Han har viet hele sitt liv til å beskytte personvernet til mennesker på nettet, og hos F-Secure selskapet fortsetter han med det arbeidet. “Det kan sies på mange måter … at vi har tapt kampen for personvern. Mange husker ikke hvordan verden var før Internett. For mange mennesker har Google eller Wikipedia alltid vært der. Og det er naturlig for dem å bruke en rekke tjenester på Internett, og introdusere alle slags data og innhold. Slik betaler du virkelig på Internett. Å lage en video koster penger, men vi betaler for det med våre data og personvern ”, forklarer ikke F-Secure-eksperten, Miko Hypponen, på RootedCON 2017.
“Vi kan ha mistet en krig mot personvernet. Vi er den generasjonen av mennesker hvis liv kan spores fra begynnelse til slutt. Vi har alle sporingsenheter. Det er veldig enkelt å overvåke hvor vi er, hvem vi kommuniserer med. Det er lett å vite hva slags mennesker vi er. Det som interesserer oss. Og alle dataene samles inn. Data er den nye oljen. Dette er slik, og det er derfor vi snakker om etterretningsbyråer, men også om selskaper som samler inn data fra oss. Google tjente 80.000 millioner i 2016 … og tilbyr gratis tjenester ”.
Asymmetrisk krig mot nettkriminalitet
“Vi har tapt kampen om personvern og kampen om sikkerhet. Jeg nekter imidlertid å innrømme at vi har mistet sistnevnte. Alt jeg har gjort siden jeg begynte å studere skadelig programvare og reverse engineering var for det formålet: bekjempelse av skurkene. Mot de som sender skadelig programvare, nektelse av tjenesteangrep. Men vi er de med den hvite hatten sammenlignet med de med den svarte hatten. Jeg benekter ikke at arbeidet vårt er komplisert, fordi angripere har tilgang til forsvaret vårt.
“Det første de lærer er hva slags sikkerhet de har for å bryte. Det er utgangspunktet for en angriper. Og når de vet det, bestemmer de seg for hvordan de skal gå inn. De har mye tid til å forberede seg … og vi lite til å svare. Vi hører alltid dårlige nyheter om datasikkerhet, om angrep, lekkasjer eller om brukere som gjør dumme ting, bruker det samme passordet for alt, åpner ondsinnede lenker. Men hvor var vi for 10 år siden? Det har vært store fremskritt innen sikkerhet. For et tiår siden brukte mange brukere Windows XP, som som standard ikke en gang hadde en brannmur.
“Når det gjelder sikkerhet, har vi kommet langt. Vi tar store fremskritt, men dessverre utvikler fienden seg også med tiden. Kanskje tiden er inne for å møte fienden, forstå ham. Men som ofte er det lettere sagt enn gjort. Sluttbrukeren har ingen forestilling om hvem som står bak angrepene. Det er hacktivister, kriminelle, hvite caps, regjeringer, ekstremister … det er alle slags hackere. Vi har folk som Charlie Miller og Chris Vallasek. De hacker fordi de vil forbedre sikkerheten. Anonymus har en grunn til politisk protest. Kriminelle vil tjene penger ved å skrive virus. Og regjeringer er også interessert i dette fordi nettangrep legger opp til dem. De er effektive, de er ikke dyre og de er ubestridelige. Det er en perfekt kamp når du tenker fra et militært synspunkt. Når du har et billig, effektivt og ubestridelig våpen, har du den perfekte blandingen. Det er grunnen til at forandringsøyeblikket begynner nå ».
Et nytt cybervåpenløp starter
Vi er i begynnelsen av neste væpnede kamp. Vi har sett atomvåpenkappløpet. Vi er nå inne i cybervåpen. Det har startet og vil bli der i årevis. Det vil ta flere tiår å snakke om nettnedrustning. Og fra regjeringenes synspunkt er det ikke bare militæret, men også sikkerhetsstyrkene. Hvis noen hadde fortalt meg at politiet ville ha virus for å smitte innbyggerne, hadde jeg ikke trodd det, men det er slik. Jeg har ikke noe problem med at regjeringer bruker støtende teknologi for å etterforske forbrytelser og jakte på terrorister. Du må gå for dem i den fysiske verdenen og i den elektroniske verdenen. Men hvis vi som borgere gir rett til sikkerhetsstyrkene, må vi be om åpenhet. Denne støtende nettmakten må bety at sikkerhetsstyrkene publiserer statistikk. Vi smittet 200 datamaskiner med skadelig programvare og 150 var fra mennesker som var dårlige og ble dømt. Men det kan også være motsatt. Det er ingen åpenhet, og derfor kan vi ikke ta beslutninger om dette. Men den største gruppen som tjener penger på angrep, er kriminelle. De er mennesker som tjener mye og blir forfulgt.
De siste nettkriminalitetstrendene for å tjene penger på din bekostning
“En av de siste trendene innen nettkriminalitet har vært trojanere for å stjele bitcoins og digitale valutaer. Vi vet at oppfinnelser er åpenbare … når de blir oppfunnet. Det er de beste. Takket være blockchain-teknologi kan transaksjoner utføres automatisk uten inngrep fra noen andre. Bitcoin og blockchain er ikke dårlig. De er gode som penger. Problemet er at kriminelle også vil ha pengene, enten de er fysiske eller virtuelle. Det er vanskelig å kjøpe kokain med kredittkort. Men med bitcoin er det lettere. For kriminelle er bitcoin som en gave fra himmelen. Dette er grunnen til at det er så mye Trojan boom. Vi følger for tiden 110 forskjellige grupper som konkurrerer om de samme ofrene. Og ikke alle grupper er fra Russland, det er også noen fra Ukraina.
Hvordan søker de etter ofrene sine? Først gjennom utnyttelser som infiserte en datamaskin ved å åpne en lenke. I dag er den vanligste måten gjennom et Word-dokument og et e-postvedlegg. Dette begynte å bli gjort i 2008 gjennom makroen. Og nå er det tilbake. Så de som kan motta flere angrep, er personalavdelingene som mottar infiserte CVer som har lenker for å utvide informasjonen. Microsoft må endre navnet på knappen i stedet for å aktivere innhold, det må si 'infisere systemet mitt' "-slakt fra publikum-.
Dataviruset som 'tilgir deg' hvis det smitter to venner
«Det har til og med vært en ransomware - programvaren som kaprer en datamaskin ved å kryptere informasjonen - som ber om $ 1.300, men du kan redde deg selv ved å infisere to andre maskiner. Du må smitte to personer som ender med å betale løsepenger. Det er popcorn. Hvert offer har en unik url, så hvis du sender den til Facebook, er mange mennesker smittet. Han er veldig kreativ og smart. La oss komme tilbake til disse gutta etter ransomware. "
Nettangrepet mot LinkedIN gjorde nettkriminellen som gjorde det til millionær
«Det var et LinkedIN-hack i 2012, og hvis du var i det …. de stjal nøklene dine. Så hvis du hadde en konto på dette sosiale nettverket, ble den stjålet av en nettkriminell som nå alle vet - han har vist sitt bilde. Jeg var et av hans ofre. Han har ennå ikke fått noen dom, selv om han blir arrestert mens han er på ferie i Praha sammen med kjæresten, og håper at han vil bli utlevert til USA. Hva har det med tyveri av 130 millioner passord å gjøre? Vel, andre nettkriminelle ville komme til dem. Hvor mye kan du tjene salgspassord? Jeg vet ikke. Men ved å se på en video på YouTube kan vi få en idé. Snakk om ferien din med supersportsbiler som Audi R8 og Lamborghini Hurracane. I tillegg ser man at han har en Mercedes, en Aston Martin, en Porsche, en Rolex og en Rolls Royce. Så hvor mye tjente han? Vel, jeg vet ikke, men nok ».
«Hvis du får disse nøklene, kan du få tilgang til 1,3 millioner Gmail-kontoer. Fordi de alle har samme passord som i linkedIN. Vi har spurt og 50% av brukerne bruker samme passord på alle nettsteder. Det er ganske dumt. Så når de går inn i Gmail ser de etter gamle e-poster. Gmail sletter dem aldri, og de søker etter en bestemt type. De du mottar når du registrerer deg i en Internett-butikk, for eksempel Amazon. Så de vet at du har en konto med denne e-postadressen, for eksempel Amazon. Og hvis passordet ditt ikke fungerer, spiller det ingen rolle. Fordi alle påloggingssidene har en magisk knapp "Jeg har glemt passordet mitt" og hvordan de har tilgang til Gmail … vel, de får tilgang til det. Når de har fått tilgang til Gmail, har de tilgang til alt. De kan kjøpe Xbox, Palystation, og du skal betale for det ».
Det fryktede tingenes internett
«En annen stor utfordring i våre hender er den lyse fremtiden til Internet of Things og ICS, det industrielle kontrollsystemet. Dermed har han vist en atomreaksjon som foregår i et svømmebasseng. Hvorfor viser jeg denne videoen? Vel, fordi det er et eksempel på industriell kontroll. Denne reaktoren styres av en PLC, en programmerbar robot. All infrastruktur administreres av datamaskiner og programvare. Du må være tydelig på det. Vi er fra datasikkerhet, og i mange år trodde jeg at jeg måtte sikre datamaskiner. Men nå vet jeg ikke. Vår jobb er ikke å sikre datamaskiner…. Den består i å gi trygghet til hele samfunnet. Det er på tide å endre måten du ser verden på. Og det er så mange ting, og det er snakk om så mange ting om IOT- og ICS-risiko, og den første er at disse tingene kobles til internett, selv om de ikke trenger å koble til. Disse tingene gir tilgang til det som ligger bak. Det er mange fabrikksystemer som ved en feiltakelse kobler seg til Internett.
Slik har han vist et krematorium på nettet, soverom sett gjennom sikkerhetskameraer … «En venn av meg finner ting som en båt tilkoblet uten passord. Også gardiner og persienner. Og min venn sier at når man kan åpne og lukke gardiner på internett, betyr det at tingens internett ikke er i fremtiden. Er her. Og de er vektorer. Du kan få tilgang til en lyspære som lar deg nå andre systemer. Du setter en kaffetrakter med Wi-Fi, og det blir det svakeste leddet i kjeden, og en dag våkner du og har alle datamaskinene dine kryptert. Å gjøre? "Bruk aldri en enhet uten å ha sterke passord."
“Mirai-skadelig programvare smittet 120 millioner IOT-enheter, men eierne brydde seg ikke. Vi snakker med dem. Sikkerhetskameraet ditt er blitt hacket … og de svarte ja, hva kult? Men det fungerer greit. Hvis det fungerer, bryr folk seg ikke om det brukes til et angrep. Og det tristeste er at det brukte få passord som alle enhetene brukte. Og de brukte også Telnet - et system fra 80-tallet - fordi det ikke var kryptert ».
Elektroniske enheter må reguleres. Hvis de ikke er trygge, må du kunne gjøre krav på det
“Du må investere i sikkerhet. Vi regulerer fysisk sikkerhet og online sikkerhet må reguleres. Jeg snakker ikke om en som fastsetter apparatbestemmelser. Men det er nødvendig å regulere at produsenten blir saksøkt for problemene den skaper. Hvis du har en vaskemaskin med kortslutning, må du fikse den. Og hvis du ikke kan saksøke henne, og det må oppnås i nettverdenen. At du kan saksøke for et sikkerhetsbrudd.
Tiden er inne for nettvåpen og nettnedrustning
«Jeg har snakket om regjeringer og deres hacking. Vi har et sete på første rad i utplasseringen av angrep mot USA i presidentvalget. Russland prøvde å påvirke utfallet av valget til verdens største makt. Det er et intervju i Bloomber med Putin flere måneder før, men det var allerede kjent. Så de spurte ham, hvem hacket demokratene? Spiller det noen rolle? Det viktige er innholdet i e-postene. Ikke distraher publikum om hvem som gjorde det. Er dette nettkrigføring? Ikke".
Ukrainske soldater drept etter at mobilen ble smittet … og ble geoposisjonert
Men for to måneder siden så ukrainske soldater telefonen sin infisert med skadelig programvare, de var plassert og artilleriet knuste dem. Jeg snakker om tåken til nettkrigføring. Dette våpenkappløpet i et bestemt land, du kan vite hvor mange stridsvogner et land har…. Men i cybercapacides ingen anelse. Vi vet at USA er bra, at det har blitt investert mer penger i lengre tid for å montere cyberforsvarskapasitet, at Israel, Russland, Kina er veldig gode. Men så er alt veldig tåkete, hva er Sveriges cyberoffensive kapasitet? Spania? Vietnam? Ingen anelse. Det er nettkrigståken. Det er derfor det er veldig forskjellig fra atomvåpenkappløpet. Hans kraft var ikke i hans bruk, men i hans evne til å skape frykt. Hiroshima og Nagasaki var klare eksempler. Det handler ikke om å bruke det, men om å vise at du har dem. Alle vet at når et land har det våpenet, sliter ingen med det.
Med cyberkrigståken vet ingen noe. Kraften til nettvåpen er ikke uenig. Derfor ser vi dem. Stuxnet og hacking av strømnettet i Ukraina i 2015 eller de ukrainske soldatene som døde på slagmarken i 2016.
Kraften til nettvåpen er i deres bruk. Cybervåpen er lett tilgjengelig og har mye kraft. Stuxnet kunne ikke oppnås med ren militær evne. Hvis det var snakk om å forsinke det iranske atomprogrammet, kunne landet bli invadert til en høy pris, også i liv, eller anlegget kunne bli bombet. Eller du kan skrive stuxnet som koster en million. Og det kostet det samme som en B52-utgang. Men i motsetning til denne er den ikke synlig.
Hackere forsvarer ikke lenger datamaskiner … nå forsvarer de verden
«Dette er verden vi lever i i dag. Vi er alle sikkerhetsfolk. Vi trodde at jobben vår er å gi datamaskiner sikkerhet. Men ikke nå lenger. Nå er dette arbeidet fra nå av å gi samfunnet trygghet, og vi må ta det veldig seriøst fordi vi har et stort ansvar, mer enn vi tenker mye fordi vi er de som forsvarer samfunnet vårt ».
Du kan se flere artikler som dette i OneMagazine.