Studie om nulldags­sårbarheter viser at risikoen ved hemmelighold er liten

[Harald Brombach (digi.no)]

Studie om nulldags­sårbarheter viser at risikoen ved hemmelighold er liten

[oppat]

Den kritiske feilen i rapporten er at studien baserer seg på en aktørs kunnskap om hemmelige og offentlige sårbarheter sett fra DERES synspunkt. De ignorerer KJENT trafikk mellom private aktører (se forklaring under).

 

"

Ideally, we would want similar data on Red (i.e., adversaries of Blue, or other private-use groups), to examine the overlap between Blue and Red, but we could not obtain that data. Instead, we focus on the overlap between Blue and the public (i.e., the teal section in the gures above) to infer what might be a baseline for what Red has. We do this based on the assumption that what happens in the public groups is somewhat similar to what happens in other groups. We acknowledge that this is a weak assumption, given that the composition, focus, motivation, and sophistication of the public and private groups can be fairly di erent, but these are the only data available at this time.

"

 

Det er en ekstremt svak antagelse og beviselig feil gitt at CIA (Blue) satt med kode for angrep utviklet av andre stater (Red).

 

Den TYDELIGE risikoen som WikiLeaks viser verden er at aktører MED TILGANG til CIAs arsenal med letthet kan selge denne informasjonen videre til andre aktører, eller gi dem ut offentlig.

 

Vi VET at CIA har kopier av andre "røde" angrepskoder (fra Kina, Russland ++). Dermed VET VI at aktører innenfor de organisasjonene enten selger disse sårbarhetene, eller at organisasjonene i seg selv ikke er sikre nok mot angrep.

 

Dette er sårbarhetstrafikk som skjer mellom private aktører og det er ignorert i rapporten. Det gjør dermed konklusjonene ubrukelige for overlappet mellom Blue og Red er i realiteten mye større enn rapporten estimerer.

 

De ignorerer hele WikiLeaks-dumpen.

 

Hva om vi heller tar en av følgende mer pessimistiske antagelser:

- Alt som blir lekket offentlig er tidligere solgt.

- Minst like stor % av vestlig (Blue) arsenal er kjent av fiender (Red) som mengden CIA satt med i WikiLeaks-lekkasjen.

 

Da blir nok analysen litt annerledes.