DEF CON 30 - Jay Healeyとの政策炉辺談話
このページのタイトル、字幕、要約、読書メモは保存済みの AI 翻訳です。誤りが含まれる場合があります。タイムスタンプは原文と同じです。原文の字幕を開き、元の動画と照合できます。
Jay HealeyのDEF CON政策対談では、セキュリティ実務者が公共政策、協働、実用的な修正を通じて防御側を支援する方法を問いかけます。
文字起こしの出典：YouTubeに作成者がアップロードしたキャプション。AIによる句読点の付加はVidleafによるもので、元の文言とタイムスタンプのアンカーは保持されています。元の文字起こしは以下でご覧いただけます。
AI生成の要約
Jay HealeyとDark ReadingのFahmida Rashidは、数十年にわたるハッキングとセキュリティ投資が、なぜコミュニティが求める防御上の優位をもたらさなかったのかを議論します。Healeyは個人としての発言であると断った上で、弱点の発見には修正と測定可能な改善へのより明確な道筋が必要だと主張します。両者は、技術実務者がフェローシップ、バグバウンティ、地方自治体、パブリックコメント、コミュニティ組織を通じて政策に貢献できる方法を説明します。Healeyは、アップデート、安全に設計されたクラウドサービス、エンドツーエンド暗号化など、防御側を広く安価に支援する施策を支持し、CERT、ISAC、共有フレームワークを通じた協働も重視します。対談ではさらに、プロボノの技術支援、安全でないシステムが他者に課すコスト、権利と責任のバランスについても検討します。最後に、官民協力に関する問いと、インターネットがより防御可能になっているかをどう評価するかという問いで締めくくられます。
文字起こしから生成されました。リンクされた箇所を元の動画と照合して確認してください。
タイムスタンプ付きの章の要約
技術的発見がより良い成果へつながる道筋が必要な理由
DEF CONと政策の変化する関係
政策への道と修正への責任
- [8:09] Healeyは個人として発言していると述べ、技術実務者が政策に貢献する機会について論じます。
- [8:40] 例として、議会での技術フェローシップや、政策提案の背後にある技術を組織が理解できるよう支援することが挙げられます。
- [9:49] 彼は、バグバウンティへの参加を、公共サービスのセキュリティ業務への一つの可能な道筋として説明します。
- [10:27] 公的な規則制定手続きや地方自治体との対話が、技術的意見を反映する実用的な経路として提示されます。
- [11:29] I Am the Cavalryに関する議論では、開示後に誰かが引き継ぐと仮定するのではなく、問題を修正させる責任を負うことが強調されます。
研究、コミュニケーション、政策の言葉をつなぐ
大規模かつ低コストで防御可能なインターネット
- [19:40] Healeyは、介入策を、どれだけの防御上の優位を、どの規模とコストで生み出すかによって評価することを提案します。
- [20:15] 彼は、すべての組織に個別のセキュリティ製品の導入を求めることを避ける共有の介入策として、Windows Updateを挙げます。
- [20:46] クラウドサービスとエンドツーエンド暗号化が、拡張可能な防御改善の可能性として議論されます。
- [22:26] 彼が好む戦略的目標は、将来の世代が恩恵を受け続けられる、防御可能で持続可能なインターネットです。
- [24:15] 彼はクラウド移行をセキュリティを組み込む機会として提示しつつ、トレーニングと異なる実務の必要性を強調します。
攻撃能力とセキュリティの緊張関係
運用上の革新と官民協力
プロボノの技術支援とコミュニティサービス
権利、責任、セキュリティの外部性
戦略的優位性と防御可能性の測定
[0:00] - CFPチームのジェイ・ヒーリー、そしてファミダを歓迎したいと思います。DEF CONへようこそ。お二人によるファイアサイドトークです。スケジュールをご確認ください。最新情報はHacker Trackerアプリでご覧いただけます。どの時間にどの部屋を見たいかを追っている方は、そこが最新情報を見つけるのに最適な場所です。それでは、パネリストの皆さんに温かい拍手をお願いします。（聴衆拍手） - [ジェイ] ファミダ。
[0:33] ええ。 - リマインドありがとう、ジェイ。（ジェイとファミダが笑う）こんにちは、ファミダ・ラシードです。Dark Readingの特集担当マネージングエディターです。この機会を得られてとても嬉しいです… - [ジェイ] ええ、ファミダの音声がないんじゃないかな？ - それともこれを使えばいい？ オーケー。こんにちは、これでいい？ よし。 - やった！ - 自分の声が聞こえる。 - ハッキング！（ファミダが笑う） - 私はファミダ・ラシード、Dark Readingのマネージングエディターです。DEF CONでジェイ・ヒーリーとお話しできることを光栄に思います。
[1:09] 情報セキュリティ、ハッキング、政策の過去・現在・未来について少しお話しします。多くの異なるトピックに触れます。ジェイ、今日は参加してくれてありがとう。 - ありがとう、ファミダ、楽しみです。 - ええ。私が聞いていたことの一つは、これはDEF CON 30だということですが、ハッカーはほぼ必ず成功するという認識の50周年でもあるとおっしゃっていましたね。 - ええ。 - それは何を教えてくれましたか？ どう感じましたか？
[1:40] - ええ、その質問に至った経緯に話を戻しましょう。私たちは、この点でもっと良くなっているのかと、普遍的なサインを送ってくれている皆さん、ありがとう。オーケー。 - [スタッフ] マイクを口元に上げてください。 - チェックワン、チェックツー。今これを使っていました。チェックワン、チェックツー、テスト、私はズボンとシャツを着ています。 - いや、違う。 - チェックワン、チェックツー。はい、ありがとう。接続できました。
[2:12] 聞こえて良かった、いや、私の声が聞こえて良かった。ファミダのイントロで、コミュニティとして望むほどにはできていないという話がありました。これはDEF CON 30ですよね？ 多くのハッカーがなぜ私たちのことをするのかを見ると、多くは好奇心のため、多くはそうせずにいられないからですが、多くは物事を良くするためです。私たちの多くは目的を持ってこれをしています。そして私はこの引用に出会いました。「現代のコンピュータセキュリティ管理策で、専任のレッドチームが求めるあらゆる情報に容易にアクセスするのを阻止できるものは、ほとんど、あるいはまったくない。」
[2:59] つまり、レッドチームは突破する、ハッカーは突破する、攻撃者に優位性があると言っています。この引用は1979のものでした。そして私は1972に遡る実際の引用を見つけました。レッドチームは突破すると書かれています。では、よし。もし私たちが物事を良くしようとしてこれをしているなら、それは失敗しています。通常のやり方では。だからこそ、政策に携わる皆さんがここにいるのを見て嬉しいのです。
[3:30] 政策で私たちが成し遂げようとしていることの多くは、こう言うことです。よし、ハッキングしてそれを人々に伝えるといった通常のことは、私たちが望んだ規模での成功にはつながっていない。なぜなら攻撃者は、どちらかといえばますます上手くなっているからだ。そして、クリス・イングリスや他の人たちがこの部屋で話したのを聞いたなら。そして、1972以来のことを考えてみてください。特許、数千億ドル、週末の作業、逃した子供の誕生日、私たちコミュニティが50年間で行ってきたすべてを。
[4:08] そして私たちは最も基本的なダイナミクスを変えていない。なぜなら今は状況が良くなっていないからだ。- つまり、振り返ってみると、あなたが言ったように、あの週末の仕事すべて、私たちは「ねえ、これすべての目的は何なのか？」と考えていた。だから少しがっかりする。 - ええ、そして過去30年間のこのコミュニティの多くの考え方は、私はDEF CON 9から来ているが、過去六、七年間CFPレビューボードにいるのだが、それはもし私たちが物事を台無しにしたら、そうだろう？
[4:44] もし私たちが地球をハッキングすれば、良くなるはずだ。しかしそうはなっていません。私たちは物事をハッキングしているのに、少なくとも私たちが望む速度と規模では良くなっていません。今朝ここでダーク・タンジェントの話を聞いた人がいれば、彼は選挙ヴィレッジでそれがうまくいったと話していました。だから私たちはもっと良くできるのです。私たちが物事を壊すとき、それが本当に反対側でより良い結果につながるようにできるのです。 - では、何を変えてやるのかを考える前に、
[5:14] 少しだけ昔に戻ってみませんか。ハッキングの初期の頃はどんな感じでしたか？ええと、私たちの中にはその時代を知っている人もいるでしょうが、全員が経験しているわけではないので、どんなだったか教えてください。- ええ、そうですね。私はCFPボードの他の多くの人たちのようなハッキングの技術は持っていません。私はポリシーに関する話を手伝うためにそこにいます。でも、その一環としてDEF CONがどのように変化してきたかを見るのは本当に興味深いですよね？
[5:46] 始めた頃、ほら、アレクシスパークでの初期の頃ですよね？それはいたずらでした。クールなハックがありました。めちゃくちゃにしてクールなハックをするんです。私の友人の一人が、ある朝こう言いました。「ああ神様、昨夜はどれだけ酔ってたんだ？」「ああ、わからないよ、そんなに酔ってたとは思わなかった。何があったの？」「ああ、アレクシスパークのATMのレシートがポケットから出てきたんだ。」それが、実際にアレクシスパークのATMを使うという、できる最も愚かなことの頂点と考えられていました。なぜなら、それはラスベガスで、おそらく世界で最もハッキングされたATMで、DEF CONは絶対に100%ハッカーのためのハッキングカンファレンスだったからです。
[6:32] そして今でも実質的にそうですが、今日ここでジェフ、失礼、ダーク・タンジェントの話を聞いた人がいるなら、特にスノーデン後とStuxnet後に、DTは連邦政府職員のカンファレンスへの参加を disinvite しました。彼は言いました。「あなた方はもう私たちのカンファレンスへようこそではない。少し距離を置く時間が必要だ。」そしてそれはDEF CONの頃、覚えている人いますか？それはDEF CON 22の頃でしたか？- 22。- そんなところですか？
[7:05] そして今日どれほど違うかを見てください。私たちは今のところその亀裂を修復しただけでなく、ジェフは言いました、DTは言いました、私たちはもっと良くする必要があると。私たちはハッカーのコミュニティとしてだけでは違いを生み出していませんが、米国だけでなく世界中の政策立案者ともっと統合する必要があります。だからこそ、より大きな違いを生み出すための実際のポリシートラックがあるのです。これはまだハッカーのカンファレンスですが、DTのコミットメントとして、私たちはもっと良くし始める必要があると感じていると思います。
[7:37] 私たちは防御を攻撃よりも良くし始める必要があります。- それが実際に私たちが見てきたより前向きな側面だと思います。ハッカーは常に少し外縁にいて、少し自分たちのことをしてきました。しかし今、政策への関与により、必ずしも主流ではないにせよ、私たちのアイデアが重要だという考えが見え始めています。ここ数年で、ハッカーコミュニティからのアイデアの募集のようなものを見てきた中で、何を見てきましたか？
[8:09] - ええ、まず言っておきたいのは、私は今、個人的な立場で話しており、所属団体とは関係ありません。そして、ハッカーが関与できる方法がますます増えているのを見ています。あなたがここにいること、ここにポリシートラックがあること自体がそうです。今朝は素晴らしいアイデアをいくつか聞きました。パネルがあり、ポリシービレッジに関わる多くの人々がいて、そこから本当に素晴らしいアイデアが出てきました。素晴らしいハッカーであるMosfetの話も聞きました。彼女は議会に行きました。
[8:40] 彼女はTechCongressフェローシップの一員として、議会議員とそのスタッフがより良い法律を作れるよう支援しました。モニカ・ルイスもここにいて、確か「Digital Peace Now」という、国家によるハッキングにうんざりし、他の皆がその代償を払わなければならないのは嫌だ、政府をより責任あるものにするために何ができるかという世界的な若者運動を手伝っていました。
[9:14] そして彼らは本当に善意に満ちています。Digital Peace Nowに参加している人はいますか？Digital Peace Nowにサインアップした人は？非常に善意に満ちていますが、技術をそれほど理解しているわけではありません。もしそれが興味深いと思われるなら、あなたがどの国にいても彼らは本当にあなたの助けを必要としています。例えば市議会に確認してみてください。そこにはハッカーとしてのあなたの助けを必要としている人々がいて、「はい、助けが必要です。どうすればもっと良くできるかアドバイスが欲しい」と言っています。それがあなたの村、市、州、地域、何であれ、そうです。
[9:49] 今朝はジャック・ケーブルがここにいました。彼はHack the Pentagon、国防総省に対する最初のバグバウンティプログラムに関わりました。それが彼の始まりで、ペンタゴンでこれらのバグを見つけ、それから政府の仕事に移り、米国の選挙セキュリティ改善などを手伝いました。そしてそれは、バグバウンティプログラムに参加するという正面玄関から入ったからできたことです。これは米国の例ですが、こうした「ハック・ザ・何とか」がさまざまな国で始まっています。
[10:27] 最後に挙げるのは、米国政府や他の政府が新しい規則を出すときに意見を求めることです。今朝、元議会スタッフのハーレイが言っていました。「見てください、FTCが消費者保護のためのサイバーセキュリティとは何かについて新しい規則制定を出しています。」それは私たちがやっていることの種類にぴったり当てはまります。規則制定は退屈に聞こえますが、大きなことが時間をかけて変わる方法なのです。
[10:59] アメリカ合衆国だけでなく、他の場所でもそうです。だから、あなたの状況がどうであれ、それがあなたにとって興味深いものであるなら、これらのことを見てください、いいですか？ボー・ウッズはジョシュ・コーマンたちと一緒にアイ・アム・ザ・キャバルリーを運営しています。だからアイ・アム・ザ・キャバルリーを見てください。彼らはこれを、ええと、どのくらいでしたか？六年、たぶん？七年？ - もう少し長いですね。つまり、 - ええ。 - 彼らは少なくとも四、五年は、すべてが封鎖される前に活動していました。 - おお、そうですか。
[11:29] そして「I Am the Cavalry」からのメッセージは、ただ何かをハックして、その責任を誰か他の人が負ってくれるのを待つわけにはいかない、ということです。何かをハックしたら、それが修正されるかどうかに関わらず、結果に対して責任があるのです。だからこの名前は、騎兵隊は来ない、というところから来ていますよね？「ご指摘ありがとうございます。あとはこちらで引き受けます」と言ってくれる大人たちは来ないのです。そんなことは起こりません。少なくとも、これまでは起こってきませんでした。
[12:00] 私たちはもっと良くしようとしています。ですから「I Am the Cavalry」というこのムーブメント全体は、ハッカーたちがその善き瞬間に責任を負えるように手助けするためのものでした。どうすればもっと良くできるのか？どうすれば結果に責任を持てるのか？物事を台無しにするだけでなく、台無しにしたものを元に戻し、それが元に戻ったままであることを確実にするためにはどうすればいいのか。専門用語ですけどね。 - 実際、私たちがこのすべてについて話していて、あなたがこう言っていたとき、私が思ったのは、そこが最大の違いだなと。ハッキングの初期と今とでは、説明責任のようなものが少しあるということです。
[12:31] ハッカーたちはこう言うんです。「ああ、俺はこういうクールなことをやっているけど、どうやって直すかも教えてやるよ」と。あるいは、直し方がわからなくても、一緒に座って直してくれる人を紹介してくれ、と。そしてそのレベルの説明責任は、私たちがやってきたことの中でもより前向きな側面の一つだと思います。 - 私は本当に辛い瞬間を経験しました。おそらくDEF CON 22の頃だったと思います。なぜなら、NSAのツールセットに関わった人なら誰でも、NSAのツールセットについての講演をしに来る人たちもそうですが、実際にNSAのツールセットをやっていた人でなければ、手を挙げないでくださいね。
[13:01] そしてそれはスノーデンの暴露の後でした。素晴らしいセキュリティ研究者たちがこう言ったのです。「私たちは作りたい……スノーデンが暴露したNSAのやっていたことについて調べたいし、それをとても簡単にしたい」と。これが彼らの言葉です。「10歳の女の子でもできるくらいに」。なぜ性別をそこに入れる必要があったのかはわかりませんが。そして彼らはそれをプライバシーのためにやっていました。彼らの目標は、私が言っていたのを覚えていますが、GSM暗号をハッキングしていて、GSMのハッキングをとても簡単にしたかった、そしてそれをプライバシーのためにやろうとしていたのです。
[13:32] そして私はそれを頭の中で理解するのに本当に苦労しました。素晴らしい講演でした。素晴らしい目標でした。しかし、特に当時は、私たちが物事を壊し、それからそれが修正されるというそのプロセスは、直接的な因果関係ではありません。すみません、私は今や学者なので。そういうことを話すんです、因果関係について。何かをしたとき、実際にそれがどうなることを期待しているのか、実際にどんな結果になるのか？だからこそ、今のコミュニティでは、その因果関係を見るという点で、ずっと良くなっているのだと思います。
[14:05] 「よし、わかった、もし壊したなら、確実に直してもらおう」と。 - そして、より構造があるという事実だけでも、たとえ私がそれができなくても、誰に頼めばいいかわからなくても、今は頼れる情報源があるんです。バグバウンティプログラムがあって、そこでは「そのつながりを作るのを手伝いますよ」と言ってくれます。ですから、より多くのインフラ的なサポートがあると思います。 - そしてメディアも、ジャーナリストたちも、より良くなっていると思いますよね？ - ありがとう。 - はい。そしてもし皆さんが昨日、DEF CONではなくてすみません、Black Hatでジェフがキム・ゼッターを紹介するのを聞いていたなら、初期の頃はジャーナリストたちがただふらっと来ては去り、奇抜な髪型について話し、コミュニティを自分たちの目的のために利用していた、という話です。
[14:50] 今はDark Readingがあり、キム・ゼッターがいて、あなた自身のようにコミュニティに深く根ざした、アプリケーションセキュリティにおける深い技術力を持つ素晴らしいジャーナリストがたくさんいます。だからこそ、より良い物語を語るのを手伝ってください。そうすれば、その先でより良い変化が得られるのです。 - 私が実際に触れたいと思ったことの一つで、あなたも少し示唆していましたが、多くの場合、人々が「ああ、ハッキングと政策ね」と聞くと、「私は立候補なんてしないよ」と思うものです。
[15:22] 私は弁護士ではないので、法律はわかりません。それで、市議会と協力する方法などを話していましたね。どうやってその言葉遣いを始めるのですか？この部屋にいる好奇心旺盛な人たちに、政策に関わるのに法律の専門家である必要はないと、どうやって理解してもらうのですか？ - そうです、彼らはそれをやるんですよね？彼らは法律の側面を理解しています。彼らはあなたの知っていることに興味があるので、ただ会話をすればいいのです。つまり、あなたにとって快適なレベルで、あなたが持つどんな道でも良いのです。
[15:53] TechCongressとI Am the Cavalryのスタックをチェックしてみてください。これについて多くの良い資料があります。もしBSidesに行ったことがあるなら。BSides Las Vegasは通常、こうした人たちがたくさんいる場所です。ポリシートラックに行って、ボー・ウッズを探してみてください。彼が持っている、彼が持っている、今日は髪が青いのかな？ - そうだと思います。 - そしてその辺りで聞いてみてください。一般的なアイデアを持っているだけでなく、実際に経験し、あなたが持ち込むどんな文脈であれ、他の人たちを助けてきた人たちがたくさんいます。
[16:25] 他のいくつかのヒントとしては、一つは、少なくとも試してみることです。その言語を話せるようになるにはしばらくかかりますが、その言語に寛容でいてください。政策の世界の人々は、私たちは「サイバー」とよく言います。それを許せないなら、（笑）難しくなるでしょう。理解されたいなら、人々が物事をどう話すかにおいて、半分まで歩み寄るのを手伝わなければなりません。ですから政策側では、帰属は私たちにとって非常に重要です。なぜなら、結局のところ、どの国が責任を負うのかが問題だからです。
[16:55] 私はホワイトハウスで二年間働きました、いいですか？私は帰属なんて気にしませんでした。国の責任を気にしていました。結局のところ、大統領は電話を取って、どこかの首相や大統領に電話して、「やめろ、さもなければ結果があるぞ」と言わなければならないのです。それは帰属ではありません。だからそういうことはホワイトハウスや議会、あるいはあなたの国の同等の場所で重要になります。ですから、繰り返しますが、帰属は愚かだという事実を乗り越えられないなら、あなたの完全なスレットバットと帰属ダイスでは、そういうものは面白いし、あなたの状況ではあまり重要でないかもしれませんが、この国家安全保障政策のいくつかの側面を考えるときには間違いなく重要です。
[17:40] でも、間違いなく自分自身でいてください、いいですか？もし怒っていて腹が立っているなら、それを失わないでください。（笑）怒り続け、腹を立て続けてください。ただ、それをうまく導き、エネルギーを保ちましょう。 - ええ、怒ったとき、ただイライラしたとき、欲求不満のとき、「何も変わらないだろう」と思うと、少し内向きになりがちなのが大きな問題だと思います。だからこのトラックは、内向きになるなということを説明する完璧な方法だと思います。 - そして一年の間に、これはちょうど2011年、2012年頃でしたが、ジェフ・モス、ドミトリー・アルペロビッチ、リチャード・ベイトリッチ、その他の人たちが、私たちはできない、技術を通じて望む違いを生み出せていないことに欲求不満だが、政策でこれを実現する方法がわからないと言いました。
[18:29] 当時私はシンクタンク、アトランティック・カウンシルで働いていました、失礼。ですから多くの人々が、自分は違うやり方をしなければならない、自分の声を届ける他の方法を見つけ、自分の知識とスキルを活かさなければならないというこの道を歩んできました。ですからこれはよく踏まれた道です。- 私たちは今、物事をどのように違うやり方で行っているかについて多く話していますが、私たちがより良く行っていることの例を一つでも挙げてもらえますか。
[19:00] 何も改善していないと言って、ただ破滅と暗雲だけを語りたくはありません。 - 私は自分を戦略家だと思っています、いいですか？私の指が意味のある形でキーボードの上にあったのはずいぶん前のことです、あなた方にとって意味があるかどうかは別として、私が言った方法を覚えていますか、1972年に戻り、私たちは50年経っても望む効果を得られていません。そして五年前に「エコノミスト」のニュース記事を読んでいました。彼らは気候変動を取り上げ、「人類として大気中から最も多くの二酸化炭素換算量を除去した介入は何だったのか？」と言いました。
[19:40] そして彼らはそれらを1から30のように評価しました。そして彼らは「私たちが知る限り、そんなふうにこの質問をしたおバカさんはこれまで誰もいない」と言いました。これです、人類が直面する最も差し迫った問題の一つであり、誰も「私たちが最大の規模と最小のコストで最大の違いを生み出したのは何か？」と言ったことがなかったのです。そして私は（爆発を真似て）という啓示を得ました。では、私たちがコミュニティとして行ってきたことのうち、より大きな規模と最小のコストで防御側に攻撃者に対する最大の優位を与えたものは何か？
[20:15] そして、もっとそれをやりましょう。その数、当ててみてください、声に出して言ってください、私たちがコミュニティとして大規模かつ低コストで行ったと思う一番のものは何ですか？Windows Update、ええ、誰がWindows Updateと言いましたか？その通りです。なぜなら、単一の企業にしか影響しない何かをする代わりに、私たちは最も完璧なウィジェットを思いつくことができ、それが最も素晴らしいものだからベンチャーキャピタルの資金をすべて集めます。それでも私たちはそれを十億個買わなければなりません。
[20:46] それをエンタープライズや私たちのホームネットワークに統合しなければならない。監視しなければならない。最新の状態に保たなければならない。人々にそのウィジェットの使い方を訓練しなければならない。それを私たちが持つ他のあらゆるツールと統合させ、それを何十億回もやらなければならない。Windows Update、クラウド、エンドツーエンド暗号化のようなものは、一度やれば何十億ものデバイスや人々がその恩恵を受けられる。だからこそ、特に私たち政策畑の多くの人々が、エンドツーエンド暗号化を破ろうとする政府の人々にこれほど腹を立てているのだ。
[21:22] それは、正しく実装されれば、防御側を大規模に、容易に支援する数少ないものの一つです。それを手に入れることができ、それが敵対者にとって本当に困難にする、数少ないものの一つです。- そしてそれは実際に、使いやすくなったために本当に主流になったものの一つです。私が知っている人の数、「ああ、私はセキュリティについては何も知らない」と言ってSignalを使っている人たち、そして私は「それでいいんです！（ジェイ笑）まさにそれがあなたがしている重要なことです」と言うのです。- そしてもし一つの分野を押し進められるなら。
[21:53] ですから私にとって、その戦略の一部として、私たちは本当の戦略を持ったことがありません。冷戦の米国の戦略は何でしたか？一言です、封じ込め。失礼、私は退役軍人です、ご存じのとおり、軍にいた人々にとって、ペトレイアス将軍の勝利の戦略が何だったかは誰もが知っていました。それは心と精神を勝ち取ることでした。別の将軍は別の戦略を持つでしょう、例えば銃撃戦に突入して人々を殺すとか。ペトレイアスはとてもシンプルでした。いや、私たちは心と精神を勝ち取りたいのだ、多かれ少なかれ。
[22:26] それは、このフレーズで、一枚の小さな紙に収まる戦略です。ですから私のものは、1972と1979からのあの引用を読んで以来、擁護可能でした。私たちは最大の規模と最小のコストで攻撃に対して防御側に最大の優位を得させなければならない。時々私はそれをひっくり返して、持続可能なインターネットについて話すのが好きです。ちょうど私たちの孫たちに、今日よりも良いインターネットを、きれいな空気ときれいな水を持ってほしいと願うように、私たちは同じことを考えることができますよね？
[23:00] 孫たちの世代に、少なくとも今日のインターネットと同じくらい素晴らしいインターネットを持たせてあげましょう。なぜなら、私たちは敵対者のことなどにあまりに夢中になってしまい、自分たちがやりたいこと、そして未来の世代にやってもらいたい素晴らしいことすべてについて考えられなくなってしまうからです。- 未来について、そして孫たちのために少なくともインターネットを利用可能にしておきたいという話をしているわけですが、登場してきている新しいタイプのテクノロジーは非常にたくさんあります。私たちは、それをどう使うのか、どう規制するのかについて、まだ表面をかすった程度しか理解できていません。
[23:35] 新興技術について、私たちはどのような政策的な影響を考えるべきでしょうか？- ええ、新興技術について考えてみましょう。私が気にかけているのは、防御が攻撃よりも優れている、防御可能なインターネットです。新しいX、Y、Zについて尋ねられるたびに、私はいつもこう考えます。よし、これは防御側を優先的に助けるのか、それとも攻撃側を助けるのか？と。私たちが何かを行うたびに、ほとんどいつも、それは優先的に攻撃側を助けてきました。攻撃者は防御者よりも効果的にインターネットの規模を利用して、私たちの運用ややりたいことに規模を加えることができてきたのです。
[24:15] ですから、量子X、Y、Zなどについて尋ねられるたびに、ほとんどいつも答えは「いや、それは攻撃者をより助けることになる」です。クラウドは、間違いなく助けになり得るものの一つで、Beau WoodsとJosh Cormanがそれについてとてもうまく話してくれました。元々のインターネットは安全であるようには設計されていませんでした。私たちはそれに機能を追加し、ただ絆創膏を貼ってきただけです。そして今や、インターネットのセキュリティに関しては、五十年分の絆創膏が下まで積み重なっています。クラウドは、人々がそれに向けて訓練されさえすれば、最初から正しく作ることのできる機会の一つです。
[24:47] 私たちは本当に、人々がもっと訓練を受けて、できるようにしなければなりません…- 確実に必要な考え方の変化があり、人々が同じ過ち、同じ考えをそのまま持ち込まないようにしなければなりません。- そして切り替える前に、おそらくすぐにQ&Aに切り替えると思いますが、今朝パネルがあり、誰かが「あなたの好きなトランスジェンダーまたは女性ハッカーは誰ですか？」と尋ねました。そして、Grace HopperからKatie Mou、Amelia Koranなど、予想される多くの素晴らしい答えがありました。
[25:19] 私はある女性を挙げたいと思います。彼女の結婚後の名前はHilda Mathieuでした。Hilda Mathieuを知っている人はいますか？彼女はNSAの殿堂入りをしています。なぜならHildaは80年代に、これらの新しいコンピュータネットワークがNSAに驚くべきデジタル諜報を行う信じられない能力を与えるという考えを思いついたからです。そして彼女は80年代に女性技術エンジニアとしてこれをやっていました。
[25:50] それがどれほど珍しいことか考えてみてください。そして、それを理解したのは彼女でした。そうです、私たちはできる、これは素晴らしいものになる、と。しかし彼女はまた、これがアメリカ合衆国にとって本当の問題になることも認識していました。なぜなら私たちは信じられないほど脆弱だからです。ですから彼らは1980年代にすでにフォートミードでそれを理解していたのです。そして私がHildaについて本当に気に入っているのは、彼女がこれを認識し、私たちがこれまで聞いたことのない真の先駆的な女性エンジニアであったということだけでなく、結婚前の彼女の名前がFaustだったということでもあります。
[26:24] ここで私たちは、NSAが両方の立場を取り、米国政府も両方の立場を取るという、実際の本当のファウスト的取引を持っています。つまり、私たちはハッキングでき、かつ十分に安全に物事を守ることもできるというものです。私たちがハッキングしても、敵対者は私たちがしていることを見て、真似する必要があると判断しないだろうというものです。しかしまた、この部屋にいる私たちや、30年間毎年八月にラスベガスに来ている人々にとっては、私たちはハッキングでき、それがどうなるかを心配する必要はないということです。
[27:03] それは元々のファウスト的取引です（笑）。一部はHilda Faust-Mathieuのような偉大なエンジニアのおかげです。- その通りです。つまり、私たちはこの会話のすべてを、あなたが私たちはこれを何度も何度も繰り返してきた、そして何も変わっていないと言ったことから始めました。私たちは今、防御可能性の戦略について話しています。私たちはどうやって変わるのか？ブルーチームをレッドチームより優れたものにするために、よし、これらは私たちがやることだと言い始められることは何か？
[27:39] - 今朝のクリス・イングリスから多くを聞いたと思います、いいですか？その質問を見ると、私たちはコロンビア大学のニューヨーク・サイバー・タスクフォースを通じてこの報告書を作成し、振り返って、過去五十年間に最大規模かつ最小コストで最大の違いを生み出した実際のイノベーションは何だったのか、元のパスワードにまで遡って調べました。そして、企業内で機能する傾向のあるものと、サイバースペース全体で機能するものを見ました。
[28:14] そして私が挙げたものの大部分は、ここにある企業内の技術的なものでした。ですから第一に、私たちはより大きな規模と最小のコストで得られるものを本当に強調したかったのです。エンドツーエンドの暗号化、クラウドについてはすでに話しました。私はまた、運用上のイノベーションを本当に強調したいと思います。Morris Wormが1988年に初期のインターネットを襲ったとき、初期のインターネットの10%をダウンさせました。ええ、それはほんの6,000台のコンピュータかその程度でしたが、インターネットの10%をダウンさせました。なぜなら、事前に脆弱性を探してパッチを当てる人が誰もおらず、災害が起きた後の調整メカニズムもなかったからです。
[28:56] 彼らが持っていた唯一の調整メカニズムは、インターネットそのものだった。そこで彼らはコンピュータ緊急対応チームを発明した。私たちはCERTを発明しなければならなかった。そして今やもちろん、誰もがCERTを持っており、それは環境の一部と見なされている。私たちはCISO、最高情報セキュリティ責任者という役割を発明しなければならなかった。ロシアのハッカー、ウラジーミル・レヴィンは1995年にシティバンクから約15百万ドルを奪った。そして私たちはCISOを発明しなければならなかった。私たちはISACを発明しなければならなかった。
[29:29] 私はかつてFS-ISACの副会長を務めていました。私たちは1999年に大統領指令によってISACを発明しなければなりませんでした。MITRE ATT&CKフレームワーク、Lockheed Martin Kill Chain。こういったものは、キルチェーンやサイバーフレームワークのように、ほとんど無料のようなものですよね？それはドクトリンです。物事をどう進めるかについての考え方です。そして、MITRE ATT&CKフレームワークから得られたすべての防御的イノベーションと、それが私たちに大規模な議論を可能にし、定着するものを実装できるようにしてきたことを考えてみてください。
[30:04] ですから、どうすれば最大の規模でインパクトを与えられるかを考えるとき、それはすべてテクノロジーの話ではありません。多くの場合、こうした運用上の、プロセスの、組織的なイノベーションなのです。実際、たぶんCISAのようなものでしょう、今JCDCをやっていますよね。- ええ。- ジョイント・サイバー・ディフェンス・コラボラティブです。- つまり、CERT、ISAC、さらにはMITRE ATT&CKフレームワークについて本当に印象的なのは、それが実は根本的にコラボレーションだということです。つまり、どうやってあなたと協力するか？一人ではできない、ということです。
[30:35] 私は他の人々を仲間に引き入れる必要があります。そして共通言語とは何か？あなたが挙げた例が大好きです。なぜなら、それは先ほど話していたことに戻るからです。つまり、私たちはコミュニティと協力する必要があるのです。コミュニティと関わる必要があるのです。- ロブ・クナケという人物がいて、彼は外交問題評議会に所属していました。今は国家サイバー長官室の戦略担当副官です。そして彼はそれについて素晴らしいフレーズを持っていました。彼はそれをホーム・デポ・モデルと呼びました。（ファミダ笑う）あなたができる、政府もできる、- ホーム・デポは誰でも知っていますからね、確かに。
[31:06] - あなたができる、政府が助けられる。なぜなら、どうやって防御可能になるかを見たとき、それは政府を通じてではないからです。新しい政府機関を作って、どの国でも、あるいはすべての国で公務員を増やすことではそこに到達しません。それは助けにはなります。しかし、防御可能になるための唯一の真の変化は、民間セクターを通じて起こるのです。そして政府にとって、私にとっては、彼らを可能にしなければならない、ということです。想像してください、スポーツの例えを使って申し訳ありませんが、アメリカの野球だとしましょう？
[31:37] フィールドには九人の選手がいます。アレクサンダー将軍がフォート・ミードにいたときに私たちが持っていたもの、そして彼はここでこれを試しました、そう、彼はブラックハットで試しました、いいですか？彼は走り回って言いました。「ボールがどこに打たれても、私たちが取った。フォート・ミードの私たちは、プレーできる。政府にこれをやらせろ。金融セクター、君たちは良い仕事をしているが、私のセンサーを君たちのネットワークに置かせてくれ、そうすれば君たちのために収集できる。」しかしほとんどの場合、ボールが打たれるたびに、プレーできる位置にいるのは民間部門の誰かです。
[32:09] さて、彼らはボールを見ることができないかもしれません。彼らは古いものを持っているかもしれません、そして政府は彼らがボールを見るのを助けなければなりません。彼らは悪いグラブを持っているかもしれません、そして私たちは何らかの能力で彼らを助ける必要があるかもしれません。彼らは私がリトルリーグにいたときのようで、バットにボールが当たる音を聞くまで試合に出ていることを忘れているかもしれません、そして思い出させる必要があるのです。他の人たちは可能にしてもらう必要はなく、励ましが必要です。彼らはそれが問題だと知っています。能力もあります。しかし、彼らは踏み出していないのです。
[32:41] そして彼らの政府には助ける方法があります。米国政府だけでなく、他の政府もです。そして最後に、結局のところ、それがすでに行われているところ、つまり金融セクター、エネルギーセクター、上場企業で執行することになるかもしれません。執行はすでに多くの規制産業で行われています。そして私たちは1998年に最初に言いました、大統領指令で、市場が機能しなければ、規制する必要があるかもしれないと。そして25年が経ちました、だからもうすぐそこに近づいているのかもしれません。
[33:11] - では、観客からの質問に移る前に一つ触れたいことがあります。議会に関与できない人がたくさんいます。FTCに関与できない人もいます。そして私は弁護士である多くの友人から聞いています。彼らは法律事務所からプロボノ活動をするよう求められている、つまり地域社会に還元するよう求められていると話しています。- 興味深いですね。- 地域社会に。ハッカーコミュニティから見ると、それはどのような形になるでしょうか？- 素晴らしい、わあ。本当に考えたことがありませんでした。素敵な、そのアイデアが大好きです。
[33:42] ですから想像してください、ファミダがここで提起していることについて、そうでしょう？もしあなたが働いているなら、テック企業のCEOなら、そしてこれらの問題を気にかけているなら、選挙のセキュリティと言いましょうか、あるいは水のことを心配しているなら、あなたの地元の水道事業体はおそらく安全でないことを知っています。法律事務所がプロボノを行うように、あなたはこう言うかもしれません。「ねえ、知ってる？私たちは行って水道事業体を助けるつもりだ。そしてそれをプロボノでやるんだ、だって私たちはテック企業だからね」と。
[34:13] そして想像できるでしょう、それがテック企業のCEOだけでなく、誰でもただ「ねえ、私は助けるためにここにいるよ」と言うことで機能することを。それは素晴らしいアイデアです。- つまり、もしあなたがインシデントレスポンダーで、ジャーナリストや人権活動家のところへ行って、「ねえ、見てみましょうか？」と言うようなものです。私たちのスキルを使える方法は本当にたくさんあると感じます。- そして、ご存知の通り、それは多くの企業が自社のESG、つまり環境・社会・ガバナンスを心配していることにつながります。そして彼らはそうすることでうまくやりたいと思っています。企業はESGで貢献したいと思っており、人々は自発的に参加するでしょう。
[34:46] 私は銀行で働いていましたが、私たちは外に出てハビタット・フォー・ヒューマニティを行ったり、公園を掃除したり、5kmのチャリティーランに参加したりしていました。そこにテックの側面があってもいいのではないでしょうか。「いや、私たちは優秀なナード集団を集めて、人々を助けに行くんだ」と。例えば、リスクにさらされているコミュニティ、ジャーナリストやロヒンギャ、ウイグル人などです。- 地元の学校に行って先生たちを手伝いましょう。- （笑）学校に行って先生たちを手伝う。それをESGとして考えるのは素晴らしいアイデアです。企業を通じて行うべきプロボノ活動として考え、世界をより良い場所にする一環としてその対価を得るべきだと思います。
[35:26] いいですね、素晴らしいアイデアです。 - では、Q&A用のマイクがありますか？ジェイソンに質問があれば手を挙げてください、 - またはファミダに。 - （笑）ここでどんな質問も歓迎します。ほとんど見えません。 - 一つあります。ここに一つあります。だから私は帽子をかぶっています。ええ。 - あそこに誰かがいて、それから青い服の紳士が。 - [スタッフ] どうぞ。
[36:02] - [観客] これはハッキングとコンピュータセキュリティの黎明期にまで遡る話だと思います。なぜ私のドアを確認する権利があなたにあるのか、という考えにどう対処し続けるのでしょうか。近所を歩き回って誰かのドアを全部試したら、逮捕されますよね。ハッカーコミュニティで起きていることの一部にそういう類推があります。どうすれば…私たちは法的な観点からも、受け入れられるという観点からも、それを正当化するのにまだ苦労しているのでしょうか。なぜあなたが私のドアを確認するのですか。- ええ。素晴らしい質問です。聞こえなかった人のために言うと、なぜあなたが私のドアを確認するのか、ですよね？
[36:36] つまり、多くの、そして私たちのコミュニティは最初からこれを持っていたと思います。なぜあなたが私にあなたのドアを確認するなと言えるのか。それは公開されているのだから、なぜスキャンしてはいけないのか。十分に保護していなかったのだから、そもそもあなたのコンピュータに侵入することすらできないはずだ。それはハッカーであり、一年のこの時期にベガスにいるという私たちの遺産の一部ですよね。しかし同時に、私たちはプライバシーも気にかけており、それを実践したいとも言っています。Chris Inglisがここでまとめた言い方が好きでした。少なくとも政府がどう見ているかという点で、「私たちは皆同じ船に乗っている」と。そして、あなたの側の船に穴が開いただけで、それが私たち全員に影響するのだと。
[37:14] そして私は正直にこれに取り組みました。子どもたちや孫たちに少なくとも今日と同じくらい良いものを残したいという持続可能性について話しました。そしてそれが、地球規模で考え、地域で行動するというあらゆる規範や考え方につながっています。しかし同時に、私たちの行動には外部性があることも知っています。つまり、好きなだけ水を使う権利がある、好きなだけ汚染する企業や車を持てる、と言うこともできます。しかし私の言い方では、個人的に言えば、それはちょっと嫌な感じの行為です。
[37:48] ええ、そうする権利はあるけれど、それを他人に押し付けていて、他人にとって状況を悪化させているのです。だから私たちはそれが私たちにどう影響するかをもっと考える必要があります。あなたの未パッチのシステムが良いとしても、それはあなたがハッキングされるだけではなく、DDoSの一部になることで他人に押し付けているのです。そしてInglisはこの新しい社会契約と、私たちが互いに負っているもの、どんな権利と責任を要求できるかについて話しています。
[38:18] しかし、私たちが他人に対して負う付随する責任は何でしょうか。それはこの会話の素晴らしい部分だと思います。そしてそれを新たに本当に取り組むためです。なぜなら多くの場合、結局そこに行き着くからです。私たちは何を負わされているのか？たとえ未パッチのシステムを持っていても、FBIがCyclops Blinkに対してしたようにシステムにパッチを当てに入る場合でも、ですよね？それに取り組みましょう。素晴らしい質問だと思います。- あるいはISPが基本的に「スキャンして、マルウェアがあるからあなたのコンピュータをネットワークから外す」と言う場合とか。
[38:52] - そしてそれは素晴らしい、実現しないだろうと分かっていますが。覚えています、素晴らしい、それは、Arbor Networksがこれをやったと思います。彼らはISPを見て、これはおそらく10年前ですが、インバウンド攻撃を監視していますか？と尋ねました。そして90%がインバウンド攻撃を監視していました。そして「アウトバウンド攻撃を監視していますか？」と尋ねました。半分はアウトバウンド攻撃の監視すらしていませんでした。そして監視していた者のうち、およそ半分は何もしていませんでした。彼らはアウトバウンドで出ていく攻撃をただ見ているだけでした。
[39:23] 彼らは「私の問題ではない」と言いました。それについてどう思いますか？つまり、それは典型的な共有地の悲劇で、当時の回答者の半分は自分たちが他人に問題を押し付けていることを知らなかったか気にかけていなかったのです。それが外部性です。そして結局のところ、通常の社会契約では、政府が介入して「いいえ、あなたは自分の不作為によって他人にこれらのコストを押し付けることはできません」と言うことを期待します。- ええ、次の質問を取れますか？- はい。- [観客] こんにちは、こんにちは。
[39:54] ここで少し不人気な意見を持っています。一部の人には刺激的かもしれませんが、政策に問題がある理由の一つは、そしてそれがこの会話の要点だったわけですが、多くの人がハッカー、つまりここにいる人々に焦点を当てているからだと思います。しかし、私たちが戦略のようなもので実際に優れていた時期を振り返ると、それはオフセット戦略からでした。第一次オフセット戦略、核がありました。第二次オフセット戦略、ISRがありました。私たちは技術による第三次オフセット戦略を試みました。
[40:24] アッシュ・カーター、ボブ・ワーク、そして他数名、ジム・ベイカー、その他この建物で働いていた数名の人々がこれを推進していました。そしてその後、あるセッションのせいで、とだけ言っておきましょうか、それが頓挫してしまったのです。ですから私にとって、国家として抱える最大の問題は——これを単なるハッキングの話にとどめたくないので、本質はサイバーセキュリティ、つまりどうやって物事を守るかという話なのですが——明確に定義されたオフセット戦略が我々にはない、ということです。そしてそこから、あなたの作戦戦術、作戦が、戦術が導かれるのです。
[40:56] あなたへの質問は、いつか「当たり前だろ、目を覚ましてオフセット戦略を取れ」と言う人が現れるのかということです。以上。 - ええ、いいですね。そしてこれがおそらく最後の質問です、もう一つ受けたいのでなければ、それから私が両方に答えますか？時間がどれくらいかわかりません - [スタッフ] 二分です。 - ええ、もう一つ質問を受けてから、ええ、できます。 - では彼が、青い服の紳士が、 - 素晴らしい。まだ質問がありますか？大丈夫ですか？わかりました、それから黒い服でオレンジのストラップの紳士、彼は最初に手を挙げた人の一人でした。 - ありがとう、マイク、また話しましょう。
[41:32] - [スタッフ] 残り二分です。二分、急がなくて大丈夫です。 - [会場の参加者] （笑）ありがとう。ジェイソン、いつもながらとても良い講演でした。先ほど制御の有効性について言及されていましたが、ほぼ50年間、制御の有効性において大きな進歩は見られていないということでした。特に政策の観点から、企業すべてにサイバーハイジーン、サイバー制御、能力、有効性の改善に合意させることができるのか知りたいと思いました。制御の有効性と、いわゆる「良好」を定義するためのしきい値を、どのように測定することを提案されますか。
[42:07] - 完璧です、ありがとう。では最初の質問ですが、これは非常に米国国防総省的な戦略です。これは第三次オフセットと呼ばれるものです。そしてオフセットとは、米国と同盟国にとっては非常に簡単だが、敵対者にとっては非常に難しいことは何か、という軍事戦略でした。私は実際これを暗号化の問題として考えました(笑)、そうですよね？暗号化はそういうもので、一方向は非常に簡単で、もう一方向は非常に難しいように作られています。それをそのまま軍事戦略に持ち込んだのです。そしてここ数年これを試みていて、ワシントンの人々は「サイバーこそがこのオフセット戦略を実現する方法だ」と言っていました。
[42:49] そして私は彼らが何を言っているのか全く分かりませんでした。なぜなら、敵対者が攻撃的サイバー能力を持つことは、我々にとってと同じくらい、いやそれ以上に簡単だからです。彼らにとって本当に難しいのは、民間部門と協力することです。世界中でこれまでに起きたほぼすべての主要なサイバーインシデントを振り返ると、ほぼ常に民間部門が機敏さと専門知識を持ち、サイバースペースに深く関与しており、それを修正できるのです。政府にはそれが欠けています。ですから我々は、ロシア人、中国人、イラン人ができないこと、つまり西洋で我々が行うような豊かな形で民間部門と協力することを行う必要があるのです。
[43:26] そして測定について締めくくると、素晴らしい質問です。私は統制ごとの測定ではなく、インターネットの最大規模で防御が攻撃より優れるようになっているかどうかをどう測定するかに非常に関心があります。例えば、突破までの時間が短くなっているのであれば、おそらく我々は仕事を果たしていないのでしょう。突破までの時間が長くなっている、侵入に時間がかかるようになっているのであれば、それはインターネットがより防御可能になっている場合に想像できることのすべてです。- それは来年話し合うべきことかもしれませんね。
[43:57] - ええ、その通りです。(笑) - ジェイ、本日はご参加いただきありがとうございました。- ありがとう。- そして皆さん、ありがとう。良い質問をありがとう。- ええ。(聴衆拍手) 質問をありがとう。政策を気にかけてくれてありがとう。怒りを絶やさずに。ぶっ壊れたものを直しに行こう。
英語の原文字幕を見る
[0:00] - We'd like to welcome Jay Healey from the CFP team, and then Fahmida. Welcome to DEF CON. They'll be giving a fireside talk. Please watch your schedules and you'll see the latest information on the Hacker Tracker app. So if you're following which times and rooms you'd like to see, that's the best place to find your updated information. So please give a warm welcome to our panelists. (audience applauding) - [Jay] Fahmida.
[0:33] Yeah. - Thank you for the reminder, Jay. (Jay and Fahmida laugh) Hi, I'm Fahmida Rashid, I'm managing editor of features at Dark Reading, and I am so excited to get a chance to... - [Jay] Yeah, I don't think we have audio for Fahmida? - Or should I just use? Okay. Hi, is this better? There we go. - Yay! - I hear myself now. - Hacking! (Fahmida laughs) - So I'm Fahmida Rashid, I'm the managing editor at Dark Reading, and it is my pleasure to be here at DEF CON to speak with Jay Healey.
[1:09] We're gonna be talking a little bit about the past, present, and the future of info sec, hacking, policy, we're gonna be touching on a lot of different topics. So Jay, thank you so much for joining me today. - Thanks, thanks Fahmida, excited. - Yeah. So I think one of the things that I was hearing is, this is DEF CON 30, but I think you mentioned to me it's also the 50th anniversary of the realization - Yeah. - that hackers will almost always succeed. - Yeah. - So what did that tell you? How did that make you feel?
[1:40] - Yeah, let me push that back on what led to that question. Are we, thank you for those that are giving me the universal sign of, are we doing any better on this one? Okay. - [Staff] Get the mic up to your mouth. - Check one, check two. I was just on this. Check one, check two, test, I'm wearing pants and a shirt. - No, it's not. - Check one, check two. Yes, thank you. We have connected.
[2:12] Great to hear you, or great that you can hear me. So Fahmida's intro, she was talking about how we haven't done as much as we want to as a community. This is DEF CON 30, right? If we look at why a lot of hackers do what we do, right, a lot of it is for curiosity, a lot of it is because we're driven to do so, but a lot of it is to make things better. We're doing this for a purpose, many of us. And I came across this quote that said, "Few, if any, contemporary computer security controls can stop a dedicated red team from easily accessing any information sought."
[2:59] So it's saying the red team is going to get through, right? The hacker is going to get through, the attacker has the advantage. That quote was from 1979. And I found actual quotes that go back to 1972 that say the red team's gonna get through. So, all right. So if we're doing this to try and make things better, it's failing. Using the normal way we go about things. And that's why I'm glad to see everyone here in policy.
[3:30] That's a lot of what we're trying to get done with policy, is to say, all right, the normal things, like hacking things and telling people about it, isn't leading to the success at scale that we wanted, 'cause the attackers, if anything, are just getting better and better. And if you heard, Chris Inglis and others talked about this in this room. And so just think of that, since 1972, right, think about all of the patents, all of the hundreds of billions of dollars, all the worked weekends, all the missed kids' birthdays that we, a community, have done in 50 years.
[4:08] And we haven't changed the most fundamental dynamic, 'cause things aren't better now. - I mean, I'm thinking back, and like you said, it's like all those work weekends, we're thinking, "Hey, what is the purpose of all of this?" So it does get a little bit disheartening. - Yeah, and a lot of the mindset from this community over the last 30 years, I've started, I've been coming since DEF CON 9, I've been on the CFP review board for the last six or seven years, is that if we fuck things up, right?
[4:44] If we hack the planet, it's gonna be better, and it's not working that way. We're hacking stuff and it's not getting better, at least at the speed and scale that we want. If anyone heard Dark Tangent in here this morning, he was talking about how it worked for the Election Village. So we can do better, right? We can make it so that when we break things, it really is gonna lead to better outcomes on the other side. - So, I mean, before we even start figuring out, okay, what are we gonna do differently?
[5:14] Why don't we just kind of go back a little bit. What was the early days of hacking like? I mean, I know some of us have been around, but I know not all of us have been around for that, so what was that like? - Yeah, it's. So I don't have the hacking chops of a lot of the others on the CFP board. I'm there to help out on the policy talks. But it's really interesting to see how DEF CON has been changing as part of that, right?
[5:46] When we started off, you know, the early years at Alexis Park, right? It was about shenanigans. There was cool hacks. There was fucking stuff up and doing cool hacks. One of my buddies, he said to me one morning, "Oh God, how drunk was I last night?" "Oh man, I don't know, like I didn't think you were that drunk. What happened?" "Oh, I found an ATM receipt in my pocket from the Alexis Park." That was considered the height of the stupid thing you could do, is actually using the ATM at the Alexis Park, 'cause it was the most hacked ATM in Las Vegas, and probably the world, and DEF CON was absolutely 100% a hacking conference for hackers.
[6:32] And it still substantially is now, but if anyone heard Jeff here today, I'm sorry, Dark Tangent, especially after Snowden and after Stuxnet, DT disinvited feds coming to the conference. He said, "You are no longer welcome in our conference. We need some time away." And that was around DEF CON, anyone remember that? That was around DEF CON 22? - 22. - Something like that?
[7:05] And just look at how different it is today, right? Not only have we repaired that rift for now, but Jeff has said, DT has said, we need to do better. We're not making a difference as a community of hackers just on our own, but we need to better integrate with the policy makers, not just in the United States, but across the world, so we have an actual policy track to try and make more difference. This is still a hacker conference, but I think you're seeing that commitment at DT that we need to start doing better.
[7:37] We need to start getting defense better than offense. - I think that's actually the more positive aspect that we've seen. Like hackers have always been a little bit on the outskirts, a little bit doing their own thing. But now with policy involvement, we're seeing a little bit more, not necessarily mainstream, but the idea that our ideas matter. So what have you seen in the past few years where you were seeing these kind of solicitation of ideas from the hacker community?
[8:09] - Yeah, and first I have to say, I'm speaking in my personal capacity right now, not with any of my affiliations. And we're starting to see a lot more ways that hackers can get involved. Just that you're here, that we have a policy track here. We heard some great ideas this morning. We had a panel and a lot of folks that are involved in the Policy Village, and some really great ideas came outta that. We heard from Mosfet, who's a fabulous hacker, and she went to Congress.
[8:40] She was part of TechCongress fellow that went to help members of Congress and their staff learn to do better, to have better laws. We had Monica Ruiz here, who was helping out, I think, something called Digital Peace Now, which is a global youth movement to say we're tired of nation states hacking, and everybody else having to pay the penalty, and so what can we do to try and to help make governments more responsible?
[9:14] And they're really well meaning. Is anyone with Digital Peace Now? Anyone signed up to Digital Peace Now? Super well meaning, but they don't understand the tech as well as they might. And so if that sounds like it's something that's of interest to you, they can really use your help in whatever country you're in. Like checking with your city council. There are people there that need your help as a hacker to say, "Good, yes, I need help. I need some advice on how we can do better." Whether that's at your village, your city, your state, your region, whatever those are.
[9:49] We had Jack Cable here this morning who was around, he got involved in Hack the Pentagon, the first bug bounty program against the Department of Defense. That's how he got his start, was finding these bugs in the Pentagon, and then moving on, and then he switched to a job in government to help do things like improve election security in the United States. And he did that 'cause he got in through the front door, in just doing a bug bounty program. So that's a U.S. example, but we're starting to see these "hack the blank" come up in all sorts of country.
[10:27] And the last one I'll mention is the United States Government, as well as other governments, when they're coming out with a new rule, they'll ask for input. So we heard this morning, Harley, who's a former congressional staffer, said, "Look, the FTC is coming out with a new rulemaking on what cybersecurity should be to help protect consumers." That so fits into the kinds of things that we're doing. And rulemaking, it sounds boring, but it's how big things change over time.
[10:59] Not just in the United States, but in other places. So whatever your context is, however it is that's interesting to you, take a look at these things, right? Beau Woods runs I Am the Cavalry with Josh Corman and others. And so take a look at I Am the Calvary. They did this probably, what, how long is it? Six years, maybe? Seven years? - A little bit longer. I mean, - Yeah. - they were around for at least four or five years before all the stuff locked down. - Oh wow, okay.
[11:29] And the message from I Am the Calvary is we can't just hack stuff and wait for someone else to own the responsibility of it. That if you hack something, you're responsible for the result, whether it gets fixed or not. So the name came from the cavalry's not coming, right? There are no adults that are going to come by and say, "Thank you for calling our attention to that. We got it from here." It is not gonna happen. Or at least it hasn't been happening.
[12:00] We're trying to do better. So this whole movement of I Am the Cavalry was to help hackers own up to that moment of good. How can we do better? How can we own the results? Not just for fucking things, but for unfucking them as well, and making sure that they stay unfucked. Technical term. - I think that's actually, when we were talking about all of this and as you were saying this, I'm thinking that is the biggest difference, I think, the early days of hacking and now, there's a little bit of accountability.
[12:31] The hackers are like, yeah, I'm doing all this cool stuff, but let me tell you how to fix it. Or even if I don't know how to fix it, give me someone who can sit down with me and fix it. And that level of accountability is, I think, one of the more positive aspects of what we've done. - I had a real tough moment after, it was probably around DEF CON 22, 'cause anyone, anyone involved with NSA tool set and the folks that would come in doing the talks on NSA tool set? Not if you were actually doing NSA tool set, don't put up your hand.
[13:01] And it was after Snowden revelations, and it was a set of fabulous security researchers that said, "We wanna make... We wanna look at the stuff that Snowden revealed about what NSA was doing, and we wanna make it so easy," this was their words, "that a 10 year old girl could do it." Not sure why they had to gender that, but. And they were doing that for privacy. So their goal, I remember I was saying, they were hacking GSM encryption and they wanted to make hacking GSM so easy, and they were gonna do that for privacy.
[13:32] And I had real difficulty wrapping my head around that. It was a great talk. It was a great goal. But how long, especially back then, that process of we break things and then it will get fixed, it's not a direct causal relationship. Sorry, I'm an academic now. That's what we talk about, causal relationships. If you do something, are you expecting that it's actually gonna, what result does it actually get to? And so that's why I think we've done a lot better now in the community, of looking at that causal relationship.
[14:05] "Good, all right, if we break it, let's make sure it gets fixed." - And it's even just the fact that we have more of a structure, so that even if I can't make that, or I don't know who to, I now have sources to go to, we have bug bounty programs where they will say, "I'll help you make that connection." So I think we have more of an infrastructural support. - And I think the media, and I think the journalists are doing better too, right? - Thank you. - Yes. And if folks heard Jeff at DEF CON, I'm sorry, Black Hat, yesterday, introducing Kim Zetter, about how in the early days the journalists would just buzz in and buzz out and talk about the crazy hair and use the community for their purposes.
[14:50] Now you've got Dark Reading, you've got Kim Zetter, you've got so many other great journalists that are embedded in the community like yourself, deep tech chops in application security, and so help us to tell better stories, so that we get better change on the other side. - The one thing I wanted to actually touch upon, and you kind of hinted at it, I think a lot of the time when people hear, oh, hacking and policy, is, well, I'm not gonna run for office.
[15:22] I'm not a lawyer, so I don't know the laws. So you mentioned how working with the city council and stuff. How do you even start that language? How do you even get the folks in this room who are curious to understand that you don't need to be a legal expert to be involved in policies? - Right, they do that, right? They understand the legal side. They're curious about what you know, and so just have the conversation, right? I mean, for whatever level's comfortable for you, whatever path that you have is gonna be good.
[15:53] There's check out the stack for TechCongress and I Am the Cavalry. There's a lot of good material on this. If you've been out to BSides. BSides Las Vegas is usually a place where a lot of these folks are. If you go down to the policy track, look for Beau Woods, he's got the, he's got the, I think the hair's blue today? - I think so. - And just ask around there. There'll be a lot of folks that can help, not just have general ideas, but have been through it and helped others for whatever context you're bringing with.
[16:25] Just some other tips is one, trying at least, it's gonna take you a while to speak the language, but be forgiving of the language, right? Folks in policy, we say cyber a lot. If you can't forgive us that, (laughs) it's gonna have difficulty. If you wanna be understood, you have to help meet people halfway in how they talk about things. So on the policy side, attribution matters a lot to us, because at the end of the day, it's about what nation is responsible.
[16:55] I worked at the White House for a couple of years, right? I didn't care about attribution. I cared about national responsibility. At the end of the day, the president is gonna have to pick up the phone and he's gonna have to call some prime minister, some president and say, "Knock it off or there's gonna be consequences." That's not attribution. So that stuff matters at places like the White House and Congress or in your national equivalence. So again, if you can't get past the fact that, no, attribution's stupid, in your full Threatbutt and Attribution Dice, like that stuff's funny, and it might not matter much in your context, but it definitely matters when you're thinking about for some aspects of this national security policy.
[17:40] But definitely be yourself, right? If you're angry and you're pissed off, don't lose that. (laughs) Stay angry and stay pissed off. Just, let's keep it channeled and stay energized. - Yeah, I think we have a big problem sometimes when you get angry, when you are just annoyed, you're frustrated, you think, "Hey, nothing's ever gonna change," that we tend to get a little insular. So I think this track is the perfect way of explaining, don't become insular. - And within the course of one year, this was right around 2011, 2012, I had Jeff Moss, Dmitri Alperovitch, Richard Bejtlich, and others say we can't, we're frustrated 'cause we're not making the difference that we wanted to have through technology, but we don't know how to make this happen on policy.
[18:29] I was working for a think tank at the time, the Atlantic Council, sorry. So a lot of folks have been down this road of saying, I need to do differently, I need to figure out other ways to get my voice heard and to bring my knowledge and skills to bear. So this is well trod path. - We're talking a lot about how we are doing things differently now, but if you can even give me one example of something that we are doing better.
[19:00] I don't wanna be just doom and gloom saying we haven't done anything better. - So I consider myself a strategy person, right? It's been a long time since my fingers were on a keyboard in any meaningful way, or that'd be meaningful to y'all, remember the way I said it was went back to 1972, we're 50 years in where we haven't been having the effect that we want. And I was reading a news article maybe five years ago in "The Economist." And they looked at climate change and they said, "What have been the interventions that we have done as a species that's taken the most carbon dioxide equivalent outta the atmosphere?"
[19:40] And they rated them like 1 through 30. And they said, "As far as we can tell, no chuckleheads have ever asked the question in that way before." Here it is, one of the most compelling issues faced by humanity, and no one had ever said, "What have we done that's made the biggest difference at the largest scale and the least cost?" And so I had an epiphany of, (mimics explosion) so what is it that we as a community have done, that's given the defender the greatest advantage over attackers at the larger scale and the least cost?
[20:15] And let's do more of that. The number, any guesses, just shout out, the number one thing that we think we've done at scale and cost as a community? Windows Update, yeah, who said Windows Update? Absolutely. Because instead of doing something that only affects a single enterprise, we could come up with the most perfect widget and it gets all the VC money 'cause it is the most brilliant thing. We still have to buy a billion of them.
[20:46] We've gotta integrate it into the enterprise or our home networks. We have to monitor it. We have to keep it up to date. We have to train people to use the widget. We have to get it to integrate with all the goddamn other tools that we have and do that a billion times. Things like Windows Update, cloud, end-to-end encryption, you do it once and a billion devices or people can take advantage of it. This is why, especially a lot of us on policy are so upset over government folks looking to break end-to-end encryption.
[21:22] It's one of the few things that aids the defenders at scale, easily, if it's implemented right. It's really one of the few things that you can get it and it really makes it hard for adversaries. - And it's actually one of those things that we've seen really become mainstream, because it's become easier to use. Like the number of people I know who say, "Oh, I know nothing about security," and they use Signal, and I'm saying, "There you go! (Jay laughs) Like that right there is an important thing you're doing." - And if I could push on one area.
[21:53] So for me as some of that strategy, we've never had a real strategy. What was the U.S. strategy for the Cold War? It's a single word, containment. Sorry, I'm a veteran, you know, for folks that were in the military, everybody knew what General Petraeus's strategy was for winning. It was win hearts and minds. A different general would have a different strategy, like get in firefights and kill people. Petraeus was very simple. No, we wanna win hearts and minds, more or less.
[22:26] It's a strategy that you can fit on a single small sheet of paper, in this phrase. So mine, since I read that quote from 1972 and 1979, was defensible. We've gotta get defender most advantage over the attack at the largest scale and least cost. Sometimes I like to flip it around and talk about a sustainable internet. Just like we want our grandkids to have an internet, to have clean air and clean water, better than we have today, we can think about the same, right?
[23:00] Let's have our grandkids where they have an internet that's at least as awesome as the one that we have today. 'cause we can get so caught up in adversaries and the rest that we're not thinking about all the amazing things that we wanna do, and we want future generations to do. - Since we are talking about the future, and how we want the internet to be at least available for our grandkids, my children, but there's so many new types of technologies that's coming on. We are barely scratching the surface on understanding how we're gonna use it, how we're gonna regulate it.
[23:35] What are the policy implications that we should be thinking about with emerging tech? - Yeah, just think about, on emerging, because I know what I care about, a defensible internet that has defense better than offense, anytime I get asked about a new X, Y or Z, I always think about, all right, is this gonna preferentially aid the defender or the attacker? It, almost every time we've done anything, it's preferentially aided the attacker. That the attackers have been able to use the scale of the internet more effectively than the defenders have, to add scale to our operations and what we want to do.
[24:15] So anytime I get asked like quantum X, Y, or Z, or the rest, it's almost always, no, that's gonna help attackers more. Cloud, one of those that can definitely help, Beau Woods, Josh Corman, helped talk about it really well, that the original internet was never designed to be secure. We added things to it, and we just slapped Band-Aids on those. And now we've got five decades of Band-Aids all the way down when it comes to the security for the internet. Cloud is one of those opportunities that we can get it right from the start, once we get people trained for it.
[24:47] We really do have to have people more trained so that we're able to... - There's a definite mindset change that we need to make sure that people are not just bringing the same mistake, same ideas forward. - And before we switch, I know we're gonna probably switch to Q&A soon, we had a panel this morning and someone asked, "Who is your favorite trans or female hacker?" And we had a lot of great answers, a lot you'd expect from Grace Hopper to Katie Mou, to Amelia Koran and others.
[25:19] I wanna raise a woman named, her married name was Hilda Mathieu. Anyone heard of Hilda Mathieu? She's on the NSA Hall of Fame, because Hilda came up with the idea, back in the 80s, that NSA, that these new computer networks gave NSA this incredible ability to do amazing digital espionage. And she was doing this as a female technical engineer in the 80s.
[25:50] Just think of how rare that is. And she was the one that figured out, yep, we can, this is gonna be amazing, but she also realized this is gonna be a real problem for the United States, because we're incredibly vulnerable. So they were already understanding that at Fort Meade, in the 1980s. And what I really like about Hilda isn't just that she realized this and she was this real pioneering female engineer whom we've never heard about, but also her name before she got married was Faust.
[26:24] So here we've got this actual real Faustian bargain of wanting to both, NSA to have it both ways, and the U.S. Government to have it both ways, that we can hack shit and we can still secure things well enough. That we can hack it and the adversaries aren't gonna see what we're doing and decide they need to copy us. But also for us here in this room, and the people that have been coming to Vegas every August for 30 years, that we can hack shit and we don't have to worry about how it's going to turn out.
[27:03] It's the original Faustian bargain, (laughs) in part thanks to great engineers like Hilda Faust-Mathieu. - Exactly. So, I mean, we started off all of this conversation with you saying that we've been doing this over and over again, and nothing has changed. We are now talking about a strategy of defensibility. How are we going to change? What are the things that we can start saying, okay, these are the things we're gonna do so that we can get blue team better than the red?
[27:39] - I think you heard a lot of it here from Chris Inglis this morning, right? When I look at that question, so we've looked at, we did this report through the New York Cyber Task Force out of Columbia University, and we went back and we said, okay, what have been the actual innovations that have made the biggest difference at the largest scale and least cost over the last five decades, going back to the original passwords? And we looked at those that tend to operate inside the enterprise and those that operate across cyberspace as a whole.
[28:14] And the vast bulk of things I mentioned were up here in the technical things in the enterprise. So one, we really wanted to emphasize those things that we can get with the larger scale and the least cost. End-to-end encryption, cloud, we've already talked about. I also really want to emphasize the operational innovations. When the Morris Worm hit the early internet in 1988, it took down 10% of the early internet. Now, yeah, that was only like 6,000 computers or something like that, but it took down 10% of the internet, because they didn't have anybody that was there to look for vulnerabilities and patch them beforehand, and they didn't have any coordination mechanism once there was a disaster.
[28:56] The only coordination mechanism they had was the internet itself. So they invented a computer emergency response team. We had to invent a CERT. And now, of course, everybody has a CERT, they're considered part of the environment. We had to invent the role of a CISO, chief information security officer. Vladimir Levin, a Russian hacker, took Citibank for $15 million or so in 1995. And we had to invent a CISO. We had to invent a ISAC.
[29:29] I used to be the vice chairman of the FS-ISAC. We had to invent ISACs in 1999 by a presidential directive. The MITRE ATT&CK framework, Lockheed Martin Kill Chain. This stuff is, like the kill chain or the cyber framework, like, it's almost free, right? It's a doctrine. It's an idea about how you do things. And just think about all the defensive innovations that we've gotten from the MITRE ATT&CK framework, and how it's allowed us to talk about things at scale and implement things that sticks in taxi.
[30:04] So as you're thinking about how we can have the most impact at scale, it's not all about technology. It's a lot of these operational, these process, the organizational innovations. Actually, maybe like CISA, right, is now doing JCDC. - Yeah. - The Joint Cyber Defense Collaborative. - I mean, the thing that really strikes me about the CERT, ISAC, even the MITRE ATT&CK framework, it's actually fundamentally collaboration. It's like, okay, how do I work with you? I can't do this alone.
[30:35] I need to get other people with me. And what is the shared language? And I love the examples you gave, because it kind of goes back to what we were saying earlier, that we need to be working with the community. We need to be engaging with the community. - There there's a guy named Rob Knake who had been with the Council on Foreign Relations. Now he's the deputy for strategy at the Office of the National Cyber Director. And he had a great phrase to it. He called it the Home Depot model. (Fahmida laughs) You can do it, government can, - We all know the Home Depot, that's for sure.
[31:06] - You can do it, government can help. 'Cause when I looked at, how do you get defensible? It's not through government. We're not gonna get there by creating some new government office and hiring more civil servants in any country or in every country. It can help. But it's, the only real change to get defensible is gonna happen through the private sector. And that for the government, for me, is you have to enable them, right? Imagine, sorry to use a sports analogy, say it's American baseball, right?
[31:37] You've got nine players on the field. What we had with General Alexander when he was at Fort Meade, and he tried this here, well he tried it at Black Hat, right? He would run around and say, "Wherever the ball was hit, we got it. We at Fort Meade, we can make the play. Let government do this. Finance sector, y'all are doing a good job, but let me put my sensors on your network so we can collect it for you." But most of the time, whenever the balls hit, it's someone in the private sector that's in the position to make the play.
[32:09] Now, they might not be able to see the ball. They might have an old, and the government has to help them to see the ball. They might have a bad glove, and we might need to help them with some capability. They might be like me when I was in Little League, and they might forget they're in the game until they hear the crack of the ball on the bat, and they need to be reminded. Others don't need the enablement, they need encouragement. They know it's a problem. They've got the capability, but they're not stepping up.
[32:41] And their government has ways that can help. Not just U.S. Government, but others. And last is, at the end of the day, it might come down to enforcing where it already happens, the finance sector, energy sector, publicly traded companies. The enforcing is already happening in lots of regulated industries. And we first said in 1998, presidential directives that said that if the market doesn't work, we might need to regulate. And so it's been 25 years, so maybe we're getting close.
[33:11] - So one thing I wanna touch upon before we go to the audience questions is that there are a lot of people who can't get involved with Congress. They can't get involved with FTC. And I've been hearing a lot of friends who are lawyers, they talk about how they're required by their law firm to do pro bono work, kind of give back - Interesting. - to the community. What would that look like from a hacker community? - It's a great, wow. I hadn't really thought about it. It's a lovely, I love that idea.
[33:42] So imagine, for what Fahmida's raising here, right? If you're working, if you're a CEO of a tech company, and you care about these issues, say election security, or you're worried about the water, you know that your local water utility is probably insecure. Just like a law firm might do pro bono, you're saying that you might say, "Hey, you know what? We're gonna go and we're gonna help out the water utility. And we're gonna do that pro bono, 'cause we're a tech company."
[34:13] And you can imagine that working even not just for the CEO of a tech company, but it's anybody just saying, "Hey, I'm here to help." That's a great idea. - I mean, if you're an incident responder going up to, you know, hey journalists, human rights activists, and being like, "Hey, do you want us to take a look?" I just feel like there's so many ways we can use our skills. - And, you know, and it ties into a lot of corporations are worried about their ESG, right? Their environmental, social, and governance. And they wanna do well doing that. And companies wanna help on their ESG, and people will volunteer.
[34:46] So I worked for a bank, and we would go out and we would do Habitat for Humanity, or we'd clean a park, or we would go on a 5k fund run. Why shouldn't there be a tech aspect of that? And saying, "No, we're gonna get our awesome set of nerds together, and we're gonna go help people." Like a at risk community, like journalists, or Rohingya, or Uighurs. - Go to your local school and help your teachers. - (laughs) Go to school and help teachers. Yeah, it's a great idea to think about that as ESG, to think about that as pro bono work that we should do through our companies and get paid for it as part of making the world a better place.
[35:26] I love it, it's a great idea. - So there's, you have the microphone for the Q&A? So if you have any questions for Jason, please raise your hand, - Or Fahmida. - (laughs) and we welcome any questions here. I can barely see. - Got one. We have one over here. That's why I wear a hat. Yeah. - There's someone over there, and then a gentleman in blue. - [Staff] There you go.
[36:02] - [Audience Member] I mean, this kind of goes way back to the beginning of hacking and computer security. How do we still address the idea of what right do you have to check my doors? You know, if you walk down the neighborhood trying everybody's door, you're gonna get arrested. And there's that analogy to some of what's happening in the hacker community. How do we... Are we still struggling to justify that from a legal perspective and from an acceptance perspective? You know, who are you to check my doors? - Yeah. It's a great, and for those that didn't hear, who are you to check my doors, right?
[36:36] I mean, a lot of, and I think our communities had this from the very beginning. Who are you to tell me not to check your door? It's publicly available, why shouldn't I be able to scan it? I shouldn't even be able to get into your computer because you didn't protect it well enough. That's part of our legacy of being hackers and being in Vegas in this time of year, right? But also saying we also care about privacy and we want to do that. I liked how Chris Inglis put it together up here in that, at least how the government was seeing it, and saying we're all in it together, and just because your side of the boat has a leak, that's affecting the rest of us.
[37:14] And I honestly approached this. I talked about sustainability of how we want our kids and grandkids to have at least as good as we have today. And that's led to all sorts of norms and mindsets to think globally, act locally. But also knowing that the things that we do have externalities and that I can say, good, I have a right to use as much water I want, or I can have as polluting a company or car as I want. But the way I, speaking personally, I say it's kind of a dick move.
[37:48] Like yeah, you've got the right to do it, but you are imposing that on others, and you're making the situation worse for others. And so we are gonna have to think more about how that affects us, that good, your unpatched system. It's not just you getting hacked, but you're imposing that on others because you're gonna be part of a DDoS. And Inglis talks about this new social contract and what it is that we owe each other, what rights and responsibilities we can demand.
[38:18] But what are the concomitant responsibilities that we owe others? And I think it's a great part of that conversation. And for us to really address that afresh, 'cause that's what it's coming down to a lot. What are we owed? Even if we're having unpatched systems versus, you know, FBI going in and patching systems for them like they did for Cyclops Blink, right? Let's address it. I think it's a great question. - Or the, ISP basically saying, "I'm gonna scan and I'm gonna take your computer off the network because you have malware."
[38:52] - And it's a great, and I know they won't happen. I remember there's a great, it was a, or I think it was Arbor Networks did this. And they looked at ISPs of saying, which, and this maybe 10 years ago, ISPs do you monitor for inbound attacks? And like 90% looked for inbound attacks. And they said, "Do you monitor for outbound attacks?" And half of them didn't even bother to monitor for outbound attacks, and those that did, something like half of them did nothing about it. They would just see the attacks going outbound.
[39:23] They said, "Not my problem." What do we think about that? Is that, I mean, that's classic tragedy of the commons, that they either don't, half of the respondents back then didn't know or didn't care that they were imposing problems on others. That's externalities. And at the end of the day, that's where, in the normal social contract, we expect the government to come in and say, "No, you can't impose these costs on others through your own inaction." - Yeah, can we get the next question? - Yeah. - [Audience Member] Hey, good afternoon.
[39:54] So I have kind of an unpopular opinion here, so this might be agitating to some people, but I think one of the reasons why we have issues with policy , and that's really what the gist of this conversation was, is that a lot of people focus on the hackers, so people that are here. But if you actually look at when we actually were good at things like strategy, it was from offset strategies. We had a first offset strategy, nuclear. We had a second offset strategy, ISR. We tried getting a third offset strategy of technology.
[40:24] Ash Carter, Bob Work, and a few other people, Jim Baker, and a few other people that worked at the building were champions of this. And then it fell on its feet for whatever reason, because of a session, we'll just call it. So to me, the biggest problem that we have as a nation, 'cause I wanna take this beyond just the hacking, it's really about cybersecurity and how do you secure things. It's that we do not have a defined offset strategy. And from there that's where your operational tactic, your operations go and your tactics go.
[40:56] My question to you is will there ever be somebody that says "No shit, wake the fuck up and get an offset strategy." Over. - Yeah, cool. And this is probably gonna be the last question, unless you want to take one more and then I answer both? I don't know how we're doing on time - [Staff] Two minutes. - Yeah, you wanna take one more of the question and then we can, yeah. - So he had, the gentleman in the blue, - Awesome. do you still have a question? You're fine? Okay, and then I think the gentleman in the black with the orange lanyard, he was one of the first people to have his hands up. - Thanks, Mike, we'll catch up.
[41:32] - [Staff] We have two minutes left. Two minutes, no rush. - [Audience Member] (laughs) Thanks. Hey, Jason, very good talk as always. You referenced earlier about control effectiveness, that for nearly 50 years, we haven't really seen significant advancement in control effectiveness. I was curious if, especially from a policy standpoint, we can get firms to all agree to improve cyber hygiene, cyber control, capabilities, and effectiveness. How would you suggest measuring control effectiveness and thresholds for essentially defining good.
[42:07] - Perfect, thanks. So first, the first one is a very U.S. Department of Defense strategy. This thing's called the third offsets. And the offsets were a military strategy to say, what are the things that the United States and allies, that are super easy for the United States and our allies to do, but are really hard for our adversaries. I actually thought of it as an encryption problem, (laughs) right? 'Cause encryption is there. It's meant to be really easy one way and really difficult the other way. And it just took that to military strategy. And so we were trying this over the last couple years and people in D.C. would say, "Cyber is a way that we're gonna do this offset strategy."
[42:49] And I had no idea what they were talking about, 'cause it is just as easy, if not easier, for our adversaries to have offensive cyber capabilities as it is for us. What's really hard for them is to work with the private sector. When you look back at almost every major cyber incident that we've ever had, anywhere in the world, it's almost always the private sector that has the agility, the subject matter expertise, and they have their hands deep in cyberspace, and they can fix it. Governments lack that. So we need to do those things that the Russians, the Chinese, the Iranians can't do, is work with the private sector in the rich way that we do in the West.
[43:26] And then to close out on the measurement, it's a fabulous question. I'm really interested, not on a measuring control by control, but how do we measure if defense is getting better than offense at the largest scale of the internet? For example, if we're seeing shorter breakout times, we're probably not doing our job. If we see longer breakout times, if we see them taking longer to get in, those are all the sorts of things that we might imagine if the internet's getting more defensible. - That might have to be a conversation next year.
[43:57] - Yeah, exactly. (laughs) - Jay, thank you so much for joining us today. - Thank you. - And thank you everyone. Thank you for your good questions. - Yep. (audience applauds) Thanks for the questions. Thanks for caring about policy. Stay angry. Go unfuck things.
Vidleafワークベンチで開く
トランスクリプトを検索し、行を選択し、タイムスタンプ付きの引用をコピーし、翻訳します。
帰属
「DEF CON 30 - ジェイ・ヒーリーとの政策炉辺談話」by DEFCONConference (https://www.youtube.com/@defconconference)、CC BY 3.0 (https://creativecommons.org/licenses/by/3.0/) の下でライセンス供与。ソース動画: https://www.youtube.com/watch?v=D_wPMLhXC1w。このページは段落区切りとタイムスタンプを加えた動画のテキスト文字起こしです。制作者はVidleafと提携しておらず、Vidleafを推奨するものでもありません。VidleafはAIによる句読点とAI生成の要約を追加しました。元の文言はこのページで引き続き参照できます。
あなたは制作者または権利者ですか？訂正や削除をリクエストする：copyright@vidleaf.app（これらのページについてを参照）。
最終更新