NSA aangeklaagd over gebruik zero day-lekken
De Amerikaanse burgerrechtenbeweging EFF heeft de NSA aangeklaagd om openbaarheid te geven over het gebruik van zero day-lekken. Het gaat dan om kwetsbaarheden waarvoor nog geen beveiligingsupdate beschikbaar is. Hierdoor wordt het eenvoudig om de computer van een verdachte over te nemen.
De EFF wil nu weten of inlichtingendiensten zoals de NSA dit soort lekken openbaren of geheimhouden. De burgerrechtenbeweging wijst naar een artikel van Bloomberg waarin wordt gesteld dat de NSA al twee jaar de Heartbleed-bug in OpenSSL zou hebben gebruikt voordat het lek openbaar werd. De Amerikaanse overheid ontkende de beschuldiging. De EFF diende echter een Wob-verzoek in om documenten over het gebruik zero day-kwetsbaarheden op te vragen.
De gevraagde informatie werd echter niet aangeleverd. Daarom is er nu een Freedom of Information Act (FOIA)-rechtszaak aangespannen. "Aangezien deze kwetsbaarheden invloed op de veiligheid van gebruikers over de hele wereld hebben, moet het publiek weten hoe inlichtingendiensten de risico's en voordelen afwegen over het gebruik van zero-days in plaats van ze aan de leveranciers te melden", zegt EFF-analist Eva Galperin.
Er is hier een discrepantie. NSA moet de Amerikaanse overheid beschermen en gebruikt hiervoor een lek dat diezelfde overheid bloot stelt aan gevaar.
Dat lijkt op die glashandelaar die merkt dat er door ongelukken met glasplaten bij het laden en lossen van vrachtwagens fietsers een lekke band krijgen. Maar hij gaat niet voorkomen dat er ongelukken gebeuren. Nee, hij begint een fietsplakzaakje.
Peter
Probleem is dat je een slotenmaker die samenwerkt met de politie om bewust fouten te laten zitten niet meer vertrouwt. Niet per se omdat je oom agent niet vertrouwt, maar inbrekers die misschien dezelfde fout hebben gevonden vertrouw je zeker niet, en je wil in ieder geval een slot dat tegen inbrekers beschermt.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
