Keren Elazari sull'importanza degli hacker

In che modo pensare agli hacker utili come al sistema immunitario di Internet può rendere la tua sicurezza più forte e preparare e proteggere meglio la tua presenza digitale.

Di

• Personale TR pagina di archivio

1 agosto 2019

Lo sviluppo della sicurezza informatica si intreccia con l'evoluzione della comunità hacker. Keren Elazari, analista di sicurezza informatica e ricercatrice senior presso il Centro di ricerca informatica interdisciplinare dell'Università di Tel Aviv, ha educato il mondo nel suo discorso TED del 2014 sull'importanza di coltivare hacker amichevoli per la protezione di Internet. Oggi ricerca le minacce alla sicurezza informatica più urgenti e come prevenire queste violazioni.

In questo episodio, Elazari condivide la sua storia di diventare un hacker da giovane donna in Israele e parla dell'empowerment che ha acquisito diventando un attore importante nella comunità globale degli hacker. Spiega come aziende, organizzazioni e governi ora collaborano con hacker utili creando programmi di ricompense di bug e altre iniziative. Elazari spiega suggerimenti su ciò che le aziende dovrebbero cercare in termini di minacce informatiche.

Business Lab è ospitato da Elizabeth Bramson-Boudreau, CEO ed editore di MIT Technology Review. Lo spettacolo è prodotto da Katherine Gorman, con l'aiuto editoriale di Emily Townsend e Mindy Blodgett. Musica di Merlean, da Epidemic Sound.

Mostra note e collegamenti:

Tel Aviv Cyberweek: https://cyberweek.tau.ac.il/2019/

Il sito web di Keren: https://www.k3r3n3.com

Twitter di Keren: https://twitter.com/k3r3n3

Ted Talk: https://www.youtube.com/watch?time_continue=2&v=JpFFb1jEUf0

TRASCRIZIONE COMPLETA

Da MIT Technology Review, sono Elizabeth Bramson-Boudreau e questo è Business Lab, lo spettacolo che aiuta i leader aziendali a dare un senso alle nuove tecnologie che escono dal laboratorio e nel mercato.

Da quando abbiamo sistemi informatici, ci sono stati quelli che cercavano di sfondare le protezioni, ma questi hacker possono anche svolgere un ruolo utile nell'identificazione delle lacune nella sicurezza informatica e nell'identificazione delle minacce future.

Questo è l'ultimo episodio della nostra serie sulla sicurezza informatica. E oggi parliamo di hacking.

Fin dai primi giorni di Internet, ci sono stati esperti informatici amichevoli, incluso il nostro ospite e questi hacker sono stati fondamentali per la salute del sistema immunitario di Internet. Keren Elazari è un'analista di sicurezza informatica e ricercatrice senior presso il Centro di ricerca informatica interdisciplinare dell'Università di Tel Aviv.

Elizabeth Bramson-Boudreau: Keren, benvenuta in Business Lab.

fresco Elazari: Ciao. Sono felice di essere qui. Sono lieto di cogliere questa opportunità per parlare di ciò che possiamo imparare dagli hacker e di come gli hacker svolgano effettivamente un ruolo fondamentale nella società dell'informazione odierna.

Elisabetta: Bene. Quindi è fantastico. Cominciamo perché voglio davvero parlare del concetto di hacker come qualcosa da celebrare. Penso che molte persone siano arrivate a credere che gli hacker stessero minacciando e tu ci arrivi da un punto di vista molto diverso. Prima di entrare in questo e parlare del tuo punto di vista, puoi parlarci un po' di te e di come sei diventato un tale leader e una sorta di in prima linea su questo argomento?

Fresco: Ovviamente Elisabetta. Ho iniziato il mio percorso nel mondo cibernetico, nel regno digitale, se vuoi, quando ero molto giovane. Avevo circa 11 o 12 anni quando abbiamo avuto accesso a Internet per la prima volta in Israele, a Tel Aviv, dove sono cresciuto. E ho pregato i miei genitori di avere un computer tutto mio per potermi connettere a Internet. A quei tempi, dovevi in ​​qualche modo capirlo da solo, come far funzionare il modem, come collegarsi ai server corretti, come configurare il tuo computer.

E poi una volta che eri online, stavi davvero a te trovare la tua strada. E per fortuna, ho trovato la mia strada con chat room e gruppi online per persone appassionate di tecnologia come me. E stavo imparando l'inglese digitando e parlando con queste persone nelle chat room che non avevano idea di parlare con una ragazza di 13 anni di Tel Aviv.

Per loro, ero solo un altro hacker, solo un'altra personalità online dietro il soprannome. Ed è stato lì in queste stanze online che ho imparato ad apprezzare quanto curiose, creative, innovative possano essere le persone che si definiscono hacker. E intorno all'anno 1995, è lì che la mia vita è davvero cambiata perché è stato allora che ho visto il film 'Hackers' con Angelina Jolie che interpretava una feroce hacker delle superiori. E quando ho visto quel film, mi sono davvero connesso. Sono subito entrato in risonanza con la storia mostrata da quel film.

Ed era la storia di questo gruppo di hacker delle scuole superiori che sono tutti un po' strani o estranei. Ma insieme come gruppo, hanno effettivamente impedito una catastrofe ecologica. Hanno scoperto la corruzione aziendale. Hanno mostrato all'FBI dove si nascondeva il vero criminale informatico.

Ed è questo gruppo di ragazzi che somigliava molto a me e ascoltava la mia stessa musica e aveva la stessa ideologia che avevo io. Questo è il gruppo di ragazzi che mi ha mostrato che essere un hacker può davvero significare che sei l'eroe della storia. Per fortuna, sono stato in grado di prendere quell'immagine dell'hacker come eroe e l'immagine di quella giovane e potente donna interpretata da Angelina Jolie e trasformarla nella mia realtà. Ho deciso che sarebbe stato il mio modello e che mi sarebbe piaciuto essere un hacker amichevole, uno che aiuta le organizzazioni e le nazioni a comprendere i problemi di sicurezza in modo che possiamo creare sistemi migliori e possiamo prevenire, sai, che di conseguenza si verificano esiti catastrofici di attacchi informatici.

Durante tutta la mia carriera, da quelli, sai, la metà degli anni '90, questo è il punto di vista che ho sempre avuto. Ora ho lavorato con diversi tipi di organizzazioni, con agenzie governative. Ho prestato servizio nell'esercito israeliano. Ho lavorato con importanti aziende tecnologiche israeliane. E in tutti questi luoghi, ho portato a sopportare il punto di vista dell'hacker e in particolare il punto di vista dell'hacker amichevole: come possiamo effettivamente risolvere questo problema? Come possiamo creare qualcosa di meglio? Quindi questa è la prospettiva che ho avuto in passato, credo, 25 anni, quasi nella mia carriera nel mondo della sicurezza informatica.

Elisabetta : Voglio dire, suppongo intuitivamente di capire perché gli hacker sono una specie di outsider e, sai, cita senza virgolette, 'strani'. Ma cosa c'è in quella comunità che la rende così, spesso, così ideologicamente guidata?

Fresco: È mio punto di vista che gli hacker tendono ad essere estranei. Sì. Ma tendiamo anche ad essere estremamente appassionati di tecnologia. E questo a volte potrebbe portare a risultati frustranti quando un gruppo di hacker identifica un problema e cerchiamo di risolverlo, ma non otteniamo l'attenzione di cui abbiamo bisogno, o veniamo immediatamente bollati come criminali o come vandali. E che molte volte porta a quel risultato in cui le persone ci vedono come avere, sai, forse un punto di vista potenzialmente dannoso. Molti degli hacker che conosco hanno, sai, forse non la stessa ideologia, ma condividono tutti ideali molto appassionati sul ruolo della tecnologia nella nostra vita, il ruolo dell'accesso alle informazioni su questa idea che le persone dovrebbero avere accesso alla conoscenza e informazioni, che la tecnologia non dovrebbe essere solo di proprietà delle grandi aziende e non solo essere qualcosa a cui hanno accesso le persone con molti soldi o privilegi, ma piuttosto che Internet e quella tecnologia dovrebbero essere democratizzate. E penso che questa sia forse un'ideologia che troverai con molti hacker.

Da dove proviene? è una buona domanda. E non è che tutti gli hacker condividano lo stesso punto di vista o la stessa ideologia. Ma negli anni '80 c'era questo documento magico che faceva il giro della BBS, dei sistemi di bacheche elettroniche e, in seguito, delle prime riviste web e questo documento si chiamava 'The Hacker Manifesto'. E in 'The Hacker Manifesto', la persona che lo ha scritto parla delle persone che sono curiose della tecnologia come hacker, persone che vogliono esplorare il mondo digitale per tutto ciò che ha senza barriere e che quelle sono le persone che lo farebbero si definiscono hacker. Ecco da dove viene quell'ideologia. Certo, negli anni '90 c'erano anche parecchi elementi criminali e in particolare la criminalità organizzata, che hanno adottato le nuove potenzialità che Internet e il mondo della tecnologia possono offrire loro. E queste persone dovrebbero essere chiamate criminali informatici. Potrebbero usare abilità di hacking o capacità di hacking, ma non condividono necessariamente quelle stesse ideologie che hanno gli hacker con cui sono cresciuto e che rappresento.

Elisabetta: Parliamo ancora un po' di questa idea dell'hacker amichevole. Gli ascoltatori di Business Lab gestiscono aziende e sono molto preoccupati di proteggere questa azienda dalle minacce informatiche. È il tuo punto di vista e mi piacerebbe saperne di più, che gli hacker possono aiutare a trovare problemi tecnologici e possono agire come una sorta di sistema immunitario. Quindi, cosa diresti alle persone che gestiscono le loro aziende?

Come dovrebbero pensare al mondo degli hacker e cosa dovrebbero pensare quando sono preoccupati per la sicurezza informatica e questo tipo di decisioni che dovrebbero prendere per mantenere o promuovere una maggiore sicurezza in quelle aziende?

Fresco: Assolutamente. Quindi, è mio punto di vista che gli hacker possono essere il sistema immunitario per la nostra nuova realtà connessa. E per gli ascoltatori del podcast che vogliono saperne di più, consiglio di dare un'occhiata al mio discorso TED 2014, che si chiama 'Gli hacker sono il sistema immunitario di Internet'.

Dal 2014 condivido questo messaggio che gli hacker possono essere utili alleati con una varietà di organizzazioni e persone diverse. E sorprendentemente, negli ultimi due anni, sempre più aziende stanno scoprendo il valore di lavorare con l'ecosistema amichevole degli hacker. E un ottimo modo in cui ciò sta effettivamente accadendo è il fenomeno noto come programmi di ricompensa dei bug. Quindi questi programmi di ricompensa dei bug, a volte indicati anche come programmi di divulgazione di vulnerabilità o programmi di ricompensa per la vulnerabilità, sono in realtà framework gestiti da aziende molto grandi, aziende come Google, Facebook, Yahoo, Microsoft, Samsung e persino aziende che non sono strettamente aziende tecnologiche, aziende come United Airlines, per esempio, o Western Union o anche Starbucks, la catena del caffè. Tutte queste aziende hanno effettivamente un programma di ricompense dei bug in atto.

E ciò significa che stanno attivamente invitando hacker amichevoli a guardare il loro prodotto, che sia la loro app o il loro sito web. Potrebbe essere una macchina. Nel caso di Tesla, questo ha una relazione di lunga data con gli hacker. E in pratica stanno dicendo agli hacker, guarda il nostro prodotto.

Se trovi vulnerabilità, se riesci a scoprire falle di sicurezza e se puoi parlarci di tali problemi, ti ricompenseremo per i tuoi sforzi e quei premi, quei premi, potrebbero essere sotto forma di denaro pagato con carte di credito prepagate o carte di debito, ad esempio, ma potrebbero anche essere una forma di remunerazione non monetaria che in realtà ha molto valore simbolico nell'ecosistema hacker. Quindi, ad esempio, questo potrebbe essere malloppo, magliette o cappelli o esperienze uniche.

Ad esempio, ricordo un certo anno in cui Microsoft ha eliminato uno dei più grandi club di Las Vegas e ha prenotato uno dei più grandi DJ e l'accesso a quella festa. E quel club con quel deejay superstar era concesso solo a quei ricercatori, quegli hacker amichevoli che hanno identificato le vulnerabilità e le hanno divulgate al programma di Microsoft. In un altro caso…

Elisabetta: Quindi è diventato una cosa di status, una sorta di distintivo d'onore essere invitato?

Fresco: C'è sicuramente un elemento di stato. E in effetti, uno dei motivi per cui i programmi di ricompensa dei bug hanno così tanto successo è perché hanno effettivamente creato reti sociali attorno a loro con hacker che competono nelle classifiche. Si potrebbe dire che questo è stato ludicizzato e gli hacker competono per essere al primo posto nella top five o nella top ten degli elenchi di hacker che hanno trovato vulnerabilità su un particolare sito Web o programma. In alcuni casi ci sono ricompense ancora più speciali che vengono date solo ai migliori hacker su un particolare programma. Ad esempio, Tesla ha una moneta sfida e questa è quasi come una medaglia e sono solo 20 di queste monete sfida Tesla nel mondo e vanno solo a quei migliori hacker che aiutano Tesla. Infatti, l'estate scorsa ho visto Elon Musk in persona partecipare alla più grande convention di hacker del mondo, un evento chiamato DEF CON, che si tiene a Las Vegas ogni anno. Ed Elon Musk è venuto lì con il suo team e con i suoi capi di ingegneria sia per Tesla che per SpaceX per parlare con quegli hacker di talento che sono stati in grado di trovare vulnerabilità nel prodotto Tesla. Certo, forse non sorprende che un'azienda innovativa come Tesla o che giganti della Silicon Valley come Facebook e Microsoft lavorino con gli hacker. Ma negli ultimi due anni, anche organizzazioni come il Pentagono e il Dipartimento della Difesa degli Stati Uniti hanno lanciato il loro programma Hack the Pentagon. E quel programma di ricompense dei bug ha davvero mostrato una grande iniziativa, ottimi risultati. Dal momento in cui è stato lanciato per la prima volta fino a quest'anno, ci sono state così tante vulnerabilità sui siti Web del Pentagono che sono state scoperte tramite quel programma. Quindi questo significa che i criminali, le spie, i cattivi che trovano la vulnerabilità, non ti parleranno di quello che hanno scoperto. E creando questi programmi, stiamo effettivamente permettendo che il sistema immunitario. Stiamo effettivamente consentendo a quegli hacker amichevoli un percorso, un percorso legale legittimo per segnalare le loro scoperte e aiutarci a diventare più sicuri.

E sono molto appassionato e fiducioso sull'ulteriore adozione di questi programmi di ricompense dei bug. E penso che sia qualcosa che ogni leader aziendale dovrebbe chiedersi, abbiamo un'opportunità del genere per gli hacker amichevoli di segnalarci le loro scoperte?

Elisabetta: Ho un paio di domande. Ci sono particolari tipi di bug che questi tipi di programmi di ricompensa sono più adatti a cercare? E in secondo luogo, in che modo i leader aziendali che non gestiscono Tesla o Facebook sono aziende monumentalmente grandi e con risorse adeguate? Come hanno avuto accesso a questo tipo di programma?

Fresco: In modo che queste siano grandi domande. Sono molto felice di parlare di bug bounties per tutto il tempo che vuoi, perché questo è stato effettivamente il cuore dello studio, il lavoro di ricerca che ho svolto presso il Cyber ​​Research Center dell'Università di Tel Aviv negli ultimi due anni . E una delle cose che abbiamo scoperto è che questi programmi hanno molto valore quando il prodotto che viene testato o la piattaforma che viene esaminata è già di fronte al pubblico. Quindi, se hai un sito Web, ad esempio, se sei United Airlines e le persone acquistano biglietti aerei sul tuo sito Web, hai già un prodotto molto pubblico che vive sul Web. E quando hai un prodotto del genere, è davvero utile che tutti quegli hacker identifichino le vulnerabilità. Nel caso della United Airlines, tra l'altro, non pagano soldi. Pagano miglia aeree. E le persone hanno guadagnato milioni di miglia trovando vulnerabilità sul sito Web di United Airlines. In un altro caso, quando si tratta di app o sistemi web o anche, come ho detto prima, di automobili, con i sistemi Tesla in-car, quando c'è un prodotto rivolto al consumatore che contiene una grande quantità di tecnologia o quando quel prodotto è sul Web o è un'app mobile, questo è un buon momento per coinvolgere l'aiuto di quegli hacker amichevoli tramite il formato dei programmi di ricompensa dei bug. Ora, hai chiesto come possono le piccole organizzazioni godere di questo vantaggio? C'è una varietà di modi. Uno che è importante capire che oggi ci sono piattaforme esistenti che effettivamente mediano quel rapporto con quegli hacker. Ho detto che è quasi come se i social network fossero stati costruiti attorno ad esso. Le due piattaforme principali si chiamano HackerOne e Bugcrowd.

Ci sono molte altre società, ma queste sono le due piattaforme più grandi e in realtà mediano molti dei programmi di ricompensa dei bug là fuori e hanno più di 100.000 hacker amichevoli che si registrano e utilizzano quelle piattaforme. Quindi questo è l'accesso a molti hacker. Quindi quello sarebbe il posto numero uno che consiglierei di guardare. In secondo luogo, è importante capire che anche una piccola organizzazione può avere una qualche forma di coinvolgimento o sfogo là fuori per lavorare con hacker amichevoli.

Per uno, esiste effettivamente uno standard internazionale per la divulgazione coordinata delle vulnerabilità, e questo è lo standard internazionale per la divulgazione coordinata delle vulnerabilità CVD. E posso cercare il numero di quello standard in modo da poterlo condividere con i tuoi ascoltatori.

Ora, oltre a questo, c'è un altro progetto che si chiama security.txt. E ciò che sostanzialmente dice il progetto security.txt, dice che se hai un sito web o una tecnologia rivolta al consumatore, quello che vuoi fare è assicurarti che da qualche parte sul tuo sito web ci sia un file chiamato security.txt e ha effettivamente le informazioni su chi le persone dovrebbero contattare se trovano una vulnerabilità di sicurezza sul tuo sito. Rimarresti stupito di quante volte la semplice cosa di avere le giuste informazioni di contatto rende possibile a un hacker amichevole di contattarti e dire: 'Ehi, ho trovato un problema sul tuo sito, ho trovato qualche bug nel tuo codice. Potresti volerlo sapere.'

Elisabetta: Destra. Questo ha molto senso. Quindi voglio passare un po' a considerare le minacce alla sicurezza informatica che non riguardano solo computer o reti. E penso che, sai, molti dei nostri ascoltatori siano consapevoli del fatto che la minaccia sta crescendo solo con l'Iot e la proliferazione di dispositivi connessi. Parla di questo e di ciò che la comunità degli hacker sta facendo e potrebbe fare per fornire maggiore supporto e aiutare i leader aziendali.

Fresco: Assolutamente. Prima di farlo, voglio solo menzionare che lo standard internazionale di cui ho parlato prima è ISO 29147. Quindi è lo standard internazionale numero 29 147, che in realtà è uno standard internazionale per la divulgazione coordinata delle vulnerabilità da cui qualsiasi organizzazione può imparare, adattarsi e applicare per i loro affari. Quindi volevo solo darti le informazioni a riguardo. Ora, per quanto riguarda una domanda, penso che tu abbia davvero colpito nel segno. Non si tratta più di sistemi informatici o, sai, dei nostri telefoni o dei nostri computer.

C'è davvero una così grande quantità di nuove tecnologie connesse di cui ci fidiamo della nostra vita ogni giorno, che si tratti di serrature domestiche connesse e sistemi di sorveglianza come le webcam o, sai, le cose su cui ci affidiamo per far arrivare la nostra auto in tempo, la navigazione gli strumenti su cui facciamo affidamento, le cose su cui fanno affidamento gli aeroplani, le tecnologie mediche. E questo è un grande, questo è un motivo, in realtà, per cui ora nel nostro settore stiamo parlando di sicurezza informatica e non di sicurezza delle informazioni, perché non si tratta più di proteggere i segreti o le nostre password o numeri di carta di credito. Si tratta davvero di proteggere tutti questi sistemi cyber-fisici connessi. Ora, quando si tratta di quei dispositivi iot, i dispositivi Internet delle cose. Questo è il punto in cui penso che molte persone, siano essi dirigenti d'azienda o, sai, privati, non ci rendiamo davvero conto che dobbiamo essere il responsabile delle informazioni per la nostra stessa casa, perché nella casa di ogni famiglia al giorno d'oggi, in realtà ci sono più di una dozzina di dispositivi, di solito, forse anche di più. E hai console di intrattenimento, DVD, webcam, gadget e tablet e dispositivi personali, ovviamente telefoni e computer. E per tutti questi dispositivi, non c'è davvero nessun Chief Information Security Officer o Chief Information Officer che li manterrà per noi. Quindi, come individui, come consumatori, è davvero responsabilità assicurarsi che quei dispositivi dispongano di ambienti del sistema operativo aggiornati senza nome utente e password predefiniti. Sono cose che dobbiamo fare e nessuno lo fa per noi.

Ed è qui che si stanno insinuando molti nuovi tipi di minacce, perché molte persone ti diranno: 'Ehi, beh, non mi interessa se qualcuno hackera la mia telecamera di sicurezza che ho nel mio cortile perché non 'non ho niente da nascondere.' Ma ciò che la gente non si rende conto è che i criminali stanno imparando a utilizzare tutte queste risorse digitali come pedine nei propri eserciti digitali. E negli ultimi anni abbiamo assistito a massicci attacchi in cui i criminali hanno effettivamente preso il controllo di centinaia e migliaia di questi tipi di dispositivi connessi, che si tratti di webcam o videoregistratori digitali, a volte anche di fotocopiatrici per ufficio come una macchina fotocopiatrice. E tutti questi dispositivi possono essere utilizzati dai criminali per lanciare ulteriori attacchi informatici. Quindi, quando si tratta di questi dispositivi, spetta a ciascuno di noi assumersi la responsabilità. Prima di tutto, proteggi quel dispositivo, sia aggiornando il sistema operativo, sia sostituendo la password predefinita. A proposito, lo stato della California ha una nuova legge in vigore, che sarà applicata a gennaio 2020. Che se stai effettivamente vendendo o commercializzando qualsiasi dispositivo Internet di cose nello Stato della California, devi assicurarti che non avrà una combinazione di nome utente e password predefinita. Quindi non puoi avere dispositivi che hanno la password di, sai, uno, due, tre, quattro o qualcosa del genere, come abbiamo visto negli ultimi due anni. Quindi è qualcosa che sta cambiando nello stato della California. Si spera che altri stati seguano l'esempio. Ma lo riporta alla responsabilità personale che abbiamo come consumatori. E abbiamo anche una responsabilità e potenzialmente una fonte di leva come imprenditori. Quando acquistiamo tecnologia, quando acquisiamo tecnologia da un fornitore, da un fornitore che ce la vende, possiamo effettivamente dire: Ehi, quali sono i tuoi protocolli di sicurezza? Qual è il tuo metodo per aggiornare il sistema operativo o il firmware per questo dispositivo? Come puoi verificare che non avrà solo quella semplice password di uno, due, tre, quattro tipi? Come posso modificare le mie password? E credo che man mano che più persone chiedono di meglio dai fornitori che creano queste tecnologie e vendono questi prodotti, avremo effettivamente un ecosistema più sicuro.

Elisabetta: Quindi questi sono davvero, suppongo, che tu chiami approcci dal basso verso l'alto. Quindi l'onere spetta alla persona che acquista il dispositivo, al dispositivo connesso o al team di sicurezza dell'azienda. Hai menzionato lo stato della California, ma in generale, è qualcosa che dovremmo presumere non sarà aiutato dal sostegno del governo o dalla regolamentazione del governo?

Fresco: In realtà, i governi stanno facendo molto di più di prima. In particolare negli Stati Uniti, vedremo più approcci normativi che saranno un po' più aggressivi nei loro requisiti da parte di aziende e leader aziendali per essere più informati sulla sicurezza informatica, per avere un membro del consiglio di amministrazione di un'organizzazione che ha conoscenze e background in sicurezza informatica. Abbiamo già visto casi in cui, ad esempio, nel caso portato a, penso che l'FTC contro Uber. Come forse avrai sentito, Uber ha subito diverse violazioni dei dati negli ultimi due anni. E poiché quel caso è stato portato alla Federal Trade Commission, la FTC ha effettivamente esaminato molto da vicino il livello dei controlli di sicurezza applicati da Uber. E in realtà si stanno avvalendo di persone esperte, che lavorano per questi regolatori dei consumatori che faranno domande di livello tecnico davvero granulare e si aspettano che le aziende dispongano di controlli di sicurezza ragionevoli. Ora, cosa significa un controllo di sicurezza ragionevole?

Significa cose che sono le migliori pratiche, cose che sono considerate qualcosa che qualsiasi altra azienda di quelle dimensioni o all'interno di quel tipo di budget farebbe. E un tipo di controllo ragionevole che le autorità di regolamentazione stanno iniziando a cercare è in realtà un'azienda ha dei mezzi di comunicazione con quegli hacker amichevoli che sono là fuori e cercano di segnalare le vulnerabilità? Quindi l'azienda ha un programma di ricompense dei bug? Hanno una chiara politica di divulgazione di sicurezza o vulnerabilità? Stanno facendo sapere alle persone che esiste un modo per segnalare loro le vulnerabilità? E questo è qualcosa di cui stiamo effettivamente vedendo sempre più regolatori che iniziano a parlare. Sono molto fortunato in questo senso perché ho una sorella che è un avvocato e ora si sta specializzando in politiche di sicurezza informatica negli Stati Uniti. E insieme a lei, ho imparato così tanto sul modo in cui le autorità di regolamentazione americane stanno effettivamente iniziando a spingere molto di più quando si tratta di controlli di sicurezza da parte delle imprese americane.

Elisabetta: Bene, è fantastico. Quindi parliamo un po' di più di altri tipi di minacce. Allora che ne dici di un ransomware? Abbiamo parlato in questo podcast di ransomware. La vedi come una minaccia reale e crescente?

Fresco: Quindi è importante capire che il ransomware era super trendy nel 2017 e nel 2018. Ma i criminali sono sempre in evoluzione e non faranno la stessa cosa. Quindi, quello che è stato, sai, molto prezioso e redditizio per i criminali lanciare negli ultimi due anni non è più così redditizio perché sempre più organizzazioni si sono accorte e non pagheranno il riscatto. Ritorneranno a un backup o troveranno un modo alternativo per aggirare la crittografia del ransomware. Quello che è successo è che in realtà i criminali hanno escogitato un approccio molto più redditizio. E questo è qualcosa chiamato crypto jacking, noto anche come crypto mining. E ciò che fa il crypto jacking è fondamentalmente una volta che il criminale ha la capacità di lanciare qualsiasi tipo di codice dannoso sul tuo sistema, potrebbe essere il tuo personal computer, potrebbe essere i tuoi server Web o i tuoi server cloud. Quello che faranno è che invece di crittografare i dati e richiedere un riscatto, eseguiranno effettivamente un programma silenzioso che estrarrà criptovalute. Una truffa molto popolare. Il tuo computer che sta usando stai usando esattamente il tuo computer, usando la tua potenza di calcolo. Quindi, per alcune società di comunicazione, quando ciò accade sui loro server cloud, quando ciò accade sulla loro infrastruttura AWS, ad esempio, ciò potrebbe effettivamente accumulare decine di migliaia di dollari in costi di elaborazione. E i criminali se ne vanno con milioni di dollari in criptovalute. E la criptovaluta molto popolare che è stata estratta in questo modo si chiama Monero. E in realtà ci sono state così tante campagne che stanno creando malware molto evasivo che verrà estratto per quel Monero. In effetti, anche le reti Wi-Fi delle filiali Starbucks in tutta l'Argentina avevano questo malware di mining Monero su di loro. Quindi, quando le persone accedevano al Wi-Fi, aprivano il proprio laptop per accedere al Wi-Fi di Starbucks.

In realtà, quel software di mining era in esecuzione sui loro computer per cinque o 10 secondi alla volta, creando molte entrate sotto forma di criptovaluta per i criminali. Ed è per questo che dico, Elizabeth, è davvero importante imparare da ciò che stanno facendo gli hacker. È davvero importante guardare cosa stanno facendo i criminali perché sono in continua evoluzione. Ed è qui che passo molto del mio tempo a studiare e guardare queste nuove tecniche, queste nuove tendenze, il modo in cui i criminali stanno migliorando il loro gioco perché stanno inventando dei nuovissimi modelli di business per prendere le nostre risorse digitali e trasformarli in denaro molto velocemente. E fanno sempre qualcosa di nuovo.

Elisabetta: Quindi, come faresti a sapere se la tua rete cosa stai cercando per determinare se la tua rete è o meno vulnerabile a questo tipo di crypto jacking o crypto mining? Voglio dire, suona così terribile.

Fresco: Sì. Sì. Questo è quanto. È terribile. È un'ottima domanda. Quindi un modo in cui noterai che hai malware crittografico sui tuoi sistemi è, ovviamente, se hai una fattura Amazon Web Services molto alta alla fine del mese, che è molto più alta di quanto ti aspettavi, o se ' Se guardi il tuo consumo di energia e vedi che all'improvviso i tuoi server funzionano a velocità della CPU molto più elevate, i tuoi processori stanno effettivamente lavorando molto più duramente. Potresti anche notare che la tua macchina si sta riscaldando. È in esecuzione diventa più caldo perché una CPU sta lavorando di più. E puoi notarlo anche come individuo, se sai, la tua connessione sembra essere estremamente lenta. Stai aprendo il tuo browser web per siti specifici e impiegano molto tempo per caricarsi. Potrebbe significare che potresti avere questo tipo di malware di cryptomining o cryptojacking sul tuo sistema. È importante notare che la maggior parte delle volte questi tipi di attacchi ora sono mirati a quelle istanze cloud. Quindi non si prendono più cura dei singoli computer delle persone solo perché non hanno necessariamente la potenza di calcolo che desiderano. I giocatori, tuttavia, i giocatori che hanno computer potenti, di solito con GPU come con potenti unità di elaborazione grafica, potrebbero essere più suscettibili a questi tipi di malware di mining di criptovalute.

Elisabetta: Non è AWS e altri fornitori di cloud, non staranno cercando questo piuttosto che semplicemente trasferire una bolletta elevata ai propri clienti? Penserei che ne avrebbero fatto alcuni, sai, potrebbero sicuramente avere un'intelligenza artificiale per dare un'occhiata a eventuali picchi o comportamenti insoliti nell'uso, direi.

Fresco: Quindi è molto, è molto... Sono d'accordo con te sul fatto che sarebbe intuitivo per noi aspettarci che i fornitori di piattaforme cloud facciano di più e si prendano cura di queste minacce. Ma la realtà è che in molti casi, il modo in cui i criminali entrano nei sistemi delle persone è perché hanno un'istanza cloud facilmente non protetta, facilmente accessibile e mal configurata. Quindi molte volte l'azienda cloud dirà che è un tuo problema perché hai lasciato la porta spalancata. Non hai configurato i tuoi server cloud per essere sicuri. Non hai inserito una password o usi la password predefinita o ne hai usati alcuni molto noti. Hai avuto alcune vulnerabilità molto note sui tuoi server cloud. Quindi non è davvero un loro problema. È tuo. E questo, penso, ci riporti a casa a un grave problema che molte persone ora hanno con il consumo di tecnologia. Davvero non capiamo quanta responsabilità grava ancora sui consumatori. E ci sono molte aspettative per il fornitore di tecnologia, che si tratti di un servizio cloud o di un dispositivo Internet delle cose o di un sistema operativo. Abbiamo molte aspettative sul fatto che l'azienda che ci vende un prodotto possa effettivamente fare molto di più in termini di sicurezza.

Ma la realtà è che il loro modello di business in molti casi si basa sul fatto che il cliente si assume più responsabilità sulle proprie spalle. E non ce ne rendiamo necessariamente conto. Ora, non voglio solo, sai, nominare e vergognare le aziende. Ci sono sicuramente fornitori di cloud là fuori che stanno facendo di più. So che al momento Amazon e AWS hanno un grande team dedicato alla ricerca delle minacce alla sicurezza sulla loro piattaforma. È solo che sono quelli più popolari tra i criminali perché è la piattaforma cloud più potente. Quindi dobbiamo davvero continuare tutto il tempo. E questo gioco del gatto e del topo e il momento in cui il popolo di Amazon troverà un modo per impedire a quei malware di criptojack dalle campagne, si verificheranno un nuovo tipo di attacco.

Elisabetta: Quindi questo è un ottimo posto per noi per rivolgerci alla mia prossima e ultima domanda, qual è ciò che verrà dopo? E non sono sicuro di chi sia il gatto e chi sia il topo? Ma dove va il gatto dopo? E dove devono pensare i leader interessati alla sicurezza informatica al futuro della minaccia?

Fresco: Non è proprio chiaro chi sia il gatto e chi sia il topo qui. Hai assolutamente ragione. Ma quando si tratta di questo, a cosa penso quando penso al prossimo, penso alle persone e penso al talento umano. Sto pensando alle persone che diventeranno quei professionisti della sicurezza, quegli hacker amichevoli, quei leader aziendali del futuro. E come possiamo far sì che quelle persone siano esperte, innovative, creative come alcune delle persone cattive là fuori? Perché suppongo che finché le persone scrivono codice, avremo delle vulnerabilità, finché le persone usano la tecnologia. Ci saranno individui e organizzazioni malintenzionati che vorranno utilizzare quella tecnologia per guadagni illeciti o per manipolazioni. E avremo bisogno di più persone che mai. Quindi è mio punto di vista che l'amichevole comunità di hacker può aiutare. Ma è anche molto importante investire in sicurezza informatica, educazione e sensibilizzazione, motivo per cui corro. Oltre a Tel Aviv, è la più grande comunità di hacker e l'evento della comunità di ricerca sulla sicurezza di Israele. È per questo che un'Università di Tel Aviv ospitiamo qualcosa chiamato Tel Aviv Cyber ​​Week, che fornisce conoscenze e informazioni a più di 8.000 persone ogni estate. È per questo che ogni volta che viaggio, ogni volta che ho del tempo libero, passo il mio tempo andando a eventi di hacker e che si tratti di un incontro di comunità o di una conferenza sulla tecnologia, perché dobbiamo davvero prestare attenzione al tipo di ricerca e conoscenza che si sta facendo generato da hacker amichevoli in modo che possiamo effettivamente portare più persone là fuori armate di informazioni e conoscenze. Hanno bisogno di sviluppare un futuro migliore e più sicuro per tutti noi. Un'area a cui molte persone stanno pensando è l'area dell'IA.

E questo è qualcosa che, sai, è davvero cruciale per capire che potremmo essere effettivamente in una corsa agli armamenti quando si tratta di tecnologie di intelligenza artificiale e in particolare di intelligenza artificiale per la sicurezza informatica, sia sul lato offensivo che difensivo. Ma mentre la corsa agli armamenti diventa effettivamente una realtà, è in corsa per reclutare il talento, le persone che possono effettivamente creare un sistema di quella prossima generazione. E questa è un'area in cui penso che attualmente gli Stati Uniti abbiano un vantaggio. E se vuoi mantenere quel vantaggio, devi continuare a investire in quel tipo di know-how e quel tipo di talento e creare quegli hacker estranei che possono effettivamente essere i futuri difensori di domani.

Elisabetta: Allora, Keren, dove possono ottenere maggiori informazioni se vogliono saperne di più su alcune delle cose di cui hai parlato oggi?

Fresco: Quindi sono molto facile da trovare online. Mi chiamo Keren Elazari. Ma nel mondo degli hacker sono conosciuto come Keren E. Tutte le E sono scritte con tre. Quindi puoi visitare il mio sito Web, K3R3N3.com. Mi trovi su LinkedIn. Puoi guardare il mio discorso TED su Ted.com: 'Gli hacker sono il sistema immunitario di Internet'. C'è una varietà di contenuti che ho pubblicato su YouTube. E sei il benvenuto a dare un'occhiata alla Tel Aviv Cyber ​​​​Week. E BSides Tel Aviv, BSidestlv.com è il sito che vuoi visitare, se vuoi venire a provare la comunità di hacker che abbiamo qui nella bellissima e soleggiata Tel Aviv.

Elisabetta: Meraviglioso. Bene, grazie mille per esserti unito a noi qui a Business Lab.

Fresco: Grazie, Elisabetta.

Elisabetta: Questo è tutto per questo episodio di Business Lab. Sono la tua ospite, Elizabeth Bramson-Boudreau. Sono il CEO e l'editore di MIT Technology Review. Siamo stati fondati nel 1899 presso il Massachusetts Institute of Technology. E puoi trovarci in formato cartaceo sul web, a dozzine di eventi dal vivo ogni anno e ora in formato audio. Per ulteriori informazioni su di noi e sullo spettacolo, visita il nostro sito Web all'indirizzo technologyreview.com. Questo programma è disponibile ovunque tu abbia i tuoi podcast.

Se ti è piaciuto questo episodio, speriamo che ti prenderai un momento per valutare e recensirci su Apple Podcasts. Business Lab è una produzione di MIT Technology Review.

Il nostro caporedattore è Mindy Blodgett. Questo episodio è stato prodotto da Collective Next con l'aiuto editoriale di Emily Townsend. Un ringraziamento speciale al nostro ospite, Keren Elazari.

Grazie per aver ascoltato. Torneremo presto con il nostro prossimo episodio.

nascondere