211service.com
Ar vyriausybė turėtų kaupti programinės įrangos klaidas?
Aukščiausi JAV žvalgybos bendruomenės atstovai užčiaupia burną dėl programinės įrangos pažeidžiamumų.
Kai dulkės nusėda nuo pasaulinės išpirkos programinės įrangos atakos, kuri nuo penktadienio sugadino sistemas daugiau nei 150 šalių, JAV vyriausybės vykdomas šešėlinis programinės įrangos pažeidžiamumų rinkimo ir atskleidimo procesas vėl yra tikrinamas.
Galima daug kaltinti dėl atakos masto ir veiksmingumo, kai išpirkos reikalaujantis virusas, vadinamas WannaCry, taip pat WannaCrypt ir Wanna Decryptor, išnaudojo Windows XP pažeidžiamumą. Viena vertus, „Microsoft“ nustojo palaikyti šią savo operacinės sistemos versiją 2014 metais , todėl visi, naudojantys pasenusią programinę įrangą, rizikavo. (Kai „Microsoft“ sužinojo, kad pažeidžiamumas buvo išnaudojamas, ji greitai išleido klaidos pataisą – neįprastą veiksmą tokiai senai programinei įrangai.)
Bradas Smithas, „Microsoft“ prezidentas ir vyriausiasis patarėjas teisės klausimais, sakė, kad vyriausybė taip pat kalta, nes atrodo, kad užpuolikai panaudojo išnaudojimą, kurį iš NSA pavogė grupė „Shadow Brokers“. A tinklaraščio straipsnis , jis kritikavo pažeidžiamumų kaupimo praktiką. Mums reikia, kad vyriausybės apsvarstytų žalą civiliams gyventojams dėl šių pažeidžiamumų kaupimo ir šių išnaudojimų, – rašė jis.
JAV vyriausybė turi įdiegtą sistemą, leidžiančią pasverti riziką, susijusią su kritinio programinės įrangos pažeidžiamumo atskleidimo arba laikymo paslaptimi. Tačiau labai mažai viešai suprantama, kaip veikia vadinamasis pažeidžiamumų akcijų procesas (VEP). Privatumo gynėjai jau seniai reikalavo didesnio skaidrumo, tačiau pasisekė tik nežymiai.
Manoma, kad VEP egzistavo nuo 2010 m., tačiau išliko paslaptyje iki 2014 m. baltas namas ir Nacionalinės žvalgybos direktorius kiekvienas paskelbė pareiškimus, neigiančius a Bloombergas ataskaita kad NSA daugelį metų žinojo ir naudojo plačiai paplitusią pažeidžiamumą, kaip šifruojamas ryšys internetu, vadinamas Heartbleed. Michaelas Danielis, prezidento Obamos kibernetinio saugumo koordinatorius, tvirtino, kad administracija nustatė drausmingą, griežtą ir aukšto lygio sprendimų priėmimo procesą dėl pažeidžiamumo atskleidimo.
Kai kuriems gali atrodyti aišku, ar federalinė vyriausybė turėtų neleisti žinoti apie tokius pažeidžiamumus, ar ne. sakė tuo metu , bet realybė yra daug sudėtingesnė. Pasak jo, atskleidus pažeidžiamumą, JAV gali atsisakyti galimybės rinkti esminę žvalgybos informaciją, kuri galėtų sutrukdyti teroristiniam išpuoliui. Nepaisant to, vyriausybės sprendimų priėmimo procesas buvo linkęs atsakingai atskleisti pažeidžiamumą.
2016 m. sausio mėn. dėl informacijos laisvės įstatymo ieškinio, kurį pateikė „Electronic Frontier Foundation“, vyriausybė išleido iš dalies redaguotą dokumentą. dokumentas aiškindamas VEP. Liko neaišku, kaip tiksliai priimamas sprendimas, kas jį priima ir kiek slaptų pažeidžiamumų turi vyriausybė. Jasonas Healey , neseniai Kolumbijos universiteto mokslininkas ir Atlanto tarybos vyresnysis bendradarbis įvertintas kad skaičius siekia keliasdešimt.
Kaip tvirtino Danielius, pastarieji įvykiai sukėlė abejonių, ar sistema iš tiesų yra linkusi atskleisti informaciją. A naujausias mokslinis darbas Remdamasi interviu ir viešais vyriausybės pareiškimais apie VEP, Healey padarė išvadą, kad NSA beveik neabejotinai turėjo atskleisti pažeidžiamumą, susijusį su ankstesniu „Shadow Brokers“ nutekėjimu paveiktoms įmonėms, įskaitant „Cisco“, „Juniper“ ir „Fortinet“. FTB taip pat turėjo pranešti „Apple“ apie pažeidžiamumą, kurį ji naudojo, kad pasiektų vieno iš šaulių per praėjusių metų San Bernardino teroro išpuolius „iPhone“, rašė Healey.
Deja, didesnio skaidrumo ir su tuo atneštos atskaitomybės perspektyvos neatrodo. VEP kontroliuoja federalinės vyriausybės vykdomoji valdžia, be viešosios priežiūros. Jei Trumpo administracija nenuspręs to pakeisti, greičiausiai liksime nežinioje. Iki kitos didelės kibernetinės atakos.