10 ý tưởng lớn trong bảo mật kỹ thuật số

Cách đây không lâu, tin tức bảo mật có nghĩa là các lỗ hổng và vi rút bị che khuất trên các máy tính để bàn. Nhưng bây giờ mọi người ở khắp mọi nơi đang lo lắng về việc rình mò các cơ quan chính phủ, Heartbleed để dữ liệu cá nhân của họ bị mất trên Web và các mối đe dọa di động gia tăng. Heck, phạm vi bảo hiểm của rò rỉ của Edward Snowden về các nỗ lực gián điệp trong nước của Cơ quan An ninh Quốc gia đã thu được giải Pulitzer năm nay. Khi cuộc sống của chúng ta trở nên tập trung hơn vào các thiết bị kỹ thuật số và Internet, ngày càng có nhiều người lo lắng về bảo mật và đúng như vậy. Câu hỏi đặt ra là, vấn đề thực sự là gì và những gì chỉ là sự cường điệu của tháng từ các phương tiện truyền thông chính thống?

Để có cái nhìn tổng quan về những gì thực sự quan trọng, hãy tua lại vào tháng Hai vừa qua, khi hàng ngàn người tham dự đổ về San Francisco cho Hội nghị RSA. Trong số đó có những người tạo ra các sản phẩm bảo mật và các nhà nghiên cứu đã phá vỡ một số câu chuyện bảo mật lớn nhất. Đây là một trong những cuộc tụ họp lớn nhất của loại hình này và các ý tưởng từ RSAC sẽ có tác động rất lớn đến an ninh kỹ thuật số trong phần còn lại của năm.

Snowden và an ninh

Mọi người thường nói đùa rằng Chính phủ Hoa Kỳ đang lắng nghe mọi người nói, nhưng không ai thực sự cười về điều đó nữa. Thỏa thuận bị cáo buộc giữa Cơ quan An ninh Quốc gia và Bảo mật RSA đã đưa ra một thỏa thuận về hội nghị, không còn liên kết trực tiếp với công ty RSA.

Đáng ngạc nhiên, NSA một lần nữa quyết định có mặt trên sàn diễn năm nay. Ngay cả khi họ không có, thật khó để tránh NSA. Một số nhà cung cấp đã đưa ra đế lót ly có logo của cơ quan trên đó, trong khi những người khác đã viết những nhận xét về tiếng ngáy trên bảng trắng công cộng. Một nhà cung cấp dường như phản đối việc được đặt gần gian hàng của NSA, trong khi một nhà cung cấp khác nhân cơ hội này để chạy các video lặp về Snowden.

Một số diễn giả đã thuyết trình để phản đối và tổ chức một sự kiện cạnh tranh kéo dài một ngày có tên là Trustycon. Điều này có nghĩa là để giúp nâng cao nhận thức về các vấn đề riêng tư, mặc dù một số người thấy nó khác nhau.

Trung Quốc là ai?

Năm ngoái, boogeyman dưới giường của mọi người là Trung Quốc. Nỗi sợ hãi của những người trong ngành là những kẻ tấn công được nhà nước bảo trợ hoặc đơn độc từ Trung Quốc ăn cắp tài sản trí tuệ và bán nó hoặc đưa nó cho các đối thủ cạnh tranh của Trung Quốc. Ngoài ra còn có mối đe dọa về chiến tranh mạng giữa các quốc gia, làm cho tất cả trở nên thực tế hơn bằng cách tiếp tục báo cáo về các mối đe dọa liên tục tiên tiến tinh vi.

Chuyển nhanh đến năm nay và mối quan tâm là êm dịu hơn. Các diễn giả đã đề cập đến "hành vi trộm cắp tài sản trí tuệ", nhưng không thấy sự cần thiết phải nói ai sẽ đứng sau nó. Khi các cuộc tấn công "quốc gia" được đề cập vào năm ngoái, nó gần như chắc chắn có nghĩa là "Trung Quốc" nhưng năm nay nó có thể dễ dàng có nghĩa là "Hợp chủng quốc Hoa Kỳ".

Mười điều

Bên ngoài những câu chuyện lớn này, có một số phát triển đầy hứa hẹn, công nghệ mới và lời khuyên thử và đúng tại RSA. Đầu tiên và quan trọng nhất? Vá phần mềm của bạn. Cũng có nhiều nhà cung cấp muốn chuyển mật khẩu qua, điều mà chúng tôi hy vọng sẽ sớm xảy ra. Ngoài ra, tôi hy vọng tất cả các bạn đọc trước chương trình năm tới.

Đây là một số trong những câu chuyện lớn mà các chuyên gia bảo mật đang bàn tán xôn xao, nhưng chúng không phải là những câu chuyện duy nhất. Dưới đây là mười ý tưởng lớn hàng đầu của chúng tôi đang diễn ra trong bảo mật ngay bây giờ.

1 10. Backreen trong mã hóa

Cơ quan An ninh Quốc gia đã có mặt trong tâm trí của mọi người tại hội nghị năm nay, và đó là câu chuyện an ninh lớn nhất trong năm qua. Và mặc dù Hội nghị RSA là một thực thể khác biệt với công ty RSA Security, kết nối được cho là nhiều triệu đô la giữa RSA và NSA là một chủ đề thảo luận thường xuyên. Chủ tịch RSA Art Coviello đã bác bỏ các cáo buộc trong địa chỉ chính của mình, nhưng kêu gọi cải cách trong cơ quan gián điệp. Trái ngược hoàn toàn với năm ngoái, những lo ngại về Trung Quốc đã ngả lưng trước những lo ngại rằng tiền mã hóa có thể không an toàn như chúng ta nghĩ.



2 9. Buzzwords Giết từ

Khi một từ đạt đến trạng thái từ thông dụng, nó không còn có nghĩa gì nữa. Đáng buồn thay, đã có rất nhiều từ như vậy tại RSAC, nơi mọi người đều sử dụng cùng một từ, nhưng không ai đồng ý về định nghĩa. Khi nói đến mối đe dọa tình báo, chúng ta đã nói về các chỉ số thỏa hiệp hay chúng ta đang nói về việc làm phong phú dữ liệu hiện có với các nguồn của bên thứ ba? Chính xác thì "next-gen" còn có nghĩa gì nữa? Tại thời điểm này, chúng ta nên ở thế hệ tiếp theo. Làm thế nào nhiều sản phẩm có thể báo trước một cuộc cách mạng an ninh? Liệu ngành công nghiệp thậm chí còn biết những gì nó hứa hẹn nữa?


Hình ảnh thông qua người dùng Flickr Soumyadeep Paul



3 8. Khi máy nướng bánh mì, xe hơi và máy pha cà phê tấn công

Internet of Things len lỏi vào Hội nghị RSA năm nay và mọi người đều lo lắng về triển vọng bảo mật chúng. Điểm mấu chốt của takeaway khá khó chịu là chúng tôi chưa sẵn sàng bảo mật tất cả các thiết bị của mình, cho dù chúng là thiết bị gia dụng, thiết bị y tế hay ô tô. Mặc dù vậy, một số người không quan tâm, nói rằng bọn tội phạm không thể thử điều khiển từ xa hoặc đâm vào một chiếc xe được kết nối. Nhiều khả năng bọn tội phạm sẽ "đi ngược dòng" để thỏa hiệp các máy chủ sử dụng Things Things như máy chủ Onstar cho xe ô tô và kiếm tiền từ những thứ đó.


Internet of Things sẽ không còn nghi ngờ gì nữa, ngày càng có nhiều thiết bị được kết nối. Theo sau Heartbleed, các nhà nghiên cứu không chỉ quan tâm đến máy chủ mà là bất kỳ và tất cả các thiết bị được kết nối.



4 7. Mã hóa mọi thứ

Câu trả lời từ mọi người về cách cải thiện bảo mật, đặc biệt là bảo mật di động, đó là mã hóa, mã hóa, mã hóa. Các ứng dụng di động đang di chuyển một lượng lớn thông tin trên Internet và nhiều nhà phát triển đang chọn không mã hóa các giao dịch đó, mang lại cho những kẻ tấn công và quốc gia nhiều thứ để xem xét. Một lần nữa chuyển sang NSA, CT3 Bruce Schneier của Co3 cho rằng cơ quan này có thể đã phá vỡ một số hình thức mã hóa nhưng không thể xử lý một lượng lớn dữ liệu được mã hóa. Ông nói rằng lượng thông tin không được mã hóa khổng lồ bay xung quanh chỉ đơn giản là làm cho nó trở nên quá dễ dàng cho bất cứ ai muốn dự trữ dữ liệu. Trở lại vào tháng Hai, những lo ngại về mã hóa được dựa trên các lỗ hổng do NSA tạo ra và các rắc rối SSL của Apple. Thông báo của Heartbleed là một lời nhắc nhở nghiêm túc rằng ngay cả những công cụ tốt nhất chúng ta vẫn chưa hoàn thiện.


Hình ảnh thông qua tài khoản nặc danh người dùng Flickr

• 5 6. Không có đạn bạc

  Chúng tôi đã dành rất nhiều thời gian để nói về các bài thuyết trình và cá nhân tại RSAC, nhưng chúng tôi không nên quên rằng sự kiện này là một triển lãm thương mại và sàn diễn có rất nhiều nhà cung cấp làm việc để thuyết phục người mua rằng sản phẩm của họ là tốt nhất. Đáng ngạc nhiên, nhiều công ty bảo mật vẫn đang thúc đẩy ý tưởng về viên đạn bạc, một giải pháp phục vụ duy nhất cho bất kỳ và tất cả các vấn đề bảo mật của bạn. Đây là một điều đáng ngạc nhiên khi năm ngoái đã chứng minh rằng có rất nhiều con đường cho các cuộc tấn công, và chúng có thể khác nhau tùy thuộc vào người đứng sau họ và những gì họ đứng sau. VP VP cao cấp của HP, Gilliland đề nghị các công ty ngừng tìm kiếm vũ khí mới và có cách tiếp cận toàn diện hơn đối với an ninh. Quan trọng nhất trong danh sách cải tiến của mình? Đầu tư vào các cá nhân và cải thiện đào tạo an ninh.



6 5. AV di động không hoạt động

Trong khi ông tôn vinh cộng đồng bảo mật làm việc với và trong Android để làm cho nó tốt hơn, Kỹ sư trưởng của Google cho Bảo mật Android đã có một cái nhìn mờ nhạt về bảo mật di động cho đến nay. Ông nói rằng mục tiêu của Google là cung cấp bảo mật yên tĩnh, vô hình và cho rằng các công ty bảo mật sẽ chú ý hơn và tăng doanh số. Giám đốc điều hành và đồng sáng lập của viaForensics Andrew Hoog cũng gặp vấn đề với các mô hình bảo mật truyền thống trên thiết bị di động. Ông chỉ ra rằng hộp cát ứng dụng trong các hệ điều hành di động thực hiện tốt công việc bảo mật ứng dụng nhưng nó cũng hạn chế khả năng ứng dụng bảo mật đối phó với các mối đe dọa. Giải pháp của anh ấy? Cung cấp cho các nhà phát triển bảo mật quyền truy cập vào các đặc quyền gốc.


Tôi không đồng ý hoàn toàn với một trong hai vị trí, nhưng các mối đe dọa di động đang gia tăng đòi hỏi những cách mới để bảo vệ thiết bị. Bảo vệ chống lại các ứng dụng độc hại là không đủ, và mặc dù các công cụ bảo mật mà các công ty bảo mật đang thêm vào ứng dụng di động của họ rất hữu ích, nhưng chúng sẽ không đủ mãi mãi.


Hình ảnh thông qua người dùng Flickr Tiago A. Pereira



7 4. An ninh trong ghế tài xế

Chúng tôi nói rất nhiều về việc bảo mật cần phải là một phần trong DNA của tổ chức và làm thế nào các đội bảo mật không thể phản ứng với khủng hoảng hoặc trong chế độ chữa cháy mọi lúc. Sự đồng thuận chung dường như đang vượt lên trước các mối đe dọa, cho dù đó là bằng cách có các biện pháp bảo mật tốt hơn để đóng các con đường tấn công hoặc tích hợp với các đội khác để đảm bảo các mối quan tâm an ninh được xem xét ngay từ đầu.



8 3. Chúng tôi cần nhiều người bảo mật hơn

Một trong những điều chúng tôi tiếp tục nghe là làm thế nào thiếu các chuyên gia bảo mật. Các công ty theo truyền thống không phải nghĩ về bảo mật, bảo vệ dữ liệu của họ hoặc đảm bảo rằng các sản phẩm của họ được bảo mật, hiện đang gặp khó khăn trong việc tìm kiếm các chuyên gia bảo mật có kinh nghiệm. Các cơ quan chính phủ đang cố gắng thu hút các tin tặc sáng nhất để lấp đầy hàng ngũ của họ. Có một lỗ hổng kỹ năng, một phần vì chúng tôi không có đủ người chuyên về bảo mật, nhưng cũng vì các công ty không làm tốt công việc tuyển dụng.


Chúng tôi cần nhiều phụ nữ hơn trong công nghệ và đặc biệt là bảo mật thông tin. Các phiên tại RSAC tập trung vào việc tạo ra các cấu trúc hỗ trợ để khuyến khích phụ nữ quan tâm đến infosec, nhưng cũng để làm nổi bật một số thành tựu của họ.



9 2. Ứng dụng bị rò rỉ tệ hơn phần mềm độc hại trên thiết bị di động

Bảo vệ chống phần mềm độc hại tiếp tục là trọng tâm của nhiều công ty bảo mật di động, nhưng đó không phải là mối đe dọa duy nhất. Nhiều người tham dự tại hội nghị RSAC cho rằng các ứng dụng bị rò rỉ, đó là các ứng dụng truyền dữ liệu cá nhân của người dùng mà không cần mã hóa hoặc với số lượng lớn là một mối đe dọa lớn hơn nhiều đối với người dùng. Đối với độc giả của phạm vi bảo hiểm Di động Thứ Hai của chúng tôi, điều này sẽ không gây ngạc nhiên. Năm nay, chúng tôi mong muốn các công cụ mới như viaProtect để giúp người tiêu dùng thấy ứng dụng của họ thực sự đang làm gì. Điều đó nói rằng, xem ai đó xé, sửa đổi và đóng gói lại một ứng dụng Android trong năm phút là một lời nhắc nhở rằng phần mềm độc hại vẫn là một vấn đề.


Hình ảnh thông qua người dùng Flickr Grotuk

• 10 1. Giám sát sẽ không biến mất

  Giám đốc FBI mới tinh James Comey đã nói rõ hai điều trong bài thuyết trình RSAC 2014 của mình: FBI cần sự hợp tác từ doanh nghiệp để chống lại các mối đe dọa trên mạng, nhưng giám sát điện tử vẫn ở đây. Ở một cấp độ, tất cả chúng ta đều biết điều này. Chúng tôi không thể mong đợi các điệp viên và cảnh sát tiếp tục khai thác điện thoại khi kẻ xấu đang liên lạc với email và các công cụ khác. Là một xã hội, chúng ta cần chấp nhận rằng truyền thông kỹ thuật số là mục tiêu và có lẽ là hợp pháp. Tương tự như vậy, các thành viên tham gia hội thảo bàn tròn hấp dẫn về những người trong cuộc tình báo Hoa Kỳ nhấn mạnh rằng NSA không phải là một "cơ quan bất hảo" và mọi quốc gia khác đều tham gia giám sát điện tử. Họ cũng nói rằng gián điệp trong nước cần đạt được sự cân bằng tốt hơn với quyền riêng tư và mọi người không nên cho phép các quan chức được bầu sử dụng "câu chuyện trang bìa" của họ về việc từ chối chính đáng cho các hoạt động tình báo.