James Comey „Twitter“ saugumo problema taip pat yra jūsų problema

Dar visai neseniai nutekėjo daugybė didelių duomenų, pvz., Tikslas ir Sony įsilaužimai įvyko, nes duomenys nebuvo apsaugoti. Tinkamas šifravimas tikriausiai būtų užkirtęs kelią tiems pažeidimams.

Dabar viskas kitaip. Matome, kad vis daugiau problemų kyla ne dėl to, kad duomenys nėra apsaugoti, o dėl to, kad jie netinkamai apsaugoti.

Iki šiol tik nedaugelis žmonių, nepriklausančių akademinei bendruomenei, daug dėmesio skyrė koncepcijai, vadinamai informacijos srauto sauga, kuri apima duomenų tikrinimą, kai jie sąveikauja su programine įranga. Tada atėjo kartu Tai beveik neabejotinai Jameso Comey „Twitter“ paskyra , Gizmodo straipsnis, kuriame užfiksuota viskas, ką reiškia būti šiuolaikiniu informacijos nutekėjimu.

Straipsnio istorija: žurnalistė, vardu Ashley Feinberg, norėjo rasti FTB direktoriaus Jameso Comey slaptą Twitter paskyrą. Ji pradėjo naršyti internete ir vos per keturias valandas sugebėjo atskleisti paskyrą, daugiausia pasinaudojusi pagrindine informacijos srauto klaida „Instagram“.

Feinberg aprašo, kaip ji panaudojo faktus apie Comey ir jo šeimą, kad surastų viešą tviterį, vedantį į viešą Instagram komentarą, nukreipiantį į saugomą Comey 22 metų sūnaus Brieno Instagram puslapį.

Jean Yang Leonard Greco

Po to, kai Feinbergas išsiuntė prašymus sekti Brieną, „Instagram“ rekomendavo jai taip pat sekti reinholdniebuhr , kita apsaugota Instagram paskyra, kuri atitiko tai, ką Feinbergas jau žinojo apie Jameso Comey Instagram paskyrą. Dar geriau, kad „Twitter“ rankena tuo pačiu pavadinimu atitiko tai, ką Feinbergas žinojo apie Comey „Twitter“ paskyrą.

Čia vyksta daug dalykų, kurių daugelio „Instagram“ programinės įrangos kūrėjas negali kontroliuoti, tačiau šio nutekėjimo esmė yra informacijos srauto klaida. Feinberg rėmėsi keliais pagrindiniais viešais faktais apie Comey, tačiau ji nebūtų galėjusi rasti jo „Twitter“ paskyros, jei „Instagram“ nebūtų netyčia pateikusi svarbių užuominų. Ir „Instagram“ nebūtų atskleidęs šios informacijos, jei kodas būtų tinkamai užtikrinęs informacijos srauto saugumą.

Egzistuoja nenuoseklumas tarp to, kaip „Instagram“ apsaugo paskyrų profilių informaciją, kai vartotojai bando ją pasiekti, ir kaip apsaugo šią informaciją, kai ji naudojama įvairiuose algoritmuose. Kai bandote peržiūrėti apsaugoto vartotojo „Instagram“ puslapį, negalite pasiekti to asmens nuotraukų ar matyti, ką tas vartotojas stebi. Tačiau paaiškėja, kad apsaugotos paskyros informacija matoma algoritmams, kurie siūlo kitas naudotojai gali sekti, funkcija, kuri tampa netinkamai matoma visi žiūrinčiųjų, kai tik paprašoma stebėti.

Šiuo atveju politikos pažeidimas yra ypač klastingas, nes tai, kas iš tikrųjų buvo nutekinta, reinholdneibuhr profilio nuotrauka ir vardas, yra vieši visame „Instagram“. Tai, kas turėtų būti privatu, yra santykiai tarp Brien Comey ir šios reinholdneibuhr paskyros. Nors gali būti, kad Instagram atsitiktinai parodė reinholdneibuhr kaip rekomenduojamą paskyrą, kurią reikia sekti 600 milijonų aktyvių vartotojų kas mėnesį , kas labiau tikėtina, ypač atsižvelgiant į tai, kad kiti rekomenduojami vartotojai turėjo pavardę Comey, yra tai, kad „Instagram“ rekomendacijų algoritmas naudojo slaptą sekimo informaciją, kad apskaičiuotų, kurias paskyras rekomenduoti. Informacijos srautų nomenklatūroje slaptos informacijos nutekėjimas per viešosios informacijos rodymą vadinamas numanomu srautu.

Kaip tinkamas šifravimas būtų užkirtęs kelią „Target“ ir „Sony“ įsilaužimams, taip pat yra sprendimų, kaip užkirsti kelią tokiam informacijos nutekėjimui, kaip šis. Yra dešimtmečius trukę informacijos srautų saugos metodų tyrimai: vieni tikrina programinę įrangą prieš ją paleisdami, kiti stebi programinę įrangą, kai ji veikia. Šis darbas yra daug daugiau nei teorinis: žmonės, remdamiesi šiomis idėjomis, sukūrė operacines sistemas ir žiniatinklio sistemas. Tokios sistemos būtų aptikusios, jei rekomendacijos algoritmas nutekėtų slapta sekimo informacija, ir būtų užkirtę kelią nutekėjimui. Tačiau net ir taikant šiuos metodus, programuotojas vis tiek turi samprotauti dėl sudėtingos ir subtilios politikos sąveikos tarpusavyje ir su kodu, kad sukurtų programinę įrangą, kuri nepraleidžia informacijos.

Mano laboratorijoje stengiamės, kad kūrėjai galėtų lengviau įgyvendinti informacijos srauto politiką. Padedame įrenginiui prisiimti atsakomybę už politikos sąveikos valdymą ir su programa, kad būtų užtikrinta, jog rekomendacijų algoritmai nenutekėtų informacijos. Politikose taip pat nurodoma, kokias vertes įrenginys gali naudoti, kai tikrosios vertės turi būti paslaptyje. Pavyzdžiui, jei paieškos algoritmui neleidžiama naudoti tikslios asmens vietos, galbūt jis gali naudoti atitinkamą miestą.

Susijusi istorija

Susijusi istorija Telefonai, kurie užrakina viską, ką jie turi, gali trukdyti teisėsaugai labiau, nei mes iš tikrųjų norime.

Nors skaitmeninis saugumas turėtų būti vienas iš pagrindinių FTB rūpesčių, Comey negalėjo išvengti problemų, kylančių dėl šiuolaikinio kodo politikos spagečių netvarkos. Nors šis nutekėjimas paveikė daug mažiau žmonių nei dideli duomenų pažeidimai, tai žymi svarbų informacijos saugumo pokytį.

Iki šiol dauguma žmonių apie saugumą galvojo siekdami apsaugoti atskirus duomenų elementus, o ne apie sudėtingą ir subtilią sąveiką su juos naudojančiomis programomis. Tačiau dabar gyvename pasaulyje, kuriame FTB direktorius pasitiki mūsų interneto infrastruktūra ir Instagram, kurių pakanka, kad į internetą būtų įtrauktos 3 227 privačios nuotraukos. Viena vertus, tai reiškia, kad pasiekėme tam tikrą saugumo lygį. Kita vertus, tai reiškia, kad dabar galime sutelkti dėmesį į sudėtingesnes saugumo problemas. Ir kai kiekvienas, turintis gerą išskaičiavimą ir prieigą prie interneto, gali sužinoti įvairiausią informaciją, mūsų darbas informacijos saugumo srityje toli gražu nesibaigė.

Jean Yang | yra Carnegie Mellon universiteto informatikos katedros docentas ir buvo pavadintas vienas iš MIT technologijų apžvalga ’s Inovatoriai iki 35 m 2016 metais.

paslėpti