Denken Sie an diesen Beitrag, in 10 Jahren wird jeder sagen: Jetzt haben sie alles richtig in den Digest geschrieben. Oder umgekehrt: Sie haben an keinem Ort etwas erraten. Die Vorhersage der Zukunft ist zum Scheitern verurteilt, da die Vorhersage immer auf dem Wissen über Gegenwart und Vergangenheit basiert. Das bevorstehende Jahr 2019 wird in Philip Dicks Blade Runner beschrieben, der dennoch zu antizipieren wusste. Laut dem Roman (und ein wenig zum Film) leben wir alle in einer dysfunktionalen Welt, in der es ständig regnet, es gibt fliegende Autos und Roboter, aber überhaupt keine Tiere.
Aus diesem Grund sind die
Vorhersagen der Experten
von Kaspersky Lab sehr praktisch. Sie sind eher für Sicherheitsexperten gedacht, die Trends für das nächste Jahr identifizieren müssen. Lassen Sie uns dennoch versuchen, die Ereignisse von 2018 auszuwählen, die die Grundlage für etwas mehr Informationssicherheit werden können, das für lange Zeit relevant ist. Zur Vorbereitung haben wir das ganze Jahr über Materialien aus diesem Blog verwendet, daher ist dies ein einzigartiges Format: Digest Digests.
Spectre und Meltdown
Sicherheitslücken
, die nur bei Intel-Prozessoren (Meltdown) und bei fast allen modernen Prozessoren (Spectre) entdeckt wurden, sind die Hauptnachrichten des Jahres. Lassen Sie uns gleich mit Meltdown umgehen: Dies ist eine private Sicherheitslücke, die Sie schließen und vergessen können (bis Sie eine andere finden). Spectre kann einfach nicht so geschlossen werden: Ein theoretischer Angriff auf ein anfälliges System beinhaltet sowohl ein bestimmtes Verhalten der Hardware als auch bestimmte Eigenschaften des Codes der angegriffenen Anwendung. Es gibt möglicherweise viele Optionen für Spectre-ähnliche Angriffe, wie mehrere Studien in diesem Jahr gezeigt haben. Zum Beispiel
eine Spectre-
Modifikation mit der Fähigkeit, schreibgeschützte Speicherzellen oder
NetSpectre zu überschreiben, ein Angriff, der remote über das Netzwerk und sogar ohne Ausführung von Code auf dem angegriffenen System ausgeführt werden kann.
Alle Spectre-ähnlichen Angriffe gehören zur Kategorie der Angriffe auf Kanäle von Drittanbietern: Wenn einige geheime Informationen nicht eindeutig übertragen werden, sondern aus einer Analyse der Reaktionszeit oder (bei herkömmlichen Seitenkanalangriffen) Schwankungen des vom Gerät verbrauchten Stroms extrahiert werden. Im Allgemeinen ist dies ein solches Analogon eines Spionagegeräts zum „Abhören“ von Glasvibrationen in dem Raum, in dem das Gespräch geführt wird. Es ist noch zu früh, um über eine praktische Anwendung dieser Angriffe zu sprechen. Im Fall von NetSpectre war es beispielsweise unter idealen Bedingungen möglich, geheime Daten mit einer Geschwindigkeit von vier Bits pro Minute zu „stehlen“. Und niemand diskutiert darüber, ob dies die Daten sind, die benötigt werden - in dem Sinne, dass es wirklich wichtige Informationen unter ihnen gibt. Forschungen rund um das Spectre können in 10 Jahren „schießen“, oder es bleibt ein Nischenthema des Geräteschutzes, bei dem Sie alles und jedes vor allem schützen müssen, um dies zu vermeiden.
Gibt es eine ähnliche Geschichte, in der rein wissenschaftliche Forschung praktische Umrisse erhielt, um Zeitpläne zu bewerten? Sie können sich die kryptografische
SHA-1- Hashing-Funktion ansehen. Es wurde 1995 von der US National Security Agency entwickelt. Zehn Jahre später, im Jahr 2005, zeigten die Forscher erstmals, dass die für die Suche nach Kollisionen erforderliche Rechenleistung (zwei Datensätze, die denselben Hash erzeugen) weniger als theoretisch vorhergesagt erforderlich ist (aber immer noch viel). Im Jahr 2012 lag die Punktzahl bis 2015 bei 2 bis zum elften Grad der Serverjahre. Aber im Jahr 2015 erwiesen sich die Server als besser als erwartet. Neue Berechnungen
ergaben für einige staatliche Geheimdienste
eine lächerliche Zahl von 49 Tagen. Dies reichte aus, um den Hashing-Algorithmus als unzuverlässig zu erkennen: 2017 verwendeten die Hersteller aller gängigen Browser ihn nicht mehr zum Generieren von SSL-Zertifikaten. Im selben Jahr zeigten Forscher von Google und dem CWI-Institut einen
praktischen Angriff : Sie erstellten zwei verschiedene PDFs, die bei Verwendung von SHA-1 denselben Hash liefern.
Insgesamt 22 Jahre Technologie, 12 Jahre wissenschaftliche Forschung und wohlgemerkt kein Nutzen für den Cyberkriminellen: Selbst das Experiment mit zwei PDFs war noch eine rein wissenschaftliche Übung. Spectre kann sehr gefährlich werden, wenn Prozessorhersteller es weiterhin ignorieren und es manchmal versuchen: Neue Forschungsergebnisse zu diesem Thema werden manchmal von Kommentaren von Anbietern begleitet, dass dies angeblich Standardverhalten ist, eine Funktion, kein Fehler.
Maschinelles Lernen
Die Untersuchung der Wiederherstellung des Bildes auf dem Monitor aufgrund der Art des vom Netzteil dieses Monitors selbst abgegebenen Rauschens erscheint auch unter dem Gesichtspunkt der tatsächlichen Anwendung zweifelhaft. Trotzdem gelang es den Forschern, wenn auch mit großen Vorbehalten, das Bild auf dem Bildschirm wiederherzustellen, indem sie nur das Quietschen des Stromversorgungssystems aufzeichneten und analysierten, indem sie Faltungsnetzwerke verwendeten und sie durch Vergleichen von Störgeräuschen und Bildern zogen. In gewissem Sinne ist dies auch ein Angriff auf Kanäle von Drittanbietern: Erfassen von Daten an einem Ort, an dem niemand mit einem Ausfall gerechnet hat.
Und hier ist es in "Blade Runner" (diesmal im Film) nur gut vorhergesagt - in der entsprechenden Zeit der Dreharbeiten im 8-Bit-Condo-Stil:
Es gibt Sprachsteuerung, intelligente Bildverarbeitung (mehr zu dieser Episode -
hier ), im Allgemeinen Hollywood in seiner ganzen Pracht. Obwohl die eigentliche Studie weit von solchen technischen Höhen entfernt ist, passt sie perfekt in den Kanon der unglaublichen, fantastischen Errungenschaften der Volkswirtschaft. Sonst wird es sein. Und was wird passieren? Lassen Sie uns phantasieren: Zuverlässige Identifizierung von Benutzern im Web durch Bewegen der Maus, Scrollen des Bildschirms des Smartphones und Halten des Telefons in der Hand. Stimmungsbestimmung durch Stimme. Die Bedrohung der Privatsphäre aufgrund der massiv gesammelten und verarbeiteten Daten, die dazu beitragen, ein Profil mit solchen Merkmalen einer Person zu erstellen, die ihm selbst nicht bekannt sind. Generische Gesichtserkennung auf den Straßen. Oh warte, das ist nicht die Zukunft, das ist die Gegenwart!
Nun, all diese Technologien werden der Menschheit nicht unbedingt schaden - im Gegenteil, sie können helfen. Maschinelles Lernen ist sinnvoll, wenn zuvor nur weißes Rauschen gesehen wurde. Dies bietet neue Chancen und bringt neue Risiken mit sich, zumindest in Bezug auf die Speicherung der gesammelten Daten. Technologien wie die wissenschaftliche Forschung an Monitoren machen es maximal unglaublich schwierig, etwas geheim zu halten. Obwohl Sie Schreibmaschinen direkt kaufen können, können Sie wahrscheinlich den gesamten Text durch Drücken von Tastenanschlägen wiederherstellen.
IoT und gleichwertig
Eine der beliebtesten Zusammenfassungen dieses Jahres befasste
sich mit Schwachstellen in Mikrotik-, D-Link- und TP-Link-Routern. Die Gleichsetzung von Routern mit dem Internet der Dinge ist eine kontroverse Idee, die wir sorgfältig formulieren werden: Ernsthafte Risiken werden in Zukunft von Geräten ausgehen, die autonom arbeiten, hauptsächlich mit ihrer eigenen Art kommunizieren und dies so tun, dass nur wenige Menschen wissen, was genau dort passiert. Router sind ein so bedeutendes Opfer, da sie in den letzten Jahren massiv angegriffen wurden, alle Anzeichen autonomer Geräte aufweisen und ihr Kompromiss früher oder später spürbar wird.
Die offensichtlichen Opfer einer unsicheren IoT-Zukunft sind intelligente Lautsprecher und andere Geräte, die den Besitzer des Geräts rund um die Uhr überwachen. Die Nachrichten über sie ähneln bisher Witzen: Entweder beginnt ein intelligenter Lautsprecher mitten in der Nacht zu
kichern , oder ein deutscher Einwohner erhält auf Anfrage innerhalb der DSGVO die Sprachaufnahmen von Amazon von einer
völlig anderen Person . Alles, was mit Ihrem Heimnetzwerk verbunden ist und eine eigene Beziehung zu externen Servern hat, ist potenziell anfällig. Während sich die Diskussion um intelligente Geräte nur um den Datenschutz dreht, ist es möglich, dass wir bald darüber sprechen werden, IoT von allem anderen zu isolieren: Warum sollte Ihr Stromzähler Zugriff auf Ihre Dateifreigabe haben?
In Ideen über die Zukunft neigen wir oft dazu, bis zum Äußersten zu rutschen: Es wird entweder eine schöne Utopie oder einen düsteren Cyberpunk-Mann geben. Liebe Redakteure schlagen vor, dass alles ziemlich gut wird, wenn auch ohne fliegende Autos. Trotzdem endet die Ära des „Personal Computers“ als nützliches, aber optionales Gerät wie ein Taschenrechner. Die Zeit beginnt, in der Menschen vollständig in das Netzwerk integriert sind, jede Minute mit ihm interagieren und von ihm abhängig sind. Daher sollte man nicht einmal die theoretischen Bedrohungen für die Arbeitsfähigkeit dieser Welt leicht nehmen. Diese Welt kann anders sein, aber im Allgemeinen ist es nicht schlimm genug, um zu versuchen, sie nicht zu brechen. Wird es funktionieren? Wir werden weiter beobachten. Frohes Neues Jahr! Die erste Zusammenfassung des neuen Jahres wird am 14. Januar veröffentlicht.
Haftungsausschluss: Die in dieser Übersicht geäußerten Meinungen stimmen möglicherweise nicht immer mit der offiziellen Position von Kaspersky Lab überein. Sehr geehrte Redakteure empfehlen generell, Meinungen mit gesunder Skepsis zu behandeln.