Αξιολόγηση ασφάλειας λογισμικού καταναλωτή: Πρέπει να ακολουθήσουμε τις οδηγίες της NHTSA;

Η Εθνική Υπηρεσία Ασφάλειας Οδικής Κυκλοφορίας των ΗΠΑ (NHTSA) είναι αφοσιωμένη σε αυτό αποστολή: «για να σωθούν ζωές, να αποτραπούν τραυματισμοί και να μειωθεί το οικονομικό κόστος λόγω τροχαίων ατυχημάτων, μέσω της εκπαίδευσης, της έρευνας, των προτύπων ασφάλειας και της επιβολής». Μήπως ήρθε η ώρα να δημιουργηθεί ένας παρόμοιος οργανισμός αφιερωμένος στην ασφάλεια του λογισμικού των καταναλωτών; Η αποστολή θα ήταν αρκετά παρόμοια: να διασφαλιστεί ότι το λογισμικό πληροί τα βασικά πρότυπα ασφάλειας και ασφάλειας και είναι εύκολο για τους καταναλωτές να κατανοήσουν, να εφαρμόσουν και να διατηρήσουν.

Σήμερα, τα αυτοκίνητα πρέπει να πληρούν ένα βασικό πρότυπο ασφάλειας προτού διατεθούν για πώληση στο κοινό, αλλά το λογισμικό δεν το πληροί. Πώς μπορούμε να διευκολύνουμε κάθε Αμερικανό να προστατεύσει τον εαυτό του και τα δεδομένα του από ψηφιακά εγκλήματα;

Ικανοποίηση βασικών αναγκών ασφάλειας και ασφάλειας

Η εφαρμογή Android της Uber έχει περισσότερες από 10 εκατομμύρια γραμμές κώδικα (κατά την κυκλοφορία είχε μόνο περίπου 10,000), σχεδόν όσο το τυπικό λειτουργικό σύστημα smartphone, το οποίο έρχεται σε περίπου 12 εκατομμύρια γραμμές κώδικα. Στα smartphone, υπάρχουν χιλιάδες διαθέσιμες ρυθμίσεις. Πολλά επηρεάζουν την ασφάλεια και το απόρρητο και μπορούν να διαμορφωθούν από τους τελικούς χρήστες, κάτι που είναι σημαντικό για τους περισσότερους χρήστες. Δυστυχώς, πολλοί χρήστες λογισμικού και συσκευών δεν συνειδητοποιούν ότι πρέπει να εξετάσουν προσεκτικά κάθε μία από αυτές τις διαμορφώσεις. Όχι μόνο επειδή το λάθος διαμόρφωση θα μπορούσε να τους εκθέσει σε πιθανούς επιτιθέμενους αλλά και να τους προστατεύσει από νόμιμες απόπειρες χρήσης των δεδομένων τους με τρόπους που μπορεί να τα εκθέσουν περισσότερο από ό,τι αντιλαμβάνονται.

Ελάχιστα λογισμικά και συσκευές προστατεύουν τους χρήστες από την έκθεση τους σε επιθέσεις ή υπερβολικά επιτρεπτή πρόσβαση σε δεδομένα από προεπιλογή, καθιστώντας τους καταναλωτές ένα εύκολο σημάδι για κακόβουλους παράγοντες. Για να αυξηθεί η ασφάλεια του λογισμικού, οι λειτουργίες ασφαλείας πρέπει να υπάρχουν από προεπιλογή, αλλά οι χρήστες πρέπει επίσης να χρησιμοποιούν αυτές τις δυνατότητες για να είναι αποτελεσματικές.

Δημιουργία αξιολογήσεων ασφαλείας

Ένα ζήτημα με την ασφάλεια του λογισμικού των καταναλωτών είναι ότι οι κατασκευαστές λογισμικού και συσκευών δεν προειδοποιούν τους χρήστες για τον κίνδυνο χρήσης τους με την προεπιλεγμένη διαμόρφωση. Υπάρχουν πολλοί οίκοι αξιολόγησης που λένε στους πελάτες το προφίλ ασφάλειας των οχημάτων τους. Το NHTSA παρέχει αξιολογήσεις ασφάλειας οχημάτων, έτσι ώστε οι καταναλωτές να μπορούν να επιλέξουν τα ασφαλέστερα οχήματα και να μάθουν για τις ανακλήσεις εύκολα. Υπάρχει επίσης το Insurance Institute for Highway Safety (IIHS), ένας ανεξάρτητος μη κερδοσκοπικός οργανισμός που διεξάγει έρευνα και αξιολόγηση για να εκπαιδεύσει τους καταναλωτές, τους υπεύθυνους χάραξης πολιτικής και τους επαγγελματίες ασφάλειας. Οι καταναλωτές μπορούν να χρησιμοποιήσουν πληροφορίες από αυτούς τους οργανισμούς για να εξισορροπήσουν τη λειτουργικότητα που θέλουν με κρίσιμα χαρακτηριστικά ασφαλείας. Αυτό επιτρέπει στους καταναλωτές να κάνουν συνειδητή επιλογή σχετικά με τη λειτουργικότητα και την ασφάλεια όταν επιλέγουν ένα όχημα.

Όπως είναι λογικό, είναι ένα δύσκολο έργο για τους προγραμματιστές λογισμικού να πραγματοποιούν εξαντλητικές δοκιμές λογισμικού για να εντοπίσουν και να διορθώσουν όλα τα πιθανά σφάλματα πριν από την κυκλοφορία. Είναι μια κουραστική, περίπλοκη και επιρρεπής σε σφάλματα διαδικασία. Παρόλα αυτά, ο Λευκός Οίκος προέτρεψε ενίσχυση της αλυσίδας εφοδιασμού λογισμικού στην ενότητα 4 του Εκτελεστική εντολή για τη βελτίωση της κυβερνοασφάλειας του έθνους. Αν και είναι δύσκολο (και ίσως αδύνατο) να κυκλοφορήσει λογισμικό χωρίς σφάλματα, η προειδοποίηση των πελατών ότι πρέπει να ελέγξουν και να τροποποιήσουν τις προεπιλεγμένες ρυθμίσεις δεν είναι δύσκολη.

Αυτή η προειδοποίηση θα πρέπει να συνοδεύεται από κάθε εφαρμογή λογισμικού και συσκευή. Στην ιδανική περίπτωση, θα πρέπει να είναι πιο προσιτή από μια μεγάλη, δυσανάγνωστη σελίδα όρων και προϋποθέσεων ή ένα μικρό, κακώς μεταφρασμένο κομμάτι χαρτί στο κουτί της συσκευής. Πρέπει να είναι εύκολο να το διαβάσετε και να το κατανοήσετε με μια ματιά, αντί να απαιτεί μεγεθυντικό φακό, εξοικείωση με τους νομικούς και πολλή υπομονή.

Εκτός από την προειδοποίηση των καταναλωτών ότι η χρήση της προεπιλεγμένης διαμόρφωσης μιας εφαρμογής μπορεί να είναι επικίνδυνη, θα μπορούσαμε να εξελιχθούμε σε ένα σύστημα αξιολόγησης που επιτρέπει στους καταναλωτές να γνωρίζουν ότι αυτό που αγοράζουν είναι εγγενώς επικίνδυνο, ώστε να μπορούν εν γνώσει τους να κάνουν τους ίδιους συμβιβασμούς που κάνουν όταν επιλέγουν Ενα όχημα. Για παράδειγμα, ένα σύστημα αξιολόγησης μπορεί να εξετάσει:

• Οι τρόποι επίθεσης σε ένα συγκεκριμένο λειτουργικό σύστημα ή εφαρμογή στο παρελθόν.
• Ο αριθμός των ενημερώσεων κώδικα ασφαλείας που απαιτούνται με την πάροδο του χρόνου για να γίνει η εφαρμογή πιο ασφαλής.
• Τα χαρακτηριστικά ασφαλείας στην εφαρμογή, όπως κρυπτογράφηση, έλεγχος ταυτότητας και εξουσιοδότηση.
• Οι πρακτικές απορρήτου του οργανισμού, συμπεριλαμβανομένου του τρόπου με τον οποίο συλλέγει και χρησιμοποιεί δεδομένα χρηστών.

Αυτό μπορεί να απομακρύνει έναν χρήστη από ένα προϊόν — ή τουλάχιστον να αυξήσει την επίγνωσή του για το προφίλ ασφαλείας του με την πάροδο του χρόνου. Για παράδειγμα, μερικά προγράμματα περιήγησης στο Διαδίκτυο είναι γνωστό ότι είναι εγγενώς πιο επικίνδυνα από άλλα. Τι θα γινόταν αν ήρθαν με αξιολόγηση ασφαλείας εκ των προτέρων; Οι χρήστες θα μπορούσαν να βασιστούν σε αυτήν την αξιολόγηση για να αποφασίσουν εάν είναι πρόθυμοι να κάνουν αντιστάθμιση λειτουργικότητας έναντι ασφάλειας.

Ο ρόλος του καταναλωτή στην ασφάλεια λογισμικού

Με τόσο πολύ λογισμικό στα χέρια των χρηστών όλη μέρα, κάθε μέρα, είναι επιτακτική ανάγκη για αυτούς να ξεκινήσουν τη δική τους αναθεώρηση ασφάλειας και απορρήτου του λογισμικού και των συσκευών που χρησιμοποιούν. Οι περισσότεροι χρήστες επικεντρώνονται μόνο στη διαμόρφωση των δυνατοτήτων και των εφαρμογών που είναι σημαντικές για αυτούς. Ενώ ορισμένα είναι σημαντικά χαρακτηριστικά χρηστικότητας, οι χρήστες πρέπει επίσης να συνειδητοποιήσουν ότι εμπλέκονται πολλά περισσότερα. Οι εφαρμογές που χρησιμοποιούν αλληλεπιδρούν με τις ρυθμίσεις του λειτουργικού συστήματος, γεγονός που μπορεί να προκαλέσει την εφαρμογή να τις θέσει σε υψηλότερο κίνδυνο.

Ο ρόλος μας ως εκπαιδευτές ασφάλειας και πάροχοι λογισμικού πρέπει να είναι να παροτρύνουμε τους χρήστες να αναθεωρήσουν όλες τις προεπιλεγμένες ρυθμίσεις σε νέο λογισμικό και συσκευές και να κάνουν αλλαγές ανάλογα με την περίπτωση. Δυστυχώς, αυτό δεν είναι καθόλου εύκολο για τους περισσότερους χρήστες.

Επί του παρόντος, υπάρχουν διαθέσιμοι οδηγοί για να βοηθήσουν τους χρήστες να πλοηγηθούν στη διαμόρφωση των πιο σημαντικών ρυθμίσεων, που τους δίνει την επιλογή να αποφασίσουν για την ισορροπία μεταξύ λειτουργικότητας και ασφάλειας και απορρήτου. Για παράδειγμα, η Consumer Reports δημοσίευσε το «Οδηγός για την ψηφιακή ασφάλεια και το απόρρητο” για να βοηθήσετε τους καταναλωτές να παραμείνουν ασφαλείς στο διαδίκτυο, να ελέγξουν την online παρακολούθηση και να προστατέψουν τηλέφωνα και φορητούς υπολογιστές από εισβολείς. Αν και αυτοί οι οδηγοί είναι χρήσιμοι, πολύ λίγοι χρήστες τους διαβάζουν και τους εκμεταλλεύονται. Ένα απλό σύστημα αξιολόγησης ασφαλείας που ευθυγραμμίζεται με το ευρύτερο πολιτικές ασφάλειας στον κυβερνοχώρο της τρέχουσας διοίκησης θα μπορούσε να διασφαλίσει ότι οι καταναλωτές κατανοούν τα βασικά για το πώς να διατηρούν τον εαυτό τους — και το λογισμικό και τις συσκευές τους — ασφαλή και ασφαλή.

• SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
• PlatoData.Network Vertical Generative Ai. Ενδυναμώστε τον εαυτό σας. Πρόσβαση εδώ.
• PlatoAiStream. Web3 Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
• PlatoESG. Ανθρακας, Cleantech, Ενέργεια, Περιβάλλον, Ηλιακός, Διαχείριση των αποβλήτων. Πρόσβαση εδώ.
• PlatoHealth. Ευφυΐα βιοτεχνολογίας και κλινικών δοκιμών. Πρόσβαση εδώ.
• πηγή: https://www.darkreading.com/vulnerabilities-threats/consumer-software-security-assessment-should-we-follow-nhtsas-lead