Ta on pühendanud kogu oma elu inimeste privaatsuse kaitsmisele veebis ja F-Secure ettevõttes jätkab ta seda tööd. "Võib mitmeti öelda, et me oleme võitluse privaatsuse pärast kaotanud. Paljud inimesed ei mäleta, milline oli maailm enne Internetti. Paljude inimeste jaoks on Google või Vikipeedia alati seal olnud. Ja on loomulik, et nad kasutavad Internetis paljusid teenuseid, tutvustades kõikvõimalikke andmeid ja sisu. Internetis maksate tõesti nii. Video tegemine maksab raha, kuid maksame selle eest oma andmete ja privaatsusega, ”ei selgita F-Secure'i ekspert Miko Hypponen RootedCON 2017-l.
"Võib-olla oleme kaotanud sõja privaatsuse vastu. Oleme see inimpõlvkond, kelle elu saab algusest lõpuni jälgida. Me kõik kanname jälgimisseadmeid. Väga lihtne on jälgida, kus me oleme, kellega suhtleme. On lihtne teada, millised inimesed me oleme. Mis meid huvitab. Ja kõik andmed kogutakse. Andmed on uus õli. See on nii ja seetõttu räägime luureagentuuridest, aga ka ettevõtetest, kes meilt andmeid koguvad. Google teenis 2016. aastal 80 000 miljonit… pakkudes tasuta teenuseid ”.
Asümmeetriline sõda küberkuritegevuse vastu
"Oleme kaotanud privaatsuse ja turvalisuse lahingu. Kuid ma keeldun tunnistamast, et oleme viimase kaotanud. Kõik, mida olen teinud alates pahavara ja pöördtehnoloogia õppima asumisest, oli selleks: pahade vastu võitlemine. Pahavara saatjate vastu teenuse keelamise rünnakud. Kuid meil on valge müts võrreldes musta kübaraga. Ma ei eita, et meie töö on keeruline, sest ründajatel on juurdepääs meie kaitsemehhanismidele.
"Esimene asi, mida nad õpivad, on see, millist turvalisust nad peavad purustama. See on ründaja lähtepunkt. Ja kui nad seda teavad, otsustavad nad, kuidas siseneda. Neil on palju aega ettevalmistumiseks … ja meil on vähe vastata. Kuuleme alati halbu uudiseid arvuti turvalisuse, rünnakute, lekete või kasutajate rumaluste kohta, kasutades kõigeks sama parooli, avades pahatahtlikke linke. Kus me veel 10 aastat tagasi olime? Turvalisuses on tehtud suuri edusamme. Kümme aastat tagasi kasutasid paljud kasutajad Windows XP-d, millel vaikimisi polnud isegi tulemüüri.
“Turvalisuse mõttes oleme jõudnud kaugele. Teeme suuri samme, kuid kahjuks areneb ka vaenlane ajaga. Võib-olla on kätte jõudnud aeg vaenlasega kohtuda, temast aru saada. Kuid nagu sageli juhtub, on seda lihtsam öelda kui teha. Lõppkasutajal pole aimugi, kes on rünnakute taga. On hacktiviste, kurjategijaid, valgeid mütse, valitsusi, äärmuslasi … on igasuguseid häkkereid. Meil on selliseid inimesi nagu Charlie Miller ja Chris Vallasek. Nad häkivad, sest tahavad turvalisust parandada. Anonymusel on poliitiliseks protestiks põhjust. Kurjategijad soovivad raha teenida viiruste kirjutamise teel. Ja ka valitsused on sellest huvitatud, sest küberrünnakud lisavad neile juurde. Need on tõhusad, ei ole kallid ja vaieldamatud. See sobib ideaalselt, kui mõelda sõjalisest seisukohast. Kui teil on odav, tõhus ja vaieldamatu relv, on teil ideaalne segu. Seetõttu algab nüüd muutuste hetk ».
Algamas on uus küberrelvavõistlus
Oleme järgmise relvastatud lahingu alguses. Oleme näinud tuumarelvastuse võidujooksu. Nüüd oleme küberrelvadega. See on alanud ja jääb sinna aastateks. Küberdarmeerimisest rääkimine võtab aastakümneid. Ja valitsuste vaatevinklist on olemas mitte ainult sõjavägi, vaid ka julgeolekujõud. Kui keegi oleks mulle öelnud, et politseil on kodanike nakatamiseks viirusi, ei oleks ma seda uskunud, kuid see on nii. Mul pole probleemi sellega, et valitsused kasutavad kuritegude uurimiseks ja terroristide jahtimiseks solvavat tehnoloogiat. Nende jaoks peate minema füüsilises maailmas ja veebimaailmas. Kuid kui kodanikena anname selle õiguse julgeolekujõududele, peame paluma läbipaistvust. See solvav küberjõud peab tähendama, et julgeolekujõud avaldavad statistikat. Nakatasime 200 arvutit pahavaraga ja 150 inimest olid halvad ja mõisteti süüdi. Kuid see võib olla ka vastupidine. Läbipaistvus puudub ja seetõttu ei saa me selle kohta otsuseid teha. Kuid suurim grupp, kes rünnakutega raha teenib, on kurjategijad. Nad on inimesed, kes teenivad palju ja keda taga kiusatakse.
Viimased küberkuritegevuse trendid, et oma arvelt raha teenida
„Üks viimaseid küberkuritegevuse suundumusi on olnud troojalased bitcoinide ja digitaalsete valuutade varastamisel. Me teame, et leiutised on ilmsed … kui need on leiutatud. Need on parimad. Tänu plokiahela tehnoloogiale saab tehinguid teha automaatselt ilma kellegi teise sekkumiseta. Bitcoin ja plokiahel pole halvad. Nad on head kui raha. Probleem on selles, et kurjategijad tahavad ka raha, olgu see siis füüsiline või virtuaalne. Krediitkaardiga on keeruline kokaiini osta. Kuid bitcoiniga on see lihtsam. Kurjategijate jaoks on bitcoin nagu taeva kingitus. Sellepärast on Trooja buum nii palju. Jälgime praegu 110 erinevat rühma, kes võistlevad samade ohvrite pärast. Ja kõik rühmad pole pärit Venemaalt, mõned on ka Ukrainast.
Kuidas nad oma ohvreid otsivad? Kõigepealt lingi avamisega arvuti abil nakatunud ärakasutuste kaudu. Täna on kõige levinum viis Wordi dokumendi ja e-posti manuse kaudu. Seda hakati makro kaudu tegema 2008. aastal. Ja nüüd on see tagasi. Nii et need, kes saavad rohkem rünnakuid, on personaliosakonnad, kes saavad nakatunud elulookirjeldusi ja millel on linke oma teabe laiendamiseks. Microsoft peab sisu lubamise asemel muutma nupu nime, kui ta peaks ütlema, et "nakatan minu süsteemi", - üldsuse tapmine.
Arvutiviirus, mis teile andestab, kui see nakatab kahte sõpra
«On olnud isegi lunavara - tarkvara, mis kaaperdab arvuti selle teabe krüpteerimisega -, mis nõuab 1300 dollarit, kuid võite ennast säästa, nakatades veel kaks masinat. Sa pead nakatama kaks inimest, kes maksavad lõpuks lunavaravara. See on popkorn. Igal ohvril on ainulaadne URL, nii et kui saadate selle Facebooki, on paljud inimesed nakatunud. Ta on väga loov ja minu nutikas. Naaseme nende tüüpide juurde pärast lunavara. "
LinkedIN-i vastu tehtud küberrünnak tegi miljonäriks selle teinud küberkurjategija
«LinkedIN-i häkkimine toimus 2012. aastal ja kui te selles osaleksite…. nad varastasid su võtmed. Nii et kui teil oli selles suhtlusvõrgus konto, varastas selle küberkurjategija, keda nüüd kõik teavad - ta on oma fotot näidanud. Ma olin üks tema ohvritest. Ta pole veel karistust saanud, kuigi ta peetakse kinni sõbrannaga Prahas puhkusel olles ja loodab, et ta antakse USA-le välja. Mis on sellel pistmist 130 miljoni parooli vargusega? Noh, nende juurde tuleksid teised küberkurjategijad. Kui palju võite paroolide müügiga teenida? Ma ei tea. Kuid YouTube'is mõnda videot vaadates saame aimu. Rääkige oma puhkusest selliste super-sportautodega nagu Audi R8 ja Lamborghini Hurracane. Lisaks on näha, et tal on Mercedes, Aston Martin, Porsche, Rolex ja Rolls Royce. Niisiis, kui palju ta teenis? Noh, ma ei tea, aga piisavalt ».
«Nende võtmete hankimisel pääsete juurde 1,3 miljonile Gmaili kontole. Sest neil kõigil on sama parool nagu lingitudIN-is. Oleme küsinud ja 50% kasutajatest kasutab kõigil saitidel sama parooli. See on üsna rumal. Nii et kui nad Gmaili sisenevad, otsivad nad vanu e-kirju. Gmail ei kustuta neid kunagi ja nad otsivad kindlat tüüpi. Need, mille saate Interneti-poodi registreerimisel, näiteks Amazon. Nad teavad, et teil on selle e-posti aadressiga konto, näiteks Amazon. Ja kui teie parool sellel ei tööta, pole see oluline. Kuna kõigil sisselogimislehtedel on võlunupp "Ma unustasin oma parooli" ja kuidas neil on juurdepääs Gmailile … siis nad pääsevad sellele juurde. Kui nad Gmaili juurde pääsevad, on neil juurdepääs kõigele. Nad saavad osta Xboxi, Palystationi ja te maksate selle eest ».
Kardetud asjade internet
«Teine suur väljakutse meie kätes on asjade Interneti ja tööstusliku juhtimissüsteemi ICS helge tulevik. Nii on ta näidanud basseinis toimuvat tuumareaktsiooni. Miks ma seda videot näitan? Noh, sest see on tööstusliku kontrolli näide. Seda reaktorit juhib programmeeritav robot PLC. Kõiki infrastruktuure haldavad arvutid ja tarkvara. Selles peate olema selge. Me oleme arvutiturvalisusest ja aastaid arvasin, et pean arvutid turvama. Aga nüüd ma ei tea. Meie ülesanne ei ole arvuteid turvata. See seisneb kogu ühiskonna turvalisuse tagamises. On aeg muuta maailma nägemise viisi. Ja IOT-i ja ICS-i riskide kohta on nii palju asju ja räägitakse nii paljudest asjadest ning esimene on see, et need asjad ühenduvad Internetiga, kuigi nad ei pea ühendust looma. Need asjad võimaldavad juurdepääsu sellele, mis on taga. On palju tehasesüsteeme, mis ühenduvad Internetiga ekslikult.
Nii on ta näidanud veebikrematooriumi, turvakaamerate kaudu vaadatavaid magamistube … «Üks mu sõber leiab selliseid asju nagu paat paroolita ühendatud. Samuti kardinad ja rulood. Ja mu sõber ütleb, et kui Internetis saab kardinaid avada ja sulgeda, tähendab see, et asjade internet ei ole tulevikus. On siin. Ja nad on vektorid. Teil on juurdepääs lambile, mis võimaldab teil jõuda teiste süsteemideni. Paned WiFi-ühendusega kohvimasina ja see muutub keti nõrgimaks lüliks ning ühel päeval ärkad üles ja kõik arvutid on krüptitud. Tegema? "Ärge kunagi kasutage seadet ilma tugevaid paroole sisestamata."
"Mirai pahavara nakatas 120 miljonit IOT-seadet, kuid nende omanikud ei hoolinud sellest. Me räägime nendega. Teie turvakaamera on sisse häkitud … ja nad vastasid jah, mis lahe? Kuid see töötab hästi. Kui see töötab, pole inimestel vahet, kas seda kasutatakse rünnakuks. Ja kõige kurvem on see, et kõik seadmed kasutasid väheseid paroole. Ja nad kasutasid ka Telneti - 80ndatest pärit süsteemi -, sest see polnud krüpteeritud ».
Elektroonikaseadmed peavad olema reguleeritud: kui need pole ohutud, peate saama nõudeid esitada
“Tuleb investeerida turvalisusse. Me reguleerime füüsilist turvalisust ja veebiturvalisust tuleb reguleerida. Ma ei räägi seadusest, millega kehtestatakse seadmete eeskirjad. Kuid on vaja reguleerida, et tootja kaevatakse tema tekitatud probleemide eest kohtusse. Kui teil on lühis pesumasin, peate selle parandama. Ja kui te ei saa teda kohtusse kaevata, tuleb see saavutada kübermaailmas. Et võite turvarikkumise eest kohtusse kaevata.
Küberrelvade ja küberdarmeerimise aeg on kätte jõudnud
«Olen rääkinud valitsustest ja nende häkkimisest. Presidendivalimistel on USA vastu suunatud rünnakute korraldamine esikohal. Venemaa üritas mõjutada maailma suurima jõu valimiste tulemusi. Bloomberis on Putiniga mitu kuud varem tehtud intervjuu, kuid see oli juba teada. Niisiis küsisid nad temalt, kes demokraate häkkis? Kas see on tõesti oluline? Oluline on meilide sisu. Ärge hajutage avalikkuse tähelepanu sellele, kes seda tegi. Kas see on kübersõda? Mitte".
Ukraina sõdurid tapeti pärast nende mobiiltelefoni nakatumist … ja geopositsiooni
Kuid kaks kuud tagasi nägid Ukraina sõdurid nende telefoni pahavaraga nakatunud, nad paigutati ja suurtükid purustasid nad. Ma räägin kübersõja udust. Sellel võidurelvastumisvõimalusel konkreetses riigis saate teada, kui palju tanke on riigil … Kuid küberkapatsiidides pole sellest aimugi. Me teame, et USA on hea, et küberkaitsevõime suurendamiseks on investeeritud pikemaks ajaks rohkem raha, et Iisrael, Venemaa, Hiina on väga head. Kuid siis on kõik väga udune, milline on Rootsi küberrünnakuvõime? Hispaania? Vietnam? Pole õrna aimugi. See on kübersõja udukogu. Seetõttu erineb see tuumarelvavõistlusest väga palju. Tema jõud ei seisnenud tema kasutuses, vaid võimes hirmu tekitada. Hiroshima ja Nagasaki olid selged näited. Asi pole selle kasutamises, vaid näitamises, et teil need on. Kõik teavad, et kui riigil on see relv, ei aja keegi sellega sassi.
Kübersõja udu korral ei tea keegi midagi. Küberrelvade jõud pole eriarvamustel. Sellepärast me neid näeme. Stuxnet ja elektrivõrgu häkkimine Ukrainas 2015. aastal või 2016. aastal lahinguväljal surnud Ukraina sõdurid.
Küberrelvade jõud on nende kasutuses. Küberrelvad on kergesti kättesaadavad ja neil on palju jõudu. Stuxnetit ei suudetud saavutada puhta sõjalise võimekusega. Kui tegemist oleks Iraani tuumaprogrammi edasilükkamisega, võidakse riiki kallilt rünnata, ka inimelude kaupa, või tehast pommitada. Või võite kirjutada miljonit maksva stuxneti. Ja see maksis sama palju kui B52 väljund. Kuid erinevalt sellest pole see nähtav.
Häkkerid ei kaitse enam arvuteid … nüüd kaitsevad nad maailma
«See on maailm, kus me täna elame. Me kõik oleme turvainimesed. Arvasime, et meie ülesanne on anda arvutitele turvalisus. Aga enam mitte. Nüüd on selle töö eesmärk anda ühiskonnale turvalisus ja me peame seda võtma väga tõsiselt, sest meil on suur vastutus, rohkem kui me arvame palju, sest me oleme need, kes oma ühiskonda kaitsevad ».
Rohkem selliseid artikleid näete OneMagazine'is.