Edition 20

Tre anni e mezzo dopo la pubblicazione della correzione, 1.590 di questi dispositivi erano ancora raggiungibili da internet, solo in Francia. Nessuno ha sfruttato uno zero-day. Qualcuno ha accettato un rischio, attraverso una firma, un budget rinviato o un silenzio, e quella decisione è ciò di cui ho scritto questa settimana. Un rischio cyber è un rischio di business, e viene accettato più o meno come si sceglie la pianta della reception: una riga in un foglio di calcolo, senza importo, senza scadenza, spesso senza nome. Nessun supermercato ha facoltà di scegliere il proprio livello di sicurezza antincendio. Lo applica, lo finanzia e lo fa ispezionare da una commissione che può chiudere i battenti. Rileggete il vostro registro con questo in mente e verificate quali rischi accettati resisterebbero a essere letti ad alta voce.

Ogni passaggio si fidava di quello precedente. Il manifest recava una firma valida, quindi il servizio di pairing lo ha accettato, e nessuno si è chiesto se la firma di un'app demo debba valere come chiave privilegiata. L'app era legittima, quindi nessuno ha verificato dove navigasse. Il daemon si fidava del proprio input. Una firma valida non è un'autorizzazione, e ho scritto una variante di questa frase tre volte in questo trimestre: a proposito di un token MFA e di un processo di firma di pagamenti. Nel frattempo il televisore nella vostra sala riunioni esegue applicazioni, espone servizi che accettano comandi da altri dispositivi e non figura nel registro degli asset di nessuno.

Ogni modello di sicurezza mobile che adottate presuppone che il sistema operativo sia l'ancora di fiducia e che la minaccia arrivi sotto forma di app. Qui è stata distribuita con la firma della piattaforma, quindi le difese native di Android la classificano come attendibile e non esiste rimedio. Non la si bonifica: si butta il telefono. Per un'organizzazione questo non è il classico problema BYOD di cui si discute abitualmente. È lo smartphone da sessanta euro acquistato da un contractor su un marketplace, che instrada traffico attraverso la vostra rete e legge le notifiche sullo schermo. Bitdefender è esplicito nel dire che la correzione definitiva spetta ai produttori e ai marketplace, il che è un altro modo per dire che non arriverà.

Il produttore non è stato violato. I suoi sistemi non sono mai stati toccati. Qualcuno si è inserito tra la fabbrica e l'acquirente, e il controllo di autenticità fornito dal vendor era strutturalmente cieco a questo scenario. Grand smonta hardware da decenni e afferma di non aver mai visto prima uno di questi impianti in the wild. Ora ne ha trovati quattro su otto. Togliete le criptovalute dall'equazione e la domanda diventa scomoda in fretta: quale percentuale del vostro hardware arriva attraverso un rivenditore che non avete mai valutato, e cosa ispezionereste concretamente all'arrivo? La confezione antimanomissione non è una risposta quando l'impianto si trova sotto la batteria.

I quattro elementi precedenti sono dispositivi che nessuno ha ispezionato. Questo è quello in cui qualcuno lo ha fatto, e non è stata fortuna. OpenAI dispone di un team che effettua bonifiche fisiche dei locali, cosa che quasi nessuna organizzazione fa, e quando hanno trovato il dispositivo hanno fatto la cosa più difficile: lo hanno lasciato dove si trovava e lo hanno sorvegliato. Si tratta di un'esca, in una sala riunioni, ed è esattamente ciò che CISA raccomandava un mese fa. Si noti anche la compostezza nel resto della gestione. Accessi limitati, dipendente posto in congedo, il licenziamento coordinato con l'FBI in modo da non compromettere le indagini. Se un caso insider dovesse mai arrivare sulla vostra scrivania, questa è la sequenza da seguire.