وقتی "کلاه سیاه" - که نظم دهنده جنگل وحشی فضای مجازی است - در کار کثیف خود به ویژه موفق می شود، رسانه های زرد با خوشحالی جیغ می کشند. در نتیجه، جهان شروع به نگاه جدی تری به امنیت سایبری کرده است. اما متاسفانه بلافاصله نه. بنابراین، علیرغم افزایش تعداد حوادث سایبری فاجعه بار، جهان هنوز برای اقدامات پیشگیرانه فعال آماده نشده است. با این حال، انتظار می رود که در آینده نزدیک، به لطف "کلاه سیاه"، جهان شروع به جدی گرفتن امنیت سایبری کند. [7]

درست به اندازه آتش سوزی... شهرها زمانی در برابر آتش سوزی های فاجعه بار بسیار آسیب پذیر بودند. با این حال، با وجود خطر بالقوه، اقدامات حفاظتی پیشگیرانه انجام نشد - حتی پس از آتش سوزی عظیم در شیکاگو در سال 1871، که صدها نفر را گرفت و صدها هزار نفر را آواره کرد. اقدامات حفاظتی پیشگیرانه تنها پس از وقوع فاجعه مشابه، سه سال بعد، انجام شد. در مورد امنیت سایبری هم همینطور است - جهان این مشکل را حل نخواهد کرد مگر اینکه حوادث فاجعه باری رخ دهد. اما حتی اگر چنین حوادثی رخ دهد، جهان بلافاصله این مشکل را حل نخواهد کرد. [7] بنابراین، حتی این ضرب المثل: «تا ایراد رخ ندهد، مرد وصله نمی‌شود»، کاملاً جواب نمی‌دهد. به همین دلیل است که در سال 2018 ما 30 سال ناامنی گسترده را جشن گرفتیم.

فریاد لیریک

شروع این مقاله که در ابتدا برای مجله System Administrator نوشتم، به یک معنا نبوی بود. شماره یک مجله با این مقاله خارج به معنای واقعی کلمه روز به روز با آتش سوزی غم انگیز در مرکز خرید Kemerovo "Winter Cherry" (2018، 20 مارس).

نصب اینترنت در 30 دقیقه

در سال 1988، کهکشان هکر افسانه‌ای L0pht، با تمام قوا قبل از نشست با نفوذترین مقامات غربی، اعلام کرد: «تجهیزات رایانه‌ای شما در برابر حملات سایبری از طریق اینترنت آسیب‌پذیر هستند. و نرم افزار و سخت افزار و مخابرات. فروشندگان آنها اصلاً نگران این وضعیت نیستند. زیرا قوانین مدرن هیچ گونه مسئولیتی در قبال رویکرد سهل انگارانه برای اطمینان از امنیت سایبری نرم افزار و سخت افزار تولیدی پیش بینی نمی کند. مسئولیت خرابی های احتمالی (خواه خود به خود یا ناشی از مداخله مجرمان سایبری) صرفاً بر عهده استفاده کننده از تجهیزات است. در مورد دولت فدرال، نه مهارت دارد و نه تمایلی برای حل این مشکل. بنابراین، اگر به دنبال امنیت سایبری هستید، اینترنت مکانی برای یافتن آن نیست. هر یک از هفت نفری که در مقابل شما نشسته اند، می توانند اینترنت را کاملاً قطع کنند و بر این اساس، کنترل کامل تجهیزات متصل به آن را در دست بگیرند. توسط خود. 30 دقیقه ضربات کلید طراحی شده و تمام شد.» [7]

مسئولان با تکان دادن سر معنی دار، مشخص کردند که جدی بودن وضعیت را درک کرده اند، اما کاری انجام نداده اند. امروز، دقیقاً 30 سال پس از اجرای افسانه ای L0pht، جهان همچنان گرفتار «ناامنی بی حد و حصر» است. هک کردن تجهیزات کامپیوتری و متصل به اینترنت به قدری آسان است که اینترنت، در ابتدا پادشاهی دانشمندان و علاقه مندان آرمانگرا، به تدریج توسط عملگراترین افراد حرفه ای اشغال شده است: کلاهبرداران، کلاهبرداران، جاسوسان، تروریست ها. همه آنها از آسیب پذیری تجهیزات رایانه ای برای منافع مالی یا سایر منافع سوء استفاده می کنند. [7]

فروشندگان از امنیت سایبری غفلت می کنند

البته گاهی اوقات فروشندگان سعی می کنند برخی از آسیب پذیری های شناسایی شده را برطرف کنند، اما با اکراه این کار را انجام می دهند. زیرا سود آنها نه از محافظت در برابر هکرها، بلکه از عملکرد جدیدی که در اختیار مصرف کنندگان قرار می دهند به دست می آید. فروشندگان که صرفاً بر سود کوتاه مدت متمرکز هستند، پول را فقط برای حل مشکلات واقعی سرمایه گذاری می کنند، نه مشکلات فرضی. امنیت سایبری، از نظر بسیاری از آنها، امری فرضی است. [7]

امنیت سایبری یک چیز نامرئی و نامحسوس است. تنها زمانی ملموس می شود که مشکلاتی با آن پیش بیاید. اگر آنها به خوبی از آن مراقبت کردند (هزینه زیادی برای تهیه آن صرف کردند)، و هیچ مشکلی برای آن وجود نداشت، مصرف کننده نهایی نمی خواهد برای آن هزینه اضافی بپردازد. علاوه بر این، اجرای اقدامات حفاظتی علاوه بر افزایش هزینه‌های مالی، مستلزم زمان توسعه بیشتر، محدود کردن قابلیت‌های تجهیزات و کاهش بهره‌وری آن است. [8]

متقاعد کردن حتی بازاریابان خودمان در مورد امکان سنجی هزینه های ذکر شده دشوار است، چه رسد به مصرف کنندگان نهایی. و از آنجایی که فروشندگان مدرن فقط به سود فروش کوتاه مدت علاقه دارند، به هیچ وجه تمایلی به قبول مسئولیت تضمین امنیت سایبری محصولات خود ندارند. [1] از سوی دیگر، فروشندگان دقیق‌تری که از امنیت سایبری تجهیزات خود مراقبت کرده‌اند، با این واقعیت مواجه می‌شوند که مصرف‌کنندگان شرکتی جایگزین‌های ارزان‌تر و با استفاده آسان‌تر را ترجیح می‌دهند. که بدیهی است که مصرف کنندگان شرکتی نیز چندان به امنیت سایبری اهمیت نمی دهند. [8]

با توجه به موارد فوق، تعجب آور نیست که فروشندگان تمایل دارند امنیت سایبری را نادیده بگیرند و به فلسفه زیر پایبند باشند: «به ساختن ادامه دهید، به فروش ادامه دهید و در صورت لزوم اصلاح کنید. آیا سیستم از کار افتاده است؟ اطلاعات از دست رفته؟ پایگاه داده با شماره کارت اعتباری به سرقت رفته است؟ آیا آسیب پذیری های کشنده ای در تجهیزات شما شناسایی شده است؟ مشکلی نیست!" مصرف کنندگان نیز به نوبه خود باید از این اصل پیروی کنند: «وصله کن و دعا کن». [7]

چگونه این اتفاق می افتد: نمونه هایی از طبیعت

نمونه بارز نادیده گرفتن امنیت سایبری در طول توسعه، برنامه تشویقی شرکتی مایکروسافت است: «اگر ضرب الاجل را از دست بدهید، جریمه خواهید شد. اگر وقت ندارید نسخه نوآوری خود را به موقع ارسال کنید، اجرا نمی شود. اگر اجرا نشود، سهام شرکت (تکه ای از سود مایکروسافت) را دریافت نخواهید کرد.» از سال 1993، مایکروسافت شروع به پیوند فعال محصولات خود به اینترنت کرد. از آنجایی که این ابتکار در راستای همان برنامه انگیزشی عمل می‌کرد، عملکرد سریع‌تر از آن‌چه دفاع می‌توانست با آن همراه شود گسترش یافت. برای خوشحالی شکارچیان آسیب پذیری عملگرا... [7]

مثال دیگر وضعیت رایانه ها و لپ تاپ ها است: آنها با یک آنتی ویروس از پیش نصب شده عرضه نمی شوند. و همچنین رمزهای عبور قوی از پیش تعیین شده را ارائه نمی کنند. فرض بر این است که کاربر نهایی آنتی ویروس را نصب کرده و پارامترهای پیکربندی امنیتی را تنظیم می کند. [1]

مثال دیگر، شدیدتر: وضعیت امنیت سایبری تجهیزات خرده فروشی (صندوق های نقدی، پایانه های PoS برای مراکز خرید و غیره). این اتفاق افتاد که فروشندگان تجهیزات تجاری فقط آنچه را که فروخته می شود می فروشند و نه چیزهای ایمن را. [2] اگر یک چیز وجود دارد که فروشندگان تجهیزات تجاری از نظر امنیت سایبری به آن اهمیت می‌دهند، آن اطمینان از این است که اگر یک حادثه بحث برانگیز رخ دهد، مسئولیت آن بر عهده دیگران است. [3]

نمونه ای شاخص از این پیشرفت رویدادها: رایج شدن استاندارد EMV برای کارت های بانکی، که به لطف کار شایسته بازاریابان بانکی، در چشمان مردمی که از نظر فنی پیچیده نیستند به عنوان جایگزین ایمن تر برای "منسوخ" ظاهر می شود. کارت های مغناطیسی در همان زمان، انگیزه اصلی صنعت بانکداری که مسئولیت توسعه استاندارد EMV را بر عهده داشت، انتقال مسئولیت حوادث تقلبی (که به دلیل تقصیر کارتداران رخ می دهد) - از فروشگاه ها به مصرف کنندگان بود. در حالی که قبلا (زمانی که پرداخت ها با کارت های مغناطیسی انجام می شد)، مسئولیت مالی برای مغایرت در بدهی / اعتبار به عهده فروشگاه ها بود. [3] بنابراین بانک‌هایی که پرداخت‌ها را پردازش می‌کنند، مسئولیت را یا به بازرگانان (که از سیستم‌های بانکی از راه دور خود استفاده می‌کنند) یا به بانک‌هایی که کارت‌های پرداخت صادر می‌کنند، منتقل می‌کنند. دو مورد آخر به نوبه خود مسئولیت را به دارنده کارت منتقل می کنند. [2]

فروشندگان مانع امنیت سایبری می شوند

همانطور که سطح حمله دیجیتال به طور غیرقابل اجتنابی گسترش می یابد - به لطف انفجار دستگاه های متصل به اینترنت - ردیابی آنچه که به شبکه شرکتی متصل است به طور فزاینده ای دشوار می شود. در همان زمان، فروشندگان نگرانی در مورد ایمنی همه تجهیزات متصل به اینترنت را به کاربر نهایی منتقل می‌کنند [1]: «نجات غرق‌شدگان کار خود غرق‌شدگان است».

فروشندگان نه تنها به امنیت سایبری ساخته های خود اهمیت نمی دهند، بلکه در برخی موارد در ارائه آن نیز دخالت می کنند. به عنوان مثال، زمانی که در سال 2009 کرم شبکه Conficker به مرکز پزشکی بث اسرائیل نشت کرد و بخشی از تجهیزات پزشکی آنجا را آلوده کرد، مدیر فنی این مرکز پزشکی برای جلوگیری از وقوع حوادث مشابه در آینده، تصمیم به غیرفعال کردن آن گرفت. عملکرد پشتیبانی عملیات در تجهیزات تحت تأثیر کرم با شبکه. با این حال، او با این واقعیت مواجه شد که "تجهیزات به دلیل محدودیت های نظارتی نمی توانند به روز شوند." تلاش زیادی برای مذاکره با فروشنده برای غیرفعال کردن عملکردهای شبکه انجام شد. [4]

ناامنی سایبری اساسی اینترنت

دیوید کلارک، استاد افسانه‌ای MIT که نبوغ او را به نام «آلبوس دامبلدور» لقب داد، روزی را به یاد می‌آورد که بخش تاریک اینترنت برای جهان آشکار شد. کلارک در نوامبر 1988 ریاست یک کنفرانس مخابراتی را بر عهده داشت که اخباری مبنی بر اینکه اولین کرم کامپیوتری در تاریخ از طریق سیم های شبکه سر خورده بود منتشر شد. کلارک این لحظه را به خاطر آورد زیرا سخنران حاضر در کنفرانس او ​​(کارمند یکی از شرکت های پیشرو مخابراتی) مسئول انتشار این کرم بود. این سخنران در تب و تاب، ناخواسته گفت: «بفرما!» به نظر می‌رسد این آسیب‌پذیری را بسته‌ام» او بهای این سخنان را پرداخت. [5]

با این حال، بعداً مشخص شد که آسیب‌پذیری که از طریق آن کرم مذکور گسترش یافته، شایستگی هیچ فردی نبوده است. و این، به طور دقیق، حتی یک آسیب‌پذیری نبود، بلکه یک ویژگی اساسی اینترنت بود: بنیان‌گذاران اینترنت، هنگام توسعه ذهن خود، منحصراً بر سرعت انتقال داده و تحمل خطا تمرکز کردند. آنها وظیفه تضمین امنیت سایبری را برای خود تعیین نکردند. [5]

امروزه، ده‌ها سال پس از تأسیس اینترنت – با صدها میلیارد دلاری که قبلاً صرف تلاش‌های بیهوده برای امنیت سایبری شده است – اینترنت کمتر آسیب‌پذیر نیست. مشکلات امنیت سایبری آن هر سال بدتر می شود. با این حال، آیا ما حق داریم که بنیانگذاران اینترنت را به این دلیل محکوم کنیم؟ از این گذشته ، برای مثال ، هیچ کس سازندگان راه های سریع السیر را به خاطر این واقعیت که تصادفات در "جاده های آنها" اتفاق می افتد محکوم نمی کند. و هیچ کس برنامه ریزان شهری را به خاطر این واقعیت که سرقت در «شهرهایشان» رخ می دهد، محکوم نخواهد کرد. [5]

خرده فرهنگ هکر چگونه متولد شد

خرده فرهنگ هکرها در اوایل دهه 1960 در "باشگاه مدلسازی فنی راه آهن" (که در داخل دیوارهای مؤسسه فناوری ماساچوست فعالیت می کرد) سرچشمه گرفت. علاقه مندان به باشگاه یک راه آهن مدل را طراحی و مونتاژ کردند، آنقدر بزرگ که کل اتاق را پر کرد. اعضای باشگاه به طور خودجوش به دو گروه تقسیم شدند: صلح طلبان و متخصصان سیستم. [6]

اولی با قسمت بالای زمینی مدل کار می کرد، دومی - با زیرزمینی. اولین ها مدل های قطارها و شهرها را جمع آوری و تزئین کردند: آنها کل جهان را به صورت مینیاتوری الگوبرداری کردند. دومی روی پشتیبانی فنی برای تمام این صلح‌سازی کار کرد: پیچیدگی سیم‌ها، رله‌ها و سوئیچ‌های مختصات واقع در قسمت زیرزمینی مدل - همه چیزهایی که قسمت "فوق‌زمینی" را کنترل می‌کرد و آن را با انرژی تغذیه می‌کرد. [6]

زمانی که مشکل ترافیکی پیش می‌آمد و شخصی راه‌حلی جدید و مبتکرانه برای رفع آن ارائه می‌کرد، راه‌حل آن «هک» نامیده می‌شد. برای اعضای باشگاه، جستجوی هک های جدید به معنای ذاتی زندگی تبدیل شده است. به همین دلیل آنها شروع به نامیدن خود را "هکر" کردند. [6]

نسل اول هکرها مهارت های کسب شده در Simulation Railway Club را با نوشتن برنامه های کامپیوتری روی کارت های پانچ شده پیاده سازی کردند. سپس، زمانی که ARPANET (سلف اینترنت) در سال 1969 وارد محوطه دانشگاه شد، هکرها فعال ترین و ماهرترین کاربران آن شدند. [6]

اکنون، دهه‌ها بعد، اینترنت مدرن شبیه آن بخش بسیار «زیرزمینی» راه‌آهن مدل است. زیرا بنیانگذاران آن همین هکرها، دانشجویان «باشگاه شبیه سازی راه آهن» بودند. اکنون فقط هکرها شهرهای واقعی را به جای مینیاتورهای شبیه سازی شده اداره می کنند. [6]

مسیریابی BGP چگونه به وجود آمد

در پایان دهه 80، در نتیجه افزایش بهمن مانند تعداد دستگاه های متصل به اینترنت، اینترنت به محدودیت ریاضی سخت تعبیه شده در یکی از پروتکل های اولیه اینترنت نزدیک شد. بنابراین، هر گونه گفتگو بین مهندسان آن زمان در نهایت به بحث در مورد این مشکل تبدیل شد. دو دوست از این قاعده مستثنی نبودند: جیکوب رچتر (مهندس از IBM) و کرک لاکهید (موسس سیسکو). پس از ملاقات تصادفی در میز شام، آنها شروع به بحث در مورد اقداماتی برای حفظ عملکرد اینترنت کردند. دوستان ایده هایی را که روی هر چیزی که به دست می آمد - یک دستمال آغشته به سس کچاپ - یادداشت کردند. سپس دومی. سپس سومی. "پروتکل سه دستمال"، همانطور که مخترعان آن به شوخی آن را نامیدند - که در محافل رسمی به عنوان BGP (پروتکل دروازه مرزی) شناخته می شود - به زودی اینترنت را متحول کرد. [8]

برای Rechter و Lockheed، BGP صرفاً یک هک معمولی بود که بر اساس روحیه باشگاه راه‌آهن مدل فوق‌الذکر توسعه یافت، یک راه‌حل موقت که به زودی جایگزین خواهد شد. دوستان در سال 1989 BGP را توسعه دادند. با این حال، امروز، 30 سال بعد، اکثر ترافیک اینترنت هنوز با استفاده از "پروتکل سه دستمال" هدایت می شود - علیرغم تماس های هشدار دهنده فزاینده در مورد مشکلات حیاتی در امنیت سایبری. هک موقت به یکی از پروتکل‌های اصلی اینترنت تبدیل شد و توسعه‌دهندگان آن از تجربه خود یاد گرفتند که «هیچ چیز دائمی‌تر از راه‌حل‌های موقتی نیست». [8]

شبکه های سراسر جهان به BGP تغییر وضعیت داده اند. فروشندگان با نفوذ، مشتریان ثروتمند و شرکت های مخابراتی به سرعت عاشق BGP شدند و به آن عادت کردند. بنابراین، حتی با وجود زنگ خطر بیشتر و بیشتر در مورد ناامنی این پروتکل، عموم مردم فناوری اطلاعات هنوز برای انتقال به تجهیزات جدید و ایمن تر اشتیاق نشان نمی دهند. [8]

مسیریابی BGP ناامن سایبری

چرا مسیریابی BGP اینقدر خوب است و چرا جامعه فناوری اطلاعات عجله ای برای کنار گذاشتن آن ندارد؟ BGP به روترها کمک می کند تا در مورد مکان مسیریابی جریان های عظیم داده ارسال شده در شبکه عظیمی از خطوط ارتباطی متقاطع تصمیم گیری کنند. BGP به روترها کمک می کند تا مسیرهای مناسب را انتخاب کنند حتی اگر شبکه دائماً در حال تغییر است و مسیرهای محبوب اغلب با ترافیک مواجه می شوند. مشکل اینجاست که اینترنت نقشه مسیریابی جهانی ندارد. روترهایی که از BGP استفاده می کنند، بر اساس اطلاعات دریافتی از همسایگان در فضای مجازی، که به نوبه خود اطلاعات همسایگان خود و غیره را جمع آوری می کنند، در مورد انتخاب یک مسیر یا مسیر دیگر تصمیم می گیرند. با این حال، این اطلاعات را می توان به راحتی جعل کرد، به این معنی که مسیریابی BGP در برابر حملات MiTM بسیار آسیب پذیر است. [8]

بنابراین، سؤالاتی مانند موارد زیر مرتباً مطرح می شود: "چرا ترافیک بین دو رایانه در دنور از طریق ایسلند منحرف شد؟"، "چرا داده های طبقه بندی شده پنتاگون یک بار در حمل و نقل از پکن منتقل شدند؟" پاسخ های فنی برای سوالاتی از این دست وجود دارد، اما همه آنها به این واقعیت مربوط می شوند که BGP بر اساس اعتماد کار می کند: اعتماد به توصیه های دریافت شده از روترهای همسایه. به لطف ماهیت قابل اعتماد پروتکل BGP، اربابان ترافیک مرموز می توانند در صورت تمایل جریان داده های افراد دیگر را به دامنه خود جذب کنند. [8]

نمونه زنده آن حمله BGP چین به پنتاگون آمریکا است. در آوریل 2010، شرکت مخابراتی دولتی China Telecom ده ها هزار روتر را به سراسر جهان ارسال کرد، از جمله 16 روتر در ایالات متحده، یک پیام BGP که به آنها می گوید مسیرهای بهتری دارند. بدون سیستمی که بتواند اعتبار پیام BGP از مخابرات چین را تأیید کند، روترها در سراسر جهان شروع به ارسال داده ها در حال انتقال از طریق پکن کردند. از جمله ترافیک پنتاگون و سایر سایت‌های وزارت دفاع ایالات متحده. سهولت تغییر مسیر ترافیک و عدم حفاظت موثر در برابر این نوع حملات، نشانه دیگری از ناامنی مسیریابی BGP است. [8]

پروتکل BGP از نظر تئوری در برابر یک حمله سایبری حتی خطرناک تر آسیب پذیر است. در صورتی که درگیری‌های بین‌المللی به شدت در فضای سایبری تشدید شود، China Telecom یا برخی غول‌های مخابراتی دیگر می‌توانند ادعای مالکیت بخش‌هایی از اینترنت را داشته باشند که واقعاً به آن تعلق ندارند. چنین حرکتی باعث سردرگمی روترها می‌شود، که باید بین پیشنهادات رقابتی برای همان بلوک‌های آدرس‌های اینترنتی جهش کنند. بدون توانایی تشخیص یک برنامه قانونی از یک برنامه جعلی، روترها شروع به عملکرد نامنظم می کنند. در نتیجه، ما با اینترنت معادل جنگ هسته ای روبرو خواهیم شد – نمایش آشکار و در مقیاس بزرگ خصومت. چنین تحولی در زمان صلح نسبی غیر واقعی به نظر می رسد، اما از نظر فنی کاملاً امکان پذیر است. [8]

تلاش بیهوده برای حرکت از BGP به BGPSEC

هنگام توسعه BGP، امنیت سایبری مورد توجه قرار نگرفت، زیرا در آن زمان هک ها نادر بودند و آسیب ناشی از آنها ناچیز بود. توسعه دهندگان BGP، چون برای شرکت های مخابراتی کار می کردند و علاقه مند به فروش تجهیزات شبکه خود بودند، وظیفه مهم تری داشتند: جلوگیری از خرابی خود به خود اینترنت. زیرا وقفه در اینترنت می تواند کاربران را از خود دور کند و در نتیجه فروش تجهیزات شبکه را کاهش دهد. [8]

پس از حادثه انتقال ترافیک نظامی آمریکا از طریق پکن در آوریل 2010، سرعت کار برای اطمینان از امنیت سایبری مسیریابی BGP قطعا تسریع شد. با این حال، فروشندگان مخابراتی اشتیاق کمی برای تحمل هزینه های مربوط به مهاجرت به پروتکل مسیریابی امن BGPSEC نشان داده اند که به عنوان جایگزینی برای BGP ناامن پیشنهاد شده است. فروشندگان هنوز BGP را کاملاً قابل قبول می دانند، حتی با وجود حوادث بی شمار رهگیری ترافیک. [8]

رادیا پرلمن، که به دلیل اختراع پروتکل شبکه اصلی دیگری در سال 1988 (یک سال قبل از BGP) "مادر اینترنت" لقب گرفت، دکترای نبوی را در MIT دریافت کرد. پرلمن پیش بینی کرد که یک پروتکل مسیریابی که به صداقت همسایگان در فضای مجازی بستگی دارد اساساً ناامن است. پرلمن از استفاده از رمزنگاری حمایت می کرد که به محدود کردن امکان جعل کمک می کند. با این حال، اجرای BGP از قبل در حال انجام بود، جامعه IT با نفوذ به آن عادت کرده بود و نمی خواست چیزی را تغییر دهد. بنابراین، پس از هشدارهای مستدل پرلمن، کلارک و برخی دیگر از کارشناسان برجسته جهان، سهم نسبی مسیریابی BGP امن از نظر رمزنگاری به هیچ وجه افزایش نیافته و همچنان 0 درصد است. [8]

مسیریابی BGP تنها هک نیست

و مسیریابی BGP تنها هک نیست که این ایده را تأیید می کند که "هیچ چیز دائمی تر از راه حل های موقت نیست". گاهی اوقات اینترنت که ما را در دنیای فانتزی غوطه ور می کند، به زیبایی یک ماشین مسابقه ای به نظر می رسد. با این حال، در واقعیت، به دلیل هک های انباشته شده روی یکدیگر، اینترنت بیشتر شبیه فرانکشتاین است تا فراری. زیرا این هک ها (به طور رسمی تر وصله نامیده می شوند) هرگز با فناوری قابل اعتماد جایگزین نمی شوند. پیامدهای این رویکرد وخیم است: مجرمان سایبری روزانه و ساعتی به سیستم‌های آسیب‌پذیر هک می‌کنند و دامنه جرایم سایبری را به ابعاد غیرقابل تصوری گسترش می‌دهند. [8]

بسیاری از نقایصی که توسط مجرمان سایبری مورد سوء استفاده قرار می‌گیرند، مدت‌هاست که شناخته شده‌اند، و صرفاً به دلیل تمایل جامعه فناوری اطلاعات به حل مشکلات نوظهور - با هک‌ها/وصله‌های موقت، حفظ شده‌اند. گاهی اوقات به همین دلیل، فناوری های منسوخ برای مدت طولانی روی هم انباشته می شوند و زندگی مردم را دشوار می کنند و آنها را به خطر می اندازند. اگر بدانید که بانک شما دارد خزانه خود را روی پایه ای از کاه و گل می سازد، چه فکر می کنید؟ آیا به او اعتماد می کنید که پس انداز شما را حفظ کند؟ [8]

نگرش بی خیال لینوس توروالدز

سالها طول کشید تا اینکه اینترنت به صد کامپیوتر اول خود رسید. امروزه در هر ثانیه 100 کامپیوتر جدید و دستگاه های دیگر به آن متصل می شوند. همانطور که دستگاه های متصل به اینترنت منفجر می شوند، فوریت مسائل امنیت سایبری نیز افزایش می یابد. با این حال، شخصی که می تواند بیشترین تأثیر را در حل این مشکلات داشته باشد، کسی است که امنیت سایبری را با تحقیر می بیند. این مرد را یک نابغه، یک قلدر، یک رهبر معنوی و یک دیکتاتور خیرخواه نامیده اند. لینوس توروالدز اکثریت قریب به اتفاق دستگاه های متصل به اینترنت سیستم عامل آن لینوکس را اجرا می کنند. سریع، انعطاف پذیر، رایگان - لینوکس با گذشت زمان بیشتر و بیشتر محبوب می شود. در عین حال، بسیار پایدار رفتار می کند. و می تواند برای چندین سال بدون راه اندازی مجدد کار کند. به همین دلیل لینوکس این افتخار را دارد که سیستم عامل غالب باشد. تقریباً تمام تجهیزات رایانه‌ای که امروزه در دسترس ما هستند از لینوکس استفاده می‌کنند: سرورها، تجهیزات پزشکی، رایانه‌های پرواز، هواپیماهای بدون سرنشین کوچک، هواپیماهای نظامی و بسیاری موارد دیگر. [9]

لینوکس تا حد زیادی موفق می شود زیرا توروالدز بر عملکرد و تحمل خطا تأکید دارد. با این حال، او این تاکید را به قیمت از دست دادن امنیت سایبری قرار می دهد. حتی در حالی که فضای سایبری و دنیای فیزیکی واقعی در هم تنیده شده و امنیت سایبری به یک موضوع جهانی تبدیل شده است، توروالدز همچنان در برابر معرفی نوآوری های امن در سیستم عامل خود مقاومت می کند. [9]

بنابراین، حتی در میان بسیاری از طرفداران لینوکس، نگرانی فزاینده ای در مورد آسیب پذیری های این سیستم عامل وجود دارد. به ویژه، صمیمی ترین بخش لینوکس، هسته آن، که توروالدز شخصاً روی آن کار می کند. طرفداران لینوکس می بینند که توروالدز مسائل امنیت سایبری را جدی نمی گیرد. علاوه بر این، توروالدز خود را با توسعه دهندگانی احاطه کرده است که در این نگرش بی خیال سهیم هستند. اگر فردی از حلقه درونی توروالدز شروع به صحبت در مورد معرفی نوآوری های ایمن کند، بلافاصله مورد تحقیر قرار می گیرد. توروالدز گروهی از چنین مبتکرانی را رد کرد و آنها را "میمون های خودارضایی" خواند. هنگامی که توروالدز با گروه دیگری از توسعه دهندگان آگاه به امنیت خداحافظی کرد، به آنها گفت: «آیا آنقدر مهربان هستید که خود را بکشید؟ دنیا به خاطر آن جای بهتری خواهد بود.» هر زمان که نوبت به افزودن ویژگی های امنیتی می رسید، توروالدز همیشه مخالف آن بود. [9] توروالدز حتی در این زمینه فلسفه کاملی دارد که خالی از ذره عقل نیست:

«امنیت مطلق دست نیافتنی است. بنابراین، همیشه باید فقط در رابطه با اولویت های دیگر در نظر گرفته شود: سرعت، انعطاف پذیری و سهولت استفاده. افرادی که خود را به طور کامل وقف ارائه محافظت می کنند دیوانه هستند. تفکر آنها محدود است، سیاه و سفید. امنیت به خودی خود بی فایده است. اصل همیشه جای دیگری است. بنابراین، شما نمی توانید امنیت مطلق را تضمین کنید، حتی اگر واقعاً بخواهید. البته افرادی هستند که بیشتر از توروالدز به ایمنی اهمیت می دهند. با این حال، این افراد صرفاً روی آنچه به آنها علاقه دارد کار می کنند و امنیت را در چارچوب نسبی باریکی که این علایق را مشخص می کند، تأمین می کنند. بیشتر نه. بنابراین آنها به هیچ وجه به افزایش امنیت مطلق کمک نمی کنند.» [9]

نوار کناری: OpenSource مانند یک بشکه باروت است [10]

کد OpenSource میلیاردها در هزینه های توسعه نرم افزار صرفه جویی کرده است و نیاز به تلاش های تکراری را از بین برده است: با OpenSource، برنامه نویسان این فرصت را دارند که از نوآوری های فعلی بدون محدودیت یا پرداخت استفاده کنند. OpenSource در همه جا استفاده می شود. حتی اگر یک توسعه‌دهنده نرم‌افزار استخدام کرده باشید تا مشکل تخصصی خود را از ابتدا حل کند، این توسعه‌دهنده به احتمال زیاد از نوعی کتابخانه OpenSource استفاده می‌کند. و احتمالا بیش از یک. بنابراین، عناصر OpenSource تقریباً در همه جا وجود دارند. در عین حال، باید درک کرد که هیچ نرم افزاری ثابت نیست، کد آن دائما در حال تغییر است. بنابراین، اصل "تنظیم و فراموشش کن" هرگز برای کد کار نمی کند. از جمله کد منبع باز: دیر یا زود نسخه به روز شده مورد نیاز خواهد بود.

در سال 2016، عواقب این وضعیت را دیدیم: یک توسعه‌دهنده 28 ساله برای مدت کوتاهی اینترنت را با حذف کد OpenSource خود که قبلاً در دسترس عموم قرار داده بود، «شکست» کرد. این داستان نشان می دهد که زیرساخت سایبری ما بسیار شکننده است. برخی از افراد - که از پروژه های OpenSource پشتیبانی می کنند - آنقدر برای حفظ آن مهم هستند که اگر خدای ناکرده اتوبوس به آنها برخورد کند، اینترنت قطع می شود.

کد سخت‌گیرانه جایی است که جدی‌ترین آسیب‌پذیری‌های امنیت سایبری در کمین است. برخی از شرکت‌ها حتی متوجه نمی‌شوند که به دلیل سخت‌بودن کدها چقدر آسیب‌پذیر هستند. آسیب‌پذیری‌های مرتبط با چنین کدی می‌توانند بسیار آهسته به یک مشکل واقعی تبدیل شوند: سیستم‌ها به آرامی پوسیده می‌شوند، بدون اینکه خرابی‌های قابل مشاهده در فرآیند پوسیدگی نشان داده شود. و زمانی که شکست بخورند، عواقب آن کشنده است.

در نهایت، از آنجایی که پروژه‌های منبع باز معمولاً توسط جامعه‌ای از علاقه‌مندان توسعه می‌یابند، مانند لینوس توروالدز یا مانند هکرهای باشگاه راه‌آهن مدل که در ابتدای مقاله ذکر شد، مشکلات مربوط به کدهایی که نگهداری آن دشوار است را نمی‌توان به روش‌های سنتی حل کرد (با استفاده از اهرم های تجاری و دولتی). زیرا اعضای چنین جوامعی اراده دارند و استقلال خود را بیش از هر چیز ارزش می دهند.

نوار کناری: شاید سرویس های اطلاعاتی و توسعه دهندگان آنتی ویروس از ما محافظت کنند؟

در سال 2013، مشخص شد که آزمایشگاه کسپرسکی دارای یک واحد ویژه است که بررسی های سفارشی حوادث امنیت اطلاعات را انجام می دهد. تا همین اواخر ، این بخش توسط یک سرگرد سابق پلیس ، روسلان استویانوف ، که قبلاً در بخش "K" پایتخت (USTM اداره اصلی امور داخلی مسکو) کار می کرد ، اداره می شد. همه کارکنان این واحد ویژه آزمایشگاه کسپرسکی از سازمان های مجری قانون، از جمله کمیته تحقیق و اداره "K" هستند. [یازده]

در پایان سال 2016، FSB روسلان استویانوف را دستگیر کرد و او را به خیانت متهم کرد. در همین پرونده، سرگئی میخائیلوف، نماینده عالی رتبه FSB CIB (مرکز امنیت اطلاعات) دستگیر شد که قبل از دستگیری، کل امنیت سایبری کشور به او گره خورده بود. [یازده]

نوار کناری: امنیت سایبری اعمال شده است

به زودی کارآفرینان روسی مجبور خواهند شد توجه جدی به امنیت سایبری داشته باشند. در ژانویه 2017، نیکولای موراشوف، نماینده مرکز حفاظت اطلاعات و ارتباطات ویژه، اظهار داشت که تنها در روسیه، اشیاء CII (زیرساخت اطلاعات حیاتی) بیش از 2016 میلیون بار در سال 70 مورد حمله قرار گرفته اند. اهداف CII شامل سیستم های اطلاعاتی سازمان های دولتی، شرکت های صنایع دفاعی، حمل و نقل، بخش های اعتباری و مالی، انرژی، سوخت و صنایع هسته ای است. برای محافظت از آنها، در 26 ژوئیه، ولادیمیر پوتین، رئیس جمهور روسیه، بسته ای از قوانین "در مورد ایمنی CII" را امضا کرد. تا 1 ژانویه 2018، زمانی که قانون لازم الاجرا می شود، صاحبان امکانات CII باید مجموعه ای از اقدامات را برای محافظت از زیرساخت های خود در برابر حملات هکرها، به ویژه اتصال به GosSOPKA اجرا کنند. [12]

کتاب شناسی

1. جاناتان میلت. اینترنت اشیا: اهمیت ایمن سازی دستگاه های هوشمند شما // 2017.
2. راس اندرسون چگونه سیستم های پرداخت کارت هوشمند شکست می خورند // کلاه سیاه. 2014.
3. اس جی مرداک. تراشه و پین خراب است // مجموعه مقالات سمپوزیوم IEEE در مورد امنیت و حریم خصوصی. 2010. صص. 433-446.
4. دیوید تالبوت ویروس‌های رایانه‌ای بر روی دستگاه‌های پزشکی در بیمارستان‌ها "بیداد می‌کنند". // بررسی فناوری MIT (دیجیتال). 2012.
5. کریگ تیمبرگ شبکه ناامنی: جریانی در طراحی // واشنگتن پست. 2015.
6. مایکل لیست. او یک هکر نوجوان بود که میلیون‌ها دلار خود را خرج ماشین‌ها، لباس‌ها و ساعت‌های مچی کرد - تا زمانی که FBI دستگیر شد. // زندگی تورنتو. 2018.
7. کریگ تیمبرگ شبکه ناامنی: فاجعه ای که پیش بینی شده و نادیده گرفته شده است // واشنگتن پست. 2015.
8. کریگ تیمبرگ عمر طولانی یک "رفع" سریع: پروتکل اینترنت از سال 1989 داده ها را در برابر هکرها آسیب پذیر می کند // واشنگتن پست. 2015.
9. کریگ تیمبرگ شبکه ناامنی: هسته استدلال // واشنگتن پست. 2015.
10. جاشوا گانز. آیا کد منبع باز می تواند ترس های Y2K ما را در نهایت محقق کند؟ // بررسی کسب و کار هاروارد (دیجیتال). 2017.
11. مدیر ارشد کسپرسکی توسط FSB دستگیر شد // سی نیوز. 2017. URL.
12. ماریا کولومیچنکو. سرویس اطلاعات سایبری: Sberbank پیشنهاد ایجاد یک ستاد برای مبارزه با هکرها را داد. // RBC. 2017.

منبع: www.habr.com