Virus Bulletin PUA – et kjærlighetsbrev

Digital sikkerhet

Sene kvelder på VB2023 inneholdt spennende interaksjoner mellom sikkerhetseksperter og den noe gåtefulle verdenen av gråvareleverandører

Cameron Camp

10 oktober 2023  •  , 3 min. lese

Sen kveld på VB2023 er når nissene kommer ut – utformede ansikter av nøye spilte fans cum lokker drevet av industrien potensielt uønsket applikasjon (PUA) leverandører, sponsede og betal-per-klikk-applikasjonsinstallatører og andre nedlastingsinntekter som danner et økosystem på flere milliarder dollar. Og i tilfelle du lurer på hva de vil, er det å lokke opp blokkering av borderline – egentlig borderline – skumle programvare som de vil at anerkjente sikkerhetsprogramvareleverandører skal ignorere og slutte å blokkere. Vi vet det, for vi blir ofte bedt av dem om å gjøre det.

Men kundene vil heller ha færre PUAer enn flere av dem. ESET-produkter har muligheten til ikke tillate PUA programvare. Kundene har et valg, og det er opp til dem å bestemme.

Men tilbake til Novotel-lobbyen sent på kvelden – til slutt blir kjærligheten til hat i en bipolar utstilling; tilsynelatende setter vi noen ganger hull i forretningsplanene deres.

Rundt VB2023 konferanse er en snert av ad hoc (eller mer organiserte) sammenkomster som tar sikte på å legitimere koblingen til pseudo-skyggefulle (men alltid angivelig reformerende) programvareleverandører, desperate etter å prøve å myke selgere av sikkerhetsprogramvare her at de virkelig er reformert, og er derfor på en eller annen måte verdige til å fjerne blokkeringen.

For å selge det, ansetter de "compliance"-personale, typisk herlige snakkesalige folk som gjerne tilbringer tid under de pulserende lysene i baren til måte for sent når vi egentlig burde sove. Å gjennomvåte selgere i sprit kan ha noen lokke til de mer gjæringsmotiverte blant oss, men ikke så mye som å fjerne hjernen vår; men vi har vært på dette en stund, og å advare nyansatte om disse forsøkene på sosial ingeniørkunst er en hevdet tradisjon.

ESET er ikke alene om dette, det er mange andre leverandører av sikkerhetsprogramvare som får den samme spesialbehandlingen: Ingen hevder at smiger (og gjæring for noen) er en fin detalj, men til syvende og sist jobber vi for kundene våre, ikke disse PUA-leverandørene eller deres aksjonærer. Det er kundene våre som betaler oss, og de gjør det for å motta mindre og mindre hvit støy på sine dataenheter, ikke mer.

Nylig har leverandørene av PUAer og deres venner som tjener penger gjennom dette økosystemet svermet for å danne sertifiseringsorganer som tar sikte på mer presist å bestemme hvor langt det er for langt til fortsatt å bli klassifisert som rent. De tror at ved å lage sertifiseringer kan de forsterke CV-byggende goodwill og at deres tillitsmerke vil signalisere (forhåpentligvis) til tredjeparter deres troverdighet i god nytte. Men disse organisasjonene pleier ikke å være enige med hverandre lenge, enn si med utenforstående, og bindelimet har en tendens til å oppløses, og tvinger dem til å splintre. Å gjete katter kan være like vanskelig som det er lite givende.

Tillit til sikkerhetsindustrien er et langt spill, og et spill som svært få PUA-justerte leverandører har levd lenge nok til å spille godt. Det tar tid og haugevis av penger å gjøre sikkerheten ordentlig, og ingen liten snert av teknisk talent som er villige til å lene seg inn i hverdagen med den utakknemlig ukjente delen av å holde programvaren i arbeid, enn si sikker.

Ettersom innsatsen for å beskytte folks data blir høyere – i lys av det økende antallet helsejournaler, økonomiske transaksjoner og i bunn og grunn det meste av det som får våre daglige digitale og fysiske liv til å fungere – øker også viktigheten av å få riktig sikkerhetsprogramvare, feil på side av forsiktighet. PUAer og forsiktighet finnes ikke ofte i samme setning.

Det er veldig sent på kvelden nå (jeg skrev dette torsdag kveld) og baren skrudde til slutt ned den omgivende pulseringen av dempede teknolåter (eller er det hodet mitt?) mens folk begynner å tone ut i hotellets gangene for å hvile en kort stund som forberedelse til nok en (nydelig) konferansedag. Her på Londons VB2023 var det herlig å se menneskene som gjør det harde arbeidet med å beskytte det alle verdsetter, inkludert oss selv. Jeg får en siste bølge fra overholdelsespersonalet mens de forsvinner nedover gangene. Jeg vil nok se dem igjen på neste konferanse.

Vi vil alltid ha god og dårlig teknologi, og mange nyanser av grått. Det grå er den vanskelige delen.