Znajdź zawartość

Inspektor Generalny ds. NASA poinformował Kongres, że w latach 2010-2011 agencja doświadczyła 5408 różnych incydentów dotyczących bezpieczeństwa. Jednym z nich było utracenie w marcu ubiegłego roku laptopa zawierającego algorytmy służące do kontrolowania Międzynarodowej Stacji Kosmicznej. Incydenty te dotyczyły bardzo szerokiego spektrum wydarzeń, od osób prywatnych sprawdzających swoje umiejętności i próbujących włamać się do sieci NASA, poprzez dobrze zorganizowane grupy przestępcze włamujące się dla zysku, po ataki, które mogły być organizowane przez obce służby wywiadowcze - czytamy w oświadczeniu Paula Martina. Niektóre z tych ataków dotknęły tysięcy komputerów, powodując zakłócenia prowadzonych misji i zakończyły się kradzieżami danych, których wartość NASA ocenia na ponad 7 milionów dolarów - stwierdzono. Nie wiadomo, jak ma się liczba ataków na NASA do ataków na inne amerykańskie agendy rządowe. Inspektor Generalny ds. NASA jako jedyny spośród kilkudziesięciu inspektorów regularnie zbiera informacje na temat cyberataków z zagranicy. Wśród wpadek Agencji Martin wymienił też zgubienie lub kradzież 48 mobilnych urządzeń komputerowych, które NASA utraciła w latach 2009-2011. Jednym z nich był niezaszyfrowany laptop skradziony w marcu 2011, w którym znajdowały się algorytmy pozwalające na sterownie Międzynarodową Stacją Kosmiczną. Na innych utraconych komputerach znajdowały się dane osobowe czy informacje techniczne dotyczące programów Constellation i Orion. Co gorsza, NASA nie jest w stanie sporządzić szczegółowego raportu na temat utraconych danych, gdyż opiera się na zeznaniach pracowników informujących o zgubionych i skradzionych urządzeniach, a nie na faktycznej wiedzy o zawartości komputerów. NASA wdraża program ochrony danych, jednak, jak zauważa Martin, dopóki wszystkie urządzenia nie zostaną objęte obowiązkiem szyfrowania, dopóty incydenty takie będą się powtarzały.

Byli szefowie Nortela będą prawdopodobnie musieli gęsto się tłumaczyć. Prasa doniosła, że niegdysiejszy gigant telekomunikacyjny, który zbankrutował, a jego majątek i pracowników przejęli inni, przez niemal dekadę był szpiegowany przez cyberprzestępców. Hakerzy, najprawdopodobniej z Chin, po raz pierwszy uzyskali dostęp do sieci wewnętrznej Nortela w roku 2000. Wykorzystali przy tym siedem nazw użytkownika i haseł ukradzionych menedżerom firmy, w tym jej prezesowi. Jak ujawnił Brian Shields, który przez 19 lat pracował w Nortelu i prowadził wewnętrzne śledztwo w sprawie włamania, przez całe lata przestępcy kradli z serwerów firmy dokumentację techniczną, raporty dotyczące nowych technologii, e-maile oraz plany biznesowe. Mieli dostęp do wszystkiego. Mieli dużo czasu. Jedyne, co musieli zrobić, to zdecydowanie, co chcą zabrać - powiedział Shields. Zdradził on również, że Nortel nie zrobił nic, by przeszkodzić włamywaczom. Jedyne podjęte działanie to zresetowanie ukradzionych haseł. Przedstawiciele Nortela odmówili skomentowania powyższych informacji. Obecnie zajmują się oni sprzedażą reszty majątku firmy, która w 2009 roku złożyła wniosek o upadłość. Z informacji uzyskanych od Shieldsa i inne osoby zaangażowane w śledztwo wynika, że Nortel nie tylko nie zabezpieczył swoich urządzeń, które padły ofiarami ataku, ale nawet nie poinformował o włamaniu firm, którym sprzedaje swój majątek. Nabyły go takie firmy jak Avaya Inc., Ciena Corp., Telefon AB L.M. Ericsson oraz Genband. Nie można wykluczyć, że w kupionym przez nie sprzęcie, oprogramowaniu czy dokumentacji nie znajdują się np. rootkity czy inny rodzaj szkodliwego kodu, który teraz będzie im zagrażał. Jacob Olcott z firmy Good Harbor Consulting, która specjalizuje się w doradztwie dotyczącym bezpieczeństwa mówi, że nie ma wymogu prawnego, by informować o włamaniach firmy, które przejmują przedsiębiorstwo będące ofiarą ataku. To przejmujący powinien się o takie rzeczy zapytać. Jednak z drugiej strony Nortel był notowany na amerykańskiej giełdzie, a Komisja Giełd (SEC) wymaga ujawniania inwestorom ryzyk „materialnych“ oraz związanych z różnymi wydarzeniami. Olcott zauważa, że coraz więcej firm zdaje sobie sprawę z faktu, że cyberataki niosą za sobą materialne niebezpieczeństwo. SEC wydał w ubiegłym roku instukcję, w której zauważa, że ataki mogą mieć materialne skutki oraz że firmy powinny zawsze sprawdzać, czy takie skutki miały miejsce. Dwóch z byłych menedżerów Nortela odmówiło komentarza. Trzeci, Mike Zafirovski, stwierdził, że włamanie nie stanowiło poważnego problemu, a teoria o ryzyku dla firm, które nabyły majątek Nortela jest „bardzo, bardzo naciągana“. Jednak pracownicy, którzy prowadzili śledztwo są innego zdania. Zauważają, że duża liczba pecetów i notebooków Nortela trafiła do wymienionych firm. Część z nich na pewno nie została sprawdzona pod kątem ewentualnego włamania przed podłączeniem ich do sieci Avaya. Pracownicy określili liczbę takich „ryzykownych“ komputerów na wiele setek.

Dziennikarz Michael Morisy z serwisu MuckRock.com, powołując się na ustawę FOIA, wysłał do FBI zapytanie ws. programu firmy Carrier IQ, który jest zainstalowany na 140 milionach smartfonów i stał się przyczyną niedawnego skandalu oraz oskarżeń o szpiegowanie użytkowników. Freedom of Information Act (FOIA), to potężne narzędzie w rękach obywateli USA. Podpisana w 1966 roku ustawa określa, na jakich zasadach udostępniane są informacje kontrolowane przez rząd, opisuje procedury ich ujawniania oraz wymienia 9 sytuacji, w których można odmówić dostępu do danych. W swoim wniosku Morisy domaga się dostępu do wszelkich podręczników, dokumentów i innych źródeł pisanych używanych do uzyskania dostępu lub wykorzystywanych podczas analizowania danych zebranych przez oprogramowanie stworzone lub dostarczone przez Carrier IQ. Odpowiedź nadeszła po tygodniu. FBI, powołując się na odpowiednie zapisy ustawy, odmówiło udostępnienia posiadanych przez siebie dokumentów, gdyż są one wykorzystywane w toczącym się obecnie śledztwie i ich ujawnienie mogłoby zaszkodzić postępowaniu. Tym samym FBI przyznało, że posiada informacje dotyczące kontrowersyjnego oprogramowania Carrier IQ. To może oznaczać, że Biuro z niego korzysta. Możliwa jest również mniej sensacyjna interpretacja. Niewykluczone, że FBI prowadzi śledztwo przeciwko Carrier IQ. Sama firma twierdzi, że nigdy nie udostępniała żadnych danych FBI. W wydanym oświadczeniu stwierdziła, że zbierane informacje nie nadają się dla organów ścigania, gdyż są to dane historyczne, na podstawie których nie można w czasie rzeczywistym stwierdzić, gdzie dana osoba przebywa i co robi. Jednak w szczegółowym dokumencie, opisującym działanie swojego oprogramowania, Carrier IQ przyznało, że do niedawna w programie istniał błąd, który pozwalał na przechwytywanie SMS-ów. Jeśli nawet stwierdzenia te są prawdziwe, otwarte pozostaje pytanie, czy Biuro miało jakiś dostęp do danych zbieranych przez oprogramowanie, czy też odmówiło Morisy'emu informacji, gdyż prowadzi śledztwo przeciwko Carrier IQ.

Jak zdradził Sven Juerss, szef firmy Microdrones, jego firma dostarczyła Google'owi pierwszego drona (samolot bezzałogowy - UAV) i ma nadzieję, że po udanych testach wyszukiwarkowy gigant zakupi dziesiątki innych tego typu urządzeń. Drony niemieckiej firmy były dotychczas używane m.in. przez brytyjską policję i siły specjalne do zadań wywiadowczych. UAV dobrze sprawdzą się w dostarczaniu świeższych danych do Google Earth - mówi Juerss. Oczywiście wykorzystywanie dronów przez Google'a może budzić obawy o prywatność i chęć stworzenia bardzo inwazyjnej wersji Street View. Zdarzało się bowiem, że samochody fotografujące ulice wjeżdżały na tereny prywatne, na których nie powinny się znaleźć. Drony będą mogły bez przeszkód latać wszędzie i wszystko fotografować. Będą też trudne do zauważenia. W wielu krajach używanie tego typu sprzętu nie jest regulowane żadnymi przepisami, bądź też można doń odnieść jedynie przepisy dotyczące modelarstwa. Na przykład w Wielkiej Brytanii szpiegowskie drony dopiero niedawno ujęto w pewne kategorie prawne. Gdy policja kupiła takie pojazdy i zrobiło się głośno, parlament zdecydował, że każdy samolot zdolny do prowadzenia działań wywiadowczych musi być rejestrowany. Sam fakt, że drony są używane przez siły specjalne świadczy o przydatności tego typu pojazdów w zadaniach wywiadowczych.

Google przyznał, że od 2006 roku jego pojazdy wykonujące fotografie na potrzeby usługi Street View przechwytują prywatne dane z niezabezpieczonych sieci Wi-Fi. Sprawa wyszła na jaw, gdy niemieccy urzędnicy postanowili sprawdzić, jakie dane zbierają samochody Google'a. Wyszukiwarkowy koncern stwierdził, że błąd programistyczny spowodował, iż samochody te są w stanie zarejestrować, i rejestrują, dane z niezabezpieczonych sieci bezprzewodowych. Nagrano je we wszystkich państwach, w których pojawiły się pojazdy Google'a. W Niemczech działania takie są nielegalne. Na podstawie posiadanych przez nas informacji możemy stwierdzić, że Google z naruszeniem niemieckiego prawa nielegalnie nagrywał dane przepływające w prywatnych sieciach. To alarmujący kolejny dowód na to, że koncepcja prywatności jest dla Google'a czymś obcym - mówi Ilse Aigner, niemiecka minister zajmująca się m.in. ochroną konsumentów. Oburzony jest też Johannes Caspar, który nadzoruje ochronę danych w Hamburgu i z ramienia rządu niemieckiego zajmuje się najnowszym skandalem z udziałem Google'a. Caspar wspomina, że gdy w bieżącym miesiącu dokonywał inspekcji samochodu Google'a wykorzystywanego do robienia zdjęć, zauważył, iż z pojazdu usunięto dysk twardy na którym nagrywane były dane. Gdy zapytał o usunięte urządzenie odpowiedziano mu, że i tak nie mógłby sprawdzić jego zawartości, gdyż jest ona szyfrowana. Jednak wskutek jego nacisków Google dokładnie zbadało zawartość dysku i przyznało się do nagrywania sieci Wi-Fi. "Cieszę się, że zabawa w kotka i myszkę się skończyła" - mówi Caspar. W niewinność Google'a wątpi Peter Schaar, członek panelu doradzającego Komisji Europejskiej w kwestii prywatności. "A więc to wszystko jest wynikiem prostej pomyłki, błędu w oprogramowaniu. Dane były zbierane i przechowywane wbrew intencjom menedżerów Google'a. Jeśli przyjmiemy takie tłumaczenie, to musimy uznać, że oprogramowanie zostało zainstalowane i używane bez przeprowadzenia wcześniej odpowiednich testów. Olbrzymie ilości danych zostały przez pomyłkę nagrane, a nikt w Google'u tego nie zauważył. Nie zauważyli tego nawet menedżerowie, którzy jeszcze przed dwoma tygodniami bronili firmowej polityki ochrony danych" - mówi Schaar. Jeszcze niedawno przedstawiciele Google'a, na pytanie niemieckiego rządu o to, jakie dane z prywatnych sieci Wi-Fi są zbierane przez firmę (ich kolekcjonowanie jest przydatne przy usługach geolokalizacyjnych), odpowiadali, że samochody Google Street pobierają tylko dwie informacje - publicznie nadawany adres MAC urządzenia oraz nazwę sieci przypisaną jej przez użytkownika (SSID). Teraz okazuje się, że nie było to prawdą.

Od połowy grudnia zeszłego roku użytkownicy windowsowej wersji Skype'a byli szpiegowani przez swoją aplikację. Skype odczytywał ustawienia BIOS-u komputera i zapisywał numer seryjny płyty głównej. Na blogu Skype'a, Kurt Sauer, odpowiedzialny za bezpieczeństwo, zapewnia, iż jest to funkcja zaimplementowana przez firmę EasyBits Software. Ma to być pewien rodzaj oprogramowania DRM, którego zadaniem jest ochrona komercyjnego oprogramowania, takiego jak np. wtyczki do Skype'a, przed nielegalną dystrybucją czy użyciem. Oprogramowanie znajdujące się w trzeciej wersji Skype'a odczytuje dane z BIOS-u, identyfikując w ten sposób maszynę. Skype informuje, iż EasyBits DRM nie funkcjonował na miarę oczekiwań, dlatego też pojawiła się nowa wersja aplikacji, oznaczona numerem 3.0.0.216 i pozbawiona tej funkcjonalności. Nie wiadomo natomiast, jakie zaszyfrowane informacje przesyłały starsze wersje Skype'a 3. Autorzy oprogramowania zapewniają, iż użytkownicy komunikatora nie będą więcej narażeni na szpiegowanie. Usunięcie funkcji DRM ze Skype to dobry początek Skype'a. Teraz czas chyba na przeprosiny i poinformowanie użytkowników o losach zebranych do tej pory informacji.