H Ουάσινγκτον αποφάσισε να βάλει ιδιωτικές εταιρείες κυβερνοασφάλειας στην πρώτη γραμμή του πυρός, υπογράφοντας εκτελεστικό διάταγμα για επιθετικό hacking κατά εγκληματικών οργανώσεων. Το νέο αυτό κυβερνητικό “outsourcing” υπόσχεται δράση, αλλά κουβαλάει τεράστιους κινδύνους ασφαλείας και γεωπολιτικής κλιμάκωσης.
- Ο Λευκός Οίκος υπέγραψε εκτελεστικό διάταγμα που επιτρέπει σε ιδιωτικές αμερικανικές εταιρείες να πραγματοποιούν επιθετικές επιχειρήσεις (Cyber Effects) και υποκλοπές εναντίον χάκερ.
- Η συμμετοχή απαιτεί συμβάσεις με το Υπουργείο Δικαιοσύνης και το Υπουργείο Εσωτερικής Ασφάλειας, ενώ προβλέπεται αυστηρή κυβερνητική εποπτεία για την αποφυγή ακραίων κινδύνων.
- Ειδικοί του κλάδου, όπως ο Marcus Hutchins και ο Nick Carr της Microsoft, προειδοποιούν για προβλήματα στην απόδοση ευθυνών και κινδύνους αντιποίνων κατά των ίδιων των εταιρειών.
Οι κανόνες του νέου προγράμματος
Μέχρι σήμερα, ο ρόλος του ιδιωτικού τομέα στην κυβερνοασφάλεια ήταν αυστηρά αμυντικός. Οι εταιρείες έχτιζαν τείχη προστασίας, έκαναν forensic αναλύσεις και θωράκιζαν υποδομές, αφήνοντας τις αντεπιθέσεις και τις επιχειρήσεις εξουδετέρωσης σε κρατικές υπηρεσίες όπως η NSA ή το FBI. Με την υπογραφή της νέας εντολής του Λευκού Οίκου, αυτοί οι ρόλοι θολώνουν επικίνδυνα.
Το νέο πλαίσιο χωρίζεται σε δύο βασικούς πυλώνες: τις επιχειρήσεις επιτήρησης (Cyber Surveillance Operations) και τις επιχειρήσεις επιδράσεων (Cyber Effects Operations). Στην πρώτη κατηγορία, μια ιδιωτική εταιρεία αποκτά το ελεύθερο να εισβάλλει σε ξένα συστήματα και υπολογιστές χωρις την άδεια του διαχειριστή τους. Στη δεύτερη, μπορεί ενεργά να διαταράξει, να υποβαθμίσει ή ακόμα και να καταστρέψει ψηφιακές υποδομές, συμπεριλαμβανομένων συστημάτων βιομηχανικού ελέγχου που ανήκουν σε κυβερνοεγκληματίες.
Φυσικά, δεν πρόκειται για «άγρια Δύση». Οι επιχειρήσεις αυτές δεν μπορούν να γίνουν αυτεπάγγελτα· απαιτείται έγκριση από αξιωματούχους του Υπουργείου Δικαιοσύνης και του Υπουργείου Εσωτερικής Ασφάλειας, ενώ οι εταιρείες πρέπει να περάσουν από αυστηρό έλεγχο και να υπογράψουν ειδικές συμβάσεις. Ωστόσο, η μετάθεση τέτοιων κρατικών αρμοδιοτήτων σε εμπορικές οντότητες δημιουργεί ένα πρωτόγνωρο τοπίο στην παγκόσμια ψηφιακή σκακιέρα.
Τα κρίσιμα κενά και οι κίνδυνοι
Παρά τις δικλείδες ασφαλείας, κορυφαίες μορφές της κυβερνοασφάλειας χτυπούν καμπανάκι κινδύνου. Ο Marcus Hutchins, γνωστός για την αναχαίτιση του WannaCry, χαρακτήρισε ανοιχτά το εγχείρημα «πολύ κακή ιδέα» σε δηλώσεις του στο LinkedIn, τονίζοντας ότι η αμερικανική κυβέρνηση επιχειρεί απλώς να μετακυλίσει τον κυβερνοκίνδυνο σε ιδιώτες.
Το βασικότερο πρόβλημα είναι η απόδοση ευθυνών (attribution). Ο διευθυντής πληροφοριών απειλών της Microsoft, Nick Carr, επεσήμανε πόσο δύσκολο είναι να εντοπίσεις με ακρίβεια ποιος κρύβεται πίσω από μια επίθεση, σημειώνοντας ότι ακόμη και κρατικοί φορείς κάνουν συχνά λάθη. Ένα λάθος χτύπημα από ιδιωτική εταιρεία σε λάθος διακομιστές θα μπορούσε να προκαλέσει ακούσια διακρατική κλιμάκωση.
Επιπλέον, όπως τονίζει ο ανεξάρτητος ερευνητής Lukasz Olejnik, ενώ οι εταιρείες αποκτούν ασυλία βάσει του αμερικανικού δικαίου, δεν προστατεύονται από τα αντίποινα ξένων κυβερνήσεων ή άλλων hacking groups. Όταν μια εταιρεία λογισμικού περάσει στην αντεπίθεση, μετατρέπεται αυτόματα σε νόμιμο στόχο εκδίκησης, θέτοντας σε κίνδυνο τις υποδομές και τους πελάτες της παγκοσμίως.
Η άποψή μας στο TechNoid
Εμείς στο TechNoid πιστεύουμε ότι αυτό το εκτελεστικό διάταγμα είναι μια επικίνδυνη ολίσθηση που θολώνει τα όρια ανάμεσα στην εθνική άμυνα και τους μισθοφόρους του κυβερνοχώρου. Η αμερικανική κυβέρνηση αποδεικνύεται ανήμπορη να αντιμετωπίσει το οργανωμένο έγκλημα με τα παραδοσιακά μέσα και επιλέγει να “αγοράσει” επιθετική ισχύ από τον ιδιωτικό τομέα, αφήνοντας τις εταιρείες εκτεθειμένες στα αντίποινα. Αν θες να μάθεις περισσότερα για τις εξελίξεις στα δίκτυα, ρίξε μια ματιά στο TechNoid για αναλύσεις που κόβουν το sitemap της επικαιρότητας. Οι εταιρείες ασφαλείας πρέπει να προστατεύουν τα δεδομένα μας και όχι να παίζουν τον ρόλο του ψηφιακού σερίφη με κρατική βούλα και μηδενική κάλυψη εκτός συνόρων.
Συχνές Ερωτήσεις για το νέο πρόγραμμα επιθετικού hacking των ΗΠΑ
Τι προβλέπει το νέο εκτελεστικό διάταγμα των ΗΠΑ για το hacking;
Επιτρέπει σε ιδιωτικές εταιρείες κυβερνοασφάλειας να διεξάγουν υποκλοπές και επιθετικές επιχειρήσεις κατά ομάδων κυβερνοεγκληματιών.
Ποιες κυβερνητικές υπηρεσίες εγκρίνουν αυτές τις επιχειρήσεις;
Απαιτείται αυστηρή εποπτεία και έγκριση από αξιωματούχους του Υπουργείου Δικαιοσύνης και του Υπουργείου Εσωτερικής Ασφάλειας των ΗΠΑ.
Ποιοι είναι οι μεγαλύτεροι κίνδυνοι για τις συμμετέχουσες εταιρείες;
Οι εταιρείες κινδυνεύουν να γίνουν στόχος αντιποίνων από χάκερ ή ξένες κυβερνήσεις, καθώς η αμερικανική ασυλία δεν ισχύει εκτός συνόρων.
Τι είναι οι επιχειρήσεις Cyber Effects;
Είναι ενέργειες όπου μια ιδιωτική εταιρεία χειραγωγεί, διαταράσσει ή καταστρέφει συστήματα πληροφορικής εγκληματικών οργανώσεων.
Ποια είναι η θέση των ειδικών ασφαλείας για το μέτρο;
Ειδικοί όπως ο Marcus Hutchins και ο Nick Carr προειδοποιούν για υψηλό ρίσκο λαθών στην απόδοση ευθυνών και έλλειψη πραγματικής προστασίας των ιδιωτών.
Μπορούν οι εταιρείες να στοχεύσουν ξένες κυβερνήσεις;
Όχι, οι κανόνες απαιτούν την αποφυγή στόχευσης ξένων κρατών, αν και τα όρια ανάμεσα σε εγκληματίες και κρατικά καθοδηγούμενες ομάδες είναι συχνά δυσδιάκριτα.
Γιατί η αμερικανική κυβέρνηση προσφεύγει σε αυτή τη λύση;
Θέλει να αξιοποιήσει την καινοτομία και την ταχύτητα του ιδιωτικού τομέα για να αντιμετωπίσει την τεράστια αύξηση του διακρατικού εγκλήματος στον κυβερνοχώρο.
