211service.com
Czy rząd powinien gromadzić zapasy błędów w oprogramowaniu?
Najwyższe władze w amerykańskiej społeczności wywiadowczej trzymają język za zębami, jeśli chodzi o luki w oprogramowaniu.
Gdy opada kurz po globalnym ataku oprogramowania ransomware, który od piątku sparaliżował systemy w ponad 150 krajach, mroczny proces zbierania i ujawniania luk w oprogramowaniu przez rząd Stanów Zjednoczonych ponownie znajduje się pod kontrolą.
Istnieje wiele powodów do winy za skalę i skuteczność ataku, w którym wirus ransomware o nazwie WannaCry — a także WannaCrypt i Wanna Decryptor — wykorzystywał lukę w systemie Windows XP. Po pierwsze, Microsoft przestał wspierać tę wersję swojego systemu operacyjnego w 2014 , więc każdy, kto korzystał z przestarzałego oprogramowania, podejmował ryzyko. (Gdy Microsoft dowiedział się, że luka jest wykorzystywana, szybko wydał poprawkę dla tego błędu — nietypowy krok w przypadku tak starego oprogramowania).
Brad Smith, prezes i główny doradca prawny Microsoftu, powiedział, że winę ponosi również rząd, ponieważ wygląda na to, że atakujący wykorzystali exploita, który został skradziony z NSA przez grupę o nazwie Shadow Brokers. W post na blogu skrytykował praktykę gromadzenia luk w zabezpieczeniach. Potrzebujemy, aby rządy rozważyły szkody dla ludności cywilnej, które wynikają z gromadzenia tych słabych punktów i wykorzystywania tych exploitów, napisał.
Rząd USA posiada system oceny ryzyka ujawnienia krytycznej luki w oprogramowaniu lub utrzymania jej w tajemnicy. Ale bardzo niewiele wiadomo publicznie na temat działania tak zwanego procesu Vulnerabilities Equities (VEP). Zwolennicy prywatności od dawna apelują o większą przejrzystość, z niewielkim sukcesem.
Uważa się, że VEP istnieje od 2010 r., ale pozostał tajemnicą do 2014 r., kiedy biały Dom oraz Dyrektor Wywiadu Narodowego każde wydane oświadczenie odmawiające Bloomberg raport że NSA od lat znała i wykorzystywała szeroko rozpowszechnioną lukę w sposobie szyfrowania komunikacji przez Internet, nazywaną Heartbleed. Michael Daniel, koordynator ds. cyberbezpieczeństwa prezydenta Obamy, twierdził, że administracja ustanowiła zdyscyplinowany, rygorystyczny i na wysokim szczeblu proces decyzyjny dotyczący ujawniania luk w zabezpieczeniach.
To, czy rząd federalny powinien ukrywać wiedzę o takich lukach, może wydawać się niektórym jasne, Danielu powiedział wtedy , ale rzeczywistość jest znacznie bardziej skomplikowana. Powiedział, że ujawnienie luki w zabezpieczeniach może spowodować, że USA zrezygnują z możliwości zebrania kluczowych informacji wywiadowczych, które mogłyby udaremnić atak terrorystyczny. Niemniej jednak proces decyzyjny rządu był nastawiony na odpowiedzialne ujawnienie luki.
W styczniu 2016 r., dzięki pozwowi o ustawie o wolności informacji wystosowanym przez Electronic Frontier Foundation, rząd wydał częściowo zredagowaną dokument wyjaśnienie WEP. Nie wiadomo dokładnie, w jaki sposób podejmowana jest decyzja, kto ją podejmuje i ile tajnych luk dysponuje rząd. Jason Healey , naukowiec na Columbia University i starszy pracownik w Atlantic Council, ostatnio Szacowany że liczba jest w dziesiątkach.
Ostatnie wydarzenia wzbudziły wątpliwości, czy system rzeczywiście jest nastawiony na ujawnienie, jak twierdził Daniel. W ostatni artykuł badawczy Healey doszedł do wniosku, na podstawie wywiadów i publicznych oświadczeń rządu na temat VEP, że NSA prawie na pewno powinna była ujawnić luki w poprzednim przecieku Shadow Brokers do dotkniętych nim firm, w tym Cisco, Juniper i Fortinet. FBI powinno było również poinformować Apple o luce, którą wykorzystało do uzyskania dostępu do iPhone'a jednego ze strzelców podczas ataków terrorystycznych w San Bernardino w zeszłym roku, napisał Healey.
Niestety, perspektywa większej przejrzystości – i związanej z nią odpowiedzialności – nie wydaje się nadchodzić. VEP jest kontrolowany przez władzę wykonawczą rządu federalnego, bez nadzoru publicznego. O ile administracja Trumpa nie zdecyduje się to zmienić, prawdopodobnie pozostaniemy w ciemności. To znaczy do następnego wielkiego cyberataku.