Ричард Кларк - Третья мировая война. Какой она будет

Я таки дождался неприятностей в 2002 году, когда в программной речи на конференции сказал: «Как здорово, что хакеры находят дефекты в программах!» Тогда я был специальным советником по кибербезопасности президента Буша. Кто-то, предположительно из Редмонда, рассудил, что нехорошо, когда милый консервативный Белый дом поощряет незаконные действия. Конечно же, на самом деле я имел в виду следующее — когда «этичные» хакеры обнаруживают дефекты в программном обеспечении, они в первую очередь должны сообщить об этом разработчику ПО, а затем, если ответа не последует, поставить в известность правительство. Только если производитель программного обеспечения отказывается исправить проблему, отметил я, хакеры могут предать обнаруженные факты огласке. По моей логике, если хакеры, собирающиеся на конференции в Лас-Вегасе, способны обнаружить дефекты программ, на это же способны их коллеги из Китая, России и других стран. Поскольку шпионы и преступники и так все узнают, уж лучше пусть об этом знают все. Общие знания о багах в программных продуктах могут означать, что: 1) самые чувствительные сети, вероятно, прекратят использовать данную программу до появления релиза с исправлениями; 2) производителям программного обеспечения придется внести исправления, потому что им либо будет элементарно стыдно, либо их заставят главные клиенты, к примеру банки или Пентагон.

Подобные комментарии не добавили мне симпатий со стороны определенных корпоративных кругов. Им не понравилась моя программная речь, с которой я выступил в том же 2002 году на ежегодной конференции компания RSA . [9] Компания RSA Labs — разработчик криптографических технологий. На конференции RSA собирается около 12 тысяч практикующих специалистов по кибербезопасности. По вечерам устраиваются большие приемы. Я выступал рано утром. Ожидая своей очереди, я стоял за кулисами и думал, как бы мне сейчас хотелось выпить еще хотя бы чашечку кофе. В большом холле громко играла приглашенная рок-группа. Когда они закончили, я должен был появиться на сцене в клубах театрального дыма. Представляете эту сцену? Не прекращая думать об острой нехватке кофеина в моем организме, я коротко отметил во вступлении, что, согласно недавнему опросу, многие компании больше тратят на бесплатный кофе для своих сотрудников и клиентов, чем на кибербезопасность. После чего добавил: «Если вы — руководитель крупной компании, в которой больше денег выделяется на кофе, чем на кибербезопасность, будьте готовы, что вас взломают». Пауза. И главное: «Более того, с такими приоритетами вы заслуживаете взлома». Последовали десятки звонков от раздраженных руководителей компаний.

В RSA очень силен корпоративный дух. На конференциях Black Hat гораздо веселее. Увлекательней всего сидеть в тускло освещенном танцевальном зале и наблюдать, как кто-нибудь, не привыкший к публичным выступлениям, проецирует на презентационный экран строчки кода. Забавно видеть недоуменные взгляды сотрудников отеля, обслуживающих конференцию, когда весь зал взрывается хохотом или аплодисментами, что бывает часто, хотя для постороннего в происходящем нет ничего ни смешного, ни достойного похвалы, ни даже понятного. Пожалуй, единственное, что с интересом наблюдают обычные американцев, пробираясь сквозь зал к столам с рулеткой, так это «суд хакеров» — пародия на суд, в ходе которого выясняется, какого рода хакерство следует считать «неэтичным». Очевидно, хакерство самих хакеров к этой категории не относится. Большинство участников конференции просто принимают условие не включать wi-fi на своих ноутбуках. По всем конференц-залам развешаны объявления о том, что использовать wi-fi настоятельно не рекомендуется. Такие предупреждения в данном случае нужны примерно так же, как объявления в океанариуме о том, что в бассейне с акулами не дежурят спасатели.

В 2009 году организатор конференции Джефф Мосс порвал с многолетней традицией, запланировав в рамках Black Hat одну встречу, доступную не для всех участников. Мосс, который, кстати, на протяжении всей конференции одевался только в черное, ограничил количество гостей на этом собрании 30 вместо обычных 500–800 человек, которые посещают каждую из шести одновременных сессий, что проходят не менее пяти раз в день. На закрытом заседании присутствовали только «старики», те, кто знал, где скрыты виртуальные «тела» в киберпространстве, — бывшие правительственные чиновники, действующие бюрократы, начальники служб безопасности крупнейших корпораций, ученые и старшие должностные лица IT-компаний. Мосс задал им вопрос: «Каких действий мы хотим от Обамы, чтобы защитить киберпространство?» В каком-то странном порыве администрация Обамы назначила Мосса членом консультативного совета по вопросам национальной безопасности, поэтому появился шанс, что он сумеет донести до Белого дома выработанное общими усилиями мнение, если, конечно, его удастся сейчас выработать. Ко всеобщему удивлению, группа достигла согласия по нескольким вопросам — и резкого разногласия по остальным. Консенсус был найден по пяти моментам.

Во-первых, все одобрили идею возвращения к временам, когда федеральное правительство спонсировало исследования и разработки в области кибербезопасности. Этим занималось Агентство перспективных исследований, которое финансировало создание Интернета, но при Буше сфера интернет-безопасности была, по существу, заброшена в пользу сетецентричных приемов ведения войны, без всякого внимания к тому факту, что подобные приемы осуществимы только в условиях безопасного киберпространства.

Во-вторых, незначительное большинство высказалось в пользу разумного регулирования некоторых аспектов кибербезопасности, к примеру принятия федеральных нормативов для операторов интернет-магистралей. Удачной была идея, что правительственные регулятивные органы должны только определять цели, а не контролировать каждый шаг, диктуя средства их достижения. Большинство, однако же, считало, что влиятельные заинтересованные группы в Вашингтоне убедят конгресс заблокировать любые шаги, направленные на регулирование в данной сфере.

В-третьих, было отмечено, что беспокоиться о том, кто провел кибератаку, думать о проблеме атрибуции бесполезно: лучше сконцентрироваться на устойчивости к внешним воздействиям — концепции, которая допускает возможность вредоносной и даже разрушительной атаки и поддерживает идею заблаговременного планирования действий, направленных на восстановление после таких разрушений.

В-четвертых, все единодушно сошлись на том, что не должно быть возможности соединения между локальными сетями и Интернетом. Идея отделения критической инфраструктуры от доступного Интернета оказалась вполне очевидной для этих опытных специалистов в сфере кибербезопасности. Идеи администрации Обамы об «умной» электросети резко критиковали и несколько сотен других специалистов по кибербезопасности, именно потому, что вследствие реализации этих планов энергетические сети, без которых не обходится ни одна другая инфраструктура, станут еще уязвимее перед угрозой неавторизированного вторжения анонимных хакеров, бродящих по Интернету.