Out in Vegas: DOJ, BlueKeep, téléphones VoIP – Resoudre les problemes d’un serveur MineCraft

Avec l'aide d'Eric Geller, Martin Matishak et Christian Vasquez

Note de l'éditeur: Ce numéro de Morning Cybersecurity est publié en semaine à 10 heures. Les abonnés de POLITICO Pro Cybersecurity bénéficient d'un accès exclusif en début de journée au bulletin d'information tous les matins à 6 heures. Pour en savoir plus sur la couverture, les outils et les services stratégiques de POLITICO Pro en matière de veille stratégique, à politicopro.com.

Histoire continue ci-dessous

– Le camp d'été Hacker a présenté des débats sur des problèmes de cyber-ordre et le travail d'une importante commission sur la cybersécurité.

– Dans un rapport publié aujourd'hui, les chercheurs ont recueilli des informations sur l'application de correctifs en regardant comment les entreprises traitent BlueKeep.

– Un comité d'action politique diffuse des annonces ciblant le chef de la majorité au Sénat et son rôle dans le blocage de la législation en matière de sécurité électorale.

JOYEUX VENDREDI et bienvenue dans la cybersécurité du matin! Si vous êtes à Vegas, check-out certains panneaux Eric aujourd'hui. S'il vous plaît envoyez vos pensées, commentaires et surtout des conseils à tstarks@politico.com. Assurez-vous de suivre @POLITICOPro et @MorningCybersec. Information complète de l'équipe ci-dessous.

DIVULGUER RESPONSABLE – Les procureurs fédéraux, les avocats du secteur privé et les chercheurs en matière de sécurité ont tenu jeudi une discussion large et franche sur les questions juridiques liées à la cybersécurité dans la suite de la stratégie DEF CON de la Fondation Hewlett à Las Vegas. Les représentants du MJ étaient Leonard Bailey, responsable de l’unité chargée de la cybersécurité au sein de la Section de la criminalité informatique et de la propriété intellectuelle du département, et Jason Gull, avocat au cabinet. Une grande partie de la discussion s'est concentrée sur les programmes de divulgation de vulnérabilité et sur la manière légale et appropriée pour les chercheurs d'interagir avec les fournisseurs tout en signalant les bogues. La conversation a eu lieu conformément à la règle de Chatham House, ce qui signifie que les orateurs ne pouvaient être ni identifiés ni cités, mais voici certains des sujets abordés:

– Les participants ont convenu qu'il serait utile que le ministère de la Justice publie un document indiquant aux chercheurs comment signaler correctement les vulnérabilités. Le document dirait essentiellement: «Sur la base de l’examen, par le MJ, des affaires liées à la divulgation des vulnérabilités, voici ce que vous devriez faire et ne pas faire si vous voulez éviter une exposition criminelle». Certains participants se sont demandé si un tel document pourrait restreindre la portée des procureurs trop zélés; le verdict était qu’il ne pouvait pas mais que ces cas seraient des cas aberrants. Des discussions ont eu lieu sur le point de savoir si le ministère de la Justice devait collecter des données fiables sur le nombre de ces situations ayant donné lieu à des accusations; Certaines personnes ont dit que les organisations privées pourraient le faire plus efficacement et rapidement.

– Le ministère de la Justice a décrété en 2014 que les procureurs fédéraux devaient consulter le CCIPS avant de porter des accusations en vertu de la loi sur la fraude et l’abus d’ordinateur, mais le rôle du CCIPS n’est que consultatif; il ne peut pas bloquer les poursuites. Certains experts en informatique craignent que les procureurs trop zélés accusent les chercheurs en sécurité d’extorsion si ceux-ci donnent involontairement aux vendeurs l’impression qu’ils divulgueront un bogue s’ils ne sont pas payés. Lors de la discussion de jeudi, des chercheurs et des avocats ont demandé si le MJ devait exiger que le CCIPS approuve les poursuites en vertu de la CAFA avant de pouvoir aller de l’avant, comme c’est le cas avec d’autres lois.

– à mesure que les programmes de divulgation des vulnérabilités deviennent plus courants, on craint que les entreprises ne les utilisent pour «attraper et tuer» les rapports de vulnérabilité, pas à la différence de la manière dont le National Enquirer aurait protégé Donald Trump. Certains participants à la discussion avec le ministère de la Justice ont dit craindre que cela ne se généralisera au cours des prochaines années.

FLARES DE SOLARIUM – «Déplacer l'Agence de la cybersécurité et de la sécurité des infrastructures du ministère de la Sécurité intérieure, repenser les ambitions du ministère de la Justice en matière de cryptage et utiliser des réglementations pour corriger les liens faibles dans les infrastructures critiques ne sont que quelques-unes des options qui attendent la Cyberspace Solarium Commission, un groupe créé par le Congrès. le projet de loi sur la politique de défense de l'exercice 2019 propose une nouvelle stratégie globale pour les cyber-efforts publics et privés », explique Eric dans un article paru dans Vegas ce matin dans un article mettant à jour les lecteurs Pro sur le travail de la commission.

BLUEKEEP UPDATE UPDATE – Selon une analyse de SecurityScorecard qui coïncide avec une présentation de Black Hat aujourd'hui, le secteur des services financiers a mieux fait de corriger BlueKeep, la vulnérabilité qui a suscité l'inquiétude face à une attaque massive à l'échelle de WannaCry ou de NotPetya. Dans l'ensemble du secteur, les systèmes vulnérables à BlueKeep qui ont été corrigés l'ont été en 13 jours. Globalement, la réponse à la vulnérabilité a été très lente, a évalué SecurityScorecard.

– AILLEURS SUR VEGAS: En plus de tout cela, il y a eu plus de recherches et d'informations. Les pirates informatiques pourraient exploiter une vulnérabilité datant d'une dizaine d'années aux appels de bogues sur un téléphone VoIP populaire, a découvert McAfee. La NSA a annoncé une mise à niveau de son outil d'ingénierie inverse. Des failles dans WhatsApp pourraient permettre aux pirates informatiques de modifier des messages, a révélé Check Point. Deux laboratoires sur six ont mis en garde contre des attaques ciblant des algorithmes plutôt que sur la capacité du serveur. Un ingénieur de Google a décrit les vulnérabilités dans Apple iOS. Le groupe NCC a révélé de nombreux bugs dans les imprimantes bureautiques courantes. Quelqu'un cherche les noms d'utilisateur et les mots de passe des fonctionnaires chinois, selon Anomali. L’intrusion apparente dans le courrier électronique de l’ambassade saoudienne aux Pays-Bas s’est vraiment intensifiée, a expliqué le PDG d’HypaSec. Et les principaux fabricants de dispositifs médicaux laissent les pirates informatiques tenter leur chance ce week-end.

GOP AD BLASTS MCCONNELL SUR LA SÉCURITÉ DES ÉLECTIONS – Une annonce des républicains pour la primauté du droit appelant le chef de la majorité du Sénat, Mitch McConnell (R-Ky.), Qui bloque les projets de loi sur la sécurité des élections, circule dans les États-Unis et le Kentucky. La minute de publicité a été diffusée pour la première fois jeudi lors de Fox & Friends et de Morning Joe sur MSNBC, Carson Putnam, stratège en chef du groupe, a déclaré à MC. On y voit des extraits du président Donald Trump avec le président russe Vladimir Poutine et une interview pour ABC où Trump a suggéré de prendre des recherches d'opposition en Russie. "Appelez le sénateur McConnell et dites-lui que les États-Unis comptent sur vous pour laisser le Congrès faire son travail et sécuriser nos élections", a-t-il déclaré.

La publicité est la dernière d'une chaîne du groupe visant à la sécurité électorale de Trump et McConnell et va comparaître pendant les prochaines semaines pendant que le sénateur du Kentucky sera à la maison pour la pause d'août, a déclaré Putnam à MC. La campagne de McConnell, dans le même temps, qualifie l'organisation de "PAC" qui consiste à "prendre de l'argent d'un milliardaire de gauche".

RESPECTEZ VOTRE PROPRE AUTHORITAINE – Selon un nouveau rapport du GAO, la National Nuclear Security Agency n'a jamais usé de son pouvoir pour exclure des fournisseurs de sa chaîne d'approvisionnement informatique. L'agence, une branche semi-autonome du département de l'énergie, s'est vu octroyer ce pouvoir en 2013 pour réduire les chances qu'un équipement contrefait ou saboté soit utilisé dans une arme nucléaire, mais ne l'a pas utilisée car elle est conçue sur mesure et peut prendre du temps à être mise en œuvre. le bureau de surveillance trouvé. Mais il existe des raisons pour que la NNSA s’inquiète des risques liés à la chaîne logistique: «En outre, selon certains rapports, lorsqu’on assemblerait des composants d’armes ou de systèmes d’armes nucléaires, un adversaire pourrait introduire dans ces composants des codes malveillants ou des logiciels malveillants pouvant être activés à l’avenir. à tout moment, sapant ainsi la confiance dans les systèmes d’armes nucléaires et leur efficacité opérationnelle », ont découvert des enquêteurs. Le GAO a suggéré que la NNSA informe le Congrès de ses préoccupations.

TWEET DU JOUR – Ce est délicieux.

RÉCEMMENT SUR LA CYBERSECURITE PRO – Sue Gordon, la responsable n ° 2 du renseignement, a démissionné, créant encore plus d'incertitude quant à savoir qui dirigerait la communauté du renseignement. … Deux députés bipartites de la Floride ont demandé un briefing de suivi sur les tentatives russes de pirater les systèmes électoraux de l’État. … Le gouvernement russe enquête sur le traitement par Apple d’un produit de Kasperky Lab. … L’industrie américaine de la vidéosurveillance craint les efforts de l’administration Trump pour isoler les entreprises de technologie chinoises. … Les opérateurs de ransomware redirigent leur attention vers les entreprises et les éloignent des consommateurs. … Il y a une lutte en Californie pour modifier sa loi sur la protection de la vie privée.

– Les conseils de technologie de l'Amérique du Nord ont annoncé jeudi la nomination de trois nouveaux membres à son conseil d'administration: Frannie Matthews, présidente et chef de la direction de la Colorado Technology Association; Deon Gordon, président et chef de la direction de Tech Birmingham; et Brian Moyer, président et chef de la direction du Greater Nashville Technology Council.

– Les chercheurs ont découvert que 35 systèmes électoraux produits par un fournisseur de premier plan, y compris certains dans les États alternatifs, étaient connectés à Internet. Carte mère

– La décision du FBI de surveiller de plus près les médias sociaux le met en contradiction avec les politiques de confidentialité de Facebook et un règlement gouvernemental de 5 milliards de dollars. Le journal de Wall Street

– Le logiciel Kaspersky Lab est toujours sur des systèmes gouvernementaux sensibles malgré une interdiction américaine. Forbes

– "La Maison Blanche s'abstient de toute décision concernant l'octroi de licences à des entreprises américaines pour qu'elles reprennent leurs activités avec Huawei Technologies Co. après que Beijing eut annoncé l'arrêt des achats de produits agricoles américains", a déclaré Bloomberg.

– WordPress veut forcer les mises à jour d'anciens sites Web. ZDNet

– Le sénateur Ron Wyden (D-Ore.) A déclaré à AT & T et à T-Mobile qu’ils n’avaient pas besoin de stocker autant de données clients. Carte mère

– Google et l'Université de Floride étudient comment le phishing permet de déjouer le cerveau. Examen de la technologie MIT

– Un groupe de site de rencontres a exposé des données utilisateur TechCrunch

– Les données d’un bordel espagnol ont également été exposées. ZDNet

C'est tout pour aujourd'hui.

Restez en contact avec toute l’équipe: Mike Farrell (mfarrell@politico.com, @mikebfarrell) Eric Geller (egeller@politico.com, @ericgeller) Mary Lee (mlee@politico.com, @maryjylee) Martin Matishak (mmatishak@politico.com, @martinmatishak) et Tim Starks (tstarks@politico.com, @ Timstarks).