Cinque motivi per cui l'hacking back è una ricetta per il caos della sicurezza informatica

Un'illustrazione concettuale che mostra l'hacking back Sally Thurer

A volte, quando i responsabili delle politiche tecnologiche cercano di risolvere un problema, la cura proposta non farebbe che peggiorare le cose. Questo è certamente il caso del progetto di legge statunitense che darebbe alle vittime di attacchi informatici la possibilità di dare la caccia ai loro sospetti aggressori.

Conosciuto come Active Cyber ​​Defense Certainty Act, o ACDC in breve, il disegno di legge mira a consentire alle vittime di cercare di rintracciare gli aggressori entrando nei sistemi delle organizzazioni che sospettano che gli hacker abbiano utilizzato per organizzare attacchi. Spesso queste organizzazioni possono essere altre società ignare che i loro computer siano stati compromessi. Una legge statunitense esistente vieta questo tipo di perseguimento, noto come hacking back. Solo poche agenzie governative, come l'FBI, hanno l'autorità per dare la caccia ai sospetti hacker in questo modo.

I sostenitori del disegno di legge, che è stato recentemente presentato al Congresso degli Stati Uniti, affermano che l'FBI e altre agenzie governative sono già sopraffatte da un assalto di attacchi informatici, tra cui il ransomware che ha paralizzato i sistemi informatici in città come Atlanta e Baltimora e massicci furti di dati in grandi aziende come la catena di hotel Marriott. In teoria, dare alle imprese e agli individui il diritto di cacciare da soli sosterrebbe gli sforzi delle agenzie.

Combattendo

Il governo degli Stati Uniti ha segnalato che sta adottando un approccio più proattivo per scoraggiare le minacce informatiche . Ma i cosponsor del disegno di legge dell'ACDC, il deputato repubblicano Tom Graves e il democratico Josh Gottheimer, sostengono che le aziende e altre organizzazioni del settore privato hanno bisogno di maggiore libertà per difendersi. Dicono anche che alcune aziende sono già impegnate in alcune forme di vigilantismo digitale e che il loro disegno di legge chiarirebbe l'area grigia legale che circonda questo.

La proposta di legge (il cui testo completo può essere trovato in fondo alla storia) modificherebbe una legge statunitense esistente, il Computer Fraud and Abuse Act (CFAA), per consentire alle aziende e agli individui di hackerare per individuare gli aggressori persistenti. Sarebbero anche in grado di monitorare i sistemi degli hacker e interrompere le loro operazioni.

Il disegno di legge afferma che i nuovi poteri dovrebbero essere utilizzati solo da difensori qualificati che hanno un alto grado di fiducia nell'identità dei loro assalitori. Devono informare l'FBI e chiedere consiglio prima di riattaccare e fare del loro meglio per evitare di danneggiare i sistemi di terze parti e innescare un'escalation delle ostilità.

Tutto ciò può sembrare ragionevole, ma l'ACDC Act è gravemente viziato perché:

1. La maggior parte delle aziende non ha le capacità per affrontare aggressori sofisticati

Il disegno di legge non dice cosa qualifica esattamente un'azienda o un individuo come difensore qualificato. Questa vaghezza potrebbe consentire a tutti i tipi di attività commerciali di hackerare. Ma mentre, diciamo, un Google ha quasi certamente il know-how per farlo in modo efficace, molti altri non lo faranno.

Sean Weppner, un ex ufficiale informatico del Dipartimento della Difesa degli Stati Uniti che ora lavora presso l'azienda di sicurezza informatica Nisos, ritiene che l'hacking back sia meglio lasciare ai governi. Poche persone hanno l'esperienza e la competenza necessarie per farlo in modo sfumato e controllato, dice.

2. È davvero difficile sapere con certezza chi c'è dietro un attacco informatico

Gli hacker sono maestri dell'offuscamento e in genere coprono le loro tracce utilizzando cose come indirizzi IP falsi e strumenti di hacking sviluppato da altri . È anche molto difficile essere certi che un computer che sembra essere dietro un attacco non sia stato hackerato di per sé. Ciò potrebbe facilmente far sì che i sistemi sbagliati vengano presi di mira.

3. Il disegno di legge non fornisce alcuna protezione reale quando le cose vanno male

È molto facile causare danni involontari ai computer di parti innocenti. Anche gli hacker più sofisticati a volte emettono codice che ha conseguenze indesiderate.

Anne Toomey McKenna, professoressa alla Penn State University, sottolinea che anche se l'ACDC Act fosse approvato, le aziende sarebbero comunque soggette a costose cause civili sia a livello federale che statale se danneggiassero i computer o i dati di altre aziende statunitensi. E se hanno danneggiato i sistemi in paesi stranieri, potrebbero comunque essere addebitati ai sensi delle leggi anti-hacking nazionali. Apre una porta per le aziende [per hackerare indietro], dice, ma non le sta davvero proteggendo.

4. Il disegno di legge porterebbe inevitabilmente a dannose rappresaglie

La bozza di legge dice che coloro che hackerano dovrebbero sforzarsi di non intensificare le ostilità. Ma gli hacker non prenderanno alla leggera gli attacchi ai propri sistemi. Avendo già trovato delle crepe nelle difese digitali delle vittime, potrebbero sfruttarne di più se provocate.

5. Le aziende private potrebbero trovarsi a confrontarsi con gli stati-nazione

Si pensa che paesi come la Corea del Nord, la Russia e l'Iran siano dietro alcune delle più grandi minacce informatiche che le aziende devono affrontare oggi. Certamente non sarebbe consigliabile che una singola azienda li assumesse.

Sandra Joyce della società di sicurezza informatica FireEye teme che se il disegno di legge ACDC verrà approvato, potrebbe anche creare un precedente che incoraggia altri paesi ad allentare le proprie leggi anti-hacking. Alcune nazioni potrebbero essere tentate di rendere molto più facile l'hacking per le aziende rispetto agli Stati Uniti. Ciò creerebbe un rischio ancora maggiore di una catastrofe informatica, avverte Joyce.

Un approccio migliore sarebbe che le aziende si concentrassero sul rafforzamento delle proprie difese. Molte violazioni sono ancora il risultato di errori di sicurezza di base, come password scarsamente protette e errori nell'aggiornamento regolare del software.

Allo stesso tempo, gli Stati Uniti devono lavorare di più con i loro alleati per promuovere norme internazionali che aiutino a disinnescare le tensioni nel cyberspazio. L'approvazione di leggi come l'ACDC Act creerebbe solo un'autostrada legale verso un altro inferno di hacker.

nascondere