Cijeli je život posvetio zaštiti privatnosti ljudi na mreži, a u tvrtki F-Secure nastavlja s tim radom. „Može se reći na mnogo načina … da smo izgubili bitku za privatnost. Mnogi se ljudi ne sjećaju kakav je svijet bio prije Interneta. Za mnoge su ljude Google ili Wikipedia uvijek bili tu. I prirodno je da koriste mnoštvo usluga na Internetu, uvodeći sve vrste podataka i sadržaja. Zapravo se tako plaća na Internetu. Izrada videozapisa košta, ali to plaćamo svojim podacima i privatnošću ”, ne objašnjava stručnjak za F-Secure, Miko Hypponen, na RootedCON 2017.
“Možda smo izgubili rat protiv privatnosti. Mi smo ta generacija ljudi čiji se život može pratiti od početka do kraja. Svi nosimo uređaje za praćenje. Vrlo je lako pratiti gdje smo, s kime komuniciramo. Lako je znati kakvi smo ljudi. Ono što nas zanima. I svi se podaci prikupljaju. Podaci su novo ulje. To je tako i zato govorimo o obavještajnim agencijama, ali i o tvrtkama koje od nas prikupljaju podatke. Google je 2016. zaradio 80.000 milijuna … nudeći besplatne usluge ”.
Asimetrični rat protiv cyber kriminala
“Izgubili smo bitku za privatnost i bitku za sigurnost. Međutim, odbijam priznati da smo potonje izgubili. Sve što sam radio otkako sam počeo proučavati zlonamjerni softver i obrnuti inženjering bilo je u tu svrhu: boriti se protiv negativaca. Protiv onih koji šalju zlonamjerni softver napadima uskraćivanja usluge. Ali mi smo oni s bijelim šeširom u usporedbi s onima s crnim šeširom. Ne poričem da je naš posao složen, jer napadači imaju pristup našoj obrani.
“Prvo što nauče je kakvu sigurnost moraju srušiti. To je polazna točka napadača. A kad to jednom znaju, odlučuju kako ući. Oni imaju puno vremena za pripremu … a mi malo za odgovor. Uvijek čujemo loše vijesti o računalnoj sigurnosti, o napadima, curenju ili o tome da korisnici rade gluposti, koriste istu lozinku za sve, otvaraju zlonamjerne veze. Ipak, gdje smo bili prije 10 godina? Postignut je velik napredak u sigurnosti. Prije deset godina mnogi su korisnici koristili Windows xp koji, prema zadanim postavkama, nije imao ni vatrozid.
“Što se tiče sigurnosti, daleko smo napredovali. Napredujemo, ali nažalost i neprijatelj evoluira s vremenom. Možda je došlo vrijeme da upoznamo neprijatelja, shvatimo ga. No, kao što to često biva, lakše je reći nego učiniti. Krajnji korisnik nema pojma tko stoji iza napada. Postoje haktivisti, kriminalci, bijele kape, vlade, ekstremisti … ima svakakvih hakera. Imamo ljude poput Charlieja Millera i Chrisa Vallaseka. Hakiraju jer žele poboljšati sigurnost. Anonymus ima razloga za politički prosvjed. Kriminalci žele zaraditi novac pišući viruse. A vlade su također zainteresirane za to jer im se cyber napadi dodaju. Oni su učinkoviti, nisu skupi i neporecivi su. Savršeno se podudara kad razmišljate s vojne točke gledišta. Kad imate oružje koje je jeftino, učinkovito i neporecivo, imate savršenu kombinaciju. Zbog toga trenutak promjene počinje sada ».
Počinje nova utrka u cyber naoružanju
Na početku smo sljedeće oružane bitke. Vidjeli smo utrku u naoružanju nuklearnim oružjem. Sada se bavimo cyber oružjem. Počelo je i ostat će tamo godinama. Trebat će desetljeća da se razgovara o cyber razoružanju. A sa stajališta vlada, ne postoje samo vojne već i sigurnosne snage. Da mi je netko rekao da će policija imati viruse da zarazi građane, ne bih vjerovao, ali to je tako. Nemam problema s vladama koje koriste uvredljive tehnologije za istraživanje zločina i lov na teroriste. Morate se zauzeti za njih u fizičkom i internetskom svijetu. Ali ako kao građani dajemo ovo pravo sigurnosnim snagama, moramo tražiti transparentnost. Ova uvredljiva cyber moć mora značiti da sigurnosne snage objavljuju statistiku. Zarazili smo 200 računala zlonamjernim softverom, a 150 je bilo od ljudi koji su bili loši i kojima su izrečene kazne. Ali može biti i suprotno. Nema transparentnosti i stoga ne možemo donositi odluke o tome. No, najveća skupina koja zarađuje od napada su kriminalci. Oni su ljudi koji puno zarađuju i progone se.
Najnoviji trendovi u internetskom kriminalu kako biste zaradili na svoj račun
“Jedan od najnovijih trendova u internetskom kriminalu bili su Trojanci koji kradu bitcoin i digitalne valute. Znamo da su izumi očiti … kad su izmišljeni. To su najbolji. Zahvaljujući blockchain tehnologiji, transakcije se mogu izvršavati automatski bez intervencije bilo koga drugog. Bitcoin i blockchain nisu loši. Dobri su kao novac. Problem je u tome što i kriminalci žele novac, fizički ili virtualni. Kreditnom karticom teško je kupiti kokain. Ali s bitcoinima je lakše. Za kriminalce je bitcoin poput dara s neba. Zbog toga je toliko trojanski bum. Trenutno pratimo 110 različitih skupina koje se natječu za iste žrtve. I nisu sve skupine iz Rusije, ima ih i iz Ukrajine.
Kako traže svoje žrtve? Prvo kroz iskorištavanja koja su zarazila računalo otvaranjem veze. Danas je najčešći način putem Word dokumenta i privitka e-pošte. To se počelo raditi 2008. godine putem makronaredbe. A sad se vratilo. Dakle, oni koji mogu primiti više napada su odjeli za ljudske resurse koji primaju zaražene životopise koji imaju veze za proširenje svojih podataka. Microsoft mora promijeniti naziv gumba umjesto da omogući sadržaj koji bi morao reći "zarazi moj sustav" "- smijeh javnosti -.
Računalni virus koji vam ‘oprosti’ ako zarazi dva prijatelja
«Čak je postojao i ransomware - softver koji otima računalo šifrirajući njegove podatke - koji zahtijeva 1.300 američkih dolara, ali možete se spasiti zarazivši još dva stroja. Morate zaraziti dvoje ljudi koji na kraju plate ransomware blagodat. To su kokice. Svaka žrtva ima jedinstveni url, pa ako je pošaljete na Facebook, mnogi su ljudi zaraženi. Vrlo je kreativan i moj pamet. Vratimo se tim momcima nakon ransomwarea. "
Kibernetaj protiv LinkedIN-a učinio je kibernetičnog kriminalca milijunašem
«Došlo je do hakiranja LinkedIN-a 2012. godine i ako ste bili u njemu…. ukrali su vam ključeve. Dakle, ako ste imali račun na ovoj društvenoj mreži, ukrao ga je cyber kriminalac kojeg sada svi znaju - pokazao je svoju fotografiju. Bila sam jedna od njegovih žrtava. Još nije dobio kaznu, iako je zadržan na odmoru u Pragu sa svojom djevojkom i nada se da će biti izručen Sjedinjenim Državama. Kakve to veze ima s krađom 130 milijuna lozinki? Pa, došli bi im i drugi cyber kriminalci. Koliko možete zaraditi prodajom lozinki? Ne znam. No, gledajući neki video na YouTubeu možemo dobiti ideju. Razgovarajte o svom odmoru sa super sportskim automobilima poput Audija R8 i Lamborghini Hurracanea. Uz to se vidi da ima Mercedes, Aston Martin, Porsche, Rolex i Rolls Royce. Pa koliko je zaradio? Pa, ne znam, ali dovoljno ».
«Ako dobijete ove ključeve, možete pristupiti 1,3 milijuna Gmail računa. Budući da svi imaju istu lozinku kao u linkedIN. Pitali smo i 50% korisnika koristi istu lozinku na svim web lokacijama. Prilično je glupo. Pa kad uđu u Gmail, traže stare e-adrese. Gmail ih nikada ne briše i oni traže određenu vrstu. One koje dobijete kada se registrirate u internetskoj trgovini, poput Amazona. Znaju da imate račun s ovom adresom e-pošte, na primjer Amazon. A ako vaša lozinka ne radi na tome, nema veze. Budući da sve stranice za prijavu imaju čarobni gumb "Zaboravio sam lozinku" i kako imaju pristup Gmailu … pa, pristupaju mu. Jednom kada pristupe Gmailu, imaju pristup svemu. Oni mogu kupiti Xbox, Palystation i vi ćete ih platiti ».
Užasni Internet stvari
«Još jedan veliki izazov u našim rukama je svijetla budućnost Interneta stvari i ICS-a, industrijskog sustava upravljanja. Tako je prikazao nuklearnu reakciju koja se odvija u bazenu. Zašto prikazujem ovaj video? Pa zato što je to primjer industrijske kontrole. Ovim reaktorom upravlja PLC, programabilni robot. Svom infrastrukturom upravljaju računala i softver. Morate biti načisto s tim. Mi smo iz računalne sigurnosti i godinama sam mislio da moram osigurati računala. Ali sada ne znam. Naš posao nije osigurati računala …. Sastoji se od davanja sigurnosti cijelom društvu. Vrijeme je da promijenite način na koji vidite svijet. Postoji toliko puno stvari i govori se o toliko stvari o rizicima IOT i ICS, a prvo je da se te stvari povezuju s internetom iako se ne moraju povezati. Te stvari omogućuju pristup onome što je iza. Postoji mnogo tvorničkih sustava koji se greškom povezuju s Internetom.
Ovako je prikazao internetski krematorij, spavaće sobe viđene kroz sigurnosne kamere … «Moj prijatelj pronalazi stvari poput broda povezanog bez lozinke. Također zavjese i rolete. A moj prijatelj kaže kad netko može otvarati i zatvarati zavjese na internetu, to znači da internet stvari nije u budućnosti. Je ovdje. I oni su vektori. Možete pristupiti žarulji koja vam omogućuje pristup drugim sustavima. Stavite aparat za kavu s Wi-Fi mrežom i on postaje najslabija karika u lancu i jednog dana se probudite i kriptirate sva računala. Napraviti? "Nikada nemojte koristiti uređaj bez stavljanja jakih lozinki."
“Zlonamjerni softver Mirai zarazio je 120 milijuna IOT uređaja, ali njihovim vlasnicima nije bilo svejedno. Mi razgovaramo s njima. Hakirana vam je sigurnosna kamera … i oni su odgovorili da, što cool? Ali to dobro funkcionira. Ako uspije, ljude nije briga koristi li se za napad. I najtužnije je što se koristilo nekoliko lozinki koje su koristili svi uređaji. A koristili su i Telnet - sustav iz 80-ih - jer nije bio šifriran ».
Elektronički uređaji moraju biti regulirani: ako nisu sigurni, morate imati mogućnost polaganja prava
“Morate ulagati u sigurnost. Mi reguliramo fizičku sigurnost i internetska sigurnost mora biti regulirana. Ne govorim o onom koji uspostavlja propise o uređajima. No, potrebno je regulirati da je proizvođač tužen zbog problema koje stvara. Ako imate perilicu rublja s kratkim spojem, morate je popraviti. A ako je ne možete tužiti, a to se mora postići u cyber svijetu. Da možete tužiti zbog kršenja sigurnosti.
Došlo je vrijeme za cyber oružje i cyber razoružanje
«Govorio sam o vladama i njihovom hakiranju. Imamo mjesto u prvom redu u razmještanju napada na SAD na predsjedničkim izborima. Rusija je pokušala utjecati na ishod izbora najveće svjetske sile. U Bloomberu postoji intervju s Putinom nekoliko mjeseci prije, ali već je bio poznat. Pa su ga pitali, tko je hakirao demokrate? Je li stvarno važno? Važna stvar je sadržaj e-mailova. Ne odvlačite pozornost javnosti o tome tko je to učinio. Je li ovo cyber rat? Ne".
Ukrajinski vojnici ubijeni nakon što je njihov mobilni telefon zaražen … i nakon geopozicioniranja
No, prije dva mjeseca ukrajinski vojnici vidjeli su kako im je telefon zaražen zlonamjernim softverom, bili su smješteni i topništvo ih je razbilo. Govorim o magli cyber rata. Na ovoj utrci u naoružanju u određenoj zemlji možete znati koliko država ima tenkova … Ali u cybercapacima nema pojma. Znamo da su SAD dobre, da je dulje vrijeme uloženo više novca za izgradnju sposobnosti cyber obrane, da su Izrael, Rusija i Kina vrlo dobri. Ali tada je sve vrlo maglovito, koliki je cyber napadni kapacitet Švedske? Španjolska? Vijetnam? Nema pojma. To je maglica cyber rata. Zbog toga se vrlo razlikuje od utrke nuklearnog naoružanja. Njegova moć nije bila u njegovoj upotrebi već u sposobnosti stvaranja straha. Hirošima i Nagasaki bili su jasni primjeri. Ne radi se o tome već o tome da pokažete da ih imate. Svi znaju da kad država ima to oružje, nitko ga ne zeza.
S maglicom cyber rata nitko ništa ne zna. Moć cyber oružja nije u suprotnosti. Zato ih i vidimo. Stuxnet i hakiranje električne mreže u Ukrajini 2015. godine ili ukrajinski vojnici koji su poginuli na bojnom polju 2016. godine.
Moć cyber oružja je u njihovoj uporabi. Cyber oružje je lako dostupno i ima veliku snagu. Stuxnet se nije mogao postići čistom vojnom sposobnošću. Da je riječ o odgađanju iranskog nuklearnog programa, zemlja bi mogla biti napadnuta uz visoku cijenu, također u životima, ili bi biljka mogla biti bombardirana. Ili možete napisati stuxnet koji košta milijun. I koštao je jednako kao B52 izlaz. Ali za razliku od ovog nije vidljiv.
Hakeri više ne brane računala … sada brane svijet
«Ovo je svijet u kojem danas živimo. Svi smo mi zaštitari. Mislili smo da je naš posao pružiti sigurnost računalima. Ali ne više. Sada je ovaj posao od sada pružanje sigurnosti društvu i moramo to shvatiti vrlo ozbiljno jer imamo veliku odgovornost, više nego što puno mislimo, jer smo mi ti koji branimo svoje društvo ».
Još ovakvih članaka možete vidjeti u OneMagazineu.