Мы обнаружили, что… объем валового внутреннего продукта (ВВП) мировой киберпреступности составляет от $275 млрд до $6,6 трлн, а общий объем ВВП (прямой плюс системный) – от $799 млрд до $22,5 трлн (от 1,1 до 32,4 % ВВП){172}.
Независимо от того, какой оценке вы доверяете, это очень большие деньги. И в любом случае эти затраты становятся бременем для экономики – оплачиваем ли мы убытки от вторжения в систему или вкладываем средства в укрепление безопасности. Деньги, ушедшие на восполнение убытков, тратятся впустую. Деньги, вкладываемые в укрепление системы безопасности, уходят на разработку новых технологий и оптимальных методов работы корпораций, снижение уровня преступности и т. д. – на то, что будет окупаться годы спустя.
Наблюдается интересная взаимосвязь: технари отслеживают изменения в законодательной сфере, а юристы – в области развития технологий. В действительности для эффективной работы представителям этих профессий следует объединиться. Этот вывод следует из документов Эдварда Сноудена. Мы всегда знали, что технологии могут нарушить закон. Сноуден продемонстрировал нам, что закон, особенно тайный, может разрушить технологии. Технари и юристы должны работать вместе, в противном случае работать не сможет никто из них.
Посмотрим, как этого можно добиться.
Глава 6Как выглядит безопасный интернет+
В 2016 г. Норвежский совет потребителей оценил три куклы, подключенные к интернету, и пришел к выводу, что компании-производители нарушают «основные права потребителей и права на неприкосновенность частной жизни» и «имеют смутное представление о способах хранения данных»{173}. Две куклы из трех «передают личную информацию коммерческой третьей стороне, имеющей право использовать эту информацию практически в любых целях, которые не относятся к функциональности самих игрушек». Дальше – больше:
Выяснилось, что две игрушки не были снабжены встроенной системой безопасности. Это значит, что любой человек мог получить доступ к микрофону и динамикам внутри кукол, не взаимодействуя с ними непосредственно…
Более того, тесты показали, что голосовая информация передается компании в Соединенных Штатах, которая специализируется на сборе биометрических данных – образцов голоса и отпечатков пальцев. В итоге выяснилось, что две игрушки запрограммированы на воспроизведение фраз, рекомендующих разные коммерческие продукты, что фактически является скрытой рекламой.
Одну из этих кукол, которая называется «Моя подруга Кайла» (My Friend Cayla), я использую в качестве наглядного пособия в курсе политики безопасности в интернете, который я веду в Школе управления им. Джона Ф. Кеннеди[62]. Взлом этой куклы возмутительно прост даже для моих студентов-гуманитариев. Все, что им нужно сделать, – это открыть контрольную панель Bluetooth в своих смартфонах и подключиться к кукле, не вставая со стула. Они могут слышать все, что происходит вокруг игрушки, и отправлять сообщения через ее динамики. Это пугающая демонстрация того, насколько слабо могут быть защищены коммерческие продукты. Германия запретила продажи «Моей подруги Кайлы» на том основании, что эта кукла – настоящее подслушивающее устройство, а собранные ею данные находятся в интернете в общем доступе{174}. В других странах «Моя подруга Кайла» по-прежнему продается. И это не единственный пример того, как игрушка становится орудием мошенников: кукла «Говорящая Барби» (Hello Barbie) компании Mattel была оснащена схожим устройством{175}.
В 2017 г. кредитное агентство Equifax заявило о похищении персональных данных почти 150 млн американцев – фактически половины населения страны{176}. Злоумышленники получили доступ к полным именам, номерам карточек социального страхования и водительских прав, датам рождения и адресам граждан США, то есть к информации, достаточной для совершения мошенничества, о чем я говорил в главе 4. Произведенную атаку нельзя назвать изощренной, но мы до сих пор не знаем, кто ее осуществил. Злоумышленники воспользовались критической уязвимостью в программном обеспечении веб-сайтов фирмы Apache, которая была устранена за два месяца до этого{177}. Об уязвимости агентству Equifax сообщили сотрудники фирмы Apache{178}, US-CERT[63] и Министерства внутренней безопасности, однако устранением проблемы занялись лишь спустя несколько месяцев после того, как злоумышленники взломали сеть{179}. Защищенность Equifax находилась на вопиюще низком уровне{180}. Когда я давал показания по этому делу в Комитете по энергетике и торговле Палаты представителей, я назвал защищенность сети Equifax «смехотворно плохой»{181}. И это был не единственный инцидент: у Equifax наблюдалась серия провалов в области безопасности{182}.
Мне хотелось бы, чтобы подобные случаи были исключением из правил, но это, увы, не так. Безопасность находится на крайне низком уровне, и, если не предпринять никаких действий, лучше не станет.
Главное, что нам нужно сделать, – разработать «встроенный алгоритм безопасности»{183}. По техническим причинам, о которых речь шла в главе 1, и по политическим (рыночным) причинам, о которых говорилось в главе 4, проблема безопасности отошла на второй план, уступив место скорости разработки продукта и оснащению его дополнительными функциями. Даже крупные компании, которым следовало бы внимательнее относиться к вопросам безопасности, традиционно считают меры, направленные на защищенность данных, упражнением в гибкости, замедляющим разработку продукта и увеличивающим его себестоимость. Компьютерную безопасность заталкивают в самый конец производственного процесса и не уделяют ей достаточно времени и внимания. Ситуацию необходимо изменить. Элементы безопасности должны быть встроены в каждый компонент каждой системы, от начала до конца процесса разработки.
Возможно, я говорю прописные истины, но с самого начала появления интернета безопасность не воспринималась как нечто обязательное, более того, эта составляющая продукта не имеет большой значимости в глазах рынка. Упрочение позиций безопасности – длительный процесс, подразумевающий введение определенных правил и использование рычага рыночного воздействия. Аналогичным образом мы убедили руководство автомобилестроительных компаний в необходимости сжиться с принципом «изначально предусмотренной топливной эффективности».
Отрасли, в которых производственный процесс четко регламентирован (авиация, медицина), давно придерживаются принципа «изначально предусмотренной безопасности». Мы видим это по банковским приложениям, а также операционным системам таких компаний, как Apple и Microsoft. Но жизнь требует широкого распространения этой практики.
Нам нужно обеспечить безопасность интернета+. Нам нужно обеспечить безопасность нашего ПО, персональных данных и алгоритмов. Нам нужно обеспечить безопасность нашей критической информационной инфраструктуры и цепочки поставок компьютеров. Подходить к этим вопросам необходимо со всей тщательностью и очень вдумчиво. Попытаемся выработать некие тезисы и ключевые подходы к теме безопасности интернета+. В этой главе я сфокусируюсь на вопросе «что», а вопросы «как» и «кто» раскрою в следующих двух главах.
Справедливости ради надо сказать, что здесь мы рассмотрим лишь базовые принципы. К вопросам, рассмотренным в части I, таким как угрозы и прочее, мы возвращаться не будем. Рекомендации, данные в этой главе, не являются окончательными и обязательными к выполнению, они лишь обозначают стартовые позиции для обсуждения. Предложенные мной принципы и подходы можно и нужно углублять, расширять и распространять, и рано или поздно они будут реализованы в добровольных или обязательных отраслевых стандартах.
Итак, сделаем шаг, без которого движение вперед невозможно.
На ранних стадиях развития интернета подключение к нему любого устройства имело смысл. Сейчас это нецелесообразно. Гораздо важнее разработать стандарты безопасности для компьютеров, ПО и всевозможных устройств. На словах это может показаться простым, но на деле все очень сложно. Программное обеспечение сегодня встроено практически во все, поэтому нужно думать о стандартах безопасности, которые охватывают это самое «все». В этом и состоит главная трудность.
Поскольку сейчас практически все становится компьютером, нам нужно подумать о разработке единых принципов проектирования. Все устройства должны быть безопасными без масштабного вмешательства пользователей в их ПО. Разумеется, хорошо, если на устранение каждой угрозы будет работать свой уровень безопасности. Но изначально должен быть некий базис.
Исходя из этого, я предлагаю 10 принципов проектирования высокого уровня, призванных повысить безопасность и неприкосновенность наших устройств. Эти принципы недостаточно конкретны для того, чтобы быть стандартами. Скорее, они представляют основу для их разработки.
1. Прозрачность систем безопасности. Производители должны четко обозначить, как работают их системы безопасности, от каких угроз они защищают, а от каких нет и т. д. Если производитель с какого-то времени перестанет поддерживать устройство, он должен заранее сообщить об этом клиентам, чтобы те запланировали проведение соответствующего обновления.