4Gの合法的傍受/提案された5Gは、ハッカーにもバックドアを提供しますか？
暗号化とセキュリティの分野の人々の間でよく言われることは、法執行機関へのバックドアを提供する場合、ハッカーにもバックドアを提供することです。
私は4Gからの合法的傍受の実装と5Gで提案されている実装を調査しようとしていましたが、私にはそれは安全に見えます。ハッカーが情報を取得するための唯一の方法は、基地局の秘密鍵を知っている場合です。
基地局の秘密鍵が安全であると想定した場合、ハッカーは合法的傍受が実装されていなければ何ができなかったと思いますか？
キーにアクセスできない場合、攻撃者の問題はバックドアキーがない場合と同じです。攻撃者は暗号化自体を解読する必要があります。
だが ...
ベースステーションの秘密鍵が安全であると仮定した場合
あなたの基本的な仮定は挑戦を必要とするものです。鍵があるのが問題です。
- キーの取り扱い
- 主な誤用
- キー漏洩
- 主な強み
- キー保護
キーを保護するには、これらの各要素を保護する必要があります。そして、そこには多くの可動部分があり、人々が弱点を引き起こしたり、悪意のあるアクターがコントロールを有利に操作したりする方法はたくさんあります。
すべての法執行機関が悪意のあるものではないことを完全に信頼していても（それ自体がデリケートなトピックですが、もちろん不可能です）、弱点が侵入したり、信頼できる人々を操作したりする方法はまだたくさんあります。
ドアが開けば、それは時間、リソース、そしてアクセスを望む強い欲求を持つ人々の集中的な焦点になります。正当なアクセス権を持つ人々は、そのような猛攻撃にどの程度耐えられますか？それらの人々は、外部からの圧力がなくても、確立された手順に従事するのにどのくらい完璧ですか？
壁に穴を開けると弱点になります。最強のロックは、壊れる可能性のあるヒンジを補償しません。
私はシュローダーの対応のすべての点が真実であることに同意しますが、現在のセキュリティモデルよりもはるかに危険にする2つの深い問題があります。現在、システムに暗号化キーをインストールする場合、そのキーはシステムを制御するだけであり、システムへのアクセスを信頼する人だけがアクセスできます。
あらゆるシステムに侵入することは、攻撃者である誰にとっても経済学の問題です。たとえば、システムが5000のクライアントのデータベースであり、単一のネットワークからアクセスできる5人のユーザーがいるとします。ハッカーが悪用しようとする可能性のあるアクセスポイントは非常に少なく、設定ミスを見つける可能性は比較的小さいです。そのため、5000のクライアントレコードを投資する価値があるようにするために、十分な時間とお金をシステムに費やすことができるかどうかを自問する必要があります。このネットワークが主に有能な人によって設定された場合、答えはおそらくノーです。
国のバックドアも同様に暗号化できますが、何億ものデバイスが何千もの法執行機関にさらされる可能性があります。数百もの個別のネットワークが、さまざまなスキルレベルのシステム管理者によってセットアップされます。システムへのアクセスを信頼する警官の多くは、サイバーセキュリティの適切なトレーニングを受けていません。この場合、ハッカーは、これらの脆弱なリンクを作成する多くの人、デバイス、またはネットワークのうちの1つをターゲットにするだけで済みます。これにより、システムへの侵入が数桁容易になり、一方で、利益が数桁大きくなります。
実際、見返りは非常に大きく、多くのハッカーや中央政府にとって、このシステムへのアクセスを獲得することだけを目的として法執行機関に参加するトレーニングプロセスを経験する価値はあります。
バックドアがある場合、それはwillに悪用されます。問題はwhenであり、ifではなく、乱用されます。
このようなシステムを危険にさらす可能性のあるアクターが多すぎて、穴をふさぐ簡単な方法がありません。秘密鍵が漏洩した場合、それは行われます。報道関係者に大きな注目を集める事件が発生するまで、関係者全員がリークを無視する方が安上がりです。すべてのベースステーションのすべてのキーを変更するには、多くの作業が必要になります。
機能が存在する場合、赤テープで保護することはできません。人々は買うことができます。人々はソフトウェアを間違ったリポジトリにコミットし、間違ったアドレスにメールを送信し、USBドライバにキーをコピーしてそれらを失います。そして、それは1つだけのリークがかかります。
また、キーを盗むことだけがオプションではありません。許可されたオペレーターを説得したり、コンピューターを感染させたりすることも可能なオプションです。