Mikko Hyppönen lämnar virusanalysen för att hacka drönare

Efter tre decennier med att plocka isär datorvirus försöker Mikko Hyppönen nu i stället knäcka drönare. På säkerhetskonferensen Black Hat i Las Vegas beskrev han försvarsarbete som ett slags ”it-säkerhets-Tetris”: när försvararna lyckas händer ingenting, och frånvaron av en incident försvinner snabbt ur minnet. När de misslyckas ligger skadorna kvar, synliga och växande. I en intervju med TechCrunch sade den finländske forskaren att just den logiken drivit honom mot ett område där misslyckanden i allt högre grad blir fysiska.

Hyppönen, mångårig skadligprogramanalytiker och tidigare forskningschef på F-Secure, bor ungefär två timmar från Finlands gräns mot Ryssland. Han berättade att Rysslands fullskaliga invasion av Ukraina, och hur små obemannade system blivit vardagliga angreppsverktyg, förändrat hans bild av var hans arbete gör störst nytta. I Ukraina, noterade han, står obemannade flygangrepp för en stor andel av dödsfallen, samtidigt som säkerhetsfrågorna kring drönare fortfarande är relativt dåligt kartlagda.

Skiftet hänger också ihop med att konsumentelektroniken hårdnat. Hyppönen tog telefonen Iphone som exempel på en apparat som i dag är ”extremt säker” jämfört med tidigare epoker. Det betyder inte att skadliga program försvunnit, men mycket av de enkla angreppen har flyttat: till leveranskedjor, felaktiga inställningar och system som aldrig byggdes för fientliga miljöer.

Drönare passar väl in i den beskrivningen. De kombinerar radiosändare, sensorer, navigering och ofta standardiserade programvarukomponenter, och sätts sedan in i tät lufttrafik över städer, kritisk infrastruktur och slagfält. Branschen har vuxit snabbare än de försvarsverktyg som borde omge den, vilket lämnar grundfrågor öppna: vad kan luras, störas ut, kapas eller vändas mot operatören – till den som testar först.

Hyppönens egen väg in i säkerhetsvärlden började med nyfikenhet snarare än storpolitik. Han började med att hacka datorspel på 1980-talet och analysera kopieringsskydd på hemdatorn Commodore 64. Han lärde sig programmera genom att göra äventyrsspel och gick sedan vidare till analys av skadliga program på Data Fellows, det finländska bolag som senare blev F-Secure. Under de tidiga åren, sade han, drevs virusskapare ofta av experimentlusta och anseende, inte av pengar. Utpressning med låsning av data, utpressning möjliggjord av kryptovalutor och industrialiserad datastöld kom senare.

Den historien är relevant därför att drönare nu befinner sig vid en liknande brytpunkt: en teknik som började som hobbyutrustning håller på att bli både kommersiell nyttighet och vapen, innan försvarsnormer och etablerade motåtgärder hunnit sätta sig. Efterfrågan på lösningar mot drönare ökar, men marknaden är splittrad – regler för civil luftfart, nationella säkerhetsbegränsningar och slutna leverantörssystem begränsar vad som kan testas och delas.

Hyppönens poäng är att nästa våg av ”it-incidenter” inte kommer att stanna i bärbara datorer och telefoner. När den komprometterade apparaten har rotorer och last mäts kostnaden för ett programvarumisstag i skador på människor, inte i avbrottstid.

På Black Hat sade han att framgång i säkerhetsarbete är osynlig. I drönarsäkerhet satsar han på att den osynligheten blir svårare att acceptera.