Artikel top billede

Sikkerhedsguru: NSA-værktøjer er på vej i hænderne på hackerne

Næste generation af brugere står klar til at kaste sig over det store arsenal af NSA-værktøjer til at overvåge dig og manipulere dine data, men det næste hold er meget, meget værre end NSA.

Mens alverdens medier dagligt bringer nye afsløringer af den omfattende overvågning foretaget af den amerikanske efterretningstjeneste NSA, tegner der sig nu måske endnu mere skræmmende perspektiver i horisonten.

For den amerikanske sikkerhedsguru Bruce Schneier anser det som ganske sandsynligt, at hackerne i de kommende år kaster sig over NSA-værktøjerne, der med sin kæmpe dataindsamlinger og massive overvågning kan sende it-kriminaliteten op i en liga, som vi ikke har set før.

Faktisk mener han, at de it-kriminelle allerede er godt i gang med at bruge visse dele af de samme værktøjer, som NSA har gang i.

"Det kommer selvfølgelig an på, hvad vi taler om, men ting som Quantum bliver allerede brugt i dag," fortæller Bruce Schneier til Computerworld, som han taler med under en Infinit-konference i Industriens Hus i København i sidste uge.

Med Quantum mener han det program, som NSA har udviklet til blandt andet at angribe med man-in-the-middle-metoder, manipulere med data i fremmede databaser og tilladelse af mystiske certifikater, der kan bryde sikkerhedsprotokollen SSL's kryptering, når man eksempelvis sender følsomme oplysninger på nettet.

"Man kan sige, at teknologien demokratiserer, og denne slags programmer bliver hackerværktøjer ret hurtigt. Hackernes motivation er så bare at stjæle ting, mens vi ikke rigtig ved, hvad NSA bruger oplysningerne til," lyder det fra Bruce Schneier.

Ingen magi - bare kode

Den amerikanske sikkerhedsekspert med rockstar-attituden forklarer, at hackerne hverken stjæler eller køber NSA-værktøjerne, men indtil videre skriver de dem selv.

"Der er jo intet magisk ved NSA eller organisationens værktøjer. Forskellen på NSA og alle de andre er jo bare, at NSA har et meget større budget," siger Bruce Schneier.

Han peger blandet andet på, at det tidligere NSA-værktøj ved navn XKeyscore til at indsamle og analysere i store datamængder nu kan findes tilsvarende på open source-markedet under navnet 'Bro'.

"En af forskellene på it-kriminelle og NSA er, hvor omfattende overvågningen og hackerangrebene er," fortæller Bruce Schneier og fremhæver angrebene på den amerikanske butikskæde Target som et eksempel på, hvor store datamængder it-kriminelle efterhånden kan indhente.

"40 millioner kreditkortnumre er da også rimelig stort," siger han om dét angreb.

Kryptering tiltrækker opmærksomhed

Bruce Schneier turnerer hele kloden rundt med foredrag om NSA, sikkerhed og kryptering.

Sådan pisser du NSA af

I disse foredrag gør han et stort nummer ud af at fortælle, at mange forskellige enheder, organisationer og selskaber overvåger os med forskellige formål.

"Google overvåger os jo ikke med sin dataindsamling på grund af den nationale sikkerhed som NSA, men fordi selskabet vil manipulere os psykologisk med reklamer," lyder det fra Bruce Schneier.

På samme vil de it-kriminelle også overvåge os med deres egne formål for øje, forklarer sikkerhedseksperten.

Derfor er han en varm fortaler for, at alle mennesker på internettet begynder at kigge på krypteringsteknikker som eksempelvis Ciscos LEAP (Lightweight Extensible Authentication Protocol) og TOR-projektet, hvor man kan surfe anonymt rundt på nettet.

Bruce Schneier peger på, at i NSA-sammenhæng er dette tekniske løsninger på, hvad han kalder et politisk problem, fordi overvågning åbenbart er en topprioritet.

"NSA kan ikke bryde TOR, og det pisser dem af," lyder det, og han fortsætter: 

"Og det er smartere at kryptere end ikke at kryptere, selvom NSA også indsamler krypterede data, og man samtidig lige pludselig bliver et interessant mål for efterretningstjenesterne, når man krypterer," fortæller Bruce Schneier.

Puff - og så er den væk?

Han fremhæver også, at mange unge i stigende grad bruger applikationer, hvor indholdet som i tilfældet med Snapchat forsvinder af sig selv efter et stykke tid.

Han er dog ikke helt overbevist om fidusen set fra et sikkerhedsmæssigt perspektiv.

"Hvordan kan vi egentlig vide, at det indhold også rigtigt forsvinder? Hvis NSA kommer, må den slags selskaber jo rette ind og udlevere data," siger Bruce Schneier.

At it-kriminelle skulle kunne tiltvinge sig adgang til den slags data med en dommerkendelse er i sagens natur helt usandsynligt, men de vil derimod kunne gøre, hvad de med Bruce Schneiers ord gør bedst: Stjæle.

Læs også: 
Overvågning: "Vi skal ikke være bekymrede - vi skal være vrede"

Verdensberømt sikkerhedsguru i Danmark: Derfor bliver du overvåget




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Højer og Lauritzen ApS
Distributør af pc- og printertilbehør.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere