А. Белоус - Кибероружие и кибербезопасность. О сложных вещах простыми словами

Анализ результатов поисковых исследований агентства DARPA в области кибербезопасности. а также ряда смежных НИОКР подтверждает необходимость нейтрализации появившихся относительно недавно новых классов угроз кибербезопасности [1,7-15]. Прежде всего здесь следует выделить киберугрозы именно в области цифровой обработки данных, что непосредственно связано с проблемой аппаратных троянов как технологической базы для реализации на практике подобных киберугроз. Кратко рассмотрим перечень и суть этих относительно новых киберугроз.

Как было установлено экспертами DARPA. цифровая обработка сигналов (ЦОС) дает возможность злоумышленнику копировать голосовой трафик (создавать «ответвления») в пределах стандартной коммутационной матрицы без каких бы то ни было демаскирующих его признаков. Сам факт копирования трафика, в принципе, невозможно выявить и тем более документировать, поскольку он не вызывает ни изменений в амплитуде передаваемого сигнала, ни дополнительных искажений, связанных с задержкой передачи. Надо отметить, к сожалению, что это является особенностью всех современных вычислительных систем и сетей.

В частности, практически все крупные разработчики телекоммуникационного оборудования реализовали в программном обеспечении определенные технические возможности копирования речевого трафика, но только при наличии у прослушивающей стороны соответствующих полномочий, определенных администратором.

В некоторых случаях это полноценная трехсторонняя конференц-связь с отключенным входящим голосовым каналом от прослушивающей стороны, в других — ответвление потока по специальной схеме при наборе определенного номера.

Некоторые исследователи в области информационной безопасности отдельно выделяют так называемый полицейский режим — возможность выполнения тех же операций извне при наборе из городской телефонной сети определенного номера, принадлежащего номерному полю УАТС. и специального индивидуального кода допуска «полицейского».

Так, например, все цифровые учрежденческие АТС модели AVAYA Definity реализуют возможность скрытого копирования речевой информации в рамках опции Service Observing (контроль вызова), позиционируемой как средство для контроля со стороны менеджеров за ходом работы телефонных операторов, в первую очередь в центрах обработки вызовов. Активация этой опции возможна как в варианте с подачей в речевой канал предупредительного сигнала каждые 12 секунд о факте прослушивания третьей стороной, так и без него. Настройка полномочий на прослушивание просто выполняется с консоли администратора по групповому принципу: каждой абонентской линии соотносится класс приоритетов COR. а в матричной форме для каждой пары классов определяется «разрешение» пли «запрет» прослушивания. Активация прослушивания выполняется набором кода доступа к сервису, а затем набором номера абонента и может быть даже назначена («привязана») на одну из стандартных функциональных клавиш прослушивающего аппарата. Кроме того, при определенной настройке можно организовать и этот доступ к функции с внешних линий, например с городской телефонной сети.

Обычный сервер IP-телефонии CallManager от компании Cisco Systems Inc. также предоставляет возможность включения в разговор третьего абонента, обладающего достаточными полномочиями (как с предупредительным сигналом, так и без него). Эта функция именуется Barge In и имеет две различные схемы технической реализации.

1. Схема на основе программно-аппаратных средств, штатно встроенных во все IP-аппараты компании с двумя линиями. Прослушиваемый IP-аппарат при поступлении запроса на конференц-связь (в т. ч. одностороннюю — прослушивание) самостоятельно выполняет ответвление и микширование двух голосовых потоков (первичного — в направлении абонента и вторичного — в направлении прослушивающего устройства) аппаратными средствами второй линии. При этом при соответствующей настройке предупредительные сигналы в первичный голосовой поток не добавляются, более того, на дисплее прослушиваемого IP-аппарата не появляется никаких информационных признаков о факте подключения. Данная схема (скорее всего, по требованию спецслужб США) ограничена только одним подключением прослушивания и только широкополосным (64 кбит/с) кодеком G.711, однако она не вносит абсолютно никаких демаскирующих искажений в голосовой поток.

2. Схема на основе выделенных программно-аппаратных средств конференц-связи сервера IP-телефонии. Здесь при поступлении соответствующего запроса сервер IP-телефонпи замыкает голосовой трафик в обоих направлениях (проходивший до этого момента напрямую между IP-устройствами) на устройство конференцсвязи и далее с его помощью выполняет микширование и ответвление данных (в этом случае уже на неограниченное количество прослушивающих устройств и вне зависимости от используемого абонентами кодека). Недостатком этой схемы прослушки по сравнению с первым вариантом является слышимое искажение («провал голоса») в момент переключения потоков.

Настройка привилегий на прослушивание выполняется отдельно для каждой прослушиваемой линии (непосредственно указывается набор линий, имеющих право на подключение, в т. ч. незаметное. к разговору).

Таким образом, получение злоумышленником пли потенциальным противником тем шли иным образом вышеуказанных привилегий администратора предоставляет ему практически неограниченные возможности по незаметному прослушиванию.

Современные цифровые и IP-аппараты привнесли еще один класс угроз утечки речевой информации, связанный с возможностью удаленного (в т. ч. при некоторых условиях несанкционированного) включения микрофона и передачи разговоров, ведущихся в помещении по цифровому каналу. Рассмотрим вариант, не связанный с недокументированными возможностями самих аппаратов, а именно широко распространенную опцию «автоответ». При ее ак-тивацпи вызываемый аппарат при поступлении вызова подает один (часто укороченный) сигнал вызова, а затем автоматически включает микрофон и громкоговоритель с тем, чтобы абоненты имели возможность общаться между собой либо по громкой связи, либо с использованием гарнитуры.

При возможности настройки опции «автоответ» в зависимости от вызывающей линии (интерком) она представляет реальную угрозу прослушивания разговоров, ведущихся в помещении. Злоумышленник. получивший привилегии администрирования УАТС, может создать интерком-группу, включив в нее атакуемую линию и свой номер, изменить сигнал вызова со своей линии на «запись тишины» и получить тем самым возможность прослушивать любые разговоры в помещении, всего лишь сделав вызов на данную линию. Конечно, эта схема обладает некоторыми незначительными демаскирующими признаками, о которых надо сказать: 1) в зависимости от модели аппарата сам факт включения микрофона может отражаться индикаторами. 2) эта линия в момент прослушивания будет «занята» при попытке вызова извне, 3) существует определенный риск поднятия прослушиваемым абонентом трубки для выполнения своего вызова. Однако это совсем не исключает возможности выполнения успешного и скрытного прослушивания, особенно в тех ситуациях, когда в прослушиваемом помещении идет активное обсуждение того пли иного вопроса, а телефонный аппарат установлен так. что его индикаторы не видны присутствующим.