For en sikkerheds skyld skal vi bremse innovationen i internetforbundne ting

Det mener sikkerhedsekspert Bruce Schneier, der frygter, at liv vil gå tabt i en cyberkatastrofe, medmindre regeringer handler hurtigt. Ved

• Martin Giles arkiv side

6. september 2018

En Rong Xu

Smarte gadgets er overalt. Chancerne er, at du har dem på din arbejdsplads, i dit hjem og måske på dit håndled. Ifølge et skøn fra analysefirmaet Gartner vil der være over 11 milliarder internetforbundne enheder (ekskl. smartphones og computere) i omløb på verdensplan i år, næsten det dobbelte af antallet for blot et par år siden.

Mange milliarder flere vil snart komme online. Deres tilslutning er det, der gør dem så nyttige, men det er også et cybersikkerhedsmareridt. Hackere har allerede vist, at de kan kompromittere alt fra forbundne biler til medicinsk udstyr, og advarsler bliver stadig højere om, at sikkerheden bliver forkortet i stormløbet for at bringe produkter på markedet.

I en ny bog kaldet Klik her for at dræbe alle , hævder Bruce Schneier, at regeringer skal træde til nu for at tvinge virksomheder, der udvikler forbundne gadgets, til at gøre sikkerhed til en prioritet frem for en eftertanke. Forfatteren til et indflydelsesrigt nyhedsbrev om sikkerhed og blog , Schneier er fellow ved Berkman Klein Center for Internet and Society ved Harvard University og underviser i offentlig politik ved Harvard Kennedy School. Blandt andre roller er han også i bestyrelsen for Electronic Frontier Foundation og er teknologichef for IBM Resilient, som hjælper virksomheder med at forberede sig på at håndtere potentielle cybertrusler.

Schneier talte med MIT Technology Review om de risici, vi løber i en stadig mere forbundet verden, og de politikker, som han mener, der er et presserende behov for at imødegå dem.

Titlen på din bog virker bevidst alarmerende. Er det bare et forsøg på at juice-salg?

Det lyder måske som at udgive clickbait, men jeg prøver at gøre opmærksom på, at internettet nu påvirker verden på en direkte fysisk måde, og det ændrer alt. Det handler ikke længere om risici for data, men om risici for liv og ejendom. Og titlen påpeger virkelig, at der er fysisk fare her, og at tingene er anderledes, end de var for bare fem år siden.

Hvordan ændrer dette skift vores opfattelse af cybersikkerhed?

Vores biler, vores medicinske udstyr, vores husholdningsapparater er nu alle computere med ting knyttet til dem. Dit køleskab er en computer, der holder tingene kolde, og en mikrobølgeovn er en computer, der gør tingene varme. Og din bil er en computer med fire hjul og en motor. Computere er ikke længere kun en skærm, vi tænder og kigger på, og det er den store forandring. Hvad der var computersikkerhed, dets eget særskilte område, er nu alt sikkerhed.

En Rong Xu

Du har fundet på et nyt udtryk, Internet+, for at indkapsle dette skift. Men vi har allerede sætningen internet of things til at beskrive det, gør vi ikke?

Jeg hadede at skulle lave endnu et buzzword, fordi der allerede er for mange af dem. Men tingenes internet er for snævert. Det refererer til de tilsluttede apparater, termostater og andre gadgets. Det er bare en del af det, vi taler om her. Det er virkelig tingenes internet plus computerne plus tjenesterne plus de store databaser, der bygges plus internetvirksomhederne plus os. Jeg har lige forkortet alt dette til Internet+.

Lad os fokusere på den amerikanske del af den ligning. Du siger i bogen, at vi er ved at blive virtuelle cyborgs. Hvad mener du med det?

Vi er allerede tæt knyttet til enheder som vores telefoner, som vi kigger på mange gange om dagen, og søgemaskiner, der ligner vores online hjerner. Vores strømsystem, vores transportnetværk, vores kommunikationssystemer er alle på internettet. Hvis det går ned, går samfundet i høj grad i stå, fordi vi er så afhængige af det på alle niveauer. Computere er endnu ikke bredt indlejret i vores kroppe, men de er dybt indlejret i vores liv.

Kan vi ikke bare trække os selv lidt ud for at begrænse risiciene?

Det bliver sværere og sværere at gøre. Jeg forsøgte at købe en bil, der ikke var forbundet til internettet, og det lykkedes ikke. Det er ikke, at der ikke var nogen biler til rådighed som denne, men dem i det sortiment, jeg ønskede, kom alle med en internetforbindelse. Selvom det kunne slås fra, var der ingen garanti for, at hackere ikke kunne tænde det igen eksternt.

Hackere kan også udnytte sikkerhedssårbarheder i én slags enhed til at angribe andre, ikke?

Det er der mange eksempler på. Mirai-botnettet udnyttede sårbarheder i hjemmeenheder som DVR'er og webcams. Disse ting blev overtaget af hackere og brugt til at lancere et angreb på en domænenavnsserver, som derefter slog en masse populære websteder offline. Hackerne, der angreb Target, kom ind i detailhandlerens betalingsnetværk gennem en sårbarhed i IT-systemerne hos en entreprenør, der arbejder på nogle af dens butikker.

Sandt nok, men disse hændelser førte ikke til tab af liv eller lemmer, og vi har ikke set mange sager, der involverer potentiel fysisk skade endnu, vel?

Det har vi ikke. De fleste angreb involverer stadig krænkelser af data, privatliv og fortrolighed. Men vi går ind i en ny æra. Jeg er naturligvis bekymret, hvis nogen stjæler mine lægejournaler, men hvad hvis de ændrer min blodtype i databasen? Jeg vil ikke have, at nogen hacker min bils Bluetooth-forbindelse og lytter til mine samtaler, men jeg vil virkelig ikke have, at de skal deaktivere styringen. Disse angreb på systemernes integritet og tilgængelighed er dem, vi virkelig skal bekymre os om i fremtiden, fordi de direkte påvirker liv og ejendom.

Der har været masser af diskussion i USA i år om cybertrusler mod kritisk infrastruktur som elnet og dæmninger. Hvor alvorlige er disse?

Vi ved, at russiske hackere mindst to gange har slukket for strømmen til dele af Ukraines net som en del af en bredere militærkampagne. Vi ved, at nationalstatshackere er trængt ind i systemer hos nogle amerikanske elselskaber. Disse hacks har været udforskende og har ikke forårsaget skade, men vi ved, at det er muligt at gøre det. Hvis der er militære fjendtligheder mod USA, må vi forvente, at disse angreb vil blive brugt. Og USA vil bruge dem mod vores modstandere, ligesom vi brugte cyberangreb til at forsinke atomprogrammerne i Iran og Nordkorea.

Hvilke konsekvenser har alt dette for vores nuværende tilgang til computersikkerhed, såsom at udstede patches eller rettelser til softwarefejl?

Patching er en måde at genvinde sikkerheden. Vi producerer systemer, der ikke er særlig gode, finder derefter sårbarheder og retter dem. Det fungerer godt med din telefon eller computer, fordi omkostningerne ved usikkerhed er relativt lave. Men kan vi gøre dette med en bil? Er det okay pludselig at sige, at en bil er usikker, en hacker kan styrte den ned, men bare rolig, for der kommer en patch ud i næste uge? Kan vi gøre det med en indbygget pacemaker? Fordi computere nu påvirker verden på en direkte, fysisk måde, har vi ikke råd til at vente på rettelser.

Men vi har allerede meget strenge sikkerhedsstandarder for software, der bruges i følsomme cyberfysiske domæner som luftfart, gør vi ikke?

Okay, men det er meget dyrt. Disse standarder er der, fordi der allerede er stærk regeringsregulering i denne og nogle få andre industrier. I forbrugsvarer har du ikke det niveau af sikkerhed og sikkerhed, og det skal ændres. Markedet lige nu belønner slet ikke sikker software her. Så længe du som virksomhed ikke vil vinde yderligere markedsandele på grund af at være mere sikker, kommer du ikke til at bruge meget tid på problemet

Så hvad skal vi gøre for at gøre Internet+-æraen mere sikker?

Der er ingen industri, der har forbedret sikkerhed eller sikkerhed, uden at regeringer har tvunget den til at gøre det. Igen og igen sparer virksomheder på sikkerheden, indtil de er tvunget til at tage det alvorligt. Vi har brug for, at regeringen går op her med en kombination af ting, der er rettet mod virksomheder, der udvikler internetforbundne enheder. De omfatter fleksible standarder, stive regler og hårde ansvarslove, hvis bøder er store nok til alvorligt at skade en virksomheds indtjening.

Men vil ting som strenge ansvarslove ikke have en afkølende effekt på innovation?

Ja, de vil afkøle innovation - men det er det, der er brug for lige nu! Pointen er, at innovation i Internet+-verdenen kan dræbe dig. Vi afkøler innovation inden for ting som lægemiddeludvikling, flydesign og atomkraftværker, fordi omkostningerne ved at tage fejl er for store. Vi er forbi det punkt, hvor vi skal diskutere regulering versus ingen regulering for forbundne ting; vi skal diskutere smart regulering versus dum regulering.

Der er dog en grundlæggende spænding her, er der ikke? Regeringer kan også lide at udnytte sårbarheder til spionage, retshåndhævelse og andre aktiviteter.

Regeringer er bestemt krybskytter såvel som vildtholdere. Jeg tror, ​​vi vil løse denne langvarige spænding mellem angreb og forsvar til sidst, men det bliver et langt, hårdt slag at nå dertil.

Din bog fokuserer i høj grad på USA. Tror du, det vil tage føringen her?

Jeg fokuserer på USA, fordi det er der, de store teknologivirksomheder er placeret, og det er det regime, jeg kender bedst, men jeg taler også en del om Europa. Den Europæiske Union er den regulerende supermagt på denne planet lige nu. Jeg tror, ​​det kommer til at gå længere og hurtigere end USA. I USA ser jeg mere til staterne, og specifikt Massachusetts, New York og Californien.

Jeg tror også, at der vil være internationale traktater og normer, der sætter noget af vores forbundne infrastruktur ude af grænser for nationalstaters cyberangreb, i det mindste i fredstid. Vi har et presserende behov for handling på alle niveauer nu, fra lokalt til internationalt. Min største frygt er, at der vil være en cyberkatastrofe, og at regeringer vil skynde sig hovedkulds til at implementere foranstaltninger, uden en masse omtanke, som ikke vil løse problemet.

skjule