- Sõnumirakendustes kogunevad tehnilised haavatavused, liigsed metaandmed ja inimlikud vead, mis võivad viia ulatuslike lekete ja skandaalideni.
- WhatsApp, Signal ja muud tarbijalahendused ei paku kriitiliste, tervishoiu-, õigus- ega valitsussektorite jaoks vajalikke kontrolle ega vastavusnõudeid.
- Organisatsioonid peavad üle minema ettevõtte sõnumsideplatvormidele, mis pakuvad tugevat krüptimist, võtmekontrolli, auditeerimist ja andmesuveräänsust.
- Sobivate tööriistade, värskenduste, koolituse ja individuaalsete parimate tavade kombinatsioon vähendab digitaalse suhtluse riske drastiliselt.
Sõnumirakendustest on saanud meie digitaalse elu keskmes : me koordineerime tööd, teeme sõpradega plaane, saadame tundlikke dokumente ja jagame isegi meditsiinilist ja finantsteavet. See massiline kasutamine on aga paljastanud ebamugava tõe: mida rohkem me neile tööriistadele toetume, seda atraktiivsemaks muutuvad need küberkurjategijatele ja seda tõsisemaks muutub iga disainiviga või inimlik viga.
Viimastel aastatel on WhatsAppis , Signalis, Telegramis ja teistes platvormides ilmnenud tõsiseid haavatavusi ning valitsuste, ettevõtete ja tervishoiuorganisatsioonide seas aset leidnud kõrgetasemelisi intsidente, mis näitavad, et „lihtne vestlus” võib kaasa tuua mitme miljoni dollari suuruseid trahve, ulatuslikke andmelekete või tõelisi poliitilisi skandaale. Selles artiklis uurime rahulikult, kuid avameelselt, miks need tööriistad ei ole ohutud, milliseid tegelikke riske need kujutavad endast ning millised alternatiivid ja parimad tavad on olemas katastroofi potentsiaali minimeerimiseks.
WhatsAppi tohutud haavatavused ja telefoninumbrite haprus
Ühe silmatorkavama hiljutise juhtumi avastas Viini Ülikooli ja SBA Researchi teadlaste meeskond , kes leidis WhatsAppi kontaktide tuvastamise mehhanismis ulatusliku nõrkuse. See funktsioon, mis on loodud kontrollima, millised teie aadressiraamatu numbrid rakendust kasutavad, sai ideaalseks sisenemispunktiks kontode massiliseks kraapimiseks.
Tänu sellele nõrkusele näitasid teadlased, et WhatsAppi infrastruktuuri kaudu on võimalik päringuid teha enam kui 100 miljonilt telefoninumbrilt tunnis , loetledes lõpuks umbes 3.500 miljardit aktiivset kontot 245 riigis. Süsteem vastas tohutule hulgale päringutele ühest allikast, kuigi mõistlik tegutsemisviis oleks olnud need tagasi lükata või piirata. Just see käitumine paljastas puuduse.
Igast valideeritud numbrist sai ründaja hankida WhatsAppi profiiliga seotud avalikke andmeid : avalikud võtmed, ajatemplid, olekusõnumi, profiilipildi ja nende andmete võrdlemise teel isegi operatsioonisüsteemi, konto vanuse ja ühendatud seadmete arvu. Kuigi Meta väitis, et on haavatavuse parandanud ja et see ei mõjutanud kasutajaid, on äärmiselt raske tõestada, et keegi seda enne uuringu avaldamist salaja ära ei kasutanud.
Nagu turbeekspert Luis Corrons märkis, teostaks ettevaatlik ründaja skannimise aeglaselt ja paljude IP-aadresside kaudu , sulandudes tavalisse liiklusse ja vältides avastamist. Avastus näitas ka, et umbes pooled 2021. aasta ulatusliku Facebooki andmete kraapimise käigus lekkinud numbritest olid WhatsAppis endiselt aktiivsed, mis näitab, et telefoninumbrid toimivad praktikas peaaegu püsiva identifikaatorina.
Selle episoodi peamine õppetund on see, et peaksime oma telefoninumbrit kohtlema nagu parooli, mitte tühist infokildu . WhatsAppi seadistamine nii, et ainult kontaktid näeksid teie profiilipilti ja teksti, oma peamise telefoninumbri postitamise vältimine avalikel veebisaitidel ja kindla numbri kasutamine reklaamide või äripäringute jaoks on väikesed sammud, mis vähendavad oluliselt teie nähtavust.
Privaatsus ja metaandmed: „tasuta” jututubade varjukülg
Lisaks konkreetsetele haavatavustele kannatavad sõnumsiderakendused struktuurilise probleemi all: nad koguvad tohutul hulgal isikuandmeid ja metaandmeid . Isegi kui sisu on otsast lõpuni krüpteeritud, võib teave selle kohta, kes kellega, millal, kust ja millisel seadmel räägib, olla ründajatele ja kõigile, kes soovivad massprofiilimist teha, puhas kuld.
WhatsAppi puhul kogutakse süstemaatiliselt kõigi kontaktide telefoninumbreid, seadmeandmeid, kasutusmustreid, grupiliikmelisust , profiilipilte, olekusõnumeid, IP-aadresse, asukohaandmeid ja isegi makseteavet (kui see on saadaval). Neid andmeid saab kasutada sotsiaalsete ja professionaalsete võrgustike, ettevõtte sisemiste suhtekaartide, reisimisharjumuste ja isegi organisatsiooniliste hierarhiate rekonstrueerimiseks.
Paljud organisatsioonid on kiireloomulisuse või kulude kokkuhoiu tõttu otsinud pelgupaika tarbijarakenduste, näiteks WhatsAppi, Telegrami või Signali abil , et koordineerida tundlikke ülesandeid kriitilistes, valitsus- või ärisektorites. Kuid see, mis esmapilgul tundub odava ja tuttava lahendusena, peidab sageli varjatud kulusid: kontrolli kaotus andmete üle, regulatiivsete nõuete eiramine , konfidentsiaalsuse rikkumised ja halvimal juhul rikkumised, millel on laastav mainemõju.
Teine tundlik teema on pilvevarundamine . Kuigi sõnumid krüpteeritakse edastamise ajal, soovitavad paljud rakendused varundada neid kolmandate osapoolte teenustesse, mis ei säilita alati sama krüpteerimistaset ja võivad muutuda nõrgaks lüliks. Halvasti turvatud pilvevarundamine võib otsast lõpuni krüptimise eelise täielikult nullida.
Lauaarvutite küberturvalisuse riskid: elektronid, võtmed ja pahavara
Kui me liigume mobiiliversioonilt töölauaversioonidele, muutuvad asjad veelgi keerulisemaks. Valdav enamus töölaua sõnumside kliente on ehitatud Electronile , mis on raamistik, mis kapseldab veebirakenduse Chromiumi brauserisse . See on arendajatele väga mugav, kuna see võimaldab neil luua samaaegselt mitme operatsioonisüsteemi jaoks "natiivse" rakenduse, kuid see tähendab ka Chromiumi loomupäraste haavatavuste pärimist.
Chrome ja Chromium on küberkurjategijate peamised sihtmärgid . Nende haavatavusi uuritakse ja kasutatakse kiiresti ära ning Google reageerib neile tavaliselt sagedaste parandustega. Probleem on selles, et Electronil põhinevad programmid ei värskenda oma manustatud mootorit alati sama kiirusega, seega võib brauseris juba parandatud haavatavus töölaua sõnumsidekliendis kuude kaupa aktiivseks jääda.
Lisaks on väga tõsine oht: vestluste krüpteerimisvõtmed salvestatakse arvuti kõvakettale . Kui kellelgi õnnestub seadet pahavaraga rikkuda, on neid võtmeid lauaarvutis palju lihtsam varastada kui mobiilseadmes, kus süsteemi arhitektuur ja turvamehhanismid muudavad seda tüüpi teabele kaugjuurdepääsu palju raskemaks.
Lõpuks on oluline mitte unustada sõnumsiderakenduste rolli pahatahtlike failide levitamiskanalina . Kuigi e-posti manuseid ja veebist allalaaditavaid faile võetakse tavaliselt teatava kahtlustusega, laadivad paljud kasutajad vestluse teel saadud faile alla ilma teist korda mõtlemata, eriti kui need on saatnud väidetav kolleeg tööriista abil, mida turustatakse kui "turvalist". Just see ülemäärane enesekindlus on ründajate eesmärk.
Kõrgetasemelised inimlikud vead: valest grupist poliitilise skandaalini
Lisaks tehnilistele probleemidele on üks tegur, mida tarkvara ei suuda parandada: inimlik eksimus rakenduste kasutamisel . Me kõik oleme mingil hetkel saatnud valele grupile sõnumi, alates sobimatust kommentaarist kuni ülemusele valesti suunatud südamekujulise emotikoni. Tavaliselt jääb see piinlikuks anekdoodiks, kuid kui sõnumid ja tundlikud teemad segamini ajada, võib segadus eskaleeruda ajalooliste mõõtmeteni.
Hea näide oli Trumpi administratsiooni kõrgete ametnike vaheline Signal-vestlus , kus koordineeriti Jeemenis toimuvaid sõjalisi operatsioone huthide vastu. Riikliku julgeoleku nõunik Mike Waltz lisas ekslikult ajakirja The Atlantic toimetaja Jeffrey Goldbergi gruppi nimega „Houthi Small Contact Group“, andes talle juurdepääsu teabele rünnakute täpse ajastuse ja kasutatavate relvade kohta.
Vestluses osalesid teiste seas asepresident J. D. Vance, kaitseminister Pete Hegseth, riikliku luure direktor Tulsi Gabbard, riigisekretär Marco Rubio ja CIA direktor John Ratcliffe. Kuulus fraas „Liitusin vale vestlusega“ muutus naljast globaalseks näiteks sõjasaladuste arutamise hoolimatusest krüpteeritud vestluses ilma ametliku kontrollita.
Algselt püüdis Trump juhtunut pisendada, väites, et mingit salastatud ega riikliku julgeoleku seisukohalt olulist teavet ei jagatud, ning tema meeskond süüdistas ajakirja poliitilises tegevuskavas. Surve all otsustas The Atlantic aga avaldada grupi täieliku sisu, et avalikkus saaks hinnata asja tõsidust, paljastades ka halvustavaid märkusi Euroopa liitlaste kohta , mis olid juba teistel tippkohtumistel pinnale kerkinud.
See juhtum tekitas võrdlusi Hillary Clintoni privaatmeilide kasutamisega ja sütitas uuesti arutelu kiirsõnumivahetustööriistade sobivuse üle ülisalajase teabe käitlemiseks , olenemata sellest, kui krüpteeritud see on. Loo moraal on selge: krüptimine kaitseb välise spionaaži eest, kuid see ei paranda hoolimatuid otsuseid ega saaja vigu.
Andmepüük, kellegi teisena esinemine ja WhatsAppi konto kaaperdamine
Teine valdkond, kus sõnumsiderakendustest on saanud kurjategijate jahimaa, on identiteedivargus ja andmepüük . Kampaaniad, mis varem piirdusid e-postiga, levitatakse nüüd ka SMS-i, WhatsAppi ja muude kanalite kaudu, kasutades sõnumeid, mis teesklevad end olevat õiged teavitused, et petta kasutajaid klõpsama seal, kus nad ei peaks klõpsama.
Tüüpiline näide on e-kiri, mis näib olevat WhatsAppilt ja kutsub lingi kaudu üles "oma sõnumeid ja kõneajalugu varundama" . Sellel klõpsamine varundamise asemel laadib alla pahavara, mis võib andmeid varastada, konto üle kontrolli haarata või isegi seadet püsivalt nakatada.
Viimastel kuudel on sagenenud ka WhatsAppi kontode kaaperdamise katsed sotsiaalse manipuleerimise abil. Kasutades ära varasematest rikkumistest või sotsiaalmeediast kogutud isikuandmeid, teeskleb ründaja tuttavat, tehnilist tuge või usaldusväärset üksust, veendes ohvrit andma SMS-iga saadud kinnituskoodi.
See kood, mida paljud rakendused (sh pangandus-, sotsiaalmeedia- ja SMS-ID autentimissüsteemid) kasutavad teise turvakihina , on peavõti. Selle jagamine, isegi "seetõttu, et sõber seda küsis", on samaväärne konto üleandmisega hõbekandikul. Kui kurjategija on ohvrina esinenud, saab ta raha küsida, varasematele vestlustele ligi pääseda või rünnakut laiendada teistele sama numbriga seotud teenustele.
Selliste ohtudega silmitsi seistes hõlmab lahendus teadlikkuse ja põhilise turvahügieeni tugevdamist : olla ettevaatlik ootamatute sõnumite suhtes, mis küsivad koode või paroole, aktiveerida täiendavaid kinnitussüsteeme (näiteks WhatsAppi kaheastmelise kinnituse PIN-kood) ja perioodiliselt kontrollida, millised seadmed on meie kontole sisse logitud.
Tervishoiu- ja ettevõtluskeskkonna riskid: miks "suvaline WhatsApp" ei sobi
Sellistes organisatsioonides nagu Baleaari saarte tervishoiuteenistus on kiirsõnumivahetusest saanud oluline vahend spetsialistide vaheliseks kiireks suhtluseks, kuid see ei tähenda, et saate kasutada ükskõik millist oma isiklikus telefonis olevat rakendust. Tööriista valik mõjutab otseselt patsiendiandmete konfidentsiaalsust ja vastavust õigusaktidele.
Sel põhjusel on Microsoft Teams valitud selles keskkonnas ettevõtte sõnumside rakenduseks , mis teeb selgeks, et tervishoiutöötajate vaheline kohene suhtlus peab toimuma ainult selle platvormi kaudu. Teams on integreeritud Office 365 ökosüsteemi, mis pakub spetsiifilisi turvalahendusi lunavara, identiteedivarguste, andmelekete ja pahatahtlike URL-ide ja failidega seotud ohtude leevendamiseks.
Samal ajal rõhutatakse kõigi rakenduste ajakohasena hoidmise ja tugevate paroolide kasutamise olulisust , et vähendada teadaolevate haavatavustega kokkupuutumise aega. Kasutajate koolitamine on võtmetähtsusega: mõistmine, et iga värskendamise viivitus või iga nõrk parool avab potentsiaalsetele ründajatele võimalusi.
Tervishoiusektoris ja kõigis teistes organisatsioonides, mille suhtes kehtivad ranged eeskirjad, näiteks HIPAA, GDPR, SOX või kaitsenõuded, puuduvad üldsusele mõeldud sõnumsiderakendustel sageli olulised ärikontrollid : tsentraliseeritud kasutajate haldamine, säilituspoliitikad, täielik juurdepääsu jälgitavus, andmete lekke ennetamine või integreerimine identiteedihaldussüsteemidega.
Näiteid päriselust on küllaga: haiglatest, kellele määrati miljonite eest trahve WhatsAppi kasutamise lubamise eest patsientide koordineerimiseks, kuni advokaadibüroodeni, kus Signali kasutamine klientidega tekitas küsimusi advokaadi ja kliendi vahelise konfidentsiaalsuse kohta ning viis hooletushagideni. Need olukorrad näitavad selgelt, et kuigi populaarse rakenduse ärakasutamine võib olla ahvatlev, võib makstav hind olla tohutu.
Soolatifuun, kriitiline infrastruktuur ja tarbijasõnumite piirid
Sellistele rühmitustele nagu Salt Typhoon omistatud rünnakud suurte telekommunikatsiooniteenuste pakkujate vastu on toonud esile valitsuste, ettevõtete ja kriitiliste teenuste aluseks oleva sideinfrastruktuuri hapruse. Selle haavatavuse tundega silmitsi seistes on paljud organisatsioonid peaaegu instinktiivselt pöördunud tarbijatele mõeldud sõnumsiderakenduste poole, et pakkuda kiiret lahendust sisekommunikatsiooni "turvaliseks" muutmiseks.
Probleem on selles, et need tööriistad, mis pakuvad küll paremat kaitset kui SMS või krüpteerimata e-kiri , ei ole loodud kõrge väärtusega strateegilise kommunikatsiooni jaoks vajaliku turvalisuse taseme jaoks. Need kipuvad koondama infrastruktuuri vähestesse pakkuja andmekeskustesse, luues üksikud rikkekohad ja peamised sihtmärgid ründajatele ja välisriikide valitsuste juriidilisele survele.
Regulatiivsest seisukohast ei vasta paljud neist platvormidest hästi tundlike sektorite erinõuetele , nagu näiteks arhiveerimis- ja auditeerimiskohustused finantssektoris, juriidilised kinnipidamised kohtuvaidlustes või andmesuveräänsuse piirangud valitsuse lepingutes. Nende kasutamine nende eeskirjadega reguleeritud teabe töötlemiseks on risk, et varem või hiljem ilmneb kontrolli või intsidendi käigus mittevastavus.
Andmete suveräänsuse valdkonnas tähendab globaalsete teenuste kasutamine ka seda, et teavet võidakse salvestada jurisdiktsioonidesse, kus on väga erinevad juurdepääsuseadused või isegi seadused, mis on vastuolus kohalike eeskirjadega. See avab ukse nii kolmandate riikide luureandmete kogumisele kui ka keerukatele õiguslikele vaidlustele selle üle, millised õigusaktid iga teabeüksuse suhtes kehtivad.
Seetõttu vajavad kriitilise infrastruktuuri või ülitundliku teabe haldavad organisatsioonid lahendusi, mis on algusest peale loodud nende reaalsuse jaoks: nullteadmisarhitektuur, kliendi kontrolli all olev krüpteerimisvõti , kohapealsed või hübriidjuurutused, mis tagavad andmete suveräänsuse, ning täielik komplekt täiustatud auditeerimis-, säilitus-, integratsiooni- ja autentimisfunktsioone.
Cellcrypt ja ettevõtte platvormid: erinev lähenemine turvalisusele
Üldotstarbeliste rakenduste piirangute tõttu on populaarsust kogunud spetsiaalselt turvaliseks äri- ja valitsuskommunikatsiooniks loodud platvormid , näiteks Cellcrypt. Need lahendused põhinevad selgel eeldusel: teenusepakkuja ei tohi suuta sisu lugeda ega koguda rohkem metaandmeid, kui on hädavajalik.
Cellcrypt kasutab nullteadmistega arhitektuuri, mis hõlmab otsast lõpuni krüptimist ja kliendipoolset võtmehaldust . Seda täiendab kahekihiline postkvantkrüptimine, mis põhineb NIST-i standarditud algoritmidel ja on loodud vastu pidama nii praegustele rünnakutele kui ka tulevastele „jäädvusta nüüd, dekrüpteeri hiljem” stsenaariumidele, kui kvantarvutusest saab realistlik oht.
Keskkondades, kus käideldakse riigisaladusi või kaitsealast teavet, on sellistel lahendustel selliste organisatsioonide nagu NATO ja valitsuste sertifikaadid , samuti välised auditid, mis kinnitavad nende ülesehitust ja rakendamist. Küsimus ei ole ainult tehnoloogias, vaid ka selles, et dokumentatsiooni ja tõenditega näidata, et kõige nõudlikumad standardid on täidetud.
Administreerimise poolelt pakuvad seda tüüpi platvormid tsentraliseeritud kasutajahaldust, rollipõhist juurdepääsu kontrolli, seadmete kaughaldust ja -eemaldamist , turvapoliitikate jõustamist ning auditeerimis- ja aruandlustööriistu, mis võimaldavad dokumenteerida, kes millele, millal ja kust juurde pääses – see on reguleeritud sektorites oluline.
Juurutamise osas on valikud väga paindlikud: alates kohapealsetest installidest täieliku andmekontrolli tagamiseks kuni pilvepõhiste või hübriidmudeliteni, mis tasakaalustavad kiiret kasutuselevõttu, skaleeritavust ja suveräänsust . Funktsionaalselt hõlmavad funktsioonid krüptitud hääl- ja videokõnesid, sõnumside ja grupivestlusi, kaitstud failide ja ekraani jagamist ning lisameetmeid, nagu jäädvustamise blokeerimine, kaugpühkimine ja geopiirded juurdepääsu piiramiseks teatud asukohtadele.
Selle ülemineku teostatavaks tegemiseks rakendatakse tavaliselt etapiviisilist strateegiat: praeguse sõnumside kasutamise audit, poliitika määratlemine, kontrollitud pilootprogrammid, järkjärguline juurutamine ja tõhus rakendamine, mis hõlmab selgesõnalist keeldu tarbijarakendustele tundliku suhtluse jaoks. Ilma selle regulatiivse ja haridusliku komponendita ei piisa ainuüksi tehnoloogiast.
Kasutajatele mõeldud parimad tavad ja edasise õppimise ressursid
Individuaalsel tasandil on sõnumsiderakenduste kasutamisel mitmeid juhiseid, mida igaüks saab järgida, et vähendada oma kokkupuudet riskiga. Esimene on käsitleda SMS-i teel saadud telefoninumbreid ja koode tundlike volitustena , mida ei tohiks kunagi jagada , isegi kui neid küsiv isik näib olevat sõber, tehnik või rakendus ise.
Hea mõte on üle vaadata iga rakenduse privaatsusseaded, et piirata seda, kes näeb teie profiilipilti, kirjeldust, viimase nägemise aega või avalikku profiili. Mida vähem teavet on avalikult saadaval, seda raskem on ründajal veenvat pettust luua või teie numbrit muude lekkinud andmetega siduda.
Tehnilisest küljest on oluline hoida oma seadmeid kaitstud ajakohase viirusetõrjetarkvara ja operatsioonisüsteemidega ning olla ettevaatlik ootamatute linkide või failide suhtes, isegi kui need pärinevad teadaolevalt kontaktilt (ka tema konto võib olla ohustatud). Kaks korda mõtlemine enne klõpsamist võib säästa teid paljudest probleemidest.
Sellistelt organisatsioonidelt nagu INCIBE on saadaval palju kasulikke ressursse: infograafikud tugevate paroolide loomiseks, ajaveebipostitused levinud kasutajavigade kohta , juhendid andmepüügikatsete tuvastamiseks ja spetsiaalsed uudiskirjad e-posti, paroolihaldurite ja veebipettuste õige teatamise kohta. Need selged materjalid, mis on mõeldud laiemale avalikkusele, aitavad küberturvalisust igapäevaellu integreerida.
Organisatsiooni tasandil vähendab sobiva ettevõtte tööriista (Teams, krüpteeritud ettevõtte lahendused nagu Cellcrypt jne) kombineerimine regulaarse parimate tavade koolituse ja volitamata kaugjuurdepääsu tööriistade ning pilveteenuste jälgimisega oluliselt ründajate ja sisemise hooletuse ulatust. Asi ei ole hirmus elamises, vaid teadlikkuses sellest, et mõne mõistliku meetmega saab enamikku katastroofe vältida.
Kõik, mida oleme näinud, näitab, et sõnumsiderakendused on sama võimsad kui õrnad: need teevad elu lihtsamaks, kuid igal tehnilisel või inimlikul veal võivad olla väga tõsised tagajärjed privaatsuse, nõuetele vastavuse ja turvalisuse osas. Parim viis vestluse kohesuse nautimiseks ilma seda oma digitaalseks Achilleuse kannaks muutmata on hinnata, millist tööriista iga vestlustüübi jaoks kasutame, minimeerida oma andmete avalikustamist ja valida ettevõtte lahendused, kui teave seda nõuab.
