Οι μαύρες τρύπες του Ιντερνετ

Από τότε που το Διαδίκτυο μπήκε στα σπίτια μας, η ζωή μας έγινε πιο εύκολη, αλλά παράλληλα αυξήθηκαν και οι κίνδυνοι: οι κυβερνοεγκληματίες βρήκαν στον ψηφιακό κόσμο πεδίο δόξης λαμπρό προσπαθώντας διαρκώς και με ολοένα πιο εξελιγμένες μεθόδους να βάλουν χέρι στα προσωπικά δεδομένα και στους τραπεζικούς λογαριασμούς μας. Οταν, μάλιστα, το Ιντερνετ μπήκε και στις τσέπες μας, με τα έξυπνα κινητά τηλέφωνα, οι online κίνδυνοι πολλαπλασιάστηκαν. Το τελευταίο διάστημα έχει παρατηρηθεί ανησυχητική αύξηση του αριθμού των ηλεκτρονικών επιθέσεων εναντίον ιστότοπων. Σύμφωνα με έκθεση της εταιρείας λογισμικού ασφαλείας Symantec, το 2013 καταγράφηκαν 6.787 ευπάθειες (τρύπες στην ασφάλεια των σάιτ που εκμεταλλεύονται οι επιτήδειοι), σε σύγκριση με 5.291 το 2012. Επιπλέον, το 67% των ιστότοπων χρησιμοποιήθηκε ως δούρειος ίππος για εγκατάσταση κακόβουλου λογισμικού το οποίο εμφανιζόταν ως γνήσιο για να ξεγελάσει τους χρήστες. Το αποτέλεσμα ήταν να μολυνθούν οι υπολογιστές με ιούς.

Τα τελευταία χρόνια ο όγκος του κακόβουλου λογισμικού στο Διαδίκτυο έχει αυξηθεί δραματικά χάρη στη χρήση εξειδικευμένου λογισμικού που περιέχει μία ευρεία γκάμα ιών οι οποίοι προσβάλλουν τους υπολογιστές των ανυποψίαστων χρηστών.

Η διάδοση αυτών των εργαλείων του ηλεκτρονικού εγκλήματος είναι εμφανής αν ρίξει κανείς μια ματιά στα στοιχεία για τους κακόβουλους ιστότοπους που μπλοκάρονται σε καθημερινή βάση από τις εταιρείες λογισμικού ασφαλείας. Οι προκλήσεις που αντιμετωπίζουν οι επιχειρήσεις που δραστηριοποιούνται στο Διαδίκτυο (e-shops, τράπεζες, κοινωνικά δίκτυα κ.λπ.) ως προς την προστασία των σάιτ τους και των πελατών τους είναι τεράστιες. Σήμερα κάθε ιστότοπος μπορεί, δυνητικά, να παραβιαστεί από χάκερ και να χρησιμοποιηθεί ως όχημα για την υποκλοπή των προσωπικών δεδομένων των χρηστών.

Οι επιθέσεις

Πέντε από τις πιο κοινές μεθόδους ηλεκτρονικών επιθέσεων είναι οι ακόλουθες:

SQL Injection. Πρόκειται για μια τεχνική η οποία εκμεταλλεύεται κενά στην ασφάλεια μιας βάσης δεδομένων και επιτρέπει στους χάκερ να αποκτήσουν πρόσβαση στις πληροφορίες που περιέχει η βάση αυτή. Αν γίνει αυτό, οι επιτήδειοι μπορούν να υποκλέψουν πληροφορίες που θεωρητικά θα έπρεπε να είναι ασφαλείς, όπως ονόματα χρηστών, κωδικούς πρόσβασης, διευθύνσεις και τηλέφωνα.

Cross-Site Scripting (XSS). Είναι το πιο διαδεδομένο κενό ασφαλείας σε διαδικτυακές εφαρμογές. Οι επιτήδειοι αξιοποιούν ευπάθειες υπολογιστικών συστημάτων με εισαγωγή κώδικα HTML ή Javascript σε κάποιο σάιτ, προκαλώντας προβλήματα στον διαχειριστή ή στους επισκέπτες του. Η μέθοδος αυτή χρησιμοποιείται συχνά για κλοπή κωδικών πρόσβασης σε λογαριασμούς και υπεξαίρεση προσωπικών δεδομένων.

Cross-Site Request Forgery (CSRF). Αυτού τους είδους οι επιθέσεις υποκλέπτουν cookies από τους υπολογιστές των θυμάτων ή πληροφορίες πιστοποίησης της ταυτότητάς τους (authentication) που χρησιμοποιούνται για τη σύνδεση σε ιστότοπους. Μόλις ολοκληρωθεί η διαδικασία αυτή, ο εισβολέας μπορεί να ελέγξει τις κινήσεις του θύματος (για παράδειγμα τις συναλλαγές που κάνει στην πλατφόρμα e-banking που χρησιμοποιεί) και να αποκτήσει τον έλεγχο του λογαριασμού του. Ωστόσο, επειδή οι ιστότοποι θεωρούν ότι έχει συνδεθεί ένας νόμιμος χρήστης, είναι πολύ δύσκολο να ανιχνευτεί πότε η επίθεση είναι επιτυχής.

Χρήση γνωστών ευπαθειών. Οι κυβερνοεγκληματίες βάζουν στο στόχαστρο γνωστές ευπάθειες λογισμικού (όπως το κενό ασφαλείας που προέκυψε στο πρόγραμμα Adobe Flash το οποίο εκμεταλλεύτηκαν για να επιτεθούν μέσω του προγράμματος περιήγησης Internet Explorer) για να μολύνουν υπολογιστές χρηστών. Οπως διαπιστώθηκε στην περίπτωση του πρόσφατου ιού HeartBleed, η αποτελεσματική κάλυψη των κενών ασφαλείας που δημιουργούνται δεν είναι πάντα εφικτή (κυρίως επειδή κάποια από τα κενά αυτά ανακαλύπτονται έπειτα από μήνες ή χρόνια). Εφαρμογές που χρησιμοποιούν στοιχεία με γνωστές ευπάθειες μπορεί να υπονομεύσουν τους μηχανισμούς ψηφιακής άμυνας και να επιτρέψουν την πραγματοποίηση μιας σειράς επιθέσεων.

Man in The Middle. Οι επιθέσεις αυτές παρεμβάλλονται στην επικοινωνία μεταξύ δύο συστημάτων, παίζοντας τον ρόλο του μεσάζοντα. Για παράδειγμα, σε μια διαδικτυακή συναλλαγή ο στόχος είναι η σύνδεση μεταξύ του πελάτη και του σέρβερ της εταιρείας η οποία είναι υπεύθυνη για τη συναλλαγή (τράπεζα, e-shop κ.ά.). Σε ορισμένες περιπτώσεις, ιστότοποι μεταφέρουν ευαίσθητες πληροφορίες χωρίς ισχυρή κρυπτογράφηση, γεγονός που τους καθιστά εύκολο στόχο των κυβερνοεγκληματιών.

Καμπανάκι για τις επιχειρήσεις που δραστηριοποιούνται στο Διαδίκτυο
Οι τρύπες στην ψηφιακή ασφάλεια υπάρχουν σε μεγάλο βαθμό εξαιτίας της ελλιπούς προστασίας των υπολογιστικών συστημάτων. Πολλές επιχειρήσεις που δραστηριοποιούνται στο Διαδίκτυο καλούνται να «θεραπεύσουν» μια κατάσταση αφού η επίθεση στα συστήματά τους έχει εξαπολυθεί, χωρίς να έχουν φροντίσει να την προλάβουν παίρνοντας τα κατάλληλα μέτρα. Οι ειδικοί στην προστασία του Διαδικτύου εκτιμούν ότι οι επιχειρήσεις πρέπει να θωρακίζουν το λογισμικό τους όταν αυτό βρίσκεται στη διαδικασία ανάπτυξης και όχι αφότου αυτή έχει ολοκληρωθεί.