¿Cuál es el truco opm, y ¿qué significa para usted?

Hacks suceden. Parece como si fuera casi todos los meses que algún gran corporación flubs su seguridad informática, y permite a los piratas informáticos hacerse con los datos de millones de usuarios. ¿Pero qué sucede cuando no es una corporación, pero el gobierno de Estados Unidos?Confirma objetivo hasta 40 millones de clientes de los EEUU Tarjetas de crédito hackeado PotencialmenteConfirma objetivo hasta 40 millones de clientes de los EEUU Tarjetas de crédito hackeado PotencialmenteObjetivo acaba de confirmar que un truco podría haber comprometido la información de la tarjeta de crédito de hasta 40 millones de clientes que han comprado en sus tiendas de Estados Unidos entre el 27 de noviembre y 15 de diciembre de 2013.Lee mas

Desde hace varias semanas, las noticias que salen de la Oficina de Administración de Personal (OPM) ha sido cada vez peor. La OPM, un poco discutido oficina gubernamental que almacena los registros de empleados, ha sido objeto de un corte de proporciones verdaderamente históricas.

Los números exactos han sido difíciles de conseguir una manija en. Cuando el hack fue anunciado por primera vez, los investigadores estaban seguros de que la brecha se descubrió rápidamente mediante el programa de seguridad interna EINSTEIN del gobierno, y que afectaron a los registros de alrededor de cuatro millones de empleados.

Desde entonces, ha quedado claro que el truco fue descubierto accidentalmente, mucho después de que se produjo - y el número real de afectados se parece más a veintiún millones.

Por desgracia, la seguridad informática puede tienden a ser confuso y seco. A pesar de todos los informes, muchos de ustedes todavía no pueden tener una buena comprensión de lo que se ha hecho, cómo sucedió, o cómo le afecta. Voy a hacer un esfuerzo para descomponerlo y responder a algunas preguntas básicas sobre el tema.

¿Cómo se produjo el truco?

Ha habido indicios de que este tipo de cosas era probable por un tiempo. los fuga de Snowden puesto de manifiesto la mala seguridad informática federal puede ser, incluso dentro de la teoría de expertos de la NSA. La situación en la OPM fue aún peor. La abierta no tenía empleados de seguridad en absoluto hasta el año 2013. Habían sido advertidos en repetidas ocasiones que sus prácticas de seguridad eran vulnerables a la intrusión.Héroe o villano? Los moderados NSA su postura sobre SnowdenHéroe o villano? Los moderados NSA su postura sobre SnowdenDenunciantes Edward Snowden y de la NSA John DeLong aparecieron en la programación de un simposio. Si bien no hubo debate, parece que la NSA ya no pinta Snowden como un traidor. Lo que ha cambiado?Lee mas

La imagen de la incompetencia se completa con los informes de que la incursión fue descubierto durante una Presentación de ventas por una compañía llamada CyTech Servicios, que encontró el malware al tiempo que demuestra su herramienta de análisis de seguridad. No está claro cómo los hackers largos tenían acceso al sistema, pero ‘años es una suposición plausible.

Desafortunadamente, esto está lejos de ser un incidente aislado entre los organismos gubernamentales, y que no debe sorprender. Miran los incentivos: si es hackeado Target, pierden millones de dólares en demandas y la pérdida de ventas. La compañía recibe un golpe, y sus competidores se comen cuota de mercado. Si una oficina del gobierno comete el mismo error, muy poco en realidad sucede. Disparan unos corderos para el sacrificio y tratan de buscar solemnes durante las audiencias, y esperar unas semanas para el ciclo de noticias de 24 horas a distraerse con algo brillante.

Hay muy poco incentivo práctico para cambiar, y muy pocas leyes existen en cuanto a la seguridad cibernética. De las pocas leyes existen (como FISMA, la Ley Federal de Gestión de Seguridad de la Información), la mayoría no se siguen de cerca. Alrededor del 75% de los sistemas informáticos de la OPM no cumplió con esa ley.

Esta es una situación que es mala y está empeorando. La Oficina de Responsabilidad del Gobierno informó en abril que el número de violaciones de la seguridad en las agencias federales se disparó de 5.500 en 2006 a más de 67.000 en 2014. En una entrevista con Re / código, Gregy Wilshusen, el autor del informe, dice que esto se debe a que las agencias a menudo tienen fallas catastróficas en sus procedimientos de seguridad internos, y muchas veces no corregir las vulnerabilidades una vez que están al descubierto.

“Cuando evaluamos estos organismos, a menudo encontramos que sus procedimientos internos de prueba no es más que entrevistar a las personas involucradas, y no a prueba los propios sistemas implican [...] Constantemente encontramos que las vulnerabilidades que identificamos como parte de nuestros procedimientos de prueba y de auditoría son no se encontró o fijados por las agencias porque tienen procedimientos inadecuados o incompletos de prueba “.

Vídeo: QUÉ ES LA MAGIA, por Vosotros - Especial 70,000 Suscriptores

¿Qué se llevaron?

Otro punto de confusión tiene que ver con la naturaleza de la información de los hackers tuvieron acceso a. La verdad es que es muy diversa, ya que se accedió a varias bases de datos. La información incluye los números de seguridad social para todo el mundo - que presenta una gran amenaza de robo de identidad por sí mismo. También incluye 1,1 millones de registros de huellas digitales, lo que pone en peligro a cualquier sistema que se basa en la biometría.

Lo más alarmante, entre los registros robados había millones de informes obtenidos durante la verificación de antecedentes y aplicaciones de habilitación de seguridad. He participado en una serie de verificaciones de antecedentes, ya que un número alarmante de mis viejos amigos de la universidad ahora trabajan para el gobierno federal de Estados Unidos. Estas verificaciones de antecedentes cavar profundo. Hablan con su familia, sus amigos y sus compañeros para verificar toda su biografía la vida. Están buscando cualquier indicio de deslealtad, o la participación con una potencia extranjera, así como cualquier cosa que posiblemente podrían ser utilizados para chantajearte: adicción, la infidelidad, los juegos de azar, la homosexualidad en secreto, ese tipo de cosas.

En otras palabras, si usted está mirando para extorsionar a un empleado federal, esto es casi un sueño hecho realidad. El sistema de verificación de antecedentes se ha apagado en la estela de la corte, y no está claro cuándo será operativo de nuevo.

También existe la preocupación más grande que los atacantes tenían acceso a estos sistemas durante mucho tiempo.

A quién afecta?

Veintiún millones es un número grande. La gama de los directamente afectados se extiende por los empleados federales actuales y anteriores, así como aquellos que solicitaron una autorización de seguridad y fueron rechazados. Indirectamente, alguien cercano a un empleado federal (creo familiares, cónyuges y amigos) podrían verse afectados si se observó su información en la verificación de antecedentes.

Si usted piensa que podría estar afectado por este, la OPM está ofreciendo algunos recursos básicos de protección de robo de identidad en la estela del incidente. Si usted está entre aquellos directamente comprometida, usted debe conseguir un correo electrónico, como figuras de la OPM exactamente quién fue afectado.

Sin embargo, estas protecciones sólo representan el robo de identidad y otros ataques bastante básicas utilizando los datos. Para la materia más sutil, como la extorsión, hay un límite a lo que puede hacer el gobierno. La protección sólo carece de 18 meses - un hacker podría fácilmente paciente sentarse en la información de ese tiempo.

¿Cómo serán los datos se utiliza?

Por último, tenemos la pregunta del millón. Que tomaron los datos, y qué están planeando hacer con ella? La respuesta es que, por desgracia, no lo sabemos. Los investigadores han señalado con el dedo a China, pero no hemos visto ninguna prueba concreta lanzado a apoyar esto. Incluso entonces, no es claro si estamos hablando de autónomos chinos, el gobierno chino, o algo intermedio.

Así que, sin conocer los atacantes o sus motivos, lo podría se puede hacer con estos datos?

De buenas a primeras, algunas opciones obvias se presentan. números de seguridad social no se cambian con facilidad, y cada uno puede ser utilizado en un robo de identidad potencialmente rentable. La venta de estos por unos pocos dólares cada uno, con el tiempo, podría neto un saludable de nueve cifras de día de pago para los piratas informáticos, con casi ningún esfuerzo.Lo que motiva a la gente para hackear las computadoras? Pista: DineroLo que motiva a la gente para hackear las computadoras? Pista: DineroLos delincuentes pueden utilizar la tecnología para hacer dinero. Tú lo sabes. Pero usted se sorprenderá de lo que puede ser ingeniosa, de la piratería y la reventa de servidores para la reconfiguración de los mineros Bitcoin tan lucrativos.Lee mas

Vídeo: ¿Qué es para tí la Navidad Entrevistas personal y profesores Navidad CEU 2011-12

Entonces hay opciones más desagradables. Digamos que eres una potencia extranjera y que entran en contacto con esta información. Todo lo que necesita hacer es encontrar un empleado federal con acceso a un sistema crítico, que tiene algo de suciedad en medio del corte. Tal vez el primero está dispuesto a dejar su adicción a la infidelidad / sexualidad convertirse pública / a proteger a su país. Pero tú tienes millones de posibles objetivos. Tarde o temprano, vas a quedar sin patriotas. Esta es la amenaza real, desde una perspectiva de seguridad nacional - aunque incluso un hacker independiente podría usar esto para obtener dinero o favores de millones de personas inocentes.

El experto en seguridad Bruce Schneier (que hablamos de cuestiones de privacidad y confianza) Ha especulado que hay un riesgo adicional de que los atacantes podrían haber manipulado el contenido de la base de datos durante el tiempo que tenían acceso a ella. No está claro que nos gustaría poder decirle a la base de datos había sido modificado. Podrían, por ejemplo, lo que podría han dado permiso de seguridad a espías extranjeros, que es un pensamiento aterrador.El experto en seguridad Bruce Schneier En contraseñas, privacidad y confianzaEl experto en seguridad Bruce Schneier En contraseñas, privacidad y confianzaLee mas

¿Qué podemos hacer?

Por desgracia, esto probablemente no es el último truco de este tipo. El tipo de procedimientos de seguridad laxas que vemos en la OPM no son infrecuentes en las agencias gubernamentales de su tamaño. ¿Qué pasa si el próximo corte se apaga la electricidad a la mitad del país? ¿Qué hay de control de tráfico aéreo? Estos escenarios no son ridículos. Ya hemos utilizado el malware para atacar infraestructura- recordar que el virus Stuxnet, probablemente el trabajo de la NSA, y que usamos para destruir físicamente a las centrífugas nucleares iraníes?

Nuestra infraestructura natural es vergonzosamente vulnerables, y profundamente crucial. Esa es una situación que no es sostenible. Y, como leemos acerca de este truco (y la siguiente), es importante recordar que esto no es un problema que desaparece cuando el ciclo de noticias se distrae, o cuando algunos empleados son despedidos. Esta es una podredumbre sistémica, uno que va a seguir haciendo daño a nosotros, una y otra vez, hasta que realmente solucionarlo.

¿Estaba afectado por el hack? Preocupado por el bajo nivel de la seguridad informática? Háganos saber en los comentarios!