Perché le violazioni dei dati si verificano così spesso?

La notizia è ricca di segnalazioni di enormi violazioni dei dati. Una rapida indagine degli ultimi anni ha rivelato una vasta gamma di violazioni dei dati dannose che hanno esposto di tutto, dalle carte di credito (Target) ai numeri di previdenza sociale, alla storia lavorativa (violazione OPM) e ai numeri delle carte di credito (Experian). Un osservatore interessato potrebbe chiedersi quanto queste aziende stiano cercando di proteggere i tuoi dati.

Se chiedi, scoprirai che le aziende stanno facendo tutto il possibile per proteggere i loro sistemi. Un grande attacco costa un sacco di soldi e degrada la fiducia dei clienti.

Tuttavia, la protezione dei sistemi informatici è estremamente difficile. Se dimentichi la malta su un singolo mattone, la tua casa probabilmente non cadrà. Ma nella sicurezza informatica, è esattamente quello che succede.

La complessità dei sistemi di sicurezza può sorprendere chi non lo sapesse. Se solo ci fosse un grande interruttore “Hackers Off”.

Sebbene nessuna persona istruita possa immaginare che la sicurezza sia così semplice, il vero livello di complessità è difficile da afferrare. Milioni di righe di codice per descrivere migliaia di funzioni funzionano in pochi framework e interagiscono con una vasta gamma di sistemi complementari. Anche se perfettamente codificate, ciascuna di queste linee, funzioni, framework e connessioni rappresenta un potenziale difetto di sicurezza, o “vettore di attacco”, che può essere sfruttato.

In sicurezza, la somma delle opportunità di compromesso è chiamata “superficie di attacco”. Anche quando le applicazioni contengono i dati più sensibili, la loro superficie di attacco è spaventosamente enorme. La complessità delle moderne applicazioni vieta qualsiasi altra realtà.

La stragrande maggioranza di Internet funziona con software open source. Questo software è gestito da volontari, senza regole formali per la revisione del codice oltre a quelle che si sono prefissati. I piani si basano sulla disponibilità dei membri non pagati, sulla loro esperienza e sui loro interessi.

Da un lato, l’open source è essenziale. Non possiamo fare in modo che tutti i programmatori rimettano in sicurezza la ruota. E davvero, le persone che costruiscono e mantengono i banali progetti open source che supportano Internet sono degne di canonizzazione. Ma la base volontaria di molti progetti open source significa che una cieca aspettativa di sicurezza e interoperabilità rappresenta un serio rischio.

Sebbene i progetti essenziali ricevano spesso un sostegno finanziario dalle società, tale sostegno è spesso insufficiente rispetto al lavoro necessario per mantenere il progetto al sicuro. Non guardare oltre Heartbleed, l’enorme vulnerabilità SSL che esisteva per un decennio prima della sua scoperta.

Poiché la stragrande maggioranza dei sistemi di sicurezza gira su software open-source, c’è sempre la possibilità che un bug nascosto ma devastante si nasconda nel tuo framework open-source preferito.

C’è un’espressione nel mondo della sicurezza digitale: i programmatori devono vincere ogni volta, ma gli hacker devono vincere solo una volta. Una singola fessura nell’armatura è tutto ciò che è necessario per la compromissione di un database.

A volte quella fessura è il risultato di uno sviluppatore che prende una scorciatoia o è negligente. A volte è il risultato di un attacco zero-day sconosciuto. Per quanto uno sviluppatore possa essere attento, è una stupidaggine immaginare di aver riparato ogni falla di sicurezza.

Dichiarare qualsiasi serratura “a prova di prelievo” è il modo più rapido per scoprire quanto fossero ottimisti i tuoi progettisti di serrature. I sistemi informatici non sono diversi. Nessun sistema è inattaccabile. Dipende solo dalle risorse disponibili.

Finché gli esseri umani esistono nel sistema in qualsiasi fase, dalla progettazione all’esecuzione, il sistema può essere sovvertito.

La sicurezza è sempre un equilibrio tra comodità e sicurezza. Un sistema perfettamente protetto non può mai essere utilizzato. Più un sistema è sicuro, più è difficile da usare. Questa è una verità fondamentale della progettazione dei sistemi.

La sicurezza opera creando blocchi stradali che devono essere superati. Nessun roadblock che vale la pena eseguire può richiedere zero tempo per essere completato. Quindi, maggiore è la sicurezza di un sistema, meno utilizzabile è.

L’umile password è l’esempio perfetto di queste qualità complementari in azione.

Potresti dire che più lunga è la password, più difficile è decifrare con la forza bruta, password così lunghe per tutti, giusto? Ma le password sono una classica spada a doppio taglio. Le password più lunghe sono più difficili da decifrare, ma sono anche più difficili da ricordare. Ora, gli utenti frustrati duplicheranno le credenziali e annoteranno i loro accessi. Voglio dire, che tipo di personaggio losco guarderebbe la nota segreta sotto la tastiera di lavoro di Debra?

Gli aggressori non devono preoccuparsi del cracking delle password. Devono solo trovare una nota adesiva sul monitor dell’Assistente (al) Regional Manager e avranno tutto l’accesso che vogliono. Non che Dwight sarebbe mai stato così negligente.

Abbiamo un equilibrio tra sicurezza e convenienza per mantenere i nostri sistemi utilizzabili e sicuri. Ciò significa che ogni sistema è, in un modo o nell’altro, insicuro. Gli hacker devono solo trovare un piccolo buco e sfondare.

La caratteristica distintiva di un attacco di hacking è l’inganno a livello di sistema. In un modo o nell’altro stai inducendo a collaborare parte di un sistema di sicurezzacontro il suo design. Se un aggressore convince una guardia di sicurezza umana a lasciarli entrare in un luogo sicuro o sovverte i protocolli di sicurezza su un server, può essere definito un “hack”.

La varietà di attacchi “in natura” è straordinaria, quindi qualsiasi riassunto può offrire solo un’ampia panoramica prima di divagare nei dettagli dei singoli attacchi. Per lo meno, un aspirante hacker deve conoscere il sistema che sta attaccando.

Una volta scoperta una vulnerabilità, può essere sfruttata. Da un punto di vista pratico, un utente malintenzionato potrebbe cercare porte aperte su un server per scoprire quali servizi è in esecuzione su un dispositivo e in quale versione. Mettilo in correlazione con vulnerabilità note e, il più delle volte, troverai vettori di attacco praticabili. Molte volte è una morte dai mille tagli: piccole vulnerabilità incatenate per accedervi. Se ciò non funziona, ci sono attacchi alle password, pretesti, ingegneria sociale, falsificazione delle credenziali… l’elenco cresce ogni giorno.

Una volta scoperta una vulnerabilità, l’hacker può sfruttarla e ottenere un accesso non autorizzato. Con quell’accesso non autorizzato, esfiltrano i dati.

Ed è così che si verificano continuamente violazioni dei dati.

Ricevi gli aggiornamenti dei nostri ultimi tutorial.

Alexander Fox è uno scrittore di tecnologia e scienza con sede a Philadelphia, Pennsylvania, con un gatto, tre Mac e più cavi USB di quanti ne possa mai usare.

“L’open source è un rischio”

“Questo software è gestito da volontari”

“Hanno solo bisogno di trovare una nota adesiva sul monitor dell’Assistente (al) Regional Manager e avranno tutto l’accesso che vogliono”.