James Comey's Twitter-beveiligingsprobleem is ook jouw probleem

Tot voor kort waren veel van de grote spetterende datalekken, zoals de Doel en Sony hacks - gebeurde omdat de gegevens niet waren beschermd. Een goede encryptie zou deze inbreuken waarschijnlijk hebben voorkomen.

Nu zijn de dingen anders. We zien dat er steeds meer problemen ontstaan, niet omdat gegevens niet worden beschermd, maar omdat ze niet goed worden beschermd.

Tot voor kort besteedden maar weinig mensen buiten de academische wereld veel aandacht aan een concept dat informatiestroombeveiliging wordt genoemd, waarbij gegevens worden gecontroleerd tijdens interactie met software. Toen kwam er Dit is bijna zeker het Twitter-account van James Comey , een Gizmodo-artikel dat alles vastlegt wat het betekent om een ​​modern informatielek te zijn.

Het verhaal achter het artikel: een journalist genaamd Ashley Feinberg wilde het geheime Twitter-account van FBI-directeur James Comey vinden. Ze begon op internet te spitten en kon het account in slechts vier uur ontdekken, grotendeels door misbruik te maken van een belangrijke bug in de informatiestroom op Instagram.

Feinberg beschrijft hoe ze feiten over Comey en zijn familie gebruikte om een ​​openbare tweet te vinden die haar naar een openbare Instagram-commentaar leidde die haar naar de afgeschermde Instagram-pagina van Comey's 22-jarige zoon Brien leidde.

Jean Yang Leonard Greco

Nadat Feinberg verzoeken had gestuurd om Brien te volgen, raadde Instagram haar aan ook te volgen reinholdniebuhr , een ander beveiligd Instagram-account dat overeenkwam met wat Feinberg al wist over het Instagram-account van James Comey. Sterker nog, de Twitter-handle met dezelfde naam kwam overeen met wat Feinberg wist over Comey's Twitter-account.

Er gebeuren hier veel dingen, waarvan vele buiten de controle van een softwareontwikkelaar bij Instagram, maar de kern van dit lek is een bug in de informatiestroom. Feinberg vertrouwde op verschillende belangrijke openbare feiten over Comey, maar ze zou zijn Twitter-account niet hebben kunnen vinden als Instagram niet per ongeluk de essentiële aanwijzingen had gegeven. En Instagram zou deze informatie niet hebben onthuld als de code de beveiliging van de informatiestroom correct had afgedwongen.

Er is een inconsistentie tussen hoe Instagram de informatie op accountprofielen beschermt wanneer gebruikers deze proberen te openen en hoe Instagram deze informatie beschermt wanneer deze in verschillende algoritmen wordt gebruikt. Wanneer u de Instagram-pagina van een beveiligde gebruiker probeert te bekijken, kunt u geen toegang krijgen tot de foto's van die persoon of zien wie die gebruiker volgt. Het blijkt echter dat de beschermde accountinformatie zichtbaar is voor algoritmen die suggereren: ander gebruikers te volgen, een functie die - ten onrechte - zichtbaar wordt voor allemaal kijkers zodra een follow wordt gevraagd.

In dit geval is de beleidsschending bijzonder verraderlijk omdat wat er feitelijk is gelekt, de profielfoto en naam van reinholdneibuhr, beide openbaar zijn op Instagram. Wat privé moet zijn, is de relatie tussen Brien Comey en dit reinholdneibuhr-account. Hoewel het mogelijk is dat Instagram willekeurig reinholdneibuhr liet zien als een aanbevolen account om uit te volgen 600 miljoen actieve maandelijkse gebruikers , wat waarschijnlijker is, vooral gezien het feit dat de andere aanbevolen gebruikers de achternaam Comey hadden, is dat het aanbevelingsalgoritme van Instagram geheime volginformatie gebruikte om te berekenen welke accounts moesten worden aanbevolen. In de informatiestroomnomenclatuur wordt het lekken van geheime informatie door het weergeven van openbare informatie een impliciete stroom genoemd.

Net zoals een goede codering de hacks van Target en Sony zou hebben voorkomen, zijn er oplossingen om informatielekken zoals deze te voorkomen. Er is tientallen jaren onderzoek gedaan naar beveiligingstechnieken voor informatiestromen: sommige die software controleren voordat deze wordt uitgevoerd, andere die software controleren terwijl deze wordt uitgevoerd. Dit werk is veel meer dan theoretisch: mensen hebben op basis van deze ideeën besturingssystemen en webframeworks gebouwd. Dergelijke systemen zouden hebben gedetecteerd of een aanbevelingsalgoritme geheime volginformatie lekte en het lek hebben voorkomen. Maar zelfs met deze benaderingen moet de programmeur nog steeds redeneren over de complexe en subtiele interactie van beleid met elkaar en met de code om software te produceren die geen informatie lekt.

In mijn lab proberen we het voor ontwikkelaars gemakkelijker te maken om informatiestroombeleid te implementeren. We helpen de machine om verantwoordelijkheid te nemen voor het beheer van de interactie tussen beleidsregels en met het programma om ervoor te zorgen dat aanbevelingsalgoritmen geen informatie lekken. Het beleid specificeert ook welke waarden de machine kan gebruiken wanneer de werkelijke waarden geheim moeten worden gehouden. Als een zoekalgoritme bijvoorbeeld niet de exacte locatie van iemand mag gebruiken, kan het misschien de bijbehorende stad gebruiken.

Verwant verhaal

Verwant verhaal Telefoons die alles wat ze bevatten opsluiten, kunnen de wetshandhaving meer belemmeren dan we eigenlijk willen.

Hoewel digitale veiligheid een van de belangrijkste zorgen van de FBI zou moeten zijn, kon Comey de problemen die voortvloeien uit de puinhoop van beleidsspaghetti die moderne code is, niet vermijden. Hoewel dit lek veel minder mensen trof dan de grote datalekken, markeert het een belangrijke verschuiving in informatiebeveiliging.

Tot nu toe dachten de meeste mensen over beveiliging in termen van het beschermen van individuele gegevensitems, in plaats van in termen van complexe en subtiele interacties met de programma's die ze gebruiken. Maar we leven nu in een wereld waarin de directeur van de FBI onze internetinfrastructuur en Instagram voldoende vertrouwt om 3.227 privéfoto's online te zetten. Enerzijds betekent dit dat we een bepaald beveiligingsniveau hebben bereikt. Anderzijds betekent het dat we ons nu kunnen concentreren op meer geavanceerde beveiligingsproblemen. En als iedereen met goede deductie en toegang tot internet allerlei soorten informatie kan vinden, is ons werk op het gebied van informatiebeveiliging nog lang niet voorbij.

Jean Yang | is een assistent-professor op de afdeling computerwetenschappen aan de Carnegie Mellon University en was genaamd een van de MIT Technology Review 's Innovators onder de 35 anno 2016.

zich verstoppen