211service.com
Il governo dovrebbe continuare ad accumulare bug del software?
I vertici della comunità dell'intelligence statunitense stanno tenendo la bocca chiusa sulle vulnerabilità del software.
Mentre la polvere si deposita dall'attacco ransomware globale che ha paralizzato i sistemi in più di 150 paesi da venerdì, il processo oscuro del governo degli Stati Uniti per la raccolta e la divulgazione delle vulnerabilità del software è di nuovo sotto esame.
Ci sono molte colpe per la portata e l'efficacia dell'attacco, in cui un virus ransomware chiamato WannaCry, così come WannaCrypt e Wanna Decryptor, ha sfruttato una vulnerabilità in Windows XP. Per prima cosa, Microsoft ha smesso di supportare quella versione del suo sistema operativo nel 2014 , quindi chiunque utilizzasse il software obsoleto correva un rischio. (Una volta che Microsoft si è accorta che la vulnerabilità veniva sfruttata, ha rapidamente rilasciato una correzione per il bug, un passaggio insolito per un software così vecchio.)
Brad Smith, presidente e consulente legale capo di Microsoft, ha affermato che la colpa è anche del governo, poiché sembra che gli aggressori abbiano utilizzato un exploit che è stato rubato alla NSA da un gruppo chiamato Shadow Brokers. In un post sul blog , ha criticato la pratica dello stoccaggio delle vulnerabilità. Abbiamo bisogno che i governi considerino il danno ai civili che deriva dall'accumulo di queste vulnerabilità e dall'uso di questi exploit, ha scritto.
Il governo degli Stati Uniti dispone di un sistema per valutare i rischi di rivelare una vulnerabilità critica del software o di mantenerla segreta. Ma molto poco si comprende pubblicamente su come funziona il cosiddetto Vulnerabilities Equities Process (VEP). I difensori della privacy chiedono da tempo una maggiore trasparenza, con solo un modesto successo.
Si ritiene che il VEP esista dal 2010, ma sia rimasto un segreto fino al 2014, quando il casa Bianca e Direttore dell'intelligence nazionale ogni dichiarazione rilasciata negando a Bloomberg rapporto che la NSA conosceva da anni e utilizzava una vulnerabilità diffusa nel modo in cui le comunicazioni su Internet sono crittografate chiamata Heartbleed. Michael Daniel, coordinatore della sicurezza informatica del presidente Obama, ha affermato che l'amministrazione ha stabilito un processo decisionale disciplinato, rigoroso e di alto livello per la divulgazione delle vulnerabilità.
Se il governo federale debba o meno nascondere la conoscenza di tali vulnerabilità può sembrare chiaro ad alcuni, Daniel detto in quel momento , ma la realtà è molto più complicata. La rivelazione di una vulnerabilità potrebbe indurre gli Stati Uniti a rinunciare all'opportunità di raccogliere informazioni cruciali che potrebbero contrastare un attacco terroristico, ha affermato. Tuttavia, il processo decisionale del governo era orientato a rivelare responsabilmente la vulnerabilità.
Nel gennaio 2016, grazie a una causa del Freedom of Information Act della Electronic Frontier Foundation, il governo ha pubblicato un documento spiegando il VEP. Non è chiaro esattamente come viene presa una decisione, chi la prende e quante vulnerabilità segrete ha il governo in suo possesso. Jason Healey , ricercatore presso la Columbia University e ricercatore senior presso l'Atlantic Council, di recente stimato che il numero è nelle decine.
Gli eventi recenti hanno sollevato dubbi sul fatto che il sistema sia effettivamente sbilanciato verso la divulgazione, come ha affermato Daniel. In un recente documento di ricerca , Healey ha concluso, sulla base di interviste e dichiarazioni pubbliche del governo sul VEP, che quasi certamente la NSA avrebbe dovuto rivelare le vulnerabilità in una precedente fuga di notizie di Shadow Brokers alle società interessate, tra cui Cisco, Juniper e Fortinet. L'FBI avrebbe dovuto anche informare Apple della vulnerabilità utilizzata per accedere all'iPhone di uno degli autori degli attentati terroristici di San Bernardino lo scorso anno, ha scritto Healey.
Sfortunatamente, la prospettiva di una migliore trasparenza, e la responsabilità che ne deriverebbe, non sembra essere imminente. Il VEP è controllato dal ramo esecutivo del governo federale, senza controllo pubblico. A meno che l'amministrazione Trump non decida di cambiarlo, è probabile che rimarremo all'oscuro. Fino al prossimo grande attacco informatico, cioè.