Atak WannaCry: militaryzm kontra chciwość

Wskazanie palcem na ostatni atak ransomware WannaCry rozpoczął się na poważnie i nie brakuje winowajców, choć Korea Północna jest w centrum uwagi. Ale w grze obwinianej pojawili się inni kandydaci do krytyki - nikt inny niż NSA i Microsoft.

Na czele parady ekspertów, sondaży i kierowników, którzy rzucają spojrzenie na NSA i jej podobieństwo, stoi prezydent Microsoftu, Brad Smith (jak można się spodziewać, biorąc pod uwagę, że w atak został uderzony komputer z systemem Windows - więcej o tym później).

Ofensywa NSA „zbieraj wszystko”, podsycana żarłocznym apetytem na informacje, doprowadziła do słabości oprogramowania „gromadzenia zapasów”. Potem stracił kontrolę nad swoją „bronią”, ku wielkiemu rozczarowaniu Smitha i innych. Porównując sytuację do bezpieczeństwa nad bronią wojskową, która jest dokładnie strzeżona, Smith wyraził opinię:

„To pojawiający się wzorzec w 2017 r. Widzieliśmy, jak luki przechowywane przez CIA pojawiają się na WikiLeaks, a teraz ta luka wykradziona NSA dotknęła klientów na całym świecie. Wielokrotnie exploity w rękach rządów przedostały się do domeny publicznej i spowodowały powszechne szkody. Równoważnym scenariuszem z bronią konwencjonalną byłoby wojsko USA z kradzieżą niektórych pocisków Tomahawk. Ten ostatni atak stanowi całkowicie niezamierzony, ale niepokojący związek między dwiema najpoważniejszymi formami zagrożeń bezpieczeństwa cybernetycznego na świecie - działaniami państwa narodowego i zorganizowaną przestępczością ”.

On ma rację, ale to nie uwalnia Microsoft od tego bałaganu. U podstaw problemu leży tajne gromadzenie słabości w systemach firm przez agencje rządowe, zwykle bez powiadamiania tych firm o tych wadach. Gdyby tak było, to Microsoft (w tym przypadku) mógłby przepisać oprogramowanie, aby rozwiązać problem.

Należy zauważyć, że tak się nie dzieje. Nie, jest to poświęcony, skoordynowany wysiłek powstrzymania cennych informacji od prywatnych firm (a zatem i opinii publicznej) w imię bezpieczeństwa narodowego. Ta inicjatywa ma nazwę - Vulnerable Equity Process (VEP).

VEP ma na celu zrównoważenie korzyści uzyskanych dzięki utrzymywaniu w tajemnicy danej luki w zabezpieczeniach oprogramowania w porównaniu z potencjalnym ryzykiem dla całego świata. Nawiasem mówiąc, wydaje się to lustrzanym odbiciem mniej formalnych programów, w których rząd odmówił dochodzenia przekonań - i pozwolił sprawcom chodzić - zamiast ujawniać szczegóły swoich tajnych działań (szczególnie w sprawach Stingraya). W takich przypadkach rząd nie ujawniałby informacji o systemach na żądanie producenta, Harris Corporation.

VEP jest bardziej niebezpieczny, a problem bardziej rozpowszechniony, niż w przypadku prokuratorów Stingray, którzy zrzucają zarzuty. Kiedy agencje gromadzą takie informacje, kuszą los. To jest jak tykająca bomba zegarowa, zanim informacja wycieknie do złych aktorów. Wydaje się, że Waszyngton jest teraz pełen przecieków - może bardziej niż kiedykolwiek.

To może wyjaśniać atak ransomware WannaCry. Strażnicy naszego narodu nie byli w stanie zabezpieczyć broni przed Shadow Brokers i Wikileaks.

- powiedział kongresmen z Kalifornii Ted Lieu (D-CA), wzywając do przyjęcia przepisów w celu zaradzenia sytuacji VEP,

„Dzisiejszy światowy atak ransomware pokazuje, co może się stać, gdy NSA lub CIA piszą złośliwe oprogramowanie, zamiast ujawniać lukę producentowi oprogramowania.”

Wynika to z tego, że narzędzia agencji zostały nie tylko naruszone i dokooptowane, ale zostały zbrojone przeciwko ważnym instytucjom na całym świecie, w tym szpitalom, uniwersytetom i korporacjom.

W tej porażce jest wystarczająco dużo winy, żeby się obejść. NSA jest winna odkrywania luk w różnych wersjach systemu Windows i pisania programów, które pozwalają amerykańskim szpiegom przenikać do komputerów z systemem operacyjnym Microsoft. Jeden z takich programów o nazwie ETERNALBLUE pozwalał WannaCry rozprzestrzeniać się tak szybko i niekontrolowanie, jak w zeszłym tygodniu. Nie, NSA nie stworzyła WannaCry, ale jej zaniedbanie pozwoliło mu się przesączyć.

Następnie Microsoft ponosi winę za umożliwienie milionom użytkowników korzystania z przestarzałego oprogramowania (niektórzy na 15 lat) i nie oznacza, że ​​ci użytkownicy starego oprogramowania będą podatni na nowe realia. Wreszcie, nie możemy być skazani (właściciele komputerów i administratorzy IT) na nienaganną za to, że nie aktualizujemy oprogramowania.

Oczywiście, biorąc pod uwagę tandetne systemy operacyjne Microsoftu, pisanie niepewnych kodów i rezygnację z obsługi starszych wersji systemu Windows, które są powszechnie używane, nasze zaniedbanie jest zrozumiałe. I tak idzie wina.

Jest to prawie impas, ponieważ organy ścigania i szpiedzy chcą nadal rozwijać broń w cieniu, a firmy takie jak Microsoft chcą sprzedawać produkty, co oznacza postęp w górę, bez zwracania uwagi na to, co się działo wcześniej. Nazwij to militaryzmem a maksymalizacją zysków.

Jaka jest Twoja opinia? Gdzie stoisz? Czy sądzisz, że NSA przesadza z priorytetem opracowywania środków odstraszających przeciwników przed prywatnością i bezpieczeństwem zwykłego obywatela? A może uważasz, że wahadło za wszelką cenę skręciło zbyt daleko w kierunku bezpieczeństwa narodowego? Kolejne ważne pytanie do rozważenia: właśnie tam, gdzie stoi przeciętny obywatel w niekończącym się wyścigu na dno?

Brayan Jackson
Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me