ROZHOVOR: Únik tajných dokumentov USA nie je výnimočný, zlyhal ľudský faktor, hovorí etický hacker
Mnohí si pod pojmom hacker predstavia človeka, ktorý nelegálne preniká do informačných systémov za vidinou finančného zisku. Martin Orem, ktorý je spoluzakladateľom firmy Binary House, je však penetračným testerom - etickým hackerom. Čo je náplňou jeho práce a aké pravidla musí nasledovať? Pýtali sme sa tiež, aké firmy zvyknú vyhľadávať jeho služby a čo si myslí o uniknutých amerických tajných dokumentoch.
Hackeri podporovaní vládou
Aké typy hackerov exitujú a čo ich odlišuje?
Existuje niekoľko druhov hackerov, ktoré môžu byť rozdelené do niekoľkých kategórií v závislosti od ich motivácií a cieľov. White hat hackerov môžeme označiť ako etických hackerov, ktorí používajú svoje schopnosti na nájdenie bezpečnostných chýb a ochranu pred ich zneužitím. Black hat hackeri sa snažia získať neoprávnený prístup k zdrojom - či už systémom, alebo priamo peniazom, s cieľom obohatiť sa - ukradnúť informácie alebo úmyselne spôsobiť škodu. Taktiež sa môžu rozdeľovať do niekoľkých skupín v závislosti od ich motivácie a cieľov. Najčastejšie využívajú technicky jednoduché útoky zameriavajúce sa na osobné bankové účty, webové stránky a podobne. Existujú však rôzne skupiny, ktoré využívajú aj pokročilejšie metódy na priemyselnú špionáž a iné ciele. Grey hat hackeri sa nachádzajú na pomyselnej hrane medzi white hat a black hat hackermi. Zvyčajne sa snažia nájsť bezpečnostné chyby a upozorniť na ne, ale môžu sa tiež pokúsiť predať informácie o nájdených zraniteľnostiach.
Medzi ďalšie špecifické kategórie môžeme zaradiť nasledujúce skupiny hackerov, kde nie je jednoduché určiť či konajú v rámci legislatívy (napr. vzhľadom na jurisdikciu, v ktorej operujú) a s dobrým úmyslom (napr. priateľské verzus nepriateľské štáty). Hacktivisti sú motivovaní spoločenskými alebo politickými zmenami, pričom sa zvyčajne snažia získať neoprávnený prístup a zverejniť citlivé informácie alebo prekaziť činnosti spoločností a organizácií. Nation-state hackeri sú financovaní a podporovaní vládnymi organizáciami a snažia sa získať neoprávnený prístup k systémom iných krajín alebo organizácií.
Aké firmy či spoločnosti zvyknú najčastejšie vyhľadávať vaše služby?
Služby ofenzívnej bezpečnosti, od penetračného testovania až po red teaming, využívajú najmä spoločnosti z finančného sektora, ktoré sa snažia ochrániť dáta a aktíva svojich klientov a ich záujem vyplýva aj zo zákonných povinností a štandardov. Medzi častých klientov patria aj technologické spoločnosti. Ďalšou skupinou je verejný sektor, tvorený štátnymi orgánmi verejnej moci, ktoré sa snažia chrániť údaje nás všetkých, teda svojich občanov.
Svet prednedávnom šokovali uniknuté americké tajné dokumenty, ktoré obsahovali aj strategické bojové plány Ukrajiny. Ako mohlo dôjsť k takémuto úniku? Existuje vôbec úplná 100-percentná ochrana takýchto súborov?
Toto nebol prvý a pravdepodobne ani posledný únik tajných dokumentov. Dokonca by som ho nehodnotil ani ako výnimočný, keďže obdobné prípady sa stali v minulosti, ako v prípade neslávne známeho úniku Edwarda Snowdena či úniku hackovacích nástrojov od NSA a CIA. Existuje mnoho faktorov, ktoré môžu viesť k úniku tajných dokumentov a plánov. Tieto faktory môžu zahŕňať nedostatočnú ochranu informácií, nedostatočné kontroly prístupu, zlé bezpečnostné povedomie alebo špionáž. Hovorí sa, že bezpečnosť je tak silná ako každý článok v jej reťazci.
Čo majú všetky známe prípady spoločné, je zlyhanie človeka, ktorý je veľmi podstatným článkom v bezpečnosti. Pre zaujímavosť a pohľad do zákulisia CIA si môžete dohľadať prípad Joshua Schulte, ktorý zverejnil na WikiLeaks tajné nástroje a dokumenty nazvané Valut 7. Na internete je voľne dostupný niekoľko stostranový doslovný prepis jeho súdneho procesu, poukazujúci na rôzne zlyhania a jeho motívy zverejnenia tajných dokumentov.
Na objasnenie motívov a cieľov najnovšieho prípadu zverejnenia tajných dokumentov je nutné počkať až do súdneho verdiktu. Aj keď neexistuje úplná 100-percentná ochrana takýchto dokumentov, existujú opatrenia a protokoly, ktoré môžu pomôcť minimalizovať riziko úniku informácií. Medzi tieto opatrenia patria prísne kontroly prístupu, používanie šifrovania, rôzne formy zabezpečenia proti kybernetickým útokom a trénovanie zamestnancov na ochranu informácií.
