211service.com
Ewolucja cyberbezpieczeństwa: Chris Wysopal z Veracode
Od czasu pojawienia się Internetu i po niezliczonych, masowych naruszeniach, globalna społeczność nadal zmaga się z cyberbezpieczeństwem i traktuje to jako refleksję.
27 czerwca 2019 r.
Gdy internet zapanował, a włamania, naruszenia danych i inne cyberzagrożenia stały się rutyną — organizacje i rządy walczyły poprzez stały rozwój technologii i strategii cyberbezpieczeństwa. Jednak sukces w zapewnieniu prawdziwego cyberbezpieczeństwa był nieuchwytny. Czy możemy uczyć się na niektórych błędach popełnionych po drodze?
Chris Wysopal, CTO i współzałożyciel Veracode, od początku związany jest z cyberobroną. W rzeczywistości, jako badacz podatności w nowatorskim think tanku hakerskim L0pht, pracował przez dziesięciolecia, aby żądać bezpiecznych technologii od wpływowych firm technologicznych.
W tym odcinku Wysopal dzieli się swoją pracą z wczesnych lat cyberbezpieczeństwa, opowiadając historie, takie jak zeznania przed Senatem w 1998 roku dotyczące bezpieczeństwa komputerowego. W tym czasie opowiadał się za przyjęciem przepisów dotyczących dużych firm, takich jak Microsoft, w celu wymuszenia odpowiedzialności i opracowania przemyślanego, bezpieczniejszego kodu, który chroni prywatność konsumentów. Te początkowe obawy tylko wzrosły, ponieważ nadal istnieje niewielka ochrona przed kodem i oprogramowaniem układowym, które pozwalają na naruszenia. Dokąd idziemy stąd? Wysopal podziela pewną mądrość i pewne ostrzeżenia.
Business Lab prowadzi Elizabeth Bramson-Boudreau, dyrektor generalny i wydawca MIT Technology Review. Producentem serialu jest Katherine Gorman przy pomocy redakcyjnej Emily Townsend. Muzyka Merleana z Epidemic Sound.
Z przeglądu technologii MIT. Jestem Elizabeth Bramson-Boudreau. A to jest Business Lab: program, który pomaga liderom biznesowym zrozumieć nowe technologie wychodzące z laboratorium i wprowadzane na rynek. Dzisiaj skupimy się na historii i ewolucji cyberbezpieczeństwa oraz na tym, jak te wczesne podejścia odbijają się echem dzisiaj. Innymi słowy, czy reakcja na najwcześniejsze zagrożenia cybernetyczne ukształtowała sposób, w jaki dzisiaj patrzymy na bezpieczeństwo?
Elżbieta Bramson-Boudreau : Czy są jakieś lekcje na temat tego, w jaki sposób obecnie praktykujemy nasze bezpieczeństwo cyfrowe? To druga część naszej serii poświęconej cyberbezpieczeństwu, w której badamy wszystko, od najnowszych ataków hakerskich po to, co organizacje mogą zrobić, aby lepiej chronić swoich ludzi i dane. Naszym dzisiejszym gościem jest Chris Wysopal, CTO i współzałożyciel Veracode. Od samego początku jest aktywny w toczącej się walce o bezpieczeństwo cyfrowe. Jestem tutaj z Chrisem Wysopalem, współzałożycielem i dyrektorem ds. technologii Veracode, firmy zajmującej się cyberbezpieczeństwem w Internecie. Chris ma, przed Veracode, dość długą historię w cyberbezpieczeństwie i myślę, że od tego zaczniemy. Chris, czy możesz nam opowiedzieć o swojej historii w zakresie cyberbezpieczeństwa?
Chris Wysopał : Tak, zdecydowanie. Zacząłem w cyberbezpieczeństwie prawdopodobnie pod koniec lat 80. od systemów tablic ogłoszeniowych przed internetem i miał to rodzaj undergroundowego uroku, jak alternatywne media, coś w rodzaju „świata zinów, w którym komunikowałeś się jeden do jednego z tą alternatywą przestrzeń. Niektóre pliki w tych systemach mówiły o włamaniu się do systemu telefonicznego i był to rodzaj informacji, których nie można było uzyskać nigdzie indziej. Byłem wtedy studentem college'u. To było dość intrygujące i myślę, że to sprawiło, że wyruszyłem w podróż próbującą odkrywać informacje wokół komputerów i sieci, którą robiłem przez całe lata 90-te.
Elżbieta : Więc jak widziałeś ewolucję krajobrazu... miałeś w tym dość długą karierę i naprawdę widziałeś zmianę krajobrazu, pomyślałbym przez te 20, 30 lat. Co widziałeś — jak scharakteryzowałbyś zaobserwowane zmiany?
Chris : Tak, więc na początku lat 90. byłem inżynierem oprogramowania. Właściwie pracowałem w Lotusie tutaj w Cambridge i połączyliśmy się z Internetem. A ja trochę — zaczęliśmy myśleć o tym, co by było, gdyby nasze oprogramowanie było uruchomione w Internecie, aby ludzie przez Internet mogli łączyć się z naszym oprogramowaniem? I to otworzyło mi umysł na pomysł, że, wow, to brzmi, jakby były wszystkie te problemy z bezpieczeństwem.
Elżbieta : Na tym etapie. Co sprawiło, że zauważyłeś, że ten dostęp do internetu zawsze będzie prowadził w obie strony, w obie strony?
Krzysztof: Zacząłem więc pracować nad oprogramowaniem, które było podłączone do Internetu i stało się trudnym problemem, aby było ono bezpieczne, tak aby ludzie nie mogli po prostu mieć dostępu do danych, które kryją się za twoim oprogramowaniem, w rzeczywistości trudno jest zbudować oprogramowanie, które było bezpieczne . To było prawie tak, jakbyśmy nie wiedzieli jak. To naprawdę otworzyło mi oczy, że w miarę jak coraz więcej rzeczy będzie podłączonych do Internetu, stanie się to naprawdę problematyczne.
Elżbieta: A więc, jaki jest największy problem, który teraz widzisz? Tak więc, biorąc pod uwagę, że wiesz, że byłeś tam na samym początku, widziałeś wiele rzeczy, które się pojawiły. Twoja własna historia polegała na tym, że spędziłeś pewien czas jako haker. Co widzisz dzisiaj, co nie pozwala ci zasnąć w nocy, a które uważasz za największe rzeczy, o których nie tylko znasz ludzi słuchających tego podcastu, ale być może nasi ustawodawcy i nasi i nasi przywódcy powinni myśleć?
Chris : Wiesz, co mnie przeraża, to to, że ludzie budują systemy, oprogramowanie, IoT i tak naprawdę nie myślą o bezpieczeństwie od samego początku albo w ogóle o tym nie myślą, jakby ich to nie obchodziło, albo pomyśl o tym na samym końcu, a oni zrobią absolutne minimum i w końcu wiesz, że wypuszczasz tam produkt, który z natury zostanie naruszony. Jest to z natury rzeczy związane z problemami. I po prostu myślę, że ciągle wypuszczamy strumień technologii, która jest fundamentalnie zerwana z punktu widzenia bezpieczeństwa. I ciągle to sprzątamy.
Elżbieta: Więc mówisz o oprogramowaniu? Mówisz o urządzeniach obsługujących IoT? Mówisz o tych wszystkich rzeczach? I dlaczego ludzie, którzy tworzą te rzeczy, nie martwią się o swoje bezpieczeństwo?
Krzysztof: Tak. To było coś, o czym rozmawialiśmy, kiedy zeznawałem przed Senatem w 1998 roku, który był pierwszym komputerem — przesłuchanie w sprawie bezpieczeństwa komputerowego rządu, a niektóre z rzeczy, o których rozmawialiśmy, dotyczyły tego, że sprzedawcy nie wiedzą, co robić. Sprzedawcy nie dbają o to, ponieważ ich klienci o to nie proszą. Sprzedawcy nie ponoszą odpowiedzialności. Licencjonują oprogramowanie. Jeśli coś pójdzie nie tak, zrzekają się wszelkiej odpowiedzialności. Mieliśmy rynek, na którym ludzie mogli wystawiać rzeczy bez żadnych negatywnych skutków, wynikających z ich niezdolności do zabezpieczenia. Jednym z największych graczy w tym czasie był Microsoft. A Microsoft dostarczał całe to oprogramowanie i miało wiele luk w zabezpieczeniach. I każdy, kto biegnie — wszelkie firmy korzystające z oprogramowania otrzymywały — włamywano się do nich i to było po prostu status quo, tak jakby linia partyjna Microsoftu była jak wiesz Nie, tworzymy bezpieczne oprogramowanie”, a naszą linią partyjną było „nie, nie robisz”. Pokażemy Ci luki w oprogramowaniu. A był okres, w którym trzeba było podnieść świadomość i niemal zawstydzić te firmy, by budowały lepsze rzeczy, które sprzedają.
Elżbieta: Czy myślisz, że w tym czasie Microsoft naprawdę rozumiał, że tworzy produkty, które nie były bezpieczne, czy też, gdy mówili, że nasze produkty są wystarczająco dobre, byli nieszczerzy?
Chris : Myślę, że nie rozumieli, co budują. Myślę, że wiesz, że linia PR korporacyjnego polega na tworzeniu bezpiecznego oprogramowania. Takie jest nasze stanowisko. Dzięki temu byli w stanie zbudować podobne funkcje bezpieczeństwa, takie jak uwierzytelnianie i kryptografia. Właściwie zrobili to dość słabo, ale nie rozumieli luk w zabezpieczeniach. Nie rozumieli, że błędy w kodzie mogą zostać wykorzystane przez atakujących, aby uzyskać dostęp do danych aplikacji, uruchomić własne polecenia w oprogramowaniu. I właśnie tam przyszli hakerzy i pokazali sprzedawcom, co jest możliwe, gdybyś był złym facetem. I wtedy mówisz, że wiesz, że jesteś hakerem. W ten sposób widzę swoją rolę i rolę, jaką pełniliśmy w L0pht, grupie hakerskiej, do której należałem, informowała, że sprzedawcy nie wiedzieli, co robią i muszą zacząć budować oprogramowanie w inny sposób.
Elżbieta : To jest świetne. Umieśćmy to trochę w kontekście dla ludzi, którzy tego słuchają. Więc zeznałeś przed Kongresem w 1998 roku i w tym momencie możesz namalować dla mnie trochę obraz o tym, jakie były powody, dla których robiłeś i jakie były twoje cele — co próbowałeś osiągnąć w tamtym momencie. A potem wrócę i poproszę o powiązanie tego z tym, gdzie jesteśmy teraz, gdzie ostatnio widzieliśmy ludzi przed Kongresem — Mark Zuckerberg całkiem godne uwagi. A kim jesteś, wiesz, jakie połączenia i jakie masz doświadczenia, kiedy widzisz, że coś takiego się dzieje, wiesz, przez te wszystkie lata.
Wiesz, że zeznawaliśmy w 1998 r., ale kilka lat później zaczęliśmy robić to, co nazywamy badaniem podatności. Wzięlibyśmy popularny produkt, taki jak Internet Explorer, i ustawili go w laboratorium, a następnie przeprowadzili inżynierię wsteczną. Próbowaliśmy ustalić, gdzie były problemy i znaleźć sposoby na jego kompromis. Chodzi mi o to, że teraz myślimy o tym, ponieważ wiesz coś, o czym wszyscy wiedzą o tobie, kliknij link, a twój komputer uruchomi cudzy soft — pod czyjąś kontrolą. Myślę, że wszyscy znają teraz ryzyko. Czasami, jeśli klikniesz łącze, które jest złośliwe, może to doprowadzić do tego, że ktoś inny, kogo znasz, będzie kontrolował Twój komputer. To jest dokładnie ten rodzaj luk, które badaliśmy w '96, '97 i próbowaliśmy zwrócić na nie uwagę ludzi. Zaczęliśmy to robić mając na celu jedynie badania i eksplorację. Ale po pewnym czasie zdaliśmy sobie sprawę, że konsumenci nie wiedzą, że jest to problem. Sprzedawcy nie wiedzą, ale konsumenci też nie wiedzą. I tak zaczęliśmy pełnić rolę rzecznika konsumentów, próbując nagłośnić, że niezabezpieczone oprogramowanie doprowadzi do złamania zabezpieczeń komputera.
I dostaliśmy trochę prasy w tym celu i to sprawiło, że znaleźliśmy się na radarze Senatu, kiedy zaczynali zajmować się tą kwestią. W 1998 roku był to pierwszy raport Government Accountability Office, który dotyczył bezpieczeństwa wszystkich różnych agencji federalnych i był zrobiony po raz pierwszy. I tak senator Komisji Spraw Rządowych Thompson, który był wówczas przewodniczącym, chciał mieć przesłuchanie, aby porozmawiać o wynikach i o tym, jak źle postąpił rząd, prawdopodobnie dlatego, że w tym czasie używał wielu oprogramowania Microsoft, ale wiele innych rzeczy sprzedawców. Nie wiem, kto wsadził im bakcyl do ucha, ale chcieli mieć coś więcej niż tylko rządowy punkt widzenia, chcieli mieć na ten temat zewnętrzny punkt widzenia. Skończyło się na tym, że zostaliśmy podsłuchiwani, ponieważ wiecie, rodzaj zeznań ekspertów, takich jak to, że hakerzy mają tak wspaniały pogląd z zewnątrz na problemy, które nie są motywowane przez normalny rząd lub komercję.
Elżbieta: I tak, pomost między tym doświadczeniem a ostatnimi czasy jak Mark Zuckerberg. Czy jesteś zaskoczony, jak? — po pierwsze, czy wydaje ci się, że przez te wszystkie lata później to, co widziałeś, gdy rozmawiał o Facebooku? A może wydaje się szokująco znajomy? Wiesz, jakie są porównania, czy różnice, którymi chcesz się z nami podzielić?
Krzysztof: Facebook miał wiele różnych problemów, niektóre z nich, wiele z ich własnej twórczości, na przykład ze sposobem, w jaki radzą sobie z prywatnością i swoim modelem biznesowym. Niektóre problemy wynikają z tego, że wiesz, że zabezpieczenie tak dużego i złożonego oprogramowania jest wyzwaniem, a ponadto miały miejsca naruszenia, prawda? To zarówno bezpieczeństwo, jak i prywatność, kiedy o tym myślisz. Obecnie różnica polega na tym, że ryzyko jest o wiele większe, ponieważ istnieje znacznie większa zależność od systemów takich jak Facebook. Pomyśl tylko o ilości danych osobowych znajdujących się na Facebooku, które można wykorzystać przeciwko osobom, które z pewnością byłyby — ludzie nie chcieliby ujawnić. I wiesz, do pewnego stopnia, jest używany przeciwko tobie, znasz cały nasz system demokracji. Prawidłowy? I przeciwko społeczeństwu, a nie tylko przeciwko jednostkom. Tak więc stawka wydaje się teraz o wiele wyższa niż w 1998 roku, kiedy po prostu próbowaliśmy podnieść świadomość, mówiąc, że widzimy, że to problem, który będzie się pogarszał. A potem patrzę wstecz i mówię, że zasadniczo wiele się nie zmieniło. Zasadniczo nadal nie ma odpowiedzialności za oprogramowanie. Wiesz, że jeśli Facebook zostanie naruszony, to tak, no cóż, wiesz, że trudno jest zbudować bezpieczne oprogramowanie i wygląda na to, że każdy, kto tworzy oprogramowanie, dostaje przepustkę, gdy zostanie naruszony. Więc to się zasadniczo nie zmieniło. Ale myślę, że zmieniło się to, jak te naruszenia mają wpływ na społeczeństwo. Po prostu przenika całe nasze życie.
Elżbieta: Czy uważasz, że odpowiedzią jest prawodawcy, regulatorzy tworzący nowe przepisy w celu wdrożenia lepszego cyberbezpieczeństwa? A jeśli tak, to czy są jakieś konkretne środki, które najbardziej Cię interesują.
Krzysztof: Tak więc lubię patrzeć na analogie w innym biznesie — inne branże regulowane przez rząd, takie jak wiesz, że żywność jest regulowana etykietami składników, czystością i tym podobne. Bezpieczeństwo jest regulowane w wielu miejscach: samochodach, samolotach, wszelkiego rodzaju środkach transportu, miejscu pracy, a nawet produktach konsumenckich. Lubię patrzeć na te analogie i powiedzieć, że wiesz, jak to się stało, jak możemy czerpać korzyści bez tłumienia tych branż? Chodzi mi o to, że bezpieczeństwo w samochodach to historia wielkiego sukcesu. Prawidłowy? Jakbyśmy teraz jeździli o wiele bezpieczniej. I wiesz, że tak nie jest — wydaje się, że przemysł samochodowy ma się dobrze. Jak więc możemy mieć regulacje, które mogą poprawić bezpieczeństwo, które jest bardzo bliskie bezpieczeństwu, zwłaszcza gdy zaczynamy mówić o IoT i urządzeniach kontrolowanych przez komputery. Jak możemy, jak możemy to zrobić, aby nie zdusić tych branż? Musimy postępować bardzo ostrożnie, ale myślę, że patrząc na niektóre z rzeczy, które działały tak, jak wiesz, w przypadku produktów spożywczych, takich jak etykiety składników, działały. Tak więc po prostu przejrzystość tego, co tam jest i pozwolenie konsumentowi na podjęcie decyzji. Oczywiście, jeśli okaże się, że coś powoduje raka, usuwamy to z rynku.
Ale inne rzeczy są po prostu takie, że wiesz, że to ryzyko oparte na tym, że znasz swoje zdrowie. Więc możemy pomyśleć o przejrzystości tego, co weszło do oprogramowania, czy zostało przetworzone w zakładzie, który robił szaleństwa, wiesz? Więc co to jest. Jak to powstaje? A jakie są składniki, na przykład jakie są w nim fragmenty open source, jakiej kryptografii używa? Myślę, że etykiety składników i przejrzystość to dobry sposób na rozpoczęcie tego. Ale inna rzecz, która moim zdaniem musi się wydarzyć, to kiedy wiesz, że są duże naruszenia, traktuj je tak, jak wiesz, jak transport, który znasz, i staraj się dotrzeć do pierwotnej przyczyny tego, co się dzieje. Zawsze wydaje się, że robimy to z transportem i wiele razy, gdy jest to naruszenie, mówimy, że no cóż, tyle płyt zostało skompromitowanych. Kupimy wszystkich, których znasz, raporty kredytowe lub monitorowanie kredytów i postaramy się, aby to się więcej nie powtórzyło. Ale wiesz, że tak naprawdę nie wiemy, co się stało. Myślę, że około 10 procent czasu, kiedy wiadomo, że pojawiają się wiadomości, zwykle dzieje się tak dlatego, że grupa napastników wysuwa roszczenia.
Elżbieta: Prawidłowy. Chodzi mi o to, że to bardzo interesujące, co mówisz, ponieważ tego rodzaju analiza pośmiertna o tym, co się wydarzyło, z pewnością możesz spojrzeć na wypadki lotnicze, a oni kładą na to wszystko, co wiesz, w magazynie, a oni przyglądają się absolutnie wszystko, a oni naprawdę próbują dowiedzieć się, co dokładnie mówi im czarna skrzynka itp. I jest kilka różnych — To znaczy, a potem mówisz o takich rzeczach, jak wypadek związany z bezpieczeństwem żywności, wiesz, że masz sytuację, w której sałata rzymska psuje się, zapomnij o tym – nigdy nie znajdziesz sałaty rzymskiej, dopóki nie dowiesz się, że kryzys minął. I myślę, że z takiego podejścia jest jakaś realna korzyść.
Ale myślę, że wyzwania i interesuje mnie twój punkt widzenia, to to, że są — jest coś z natury łatwiejszego dla ludzi do zrozumienia, co zostało użyte do przygotowania tej sałatki i przygotowanej do wstępnie umytej sałatki lub jakie są różne kawałki w samolocie, które wchodzą ze sobą w interakcje? I jakoś, jeśli chodzi o luki w oprogramowaniu i wiesz, że wielkie, duże naruszenie bezpieczeństwa sieci, może to być brak wiedzy i prawdziwego wglądu w to, jakie są wszystkie składniki. Ale myślę, że dla kilku cennych osób, wszystkie składniki tam przedstawione mogą oddać znaczenie.
Krzysztof: Ale masz ekspertów, którzy są narzuceni na te podstawowe rzeczy, na przykład są dietetycy, są lekarze, a oni mogą udzielać porad opartych na tych podstawach. I kłóciłbym się, że każdy rodzaj katastrofy lotniczej to bardzo skomplikowana awaria, która się do tego przyczyniła, na przykład jeśli spojrzysz na ostatnią z Etiopią i Lion Air, to jest to dość skomplikowany łańcuch, w którym znasz oprogramowanie, szkolenie, wiesz, może trochę zły projekt, że to w to wchodzi. To nigdy nie jest tak prosta rzecz jak awaria czujnika, która spowodowała awarię oprogramowania, a następnie awarię treningu. Zwykle jest to połączenie dwóch lub trzech rzeczy. Myślę więc, że jest to bardzo podobne do tego, co widzimy w cyberświecie.
Elżbieta: Myślę, że może bardziej myślę o prawodawcach. Mam na myśli, że nie mogę się powstrzymać od tego, że wiele razy powtarzam sobie w myślach pytania do Marka Zuckerberga. Cóż, jak zarabiasz pieniądze? I tak naprawdę zdradzając ignorancję w Kongresie na temat sposobu, w jaki ten biznes i prawdopodobnie wiele innych, poza tym, działa w nowoczesnym Internecie, co prowadzi mnie do tego, że trochę trudno sobie wyobrazić, że możemy dostać się do organu regulacyjnego — cokolwiek to oznacza - może mieć rzeczywistą zdolność do rozdzielenia rzeczy. mam nadzieję, że — Mam na myśli to, że uważam, że jest to interesująca i przekonująca rzecz, do której należy zmierzać, ale zastanawiam się też, jaki masz punkt widzenia, zwłaszcza odkąd zaangażowałeś Microsoft w tamtym czasie, wokół potęgi tych ogromnych firm internetowych i sposobu, w jaki będą reagują na niektóre rodzaje podobnych dźwięków od prawodawców. Myślę, że linie lotnicze są w innej sytuacji, a firmy spożywcze są w innej sytuacji. Jak myślisz, jak Facebook, Instagram, Twitter, Google lub ktokolwiek zareagowałby lub reagował do tej pory na tego rodzaju pomysły?
Krzysztof: Wiele z tych firm, na przykład, po prostu weź Microsoft, odpowiedziały w 2000 roku… Myślę, że był to rok 2002, Bill Gates wyszedł i powiedział, że idziemy do was, wiecie, pewnego rodzaju zatrzymanie rozwoju i wszyscy zostaną przeszkoleni i oni teraz nazywają to zaufanym komputerem. I postawili się na ścieżce do tworzenia bezpiecznego oprogramowania, a potem prawdopodobnie 10 lat później, faktycznie wykonują naprawdę dobrą robotę. Prawidłowy? Myślę, że częścią tego była ochrona ich marki, musieli to zrobić. Dużo się temu przyglądam i firmy robią to, aby chronić swoją markę. Na przykład, jeśli chcesz spojrzeć na dostawców chmury, takich jak Amazon i AWS. są bardzo silni w kwestii bezpieczeństwa, ponieważ muszą mieć silną markę wokół bezpieczeństwa, w przeciwnym razie nikt nie będzie korzystał z ich usług. Tak więc, jeśli istnieje zgodność między marką firmy a tym, co zapewnia ona bezpiecznie, myślę, że może to zadziałać. Ale myślę, że problem z Facebookiem polega na tym, że nie sądzę, że wyrównanie jest konieczne, koniecznie właściwe, ze względu na sposób, w jaki ludzie udostępniają swoje informacje. Wyrównanie nie zawsze istnieje. A jeśli spojrzymy na to, że wiesz, że tanie, to wiesz, że producenci IoT mają nazwiska, o których nigdy nie słyszeliśmy, że wywodzą się z Chin, to w ogóle nie ma zbieżności marek i wcale ich to nie obchodzi. Myślę, że w tym miejscu problem jest większy, może nie z większymi graczami, ale tak jak z kolejnymi tysiącami graczy, którzy po prostu zawsze mają gdzieś jakąś lukę, tak że sieć każdego jest zawsze zagrożona. Wiesz, jeśli spojrzysz na jakikolwiek system, to im dalej odejdziesz od najlepszych graczy, a nazwa marki, która jest problemem, taka jak WordPress, jest w rzeczywistości całkiem dobra. Ale możesz umieścić wtyczkę od jakiegoś nieznanego odtwarzacza na swoim blogu WordPress i to jest teraz kompromis. Myślę, że tutaj należy skupić się na regulacji lub przejrzystości, na podnoszeniu dna do góry, a nie na wzmacnianiu czołowych graczy.
Elżbieta: Chcę teraz przejść do Ciebie, wiesz, co się dzieje dzisiaj i niektóre innowacje, które są — został opracowany dla większego bezpieczeństwa. Żyjemy teraz w świecie z uwierzytelnianiem dwuskładnikowym wokół naszych haseł. Jak myślisz, jak długo będzie to w szczególności standard i do jakich innych czynników, takich jak biometria i inne rzeczy, będziemy się zbliżać, jeśli w ogóle?
Krzysztof: Myślę więc, że dwuskładnikowy jest jedną z największych innowacji, zwłaszcza że wiesz, gdzie możesz używać urządzenia mobilnego jako drugiego czynnika, ponieważ wiesz, że jest prawie tak łatwy w użyciu jak hasło i prawie łatwe do skonfigurowania jako hasło. Myślę, że zobaczymy, jak dwuczynnikowy przetrwa bardzo długo. Biometria, wiesz, że to w porządku, ponieważ znasz urządzenie sprzętowe, o którym wiesz, że jest zamkiem do drzwi lub telefonem. Staje się to bardziej problematyczne, gdy te dane biometryczne muszą być szeroko udostępniane w wielu systemach i utrzymywane w bezpiecznym miejscu. Na przykład, jeśli myślisz o danych biometrycznych w telefonie, ten odcisk palca nigdy nie opuszcza bezpiecznego chipa w telefonie, prawda? To jedna z rzeczy, które sprawiają, że faktycznie działa. Kiedy ludzie zaczynają mówić o biometrii, znasz się w bankomacie lub znasz inne miejsca, które są w szerokiej sieci. Potem zaczynam się martwić, że to nie pomaga. A potem istnieje rzeczywiste ryzyko, ponieważ teraz twój odcisk kciuka jest — wiesz, że możesz zmienić hasło, ale nie możesz zmienić kciuka, a przynajmniej nie jest to łatwe. Nie jestem pewien co do biometrii.
Elżbieta: A co z problemami cyberbezpieczeństwa w aplikacjach uczenia maszynowego? Dużo mówimy o uczeniu maszynowym, a wiele osób słuchających tego podcastu używa rozwiązań uczenia maszynowego do analizowania dużych zbiorów danych. Jakie są niektóre z obaw, o których powinni pamiętać?
Krzysztof: Uczenie maszynowe z pewnością można wykorzystać do rozwiązania niektórych problemów związanych z cyberbezpieczeństwem. Myślę, że to staje się trudne, gdy próbujesz oddzielić normalne zachowanie od złośliwego, ponieważ są one tak blisko dopasowane. To znaczy, zdarzają się ekstremalne przypadki, kiedy wiesz, że zawsze logujesz się z Massachusetts, a potem nagle logujesz się po raz pierwszy z Chin, a my jesteśmy w tym dobrzy. To rodzaj wykrywania oszustw, z którego korzystają firmy obsługujące karty kredytowe. A więc tego rodzaju ekstremalne anomalie – w porządku. Ale czy jest to trudniejsze, gdy próbujesz zrozumieć, że wiesz, czy zachowanie użytkownika w sieci jest faktycznie złośliwym zachowaniem, w porównaniu z normalnym ludzkim zachowaniem? Może ktoś po raz pierwszy otwiera arkusz kalkulacyjny, ponieważ właśnie kazano mu coś zrobić. Czy chcesz zablokować tę aktywność? Czy chcesz, aby ktoś fizycznie śledził tę aktywność? Że to może prowadzić do wielu fałszywych alarmów. Tak więc, jeśli chodzi o ludzkie zachowanie, które po prostu chroni to, że znasz swój komputer lub sieć, myślę, że jest to wyzwanie, a jeszcze do tego nie doszliśmy.
Elżbieta: A dla ludzi, którzy są dyrektorami zarządzającymi firmami, którzy muszą pomyśleć o swoim bezpieczeństwie, jak bardzo powinni się martwić? I często zastanawiam się, czy wiesz, że jest to przypadek ataku terrorystycznego, który statystycznie jest raczej mało prawdopodobny? A może bardziej przypomina to zagrożenie wypadkiem drogowym w drodze do pracy? Na czym powinienem skupiać swoje zmartwienia? A wiecie, że liczba firm, które chciałyby mi powiedzieć, że jest to strasznie niebezpieczne pod względem zagrożeń związanych z cyberbezpieczeństwem, z którymi mam do czynienia w Technology Review, jest prawdopodobnie nieskończona. A jak odfiltrować sygnał z szumu?
Krzysztof: Tak. Więc jest to trudne, ponieważ wiesz, że nie wiesz, że wiesz, jaki poziom ryzyka powinieneś tolerować jako firma, ponieważ różne firmy mają różne poziomy ryzyka, na przykład coś, co jest bankiem, ma inny poziom ryzyka niż media Spółka. Prawidłowy? Firma medialna może przetrwać, wiesz, że jej witryna została zniszczona, ale bank niekoniecznie przetrwa utratę miliardów dolarów. Prawidłowy? Dla każdego rodzaju biznesu istnieje inna tolerancja na ryzyko. Ale widzimy niektóre – i to tak, jakby był to bardziej ukierunkowany atak. Martwię się o przypadkowy, masowy atak, jaki widzieliśmy w przypadku wirusa NotPetya, który zabił to był Merck i myślę, że istnieje kilka globalnych firm transportowych i Maersk, myślę, że był jednym z nich. I w wysokości setek milionów dolarów, jakby nie byli w stanie prowadzić swoich globalnych firm przez kilka tygodni, wiesz? To jest coś, o co musi się martwić każda firma. Ja bym — gdybym miał skoncentrować się na cyberbezpieczeństwie, skupiłbym się na tego typu zdarzeniach — szeroko zakrojone wydarzenia - najpierw, a potem skupiłbym się na nich, np. czy są cele skierowane bezpośrednio do mojej firmy? A wiesz jak mam sobie z tym poradzić? Myślę, że można to podzielić na dwie części i będzie to trochę inne dla każdej firmy.
Elżbieta: Tak. A co z ludźmi, którzy teraz wkraczają w dziedzinę cyberbezpieczeństwa, którzy są? — wiesz, że albo przyszli, że byli hakerami, albo są naprawdę zainteresowani tym, aby sieć i firmy działały, wiesz, że działanie w sieci jest bezpieczniejsze? Co im powiesz? Ponieważ wiele się zmieniło. Wiesz, hakerzy i hakowanie stało się znacznie bardziej wyrafinowane. Z pewnością jest to narzędzie znane z państw narodowych. Jak radzisz im, aby zastanowili się, gdzie chcą budować swoją karierę?
Chris : Właściwie byłem na tym wydarzeniu w VMI w Wirginii. Było to wydarzenie polegające na przechwyceniu flagi, podczas którego 13 różnych zespołów kolegialnych zebrało się, aby przeprowadzić cyberprzechwytywanie flag. Rozmawiałem z nimi i wiesz, co lubię mówić, zaczynam od podstaw. Naprawdę musisz zrozumieć, że wiesz, jak działa sieć TCP/IP i działa internet. Musisz zrozumieć, jak działają systemy operacyjne, takie jak Unix i Windows. Musisz wiedzieć coś o kodowaniu i potrzebujesz czegoś w rodzaju tej szerokiej podstawy. Myślę, że na początek musisz zdecydować, w czym chcesz się specjalizować. Prawda? Będziesz w defensywie, czy w czerwonej drużynie? Czy zamierzasz zajmować się reagowaniem na incydenty i analizą kryminalistyczną? Na przykład to, co skończyłem, to praca z ludźmi, którzy tworzą oprogramowanie, aby pomóc im lepiej rozwijać oprogramowanie. Myślę, że każdy potrzebuje tej podstawy, ponieważ jest tak wiele różnych warstw, na których można atakować systemy. Możesz zaatakować sieć, którą możesz zaatakować w systemie operacyjnym i myślę, że inny cały obszar jest w warstwie ludzkiej. Na przykład, jak nakłaniasz ludzi do robienia rzeczy? Myślę, że myślę, że musisz zrozumieć podstawy wszystkich tych warstw, a następnie skupić się na tym, gdzie masz uzdolnienia. Wiesz oczywiście, że niektórzy ludzie po prostu naturalnie skłaniają się ku ofensywie lub obronie. Skończyło się na tym, że wiesz, że zaczynałem od ataku, a potem przechodziłem do obrony, ponieważ bardziej mi się to podoba. Spróbowałbym kilku rzeczy i wtedy wiesz, zagłębić się i skupić na jednym obszarze.
Elżbieta: Świetny. Cóż, to bardzo interesująca rozmowa i naprawdę doceniam poświęcenie czasu.
Krzysztof: Dziękuję za zaproszenie mnie tutaj.
Elżbieta: To tyle w tym odcinku Business Lab. Jestem twoim gospodarzem Elizabeth Bramson-Boudreau. Jestem prezesem i wydawcą MIT Technology Review. Powstaliśmy w 1899 roku w Massachusetts Institute of Technology. Możesz nas znaleźć w formie drukowanej, w Internecie, na dziesiątkach wydarzeń na żywo każdego roku. A teraz w formie audio. Aby uzyskać więcej informacji o nas, odwiedź naszą stronę internetową i TechnologyReview.com. Program jest dostępny wszędzie tam, gdzie zdobędziesz swoje podcasty. Jeśli podobał Ci się ten odcinek, mamy nadzieję, że poświęcisz chwilę, aby ocenić i zrecenzować nas w Apple Podcasts.
Business Lab to produkcja MIT Technology Review. Ten odcinek został wyprodukowany przez Collective Next z pomocą Emily Townsend iz pomocą redakcyjną Mindy Blodgett. Specjalne podziękowania dla naszego gościa Chrisa Wysopala. Dziękujemy za wysłuchanie i niedługo wrócimy z naszym następnym odcinkiem.