Η κυβέρνηση Τραμπ θέλει να επιτρέψει σε εταιρείες να χακάρουν ξένους εγκληματίες στον κυβερνοχώρο

ΟΥΑΣΙΝΓΚΤΟΝ – Ο Πρόεδρος Τραμπ θέλει ιδιωτικές εταιρείες να χακάρουν τους χάκερ.

Σε υπόμνημα που εκδόθηκε αργά την Τετάρτη, η κυβέρνηση Τραμπ ανακοίνωσε ένα πρόγραμμα που θα μπορούσε να εξουσιοδοτήσει ορισμένες αμερικανικές επιχειρήσεις να καταδιώκουν ξένους εγκληματίες του κυβερνοχώρου επιλεγμένους από την κυβέρνηση.

Στο παρελθόν, το έργο αυτό εκτελούνταν από κρατικούς φορείς.

Το προεδρικό μνημόνιο δεν εξηγεί πλήρως πώς θα επέτρεπε σε μια ιδιωτική επιχείρηση να αναλάβει την ηγεσία σε εργασίες που παραδοσιακά εκτελούνται από την κυβέρνηση των ΗΠΑ, όπως η κατασκοπεία ή οι διασπαστικές επιχειρήσεις στον κυβερνοχώρο.

Οι νόμοι κατά της πειρατείας των ΗΠΑ σε γενικές γραμμές μπαρ άτομα και επιχειρήσεις από την παραβίαση ψηφιακών υποδομών, με ορισμένες εξαιρέσεις για να επιτρέπεται η εργασία επιβολής του νόμου. Αυτό το σημείωμα δεν αλλάζει αυτούς τους νόμους, αλλά δίνει εντολή σε οποιαδήποτε συμμετέχουσα εταιρεία να συνάψει σύμβαση με την ομοσπονδιακή κυβέρνηση.

Ωστόσο, το σημείωμα παρουσιάζει μια δραματική απόκλιση από τον τρόπο με τον οποίο ο ιδιωτικός τομέας της Αμερικής συμπεριφέρεται επί του παρόντος στον κυβερνοχώρο. Εάν εφαρμοστεί, θα επιτρέψει σε ορισμένες ιδιωτικές επιχειρήσεις να διαταράξουν ξένους οργανισμούς που η κυβέρνηση λέει ότι είναι εγκληματίες στον κυβερνοχώρο ή να συγκεντρώσουν πληροφορίες για αυτές τις ομάδες.

“Υπάρχει μια σειρά από πιθανούς στόχους — όπως το οργανωμένο έγκλημα — άτομα που κάνουν ξέπλυμα χρήματος ή άλλη εγκληματική δραστηριότητα”, δήλωσε ο Τζόσουα Στάινμαν, ο οποίος υπηρέτησε ως ανώτερος διευθυντής κυβερνοπολιτικής στο Συμβούλιο Εθνικής Ασφάλειας κατά την πρώτη θητεία του Προέδρου Τραμπ.

Από τότε που η κυβέρνηση Τραμπ ανέλαβε την εξουσία πέρυσι, δύο Ρεπουμπλικάνοι Κογκρέσοι υποστήριξαν νομοθεσία αυτό θα απαιτούσε τον κυβερνοχώρο»ιδιώτες», ένας όρος που προέρχεται από τον ναυτικό πόλεμο του 16ου αιώνα, για να δώσει τη μάχη σε ξένους χάκερ. Αυτό το μνημόνιο δεν δίνει στις ιδιωτικές επιχειρήσεις αυτή τη δυνατότητα, αν και προκάλεσε διαδικτυακούς επαίνους από τους υποστηρικτές της ιδέας.

Η νιφάδα γρίλι

Δεν είναι σαφές ποιες εταιρείες μπορεί να θέλουν να εκμεταλλευτούν την κυβέρνηση με αυτήν την ευκαιρία.

Οι ιδιωτικές εταιρείες συνεργάζονται από καιρό με την ομοσπονδιακή κυβέρνηση για να βοηθήσουν διαταράξουν τους κυβερνοεγκληματίεςαλλά σε μεγάλο βαθμό ως εργολάβοι που εκπληρώνουν έναν ρόλο υποστήριξης, όχι ψηφιακοί σαμποτέρ έδωσαν έναν στόχο.

«Θα υπάρξουν πολλοί άνθρωποι εκεί έξω που το βλέπουν αυτό ως ένα βήμα για να κάνουν πρόσθετη δουλειά για την κυβέρνηση των Ηνωμένων Πολιτειών», είπε ο Στάινμαν.

Αυτό θα μπορούσε να περιλαμβάνει μικρότερες εταιρείες, νεοφυείς επιχειρήσεις που υποστηρίζονται από επιχειρηματικά κεφάλαια και εταιρείες που επιθυμούν να συνάψουν δυνητικά επικερδείς κρατικές συμβάσεις.

“Είμαι βέβαιος ότι πολλές από αυτές τις εταιρείες θα το δουν ως μια πιθανή ευκαιρία να βελτιώσουν την ορατότητά τους ή να δώσουν άμεση εντολή στους πόρους από την κυβέρνηση”, δήλωσε ο Άρθουρ Τέλις, πρώην υπάλληλος του Υπουργείου Άμυνας και σημερινός συνεργάτης στο Ινστιτούτο για την Πρόοδο.

Ο Tellis είπε ότι αυτές οι ιδιωτικές εταιρείες πιθανότατα θα ήταν καλύτερες στην επιτήρηση από το να διαταράξουν πραγματικά εγκληματικές επιχειρήσεις.

Οι συμμετέχουσες εταιρείες θα συνάψουν συμβάσεις με το Υπουργείο Δικαιοσύνης ή το Υπουργείο Εσωτερικής Ασφάλειας, θα υποβληθούν σε «αυστηρό έλεγχο» και θα αφήσουν στην άκρη 1 εκατομμύριο δολάρια που μπορεί να εισπράξει η κυβέρνηση εάν μια εταιρεία δεν εκπληρώσει τις υποχρεώσεις της.

Αυτές οι εταιρείες θα λάβουν στη συνέχεια άδεια να επιχειρήσουν να αποκτήσουν πρόσβαση στα δίκτυα υπολογιστών ξένων ομίλων και να προβούν σε ενέργειες που «έχουν ως αποτέλεσμα χειραγώγηση, διακοπή, άρνηση, υποβάθμιση ή καταστροφή συστημάτων πληροφοριών», σύμφωνα με το σημείωμα.

Πολλά από το πώς θα έμοιαζε αυτός ο έλεγχος και η διαδικασία με την οποία θα επιλέγονταν πιθανοί στόχοι, δεν περιγράφονται στο υπόμνημα. Ούτε οι τύποι των ανατρεπτικών επιθέσεων ή η νομική αιτιολόγησή τους.

Η Stacy O’Mara, επικεφαλής πολιτικής στην εταιρεία κυβερνοασφάλειας Armadin, είπε ότι το έγγραφο την έχει σε κατάσταση «αναμονής και δω». Πιστεύει ότι οποιαδήποτε εταιρεία αποφασίσει να εγγραφεί θα πρέπει να απαντήσει σε μια σειρά νομικών ερωτημάτων.

“Υπάρχουν όλα αυτά τα άλλα στοιχεία που εξακολουθούν να είναι εξαιρετικά”, είπε ο O’Mara. «Ειδικά γύρω από τις νόμιμες αρχές και τις προστασίες».

Το σημείωμα δίνει στο DOJ και το DHS δύο μήνες για να επιλύσουν ορισμένες από αυτές τις ανοιχτές ερωτήσεις.

Αντιπολίτευση από τη βιομηχανία

Κάποιοι στον κλάδο της κυβερνοασφάλειας πιστεύουν ότι το μνημόνιο οδηγεί την ψηφιακή άμυνα της χώρας σε λάθος κατεύθυνση. Ο Paul Rosenzweig είναι σε αυτό το στρατόπεδο. Διευθύνει μια εταιρεία συμβούλων στην Ουάσιγκτον, DC, και ήταν αναπληρωτής βοηθός γραμματέας εσωτερικής ασφάλειας για θέματα πολιτικής υπό τον Πρόεδρο Τζορτζ Μπους.

«Δεν είναι μια ασύγκριτα κακή ιδέα, αλλά είναι μια κακή ιδέα», είπε ο Rosenzweig.

Λέει επίσης ότι η εντολή δεν αντιμετωπίζει τον αριθμό των πρακτικών και νομικών ζητημάτων που θα έπρεπε να αντιμετωπίσει κάποιος ιδιωτικός παράγοντας εάν χακάριζε έναν ξένο οργανισμό.

“Οτιδήποτε κάνουν οι νέοι μας φορείς του ιδιωτικού τομέα με δυνατότητα κυβερνοχώρου στο εξωτερικό θα είναι σίγουρα αντίθετο με το εσωτερικό δίκαιο πολλών χωρών στις οποίες ενεργούν”, δήλωσε ο Rosenzweig. «Το Διαδίκτυο δεν περιορίζεται από κυρίαρχα σύνορα με τον ίδιο τρόπο που ο φυσικός χώρος περιορίζεται».

Το σημείωμα δεν θα επέτρεπε σε ιδιωτικές επιχειρήσεις να εξαπολύσουν κυβερνοεπιθέσεις σε άλλες κυβερνήσεις, αλλά πολλοί ξένοι κυβερνοεγκληματίες δραστηριοποιούνται σε μια γκρίζα ζώνη μεταξύ κρατικών και μη. Η στόχευση της λάθος ομάδας θα μπορούσε να καταλήξει να υποκινήσει ένα διεθνές επεισόδιο.

Ο Chris Wysopal, ένας βετεράνος επαγγελματίας στον τομέα της κυβερνοασφάλειας και συνιδρυτής της εταιρείας ασφαλείας Veracode, είπε στο NPR ότι δεν ενδιαφέρεται να συμμετάσχει στα είδη των επιχειρήσεων που αναφέρονται στο σημείωμα.

Ανησυχεί για πιθανή ευθύνη. Τι γίνεται αν κάτι πάει στραβά; Τι γίνεται αν μια επίθεση στοχεύει μια αμερικανική εταιρεία κατά λάθος; Τι γίνεται αν μια αντεπίθεση πάει πολύ μακριά;

“Δεν θέλετε να έχετε παράπλευρες ζημιές όταν η ακτίνα έκρηξής σας είναι πολύ μεγάλη στο κέντρο δεδομένων που προσπαθούσατε να καταργήσετε και καταργήσετε τους διακομιστές μιας εταιρείας μεταφορών ή ενός νοσοκομείου”, είπε ο Wysopal.

Οι κίνδυνοι των κυβερνοεπιθέσεων

Οι Αμερικανοί χάνουν δισεκατομμύρια δολάρια κάθε χρόνο σε κυβερνοεπιθέσεις.

Κυβερνοεγκληματίες εισβάλλουν τόσο σε ιδιωτικές επιχειρήσεις όσο και σε δημόσιες επιχειρήσεις κοινής ωφέλειας, απειλώντας να κρατήσουν δεδομένα ως ομήρους ή να τα διαρρεύσουν εάν δεν πληρωθούν. Κλέβουν προσωπικές πληροφορίες από τα θύματα και χειραγωγούν τους ανθρώπους για να τους μεταφέρουν χρήματα.

“Ransomware και οι απάτες γίνονται όλο και χειρότερα”, δήλωσε ο Wysopal. «Έχω μια μητέρα που μου στέλνει email ρωτώντας με “Είναι αληθινό; Είναι αληθινό;” Και φαντάζομαι ότι αυτό συμβαίνει παντού».

Οι κυβερνοεπιθέσεις αποτελούν επίσης απειλή για την εθνική ασφάλεια. Μόλις τον περασμένο μήνα, ανέφερε η Μινεσότα δεκάδες τοπικά συστήματα ύδρευσης είχαν στοχοποιηθεί σε συντονισμένη επίθεση, η οποία αμερικανική συνδέσμους νοημοσύνης προς το Ιράν.

Ο Steinman, ο πρώην αξιωματούχος του Trump, είπε ότι ένας ταχύτερος ιδιωτικός τομέας μπορεί να βοηθήσει τις επιθετικές δυνατότητες της χώρας στον κυβερνοχώρο, αρκεί να γίνει προσεκτικά.

«Το νόημα αυτού είναι να ξεκινήσουμε», είπε, «Και πιστεύω ότι οι άνθρωποι που το διαχειρίζονται θα είναι πολύ μετρημένοι στις αρχικές προσπάθειές τους να προσπαθήσουν να αναπτύξουν αυτήν την ικανότητα».

Αλλά άλλοι λένε ότι ακόμη και αν επιλυθούν τα νομικά και τεχνικά ζητήματα στο υπόμνημα του προέδρου, δεν θα διορθώσει την αυξανόμενη απειλή του εγκλήματος στον κυβερνοχώρο – ειδικά βραχυπρόθεσμα.

«Δεν νομίζω ότι μπορείς να προσβάλεις τον τρόπο σου προς την ασφάλεια», είπε ο Wysopal. “Πάντα θα υπάρχει ένας ακόμη παράγοντας απειλής – η ιδέα ότι αυτό θα λύσει το πρόβλημα φαίνεται πραγματικά ανόητη.”