Prije osam godina, simon Whittaker, šef cyber sigurnosti na savetovanju u Belfastu, usko je izbjegao da su njegova ulazna vrata razbila policijska služba Sjeverne Irske (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI) (PSNI)Pogledajte fotografiju naloga u nastavku) i spašen je samo sa skupih popravnog posla, jer je u to vrijeme bio rođak kući.
Whittaker je bio nevin žrtva nesporazuma koji je nastao kada je njegov rad bio profesionalni sa cyber sigurnosti, glave sa zakonodavstvom sadržanom u činu računarskih zloupotrebe u Velikoj Britaniji (CMA) iz 1990. godine, da se na prvi pogled čini razumnim.
“Šta mi se dogodilo je da smo radili sa klijentom koji je radio sa NHS povjerenjem, demonstrirajući neke od svog softvera”, objašnjava on. “Njihov softver pokupio je informacije iz različitih tamnih web izvora i objavio ove informacije na Pastebinu.”
Ovaj je post napravljen u utorak 9. maja 2017. (zapamtite ovaj datum – važno je), a informacije su sadržavale nekoliko ključnih riječi, uključujući “NHS” i “Ransomware” (Pogledajte snimak zaslona pastebinske stranice u nastavku).
Ovaj slučajni čin bio je dovoljan za izlet zvona alarma negdje u dubini britanskih obavještajnih aparata. Nacionalna agencija za zločinu (NCA) uključila se, e-poruke su se zviždale naprijed i nazad nad Atlantikom Amerikancima. Nepoznatnik za Whittaker i njegovu porodicu, kriza se razvijala.
“Završili smo sa osam bakra na našim vratima i puno ljudi jako uznemirenih”, kaže Whittaker. “Košta nas je oko 3.000 funti u pravnim naknadama, kada je sve što se dogodilo bilo nekoliko riječi objavljenih na Pastebinu.
“Razgovaramo o korištenju kamenca da probijem maticu, ali prilično je precizan, koliko su identificirali najmanju količinu dokaza – to nisu ni dokazivali, ali nije bilo dovoljno.”
I pumpa? To se upravo događa da su postovi identificirani u petak 12. maja u sklopu istrage WannaCry-a, koji su izazvali haos preko NHS-a. Whittaker-ov dom je pretresan sljedećeg ponedjeljka.
Dakle, koja je CMA i kako je gotovo da se bavilo Whittaker u Niku? To je veliko pitanje koje ne govori ne samo na neugodno iskustvo, već na šire pitanja zakonskog preteantne, vlade inercije i, u konačnici, sposobnost rastuže borba za cyber sigurnosnu sigurnost da funkcioniše u puni potencijal.
Zaista, Cyberoup kampanja za reformu CMA procjenjuje da su sigurnosne firme u Velikoj Britaniji svake godine gube milijarde jer ih CMA učinkovito veže.
Ukratko, on definira širok prekršaj neovlaštenog pristupa računaru. U pitanju lica, ovo je teško raspravljati se jer se čini da cyber kriminal čine ilegalnim.
Međutim, u širokoj primjeni, ono što uvreda zapravo čini je da se sve hakiraju ilegalno. Kao takav, sada je strašno zastario jer u potpunosti ne uspijeva uložiti činjenicu da, s vremena na vrijeme, legitimni profesionalci za sigurnost i etički hakeri moraju pristupiti računaru bez autorizacije ako trebaju obavljati posao.
“To je tako frustrirajuće, ideja da postoji dio zakonodavstva za to je toliko dugo što je prvobitno dovedeno jer nisu imali nikakvog zakonodavstva”, kaže Whittav.
“Netko je prekršio na račun e-pošte princa Filipa, BT račun, a oni nisu imali nikakvog zakonodavstva da ih rade, pa su ih dobili pod krivotvorenim i krivotvorenim činom.”
Whittaker se odnosi na incident iz 1985. u kojem su sigurnosni pisac i edukator Robert Schifreen hakirao BT prestel uslugu – rani prekursor za e-poštu – i pristupio je vojnom mjestu Edinburghovog poštanskog sandučeta.
Schifreen-ov arhiv, sačuvan u Nacionalnom muzeju računarstva, otkriva kako je hakirao pretrel da podigne svijest o potencijalnim ranjivostima u takvim sistemima. U intervjuu za 2016. godinu, rekao je Schifreen Ars Technica Da je čekao tek nakon 18:00 na dan hake da bude siguran da je IT tim otišao kući za večer i nije mogao miješati. Čak je pokušao reći BT ono što radi.
CMA je bila odgovor Thatcher vlade na to, a 35 godina, prekršaj neovlaštenog pristupa računaru sada je u srži petogodišnjaka kampanje koju vodi Cyberoup Grupe i između ostalog, usklađen, između ostalog, usklađen u Parlament Chris Holmes.
Whittaker kaže da je to vrlo jasno da je 1990. godine bilo nemoguće predvidjeti da će istraživanje pasti u domenu sigurnosti podataka.
“Niko se ne očekuje da će biti ljudi otvoreni za griv ili istražuju i istražuju se nitko tada shvatio da to bude stvar – a ako pogledate na bankovnu poruku CMA, koja je”, ne dirajte druge ljude “, nema smisla za to”, kaže se za to “, kaže se za to”, kaže on.
“Ali ono što CMA ne radi nije bilo kakve dodatke za istraživanje ili razumijevanje da postoje cyber profesionalci čiji je posao pokušati razbiti stvari, pokušati zadržati naciju sigurnim i organizacijama,” on dodaje.
“CMA je bila zakonodavstvo koje je bilo vrlo široko, a ideja da je još uvijek tu nakon ovog vremena, a nije prilagođena u skladu s promjenama koje smo vidjeli u posljednjih 20, 25 godina koje sam u industriji,” kaže Whittaker “, kaže Whittaker.
“Zakonodavstvo oko ubistva nije se promenilo od prekršaja protiv osobnog društva. Nije kao da se prekršaj ubistva se izuzetno promenilo od 1861. godine, dok se računarski svijet dramatično promenilo od 1990.”
Jedna ruka vezana iza naših leđa
Rezanje na jezgru problema, ono što CMA radi u praksi je forsirati stručnjake za sigurnost u Velikoj Britaniji da djeluju s jednim pogledom na slovo zakona i jednu ruku vezanu iza leđa.
Whittaker prepričava drugu priču iz Indil-ovog arhiva. “Imali smo pogled na Shodan i identifikovali da postoji otvorena kanta za elasticsearch koja je ispuštala vjerodajnice za vrlo veliki mobilni telefon i davatelja fiksne linije u Španiji.
“Svaki put kada je ušlo novi nalog, bacio je svoje podatke u ovu kantu, što je tada dao imena, adrese, telefonski brojeve, bankovne podatke, puno zaista zanimljivih stvari”, kaže on.
“Bili smo veoma zabrinuti zbog toga. Jer smo ga našli, zabrinuli smo se da će biti krivi povezani s nama. Zašto ste se događali? Šta se ovdje događa? Ono što smo se događali?
“To smo učinili privatno – Nikada se nismo razgovarali ni za koga, ali razgovarali smo s organizacijom i u konačnici su bili vrlo zahvalni. Njihov Ciso je bio vrlo razumjeti, ali još uvijek nas je koštalo oko dva velikana u pravnim naknadama kako bismo to mogli učiniti.”
Whittaker može prepričati mnoge druge priče o tome kako su ljudi koji samo pokušavaju obaviti neke javno-duhovito istraživanje u slična pitanja moraju se zaustaviti i ne raditi, niti putovati u drugu nadležnost da to učine, zbog CMA.
Ispitivanje prodora u granicama zakona
Za sve duboko razumjeti kako CMA HAMSStrings Cyber stručnjaci Velike Britanije, vratimo se ponovo na vrijeme, ovaj put do ranih 2000-ih, kada Whittaker, tada radi u razvoju softvera, uhvatio cyber grešku nakon što ga je posao odveo u Rusiju nakon sticanja.
“Jedna od prvih stvari koje su Rusi pitali su nas”, jeste li ikada imali sigurnost ili olovku? ‘ Rekli smo: “Ne, ali ne brinite, stvarno smo dobri u ovoj stvari”, a u roku od 20 sekundi odbacili su nas na komade i razbili ih na više različitih načina. Gledao sam test i rekao sam: “To je tako cool, kako da radim kako to učiniti?”
Ako amandman dođe, omogućit će nam da se možemo takmičiti i zaštititi sebe i naše građane na mnogo bolji način Simon Whittaker, instil
Oko 20 godina niz liniju, tvrtka Whittaker osnovana je kao vertikalna struktura, ali sada se spaja u instituciju – je li tester za proboj akreditiran, a certificiran od strane Nacionalnog Cyber sigurnosnog centra (NCSC) kao cyber entifikov za certificiranje i osigurani provajder za Cyber Essentials program.
“Mi učimo ljude kako da razbiju stvari. Naučimo ljude kako se probiti u vlastite sisteme. Naučimo ljude kako se probijaju u vlastitu oblačnu infrastrukturu, tako da mogu početi razumjeti kako razmišljati o prijetnjama”, objašnjava.
Ali u praksi to znači da Whittaker i njegov tim podučavaju ljude da rade stvari da bi se sud mogao raspravljati protiv CMA na neki način, oblik, oblik ili oblik, tako da uči svojim klijentima o zakonu i kako da djeluju u okviru svojih granica.
“Komači papira moraju biti potpisani, opseg se mora dogovoriti”, kaže Whittaker. “Kad predajemo juniore, provodimo verovatno pola dana prolazeći kroz CMA i detaljno o njima tačno koliko nervozni moraju biti u vezi s tim stvarima, pazeći da su to svesni.
“Definitivno je na čelu našeg uma. A ako postoji kršenje opsega, prestajete. Kontaktirate klijenta i kažemo,” Slušajte, sagledali smo to “. Redovno razgovarate sa klijentom o tome da se sa klijentom redovito razgovarate o tome da se sa klijentom redovno o tome da se ne dogodi.
“U svim našim razmatranjima, radije bismo se povukli na projekt, a ne rizikujući da udarimo treću osobu kada smo testirani olovkom”, kaže Whittaker.
Izgleda, možda malo pobuđeno, na radu sigurnosnih istraživača na većim američkim ili izraelskim sigurnosnim organizacijama koje imaju malo slobodnog prostora, ili na radu onih u blažim jurisdikcijama, kao što su baltics, gdje su Cyber istraživači uglednih virtualnih privatnih mrežnih pružatelja, često na velikim nedostacima istraživanja, često na velikim manama u tehnologiji potrošača.
“Čujete, primer, priče o širokopojasnom provajderu X koji su poslali ovu kutiju koja je smeće i može se pristupiti na daljinu. Mogu hakirati sve te stvari, ali ne mogu da radim na odgovornom, formalnom putu, jer ako učinim, rizikujem da ću uhapsiti ili tužiti”, kaže on.
“Zaista je frustrirajuće za manje organizacije poput sebe. Želimo da budemo u mogućnosti da uradimo ovo istraživanje. Želimo da budemo u mogućnosti da pomognemo. Želimo da budemo u mogućnosti pružiti ove informacije. Ali vrlo je komplikovano.”
Šta bi značila reforma CMA?
Zakon o zloupotrebi računara trenutno je za reformu kao dio šireg preispitivanja domaćeg ureda, ali napredak je bio drhtan i zaustavljen nekoliko puta zahvaljujući Covied-19 vlade Borisa Johnsona i Liza Trussov vlada.
Frustrirajuće je za manje organizacije poput sebe. Želimo da budemo u mogućnosti da uradimo ovo istraživanje. Želimo biti u mogućnosti da pomognemo. Želimo da budemo u mogućnosti pružiti ove informacije. Ali [the law makes it] vrlo komplikovano Simon Whittaker, instil
Izrežite na 2024 i novu radnu vladu, a činilo se da se stvari ponovo kreću. Ali tada u decembru 2024. godine, pokušavaju Losel Holmes i drugi vršnjaci da imaju izmijenjeni podaci (pristup i upotreba) za uvođenje zakonom propisane odbrane za cyber stručnjake, od strane vlade, sa državnim sekretarom na Odjelu za nauku, inovacije D tehnologija (DSIT) barunica Margaret Jones koja kaže reforma je bila složena pitanja.
Vlada razmatra poboljšane odbrane angažmanom sa sigurnosnim zajednicama, ali Jones tvrdi da do danas ne postoji konsenzus o tome kako to učiniti u industriji, koja se zadržava nazad.
Nedavno, ministar nauke Patrick Vallance težio je nakon što je policija istaknula zabrinutost što omogućavanje neovlaštenog pristupa sistemima pod izgovorom identifikacijskih ranjivosti mogu iskoristiti cyber zločinci.
Rekao je: “Uvođenje ovih konkretnih amandmana može nenamjerno predstavljati više rizika za cyber sigurnost u Velikoj Britaniji, ne najmanju nehotice stvaranjem rupe za cyber zločince da se iskoriste za obranu protiv tužilaštva.”
Ali nakon mnogo godina i čestih angažmana s vladom, kampanjama, održavajući civilne stvari, jasno su frustrirani – i razumljivo su tako. Žele da se stvari brže kreću.
Whittaker kaže da bi reforma bila razlika između noći i dana za njegovu sigurnosnu praksu.
“To bi nam omogućilo da budemo sigurniji u našim istraživanjima. Volio bih da samo pogledam stvari detaljnije i pomognem ljudima. To bi nam omogućilo da se fokusiramo na posao, a da bi se nešto drugo pođe po zlu. To bi bilo da se nešto drugo pođe po zlu.
“Sve što pokušavamo učiniti je dati našim timovima, ovim stručnjacima koje imamo u Belfastu i širom zemlje, sposobnost da se moći takmičiti na globalnoj razini. Ako nam se amandman omogućimo da se takmičimo i zaštitimo sebe i naše građane na mnogo bolji način”, zaključuje se.
A kad se sve kaže i učini, ne čuva Veliku Britaniju u neprekidnom, a svečano proširuju pejzaž prijetnji važniji od provođenja ćebene definicije hakiranja kao ilegalnog čina kada Cyber zločinci širom svijeta znaju da krše zakon i jednostavno ne daju prokletstvo?
