Час читання: 3 протокол
Визначивши, що сталося, наступний крок, який ми повинні зробити, — це переоцінити нашу модель загроз.
Безпека в Інтернеті набагато складніша, ніж в інших сферах, тому що Інтернет постійно змінюється, а користувачі терпимість до засобів безпеки дуже низька. На відміну від військових, ми не можемо наказати людям дотримуватися заходів безпеки. Прийнятність має бути головним пріоритетом при розробці цивільного контролю безпеки, інакше він не буде використовуватися.
Команда SSL Механізм безпеки, використовуваний у браузерах, спочатку був розроблений, щоб дозволити використовувати кредитні картки для покупки товарів у онлайн-продавців. Хоча обговорювалися інші програми та варіанти використання, їм не дозволялося керувати вимогами. Понад п’ятнадцять років по тому Інтернет тепер розглядається як рушійна сила хвилі народних заколотів у Північній Африці та в Перській затоці. Варіанти використання змінилися, тому ми повинні переглянути нашу модель загроз.
У академічних дослідженнях тенденція полягає в тому, щоб бути скептичним і припускати найменш несподівану причину. Тут важливо визначити не справжнього злочинця чи фактичний мотив нападу, а вірогідних виконавців та вірогідні мотиви. Ми не знаємо напевно, хто був злочинцем, малоймовірно, що ми коли-небудь дізнаємося. Важливо, щоб запобігти наступній атаці, — це визначити коло вірогідних злочинців і вірогідних мотивів.
Непрямі докази свідчать про те, що напад стався в Ірані. Оригінальні запити на сертифікати були отримані з іранської IP-адреси, а один сертифікат був встановлений на сервері з іранською IP-адресою. Хоча обставини переконливо свідчать про зв’язок з Іраном, ми не знаємо, чи це тому, що нападник був із Ірану, чи тому висновок, який нападник мав на меті зробити нас.
Обставини також свідчать про те, що мотив нападу не був фінансовим. Хоча, безсумнівно, є способи, якими атака могла призвести до фінансової вигоди, важко зрозуміти, як зловмисник міг очікувати, що атака дасть легше, безпечніше або вигідніше відшкодування їхніх зусиль. Найскладнішою частиною банківського шахрайства є вилучення грошей з рахунку. Викрадені номери кредитних карток та реквізити банківських рахунків є перенасиченням ринку.
Щоб використовувати шахрайські сертифікати, зловмисник повинен мати можливість спрямовувати користувачів Інтернету на їхні підроблені сайти, а не на законні. Це, у свою чергу, вимагає контролю інфраструктури DNS, для досягнення якого у великих масштабах або протягом тривалого періоду потрібні ресурси урядового рівня.
Взявши разом з іншими нещодавніми атаками на інші цілі, як повідомлялося, так і не повідомлялося, ймовірно, що цей інцидент є частиною моделі атак на інфраструктуру аутентифікації в Інтернеті, і що принаймні велика ймовірність того, що зловмисники є висококваліфікованими та державними спрямований.
Цілком можливо пояснити той чи інший інцидент, який розглядають як роботу незалежних «хактивістів». Але в цілому схема свідчить про інше. Якщо ми збираємося успішно подолати цю загрозу, ми повинні припустити, що наші супротивники є фінансованими на національному рівні командами із взаємодії з інформацією і що ресурси, які вони мають, будуть значними.
Однак для того, щоб успішно подолати таку загрозу, ми повинні прийняти глибокий підхід до захисту. Ми повинні зміцнити інфраструктуру довіри в Інтернеті, але ми також повинні посилити засоби, за допомогою яких програми взаємодіють з нею. Основна слабкість, виявлена тут, полягає в тому, що отримання шахрайських облікових даних сервера дозволяє зловмиснику отримати облікові дані для доступу кінцевого користувача. Нам потрібно ускладнити зловмиснику отримання шахрайських облікових даних сервера, але ми також повинні усунути основні недоліки програм і служб, які їх використовують.
Зусилля зі зміцнення інфраструктури довіри в Інтернеті вже робилися до того, як ця конкретна атака була виявлена, і це буде пояснено в наступному дописі. У наступній публікації я розгляну заходи щодо усунення основної причини.
ПОЧНІТЬ БЕЗКОШТОВНУ ПРОБУ БЕЗКОШТОВНО ОТРИМАЙТЕ СВОЙ МОМЕНТАЛЬНИЙ СКОРЕКАРД
- Розповсюдження контенту та PR на основі SEO. Отримайте посилення сьогодні.
- PlatoData.Network Vertical Generative Ai. Додайте собі сили. Доступ тут.
- PlatoAiStream. Web3 Intelligence. Розширення знань. Доступ тут.
- ПлатонЕСГ. вуглець, CleanTech, Енергія, Навколишнє середовище, Сонячна, Поводження з відходами. Доступ тут.
- PlatoHealth. Розвідка про біотехнології та клінічні випробування. Доступ тут.
- джерело: https://blog.comodo.com/other/the-changing-threat-model/
- :є
- : ні
- a
- здатність
- академічний
- наукові дослідження
- доступ
- рахунки
- Achieve
- через
- фактичний
- адреса
- прийняти
- Африка
- проти
- дозволено
- дозволяє
- вже
- Також
- an
- та
- Інший
- з'являється
- застосування
- підхід
- ЕСТЬ
- області
- AS
- припустити
- At
- атака
- нападки
- Authentication
- Банк
- рахунок у банку
- BE
- ведмідь
- оскільки
- перед тим
- за
- буття
- Блог
- обидва
- браузери
- але
- купити
- by
- не може
- карта
- Cards
- випадків
- Викликати
- звичайно
- впевненість
- сертифікат
- сертифікати
- змінилися
- заміна
- обставин
- клацання
- висновок
- зв'язку
- постійно
- контроль
- управління
- може
- ІНТЕРЕНЦІЙНИЙ
- Повноваження
- кредит
- кредитна картка
- Кредитні карти
- оборони
- глибина
- дизайн
- призначений
- деталі
- визначення
- важкий
- прямий
- спрямований
- відкритий
- обговорювалися
- DNS
- do
- управляти
- водіння
- легше
- зусилля
- включіть
- кінець
- зачеплення
- Event
- НІКОЛИ
- докази
- очікуваний
- Пояснювати
- пояснені
- піддаватися
- факт
- підроблений
- П'ятнадцять
- фінансовий
- стежити
- після
- для
- Примусово
- форми
- шахрайство
- шахрайський
- Безкоштовна
- від
- накопичувальна
- Отримувати
- набирає
- отримати
- буде
- товари
- Уряд
- сталося
- Жорсткий
- важче
- Мати
- тут
- дуже
- Як
- Однак
- HTTPS
- i
- ідентифікований
- ідентифікувати
- if
- in
- інцидент
- незалежний
- інформація
- інформаційне залучення
- Інфраструктура
- встановлений
- мить
- призначених
- взаємодіяти
- інтернет
- IP
- IP-адреса
- Іран
- Іранський
- Випущений
- IT
- JPG
- Знати
- великий
- пізніше
- найменш
- законний
- рівень
- Ймовірно
- подивитися
- низький
- зробити
- ринок
- Питання
- засоби
- заходи
- механізм
- Купці
- військовий
- режим
- модель
- гроші
- більше
- мотив
- багато
- повинен
- на національному рівні
- Необхідність
- наступний
- На північ
- зараз
- nt
- номера
- отримувати
- of
- on
- ONE
- ті,
- онлайн
- or
- порядок
- оригінал
- спочатку
- виникла
- Інше
- інакше
- наші
- над
- частина
- приватність
- Викрійки
- Люди
- period
- plato
- Інформація про дані Платона
- PlatoData
- правдоподібний
- популярний
- це можливо
- пошта
- запобігати
- пріоритет
- Процедури
- прибутковий
- забезпечувати
- досить
- діапазон
- швидше
- отримано
- останній
- зміцнювати
- Повідомляється
- запитів
- Вимога
- Вимагається
- дослідження
- ресурси
- повертати
- переглядати
- s
- безпечніше
- шкала
- показник
- безпеку
- побачити
- бачив
- послати
- сервер
- Послуги
- значний
- сайти
- скептичний
- So
- складний
- SSL
- Крок
- вкрали
- сильно
- Успішно
- такі
- пропонувати
- Запропонує
- дивно
- Приймати
- прийняті
- цілі
- команди
- ніж
- Що
- Команда
- їх
- Їх
- Там.
- Ці
- вони
- це
- загроза
- час
- до
- разом
- терпимість
- топ
- Довіряйте
- ПЕРЕГЛЯД
- що лежить в основі
- В процесі роботи
- на відміну від
- навряд чи
- us
- використання
- використовуваний
- користувач
- користувачі
- дуже
- було
- хвиля
- способи
- we
- слабкість
- були
- Що
- який
- в той час як
- ВООЗ
- всі
- волі
- з
- Work
- б
- років
- вашу
- зефірнет