W ciągu ostatnich kilku tygodni pojawiły się cztery niezwiązane ze sobą historie dotyczące bezpieczeństwa. Badacz odkrył, że dodatkowy alarm samochodowy o nazwie KARR — zamontowany w szacunkowo ponad 2 milionach pojazdów — może zostać po cichu odblokowany, rozbrojony lub wyłączony przez dowolną osobę znajdującą się w zasięgu Bluetooth. Badacz zagrożeń z firmy Bitsight odkrył, że popularny, tani przystawka do streamingu H96 od lat po cichu wynajmuje połączenia internetowe swoich właścicieli i klika w fałszywe reklamy, udając telefon komórkowy. Haker przyznał się do winy w związku z włamaniami dotyczącymi danych ponad 100 milionów osób; uzyskał dostęp nie dzięki jakiemuś sprytnemu exploitowi, lecz za pomocą haseł klientów, które pozostały po infekcji infostealerem sprzed lat, na kontach, na których nigdy nie włączono uwierzytelniania wieloskładnikowego. Badacze wykazali też, że w odpowiednich warunkach złośliwe oprogramowanie może wykradać klucze dostępu synchronizowane przez Menedżera haseł Google — czyli system, który wielu z nas przyjęło właśnie po to, by odejść od ryzyka związanego z hasłami.

Rozpatrywane osobno, są to cztery różne kategorie problemów: luka sprzętowa, oszustwo w łańcuchu dostaw, włamanie do firmy oraz problem z implementacją kryptografii. Łączy je jednak przyczyna źródłowa, która nie ma nic wspólnego z zastosowaną technologią. W każdym przypadku podatny element został raz zainstalowany, aktywowany lub utworzony — a potem nikt już do niego nie wrócił.

Schemat kryjący się pod nagłówkami

Dług bezpieczeństwa narasta dokładnie w tych miejscach, którym przestajesz poświęcać uwagę. Alarm samochodowy zostaje zamontowany w ramach dodatkowego pakietu u dealera i nigdy więcej o nim nie myślisz, aż do chwili, gdy staje się przyczyną przejęcia twojego samochodu przez kogoś innego. Przystawka do streamingu zostaje podłączona do telewizora, działa bez zarzutu przez lata i nigdy nie wzbudza podejrzeń, bo wciąż odtwarza to, co jej zlecasz — ruch związany z oszustwami reklamowymi i współdzieleniem przepustowości odbywa się niewidocznie w tle. Dane logowania zostają utworzone, działają przy logowaniu, a potem przez lata pozostają w bazie danych, długo po tym, jak urządzenie, które je wyciekło, zostało zapomniane, bo zmiana hasła, o którym nie myślisz, nie jest zadaniem, które ktokolwiek wpisuje do kalendarza. Klucz dostępu zostaje skonfigurowany właśnie po to, by był „bezpieczniejszy niż hasło”, a ta reputacja staje się powodem, by przestać myśleć o tym, co chroni urządzenie, na którym jest przechowywany.

Żaden z tych przypadków nie wymagał od wyrafinowanego napastnika znalezienia nowej luki, której nikt wcześniej nie przewidział. Kradzież danych z alarmu samochodowego i kluczy dostępu rzeczywiście wymagały prawdziwych badań technicznych. Jednak tym, co faktycznie umożliwiło powstanie szkód na dużą skalę, była przepaść między „skonfigurowane raz” a „nigdy więcej niezweryfikowane”.

20-minutowy audyt rzeczy, które już posiadasz

Nie musisz niczego kupować ani stawać się innym człowiekiem, by zamknąć większość tej luki. Potrzebujesz jednego przejścia przez powyższe kategorie, potraktowanego jako powtarzalny obowiązek, a nie jednorazowe zadanie konfiguracyjne.

1. Urządzenia dodatkowe i montowane po zakupie

Obejdź wszystko, co zostało zainstalowane przez podmiot trzeci, zamiast być fabrycznie wbudowane — alarmy samochodowe, kamery samochodowe, inteligentne zamki, dodatkowe lokalizatory. Sprawdź w aplikacji lub na stronie producenta, czy istnieje mechanizm aktualizacji oprogramowania układowego, i rzeczywiście go uruchom. W przypadku alarmu KARR badacze zauważyli, że łatwą wskazówką wizualną jest naklejka „KARR” na szybie po stronie kierowcy; jeśli ją masz, skontaktuj się z instalatorem lub producentem w sprawie poprawki, zanim uznasz, że wszystko jest w porządku. Szerszy nawyk, który warto wyrobić: wszystko, co ma moduł radiowy i aplikację producenta, jest urządzeniem wymagającym okazjonalnej konserwacji, tak samo jak telefon czy laptop.

2. Wszystko, co jest podłączone do telewizora

Generyczne przystawki do streamingu sprzedawane na platformach handlowych pod nazwami takimi jak H96, często reklamowane za jednorazową opłatą jako oferujące „nieograniczone” treści, zasługują na szczególnie dokładne sprawdzenie. Jeśli masz taką przystawkę, pamiętaj, że ryzyko nie dotyczy wyłącznie pirackich treści — chodzi o to, że samo urządzenie może zachowywać się jak drugi komputer w twojej sieci, realizujący własne cele. Jeśli nie możesz zweryfikować, co urządzenie robi w twojej sieci, a pochodzi ono od nieznanej marki obiecującej coś zbyt dobrego w stosunku do ceny, to wystarczający powód, by odizolować je w sieci gościnnej albo zastąpić je popularnym urządzeniem do streamingu firmy, która ma reputację do ochrony.

3. Stare hasła, zwłaszcza używane ponownie lub nieużywane

Włamanie powiązane z przyznaniem się do winy przez hakera związanego ze Snowflake nie było spowodowane luką w platformie. Przyczyną były dane uwierzytelniające wykradzione wiele lat wcześniej przez złośliwe oprogramowanie z czyjegoś komputera — dane, których nikt nie zmienił, na kontach, na których wyłączono uwierzytelnianie wieloskładnikowe. To całkowicie możliwy do uniknięcia sposób powstania problemu, a przy tym częsty: każde konto, które skonfigurowałeś raz i do którego rzadko się logujesz, jest dokładnie takim kontem, na którym właśnie teraz może być używane wyciekłe, wieloletnie hasło. Jeśli twój menedżer haseł oferuje sprawdzanie wycieków lub ponownego użycia haseł, uruchom je. Jeśli konto obsługuje MFA, a funkcja ta jest wyłączona, włącz ją — ta jedna kontrola powstrzymałaby włamanie, które ujawniło dane ponad 100 milionów osób.

4. Konto chroniące twoje klucze dostępu

Klucze dostępu stanowią rzeczywistą poprawę w stosunku do haseł w kontekście konkretnego problemu phishingu i ponownego używania danych. Jednak najnowsze badania nad kradzieżą synchronizowanych kluczy dostępu za pośrednictwem Menedżera haseł Google przypominają, że klucz dostępu nie jest magicznym rozwiązaniem — dziedziczy poziom bezpieczeństwa konta i urządzenia, za pośrednictwem których jest synchronizowany. Oznacza to, że konto przechowujące twój menedżer haseł lub synchronizację kluczy dostępu zasługuje na najsilniejszą ochronę, jaką możesz zapewnić: silne, unikatowe hasło urządzenia, MFA na koncie odpowiedzialnym za synchronizację oraz uwagę poświęcaną temu, co instalujesz na tym urządzeniu, ponieważ badania zakładają, że złośliwe oprogramowanie już działa na komputerze, a nie wykorzystują luki, którą można „załatać” w samych kluczach dostępu.

Dlaczego warto zrobić to teraz, a nie później

Żadna z tych czterech historii nie opisuje zagrożenia, z powodu którego trzeba dziś wpadać w panikę. Wszystkie cztery opisują jednak zagrożenia, które narastały przez miesiące lub lata właśnie dlatego, że nikt do nich nie wrócił. Rozwiązaniem nie jest nowe narzędzie ani subskrypcja — chodzi o wyznaczenie stałego terminu, być może przy okazji nawyku, który już masz, takiego jak sprawdzanie wyciągu bankowego, i zadanie sobie nudnego pytania o rzeczy, które już posiadasz i którym już ufasz: kiedy ostatnio to sprawdzałem i czy ktoś poza mną nadal ma powód, by to obserwować?