Hvis dette er cyberkrig, hvor er alle cybervåben?

Ligesom atombomben i Anden Verdenskrigs aftagende dage, syntes computervirussen kendt som Stuxnet, opdaget i 2010, at indlede en ny æra af krigsførelse. I cyberkrigens æra advarede eksperter om, at tavse, softwarebaserede angreb vil træde i stedet for sprængstofforordninger, kampvogne og maskingeværer eller i det mindste sætte scenen for dem.

Eller måske ikke. Næsten fire år efter, at det første gang blev identificeret offentligt, er Stuxnet en anomali: det første og eneste cybervåben, der nogensinde er kendt for at være blevet indsat. Nu vil nogle eksperter i cybersikkerhed og kritisk infrastruktur gerne vide hvorfor. Er der færre realistiske mål end antaget? Er sådanne våben sværere at konstruere end indset? Eller er den nuværende generation af cybervåben simpelthen for godt skjult?

Sådanne spørgsmål var i hovedet på verdens bedste eksperter i sikkerheden af ​​industrielle kontrolsystemer i sidste uge ved det årlige årsmøde S4 konference uden for Miami. S4 samler verdens bedste eksperter i sikkerheden af ​​atomreaktorer, elnet og samlebånd.

Hos S4 var der bred enighed om, at - længe efter at Stuxnets navn er forsvundet fra overskrifterne - er industrielle kontrolsystemer som Siemens Programmerbare Logic Controllere stadig sårbare.

Eireann Leverett , en sikkerhedsforsker hos firmaet IOActive , fortalte deltagerne på konferencen, at almindelig sikkerhedspraksis i verden af ​​virksomhedsinformationsteknologi stadig er usædvanlig blandt leverandører, der udvikler industrielle kontrolsystemer (se Beskyttelse af strømnet fra hackere er en kæmpe udfordring). Leverett bemærkede, at moderne industrielle kontrolsystemer, som sælges for tusindvis af dollars pr. .

Det er også klart, at i årene siden Stuxnet kom frem i lyset, har både udviklede lande og udviklingslande grebet cyberoperationer som en frugtbar ny vej til forskning og udvikling (se Velkommen til Malware Industrial Complex). Laura Galante, en tidligere efterretningsanalytiker fra det amerikanske forsvarsministerium, som nu arbejder for firmaet Mandiant , sagde, at USA ikke kun sporer aktiviteterne i nationer som Rusland og Kina, men også Syrien og Stuxnets foretrukne mål: Iran. Galante sagde, at cybervåben giver mindre, fattigere nationer en måde at udnytte asymmetrisk kraft mod meget større fjender.

Alligevel kræver virkelig effektive cybervåben ekstraordinær ekspertise. Ralph Langner , måske verdens øverste autoritet på Stuxnet-ormen, hævder, at den blotte hacking af kritiske systemer ikke tæller som cyberkrigsførelse. For eksempel skabte Stuxnet overskrifter for at bruge fire udnyttelser til nul dages (eller tidligere uopdagede) huller i Windows-operativsystemet. Men Langner sagde, at den metallurgiske ekspertise, der var nødvendig for at forstå konstruktionen af ​​Irans centrifuger, var langt mere imponerende. De, der skabte Stuxnet, havde brug for at kende den nøjagtige mængde tryk eller drejningsmoment, der var nødvendige for at beskadige aluminiumsrotorer i dem, hvilket saboterede landets uranberigelsesoperation.

At koncentrere sig om softwarebaserede værktøjer, der kan forårsage fysisk skade, sætter en meget højere barre for diskussioner om cybervåben, hævder Langner. Efter den standard var Stuxnet et sandt cybervåben, men Shamoon-angrebet i 2012 mod oliegiganten Saudi Aramco og andre olieselskaber var det ikke, selvom det slettede harddiskene på de computere, det inficerede.

Nogle hævder, at betingelserne for at bruge et sådant destruktivt cybervåben simpelthen ikke er opstået igen - og det vil sandsynligvis ikke være det i et stykke tid. Operationer som Stuxnet - stealth-projekter designet til langsomt at forringe Irans berigelsesevne over år - er undtagelsen snarere end reglen, sagde Thomas Rid fra afdelingen for krigsstudier ved Kings College i London. Der er ikke for mange mål, der ville egne sig til en hemmelig kampagne, som Stuxnet gjorde, sagde Rid.

Rid fortalte deltagerne, at kvaliteten af ​​den intelligens, der er indsamlet om et bestemt mål, gør forskellen mellem et effektivt cybervåben og et flop.

Det er også muligt, at andre cybervåben er blevet brugt, men omstændighederne omkring deres brug er hemmelige, låst inde af regeringer som klassificerede oplysninger eller beskyttet af strenge fortrolighedsaftaler.

Langner, som arbejder med nogle af verdens førende industrivirksomheder og regeringer, sagde faktisk, at han kender til et andet sandt fysisk cyberangreb, det her knyttet til en kriminel gruppe. Men han ville ikke tale om det.

Fagfolk inden for industrikontrol og akademikere klager over, at den information, der er nødvendig for at forske i fremtidige angreb, holdes ude af det offentlige domæne. Og offentlige forsyningsselskaber, industrivirksomheder og ejere af kritisk infrastruktur er netop nu ved at blive opmærksomme på, at systemer, de antog, var afspærret fra det offentlige internet, meget ofte ikke er det.

I mellemtiden driver teknologien endnu hurtigere og transformerende ændringer som en del af det, der kaldes tingenes internet. Allestedsnærværende internetforbindelse kombineret med billige og bittesmå computere og sensorer vil snart give autonome systemer mulighed for at kommunikere direkte med hinanden (se Sikring af det smarte hjem, fra brødristere til toiletter).

Uden ordentlige sikkerhedsfunktioner indbygget i industriprodukter fra start, øges potentialet for angreb og fysisk skade dramatisk. Hvis vi fortsætter med at ignorere problemet, vil vi være i dybe problemer, sagde Langner.

skjule