211service.com
Pięć powodów, dla których hakowanie zwrotne to przepis na chaos w cyberbezpieczeństwie
Konceptualna ilustracja przedstawiająca hakowanie wstecz Sally Thurer
Czasami, gdy decydenci technologiczni próbują rozwiązać problem, proponowane przez nich lekarstwo tylko znacznie pogorszy sytuację. Tak jest z pewnością w przypadku projektu amerykańskiego ustawodawstwa, które dałoby ofiarom cyberataków szansę na polowanie na podejrzanych napastników.
Ustawa, znana jako Active Cyber Defense Certainty Act, w skrócie ACDC, ma na celu umożliwienie ofiarom wyśledzenia napastników poprzez wejście do systemów organizacji, które podejrzewają, że hakerzy wykorzystali je do przeprowadzania ataków. Często tymi organizacjami mogą być inne firmy, które nie są świadome, że ich komputery zostały naruszone. Obowiązujące prawo w Stanach Zjednoczonych zabrania tego rodzaju pościgu, który jest znany jako hacking back. Tylko kilka agencji rządowych, takich jak FBI, ma prawo ścigać w ten sposób podejrzanych hakerów.
Zwolennicy ustawy, która została niedawno przedstawiona w Kongresie USA, twierdzą, że FBI i inne agencje rządowe są już przytłoczone atakiem cyberataków, w tym oprogramowaniem ransomware, które sparaliżowało systemy komputerowe w miastach takich jak Atlanta i Baltimore oraz masowymi kradzieżami danych w dużych firmach jak sieć hoteli Marriott. Teoretycznie przyznanie firmom i jednostkom prawa do samodzielnego polowania wspierałoby wysiłki agencji.
Walcząc z powrotem
Rząd USA zasygnalizował, że przyjmuje bardziej proaktywne podejście do odstraszania cyberzagrożeń . Jednak współsponsorowie ustawy ACDC, republikański kongresman Tom Graves i demokrata Josh Gottheimer, twierdzą, że firmy i inne organizacje z sektora prywatnego potrzebują większej swobody, aby się bronić. Mówią również, że niektóre firmy są już zaangażowane w pewne formy cyfrowej czujności, a ich projekt ustawy oczyściłby otaczającą to szarą strefę prawną.
Proponowane prawodawstwo (którego pełny tekst można znaleźć na dole artykułu) zmieniłoby istniejące prawo Stanów Zjednoczonych, ustawę o oszustwach komputerowych i nadużyciach (CAFA), aby umożliwić firmom i osobom prywatnym hakowanie w celu zlokalizowania uporczywych napastników. Mogłyby też monitorować systemy hakerów i zakłócać ich działania.
Ustawa mówi, że nowe uprawnienia powinny być używane tylko przez wykwalifikowanych obrońców, którzy mają wysoki stopień zaufania do tożsamości napastników. Muszą poinformować FBI i zasięgnąć od niego wskazówek przed włamaniem się — i zrobić wszystko, co w ich mocy, aby uniknąć uszkodzenia systemów innych firm i wywołania eskalacji działań wojennych.
To wszystko może brzmieć rozsądnie, ale ustawa ACDC jest poważnie błędna, ponieważ:
1. Większości firm brakuje umiejętności radzenia sobie z wyrafinowanymi napastnikami
Projekt ustawy nie określa, co dokładnie kwalifikuje firmę lub osobę jako wykwalifikowanego obrońcę. Ta niejasność może pozwolić na hakowanie się wszelkiego rodzaju firm. Ale chociaż, powiedzmy, Google prawie na pewno ma wiedzę, jak robić to skutecznie, wiele innych nie.
Sean Weppner, były oficer ds. cyberbezpieczeństwa w Departamencie Obrony USA, który obecnie pracuje w firmie zajmującej się cyberbezpieczeństwem Nisos, uważa, że hakowanie najlepiej pozostawić rządom. Niewiele osób ma doświadczenie i wiedzę niezbędną do robienia tego w zniuansowany i kontrolowany sposób, mówi.
2. Naprawdę trudno z całą pewnością stwierdzić, kto stoi za cyberatakiem
Hakerzy są mistrzami zaciemniania i zwykle ukrywają swoje ślady, używając takich rzeczy, jak fałszywe adresy IP i narzędzia hakerskie opracowany przez innych . Bardzo trudno jest również upewnić się, że komputer, który wydaje się stać za atakiem, sam nie został zhakowany. Może to łatwo spowodować, że zostaną namierzone niewłaściwe systemy.
3. Rachunek nie zapewnia prawdziwej ochrony, gdy coś pójdzie nie tak
Bardzo łatwo jest spowodować niezamierzone szkody na komputerach niewinnych stron. Nawet najbardziej wyrafinowani hakerzy czasami wypuszczają kod, który ma niezamierzone konsekwencje.
Anne Toomey McKenna, profesor z Penn State University, zwraca uwagę, że nawet gdyby ustawa ACDC została uchwalona, nadal narażałaby firmy na kosztowne procesy cywilne, zarówno na szczeblu federalnym, jak i stanowym, gdyby wyrządziły szkodę komputerom lub danym innych amerykańskich firm. A jeśli uszkodzą systemy w innych krajach, nadal mogą zostać obciążeni zgodnie z krajowymi przepisami antyhakerskimi. Otwiera drzwi dla firm [do hakowania], mówi, ale tak naprawdę ich nie chroni.
4. Ustawa nieuchronnie doprowadziłaby do szkodliwych represji
Projekt ustawy mówi, że ci, którzy odpierają ataki, powinni usilnie starać się nie eskalować wrogości. Ale hakerzy nie zamierzają lekceważyć ataków na własne systemy. Po znalezieniu luk w cyfrowej obronie ofiar, mogą one wykorzystać więcej z nich, jeśli zostaną sprowokowane.
5. Prywatne firmy mogą znaleźć się w konfrontacji z państwami narodowymi
Uważa się, że kraje takie jak Korea Północna, Rosja i Iran stoją za niektórymi z największych cyberzagrożeń, przed którymi stoją dziś firmy. Z pewnością nie byłoby wskazane, aby zajęła się nimi jedna firma.
Sandra Joyce z firmy FireEye zajmującej się cyberbezpieczeństwem obawia się, że jeśli ustawa ACDC zostanie uchwalona, może również stanowić precedens, który zachęci inne kraje do rozluźnienia własnych przepisów antyhakerskich. Niektóre kraje mogą ulec pokusie, aby ułatwić firmom hakowanie, niż ma to miejsce w Stanach Zjednoczonych. Stwarzałoby to jeszcze większe ryzyko cyberkatastrofy, ostrzega Joyce.
Lepszym podejściem byłoby, gdyby firmy skupiły się na wzmacnianiu swoich mechanizmów obronnych. Wiele naruszeń jest nadal wynikiem podstawowych błędów bezpieczeństwa, takich jak słabo chronione hasła i brak regularnych aktualizacji oprogramowania.
Jednocześnie Stany Zjednoczone muszą intensywniej współpracować ze swoimi sojusznikami, aby promować normy międzynarodowe, które pomogłyby rozładować napięcia w cyberprzestrzeni. Uchwalenie przepisów, takich jak ustawa ACDC, stworzyłoby jedynie legalną autostradę do większego hakerskiego piekła.