211service.com
For sikkerhets skyld må vi bremse innovasjonen i internett-tilkoblede ting
Det mener sikkerhetsekspert Bruce Schneier, som frykter liv vil gå tapt i en cyberkatastrofe med mindre regjeringer handler raskt. 6. september 2018
En Rong Xu
Smarte dingser er overalt. Sjansen er stor for at du har dem på arbeidsplassen din, hjemme og kanskje på håndleddet. Ifølge et anslag fra analysefirmaet Gartner vil det være over 11 milliarder Internett-tilkoblede enheter (unntatt smarttelefoner og datamaskiner) i omløp over hele verden i år, nesten det dobbelte av antallet for bare et par år siden.
Mange milliarder til vil snart komme på nettet. Tilkoblingen deres er det som gjør dem så nyttige, men det er også et cybersikkerhetsmareritt. Hackere har allerede vist at de kan kompromittere alt fra tilkoblede biler til medisinsk utstyr, og advarslene blir stadig høyere om at sikkerheten blir forkortet i stormen for å bringe produkter til markedet.
I en ny bok som heter Klikk her for å drepe alle Bruce Schneier argumenterer for at regjeringer må gå inn nå for å tvinge selskaper som utvikler tilkoblede gadgets til å gjøre sikkerhet til en prioritet i stedet for en ettertanke. Forfatteren av et innflytelsesrikt nyhetsbrev om sikkerhet og blogg , Schneier er stipendiat ved Berkman Klein Center for Internet and Society ved Harvard University og foreleser i offentlig politikk ved Harvard Kennedy School. Blant andre roller er han også i styret for Electronic Frontier Foundation og er teknologisjef i IBM Resilient, som hjelper bedrifter med å forberede seg på å håndtere potensielle cybertrusler.
Schneier snakket med MIT Technology Review om risikoene vi løper i en stadig mer tilkoblet verden og retningslinjene han mener er presserende nødvendig for å håndtere dem.
Tittelen på boken din virker bevisst alarmerende. Er det bare et forsøk på juicesalg?
Det kan høres ut som å publisere clickbait, men jeg prøver å gjøre poenget at internett nå påvirker verden på en direkte fysisk måte, og det forandrer alt. Det handler ikke lenger om risiko for data, men om risiko for liv og eiendom. Og tittelen påpeker virkelig at det er fysisk fare her, og at ting er annerledes enn de var for bare fem år siden.
Hvordan endrer dette skiftet vårt begrep om nettsikkerhet?
Bilene våre, det medisinske utstyret vårt, våre husholdningsapparater er nå datamaskiner med ting festet til dem. Kjøleskapet ditt er en datamaskin som holder ting kaldt, og en mikrobølgeovn er en datamaskin som gjør ting varme. Og bilen din er en datamaskin med fire hjul og en motor. Datamaskiner er ikke lenger bare en skjerm vi slår på og ser på, og det er den store endringen. Det som var datasikkerhet, sitt eget separate rike, er nå alt sikkerhet.
En Rong Xu
Du har kommet opp med et nytt begrep, Internet+, for å innkapsle dette skiftet. Men vi har allerede uttrykket internett av ting for å beskrive det, gjør vi ikke?
Jeg hatet å måtte lage et annet buzzword, fordi det allerede er for mange av dem. Men tingenes internett er for smalt. Det refererer til tilkoblede apparater, termostater og andre dingser. Det er bare en del av det vi snakker om her. Det er egentlig tingenes internett pluss datamaskinene pluss tjenestene pluss de store databasene som bygges pluss internettselskapene pluss oss. Jeg har nettopp forkortet alt dette til Internet+.
La oss fokusere på den amerikanske delen av den ligningen. Du sier i boken at vi blir virtuelle cyborger. Hva mener du med det?
Vi er allerede nært knyttet til enheter som telefonene våre, som vi ser på mange ganger om dagen, og søkemotorer, som ligner på netthjernene våre. Vårt kraftsystem, vårt transportnettverk, våre kommunikasjonssystemer, er alle på internett. Hvis det går ned, stopper samfunnet i en veldig reell grad, fordi vi er så avhengige av det på alle nivåer. Datamaskiner er ennå ikke mye innebygd i kroppene våre, men de er dypt innebygd i livene våre.
Kan vi ikke bare koble fra oss selv noe for å begrense risikoen?
Det blir vanskeligere og vanskeligere å gjøre. Jeg prøvde å kjøpe en bil som ikke var koblet til internett, og jeg mislyktes. Det er ikke det at det ikke var noen biler tilgjengelig som dette, men de i utvalget jeg ville ha, kom alle med en internettforbindelse. Selv om den kunne slås av, var det ingen garanti for at hackere ikke kunne slå den på igjen eksternt.
Hackere kan også utnytte sikkerhetssårbarheter i én type enhet for å angripe andre, ikke sant?
Det er mange eksempler på dette. Mirai-botnettet utnyttet sårbarheter i hjemmeenheter som DVR-er og webkameraer. Disse tingene ble overtatt av hackere og brukt til å starte et angrep på en domenenavnserver, som deretter slo en haug med populære nettsteder offline. Hackerne som angrep Target kom inn i forhandlerens betalingsnettverk gjennom en sårbarhet i IT-systemene til en entreprenør som jobbet i noen av butikkene deres.
Riktignok, men disse hendelsene førte ikke til tap av liv eller lemmer, og vi har ikke sett mange tilfeller som involverer potensiell fysisk skade ennå, har vi?
Det har vi ikke. De fleste angrep involverer fortsatt brudd på data, personvern og konfidensialitet. Men vi går inn i en ny æra. Jeg er åpenbart bekymret hvis noen stjeler journalene mine, men hva om de endrer blodtypen min i databasen? Jeg vil ikke at noen hacker bilens Bluetooth-tilkobling og lytter til samtalene mine, men jeg vil virkelig ikke at de skal deaktivere styringen. Disse angrepene på integriteten og tilgjengeligheten til systemene er de vi virkelig må bekymre oss for i fremtiden, fordi de direkte påvirker liv og eiendom.
Det har vært mye diskusjon i USA i år om cybertrusler mot kritisk infrastruktur som strømnett og demninger. Hvor alvorlige er disse?
Vi vet at minst to ganger har russiske hackere slått av strømmen til deler av Ukrainas nett som en del av en bredere militærkampanje. Vi vet at nasjonalstatshackere har penetrert systemer hos noen amerikanske kraftselskaper. Disse hackene har vært utforskende og har ikke forårsaket skade, men vi vet at det er mulig å gjøre det. Hvis det er militære fiendtligheter mot USA, bør vi forvente at disse angrepene vil bli brukt. Og USA vil bruke dem mot våre motstandere, akkurat som vi brukte cyberangrep for å forsinke atomprogrammene i Iran og Nord-Korea.
Hvilke implikasjoner har alt dette for vår nåværende tilnærming til datasikkerhet, for eksempel utstedelse av oppdateringer eller rettelser for programvarefeil?
Patching er en måte å gjenvinne sikkerheten på. Vi produserer systemer som ikke er veldig gode, så finner vi sårbarheter og lapper dem. Det fungerer bra med telefonen eller datamaskinen din, fordi kostnadene ved usikkerhet er relativt lave. Men kan vi gjøre dette med en bil? Er det greit å plutselig si at en bil er usikker, en hacker kan krasje den, men ikke bekymre deg fordi det kommer en oppdatering neste uke? Kan vi gjøre det med en innebygd pacemaker? Fordi datamaskiner nå påvirker verden på en direkte, fysisk måte, har vi ikke råd til å vente på rettelser.
Men vi har allerede veldig strenge sikkerhetsstandarder for programvare som brukes i sensitive cyberfysiske domener som luftfart, gjør vi ikke?
Greit, men det er veldig dyrt. Disse standardene er der fordi det allerede er sterk myndighetsregulering i denne og noen få andre bransjer. I forbruksvarer har du ikke det nivået av sikkerhet og sikkerhet, og det må endres. Markedet akkurat nå belønner ikke sikker programvare i det hele tatt her. Så lenge du som selskap ikke vil få ytterligere markedsandeler på grunn av å være sikrere, kommer du ikke til å bruke mye tid på problemet
Så hva må vi gjøre for å gjøre Internett+-tiden tryggere?
Det er ingen industri som har forbedret sikkerheten eller sikkerheten uten at regjeringer har tvunget den til å gjøre det. Igjen og igjen sparer bedrifter på sikkerheten til de blir tvunget til å ta det på alvor. Vi trenger at regjeringen går opp her med en kombinasjon av ting rettet mot firmaer som utvikler Internett-tilkoblede enheter. De inkluderer fleksible standarder, rigide regler og tøffe ansvarslover hvis straffer er store nok til å skade et selskaps inntjening alvorlig.
Men vil ikke ting som strenge ansvarslover ha en avkjølende effekt på innovasjon?
Ja, de vil avkjøle innovasjon – men det er det som trengs akkurat nå! Poenget er at innovasjon i Internett+-verdenen kan drepe deg. Vi avkjøler innovasjon i ting som utvikling av medikamenter, flydesign og atomkraftverk fordi kostnadene ved å gjøre feil er for store. Vi er forbi punktet hvor vi må diskutere regulering versus ingen regulering for tilknyttede ting; vi må diskutere smart regulering kontra dum regulering.
Det er imidlertid en grunnleggende spenning her, er det ikke? Myndigheter liker også å utnytte sårbarheter for spionasje, rettshåndhevelse og andre aktiviteter.
Regjeringer er absolutt krypskyttere så vel som rovviltholdere. Jeg tror vi vil løse denne langvarige spenningen mellom angrep og forsvar til slutt, men det kommer til å bli en lang, hard kamp å komme dit.
Boken din fokuserer i stor grad på USA. Tror du det vil ta ledelsen her?
Jeg fokuserer på USA fordi det er der de store teknologiselskapene er lokalisert, og det er det regimet jeg kjenner best, men jeg snakker også litt om Europa. Den europeiske union er den regulerende supermakten på denne planeten akkurat nå. Jeg tror det kommer til å gå videre og raskere enn USA. I USA ser jeg mer til statene, og spesielt Massachusetts, New York og California.
Jeg tror også det vil være internasjonale traktater og normer som setter noe av vår tilknyttede infrastruktur utenfor grensene for nasjonalstatlige cyberangrep, i det minste i fredstid. Vi trenger et presserende tiltak på alle nivåer nå, fra lokalt til internasjonalt. Min største frykt er at det vil være en cyberkatastrofe, og at regjeringer vil skynde seg hodestups for å implementere tiltak, uten mye omtanke, som ikke vil løse problemet.