Apple estabelece um desafio de segurança para 2023

*Artigo originalmente publicado em 09 de dezembro de 2022

Dadas as grandes ações da Apple esta semana para lançar novas ferramentas de proteção de dados para o iMessage e permitir que os usuários criptografem mais dados no iCloud, parece óbvio que a segurança será uma das principais prioridades da Apple no próximo ano.

Eliminando a vigilância

A decisão do governo Biden de colocar na lista de bloqueios os hackers mercenários do NSO Group foi uma medida bem-vinda, mas não interrompeu a indústria de “vigilância como serviço”. Em vez disso, é pulverizado, o que significa que agora temos mais empresas oferecendo esses “serviços” do que nunca.

O perigo é que, como em qualquer outra tecnologia, os ataques usados por esses serviços estão se proliferando e sofrendo mutações. E à medida que mais entidades os oferecerem, o custo de montar ataques de vigilância em nível governamental desse tipo cairá. Isso sempre foi previsível.

A Apple apresentou três novas e poderosas ferramentas de proteção de dados esta semana: iMessage Contact Key Verification, Security Keys for Apple ID e Advanced Data Protection for iCloud. O objetivo é proteger os usuários contra esses ataques.

Embora a maioria dos defensores da privacidade tenha recebido bem a mudança, alguns governos e o FBI estão horrorizados, alegando que mais privacidade impulsionada pela tecnologia tornará seu trabalho mais difícil.

Isso pode ser verdade, mas o custo de não ter essas proteções é provavelmente muito maior – se os governos pudessem confiar em tecnologia de vigilância desse tipo, então não estaria proliferando, certo? E uma vez que esse gênio em particular esteja fora da garrafa proverbial, será muito difícil decantá-lo novamente. Já no Reino Unido, o governo afirma que 40% das empresas foram atacadas no ano passado.

Por que é importante para os negócios

Quando se trata de negócios, o significado é claro. O que a Apple está oferecendo a seus próprios usuários certamente deve se tornar a expectativa mínima que as empresas farão de seus próprios provedores de serviços em nuvem.

Isso significa mais segurança, ferramentas de segurança aprimoradas e o mais alto grau possível de criptografia nos dados da empresa, incluindo inevitavelmente informações confidenciais, como dados financeiros e de pacientes.

Sabemos que as empresas precisam levar a segurança a sério. Uma onda crescente de ransomware e estatísticas assustadoras mostram isso:

• A Veracode afirma que 24% dos aplicativos usados no setor de tecnologia têm falhas de segurança.
• O relatório Security Navigator 2022 da Orange Cyberdefense confirma que o ransomware se tornou a maior ameaça à segurança. Ele também observou que os invasores estão mirando diretamente nas tecnologias de segurança, buscando vulnerabilidades que possam ser exploradas.
• O relatório anual Threat Monitor, da Verizon, informa que 62% dos incidentes de invasão do sistema envolveram agentes de ameaças comprometendo parceiros. Isso deve ser visto como um aviso para todos, pois implica que todas as empresas e todos os funcionários (ou familiares de um funcionário) podem se tornar parte de uma intrusão complexa. Em outras palavras, ninguém está seguro até que todos estejam seguros.
• Divulgado esta semana, o próprio relatório da Apple diz que o número total de violações de dados mais do que triplicou entre 2013 e 2021, expondo 1,1 bilhão de registros pessoais em 2021.

O ecossistema está se preparando para uma guerra

A Apple tem se empenhado fortemente no aprimoramento da segurança este ano. Modo de bloqueio, Gerenciamento Declarativo de Dispositivos (DDM) e inúmeras melhorias nas APIs que ele oferece aos provedores de MDM para proteger os dispositivos atestam isso. Em outubro, a empresa lançou um portal de segurança e aumentou as recompensas oferecidas aos pesquisadores de segurança que identificarem vulnerabilidades.

O trabalho da empresa está sendo repetido pelos parceiros. A Jamf, por exemplo, investiu no provedor de soluções avançadas de telemetria de segurança, ZecOps, e está financiando startups de segurança inovadoras.

O trabalho se estende aos parceiros. Os concorrentes estão trabalhando juntos em todo o setor para criar um modelo de segurança seguro e sem senha para o mundo on-line. Trabalho para limitar as tecnologias de rastreamento e garantir que a privacidade do usuário também contribua para isso.

Olhando para 2023, prevejo que veremos esse trabalho se intensificar.

Por quê? Porque no ambiente geopolítico atual, a escala de ataques de segurança patrocinados pelo Estado está se acelerando, o que significa que cada provedor de plataforma, governo e empresa precisará ficar o mais fechado possível.

A Apple já sinalizou essa direção de viagem. “Temos muito mais planejado para o próximo ano, incluindo um escopo de pesquisa expandido para o Apple Security Bounty e outras melhorias no programa”, disse a Apple em outubro.