Όταν τα «μαύρα καπέλα» - όντας οι υπεύθυνοι του άγριου δάσους του κυβερνοχώρου - αποδεικνύονται ιδιαίτερα επιτυχημένοι στη βρώμικη δουλειά τους, τα κίτρινα ΜΜΕ τσιρίζουν από χαρά. Ως αποτέλεσμα, ο κόσμος αρχίζει να βλέπει πιο σοβαρά την ασφάλεια στον κυβερνοχώρο. Αλλά δυστυχώς όχι αμέσως. Επομένως, παρά τον αυξανόμενο αριθμό καταστροφικών περιστατικών στον κυβερνοχώρο, ο κόσμος δεν είναι ακόμη ώριμος για ενεργά προληπτικά μέτρα. Ωστόσο, αναμένεται ότι στο εγγύς μέλλον, χάρη στα «μαύρα καπέλα», ο κόσμος θα αρχίσει να παίρνει στα σοβαρά την ασφάλεια στον κυβερνοχώρο. [7]
Εξίσου σοβαρές με τις πυρκαγιές... Οι πόλεις κάποτε ήταν πολύ ευάλωτες σε καταστροφικές πυρκαγιές. Ωστόσο, παρά τον πιθανό κίνδυνο, δεν ελήφθησαν προληπτικά προστατευτικά μέτρα - ακόμη και μετά τη γιγάντια πυρκαγιά στο Σικάγο το 1871, η οποία στοίχισε εκατοντάδες ζωές και εκτόπισε εκατοντάδες χιλιάδες ανθρώπους. Προληπτικά προστατευτικά μέτρα λήφθηκαν μόνο αφού συνέβη ξανά παρόμοια καταστροφή, τρία χρόνια αργότερα. Το ίδιο συμβαίνει και με την ασφάλεια στον κυβερνοχώρο - ο κόσμος δεν θα λύσει αυτό το πρόβλημα αν δεν υπάρξουν καταστροφικά περιστατικά. Αλλά ακόμα κι αν συμβούν τέτοια περιστατικά, ο κόσμος δεν θα λύσει αμέσως αυτό το πρόβλημα. [7] Επομένως, ακόμη και το ρητό: «Μέχρι να εμφανιστεί ένα σφάλμα, ένας άνθρωπος δεν θα μπαλωθεί», δεν λειτουργεί αρκετά. Γι' αυτό το 2018 γιορτάσαμε 30 χρόνια ανεξέλεγκτης ανασφάλειας.
Λυρική παρέκβαση
Η αρχή αυτού του άρθρου, που έγραψα αρχικά για το περιοδικό System Administrator, αποδείχθηκε προφητική κατά μία έννοια. Τεύχος περιοδικού με αυτό το άρθρο κυριολεκτικά μέρα παρά μέρα με την τραγική φωτιά στο εμπορικό κέντρο του Κεμέροβο «Winter Cherry» (2018, 20 Μαρτίου).
Εγκαταστήστε το Internet σε 30 λεπτά
Πίσω στο 1988, ο θρυλικός χάκερ γαλαξίας L0pht, μιλώντας με πλήρη ισχύ πριν από μια συνάντηση των πιο σημαντικών δυτικών αξιωματούχων, δήλωσε: «Ο υπολογιστής σας είναι ευάλωτος σε επιθέσεις στον κυβερνοχώρο από το Διαδίκτυο. Και λογισμικό, και υλικό, και τηλεπικοινωνίες. Οι πωλητές τους δεν ανησυχούν καθόλου για αυτή την κατάσταση. Επειδή η σύγχρονη νομοθεσία δεν προβλέπει καμία ευθύνη για αμελή προσέγγιση για τη διασφάλιση της κυβερνοασφάλειας του κατασκευασμένου λογισμικού και υλικού. Η ευθύνη για πιθανές βλάβες (είτε αυθόρμητες είτε προκαλούνται από την παρέμβαση κυβερνοεγκληματιών) βαρύνει αποκλειστικά τον χρήστη του εξοπλισμού. Όσο για την ομοσπονδιακή κυβέρνηση, δεν έχει ούτε τις δεξιότητες ούτε την επιθυμία να λύσει αυτό το πρόβλημα. Επομένως, εάν αναζητάτε ασφάλεια στον κυβερνοχώρο, τότε το Διαδίκτυο δεν είναι το μέρος για να το βρείτε. Καθένας από τους επτά ανθρώπους που κάθονται μπροστά σας μπορεί να σπάσει εντελώς το Διαδίκτυο και, κατά συνέπεια, να καταλάβει τον πλήρη έλεγχο του εξοπλισμού που είναι συνδεδεμένος σε αυτό. Από τον εαυτό του. 30 λεπτά χορογραφημένα πλήκτρα και τελείωσε». [7]
Οι υπεύθυνοι έγνεψαν με νόημα, ξεκαθαρίζοντας ότι κατανοούσαν τη σοβαρότητα της κατάστασης, αλλά δεν έκαναν τίποτα. Σήμερα, ακριβώς 30 χρόνια μετά τη θρυλική ερμηνεία του L0pht, ο κόσμος εξακολουθεί να μαστίζεται από «ανεξέλεγκτη ανασφάλεια». Η πειρατεία μηχανογραφημένου, συνδεδεμένου στο Διαδίκτυο εξοπλισμού είναι τόσο εύκολη που το Διαδίκτυο, αρχικά ένα βασίλειο ιδεαλιστών επιστημόνων και ενθουσιωδών, έχει σταδιακά καταληφθεί από τους πιο πραγματιστές επαγγελματίες: απατεώνες, απατεώνες, κατάσκοποι, τρομοκράτες. Όλοι τους εκμεταλλεύονται τα τρωτά σημεία του μηχανογραφικού εξοπλισμού για οικονομικά ή άλλα οφέλη. [7]
Οι πωλητές παραμελούν την κυβερνοασφάλεια
Μερικές φορές, φυσικά, οι πωλητές προσπαθούν να διορθώσουν ορισμένα από τα τρωτά σημεία που έχουν εντοπιστεί, αλλά το κάνουν πολύ απρόθυμα. Γιατί το κέρδος τους δεν προέρχεται από την προστασία από τους χάκερ, αλλά από τη νέα λειτουργικότητα που παρέχουν στους καταναλωτές. Εστιάζοντας αποκλειστικά στα βραχυπρόθεσμα κέρδη, οι πωλητές επενδύουν χρήματα μόνο στην επίλυση πραγματικών προβλημάτων, όχι υποθετικών. Η κυβερνοασφάλεια, στα μάτια πολλών από αυτούς, είναι ένα υποθετικό πράγμα. [7]
Η κυβερνοασφάλεια είναι ένα αόρατο, άυλο πράγμα. Γίνεται απτό μόνο όταν προκύψουν προβλήματα μαζί του. Εάν το φρόντισαν καλά (ξόδεψαν πολλά χρήματα για την παροχή του) και δεν υπάρχουν προβλήματα με αυτό, ο τελικός καταναλωτής δεν θα θέλει να το υπερπληρώσει. Επιπλέον, εκτός από την αύξηση του οικονομικού κόστους, η εφαρμογή προστατευτικών μέτρων απαιτεί επιπλέον χρόνο ανάπτυξης, απαιτεί περιορισμό των δυνατοτήτων του εξοπλισμού και οδηγεί σε μείωση της παραγωγικότητάς του. [8]
Είναι δύσκολο να πείσουμε ακόμη και τους δικούς μας εμπόρους για τη σκοπιμότητα των αναγραφόμενων δαπανών, πόσο μάλλον τους τελικούς καταναλωτές. Και δεδομένου ότι οι σύγχρονοι πωλητές ενδιαφέρονται μόνο για βραχυπρόθεσμα κέρδη από τις πωλήσεις, δεν είναι καθόλου διατεθειμένοι να αναλάβουν την ευθύνη για τη διασφάλιση της κυβερνοασφάλειας των δημιουργιών τους. [1] Από την άλλη πλευρά, οι πιο προσεκτικοί πωλητές που έχουν φροντίσει για την κυβερνοασφάλεια του εξοπλισμού τους αντιμετωπίζουν το γεγονός ότι οι εταιρικοί καταναλωτές προτιμούν φθηνότερες και πιο εύχρηστες εναλλακτικές λύσεις. Οτι. Είναι προφανές ότι οι εταιρικοί καταναλωτές δεν ενδιαφέρονται και πολύ για την ασφάλεια στον κυβερνοχώρο. [8]
Υπό το πρίσμα των παραπάνω, δεν αποτελεί έκπληξη το γεγονός ότι οι πωλητές τείνουν να παραμελούν την ασφάλεια στον κυβερνοχώρο και να τηρούν την ακόλουθη φιλοσοφία: «Συνεχίστε να χτίζετε, συνεχίστε να πουλάτε και να επιδιορθώνετε όταν είναι απαραίτητο. Έχει καταρρεύσει το σύστημα; Χάσατε πληροφορίες; Κλάπηκε βάση δεδομένων με αριθμούς πιστωτικών καρτών; Εντοπίζονται κάποια θανατηφόρα τρωτά σημεία στον εξοπλισμό σας; Κανένα πρόβλημα!" Οι καταναλωτές, με τη σειρά τους, πρέπει να ακολουθήσουν την αρχή: «Πατήστε και προσευχηθείτε». [7]
Πώς συμβαίνει αυτό: παραδείγματα από την άγρια φύση
Ένα εντυπωσιακό παράδειγμα παραμέλησης της κυβερνοασφάλειας κατά την ανάπτυξη είναι το εταιρικό πρόγραμμα κινήτρων της Microsoft: «Αν χάσετε τις προθεσμίες, θα σας επιβληθεί πρόστιμο. Εάν δεν έχετε χρόνο να υποβάλετε έγκαιρα την κυκλοφορία της καινοτομίας σας, δεν θα εφαρμοστεί. Εάν δεν εφαρμοστεί, δεν θα λάβετε μετοχές της εταιρείας (ένα κομμάτι της πίτας από τα κέρδη της Microsoft).» Από το 1993, η Microsoft άρχισε να συνδέει ενεργά τα προϊόντα της με το Διαδίκτυο. Δεδομένου ότι αυτή η πρωτοβουλία λειτούργησε σύμφωνα με το ίδιο πρόγραμμα κινήτρων, η λειτουργικότητα επεκτάθηκε ταχύτερα από ό,τι η άμυνα θα μπορούσε να συμβαδίσει με αυτήν. Προς χαρά των πραγματιστών κυνηγών ευπάθειας... [7]
Ένα άλλο παράδειγμα είναι η κατάσταση με τους υπολογιστές και τους φορητούς υπολογιστές: δεν συνοδεύονται από προεγκατεστημένο πρόγραμμα προστασίας από ιούς. και επίσης δεν προβλέπουν την προεπιλογή ισχυρών κωδικών πρόσβασης. Υποτίθεται ότι ο τελικός χρήστης θα εγκαταστήσει το antivirus και θα ορίσει τις παραμέτρους διαμόρφωσης ασφαλείας. [1]
Ένα άλλο, πιο ακραίο παράδειγμα: η κατάσταση με την κυβερνοασφάλεια του εξοπλισμού λιανικής (ταμειακές μηχανές, τερματικά PoS για εμπορικά κέντρα κ.λπ.). Έτυχε οι πωλητές εμπορικού εξοπλισμού να πωλούν μόνο ό,τι πωλείται και όχι ό,τι είναι ασφαλές. [2] Εάν υπάρχει ένα πράγμα για το οποίο ενδιαφέρονται οι πωλητές εμπορικού εξοπλισμού όσον αφορά την ασφάλεια στον κυβερνοχώρο, είναι να διασφαλίσουν ότι εάν συμβεί ένα αμφιλεγόμενο περιστατικό, η ευθύνη βαρύνει άλλους. [3]
Ένα ενδεικτικό παράδειγμα αυτής της εξέλιξης των γεγονότων: η εκλαΐκευση του προτύπου EMV για τις τραπεζικές κάρτες, το οποίο, χάρη στο ικανό έργο των τραπεζικών εμπόρων, εμφανίζεται στα μάτια του κοινού που δεν είναι τεχνικά εξελιγμένο ως μια ασφαλέστερη εναλλακτική λύση έναντι των «παλαιωμένων» μαγνητικές κάρτες. Ταυτόχρονα, το κύριο κίνητρο του τραπεζικού κλάδου, ο οποίος ήταν υπεύθυνος για την ανάπτυξη του προτύπου EMV, ήταν να μεταθέσει την ευθύνη για περιστατικά απάτης (που συμβαίνουν λόγω υπαιτιότητας των καρτών) - από τα καταστήματα στους καταναλωτές. Ενώ παλαιότερα (όταν οι πληρωμές γίνονταν με μαγνητικές κάρτες), η οικονομική ευθύνη βαρύνει τα καταστήματα για ασυμφωνίες χρεωστικών/πιστωτικών. [3] Έτσι οι τράπεζες που επεξεργάζονται πληρωμές μεταθέτουν την ευθύνη είτε στους εμπόρους (που χρησιμοποιούν τα απομακρυσμένα τραπεζικά τους συστήματα) είτε σε τράπεζες που εκδίδουν κάρτες πληρωμής. Τα δύο τελευταία, με τη σειρά τους, μεταθέτουν την ευθύνη στον κάτοχο της κάρτας. [2]
Οι πωλητές εμποδίζουν την ασφάλεια στον κυβερνοχώρο
Καθώς η επιφάνεια της ψηφιακής επίθεσης επεκτείνεται αδυσώπητα - χάρη στην έκρηξη των συσκευών που είναι συνδεδεμένες στο Διαδίκτυο - η παρακολούθηση του τι είναι συνδεδεμένο στο εταιρικό δίκτυο γίνεται όλο και πιο δύσκολη. Ταυτόχρονα, οι πωλητές μεταφέρουν τις ανησυχίες για την ασφάλεια όλου του εξοπλισμού που είναι συνδεδεμένος στο Διαδίκτυο στον τελικό χρήστη [1]: «Η διάσωση των πνιγόμενων είναι έργο των ίδιων των ανθρώπων που πνίγονται».
Όχι μόνο οι πωλητές δεν ενδιαφέρονται για την κυβερνοασφάλεια των δημιουργιών τους, αλλά σε ορισμένες περιπτώσεις παρεμβαίνουν και στην παροχή της. Για παράδειγμα, όταν το 2009 ο σκουλήκι του δικτύου Conficker διέρρευσε στο ιατρικό κέντρο Beth Israel και μόλυνε μέρος του ιατρικού εξοπλισμού εκεί, ο τεχνικός διευθυντής αυτού του ιατρικού κέντρου, προκειμένου να αποτρέψει παρόμοια περιστατικά στο μέλλον, αποφάσισε να απενεργοποιήσει το λειτουργία υποστήριξης λειτουργίας στον εξοπλισμό που επηρεάζεται από το σκουλήκι με το δίκτυο. Ωστόσο, βρέθηκε αντιμέτωπος με το γεγονός ότι «ο εξοπλισμός δεν μπορούσε να ενημερωθεί λόγω κανονιστικών περιορισμών». Χρειάστηκε σημαντική προσπάθεια για να διαπραγματευτεί με τον προμηθευτή για να απενεργοποιήσει τις λειτουργίες του δικτύου. [4]
Θεμελιώδης Κυβερνοανασφάλεια του Διαδικτύου
Ο Ντέιβιντ Κλαρκ, ο θρυλικός καθηγητής του MIT του οποίου η ιδιοφυΐα του χάρισε το παρατσούκλι «Άλμπους Ντάμπλντορ», θυμάται την ημέρα που αποκαλύφθηκε στον κόσμο η σκοτεινή πλευρά του Διαδικτύου. Ο Κλαρκ προήδρευε σε ένα τηλεπικοινωνιακό συνέδριο τον Νοέμβριο του 1988 όταν κυκλοφόρησε η είδηση ότι το πρώτο σκουλήκι υπολογιστή στην ιστορία είχε γλιστρήσει στα καλώδια του δικτύου. Ο Κλαρκ θυμήθηκε αυτή τη στιγμή επειδή ο ομιλητής που ήταν παρών στο συνέδριό του (υπάλληλος μιας από τις κορυφαίες εταιρείες τηλεπικοινωνιών) θεωρήθηκε υπεύθυνος για την εξάπλωση αυτού του σκουληκιού. Αυτός ο ομιλητής, μέσα στον πυρετό της συγκίνησης, είπε άθελά του: «Ορίστε!» Φαίνεται ότι έκλεισα αυτή την ευπάθεια», πλήρωσε αυτά τα λόγια. [5]
Ωστόσο, αργότερα αποδείχθηκε ότι η ευπάθεια μέσω της οποίας εξαπλώθηκε το αναφερόμενο σκουλήκι δεν ήταν αξία κανενός μεμονωμένου ατόμου. Και αυτό, αυστηρά μιλώντας, δεν ήταν καν μια ευπάθεια, αλλά ένα θεμελιώδες χαρακτηριστικό του Διαδικτύου: οι ιδρυτές του Διαδικτύου, όταν ανέπτυξαν το πνευματικό τέκνο τους, εστίασαν αποκλειστικά στην ταχύτητα μεταφοράς δεδομένων και την ανοχή σφαλμάτων. Δεν έθεσαν στον εαυτό τους καθήκον να διασφαλίσουν την ασφάλεια στον κυβερνοχώρο. [5]
Σήμερα, δεκαετίες μετά την ίδρυση του Διαδικτύου -με εκατοντάδες δισεκατομμύρια δολάρια να έχουν ήδη δαπανηθεί σε μάταιες προσπάθειες για την ασφάλεια στον κυβερνοχώρο- το Διαδίκτυο δεν είναι λιγότερο ευάλωτο. Τα προβλήματα της κυβερνοασφάλειας επιδεινώνονται κάθε χρόνο. Ωστόσο, έχουμε το δικαίωμα να καταδικάσουμε τους ιδρυτές του Διαδικτύου για αυτό; Άλλωστε, για παράδειγμα, κανείς δεν θα καταδικάσει τους κατασκευαστές οδών ταχείας κυκλοφορίας για το γεγονός ότι τα ατυχήματα συμβαίνουν στους «δρόμους τους». και κανείς δεν θα καταδικάσει τους πολεοδόμους για το γεγονός ότι οι ληστείες συμβαίνουν στις «πόλεις τους». [5]
Πώς γεννήθηκε η υποκουλτούρα των χάκερ
Η υποκουλτούρα των χάκερ ξεκίνησε στις αρχές της δεκαετίας του 1960, στο "Railway Technical Modeling Club" (που λειτουργούσε εντός των τειχών του Ινστιτούτου Τεχνολογίας της Μασαχουσέτης). Οι λάτρεις του κλαμπ σχεδίασαν και συναρμολόγησαν ένα μοντέλο σιδηροδρόμου, τόσο τεράστιο που γέμιζε ολόκληρο το δωμάτιο. Τα μέλη της Λέσχης χωρίστηκαν αυθόρμητα σε δύο ομάδες: ειρηνοποιούς και ειδικούς συστημάτων. [6]
Το πρώτο δούλεψε με το υπέργειο τμήμα του μοντέλου, το δεύτερο - με το υπόγειο. Οι πρώτοι συνέλεξαν και διακόσμησαν μακέτες τρένων και πόλεων: μοντελοποίησαν όλο τον κόσμο σε μικρογραφία. Ο τελευταίος εργάστηκε για την τεχνική υποστήριξη για όλη αυτή την ειρήνη: μια πολυπλοκότητα από καλώδια, ρελέ και διακόπτες συντεταγμένων που βρίσκονται στο υπόγειο τμήμα του μοντέλου - όλα όσα έλεγχαν το «υπέργειο» μέρος και το τροφοδοτούσαν με ενέργεια. [6]
Όταν υπήρχε ένα κυκλοφοριακό πρόβλημα και κάποιος έβρισκε μια νέα και έξυπνη λύση για να το διορθώσει, η λύση ονομαζόταν "hack". Για τα μέλη της λέσχης, η αναζήτηση νέων χακ έχει γίνει ένα εγγενές νόημα της ζωής. Γι' αυτό άρχισαν να αυτοαποκαλούνται «χάκερ». [6]
Η πρώτη γενιά χάκερ εφάρμοσε τις δεξιότητες που απέκτησε στο Simulation Railway Club γράφοντας προγράμματα υπολογιστή σε διάτρητες κάρτες. Στη συνέχεια, όταν το ARPANET (ο προκάτοχος του Διαδικτύου) έφτασε στην πανεπιστημιούπολη το 1969, οι χάκερ έγιναν οι πιο ενεργοί και ειδικευμένοι χρήστες του. [6]
Τώρα, δεκαετίες αργότερα, το σύγχρονο Διαδίκτυο μοιάζει με αυτό το πολύ «υπόγειο» μέρος του μοντέλου σιδηροδρόμου. Επειδή οι ιδρυτές του ήταν οι ίδιοι χάκερ, μαθητές του "Railroad Simulation Club". Μόνο οι χάκερ χειρίζονται πλέον πραγματικές πόλεις αντί για προσομοιωμένες μινιατούρες. [6]
Πώς δημιουργήθηκε η δρομολόγηση BGP
Μέχρι τα τέλη της δεκαετίας του '80, ως αποτέλεσμα μιας χιονοστιβάδας αύξησης του αριθμού των συσκευών που είναι συνδεδεμένες στο Διαδίκτυο, το Διαδίκτυο πλησίασε το σκληρό μαθηματικό όριο που ήταν ενσωματωμένο σε ένα από τα βασικά πρωτόκολλα Διαδικτύου. Επομένως, οποιαδήποτε συζήτηση μεταξύ των μηχανικών εκείνης της εποχής μετατράπηκε τελικά σε συζήτηση αυτού του προβλήματος. Δύο φίλοι δεν αποτέλεσαν εξαίρεση: ο Jacob Rechter (μηχανικός από την IBM) και ο Kirk Lockheed (ιδρυτής της Cisco). Έχοντας συναντηθεί τυχαία στο τραπέζι του δείπνου, άρχισαν να συζητούν μέτρα για τη διατήρηση της λειτουργικότητας του Διαδικτύου. Οι φίλοι έγραψαν τις ιδέες που προέκυψαν σε ό,τι έρχονταν στο χέρι - μια χαρτοπετσέτα λερωμένη με κέτσαπ. Μετά το δεύτερο. Μετά το τρίτο. Το «πρωτόκολλο των τριών χαρτοπετσετών», όπως το ονόμασαν αστειευόμενοι οι εφευρέτες του —γνωστό στους επίσημους κύκλους ως BGP (Border Gateway Protocol) — έφερε σύντομα επανάσταση στο Διαδίκτυο. [8]
Για τους Rechter και Lockheed, το BGP ήταν απλώς ένα περιστασιακό hack, που αναπτύχθηκε στο πνεύμα του προαναφερθέντος Model Railroad Club, μια προσωρινή λύση που σύντομα θα αντικατασταθεί. Οι φίλοι ανέπτυξαν το BGP το 1989. Σήμερα, ωστόσο, 30 χρόνια αργότερα, η πλειονότητα της κίνησης στο Διαδίκτυο εξακολουθεί να δρομολογείται χρησιμοποιώντας το «πρωτόκολλο των τριών χαρτοπετσετών» – παρά τις ολοένα και πιο ανησυχητικές κλήσεις για κρίσιμα προβλήματα με την κυβερνοασφάλειά του. Το προσωρινό hack έγινε ένα από τα βασικά πρωτόκολλα Διαδικτύου και οι προγραμματιστές του έμαθαν από τη δική τους εμπειρία ότι «δεν υπάρχει τίποτα πιο μόνιμο από τις προσωρινές λύσεις». [8]
Τα δίκτυα σε όλο τον κόσμο έχουν αλλάξει σε BGP. Πωλητές με επιρροή, πλούσιοι πελάτες και εταιρείες τηλεπικοινωνιών γρήγορα ερωτεύτηκαν το BGP και το συνήθισαν. Επομένως, ακόμη και παρά τους ολοένα και περισσότερους κώδωνες κινδύνου για την ανασφάλεια αυτού του πρωτοκόλλου, το κοινό της πληροφορικής εξακολουθεί να μην δείχνει ενθουσιασμό για τη μετάβαση σε νέο, πιο ασφαλή εξοπλισμό. [8]
Δρομολόγηση BGP με ανασφάλεια στον κυβερνοχώρο
Γιατί η δρομολόγηση BGP είναι τόσο καλή και γιατί η κοινότητα πληροφορικής δεν βιάζεται να την εγκαταλείψει; Το BGP βοηθά τους δρομολογητές να λαμβάνουν αποφάσεις σχετικά με το πού θα δρομολογήσουν τις τεράστιες ροές δεδομένων που αποστέλλονται σε ένα τεράστιο δίκτυο διασταυρούμενων γραμμών επικοινωνίας. Το BGP βοηθά τους δρομολογητές να επιλέξουν τις κατάλληλες διαδρομές, παρόλο που το δίκτυο αλλάζει συνεχώς και οι δημοφιλείς διαδρομές συχνά αντιμετωπίζουν κυκλοφοριακή συμφόρηση. Το πρόβλημα είναι ότι το Διαδίκτυο δεν έχει παγκόσμιο χάρτη δρομολόγησης. Οι δρομολογητές που χρησιμοποιούν BGP λαμβάνουν αποφάσεις σχετικά με την επιλογή ενός ή άλλου μονοπατιού με βάση πληροφορίες που λαμβάνονται από γείτονες στον κυβερνοχώρο, οι οποίοι με τη σειρά τους συλλέγουν πληροφορίες από τους γείτονές τους κ.λπ. Ωστόσο, αυτές οι πληροφορίες μπορούν εύκολα να παραποιηθούν, πράγμα που σημαίνει ότι η δρομολόγηση BGP είναι εξαιρετικά ευάλωτη σε επιθέσεις MiTM. [8]
Ως εκ τούτου, τακτικά προκύπτουν ερωτήματα όπως τα ακόλουθα: "Γιατί η κυκλοφορία μεταξύ δύο υπολογιστών στο Ντένβερ έκανε μια γιγάντια παράκαμψη μέσω της Ισλανδίας;", "Γιατί τα ταξινομημένα δεδομένα του Πενταγώνου μεταφέρθηκαν κάποτε κατά τη μεταφορά μέσω του Πεκίνου;" Υπάρχουν τεχνικές απαντήσεις σε ερωτήσεις όπως αυτές, αλλά όλες καταλήγουν στο γεγονός ότι το BGP λειτουργεί με βάση την εμπιστοσύνη: εμπιστοσύνη στις συστάσεις που λαμβάνονται από γειτονικούς δρομολογητές. Χάρη στην αξιόπιστη φύση του πρωτοκόλλου BGP, οι μυστηριώδεις κυβερνήτες κυκλοφορίας μπορούν να παρασύρουν τις ροές δεδομένων άλλων ανθρώπων στον τομέα τους, εάν το επιθυμούν. [8]
Ένα ζωντανό παράδειγμα είναι η επίθεση BGP της Κίνας στο αμερικανικό Πεντάγωνο. Τον Απρίλιο του 2010, ο κρατικός γίγαντας τηλεπικοινωνιών China Telecom έστειλε δεκάδες χιλιάδες δρομολογητές σε όλο τον κόσμο, συμπεριλαμβανομένων 16 στις Ηνωμένες Πολιτείες, ένα μήνυμα BGP που τους έλεγε ότι είχαν καλύτερες διαδρομές. Χωρίς ένα σύστημα που θα μπορούσε να επαληθεύσει την εγκυρότητα ενός μηνύματος BGP από την China Telecom, οι δρομολογητές σε όλο τον κόσμο άρχισαν να στέλνουν δεδομένα κατά τη μεταφορά μέσω του Πεκίνου. Συμπεριλαμβανομένης της κίνησης από το Πεντάγωνο και άλλες τοποθεσίες του Υπουργείου Άμυνας των ΗΠΑ. Η ευκολία με την οποία αναδρομολογήθηκε η κυκλοφορία και η έλλειψη αποτελεσματικής προστασίας έναντι αυτού του τύπου επιθέσεων είναι ένα άλλο σημάδι της ανασφάλειας της δρομολόγησης BGP. [8]
Το πρωτόκολλο BGP είναι θεωρητικά ευάλωτο σε μια ακόμη πιο επικίνδυνη επίθεση στον κυβερνοχώρο. Σε περίπτωση που οι διεθνείς συγκρούσεις κλιμακωθούν σε πλήρη ισχύ στον κυβερνοχώρο, η China Telecom ή κάποιος άλλος τηλεπικοινωνιακός κολοσσός, θα μπορούσε να προσπαθήσει να διεκδικήσει την ιδιοκτησία τμημάτων του Διαδικτύου που στην πραγματικότητα δεν ανήκουν σε αυτήν. Μια τέτοια κίνηση θα προκαλούσε σύγχυση στους δρομολογητές, οι οποίοι θα έπρεπε να αναπηδήσουν μεταξύ ανταγωνιστικών προσφορών για τα ίδια μπλοκ διευθύνσεων Διαδικτύου. Χωρίς τη δυνατότητα διάκρισης μιας νόμιμης εφαρμογής από μια ψεύτικη, οι δρομολογητές θα άρχιζαν να ενεργούν ακανόνιστα. Ως αποτέλεσμα, θα βρισκόμασταν αντιμέτωποι με το διαδικτυακό ισοδύναμο του πυρηνικού πολέμου - μια ανοιχτή, μεγάλης κλίμακας επίδειξη εχθρότητας. Μια τέτοια εξέλιξη σε περιόδους σχετικής ειρήνης φαίνεται μη ρεαλιστική, αλλά τεχνικά είναι αρκετά εφικτή. [8]
Μια μάταιη προσπάθεια μετάβασης από το BGP στο BGPSEC
Η ασφάλεια στον κυβερνοχώρο δεν λήφθηκε υπόψη όταν αναπτύχθηκε το BGP, επειδή εκείνη την εποχή τα hacks ήταν σπάνια και η ζημιά από αυτά ήταν αμελητέα. Οι προγραμματιστές του BGP, επειδή εργάζονταν για εταιρείες τηλεπικοινωνιών και ενδιαφέρονταν να πουλήσουν τον εξοπλισμό δικτύου τους, είχαν ένα πιο πιεστικό έργο: να αποφύγουν τις αυθόρμητες βλάβες του Διαδικτύου. Επειδή οι διακοπές στο Διαδίκτυο θα μπορούσαν να αποξενώσουν τους χρήστες και, ως εκ τούτου, να μειώσουν τις πωλήσεις εξοπλισμού δικτύου. [8]
Μετά το περιστατικό με τη μετάδοση της αμερικανικής στρατιωτικής κίνησης μέσω του Πεκίνου τον Απρίλιο του 2010, ο ρυθμός εργασίας για τη διασφάλιση της κυβερνοασφάλειας της δρομολόγησης BGP σίγουρα επιταχύνθηκε. Ωστόσο, οι πωλητές τηλεπικοινωνιών έχουν δείξει ελάχιστο ενθουσιασμό για την ανάληψη του κόστους που σχετίζεται με τη μετάβαση στο νέο πρωτόκολλο ασφαλούς δρομολόγησης BGPSEC, που προτείνεται ως αντικατάσταση του μη ασφαλούς BGP. Οι πωλητές εξακολουθούν να θεωρούν το BGP αρκετά αποδεκτό, ακόμη και παρά τα αμέτρητα περιστατικά υποκλοπής κυκλοφορίας. [8]
Η Radia Perlman, που ονομάστηκε «Μητέρα του Διαδικτύου» επειδή επινόησε ένα άλλο σημαντικό πρωτόκολλο δικτύου το 1988 (ένα χρόνο πριν από το BGP), κέρδισε προφητικό διδακτορικό στο MIT. Ο Perlman προέβλεψε ότι ένα πρωτόκολλο δρομολόγησης που εξαρτάται από την ειλικρίνεια των γειτόνων στον κυβερνοχώρο είναι θεμελιωδώς ανασφαλές. Ο Perlman υποστήριξε τη χρήση κρυπτογραφίας, η οποία θα βοηθούσε στον περιορισμό της πιθανότητας πλαστογραφίας. Ωστόσο, η εφαρμογή του BGP βρισκόταν ήδη σε πλήρη εξέλιξη, η επιρροή κοινότητα πληροφορικής ήταν συνηθισμένη σε αυτό και δεν ήθελε να αλλάξει τίποτα. Επομένως, μετά από αιτιολογημένες προειδοποιήσεις από τους Perlman, Clark και ορισμένους άλλους εξέχοντες παγκόσμιους ειδικούς, το σχετικό μερίδιο της κρυπτογραφικά ασφαλούς δρομολόγησης BGP δεν έχει αυξηθεί καθόλου και εξακολουθεί να είναι 0%. [8]
Η δρομολόγηση BGP δεν είναι το μόνο hack
Και η δρομολόγηση BGP δεν είναι το μόνο hack που επιβεβαιώνει την ιδέα ότι «τίποτα δεν είναι πιο μόνιμο από τις προσωρινές λύσεις». Μερικές φορές το Διαδίκτυο, που μας βυθίζει σε κόσμους φαντασίας, φαίνεται τόσο κομψό όσο ένα αγωνιστικό αυτοκίνητο. Ωστόσο, στην πραγματικότητα, λόγω των hacks που έχουν συσσωρευτεί το ένα πάνω στο άλλο, το Διαδίκτυο μοιάζει περισσότερο με τον Frankenstein παρά με τη Ferrari. Επειδή αυτά τα hacks (πιο επίσημα ονομάζονται patches) δεν αντικαθίστανται ποτέ από αξιόπιστη τεχνολογία. Οι συνέπειες αυτής της προσέγγισης είναι τρομερές: καθημερινά και ωριαία, οι κυβερνοεγκληματίες παραβιάζουν ευάλωτα συστήματα, επεκτείνοντας το εύρος του εγκλήματος στον κυβερνοχώρο σε ασύλληπτες διαστάσεις. [8]
Πολλά από τα ελαττώματα που εκμεταλλεύονται οι εγκληματίες του κυβερνοχώρου είναι γνωστά εδώ και πολύ καιρό και έχουν διατηρηθεί αποκλειστικά λόγω της τάσης της κοινότητας της πληροφορικής να επιλύει αναδυόμενα προβλήματα - με προσωρινές εισβολές/μπαλώματα. Μερικές φορές, εξαιτίας αυτού, οι ξεπερασμένες τεχνολογίες συσσωρεύονται η μία πάνω στην άλλη για μεγάλο χρονικό διάστημα, δυσκολεύοντας τη ζωή των ανθρώπων και θέτοντάς τους σε κίνδυνο. Τι θα σκεφτόσασταν αν μάθατε ότι η τράπεζά σας χτίζει το θησαυροφυλάκιό της σε ένα θεμέλιο από άχυρο και λάσπη; Θα του εμπιστευόσασταν να κρατήσει τις οικονομίες σας; [8]
Η ανέμελη στάση του Linus Torvalds
Χρειάστηκαν χρόνια πριν το Διαδίκτυο φτάσει στους πρώτους εκατό υπολογιστές του. Σήμερα, 100 νέοι υπολογιστές και άλλες συσκευές συνδέονται σε αυτό κάθε δευτερόλεπτο. Καθώς οι συσκευές που είναι συνδεδεμένες στο Διαδίκτυο εκρήγνυνται, το ίδιο συμβαίνει και με τον επείγοντα χαρακτήρα των θεμάτων κυβερνοασφάλειας. Ωστόσο, το άτομο που θα μπορούσε να έχει τον μεγαλύτερο αντίκτυπο στην επίλυση αυτών των προβλημάτων είναι εκείνο που αντιμετωπίζει την ασφάλεια στον κυβερνοχώρο με περιφρόνηση. Αυτός ο άνθρωπος αποκαλείται ιδιοφυΐα, νταής, πνευματικός ηγέτης και καλοπροαίρετος δικτάτορας. Linus Torvalds. Η συντριπτική πλειοψηφία των συσκευών που είναι συνδεδεμένες στο Διαδίκτυο τρέχουν το λειτουργικό της σύστημα, το Linux. Γρήγορο, ευέλικτο, δωρεάν - το Linux γίνεται όλο και πιο δημοφιλές με την πάροδο του χρόνου. Ταυτόχρονα, συμπεριφέρεται πολύ σταθερά. Και μπορεί να λειτουργήσει χωρίς επανεκκίνηση για πολλά χρόνια. Αυτός είναι ο λόγος που το Linux έχει την τιμή να είναι το κυρίαρχο λειτουργικό σύστημα. Σχεδόν όλος ο ηλεκτρονικός εξοπλισμός που διαθέτουμε σήμερα τρέχει Linux: διακομιστές, ιατρικός εξοπλισμός, υπολογιστές πτήσης, μικροσκοπικά drones, στρατιωτικά αεροσκάφη και πολλά άλλα. [9]
Το Linux πετυχαίνει σε μεγάλο βαθμό επειδή ο Torvalds δίνει έμφαση στην απόδοση και την ανοχή σφαλμάτων. Ωστόσο, δίνει αυτή την έμφαση σε βάρος της κυβερνοασφάλειας. Ακόμη και όταν ο κυβερνοχώρος και ο πραγματικός φυσικός κόσμος διαπλέκονται και η κυβερνοασφάλεια γίνεται παγκόσμιο ζήτημα, ο Torvalds συνεχίζει να αντιστέκεται στην εισαγωγή ασφαλών καινοτομιών στο λειτουργικό του σύστημα. [9]
Ως εκ τούτου, ακόμη και μεταξύ πολλών οπαδών Linux, υπάρχει αυξανόμενη ανησυχία για τα τρωτά σημεία αυτού του λειτουργικού συστήματος. Συγκεκριμένα, το πιο οικείο μέρος του Linux, ο πυρήνας του, στον οποίο ο Torvalds δουλεύει προσωπικά. Οι λάτρεις του Linux βλέπουν ότι ο Torvalds δεν παίρνει στα σοβαρά τα ζητήματα της κυβερνοασφάλειας. Επιπλέον, ο Torvalds έχει περικυκλωθεί από προγραμματιστές που μοιράζονται αυτήν την ανέμελη στάση. Αν κάποιος από τον στενό κύκλο του Torvalds αρχίσει να μιλάει για την εισαγωγή ασφαλών καινοτομιών, αναθεματίζεται αμέσως. Ο Torvalds απέρριψε μια ομάδα τέτοιων καινοτόμων, αποκαλώντας τους «πιθήκους που αυνανίζονται». Καθώς ο Torvalds αποχαιρετούσε μια άλλη ομάδα προγραμματιστών που είχαν επίγνωση της ασφάλειας, τους είπε: «Θα ήσουν τόσο ευγενικός ώστε να αυτοκτονήσεις. Ο κόσμος θα ήταν ένα καλύτερο μέρος εξαιτίας αυτού». Όποτε επρόκειτο για την προσθήκη χαρακτηριστικών ασφαλείας, ο Torvalds ήταν πάντα αντίθετος. [9] Ο Torvalds έχει ακόμη και μια ολόκληρη φιλοσοφία από αυτή την άποψη, η οποία δεν είναι χωρίς κόκκο κοινής λογικής:
«Η απόλυτη ασφάλεια είναι ανέφικτη. Επομένως, θα πρέπει πάντα να λαμβάνεται υπόψη μόνο σε σχέση με άλλες προτεραιότητες: ταχύτητα, ευελιξία και ευκολία χρήσης. Οι άνθρωποι που αφοσιώνονται ολοκληρωτικά στην παροχή προστασίας είναι τρελοί. Η σκέψη τους είναι περιορισμένη, ασπρόμαυρη. Η ασφάλεια από μόνη της είναι άχρηστη. Η ουσία βρίσκεται πάντα κάπου αλλού. Επομένως, δεν μπορείτε να εξασφαλίσετε απόλυτη ασφάλεια, ακόμα κι αν το θέλετε πραγματικά. Φυσικά, υπάρχουν άνθρωποι που δίνουν μεγαλύτερη σημασία στην ασφάλεια από τους Torvalds. Ωστόσο, αυτοί οι τύποι απλώς εργάζονται πάνω σε αυτό που τους ενδιαφέρει και παρέχουν ασφάλεια εντός του στενού σχετικού πλαισίου που οριοθετεί αυτά τα ενδιαφέροντα. ΟΧΙ πια. Επομένως, σε καμία περίπτωση δεν συμβάλλουν στην αύξηση της απόλυτης ασφάλειας». [9]
Sidebar: Το OpenSource είναι σαν πυριτιδαποθήκη [10]
Ο κώδικας OpenSource έχει εξοικονομήσει δισεκατομμύρια σε κόστος ανάπτυξης λογισμικού, εξαλείφοντας την ανάγκη για διπλές προσπάθειες: με το OpenSource, οι προγραμματιστές έχουν την ευκαιρία να χρησιμοποιήσουν τις τρέχουσες καινοτομίες χωρίς περιορισμούς ή πληρωμή. Το OpenSource χρησιμοποιείται παντού. Ακόμα κι αν προσλάβατε έναν προγραμματιστή λογισμικού για να λύσει το εξειδικευμένο σας πρόβλημα από την αρχή, αυτός ο προγραμματιστής πιθανότατα θα χρησιμοποιήσει κάποιο είδος βιβλιοθήκης OpenSource. Και μάλλον περισσότερα από ένα. Έτσι, τα στοιχεία OpenSource υπάρχουν σχεδόν παντού. Ταυτόχρονα, πρέπει να γίνει κατανοητό ότι κανένα λογισμικό δεν είναι στατικό· ο κώδικάς του αλλάζει συνεχώς. Επομένως, η αρχή "ρυθμίστε το και ξεχάστε το" δεν λειτουργεί ποτέ για τον κώδικα. Συμπεριλαμβανομένου του κώδικα OpenSource: αργά ή γρήγορα θα απαιτηθεί μια ενημερωμένη έκδοση.
Το 2016, είδαμε τις συνέπειες αυτής της κατάστασης: ένας 28χρονος προγραμματιστής «έσπασε» για λίγο το Διαδίκτυο διαγράφοντας τον κώδικα OpenSource του, τον οποίο είχε προηγουμένως δημοσιοποιήσει. Αυτή η ιστορία επισημαίνει ότι η κυβερνουποδομή μας είναι πολύ εύθραυστη. Μερικοί άνθρωποι - που υποστηρίζουν έργα OpenSource - είναι τόσο σημαντικοί για τη διατήρησή του που αν, Θεός φυλάξοι, χτυπηθούν από λεωφορείο, το Διαδίκτυο θα σπάσει.
Ο δύσκολος στη διατήρηση κώδικας είναι εκεί που ελλοχεύουν οι πιο σοβαρές ευπάθειες στον κυβερνοχώρο. Ορισμένες εταιρείες δεν συνειδητοποιούν καν πόσο ευάλωτες είναι λόγω του δύσκολου στη διατήρηση κώδικα. Τα τρωτά σημεία που σχετίζονται με έναν τέτοιο κώδικα μπορούν να ωριμάσουν σε πραγματικό πρόβλημα πολύ αργά: τα συστήματα αργά σαπίζουν, χωρίς να παρουσιάζουν ορατές αστοχίες στη διαδικασία σήψης. Και όταν αποτυγχάνουν, οι συνέπειες είναι μοιραίες.
Τέλος, δεδομένου ότι τα έργα OpenSource αναπτύσσονται συνήθως από μια κοινότητα ενθουσιωδών, όπως ο Linus Torvalds ή όπως οι χάκερ από το Model Railroad Club που αναφέρθηκαν στην αρχή του άρθρου, τα προβλήματα με τον δύσκολο στη συντήρηση κώδικα δεν μπορούν να λυθούν με παραδοσιακούς τρόπους (χρησιμοποιώντας εμπορικούς και κρατικούς μοχλούς). Επειδή τα μέλη τέτοιων κοινοτήτων είναι ηθελημένα και εκτιμούν την ανεξαρτησία τους πάνω από όλα.
Sidebar: Ίσως οι υπηρεσίες πληροφοριών και οι προγραμματιστές προστασίας από ιούς να μας προστατέψουν;
Το 2013, έγινε γνωστό ότι η Kaspersky Lab διέθετε μια ειδική μονάδα που διεξήγαγε προσαρμοσμένες έρευνες για περιστατικά ασφάλειας πληροφοριών. Μέχρι πρόσφατα, αυτό το τμήμα διευθυνόταν από έναν πρώην ταγματάρχη της αστυνομίας, τον Ruslan Stoyanov, ο οποίος εργαζόταν στο παρελθόν στο τμήμα "K" της πρωτεύουσας (USTM της Κύριας Διεύθυνσης Εσωτερικών Υποθέσεων της Μόσχας). Όλοι οι υπάλληλοι αυτής της ειδικής μονάδας της Kaspersky Lab προέρχονται από υπηρεσίες επιβολής του νόμου, συμπεριλαμβανομένης της Ερευνητικής Επιτροπής και της Διεύθυνσης «K». [έντεκα]
Στα τέλη του 2016, η FSB συνέλαβε τον Ruslan Stoyanov και τον κατηγόρησε για προδοσία. Στην ίδια υπόθεση συνελήφθη ο Σεργκέι Μιχαήλοφ, υψηλόβαθμος εκπρόσωπος του FSB CIB (κέντρο ασφάλειας πληροφοριών), στον οποίο πριν από τη σύλληψη ήταν δεμένη ολόκληρη η κυβερνοασφάλεια της χώρας. [έντεκα]
Πλαϊνή γραμμή: Επιβάλλεται η κυβερνοασφάλεια
Σύντομα οι Ρώσοι επιχειρηματίες θα αναγκαστούν να δώσουν σοβαρή προσοχή στην ασφάλεια στον κυβερνοχώρο. Τον Ιανουάριο του 2017, ο Nikolai Murashov, εκπρόσωπος του Κέντρου Προστασίας Πληροφοριών και Ειδικών Επικοινωνιών, δήλωσε ότι στη Ρωσία, μόνο τα αντικείμενα CII (κρίσιμης σημασίας υποδομή πληροφοριών) δέχθηκαν επίθεση περισσότερες από 2016 εκατομμύρια φορές το 70. Τα αντικείμενα CII περιλαμβάνουν συστήματα πληροφοριών κυβερνητικών υπηρεσιών, επιχειρήσεις αμυντικής βιομηχανίας, τομείς μεταφορών, πιστώσεων και χρηματοοικονομικών, ενέργειας, καυσίμων και πυρηνικών βιομηχανιών. Για να τους προστατεύσει, στις 26 Ιουλίου, ο Ρώσος πρόεδρος Βλαντιμίρ Πούτιν υπέγραψε ένα πακέτο νόμων «Για την ασφάλεια του CII». Έως την 1η Ιανουαρίου 2018, όταν τεθεί σε ισχύ ο νόμος, οι ιδιοκτήτες των εγκαταστάσεων CII πρέπει να εφαρμόσουν μια σειρά μέτρων για την προστασία της υποδομής τους από επιθέσεις χάκερ, ιδίως να συνδεθούν με το State Sopka. [12]
Βιβλιογραφία
- Τζόναθαν Μίλετ. // 2017.
- Ρος Άντερσον. Πώς αποτυγχάνουν τα συστήματα πληρωμών με έξυπνες κάρτες // Black Hat. 2014.
- SJ Murdoch. Το Chip and PIN είναι κατεστραμμένο // Proceedings of the IEEE Symposium on Security and Privacy. 2010. σελ. 433-446.
- Ντέιβιντ Τάλμποτ. // MIT Technology Review (Ψηφιακή). 2012.
- Κρεγκ Τίμπεργκ. // Η Washington Post. 2015.
- Μάικλ Λίστα. // Toronto Life. 2018.
- Κρεγκ Τίμπεργκ. // Η Washington Post. 2015.
- Κρεγκ Τίμπεργκ. // Η Washington Post. 2015.
- Κρεγκ Τίμπεργκ. // Η Washington Post. 2015.
- Τζόσουα Γκανς. // Harvard Business Review (Ψηφιακή). 2017.
- // CNews. 2017. URL.
- Μαρία Κομοτσένκο. // RBC. 2017.
Πηγή: www.habr.com