Fire urelaterte sikkerhetshistorier kom frem i løpet av de siste ukene. En forsker oppdaget at en ettermontert bilalarm kalt KARR — installert i anslagsvis over 2 millioner kjøretøy — kan låses opp, deaktiveres eller slås av i stillhet av hvem som helst innenfor Bluetooth-rekkevidde. En trusselforsker hos Bitsight oppdaget at en populær, billig strømmeenhet, H96, i årevis i det stille har leid ut eiernes internettforbindelser og klikket på falske annonser mens den utga seg for å være en mobiltelefon. En hacker erklærte seg skyldig i datainnbrudd knyttet til opplysningene til over 100 millioner mennesker. Inntrengningen skjedde ikke gjennom en smart utnyttelse, men via kundepassord som hadde ligget der siden en infostealer-infeksjon flere år tidligere, på kontoer der flerfaktorautentisering aldri var slått på. Og forskere demonstrerte at skadevare under de rette omstendighetene kan hente ut passnøkler som er synkronisert gjennom Google Password Manager — selve systemet mange av oss tok i bruk nettopp for å komme bort fra risikoen ved passord.
Lest hver for seg er dette fire forskjellige problemkategorier: en maskinvarefeil, et svindelopplegg i leverandørkjeden, et datainnbrudd i en virksomhet og et problem i kryptografisk implementering. Men de har en felles rotårsak som ikke har noe med teknologien det gjelder å gjøre. I hvert tilfelle ble det sårbare installert, aktivert eller opprettet én gang — og så så ingen på det igjen.
Mønsteret under overskriftene
Sikkerhetsgjeld hoper seg opp akkurat på de områdene du slutter å følge med på. En bilalarm blir montert som del av en tilleggspakke hos forhandleren og dukker aldri opp i tankene dine igjen før den er grunnen til at bilen din havnet i andres hender. En strømmeenhet blir koblet til TV-en, fungerer fint i årevis og gir aldri fra seg et varsel fordi den fortsatt spiller av det du ba den om å spille av — annonsebedrageriet og delingen av båndbredde foregår usynlig ved siden av. En påloggingsopplysning blir opprettet, fungerer når du får en påloggingsforespørsel, og blir så liggende i en database i årevis etter at enheten som lekket den, for lengst er glemt, fordi det å bytte et passord du ikke tenker på, ikke er en oppgave noen setter i kalenderen. En passnøkkel blir satt opp spesifikt for å være «sikrere enn et passord», og dette ryktet blir en grunn til å slutte å tenke på hva som beskytter enheten den ligger på.
Ingen av disse tilfellene krevde en sofistikert angriper som måtte finne en ny type feil ingen hadde forutsett. Bilalarmen og tyveriet av passnøkler involverte riktignok reell teknisk forskning. Men det som faktisk gjorde at skaden kunne skje i stor skala, var gapet mellom «satt opp én gang» og «aldri kontrollert igjen».
En 20-minutters gjennomgang av ting du allerede eier
Du trenger ikke kjøpe noe eller bli en annen type person for å lukke det meste av dette gapet. Du trenger én gjennomgang av kategoriene ovenfor, behandlet som et tilbakevendende gjøremål i stedet for en engangsoppgave ved oppsett.
1. Ettermonterte enheter og tilleggsutstyr
Gå gjennom alt som ble installert av en tredjepart i stedet for å være innebygd — bilalarmer, dashbordkameraer, smarte låser og ettermonterte sporingsenheter. Sjekk produsentens app eller nettsted for en funksjon for fastvareoppdatering, og kjør den faktisk. For KARR-alarmen spesifikt påpekte forskere at et enkelt visuelt kjennetegn er et «KARR»-klistremerke på vinduet på førersiden. Hvis du har et slikt, bør du sjekke med installatøren eller produsenten om det finnes en oppdatering før du antar at alt er i orden. Den mer overordnede vanen det er verdt å etablere, er denne: Alt som har radiosamband og en produsentapp, er en enhet som trenger vedlikehold av og til, på samme måte som telefonen eller den bærbare datamaskinen din.
2. Alt som er koblet til TV-en
Generiske strømmebokser som selges på markedsplasser under navn som H96, og som ofte markedsføres med en engangsavgift for «ubegrenset» innhold, fortjener en grundig gjennomgang. Hvis du eier en slik, bør du forstå at risikoen ikke bare handler om piratkopiert innhold — det handler om at selve enheten kan oppføre seg som en ekstra datamaskin på nettverket ditt, med sin egen agenda. Hvis du ikke kan bekrefte hva en enhet gjør på nettverket ditt, og den kommer fra et ukjent merke som lover noe som virker for godt ut fra prisen, er det grunn nok til å isolere den på et gjestenettverk eller erstatte den med en vanlig strømmeenhet fra et selskap som har et omdømme å beskytte.
3. Gamle passord, særlig gjenbrukte eller inaktive
Datainnbruddet som var knyttet til hackerens skylderkjennelse i Snowflake-saken, skyldtes ikke en feil i plattformen. Det skyldtes påloggingsopplysninger som skadevare hadde hentet inn flere år tidligere fra noens datamaskin, opplysninger ingen hadde byttet ut, på kontoer der flerfaktorautentisering var slått av. Dette er en fullstendig unngåelig feilmodus, og den er vanlig: Enhver konto du har satt opp én gang og sjelden logger inn på, er akkurat den typen konto som kan være knyttet til et lekket, flere år gammelt passord akkurat nå. Hvis passordbehandleren din tilbyr en kontroll for datainnbrudd eller gjenbruk, bør du kjøre den. Hvis en konto tillater MFA og det er slått av, bør du slå det på — denne ene kontrollen ville ha stoppet inntrengningen som avslørte opplysningene til over 100 millioner mennesker.
4. Kontoen som beskytter passnøklene dine
Passnøkler er en reell forbedring sammenlignet med passord når det gjelder de spesifikke problemene phishing og gjenbruk. Men den nyere forskningen på tyveri av synkroniserte passnøkler gjennom Google Password Manager er en nyttig påminnelse om at en passnøkkel ikke er magisk — den arver sikkerheten til kontoen og enheten den synkroniseres gjennom. Det betyr at kontoen som oppbevarer passordbehandleren eller synkroniseringen av passnøkler, fortjener den sterkeste beskyttelsen du har: en sterk, unik kode på selve enheten, MFA på kontoen som utfører synkroniseringen, og oppmerksomhet på hva du installerer på enheten, siden forskningen baserer seg på skadevare som allerede kjører på maskinen, ikke på en feil du kan «lappe» i selve passnøklene.
Hvorfor det er verdt å gjøre dette nå i stedet for senere
Ingen av disse fire historiene beskriver en trussel du trenger å få panikk over i dag. Men alle fire beskriver trusler som vokste i måneder eller år, nettopp fordi ingen fulgte opp. Løsningen er ikke et nytt verktøy eller et abonnement — det er å velge et fast tidspunkt med jevne mellomrom, kanskje sammen med en vane du allerede har, som å sjekke kontoutskriften, og stille et kjedelig spørsmål om tingene du allerede eier og allerede stoler på: Når sjekket jeg dette sist, og har noen andre fortsatt en grunn til å følge med på det enn meg?
