211service.com
Fem grunner til å hacke tilbake er en oppskrift på cybersikkerhetskaos
En konseptuell illustrasjon som viser hacking tilbake Sally Thurer
Noen ganger når tekniske beslutningstakere prøver å løse et problem, vil deres foreslåtte kur bare gjøre saken mye verre. Det er absolutt tilfellet med utkast til amerikansk lovgivning som vil gi ofre for nettangrep sjansen til å jakte på deres mistenkte angripere.
Lovforslaget, kjent som Active Cyber Defense Certainty Act, eller kort sagt ACDC, tar sikte på å la ofre prøve å spore opp angripere ved å gå inn i systemene til organisasjoner de mistenker at hackerne har brukt til å utføre overgrep. Ofte kan disse organisasjonene være andre selskaper som ikke er klar over at datamaskinene deres har blitt kompromittert. En eksisterende amerikansk lov forbyr denne typen forfølgelse, som er kjent som å hacke tilbake. Bare noen få offentlige etater, som FBI, har myndighet til å jakte på mistenkte hackere på denne måten.
Tilhengere av lovforslaget, som nylig ble innført i den amerikanske kongressen, sier at FBI og andre offentlige etater allerede er overveldet av et angrep av nettangrep, inkludert løsepengeprogramvare som har lammet datasystemer i byer som Atlanta og Baltimore og massive datatyverier hos store selskaper som Marriott hotellkjede. I teorien vil det å gi bedrifter og enkeltpersoner rett til å drive egen jakt støtte etatenes innsats.
Slåss tilbake
Den amerikanske regjeringen har signalisert at de tar en mer proaktiv tilnærming for å avskrekke cybertrusler . Men ACDC-lovforslagets medsponsorer, den republikanske kongressmedlem Tom Graves og demokraten Josh Gottheimer, hevder at selskaper og andre private organisasjoner trenger større frihet til å forsvare seg selv. De sier også at noen virksomheter allerede er engasjert i noen former for digital årvåkenhet, og at regningen deres vil rydde opp i den juridiske gråsonen rundt dette.
Den foreslåtte lovgivningen (hvis fullteksten kan finnes nederst i historien) vil endre en eksisterende amerikansk lov, Computer Fraud and Abuse Act (CFAA), for å la firmaer og enkeltpersoner hacke tilbake for å finne vedvarende angripere. De vil også kunne overvåke hackernes systemer og forstyrre driften deres.
Lovforslaget sier at de nye maktene kun skal brukes av kvalifiserte forsvarere som har høy grad av tillit til angripernes identitet. De må informere FBI og søke veiledning fra det før de hacker tilbake – og gjøre sitt beste for å unngå å skade tredjepartssystemer og utløse en eskalering av fiendtlighetene.
Alt dette høres kanskje rimelig ut, men ACDC-loven er alvorlig mangelfull fordi:
1. De fleste selskaper mangler kompetansen til å ta på seg sofistikerte overfallsmenn
Lovforslaget sier ikke nøyaktig hva som kvalifiserer et selskap eller enkeltperson som en kvalifisert forsvarer. Denne vagheten kan la alle typer virksomheter hacke tilbake. Men mens, si, en Google nesten helt sikkert har kunnskapen til å gjøre det effektivt, vil mange andre ikke.
Sean Weppner, en tidligere cyberoffiser i det amerikanske forsvarsdepartementet som nå jobber i cybersikkerhetsfirmaet Nisos, mener det er best å overlate til myndighetene å hacke tilbake. De færreste har erfaringen og kompetansen som skal til for å gjøre dette på en nyansert og kontrollert måte, sier han.
2. Det er veldig vanskelig å vite sikkert hvem som står bak et nettangrep
Hackere er mestere i tilsløring og dekker vanligvis sporene sine ved å bruke ting som falske IP-adresser og hackingverktøy utviklet av andre . Det er også veldig vanskelig å være sikker på at en datamaskin som ser ut til å stå bak et angrep, ikke selv er blitt hacket. Det kan lett føre til at feil systemer blir målrettet.
3. Lovforslaget gir ingen reell beskyttelse når ting går galt
Det er veldig enkelt å forårsake utilsiktet skade på datamaskiner til uskyldige parter. Selv de mest sofistikerte hackerne pumper noen ganger ut kode som har utilsiktede konsekvenser.
Anne Toomey McKenna, professor ved Penn State University, påpeker at selv om ACDC-loven vedtok, vil den fortsatt gjøre bedrifter ansvarlige for kostbare sivile søksmål på både føderalt og statlig nivå hvis de skader andre amerikanske virksomheters datamaskiner eller data. Og hvis de skadet systemer i fremmede land, kan de fortsatt bli belastet i henhold til nasjonale anti-hackinglover. Det åpner en dør for selskaper [å hacke tilbake], sier hun, men det beskytter dem egentlig ikke.
4. Lovforslaget vil uunngåelig føre til skadelige represalier
Lovutkastet sier at de som hacker tilbake bør prøve hardt for ikke å eskalere fiendtlighetene. Men hackere kommer ikke til å ta lett på angrep på sine egne systemer. Etter å ha allerede funnet hakker i ofrenes digitale forsvar, kan de godt utnytte flere av dem hvis de blir provosert.
5. Private selskaper kan finne seg i å konfrontere nasjonalstater
Land som Nord-Korea, Russland og Iran antas å stå bak noen av de største cybertruslene bedrifter står overfor i dag. Det vil absolutt ikke være tilrådelig for et enkelt selskap å ta dem.
Sandra Joyce fra cybersikkerhetsselskapet FireEye bekymrer seg for at hvis ACDC-lovforslaget blir vedtatt, kan det også skape en presedens som oppfordrer andre land til å løsne på sine egne anti-hackinglover. Noen nasjoner kan bli fristet til å gjøre det mye enklere for selskaper å hacke tilbake enn det er i USA. Det ville skape en enda høyere risiko for en cyberkatastrofe, advarer Joyce.
En bedre tilnærming ville være at selskaper fokuserer på å styrke forsvaret. Mange brudd er fortsatt et resultat av grunnleggende sikkerhetsfeil, som dårlig beskyttede passord og feil ved å oppdatere programvare regelmessig.
Samtidig må USA jobbe hardere med sine allierte for å fremme internasjonale normer som vil bidra til å dempe spenningene i cyberspace. Å vedta lovverk som ACDC-loven ville bare skape en lovlig motorvei til mer hacking-helvete.