Chiamata urgente a causa dell’hacking con l’intelligenza artificiale: “Dobbiamo essere in grado di rispondere molto rapidamente”
https://nos.nl/artikel/2615399-dringende-oproep-door-hacken-met-ai-we-moeten-supersnel-kunnen-reageren
di Chronicbias
4 commenti
Mischien ben ik naïef maar als het zo makkelijk gaat kunnen programmeurs toch dit ook doen en het meteen patchen?
Deze oproep is terecht, en daar zal de overheid als werkgever iets mee moeten. Zelf werk ik al ca. 10 jaar voor een gemeente als netwerk- en systeembeheerder. Mijn werktijden zijn, net als de meeste kantoorslaven, gewoon van half 9 tot 5. Als er van ons ICT’ers wordt verwacht dat wij 24/7 beschikbaar gaan zijn om ad-hoc servers, routers en firewalls te gaan patchen omdat er midden in de nacht kwetsbaarheden zijn gevonden die direct aandacht verdienen moet dat door iemand betaald gaan worden (lees: jullie belastingbetalers).
Dan lees ik “Fischer liet een AI-systeem kijken naar de programmeercode van een overheidswebsite. Hij vroeg of er een bepaalde fout in zat waarmee hij toegang kon krijgen tot bestanden die niet toegankelijk horen te zijn. Het AI-programma antwoordde dat dit inderdaad zo is.”
Hackers hebben allang scripts draaien waarmee ze bekende fouten kunnen opsporen op websites. 1 Druk op de knop en je krijgt een mooi lijstje van potentiele issues. Dat AI in staat is om ook de (openbare) code te bekijken op een fout vind ik dan ook niet zo verwonderlijk. Je kunt bijvoorbeeld [https://www.kali.org/tools/wapiti/](https://www.kali.org/tools/wapiti/) gebruiken.
En als het gaat om de code van de site die niet publiekelijk toegankelijk is, dan werkt dit trucje met AI natuurlijk alleen als je toegang hebt tot de backend van de server. En dan kun je weer een ander scriptje draaien om fouten te vinden.
Mis ik dan iets dat opeens anders is met AI? Of zijn hackers ook in het gat gesprongen dat alles dat AI heet geld oplevert?
Als hackers met deze tools aan de slag kunnen, dan kunnen ontwikkelaars dat ook. Bij de CISO’s waar ik mee werk is er niet zoveel paniek over de manier om dit te lijf te gaan. Het is vooral een kwestie van je testprocessen en -procedures aanpassen.
Deze maatschappelijke awareness is belangrijk maar er wordt in het artikel het beeld geschetst dat de aanvallers een enorm voordeel hebben terwijl ze feitelijk over exact dezelfde middelen beschikken als de verdedigers. De praktijk is natuurlijk iets complexer en weerbarstiger maar als een hacker een AI vraagt om naar onontdekte kwetsbaarheden te zoeken dan spreekt het voor zich dat de ontwikkelaar dat ook doet voordat de release plaats vindt.
Waarom dit toch zo urgent is, is niet omdat de ontwikkelaars niet slim genoeg zijn. Het is omdat, zoals in een andere comment al is aangegeven, iemand bij gemeente Kotsdorp natuurlijk niet bij zijn familiebarbecue weg gaat lopen om een paar patches te draaien voor het geval er toch iets doorheen glipte. Daarnaast is het urgent omdat de leveranciers van software nog wel eens willen beknibbelen op die testdiscipline. Overstappen van platform is voor organisaties en overheden niet te doen, dus de klant blijft wel. Datalekken zijn dan ‘cost of doing business’.
Mijns inziens is een belangrijke sleutel voor veiligheid dat men overstapt op open source alternatieven. Daar is gewoon meer toezicht op. Het model van open source werkt juist omdat iedereen erbij kan. De lobby van de cybersecurityindustrie moet vooral daar op gericht zijn.