Коллектив Авторов - Цифровой журнал «Компьютерра» № 190

Поскольку объём полезной информации, вскрывшейся за последние дни, весьма велик, я попробую конкретизировать найденное в четырёх пунктах — и если упущу что-то важное, то буду признателен за дополнения/поправки в комментариях.

Итак, во-первых, найдены подтверждения прямым текстом тому, что вендоров программного и аппаратного обеспечения принуждают встраивать в свои продукты «чёрные ходы», посредством которых спецслужбы получают доступ к данным до шифрования. Это отчасти повторяет то, что уже было известно по проекту PRISM, но добавляет новых тёмных красок: теперь ясно, что давят не только на гигантов интернет-бизнеса, но вообще на множество компаний, как американских, так и иностранных. Отечественными (в смысле — для упомянутых выше государств) производителями вообще крутят как хотят, вплоть того, что вендора вынуждают имплантировать в поставляемое оборудование аппаратные закладки, когда поступает заказ от интересного спецслужбам клиента.

Во-вторых, производителей принуждают выдавать (а в случае невозможности к принуждению — выкрадывают) приватные криптографические ключи, необходимые для декодирования потоков данных конкретных программных и аппаратных продуктов. Полученные ключи складируются в базу данных Key Provisioning Service, откуда по необходимости извлекаются самим АНБ и его партнёрами.

В-третьих, АНБ и прочие оказывают давление на разработчиков и институты стандартизации (в том числе NIST) с целью ослабления криптографических алгоритмов, используемых в Сети. В ход идут плохие генераторы случайных чисел, странные константы (в частности в криптографии с эллиптическими кривыми) и прочее подобное.

Наконец, в-четвёртых, АНБ и партнёры не стесняются вербовать или внедрять скрытых агентов в телекомы по всему миру — и таким образом получают доступ в самые труднодоступные места, к самым сложным из интересующих их целей.

Таковы вкратце свежие находки из архива Сноудена, обнародованные под конец прошлой недели газетами The Guardian, New York Times и некоммерческой ProPublica. И если начистоту, то первое, что чувствуешь после изучения десятка оригинальных статей и пересказов, — это бешенство: среди тысяч слов почти ни одного имени или названия. Однако отсутствие конкретики — не случайность. Официальные лица (по всей видимости, от правительств США и Великобритании), ссылаясь на возможный вред для национальных интересов, настаивали на том, чтобы вообще ничего не публиковать. Издатели уважили просьбу наполовину: материалы увидели свет, но без имён. Таким образом, показать пальцем на конкретного вендора или продукт и сказать «Виновен!» не получится. Но, как утверждает минимум один (и весьма авторитетный) эксперт, можно исходить из обобщения. Если вы используете SSL/HTTPS, SSH, VPN (в том числе организуемые аппаратно), интернет-телефонию или шифрованные чаты, предполагайте, что ваш трафик перлюстрируется АНБ и её партнёрами. И тогда следующий вопрос, которым вы зададитесь, — это как укрыться от всепроникающего ока спецслужб?

Упомянутый эксперт — всем известный Брюс Шнайер. Теперь он помогает Guardian разбирать сноуденовские материалы и, опираясь на найденное в последние дни, считает возможным подвести черту трёхмесячному скандалу. Его рассужденияпросты. Пусть мы не знаем имён сотрудничающих компаний и названий скомпрометированных продуктов, зато знаем, что АНБ атакует чаще всего не конкретные компьютеры (это практикуется, но редко, ибо дорого), а интернет-магистрали и площадки, куда стекается трафик, а равно и то, что стойкое крипто «снимается» преимущественно не в лоб (то есть сами математические схемы по-прежнему неуязвимы), а через слабости в конкретных реализациях/инструментах. Исходя из этого, он даёт четыре совета, которые будут практически полезны для каждого, обеспокоенного ИТ-приватностью.

1. Спрячьте клиентов и сервисы в подпространство TOR (используйте .onion-адресацию). Считайте это дополнительным защитным слоем. 2. По возможности пользуйтесь криптопротоколами для шифрования интернет-сессий, но особо важные данные храните и обрабатывайте на устройствах, которые никогда не подключались к сетям и обмен с которыми ведётся посредством физических накопителей (скажем, «флешек»). 3. Не пользуйтесь коммерческим/проприетарным криптографическим программным обеспечением. Используйте свободные криптоинструменты с открытыми исходниками: принудить open source-сообщество к сотрудничеству для АНБ и других спецслужб намного сложнее, чем любую компанию. 4. Доверяйте криптографии, она по-прежнему эффективна. Шифруйте документы перед передачей. Но пользуйтесь только криптопродуктами, которые совместимы с продуктами других производителей: это дополнительная гарантия того, что в используемое конкретно вами криптоприложение не встроена «закладка».

К оглавлению

Опубликовано15 сентября 2013

Бог виноделия Дионис, что родился в пламени перунов Зевса, испепеливших его мать Семелу, был очень популярен в простонародье Эллады, но недолюбливаем аристократией за буйный и неукротимый нрав. А вот в пожарище 9/11, погубившем тысячи жизней, родилась сугубо бюрократическая структура, очень близкая сердцу американского истеблишмента. Зовётся она United States Department of Homeland Security, что обычно переводится как Министерство внутренней безопасности.

Сегодня это бюрократический монстр, возглавляемый министром госбезопасности Джанет Наполитано и имеющий штаб-квартиру в комплексе зданий на авеню Небраска в Вашингтоне. Количество служащих возросло с 225 тысяч в 2009 году до 240 тысяч в 2013-м. Солиден и бюджет: если четыре года назад он составлял $52 млрд, то сегодня он возрос до $60,8 млрд. (Запомним последнюю цифру (она нам в дальнейшем понадобится): шестьдесят гигабаксов!) Это третья по величине государственная структура США, уступающая только Министерству обороны и Управлению по делам ветеранов.