211service.com
Saugumo sumetimais turime sulėtinti su internetu susijusių dalykų naujoves
Taip mano saugumo ekspertas Bruce'as Schneieris, kuris baiminasi, kad per kibernetinę nelaimę teks gyvybės, nebent vyriausybės imsis skubių veiksmų. 2018 m. rugsėjo 6 d
Rong Xu
Išmaniosios programėlės yra visur. Tikėtina, kad juos turėsite savo darbo vietoje, namuose ir galbūt ant riešo. Remiantis tyrimų bendrovės „Gartner“ skaičiavimais, tokių bus daugiau nei 11 milijardų prie interneto prijungtų įrenginių (išskyrus išmaniuosius telefonus ir kompiuterius), šiais metais apyvartoje yra beveik dvigubai daugiau nei prieš porą metų.
Netrukus internete bus daug milijardų kitų. Dėl jų ryšio jie yra tokie naudingi, tačiau tai taip pat yra kibernetinio saugumo košmaras. Įsilaužėliai jau parodė, kad gali sukompromituoti viską – nuo prijungtų automobilių iki medicinos prietaisų, ir vis garsiau perspėjama, kad spūstyje, siekiant tiekti gaminius į rinką, sutrumpėja saugumas.
Naujoje knygoje pavadinimu Spustelėkite čia, kad nužudytumėte visus Bruce'as Schneieris teigia, kad vyriausybės turi įsikišti dabar, kad priverstų įmones, kuriančias prijungtas programėles, teikti saugumą prioritetu, o ne paskubomis. Įtakingo saugumo informacinio biuletenio autorius ir dienoraštį , Schneier yra Harvardo universiteto Berkman Klein interneto ir visuomenės centro bendradarbis ir Harvardo Kenedžio mokyklos viešosios politikos dėstytojas. Be kitų vaidmenų, jis taip pat yra „Electronic Frontier Foundation“ valdyboje ir yra IBM Resilient, padedančio įmonėms pasiruošti galimoms kibernetinėms grėsmėms, vyriausiasis technologijų pareigūnas.
Schneier kalbėjo su MIT technologijų apžvalga apie rizikas, su kuriomis susiduriame vis labiau susietame pasaulyje, ir politiką, kurios, jo manymu, skubiai reikia jai pašalinti.
Jūsų knygos pavadinimas atrodo sąmoningai keliantis nerimą. Ar tai tik bandymas parduoti sultis?
Tai gali atrodyti kaip „clickbait“ skelbimas, bet aš stengiuosi pasakyti, kad internetas dabar tiesiogiai fiziškai veikia pasaulį ir tai viską keičia. Tai jau ne apie riziką duomenims, o apie pavojų gyvybei ir nuosavybei. Ir pavadinimas tikrai rodo, kad čia yra fizinis pavojus ir kad viskas yra kitaip, nei buvo prieš penkerius metus.
Kaip šis pokytis keičia mūsų kibernetinio saugumo sampratą?
Mūsų automobiliai, medicinos prietaisai, buitinė technika dabar yra kompiuteriai su prie jų pritvirtintais daiktais. Jūsų šaldytuvas yra kompiuteris, kuris laiko daiktus šaltai, o mikrobangų krosnelė – tai kompiuteris, kuris įkaista. O jūsų automobilis yra kompiuteris su keturiais ratais ir varikliu. Kompiuteriai nebėra tik ekranas, kurį įjungiame ir žiūrime, ir tai yra didelis pokytis. Tai, kas buvo kompiuterių saugumas, atskira sritis, dabar yra saugumas.
Rong Xu
Jūs sugalvojote naują terminą „Internet+“ šiam pokyčiui apibūdinti. Bet mes jau turime frazę daiktų internetas, kad tai apibūdintume, ar ne?
Nekenčiau, kad reikia sukurti dar vieną madingą žodį, nes jų jau yra per daug. Tačiau daiktų internetas per siauras. Tai reiškia prijungtus prietaisus, termostatus ir kitus įtaisus. Tai tik dalis to, apie ką mes čia kalbame. Tai tikrai daiktų internetas, kompiuteriai ir paslaugos bei didelės kuriamos duomenų bazės, interneto įmonės ir mes. Visa tai ką tik sutrumpinau iki Internet+.
Sutelkime dėmesį į mums tos lygties dalį. Knygoje sakote, kad tampame virtualiais kiborgais. Ką tu tuo nori pasakyti?
Jau esame glaudžiai susiję su įrenginiais, tokiais kaip mūsų telefonai, į kuriuos žiūrime daug kartų per dieną, ir paieškos sistemomis, kurios yra tarsi mūsų internetinės smegenys. Mūsų elektros sistema, transporto tinklas, ryšių sistemos yra internete. Jei jis sumažės, visuomenė iš esmės sustoja, nes esame labai nuo to priklausomi visais lygmenimis. Kompiuteriai dar nėra plačiai įterpti į mūsų kūną, bet jie yra giliai įterpti į mūsų gyvenimą.
Ar negalime šiek tiek atsijungti, kad sumažintume riziką?
Tai padaryti darosi vis sunkiau. Bandžiau nusipirkti automobilį, kuris nebuvo prijungtas prie interneto, bet man nepavyko. Nėra taip, kad tokių automobilių nebuvo, bet tie, kurių norėjau, buvo su interneto ryšiu. Net jei jį būtų galima išjungti, nebuvo jokios garantijos, kad įsilaužėliai negalės jo vėl įjungti nuotoliniu būdu.
Piratai taip pat gali išnaudoti saugumo spragas vienos rūšies įrenginiuose, kad užpultų kitus, tiesa?
Yra daug to pavyzdžių. „Mirai“ robotų tinklas išnaudojo namų įrenginių, pvz., DVR ir internetinių kamerų, spragas. Šiuos dalykus perėmė įsilaužėliai ir jie buvo naudojami atakai prieš domeno vardų serverį, o tai vėliau išmušė daugybę populiarių svetainių, neprisijungusių prie interneto. „Target“ užpuolę įsilaužėliai pateko į mažmenininko mokėjimo tinklą dėl kai kuriose parduotuvėse dirbančio rangovo IT sistemų pažeidžiamumo.
Tiesa, tačiau dėl šių incidentų nežuvo gyvybė ar galūnės, o dar nematėme daug atvejų, susijusių su galima fizine žala, ar ne?
Mes neturime. Dauguma atakų vis dar apima duomenų, privatumo ir konfidencialumo pažeidimus. Bet mes įžengiame į naują erą. Akivaizdu, kad esu susirūpinęs, jei kas nors pavogs mano medicininius įrašus, bet ką daryti, jei duomenų bazėje pakeis mano kraujo grupę? Nenoriu, kad kas nors įsilaužtų į mano automobilio „Bluetooth“ ryšį ir klausytųsi mano pokalbių, bet tikrai nenoriu, kad jie išjungtų vairą. Dėl šių atakų prieš sistemų vientisumą ir prieinamumą tikrai turime nerimauti ateityje, nes jos tiesiogiai veikia gyvybę ir nuosavybę.
Šiais metais JAV buvo daug diskutuojama apie kibernetines grėsmes tokiai svarbiai infrastruktūrai kaip elektros tinklai ir užtvankos. Kiek tai rimti?
Žinome, kad Rusijos įsilaužėliai bent du kartus išjungė maitinimą iš Ukrainos tinklo dalių, vykdydami platesnę karinę kampaniją. Žinome, kad nacionalinių valstybių įsilaužėliai įsiskverbė į kai kurių JAV energetikos įmonių sistemas. Šie įsilaužimai buvo tiriamieji ir žalos nepadarė, bet žinome, kad tai įmanoma. Jei bus vykdomi kariniai karo veiksmai prieš JAV, turėtume tikėtis, kad šios atakos bus panaudotos. Ir JAV panaudos juos prieš mūsų priešus, kaip mes panaudojome kibernetines atakas, kad atitolintume branduolines programas Irane ir Šiaurės Korėjoje.
Kokias pasekmes visa tai turi mūsų dabartiniam požiūriui į kompiuterių saugą, pvz., programinės įrangos klaidų pataisų ar pataisymų išleidimą?
Pataisymas yra būdas atgauti saugumą. Mes gaminame sistemas, kurios nėra labai geros, tada surandame spragas ir jas pataisome. Tai puikiai tinka jūsų telefonui ar kompiuteriui, nes nesaugumo kaina yra palyginti nedidelė. Bet ar galime tai padaryti su automobiliu? Ar galima staiga pasakyti, kad automobilis nesaugus, įsilaužėlis gali jį sudaužyti, bet nesijaudinkite, nes kitą savaitę bus pašalintas lopas? Ar galime tai padaryti su įmontuotu širdies stimuliatoriumi? Kadangi kompiuteriai dabar veikia pasaulį tiesioginiu, fiziniu būdu, negalime sau leisti laukti pataisymų.
Tačiau jau turime labai griežtus saugumo standartus programinei įrangai, kuri naudojama jautriose kibernetinės ir fizinės srityse, pavyzdžiui, aviacija, ar ne?
Teisingai, bet tai labai brangu. Tie standartai yra, nes šioje ir keliose kitose pramonės šakose jau yra griežtas vyriausybės reguliavimas. Vartojimo prekėse jūs neturite tokio saugumo ir saugumo lygio, ir tai turės pasikeisti. Šiuo metu rinka čia visiškai neapdovanoja saugios programinės įrangos. Kol jūs, kaip įmonė, neįgysite papildomos rinkos dalies, nes esate saugesnis, neskirsite daug laiko šiam klausimui.
Taigi, ką turime padaryti, kad „Internet+“ era taptų saugesnė?
Nėra pramonės, kuri pagerintų saugą ir saugumą, jei vyriausybės nepriverstų to daryti. Vėl ir vėl įmonės taupo saugumą, kol yra priverstos į tai žiūrėti rimtai. Mums reikia, kad vyriausybė suaktyvintų veiksmus, skirtus įmonėms, kuriančioms prie interneto prijungtus įrenginius. Tai apima lanksčius standartus, griežtas taisykles ir griežtus atsakomybės įstatymus, kurių sankcijos yra pakankamai didelės, kad rimtai pakenktų įmonės pajamoms.
Tačiau ar tokie dalykai kaip griežtos atsakomybės įstatymai neturės šiurkštaus poveikio naujovėms?
Taip, jie atšaldys naujoves, bet būtent to dabar reikia! Esmė ta, kad naujovės Internet+ pasaulyje gali jus nužudyti. Mes atšaldome inovacijas tokiuose dalykuose kaip vaistų kūrimas, orlaivių projektavimas ir atominės elektrinės, nes jų klaidingumo kaina yra per didelė. Jau praėjome tašką, kai turime aptarti susijusių dalykų reguliavimą ir nereguliavimą; turime diskutuoti apie protingą reguliavimą prieš kvailą reguliavimą.
Vis dėlto čia yra esminė įtampa, ar ne? Vyriausybės taip pat mėgsta išnaudoti pažeidžiamumą šnipinėjimui, teisėsaugai ir kitai veiklai.
Vyriausybės neabejotinai yra brakonieriai ir medžiotojų prižiūrėtojai. Manau, kad ilgainiui išspręsime šią ilgalaikę įtampą tarp puolimo ir gynybos, bet tai bus ilgas ir sunkus snaudulys.
Jūsų knygoje daugiausia dėmesio skiriama JAV. Kaip manote, ar ji čia imsis lyderio vaidmens?
Daugiausia dėmesio skiriu JAV, nes čia yra įsikūrusios didžiosios technologijų įmonės ir tai režimas, kurį aš geriausiai pažįstu, bet aš taip pat šiek tiek kalbu apie Europą. Europos Sąjunga šiuo metu yra reguliavimo supervalstybė šioje planetoje. Manau, kad ji žengs toliau ir greičiau nei JAV. JAV labiau žiūriu į valstijas, ypač Masačusetsą, Niujorką ir Kaliforniją.
Taip pat manau, kad bus tarptautinių sutarčių ir normų, kurios bent jau taikos metu apribos mūsų prijungtą infrastruktūrą nacionalinių valstybių kibernetinėms atakoms. Mums skubiai reikia veiksmų visais lygmenimis – nuo vietos iki tarptautinio. Labiausiai bijau, kad įvyks kibernetinė nelaimė, o vyriausybės stačia galva skubės įgyvendinti priemones, kurios daug negalvodamos neišspręs problemos.