როდესაც "შავი ქუდები" - როგორც კიბერსივრცის ველური ტყის მოწესრიგებულები - აღმოჩნდებიან განსაკუთრებით წარმატებულები თავიანთ ბინძურ საქმეში, ყვითელი მედია აღფრთოვანებული ყვირის. შედეგად, მსოფლიო კიბერუსაფრთხოებას უფრო სერიოზულად უყურებს. მაგრამ, სამწუხაროდ, მაშინვე არა. ამიტომ, კატასტროფული კიბერ ინციდენტების მზარდი რაოდენობის მიუხედავად, მსოფლიო ჯერ არ არის მომწიფებული აქტიური პროაქტიული ზომებისთვის. თუმცა, მოსალოდნელია, რომ უახლოეს მომავალში, „შავი ქუდების“ წყალობით, მსოფლიო სერიოზულად დაიწყებს კიბერუსაფრთხოებას. [7]

ისეთივე სერიოზული, როგორც ხანძარი... ქალაქები ოდესღაც ძალიან დაუცველები იყვნენ კატასტროფული ხანძრების მიმართ. თუმცა, პოტენციური საფრთხის მიუხედავად, პროაქტიული დამცავი ზომები არ იქნა მიღებული - თუნდაც 1871 წელს ჩიკაგოში გაჩენილი გიგანტური ხანძრის შემდეგ, რომელმაც ასობით ადამიანის სიცოცხლე შეიწირა და ასობით ათასი ადამიანი გადაასახლა. პროაქტიული დამცავი ზომები გატარდა მხოლოდ მას შემდეგ, რაც მსგავსი კატასტროფა განმეორდა, სამი წლის შემდეგ. იგივეა კიბერუსაფრთხოებასთან დაკავშირებით - მსოფლიო არ გადაჭრის ამ პრობლემას, თუ არ მოხდება კატასტროფული ინციდენტები. მაგრამ ასეთი ინციდენტები რომც მოხდეს, მსოფლიო ამ პრობლემას მაშინვე ვერ მოაგვარებს. [7] მაშასადამე, გამონათქვამიც კი: „სანამ შეცდომა არ დადგება, კაცი არ დალაგდება“, მთლად არ მუშაობს. სწორედ ამიტომ, 2018 წელს ჩვენ აღვნიშნეთ უსაზღვრო დაუცველობის 30 წელი.

ლირიკული გადახრა

ამ სტატიის დასაწყისი, რომელიც თავდაპირველად დავწერე ჟურნალის System Administrator-ისთვის, გარკვეული გაგებით წინასწარმეტყველური აღმოჩნდა. ჟურნალის გამოცემა ამ სტატიით გამოვიდა ფაქტიურად დღითი დღე კემეროვოს სავაჭრო ცენტრ "ზამთრის ალუბლის" ტრაგიკული ხანძრით (2018, 20 მარტი).

დააინსტალირეთ ინტერნეტი 30 წუთში

ჯერ კიდევ 1988 წელს, ლეგენდარულმა ჰაკერულმა გალაქტიკამ L0pht-მა, მთელი ძალით ისაუბრა ყველაზე გავლენიანი დასავლელი ოფიციალური პირების შეხვედრის წინ, განაცხადა: „თქვენი კომპიუტერიზებული აღჭურვილობა დაუცველია კიბერშეტევების მიმართ ინტერნეტიდან. და პროგრამული უზრუნველყოფა, აპარატურა და ტელეკომუნიკაცია. მათი გამყიდველები საერთოდ არ არიან შეშფოთებულნი ამ მდგომარეობით. იმის გამო, რომ თანამედროვე კანონმდებლობა არ ითვალისწინებს არანაირ პასუხისმგებლობას წარმოებული პროგრამული უზრუნველყოფისა და აპარატურის კიბერუსაფრთხოების უზრუნველსაყოფად დაუდევრობით მიდგომისთვის. პასუხისმგებლობა პოტენციურ წარუმატებლობებზე (იქნება ეს სპონტანური თუ გამოწვეული კიბერდანაშაულის ჩარევით) ეკისრება მხოლოდ აღჭურვილობის მომხმარებელს. რაც შეეხება ფედერალურ მთავრობას, მას ამ პრობლემის გადაჭრის არც უნარები აქვს და არც სურვილი. ამიტომ, თუ თქვენ ეძებთ კიბერუსაფრთხოებას, მაშინ ინტერნეტი არ არის მისი პოვნის ადგილი. თქვენს წინ მჯდომი შვიდი ადამიანიდან თითოეულს შეუძლია მთლიანად დაარღვიოს ინტერნეტი და, შესაბამისად, დაიკავოს სრული კონტროლი მასთან დაკავშირებულ აღჭურვილობაზე. თავისთავად. 30 წუთი ქორეოგრაფიული კლავიშების დარტყმა და ეს დასრულებულია." [7]

ჩინოვნიკებმა ნიშნისმოგებით დაუქნია თავი და ცხადყო, რომ მათ ესმით სიტუაციის სერიოზულობა, მაგრამ არაფერი გააკეთეს. დღეს, ზუსტად 30 წლის შემდეგ, L0pht-ის ლეგენდარული წარმოდგენებიდან, მსოფლიო კვლავ იტანჯება „გავრცელებული დაუცველობით“. კომპიუტერიზებული, ინტერნეტთან დაკავშირებული აღჭურვილობის გატეხვა იმდენად მარტივია, რომ ინტერნეტი, თავდაპირველად იდეალისტი მეცნიერებისა და ენთუზიასტების სამეფო, თანდათან დაიპყრო ყველაზე პრაგმატულმა პროფესიონალებმა: თაღლითები, თაღლითები, ჯაშუშები, ტერორისტები. ყველა მათგანი იყენებს კომპიუტერიზებული აღჭურვილობის დაუცველობას ფინანსური ან სხვა სარგებლობისთვის. [7]

გამყიდველები უგულებელყოფენ კიბერუსაფრთხოებას

გამყიდველები ზოგჯერ, რა თქმა უნდა, ცდილობენ გამოასწორონ ზოგიერთი გამოვლენილი დაუცველობა, მაგრამ ისინი ამას ძალიან უხალისოდ აკეთებენ. იმიტომ, რომ მათი მოგება მოდის არა ჰაკერებისგან დაცვით, არამედ იმ ახალი ფუნქციონალიდან, რომელსაც ისინი აწვდიან მომხმარებლებს. მხოლოდ მოკლევადიან მოგებაზე ორიენტირებული, გამყიდველები ფულს ინვესტირებენ მხოლოდ რეალური პრობლემების გადასაჭრელად და არა ჰიპოთეტური. კიბერუსაფრთხოება, ბევრი მათგანის თვალში, ჰიპოთეტური რამ არის. [7]

კიბერუსაფრთხოება არის უხილავი, არამატერიალური რამ. ის ხელშესახები ხდება მხოლოდ მაშინ, როცა მასთან პრობლემები წარმოიქმნება. თუ კარგად იზრუნებდნენ მასზე (დიდი ფული დახარჯეს მის უზრუნველყოფაზე) და პრობლემები არ შეექმნათ, საბოლოო მომხმარებელს არ მოუნდება ზედმეტი გადახდა. გარდა ამისა, ფინანსური ხარჯების გაზრდის გარდა, დამცავი ზომების განხორციელება მოითხოვს განვითარების დამატებით დროს, მოითხოვს აღჭურვილობის შესაძლებლობების შეზღუდვას და იწვევს მისი პროდუქტიულობის შემცირებას. [8]

ძნელია საკუთარი მარკეტოლოგების დარწმუნება ჩამოთვლილი ხარჯების მიზანშეწონილობაში, რომ აღარაფერი ვთქვათ საბოლოო მომხმარებლისთვის. და რადგან თანამედროვე გამყიდველები დაინტერესებულნი არიან მხოლოდ მოკლევადიანი გაყიდვების მოგებით, ისინი საერთოდ არ არიან მიდრეკილნი აიღონ პასუხისმგებლობა თავიანთი შემოქმედების კიბერუსაფრთხოებაზე. [1] მეორეს მხრივ, უფრო ფრთხილად მოვაჭრეები, რომლებიც ზრუნავდნენ თავიანთი აღჭურვილობის კიბერუსაფრთხოებაზე, დგანან იმ ფაქტის წინაშე, რომ კორპორატიული მომხმარებლები ამჯობინებენ უფრო იაფ და ადვილად გამოსაყენებელ ალტერნატივებს. რომ. აშკარაა, რომ კორპორატიულ მომხმარებლებს არც კიბერუსაფრთხოება აინტერესებთ. [8]

ზემოაღნიშნულის გათვალისწინებით, გასაკვირი არ არის, რომ გამყიდველები უგულებელყოფენ კიბერუსაფრთხოებას და იცავენ შემდეგ ფილოსოფიას: „განაგრძეთ აშენება, გააგრძელეთ გაყიდვა და საჭიროების შემთხვევაში შეასწორეთ. სისტემა დაიშალა? ინფორმაცია დაკარგე? მოიპარეს მონაცემთა ბაზა საკრედიტო ბარათის ნომრებით? არის თუ არა გამოვლენილი რაიმე ფატალური დაუცველობა თქვენს აღჭურვილობაში? Არაა პრობლემა!" მომხმარებლებმა, თავის მხრივ, უნდა დაიცვან პრინციპი: „გააკეთე და ილოცო“. [7]

როგორ ხდება ეს: მაგალითები ველურიდან

განვითარების დროს კიბერუსაფრთხოების უგულებელყოფის თვალსაჩინო მაგალითია მაიკროსოფტის კორპორატიული წახალისების პროგრამა: „თუ ვადები გამოტოვებთ, დაჯარიმდებით. თუ არ გაქვთ დრო, რომ დროულად წარადგინოთ თქვენი ინოვაცია, ის არ განხორციელდება. თუ ის არ განხორციელდება, თქვენ არ მიიღებთ კომპანიის აქციებს (ნაჭერი ტორტი Microsoft-ის მოგებიდან). 1993 წლიდან მაიკროსოფტმა დაიწყო თავისი პროდუქტების ინტერნეტთან დაკავშირება. ვინაიდან ეს ინიციატივა მოქმედებდა იმავე მოტივაციური პროგრამის შესაბამისად, ფუნქციონალობა უფრო სწრაფად გაფართოვდა, ვიდრე დაცვას შეეძლო შეენარჩუნებინა იგი. პრაგმატული დაუცველობის მონადირეების სასიხარულოდ... [7]

კიდევ ერთი მაგალითია სიტუაცია კომპიუტერებთან და ლეპტოპებთან დაკავშირებით: მათ არ მოჰყვებათ წინასწარ დაინსტალირებული ანტივირუსი; და ისინი ასევე არ ითვალისწინებენ ძლიერი პაროლების წინასწარ დაყენებას. ვარაუდობენ, რომ საბოლოო მომხმარებელი დააინსტალირებს ანტივირუსს და დააყენებს უსაფრთხოების კონფიგურაციის პარამეტრებს. [1]

კიდევ ერთი, უფრო ექსტრემალური მაგალითი: სიტუაცია საცალო აღჭურვილობის კიბერუსაფრთხოებასთან დაკავშირებით (სალარო აპარატები, სავაჭრო ცენტრების PoS ტერმინალები და ა.შ.). მოხდა ისე, რომ კომერციული აღჭურვილობის გამყიდველები ყიდიან მხოლოდ იმას, რაც იყიდება და არა უსაფრთხო. [2] თუ არის ერთი რამ, რაზეც კომერციული აღჭურვილობის გამყიდველები ზრუნავენ კიბერუსაფრთხოების თვალსაზრისით, ეს არის დარწმუნდნენ, რომ თუ საკამათო ინციდენტი მოხდება, პასუხისმგებლობა ეკისრება სხვებს. [3]

მოვლენების ამ განვითარების საჩვენებელი მაგალითია: EMV სტანდარტის პოპულარიზაცია საბანკო ბარათებისთვის, რომელიც საბანკო მარკეტოლოგების კომპეტენტური მუშაობის წყალობით წარმოგვიდგება ტექნიკურად დახვეწილი საზოგადოების თვალში, როგორც „მოძველებულის“ უფრო უსაფრთხო ალტერნატივა. მაგნიტური ბარათები. ამავდროულად, საბანკო ინდუსტრიის მთავარი მოტივაცია, რომელიც პასუხისმგებელი იყო EMV სტანდარტის შემუშავებაზე, იყო პასუხისმგებლობის გადატანა თაღლითურ ინციდენტებზე (კარდერების ბრალით მომხდარი) - მაღაზიებიდან მომხმარებლებზე. მაშინ, როცა ადრე (როდესაც გადახდები ხდებოდა მაგნიტური ბარათებით), ფინანსური პასუხისმგებლობა ეკისრებოდა მაღაზიებს სადებეტო/კრედიტის შეუსაბამობაზე. [3] ამრიგად ბანკები, რომლებიც ამუშავებენ გადახდებს, პასუხისმგებლობას ან მოვაჭრეებზე (რომლებიც იყენებენ მათ დისტანციურ საბანკო სისტემებს) ან ბანკებს, რომლებიც გასცემენ გადახდის ბარათებს; ეს უკანასკნელი, თავის მხრივ, პასუხისმგებლობას გადასცემს ბარათის მფლობელს. [2]

გამყიდველები ხელს უშლიან კიბერუსაფრთხოებას

ციფრული თავდასხმის ზედაპირი განუწყვეტლივ ფართოვდება - ინტერნეტთან დაკავშირებული მოწყობილობების აფეთქების წყალობით - კორპორატიულ ქსელთან დაკავშირებული ინფორმაციის თვალყურის დევნება სულ უფრო რთული ხდება. ამავდროულად, მოვაჭრეებმა შეშფოთება ინტერნეტთან დაკავშირებული ყველა აღჭურვილობის უსაფრთხოებასთან დაკავშირებით გადააქვთ საბოლოო მომხმარებელზე [1]: „დახრჩების გადარჩენა თავად დამხრჩვალების საქმეა“.

მოვაჭრეებს არა მხოლოდ არ აინტერესებთ თავიანთი შემოქმედების კიბერუსაფრთხოება, არამედ ზოგიერთ შემთხვევაში ისინი ხელს უშლიან მის უზრუნველყოფასაც. მაგალითად, როდესაც 2009 წელს Conficker ქსელის ჭიამ გაჟონა ბეთ ისრაელის სამედიცინო ცენტრში და დაინფიცირდა იქ არსებული სამედიცინო აღჭურვილობის ნაწილი, ამ სამედიცინო ცენტრის ტექნიკურმა დირექტორმა, მომავალში მსგავსი ინციდენტების თავიდან ასაცილებლად, გადაწყვიტა გამორთოთ ოპერაციის მხარდაჭერის ფუნქცია მოწყობილობებზე, რომლებიც გავლენას ახდენს ჭია ქსელთან ერთად. თუმცა ის ფაქტის წინაშე დადგა, რომ „მარეგულირებელი შეზღუდვების გამო აპარატურა ვერ განახლდა“. მას მნიშვნელოვანი ძალისხმევა დასჭირდა გამყიდველთან მოლაპარაკებისთვის ქსელის ფუნქციების გამორთვისთვის. [4]

ინტერნეტის ფუნდამენტური კიბერ-დაუცველობა

დევიდ კლარკი, ლეგენდარული MIT პროფესორი, რომლის გენიალურობამ მას მეტსახელი "ალბუს დამბლდორი" უწოდა, იხსენებს იმ დღეს, როდესაც ინტერნეტის ბნელი მხარე გამოვლინდა მსოფლიოსთვის. კლარკი ხელმძღვანელობდა სატელეკომუნიკაციო კონფერენციას 1988 წლის ნოემბერში, როდესაც გავრცელდა ინფორმაცია იმის შესახებ, რომ ისტორიაში პირველი კომპიუტერული ჭია გადაიჩეხა ქსელის სადენებში. კლარკმა გაიხსენა ეს მომენტი, რადგან მის კონფერენციაზე დამსწრე სპიკერმა (ერთ-ერთი წამყვანი სატელეკომუნიკაციო კომპანიის თანამშრომელი) პასუხისმგებელი იყო ამ ჭიის გავრცელებისთვის. ამ გამომსვლელმა, ემოციების სიცხეში, უნებურად თქვა: "აი, წადი!" მე, როგორც ჩანს, დავხურე ეს დაუცველობა“, - გადაიხადა მან ეს სიტყვები. [5]

თუმცა, მოგვიანებით გაირკვა, რომ დაუცველობა, რომლითაც აღნიშნული ჭია გავრცელდა, არ იყო რომელიმე ცალკეული ადამიანის დამსახურება. და ეს, მკაცრად რომ ვთქვათ, არ იყო დაუცველობა, არამედ ინტერნეტის ფუნდამენტური მახასიათებელი: ინტერნეტის დამფუძნებლები, თავიანთი გონების განვითარებისას, ყურადღებას ამახვილებდნენ ექსკლუზიურად მონაცემთა გადაცემის სიჩქარეზე და შეცდომების ტოლერანტობაზე. მათ არ დაუყენებიათ კიბერუსაფრთხოების უზრუნველყოფის ამოცანა. [5]

დღეს, ინტერნეტის დაარსებიდან ათწლეულების შემდეგ - ასობით მილიარდი დოლარი უკვე დაიხარჯა კიბერუსაფრთხოების უშედეგო მცდელობებზე - ინტერნეტი არანაკლებ დაუცველია. მისი კიბერუსაფრთხოების პრობლემები ყოველწლიურად უარესდება. თუმცა, გვაქვს თუ არა უფლება ამის გამო დავგმოთ ინტერნეტის დამფუძნებლები? ბოლოს და ბოლოს, მაგალითად, არავინ დაგმობს ჩქაროსნული გზების მშენებლებს იმის გამო, რომ ავარიები ხდება „მათ გზებზე“; და არავინ დაგმობს ქალაქმგეგმარებლებს იმის გამო, რომ ძარცვა ხდება "მათ ქალაქებში". [5]

როგორ დაიბადა ჰაკერების სუბკულტურა

ჰაკერების სუბკულტურა წარმოიშვა 1960-იანი წლების დასაწყისში, "რკინიგზის ტექნიკური მოდელირების კლუბში" (მოქმედი მასაჩუსეტსის ტექნოლოგიური ინსტიტუტის კედლებში). კლუბის ენთუზიასტებმა დააპროექტეს და ააწყვეს რკინიგზის მოდელი, იმდენად დიდი, რომ მთელ ოთახს ავსებდა. კლუბის წევრები სპონტანურად დაიყვნენ ორ ჯგუფად: მშვიდობისმყოფელებად და სისტემის სპეციალისტებად. [6]

პირველი მუშაობდა მოდელის მიწისზედა ნაწილთან, მეორე - მიწისქვეშა. პირველებმა შეაგროვეს და დაამშვენეს მატარებლებისა და ქალაქების მოდელები: მათ მთელი მსოფლიო მინიატურულად შექმნეს. ეს უკანასკნელი მუშაობდა მთელი ამ მშვიდობის დამყარების ტექნიკურ მხარდაჭერაზე: მოდელის მიწისქვეშა ნაწილში მდებარე მავთულის, რელეებისა და კოორდინატთა გადამრთველების სირთულე - ყველაფერი, რაც აკონტროლებდა "ზედამიწის" ნაწილს და კვებავდა მას ენერგიით. [6]

როდესაც იყო საგზაო პრობლემა და ვინმემ მოიფიქრა ახალი და გენიალური გადაწყვეტა მის გამოსასწორებლად, გამოსავალს "ჰაკს" უწოდებდნენ. კლუბის წევრებისთვის ახალი ჰაკერების ძიება ცხოვრების შინაგან აზრად იქცა. ამიტომაც დაიწყეს საკუთარი თავის „ჰაკერების“ მოწოდება. [6]

ჰაკერების პირველმა თაობამ სიმულაციური რკინიგზის კლუბში შეძენილი უნარები განახორციელა დახშულ ბარათებზე კომპიუტერული პროგრამების დაწერით. შემდეგ, როდესაც ARPANET (ინტერნეტის წინამორბედი) შემოვიდა კამპუსში 1969 წელს, ჰაკერები გახდნენ მისი ყველაზე აქტიური და გამოცდილი მომხმარებლები. [6]

ახლა, ათწლეულების შემდეგ, თანამედროვე ინტერნეტი ჰგავს რკინიგზის მოდელის იმ „მიწისქვეშა“ ნაწილს. იმის გამო, რომ მისი დამფუძნებლები იყვნენ იგივე ჰაკერები, "რკინიგზის სიმულაციური კლუბის" სტუდენტები. ახლა მხოლოდ ჰაკერები მართავენ რეალურ ქალაქებს სიმულირებული მინიატურების ნაცვლად. [6]

როგორ გაჩნდა BGP მარშრუტიზაცია

80-იანი წლების ბოლოს, ინტერნეტთან დაკავშირებული მოწყობილობების რაოდენობის ზვავის მსგავსი ზრდის შედეგად, ინტერნეტი მიუახლოვდა მყარ მათემატიკურ ლიმიტს, რომელიც ჩაშენებულია ერთ-ერთ ძირითად ინტერნეტ პროტოკოლში. ამიტომ, იმდროინდელ ინჟინერებს შორის ნებისმიერი საუბარი საბოლოოდ გადაიზარდა ამ პრობლემის განხილვაში. გამონაკლისი არც ორი მეგობარი იყო: ჯეიკობ რეხტერი (ინჟინერი IBM-დან) და კირკ ლოკჰიდი (Cisco-ს დამფუძნებელი). სადილის მაგიდასთან შემთხვევით შეხვედრის შემდეგ მათ დაიწყეს ინტერნეტის ფუნქციონირების შესანარჩუნებლად ზომების განხილვა. მეგობრებმა ჩაწერეს იდეები, რაც გაჩნდა, რაც კი ხელთ მოედო - კეტჩუპით შეღებილ ხელსახოციზე. მერე მეორე. მერე მესამე. "სამი ხელსახოცის პროტოკოლმა", როგორც მას ხუმრობით უწოდეს გამომგონებლებმა - ოფიციალურ წრეებში ცნობილი როგორც BGP (Border Gateway Protocol) - მალე რევოლუცია მოახდინა ინტერნეტში. [8]

Rechter-ისა და Lockheed-ისთვის BGP უბრალოდ ჩვეულებრივი ჰაკი იყო, რომელიც შეიქმნა ზემოხსენებული მოდელის სარკინიგზო კლუბის სულისკვეთებით, დროებითი გადაწყვეტა, რომელიც მალე შეიცვლება. მეგობრებმა BGP შექმნეს 1989 წელს. თუმცა, დღეს, 30 წლის შემდეგ, ინტერნეტ ტრაფიკის უმეტესი ნაწილი კვლავ მარშრუტდება "სამი ხელსახოცის პროტოკოლის" გამოყენებით - მიუხედავად კიბერუსაფრთხოების კრიტიკული პრობლემების შესახებ მზარდი საგანგაშო მოწოდებისა. დროებითი ჰაკინგი გახდა ერთ-ერთი ძირითადი ინტერნეტ პროტოკოლი და მისმა დეველოპერებმა საკუთარი გამოცდილებიდან შეიტყვეს, რომ „არაფერია უფრო მუდმივი, ვიდრე დროებითი გადაწყვეტილებები“. [8]

ქსელები მთელს მსოფლიოში გადავიდა BGP-ზე. გავლენიან მოვაჭრეებს, მდიდარ კლიენტებს და სატელეკომუნიკაციო კომპანიებს სწრაფად შეუყვარდათ BGP და მიეჩვივნენ მას. ამიტომ, ამ პროტოკოლის დაუცველობის შესახებ უფრო და უფრო მეტი განგაშის მიუხედავად, IT საზოგადოება მაინც არ იჩენს ენთუზიაზმს ახალ, უფრო უსაფრთხო აღჭურვილობაზე გადასვლის მიმართ. [8]

კიბერ-დაუცველი BGP მარშრუტიზაცია

რატომ არის BGP მარშრუტიზაცია ასე კარგი და რატომ არ ჩქარობს IT საზოგადოება მის მიტოვებას? BGP ეხმარება მარშრუტიზატორებს მიიღონ გადაწყვეტილებები იმის შესახებ, თუ სად გაატარონ მონაცემთა უზარმაზარი ნაკადი, რომელიც გაგზავნილია გადაკვეთის საკომუნიკაციო ხაზების უზარმაზარ ქსელში. BGP ეხმარება მარშრუტიზატორებს აირჩიონ შესაბამისი გზები, მიუხედავად იმისა, რომ ქსელი მუდმივად იცვლება და პოპულარული მარშრუტები ხშირად განიცდიან საცობებს. პრობლემა ის არის, რომ ინტერნეტს არ აქვს გლობალური მარშრუტიზაციის რუკა. მარშრუტიზატორები, რომლებიც იყენებენ BGP-ს, იღებენ გადაწყვეტილებებს ამა თუ იმ გზის არჩევის შესახებ კიბერსივრცეში მეზობლებისგან მიღებული ინფორმაციის საფუძველზე, რომლებიც თავის მხრივ აგროვებენ ინფორმაციას მეზობლებისგან და ა.შ. თუმცა, ეს ინფორმაცია შეიძლება ადვილად გაყალბდეს, რაც იმას ნიშნავს, რომ BGP მარშრუტი ძალიან დაუცველია MiTM შეტევების მიმართ. [8]

ამიტომ, რეგულარულად ჩნდება შემდეგი კითხვები: „რატომ გაიარა ტრაფიკმა ორ კომპიუტერს შორის დენვერში გიგანტური შემოვლითი გზა ისლანდიის გავლით?“, „რატომ იქნა პენტაგონის საიდუმლო მონაცემები პეკინის გავლით ტრანზიტის დროს?“ არსებობს ტექნიკური პასუხები მსგავს კითხვებზე, მაგრამ ეს ყველაფერი მოდის იმ ფაქტზე, რომ BGP მუშაობს ნდობაზე: ნდობა მეზობელი მარშრუტიზატორებისგან მიღებული რეკომენდაციების მიმართ. BGP პროტოკოლის სანდო ბუნების წყალობით, იდუმალი ტრაფიკის მეთაურებს შეუძლიათ სხვა ადამიანების მონაცემთა ნაკადების მოზიდვა მათ დომენში, თუ მათ სურთ. [8]

ცოცხალი მაგალითია ჩინეთის BGP თავდასხმა ამერიკულ პენტაგონზე. 2010 წლის აპრილში, სახელმწიფო ტელეკომის გიგანტმა China Telecom-მა გაუგზავნა ათიათასობით მარშრუტიზატორი მთელს მსოფლიოში, მათ შორის 16 შეერთებულ შტატებში, BGP შეტყობინება, რომელშიც ნათქვამია, რომ უკეთესი მარშრუტები ჰქონდათ. სისტემის გარეშე, რომელსაც შეეძლო ჩინეთის ტელეკომის BGP შეტყობინების მართებულობის გადამოწმება, მარშრუტიზატორებმა მთელს მსოფლიოში დაიწყეს მონაცემების გაგზავნა პეკინის გავლით. მათ შორის ტრაფიკი პენტაგონიდან და აშშ-ს თავდაცვის დეპარტამენტის სხვა საიტებიდან. ტრაფიკის გადამისამართების სიმარტივე და ამ ტიპის თავდასხმებისგან ეფექტური დაცვის ნაკლებობა BGP მარშრუტის დაუცველობის კიდევ ერთი ნიშანია. [8]

BGP პროტოკოლი თეორიულად დაუცველია კიდევ უფრო საშიში კიბერშეტევის მიმართ. იმ შემთხვევაში, თუ კიბერსივრცეში საერთაშორისო კონფლიქტები მთელი ძალით გამწვავდება, China Telecom, ან სხვა სატელეკომუნიკაციო გიგანტი, შეიძლება შეეცადოს მოითხოვოს საკუთრება ინტერნეტის იმ ნაწილებზე, რომლებიც რეალურად მას არ ეკუთვნის. ასეთი ნაბიჯი დააბნევს მარშრუტიზატორებს, რომლებსაც მოუწევთ გადახტომა კონკურენტ წინადადებებს შორის ინტერნეტ მისამართების იგივე ბლოკებისთვის. ლეგიტიმური აპლიკაციის ყალბისაგან გარჩევის შესაძლებლობის გარეშე, მარშრუტიზატორები დაიწყებდნენ არასწორად მოქმედებას. შედეგად, ჩვენ აღმოვჩნდით ბირთვული ომის ინტერნეტ ეკვივალენტის წინაშე - მტრობის ღია, ფართომასშტაბიანი ჩვენება. შედარებით მშვიდობის დროს ასეთი განვითარება არარეალურია, მაგრამ ტექნიკურად სავსებით შესაძლებელია. [8]

BGP-დან BGPSEC-ზე გადასვლის უშედეგო მცდელობა

BGP-ის შემუშავებისას კიბერუსაფრთხოება არ იყო გათვალისწინებული, რადგან იმ დროს ჰაკები იშვიათი იყო და მათგან მიყენებული ზიანი უმნიშვნელო იყო. BGP-ის დეველოპერებს, რადგან ისინი მუშაობდნენ სატელეკომუნიკაციო კომპანიებში და დაინტერესებული იყვნენ მათი ქსელური აღჭურვილობის გაყიდვით, უფრო აქტუალური ამოცანა ჰქონდათ: თავიდან აიცილონ ინტერნეტის სპონტანური ავარია. იმის გამო, რომ ინტერნეტში შეფერხებებს შეუძლია მომხმარებლების გაუცხოება და ამით შეამციროს ქსელური აღჭურვილობის გაყიდვები. [8]

2010 წლის აპრილში პეკინის გავლით ამერიკული სამხედრო ტრაფიკის გადაცემის ინციდენტის შემდეგ, BGP მარშრუტიზაციის კიბერუსაფრთხოების უზრუნველსაყოფად მუშაობის ტემპი, რა თქმა უნდა, დაჩქარდა. თუმცა, ტელეკომის მომწოდებლებმა მცირე ენთუზიაზმი გამოავლინეს იმ ხარჯების გატარებით, რომლებიც დაკავშირებულია ახალ უსაფრთხო მარშრუტიზაციის პროტოკოლზე BGPSEC-ზე მიგრაციასთან, რომელიც შემოთავაზებულია დაუცველი BGP-ის შემცვლელად. გამყიდველები მაინც თვლიან BGP-ს საკმაოდ მისაღებად, მიუხედავად იმისა, რომ ტრაფიკის ჩარევის უამრავი შემთხვევაა. [8]

რადია პერლმანმა, რომელსაც "ინტერნეტის დედა" უწოდეს, 1988 წელს (BGP-მდე ერთი წლით ადრე) კიდევ ერთი მთავარი ქსელის პროტოკოლის გამოგონებისთვის, მიიღო წინასწარმეტყველური სადოქტორო დისერტაცია MIT-ში. პერლმანმა იწინასწარმეტყველა, რომ მარშრუტიზაციის პროტოკოლი, რომელიც დამოკიდებულია კიბერსივრცეში მეზობლების პატიოსნებაზე, ფუნდამენტურად დაუცველია. პერლმანი მხარს უჭერდა კრიპტოგრაფიის გამოყენებას, რაც ხელს შეუწყობს გაყალბების შესაძლებლობის შეზღუდვას. თუმცა, BGP-ის განხორციელება უკვე გაჩაღდა, გავლენიანი IT საზოგადოება მიჩვეული იყო და არაფრის შეცვლა არ სურდა. ამიტომ, პერლმანის, კლარკის და სხვა ცნობილი მსოფლიო ექსპერტების დასაბუთებული გაფრთხილებების შემდეგ, კრიპტოგრაფიულად უსაფრთხო BGP მარშრუტიზაციის შედარებითი წილი საერთოდ არ გაიზარდა და კვლავ 0%-ია. [8]

BGP მარშრუტიზაცია არ არის ერთადერთი ჰაკი

და BGP მარშრუტიზაცია არ არის ერთადერთი ჰაკი, რომელიც ადასტურებს აზრს, რომ „არაფერია უფრო მუდმივი, ვიდრე დროებითი გადაწყვეტილებები“. ზოგჯერ ინტერნეტი, რომელიც ფანტასტიკურ სამყაროებში ჩაგვძირავს, ისეთივე ელეგანტური გვეჩვენება, როგორც სარბოლო მანქანა. თუმცა, სინამდვილეში, ერთმანეთზე დაყრილი ჰაკერების გამო, ინტერნეტი უფრო ფრანკენშტეინს ჰგავს, ვიდრე ფერარის. იმის გამო, რომ ეს ჰაკები (უფრო ოფიციალურად სახელწოდებით პატჩები) არასოდეს შეიცვლება საიმედო ტექნოლოგიით. ამ მიდგომის შედეგები საშინელია: კიბერკრიმინალები ყოველდღიურად და საათობრივად ჭრიან დაუცველ სისტემებს, აფართოებენ კიბერდანაშაულის ფარგლებს აქამდე წარმოუდგენელ პროპორციებამდე. [8]

კიბერკრიმინალების მიერ გამოყენებული მრავალი ხარვეზი დიდი ხანია ცნობილია და შენარჩუნებულია მხოლოდ IT საზოგადოების ტენდენციის გამო, გადაჭრას წარმოშობილი პრობლემები - დროებითი ჰაკებით/პაჩებით. ზოგჯერ ამის გამო მოძველებული ტექნოლოგიები დიდი ხნით გროვდება ერთმანეთზე, რაც ართულებს ადამიანებს სიცოცხლეს და საფრთხეში აყენებს მათ. რას იფიქრებდით, თუ გაიგებდით, რომ თქვენი ბანკი თავის სარდაფს აშენებს ჩალისა და ტალახის საძირკველზე? ენდობით მას თქვენი დანაზოგის შენარჩუნებას? [8]

ლინუს ტორვალდის უდარდელი დამოკიდებულება

წლები გავიდა, სანამ ინტერნეტი თავის პირველ ას კომპიუტერს მიაღწევდა. დღეს მას ყოველ წამში 100 ახალი კომპიუტერი და სხვა მოწყობილობა უერთდება. ინტერნეტთან დაკავშირებული მოწყობილობების აფეთქებასთან ერთად, იზრდება კიბერუსაფრთხოების საკითხების აქტუალურობა. თუმცა, ადამიანი, რომელსაც შეუძლია უდიდესი გავლენა მოახდინოს ამ პრობლემების გადაჭრაზე, არის ის, ვინც კიბერუსაფრთხოებას ზიზღით უყურებს. ამ კაცს გენიოსს, მოძალადეს, სულიერ ლიდერს და კეთილგანწყობილ დიქტატორს უწოდებდნენ. ლინუს ტორვალდსი. ინტერნეტთან დაკავშირებული მოწყობილობების დიდი უმრავლესობა მუშაობს მის ოპერაციულ სისტემაზე, Linux-ზე. სწრაფი, მოქნილი, უფასო - Linux დროთა განმავლობაში სულ უფრო პოპულარული ხდება. ამავე დროს, ის ძალიან სტაბილურად იქცევა. და მას შეუძლია მრავალი წლის განმავლობაში გადატვირთვის გარეშე იმუშაოს. სწორედ ამიტომ Linux-ს აქვს პატივი იყოს დომინანტური ოპერაციული სისტემა. დღეს ჩვენთვის ხელმისაწვდომი თითქმის ყველა კომპიუტერიზებული მოწყობილობა მუშაობს Linux-ზე: სერვერები, სამედიცინო აღჭურვილობა, ფრენის კომპიუტერები, პაწაწინა დრონები, სამხედრო თვითმფრინავები და მრავალი სხვა. [9]

Linux დიდწილად წარმატებას მიაღწევს, რადგან Torvalds ხაზს უსვამს შესრულებას და შეცდომების შემწყნარებლობას. თუმცა, ის ამ აქცენტს კიბერუსაფრთხოების ხარჯზე აკეთებს. მაშინაც კი, როცა კიბერსივრცე და რეალური ფიზიკური სამყარო ერთმანეთს ერწყმის და კიბერუსაფრთხოება გლობალურ პრობლემად იქცევა, ტორვალდსი აგრძელებს წინააღმდეგობას თავის ოპერაციულ სისტემაში უსაფრთხო ინოვაციების დანერგვაზე. [9]

ამიტომ, Linux-ის ბევრ გულშემატკივარშიც კი, იზრდება შეშფოთება ამ ოპერაციული სისტემის დაუცველობასთან დაკავშირებით. კერძოდ, Linux-ის ყველაზე ინტიმური ნაწილი, მისი ბირთვი, რომელზეც ტორვალდსი მუშაობს პირადად. Linux-ის გულშემატკივრები ხედავენ, რომ ტორვალდი სერიოზულად არ იღებს კიბერუსაფრთხოების საკითხებს. უფრო მეტიც, ტორვალდსი გარშემორტყმული იყო დეველოპერებით, რომლებიც იზიარებენ ამ უდარდელ დამოკიდებულებას. თუ ვინმე ტორვალდის ახლო წრიდან იწყებს საუბარს უსაფრთხო ინოვაციების დანერგვაზე, მას მაშინვე ანათემებენ. ტორვალდმა გაათავისუფლა ასეთი ინოვატორების ერთი ჯგუფი და უწოდა მათ "მასტურბირებელ მაიმუნებს". როდესაც ტორვალდსი დაემშვიდობა უსაფრთხოების მცოდნე დეველოპერების სხვა ჯგუფს, მან უთხრა მათ: „იქნებთ ისეთი კეთილი, რომ თავი მოიკლათ. ამის გამო სამყარო უკეთესი ადგილი იქნებოდა." როდესაც საქმე ეხებოდა უსაფრთხოების ფუნქციების დამატებას, ტორვალდი ყოველთვის წინააღმდეგი იყო. [9] ტორვალდსს კი აქვს მთელი ფილოსოფია ამ მხრივ, რომელიც არ არის საღი აზრის მარცვლების გარეშე:

„აბსოლუტური უსაფრთხოება მიუღწეველია. ამიტომ, ის ყოველთვის უნდა განიხილებოდეს მხოლოდ სხვა პრიორიტეტებთან მიმართებაში: სიჩქარე, მოქნილობა და გამოყენების სიმარტივე. ადამიანები, რომლებიც მთლიანად ეძღვნება დაცვას, გიჟები არიან. მათი აზროვნება შეზღუდულია, შავი და თეთრი. უსაფრთხოება თავისთავად უსარგებლოა. არსი ყოველთვის სხვაგანაა. ამიტომ, თქვენ არ შეგიძლიათ უზრუნველყოთ აბსოლუტური უსაფრთხოება, თუნდაც ძალიან გინდოდეთ. რა თქმა უნდა, არიან ადამიანები, რომლებიც უფრო მეტ ყურადღებას აქცევენ უსაფრთხოებას, ვიდრე ტორვალდები. თუმცა, ეს ბიჭები უბრალოდ მუშაობენ იმაზე, რაც მათ აინტერესებს და უზრუნველყოფენ უსაფრთხოებას იმ ვიწრო ფარდობით ჩარჩოში, რომელიც ასახავს ამ ინტერესებს. Მეტი აღარ. ასე რომ, ისინი არანაირად არ უწყობენ ხელს აბსოლუტური უსაფრთხოების გაზრდას. ” [9]

Sidebar: OpenSource ჰგავს ფხვნილის კასრს [10]

OpenSource-ის კოდმა დაზოგა მილიარდობით პროგრამული უზრუნველყოფის განვითარების ხარჯები, რაც გამორიცხავს დუბლიკატი ძალისხმევის აუცილებლობას: OpenSource-ით პროგრამისტებს აქვთ შესაძლებლობა გამოიყენონ მიმდინარე ინოვაციები შეზღუდვებისა და გადახდის გარეშე. OpenSource ყველგან გამოიყენება. მაშინაც კი, თუ თქვენ დაიქირავეთ პროგრამული უზრუნველყოფის დეველოპერი თქვენი სპეციალიზებული პრობლემის თავიდან ასაცილებლად, ეს დეველოპერი დიდი ალბათობით გამოიყენებს რაიმე სახის OpenSource ბიბლიოთეკას. და ალბათ ერთზე მეტი. ამრიგად, OpenSource ელემენტები თითქმის ყველგან არის წარმოდგენილი. ამავე დროს, უნდა გვესმოდეს, რომ არცერთი პროგრამა არ არის სტატიკური; მისი კოდი მუდმივად იცვლება. ამიტომ, „ადგილი და დაივიწყე“ პრინციპი არასდროს მუშაობს კოდისთვის. OpenSource კოდის ჩათვლით: ადრე თუ გვიან საჭირო იქნება განახლებული ვერსია.

2016 წელს ჩვენ დავინახეთ ამ მდგომარეობის შედეგები: 28 წლის დეველოპერმა მოკლედ „გატეხა“ ინტერნეტი თავისი OpenSource კოდის წაშლით, რომელიც მან ადრე გახადა საჯაროდ ხელმისაწვდომი. ეს ამბავი მიუთითებს იმაზე, რომ ჩვენი კიბერინფრასტრუქტურა ძალიან მყიფეა. ზოგიერთი ადამიანი - ვინც მხარს უჭერს OpenSource პროექტებს - იმდენად მნიშვნელოვანია მისი შენარჩუნება, რომ თუ ღმერთმა ქნას, ავტობუსი მოხვდეს, ინტერნეტი გაფუჭდება.

ძნელად შესანახი კოდი არის ადგილი, სადაც კიბერუსაფრთხოების ყველაზე სერიოზული დაუცველობა იმალება. ზოგიერთ კომპანიას არც კი ესმის, რამდენად დაუცველია ძნელად შესანარჩუნებელი კოდის გამო. ასეთ კოდთან დაკავშირებული დაუცველობა შეიძლება ძალიან ნელა გადაიზარდოს რეალურ პრობლემად: სისტემები ნელა ლპება, გაფუჭების პროცესში ხილული წარუმატებლობის დემონსტრირების გარეშე. და როდესაც ისინი მარცხდებიან, შედეგები ფატალურია.

დაბოლოს, რადგან OpenSource-ის პროექტები, როგორც წესი, შემუშავებულია ენთუზიასტების საზოგადოების მიერ, როგორიცაა ლინუს ტორვალდსი ან ჰაკერების მსგავსად სტატიის დასაწყისში ნახსენები Model Railroad Club-ის ჰაკერების მსგავსად, ძნელად შესანახ კოდთან დაკავშირებული პრობლემები არ შეიძლება გადაწყდეს ტრადიციული გზებით (გამოყენებით კომერციული და სამთავრობო ბერკეტები). იმის გამო, რომ ასეთი თემების წევრები მიზანმიმართულნი არიან და ყველაფერზე მეტად აფასებენ მათ დამოუკიდებლობას.

Sidebar: იქნებ სადაზვერვო სამსახურებმა და ანტივირუსის დეველოპერებმა დაგვიცვას?

2013 წელს ცნობილი გახდა, რომ კასპერსკის ლაბორატორიას ჰყავდა სპეციალური განყოფილება, რომელიც ახორციელებდა ინფორმაციული უსაფრთხოების ინციდენტების საბაჟო გამოძიებას. ბოლო დრომდე ამ განყოფილებას ხელმძღვანელობდა პოლიციის ყოფილი მაიორი, რუსლან სტოიანოვი, რომელიც ადრე მუშაობდა დედაქალაქის განყოფილებაში "K" (მოსკოვის შინაგან საქმეთა მთავარი სამმართველოს USTM). კასპერსკის ლაბორატორიის ამ სპეციალური განყოფილების ყველა თანამშრომელი მოდის სამართალდამცავი ორგანოებიდან, მათ შორის საგამოძიებო კომიტეტიდან და დირექტორატი "K". [თერთმეტი]

2016 წლის ბოლოს FSB-მ დააკავა რუსლან სტოიანოვი და ბრალი წაუყენა ღალატში. ამავე საქმეზე დააკავეს FSB CIB-ის (ინფორმაციული უსაფრთხოების ცენტრი) მაღალი რანგის წარმომადგენელი სერგეი მიხაილოვი, რომელზეც დაკავებამდე ქვეყნის მთელი კიბერუსაფრთხოება იყო მიბმული. [თერთმეტი]

გვერდითი პანელი: კიბერუსაფრთხოება დანერგილია

მალე რუსი მეწარმეები იძულებულნი იქნებიან სერიოზული ყურადღება მიაქციონ კიბერუსაფრთხოებას. 2017 წლის იანვარში, ინფორმაციის დაცვისა და სპეციალური კომუნიკაციების ცენტრის წარმომადგენელმა ნიკოლაი მურაშოვმა განაცხადა, რომ რუსეთში მხოლოდ CII ობიექტებზე (კრიტიკულ საინფორმაციო ინფრასტრუქტურაზე) 2016 წელს 70 მილიონზე მეტი თავდასხმა მოხდა. CII ობიექტები მოიცავს სამთავრობო უწყებების, თავდაცვის ინდუსტრიის საწარმოების, ტრანსპორტის, საკრედიტო და ფინანსური სექტორების, ენერგეტიკის, საწვავის და ბირთვული მრეწველობის საინფორმაციო სისტემებს. მათ დასაცავად 26 ივლისს რუსეთის პრეზიდენტმა ვლადიმერ პუტინმა ხელი მოაწერა კანონების პაკეტს „CII უსაფრთხოების შესახებ“. 1 წლის 2018 იანვრამდე, როდესაც კანონი ამოქმედდება, CII ობიექტების მფლობელებმა უნდა განახორციელონ ღონისძიებების მთელი რიგი, რათა დაიცვან თავიანთი ინფრასტრუქტურა ჰაკერული შეტევებისგან, კერძოდ, დაუკავშირდნენ GosSOPKA-ს. [12]

ბიბლიოგრაფია

1. ჯონათან მილეტი. IoT: თქვენი ჭკვიანი მოწყობილობების დაცვის მნიშვნელობა // 2017 წ.
2. როს ანდერსონი. როგორ იშლება ჭკვიანი ბარათის გადახდის სისტემები // Black Hat. 2014 წელი.
3. SJ მერდოკი. ჩიპი და PIN გატეხილია // IEEE სიმპოზიუმის შრომები უსაფრთხოებისა და კონფიდენციალურობის შესახებ. 2010. გვ. 433-446 წწ.
4. დევიდ ტალბოტი. კომპიუტერული ვირუსები "გავრცელდა" სამედიცინო მოწყობილობებზე საავადმყოფოებში // MIT Technology Review (ციფრული). 2012 წელი.
5. კრეიგ ტიმბერგი. დაუცველობის ქსელი: ნაკადი დიზაინში // Washington Post. 2015 წელი.
6. მაიკლ სია. ის იყო თინეიჯერი ჰაკერი, რომელიც თავის მილიონებს ხარჯავდა მანქანებზე, ტანსაცმელსა და საათებზე - სანამ FBI არ დაიჭირეს. // Toronto Life. 2018 წელი.
7. კრეიგ ტიმბერგი. დაუცველობის ქსელი: კატასტროფა ნაწინასწარმეტყველები - და იგნორირებული // Washington Post. 2015 წელი.
8. კრეიგ ტიმბერგი. სწრაფი „შესწორების“ ხანგრძლივი სიცოცხლე: 1989 წლის ინტერნეტ პროტოკოლი ტოვებს მონაცემებს დაუცველს გამტაცებლების მიმართ // Washington Post. 2015 წელი.
9. კრეიგ ტიმბერგი. დაუცველობის ქსელი: არგუმენტის ბირთვი // Washington Post. 2015 წელი.
10. ჯოშუა განსი. შეუძლია თუ არა ღია კოდის მიერ ჩვენი Y2K შიშები საბოლოოდ ახდეს? // Harvard Business Review (ციფრული). 2017 წელი.
11. FSB-მ დააკავა კასპერსკის ტოპ მენეჯერი // CNews. 2017. URL.
12. მარია კოლომიჩენკო. კიბერ დაზვერვის სამსახური: სბერბანკმა შესთავაზა ჰაკერებთან საბრძოლველად შტაბის შექმნა // RBC. 2017 წელი.

წყარო: www.habr.com