Britse geheime dienst geeft openheid over publicatie van kwetsbaarheden
De Britse inlichtingendienst GCHQ onthult niet elke kwetsbaarheid die ze ontdekken aan de softwareleverancier. De kennis over een kwetsbaarheid in software kan gebruikt worden in een onderzoek naar criminele bendes, hackers of vijandige staten.
Soms kiest de dienst ervoor om een kwetsbaarheid stil te houden en te gebruiken om inlichtingen te verzamelen en de activiteiten van diegenen die proberen het Verenigd Koninkrijk schade te berokkenen te verstoren als het gaat om onderzoeken in het belang van de nationale veiligheid. In principe wordt elke zero-day gemeld, maar als het in het belang is van de nationale veiligheid, kan dat een enkele keer achterwege worden gelaten. Dat hebben de GCHQ en het Britse National Cyber Security Centre maandag verklaard in een poging meer uitleg te geven over wanneer een kwetsbaarheid wel of niet wordt onthuld.
Volgens de inlichtingendienst wordt het besluit om een kwetsbaarheid stil te houden, niet zomaar genomen. Dat wordt besloten door een panel van experts van de dienst, het NCSC en het ministerie van Defensie. "Ik hoop dat de details die we vandaag hebben gepubliceerd laten zien dat we ons best doen om het Verenigd Koninkrijk te beschermen, ook als het om kwetsbaarheden gaat," schrijft Ian Levy, technisch directeur bij het NCSC.
Het verzwijgen van een kwetsbaarheid kan echter ook negatieve gevolgen hebben, volgens ZDnet. De wereldwijde uitbraak van WannaCry ransomware was mogelijk door EternalBlue, een kwetsbaarheid die werd gebruikt door Amerikaanse inlichtingendiensten. Het lek lekte uit via hackers en hoewel Microsoft met een patch kwam, gebruikte Noord-Korea de kwetsbaarheid om WannaCry te verspreiden.
En bij deze ook wat propaganda je strot in.
En bij deze ook wat propaganda je strot in.
Het is nauwelijks propaganda te noemen als jij (in dit geval een of meerdere US drie letter organisaties) het bestaan van een kwetsbaarheid verzwijgt, Noord Korea vervolgens op eigen gelegenheid (of via betere spionagewerk) achter dezelfde kwetsbaarheid komt, en deze misbruikt, met de meest ernstige gevolgen tot in de National Health Service (UK) toe (https://nl.wikipedia.org/wiki/WannaCry). Die verzwijging valt in het kopje nalatig met grote schade en zal 'men' het liefst zo snel mogelijk vergeten...
En dat is de knel in een notendop. De gedachte achter het verzwijgen van kwetsbaarheden is de NOBUS hypothese (https://en.wikipedia.org/wiki/NOBUS). Evenwel NOBUS is complete en totale nonsens, de natuurwetten waaraan de machines gehoorzamen gelden voor iedereen en dus is er altijd de kans dat iemand anders ze ook ontdekt en misbruikt. #WannaCry
"gebruikte Noord-Korea de kwetsbaarheid om WannaCry te verspreiden."
Voor zover ik mij herinner is er geen onomstotelijk bewijs geleverd om Noord-Korea als dader aan te wijzen. Het is dan ook ongepast om hier te melden dat zij de verantwoordelijke zijn.
En bij deze ook wat propaganda je strot in.
Wat zijn je bronnen, toon aan dat het geen propaganda is.. en dan niet met iets van VICE komen aanzetten
"gebruikte Noord-Korea de kwetsbaarheid om WannaCry te verspreiden."
Voor zover ik mij herinner is er geen onomstotelijk bewijs geleverd om Noord-Korea als dader aan te wijzen. Het is dan ook ongepast om hier te melden dat zij de verantwoordelijke zijn.
Het is ZDnet die dit schrijft: However, the vulnerability was leaked by hackers and despite Microsoft releasing a patch to combat it, North Korea used EternalBlue to distribute WannaCry ransomware.
"gebruikte Noord-Korea de kwetsbaarheid om WannaCry te verspreiden."
Voor zover ik mij herinner is er geen onomstotelijk bewijs geleverd om Noord-Korea als dader aan te wijzen. Het is dan ook ongepast om hier te melden dat zij de verantwoordelijke zijn.
Washington Post noemt de NSA als bron: https://www.washingtonpost.com/world/national-security/the-nsa-has-linked-the-wannacry-computer-worm-to-north-korea/2017/06/14/101395a2-508e-11e7-be25-3a519335381c_story.html
"gebruikte Noord-Korea de kwetsbaarheid om WannaCry te verspreiden."
Voor zover ik mij herinner is er geen onomstotelijk bewijs geleverd om Noord-Korea als dader aan te wijzen. Het is dan ook ongepast om hier te melden dat zij de verantwoordelijke zijn.
Washington Post noemt de NSA als bron: https://www.washingtonpost.com/world/national-security/the-nsa-has-linked-the-wannacry-computer-worm-to-north-korea/2017/06/14/101395a2-508e-11e7-be25-3a519335381c_story.html
Lijkt mij niet dat de NSA hier een betrouwbare bron vormt (aangezien zij een partij zijn in dit hele verhaal, namelijk waar de kwetsbaarheid in eerste instantie vandaan kwam).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
