Tölvumál - 01.01.2017, Blaðsíða 32

32
SKÝJAGLEYPIR -
FINGRAFÖR Í SKÝINU
Theódór Ragnar Gíslason, tæknistjóri hjá Syndis og sérfræðingur í
tölvuöryggi
Notkun á skýjalausnum (SaaS) fer ört vaxandi[1] og með þeim mikla vexti
skapast tækifæri en einnig nýjar áhættur. Undanfarin ár höfum við hjá
Syndis unnið að rannsóknarverkefni sem ber heitið Skýjagleypir. Verkefnið
snýst um þá staðreynd að fyrirtæki og fólk skilja eftir sig áhugaverð gögn
í skýinu án þess að verða þess vör eða átta sig fyllilega á hvaða áhrif það
getur haft. Tilgangur verkefnisins er að afla gagna og meta áhrif úr opnum
efnisveitum og tengja gögnin saman. Þessi grein fjallar um að vekja upp
vitund um þessa hættu og auka meðvitund um mögulegar ógnir í skýinu.
Flest fólk er meðvitað um þann fórnarkostnað sem fylgir notkun samfélags­
miðla þar sem við erum í raun að deila viðkvæmum persónuupplýsingum
með erlendum stórfyrirtækjum. Við erum söluvaran þar sem okkar
áhugamál eða jafnvel skoðanir eru notaðar til að senda okkur “hnitmiðaðar”
auglýsingar. Ekki er eingöngu átt við stórfyrirtækin í þessu samhengi því
þær viðbætur sem fólk bætir við sitt Facebook svo dæmi sé nefnt, getur
verið að safna upplýsingum um þig eða þína vini. Margir eru meðvitaðir
um þennan fórnarkostnað en skildi þetta einungis eiga við um hefðbundna
samfélagsmiðla eins og Facebook eða Google?
SAMFÉLAGSNET FORRITARA
Frumgerð Skýjagleypis safnar ítarlegum upplýsingum frá skýjaþjónustu
og efnisveitu sem ber nafnið GitHub [2]. GitHub er notað af fyrirtækjum
og einstaklingum um allan heim, aðallega forriturum, til að deila frumkóða,
upplýsingum og gögnum. Allt er þetta gert í gegnum þessa skýjaþjónustu
og að miklu leyti eru þetta opinberar upplýsingar sem allir geta sótt án
mikillar fyrirhafnar. Að auki eru allar breytingar vistaðar og aðgengilegar
með þægilegu móti. GitHub er jafnframt ört vaxandi [3] þjónusta sem
telur nú yfir 20 milljón virkra notenda.
Þó GitHub sem slíkt er aðeins kerfi í kringum útgáfustýringu á hugbúnaði,
þá hefur þróast samfélagsnet í kringum þessa tilteknu efnisveitu sem
forritarar nota fyrir sín verkefni og einnig sem einskonar atvinnuumsókn.
Fyrirtæki nota einnig GitHub til að efla þróun á þeirra innri lausnum. Ekki
hefur verið birt hversu mikið af gögnum eru geymd á GitHub en ljóst er
að um gríðarlegt magn að ræða og þau gögn sem þar má finna skilja
eftir sig áhugaverð fingraför.
HVAÐA FINGRAFÖR SKILUR ÞÚ EFTIR?
Ef skoðað er handahófskennd síða einstaklings á GitHub má lesa ýmislegt
um hann eins og mynd 1 sýnir. Sjá má hluti eins og fullt nafn (Nicolas
Gallagher), hvar aðilinn býr, hvar hann vinnur (Twitter), hvaða vini hann hefur
og hverjum hann fylgist með. Í sjálfu sér er þetta ekkert ólíkt því sem við
deilum á hefðbundnum samfélagsmiðlum eins og Facebook og LinkedIn.
Ef grannt er skoðað má sjá að þessi aðili er mjög virkur á GitHub og deilir
einnig sínum eigin forritum og gögnum í kóðageymslum (e. repositories).
Með því að skoða eina slíka geymslu (e. dotfiles) á mynd 2 þá
samanstendur hún af skráarsvæði þar sem aðilinn geymir stillingarskrár
fyrir það stýrikerfi og hugbúnað sem hann notar. Óháð þessari tilteknu
geymslu má einnig lesa ýmislegt eingöngu með því að horfa á innihald
geymslunnar. Allar breytingar og viðbætur eru skráðar í atburðaskráningu
og með því er hægt að sjá sögu geymslunnar frá því hún var stofnuð
sem og innihald hennar frá fyrri tíð.
Með því að greina tegundir (e. extensions) skráa á mynd 2 má sjá að um
er að ræða aðila sem notar MacOS stýrikerfi. Þetta í sjálfu sér er ekki
geimvísindi en ef tekið er tillit til innihalds skráa, þá er fljótlega hægt að
átta sig á hvaða hugbúnað aðilinn notar og jafnvel hvaða stillingar eru
notaðar í þeim hugbúnaði og á stýrikerfinu. Þessi fingraför safnast svo
saman þar til ágætis yfirsýn (e. profile) fæst yfir aðilann þar sem hægt er
að segja með ákveðinni vissu ekki bara hvaða stýrikerfi aðilinn notar
heldur einnig hvernig aðilinn ber sig að við sín daglegu störf. Það má til
dæmis sjá í þessu tilfelli að hann er búinn að deila þeim stillingum sem
hann notar á stýrikerfi sínu.
Með því að líta í gegnum atburðarskráningu á kóðageymslum þessa
einstaklinga á mynd 3 fást enn meiri upplýsingar sem auka innsýn. Með
þeim upplýsingum er hægt að átta sig á hegðunarmynstri, tengslaneti,
og samhliða því nálgast öll póstföng sem aðilinn hefur notað til að vista
breytingar á geymslum í hans eigu. Hægt er að átta sig á tæknilegum
áhugamálum forritara (e. technical preferences) og þá til hvaða áhrifavalda
aðilinn lítur upp til. Þó þessar upplýsingar virðist ekki mikilvægar við fyrstu
sýn þá er slík innsýn gulls ígildi í augum tölvuglæpamanna og mætti
jafnvel ætla að slíkar upplýsingar hefðu virði í markaðslegum tilgangi við
þá sem vilja höfða til aðila sem hafa tiltekin tæknileg áhugamál.