Angreb fornyer debat om institutioner som f.eks NSA forlader sårbarheder i stedet for strategiske formål, snarere end at advare virksomheder umiddelbart
Uden endnu at vide, hvem eller hvilke grupper der står bag angrebet, er eksperter på vagt over for tildeling af motiv uden for afpresning.
Foto: David Chang/EPA
It-kriminalitet
Ransomware angreb afslører sammenbrud i den AMERIKANSKE efterretningstjeneste, protokoller, siger ekspert
Angreb fornyer debat om institutioner som f.eks NSA forlader sårbarheder i stedet for strategiske formål, snarere end at advare virksomheder umiddelbart
Lørdag 13 Maj 2017 18.41 BST
Sidst opdateret lørdag den 13. Maj 2017 23.22 BST
De angreb, der midlertidigt lammet NHS i England og snesevis af andre institutioner i hele Europa og Rusland afslører svigt af den AMERIKANSKE regerings protokoller for advarsel software-udviklere og den private sektor om systemets sårbarheder, en it-sikkerheds-ekspert, siger til the Guardian.
‘Accidental hero’ stopper ransomware angreb og advarer: dette er ikke over
Læs mere
Under den svaghed, aktier proces (VEP), der er oprettet af den AMERIKANSKE regering, den AMERIKANSKE efterretningstjenester skulle til kollektivt at bestemme, om at afsløre en svaghed, det har fået eller opdaget – så softwareudvikler har en chance for at løse problemet – eller tilbageholde oplysninger for at bruge fejl til offensive eller defensive formål.
“NSA er meningen at føre den sårbarhed aktier proces med alle andre statslige institutioner samlet sig for at diskutere deres interesser i den sårbarhed, og at afveje de offensive kapaciteter mod defensive bekymringer for den private sektor og AMERIKANSKE interesser,” sagde Adam Segal, direktør for digitale og cyberspace politiske program på Council on Foreign Relations. Den EternalBlue-WanaCrypt0r angreb viste, at NSA ikke afsløre den svaghed, den havde opdaget, før det er blevet stjålet, og tilsyneladende bortauktioneret, Segal sagde.
Den AMERIKANSKE regering har konsekvent angivet, at den er disponeret for at frigive sårbarheder og hælder mod at tage en defensiv position. I sit vidneudsagn, at NSA ‘ direktør Mike Rogers sagde, at efterretningstjenesterne afsløret, at op mod 90% af sårbarheder, de opdager.
Ifølge Segal, Skyggen Mæglere sag, og Wikileaks’ seneste ‘Vault 7’ udgave af CIA hacking værktøjer har ført til stigende mistanke om, at der kun kan være sandt givet en snæver definition af sårbarhed.
“Det lader til, at i dette tilfælde deres hånd var tvunget til det. De vidste, at den sårbarhed, som var online på grund af Skygge Mæglere og Vault 7 så drog de af sted til Microsoft og advaret om den virksomhed, de havde brug for at lappe på det,” sagde han. Angrebet ramte Pc ‘ er med Microsofts Windows-operativsystem.
Jon Lindsay, direktør for Trudeau Center for Fred, Konflikt og Retfærdighed på Munk Skolen i Globale Anliggender på University of Toronto, sagde cyber-efterretningstjenester havde for år forventes den dag, hvor en offensiv NSA “udnytte” var opnået, og er udgivet af hackere.
“Trade-off mellem udnytter oplagret for offensiv snarere end defensive formål, der er blevet en skarp problem i mange år, og dette angreb, der virkelig bringer den med hjem.”
Mens forsvaret efterretningstjeneste kan have afsløret 90% procent af de sårbarheder, fandt de, at der stadig venstre 10% af stødende udnytter, at der er ikke var blevet lappet.
“Når Stuxnet-kode kom ud, folk taler om det som en tutorial til, hvordan man bruger det, men Shadow Mæglere cache har en meget mere brugbar udnytter,” Lindsay mener.
Sådanne svagheder, når de opdages, er typisk såkaldte “zero-day-sårbarhed”, fordi når de bliver opdaget, kan de bruges med det samme for at få adgang til sikre data, og dermed give udviklere “nul-dage” til at udsende en patch.
“Det kunne have været meget værre,” siger Lindsay. “De angriber venstre for dette domæne ubevogtet, så angrebet var let at slukke.” Disse bedrifter, han forudsiger, “vil fortsætte med at være indarbejdet i grå marked angreb tool-kits. Mange vil allerede er blevet lappet, men nogle vil være high-end, zero-day.”
Men ifølge Segal, at den grundlæggende fejl i systemet ligger mellem den offentlige og den private sektor.
“Lappe og opdatering af systemer, bliver brudt, dybest set, i den private sektor og offentlige institutioner,” sagde han. “Der er ingen sikkerhed for, at selv hvis regeringen afslører en sårbarhed, folk kommer til at bevæge sig hurtigt nok til at gøre og installere programrettelsen.”
Uden endnu at vide, hvem eller hvilke grupper der står bag angrebet, er eksperter på vagt over for tildeling af motiv uden for afpresning.
En af teorierne er, at angreb er et forsøg på at genere NSA og efterretningstjenester, og at lægge mere vægt på forholdet mellem offentlige myndigheder og den private sektor og den sårbarhed aktier proces.
Stadig, vil angrebet ubehag Trump administration, der kommer blot få dage efter, at formanden har underskrevet en executive order til at styrke cybersecurity på føderale netværk og kritisk infrastruktur.
Segal sagde, at han troede angrebet er formentlig ikke er relateret til den bekendtgørelse, men “en del af en større kampagne for at genere efterretningstjenester.”
Den ledsagende bekymring, sagde han, vil være regeringens manglende evne til at sikre sårbarheder. “Der åbner sig en masse spørgsmål om bagdøre og adgang til kryptering, som regeringen hævder at det er behov fra den private sektor for sikkerhed.”