De ce e atât de important ca telefonul să nu „știe” tot timpul unde ești sau ce faci

Anii ‘90 au fost marcați de primele experimente în world wide web, acest univers digital nou, în expansiune și, în aparență, deschis la orice. Anii 2000 au fost urmați de mesageria instantă și de apelurile video. Iar anii 2010, ei bine, de un mix între rețele sociale, conectivitate permanentă și explozia adopției telefoanelor inteligente. Iată-ne astfel în 2021 și în zorii unui deceniu nou în care ideea de privacy & security ar putea foarte bine să domine toate discuțiile despre tehnologiei.

Deceniul acesta în care, foarte probabil, vom vorbi tot mai des de privacy a început, de fapt, în urmă cu câțiva ani. Mai precis, când Edward Snowden a vorbit despre cum sunt interceptate comunicările personale de către serviciile de informații. La acel moment el a recomandat și două unelte foarte utile: Signal ca aplicație de mesagerie și TailOS, un sistem de operare construit în jurul ideii de confidențialitate.

Jumătate de deceniu mai târziu a venit o mutare masivă din partea unui jucător imens din piața de tehnologie: Apple. Odată cu iOS 14.5, compania a implementat un sistem de blocare a trackingului făcut de diversele aplicații de pe telefon. Asta și pentru că de la primul smartphone până acum s-au întâmplat două lucruri importante: telefonul a devenit un ecosistem fizic cu tot felul de căi de colectare a datelor – microfon, GPS, Bluetooth, accelerometru, giroscop, chiar și Wi-Fi – și diverse companii au apărut și și-au consolidat afacerile pe colectarea datelor. În această ultimă categorie intră Facebook, Google și altele ca ele.

Andrei Avădănei, fondator Bit Sentinel, a explicat că în actualul context în care componenta de privacy devine tot mai importantă, și e luată în serios, toate părțile implicate sunt responsabile într-o anumită măsură, de la furnizorii de infrastructură, cum ar fi Apple și Google, și dezvoltatorii de aplicații până la furnizorii de servicii utilizate de dezvoltatorii de aplicații (supply chain), dar și utilizatori. „Vreau să atrag atenția că atacatorii au început să se concentreze pe atacuri de tip supply chain, pentru că, dacă reușesc compromiterea unei astfel de entități, vor putea pivota către alte organizații foarte ușor.”, a adăugat el.

Componenta de privacy e în strânsă legătură cu securitatea

În industria de securitate cibernetică e și o glumă că aplicația de vreme n-ar trebui să aibă niciodată acces la lista de contacte. Trebuie doar să-ți spună câte grade sunt afară și când sunt șanse de ploaie. Acesta e contextul în care am vorbit cu Costin Raiu, directorul Global Research & Analysis Team în cadrul Kaspersky, care a prezentat un scenariu în care cybersec și privacy merg mână în mână.

„Să zicem că cineva – un actor răuvoitor – ar vrea să targeteze o anumită persoană, s-o infecteze. Totuși, nu-i știe numărul de telefon, nu știe prea multe lucruri despre persoana respectivă și, implicit, e cam greu s-o identifice. Aici sunt multe soluții creative, dar majoritatea se bazează pe demascarea identității și sabotarea acestui privacy”, a explicat el. „Cum în telefon ai aceste librării care-ți raportează locația e suficient să afli traseul persoanei respective. Să zicem că lucrează la Piața Charles de Gaulle și locuiește pe o anumită stradă din București. Astfel, cel care vrea să afle cine e se poate uita după toate acele telefoane care raportează telemetrie și se mișcă de dimineața din strada respectivă spre piață și seara invers. Dacă filtrezi, e posibil să identifici persoana respectivă.”

În esență, un astfel de scenariu e deja folosit pentru advertising digital. În special cel afișat în rețele sociale sau mail, dar nu numai. În funcție de sistemul de operare al telefonului și de aplicațiile preinstalate, scenariul se poate dezvolta. „Odată ce-ai identificat persoana respectivă prin acest advertising ID, o poți targeta în mod direct prin rețele de advertising. Mai departe, poți introduce exploituri în reclame targetate. Și asta se întâmplă când combini big data, privacy unmasking și unelte sofisticate. Bineînțeles, ele pot fi combinate pentru foarte multe alte scopuri. Poți, de exemplu, să folosești datele de locație și ca să colectezi date despre pe unde umblă persoana respectivă și poate fi o cale de șantaj”, a adăugat Costin.

Andrei a evidențiat o caracteristică importantă a noii perioade digitale în care ne regăsim. „Varietatea de canale și medii pe care un utilizator le poate accesa prin intermediul unui smartphone face munca unui criminal cibernetic extrem de ușoară”, a punctat acesta.

„Cel mai întâlnit risc în aceste condiții este cel de a instala din greșeală un virus prin intermediul tacticilor de tip adware. La acestea se mai adaugă financial mobile malware, stalkerware, malware preinstalat, linkuri infectate în mesaje SMS sau prin aplicații de mesagerie instant și ransomware”, a completat Andrei. Cât despre consecințe, în cel mai bun caz, va fi nevoie că utilizatorul să revină la setările din fabrică – cu pierderea tuturor datelor. În situații mai grave, o persoană terță poate obține acces deplin la dispozitiv și poate distribui în exterior orice informație confidențială.

Și în privacy, și în securitate digitală e vorba de convenience

Ce a subliniat Costin Raiu în explicațiile lui e că, atunci când vorbim de mediul digital sub toate formele lui, e vorba de convenience: utilizatorul final să fie în siguranță, dar fără să treacă prin multe procese ca să-i fie asigurată treaba asta. Problema e vizibilă la parole. O parolă complexă e recomandată, dar utilizatorul final va dori una eficientă, adică ușor de ținut minte, eventual legată de el într-o manieră personală și care să nu-i ia foarte mult s-o introducă. Tocmai de aceea parolele clasice încep să fie înlocuite cu alt tip de securizări.

Ca toate datele să fie în siguranță, atât din punct de vedere privacy, cât și securitate, toate dispozitivele și căile de comunicații ar trebui să fie sigure. În acest sens am remarcat o inițiativă locală, denumită CryptoDATA care promite trei lucruri: comunicații securizate prin aplicația Wispr, un telefon securizat la nivelul sistemului de operare, fără aplicații care ar putea colecta date, și protocol de criptare a informațiilor transmise. Stocarea pe telefon sau laptop, că au și așa ceva în ofertă, e făcută în standardul VOBP cu chei AES-256. Similar, transferul de fișiere e criptat prin AES-256 și-o cheie privată.

Pentru aplicația de mesagerie compania folosește o rețea de distributed storage cu B-IPFS (Blockchain InterPlanetary File System). Tehnologia e încă în fază incipientă, la nivel global, dar oferă o stocare sigură, descentralizată. În aceeași idee a blockchain: descentralizare, dar evidență ținută independent de individ și computer. Și pentru privacy și securitate, CryptoDATA propune – în loc de nume, număr de telefon sau adrese de mail care ar putea fi legate de un anumit utilizator – identități secundare generate automat printr-o cheie fizică de criptare conectată la dispozitiv prin care poți accesa Vault, unde ai ceea ce compania numește Matrix ID. Și poate fi generat un număr infinit de „identități”.

Securitatea și privacy-ul la nivel de hardware se pot face doar prin integrarea cu software. După cum a subliniat Costin, în momentul în care cineva a trecut de sistemul de operare și-a ajuns în kernel are acces la orice, la toate informațiile dispozitivului. „Vorbim, în prezent, de pași mici și mai multe cărămizi, privacy, security, și toate construiesc un zid care ne protejează pe toți de atacuri rău voitoare. Exploatarea informațiilor utilizatorilor e o mină de bani. Poate nici nu-ți dai seama cum ești exploatat până când nu vezi că reclamele sunt targetate pe modul în care gândești. Și cum anume acest gen de reclame îți influențează comportamentul și reușesc să îți modifice comportamentul, să cumperi lucruri de care n-ai nevoie sau să accesezi platforme pe care nu le-ai accesa.”

Andrei a amintit de GDPR (regulamentul impus la nivelul Uniunii Europene pentru protecția datelor), dar cu mențiunea că măsurile sunt insuficiente. „Pe lângă aceste bune practici, companiile trebuie să evalueze aplicațiile pe care le dezvoltă și din punct de vedere tehnic. Acest lucru se face prin teste de tip penetration testing, auditul securității codului sursă și utilizării bunelor practici de implementare pentru tehnologiile pe care le utilizează, monitorizarea pasivă și activă a serviciilor expuse la Internet și nu numai, prin firewall, soluție de tip EDR (endpoint detection and response) pentru stațiile de lucru ale angajaților, servere, baze de date, servicii cloud și urmărirea alertelor și suspiciunilor de atac informatic de analiști și experți în monitorizarea și răspunsul la incidente de securitate informatică”, a explicat acesta.

Menționam mai sus TailOS. Fiind un sistem de operare, acesta poate fi instalat pe orice laptop. E construit însă în jurul rețelei Tor pentru a anonimiza datele și poate fi pus pe orice fel de computer. Oferă astfel o alternativă mai sigură la un sistem VPN, pentru că în cazul unui VPN administratorul acestuia poate ști cine pe unde „umblă” online. Pentru administrarea parolelor folosește KeePassXC și pentru protejarea tuturor datelor și eliminarea posibilității de-a fi identificat creatorii acestui sistem recomandă ștergerea tuturor metadatelor din fișiere, în special din poze, și formatarea spațiilor de stocare până la cel mai de jos nivel. Promisiunea acestui sistem de operare e că nu lași (aproape) nicio urmă online și că totul e criptat. Dar nu se face fără efort din partea utilizatorului.

Astfel de soluții, chiar și cea a Apple, pornesc de la ideea că oricât de bună ar fi criptarea, dacă sistemul e compromis tot îți pot fi accesate datele. Cel puțin în cazul CryptoDATA, telefonul când iese de pe linia de fabricație are doar o aplicație care face update sistemului. Când telefonul ajunge la utilizatorul, acesta trebuie să instaleze actualizarea. Astfel, se conectează la serverele companiei și instalarea presupune flash la ROM și luat totul de la zero. Pentru a elimina atacurile de tip man-in-the-middle folosesc certificate pinning pe toate domeniile și DNSCrypt ca să elimine posibilitatea de-a direcționa utilizatorul către alt server în urma unui atac asupra rețelei Wi-Fi.

În augmentarea ideii de privacy, de la Cristian Dinu, antreprenor și CTO Hypersay, am aflat și de alte două unelte: extensia de browser Privacy Badger și PrivacyTools – Encryption Against Global Mass Surveillance. De la Andrei am completat această listă cu un VPN, dar n-ar strica nici un browser cu opțiuni de privacy activate nativ, cum ar fi Brave Private Browser.

Schimbări de la nivelul de bază

Cel puțin când vine vorba de telefoane, problema de privacy începe să fie luată în serios. iOS 14.5 e, posibil, cel mai vizibil exemplu. La nivel de hardware, Apple controlează de câțiva ani fluxul producției de procesoare și integrarea mecanismelor de protecție direct în ele. În cazul laptopurilor, cât timp erau pe arhitectura x86 și furnizate de Intel, a trebuit să creeze cipul T2 care să intermedieze securizarea datelor locale. Odată cu trecerea la ARM și pe laptopuri unifică mecanismele de securitate și privacy între platforme. Nu înseamnă protecție 100%, niciodată nu e cazul în industria asta, ci mai elimină din posibilele probleme, cum au fost Spectre și Meltdown.

Andrei consideră că, în contextul actual și al următorilor ani, cel mai mare risc este dat de utilizarea unor dispozitive inteligente, cum ar fi ceasurile, brățările de fitness, senzori corporali etc., care sunt administrate direct de pe dispozitivele mobile. „Acestea sunt, de cele mai multe ori, neprotejate și pot ajunge să colecteze informații personale sau de sănătate despre noi. În mâinile nepotrivite, acestea pot fi abuzate pentru a află anumite probleme de sănătate ale unei persoane sau pentru a influența anumite funcționalități ale dispozitivelor. De exemplu, specialiști în securitate au demonstrat cum un stimulator cardiac controlat de la distanță ar putea fi oprit.”

Odată cu astfel de demersuri, cum e și cel prin care poți controla și chiar șterge dispozitivul de la distanță – deja disponibil pe iOS și Android – e încă o cărămidă adăugată acelui zid de protecție. În aceeași idee, de exemplu, Samsung a creat Trusted Boot și un sistem de verificare a integrității la nivel de kernel: TrustZone Integrity Management Architecture. Și Android are, pentru orice producător care vrea să o folosească, opțiunea de secure boot care oprește boot-area de software care ar putea dăuna. În egală măsură, Google încearcă să treacă la propriul procesor, denumit Tensor. Nu va fi folosit doar pentru securitate, dar presupune un control mai mare pe telefoanele Pixel. Nu în ultimul rând, RISC-V se remarcă drept o alternativă la procesoarele de până acum.

În acest context merită amintit că, odată cu fiecare președinte al Statelor Unite ale Americii, e o dezbatere în legătură cu telefonul pe care are voie să-l folosească. Când Obama, de exemplu, a vrut un iPad, tableta a trecut printr-un proces de consolidare a securității și nu avea acces la Wi-Fi. Și multă vreme a folosit un BlackBerry. Acum, pentru Biden, grija e că totul în jur e un computer, chiar și-o bandă de alergat de la Peloton. Se adaugă mașinile, frigiderele sau chiar boxele inteligente.

Odată consolidată securitatea pe telefon, lecțiile sunt aplicate mai departe. În prezent, suntem în punctul în care discutăm de privacy și despre cum nu e atât de sănătos, pe termen lung, să fie atât de multe informații disponibile. Această utilizare de big data lasă loc liber exploatărilor de natură să afecteze securitatea. Tocmai de aceea viitorul deceniu va fi marcat de tot felul de dezvoltări în zona asta, atât prin software, cât și prin hardware.