Stöld av CIA-hackningsverktyg belyser spionbyråns slappa säkerhet

CIA vet fortfarande inte den exakta omfattningen av dess oöverträffade dataintrång 2016. Foto: CIA

Amerikanska underrättelsetjänster saknar fortfarande säkerhet, år efter högprofilerade dataläckor från Edward Snowden, Chelsea Manning och Joshua Schulte, enligt en medlem av den amerikanska senatens underrättelsekommitté. I en brev till chefen för National Intelligence John Ratcliffe använder senator Ron Wyden en intern rapport från 2017 från CIA för att i detalj beskriva de sätt på vilka underrättelsetjänsten kontinuerligt har misslyckats med att skydda sig själv.

Underrättelsesamfundet släpar fortfarande efter och har misslyckats med att ta till sig ens de mest grundläggande cybersäkerhetsteknologierna i utbredd användning på andra håll i den federala regeringen, skriver Wyden.

Rapporten, som erhölls i redigerad form av Washington Post , beskriver hur byråns elithackningsenhet gynnade att bygga offensiva cybervapen samtidigt som den misslyckades med att säkra några av sina viktigaste system, ett mönster som ledde till 2016 stöld av hackverktyg som sedan publicerades av WikiLeaks under namnet Vault 7. Amerikanska tjänstemän sa att det var den största dataförlusten i CIA:s historia.

I sitt brev hävdar Wyden att misslyckanden pågår, identifierar tre specifika förfall som exempel och argumenterar för att kongressen bör göra underrättelsebyråer föremål för normala federala krav på cybersäkerhet.

Tyvärr står det nu klart att det var ett misstag att undanta underrättelsetjänsten från grundläggande federala cybersäkerhetskrav, skriver han.

En storm av brister

2017 års CIA-rapport dokumenterar en incident där WikiLeaks släppte över 8 000 sidor av Vault 7-dokument som gav en oöverträffad inblick i byråns möjligheter att hacka olika operativsystem, mobiltelefoner och meddelandeappar. Tidigare CIA-anställde Schulte åtalades senare och erkände sig inte skyldig till att ha stulit mängden hackverktyg och sedan överlämnat dem till WikiLeaks för att publicera dem. I mars befanns Schulte skyldig till förakt för domstolen och för falska uttalanden till FBI, men rättegångsjuryn förblev dödläge om huruvida han olagligt hade samlat in och överfört nationell försvarsinformation. Efter att en felaktig rättegång förklarats står Schulte inför en ny rättegång.

Stölden riktade sig till CIA:s elithackningsenhet, känd som Center for Cyber ​​Intelligence, och den interna rapporten sa att byrån kanske aldrig hade fått reda på stölden av upp till 34 terabyte data om den inte hade publicerats. Faktum är att byrån medger att den fortfarande inte känner till den exakta omfattningen av förlusten eftersom uppdragssystemen som drabbades inte krävde aktivitetsövervakning eller andra skyddsåtgärder.

Rapporten drog en kontrast mellan djupa säkerhetsfel i CCI-hackningsenhetens uppdragssystem och allmänna cybersäkerhetsframgångar på CIA:s företagssystem som står för lejonparten av CIA:s datornätverk.

Rapporten säger att enhetens cybervapen var allmänt öppna för alla med tillgång till uppdragsnätverket, och nätverket saknade normal övervaknings- och revisionskapacitet. En storm av brister gjorde att säkerheten hamnade långt ner på prioriteringslistan.

Medan CIA var en tidig ledare i att säkra vårt IT-system för företag, misslyckades vi med att korrigera akuta sårbarheter, lyder rapporten. De dagliga säkerhetsrutinerna hade blivit bedrövligt slappa.

Säkerhetsfel

Kommentarerna visar att även några av världens mest välfinansierade och mycket kapabla offensiva hackare kämpar kraftigt i försvaret.

För amerikanska spionbyråer har det senaste decenniet präglats av flera högprofilerade dataintrång följt av upprepade krav på systemisk förändring av cybersäkerhet. Underrättelsetjänster som CIA och National Security Agency hade undantagits från regler som kongressen ålagt resten av den federala regeringen. Förväntningen var att de lätt skulle överträffa dessa standarder, men det har inte hänt.

Faktum är att en övervakningshund för amerikansk underrättelsetjänst utfärdade en Rapportera 2019 uppmanade myndigheterna att förbättra sina kontroller av hemligstämplad material – särskilt mot den typ av insiderhot som har präglats av det senaste decenniet, inklusive Snowdens läcka av NSA-dokument och Mannings läcka av hemligstämplade amerikanska dokument relaterade till Irakkriget.

Bland de problem som Wyden lyfter fram är underrättelsetjänstens misslyckande med att anta DMARC, ett e-postautentiseringsprotokoll som skyddar mot vanliga och mycket effektiva nätfiskeattacker, trots ett direktiv från 2017 som kräver att federala myndigheter gör det.

Under tiden har underrättelsetjänster ännu inte säkrat .gov-domäner med multifaktorautentisering, trots en varning i januari 2019 från Department of Homeland Security om att systemet var måltavla av iranska hackare.

En rapport från Intelligence Community Inspector General som släpptes 2019 drog slutsatsen att 20 säkerhetsrelaterade rekommendationer förblir oadresserade av myndigheterna men att de förblir hemligstämplade.

Om det finns goda nyheter för CIA i den redigerade rapporten, har det att göra med den gyllene mappen med byråns känsligaste filer, inklusive alla hackverktyg och källkod. Detta material stals inte den interna insatsstyrkan, tack vare starkare skydd och det faktum att det var för stort för att enkelt kunna exporteras.

Direktören för National Intelligence har tagit emot Wydens brev och arbetar för närvarande på ett svar, men det är i slutändan upp till kongressen att besluta om amerikanska underrättelsetjänster behöver nya regler så att de kan uppfylla samma cybersäkerhetsstandarder som resten av den federala regeringen.

Artikeln uppdaterades för att förtydliga skillnaden mellan säkerhetsfel specifikt hos CCI, en elithackningsenhet inom CIA, i motsats till CIA:s större IT-system för företag.

Dölj