211service.com
Bør regeringen fortsætte med at oplagre softwarefejl?
De bedste i det amerikanske efterretningssamfund holder mund om softwaresårbarheder.
Mens støvet lægger sig fra det globale ransomware-angreb, der har forkrøblet systemer i mere end 150 lande siden fredag, er den amerikanske regerings skyggefulde proces til at indsamle og afsløre softwaresårbarheder igen under lup.
Der er masser af skyld at gå rundt for omfanget og effektiviteten af angrebet, hvor en ransomware-virus kaldet WannaCry – såvel som WannaCrypt og Wanna Decryptor – udnyttede en sårbarhed i Windows XP. For det første stoppede Microsoft med at understøtte den version af sit operativsystem i 2014 , så enhver, der brugte den forældede software, tog en risiko. (Når Microsoft var klar over, at sårbarheden blev udnyttet, udgav den hurtigt en rettelse til fejlen - et usædvanligt trin for så gammel software.)
Brad Smith, Microsofts præsident og ledende juridiske rådgiver, sagde, at regeringen også var skyld i, da det ser ud til, at angriberne brugte en udnyttelse, der blev stjålet fra NSA af en gruppe kaldet Shadow Brokers. I en blogindlæg , kritiserede han praksis med oplagring af sårbarheder. Vi har brug for regeringer til at overveje skaden på civile, der kommer fra at hamstre disse sårbarheder og brugen af disse udnyttelser, skrev han.
Den amerikanske regering har et system på plads til at afveje risikoen ved enten at afsløre en kritisk softwaresårbarhed eller holde den hemmelig. Men meget lidt er offentligt forstået om, hvordan den såkaldte Vulnerabilities Equities Process (VEP) fungerer. Privatlivsforkæmpere har længe efterlyst større gennemsigtighed, med kun beskeden succes.
VEP menes at have eksisteret siden 2010, men forblev en hemmelighed indtil 2014, hvor hvide Hus og Direktør for National Efterretningstjeneste hver udgivet udtalelser, der benægter en Bloomberg rapport at NSA i årevis havde kendt til og brugt en udbredt sårbarhed i måden kommunikation over internettet krypteres på kaldet Heartbleed. Michael Daniel, præsident Obamas cybersikkerhedskoordinator, hævdede, at administrationen havde etableret en disciplineret, stringent og beslutningsproces på højt niveau for afsløring af sårbarhed.
Hvorvidt den føderale regering skal tilbageholde viden om sådanne sårbarheder, kan forekomme klart for nogle, Daniel sagde dengang , men virkeligheden er meget mere kompliceret. Afsløring af en sårbarhed kan få USA til at give afkald på en mulighed for at indsamle afgørende efterretninger, der kan forpurre et terrorangreb, sagde han. Ikke desto mindre var regeringens beslutningsproces forudindtaget i retning af ansvarlig afsløring af sårbarheden.
I januar 2016 udgav regeringen, takket være et Freedom of Information Act retssag fra Electronic Frontier Foundation, en delvist redigeret dokument forklarer VEP. Det efterlod uklart, præcis hvordan en beslutning træffes, hvem der træffer den, og hvor mange hemmelige sårbarheder regeringen har i sin besiddelse. Jason Healey , forsker ved Columbia University og senior fellow ved Atlantic Council, for nylig anslået at antallet er i snesevis.
De seneste begivenheder har rejst tvivl om, at systemet faktisk er forudindtaget i forhold til afsløring, som Daniel hævdede. I en nyere forskningsartikel , konkluderede Healey, baseret på interviews og offentlige udtalelser fra regeringen om VEP, at NSA næsten helt sikkert burde have afsløret sårbarhederne i et tidligere læk fra Shadow Brokers til berørte virksomheder, herunder Cisco, Juniper og Fortinet. FBI skulle også have fortalt Apple om den sårbarhed, det brugte til at få adgang til iPhone fra en af skytterne i San Bernardino-terrorangrebene sidste år, skrev Healey.
Desværre ser udsigten til bedre gennemsigtighed - og den ansvarlighed, det ville medføre - ikke ud til at være udestående. VEP er kontrolleret af den udøvende gren af den føderale regering, uden offentligt tilsyn. Medmindre Trump-administrationen beslutter at ændre det, vil vi sandsynligvis forblive i mørket. Indtil det næste store cyberangreb, altså.