התקפות סייבר – הרע עדיין לפנינו

This post is also available in: English (אנגלית)

מתקפת הסייבר המתואמת ששיתקה חלקים מהאינטרנט ב-21 באוקטובר הדגישה בעיות מפתח בתחום המדיניות, כך מעריך מומחה לאבטחת סייבר מאוניברסיטת סטנפורד.

הרברט לין, חוקר בכיר בתחום מדיניות הסייבר ואבטחה במרכז הבינלאומי לביטחון ושיתוף פעולה בסטנפורד, מכהן כעמית מחקר במכון הובר וחבר בוועדת הנשיא לחיזוק אבטחת הסייבר בארה"ב. לדבריו, י אין פתרונות קלים לבעיה.

במהלך ההתקפה הורדו מספר אתרי אינטרנט מובילים כמו טוויטר ואמזון כמעט למשך יום שלם, ורבים אחרים היו בלתי ניתנים לגישה. ה-FBI והמחלקה לביטחון המולדת עדיין חוקרים את המתקפה, מסוג DDoS. ההתקפות התמקדו בעיקר בחברת Dyn, אחת החברות המפעילות את מערכת שמות הדומיין באינטרנט (DNS).

בראיון לשירות החדשות של סטנפורד, המתפרסם באתר האוניברסיטה, הסביר לין כי התקפה זו כוונה כלפי ספק שירותי אינטרנט מוביל, המפעיל חלק ניכר מתשתית האינטרנט. אין זו ספקית לצרכנים, אלא חברה הנמצאת בין המשתמש לבין חברות כמו אמזון. " התקפות אלה התמקדו במערכת שמות הדומיין. המתקפה הציפה את שרתי החברה ב"מיליוני בקשות מזויפות לשירות ממקורות שונים. החברה, שנאלצה לעבד את כל הבקשות האלו לא יכלה לתת שירות למשתמשים באתרים השונים. מיליוני המקורות מהם הגיעו הבקשות היוו כנראה מכשירי האינטרנט של הדברים (IoT).

רוב רובם של המכשירים האלו לא היו מחשבים, אלא "מכשירים קטנים כגון מצלמות מעקב, מוניטורים לתינוקות וראוטרים ביתיים (חפצים יומיומיים בעלי חיבור לרשת האינטרנט). מה שהופך את המכשירים לפגיעים במיוחד הוא העובדה שהם קטנים, העוצמה החישובית שלהם נמוכה, והם כמעט שאינם מאובטחים. למעשה, חברה סינית כבר הודתה כי לא ייחסה די חשיבות לאבטחה, והמליצה למשתמשים לנקוט צעדים לשיפור האבטחה. אך הם סיפקו את מוצריהם בלי להשקיע באבטחה, וכאן היתה הפירצה".

המלצתו העיקרית לגבי מדיניות לעתיד היא כי "נדרשת לנו מדיניות שתעודד – או תחייב, תלוי עד כמה רוצים לתת תוקף לדבר – אמצעי אבטחה מינימלים למכשירים המתחברים לאינטרנט, כולל מכשירי האינטרנט של הדברים. זוהי בעיה לעודד, לקדם או לתמרץ מהלך כזה ללא תשתית חוקית, ואף אחד לא באמת יודע איך הדבר יתקבל בשוק. כמו כן, אם נאלץ את היצרים להקדיש תשומת לב לאבטחה, נביא לירידת רמת החדשנות של המוצרים. בנוסף, עולה גם השאלה מי ירכוש את המוצרים, מפני שהמוצרים שאינם מאובטחים ודאי יהיו זולים יותר. הבעיה היסודית כאן היא שהמשתמשים במכשירי האינטרנט של הדברים, כמו מצלמות המעקב, ימצאו כי המצלמות האלה פועלות היטב גם אם אינן מאובטחות כראוי. כך שאם אין למשתמשים תמריץ לקדם את אבטחת המכשירים הם לא יעשו זאת. מדוע שישלמו יותר כדי להגן עלי?" תוהה לין.