Lembre-se deste post, em 10 anos todos dirão: agora, eles escreveram tudo corretamente no resumo. Ou vice-versa: eles nem imaginavam, em lugar algum. Prever o futuro está fadado ao fracasso, uma vez que a predição é sempre baseada no conhecimento do presente e do passado. O próximo 2019 é descrito em Blade Runner, de Philip Dick, que, no entanto, sabia prever. De acordo com o romance (e um pouco para o filme), todos vivemos em um mundo disfuncional, onde chove constantemente, existem carros e robôs voadores, mas nenhum animal.
É por isso que as
previsões dos especialistas
da Kaspersky Lab são muito práticas, mais provavelmente serão projetadas para profissionais de segurança que precisam identificar tendências para o próximo ano. Mas ainda assim, vamos tentar escolher os eventos de 2018, que podem se tornar a base de algo mais em segurança da informação, relevante por um longo tempo. Na preparação, usamos materiais deste blog durante todo o ano, então esse é um formato único: digerir resumos.
Spectre and Meltdown
As vulnerabilidades
descobertas apenas nos processadores Intel (Meltdown) e as encontradas em quase todos os processadores modernos (Spectre), são as principais notícias do ano. Vamos lidar com o Meltdown imediatamente: esta é uma vulnerabilidade privada que você pode fechar e esquecer (até encontrar outra). O Spectre simplesmente não pode ser fechado assim: um ataque teórico a um sistema vulnerável envolve um certo comportamento do hardware e certas características do código do aplicativo atacado. Pode haver muitas opções para ataques do tipo Spectre, como vários estudos mostraram este ano. Por exemplo,
uma modificação do Spectre com a capacidade de substituir células de memória somente leitura ou o
NetSpectre , um ataque que pode ser realizado remotamente, pela rede, e mesmo sem executar código no sistema
sob ataque.
Todos os ataques do tipo Spectre pertencem à categoria de ataques a canais de terceiros: quando algumas informações secretas são transmitidas não de maneira clara, mas extraídas de uma análise do tempo de resposta ou (no caso de ataques tradicionais de canais laterais) flutuações na corrente consumida pelo dispositivo. Em geral, esse é um análogo de um dispositivo espião para "escutar" as vibrações de vidro na sala onde a conversa está sendo conduzida. É muito cedo para falar sobre qualquer aplicação prática desses ataques. Por exemplo, no caso do NetSpectre, em condições ideais, era possível "roubar" dados secretos a uma velocidade de quatro bits por minuto. E ninguém está sequer discutindo se esses são os dados necessários - no sentido de que há informações realmente importantes entre eles. A pesquisa em torno do Spectre pode "disparar" em 10 anos, ou pode continuar sendo um tópico de nicho de proteção de dispositivos, onde você precisa proteger tudo e tudo, desde tudo a evitar.
Existe uma história semelhante em que a pesquisa puramente científica adquiriu linhas práticas para avaliar prazos? Você pode olhar para a
função de hash criptográfico
SHA-1 . Foi desenvolvido pela Agência de Segurança Nacional dos EUA em 1995. Dez anos depois, em 2005, os pesquisadores primeiro mostraram que o poder computacional necessário para procurar colisões (dois conjuntos de dados gerando o mesmo hash) é necessário menos do que o previsto teoricamente (mas ainda muito). Em 2012, a pontuação foi de 2 ao décimo primeiro grau de servidor / ano até 2015. Mas em 2015, os servidores se mostraram melhores do que o esperado, novos cálculos
mostraram um número ridículo de 49 dias para alguns serviços de inteligência do estado. Isso foi suficiente para reconhecer o algoritmo de hash como não confiável: em 2017, os fabricantes de todos os principais navegadores pararam de usá-lo para gerar certificados SSL. No mesmo ano, pesquisadores do Google e do Instituto CWI mostraram um
ataque prático : eles criaram dois PDFs diferentes que fornecem o mesmo hash ao usar o SHA-1.
No total, 22 anos de existência de tecnologia, 12 anos de pesquisa científica e, lembre-se, nenhum benefício para o cibercriminoso: mesmo o experimento com dois PDFs ainda era um exercício puramente científico. O espectro pode se tornar realmente perigoso se os fabricantes de processadores continuarem a ignorá-lo e, às vezes, tentarem: novas pesquisas sobre o tópico às vezes são acompanhadas de comentários de fornecedores de que esse é um comportamento supostamente padrão, um recurso, não um bug.
Aprendizado de máquina
O estudo da restauração da imagem no monitor pela natureza do ruído emitido pela fonte de alimentação desse monitor também parece duvidoso do ponto de vista da aplicação real. No entanto, os pesquisadores, embora com grandes reservas, conseguiram restaurar a imagem na tela, registrando e analisando apenas os ruídos do sistema de energia, usando redes neurais convolucionais e arrastando-os comparando ruídos e imagens espúrias. De certa forma, isso também é um ataque a canais de terceiros: capturando dados em um local onde ninguém esperava falha.
E aqui está em "Blade Runner" (desta vez no filme), como é bem previsto - no momento correspondente de filmar o estilo de condomínio de oito bits:
Há controle de voz, processamento inteligente de imagens (mais sobre esse episódio -
aqui ), em geral, Hollywood em toda a sua glória. Embora o estudo real esteja longe de tais alturas técnicas, ele se encaixa perfeitamente no cânone de realizações incríveis e fantásticas da economia nacional. Ou então será. E o que vai acontecer? Vamos fantasiar: identificação confiável de usuários na Web pela maneira como movem o mouse, role a tela do smartphone e segure o telefone na mão. Determinação de humor por voz. A ameaça de privacidade devido aos dados massivamente coletados e processados que ajudam a criar um perfil com os recursos de uma pessoa que ele próprio não conhece. Identificação facial genérica nas ruas. Oh espere, este não é o futuro, este é o presente!
Bem, todas essas tecnologias não prejudicam necessariamente a humanidade - pelo contrário, elas podem ajudar. O aprendizado de máquina faz sentido onde apenas o ruído branco foi visto antes. Isso oferece novas oportunidades e traz novos riscos, pelo menos em termos de armazenamento dos dados coletados. No máximo, tecnologias como pesquisa científica em monitores tornarão incrivelmente difícil manter algo em segredo. Embora você possa comprar diretamente máquinas de escrever, provavelmente poderá restaurar o texto inteiro com o som das teclas.
IoT e equivalente
Um dos resumos mais populares deste ano foi
dedicado às vulnerabilidades nos roteadores Mikrotik, D-Link e TP-Link. Igualar roteadores à Internet das coisas é uma idéia controversa, formularemos com cuidado: sérios riscos no futuro serão apresentados por dispositivos que funcionem de forma autônoma, se comuniquem principalmente com seu próprio tipo e o façam de uma maneira que poucas pessoas sabem exatamente o que está acontecendo lá. Os roteadores são um sacrifício tão indicativo, pois nos últimos dois anos foram massivamente atacados, têm todos os sinais de dispositivos autônomos e seu comprometimento, mais cedo ou mais tarde, se torna perceptível.
As vítimas óbvias de um futuro inseguro da IoT são alto-falantes inteligentes e outros dispositivos que monitoram o proprietário do dispositivo o tempo todo. As notícias sobre eles até agora se assemelham a piadas: ou um alto-falante inteligente no meio da noite começa a
rir ou um residente alemão recebe as gravações de voz da Amazon de uma
pessoa completamente diferente mediante solicitação dentro do RGPD. Tudo o que está conectado à sua rede doméstica e tem seu próprio relacionamento com servidores externos é potencialmente vulnerável. Enquanto a discussão sobre dispositivos inteligentes gira apenas em torno da privacidade, é possível que em breve falemos sobre o isolamento da IoT de todo o resto: por que seu medidor de eletricidade deve ter acesso ao seu compartilhamento de arquivos?
Em idéias sobre o futuro, geralmente tendemos a extremos: haverá uma utopia bonita ou um homem sombrio do cyberpunk. Caros editores, sugerem que tudo será muito bom, embora sem carros voadores. Mas, mesmo assim, a era do “computador pessoal” como um dispositivo útil, mas opcional, como uma calculadora, está terminando. Começa o tempo em que as pessoas são completamente integradas à rede, interagem com ela a cada minuto e dependem dela. Portanto, não se deve tomar de ânimo leve as ameaças teóricas à capacidade de trabalho deste mundo. Este mundo pode ser diferente, mas, em geral, não é ruim o suficiente para tentar não quebrá-lo. Será que vai funcionar? Continuaremos a observar. Feliz Ano Novo! O primeiro resumo do novo ano será lançado em 14 de janeiro.
Isenção de responsabilidade: as opiniões expressas neste resumo nem sempre coincidem com a posição oficial da Kaspersky Lab. Caros editores, geralmente recomendam tratar qualquer opinião com ceticismo saudável.