Keren Elazari o znaczeniu hakerów

W jaki sposób myślenie o pomocnych hakerach jako o systemie odpornościowym Internetu może wzmocnić Twoje bezpieczeństwo oraz lepiej przygotować i zabezpieczyć Twoją cyfrową obecność.

Za pomocą

• Personel TR strona archiwum

1 sierpnia 2019 r.

Rozwój cyberbezpieczeństwa przeplata się z ewolucją społeczności hakerów. Keren Elazari, analityk ds. bezpieczeństwa cybernetycznego i starszy badacz w Interdyscyplinarnym Centrum Badań nad Cyberprzestrzenią Uniwersytetu w Tel Awiwie, w swoim przemówieniu TED w 2014 r. edukowała świat na temat znaczenia kultywowania przyjaznych hakerów dla ochrony Internetu. Obecnie zajmuje się badaniem najpilniejszych zagrożeń bezpieczeństwa cybernetycznego oraz sposobów zapobiegania tym naruszeniom.

W tym odcinku Elazari dzieli się swoją historią zostania hakerem jako młoda kobieta w Izraelu i mówi o wzmocnieniu, jakie zyskała dzięki zostaniu ważnym graczem w globalnej społeczności hakerów. Wyjaśnia, jak firmy, organizacje i rządy współpracują teraz z pomocnymi hakerami, tworząc programy bug bounty i inne inicjatywy. Elazari wyjaśnia, czego firmy powinny szukać w kontekście cyberzagrożeń.

Business Lab prowadzi Elizabeth Bramson-Boudreau, dyrektor generalny i wydawca MIT Technology Review. Producentem serialu jest Katherine Gorman przy pomocy redakcyjnej Emily Townsend i Mindy Blodgett. Muzyka Merleana z Epidemic Sound.

Pokaż notatki i linki:

Cybertydzień w Tel Awiwie: https://cyberweek.tau.ac.il/2019/

Strona Kerena: https://www.k3r3n3.com

Twitter Kerena: https://twitter.com/k3r3n3

Ted Dyskusja: https://www.youtube.com/watch?time_continue=2&v=JpFFb1jEUf0

PEŁNY TRANSKRYPCJA

Z MIT Technology Review, nazywam się Elizabeth Bramson-Boudreau, a to jest Business Lab, program, który pomaga liderom biznesowym zrozumieć nowe technologie wychodzące z laboratorium i wprowadzane na rynek.

Odkąd mamy systemy komputerowe, istniały osoby, które próbowały przełamać zabezpieczenia, ale ci hakerzy mogą również odgrywać użyteczną rolę w identyfikowaniu luk w cyberbezpieczeństwie i identyfikowaniu przyszłych zagrożeń.

To ostatni odcinek naszego cyklu o cyberbezpieczeństwie. A dzisiaj mówimy o hakowaniu.

Od początków Internetu, byli przyjaźni eksperci cybernetyczni, w tym nasz gość, a ci hakerzy mieli krytyczne znaczenie dla zdrowia układu odpornościowego Internetu. Keren Elazari jest analitykiem cyberbezpieczeństwa i starszym badaczem w Interdyscyplinarnym Centrum Badań Cybernetycznych Uniwersytetu w Tel Awiwie.

Elizabeth Bramson-Boudreau: Keren, witaj w Business Lab.

Fajne Elazari: Cześć. Cieszę się, że tu jestem. Cieszę się, że mogę skorzystać z okazji, aby porozmawiać o tym, czego możemy się nauczyć od hakerów i o tym, w jaki sposób hakerzy faktycznie odgrywają kluczową rolę w dzisiejszym społeczeństwie informacyjnym.

Elżbieta: Dobra. Więc to świetnie. Zacznijmy, bo naprawdę chcę opowiedzieć o koncepcji hakera jako o czymś, co należy uczcić. Myślę, że wielu ludzi uwierzyło, że hakerzy grożą, a ty podchodzisz do tego z zupełnie innego punktu widzenia. Zanim przejdziemy do tego i porozmawiamy o twoim punkcie widzenia, czy możesz nam opowiedzieć trochę o sobie i jak stałeś się takim liderem i w pewnym sensie otwarcie na ten temat?

Fajne: Oczywiście Elżbieto. Rozpocząłem swoją drogę w cyberświecie, w cyfrowym świecie, jeśli wolisz, kiedy byłem bardzo młody. Miałem może 11 lub 12 lat, kiedy po raz pierwszy uzyskaliśmy dostęp do Internetu w Izraelu, w Tel Awiwie, gdzie dorastałem. Błagałem rodziców o własny komputer, z którym mógłbym połączyć się z internetem. W tamtych czasach trzeba było samodzielnie to rozgryźć, jak sprawić, by modem działał, jak połączyć się z właściwymi serwerami, jak skonfigurować komputer.

A potem, kiedy już będziesz online, naprawdę od Ciebie zależy, czy znajdziesz swoją ścieżkę. I na szczęście znalazłem swoją drogę z czatami i grupami internetowymi dla ludzi, którzy tak jak ja pasjonowali się technologią. Uczyłem się angielskiego, pisząc na maszynie i rozmawiając z tymi ludźmi na czacie, którzy nie mieli pojęcia, że ​​rozmawiają z 13-letnią dziewczyną z Tel Awiwu.

Dla nich byłem tylko kolejnym hakerem, po prostu kolejną osobowością online stojącą za tym pseudonimem. I to właśnie w tych pokojach internetowych nauczyłem się doceniać, jak ciekawi, kreatywni i innowacyjni potrafią być ludzie, którzy nazywają siebie hakerami. I mniej więcej w 1995 roku moje życie naprawdę się zmieniło, ponieważ wtedy zobaczyłem film „Hakerzy” z Angeliną Jolie w roli zaciekłej hakerki z liceum. A kiedy zobaczyłem ten film, naprawdę się połączyłem. Od razu odniosłem się do historii, którą pokazał ten film.

I była to historia tej grupy hakerów z liceum, którzy są trochę, no wiesz, dziwakami lub outsiderami. Ale razem jako grupa faktycznie zapobiegli katastrofie ekologicznej. Odkryli korupcję korporacyjną. Pokazali FBI, gdzie ukrywa się prawdziwy cyberprzestępca.

I to jest ta grupa dzieciaków, które wyglądały bardzo podobnie do mnie, słuchały tej samej muzyki co ja i miały tę samą ideologię, którą ja miałam. To grupa dzieciaków, która pokazała mi, że jestem hakerem, może w rzeczywistości oznaczać, że jesteś bohaterem tej historii. Na szczęście udało mi się wziąć ten wizerunek hakera jako bohatera i wizerunek tej młodej, potężnej kobiety granej przez Angelinę Jolie i urzeczywistnić to. Zdecydowałem, że to będzie mój wzór do naśladowania i że chciałbym być przyjaznym hakerem, takim, który pomaga organizacjom i narodom zrozumieć problemy związane z bezpieczeństwem, abyśmy mogli tworzyć lepsze systemy i móc zapobiegać, wiecie, katastrofalnym skutkom w wyniku cyberataków.

Przez całą moją karierę, od tych, no wiesz, połowy lat 90., zawsze wyznawałem taki punkt widzenia. Teraz pracowałem z różnymi typami organizacji, z agencjami rządowymi. Służyłem w izraelskim wojsku. Pracowałem z wiodącymi izraelskimi firmami technologicznymi. I we wszystkich tych miejscach przedstawiłem punkt widzenia hakera, a szczególnie punkt widzenia przyjaznego hakera - jak możemy rozwiązać ten problem? Jak możemy stworzyć coś lepszego? To jest perspektywa, którą miałem w ciągu ostatnich 25 lat, prawie w mojej karierze w świecie cyberbezpieczeństwa.

Elżbieta : To znaczy, przypuszczam, że intuicyjnie rozumiem, dlaczego hakerzy są trochę outsiderami i, no wiesz, cytuję bez cytatu, „dziwakami”. Ale co takiego jest w tej społeczności, że jest tak często i tak ideologicznie napędzana?

Fajne: Z mojego punktu widzenia hakerzy są zazwyczaj outsiderami. Tak. Ale mamy też tendencję do pasjonowania się technologią. Czasami może to prowadzić do frustrujących rezultatów, gdy grupa hakerów zidentyfikuje problem i próbujemy go naprawić, ale nie zwracamy na siebie uwagi, której potrzebujemy, lub od razu zostajemy uznani za przestępców lub wandali. I to często prowadzi do takiego wyniku, w którym ludzie postrzegają nas jako potencjalnie złośliwego punktu widzenia. Wielu hakerów, których znam, ma, no wiesz, może nie tę samą ideologię, ale wszyscy podzielają bardzo namiętne ideały dotyczące roli technologii w naszym życiu, roli dostępu do informacji o tym, że ludzie powinni mieć dostęp do wiedzy i informacji, że technologia powinna być nie tylko własnością dużych firm i nie tylko powinna być czymś, do czego mają dostęp ludzie z dużą ilością pieniędzy lub przywilejów, ale raczej, że internet i ta technologia to coś, co należy zdemokratyzować. I myślę, że może to ideologia, którą znajdziesz u wielu hakerów.

Skąd to pochodzi? to dobre pytanie. I nie jest tak, że każdy haker podzieli ten sam punkt widzenia lub tę samą ideologię. Ale w latach 80. istniał ten magiczny dokument, który krążył po BBS, systemach tablic ogłoszeniowych, a później we wczesnych magazynach internetowych. Dokument ten nazywał się „Manifest Hackera”. A w „Manifeście hakerskim” osoba, która go napisała, mówi o ludziach, którzy są ciekawi technologii jako o hakerach, ludziach, którzy chcą odkrywać cyfrowy świat ze wszystkim, co ma, bez żadnych barier, i że to są ludzie, którzy nazywają siebie hakerami. Stąd pochodzi ta ideologia. Oczywiście w latach 90-tych pojawiło się też sporo elementów przestępczych, w szczególności przestępczości zorganizowanej, które zaadoptowały nowy potencjał, jaki może im zaoferować internet i świat technologii. A ci ludzie powinni być nazywani cyberprzestępcami. Mogą używać umiejętności hakerskich lub zdolności hakerskich, ale niekoniecznie podzielają te same ideologie, co hakerzy, z którymi dorastałem i których reprezentuję.

Elżbieta: Porozmawiajmy trochę więcej o pomyśle przyjaznego hakera. Słuchacze Business Lab prowadzą firmy i są bardzo zaniepokojeni ochroną tej firmy przed cyberzagrożeniami. To twój punkt widzenia i chciałbym dowiedzieć się więcej na ten temat, że hakerzy mogą pomóc znaleźć problemy techniczne i działać jako swego rodzaju układ odpornościowy. Co więc powiedziałbyś ludziom, którzy prowadzą swoje firmy?

Jak powinni myśleć o światach hakerów i o czym powinni myśleć, gdy obawiają się cyberbezpieczeństwa i tego rodzaju decyzji, które powinni podejmować w celu utrzymania lub wspierania większego bezpieczeństwa w tych firmach?

Fajne: Absolutnie. Tak więc uważam, że hakerzy mogą być układem odpornościowym dla naszej nowej połączonej rzeczywistości. A tym słuchaczom podcastu, którzy chcą dowiedzieć się więcej na ten temat, polecam zapoznanie się z moim wykładem TED 2014, zatytułowanym „Hakerzy są systemem odpornościowym Internetu”.

Od 2014 roku dzielę się tym przesłaniem, że hakerzy mogą być pomocnymi sojusznikami z różnymi organizacjami i ludźmi. Co zaskakujące, w ciągu ostatnich kilku lat coraz więcej firm dostrzega tę wartość w pracy z przyjaznym ekosystemem hakerów. Jednym ze świetnych sposobów, w jaki to się dzieje, jest zjawisko znane jako programy nagród za błędy. Tak więc te programy bug bounty – czasami określane również jako programy ujawniania luk lub programy nagradzania luk w zabezpieczeniach – są w rzeczywistości frameworkami prowadzonymi przez bardzo duże firmy, takie jak Google, Facebook, Yahoo, Microsoft, Samsung, a nawet firmy, które nie są wyłącznie firmami technologicznymi, firmami jak na przykład United Airlines, Western Union czy nawet Starbucks, sieć kawiarni. Wszystkie te firmy mają w rzeczywistości program bug bounty.

Oznacza to, że aktywnie zapraszają przyjaznych hakerów do obejrzenia ich produktu, niezależnie od tego, czy jest to ich aplikacja, czy witryna. To może być samochód. W przypadku Tesli ma to długotrwały związek z hakerami. I w zasadzie mówią hakerom, spójrz na nasz produkt.

Jeśli znajdziesz luki w zabezpieczeniach, jeśli odkryjesz luki w zabezpieczeniach i jeśli możesz nam powiedzieć o tych problemach, nagrodzimy Cię za Twoje wysiłki, a te nagrody, te nagrody, mogą być w formie pieniędzy wpłaconych przedpłaconymi kartami kredytowymi lub na przykład karty debetowe, ale mogą one być również niepieniężną formą wynagrodzenia, która w rzeczywistości ma dużą symboliczną wartość w ekosystemie hakerów. Na przykład mogą to być łupy, koszulki lub czapki lub wyjątkowe doświadczenia.

Na przykład pamiętam pewien rok, w którym Microsoft wykupił jeden z największych klubów w Las Vegas i zarezerwował jednego z największych DJ-ów i miał dostęp do tej imprezy. A ten klub z supergwiazdą był dostępny tylko dla tych badaczy, tych przyjaznych hakerów, którzy zidentyfikowali luki w zabezpieczeniach i ujawnili je programowi Microsoftu. W innym wypadku…

Elżbieta: Więc stało się tak, jak stało się rzeczą statusu, rodzajem odznaki honoru, aby zostać zaproszonym?

Fajne: Jest zdecydowanie element statusu. W rzeczywistości jednym z powodów, dla których programy bug bounty są tak skuteczne, jest to, że faktycznie stworzyły wokół siebie sieci społecznościowe z hakerami, którzy konkurują na tablicach liderów. Można powiedzieć, że doszło do grywalizacji i hakerzy konkurują o pierwsze miejsce w pierwszej piątce lub dziesięciu listach hakerów, którzy znaleźli luki w danej witrynie lub programie. W niektórych przypadkach istnieje jeszcze więcej specjalnych nagród, które otrzymują tylko najlepsi hakerzy w danym programie. Na przykład Tesla ma monetę wyzwania i jest to prawie jak medal, a jest to tylko 20 z tych monet wyzwań Tesli na świecie i wychodzą tylko do tych najlepszych hakerów, którzy pomagają Tesli. W rzeczywistości, zeszłego lata widziałem osobiście Elona Muska na największym zjeździe hakerów na świecie, wydarzeniu o nazwie DEF CON, które odbywa się co roku w Las Vegas. Elon Musk przybył tam ze swoim zespołem i szefami inżynierii zarówno Tesli, jak i SpaceX, aby porozmawiać z tymi utalentowanymi hakerami, którzy byli w stanie znaleźć luki w produkcie Tesli. Oczywiście, może nie jest zaskoczeniem, że tak innowacyjna firma jak Tesla czy giganci z Doliny Krzemowej, tacy jak Facebook i Microsoft, współpracują z hakerami. Ale w ciągu ostatnich kilku lat organizacje takie jak Pentagon, Departament Obrony Stanów Zjednoczonych również uruchomiły swój program Hack the Pentagon. A ten program bug bounty wykazał się naprawdę wielką inicjatywą, świetnymi wynikami. Od momentu pierwszego uruchomienia do tego roku, w witrynach Pentagonu wykryto tak wiele luk w zabezpieczeniach, które zostały wykryte za pośrednictwem tego programu. Oznacza to, że przestępcy, szpiedzy, źli ludzie, którzy znajdą lukę w zabezpieczeniach, nie powiedzą ci o tym, co odkryli. Tworząc te programy, skutecznie pozwalamy temu systemowi odpornościowemu. Skutecznie umożliwiamy tym przyjaznym hakerom drogę, legalną drogę prawną do zgłaszania ich odkryć i pomagania nam w zwiększeniu bezpieczeństwa.

Jestem bardzo namiętny i pełen nadziei na dalsze przyjmowanie tych programów bug bounty. I myślę, że to jest coś, co każdy lider biznesu musi sobie zadać, czy mamy taką możliwość dla przyjaznych hakerów, aby zgłosić nam swoje odkrycia?

Elżbieta: Mam kilka pytań. Czy są jakieś szczególne rodzaje błędów, które najlepiej sprawdzają się w programach z nagrodami? Po drugie, w jaki sposób liderzy biznesu, którzy nie prowadzą Tesli ani Facebooka, są monumentalnie dużymi, dobrze wyposażonymi firmami? Jak uzyskali dostęp do tego rodzaju programu?

Fajne: Więc to są świetne pytania. Bardzo się cieszę, że mogę rozmawiać o nagrodach za błędy tak długo, jak chcesz, ponieważ tak naprawdę jest to sedno badania, pracy badawczej, którą wykonywałem w Cyber ​​Research Center Uniwersytetu Tel Awiwu w ciągu ostatnich kilku lat . Jedną z rzeczy, które odkryliśmy, jest to, że te programy mają dużą wartość, gdy testowany produkt lub platforma, na którą patrzymy, jest już publicznie dostępna. Więc jeśli masz witrynę internetową, na przykład, jeśli jesteś United Airlines i ludzie kupują bilety lotnicze w Twojej witrynie, masz już bardzo widoczny produkt, który znajduje się w Internecie. A kiedy masz taki produkt, bardzo pomocne jest, aby wszyscy ci hakerzy zidentyfikowali luki w zabezpieczeniach. Nawiasem mówiąc, w przypadku United Airlines nie wypłacają pieniędzy. Płacą mile lotnicze. A ludzie zarobili miliony mil, znajdując luki w witrynie United Airlines. W innym przypadku, jeśli chodzi o aplikacje lub systemy internetowe, a nawet, jak wspomniałem wcześniej, z samochodami, z systemami samochodowymi Tesli, gdy konsument ma do czynienia z produktem, który ma w sobie dużo technologii lub gdy ten produkt jest w sieci lub jest to aplikacja mobilna, to dobry moment, aby zaangażować się w pomoc przyjaznych hakerów za pośrednictwem programów bug bounty. Zapytałeś teraz, w jaki sposób małe organizacje mogą czerpać z tego korzyści? Jest wiele sposobów. Jedną, która jest ważna, aby zrozumieć, że obecnie istnieją platformy, które faktycznie pośredniczą w tej relacji z hakerami. Wspomniałem, że to prawie tak, jakby wokół niego zbudowano sieci społecznościowe. Dwie wiodące platformy to HackerOne i Bugcrowd.

Istnieje kilka innych firm, ale są to dwie największe platformy i faktycznie pośredniczą w wielu programach bug bounty i mają ponad 100 000 przyjaznych hakerów, którzy rejestrują i korzystają z tych platform. To jest dostęp do wielu hakerów. Byłoby to więc miejsce numer jeden, na które poleciłbym zajrzeć. Po drugie, ważne jest, aby zrozumieć, że nawet mała organizacja może mieć jakąś formę zaangażowania lub ujścia do pracy z przyjaznymi hakerami.

Po pierwsze, istnieje w rzeczywistości międzynarodowy standard skoordynowanego ujawniania podatności, a jest to międzynarodowy standard skoordynowanego ujawniania podatności na zagrożenia CVD. I mogę sprawdzić numer tego standardu, aby móc podzielić się nim z twoimi słuchaczami.

Teraz, poza tym, istnieje inny projekt, który nazywa się security.txt. A co w zasadzie mówi projekt security.txt, mówi, że jeśli masz stronę internetową lub technologię skierowaną do konsumentów, to co chcesz zrobić, to upewnić się, że gdzieś w Twojej witrynie znajduje się plik o nazwie security.txt i faktycznie ma informacje o tym, z kim ludzie powinni się skontaktować, jeśli znajdą lukę w zabezpieczeniach Twojej witryny. Zdziwiłbyś się, jak często prosta rzecz polegająca na posiadaniu właściwych informacji kontaktowych umożliwia przyjaznemu hakerowi skontaktowanie się z nim i powiedzenie: „Hej, znalazłem problem w Twojej witrynie, znalazłem błąd w Twojej kod. Możesz chcieć o tym wiedzieć.

Elżbieta: Prawidłowy. To ma sens. Dlatego chcę trochę przestawić się na przyjrzenie się zagrożeniom cyberbezpieczeństwa, które nie dotyczą tylko komputerów czy sieci. I myślę, że wiesz, wielu naszych słuchaczy zdaje sobie sprawę, że zagrożenie rośnie wraz z iotem i rozprzestrzenianiem się podłączonych urządzeń. Porozmawiaj o tym io tym, co społeczność hakerów robi i może robić, aby zapewnić większe wsparcie i pomóc liderom biznesowym.

Fajne: Absolutnie. Zanim to zrobię, chcę tylko wspomnieć, że międzynarodowy standard, o którym mówiłem wcześniej, to ISO 29147. Jest to więc międzynarodowy standard numer 29 147, który w rzeczywistości jest międzynarodowym standardem skoordynowanego ujawniania luk w zabezpieczeniach, z którego każda organizacja może się uczyć, dostosowywać i stosować dla ich biznesu. Więc chciałem tylko przekazać ci informacje na ten temat. Teraz, jeśli chodzi o pytanie, myślę, że naprawdę trafiłeś w sedno. Tak naprawdę nie chodzi już o systemy informatyczne, nasze telefony czy komputery.

Jest naprawdę wiele nowych, połączonych technologii, którym ufamy w naszym życiu każdego dnia, niezależnie od tego, czy są to połączone zamki w domu i systemy nadzoru, takie jak kamery internetowe, czy też rzeczy, na których polegamy, aby dostarczyć nasz samochód na czas, nawigację narzędzia, na których polegamy, rzeczy, na których polegają samoloty, technologie medyczne. I to jest świetny powód, dla którego teraz w naszej branży mówimy o cyberbezpieczeństwie, a nie o bezpieczeństwie informacji, ponieważ nie chodzi już o ochronę tajemnic, naszych haseł czy numerów kart kredytowych. Tak naprawdę chodzi o ochronę wszystkich tych cyberfizycznych połączonych systemów. Teraz, jeśli chodzi o te urządzenia iot, urządzenia Internetu rzeczy. W tym miejscu myślę, że wiele osób, niezależnie od tego, czy są to liderzy biznesu, czy też osoby prywatne, tak naprawdę nie zdajemy sobie sprawy, że musimy być głównym informatorem własnego domu, ponieważ w dzisiejszych czasach w każdym domu rodzinnym w rzeczywistości jest kilkanaście urządzeń, zwykle może nawet więcej. I masz konsole do rozrywki, masz DVD, masz kamery internetowe, masz gadżety, tablety i urządzenia osobiste, oczywiście telefony i komputery. A w przypadku wszystkich tych urządzeń tak naprawdę nie ma żadnego szefa ds. bezpieczeństwa informacji ani szefa działu informacji, który by je dla nas obsługiwał. Tak więc jako osoby fizyczne, jako konsumenci, naprawdę odpowiadamy za upewnienie się, że te urządzenia mają zaktualizowane środowiska systemu operacyjnego, w których nie masz domyślnej nazwy użytkownika i hasła. To są rzeczy, które musimy zrobić i nikt tego za nas nie robi.

I właśnie tam wkrada się wiele nowych rodzajów zagrożeń, ponieważ wiele osób powie ci: „Hej, cóż, nie obchodzi mnie, czy ktoś włamie się do mojej kamery bezpieczeństwa, którą mam na podwórku, ponieważ nie nie mam nic do ukrycia. Ale ludzie nie zdają sobie sprawy, że przestępcy uczą się, jak wykorzystywać wszystkie te cyfrowe zasoby jako pionki we własnych cyfrowych armiach. A w ciągu ostatnich kilku lat byliśmy świadkami masowych ataków, w których przestępcy faktycznie przejęli setki i tysiące tego typu podłączonych urządzeń, niezależnie od tego, czy są to kamery internetowe, cyfrowe rejestratory wideo, a czasem nawet biurowe kopiarki, takie jak kserokopiarka. Wszystkie te urządzenia mogą być wykorzystywane przez przestępców do przeprowadzania dalszych cyberataków. Tak więc, jeśli chodzi o te urządzenia, to naprawdę każdy z nas ponosi odpowiedzialność. Przede wszystkim chroń to urządzenie, czy to aktualizując system operacyjny, zastępując domyślne hasło. Nawiasem mówiąc, stan Kalifornia ma nowe prawo, które wejdzie w życie w styczniu 2020 r. Jeśli faktycznie sprzedajesz lub sprzedajesz jakiekolwiek urządzenie Internetu rzeczy w stanie Kalifornia, musisz się upewnić, że nie będzie miał domyślnej kombinacji nazwy użytkownika i hasła. Więc nie możesz mieć urządzeń, które mają hasło, wiesz, jeden, dwa, trzy, cztery lub coś takiego, jak widzieliśmy w ciągu ostatnich kilku lat. Więc to jest coś, co się zmienia w stanie Kalifornia. Miejmy nadzieję, że kolejne stany pójdą w ich ślady. Ale sprowadza to z powrotem do osobistej odpowiedzialności, jaką ponosimy jako konsumenci. Jako właściciele firm ponosimy również odpowiedzialność i potencjalnie jesteśmy źródłem dźwigni. Kiedy kupujemy technologię, kiedy nabywamy technologię od dostawcy, od sprzedawcy, który nam ją sprzedaje, możemy właściwie powiedzieć: Hej, jakie są twoje protokoły bezpieczeństwa? Jaka jest Twoja metoda aktualizacji systemu operacyjnego lub oprogramowania układowego tego urządzenia? Jak możesz sprawdzić, czy nie będzie to tylko proste jedno, dwa, trzy, cztery rodzaje haseł? Jak mogę zmienić moje hasła? Wierzę, że im więcej ludzi będzie wymagać czegoś więcej od dostawców, którzy tworzą te technologie i sprzedają te produkty, tak naprawdę będziemy mieli bezpieczniejszy ekosystem.

Elżbieta: Więc to są naprawdę, jak sądzę, słuszne podejście oddolne. Tak więc ciężar spoczywa na osobie kupującej urządzenie, podłączone urządzenie lub na zespole bezpieczeństwa firmy. Wspomniałeś o stanie Kalifornia, ale czy generalnie powinniśmy założyć, że nie pomoże to rządowe wsparcie lub rządowe regulacje?

Fajne: W rzeczywistości rządy robią znacznie więcej niż kiedyś. Szczególnie w Stanach Zjednoczonych zobaczymy więcej podejść regulacyjnych, które będą nieco bardziej agresywne pod względem wymagań ze strony przedsiębiorstw i liderów biznesu, aby uzyskać większą wiedzę na temat cyberbezpieczeństwa, mieć członka zarządu dla organizacji, która ma wiedzę i doświadczenie w dziedzinie cyberbezpieczeństwa. Widzieliśmy już sprawy, w których na przykład w sprawie wniesionej, jak sądzę, FTC przeciwko Uberowi. Jak być może słyszeliście, w ciągu ostatnich kilku lat Uber miał kilka przypadków naruszenia bezpieczeństwa danych. A ponieważ ta sprawa została skierowana do Federalnej Komisji Handlu, FTC naprawdę dokładnie przyjrzała się poziomowi kontroli bezpieczeństwa stosowanych przez Ubera. I faktycznie zatrudniają się z ludźmi, którzy mają wiedzę, którzy pracują dla tych regulatorów konsumenckich, którzy będą zadawać naprawdę szczegółowe pytania na poziomie technicznym, i będą oczekiwać, że firmy będą miały rozsądne kontrole bezpieczeństwa. Co oznacza rozsądna kontrola bezpieczeństwa?

Oznacza to rzeczy, które są najlepszymi praktykami, rzeczy, które są uważane za coś, co robiłaby każda inna firma tej wielkości lub w ramach tego budżetu. A jednym z rodzajów rozsądnej kontroli, której organy regulacyjne zaczynają szukać, jest to, czy firma ma jakiekolwiek środki komunikacji z tymi przyjaznymi hakerami, którzy są tam i próbują zgłaszać luki? Czy firma ma program bug bounty? Czy mają jasną politykę ujawniania zabezpieczeń lub luk w zabezpieczeniach? Czy informują ludzi, że istnieje sposób zgłaszania im luk w zabezpieczeniach? I to jest coś, o czym coraz więcej regulatorów zaczyna mówić. Mam szczęście w tym sensie, że mam siostrę, która jest prawnikiem i obecnie specjalizuje się w polityce cyberbezpieczeństwa w Stanach Zjednoczonych. Razem z nią dowiedziałem się tak wiele o tym, jak amerykańscy regulatorzy faktycznie zaczynają naciskać na znacznie więcej, jeśli chodzi o kontrolę bezpieczeństwa ze strony amerykańskich firm.

Elżbieta: Cóż, to świetnie. Porozmawiajmy więc nieco więcej o innych rodzajach zagrożeń. A co z oprogramowaniem ransomware? W tym podkaście rozmawialiśmy o oprogramowaniu ransomware. Czy postrzegasz to jako realne i rosnące zagrożenie?

Fajne: Dlatego ważne jest, aby zrozumieć, że oprogramowanie ransomware było bardzo modne w 2017 i 2018 roku. Ale przestępcy zawsze ewoluują i nie zrobią tego samego. Więc to, co było bardzo cenne i opłacalne dla przestępców w ciągu ostatnich kilku lat, nie jest już tak opłacalne, ponieważ coraz więcej organizacji zmądrzało i nie zamierzają płacić okupu. Powrócą do kopii zapasowej lub znajdą alternatywny sposób na ominięcie tego szyfrowania ransomware. To, co się stało, to fakt, że przestępcy wymyślili znacznie bardziej lukratywne podejście. I to jest coś, co nazywa się krypto jackingiem, znanym również jako kopanie kryptowalut. A to, co robi crypto jacking, polega na tym, że przestępca ma możliwość uruchomienia dowolnego rodzaju złośliwego kodu w twoim systemie, może to być komputer osobisty, serwery internetowe lub serwery w chmurze. To, co zamierzają zrobić, to to, że zamiast szyfrować dane i żądać okupu, uruchomią cichy program, który będzie wydobywał kryptowaluty. Bardzo popularne oszustwo. Twój komputer, który cię używa, używa dokładnie swojego komputera, wykorzystując swoją moc obliczeniową. Tak więc w przypadku niektórych firm komunikacyjnych, gdy dzieje się to na ich serwerach w chmurze, gdy dzieje się to na przykład w ich infrastrukturze AWS, może to w rzeczywistości nałożyć dziesiątki tysięcy dolarów na koszty mocy obliczeniowej. A przestępcy odchodzą z milionami dolarów w kryptowalutach. A bardzo popularna kryptowaluta wydobywana w ten sposób nazywa się Monero. I faktycznie było tak wiele kampanii, które tworzą bardzo unikające złośliwe oprogramowanie, które będzie wydobywać dla tego Monero. W rzeczywistości nawet sieci Wi-Fi w oddziałach Starbucks w Argentynie miały na sobie to złośliwe oprogramowanie do wydobywania Monero. Więc kiedy ludzie logowali się do Wi-Fi, otwierali laptopa, aby zalogować się do Wi-Fi Starbucks.

W rzeczywistości to oprogramowanie do kopania działało na ich komputerach przez pięć lub 10 sekund na raz, generując duże przychody w postaci kryptowaluty dla przestępców. I dlatego mówię Elżbieto, że naprawdę ważne jest, aby uczyć się na podstawie tego, co robią hakerzy. Naprawdę ważne jest, aby przyjrzeć się, co robią przestępcy, ponieważ stale się rozwijają. I tutaj spędzam dużo czasu, studiując i przyglądając się tym nowym technikom, nowym trendom, sposobom, w jaki przestępcy podnoszą poprzeczkę, ponieważ wymyślają naprawdę nowe modele biznesowe, aby zabrać nasze cyfrowe zasoby i zamień je w pieniądze bardzo szybko. I cały czas robią coś nowego.

Elżbieta: Skąd więc możesz wiedzieć, czy twoja sieć jest tym, czego szukasz, aby określić, czy twoja sieć jest podatna na tego rodzaju kryptowaluty lub kopanie kryptowalut? To brzmi tak okropnie.

Fajne: Tak. Tak. To jest to. To jest okropne. To świetne pytanie. Tak więc jednym ze sposobów, w jaki zauważysz, że masz w swoich systemach złośliwe oprogramowanie szyfrujące kryptowaluty, jest oczywiście bardzo wysoki rachunek za usługi Amazon Web Services na koniec miesiąca, który jest znacznie wyższy niż oczekiwałeś, lub jeśli: Patrząc na zużycie energii, zauważasz, że nagle serwery działają z dużo wyższymi prędkościami procesora, a procesory faktycznie pracują dużo ciężej. Możesz również zauważyć, że Twoja maszyna się nagrzewa. Działa coraz goręcej, ponieważ procesor pracuje ciężej. Możesz to zauważyć nawet jako osoba fizyczna, jeśli wiesz, twoje połączenie wydaje się być bardzo wolne. Otwierasz przeglądarkę internetową dla określonych witryn i ich załadowanie zajmuje naprawdę dużo czasu. Może to oznaczać, że w Twoim systemie może znajdować się tego typu złośliwe oprogramowanie do wydobywania kryptowalut lub kryptowaluty. Należy zauważyć, że w większości przypadków tego typu ataki są obecnie ukierunkowane na te instancje w chmurze. Więc nie dbają już o indywidualne komputery ludzi tylko dlatego, że niekoniecznie mają taką moc obliczeniową, jakiej chcą. Jednak gracze, którzy mają potężne komputery, zwykle z procesorem graficznym i potężnymi procesorami graficznymi, mogą być bardziej podatni na tego typu złośliwe oprogramowanie do wydobywania kryptowalut.

Elżbieta: Czy AWS i inni dostawcy usług w chmurze nie będą tego szukać, zamiast po prostu przerzucać wysokie rachunki na swoich klientów? Myślę, że zrobiliby coś, co wiesz, mogliby z pewnością mieć sztuczną inteligencję, która przyjrzy się wszelkim skokom lub nietypowym zachowaniom w użyciu, myślę.

Fajne: Więc to bardzo, to bardzo... Zgadzam się z Tobą, że intuicyjnie byłoby dla nas oczekiwać, że dostawcy platform chmurowych zrobią więcej i będą zwracać uwagę na te zagrożenia. Jednak rzeczywistość jest taka, że ​​w wielu przypadkach przestępcy dostają się do systemów ludzi, ponieważ mają łatwo niezabezpieczoną, łatwo dostępną i źle skonfigurowaną instancję w chmurze. Dlatego często firma chmurowa powie, że to Twój problem, ponieważ drzwi zostały szeroko otwarte. Twoje serwery w chmurze nie zostały skonfigurowane jako bezpieczne. Nie podałeś hasła lub używasz hasła domyślnego lub użyłeś bardzo dobrze znanego. Na swoich serwerach w chmurze znajdowały się bardzo dobrze znane luki w zabezpieczeniach. Więc to naprawdę nie jest ich problem. To jest twoje. A to, jak sądzę, sprowadza nas z powrotem do domu, do poważnego problemu, który wielu ludzi ma obecnie z konsumpcją technologii. Naprawdę nie rozumiemy, jak duża odpowiedzialność nadal spoczywa na konsumentach. A dostawcy technologii mają wiele oczekiwań, niezależnie od tego, czy jest to usługa w chmurze, urządzenie Internetu rzeczy czy system operacyjny. Mamy wiele oczekiwań, że firma sprzedająca nam produkt będzie w rzeczywistości robiła znacznie więcej, jeśli chodzi o bezpieczeństwo.

Jednak w rzeczywistości ich model biznesowy w wielu przypadkach opiera się na tym, że klient bierze większą odpowiedzialność na swoje barki. I niekoniecznie zdajemy sobie z tego sprawę. Teraz nie chcę tylko, no wiesz, nazywać i zawstydzać firm. Zdecydowanie istnieją dostawcy usług w chmurze, którzy robią więcej. Wiem, że Amazon i AWS mają obecnie duży zespół zajmujący się wyszukiwaniem zagrożeń bezpieczeństwa na swojej platformie. Po prostu są najbardziej popularni wśród przestępców, ponieważ jest to najpotężniejsza platforma w chmurze. Więc naprawdę musimy cały czas kontynuować. I ta gra w kotka i myszkę oraz chwila, w której ludzie Amazon znajdą sposób na powstrzymanie tych złośliwych programów atakujących kryptowaluty z kampanii, przed rozprzestrzenianiem nowego rodzaju ataku, pojawi się.

Elżbieta: To świetne miejsce, abyśmy mogli zająć się moim następnym i ostatnim pytaniem, co będzie dalej? I nie jestem pewien, kto jest kotem, a kto myszą? Ale dokąd zmierza kot? A gdzie liderzy zajmujący się cyberbezpieczeństwem powinni myśleć o przyszłości zagrożenia?

Fajne: Naprawdę nie jest jasne, kto jest kotem, a kto myszą. Masz całkowitą rację. Ale jeśli chodzi o to, o czym myślę, gdy myślę o tym, co dalej, myślę o ludziach i myślę o ludzkim talencie. Myślę o ludziach, którzy będą tymi specjalistami od bezpieczeństwa, przyjaznymi hakerami, liderami biznesu przyszłości. I jak możemy sprawić, by ci ludzie byli tak kompetentni, tak innowacyjni, tak kreatywni, jak niektórzy źli ludzie? Ponieważ sądzę, że dopóki ludzie będą pisać kod, będziemy mieli luki w zabezpieczeniach, dopóki ludzie będą korzystać z technologii. Pojawią się złośliwe osoby i organizacje, które będą chciały wykorzystać tę technologię do złych korzyści lub do manipulacji. I będziemy potrzebować więcej ludzi niż kiedykolwiek wcześniej. Dlatego uważam, że przyjazna społeczność hakerów może pomóc. Ale też bardzo ważne jest inwestowanie w cyberbezpieczeństwo, edukację i świadomość, dlatego biegam. Poza Tel Awiwem jest to największe wydarzenie społeczności hakerów i badaczy bezpieczeństwa w Izraelu. To dlatego na Uniwersytecie w Tel Awiwie organizujemy coś, co nazywa się Tel Aviv Cyber ​​Week, który każdego lata dostarcza wiedzy i informacji ponad 8000 osób. Dlatego za każdym razem, gdy podróżuję, kiedy mam wolny czas, spędzam go na imprezach hakerskich i czy jest to spotkanie społeczności, czy konferencja technologiczna, ponieważ naprawdę musimy zwracać uwagę na rodzaj badań i wiedzy, które są obecnie prowadzone wygenerowane przez przyjaznych hakerów, dzięki czemu możemy rzeczywiście pozyskać więcej ludzi uzbrojonych w informacje i wiedzę. Muszą stworzyć lepszą i bezpieczniejszą przyszłość dla nas wszystkich. Jednym z obszarów, o którym myśli wiele osób, jest obszar sztucznej inteligencji.

I to jest coś, co jest naprawdę kluczowe, aby zrozumieć, że możemy rzeczywiście być w wyścigu zbrojeń, jeśli chodzi o technologie sztucznej inteligencji, a konkretnie sztuczną inteligencję dla cyberbezpieczeństwa, zarówno po stronie ofensywnej, jak i defensywnej. Ale podczas gdy wyścig zbrojeń faktycznie staje się rzeczywistością, trwa wyścig o rekrutację talentów, ludzi, którzy faktycznie mogą stworzyć system następnej generacji. I to jest obszar, w którym myślę, że obecnie Stany Zjednoczone mają przewagę. A jeśli chcesz zachować tę przewagę, musisz nadal inwestować w tego rodzaju know-how i tego rodzaju talenty oraz budować tych outsiderów, którzy faktycznie mogą być przyszłymi obrońcami jutra.

Elżbieta: Keren, gdzie ludzie mogą uzyskać więcej informacji, jeśli chcą dowiedzieć się więcej o niektórych rzeczach, o których dzisiaj mówiłeś?

Fajne: Więc bardzo łatwo mnie znaleźć w Internecie. Nazywam się Keren Elazari. Ale w świecie hakerów jestem znany jako Keren E. Wszystkie litery E są pisane trzema. Możesz więc wejść na moją stronę, K3R3N3.com. Możesz mnie znaleźć na LinkedIn. Możesz obejrzeć mój wykład TED na Ted.com: „Hakerzy to system odpornościowy Internetu”. Na YouTube zamieszczam różne treści. Zapraszamy do zapoznania się z Cyber ​​Week w Tel Awiwie. I BSides Tel Aviv, BSidestlv.com to strona, którą chcesz odwiedzić, jeśli chcesz przyjechać i doświadczyć społeczności hakerów, którą mamy tutaj, w pięknym słonecznym Tel Awiwie.

Elżbieta: Wspaniały. Cóż, bardzo dziękuję za dołączenie do nas w Business Lab.

Fajne: Dziękuję, Elżbieto.

Elżbieta: To wszystko w tym odcinku Business Lab.. Jestem twoją prowadzącą, Elizabeth Bramson-Boudreau. Jestem prezesem i wydawcą MIT Technology Review. Powstaliśmy w 1899 roku w Massachusetts Institute of Technology. Możesz nas znaleźć w formie drukowanej w sieci, na dziesiątkach wydarzeń na żywo każdego roku, a teraz w formie audio. Więcej informacji o nas i programie znajdziesz na naszej stronie internetowej technologyreview.com. Ten program jest dostępny wszędzie tam, gdzie otrzymujesz podcasty.

Jeśli podobał Ci się ten odcinek, mamy nadzieję, że poświęcisz chwilę, aby ocenić i zrecenzować nas w Apple Podcasts. Business Lab to produkcja MIT Technology Review.

Naszym starszym redaktorem jest Mindy Blodgett. Ten odcinek został wyprodukowany przez Collective Next przy pomocy redakcyjnej Emily Townsend. Specjalne podziękowania dla naszego gościa Keren Elazari.

Dziękuję za słuchanie. Wrócimy wkrótce z naszym następnym odcinkiem.

ukryć