Τα στοιχεία παρουσίασε ο καθηγητής Τεχνικών Ανάπτυξης Λογισμικού στο Τμήμα Ηλεκτρολόγων Μηχανικών και Μηχανικών Υπολογιστών του ΑΠΘ, Ανδρέας Συμεωνίδης σε εκδήλωση για την παρουσίαση του Προγράμματος Σεμιναρίων Κυβερνοασφάλειας, που ξεκινά στο Αριστοτέλειο Πανεπιστήμιο με χρηματοδότηση ύψους 1 εκατ. δολαρίων από την Google.org και απευθύνεται σε φοιτητές των τριών πανεπιστημίων της Θεσσαλονίκης.
Τα επικίνδυνα «μονοπάτια» του διαδικτύου για την υποκλοπή δεδομένων
Πέντε είναι οι τομείς ασφάλειας στον κυβερνοχώρο, στους οποίους η ανάγκη περαιτέρω ανάπτυξης μηχανισμών αντιμετώπισης των κακόβουλων επιθέσεων είναι επιτακτική και διαρκώς εξελισσόμενη. Πρώτος εξ αυτών είναι τα υπολογιστικά νέφη, οι λεγόμενες υπηρεσίες cloud που προσφέρονται από διάφορους τεχνολογικούς παρόχους για την αποθήκευση αρχείων. «Το 82% της παραβίασης δεδομένων που συμβαίνουν αφορά σε δεδομένα τα οποία βρίσκονται σε περιβάλλοντα cloud», ανέφερε ο κ. Συμεωνίδης, εξηγώντας πως «είναι ο κλασικός χώρος στον οποίο θα γίνουν οι περισσότερες επιθέσεις, γιατί εκεί υπάρχουν και τα περισσότερα δεδομένα και άρα και το μεγαλύτερο περιθώριο για να μπορέσει κάποιος να χτυπήσει».
Το 12% των κυβερνοεπιθέσεων γίνονται σε διαδικασίες που σχετίζονται με την εφοδιαστική αλυσίδα. Όπως εξήγησε ο καθηγητής «όταν αγοράζουμε κάτι από το διαδίκτυο, π.χ. από κάποιο μεγάλο ηλεκτρονικό κατάστημα […] γενικότερα εκείνη τη στιγμή πάντοτε κάποιος είναι εστιασμένος εκεί για να μπορέσει να υποκλέψει συγκεκριμένη πληροφορία», καθώς «φαίνεται ότι εκεί πέρα υπάρχει ακόμα ένα κενό, γιατί υπάρχει μεγάλη ζήτηση και μεγάλη ανταλλαγή πληροφορίας».
Ο τρίτος τομέας ασφάλειας αφορά το IoT (διαδίκτυο των πραγμάτων, δίκτυο επικοινωνίας ηλεκτρονικών, οικιακών και άλλων συσκευών). «Πλέον καθένας φοράει ένα smartwatch, έχει ένα έξυπνο ψυγείο, μια έξυπνη τηλεόραση, συσκευές ο τρόπος επικοινωνίας μεταξύ των οποίων είναι πάρα πολύ συγκεκριμένος και αν μπορέσει να μπει κανείς μέσα σε ένα έξυπνο περιβάλλον επί της ουσίας μπορεί να αποκτήσει πρόσβαση σε όλη την πληροφορία που υπάρχει», ανέφερε ο κ. Συμεωνίδης.
Ο τέταρτος τομέας αφορά το ιδιωτικό απόρρητο (data privacy), καθώς πολλοί χρήστες χρησιμοποιούν βασικά μοντέλα, χωρίς να γνωρίζουν πού βρίσκεται η πληροφορία τους, πού αποθηκεύεται και πώς επαναχρησιμοποιείται. Ο πέμπτος τομέας έχει να κάνει με την τεράστια εξέλιξη της Τεχνητής Νοημοσύνης, όπου από τη μία πλευρά οι διαθέσιμες τεχνολογίες μπορούν να συμβάλουν στη βελτίωση των συστημάτων κυβερνοασφάλειας καθοδηγώντας όσους δεν είναι υπερβολικά εξειδικευμένοι σε αυτές τις τεχνολογίες, ώστε να μπορέσουν να αναγνωρίσουν προβλήματα, από την άλλη όμως μπορούν να χρησιμοποιηθούν κακόβουλα, π.χ σε επιθέσεις πλαστοπροσωπίας (impersonation attack).
«Είναι το κλασικό πλέον πρόβλημα όπου το impersonation, το να μπορώ να κάνω ότι είμαι κάποιος άλλος έχει γίνει υπερβολικά εύκολο. Αν π.χ. δίνω μια ομιλία και στη συνέχεια υπάρχει η ομιλία μου στο YouTube, μπορεί κάποιος με μηχανισμούς Τεχνητής Νοημοσύνης να αναπαράξει τη φωνή μου. Άρα αν χρησιμοποιώ φωνητικές εντολές στο αυτοκίνητο μου ή στο σπίτι μου ή έχω ένα Google nest ή οτιδήποτε σχετικό, πλέον είναι εύκολο κάποιος να κάνει εμένα by pass σε ό,τι συσκευές χρησιμοποιώ […] ή μπορώ να πάρω την πληροφορία χρησιμοποιώντας π.χ. κάποιους μηχανισμούς για να αλλάξω μια εικόνα και να ξεγελάσω ένα σύστημα το οποίο χρησιμοποιεί αναγνώριση προσώπου», ανέφερε ο κ. Συμωνίδης, εξηγώντας ότι χρειάζονται καινούργια συστήματα, που θα προστατεύσουν τους χρήστες αλλά και κρίσιμες υποδομές.
«Πλέον έχουμε έξυπνους μετρητές ρεύματος, έξυπνους μετρητές νερού, πολλούς έξυπνους μετρητές. Και αν κάποιος μπορέσει να μπει μέσα στο σύστημα, είτε αναγνωρίζοντας ένα σφάλμα σε επίπεδο συσκευής, είτε σε επίπεδο επικοινωνίας, θα πρέπει να αναπτυχθούν μηχανισμοί οι οποίοι θα προστατεύσουν το σύστημα», πρόσθεσε.
Τι σημαίνει να υποκλέψει κανείς την πληροφορία μας
Πώς αποτιμάται όμως, μία κυβερνοεπίθεση για έναν χρήστη και για έναν οργανισμό; Το να υποκλέψει κάποιος του κωδικούς ενός χρήστη και να χρεώσει την πιστωτική του κάρτα είναι σύμφωνα με τον κ. Συμεωνίδη απλώς «το καλό σενάριο, με τη λογική ότι αυτό θα το αντιληφθεί ο χρήστης, θα έχεις ένα κόστος και υπάρχουν πλέον μηχανισμοί που μπορούν κάπως να τον προστατεύσουν και επί της ουσίας να περιοριστεί η έκθεση».
Αν όμως πρόκειται για κάποια επιχείρηση, οργανισμό το κόστος από μια κυβερνοεπίθεση είναι τεράστιο και έχει υπολογιστεί κατά μέσο όρο στα 4,45 εκατομμύρια δολάρια ανά επίθεση σε οργανισμό. «Συνολικά λοιπόν, υπάρχει ένα τεράστιο κόστος σε μια επίθεση κυβερνοασφάλειας, αλλά και ένα τεράστιο κόστος στο πώς μπορεί κάποιος να αναπτύξει ένα σχετικό μηχανισμό αντιμετώπισης του», υπογράμμισε ο καθηγητής, εξηγώντας ότι με βάση το πώς διαμορφώνεται το σκηνικό στον τομέα της κυβερνοασφάλειας, υπάρχει ανάγκη οι άνθρωποι που εργάζονται στον τομέα και έχουν εκπαιδευτεί σε ένα συγκεκριμένο γνωστικό αντικείμενο, να επανεκπαιδευτούν έτσι ώστε να βελτιώσουν τα cyber security skills τους.
