Varför sker dataintrång så ofta?

Nyheterna är späckade med rapporter om enorma dataintrång. En snabb undersökning av de senaste åren avslöjade en enorm mängd skadliga dataintrång som avslöjade allt från kreditkort (Target) till personnummer, arbetshistorik (OPM-brott) och kreditkortsnummer (Experian). En intresserad observatör kanske undrar hur hårt dessa företag försöker skydda din data.

Om du frågar kommer du att få reda på att företag gör allt de kan för att skydda sina system. En stor attack kostar mycket pengar och försämrar kundernas förtroende.

Att säkra datorsystem är dock radikalt svårt. Om du glömmer murbruket på en enskild tegelsten kommer ditt hus förmodligen inte att ramla ner. Men inom datasäkerhet är det precis vad som händer.

Säkerhet är komplicerat

Säkerhetssystemens komplexitet kan vara överraskande för den oinvigde. Om det bara fanns en stor ”Hackers Off”-brytare.

Även om ingen utbildad person föreställer sig att säkerhet är så enkel, är den verkliga komplexitetsnivån svår att förstå. Miljontals rader kod för att beskriva tusentals funktioner fungerar i ett fåtal ramverk och interagerar med ett enormt utbud av kompletterande system. Även när de är perfekt kodade representerar var och en av dessa linjer, funktioner, ramverk och anslutningar ett potentiellt säkerhetsbrist, eller ”attackvektor”, som kan utnyttjas.

Inom säkerhet kallas summan av möjligheterna till kompromiss ”attackytan”. Även när applikationer innehåller de mest känsliga uppgifterna är deras attackyta skrämmande enorm. Komplexiteten hos moderna applikationer förbjuder någon annan verklighet.

Öppen källkod är en risk

En stor majoritet av Internet körs på programvara med öppen källkod. Den här programvaran underhålls av frivilliga, utan några formella regler för kodgranskning utöver de som de själva har satt upp. Planerna baseras på tillgången på obetalda medlemmar, deras expertis och deras intressen.

Å ena sidan är öppen källkod viktigt. Vi kan inte låta alla kodare säkra hjulet igen. Och verkligen, de människor som bygger och underhåller de vardagliga projekt med öppen källkod som stöder Internet är värda att kanoniseras. Men volontärbasen i många projekt med öppen källkod innebär att blinda förväntningar på säkerhet och interoperabilitet är en allvarlig risk.

Även om viktiga projekt ofta får ekonomiskt stöd från företag, är det stödet ofta otillräckligt jämfört med det arbete som krävs för att hålla projektet säkert. Leta inte längre än Heartbleed, den enorma SSL-sårbarhet som fanns i ett decennium innan den upptäcktes.

Eftersom en stor majoritet av säkerhetssystemen körs på programvara med öppen källkod, finns det alltid möjligheten att en dold men förödande bugg lurar i ditt favoritramverk med öppen källkod.

Hackare behöver bara vinna en gång

Det finns ett uttryck i världen av digital säkerhet: programmerare måste vinna varje gång, men hackare behöver bara vinna en gång. En enda spricka i rustningen är allt som krävs för att en databas ska äventyras.

Ibland är den sprickan resultatet av att en utvecklare tagit en genväg eller varit oaktsam. Ibland är det resultatet av en okänd nolldagsattack. Hur noggrann en utvecklare än kan vara, det är ett dumt ärende att föreställa sig att du har åtgärdat alla säkerhetshål.

Att deklarera ett lås som ”valsäkert” är det snabbaste sättet att ta reda på hur optimistiska dina låsdesigners var. Datorsystem är inte annorlunda. Inget system är ohackbart. Det beror bara på vilka resurser som finns.

Så länge som människor finns i systemet i vilket skede som helst, från design till utförande, kan systemet undergrävas.

Balans mellan bekvämlighet och säkerhet

Säkerhet är alltid en balans mellan bekvämlighet och säkerhet. Ett perfekt skyddat system kan aldrig användas. Ju säkrare ett system, desto svårare är det att använda. Detta är en grundläggande sanning om systemdesign.

Säkerheten fungerar genom att kasta upp vägspärrar som måste övervinnas. Ingen vägspärr värd att springa kan ta noll tid att slutföra. Ju större säkerhet ett system är, desto mindre användbart är det alltså.

Det ödmjuka lösenordet är det perfekta exemplet på dessa kompletterande egenskaper i handling.

Man kan säga att ju längre lösenordet är, desto svårare är det att knäcka med brute force, så långa lösenord för alla, eller hur? Men lösenord är ett klassiskt tveeggat svärd. Längre lösenord är svårare att knäcka, men de är också svårare att komma ihåg. Nu kommer frustrerade användare att duplicera autentiseringsuppgifter och skriva ner sina inloggningar. Jag menar, vilken typ av skum karaktär skulle titta på den hemliga lappen under Debras arbetstangentbord?

Angripare behöver inte oroa sig för lösenordsknäckning. De behöver bara hitta en klisterlapp på assistentens (till) regionchefens monitor och de kommer att få all åtkomst de vill ha. Inte för att Dwight någonsin skulle vara så slarvig.

Vi har balanserad säkerhet och bekvämlighet för att hålla våra system användbara och säkra. Det betyder att varje system på ett eller annat sätt är osäkert. Hackare behöver bara hitta ett litet hål och maska ​​sig in.

Slutsats: Hur ett dataintrång fungerar

Det avgörande kännetecknet för en hackingattack är bedrägeri på systemnivå. På ett eller annat sätt lurar du en del av ett säkerhetssystem att samarbeta mot dess design. Oavsett om en angripare övertygar en mänsklig säkerhetsvakt att släppa in dem på en säker plats eller omintetgör säkerhetsprotokollen på en server, kan det kallas ett ”hack”.

Mångfalden av attacker ”i det vilda” är extraordinära, så alla sammanfattningar kan bara ge en bred översikt innan du går in i detaljerna om individuella attacker. Åtminstone måste en blivande hackare lära sig systemet de attackerar.

När en sårbarhet väl upptäcks kan den utnyttjas. Ur ett praktiskt perspektiv kan en angripare leta efter öppna portar på en server för att ta reda på vilka tjänster en enhet kör och vid vilken version. Korrelera det med kända sårbarheter, och för det mesta hittar du livskraftiga attackvektorer. Många gånger är det ett dödsfall med tusen snitt: små sårbarheter kedjade samman för att få tillgång. Om det inte fungerar, finns det lösenordsattacker, förevändningar, social ingenjörskonst, referensförfalskning… listan växer för varje dag.

När en sårbarhet väl upptäcks kan hackaren utnyttja den och få obehörig åtkomst. Med den obehöriga åtkomsten exfiltrerar de data.

Och det är så dataintrång sker hela tiden.