211service.com
Bør regjeringen fortsette å lagre programvarefeil?
Toppen i det amerikanske etterretningsmiljøet holder kjeft om programvaresårbarheter.
Mens støvet legger seg fra det globale løsepengevareangrepet som har ødelagt systemer i mer enn 150 land siden fredag, er den amerikanske regjeringens skyggefulle prosess for innsamling og avsløring av programvaresårbarheter igjen under gransking.
Det er mye skyld å gå rundt for omfanget og effektiviteten til angrepet, der et løsepengevirus kalt WannaCry – samt WannaCrypt og Wanna Decryptor – utnyttet en sårbarhet i Windows XP. For det første sluttet Microsoft å støtte den versjonen av operativsystemet i 2014 , så alle som brukte den utdaterte programvaren tok en risiko. (Når Microsoft var klar over at sårbarheten ble utnyttet, slapp den raskt en rettelse for feilen – et uvanlig trinn for så gammel programvare.)
Brad Smith, Microsofts president og sjefsjuridisk rådgiver, sa at regjeringen også hadde skylden, siden det ser ut til at angriperne brukte en utnyttelse som ble stjålet fra NSA av en gruppe kalt Shadow Brokers. I en blogg innlegg , kritiserte han praksisen med å lagre sårbarheter. Vi trenger at regjeringer vurderer skaden på sivile som kommer fra å hamstre disse sårbarhetene og bruken av disse utnyttelsene, skrev han.
Den amerikanske regjeringen har et system på plass for å veie risikoen ved enten å avsløre en kritisk programvaresårbarhet eller holde den hemmelig. Men svært lite er forstått offentlig om hvordan den såkalte Vulnerabilities Equities Process (VEP) fungerer. Personvernforkjempere har lenge etterlyst større åpenhet, med bare beskjeden suksess.
VEP antas å ha eksistert siden 2010, men forble en hemmelighet til 2014, da hvite hus og Direktør for nasjonal etterretning hver utgitt uttalelser som benekter en Bloomberg rapportere at NSA i årevis hadde kjent til og brukt en utbredt sårbarhet i måten kommunikasjon over Internett krypteres på kalt Heartbleed. Michael Daniel, president Obamas koordinator for nettsikkerhet, hevdet at administrasjonen hadde etablert en disiplinert, streng beslutningsprosess på høyt nivå for avsløring av sårbarhet.
Hvorvidt den føderale regjeringen bør holde tilbake kunnskap om slike sårbarheter kan virke klart for noen, Daniel sa den gang , men virkeligheten er mye mer komplisert. Å avsløre en sårbarhet kan føre til at USA gir avkall på en mulighet til å samle inn viktig etterretning som kan hindre et terrorangrep, sa han. Ikke desto mindre var regjeringens beslutningsprosess partisk mot ansvarlig avsløring av sårbarheten.
I januar 2016, takket være et Freedom of Information Act-søksmål fra Electronic Frontier Foundation, ga regjeringen ut en delvis redigert dokument forklarer VEP. Det etterlot uklart nøyaktig hvordan en beslutning tas, hvem som tar den, og hvor mange hemmelige sårbarheter regjeringen har i sin besittelse. Jason Healey , forsker ved Columbia University og seniorstipendiat ved Atlantic Council, nylig Antatt at antallet er i dusinene.
Nylige hendelser har reist tvil om at systemet faktisk er partisk mot avsløring, som Daniel hevdet. I en fersk forskningsartikkel , konkluderte Healey, basert på intervjuer og offentlige uttalelser fra regjeringen om VEP, at NSA nesten helt sikkert burde ha avslørt sårbarhetene i en tidligere lekkasje fra Shadow Brokers til berørte selskaper, inkludert Cisco, Juniper og Fortinet. FBI skal også ha fortalt Apple om sårbarheten de brukte for å få tilgang til iPhonen til en av skytterne i terrorangrepene i San Bernardino i fjor, skrev Healey.
Dessverre ser det ikke ut til at utsiktene til bedre åpenhet – og ansvarligheten som vil føre med seg – er ute. VEP kontrolleres av den utøvende grenen til den føderale regjeringen, uten offentlig tilsyn. Med mindre Trump-administrasjonen bestemmer seg for å endre det, vil vi sannsynligvis forbli i mørket. Frem til neste store nettangrep, altså.