Virusni bilten PUA – ljubezensko pismo

Digitalna varnost

Pozne noči na VB2023 so predstavljale zanimive interakcije med varnostnimi strokovnjaki in nekoliko zagonetnim svetom dobaviteljev sive programske opreme

Cameron Camp

Oktober 10 2023  •  , 3 min. prebrati

Pozno zvečer na VB2023 pridejo škrati – izdelane podobe skrbno odigranih oboževalcev in vab, ki jih vsiljuje industrija potencialno neželena aplikacija (PUA) prodajalci, sponzorirani inštalaterji aplikacij s plačilom na klik in drugi monetizatorji prenosov, ki tvorijo več milijard dolarjev vreden ekosistem. In če se sprašujete, kaj želijo, je to, da bi spodbudili deblokiranje mejne – res mejne – grozljive programske opreme, za katero želijo, da jo ugledni prodajalci varnostne programske opreme prezrejo in prenehajo blokirati. Vemo, ker nas to pogosto prosijo.

Toda stranke bi raje imele manj PUA kot več njih. Izdelki ESET imajo možnost onemogoči PUA programsko opremo. Kupci imajo možnost izbire in na njih je, da se odločijo.

A nazaj k poznonočnemu preddverju Novotela – sčasoma se ljubezen spremeni v sovraštvo v bipolarni ekshibiciji; Očitno smo včasih naredili luknje v njihovih poslovnih načrtih.

V okolici Konferenca VB2023 je nekaj ad hoc (ali bolj organiziranih) srečanj, katerih cilj je legitimizirati pseudo-senčne (vendar vedno domnevno prenovljene) dobavitelje programske opreme, ki si obupano želijo prodajalcem varnostne programske opreme ponuditi mehkobo, da so res prenovljeni, in zato so nekako vredni deblokade.

Za prodajo zaposlujejo osebje za »skladnost«, običajno ljubke klepetave ljudi, ki z veseljem preživljajo čas pod utripajočimi lučmi v baru do način prepozno, ko bi res morali spati. Namakanje prodajalcev s pijačo je morda nekoliko privlačno za tiste med nami, ki so bolj fermentirani, vendar ne toliko, da bi nam odstranili možgane; vendar smo pri tem že nekaj časa in opozarjanje novozaposlenih na te poskuse socialnega inženiringa je stara tradicija.

ESET v tem pogledu ni edini, obstaja veliko drugih proizvajalcev varnostne programske opreme, ki so deležni enake posebne obravnave: Nihče ne trdi, da je laskanje (in fermentacija za nekatere) prijeten pridih, vendar na koncu delamo za naše stranke, ne teh prodajalcev PUA ali njihovih delničarjev. Naše stranke so tiste, ki nas plačujejo, in to zato, da bi v svojih računalniških napravah prejemale vedno manj belega šuma, ne več.

Nedavno so se dobavitelji PUA in njihovi prijatelji, ki služijo denar v tem ekosistemu, zgrinjali, da bi ustanovili certifikacijske organe, katerih cilj je natančneje določiti, kako daleč je predaleč, da bi ga še vedno označili za čistega. Verjamejo, da lahko z ustvarjanjem certifikatov povečajo dobro voljo pri ustvarjanju življenjepisov in da bo njihov znak zaupanja signaliziral (upajmo) tretjim osebam njihovo zanesljivost. Toda te organizacije se običajno ne strinjajo dolgo med seboj, kaj šele z zunanjimi sodelavci, in vezno lepilo se nagiba k raztapljanju, kar jih prisili v razpad. Pastiti mačke je lahko tako težko, kot tudi nedonosno.

Zaupanje v varnostno industrijo je dolga igra, pri kateri je zelo malo prodajalcev, ki so usklajeni s PUA, živelo dovolj dolgo, da bi lahko igrali dobro. Potreben je čas in kup denarja, da se zagotovi pravilna varnost, in malo tehnološkega talenta, ki se je pripravljen zanesti v vsakodnevni napor nehvaležno neopevanega dela ohranjanja delovanja programske opreme, kaj šele varne.

Ko postajajo vložki pri varovanju podatkov ljudi večji – v luči naraščajočega števila zdravstvenih kartotek, finančnih transakcij in v bistvu večine stvari, ki skrbijo za delovanje našega vsakodnevnega digitalnega in fizičnega življenja – narašča tudi pomen pravilne varnostne programske opreme, ki se zmoti stran previdnosti. PUA in previdnost ni pogosto v istem stavku.

Zdaj je zelo pozna noč (to sem napisal v četrtek zvečer) in bar je končno utišal ambientalno utripanje utišanih tehno melodij (ali je to moja glava?), ko so ljudje začeli izginjati na hotelske hodnike, da bi se na kratko spočili v pripravah na še en (lep) konferenčni dan. Tukaj v londonskem VB2023 je bilo lepo videti ljudi, ki trdo delajo pri varovanju tega, kar cenijo vsi, vključno z nami. Osebje za skladnost mi še zadnjič pomaha, ko izginejo po hodnikih. Verjetno jih bom spet videl na naslednji konferenci.

Vedno bomo imeli dobro in slabo tehnologijo ter veliko odtenkov sive. Siva je najtežji del.