Dobrý den pane Šinágle,
se zájmem jsem si přečetl rozhovor s E. Mataniou - Internet mohl být dávno bezpečnější. Hledal jsem mezi řádky něco nového. Pravděpodobně mají v Izraeli propracovaný systém vzájemného informování o nových pokusech o proniknutí do počítačového systému. Izraelci začali jako první budovat svoji kyberobranu a ostatní země je kopírovali. Jedna se, ale v podstatě o řešení následků. Zaklad problému je u výrobců, u softwarových firem. Před víc jak 10-15 lety zahájil Microsoft program MS Government Security Program. V rámci tohoto programu poskytl Micorosoft zdrojové kódy. Zdrojové kódy jsou základ, jsou to vlastně plány, výkresy od výrobku. Kdo má zdrojové kódy, ten v nich dokáže hledat případné slabiny. Microsoft tyto kódy oficiálně poskytl zemím EU/ NATO, ale také Rusku a Číně. To, že nemusí sloužit pouze pro studijní účely je víc než jasné.
Government Source Code Review Program Expanded to Office
Druhá část problému je skutečnost, že mnoho slabin ve Windows nebo prohlížeči Internet Explorer je společných i pro několik předchozích verzi. To je podobné jako by chyba v novém Superbu byla stejná s chybou ve staré Felicii. S těmi skrytými a dlouhodobými chybami souvisí zdrojové kódy poskytnuté cizím vládám. Pokud někdo dostal před 10-15 lety zdrojové kódy od operačního systému a našel chybu tak má velkou šanci, že tato chyba (zadní vrátka) bude společná i pro nejnovější verze, tedy od Windows XP až po 8.1 a 10.
Tedy poskytnutí zdrojových kódů pouze vybraným zemím a současně slabiny a nemodernizování těchto kódů jsou základní příčinou proč dochází k sofistikovaným útokům, které neodhalí antivirový program a často je neodhalí ani profesionální týmy s nejlepším vybavením.
Řešením je tlak na výrobce, aby modernizovali své zdrojové kódy a pak také kontrola programů (systémových souborů), které se v počítači, telefonu nebo jiném zařízení používají. Pokud bude kontrola jednotlivých souborů u zákazníka s parametry, který vydal výrobce, tak počítačové viry nebudou mít šanci a velmi bude omezen prostor pro hackerské útoky - https://www.slideshare.net/JiNapravnik/the-thee-laws - The Three Laws of Cyber Security
S pozdravem
Jiří Nápravník, 25.2.2017
P.S.
S panem Nápravníkem jsem se seznámil při besedě s eurokomisařkou Věrou Jourovou dne 17.2.2017 na VŠE v Praze - VŠE: „Atraktivní Evropa pro mladé“ s europoslankyní Dlabajovou a eurokomisařkou Jourovou. Vystoupil v diskuzi. Jeho příspěvek zaujal i eurokomisařku, do jejíž gesce tato problematika spadá. Projevila zájem o problematiku a slíbila mu, že se ozve. Zatím nemám informace, že svůj slib dodržela? Zasílám proto obratem její osobní asistence Anežce Macháčkové tento článek ve víře a naději, že eurokomisařka, v rámci svých nemalých pravomocí, začne ve věci účinně konat. Je to závažné téma i s ohledem na narůstající terorismus a potřebné zabezpečení kontroly informací, nejen mezi občany, ale i institucemi. Časté úniky informací i z nejvyšších míst, mohou mít právě původ ve slabinách zdrojových kódů.
Jan Šinágl, 7.2.2017
* * *
Samotný antivirus je k ničemu. Ochrana musí být komplexní, tvrdí Kaspersky
Ověření pravosti stránky, kontrola SSL klíče, zabezpečené ovladače klávesnice ... jsou jen některé technologie, které v novém Kaspersky Internet Security zabezpečují uživatele během internetového bankovnictví. Samotný antivirový program dnes už nestačí, tvrdí ruští experti.
Eugen Kaspersky minirozhovor
Jaká je největší budoucí hrozba v IT bezpečnosti?
Jsou dva nejhorší možné scénáře. V jednom dojde k napadení takzvaných SCADA systémů. To jsou speciální systémy, které řídí elektrárny, distribuční sítě, dopravní infrastrukturu a další klíčové prvky. V případě napadení těchto systémů může dojít k přímému ohrožení lidských životů a obrovským škodám. Druhým scénářem je napadení datové infrastruktury. Internetových sítí, mobilních sítí, bankovních sítí.
Probíhá u vás pro tyto případy nějaký speciální výzkum?
Ano. Máme prototyp speciálního operačního systému pro SCADA systémy. To je jediný způsob, jak zabezpečit chod kritických aplikací.
A jak zabezpečit sítě?
Tak to nemám tušení.
* * *
P.S.
Při vší úctě ke schopnostem ruské firmy (právě proto), je na místě opatrnost. Kdo nalezne „bezpečnou“ obranu, má jistě i možnosti „bezpečného“ útoku. J.Š.
P.S.
Podobné články se v posledních 10-15 letech objevují téměř pravidelně. Ještě tam chybí informace o nezkušených uživatelích a špatných heslech. Ve skutečnosti to vše by mohli tvůrci programů velmi ovlivnit. Přidám jeden příklad z automobilového prostředí. Bezpečnostní pásy, v podstatě od svých dětských let jsem slýchal, že je potřeba je používat, ale skutečnost byla trochu jiná. Nepomáhaly ani kontrolní akce policistů. V posledních letech přišli výrobci automobilů s kontrolou zapnutých bezpečnostních pásů, když si pás nezapnete, tak v autě bliká kontrolka a ozývá se nepříjemná zvuková výstraha. S používáním hesel v počítačích je to podobné jako s bezpečnostními pásy. Stačí, aby si to tvůrci operačních systémů uvědomili.
Jiří Nápravnik, 10.4.2017