פרסומת
אז לא היה אכפת לך שגוגל, אמזון, פייסבוק וסמסונג יצליחו לצלוט אתכם. אבל איך אתה מרגיש לגבי פושעי סייבר שמאזינים לשיחות חדר השינה שלך? הכספת 7 של WikiLeaks הקובץ מציע שבקרוב תוכלו לשחק מארח בפני מבקרים בלתי צפויים.
התוכנה הזדונית המסוכנת ביותר של סוכנות הביון המרכזית - מסוגלת לבצע פריצה כמעט את כל אלקטרוניקה צרכנית אלחוטית - יכולה כעת לשבת בידי גנבים וטרוריסטים. אז מה זה אומר עבורך?
מה הכספת 7?
קמרון 7 הוא קבר דלף של מסמכים הנוגעים ליכולות לוחמת הסייבר של סוכנות הביון המרכזית (CIA). חלק גדול מהתוכנה המתוארת בכספת 7 חושפת כיצד ה- CIA שולטת וסקרים באמצעות סמארטפונים, טאבלטים, טלוויזיות חכמות והתקנים אחרים המחוברים לאינטרנט. ב- 7 במרץ פרסמה WikiLeaks חלק קטן מהמסמכים.
מה צריך להפחיד את כולם: על פי WikiLeaks, ה- CIA איבדה שליטה על הכלים הללו. ועכשיו פושעים (כנראה) מחזיקים בהם. עם זאת, רבים מה- יצא לאור מעלולים (ישנם מעלים רבים שטרם פורסמו) הם כמעט חמש שנים ומאז טופלו.
כיצד פושעים משיגים כלי פריצה בארה"ב
לא כל מי שעובד בסוכנות ביון הוא חבר נושא כרטיס. ה- CIA ממקם באופן קבוע את התעסוקה לקבלנים פדרליים במגזר הפרטי. רבים מחברות הביון הפרטיות הללו, כמו HBGary, חסר הביטחון של ה- CIA.
אדוארד סנודן היה קבלן פדרלי
לדוגמה, בוז אלן המילטון הועסק קבלן NSA אדוארד סנודן, שהדליף במפורסם מסמכים הנוגעים לתוכניות המעקב הלא חוקיות של ה- NSA. בנוסף, בוז אלן המילטון ספג פריצה משנת 2011.
בהצהרה הרשמית שלה, WikiLeaks טענה (הדגש שלי):
נראה כי הארכיון היה הופץ בין האקרים וקבלני ממשל אמריקאים לשעבר בצורה לא מורשיתשאחד מהם סיפק ל- WikiLeaks חלקים מהארכיב.
חלק אחד מהציטוט בולט: הכלים הופצו ב"דרך לא מורשית ". ההשלכה צריכה להיות נוגעת לכולם בעולם. CIA ככל הנראה איבדה שליטה על תיק כלי פריצה של 100 מיליארד דולר.
אבל זו לא הפעם הראשונה ששחקנים פרטיים רכשו תוכנה מסוכנת ומפותחת על ידי הממשלה.
תולעת Stuxnet
לדוגמה, תולעת Stuxnet טלאי מיקרוסופט פריק וסטוקסנט, פייסבוק עוצרים את הרגשת השומן שלך [עידכון חדשות טכני]מיקרוסופט מטפלת בבעיות, פייסבוק כבר לא מרגישה שמנה, Uber רוצה נשים, לוח השנה של גוגל אייפון, פלייסטיישן נוחתת בסין ומשחקת נחש במזרקת מים. קרא עוד , תוכנה זדונית נוספת נשק, נפלה לידיהם של פושעי סייבר זמן קצר לאחר מכן גילוי 2010. מאז, Stuxnet מופיע מדי פעם כתוכנות זדוניות. חלק מכל מקום הימצאותו מתייחס לבסיס הקוד שלה. לדברי שון מקגורק, חוקר אבטחת סייבר קוד המקור של זמין להורדה.
אתה יכול להוריד את קוד המקור בפועל של Stuxnet עכשיו, ותוכל להחליף אותו מחדש ולארוז אותו מחדש, ואז אתה יודע, הצבע אותו חזרה לכל מקום אליו הוא הגיע.
זה אומר כמעט שכל קידוד יכול לבנות ערכת תוכנה זדונית מבוססת Stuxnet משל עצמם. חוסר השליטה של ה- CIA בארסנל הסייבר שלה מבטיח שהמעלולים ימשיכו לזרום לידיהם של פושעים, טרוריסטים ומדינות נוכלות. אין דוגמה טובה יותר מזו של ShadowBrokers.
מתווכי הצללים
בשנת 2016, ה- מתווכי צל קבוצת מכירות פומביות לשמצה של סדרת כלי פריצה מתוצרת המדינה. איך הם גנבו את הכלים זה הניחוש של מישהו, אבל איפה הם רכשו אותם ידוע: ה- NSA.
על פי ה- Intercept, מסמכים בתוך דליפת סנודן חבר את הכלים שנגזלו על ידי מתווכי הצללים לקבוצת האקינג המכונה Equation Group (EG). EG השתמשה בניצולים שנמצאו מאוחר יותר בתולעת Stuxnet בחסות המדינה - מה שמרמז מאוד על קשר בין ה- NSA ל- EG. בשילוב עם הכלים שהודלפו נראה כי ה- NSA ו- CIA אינם מסוגלים לשלוט בטכנולוגיות שלהם.
אבל האם זה אומר שהפרטיות והביטחון שלך נפגעים?
היסטוריה של ריגול על לקוחות
פרטיותך ואבטחתך הם כבר התפשר.
כמעט כל המוצרים החכמים המודרניים כוללים מיקרופונים. מכשירים מסוימים דורשים לחיצה על כפתור כדי להפעיל את המיקרופון או המצלמה. אחרים מקשיבים ללא הפסקה למילת המפתח. לדוגמה, מגוון הטלוויזיות החכמות של סמסונג הטלוויזיות החכמות האחרונות של סמסונג ישר משנת 1984 של ג'ורג 'אורוולפיצ'ר חדש בטלוויזיות החכמות האחרונות של סמסונג הכניס את הענק הקוריאני למעט מים חמים. מסתבר שהם האזינו לכל מה שאמרת ... קרא עוד להאזין, להקליט ולהעביר כל הזמן - כל זאת מבלי להסתמך על מעקב ממשלתי מתוחכם.
טלוויזיות חכמות הן בבעלות
הצהרת הפרטיות של סמסונג לגבי הטלוויזיות החכמות שלהם זה מטריד. למרות שסמסונג שינתה את תנאי השירות שלהם על מנת למנוע מחלוקת, ההצהרה המקורית, שנלכדה על ידי משתמש הטוויטר xor, הולך כדלקמן:
להלן הציטוט הרלוונטי של סמסונג (הדגש שלי):
אנא שימו לב שאם שלך מילים מדוברות כולל מידע אישי או רגיש אחר, מידע זה יהיה בין הנתונים שנלכדו ויועברו לצד שלישי באמצעות השימוש שלך בזיהוי קולי.
בקיצור, טלוויזיות חכמות שומעות את כל מה שאתה אומר. וסמסונג משתפת נתונים אלה עם צדדים שלישיים. עם זאת, ההנחה כי צדדים שלישיים אלה הם עסקים עם עניין מסחרי בלבד בשיחות שלך. ותמיד אפשר לכבות את הדבר.
לרוע המזל, הגרזן "Angeling Weeping" שפותח על ידי CIA גורם לכך שהטלוויזיה לא תוכל לכבות. אנג'ל בוכה מכוון לטלוויזיות החכמות של סמסונג. תיעוד הכספת 7 מתייחס לזה כאל מצב מזויף. מ WikiLeaks:
... אנג'ל בכי מציב את הטלוויזיה היעד במצב "מזויף", כך שהבעלים מאמין בכזב שהטלוויזיה כבויה כשהיא מופעלת. במצב "מזויף" הטלוויזיה פועלת כבאג, מקליטה שיחות בחדר ושולחת אותם דרך האינטרנט לשרת CIA סמוי.
סמסונג אינה לבד. אחרי הכל, פייסבוק, גוגל ואמזון (הסקירה שלנו על ההד Amazon Echo Review and GiveawayEcho של אמזון מציע שילוב ייחודי בין זיהוי קולי, עוזר אישי, בקרות אוטומציה ביתית ותכונות השמעת שמע במחיר של $ 179.99. האם ההד פורץ לקרקע חדשה או האם אתה יכול להשתפר במקום אחר? קרא עוד ) לסמוך גם על שימוש במיקרופונים של מכשירים - לרוב ללא לדעת הסכמת המשתמשים. לדוגמה, הצהרת הפרטיות של פייסבוק טוענת שהם משתמשים במיקרופון, אך רק כאשר המשתמש משתמש בתכונות "ספציפיות" של אפליקציית פייסבוק.
כיצד הטכנולוגיה מאפשרת מעקב לא חוקי
פגם האבטחה הגדול ביותר בסמארטפונים מודרניים הוא התוכנה שלה. על ידי ניצול פגיעויות אבטחה בדפדפן או במערכת הפעלה, התוקף יכול מרחוק לגשת לכל התכונות של מכשיר חכם - כולל המיקרופון שלו. למעשה, כך ה- CIA ניגשת לרוב הטלפונים החכמים של יעדיה: ישירות דרך רשת סלולרית או Wi-Fi.
WikiLeaks ' # קמרון 7 חושפת מספר רב של נקודות תורפה של ה- CIA בטלפונים אנדרואיד https://t.co/yHg7AtX5ggpic.twitter.com/g6xpPYly9T
- WikiLeaks (@wikileaks) 7 במרץ, 2017
מתוך 24 מעללי אנדרואיד שפותחה על ידי ה- CIA, הקבלנים שלה, וסוכנויות חוץ משתפות פעולה, ניתן להשתמש בשמונה לשליטה מרחוק בסמארטפון. אני מניח שברגע שנמצא בשליטה, מפעיל התוכנה הזדונית היה משתמש אז בשילוב של התקפות, תוך שילוב מרחוק גישה, הסלמת הרשאות והתקנה של תוכנות זדוניות מתמשכות (בניגוד לתוכנה זדונית שגרה ב- RAM).
הטכניקות המפורטות לעיל מסתמכות בדרך כלל על כך שהמשתמש לוחץ על קישור בהודעת הדוא"ל שלו. לאחר היעד לנווט לאתר נגוע, התוקף אז יכול להשתלט על הטלפון החכם.
תקווה שקרית: התיקים ישנים
בנימה של תקווה שגויה: מהפריצות שנחשפו בכספת 7, רובן קשורות למכשירים ישנים. עם זאת, הקבצים כוללים רק שבריר מסך הסכומים העומדים לרשות ה- CIA. ככל הנראה, פריצות אלה הן בעיקר טכניקות מיושנות ומיושנות, ש- CIA כבר לא משתמש בה. עם זאת, זו תקווה שקרית.
רבים מהניצולים חלים באופן נרחב על מערכות שבב (מה זה SoC? ז'רגון באסטר: המדריך להבנת מעבדים ניידיםבמדריך זה נחתוך את הז'רגון כדי להסביר את מה שאתה צריך לדעת על מעבדי סמארטפונים. קרא עוד ) ולא לטלפונים בודדים.
לדוגמה, בגרפיקה שלמעלה, ניצול הכרונוס (בין היתר) יכול לפרוץ את ערכת השבבים של Adreno. פגם האבטחה מקיף כמעט את כל הטלפונים החכמים המבוססים על מעבדי קוואלקום. שוב, קחו בחשבון שפחות מאחוז מתוכן הכספת 7 שוחרר. ככל הנראה ישנם מכשירים רבים נוספים הפגיעים לחדירה.
עם זאת, ג'וליאן אסאנג 'הציע לעזור לכל התאגידים הגדולים תקן את חורי האבטחה נחשף על ידי קמרון 7. בכל מזל, Assange עשוי לשתף את הארכיון עם אנשים כמו מיקרוסופט, גוגל, סמסונג וחברות אחרות.
מה הכספת 7 פירושה עבורך
המילה עדיין אינה מופעלת מי בעל גישה לארכיון. אנחנו אפילו לא יודעים אם הפגיעויות עדיין קיימות. עם זאת, אנו יודעים כמה דברים.
רק אחוז אחד מהארכיון פורסם
ואילו גוגל הודיעה על תוקנה רוב של ה פגיעויות אבטחה המשמשות את ה- CIA, פחות מאחוז אחד מקבצי הכספת 7 שוחררו. מכיוון שרק ניצולים ישנים יותר פורסמו, סביר להניח שכמעט כל המכשירים פגיעים.
המנצלות ממוקדות
העלילות ממוקדות לרוב. המשמעות היא ששחקן (כמו ה- CIA) צריך למקד ספציפית לאדם על מנת להשיג שליטה על מכשיר חכם. שום דבר בתיקי הכספת 7 לא מצביע על כך שהממשלה גורפת בהמוניהם שיחות שנאספו מהמכשירים החכמים.
פגיעויות באחריות סוכנויות מודיעין
סוכנויות ביון אוגרות פגיעויות ואינן חושפות הפרות אבטחה כאלה לתאגידים. בגלל אבטחת פעולות מזוהמות, רבים מהניצולים הללו מפנים את דרכם בסופו של דבר לידיהם של פושעי סייבר, אם הם כבר לא שם.
אז אתה יכול לעשות משהו?
ההיבט הגרוע ביותר של גילויי הכספת 7 הוא זה לא תוכנה מספקת הגנה. בעבר, תומכי הפרטיות (כולל סנודן) המליצו להשתמש בפלטפורמות העברת הודעות מוצפנות, דוגמת Signal, על מנת למנוע התקפות של איש באמצע מהי התקפה של אדם באמצע? הוסבר שפה הביטחוןאם שמעתם על התקפות "איש-באמצע", אך אינך בטוח לגמרי מה זה אומר, זה המאמר בשבילך. קרא עוד .
עם זאת, בארכיונים של הכספת 7 עולה כי התוקף יכול לרשום את הקשות הטלפון. כעת נראה ששום מכשיר המחובר לאינטרנט אינו נמנע ממעקב בלתי חוקי. למרבה המזל, ניתן לשנות טלפון כדי למנוע את השימוש בו כבאג מרחוק.
אדוארד סנודן מסביר כיצד להשבית פיזית את המצלמה והמיקרופון שנמצאים על גבי סמארטפון מודרני:
בהתאם לדגם הטלפון, השיטה של סנודן מחייבת הסרת הלחמה פיזית של מערך המיקרופון (מכשירים לביטול רעש משתמשים בשני מיקרופונים לפחות) ומנותקים את כונן הפונה הקדמי וגם הפונה לאחור מצלמות. לאחר מכן אתה משתמש במיקרופון חיצוני, במקום במיקרופונים המשולבים.
עם זאת, אני מציין כי אין צורך לנתק את המצלמה. בעלי אופי פרטיות יכולים פשוט להחמיץ את המצלמות באמצעות קלטת.
מוריד את הארכיון
מי שמעוניין ללמוד עוד יכול להוריד את מכלול המזבלה של Vault 7. WikiLeaks מתכוונת לשחרר את הארכיון בגושים קטנים במהלך 2017. אני חושד כי כותרת המשנה של הכספת 7: אפס שנה מתייחסת לגודל גודל הארכיון. יש להם מספיק תוכן בכדי לשחרר dump חדש מדי שנה.
אתה יכול להוריד את המלא סיקור מוגן באמצעות סיסמה. הסיסמה לחלק הראשון של הארכיון היא כדלקמן:
שחרור: ביטוי סיסמה של פתיחת אפס ל- CIA Vault 7 שנים:
SplinterItoToousand חתיכות ו SpatterIto TheWinds
- WikiLeaks (@wikileaks) 7 במרץ, 2017
האם אתה מודאג מאובדן השליטה של ה- CIA בכלי הפריצה שלהם? נודיע בתגובות.
קרדיט תמונה: hasan eroglu דרך Shutterstock.com
קאנון הוא עיתונאי טק (BA) בעל רקע בעניינים בינלאומיים (MA) עם דגש על פיתוח כלכלי וסחר בינלאומי. תשוקותיו הן בגאדג'טים המקוריים בסין, בטכנולוגיות מידע (כמו RSS) וטיפים וטריקים של פריון.