すべて壊れた

情報セキュリティ問題を専門とするアメリカのジャーナリスト、クイン・ノートンが2014年5月にThe Mediumで公開した記事Everything is Brokenの翻訳を紹介します。 この記事では、情報技術の現代の世界と、セキュリティとデータプライバシーの問題の場所を検証します。 一部の場所の記事にはかなり厳しい批判が含まれていますが、その中で提起された問題は関連性があり、今日まで解決されていません。 最終的に、これは一部、ジャーナリストの仕事であり、不快な質問をします。

---

かつて、私の友人が何千台ものコンピューターを制御できました。 彼はソフトウェアに脆弱性を発見し、テストを開始しました。 その過程で、彼は、理論的には、このソフトウェアが使用されているネットワーク全体を完全に管理できることを認識しました。 彼はスクリプトをリモートサーバーにアップロードし、実行して何が起こるかを確認し、スリープ状態になりました。 翌朝、彼は作業の結果を確認することにしました。5万台のコンピューターにフルアクセスできることを発見したとき、彼は驚きました。 自分がしたことに対する責任に恐れ、すぐにプロセスを停止し、スクリプトを削除し始めました。 最終的に、彼は私に言ったように、彼はハードドライブを破壊し、それを火の中に投げ入れさえしました。 この人物の身元を明かすことはできません。なぜなら、彼が連邦刑務所にいることを望んでいないからです。 このバグは現在修正されているのではないかと思われますか？ たぶんそうかもしれませんが、確かに私の友人のおかげではありません。 この話はそれほど驚くことではありません。 ハッカーの段階で時間を費やすと、悪い話を聞くことになります。



多くの技術が非常に平凡に機能し、彼らの生活が長い間、押し線のようなITインフラストラクチャと密接に結びついていることを、一般の人々に説明することは困難です。



コンピューターとコンピューター技術-すべてが壊れています。

悪いことをすれば彼らは来る

私たちの多く、特にセキュリティと情報の不正傍受のケースを監視する人にとって、これらの啓示は大きな驚きではありません。 問題の詳細をすべて把握しているわけではありませんが、さまざまなソフトウェアを使用している人は、コンピューターテクノロジーが困難な時期を迎えていることを知っています。 私たちは長年、獲物を巡るタカのようにこれらの問題を利用する準備ができている人がいることを知っていました。 NSAは、インターネット上で最も危険な捕食者ではありません。 単に最大のガベージコレクターです。 しかし、彼らは数学の全能な魔術師だからではなく、彼らの仕事をうまくやっています。



NSAは、ソフトウェアが悪いだけでなく、その仕事をします。



エドワード・スノーデンの暴露の8ヶ月前に、私はこれをツイートしました：

すべてにゼロデイ脆弱性があり、すべてを追跡でき、あらゆる情報にアクセスでき、すべてが脆弱です。 彼の母親はすべて、すでにハッキングされています。

良いソフトウェアを見つけようとすることは最初から運命づけられていたのは私のイライラした入場でした。 当時十分なお金を持っていない人々によって開発されたほとんどのプログラムは、誰かが家に帰って家族を見ることができるようになったときに光を見ることができます。 最終的には、基本的にひどいです。



ソフトウェアは、コンピューター上の他のプログラムや他のコンピューター上の他のプログラムと対話するため、非常に複雑であるため、非常に悪いです。 あなたのコンピューターでさえ、コンピューター内のコンピューター、他のボックス内のボックスであり、これらのコンピューターのそれぞれは、互いに通信しようとする小さなプログラムでいっぱいです。 コンピューターは時間とともに複雑になり、人々は変わりません。



平均的なWindowsデスクトップは非常に複雑であるため、実際に動作するすべてを知っている人は誰もいません。



想像してみてください-他のボックス内の数十億のブラックボックスが、ほぼ同時に絶えず相互にやり取りしようとしています。 彼らはギガバイトのデータを共有し、小さなプログラムからブラウザなどの大きなプログラムにコマンドを送信します。 これがインターネットです。 選択した映画のチケットがどこかでバスケットから消えたため、これはすべて同時にスムーズに行われます。



私たちは、カジュアルゲームをプレイし、バーのトイレに置いている携帯電話が、前世紀にロケットを宇宙に打ち上げるために使用されていたすべてのコンピューティングパワーよりもはるかに大きなコンピューティングパワーを持っているという事実にしばしば注目されます。



NASAには、その時代のソフトウェアを作成して使用するために、天才の巨大なスタッフがいました。 あなたの電話はあなただけです。



さらに、自動更新を常に延期します。これは、リマインダーでCandy Crush Sagaのプレイを妨げるためです。



これらすべてのため、セキュリティは主に影響を受けます。 プログラムには既に十分な迷惑なエラーが存在するという事実に加えて、プログラムには多くの場合、0日と呼ばれる特別な種類の脆弱性があります。 ゼロデイからあなたを守るものは何もありません。 この用語の名前のゼロは、開発者が問題を修正しなければならない日数です。 危険な0日間はなく、危険があり、壊滅的です。 初めて会う人に家の鍵を渡すようなものです。 3種類すべての0日のデバイスでこれを読んでいることを保証します。 「しかし、クイン、誰も知らないなら、どうやってそれらについて知りましたか？」 それは、高品質のソフトウェアでさえ、はるかに少ない高品質と対話しなければならないからです。 ソフトウェアをより安全にすることが仕事である人々は、大きなバーに収まることができます。 彼らが一緒に飲んでいるのを見ました。 そして、それはコンソールしません。 問題は、脆弱性があるかどうかではなく、脆弱性がいつ悪用されるかです。











それは数年前に実際に起こったケースを指します。 あるソフトウェアのバグを修正するために、Debian開発者は別の行をコメントアウトしただけで、攻撃に対して暗号化システムが脆弱であることに気付いていませんでした。



反対側からこれを見てください-セキュリティ更新プログラムを適用するたびに（私の意見では、Linuxコンピューターでほぼ毎日）、潜在的な脆弱性が含まれている可能性があります。 そして、誰がいつまで続くかを知っています。 たぶん数日、多分。 更新のこの部分をアドバタイズする人はいません。 「この重要なパッチを適用する必要があります！」意味：「...開発者があなたの子供の個人データをエストニアのマフィアに既に販売している可能性が非常に高いためです」







本当に悪い間違い（そして、後で再起動するときにシステムに存在するものを知っているのは誰ですか？）ハッカー、政府、およびネットワークをスキャンして、使用されているソフトウェアのバージョンを特定するために悪用される可能性のある他の人によって悪用される可能性があります。 スキャンに成功したコンピューターは、「おい、私だ！ 私は脆弱です！」そして、次の数秒で、ボットネットの一部になり、他の何千、何十万ものコンピューターとなる可能性があります。 多くの場合、このようなコンピューターは再びハッキングされ、別のボットネットの所有物になります。 一部のボットネットは、インストール後に脆弱性を閉じてしまうため、コンピューターが「競合他社」にアクセスすることはありません。 そのような災害があなたに起こったことをどうやって知ることができますか？ まさか！ あなたのオンライン滞在がすでに時間単位で貸し出されている場合、それは面白いです。



次回、あなたはあなたの祖母がそれほどクールであるとは思わないでしょう、DDOS攻撃を手配することによってオフショアカジノから金を強要する彼女の危険なロシアの犯罪者に彼女の信用を与えます。









インターネットの国勢調査中にハッキングされたコンピューターを示す地図



少し前に、 あるハッカーが Linuxを実行している組み込みデバイスを制御するスクリプトを作成しました。 これらのジェイルブレイクされたデバイスは、インターネットの残りの部分をスキャンし、インターネットセキュリティについて私たちがこれまで知らなかった以上のことを伝えるレポートを作成しました。 ハッキングされた小さなメールボックスは完全なレポートを返し（合計で約10 TB）、ハッキングの事実を静かに無効にしました。 これは、惑星全体をたわごとと混ぜる方法の有用な例でした。 それが本当にマルウェアである場合、私たちは非常に難しい立場にいるでしょう。



これは、病院、政府、銀行、電話、信号機、監視スイッチ、スマートメーター、航空交通管制システムなど、ほとんどすべてのコンピューターの保護が不十分だからです。 インフラストラクチャと製造をサポートする産業用コンピュータはさらに保護されています。 すべての詳細を知っているわけではありませんが、これらの分野ではほとんどの人がセキュリティについて考えています。 私の別の友人は、侵入テストの最初に歪んだping要求を送信することで工場を停止しました。 知らない人にとっては、pingはネットワーク上のあるコンピューターから別のコンピューターに送信できる最小のリクエストです。 すべてを稼働状態に戻すのに1日かかりました。



コンピューターの専門家は、数学的完全性が高く、インターフェイスが競合他社と比較できない、まったく異なる、より優れたクラスのソフトウェアを使用しているふりをするのが好きです。 これは真実ではありません。 このようなソフトウェアの主なセキュリティ形態は不明です。このソフトウェアを使用する人はほとんどいないため、脆弱性を探すことは意味がありません。 まあ、あなたがNSAではなく、システム管理者を含めてあなたがスパイしたい場合にのみ。

さて、暗号化された質の高い書面チャット。 何がおかしいのでしょうか？

例として、平均的なユーザーが使用しないこれらのプログラムの1つ、OTRを見てみましょう。 OTR（Off The Record Messaging）は、メッセージングに使用され、プレーンテキストの上に暗号化レイヤーを提供します。 まるでAIMまたはJabberを使用しているか、またはそこで使用しているものと、コードシーケンスを使用して通信しているようです。 コンピューターはそのようなエンコードされたシーケンスを生成します。 OTRは有望で不可解な技術であり、徹底的に研究されており、上記のような不快な0日が含まれていないことは非常に確実です。



また、これに加えて、高い確率で、OTRは使用するプログラムではありません。



OTRをサポートするソフトウェアの仕様とライブラリがありますが、それでもそれらを使用することはできません。 まだあまり優秀ではない人々が使用するために、あまり優秀ではない人々によってソフトウェアに実装する必要があります。 今、あなたは通常涙で終わることを知っています。



OTRは、主にlibpurpleと呼ばれるライブラリで使用されます。 情報セキュリティスヌープが動揺しているのを見たい場合は、libpurpleを思い出してください。 LibpurpleはCと呼ばれるプログラミング言語で書かれています。



Cは、美しさのためと、メモリ操作で悲惨な0日の脆弱性を作成するための2つのことに適しています。











Heartbleed-世界中のサーバーに影響するバグ。 パスワード、暗号化キー、他に誰が知っているのか？ すべての栄光のクラシックC。



Libpurpleは、オープンソースのチャットが世界中のインスタントメッセージングシステムとやり取りすることを望み、セキュリティや暗号化の問題につまずかない人々によって書かれました。 コードを監査したセキュリティ専門家は、libpurpleの脆弱性を悪用する可能性のある方法は非常に多くあるため、修正する意味がないと述べました。 すべてを捨てて、ゼロから書き直してください。 これらは、暗号化されたメッセージを読むことができるバグではありません。 これらは、コンピューターにアクセスできるバグでした。入力したすべてのもの、読んだものすべてを見るため、そしておそらくウェブカメラを通してあなたの鼻を見ることができるでしょう。



この優れたツールであるOTRは、それを使用するほとんどのシステムでlibpurpleに実装されました。 いくつかのオタクでもまだ理解していないかもしれないので、私は何かを明確にしましょう：攻撃者がユーザーと一緒に画面からデータを読み取ることができれば、暗号化アルゴリズムがどれほど良いかは関係ありません。 彼らはこれを行う方法を知っているかもしれないし、まだ知らないかもしれませんが、それでもそのような機会があります。 お使いのコンピューターには、数百のそのようなライブラリがあります。システムの残りのセキュリティを知らない、または気にしない、限られた予算と時間を持つ人々によって開発された小さなソフトウェアコンポーネントです。



それらで許可されている小さなバグを使用して、コンピューター上の他のすべてにアクセスできます。 私たちは何度も更新されており、新しい更新がユーザーデータを保護できる可能性があります。 またはそうでないかもしれません。 誰も知らない。



新しい更新プログラムを適用する必要があることを通知しても、船の修理が必要だとは言いません。 首に届くよりも早く水をすくう必要があると言います。



トピックから少し離れて、このすべての恐怖と混乱から離れるために、状況は以前よりも良くなったと言いましょう。 90年代にはなかったツールがあります。たとえば、潜在的に脆弱なプログラムが起動されるサンドボックスなど、システムの残りの部分にそれほど害を与えないツールです。 （サンドボックスは、プログラムをコンピューターの小さな人工的な部分に保持し、他のプログラムとの対話から切り離したり、プログラムによって生成されたすべてのデータを最初から最初まで破棄したりします。）



ひどい過ちの全種に対する闘争の歴史は、天然poに対する人類の闘争の歴史に類似していた。 セキュリティはこれまで以上に重要になり、24時間体制でマルウェアの拡散に苦労している組織があります。 しかし、彼らは本当に時代に追いつくことができません。 このような問題の生態系は、10年前よりもはるかに広くなっており、今では進歩できるとは信じられません。

ところで、人々も壊れています。

「私はあなたを信頼しています...」は、私の匿名の情報源から最も聞きたくないフレーズです。 間違いなく、彼らが私に開示すべきではないという情報が続くでしょう。 しかし、個人が信頼できる人と個人的なものを共有することは、非常に一般的です。 そのような場合、私は通常、彼らのすべてのデータが宛先に到達する前に無数のサーバー、スイッチ、ルーターを通過することを対話者に思い出させます。 これは明らかだと思いますが、私はそれを同じように繰り返します。人々はこれらのことを決して考えません。



誰もソフトウェアを正しく使用できません。 絶対に誰もが間違っています。 OTRは最初のメッセージの後にのみ暗号化を開始します。これは、20か国の情報セキュリティおよびハッカーの分野の主要な専門家が見落としている事実です。 すべての公開鍵と秘密鍵を管理して、すべてのデバイス、サイト、およびアカウントのセキュリティを確保することは理論的には可能です。 虫垂炎を切るのと同じ成功を収めています。 これも理論的には可能です。 一人の男が無煙炭でこれをしました 、なぜあなたはできないのですか？







私が知っているすべてのマルウェアの専門家で、彼らはその前にそれを勉強するのではなく、ある種の疑わしいプログラムを誤って実行したことが起こりました。 私はこれを知っています。なぜなら、これが私に起こったら、感染したPDFファイルを開いたからです。 もちろん、私の友人は私を笑ったが、その後、彼らも同様の過ちを犯したことを冷静に認めた。 マルウェアの分野の主要な専門家がすべての感染ファイルを追跡できない場合、親が送信したとされる電子はがきを開かないことを望みます。



毎日受信するメールはどこからでも送信できます。メールメッセージのFromヘッダーに任意のアドレスを書き込むことができます。また、添付ファイルの実行可能ファイル（Word、Excel、PDFファイルなど）は、オープニング。 これはおそらくあなたの祖母がロシアの犯罪者のために働き始めた理由と、競合他社が発表のずっと前にあなたの計画について知る理由の質問に対する答えでしょう。 一方、添付ファイルの表示を避けた場合、これは現代世界の事務作業をサポートできないことを意味します。 それがすべての選択です：マルウェアに感染するリスクを常に受け​​たり、橋の下に住んで、以前の家の芝生にメモを残して、子供たちにあなたがどのように愛し、どのように逃したかを伝えます



データセキュリティおよびプライバシーの専門家は、このような問題を一般に通知しますが、このすべての情報を追跡することは、毎朝血液検査を受けるのと同じくらい珍しく困難です。自分のプライバシーを無視することの結果は、社会にとって恐ろしいことです。そして、個々のケースでは、結果はさらに悪化します。そして、これはすべて、私たちが自分自身のために、私たちの家族のために、そして私たちが人間として生き残るために何をしなければならないかの間の消耗の真の戦争です。これは真のメキシコの決闘であり、企業に支えられ、政府に支配されています。



私はこの中に住んでいて、私はましです。ある日、匿名の情報源から身元の確認を求められました。場所と時刻を示す写真を撮らなければなりませんでした。それらをダウンロードして、ソースへのアクセスを許可する必要がありました。最終的に、ファイルの転送前に神経質にコンピューターの電源を切ったため、IDの確認を延期する必要がありました。「どうして？」私は彼に尋ねました。彼は答えた：「あなただけがとても愚かだから」。



Touché。



しかし、私が、これらのことに常に注意を向けようとする訓練された人であれば、そのようなことを認め、普通の人々について話すことができます。

そして最後に、文化も壊れています

数年前、私はソフトウェアのセキュリティ問題に関係するかなり尊敬されている人々の間で調査を行いました。



まず、私は何かを説明する必要があります。



ほとんどのユーザーは、使用するコンピューターにソフトウェアをインストールする権利がありません。



つまり、ほとんどのコンピューターユーザーは所有者ではありません。彼がインターネットカフェにいるのか、学校にいるのか、職場にいるのかにかかわらず、そのようなコンピューターに自分のコンピューターをインストールするのはそれほど簡単なことではありません。データのセキュリティと機密性を確保しようと絶望している私に毎週または2人の人々が私に連絡しました。私は彼らを助けたいです。私は彼らに「このプログラムをダウンロードしてください...」と書いて、そこで終わります。しかし、人々が私に次に書くことは、彼らのコンピューターにこのソフトウェアをインストールできないということです。通常、これは、IT部門でネットワーク管理のフレームワークでユーザー権利の制限が確立されたために発生しました。これらの人々には、限られた権限で動作するアプリケーションが必要でした。ほとんどの場合、ブラウザーを意味します。



それで、ハッカー、コンピューターセキュリティの専門家、プログラマーに次の質問をしました。「権利の制限のためにコンピューターに新しいソフトウェアをダウンロードしてインストールできない場合はどうすればいいですか？」すべてが満場一致で答えた：「何もない」。彼らはそのような場合に何をすべきかを知りませんでした。プレーンテキストで話すのをやめた方が良いと思いますが、彼らは私に言った：「しかし、彼らは誤った安心感を持っていません。」彼らが最高のソフトウェアにアクセスできなければ、彼らは彼らを見ている人々に干渉してはならないと言われました。しかし、これらの人々は活動家、主催者、政府に対処するジャーナリスト、企業、および人々に真の害を及ぼす犯罪組織になりうることを説明しようとしました。これらの人々は大きな危険にさらされています。この場合、彼らはコンピューターを取得し、彼らのために働くべきだと言われました。



答えは次のとおりです。自分のコンピューターを購入したり踏みつけたりするのに十分な金持ちになる。私は彼が十分ではないことを人々に話しましたが、それはすべてTwitterで小さな小競り合いで終わり、それから私たちは別れました。



その後まもなく、私たちの理解がどこに行ったかに気付きました。私は再びこの会話に戻り、専門家に説明しようとしました。最も危険な状況でさえ、人々が本当の危険にさらされているとき、武装した人々が彼らを捜し始めたときでさえ、暗号化とプライバシーが助けにならないときでさえ-それでさえ人々は出版をやめません。彼らは彼らが到達されないことを望んでいます。



同じ理由がここにあります。これは、勝つ可能性が低いにもかかわらず、数千年間宝くじが存在することを可能にします。「すべてがうまくいくかもしれませんが、試してみる価値があるかもしれません」



敵対的な組織に直面して、技術に精通した活動家は、通信において注意を払おうとします。この問題では、それらはAnomymousと同じくらい良いです。それ以外の場合、人々はメタデータを心配し、ソーシャルネットワークに注意を払い、最初のOTRメッセージのようなことに注意する必要があると警告されます。人々は順応しています。



これらのインタビューは、組織やジャーナリストの活動家である人々がそのような危険なことを定期的に処理していることを理解していない一部の対話者にとっては驚くべき鐘でした。その結果、これらの対談者は私の側に立ち、不完全なものでさえも何もないよりはましだということに気付きました。しかし、他の多くの人たちは、完璧なコードが書かれている理想的な世界に今も生きています。







というintelligence報機関がありますIC。そして、私たちが絶えず私たちをスパイするのをやめたら、彼らは私たちを好きにすることができます。



彼らと時間を過ごした後、私は彼らがすべての苦情を無視する理由を理解しています。 ICは、歴史上最大の盗聴組織の1つです。彼らは慎重に情報を収集し、同僚、上司、弁護士、他の機関の従業員、大統領、そして時には議会の一部のメンバーについてもよく知っています。彼らの人生は注目されており、彼らはそれについて不平を言っていません。



監督を強化するためのすべての要求にもかかわらず、人はそれらを無視するでしょう、それは彼の性質です。同じことを続けながら、これが悪いことをエージェントに説明するつもりはありません。



抜け穴は常に存在し、抜け穴が存在する限り、または同じことを異なって解釈できる限り、盗聴は可能な限り行われます。人々はほとんど利己的な生き物です。エージェントは、人間として、情報を秘密にせずに生活するのが悪い理由を決して知らないでしょう。



ただし、これは氷山の一角にすぎません。スパイの可能性を促進するために彼らがしていることは文化的な災害です。これらのことで最も気がかりなのは、0dayマーケット、エクスプロイトの導入、標準の弱体化です。問題は、これらすべてのエクスプロイト、盗聴、メッセージの復号化、およびデータ収集により、おそらく安全であると主張するために誰が「私たち」の一部になりたいかということです。彼らが攻撃したときStuxnetウイルスを使用し、他のすべての原子力施設を脆弱な状態にしたことで、私たちは、この問題で「私たち」が直接ICで始まり、直接終わることを社会に静かに伝えました。そしてこれが最大の危険です。



ICまたは国防総省または行政府が自分自身を真のアメリカ人と見なし、残りがアメリカ人、またはアメリカに関係のない人々にさえ従属している場合、時間の経過とともに草の下にいることができ、水よりも静かになります。



私たちは、ICの観点から、権利と尊敬の価値がますます少なくなっています。 NSAがエクスプロイトを導入し、インフラストラクチャの暗号保護を防止する場合、NSAの一部ではない人々に対してこれらのエクスプロイトを使用するだけで、修正することはできません。身を守ることができて初めて、自分自身を守ることができます。



理論上、私たちが兵士を尊重する理由は、人々の利益のために自分自身を犠牲にするために、兵士の名誉を守ることである特定の慣習があるためです。しかし、NSAでは、すべてが正反対です。私たちの幸福は、世界を観察する彼らの仕事を容易にするために犠牲にされます。それが権力のカルトの一部であるとき、それはその虐待にのみ貢献します。



しかし、すべての文化的問題の最大のものは、私がまだ考えていない別のグループにあります。普通の人々、この狂気のすべての隣で生活しています。



一般のユーザーや技術の問題は、政治家や一般の人々の問題、あるいは社会全体の問題とまったく同じです。人々は自分が無力で一人であると信じていますが、自分が無力で一人であると信じさせる唯一のことは信仰そのものです。一緒に働く人々は非常に強力です。



もちろん、同じ夢を共有する人々ができることには限界がありますが、私たちはまだそれを見つけていません。



FacebookとGoogleは非常に強力に見えますが、完全に台無しになったため、この場合は約1週間それらを分離します。彼らは、ソーシャルネットワークからの個人の削除に対する「手数料」が高いことを知っていますが、大規模な場合、実質的に存在しません。 Windowsはより良いものに置き換えることができます。米国政府は、数日のうちに大規模な抗議行動により辞任する場合があります。もちろん、これはすべての問題を解決するものではありません。なぜなら、企業と政府は死ぬよりもむしろ要求を受け入れるからです。これらの組織は、彼らと逃げることができるすべてを行っていますが、これがまさに我々が逃げようとしているものであることを忘れています。



コンピューターはデータのセキュリティとプライバシーを提供しません。数学的に不可能だからではありません。データを安全に暗号化するための多くの方法、プライバシーを確​​保するための多くの方法があり、デフォルトでコンピューターの動作を改善します。これは、それほど賢い人がいないからではありません。私たちが要求しないので、これは起こりません。



そう、そう、オタク、彼らの指導者、エージェント、軍隊は世界を厄介な立場に置いた。しかし、最終的に、これは一緒に行動する人々の仕事です-それを通常に戻すこと。

---

小さな投票を追加しました：