Все своє життя він присвятив захисту приватності людей в Інтернеті, і в компанії F-Secure продовжує цю роботу. “Можна сказати різними способами … що ми програли битву за приватність. Багато людей не пам’ятають, яким був світ до Інтернету. Для багатьох людей Google або Wikipedia завжди були там. І їм природно використовувати безліч сервісів в Інтернеті, представляючи всі види даних та контенту. Це справді так, як ви платите в Інтернеті. Створення відео коштує грошей, але ми платимо за це своїми даними та конфіденційністю », - не пояснює експерт F-Secure Міко Гіппонен на RootedCON 2017.
“Ми, можливо, програли війну з приватністю. Ми - це покоління людей, життя яких можна простежити від початку до кінця. Ми всі маємо прилади відстеження. Дуже легко відстежувати, де ми знаходимось, з ким спілкуємось. Легко зрозуміти, що це за люди. Що нас цікавить. І всі дані збираються. Дані - це нова олія. Це так, і саме тому ми говоримо про спецслужби, а також про компанії, які збирають від нас дані. У 2016 році Google заробив 80 000 мільйонів… пропонуючи безкоштовні послуги ».
Асиметрична війна проти кіберзлочинності
«Ми програли битву за приватність та битву за безпеку. Однак я відмовляюсь визнати, що ми втратили останнє. Все, що я робив з того часу, як я почав вивчати зловмисне програмне забезпечення та інженерну інженерію, було для цього: боротьба з поганими хлопцями. Проти тих, хто надсилає шкідливе програмне забезпечення, атаки на відмову в обслуговуванні. Але ми з білим капелюхом порівняно з чорним капелюхом. Я не заперечую, що наша робота ускладнена, бо зловмисники мають доступ до нашої оборони.
“Перше, про що вони дізнаються, це те, яку безпеку вони повинні порушити. Це вихідна точка зловмисника. І коли вони це знають, вони вирішують, як вступити. У них є багато часу, щоб підготуватися …, а ми мало, щоб відповісти. Ми завжди чуємо погані новини про комп’ютерну безпеку, про атаки, витоки або про те, що користувачі роблять дурниці, використовуючи один і той же пароль для всього, відкриваючи шкідливі посилання. Але де ми були 10 років тому? Були досягнуті значні успіхи в галузі безпеки. Десять років тому багато користувачів використовували Windows xp, який за замовчуванням навіть не мав брандмауера.
“Що стосується безпеки, ми пройшли довгий шлях. Ми робимо великі успіхи, але, на жаль, ворог також еволюціонує з часом. Можливо, настав час зустріти ворога, зрозуміти його. Але, як це часто буває, простіше сказати, ніж зробити. Кінцевий користувач поняття не має, хто стоїть за атаками. Є хактивісти, злочинці, білі шапки, уряди, екстремісти … є всілякі хакери. У нас є такі люди, як Чарлі Міллер та Кріс Валласек. Вони рубають, бо хочуть покращити безпеку. Анонімус має підстави для політичного протесту. Злочинці хочуть заробляти гроші, пишучи віруси. І уряди також зацікавлені в цьому, оскільки кібератаки додаються до них. Вони ефективні, вони не дорогі і не можна заперечувати. Це ідеальний матч, коли ти думаєш з військової точки зору. Коли у вас є недорога, ефективна та незаперечна зброя, у вас є ідеальне поєднання. Тому момент змін починається зараз ».
Починається нова гонка кіберзброєнь
Ми на початку наступного збройного бою. Ми спостерігали гонку ядерних озброєнь. Зараз ми займаємося кіберзброєю. Він розпочався і залишиться там роками. На розмову про кіберзброєння підуть десятки років. І з точки зору урядів, є не лише військові, але й сили безпеки. Якби хтось сказав мені, що в поліції будуть віруси, щоб заразити громадян, я б не повірив, але це так. У мене немає проблем з урядами, які використовують образливі технології для розслідування злочинів та полювання на терористів. Ви повинні піти на них у фізичному світі та в Інтернеті. Але якщо ми як громадяни надаємо це право силам безпеки, ми повинні просити про прозорість. Ця наступальна кібер-сила повинна означати, що сили безпеки публікують статистику. Ми заразили 200 комп’ютерів шкідливим програмним забезпеченням, а 150 - від поганих людей, яких засудили. Але може бути і навпаки. Немає прозорості, і тому ми не можемо приймати рішення щодо цього. Але найбільша група, яка заробляє гроші на атаках - це злочинці. Це люди, які багато заробляють і переслідуються.
Останні тенденції кіберзлочинності, щоб заробляти гроші за свій рахунок
«Однією з останніх тенденцій у сфері кіберзлочинності стали троянці, що викрадають біткойни та цифрові валюти. Ми знаємо, що винаходи очевидні … коли вони винайдені. Це найкращі. Завдяки технології блокчейн транзакції можуть здійснюватися автоматично без втручання когось іншого. Біткойн і блокчейн непогані. Вони хороші як гроші. Проблема в тому, що злочинці також хочуть гроші, фізичні чи віртуальні. Купити кокаїн за допомогою кредитної картки складно. Але з біткойнами це простіше. Для злочинців біткойн - це ніби подарунок з неба. Ось чому так багато троянського буму. В даний час ми спостерігаємо за 110 різними групами, які змагаються за однакові жертви. І не всі групи з Росії, є й деякі з України.
Як вони шукають своїх жертв? Спочатку через подвиги, які заразили комп’ютер, відкривши посилання. Сьогодні найпоширеніший спосіб - це документ Word та вкладення електронної пошти. Це почали робити у 2008 році за допомогою макрокоманди. А тепер повернувся. Отже, ті, хто може отримати більше атак, - це відділи кадрів, які отримують заражені резюме, які мають посилання для розширення своєї інформації. Корпорація Майкрософт повинна змінити назву кнопки замість того, щоб увімкнути вміст, який повинен був би сказати «зарази мою систему» - сміх громадськості.
Комп’ютерний вірус, який «прощає вас», якщо заражає двох друзів
«Існує навіть програма-вимагатель - програмне забезпечення, яке захоплює комп’ютер, шифруючи його інформацію, - яке вимагає 1300 доларів, але ви можете врятувати себе, заразивши дві інші машини. Ви повинні заразити двох людей, які в кінцевому підсумку заплатять щедроту за викуп. Це попкорн. Кожна жертва має унікальну URL-адресу, тож якщо ви надсилаєте її на Facebook, багато людей заражаються. Він дуже креативний і мій розумний. Повернемося до цих хлопців після програми-вимагателя ".
Кібератака на LinkedIN зробила кіберзлочинця мільйонером
«У 2012 році був злом LinkedIN, і якщо ви були в ньому…. вони вкрали ваші ключі. Отже, якщо у вас був обліковий запис у цій соціальній мережі, його вкрав кіберзлочинець, про який зараз всі знають - він показав своє фото. Я була однією з його жертв. Він ще не отримав покарання, хоча його затримують під час відпустки у Празі зі своєю дівчиною і сподівається, що він буде виданий США. Яке відношення це має до крадіжки 130 мільйонів паролів? Ну, інші кіберзлочинці приїжджали б до них. Скільки можна заробити, продаючи паролі? Я не знаю. Але переглянувши якесь відео на YouTube, ми можемо отримати уявлення. Поговоріть про свою відпустку із супер спортивними автомобілями, такими як Audi R8 та Lamborghini Hurracane. Крім того, видно, що у нього є Mercedes, Aston Martin, Porsche, Rolex і Rolls Royce. То скільки він заробив? Ну, не знаю, але досить ».
«Якщо ви отримаєте ці ключі, ви зможете отримати доступ до 1,3 мільйона облікових записів Gmail. Тому що всі вони мають той самий пароль, що і в linkedIN. Ми запитували, і 50% користувачів використовують однаковий пароль на всіх сайтах. Це досить дурно. Тож, як тільки вони заходять у Gmail, вони шукають старі електронні листи. Gmail їх ніколи не видаляє, і вони шукають певний тип. Ті, які ви отримуєте під час реєстрації в Інтернет-магазині, наприклад Amazon. Тож вони знають, що у вас є акаунт з цією адресою електронної пошти, наприклад, Amazon. І якщо ваш пароль не працює на ньому, це не має значення. Оскільки на всіх сторінках входу є чарівна кнопка "Я забув свій пароль" і те, як вони мають доступ до Gmail … ну, вони мають до нього доступ. Отримавши доступ до Gmail, вони мають доступ до всього. Вони можуть придбати Xbox, Palystation, і ви збираєтесь за це заплатити ».
Страшний Інтернет речей
«Ще одним великим викликом у наших руках є світле майбутнє Інтернету речей та ICS, промислової системи управління. Таким чином, він показав ядерну реакцію, що відбувається в басейні. Чому я показую це відео? Ну, тому що це приклад промислового контролю. Цим реактором управляє PLC, програмований робот. Всією інфраструктурою управляють комп’ютери та програмне забезпечення. Ви повинні чітко це розуміти. Ми з комп’ютерної безпеки, і роками я думав, що повинен захищати комп’ютери. Але зараз я не знаю. Наша робота - не захищати комп’ютери…. Він полягає у наданні безпеки всьому суспільству. Пора змінити своє бачення світу. І є так багато речей, і так багато говорять про ризики IOT та ICS, і перше, це те, що вони підключаються до Інтернету, хоча їм і не потрібно підключатися. Ці речі дозволяють отримати доступ до того, що позаду. Існує багато заводських систем, які підключаються до Інтернету помилково.
Ось як він показав Інтернет-крематорій, спальні, побачені через камери безпеки … «Мій друг знаходить речі, такі як човен, з'єднаний без пароля. Також штори та жалюзі. І мій друг каже, коли можна відкривати і закривати штори в Інтернеті, це означає, що Інтернету речей немає в майбутньому. Тут. І вони є векторами. Ви можете отримати доступ до лампочки, яка дозволяє вам дістатися до інших систем. Ви ставите кавоварку з Wi-Fi, і вона стає найслабшою ланкою ланцюга, і одного дня ви прокидаєтесь, і всі ваші комп’ютери зашифровані. Робити? "Ніколи не використовуйте пристрій, не вводячи надійних паролів."
“Шкідливе програмне забезпечення Mirai заразило 120 мільйонів пристроїв IOT, але їх власникам було байдуже. Ми з ними розмовляємо. Вашу камеру безпеки зламали … і вони відповіли так, що класно? Але це працює нормально. Якщо це працює, людям байдуже, чи використовується воно для нападу. І найсумніше, що він використовував мало паролів, які використовували всі пристрої. І вони також використовували Telnet - систему 80-х років, - оскільки вона не була зашифрована ».
Електронні пристрої повинні регулюватися: якщо вони небезпечні, ви повинні мати можливість вимагати
“Ви повинні інвестувати в безпеку. Ми регулюємо фізичну безпеку, а онлайн-безпека повинна регулюватися. Я не кажу про такий, який встановлює правила експлуатації приладів. Але необхідно регламентувати, що виробник подається до суду за проблеми, які він створює. Якщо у вас є пральна машина з коротким замиканням, вам доведеться її виправити. І якщо ви не можете подати позов проти неї, і цього потрібно досягти в кібер світі. Що ви можете подати позов за порушення безпеки.
Настав час кіберзброї та кіберзброєння
«Я говорив про уряди та їх злом. Ми займаємо перше місце у розгортанні атак на США на президентських виборах. Росія намагалася вплинути на результат виборів найбільшої держави світу. Кілька місяців тому в “Bloomber” є інтерв’ю з Путіним, але воно вже було відоме. Тож вони запитали його, хто зламав демократів? Це насправді має значення? Найголовніше - це вміст електронних листів. Не відволікайте увагу громадськості на те, хто це зробив. Це кібер-війна? Ні ".
Українські солдати, вбиті після зараження їх мобільних телефонів … та їх геопозиціонування
Але два місяці тому українські солдати побачили, що їх телефон заражений шкідливим програмним забезпеченням, їх розташували, а артилерія розбила їх. Я кажу про туман кібервійни. Під час цієї гонки озброєнь у конкретній країні ви можете знати, скільки танків має країна…. Але в кіберкапацидах ідеї немає. Ми знаємо, що США хороші, що на довший час було вкладено більше грошей для створення можливостей кіберзахисту, що Ізраїль, Росія, Китай дуже хороші. Але тоді все дуже туманно, яка кібер-наступальна здатність Швеції? Іспанія? В'єтнам? Не маю уявлення. Це туманність кібервійни. Ось чому він сильно відрізняється від гонки ядерної зброї. Його сила була не в його використанні, а в його здатності створювати страх. Яскравими прикладами були Хіросіма та Нагасакі. Йдеться не про його використання, а про те, щоб показати, що вони у вас є. Всім відомо, що коли країна має таку зброю, ніхто з нею не плутається.
З туманністю кібервійни ніхто нічого не знає. Сила кіберзброї не в противазі. Тому ми їх бачимо. Stuxnet і злом електромережі в Україні в 2015 році або українські солдати, які загинули на полі бою в 2016 році.
Сила кіберзброї полягає у їх використанні. Кіберзброя легко доступна і має велику потужність. Stuxnet неможливо було досягти чисто військовими можливостями. Якби мова йшла про затягування іранської ядерної програми, країна могла б вторгнутись дорого, навіть у житті, або завод може бути розбомблений. Або ви можете написати stuxnet, який коштує мільйон. І це коштувало стільки ж, скільки випуск B52. Але на відміну від цього його не видно.
Хакери більше не захищають комп’ютери … тепер вони захищають світ
«Це світ, в якому ми живемо сьогодні. Ми всі люди безпеки. Ми думали, що наша робота - забезпечити безпеку комп’ютерів. Але вже ні. Відтепер ця робота полягає в тому, щоб забезпечити безпеку суспільству, і ми повинні сприймати це дуже серйозно, тому що на нас лежить велика відповідальність, більше, ніж ми багато думаємо, бо ми захищаємо своє суспільство ».
Ви можете побачити більше подібних статей в OneMagazine.