כאשר "הכובעים השחורים" - בהיותם מפקדי היער הפראי של המרחב הווירטואלי - מתגלים כמוצלחים במיוחד בעבודתם המלוכלכת, התקשורת הצהובה צורחת מרוב עונג. כתוצאה מכך, העולם מתחיל להסתכל על אבטחת סייבר ברצינות רבה יותר. אבל לצערי לא מיד. לכן, למרות המספר ההולך וגדל של תקריות סייבר קטסטרופליות, העולם עדיין לא בשל לאמצעים יזומים אקטיביים. עם זאת, צפוי כי בעתיד הקרוב, הודות ל"כובעים השחורים", העולם יתחיל להתייחס ברצינות לאבטחת סייבר. [7]

חמורות בדיוק כמו שריפות... ערים היו פעם פגיעות מאוד לשריפות קטסטרופליות. עם זאת, למרות הסכנה הפוטנציאלית, לא ננקטו אמצעי הגנה יזומים - גם לאחר שריפת הענק בשיקגו ב-1871, שגבתה מאות חיים ועקירה מאות אלפי בני אדם. אמצעי הגנה יזומים ננקטו רק לאחר שאסון דומה התרחש שוב, שלוש שנים לאחר מכן. זה אותו דבר עם אבטחת סייבר - העולם לא יפתור את הבעיה הזו אלא אם יהיו תקריות קטסטרופליות. אבל גם אם מקרים כאלה יתרחשו, העולם לא יפתור את הבעיה הזו מיד. [7] לכן, גם האמירה: "עד שלא יתרחש באג, אדם לא יתוקן", לא ממש עובדת. זו הסיבה שב-2018 חגגנו 30 שנים של חוסר ביטחון משתולל.

סטייה לירית

ההתחלה של המאמר הזה, שכתבתי במקור עבור מגזין System Administrator, התגלתה כנבואית במובן מסוים. גיליון מגזין עם מאמר זה יצא ממש יום אחרי יום עם השריפה הטרגית במרכז הקניות קמרובו "דובדבן החורף" (2018, 20 במרץ).

התקן אינטרנט תוך 30 דקות

עוד ב-1988, גלקסיית ההאקרים האגדית L0pht, שדיברה במלוא עוצמתה לפני פגישה של הגורמים המערביים המשפיעים ביותר, הכריזה: "הציוד הממוחשב שלך פגיע להתקפות סייבר מהאינטרנט. ותוכנה, וחומרה, וטלקומוניקציה. הספקים שלהם אינם מודאגים כלל ממצב העניינים הזה. מכיוון שהחקיקה המודרנית אינה קובעת אחריות כלשהי לגישה רשלנית להבטחת אבטחת הסייבר של תוכנה וחומרה מיוצרת. האחריות לכשלים פוטנציאליים (בין אם ספונטניים ובין אם נגרמו מהתערבות של פושעי סייבר) מוטלת על המשתמש בציוד בלבד. באשר לממשלה הפדרלית, אין לה לא את הכישורים ולא את הרצון לפתור את הבעיה הזו. לכן, אם אתם מחפשים אבטחת סייבר, אז האינטרנט הוא לא המקום למצוא אותו. כל אחד משבעת האנשים שיושבים מולך יכול לשבור לחלוטין את האינטרנט ובהתאם לתפוס שליטה מלאה על הציוד המחובר אליו. בעצמו. 30 דקות של הקשות כוריאוגרפיות וזה נעשה". [7]

הפקידים הנהנו במשמעות, והבהירו שהם מבינים את חומרת המצב, אך לא עשו דבר. היום, בדיוק 30 שנה אחרי ההופעה האגדית של L0pht, העולם עדיין נגוע ב"חוסר ביטחון משתולל". פריצת ציוד ממוחשב ומקושר לאינטרנט היא כל כך קלה, עד שהאינטרנט, בתחילה ממלכה של מדענים וחובבים אידיאליסטים, נכבש בהדרגה על ידי אנשי המקצוע הפרגמטיים ביותר: רמאים, נוכלים, מרגלים, טרוריסטים. כולם מנצלים את נקודות התורפה של ציוד ממוחשב לטובת יתרונות כספיים או אחרים. [7]

הספקים מזניחים את אבטחת הסייבר

ספקים לפעמים, כמובן, מנסים לתקן חלק מהחולשות שזוהו, אך הם עושים זאת באי רצון. כי הרווח שלהם לא מגיע מהגנה מפני האקרים, אלא מהפונקציונליות החדשה שהם מספקים לצרכנים. בהיותם ממוקדים אך ורק ברווחים לטווח קצר, הספקים משקיעים כסף רק בפתרון בעיות אמיתיות, לא היפותטיות. אבטחת סייבר, בעיני רבים מהם, היא דבר היפותטי. [7]

אבטחת סייבר היא דבר בלתי נראה, בלתי מוחשי. הוא הופך למוחשי רק כאשר מתעוררות איתו בעיות. אם הם טיפלו בו היטב (הוציאו הרבה כסף על אספקתו), ואין בו בעיות, הצרכן הסופי לא ירצה לשלם על כך יותר מדי. בנוסף, בנוסף להגדלת העלויות הכספיות, יישום אמצעי הגנה מצריך זמן פיתוח נוסף, מצריך הגבלת יכולות הציוד ומביא לירידה בתפוקה שלו. [8]

קשה לשכנע אפילו את המשווקים שלנו בהיתכנות של העלויות המפורטות, שלא לדבר על צרכני קצה. ומכיוון שספקים מודרניים מעוניינים רק ברווחי מכירות לטווח קצר, הם כלל לא נוטים לקחת אחריות על הבטחת אבטחת הסייבר של יצירותיהם. [1] מצד שני, ספקים זהירים יותר שדאגו לאבטחת הסייבר של הציוד שלהם מתמודדים עם העובדה שצרכנים ארגוניים מעדיפים חלופות זולות וקלות יותר לשימוש. זֶה. ברור שגם לצרכנים ארגוניים לא אכפת הרבה מאבטחת סייבר. [8]

לאור האמור לעיל, אין זה מפתיע שספקים נוטים להזניח את אבטחת הסייבר, ולדבוק בפילוסופיה הבאה: "תמשיך לבנות, להמשיך למכור ולתקן כשצריך. האם המערכת קרסה? אבד מידע? מאגר מידע עם מספרי כרטיסי אשראי נגנב? האם מזוהה פגיעות קטלנית בציוד שלך? אין בעיה!" הצרכנים, בתורם, צריכים לפעול לפי העיקרון: "לתקן ולהתפלל". [7]

איך זה קורה: דוגמאות מהטבע

דוגמה בולטת להזנחה של אבטחת סייבר במהלך הפיתוח היא תוכנית התמריצים הארגונית של מיקרוסופט: "אם תחמיצו את המועדים, תקבלו קנס. אם אין לך זמן להגיש את שחרור החידוש שלך בזמן, הוא לא ייושם. אם זה לא ייושם, לא תקבל מניות של החברה (חלק מהעוגה מהרווחים של מיקרוסופט). מאז 1993, מיקרוסופט החלה לקשר באופן פעיל את מוצריה לאינטרנט. מכיוון שיוזמה זו פעלה בהתאם לאותה תוכנית מוטיבציה, הפונקציונליות התרחבה מהר יותר ממה שההגנה הצליחה לעמוד בקצב שלה. לשמחתם של ציידי פגיעות פרגמטיים... [7]

דוגמה נוספת היא המצב עם מחשבים ומחשבים ניידים: הם לא מגיעים עם אנטי וירוס מותקן מראש; והם גם לא מספקים הגדרה מראש של סיסמאות חזקות. ההנחה היא שמשתמש הקצה יתקין את האנטי וירוס ויגדיר את פרמטרי תצורת האבטחה. [1]

דוגמה נוספת, קיצונית יותר: המצב עם אבטחת הסייבר של ציוד קמעונאי (קופות, מסופי PoS למרכזי קניות וכו'). כך קרה שספקי ציוד מסחרי מוכרים רק את מה שנמכר, ולא את מה שבטוח. [2] אם יש דבר אחד שלספקי ציוד מסחרי אכפת ממנו מבחינת אבטחת סייבר, זה לוודא שאם מתרחש תקרית שנויה במחלוקת, האחריות נופלת על אחרים. [3]

דוגמה אינדיקטיבית להתפתחות אירועים זו: הפופולריות של תקן ה-EMV לכרטיסי בנק, שבזכות עבודתם המוכשרת של משווקים בנקים, מופיע בעיני הציבור שאינו מתוחכם מבחינה טכנית כחלופה בטוחה יותר ל"מיושן". כרטיסים מגנטיים. במקביל, המניע העיקרי של ענף הבנקאות, שהיה אחראי לפיתוח תקן ה-EMV, היה להעביר את האחריות לאירועי הונאה (המתרחשים בשל אשמת הקלפים) - מהחנויות לצרכנים. בעוד שבעבר (כאשר התשלומים בוצעו באמצעות כרטיסים מגנטיים), האחריות הפיננסית הייתה על החנויות לאי-התאמות בחיוב/אשראי. [3] כך בנקים המעבדים תשלומים מעבירים את האחריות לסוחרים (המשתמשים במערכות הבנקאות המרוחקות שלהם) או לבנקים המנפיקים כרטיסי תשלום; שני האחרונים, בתורם, מעבירים את האחריות לבעל הכרטיס. [2]

הספקים מעכבים את אבטחת הסייבר

ככל שמשטח ההתקפה הדיגיטלית מתרחב ללא הרף - הודות להתפוצצות המכשירים המחוברים לאינטרנט - המעקב אחר מה שמחובר לרשת הארגונית נעשה קשה יותר ויותר. במקביל, ספקים מעבירים את החששות לגבי בטיחות כל הציוד המחובר לאינטרנט אל משתמש הקצה [1]: "ההצלה של טובעים היא עבודתם של הטובעים עצמם".

לא רק שלספקים לא אכפת מאבטחת הסייבר של היצירות שלהם, אלא שבמקרים מסוימים הם גם מתערבים באספקתו. כך למשל, כאשר בשנת 2009 דלפה תולעת רשת Conficker למרכז הרפואי בית ישראל והדביקה שם חלק מהציוד הרפואי, המנהל הטכני של מרכז רפואי זה, על מנת למנוע מקרים דומים להתרחש בעתיד, החליט להשבית את פונקציית תמיכה בהפעלה בציוד המושפע מהתולעת עם הרשת. עם זאת, הוא התמודד עם העובדה כי "לא ניתן היה לעדכן את הציוד בשל מגבלות רגולטוריות". נדרש לו מאמץ ניכר לנהל משא ומתן עם הספק כדי להשבית את פונקציות הרשת. [4]

חוסר ביטחון סייבר בסיסי של האינטרנט

דיוויד קלארק, הפרופסור האגדי של MIT שגאונותו זיכתה אותו בכינוי "אלבוס דמבלדור", זוכר את היום שבו נחשף הצד האפל של האינטרנט לעולם. קלארק עמד בראש ועידת טלקומוניקציה בנובמבר 1988 כאשר התפרסמה ידיעה כי תולעת המחשבים הראשונה בהיסטוריה החליקה דרך חוטי הרשת. קלארק זכר את הרגע הזה כי הדובר שנכח בכנס שלו (עובד באחת מחברות התקשורת המובילות) היה אחראי על התפשטות התולעת הזו. הדובר הזה, בלהט הרגש, אמר בלי משים: "הנה לך!" נראה שסגרתי את הפגיעות הזו", הוא שילם על המילים הללו. [5]

אולם מאוחר יותר התברר שהפגיעות שבאמצעותה התפשטה התולעת המוזכרת לא הייתה לזכותו של אדם בודד. וזו, למען האמת, אפילו לא הייתה פגיעות, אלא תכונה בסיסית של האינטרנט: מייסדי האינטרנט, כאשר פיתחו את פרי מוחותם, התמקדו אך ורק במהירות העברת נתונים וסובלנות לתקלות. הם לא הציבו לעצמם את המשימה להבטיח את אבטחת הסייבר. [5]

כיום, עשרות שנים לאחר הקמת האינטרנט - כשמאות מיליארדי דולרים כבר הוצאו על ניסיונות חסרי תוחלת לאבטחת סייבר - האינטרנט פגיע לא פחות. בעיות אבטחת הסייבר שלה רק מחמירות מדי שנה. עם זאת, האם יש לנו את הזכות לגנות את מייסדי האינטרנט על כך? אחרי הכל, למשל, אף אחד לא יגנה את בוני הכבישים המהירים על כך שתאונות קורות ב"דרכים שלהם"; ואף אחד לא יגנה את מתכנני ערים על העובדה שמעשי שוד מתרחשים ב"עריהם". [5]

איך נולדה תת-תרבות ההאקרים

מקורה של תת-תרבות ההאקרים בתחילת שנות ה-1960, ב"מועדון הדוגמנות הטכני של רכבת" (שפועל בין כותלי המכון הטכנולוגי של מסצ'וסטס). חובבי מועדונים תכננו והרכיבו דגם מסילת ברזל, כל כך ענקית שמילאה את כל החדר. חברי המועדון התחלקו באופן ספונטני לשתי קבוצות: עושי שלום ומומחי מערכת. [6]

הראשון עבד עם החלק העילי של הדגם, השני - עם המחתרת. הראשונים אספו וקישטו דגמים של רכבות וערים: הם דגמנו את כל העולם במיניאטורות. האחרונים עבדו על התמיכה הטכנית לכל עשיית השלום הזו: מורכבות של חוטים, ממסרים ומתגי קואורדינטות הממוקמים בחלק התת-קרקעי של הדגם - כל מה ששלט בחלק ה"מעל הקרקע" והזין אותו באנרגיה. [6]

כשהייתה בעיית תנועה ומישהו מצא פתרון חדש וגאוני לתקן אותה, הפתרון נקרא "פריצה". עבור חברי המועדון, החיפוש אחר פריצות חדשות הפך למשמעות מהותית של החיים. זו הסיבה שהם התחילו לקרוא לעצמם "האקרים". [6]

הדור הראשון של האקרים יישם את המיומנויות שנרכשו ב- Simulation Railway Club על ידי כתיבת תוכנות מחשב על כרטיסים מחוררים. ואז, כאשר ה-ARPANET (קודמת האינטרנט) הגיע לקמפוס ב-1969, האקרים הפכו למשתמשים הפעילים והמיומנים ביותר שלו. [6]

כעת, עשרות שנים מאוחר יותר, האינטרנט המודרני דומה לאותו חלק "מחתרתי" ממש של מסילת הברזל. מכיוון שמייסדיה היו אותם האקרים, סטודנטים של "מועדון סימולציית הרכבת". רק האקרים מפעילים כעת ערים אמיתיות במקום מיניאטורות מדומות. [6]

איך נוצר ניתוב BGP

עד סוף שנות ה-80, כתוצאה מגידול דמוי מפולת שלגים במספר המכשירים המחוברים לאינטרנט, התקרב האינטרנט למגבלה המתמטית הקשה המובנית באחד מפרוטוקולי האינטרנט הבסיסיים. לכן, כל שיחה בין המהנדסים של אז הפכה בסופו של דבר לדיון בבעיה זו. שני חברים לא היו יוצאי דופן: יעקב רכטר (מהנדס מ-IBM) וקירק לוקהיד (מייסד סיסקו). לאחר שנפגשו במקרה ליד שולחן האוכל, הם החלו לדון באמצעים לשימור הפונקציונליות של האינטרנט. החברים רשמו את הרעיונות שעלו על כל מה שהגיע לידי - מפית מוכתמת בקטשופ. ואז השני. ואז השלישי. "פרוטוקול שלוש המפיות", כפי שממציאיו כינו אותו בצחוק - הידוע בחוגים רשמיים כ-BGP (Border Gateway Protocol) - חולל במהרה מהפכה באינטרנט. [8]

עבור רכטר ולוקהיד, BGP היה פשוט פריצה סתמית, שפותחה ברוח מועדון רכבת הדגם הנ"ל, פתרון זמני שיוחלף בקרוב. החברים פיתחו את BGP ב-1989. אולם כיום, 30 שנה מאוחר יותר, רוב תעבורת האינטרנט עדיין מנותבת באמצעות "פרוטוקול שלוש המפיות" - למרות שיחות מדאיגות יותר ויותר לגבי בעיות קריטיות באבטחת הסייבר שלה. הפריצה הזמנית הפכה לאחד מפרוטוקולי האינטרנט הבסיסיים, והמפתחים שלה למדו מניסיונם ש"אין דבר קבוע יותר מפתרונות זמניים". [8]

רשתות ברחבי העולם עברו ל-BGP. ספקים משפיעים, לקוחות עשירים וחברות תקשורת התאהבו במהירות ב-BGP והתרגלו אליו. לכן, גם למרות יותר ויותר פעמוני אזעקה לגבי חוסר הביטחון של פרוטוקול זה, ציבור ה-IT עדיין לא מגלה התלהבות מהמעבר לציוד חדש ומאובטח יותר. [8]

ניתוב BGP לא מאובטח בסייבר

מדוע ניתוב BGP כל כך טוב ומדוע קהילת ה-IT לא ממהרת לנטוש אותו? BGP עוזרת לנתבים לקבל החלטות לגבי היכן לנתב את זרמי הנתונים העצומים הנשלחים על פני רשת ענקית של קווי תקשורת מצטלבים. BGP עוזרת לנתבים לבחור נתיבים מתאימים למרות שהרשת משתנה כל הזמן ומסלולים פופולריים חווים לעיתים קרובות פקקים. הבעיה היא שלאינטרנט אין מפת ניתוב גלובלית. נתבים המשתמשים ב-BGP מקבלים החלטות לגבי בחירת נתיב כזה או אחר על סמך מידע המתקבל מהשכנים במרחב הווירטואלי, אשר בתורם אוספים מידע משכניהם וכו'. עם זאת, ניתן לזייף מידע זה בקלות, מה שאומר שניתוב BGP פגיע מאוד להתקפות MiTM. [8]

לכן, שאלות כמו הבאות עולות באופן קבוע: "מדוע התעבורה בין שני מחשבים בדנוור עשתה מעקף ענק דרך איסלנד?", "מדוע הועברו נתונים מסווגים של הפנטגון פעם במעבר דרך בייג'ינג?" יש תשובות טכניות לשאלות כאלה, אבל כולן מסתכמות בעובדה ש-BGP עובד על בסיס אמון: אמון בהמלצות שמתקבלות מנתבים שכנים. הודות לאופי הבוטח של פרוטוקול BGP, אדוני תעבורה מסתוריים יכולים לפתות את זרימת הנתונים של אנשים אחרים לדומיין שלהם אם הם רוצים. [8]

דוגמה חיה היא מתקפת ה-BGP של סין על הפנטגון האמריקאי. באפריל 2010 שלחה ענקית הטלקום צ'יינה טלקום בבעלות המדינה עשרות אלפי נתבים ברחבי העולם, כולל 16 בארצות הברית, הודעת BGP שאמרה להם שיש להם מסלולים טובים יותר. ללא מערכת שיכולה לאמת את תקפותה של הודעת BGP מ-China Telecom, נתבים ברחבי העולם החלו לשלוח נתונים במעבר דרך בייג'ינג. כולל תעבורה מהפנטגון ואתרים אחרים של משרד ההגנה האמריקאי. הקלות שבה נותבה התעבורה והיעדר הגנה יעילה מפני התקפה מסוג זה היא עוד סימן לחוסר הביטחון של ניתוב BGP. [8]

פרוטוקול BGP פגיע תיאורטית למתקפת סייבר מסוכנת אף יותר. במקרה שעימותים בינלאומיים יסלימו במלוא עוצמתם במרחב הווירטואלי, צ'יינה טלקום, או ענקית תקשורת אחרת, תוכל לנסות לתבוע בעלות על חלקים מהאינטרנט שאינם שייכים לה בפועל. מהלך כזה יבלבל נתבים, שיצטרכו להקפיץ בין הצעות מתחרות על אותם בלוקים של כתובות אינטרנט. ללא היכולת להבחין בין אפליקציה לגיטימית מזויפת, הנתבים יתחילו לפעול בצורה לא סדירה. כתוצאה מכך, נעמוד מול המקבילה האינטרנטית למלחמה גרעינית - תצוגה פתוחה בקנה מידה גדול של עוינות. התפתחות כזו בתקופות של שלום יחסי נראית לא ריאלית, אבל מבחינה טכנית היא די ריאלית. [8]

ניסיון עקר לעבור מ-BGP ל-BGPSEC

אבטחת סייבר לא נלקחה בחשבון כשפותח BGP, מכיוון שבאותה תקופה פריצות היו נדירות והנזק מהן היה זניח. למפתחי BGP, מכיוון שעבדו עבור חברות תקשורת והיו מעוניינים למכור את ציוד הרשת שלהם, הייתה משימה דחופה יותר: להימנע מהתקלות ספונטניות של האינטרנט. מכיוון שהפרעות באינטרנט עלולות להרחיק את המשתמשים, ובכך להפחית את מכירות ציוד הרשת. [8]

לאחר התקרית עם העברת התנועה הצבאית האמריקאית דרך בייג'ינג באפריל 2010, קצב העבודה להבטחת אבטחת הסייבר של ניתוב BGP בהחלט הואץ. עם זאת, ספקי טלקום הראו התלהבות מועטה לשאת בעלויות הכרוכות במעבר לפרוטוקול הניתוב המאובטח החדש BGPSEC, שהוצע כתחליף ל-BGP הלא מאובטח. הספקים עדיין רואים BGP מקובל למדי, אפילו למרות אינספור מקרים של יירוט תנועה. [8]

ראדיה פרלמן, שכונתה "אמא של האינטרנט" על המצאת פרוטוקול רשת מרכזי נוסף ב-1988 (שנה לפני BGP), זכתה בעבודת דוקטורט נבואית ב-MIT. פרלמן חזה שפרוטוקול ניתוב התלוי ביושר של שכנים במרחב הווירטואלי אינו בטוח מיסודו. פרלמן דגל בשימוש בקריפטוגרפיה, שתסייע להגביל את האפשרות לזיוף. עם זאת, היישום של BGP כבר היה בעיצומו, קהילת ה-IT המשפיעה הייתה רגילה לכך, ולא רצתה לשנות דבר. לכן, לאחר אזהרות מנומקות של פרלמן, קלארק וכמה מומחים בולטים אחרים בעולם, החלק היחסי של ניתוב BGP מאובטח מבחינה קריפטוגרפית לא גדל כלל, והוא עדיין 0%. [8]

ניתוב BGP הוא לא הפריצה היחידה

וניתוב BGP הוא לא הפריצה היחידה שמאשרת את הרעיון ש"אין דבר קבוע יותר מפתרונות זמניים". לפעמים האינטרנט, ששוקע אותנו בעולמות פנטזיה, נראה אלגנטי כמו מכונית מירוץ. עם זאת, במציאות, עקב פריצות שנערמו זו על גבי זו, האינטרנט דומה יותר לפרנקנשטיין מאשר לפרארי. מכיוון שהפריצות הללו (שנקראות יותר רשמית תיקונים) לעולם אינן מוחלפות בטכנולוגיה אמינה. ההשלכות של גישה זו הן קשות: מדי יום ומדי שעה, פושעי סייבר פורצים למערכות פגיעות, ומרחיבים את היקף פשעי הסייבר לממדים בלתי נתפסים עד כה. [8]

רבים מהפגמים שנוצלו על ידי פושעי סייבר ידועים מזה זמן רב, ונשמרו אך ורק בשל הנטייה של קהילת ה-IT לפתור בעיות מתעוררות - עם פריצות/טלאים זמניים. לפעמים, בגלל זה, טכנולוגיות מיושנות נערמות זו על גבי זו במשך זמן רב, מקשות על חייהם של אנשים ומעמידים אותם בסכנה. מה הייתם חושבים אם הייתם יודעים שהבנק שלכם בונה את הכספת שלו על בסיס של קש ובוץ? האם היית סומך עליו שישמור את החסכונות שלך? [8]

הגישה חסרת הדאגות של לינוס טורוואלדס

עברו שנים עד שהאינטרנט הגיע למאה המחשבים הראשונים שלו. כיום מחוברים אליו 100 מחשבים חדשים והתקנים נוספים בכל שנייה. ככל שמכשירים המחוברים לאינטרנט מתפוצצים, כך גם הדחיפות של בעיות אבטחת סייבר מתפוצצות. עם זאת, האדם שיכול להיות לו את ההשפעה הגדולה ביותר על פתרון הבעיות הללו הוא זה שרואה את אבטחת הסייבר בזלזול. האיש הזה כונה גאון, בריון, מנהיג רוחני ודיקטטור מיטיב. לינוס טורוואלדס. הרוב המכריע של המכשירים המחוברים לאינטרנט מפעילים את מערכת ההפעלה שלו, לינוקס. מהיר, גמיש, חינמי - לינוקס הופכת יותר ויותר פופולרית עם הזמן. יחד עם זאת, הוא מתנהג בצורה מאוד יציבה. וזה יכול לעבוד ללא אתחול מחדש במשך שנים רבות. זו הסיבה ללינוקס יש את הכבוד להיות מערכת ההפעלה הדומיננטית. כמעט כל הציוד הממוחשב העומד לרשותנו כיום מפעיל לינוקס: שרתים, ציוד רפואי, מחשבי טיסה, מל"טים זעירים, מטוסים צבאיים ועוד ועוד. [9]

לינוקס מצליחה בעיקר בגלל שטורוואלדס שם דגש על ביצועים וסובלנות תקלות. עם זאת, הוא שם את הדגש הזה על חשבון אבטחת הסייבר. גם כשהמרחב הקיברנטי והעולם הפיזי האמיתי משתלבים זה בזה ואבטחת הסייבר הופכת לנושא עולמי, טורוואלדס ממשיך להתנגד להחדרת חידושים מאובטחים למערכת ההפעלה שלו. [9]

לכן, אפילו בקרב מעריצי לינוקס רבים, יש דאגה גוברת לגבי נקודות התורפה של מערכת הפעלה זו. בפרט, החלק האינטימי ביותר בלינוקס, הליבה שלו, שטורוואלדס עובד עליו באופן אישי. מעריצי לינוקס רואים שטורוואלדס לא מתייחס ברצינות לבעיות אבטחת סייבר. יתר על כן, טורוואלדס הקיף את עצמו במפתחים שחולקים את הגישה חסרת הדאגות הזו. אם מישהו מהמעגל הפנימי של טורוואלדס מתחיל לדבר על הצגת חידושים בטוחים, הוא מיד מוחזק. טורוואלדס פיטר קבוצה אחת של חדשנים כאלה, וכינה אותם "קופים מאוננים". כשטורוואלדס נפרד מקבוצה אחרת של מפתחים מודעים לאבטחה, הוא אמר להם, "האם תרצו להתאבד. העולם יהיה מקום טוב יותר בגלל זה". בכל פעם שזה הגיע להוספת תכונות אבטחה, טורוואלדס תמיד היה נגד זה. [9] לטורוואלדס יש אפילו פילוסופיה שלמה בהקשר זה, שאינה חסרת גרעין של שכל ישר:

"אבטחה מוחלטת אינה ניתנת להשגה. לכן, יש לשקול זאת תמיד רק ביחס לשאר העדיפויות: מהירות, גמישות וקלות שימוש. אנשים שמתמסרים לחלוטין למתן הגנה הם משוגעים. החשיבה שלהם מוגבלת, שחור ולבן. אבטחה כשלעצמה היא חסרת תועלת. המהות היא תמיד במקום אחר. לכן, אתה לא יכול להבטיח ביטחון מוחלט, גם אם אתה באמת רוצה. כמובן, יש אנשים ששמים לב יותר לבטיחות מאשר טורוואלדס. עם זאת, החבר'ה האלה פשוט עובדים על מה שמעניין אותם ומספקים ביטחון במסגרת היחסית הצרה שתוחמת את האינטרסים האלה. לא עוד. אז הם בשום אופן לא תורמים להגברת הביטחון המוחלט". [9]

סרגל צד: OpenSource הוא כמו חבית אבקה [10]

קוד OpenSource חסך מיליארדים בעלויות פיתוח תוכנה, ומבטל את הצורך במאמצים כפולים: עם OpenSource, יש למתכנתים הזדמנות להשתמש בחידושים עכשוויים ללא הגבלות או תשלום. OpenSource משמש בכל מקום. גם אם שכרתם מפתח תוכנה כדי לפתור את הבעיה המיוחדת שלכם מאפס, סביר להניח שמפתח זה ישתמש בסוג של ספריית OpenSource. וכנראה יותר מאחד. לפיכך, אלמנטים של OpenSource קיימים כמעט בכל מקום. יחד עם זאת, יש להבין שאף תוכנה אינה סטטית, הקוד שלה משתנה כל הזמן. לכן, עקרון "קבע את זה ושכח מזה" אף פעם לא עובד עבור קוד. כולל קוד OpenSource: במוקדם או במאוחר תידרש גרסה מעודכנת.

ב-2016 ראינו את ההשלכות של מצב עניינים זה: מפתח בן 28 "שבר" לזמן קצר את האינטרנט על ידי מחיקת קוד ה-OpenSource שלו, שקודם לכן הפך לזמין לציבור. הסיפור הזה מצביע על כך שתשתית הסייבר שלנו שברירית מאוד. יש אנשים - שתומכים בפרויקטים של OpenSource - כל כך חשובים לתחזוקתו, שאם חלילה הם ייפגעו מאוטובוס, האינטרנט יישבר.

קוד קשה לתחזוקה הוא המקום שבו אורבות פרצות אבטחת הסייבר החמורות ביותר. חברות מסוימות אפילו לא מבינות עד כמה הן פגיעות בגלל קוד שקשה לתחזק. פגיעויות הקשורות לקוד כזה יכולות להבשיל לבעיה אמיתית לאט מאוד: מערכות נרקבות לאט, מבלי להדגים כשלים גלויים בתהליך ההירקב. וכשהם נכשלים, ההשלכות הן קטלניות.

לבסוף, מכיוון שפרויקטי OpenSource מפותחים בדרך כלל על ידי קהילה של חובבים, כמו Linus Torvalds או כמו ההאקרים ממועדון הרכבת המודל שהוזכר בתחילת המאמר, לא ניתן לפתור בעיות עם קוד קשה לתחזוקה בדרכים מסורתיות (באמצעות מנופים מסחריים וממשלתיים). מכיוון שחברי קהילות כאלה מרוצים ומעריכים את עצמאותם מעל הכל.

סרגל צד: אולי שירותי המודיעין ומפתחי האנטי וירוס יגנו עלינו?

ב-2013 נודע כי למעבדת קספרסקי יש יחידה מיוחדת שביצעה חקירות מותאמות אישית של אירועי אבטחת מידע. עד לאחרונה, בראש המחלקה הזו עמד ראש המשטרה לשעבר, רוסלן סטויאנוב, שעבד בעבר במחלקה "K" של הבירה (USTM של המנהלת הראשית לעניינים פנים של מוסקבה). כל עובדי היחידה המיוחדת הזו של מעבדת קספרסקי מגיעים מרשויות אכיפת החוק, כולל ועדת החקירה ומנהלת "K". [אחד עשר]

בסוף 2016, ה-FSB עצר את רוסלן סטויאנוב והאשים אותו בבגידה. באותו מקרה נעצר סרגיי מיכאילוב, נציג בכיר של ה-FSB CIB (מרכז אבטחת מידע), שעליו, לפני המעצר, נקשרה כל אבטחת הסייבר של המדינה. [אחד עשר]

סרגל צד: אבטחת סייבר נאכפת

בקרוב יזמים רוסים ייאלצו להקדיש תשומת לב רצינית לאבטחת סייבר. בינואר 2017, ניקולאי מורשוב, נציג המרכז להגנת מידע ותקשורת מיוחדת, הצהיר כי ברוסיה, אובייקטי CII (תשתית מידע קריטית) בלבד הותקפו יותר מ-2016 מיליון פעמים ב-70. אובייקטי CII כוללים מערכות מידע של סוכנויות ממשלתיות, מפעלי תעשייה ביטחונית, תחבורה, אשראי ומגזרי פיננסיים, אנרגיה, דלק ותעשיות גרעיניות. כדי להגן עליהם, ב-26 ביולי, נשיא רוסיה ולדימיר פוטין חתם על חבילת חוקים "על בטיחות ה-CII". עד 1 בינואר 2018, עם כניסת החוק לתוקף, הבעלים של מתקני CII חייבים ליישם סדרה של אמצעים להגנה על התשתית שלהם מפני התקפות האקרים, בפרט, להתחבר ל-GosSOPKA. [12]

ביבליוגרפיה

1. ג'ונתן מילט. IoT: החשיבות של אבטחת המכשירים החכמים שלך // 2017.
2. רוס אנדרסון. איך נכשלות מערכות תשלום בכרטיס חכם // Black Hat. 2014.
3. SJ מרדוק. שבב ו-PIN שבורים // הליכים של סימפוזיון IEEE בנושא אבטחה ופרטיות. 2010. עמ'. 433-446.
4. דוד טלבוט. וירוסי מחשב "משתוללים" על מכשירים רפואיים בבתי חולים // MIT Technology Review (דיגיטל). 2012.
5. קרייג טימברג. נטו של חוסר ביטחון: זרימה בעיצוב // הוושינגטון פוסט. 2015.
6. מייקל ליסטה. הוא היה האקר מתבגר שהוציא את המיליונים שלו על מכוניות, בגדים ושעונים - עד שה-FBI תפס // טורונטו חיים. 2018.
7. קרייג טימברג. נטו של חוסר ביטחון: אסון ידוע מראש - והתעלמו ממנו // הוושינגטון פוסט. 2015.
8. קרייג טימברג. החיים הארוכים של 'תיקון' מהיר: פרוטוקול אינטרנט משנת 1989 מותיר נתונים פגיעים לחוטפים // הוושינגטון פוסט. 2015.
9. קרייג טימברג. נטו של חוסר ביטחון: גרעין הטיעון // הוושינגטון פוסט. 2015.
10. ג'ושוע גאנס. האם קוד קוד פתוח יכול להפוך את הפחדים שלנו מ-2 סוף סוף להתגשם? // הרווארד עסקים סקירה (דיגיטל). 2017.
11. המנהל הבכיר של קספרסקי נעצר על ידי FSB // CNews. 2017. כתובת אתר.
12. מריה קולומיצ'נקו. שירות מודיעין סייבר: Sberbank הציע להקים מטה למלחמה בהאקרים // RBC. 2017.

מקור: www.habr.com