoverskud, er de slet ikke tilbøjelige til at tage ansvar for at sikre cybersikkerheden i deres kreationer. [1] På den anden side står mere omhyggelige leverandører, der har sørget for cybersikkerheden af ​​deres udstyr, over for, at erhvervskunder foretrækker billigere og nemmere at bruge alternativer. At. Det er indlysende, at erhvervskunder heller ikke bekymrer sig meget om cybersikkerhed. [8]

I lyset af ovenstående er det ikke overraskende, at leverandører har en tendens til at negligere cybersikkerhed og overholde følgende filosofi: "Fortsæt med at bygge, fortsæt med at sælge og lappe, når det er nødvendigt. Er systemet styrtet ned? Mistet information? Database med kreditkortnumre stjålet? Er der nogle fatale sårbarheder identificeret i dit udstyr? Intet problem!" Forbrugerne skal til gengæld følge princippet: "Patch and bed." [7]

Sådan sker det: eksempler fra naturen

Et slående eksempel på forsømmelse af cybersikkerhed under udvikling er Microsofts incitamentsprogram for virksomheder: "Hvis du går glip af deadlines, vil du blive idømt en bøde. Hvis du ikke har tid til at indsende udgivelsen af ​​din innovation til tiden, bliver den ikke implementeret. Hvis det ikke implementeres, vil du ikke modtage aktier i virksomheden (en del af kagen fra Microsofts overskud)." Siden 1993 begyndte Microsoft aktivt at linke sine produkter til internettet. Da dette initiativ fungerede i overensstemmelse med det samme motivationsprogram, udvidede funktionaliteten sig hurtigere, end forsvaret kunne følge med. Til glæde for pragmatiske sårbarhedsjægere... [7]

Et andet eksempel er situationen med computere og bærbare computere: de kommer ikke med et forudinstalleret antivirus; og de giver heller ikke forudindstilling af stærke adgangskoder. Det antages, at slutbrugeren installerer antivirusprogrammet og indstiller sikkerhedskonfigurationsparametrene. [1]

Et andet, mere ekstremt eksempel: situationen med cybersikkerhed af detailudstyr (kasseapparater, PoS-terminaler til indkøbscentre osv.). Det skete således, at sælgere af kommercielt udstyr kun sælger det, der sælges, og ikke det, der er sikkert. [2] Hvis der er én ting, som kommercielle udstyrsleverandører bekymrer sig om med hensyn til cybersikkerhed, er det at sørge for, at hvis der opstår en kontroversiel hændelse, falder ansvaret på andre. [3]

Et vejledende eksempel på denne udvikling af begivenheder: populariseringen af ​​EMV-standarden for bankkort, som takket være det kompetente arbejde fra bankmarketingfolk fremstår i offentlighedens øjne, der ikke er teknisk sofistikerede som et sikrere alternativ til "forældet" magnetiske kort. Samtidig var hovedmotivationen for bankbranchen, som var ansvarlig for udviklingen af ​​EMV-standarden, at flytte ansvaret for svigagtige hændelser (som opstår på grund af kortholdernes skyld) - fra butikker til forbrugere. Hvorimod tidligere (hvor betalinger foregik med magnetkort), lå det økonomiske ansvar hos butikkerne for uoverensstemmelser i debet/kredit. [3] Således banker, der behandler betalinger, flytter ansvaret enten til handlende (som bruger deres fjernbanksystemer) eller til banker, der udsteder betalingskort; de to sidstnævnte flytter til gengæld ansvaret over på kortholderen. [2]

Leverandører hindrer cybersikkerhed

Efterhånden som den digitale angrebsflade ubønhørligt udvides – takket være eksplosionen af ​​internetforbundne enheder – bliver det stadig sværere at holde styr på, hvad der er forbundet til virksomhedens netværk. Samtidig flytter leverandører bekymringer om sikkerheden af ​​alt udstyr forbundet til internettet til slutbrugeren [1]: "Redningen af ​​druknende mennesker er de druknende menneskers arbejde."

Leverandører er ikke kun ligeglade med cybersikkerheden i deres kreationer, men i nogle tilfælde blander de sig også med leveringen. For eksempel, da Conficker-netværksormen i 2009 lækkede ind i Beth Israel Medical Center og inficerede en del af det medicinske udstyr der, besluttede den tekniske direktør for dette medicinske center, for at forhindre lignende hændelser i at opstå i fremtiden, at deaktivere driftsstøttefunktion på det udstyr, der påvirkes af ormen med netværket. Han blev dog konfronteret med, at "udstyret ikke kunne opdateres på grund af lovgivningsmæssige begrænsninger." Det tog ham en betydelig indsats at forhandle med leverandøren for at deaktivere netværksfunktioner. [4]

Grundlæggende cyberusikkerhed på internettet

David Clarke, den legendariske MIT-professor, hvis geni gav ham tilnavnet "Albus Dumbledore", husker den dag, hvor internettets mørke side blev afsløret for verden. Clark var formand for en telekommunikationskonference i november 1988, da nyheden kom om, at historiens første computerorm var slynget gennem netværksledninger. Clark huskede dette øjeblik, fordi taleren, der var til stede ved hans konference (en ansat i et af de førende telekommunikationsselskaber) blev holdt ansvarlig for spredningen af ​​denne orm. Denne taler sagde, i følelsernes hede, uforvarende: "Her du gå!" Jeg ser ud til at have lukket denne sårbarhed,” han betalte for disse ord. [5]

Det viste sig dog senere, at den sårbarhed, som den nævnte orm spredte sig igennem, ikke var nogen enkelt persons fortjeneste. Og dette var strengt taget ikke engang en sårbarhed, men et fundamentalt træk ved internettet: Grundlæggerne af internettet fokuserede, da de udviklede deres hjernekind, udelukkende på dataoverførselshastighed og fejltolerance. De satte ikke sig selv til opgave at sikre cybersikkerhed. [5]

I dag, årtier efter internettets grundlæggelse – med hundredvis af milliarder af dollars, der allerede er brugt på forgæves forsøg på cybersikkerhed – er internettet ikke mindre sårbart. Dens cybersikkerhedsproblemer bliver kun værre for hvert år. Men har vi ret til at fordømme grundlæggerne af internettet for dette? For eksempel vil ingen fordømme bygherrer af motorveje for, at der sker ulykker på "deres veje"; og ingen vil fordømme byplanlæggere for det faktum, at røverier finder sted i "deres byer." [5]

Hvordan hacker-subkulturen blev født

Hacker-subkulturen opstod i begyndelsen af ​​1960'erne, i "Railway Technical Modeling Club" (der opererer inden for murene af Massachusetts Institute of Technology). Klubentusiaster designede og samlede en modeljernbane, så stor, at den fyldte hele lokalet. Klubbens medlemmer delte sig spontant i to grupper: fredsstiftere og systemspecialister. [6]

Den første arbejdede med den overjordiske del af modellen, den anden - med den underjordiske. De første samlede og dekorerede modeller af tog og byer: de modellerede hele verden i miniature. Sidstnævnte arbejdede på den tekniske støtte til al denne fredsskabelse: en forvikling af ledninger, relæer og koordinatkontakter placeret i den underjordiske del af modellen - alt det, der styrede den "overjordiske" del og fodrede den med energi. [6]

Når der var et trafikproblem, og nogen fandt på en ny og genial løsning til at løse det, blev løsningen kaldt et "hack". For klubbens medlemmer er jagten på nye hacks blevet en iboende mening med livet. Derfor begyndte de at kalde sig selv "hackere". [6]

Den første generation af hackere implementerede de færdigheder, som blev erhvervet i Simulation Railway Club ved at skrive computerprogrammer på hulkort. Så, da ARPANET (forgængeren til internettet) ankom til campus i 1969, blev hackere dens mest aktive og dygtige brugere. [6]

Nu, årtier senere, ligner det moderne internet den meget "underjordiske" del af modeljernbanen. Fordi dets grundlæggere var de samme hackere, studerende fra "Railroad Simulation Club". Kun hackere driver nu rigtige byer i stedet for simulerede miniaturer. [6]

Hvordan BGP-routing blev til

I slutningen af ​​80'erne, som et resultat af en lavinelignende stigning i antallet af enheder forbundet til internettet, nærmede internettet sig den hårde matematiske grænse, der er indbygget i en af ​​de grundlæggende internetprotokoller. Derfor blev enhver samtale mellem datidens ingeniører til sidst til en diskussion af dette problem. To venner var ingen undtagelse: Jacob Rechter (en ingeniør fra IBM) og Kirk Lockheed (grundlægger af Cisco). Efter at have mødtes tilfældigt ved middagsbordet begyndte de at diskutere foranstaltninger til at bevare internettets funktionalitet. Vennerne nedskrev de ideer, der opstod på det, der kom til hånden - en serviet plettet med ketchup. Så den anden. Derefter den tredje. "Tre servietter-protokollen", som dens opfindere i spøg kaldte den - kendt i officielle kredse som BGP (Border Gateway Protocol) - revolutionerede snart internettet. [8]

For Rechter og Lockheed var BGP simpelthen et afslappet hack, udviklet i ånden fra den førnævnte Model Railroad Club, en midlertidig løsning, der snart ville blive erstattet. Vennerne udviklede BGP i 1989. Men i dag, 30 år senere, dirigeres størstedelen af ​​internettrafikken stadig ved hjælp af "tre servietter-protokollen" - på trods af stadig mere alarmerende opkald om kritiske problemer med dens cybersikkerhed. Det midlertidige hack blev en af ​​de grundlæggende internetprotokoller, og dets udviklere lærte af deres egen erfaring, at "der er intet mere permanent end midlertidige løsninger." [8]

Netværk over hele verden er skiftet til BGP. Indflydelsesrige leverandører, velhavende kunder og teleselskaber blev hurtigt forelsket i BGP og blev vant til det. Derfor viser IT-offentligheden, selv på trods af flere og flere alarmklokker om usikkerheden i denne protokol, stadig ikke entusiasme for overgangen til nyt, mere sikkert udstyr. [8]

Cyber-usikker BGP-routing

Hvorfor er BGP-routing så god, og hvorfor har it-samfundet ikke travlt med at opgive det? BGP hjælper routere med at træffe beslutninger om, hvor de enorme datastrømme skal sendes hen over et enormt netværk af krydsende kommunikationslinjer. BGP hjælper routere med at vælge passende stier, selvom netværket konstant ændrer sig, og populære ruter ofte oplever trafikpropper. Problemet er, at internettet ikke har et globalt rutekort. Routere, der bruger BGP, træffer beslutninger om at vælge den ene eller anden vej baseret på information modtaget fra naboer i cyberspace, som igen indsamler informationer fra deres naboer osv. Denne information kan dog let forfalskes, hvilket betyder, at BGP-routing er meget sårbar over for MiTM-angreb. [8]

Derfor opstår der jævnligt spørgsmål som følgende: "Hvorfor tog trafikken mellem to computere i Denver en kæmpe omvej gennem Island?", "Hvorfor blev klassificerede Pentagon-data en gang overført under transit gennem Beijing?" Der er tekniske svar på spørgsmål som disse, men de kommer alle ned på, at BGP arbejder baseret på tillid: tillid til anbefalinger modtaget fra naboroutere. Takket være BGP-protokollens tillidsfulde karakter kan mystiske trafikoverherrer lokke andre menneskers datastrømme ind i deres domæne, hvis de ønsker det. [8]

Et levende eksempel er Kinas BGP-angreb på det amerikanske Pentagon. I april 2010 sendte den statsejede telekomgigant China Telecom titusindvis af routere rundt i verden, inklusive 16 i USA, en BGP-besked, der fortalte dem, at de havde bedre ruter. Uden et system, der kunne bekræfte gyldigheden af ​​en BGP-meddelelse fra China Telecom, begyndte routere rundt om i verden at sende data i transit gennem Beijing. Herunder trafik fra Pentagon og andre steder i det amerikanske forsvarsministerium. Den lethed, hvormed trafikken blev omdirigeret, og manglen på effektiv beskyttelse mod denne type angreb er endnu et tegn på usikkerheden ved BGP-routing. [8]

BGP-protokollen er teoretisk sårbar over for et endnu farligere cyberangreb. I tilfælde af at internationale konflikter eskalerer med fuld kraft i cyberspace, kan China Telecom eller en anden telekommunikationsgigant forsøge at kræve ejerskab af dele af internettet, som faktisk ikke tilhører det. Et sådant skridt ville forvirre routere, som ville skulle hoppe mellem konkurrerende bud på de samme blokke af internetadresser. Uden evnen til at skelne en legitim applikation fra en falsk, ville routerne begynde at handle uberegnelig. Som et resultat ville vi stå over for internet-ækvivalenten til atomkrig – en åben, storstilet visning af fjendtlighed. En sådan udvikling i tider med relativ fred virker urealistisk, men teknisk set er det ganske gennemførligt. [8]

Et forgæves forsøg på at flytte fra BGP til BGPSEC

Cybersikkerhed blev ikke taget i betragtning, da BGP blev udviklet, fordi hacks på det tidspunkt var sjældne, og skaden fra dem var ubetydelig. Udviklerne af BGP havde, fordi de arbejdede for teleselskaber og var interesserede i at sælge deres netværksudstyr, en mere presserende opgave: at undgå spontane nedbrud af internettet. Fordi afbrydelser på internettet kan fremmedgøre brugerne og dermed reducere salget af netværksudstyr. [8]

Efter hændelsen med transmissionen af ​​amerikansk militærtrafik gennem Beijing i april 2010, accelererede tempoet i arbejdet for at sikre cybersikkerheden for BGP-ruting bestemt. Telekommunikationsleverandører har dog vist ringe entusiasme for at bære omkostningerne forbundet med at migrere til den nye sikre routingprotokol BGPSEC, foreslået som erstatning for den usikre BGP. Leverandører betragter stadig BGP som ganske acceptabelt, selv på trods af utallige hændelser med trafikaflytning. [8]

Radia Perlman, døbt "Internettets Moder" for at opfinde en anden stor netværksprotokol i 1988 (et år før BGP), opnåede en profetisk doktorafhandling ved MIT. Perlman forudsagde, at en routingprotokol, der afhænger af ærlighed hos naboer i cyberspace, er fundamentalt usikker. Perlman gik ind for brugen af ​​kryptografi, som ville hjælpe med at begrænse muligheden for forfalskning. Implementeringen af ​​BGP var dog allerede i fuld gang, det indflydelsesrige IT-miljø var vant til det, og ønskede ikke at ændre noget. Derfor, efter begrundede advarsler fra Perlman, Clark og nogle andre fremtrædende verdenseksperter, er den relative andel af kryptografisk sikker BGP-routing slet ikke steget og er stadig 0%. [8]

BGP-routing er ikke det eneste hack

Og BGP-routing er ikke det eneste hack, der bekræfter ideen om, at "intet er mere permanent end midlertidige løsninger." Nogle gange virker internettet, der fordyber os i fantasiverdener, lige så elegant som en racerbil. Men i virkeligheden, på grund af hacks, der er stablet oven på hinanden, ligner internettet mere Frankenstein end Ferrari. Fordi disse hacks (mere officielt kaldet patches) aldrig erstattes af pålidelig teknologi. Konsekvenserne af denne tilgang er alvorlige: Dagligt og hver time hacker cyberkriminelle sig ind i sårbare systemer og udvider omfanget af cyberkriminalitet til tidligere ufattelige proportioner. [8]

Mange af de fejl, som cyberkriminelle udnytter, har været kendt i lang tid, og er blevet bevaret udelukkende på grund af it-miljøets tendens til at løse nye problemer - med midlertidige hacks/patches. Sommetider, på grund af dette, hober forældede teknologier sig op oven på hinanden i lang tid, hvilket gør folks liv vanskeligt og bringer dem i fare. Hvad ville du tænke, hvis du fandt ud af, at din bank bygger sin boks på et fundament af halm og mudder? Ville du stole på, at han beholder dine opsparinger? [8]

Linus Torvalds ubekymrede holdning

Det tog år, før internettet nåede sine første hundrede computere. I dag er 100 nye computere og andre enheder forbundet til den hvert sekund. Efterhånden som internettilsluttede enheder eksploderer, så haster det med cybersikkerhedsproblemer. Men den person, der kunne have størst indflydelse på at løse disse problemer, er den, der ser på cybersikkerhed med foragt. Denne mand er blevet kaldt et geni, en bølle, en åndelig leder og en velvillig diktator. Linus Torvalds. Langt de fleste enheder, der er tilsluttet internettet, kører dets operativsystem, Linux. Hurtigt, fleksibelt, gratis - Linux bliver mere og mere populært med tiden. Samtidig opfører den sig meget stabilt. Og det kan fungere uden genstart i mange år. Det er derfor, Linux har æren af ​​at være det dominerende styresystem. Næsten alt computerudstyr, der er tilgængeligt for os i dag, kører Linux: servere, medicinsk udstyr, flycomputere, bittesmå droner, militærfly og meget mere. [9]

Linux lykkes i høj grad, fordi Torvalds lægger vægt på ydeevne og fejltolerance. Han lægger dog denne vægt på bekostning af cybersikkerhed. Selvom cyberspace og den virkelige fysiske verden flettes sammen, og cybersikkerhed bliver et globalt problem, fortsætter Torvalds med at modsætte sig at indføre sikre innovationer i sit operativsystem. [9]

Derfor er der, selv blandt mange Linux-fans, voksende bekymring over sårbarhederne i dette operativsystem. Især den mest intime del af Linux, dens kerne, som Torvalds arbejder på personligt. Linux-fans kan se, at Torvalds ikke tager cybersikkerhedsproblemer alvorligt. Desuden har Torvalds omgivet sig med udviklere, der deler denne ubekymrede holdning. Hvis en fra Torvalds inderkreds begynder at tale om at indføre sikre innovationer, bliver han straks bedøvet. Torvalds afviste en gruppe af sådanne innovatører og kaldte dem "onanerende aber." Da Torvalds sagde farvel til en anden gruppe sikkerhedsbevidste udviklere, sagde han til dem: "Vil du være så venlig at slå dig selv ihjel. Verden ville være et bedre sted på grund af det." Når det kom til at tilføje sikkerhedsfunktioner, var Torvalds altid imod det. [9] Torvalds har endda en hel filosofi i denne henseende, som ikke er uden et gran af sund fornuft:

”Absolut sikkerhed er uopnåelig. Derfor bør det altid kun overvejes i forhold til andre prioriteter: hastighed, fleksibilitet og brugervenlighed. Folk, der hellige sig udelukkende at yde beskyttelse, er skøre. Deres tænkning er begrænset, sort og hvid. Sikkerhed i sig selv er ubrugelig. Essensen er altid et andet sted. Derfor kan du ikke sikre absolut sikkerhed, selvom du virkelig ønsker det. Selvfølgelig er der folk, der er mere opmærksomme på sikkerheden end Torvalds. Men disse fyre arbejder simpelthen på det, der interesserer dem, og giver sikkerhed inden for de snævre relative rammer, der afgrænser disse interesser. Ikke mere. Så de bidrager på ingen måde til at øge den absolutte sikkerhed.” [9]

Sidebar: OpenSource er som en krudttønde [10]

OpenSource-kode har sparet milliarder i softwareudviklingsomkostninger, hvilket eliminerer behovet for dobbeltarbejde: med OpenSource har programmører mulighed for at bruge aktuelle innovationer uden begrænsninger eller betaling. OpenSource bruges overalt. Selvom du hyrede en softwareudvikler til at løse dit specialiserede problem fra bunden, vil denne udvikler højst sandsynligt bruge en form for OpenSource-bibliotek. Og sikkert mere end én. Således er OpenSource-elementer til stede næsten overalt. Samtidig skal det forstås, at ingen software er statisk; dens kode ændrer sig konstant. Derfor fungerer "sæt det og glem det"-princippet aldrig for kode. Inklusive OpenSource-koden: før eller siden kræves en opdateret version.

I 2016 så vi konsekvenserne af denne situation: en 28-årig udvikler "brød" kortvarigt internettet ved at slette sin OpenSource-kode, som han tidligere havde gjort offentligt tilgængelig. Denne historie påpeger, at vores cyberinfrastruktur er meget skrøbelig. Nogle mennesker - der støtter OpenSource-projekter - er så vigtige for at vedligeholde det, at hvis de, gud forbyde, bliver ramt af en bus, går internettet i stykker.

Svært at vedligeholde kode er, hvor de mest alvorlige cybersikkerhedssårbarheder lurer. Nogle virksomheder er ikke engang klar over, hvor sårbare de er på grund af kode, der er svære at vedligeholde. Sårbarheder forbundet med sådan kode kan modnes til et reelt problem meget langsomt: systemer rådner langsomt, uden at demonstrere synlige fejl i processen med at rådne. Og når de fejler, er konsekvenserne fatale.

Endelig, da OpenSource-projekter normalt udvikles af et fællesskab af entusiaster, som Linus Torvalds eller som hackerne fra Model Railroad Club nævnt i begyndelsen af ​​artiklen, kan problemer med svær at vedligeholde kode ikke løses på traditionelle måder (vha. kommercielle og offentlige løftestænger). Fordi medlemmer af sådanne fællesskaber er villige og værdsætter deres uafhængighed over alt andet.

Sidebar: Måske vil efterretningstjenesterne og antivirusudviklerne beskytte os?

I 2013 blev det kendt, at Kaspersky Lab havde en særlig enhed, der udførte skræddersyede undersøgelser af informationssikkerhedshændelser. Indtil for nylig blev denne afdeling ledet af en tidligere politimajor, Ruslan Stoyanov, som tidligere arbejdede i hovedstadens afdeling "K" (USTM fra Moskvas hoveddirektorat for indre anliggender). Alle ansatte i denne særlige enhed i Kaspersky Lab kommer fra retshåndhævende myndigheder, herunder undersøgelseskomitéen og direktorat "K". [elleve]

I slutningen af ​​2016 arresterede FSB Ruslan Stoyanov og anklagede ham for forræderi. I samme sag blev Sergei Mikhailov, en højtstående repræsentant for FSB CIB (informationssikkerhedscenter), arresteret, på hvem hele landets cybersikkerhed før anholdelsen var bundet. [elleve]

Sidebjælke: Cybersikkerhed håndhævet

Snart vil russiske iværksættere blive tvunget til at være alvorligt opmærksomme på cybersikkerhed. I januar 2017 udtalte Nikolai Murashov, en repræsentant for Center for Informationsbeskyttelse og Særlig Kommunikation, at i Rusland blev CII-objekter (kritisk informationsinfrastruktur) alene angrebet mere end 2016 millioner gange i 70. CII-objekter omfatter informationssystemer for offentlige myndigheder, forsvarsindustrivirksomheder, transport-, kredit- og finanssektorer, energi-, brændstof- og atomindustrier. For at beskytte dem underskrev den russiske præsident Vladimir Putin den 26. juli en lovpakke "Om sikkerheden for CII." Inden 1. januar 2018, når loven træder i kraft, skal ejerne af CII-faciliteter implementere et sæt foranstaltninger for at beskytte deres infrastruktur mod hackerangreb, især oprette forbindelse til GosSOPKA. [12]

bibliografi

1. Jonathan Millet. IoT: Vigtigheden af ​​at sikre dine smarte enheder // 2017.
2. Ross Andersen. Hvordan smartcard betalingssystemer fejler // Black Hat. 2014.
3. SJ Murdoch. Chip og PIN-kode er ødelagt // Proceedings of the IEEE Symposium on Security and Privacy. 2010. s. 433-446.
4. David Talbot. Computervirus er "udbredt" på medicinsk udstyr på hospitaler // MIT Technology Review (Digital). 2012.
5. Craig Timberg. Net af usikkerhed: Et flow i designet // Washington Post. 2015.
6. Michael Lista. Han var en teenage-hacker, der brugte sine millioner på biler, tøj og ure - indtil FBI fik fat i // Toronto Life. 2018.
7. Craig Timberg. Net af usikkerhed: En katastrofe forudsagt – og ignoreret // Washington Post. 2015.
8. Craig Timberg. Den lange levetid for en hurtig 'fix': Internetprotokol fra 1989 gør data sårbare over for flykaprere // Washington Post. 2015.
9. Craig Timberg. Net af usikkerhed: Kernen i argumentet // Washington Post. 2015.
10. Joshua Gans. Kunne Open-Source-kode få vores år 2-frygt endelig til at gå i opfyldelse? // Harvard Business Review (Digital). 2017.
11. Topchef for Kaspersky arresteret af FSB // CNews. 2017. URL.
12. Maria Kolomychenko. Cyber-efterretningstjeneste: Sberbank foreslog at oprette et hovedkvarter for at bekæmpe hackere // RBC. 2017.

Kilde: www.habr.com