Allt går att hacka (RSA, Comodo, TripAdvisor)

De senaste två veckorna har varit bedrövliga ur säkerhetssynpunkt.

RSA
Först var det RSA-hacket som Schneier kommenterade med att "Security is all about trust, and when trust is lost there is no security. User's of SecurID trusted RSA Data Security, Inc. to protect the secrets necessary to secure that system. To the extent they did not, the company has lost its customers' trust."

RSA själva har mest ägnat sig åt allmänna råd och vaga uttalanden. Därtill definierar de attacken med "... the attack is in the category of an Advanced Persistent Threat (APT)."

Comodo
Sen var det Comodo, en av våra betrodda CAs för SSL-certifikat som blev hackade. Jacob Applebaum upptäckte det genom svartlistade cert i en Chromium-uppdatering och förövarna hade skapat fullt legitima cert för:

• login.live.com
• mail.google.com
• www.google.com
• login.yahoo.com (3 certifikat)
• login.skype.com
• addons.mozilla.org
• "Global Trustee"

Media och en del säkerhetsfolk har benämnt dessa certifikat som fejkade. Det är inga fejkade certifikat. Det är fullt korrekta certifikat signerade av en betrodd CA. Enligt Comodo själva finns tecken på att attacken kom från Iran: "The IP address of the initial attack was recorded and has been determined to be assigned to an ISP in Iran".

Comodo kommenterar attacken med "The perpetrator has executed its attacks with clinical accuracy."

TripAdvisor
Nu senast var det TripAdvisor som drabbats av intrång och i ett mejl till alla användare så berättar de lite grann.

Slutsatser
Dessa hack får mig att tänka på två saker:

1) Allt går att hacka. Särskilt om det är kopplat till Internet. När ska vi våga prata om det offentligt? Hur länge håller argumentet att "vanligt folk fattar inte, låt oss inte skrämma upp dem"?

2) Vi lever fortfarande i en tid då mörkläggning och dimridåer anses vara rimliga alternativ när ett intrång har skett. Därtill har man nu lagt möjligheten att säga att intrånget var så pass avancerat att man inte kunde skydda sig. Undrar hur länge vi kommer acceptera sådana förklaringar utan bevis?