211service.com
Ze względów bezpieczeństwa musimy spowolnić innowacje w rzeczach połączonych z Internetem
Takie jest zdanie eksperta ds. bezpieczeństwa Bruce'a Schneiera, który obawia się, że w przypadku cyberkatastrofy zginie wiele osób, o ile rządy nie podejmą szybkiego działania. 6 września 2018 r.
Rong Xu
Inteligentne gadżety są wszędzie. Są szanse, że masz je w swoim miejscu pracy, w domu i być może na twoim nadgarstku. Według szacunków firmy badawczej Gartner będzie ponad 11 miliardów urządzeń podłączonych do internetu (z wyłączeniem smartfonów i komputerów) w obiegu na całym świecie w tym roku, prawie dwukrotnie więcej niż kilka lat temu.
Wiele miliardów więcej będzie wkrótce dostępnych online. Ich łączność sprawia, że są tak przydatne, ale jest to także koszmar cyberbezpieczeństwa. Hakerzy pokazali już, że mogą narazić na szwank wszystko, od samochodów podłączonych do sieci po urządzenia medyczne , a coraz głośniej pojawiają się ostrzeżenia, że w szaleństwie wprowadzania produktów na rynek brakuje zmian w zabezpieczeniach.
W nowej książce o nazwie Kliknij tutaj, aby zabić wszystkich Bruce Schneier twierdzi, że rządy muszą teraz wkroczyć, aby zmusić firmy opracowujące połączone gadżety, aby bezpieczeństwo stało się priorytetem, a nie późniejszym refleksją. Autorka wpływowego biuletynu o bezpieczeństwie i blog Schneier jest stypendystą Berkman Klein Center for Internet and Society na Uniwersytecie Harvarda oraz wykładowcą polityki publicznej w Harvard Kennedy School. Zasiada m.in. w zarządzie Electronic Frontier Foundation i jest dyrektorem ds. technologii w IBM Resilient, która pomaga firmom przygotować się do radzenia sobie z potencjalnymi cyberzagrożeniami.
Schneier rozmawiał z Przegląd technologii MIT o zagrożeniach, na jakie narażamy się w coraz bardziej połączonym świecie, oraz o politykach, które jego zdaniem są pilnie potrzebne, aby im zaradzić.
Tytuł twojej książki wydaje się celowo alarmujący. Czy to tylko próba sprzedaży soku?
Może to zabrzmieć jak publikowanie przynęty na kliknięcia, ale staram się podkreślić, że internet wpływa teraz na świat w bezpośredni, fizyczny sposób, a to wszystko zmienia. Nie chodzi już o ryzyko dla danych, ale o ryzyko dla życia i mienia. Tytuł naprawdę wskazuje, że istnieje tu fizyczne niebezpieczeństwo i że rzeczy są inne niż jeszcze pięć lat temu.
Jak ta zmiana zmienia nasze wyobrażenie o cyberbezpieczeństwie?
Nasze samochody, nasze urządzenia medyczne, nasze AGD to teraz komputery z dołączonymi do nich rzeczami. Twoja lodówka to komputer, który utrzymuje zimno, a kuchenka mikrofalowa to komputer, który sprawia, że rzeczy są gorące. A twój samochód to komputer z czterema kołami i silnikiem. Komputery nie są już tylko ekranem, który włączamy i na który patrzymy, i to jest wielka zmiana. To, co było bezpieczeństwem komputerowym, jego własnym odrębnym królestwem, jest teraz bezpieczeństwem wszystkiego.
Rong Xu
Wymyśliłeś nowy termin, Internet+, aby uchwycić tę zmianę. Ale mamy już frazę internet rzeczy, aby to opisać, prawda?
Nienawidziłam tworzyć kolejnego modnego hasła, ponieważ jest ich już za dużo. Ale internet rzeczy jest zbyt wąski. Odnosi się do podłączonych urządzeń, termostatów i innych gadżetów. To tylko część tego, o czym tutaj mówimy. To naprawdę internet rzeczy plus komputery plus usługi plus budowane duże bazy danych plus firmy internetowe plus my. Właśnie skróciłem to wszystko do Internet+.
Skupmy się na naszej części tego równania. Mówisz w książce, że stajemy się wirtualnymi cyborgami. Co przez to rozumiesz?
Jesteśmy już blisko związani z urządzeniami, takimi jak nasze telefony, na które patrzymy wiele razy dziennie, oraz z wyszukiwarkami, które są trochę jak nasze internetowe mózgi. Nasz system zasilania, nasza sieć transportowa, nasze systemy komunikacyjne są w Internecie. Jeśli spadnie, w bardzo realnym stopniu społeczeństwo staje w miejscu, ponieważ jesteśmy od tego uzależnieni na każdym poziomie. Komputery nie są jeszcze szeroko osadzone w naszych ciałach, ale są głęboko osadzone w naszym życiu.
Czy nie możemy po prostu odłączyć się nieco, aby ograniczyć ryzyko?
To coraz trudniejsze do zrobienia. Próbowałem kupić samochód, który nie był podłączony do internetu, i nie udało mi się. Nie chodzi o to, że nie było dostępnych takich samochodów, ale te w asortymencie, które chciałem, wszystkie miały połączenie z Internetem. Nawet gdyby można było go wyłączyć, nie było gwarancji, że hakerzy nie będą mogli go ponownie włączyć zdalnie.
Hakerzy mogą również wykorzystywać luki w zabezpieczeniach jednego rodzaju urządzenia do atakowania innych, prawda?
Jest na to wiele przykładów. Botnet Mirai wykorzystywał luki w urządzeniach domowych, takich jak rejestratory DVR i kamery internetowe. Te rzeczy zostały przejęte przez hakerów i wykorzystane do przeprowadzenia ataku na serwer nazw domen, który następnie spowodował wyłączenie wielu popularnych stron internetowych. Hakerzy, którzy zaatakowali Target, dostali się do sieci płatniczej sprzedawcy poprzez lukę w systemach IT kontrahenta pracującego w niektórych jego sklepach.
To prawda, ale te incydenty nie doprowadziły do utraty życia ani kończyn, a nie widzieliśmy jeszcze wielu przypadków związanych z potencjalnymi obrażeniami fizycznymi, prawda?
Nie mamy. Większość ataków nadal wiąże się z naruszeniem danych, prywatności i poufności. Ale wkraczamy w nową erę. Oczywiście martwię się, jeśli ktoś ukradnie moją dokumentację medyczną, ale co, jeśli zmieni moją grupę krwi w bazie danych? Nie chcę, aby ktoś włamywał się do połączenia Bluetooth mojego samochodu i słuchał moich rozmów, ale naprawdę nie chcę, aby wyłączał kierowanie. Te ataki na integralność i dostępność systemów to te, o które naprawdę musimy się martwić w przyszłości, ponieważ mają one bezpośredni wpływ na życie i mienie.
W tym roku w USA toczyło się wiele dyskusji na temat cyberzagrożeń dla infrastruktury krytycznej, takiej jak sieci energetyczne i zapory. Jak poważne to są?
Wiemy, że co najmniej dwa razy rosyjscy hakerzy wyłączyli zasilanie części ukraińskiej sieci w ramach szerszej kampanii wojskowej. Wiemy, że hakerzy z państw narodowych przeniknęli do systemów niektórych amerykańskich firm energetycznych. Te hacki miały charakter eksploracyjny i nie spowodowały uszkodzeń, ale wiemy, że jest to możliwe. Jeśli dojdzie do działań wojennych przeciwko USA, powinniśmy spodziewać się, że ataki te zostaną wykorzystane. A USA użyją ich przeciwko naszym przeciwnikom, tak jak wykorzystaliśmy cyberataki, aby opóźnić programy nuklearne w Iranie i Korei Północnej.
Jakie konsekwencje ma to wszystko dla naszego obecnego podejścia do bezpieczeństwa komputerowego, takiego jak wydawanie łat lub poprawek w przypadku wad oprogramowania?
Łatanie to sposób na odzyskanie bezpieczeństwa. Produkujemy systemy, które nie są zbyt dobre, a następnie znajdujemy luki i je łatamy. Działa to świetnie z telefonem lub komputerem, ponieważ koszt niepewności jest stosunkowo niski. Ale czy możemy to zrobić z samochodem? Czy można nagle powiedzieć, że samochód jest niepewny, haker może go rozbić, ale nie martw się, ponieważ w przyszłym tygodniu pojawi się łatka? Czy możemy to zrobić z wbudowanym rozrusznikiem serca? Ponieważ komputery wpływają teraz na świat w sposób bezpośredni, fizyczny, nie możemy sobie pozwolić na czekanie na poprawki.
Ale mamy już bardzo surowe standardy bezpieczeństwa dla oprogramowania używanego w wrażliwych domenach cyber-fizycznych, takich jak lotnictwo, prawda?
Zgadza się, ale to bardzo drogie. Te standardy istnieją, ponieważ istnieją już silne regulacje rządowe w tej i kilku innych branżach. W przypadku towarów konsumpcyjnych nie masz takiego poziomu bezpieczeństwa i ochrony, a to będzie musiało się zmienić. Rynek w tej chwili w ogóle nie nagradza tu bezpiecznego oprogramowania. Dopóki Ty, jako firma, nie zdobędziesz dodatkowego udziału w rynku dzięki większemu bezpieczeństwu, nie będziesz spędzać dużo czasu na tym problemie
Co zatem musimy zrobić, aby era Internetu+ była bezpieczniejsza?
Nie ma branży, która poprawiłaby bezpieczeństwo lub ochronę bez zmuszania jej do tego przez rządy. Firmy raz za razem oszczędzają na bezpieczeństwie, dopóki nie będą zmuszone traktować go poważnie. Potrzebujemy, aby rząd włączył się w tę sprawę z kombinacją działań ukierunkowanych na firmy rozwijające urządzenia podłączone do Internetu. Obejmują one elastyczne standardy, sztywne zasady i surowe przepisy dotyczące odpowiedzialności, których kary są wystarczająco wysokie, aby poważnie zaszkodzić zarobkom firmy.
Ale czy takie przepisy jak rygorystyczne przepisy dotyczące odpowiedzialności nie będą miały mrożącego wpływu na innowacyjność?
Tak, ostudzą innowacyjność — ale tego właśnie teraz potrzebujemy! Chodzi o to, że innowacja w świecie Internetu+ może cię zabić. Chłodzimy innowacje w takich dziedzinach, jak opracowywanie leków, projektowanie samolotów i elektrownie jądrowe, ponieważ koszt niewłaściwego postępowania jest zbyt wysoki. Doszliśmy do punktu, w którym musimy przedyskutować regulację w porównaniu z brakiem regulacji dla powiązanych rzeczy; musimy przedyskutować inteligentne regulacje kontra głupie regulacje.
Jest tu jednak podstawowe napięcie, prawda? Rządy lubią również wykorzystywać luki w zabezpieczeniach do szpiegowania, egzekwowania prawa i innych działań.
Rządy są z pewnością zarówno kłusownikami, jak i gajowymi. Myślę, że w końcu rozwiążemy to długotrwałe napięcie między atakiem a obroną, ale będzie to długa, trudna droga, aby to osiągnąć.
Twoja książka w dużej mierze koncentruje się na Stanach Zjednoczonych. Czy myślisz, że przejmie tu przewodnictwo?
Skupiam się na Stanach Zjednoczonych, ponieważ to tam znajdują się największe firmy technologiczne i jest to reżim, który znam najlepiej, ale mówię też trochę o Europie. Unia Europejska jest teraz supermocarstwem regulacyjnym na tej planecie. Myślę, że będzie się rozwijać dalej i szybciej niż Stany Zjednoczone. W USA patrzę bardziej na stany, a konkretnie na Massachusetts, Nowy Jork i Kalifornię.
Uważam również, że pojawią się międzynarodowe traktaty i normy, które sprawią, że część naszej połączonej infrastruktury nie będzie podlegać cyberatakom państw narodowych, przynajmniej w czasie pokoju. Pilnie potrzebujemy działań na wszystkich szczeblach, od lokalnego po międzynarodowy. Moją największą obawą jest to, że dojdzie do cyberkatastrofy i że rządy pospieszą bez zastanowienia, aby wdrożyć środki, które nie rozwiążą problemu.