۶ نکته امنیتی که در سال ۲۰۱۶ باید رعایت کنید

نه‌تنها حفظ حریم شخصی و آزادی‌های مدنی توسط قانون‌گذاران مغروری که دانش رایانه‌ و اطلاعات کمی دارند در معرض تهدید است بلکه نفوذگرها و محققان امنیتی نیز در معرض تهدید دولت و مأموران اجرای قانون قرار گرفته‌اند. امسال به طور کلی سالی خشن بود.

چه در پیش است؟ کسی نمی‌داند. آیا اوضاع شفاف خواهد شد و یا به تاریکی بیشتری فرو خواهیم رفت؟ و یا در پشتی‌ها در شبکه‌های شرکت‌ها راه‌اندازی خواهند شد؟ با این حال سال ۲۰۱۶ بر خلاف گمانه‌زنی‌های پیش رو می‌تواند بهتر باشد.

محققان امنیتی و مدافعان آن در دو سال اخیر به طور یقین رشد خوبی داشته‌اند. از میان آزمایشگاه‌های تراشه‌ها و فن‌آوری بیرون آمده‌اند، و با کار بر روی رمزنگاری و حریم شخصی و یکپارچگی کلی نفوذهای قانونمند به گروه‌های مؤثر و فعالی تکامل یافته‌اند. امیدواریم که این روند ادامه داشته باشد، زیرا قانون‌گذاران و مأموران اجرای قانون همه را قانع کرده‌اند که چیزهایی مانند معاهده‌‌های Wassenaar و CISA و دسترسی اختصاصی ایده‌های خوبی هستند که نیاز به بیان بیشتری از سوی حوزه امنیت شبکه دارند.

بسیاری از شماها ممکن است در برابر برخی از این ایده‌ها و نظرات ایستاده باشید وآن‌ها را دیوانه‌وار خطاب کنید و مثلاً در مورد معاهده‌ی Wassenaar موجی از نظرات منطقی و عاقلانه موجب توقف اجرای این قوانین شده است. این نوعی پیروزی است که می‌تواند در سال ۲۰۱۶ نیز مورد الگو قرار گیرد.

شاید تهیه‌ی امنیت اینترنت اشیاء در آینده یک معضل و مشکلی جدی باشد. اما کاری است که جسارت می‌خواهد. در برابر فریادها و هشدارهای کسانی که اطلاعات بیشتری دارند، ما در حال جاسازی رایانه‌های کوچک متصل به شبکه در همه جا و همه چیز هستیم بدون این‌که قواعد امنیتی و حریم شخصی را در این مورد چندان جدی بگیریم. درست مانند دستگاه‌های تلفن همراه و معماری مشتری کارگزارها، در اینجا نیز اینترنت اشیاء به سرعت بازار را فرا گرفته‌اند و مسائل امنیتی برای حفظ این حوزه در بسیاری از موارد ناکام مانده‌اند. خوشبختانه ما برای اولین بار در سال ۲۰۱۵ به نقطه‌ی عطفی رسیدیم که نشان دادیم نیاز به کاهش سرعت عرضه با این شدت وجود دارد.

چارلی میلر و کریس ولسک محققان نفوذ به خودروها به شدت در مورد مشکلات امنیتی اینترنت اشیاء کار می‌کنند. توانایی آن‌ها در دست‌کاری کنترل‌های یک خودروی در حال حرکت موجب شد که ۱.۴ میلیون خودرو فراخوانی شوند و در نمای کلی‌تر موجب شد که تمام صنعت خودروسازی در برابر این هشدار، هوشیارتر شود.

در آغاز سال ۲۰۱۵ پیش‌بینی‌ها در مورد مراقبت‌های عمده‌ی بهداشتی نشان دادند که ممکن است نفوذ به داده‌های آن‌ها به آسانی ممکن باشد. پنج هفته بعد از آن ما Anthem را داشتیم و به فاصله‌ی کوتاهی بعد نیز به مورد CareFirst Blue Cross برخورد کردیم.

داده‌های مراقبت‌های بهداشتی مورد جدید حمله‌ی نفوذگران سیاه هستند و این مهاجمان از سازمان‌هایی که در پشت امنیت داده‌های بیماران و سامانه‌های مراقبت‌های بهداشتی هستند برتری جسته‌اند. برای سال آینده باید این موضوع در نظر گرفته شود، اما مجرمان اینترنتی راه خود را برای هدف قرار دادن اطلاعات شخصی به شکلی گسترده ادامه خواهند داد. ما به تازگی شاهد بوده‌ایم که نفوذ به سامانه‌های VTech و Hello Kitty موجب شده‌اند که اطلاعات دهه‌ها هزار نفر از کودکان مورد دسترسی قرار گرفته‌اند که به نفوذگران زمان زیادی را برای استفاده از هویت آنان برای سوءاستفاده و کلاهبرداری می‌دهد. انتشار مسائلی بیشتر از این دست را در سال ۲۰۱۶ داریم.

اکنون که سرویس‌های پرداخت تلفن‌های همراه همچون Apple Pay و Google Wallet موجب شده‌اند که گوشی شما تبدیل به یک نوعی از کیف پول و حساب بانکی شده‌اند، انتظار می‌رود که نفوذگرها به نوبه‌ی خود به این سامانه‌‌ها نفوذ کنند. هدف مطلوب نفوذگران شاید بخش تراکنش‌های پرداخت‌های همراه نباشد بلکه داده‌های کارت‌های اعتباری شخصی باشد که در دستگاه‌ها قرار دارند. یک مهاجم که بتواند به این اطلاعات در زمانی کوتاه دسترسی پیدا کند قادر است تا هویت قربانی را جعل کرده و ازآن‌ها برای پرداخت استفاده کند. این مسأله نیز از جمله مواردی است که باید در سال آینده مورد بررسی قرار گیرد.

تهدیدهای مدوام پیشرفته نظیر آنچه که تحت حمایت چین، روسیه، سازمان امنیت آمریکا و … اهدافی را در کشورهای گوناگون مورد حمله قرار می‌دهند کنار گذاشته‌ نشده‌اند اما باید از نگاهی متفاوت به آن‌ها هم نگریست.

محققان آزمایشگاه Kaspersky می‌گویند که باندهای APT فعالیت‌های خود را به شکلی خاص به صورتی تاکتیکی و راه‌بردی تغییر می‌دهند- شاید به همین دلیل است که بسیاری ازآن‌ها در ۲۴ ماه گذشته غیرفعال بوده‌اند. این پژوهش‌گران می‌گویند که باید انتظار داشته باشیم که حملات بیشتری را در ریشه‌های حافظه‌های مقیم در بدافزاهای بدون پرونده شاهد باشیم. کشف APT بسیار مشکل‌تر خواهد شد زیرا رد بسیار کمتری برای جست‌وجو و بررسی باقی خواهند گذاشت. شرکت‌های امنیتی علاوه بر این می‌گویند که باندهای APT به اندازه‌ی کافی در زمینه ساخت بدافزارهای سفارشی و روی بسته‌ها سرمایه‌گذاری کرده‌اند و حملات آن‌ها با شدت بیشتری صورت خواهد گرفت.

آیا نفوذگری خلاق‌تر از سامی کامکار وجود دارد؟ مدت‌هاست که او در حاشیه حرکت می‌کند اما شاید زمانی را به خاطر آورده باشید که با مشکلات جدید با چه علاقه‌ای برخورد می‌کرد. بسیاری از نفوذگران می‌توانند بگویند که رزومه‌ی کاری آنان شامل استفاده از پیام‌های‌ اسباب‌بازی کودکان برای باز کردن درب گاراژ است و غیره. اما او تاج را با حمله‌ی ProxyGambit و Rolljam به دست آورده است که با استفاده از آن دستگاهی دیگر کدهای قفل خودروها را سرقت می‌کند و کامکار امسال، سال پرمشغله‌ای را در پیش دارد. پیش‌بینی آینده کار ساده‌ای نیست ولی هیچ چیز در جهان اینترنت اشیاء دور از دسترسی نمی‌باشد.