Zestawienie tygodniowe 28 września – 5 października

IETF publikuje nową propozycję zwiększenia bezpieczeństwa sieci

Internet Engineering Task Force (IETF) opublikował RFC8915, proponowany standard ochrony czasu w sieci (NTS). Prace nad nim trwały pięć lat i mają na celu zaradzenie problemom i lukom w obecnym protokole czasu sieciowego (NTP).

Niezbędna jest dokładna synchronizacja czasu między różnymi komputerami w sieciach danych z przełączaniem pakietów i zmiennym opóźnieniem. Staje się to jeszcze bardziej krytyczne w dobie czwartej rewolucji przemysłowej, w której kluczowe znaczenie ma dokładny harmonogram i kolejność różnych procesów. Od swojego powstania w 1985 r. NTP dobrze służył temu celowi. Jednak w ciągu ostatnich 35 lat stało się jasne, że różne luki i problemy w NTP pokazują, że wymaga on zwiększonego poziomu bezpieczeństwa. NTS ma na celu zapewnienie tego poziomu.

Istniejące problemy wpływające na podstawowe NTP obejmują wzmocnienie DDoS, manipulację pakietami i ataki powtórkowe – ostatnie dwa są realizowane przez ataki typu man-in-the-middle (MiTM), które mogą fałszować wiadomości i fałszować czas.

Podstawowym rozwiązaniem było wprowadzenie asymetrycznej kryptografii do wstępnego uwierzytelnienia serwera. Może to zapobiec atakom MiTM. To, że działa wolniej niż szyfrowanie symetryczne, otwiera zwiększone prawdopodobieństwo ataków DDoS na serwery NTP. Jednak, jak zauważa RFC8915, „udany atak DDoS na serwer NTS-KE oddzielony od obsługiwanej przez niego usługi NTP nie wpłynie na użytkowników NTP, którzy już dokonali wstępnego uwierzytelnienia, wyodrębnienia klucza AEAD i wymiany plików cookie”.

NTS w dużej mierze uniemożliwia użycie niektórych implementacji NTP w atakach z amplifikacją DDoS. „Niektóre niestandardowe i / lub przestarzałe funkcje protokołu Network Time Protocol umożliwiają klientom wysyłanie żądań do serwera, które powodują, że serwer wysyła odpowiedź znacznie większą niż żądanie” – zauważa standard. NTS unika przyczyniania się do tego problemu, zapewniając, że pola rozszerzeń związane z NTS zawarte w odpowiedziach serwera mają taki sam rozmiar jak pola wysyłane przez klienta.

Drony Amazona- strażnik czy podglądacz?

Wprowadzenie kamery Ring Always Home Cam planowane jest w 2021 r. Otworzyło nową debatę na temat możliwości inwazyjnego nadzoru i naruszenia prywatności. Amazon twierdzi, że ten malutki dron jest „zbudowany z myślą o prywatności” i działa zgodnie z oczekiwaniami klientów. Umieszczony w stacji ładującej dron można wdrożyć zdalnie i wysłać do użytkownika do pięciu minut wideo.

Ale niektórzy aktywiści wyrażają zaniepokojenie tym urządzeniem.

John Verdi, wiceprezes ds. Polityki w waszyngtońskim think tanku Future of Privacy Forum, powiedział, że wdrożenie może przyczynić się do „normalizacji nadzoru” w życiu codziennym, ponieważ coraz więcej konsumentów instaluje urządzenia, które słuchają i widzą wnętrze domu. „Kiedy kamery, mikrofony i inne czujniki są rozmieszczone w prywatnych przestrzeniach, takich jak salony i sypialnie, prowadzi to do akceptacji codziennego nadzoru” – powiedział Verdi.

Niemniej jednak Verdi zauważył, że „Amazon poświęcił trochę uwagi ochronie prywatności tego produktu zarówno w zakresie sprzętu, jak i oprogramowania”.

Pojawiają się również głosy, że latająca kamera „może być coraz bardziej szkodliwa niż zwykła kamera”, umożliwiając komuś monitorowanie innych osób bez ich zgody. Chociaż jest sprzedawane jako urządzenie domowe, może być używane również w miejscu pracy i „pozwala osobie, która nim steruje, sprawdzać kogokolwiek – i nie ma gdzie się ukryć”. Może również umożliwić małżonkowi monitorowanie partnera.

Brytyjska grupa zajmująca się prywatnością, Big Brother Watch, była bardziej dosadna, nazywając kamerę „prawdopodobnie najbardziej mrożącym krew w żyłach produktem nadzoru firmy Amazon”.

Amazon, który kupił Ring w 2018 roku, spotkał się z falą krytyki z powodu udostępniania nagrań z monitoringu z kamery dzwonkowej i partnerstwa z policją, która zachęcała właścicieli domów do korzystania z tych urządzeń. Ale Amazon powiedział, że wewnętrzne kamery Ring nie podlegają żądaniom organów ścigania i nie mają mikrofonu do nagrywania dźwięku.

Pomimo zobowiązania Amazona, że nie będzie udostępniać wideo organom ścigania, może to nie zależeć od Amazona – może to zależeć od sądu, jeśli policja zażąda nakazu.

Poza tym niektórzy obawiają się, że te urządzenia monitorujące mogą zostać potajemnie wykorzystane do gromadzenia danych do celów np. marketingowych.