Virus Bulletin PUA – una lettera d'amore

Sicurezza digitale

Le tarde notti al VB2023 sono state caratterizzate da intriganti interazioni tra esperti di sicurezza e il mondo alquanto enigmatico dei fornitori di greyware

Campo Cameron

10 ottobre 2023  · XNUMX€  , 3 minuto. leggere

A tarda notte al VB2023 è quando escono i goblin: volti realizzati con fan attentamente interpretati e esche imposte dall'industria del applicazione potenzialmente indesiderata (PUA) fornitori, installatori di applicazioni sponsorizzate e pay-per-click e altri monetizzatori di download che formano un ecosistema multimiliardario. E nel caso ti stia chiedendo cosa vogliono, è invogliare lo sblocco di software borderline – davvero borderline – inquietanti che vogliono che i fornitori di software di sicurezza rispettabili ignorino e smettano di bloccare. Lo sappiamo, perché spesso ci viene chiesto di farlo.

Ma i clienti preferirebbero averlo meno PUA che più di loro. I prodotti ESET hanno la possibilità di farlo non consentire PUA Software. I clienti hanno una scelta e spetta a loro decidere.

Ma torniamo alla lobby notturna del Novotel: alla fine l'amore si trasforma in odio in una mostra bipolare; a quanto pare, a volte intacchiamo i loro piani aziendali.

Intorno al Conferenza VB2023 sono un'infarinatura di incontri ad hoc (o più organizzati) volti a legittimare il gruppo di fornitori di software pseudo-loschi (ma sempre presumibilmente riformatori), nel disperato tentativo di vendere in modo soft i fornitori di software di sicurezza qui che sono davvero riformati, e quindi sono in qualche modo degni di essere sbloccati.

Per venderlo, impiegano personale “compliance”, tipicamente persone adorabili e loquaci felici di trascorrere del tempo sotto le luci pulsanti del bar fino al modo troppo tardi quando in realtà dovremmo dormire. Inzuppare i venditori di alcol può avere un certo fascino per quelli tra noi più motivati ​​dalla fermentazione, ma non tanto da rimuoverci il cervello; ma è da un po' che ci occupiamo di questo argomento e mettere in guardia i nuovi assunti da questi tentativi di ingegneria sociale è una tradizione consolidata nel tempo.

ESET non è sola in questo senso, ci sono molti altri fornitori di software di sicurezza che ricevono lo stesso trattamento speciale: nessuno sostiene che l'adulazione (e la fermentazione per alcuni) sia un bel tocco, ma alla fine lavoriamo per i nostri clienti, non questi fornitori di PUA o i loro azionisti. Sono i nostri clienti che ci pagano, e lo fanno per ricevere sempre meno rumore bianco sui loro dispositivi informatici, non di più.

Più recentemente, i fornitori di PUA e i loro amici che guadagnano denaro in questo ecosistema si sono accalcati per formare organismi di certificazione volti a determinare con maggiore precisione quanto è troppo lontano per essere ancora classificato come pulito. Credono che creando certificazioni possano amplificare la buona volontà nella costruzione del curriculum e che il loro marchio di fiducia segnalerà (si spera) a terzi la loro affidabilità. Ma queste organizzazioni tendono a non essere d’accordo tra loro a lungo, tanto meno con gli esterni, e il collante tende a dissolversi, costringendole a dividersi. Allevare gatti può essere tanto difficile quanto poco gratificante.

La fiducia nel settore della sicurezza è un gioco lungo, e pochissimi fornitori allineati alle PUA hanno vissuto abbastanza a lungo per giocare bene. Ci vuole tempo e un sacco di soldi per garantire la sicurezza in modo adeguato, e non una piccola manciata di talenti tecnologici disposti ad impegnarsi nella routine quotidiana della parte ingrata e non celebrata di mantenere il software funzionante, per non parlare della sicurezza.

Man mano che la posta in gioco nella protezione dei dati delle persone diventa più alta – alla luce del numero crescente di cartelle cliniche, transazioni finanziarie e fondamentalmente di gran parte di ciò che fa funzionare la nostra vita fisica e digitale quotidiana – aumenta anche l’importanza di ottenere un software di sicurezza corretto, sbagliando sul lato sbagliato. lato della cautela. PUA e cautela non si trovano spesso nella stessa frase.

È notte fonda ormai (l'ho scritto giovedì sera) e il bar ha finalmente abbassato il pulsare ambientale di brani techno in sordina (o è la mia testa?) mentre la gente inizia a svanire nei corridoi dell'hotel per riposarsi brevemente in preparazione per un'altra (bella) giornata di conferenza. Qui al VB2023 di Londra è stato bello vedere le persone che stanno facendo il duro lavoro per proteggere ciò che tutti apprezzano, compresi noi stessi. Ricevo un'ultima ondata da parte del personale addetto alla conformità mentre svaniscono lungo i corridoi. Probabilmente li rivedrò alla prossima conferenza.

Avremo sempre una tecnologia buona e una cattiva, e molte sfumature di grigio. Il grigio è la parte difficile.