KIBERSIGURNOST: LACK OF RISK IS FREEDOM

Kaloyan Vasilev is more than a well-informed and interesting company on topics such as reliable protection on the Internet for individuals and corporate users alike. The 42-year-old professional has over 20 years of experience in IT and has focused on software engineering, administration and cyber security. He is eloquent and knows how to explain in layman's terms this complex and constantly evolving field. A few years ago Kaloyan Vasilev decided to go further and founded Kibersigurnost, a company that aims to assist the clients instead of restricting them. Its portfolio includes services such as company and individual subscription programmes, security analysis, secure and protected intranet, courses for users and employees, virtual resources. Today, the hacker attacks thwarted by Kibersigurnost number dozens of thousands.

When you established Kibersigurnost, you wanted to offer a service that assists the clients rather than restrict them. Can you tell us more about your initial idea? Did you succeed and how?

I established Kibersigurnost because I disagreed with a core principle established by experts in our field: restriction. It stipulates that if a service exposes the systems to risk, it should be stopped and then restricted. The expert's duty ends here. But this hardly benefits the clients - services are here to meet and satisfy particular needs or demands. This is why we, at Kibersigurnost, do not practise restriction. Instead, we always seek how to provide a secure service or find an easy-to-use alternative. Take file sharing, for example. Today we do not share folders from our desktops anymore, exposing our computers to risk. Instead, we use cloud services with options for file-sharing or directly send them via chat, social media or email.

What are the main challenges that your field faces in 2022? Is Bulgaria a part of the global trends or are there some local specificities?

Social engineering and phishing attacks remain the main challenges. This year has seen significantly more and more sophisticated phishing messages and victims' analysis and profiling. Improved technologies are being used, as they offer more opportunities for increasingly more believable phishing messages. Before, phishing used to be standardised and followed a universal pattern; we all received the same emails from "rich uncles" who have chosen us as their sole heirs. Today we witness proper analysis of the prospective victims. Phishing is now tailored according to intended victims' interests and reactions. This is really dangerous as people do not even understand that they have been scammed.

Rarer, but just as dangerous, are direct attacks against servers and devices. Security technologies are getting better, but attack technologies evolve just as rapidly. Modern technologies allow to easily and quickly create viruses virtually undetectable as risks. Improved technologies also allow bad actors to use standard system services. Installing malware is not even needed in this case.

These trends are powered by three main factors.

First, the constant increase of devices connected to the Internet. There are more devices to attack.

Second, the deepening economic crisis that forces more people to turn to crime. 

Third, the war in Ukraine that caused attacks provoked by the East-West conflict.

Bulgaria is still an exception, to a point, from these global trends mainly because of the language barrier. The majority of phishing attacks are in English, which is not spoken freely by the common user in Bulgaria. Recently, Russian phishing targeted to former East bloc countries increased, but Bulgarians born after 1990 do not speak Russian anyway. 

Why is anonymity on the Internet important?

As I already mentioned, profiled phishing is getting more common. This has become possible precisely because of the lack of anonymity on the Internet, which makes people more vulnerable and susceptible to scams. When hackers are able to profile you, they can send you a tailored phishing message believable enough to fool you. Big companies do the same. When you use free services and apps from Google, Microsoft, Facebook, Apple etc, you pay them with your anonymity. These companies use your data to profile you and then sell the information to advertisers. They know very well on which advertisement you will click, this is why you see the same advertising banners across different apps. Google knows you better than you know yourself. Modern technologies have made the evolution of profiling possible. As people are getting more predictable, they have become more easy to manipulate.

What does it mean for an individual to be anonymous on the Internet? When can we say that we are completely anonymous?

For the individual, anonymity means freedom. Freedom of choice and will, if there is free will anyway. The freedom to make your own decisions and choices, to not take actions under another party's influence.

However, anonymity on the Internet is extremely hard to achieve. Bad actors do not need to know your name, personal ID or phone number to recognise you. The lack of such data on the Internet does not make you anonymous. Instead, the lack of personal characteristics is the factor that makes an individual anonymous. If the systems lack information about your interests, posts, photos and personal data that they can link to your current activity, then you are almost anonymous. I say almost, because there is always some sort of activity that is being tracked. With each action and event that follows you become less anonymous. 

The ordinary user is inclined to say goodbye to their anonymity because they do not feel threatened by its lack; they say they have nothing to hide. But there are people who do have something to hide and anonymity is crucial for them. These are not only criminals, but also targets of political repression, investigative journalists, people in specific positions or developers of technologies of national importance. As you know, people in Russia who openly criticise the government are being arrested. Many investigative journalists have been killed, their families have been targeted and assaulted. Secret American military bases were uncovered because some of their personnel have used Google services.

What does it mean for corporate users and their clients?

For employees, more anonymity means less spear phishing and less chances to believe in phishing messages, their weaknesses being exposed and their company becoming compromised. The use of services alternative to ones offered by market giants can minimise the risk and improve risk management.

As for clients, when the company lacks enough data for their interests, it can potentially have difficulties reaching them. However, I believe that some smart people will find a solution.

Is anonymity on the Internet actually possible and if yes - how?

Let me pinpoint two things. 

First, the use of a browser's incognito regime does not make us anonymous on the Internet. This functionality just prevents the use of saved cookies and affects only the ads that we see. 

Second, there is no such thing as complete anonymity on the Internet. If you stay there long enough, visit some pages or log on a platform, you are not anonymous anymore.

A form of relative anonymity is possible. Take for example the cave drawings in Magurata Cave, in Bulgaria. We do not know who precisely created them, but we know that it was humans. If there were more traces from the drawings' creators, we would have known how they lived, what happened to them, what they looked like. We would have concrete idea about them.

It is the same on the Internet. By existing in it we leave a trace, which is from a human. The longer we stay online and the more sites we visit, the longer and more detailed this trace becomes. At a certain moment, this information would be enough to identify us.

This is a core principle followed by the big companies' analytics machines. However, you can achieve a high level of anonymity with a trace that is long, hard to analyse and confusing.

How can Kibersigurnost help us in this respect?

Kibersigurnost offers services for increased or almost full anonymity. This is achieved with a laptop/netbook or an external device specifically configured for this. Both can be purchased from us if you do not have your own. Our services include training the client on how to work with the available products and how to behave on the Internet. As a result, the chances of you being recognised drop dramatically. This also significantly reduces or altogether excludes the use of popular platforms.

Anonymity when using a smartphone or a tablet is next to impossible. The fact that the device has a GPS that is active all the time, the easy access to the cameras and microphones and the lack of an option to eliminate it all impede proper anonymisation.

What will be the cyber security technologies of tomorrow? What problems will they solve and from what threats will they protect?

A recent innovation that will make life easier for the mass user is the so-called passless unlocking. It is expected to become widely available in 2023. It is a joint development by the giants that allows user identification via a smartphone or tablet. In short, if you want to unlock your computer or you need verification to install software, you will not type a password anymore. Instead, you will receive a message on your phone to verify that you are the one who has initiated the activity. This will include logging on social networks, opening your email from another device or visiting suspicious sites. 

Passless will be a significant improvement for users, as most people hate passwords. It will also be a significant impediment to hackers. The password will be impossible to guess, as it will be generated automatically and stealing it will be almost impossible.

Another interesting innovation that we eagerly expect is possible thanks to quantum computers - bioencryption. In the near future we will see the first devices that encrypt data using the user's DNA as a key. This will make life for hackers harder, as all the data will be encrypted with incredibly long and complex keys, making reading your communication impossible. Unfortunately, the technology is not yet mobile and is in its early stages of development.

All future technologies are based on a good knowledge of the consumer. The price that we will have to pay for improved security will be the loss of our anonymity. The technologies of the future will include not only who you are, but also your thoughts, intentions and, possibly, feelings. But this future will not be for everyone.

On the background of decreasing anonymity people who refuse to pay this price are becoming more outstanding. For them security will have different dimensions that cannot be yet discussed publicly. This is linked to leaving the perimeter of Internet giants. An increasing number of people do not use Google and Bing search engines and do not have profiles in their platforms. They do not want to be present in Facebook, Instagram, Twitter, Yahoo etc. We can thank Donald Trump for this change. When he banned Huawei from the US, the company degoogled its devices, and its clients realised that they can do without the Internet giants. In the battle with Google, Huawei identified with David overpowering Goliath, as they demonstrated that they are able to offer services of comparable quality without the aggressive surveillance practiced by Google. 

How do you plan to implement these innovations in Kibersigurnost?

These technologies are not available yet to the mass user.

Their implementation will begin with the giants on the global market; we will then assist the users.

The universe is all pulsations. Until now, we have witnessed the growth of the big companies who ate the small ones. Now we expect to see the reverse process - the giants' market share will dwindle, rendering the market more fragmented. This will increase anonymity because all data will not be in the hands of a single company. As I already said, Kibersigurnost develops technologies for anonymity on the Internet. This goes in parallel with distancing from the giants and the use of less popular platforms. In actual fact, we already use the technologies of the future.

A future where individuals and corporate clients do not need professional cyber security services: is it possible?

This would be like a future without physicians. The answer is both yes and no. Currently, in technologically advanced countries, there are robots who successfully perform surgeries faster and better than human doctors. In the future, AI will replace people and will offer services constantly and imperceptibly. You will receive the vitamins, minerals and medicines you need without even noticing. You will receive in the same manner other professional services as well, cyber security included. 

Sofia, 23 Academician Petar Dinekov

+359 888 800 456 

киберсигурност.бг

КИБЕРСИГУРНОСТ: ЛИПСАТА НА РИСК Е СВОБОДА

Калоян Василев, основател, за важността на анонимността в Интернет – и как да я постигнем

Калоян Василев е много повече от информиран и интересен събеседник, когато говорим за надеждна защита в Интернет за индивидуални и корпоративни потребители. 42-годишният специалист работи повече от 20 години в областта на информационните технологии и е специализирал в софтуерното инженерство, администрацията и киберсигурността. Той притежава дар слово и умението да разказва разбираемо за сложната и непрекъснато развиваща се област, в която е специалист. Преди няколко години Калоян Василев решава да отиде по-далеч и основава "КиберСигурност" – една компания, която се стреми да съдейства на клиента, а не да го ограничава. Портфолиото ѝ включва услуги като абонаменти за юридически и физически лица, анализ на сигурността, сигурен и защитен интранет, курсове за потребители и служители, виртуални ресурси. Днес "КиберСигурност" е предотвратила успешно десетки хиляди хакерски атаки.

Когато основахте "КиберСигурност", желанието Ви беше да предоставяте услуга, която съдейства на клиента, а не го ограничава. Можете ли да разкажете повече за идеята си? Постигнахте ли я? Как?

Причината да основа "КиберСигурност" беше несъгласие с един от основните принципи на експертите в областта – забраната. Т.е., ако нещо излага системите на риск, то просто се спира, ограничава и задължението на експерта приключва до тук. Но това е в ущърб на клиента, защото наличието на услугата говори за съществуваща или съществувала необходимост. Затова в "КиберСигурност" не се практикува забраната. Винаги се търси начин услугата да е сигурна или да се намери алтернатива, която да не затруднява употребата. Пример може да бъде простото споделяне на файлове. Днес не си споделяме папки от компютрите, излагайки ги на риск. Използваме облачни услуги, предоставящи възможност за споделяне чрез линкове или директно изпращане до услуги за чат, социални медии или мейл.

Кои са основните предизвикателства, пред които се изправя вашата област през 2022 г.? България част от общите тенденции ли е или има някакви местни специфики в тази област?

Основните предизвикателства продължават да са социалното инженерство и фишинг атаките. През тази година се забелязва сериозен ръст и внасяне на подобрения в изработката на фишинг съобщенията, анализа и профилирането на жертвите. Използват се все по-добри технологии, предоставящи повече възможности за генериране на все по-достоверен фишинг. Докато преди фишингът беше стандартизиран, шаблонизиран, т.е. всички получавахме едни писма за "богати чичовци", посочили ни като наследници, то сега се наблюдава истински анализ на жертвите. Т.е. фишингът за конкретно лице е профилиран според интересите и реакциите му. Това е особено опасно, защото хората даже не разбират, че са били измамени.

По-редки, но не по-малко опасни, са директните атаки срещу сървъри и устройства. С подобряването на технологиите за защита се подобряват и технологиите за атака. В България масово битува мнението, че добрата антивирусна програма пази от хакери и вируси. Всъщност, съвременните технологии позволяват изключително бързо и лесно създаване на вируси, които не се засичат като заплаха. А подобрените технологии позволяват и употребата на стандартни системни услуги с користни цели. Без да е необходимо инсталирането на зловреден софтуер.

Тези тенденции са движени от три основни сили.

Първата е непрестанното увеличение на устройствата в глобалната мрежа. Все повече устройства са налични за атака.

Втората е все по-сериозната икономическа криза, подтикваща все повече хора към престъпна дейност.

И третата е войната в Украйна. Тя поражда атаки, провокирани от противопоставянето Изток-Запад.

България все още е по-скоро изключение от общите тенденции единствено заради езиковата бариера. Повечето фишинг атаки са на английски, а той не се владее свободно от масовия потребител. Напоследък се забелязва увеличение на руския фишинг, насочен към страните от бившия Източен блок, който пък е чужд за поколението след 1990 г.

Защо анонимността в Интернет е важна?

Както вече казах, все по-често се среща профилираният фишинг. Той разчита именно на липсата на анонимност. Т.е. нейната липса прави хората по-уязвими и податливи. Когато хакерите са ви направили профил, те могат да ви изпратят фишинг, на който да се хванете. Почти същото правят от големите компании. Когато използвате безплатни услуги и приложения от Google, Microsoft, Facebook, Apple и т.н., анонимността е цената, която заплащате. Благодарение на данните, които се събират, ви се прави профил, който се продава на компании, занимаващи се с реклама. Тези компании много добре знаят на коя реклама ще кликнете, затова във всички приложения ви се показват едни и същи банери. Всъщност, Google ви познава по-добре от вас самите. Съвременните технологии позволяват еволюция на профилите. Т.е. хората стават предвидими и лесно манипулируеми.

Какви са нейните измерения за индивидуалните потребители? Кога можем да кажем, че сме наистина анонимни в Мрежата?

За индивида анонимността винаги е означавала свобода. Свобода на избор, на воля, доколкото може да е свободна, свобода за вземане на лични, а не продиктувани от другиго решения.

Анонимността в Мрежата е нещо изключително трудно постижимо. Не е нужно да ви знаят имената, ЕГН-то или телефонния номер, за да ви разпознаят. Липсата на тези данни не ви анонимизира. Всъщност, липсата на характеристики анонимизира личността. Ако системите нямат информация за ваши интереси, постове, снимки и лични данни, които да се свържат с текущата ви активност, вие сте почти анонимни. Казвам почти, защото все пак има активност, която се следи. Всяко следващо действие и събитие ви правят все по-малко анонимни.

Обикновеният потребител е склонен да се прости с анонимността си, защото не се чувства застрашен от нейната липса. Анонимността е повече необходима на хората, имащи какво да крият. И това не са непременно престъпници. Примерно политически репресираните, разследващите журналисти, хора, заемащи специфични длъжности или разработващи технологии от национално значение. Знаете, че в Русия критикуващите открито властта биват арестувани. Много разследващи журналисти са загубили живота си, семействата им са били обект на заплахи и нападения. Секретни американски военни бази бяха разкрити заради употребата на услуги на Google от военнослужещите.

Какво означава тя за корпоративните потребители и техните клиенти?

Що се отнася до служителите по-голямата анонимност означава по-малко spear phishing, съответно по-малка вероятност да повярват на фишинг съобщенията, по-малка вероятност да са известни техни слабости, по-малка вероятност да бъде компрометирана сигурността на компанията. Използването на алтернативни услуги на предлаганите от мастодонтите на пазара предразполага към минимизиране на риска и по-доброто му управление.

Погледнато към клиентите – възможно е компанията да няма достатъчно данни за интересите им, което да доведе до по-трудно достигане до тях. Това може да доведе до някои трудности, но вярвам, че ще се намерят умни хора, за да ги разрешат.

Постижима ли е всъщност анонимността в Интернет и ако да – как?

Нека отбележа две неща.

Първо – използването на Incognito режима на браузъра не ни прави анонимни в Мрежата. Целта на функционалността е да не се използват съхранените бисквитки. Това влияе единствено на рекламите, които ще виждаме.

Второ – няма такова нещо като пълна анонимност. Ако останете достатъчно дълго в Мрежата, посетите няколко страници или се логнете в някоя платформа преставате да сте анонимни.

Анонимността е относително постижима. Всички знаят за скалните рисунки в пещерата Магура. Ние не знаем кой ги е рисувал, но знаем, че са били хора. Ако бяха останали повече следи от авторите щяхме да знаем как са живели, какво им се е случило, как са изглеждали. Щяхме да имаме конкретна представа за тях.

В глобалната мрежа е същото. Присъствайки в нея оставяме следа, която е от човек. Колкото по-дълго сме онлайн и колкото повече сайтове посещаваме, толкова по-дълга и подробна е следата. В даден момент информацията ще е достатъчна, за да бъдем идентифицирани.

Това е основен принцип, следван от анализиращите машини на големите компании. Все пак, може да се постигне висока анонимност с дълга, трудна за анализ и объркваща следа.

Как "КиберСигурност" може да ни помогне в този аспект?

"КиберСигурност" предлага услуги в областта, осигуряващи повишена или почти пълна анонимност. Това се постига чрез лаптоп/нетбук или външно устройство, конфигурирано за целта. И двете могат да бъдат закупени от нас, ако не разполагате със собствени. Услугите включват в себе си обучение на клиента за работа с наличните продукти и какво поведение да има в Мрежата. В следствие на това вероятността да бъдете разпознати намалява драстично. Това намалява значително или изключва употребата на популярните платформи.

За анонимност при смартфоните и таблетите почти не може да се говори. Наличието на GPS в устройството, постоянната му активност, лесният достъп до камерите и микрофоните и липсата на опция да бъдат елиминирани пречат на добрата анонимизация.

Как изглеждат технологиите на кибер-сигурността в бъдеще? Какви проблеми ще решават и от какви опасности ще предпазват?

Едно скорошно нововъведение, което ще улесни и облекчи масовия потребител, е така нареченото passless отключване. Очаква се да е общодостъпно догодина. Това е съвместна разработка между гигантите, която позволява идентификация на потребителя чрез смартфон или таблет.

Накратко, ако искате да си отключите компютъра или ви е нужно удостоверяване за инсталация на софтуер, няма да въвеждате парола, а ще бъде изпратено съобщение до телефона ви, за да потвърдите, че вие сте инициирали действието. Това ще включва и влизане в социалните мрежи, отваряне на поща от друго устройство или посещение на съмнителни сайтове.

Passless ще е едно значително облекчение за потребителите, защото повечето мразят паролите. Също е и значително затруднение за хакерите. Паролата няма да подлежи на отгатване, защото ще се генерира автоматично, а кражбата ѝ ще е почти невъзможна.

Друго интересно нововъведение очакваме благодарение на квантовите компютри – биокриптирането. В близко бъдеще ще чуем за първите устройства, които ще криптират данни, използвайки за ключ ДНК-то на потребителя. Това значително ще затрудни хакерите, защото всички данни ще бъдат криптирани с изключително дълги и сложни ключове. Т.е., няма да могат да прочетат нищо от комуникацията ви. За съжаление, технологията все още не е мобилна и е в ранен стадий на развитието си.

Всички бъдещи технологии включват в себе си по-добро познаване на потребителя. Цената, която ще се плати за по-добрата сигурност, е липсата на анонимност. Технологиите на бъдещето ще включват не просто кои сме ние, а и нашите мисли, намерения, може и чувства. Но това бъдеще не е за всички.

На фона на намаляващата анонимност все повече се открояват хората, които не желаят да платят тази цена. За тях сигурността ще има други измерения, които все още не се разглеждат публично. Това е свързано с излизането от периметъра на гигантите в мрежата. Все повече са хората, които не използват търсачки като Google и Bing, и нямат профили в техните платформи. Не желаят да имат и във Facebook, Instagram, Twitter, Yahoo и т.н. За тази промяна можем да благодарим на Доналд Тръмп, който изгони Huawei от САЩ. Това доведе до дегугълизиране на устройствата им, а клиентите на компанията разбраха, че могат и без гигантите. В битката с Google, Huawei се представиха като Давид, надвиващ Голиат, показвайки, че могат да предложат не по-лоши услуги без агресивното следене, практикувано от Google.

Как смятате да ги внедрите в "Кибер- Сигурност"?

Все още тези технологии не са достъпни за масовия потребител. Внедряването ще започне от гигантите на световния пазар, а ние ще съдействаме на потребителите.

Всичко във вселената е пулсации. Досега наблюдавахме ръста на големите и поглъщането на дребните. Очакваме да видим и обратния процес – на свиване на пазарния дял на гигантите и раздробяване на пазара. Това ще доведе и до по-голяма анонимност, защото данните няма да са в ръцете на една компания. Както споменах по-горе, "КиберСигурност" развива технологии в областта на анонимността в мрежата. Това върви заедно с дистанцирането от гигантите и употребата на по-малко популярни платформи. Фактически вече предлагаме бъдещи технологии.

Според Вас възможно ли е бъдеще, в което индивидуалните и корпоративни клиенти не се нуждаят от професионална услуга по киберсигурност?

Това е равносилно на бъдеще без лекари. Отговорът е едновременно и да, и не. В момента в технологично напредналите страни има роботи, извършващи успешно хирургически операции много по-бързо и надеждно от лекарите. В бъдеще изкуственият интелект ще измести хората и ще предлага услугите постоянно и незабележимо. Както ще получавате незабележимо нужните ви витамини, минерали и лекарства, така ще получавате незабележимо и други професионални услуги, включително и по киберсигурност.

София, ул. "Акад. Петър Динеков" 23

+359 888 800 456

киберсигурност.бг