قانونگذاری آمریکاییها برای افشا یا عدم افشای حملات سایبری
به گزارش کارگروه بینالملل سایبربان؛ پس از بروز حملات سایبری متعدد به سامانههای دولتی و غیردولتی در آمریکا، کاخ سفید از بررسی طرحی خبر داد که در آن، چگونگی تصمیمات دولت برای افشای آسیبپذیریها یا مخفی نگهداشتن آنها، موردبررسی قرار خواهد گرفت.
بهتازگی کاخ سفید منشوری منتشر کرد که بر اساس آن، فرایند اعلام آسیبپذیریها (VEP) که در دولت قبل تصویبشده بود، با جزئیات توضیح داده شده و در آن مشخص میشود آیا افشای آسیبپذیری به نفع دولت خواهد بود یا اعلام نکردن آن، منافع ملی را در بر خواهد داشت.
به اعتقاد کارشناسان امنیتی، در بسیاری موارد، افشای آسیبپذیری به نفع کشور است، اما از نظر کاخ سفید، دولت میتواند از آسیبپذیریهای پیشین ناشناخته برای حمایت نظامی - اطلاعاتی و اجرای قانونی فعالیتها استفاده کند.
سخنگوی کاخ سفید گفت: «اغلب، محدود کردن دانش آسیبپذیریها، تنها راه کشف نفوذهای امنیتی و خصوصی است.»
قبلاً آسیبپذیریهای ناشناخته، روز صفر (zero-day) بودند زیرا توسعهدهنده هیچ فرصتی برای شناسایی آسیبپذیری قبل از سودجویی هکر، نداشت. در سال 2013، واشنگتنپست گزارش داد که آژانس امنیت ملی آمریکا، 25 میلیون دلار بودجه برای شناسایی آسیبپذیریهای روز صفر در آن سال صرف کرده است.
با توجه به منشوری که بهتازگی توسط کاخ سفید اقدام به انتشار آن کرده است، اگر یک آسیبپذیری در تجهیزات آژانس امنیت ملی پیدا شود، باید به این آژانس اطلاع داده شود تا مسئولیت آن را به عهده بگیرد. آژانس امنیت ملی بهعنوان دبیرخانه اجرایی فرایند اعلام آسیبپذیریها، گزارشهای طبقهبندیشده سالانه و گزارشهای طبقهبندی نشده تعداد آسیبپذیریهایی که افشاء شدهاند و تعدادی که محفوظ ماندهاند را برای کنگره تهیه میکند.
پسازاینکه هکرها، ابزار لازم برای انجام حمله سایبری واناکرای را از NSA به سرقت برده و در اوایل سال جاری حدود 200 هزار کامپیوتر در 150 کشور را فلج کردند، براد اسمیت (Brad Smith)، رئیس مایکروسافت، NSA را مقصر این آسیبپذیریها دانست.
اسمیت گفت: «آسیب سوءاستفاده دولت، مکرراً به بخش عمومی رسیده و باعث بروز خسارات گسترده شده است. ما از دولت میخواهیم تا چالشهای ناشی از ذخیرهسازی این آسیبپذیریها و سوءاستفادهها را که به مردم واردشده است، در نظر بگیرند.»
راب جویس (Rob Joyce)، رئیس کمیته امنیت سایبری کاخ سفید، در سخنرانی موسسه آسپن در واشنگتن دی سی، شایعات منتشرشده در این زمینه، مبنی بر استفاده دولت از این آسیبپذیریها را رد کرد.
جویس با اعلام اینکه بیش از 90 درصد آسیبپذیریها از طریق VEP افشا میشوند، مدعی شد که هیچ زمانی برای دولت جهت حفظ آسیبپذیریها وجود ندارد و همه این آسیبپذیریها، هر شش ماه یکبار بررسی میشوند تا اطمینان حاصل شود که شرایط هنوز هم همانند زمانی است که تصمیمات مربوطه گرفتهشده است.
در زمان ریاست جمهوری اوباما، جویس گفت: «VEP بهتنهایی و جدا از کاخ سفید فعالیت میکند و جزئیات زیادی در موردبررسی های مربوط به تصمیمگیریها وجود ندارد. اطلاعات زیادی در مورد افراد شرکتکننده در این فرایند در دسترس نبوده و شفافیت مسیر هم کامل مشخص نیست.»
رئیس کمیته امنیت سایبری کاخ سفید معتقد است: «قوانین در جهان بسیار پیچیده هستند و آسیبهای وارده از سمت چین، روسیه، کره شمالی و ایران برای شرکتهای خصوصی پایان ندارند. من در مورد این بحث پیچیده، افراد دارای این تواناییهای پیچیده و اصلاح آسیبپذیریها در دیگر کشورها اطلاعی ندارم.»
