Los pioneros cibernéticos reflexionan sobre el pasado como prólogo

Fuente: SPOA Images, Ltd. vía Alamy Stock Photo

Katie Moussouris, fundadora y directora ejecutiva de Luta Security, recuerda su artículo sobre recompensas por errores para Dark Reading y su notable columna del 13 de agosto de 2015: “La verdad sobre las recompensas por errores: lo que Mary Ann Davidson, CSO de Oracle, no sabe sobre la divulgación de vulnerabilidades de seguridad modernas«.

«Cuando escribí sobre las recompensas por errores hace años, había un gran optimismo de que el descubrimiento de vulnerabilidades mediante crowdsourcing mejoraría drásticamente la seguridad. El punto en aquel entonces era que las recompensas por errores no eran una panacea: estaban destinadas a complementar el desarrollo seguro, no a reemplazarlo».

«Avanzando rápidamente hasta el día de hoy, la IA ha echado gasolina al modelo. Las pruebas automatizadas y la investigación impulsada por la IA están haciendo que sea mucho más fácil – y mucho más rápido – encontrar vulnerabilidades potenciales. El problema es que la clasificación todavía la realizan en gran medida los humanos, y los humanos no escalan como las GPU. Los programas que ya estaban sobrecargados ahora se están saturando».

«Para las empresas que ya se sienten en llamas, la IA acaba de aparecer con un lanzallamas. Sin grandes inversiones en el desarrollo de códigos más seguros y sin mejorar dramáticamente la velocidad a la que se pueden implementar parches y soluciones, muchas simplemente se reducirán a cenizas bajo el volumen».

«La parte que más me preocupa es el código abierto. Los mantenedores ya estaban abrumados antes de que la IA acelerara el descubrimiento de vulnerabilidades. Si este ecosistema colapsa bajo la carga, afectará no solo a unos pocos proyectos, sino a todo lo que depende de ellos. Log4j fue la llamada de atención que mostró cuán frágil es realmente la cadena de suministro de software. La IA acelera tanto el descubrimiento como la dependencia, y la incómoda verdad es que es posible que la industria no esté preparada para lo que los humanos están desatando».

Fuente: Alianza de seguridad en la nube

Rich Mogull, analista principal de Cloud Security Alliance y director ejecutivo de Securosis, explica uno de sus principios básicos de ciberseguridad: «Lo simple no escala», que se introdujo por primera vez en un Publicación de lectura oscura el 7 de julio de 2011.

“Aunque estuve muy tentado a elegir mi propia primer puesto de seguridad en la nube de 2009La que obtiene más tracción es mi publicación «Lo simple no es fácil», que creo que cambié por un tweet titulado «Lo simple no escala». Esta publicación ha sido uno de mis mantras desde que la escribí en 2011, y creo que incluso describí una primera versión de Security Poverty Line de Wendy Nather.

«¿Por qué elegí esto? Porque a medida que nos enfrentamos a oleadas de vulnerabilidades automatizadas descubiertas por la IA, como acaba de resaltar Mythos de Anthropic, nuestra capacidad de escalar fácilmente definirá el estado de nuestra seguridad como nunca antes».

Fuente: Richard Stiennon

Richard Stiennon, analista de investigación senior de IT-Harvest, lo elogió en una columna de Dark Reading de noviembre de 2006 titulada «La adopción del estándar de seguridad de datos PCI por parte de la industria de tarjetas de pago».Por fin un estándar con dientes«.

«Sigo creyendo que PCI DSS es uno de los estándares de seguridad más efectivos porque tiene fuerza. También generó toda una industria que ofrece escaneo de seguridad continuo (lo que todavía hace hoy) – e incluso evolucionó hacia la evaluación de riesgos de terceros, simulación de ataques e infracciones, y equipos rojos agentes».

«Los estándares y regulaciones que sugerí eran desdentados, les han crecido sus propios incisivos, y cada uno de ellos ha sido objeto de importantes medidas de aplicación de la ley. Los colmillos más aterradores pertenecen a la SEC, que ha evolucionado desde una débil aplicación de la Ley Sarbanes-Oxley hasta el procesamiento del CISO de SolarWinds».

«La señal más segura de que la industria de la seguridad está madurando es la gran cantidad de regulaciones que han surgido en los últimos 20 años. Estas regulaciones están dando forma a la industria. De los 4.029 proveedores activos que sigo, la categoría más grande (587 proveedores) es gobernanza, riesgo y cumplimiento».

Fuente: Bruce Schneier

El renombrado tecnólogo y autor Bruce Schneier escribió una columna el 20 de junio de 2010 advirtiendo de esto. La incapacidad de la criptografía para proteger las redes modernasun punto que dice que ha estado tratando de resaltar desde el año 2000.

“He estado señalando durante algún tiempo que la criptografía es lamentablemente inadecuada para resolver los mayores problemas de seguridad de las redes actuales: ataques de denegación de servicio, destrucción de sitios web, robo de números de tarjetas de crédito, robo de identidad, virus y gusanos, ataques DNS, penetración de redes, etc.

«Recientemente hablé con un ex empleado de la NSA en una conferencia. Me dijo que tenía una copia de mi libro de la década de 1990. Criptografía aplicada en su escritorio, al igual que muchos otros criptógrafos que trabajaban en Ft. trabajó. Meade. Podrías consultarlo, pero no citarlo.

«La década de 1990 fue una década importante para la criptografía. Esto fue antes de que Internet se convirtiera en un mercado de masas, cuando la criptografía apenas estaba evolucionando de una disciplina académica especializada a una disciplina de ingeniería convencional. No había mucho que leer para los programadores. La NSA usó mi libro por la misma razón por la que se convirtió en un éxito de ventas: porque reunía toda la criptografía académica de la época en un solo lugar y la hacía comprensible para personas que no eran matemáticas. Le temían exactamente por la misma razón.

«Estaba pensando en esta conversación mientras revisaba un ensayo de 2010 que escribí para Dark Reading».El fracaso de la criptografía para proteger las redes modernas.' La criptografía tiene propiedades matemáticas inherentes que brindan grandes ventajas al defensor. Agregar un solo bit a la longitud de una llave requiere poco trabajo para el defensor pero duplica el trabajo para el atacante. Duplicar la longitud de la clave duplica la carga de trabajo del defensor (si ese es el caso, aquí solo soy aproximado), pero aumenta exponencialmente la carga de trabajo del atacante. Durante muchos años hemos explotado este desequilibrio matemático.

«La seguridad informática está mucho más equilibrada. Habrá un nuevo ataque y una nueva defensa y un nuevo ataque y una nueva defensa. Es una carrera armamentista entre atacante y defensor.

«Esta no es una idea nueva. Dije casi lo mismo en el prólogo de mi libro de 2000: Secretos y mentiras:

«'La criptografía es una rama de las matemáticas. Y como todas las matemáticas, se trata de números, ecuaciones y lógica. La seguridad, la seguridad real que usted o yo podemos encontrar útil en nuestras vidas, se trata de personas: cosas que la gente sabe, relaciones entre personas, personas y su relación con las máquinas. La seguridad digital se trata de computadoras: computadoras complejas, inestables y con errores».

«Me gusta especialmente cómo lo expresé en 2016: 'La criptografía es más difícil de lo que parece, en gran parte porque se parece a las matemáticas. Tanto los algoritmos como los protocolos pueden definirse y analizarse con precisión, integrarse en un sistema de software más grande, administrarse mediante un sistema operativo, ejecutarse en hardware, conectarse a una red y ser configurados y operados por los usuarios. Cada uno de estos pasos introduce dificultades y vulnerabilidades.

«Esa es una lección que todos hemos aprendido a lo largo de décadas. La criptografía sigue siendo necesaria para la ciberseguridad, aunque no habría usado esa palabra en ese entonces, pero no es suficiente. Hay ciertos ataques y formas de vigilancia masiva que la criptografía previene. Pero a medida que las computadoras se han convertido en parte de nuestras vidas y las redes han conectado todas esas computadoras, estos aspectos de la ciberseguridad se han vuelto cada vez más importantes y vulnerables».

«Hoy en día, el mundo de la ciberseguridad está cambiando nuevamente, esta vez debido a las capacidades de la inteligencia artificial. La IA no está impulsando la criptografía, pero está transformando la ciberseguridad. La IA ha demostrado una capacidad sobrehumana para encontrar vulnerabilidades en el software y escribir exploits. Es probable que pronto llegue una capacidad similar para escribir parches. Esto tiene profundas implicaciones tanto para los atacantes como para los defensores, y no está claro quién ganará». carrera armamentista especial en un mundo de lo que yo llamo software instantáneo”.