Læsetid: 3 minutter
Efter at have identificeret, hvad der skete, er det næste skridt, vi skal tage, at revurdere vores trusselsmodel.
Internetsikkerhed er meget sværere end andre områder, fordi internettet konstant ændrer sig, og brugernes tolerance over for sikkerhedskontrol er meget lav. I modsætning til militæret kan vi ikke beordre folk til at følge sikkerhedsprocedurer. Acceptabilitet skal være en topprioritet i udformningen af en civil sikkerhedskontrol, ellers vil den ikke blive brugt.
SSL sikkerhedsmekanisme brugt i browsere blev oprindeligt designet til at muliggøre brug af kreditkort til at købe varer fra online-handlere. Mens andre applikationer og brugssager blev diskuteret, var disse ikke tilladt at køre krav. Over femten år senere ses internettet nu som drivkraften bag en bølge af folkelige oprør over Nordafrika og Golfen. Brugstilfældene har ændret sig, og derfor må vi revidere vores trusselsmodel.
I akademisk forskning er tendensen til at være skeptisk og foreslå den mindst overraskende årsag. Det, der betyder noget her, er ikke at bestemme den faktiske gerningsmand eller det faktiske motiv for angrebet, men de plausible gerningsmænd og de plausible motiver. Vi ved ikke med sikkerhed, hvem gerningsmanden var, det er højst usandsynligt, at vi nogensinde får at vide. Det, der betyder noget for at forhindre det næste angreb, er at identificere rækken af plausible gerningsmænd og plausible motiver.
Indicier tyder på, at angrebet stammer fra Iran. De originale certifikatanmodninger blev modtaget fra en iransk IP-adresse, og et certifikat blev installeret på en server med en iransk IP-adresse. Selvom omstændighederne kraftigt tyder på en iransk forbindelse, ved vi ikke, om det skyldes, at angriberen var fra Iran, eller fordi det er den konklusion, angriberen havde til hensigt, at vi skulle drage.
Omstændighederne tyder også på, at motivet til angrebet ikke var økonomisk. Selvom der helt sikkert er måder, hvorpå angrebet kunne have resulteret i en økonomisk gevinst, er det svært at se, hvordan gerningsmanden kunne have forventet, at angrebet ville give et lettere, sikrere eller mere rentabelt afkast for deres indsats. Den svære del af banksvindel er at trække penge fra kontoen. Stjålne kreditkortnumre og bankkontooplysninger er en overflod på markedet.
For at gøre brug af de svigagtigt udstedte certifikater skal gerningsmanden have mulighed for at dirigere internetbrugere til deres falske websteder i stedet for de legitime. Dette kræver igen kontrol af DNS-infrastrukturen, hvilket kræver ressourcer på regeringsniveau at opnå i stor skala eller i en længere periode.
Sammenholdt med andre nylige angreb mod andre mål, både rapporterede og urapporterede, forekommer det sandsynligt, at denne hændelse udgør en del af et mønster af angreb på internetgodkendelsesinfrastruktur, og at det i det mindste er højst sandsynligt, at gerningsmændene er meget sofistikerede og regeringen instrueret.
Det er ganske muligt at forklare en eller anden af de hændelser, der ses som værende uafhængige 'haktivisters' arbejde. Men samlet set tyder mønsteret på noget andet. Hvis vi skal håndtere denne trussel med succes, må vi antage, at vores modstandere er nationalt finansierede informationsteams, og at de ressourcer, de bærer, vil være betydelige.
For at kunne besejre en sådan trussel med succes, er vi imidlertid nødt til at vedtage en dybdegående forsvarstilgang. Vi skal styrke internettillidsinfrastrukturen, men vi skal også styrke de midler, hvormed applikationer interagerer med den. Den underliggende svaghed, der er afsløret her, er det faktum, at opnåelse af en svigagtig server-legitimationsoplysninger giver en angriber mulighed for at opnå slutbruger-adgangsoplysninger. Vi er nødt til at gøre det sværere for en hacker at få en svigagtig serverlegitimationsoplysninger, men vi skal også løse de underliggende svagheder i de applikationer og tjenester, der bruger dem.
Bestræbelser på at styrke internettillidsinfrastrukturen var allerede i gang, før dette særlige angreb blev opdaget, og disse vil blive forklaret i næste indlæg. I det følgende indlæg vil jeg se på tiltag til at løse den underliggende årsag.
START GRATIS PRØVNING FÅ DIT ØJEBLIKKE SIKKERHEDSSCORECARD GRATIS
- SEO Powered Content & PR Distribution. Bliv forstærket i dag.
- PlatoData.Network Vertical Generative Ai. Styrk dig selv. Adgang her.
- PlatoAiStream. Web3 intelligens. Viden forstærket. Adgang her.
- PlatoESG. Kulstof, CleanTech, Energi, Miljø, Solenergi, Affaldshåndtering. Adgang her.
- PlatoHealth. Bioteknologiske og kliniske forsøgs intelligens. Adgang her.
- Kilde: https://blog.comodo.com/other/the-changing-threat-model/
- :er
- :ikke
- a
- evne
- akademisk
- akademisk forskning
- adgang
- Konto
- opnå
- tværs
- faktiske
- adresse
- vedtage
- afrika
- mod
- tilladt
- tillader
- allerede
- også
- an
- ,
- En anden
- kommer til syne
- applikationer
- tilgang
- ER
- områder
- AS
- antage
- At
- angribe
- Angreb
- Godkendelse
- Bank
- bankkonto
- BE
- Husk
- fordi
- før
- bag
- være
- Blog
- både
- browsere
- men
- købe
- by
- kan ikke
- kort
- Kort
- tilfælde
- Årsag
- sikkert
- sikkerhed
- certifikat
- certifikater
- ændret
- skiftende
- omstændigheder
- klik
- konklusion
- tilslutning
- konstant
- kontrol
- kontrol
- kunne
- KREDENTIAL
- Legitimationsoplysninger
- kredit
- kreditkort
- Kreditkort
- Forsvar
- dybde
- Design
- konstrueret
- detaljer
- bestemmelse
- svært
- direkte
- rettet
- opdaget
- drøftet
- dns
- do
- køre
- kørsel
- lettere
- indsats
- muliggøre
- ende
- engagement
- begivenhed
- NOGENSINDE
- bevismateriale
- forventet
- Forklar
- forklarede
- udsat
- Faktisk
- falsk
- Femten
- finansielle
- følger
- efter
- Til
- Tving
- formularer
- bedrageri
- svigagtig
- Gratis
- fra
- finansierede
- Gevinst
- vinder
- få
- gå
- varer
- Regering
- skete
- Hård Ost
- hårdere
- Have
- link.
- stærkt
- Hvordan
- Men
- HTTPS
- i
- identificeret
- identificere
- if
- in
- hændelse
- uafhængig
- oplysninger
- informationsinddragelse
- Infrastruktur
- installeret
- øjeblikkelig
- beregnet
- interagere
- Internet
- IP
- IP-adresse
- Iran
- iransk
- Udstedt
- IT
- jpg
- Kend
- stor
- senere
- mindst
- legitim
- Niveau
- Sandsynlig
- Se
- Lav
- lave
- Marked
- Matters
- midler
- foranstaltninger
- mekanisme
- Merchants
- Militær
- tilstand
- model
- penge
- mere
- motiv
- meget
- skal
- nationalt
- Behov
- næste
- Nord
- nu
- nt
- numre
- opnå
- of
- on
- ONE
- dem
- online
- or
- ordrer
- original
- oprindeligt
- stammer
- Andet
- Ellers
- vores
- i løbet af
- del
- særlig
- Mønster
- Mennesker
- periode
- plato
- Platon Data Intelligence
- PlatoData
- plausibel
- Populær
- mulig
- Indlæg
- forhindre
- prioritet
- procedurer
- rentabel
- give
- helt
- rækkevidde
- hellere
- modtaget
- nylige
- styrke
- rapporteret
- anmodninger
- Krav
- Kræver
- forskning
- Ressourcer
- afkast
- revidere
- s
- sikrere
- Scale
- scorecard
- sikkerhed
- se
- set
- send
- server
- Tjenester
- signifikant
- Websteder
- skeptisk
- So
- sofistikeret
- SSL
- Trin
- stjålet
- kraftigt
- Succesfuld
- sådan
- tyder
- foreslår
- overraskende
- Tag
- taget
- mål
- hold
- end
- at
- deres
- Them
- Der.
- Disse
- de
- denne
- trussel
- tid
- til
- sammen
- tolerance
- top
- Stol
- TUR
- underliggende
- undervejs
- I modsætning til
- usandsynligt
- us
- brug
- anvendte
- Bruger
- brugere
- meget
- var
- Wave
- måder
- we
- Svaghed
- var
- Hvad
- som
- mens
- WHO
- Hele
- vilje
- med
- Arbejde
- ville
- år
- Din
- zephyrnet