Cyberbezpieczeństwo, czyli jak nie dać się zabić w świecie SPEED

Wraz z projektowaniem nowego, cyfrowego świata nie zaprojektowaliśmy odpowiednio systemów bezpieczeństwa, o czym wspomniałem powyżej. Dlatego dziś setki tysięcy użytkowników korzystają z miliardów urządzeń bez świadomości, że robią to w sposób zagrażający im samym i ich sprzętom. Powstała gigantyczna wyrwa pomiędzy zaawansowaniem technologicznym, a ochroną danych, urządzeń, systemów, pieniędzy i ludzi.

Znaleźliśmy się więc w bardzo skomplikowanej sytuacji. Chcemy udoskonalać otaczający nas świat, rozwijać się, wzbogacać, ułatwiać życie sobie i innym, ale dokoła czyha mnóstwo pułapek, zastawionych przez naciągaczy liczących na naszą naiwność. Każda z nich może zrujnować dorobek naszej pracy, zniszczyć reputację lub pozbawić nas majątku i zgromadzonych oszczędności. Wszystko to dlatego, że zlekceważyliśmy kluczowy etap. Etap analizy i zapobiegania szkodliwym skutkom tworzonej technologii. Dlatego dziś musimy zmagać się z epidemiami przetaczającymi się przez cyfrowy świat. Dokuczają nam wirusy, phishing, ataki DOS/DDoS, malware oraz ich mutacje i ekwiwalenty. Wciąż musimy budować świadomość i rozglądać się dokoła.

Pierwsze wirusy powstawały we wczesnych latach siedemdziesiątych. Pisali je studenci wydziałów informatycznych, aby poznawać zagadnienia związane z problematyką samoreplikujących się programów. Tworzyli je też nastolatkowie, choćby dla zabawy.

Z czasem ta „niewinna rozrywka” stała się dochodowym biznesem, z którego utrzymywały się zorganizowane grupy przestępcze. Infekowały sprzęt, przechwytywały dane, blokowały dostęp do systemów. Szantażem wymuszały pieniądze od użytkowników. To najprostsze i najpowszechniejsze zagrożenie w świecie cyfrowym. Dzięki temu, że jest dobrze znane użytkownikom, większość z nas nauczyła się przed nim bronić.

• Dziś zagrożeń jest znacznie więcej. Zaliczymy do nich:
  • ataki z użyciem szkodliwego oprogramowania (malware, wirusy, robaki itp.);
  • kradzieże tożsamości;
  • kradzieże (wyłudzenia), modyfikacje bądź niszczenie danych;
  • blokowanie dostępu do usług (mail bomb*, DoS oraz DDoS);
  • spam (niechciane lub niepotrzebne wiadomości elektroniczne);
  • ataki socjotechniczne (np. phishing, czyli wyłudzanie poufnych informacji przez podszywanie się pod wzbudzającą zaufanie osobę lub instytucję);
  * przytłaczająca liczba e-maili wysłanych na jeden adres.

Coraz większym wyzwaniem stają się ataki typu APT (Advanced Persistent Threat). Łączą one narzędzia różnego typu (socjotechniczne, programistyczne itp.). Przygotowania do ataku APT mogą trwać wiele tygodni, a nawet miesięcy. Przeprowadzają je zazwyczaj zorganizowane grupy dysponujące znacznymi budżetami oraz czasem, pozwalającym na infiltrowanie konkretnego celu – firmy bądź instytucji – a następnie przeprowadzenie precyzyjnego skoku, którego celem mogą być wrażliwe dane lub uszkodzenie, zakłócenie działania czy wręcz zniszczenie systemu komputerowego.

Przykładem APT było użycie robaka Stuxnet, o którym już wspominałem. Jego efektem było m.in. opóźnienie działania irańskiego programu nuklearnego. Dowodzi to, że ataki tego typu mogą być wykorzystane w „słusznej sprawie”, pomagając rozwiązać problemy, które do tej pory wymagały użycia konwencjonalnych sił i stanowiły zagrożenie dla życia ludzi. Ale wszystko zależy oczywiście od perspektywy. Cyberbezpieczeństwo stało się bronią. A infrastruktura teleinformatyczna, krytyczna dla prowadzenia działalności biznesowej lub funkcjonowania miast i państw, stała się areną walki.

To jednak nie wszystko. Miliony użytkowników zarządzają dziesiątkami milionów kont. W sieci można być, kim się chce. Sposób nadawania uprawnień do kont jest całkowicie niekontrolowany. Potrafisz sobie wyobrazić, jak za pomocą dostępnych dziś środków, które już teraz są niewystarczające, mielibyśmy zabezpieczyć świat Internetu Rzeczy? Dlatego rozwiązanie problemu identyfikacji i kontroli dostępu w komunikacji, składowaniu danych czy wyszukiwaniu i przetwarzaniu informacji, jest kluczowe dla przyszłości. A gdy zaprojektujemy sztuczną inteligencję, niewątpliwie przejmie od nas ten proces. Czy nauczymy ją naszego pojmowania etyki, aby mogła nas zastąpić i szybko dostosowywać się do nowych wymagań?

W 1976 roku z problemami, jakie niesie anonimowość, próbowali sobie poradzić Whitfield Diffie i Martin Hellman, ojcowie współczesnej kryptografii. Stworzyli szyfrowanie asymetryczne. Dzięki PKI możliwe stało się szyfrowanie w anonimowej, otwartej sieci, z czego do dziś korzysta właściwie cały przemysł e-commerce (np. szyfrowanie danych certyfikatem SSL). Jest to rozwiązanie skuteczne szczególnie dla płatności online.

Jednak w świecie Internetu Rzeczy, sztucznej inteligencji i czwartej rewolucji przemysłowej PKI zdecydowanie nie wystarczy. I będzie zbyt drogie. Każde urządzenie potrzebuje klucza prywatnego i publicznego. Możemy zarządzać kluczami między urządzeniami, które mają wystarczającą pojemność do przetwarzania takiej kryptografii, tj. generowania kluczy i przechowywania ich w bezpiecznym miejscu. Ale coś, co działa na tysiącach, a nawet milionach urządzeń, nie będzie działać w systemie komunikacji między bilionami czujników. A tak właśnie będzie wyglądać świat Internetu Rzeczy.

Kryptografia dla sensora, który kosztuje kilkadziesiąt groszy, jest po prostu nieopłacalna. Dodatkowo czujnik ten nie będzie miał bezpiecznego miejsca, w którym przechowywałby klucze, nawet jeśli posiadałby odpowiednią moc, by je wygenerować. Urządzenia IoT są więc podatne na utratę poufności i integralności. Nie stosuje się dla nich kryptografii. Dlatego tak wielkie nadzieje pokładane są w nowoczesnych technologiach, takich jak Blockchain czy 5G.

Mówiąc wprost: system identyfikacji użytkowników wymknął się spod kontroli. Wiele organizacji ma opory przed przeniesieniem biznesu do świata cyfrowego ze względu na zbyt wysokie ryzyko. W cyfrowym świecie zaczyna pojawiać się nowa wartość. Jest nią posiadanie przez dany ekosystem „zweryfikowanej” bazy identyfikatorów, dającej mniejszą lub większą pewność, że dana osoba istnieje i jest tym, za kogo się podaje.

Takie ekosystemy, mające zdolność weryfikacji tożsamości, „naprawiają” błąd popełniony podczas projektowania bezpieczeństwa na początku cyfrowej rewolucji. Ale to wciąż za mało dla rozproszonych bilionów sensorów i urządzeń. Rozwiązaniem jest dziś coraz bardziej powszechna adresacja IPv6, dzięki której będziemy w stanie jednoznacznie zidentyfikować użytkownika i urządzenie, a w chmurze zarządzać ich dostępem. Pomoże ona również zachować integralność danych płynących z sensorów. Ale problemu całkowicie nie rozwiąże. Nie powstał jeszcze system, który byłby odpowiedzią na to wyzwanie.

Jak zatem identyfikować właściwe źródła danych? W czwartej rewolucji potrzebne nam będą bowiem nie tyle poprawne dane, co ich źródła, takie jak sensory, zarówno fizyczne, jak i wirtualne, tworzone przez AI.

W przypadku systemów produkcyjnych trzeciej rewolucji przemysłowej znaleziono sposób na weryfikację prawdziwości danych płynących z sensora czy urządzenia. Świat IoT jeszcze się go nie doczekał. W systemach produkcyjnych (OT), dla kluczowych z punktu widzenia bezpieczeństwa procesów stosuje się zasadę „2 z 3”. Trzy sensory mierzą ten sam parametr. Jeśli wszystkie podają tę samą wartość, przyjmuje się, że jest ona prawidłowa. Jeśli 2 z nich podają jedną wartość, a trzeci inną, oznacza to, że ten jeden może być zepsuty. Jeśli każdy z nich podaje inne dane, to działanie systemu zostaje wstrzymane. Trzykrotna redundantność pozwala zweryfikować wiarygodność źródła.

Wyobraźmy sobie jednak, że wchodzimy w świat IoT, w którym mamy biliony urządzeń, a każde warte jest przysłowiowego dolara i generuje 1Mb danych na godzinę. Zatem zastosowanie na wielką skalę metody 2 z 3 jest po prostu niemożliwe. Również ciągła fizyczna kalibracja tylu urządzeń naraz nie wchodzi w grę, ze względu na koszty i pracę niezbędną do wykonania przez ludzi. Problematyczne jest też podążanie w kierunku klastrowania sensorów, znane chociażby z rynku telekomunikacyjnego.

Mówi się, że „zabije” nas skala urządzeń IoT, komplikacja AI i prędkość napływania danych. Biliony, tryliony sensorów, które muszą gdzieś bezpiecznie i szybko „wyładować” swój sygnał i dać pewność, że pochodzi on z wiarygodnego źródła. Przyspieszenie w umieszczaniu niezliczonej liczby czujników w przypadku np. pojazdów autonomicznych jest niesamowite. Dziś te auta posiadają średnio 100-500 sensorów, które zbierają dane i przenoszą z pojazdu do chmury.

Na razie radzi z tym sobie jeszcze technologia 4G i jednostki obliczeniowe na pokładach samochodów. Przewiduje się, że niebawem średnio w aucie będzie 1000-5000 czujników. Bez technologii 5G i nowej adresacji nie uda się wkrótce bezpiecznie przesyłać i odbierać danych z sensorów. To bariera wejścia w życie rozwiązań czwartej rewolucji przemysłowej. Ale zostanie ona przełamana. Dane muszą być bezpiecznie przesłane do chmury, w niej muszą zostać zabezpieczone i bezpiecznie przesłane do sterownika, aby ten zareagował. A cały ten proces musi zostać wykonany w ułamku sekundy.

Spadek kosztów przetwarzania i ceny sensorów spowodowały, że dostawcy tych rozwiązań nie myślą o bezpieczeństwie, jeśli nakłady przekraczają koszt samych urządzeń. To podobna sytuacja do identyfikacji poprzez klasyczną metodę „2 z 3”. Wszystko, co generuje koszty, jest spychane na bok. Niestety, wynikiem są miliardy podatnych na zagrożenia „rzeczy” podłączonych do internetu. Stąd tyle nadziei wiąże się z „super parą” czyli technologią EDGE, mogącą zapewnić bezpieczeństwo dla wielkich struktur IoT, jeszcze dziś nieistniejących, ale które niebawem się pojawią. A wraz z nimi pojawi się kolejne wyzwanie, jakim jest zagwarantowanie kopii zapasowych oraz zapewnienie integralności złożonych danych czy wreszcie ich niezawodności.

Skoro chcemy inteligentnych maszyn, muszą się one uczyć na jak największej bazie danych. Wiarygodnych danych. Dzisiaj, poza nielicznymi przypadkami, firmy nie archiwizują informacji z sensorów. Chyba że są one potrzebne do budowania modeli AI. Jutro takich firm będzie znacznie więcej. Będą gromadziły ogromne ilości historycznych danych. Trzeba będzie mieć pewność co do ich integralności. Co się stanie, jeśli ktoś je w nieautoryzowany sposób zmieni? AI, wnioskująca na tej podstawie, będzie wyciągała złe wnioski. I to bardzo, bardzo szybko.

Poprzez fałszerstwa tożsamości i uzyskanie odpowiednich praw dostępu można zmodyfikować program komputerowy w całości lub w zakresie pewnych procedur. Wyobraźmy sobie skomplikowane wielowarstwowe struktury automatycznego przetwarzania RPA (Robotic Process Automation) czy systemy sztucznej inteligencji, do których ktoś uzyskał nieautoryzowany dostęp. Mimo licznych kontroli logicznych i aplikacyjnych przez długi okres możemy nawet nie zauważyć naruszenia integralności struktur danych, systemów i procedur. Aż pewnego dnia nastąpi kaskadowa reakcja fałszywego przetwarzania. To jedno z największych ryzyk, przed którymi stoi ochrona infrastruktury krytycznej firm i państw.

Dlatego integralność danych jest tak ważna dla cyberbezpieczeństwa. Ale jeszcze ważniejsza jest kontrola dostępu. Uprawnienia nadawane użytkownikom systemów informatycznych, zarówno tym funkcjonalnym, jak i procesom, to sedno bezpieczeństwa dostępu do danych. Prędkość Internetu Rzeczy będzie wymagała szczególnej atencji w tej kwestii. Nadając nieuprawniony dostęp maszynie w świecie cyfrowym, można wywołać lawinę ataków. Tempo rozwoju IoT, sprawia, że potężny atak miliardów sensorów będzie nie do zatrzymania.

Celem przestępców jest w szczególności uzyskanie praw dostępu z poziomu administratora. Mając uprawnienia, można przejąć każdy program albo hasło. Na tym opierają się ataki phishingowe i większość wirusów. Otwarcie zainfekowanego załącznika w mailu powoduje nieautoryzowane uzyskanie praw dostępu i możliwość natychmiastowego zablokowania lub zmiany praw wszystkim, którzy w hierarchicznym drzewie je dziedziczą. Komunikat phisihgowy może mieć formę maila z banku, od dostawcy energii, urzędu, operatora telewizji kablowej czy telekomunikacyjnego. Spectrum jest naprawdę szerokie. Chodzi o to, by w ten sposób wyłudzić potrzebne do logowania dane lub dostęp do uprawnień do jakiegoś procesu.

Ataki phishingowe planuje się najczęściej na ogromną skalę. Generują tysiące maili i błyskawicznie je wysyłają. Niestety tak samo będzie się działo w Internecie Rzeczy. Zainfekowanie urządzeń IoT czy modeli AI i przekształcenie ich w farmy botów już dziś nie jest czymś niezwykłym.

Przeraża tylko skala zjawiska. W przypadku urządzeń takich jak komputery będą to dziesiątki tysięcy, w przypadku urządzeń IoT będą to miliardy. Jeśli administrator nada uprawnienia maszynie IoT, to ta będzie replikować otrzymane uprawnienia i dawać je wszystkim innym urządzeniom, autoryzując ten fakt zarażonym kodem AI. Zrobi to w czasie niemożliwym do skontrolowania.

Fragment książki „SPEED bez granic z cyfrowym świecie” autorstwa Aleksandra Poniewierskiego.
Książkę można kupić na stronie https://www.speednolimits.com/. Polska edycja książki ukazuje się 20 listopada 2020 r.

SPEED to słowo, które podkreśla szybkość, jako istotę cyfrowej rewolucji, a jednocześnie akronim, będący kluczem do omówienia tego zjawiska w poszczególnych rozdziałach książki:
Security – bezpieczeństwo, prywatność i zaufanie,
Partnership – partnerstwo i współpraca,
Emerging Technologies – nowoczesne technologie,
Economy – gospodarka oparta na danych;
Digital transformation – transformacja cyfrowa firm i instytucji.