Ciber hubris de l’administració de Trump

La ciberseguretat va ajudar a elegir Donald Trump. Durant la campanya presidencial, els pirates informàtics van obrir tots els secrets dels demòcrates i els van escampar perquè tothom ho vegués, mentre que Hillary Clinton va ser arrastrada a les brases per utilitzar un servidor insegur per al seu propi correu electrònic personal. Mentrestant, les comunicacions dels republicans es van quedar al marge del públic.

Però l’èxit pot generar hubris i hi ha algunes tendències preocupants en els primers dies de l’administració de Trump. Ningú no ha piratejat Trump, però actua com ningú pot.

Per què ningú hauria d'utilitzar un Galaxy S3

Segons el New York Times , el president Trump segueix utilitzant el seu antic telèfon Android per tuitejar. Segons Android Central, aquest podria ser un Samsung Galaxy S3.

El S3 és susceptible al pitjor error d'Android mai descobert, Stagefright. Guarit a Android 5.1.1, Stagefright permet als pirates informàtics accedir completament al telèfon amb alguns missatges MMS especialment dissenyats. No hi ha hagut tones de pirates informàtics relacionats amb Stagefright als Estats Units, però la majoria de nosaltres no és un objectiu tan alt que el president dels Estats Units. El Galaxy S3 mai va obtenir una actualització més enllà d’Android 4.3. És horriblement insegur.

Per descomptat, només perquè utilitza un Galaxy S3 per tuitejar, no vol dir que accedeixi a dades classificades. Però les vulnerabilitats del codi arbitrari com Stagefright poden, per exemple, encendre el micròfon d’un telèfon per utilitzar-lo com a dispositiu d’espionatge, fins i tot si el telèfon no té accés a res més sensible que un compte de Twitter públic.

Quant als comptes de correu electrònic

Segons Wired i Newsweek, influents treballadors de la Casa Blanca, inclosos Sean Spicer i Jared Kushner, mantenen comptes de correu electrònic als servidors RNC; i, durant un temps, el compte oficial de Twitter de POTUS va apuntar a un compte de Gmail. A més, Spicer sembla que ha tuitejat aleatòriament coses que semblaven contrasenyes.

Mantenir el correu electrònic en servidors no governamentals pot ser una bona manera de mantenir-lo fora de la vista del públic, sempre que els vostres servidors estiguin segurs. (Recordeu tots els correus electrònics de Hillary Clinton suprimits?) Per descomptat, aquests servidors sovint no són segurs. (Recordeu tots els missatges de correu electrònic DNC de Wikileaed?)

En qualsevol cas, no és una bona idea que els funcionaris governamentals subcontractin la seguretat de la informació als proveïdors de correu electrònic dels consumidors. Tot i que Trump cèlebrement no utilitza el correu electrònic, fent-lo el més segur possible, els empleats encara podrien enviar missatges amb informació que preferirien no posar a mans de governs estrangers.

La bona notícia és que el personal sembla que s’està adaptant. Avui mateix, l’adreça de restabliment de contrasenya del compte de Twitter de POTUS ha passat de Gmail a una adreça de la Casa Blanca. Tant de bo això sigui un signe de com es netegen les coses entre bastidors.

Però les contrasenyes tuitejades mostren una altra vulnerabilitat: no sembla que moltes de les comunicacions de la Casa Blanca s’editin o es revisin dues vegades abans de sortir.

Trump necessita preocupar-se?

L'operació de Trump ha estat beneïda en l'àmbit de la seguretat de la informació. Fins i tot quan es piratejava la RNC, la informació no es va divulgar de manera que pogués danyar l'organització. Per tant, tindria sentit que el president consideri que el seu funcionament és inexpugnable.

La pregunta és quan i, si les forces opositores competents atacaran la Casa Blanca en un assalt ciber-espionatge. Es podria tractar d’un govern estranger, com la Xina, que intenta recollir secretament dades per predir i anticipar els moviments de Trump, o els hackers vigilants que intentin avergonyir l’administració alliberant jocs de joc de com es fa la botifarra.

Encara no ho hem vist, però varem passar només una setmana. A Trump, personalment, potser no li importen gaire els forats i els cargols de la ciberseguretat, però el seu personal ha de posar els peus en peu i seguir bloquejant la seva higiina electrònica. El destí del món està en joc.