Problem bezpieczeństwa na Twitterze Jamesa Comeya jest również Twoim problemem

Do niedawna wiele dużych wycieków danych — takich jak Cel oraz Sony hacki — zdarzyły się, ponieważ dane nie były chronione. Właściwe szyfrowanie prawdopodobnie zapobiegłoby tym naruszeniom.

Teraz sprawy mają się inaczej. Widzimy, że coraz więcej problemów pojawia się nie dlatego, że dane nie są chronione, ale dlatego, że są niewłaściwie chronione.

Do niedawna niewiele osób spoza środowiska akademickiego poświęcało dużo uwagi koncepcji zwanej bezpieczeństwem przepływu informacji, która polega na sprawdzaniu danych podczas interakcji z oprogramowaniem. Potem nadszedł To prawie na pewno konto Jamesa Comeya na Twitterze , artykuł Gizmodo, który oddaje wszystko, co oznacza, że ​​jest nowoczesnym wyciekiem informacji.

Historia artykułu: dziennikarz Ashley Feinberg chciał znaleźć tajne konto na Twitterze dyrektora FBI Jamesa Comeya. Zaczęła grzebać w Internecie i była w stanie odkryć konto w zaledwie cztery godziny, w dużej mierze dzięki wykorzystaniu kluczowego błędu przepływu informacji na Instagramie.

Feinberg opisuje, w jaki sposób wykorzystała fakty dotyczące Comeya i jego rodziny, aby znaleźć publiczny tweet, który zaprowadził ją do publicznego komentarza na Instagramie, który zaprowadził ją na chronioną stronę na Instagramie 22-letniego syna Comey, Briena.

Jean Yang Leonard Greco

Po tym, jak Feinberg wysłał prośby o obserwowanie Brien, Instagram zalecił jej również obserwowanie reinholdniebuhr , kolejne chronione konto na Instagramie, które pasowało do tego, co Feinberg już wiedział o koncie na Instagramie Jamesa Comeya. Co więcej, uchwyt Twittera o tej samej nazwie pasował do tego, co Feinberg wiedział o koncie Comey na Twitterze.

Dzieje się tutaj wiele rzeczy, z których wiele jest poza kontrolą programisty na Instagramie, ale sednem tego wycieku jest błąd przepływu informacji. Feinberg oparł się na kilku kluczowych publicznych faktach na temat Comey, ale nie byłaby w stanie znaleźć jego konta na Twitterze, gdyby Instagram nie dostarczył przypadkowo istotnych wskazówek. A Instagram nie ujawniłby tych informacji, gdyby kod odpowiednio egzekwował bezpieczeństwo przepływu informacji.

Istnieje niespójność między sposobem, w jaki Instagram chroni informacje w profilach kont, gdy użytkownicy próbują uzyskać do nich dostęp, a tym, w jaki sposób chroni te informacje, gdy są one używane w różnych algorytmach. Gdy próbujesz wyświetlić stronę Instagram chronionego użytkownika, nie możesz uzyskać dostępu do zdjęć tej osoby ani zobaczyć, kogo obserwuje ten użytkownik. Okazuje się jednak, że chronione informacje o koncie są widoczne dla algorytmów, które podpowiadają: inny użytkowników do naśladowania, funkcja, która staje się – niepoprawnie – widoczna dla Wszystko widzowie, gdy wymagana jest obserwacja.

W tym przypadku naruszenie zasad jest szczególnie podstępne, ponieważ to, co faktycznie wyciekło, zdjęcie profilowe i imię reinholdneibuhra, są publicznie dostępne na Instagramie. To, co powinno być prywatne, to relacja między Brien Comey a tym kontem reinholdneibuhr. Chociaż możliwe jest, że Instagram losowo pokazał reinholdneibuhr jako zalecane konto do śledzenia 600 milionów aktywnych użytkowników miesięcznie , co bardziej prawdopodobne, zwłaszcza biorąc pod uwagę, że pozostali polecani użytkownicy nosili nazwisko Comey, algorytm rekomendacji Instagrama wykorzystywał tajne informacje śledzenia, aby obliczyć, które konta polecić. W nomenklaturze przepływu informacji wyciek informacji tajnych poprzez wyświetlanie informacji publicznych nazywany jest przepływem niejawnym.

Tak jak właściwe szyfrowanie zapobiegłoby włamaniom do Target i Sony, istnieją rozwiązania zapobiegające wyciekom informacji, takie jak ten. Istnieją dziesięciolecia badań nad technikami bezpieczeństwa przepływu informacji: niektóre sprawdzają oprogramowanie przed jego uruchomieniem, inne monitorują oprogramowanie w trakcie jego działania. Ta praca jest czymś więcej niż tylko teorią: ludzie zbudowali systemy operacyjne i frameworki internetowe w oparciu o te pomysły. Takie systemy wykryłyby, gdyby algorytm rekomendacji wyciekał tajne informacje i zapobiegał wyciekowi. Ale nawet przy tych podejściach programista nadal musi uzasadnić złożoną i subtelną interakcję zasad między sobą oraz z kodem, aby stworzyć oprogramowanie, które nie ujawnia informacji.

W moim laboratorium staramy się ułatwić programistom wdrażanie zasad przepływu informacji. Pomagamy maszynie wziąć odpowiedzialność za zarządzanie interakcją między politykami i programem, aby upewnić się, że algorytmy rekomendacji nie wyciekają informacji. Zasady określają również, jakich wartości może używać komputer, gdy rzeczywiste wartości muszą być utrzymywane w tajemnicy. Na przykład, jeśli algorytm wyszukiwania nie może użyć czyjejś dokładnej lokalizacji, być może może użyć odpowiedniego miasta.

Powiązana historia

Powiązana historia Telefony, które zamykają wszystko, co trzymają, mogą utrudniać egzekwowanie prawa bardziej, niż naprawdę chcemy.

Chociaż bezpieczeństwo cyfrowe powinno być jednym z głównych problemów FBI, Comey nie mógł uniknąć problemów, które wynikają z bałaganu politycznego spaghetti, jakim jest nowoczesny kod. Chociaż ten wyciek dotknął znacznie mniej osób niż duże naruszenia danych, oznacza to ważną zmianę w bezpieczeństwie informacji.

Do tej pory większość ludzi myślała o bezpieczeństwie w kategoriach ochrony poszczególnych elementów danych, a nie w kategoriach złożonych i subtelnych interakcji z programami, które ich używają. Ale żyjemy teraz w świecie, w którym dyrektor FBI ufa naszej infrastrukturze internetowej i Instagramowi, co wystarczy, by umieścić w sieci 3227 prywatnych zdjęć. Z jednej strony oznacza to, że osiągnęliśmy pewien poziom bezpieczeństwa. Z drugiej strony oznacza to, że możemy teraz skupić się na bardziej zaawansowanych problemach bezpieczeństwa. A kiedy każdy, kto ma dobre odliczenia i dostęp do Internetu, może znaleźć wszelkiego rodzaju informacje, nasza praca nad bezpieczeństwem informacji jest daleka od zakończenia.

Jean Yang | jest adiunktem na wydziale informatyki na Uniwersytecie Carnegie Mellon i był o imieniu jeden z Przegląd technologii MIT 's Innowatorzy poniżej 35 w 2016 roku.

ukryć