사이버 공간의 야생 숲의 질서를 유지하는 "검은 모자"가 더러운 작업에서 특히 성공을 거두었을 때 황색 언론은 기쁨의 비명을 질렀습니다. 그 결과, 세계는 사이버 보안을 더욱 심각하게 바라보기 시작했습니다. 하지만 안타깝게도 당장은 아닙니다. 따라서, 치명적인 사이버 사고가 증가하고 있음에도 불구하고, 세계는 아직 적극적이고 선제적인 조치를 취할 준비가 되어 있지 않습니다. 그러나 머지않아 '검은 모자' 덕분에 세계는 사이버 보안을 심각하게 여기게 될 것으로 예상됩니다. [7]

화재만큼이나 심각한... 도시는 한때 재앙적인 화재에 매우 취약했습니다. 그러나 잠재적인 위험에도 불구하고, 수백 명의 목숨을 앗아가고 수십만 명의 이재민을 발생시킨 1871년 시카고 대형 화재 이후에도 사전 예방적 보호 조치가 취해지지 않았습니다. 7년 뒤 비슷한 재난이 또 발생한 뒤에야 선제적 보호 조치가 취해졌다. 사이버 보안도 마찬가지입니다. 치명적인 사고가 발생하지 않는 한 세상은 이 문제를 해결하지 못할 것입니다. 그러나 그런 일이 일어나더라도 세상은 이 문제를 즉각 해결하지는 않을 것이다. [2018] 그러므로 버그가 생기기 전에는 사람이 패치되지 않는다는 말조차 통하지 않는다. 이것이 바로 30년에 우리가 만연한 불안의 XNUMX주년을 기념한 이유입니다.

서정적 침략

내가 원래 System Administrator 잡지에 썼던 이 기사의 시작 부분은 어떤 의미에서는 예언적인 것으로 판명되었습니다. 이 기사가 실린 잡지 발행 나왔다. Kemerovo 쇼핑 센터 "Winter Cherry"(2018년 20월 XNUMX일)에서 비극적인 화재가 발생하면서 문자 그대로 연일 연일 발생하고 있습니다.

30분 안에 인터넷 설치

1988년에 전설적인 해커 은하 L0pht는 가장 영향력 있는 서구 관리들의 회의에 앞서 다음과 같이 선언했습니다. “귀하의 컴퓨터 장비는 인터넷의 사이버 공격에 취약합니다. 그리고 소프트웨어, 하드웨어, 통신. 그들의 공급업체는 이러한 상황에 전혀 관심이 없습니다. 현대 법률은 제조된 소프트웨어 및 하드웨어의 사이버 보안을 보장하는 부주의한 접근 방식에 대한 책임을 규정하지 않기 때문입니다. 잠재적인 오류(자발적이든 사이버 범죄자의 개입으로 인해 발생하든)에 대한 책임은 전적으로 장비 사용자에게 있습니다. 연방정부는 이 문제를 해결할 기술도 의지도 없습니다. 따라서 사이버 보안을 찾고 있다면 인터넷에서 이를 찾을 수 없습니다. 당신 앞에 앉아 있는 30명의 사람은 각각 인터넷을 완전히 끊을 수 있으며 그에 따라 연결된 장비를 완전히 제어할 수 있습니다. 스스로. 7분 동안 안무에 맞춰 키를 누르기만 하면 끝이에요.” [XNUMX]

관계자들은 의미심장하게 고개를 끄덕이며 상황의 심각성을 이해하고 있음을 분명히 했지만 아무 조치도 취하지 않았습니다. L30pht의 전설적인 공연 이후 정확히 0년이 지난 오늘날, 세계는 여전히 "만연한 불안"에 시달리고 있습니다. 컴퓨터화되고 인터넷에 연결된 장비를 해킹하는 것은 매우 쉽습니다. 처음에는 이상주의적인 과학자와 열성팬의 왕국이었던 인터넷이 점차적으로 가장 실용적인 전문가, 즉 사기꾼, 사기꾼, 스파이, 테러리스트에 의해 점령되었습니다. 이들 모두는 금전적 이익이나 기타 이익을 위해 컴퓨터 장비의 취약점을 악용합니다. [7]

공급업체가 사이버 보안을 무시함

물론 공급업체는 확인된 취약점 중 일부를 수정하려고 시도하지만 매우 마지 못해 그렇게 합니다. 그들의 이익은 해커로부터의 보호가 아니라 소비자에게 제공하는 새로운 기능에서 나오기 때문입니다. 공급업체는 단기 이익에만 초점을 맞추기 때문에 가상의 문제가 아닌 실제 문제를 해결하는 데에만 돈을 투자합니다. 많은 사람들이 보기에 사이버 보안은 가상적인 것입니다. [7]

사이버 보안은 눈에 보이지 않는 무형의 것입니다. 문제가 발생할 때만 유형이 됩니다. 그들이 제품을 잘 관리하고(제공에 많은 돈을 소비함) 제품에 문제가 없다면 최종 소비자는 제품에 대해 초과 지불을 원하지 않을 것입니다. 또한, 보호 조치를 실행하려면 재정적 비용이 증가할 뿐만 아니라 추가 개발 시간이 필요하고 장비 성능을 제한해야 하며 생산성이 저하됩니다. [8]

최종 소비자는 물론, 나열된 비용의 타당성을 자체 마케팅 담당자에게도 설득하는 것은 어렵습니다. 그리고 현대 공급업체는 단기적인 판매 이익에만 관심이 있기 때문에 창작물의 사이버 보안을 보장하는 데 전혀 책임을 지지 않습니다. [1] 반면, 장비의 사이버 보안을 관리하는 보다 신중한 공급업체는 기업 소비자가 더 저렴하고 사용하기 쉬운 대안을 선호한다는 사실에 직면하고 있습니다. 저것. 기업 소비자도 사이버 보안에 별로 관심이 없다는 것은 분명합니다. [8]

위의 내용을 고려할 때 공급업체가 사이버 보안을 무시하고 다음 철학을 고수하는 경향이 있다는 것은 놀라운 일이 아닙니다. “계속 구축하고, 계속 판매하고, 필요한 경우 패치를 적용합니다. 시스템이 충돌했나요? 정보를 잃어버리셨나요? 신용 카드 번호가 도난당한 데이터베이스? 귀하의 장비에 치명적인 취약점이 확인되었습니까? 괜찮아요!" 소비자는 "패치하고 기도하라"는 원칙을 따라야 합니다. [7]

어떻게 이런 일이 일어나는가: 야생의 예

개발 중 사이버 보안을 무시한 놀라운 예는 Microsoft의 기업 인센티브 프로그램입니다. “기한을 놓치면 벌금이 부과됩니다. 혁신 릴리스를 제때 제출할 시간이 없다면 구현되지 않습니다. 이를 이행하지 않으면 회사 주식(마이크로소프트 이익의 일부)을 받을 수 없다”고 말했다. 1993년부터 Microsoft는 자사 제품을 인터넷에 적극적으로 연결하기 시작했습니다. 이 이니셔티브는 동일한 동기 부여 프로그램에 따라 작동했기 때문에 방어가 따라잡을 수 있는 것보다 기능이 더 빠르게 확장되었습니다. 실용적인 취약점 사냥꾼의 즐거움을 위해... [7]

또 다른 예는 컴퓨터와 노트북의 상황입니다. 바이러스 백신이 사전 설치되어 있지 않습니다. 또한 강력한 비밀번호 사전 설정도 제공하지 않습니다. 최종 사용자가 바이러스 백신을 설치하고 보안 구성 매개변수를 설정한다고 가정합니다. [1]

또 다른 더 극단적인 예는 소매 장비(현금 등록기, 쇼핑 센터용 PoS 터미널 등)의 사이버 보안 상황입니다. 상업용 장비 공급업체는 판매되는 제품만 판매하고 안전한 제품은 판매하지 않는 일이 발생했습니다. [2] 사이버 보안과 관련하여 상용 장비 공급업체가 관심을 갖는 것이 있다면 논란의 여지가 있는 사건이 발생할 경우 책임이 다른 사람에게 있다는 것을 확인하는 것입니다. [삼]

이러한 사건의 발전을 보여주는 예: 은행 마케팅 담당자의 유능한 작업 덕분에 기술적으로 정교하지 않은 대중의 눈에 "구식"에 대한 더 안전한 대안으로 나타나는 은행 카드에 대한 EMV 표준의 대중화 자기 카드. 동시에 EMV 표준 개발을 담당한 은행 업계의 주된 동기는 사기 사건(카드 발급자의 잘못으로 인해 발생)에 대한 책임을 매장에서 소비자로 옮기는 것이었습니다. 이전에는(자기 카드로 결제했을 때) 직불/신용 불일치에 대한 재정적 책임이 매장에 있었습니다. [3] 그리하여 결제를 처리하는 은행은 원격 뱅킹 시스템을 사용하는 판매자나 결제 카드를 발급하는 은행으로 책임을 옮깁니다. 후자의 두 사람은 책임을 카드 소지자에게 전가합니다. [2]

공급업체가 사이버 보안을 방해하고 있습니다.

인터넷에 연결된 장치의 폭발적인 증가로 인해 디지털 공격 표면이 엄청나게 확장됨에 따라 기업 네트워크에 연결된 장치를 추적하는 것이 점점 더 어려워지고 있습니다. 동시에 공급업체는 인터넷에 연결된 모든 장비의 안전에 대한 우려를 최종 사용자에게 전가합니다[1]. "익사하는 사람을 구조하는 것은 익사하는 사람 자신의 일입니다."

공급업체는 자신이 만든 창작물의 사이버 보안에 관심을 두지 않을 뿐만 아니라 어떤 경우에는 보안 제공을 방해하기도 합니다. 예를 들어, 2009년에 Conficker 네트워크 웜이 Beth Israel Medical Center에 유출되어 그곳의 의료 장비 일부를 감염시켰을 때 이 의료 센터의 기술 책임자는 향후 유사한 사고가 발생하지 않도록 방지하기 위해 Conficker 네트워크 웜을 비활성화하기로 결정했습니다. 네트워크를 통해 웜에 감염된 장비에 대한 운영 지원 기능을 제공합니다. 하지만 그는 "규제 제한으로 인해 장비를 업데이트할 수 없다"는 사실에 직면했다. 네트워크 기능을 비활성화하기 위해 공급업체와 협상하는 데는 상당한 노력이 필요했습니다. [4]

인터넷의 근본적인 사이버 불안

천재성으로 인해 "알버스 덤블도어"라는 별명을 얻은 전설적인 MIT 교수 데이비드 클라크는 인터넷의 어두운 면이 세상에 드러났던 날을 기억합니다. Clark은 1988년 5월 통신 컨퍼런스에서 의장을 맡고 있었는데, 당시 역사상 최초의 컴퓨터 웜이 네트워크 회선을 통해 미끄러져 들어왔다는 소식이 전해졌습니다. Clark은 자신의 회의에 참석한 연설자(일류 통신 회사 중 한 곳의 직원)가 이 웜의 확산에 대해 책임을 졌기 때문에 이 순간을 기억했습니다. 이 연사는 감정이 북받쳐서 무심코 “여기 있습니다!”라고 말했습니다. 이 취약점을 봉쇄한 것 같다”고 말했다. [XNUMX]

그러나 언급된 웜이 확산되는 취약점은 어느 개인의 장점이 아니라는 것이 나중에 밝혀졌습니다. 그리고 이것은 엄밀히 말하면 취약점이 아니라 인터넷의 기본 특징이었습니다. 인터넷 창시자들은 아이디어를 개발할 때 데이터 전송 속도와 내결함성에만 집중했습니다. 그들은 사이버 보안을 보장하는 임무를 스스로 설정하지 않았습니다. [5]

인터넷이 탄생한 지 수십 년이 지난 오늘날(사이버 보안을 위한 쓸데없는 시도에 이미 수천억 달러가 지출됨) 인터넷도 그다지 취약하지 않습니다. 사이버 보안 문제는 매년 더욱 악화되고 있습니다. 그러나 이에 대해 인터넷 창시자를 비난할 권리가 우리에게 있습니까? 예를 들어, "그들의 도로"에서 사고가 발생한다는 사실에 대해 고속도로 건설업자를 비난하는 사람은 아무도 없습니다. 그리고 아무도 "그들의 도시"에서 강도 사건이 발생한다는 사실 때문에 도시 계획가를 비난하지 않을 것입니다. [5]

해커 하위문화는 어떻게 탄생했나

해커 하위문화는 1960년대 초 "철도 기술 모델링 클럽"(MIT 내부에서 운영)에서 시작되었습니다. 클럽 열광자들은 방 전체를 가득 채울 만큼 거대한 모형 철도를 설계하고 조립했습니다. 클럽 회원들은 자연스럽게 평화운동가와 시스템 전문가라는 두 그룹으로 나뉘었습니다. [6]

첫 번째는 모델의 지상 부분에서 작업했고 두 번째는 지하에서 작업했습니다. 최초의 사람들은 기차와 도시의 모형을 수집하고 장식했습니다. 그들은 전 세계를 미니어처로 모형화했습니다. 후자는 모델의 지하 부분에 위치한 전선, 릴레이 및 좌표 스위치의 복잡함, 즉 "지상" 부분을 제어하고 에너지를 공급하는 모든 것 등 이 모든 평화 만들기를 위한 기술 지원에 참여했습니다. [6]

교통 문제가 발생했을 때 누군가가 이를 해결하기 위해 새롭고 독창적인 해결책을 생각해냈을 때 그 해결책을 "해킹"이라고 불렀습니다. 클럽 회원들에게 새로운 해킹 방법을 찾는 것은 삶의 본질적인 의미가 되었습니다. 그래서 그들은 스스로를 '해커'라고 부르기 시작했습니다. [6]

1969세대 해커들은 시뮬레이션 철도 클럽에서 습득한 기술을 펀치 카드에 컴퓨터 프로그램을 작성하여 구현했습니다. 그러다가 6년에 ARPANET(인터넷의 전신)이 캠퍼스에 등장했을 때 해커들은 가장 활동적이고 숙련된 사용자가 되었습니다. [XNUMX]

수십 년이 지난 지금, 현대 인터넷은 모형 철도의 바로 "지하" 부분과 유사합니다. 그 창립자들이 바로 이 해커들, 즉 '철도 시뮬레이션 동아리'의 학생들이었기 때문이다. 이제 해커만이 시뮬레이션된 미니어처 대신 실제 도시를 운영합니다. [6]

BGP 라우팅은 어떻게 이루어졌는가

80년대 말, 인터넷에 연결된 장치 수가 눈사태처럼 증가한 결과, 인터넷은 기본 인터넷 프로토콜 중 하나에 내장된 엄격한 수학적 한계에 도달했습니다. 따라서 당시 엔지니어들 사이의 모든 대화는 결국 이 문제에 대한 논의로 바뀌었습니다. 두 친구도 예외는 아니었습니다. Jacob Rechter(IBM 엔지니어)와 Kirk Lockheed(Cisco 창립자)입니다. 우연히 저녁 식사 자리에서 만난 두 사람은 인터넷 기능을 보존하기 위한 방안을 논의하기 시작했습니다. 친구들은 손에 들어온 모든 것, 즉 케첩으로 얼룩진 냅킨에 떠오른 아이디어를 적었습니다. 그런 다음 두 번째. 그런 다음 세 번째. 발명가들이 농담으로 불렀던 "8개의 냅킨 프로토콜"(공식 업계에서는 BGP(Border Gateway Protocol)로 알려져 있음)은 곧 인터넷에 혁명을 일으켰습니다. [XNUMX]

Rechter와 Lockheed에게 BGP는 앞서 언급한 Model Railroad Club의 정신으로 개발된 임시 솔루션에 불과했으며 곧 대체될 임시 솔루션이었습니다. 그 친구들은 1989년에 BGP를 개발했습니다. 그러나 30년이 지난 오늘날에도 사이버 보안에 대한 심각한 문제에 대한 우려가 점점 커지고 있음에도 불구하고 대부분의 인터넷 트래픽은 여전히 "세 가지 냅킨 프로토콜"을 사용하여 라우팅됩니다. 임시 해킹은 기본적인 인터넷 프로토콜 중 하나가 되었고, 개발자들은 자신의 경험을 통해 "임시 솔루션보다 더 영구적인 것은 없다"는 사실을 배웠습니다. [8]

전 세계 네트워크가 BGP로 전환되었습니다. 영향력 있는 공급업체, 부유한 고객 및 통신 회사는 빠르게 BGP와 사랑에 빠졌고 익숙해졌습니다. 따라서 이 프로토콜의 불안정성에 대한 점점 더 많은 경고에도 불구하고 IT 대중은 여전히 새롭고 보다 안전한 장비로의 전환에 대한 열정을 보이지 않습니다. [8]

사이버 안전하지 않은 BGP 라우팅

BGP 라우팅이 왜 그렇게 좋고 IT 커뮤니티가 이를 포기하지 않는 이유는 무엇입니까? BGP는 라우터가 통신 회선이 교차하는 거대한 네트워크를 통해 전송되는 대량의 데이터 스트림을 어디로 라우팅할지 결정하는 데 도움이 됩니다. BGP는 네트워크가 끊임없이 변화하고 인기 있는 경로에 종종 트래픽 정체가 발생하는 경우에도 라우터가 적절한 경로를 선택하는 데 도움이 됩니다. 문제는 인터넷에 전역 라우팅 맵이 없다는 것입니다. BGP를 사용하는 라우터는 사이버 공간의 이웃으로부터 수신된 정보를 기반으로 하나의 경로를 선택하는 결정을 내리고, 이웃은 차례로 이웃으로부터 정보를 수집합니다. 그러나 이 정보는 쉽게 위조될 수 있습니다. 이는 BGP 라우팅이 MiTM 공격에 매우 취약하다는 것을 의미합니다. [8]

따라서 다음과 같은 질문이 정기적으로 제기됩니다: "덴버에 있는 두 컴퓨터 사이의 트래픽이 왜 아이슬란드를 거쳐 우회하게 되었는가?", "왜 한 번 베이징을 통해 전송되는 동안 국방부 기밀 데이터가 전송되었는가?" 이와 같은 질문에 대한 기술적 답변이 있지만 결국 BGP는 신뢰를 기반으로 작동한다는 사실, 즉 인접 라우터에서 받은 권장 사항에 대한 신뢰로 귀결됩니다. BGP 프로토콜의 신뢰 특성 덕분에 정체불명의 트래픽 지배자는 원하는 경우 다른 사람의 데이터 흐름을 자신의 도메인으로 유인할 수 있습니다. [8]

살아있는 예는 미국 국방부에 대한 중국의 BGP 공격입니다. 2010년 16월, 국영 거대 통신업체인 차이나 텔레콤(China Telecom)은 미국의 8개를 포함하여 전 세계에 수만 개의 라우터를 보냈으며 더 나은 경로가 있다는 BGP 메시지를 보냈습니다. China Telecom의 BGP 메시지의 유효성을 확인할 수 있는 시스템이 없었기 때문에 전 세계 라우터는 베이징을 통해 전송 중인 데이터를 보내기 시작했습니다. 국방부 및 미국 국방부의 기타 사이트에서 발생하는 트래픽을 포함합니다. 트래픽이 쉽게 다시 라우팅되고 이러한 유형의 공격에 대한 효과적인 보호가 부족하다는 점은 BGP 라우팅이 불안정하다는 또 다른 신호입니다. [XNUMX]

BGP 프로토콜은 이론적으로 훨씬 더 위험한 사이버 공격에 취약합니다. 사이버 공간에서 국제적 갈등이 전면적으로 확대되는 경우, China Telecom이나 기타 통신 대기업은 실제로 자신에게 속하지 않는 인터넷 부분에 대한 소유권을 주장하려고 시도할 수 있습니다. 그러한 움직임은 동일한 인터넷 주소 블록에 대한 경쟁 입찰 사이를 바운스해야 하는 라우터를 혼란스럽게 할 것입니다. 합법적인 애플리케이션과 가짜 애플리케이션을 구별하는 능력이 없으면 라우터는 비정상적으로 작동하기 시작할 것입니다. 그 결과, 우리는 인터넷에서 핵전쟁과 같은 상황, 즉 공개적이고 대규모의 적대감을 드러내는 상황에 직면하게 될 것입니다. 상대적으로 평화로운 시대에 그러한 발전은 비현실적으로 보이지만 기술적으로는 상당히 실현 가능합니다. [8]

BGP에서 BGPSEC로 이동하려는 헛된 시도

BGP가 개발될 때 사이버 보안은 고려되지 않았습니다. 당시에는 해킹이 드물고 해킹으로 인한 피해가 미미했기 때문입니다. BGP 개발자들은 통신 회사에서 일하고 네트워크 장비 판매에 관심이 있었기 때문에 인터넷의 자연적인 중단을 방지하는 더 시급한 임무를 맡았습니다. 인터넷 중단으로 인해 사용자가 소외되어 네트워크 장비 판매가 감소할 수 있기 때문입니다. [8]

2010년 8월 미국의 군사 트래픽이 베이징을 통해 전송되는 사건 이후 BGP 라우팅의 사이버 보안을 보장하기 위한 작업 속도가 확실히 가속화되었습니다. 그러나 통신 공급업체는 안전하지 않은 BGP를 대체하기 위해 제안된 새로운 보안 라우팅 프로토콜 BGPSEC로 마이그레이션하는 데 드는 비용을 부담하는 데 거의 열의를 보이지 않았습니다. 셀 수 없이 많은 트래픽 가로채기 사건에도 불구하고 공급업체는 여전히 BGP를 상당히 수용 가능한 것으로 간주합니다. [XNUMX]

1988년(BGP 0년 전)에 또 다른 주요 네트워크 프로토콜을 발명하여 “인터넷의 어머니”로 불리는 Radia Perlman은 MIT에서 예언적인 박사 학위 논문을 받았습니다. Perlman은 사이버 공간에서 이웃의 정직성에 의존하는 라우팅 프로토콜은 근본적으로 안전하지 않다고 예측했습니다. Perlman은 위조 가능성을 제한하는 데 도움이 되는 암호화 사용을 옹호했습니다. 그러나 BGP 구현은 이미 본격화되었고 영향력 있는 IT 커뮤니티는 이에 익숙해졌으며 아무것도 변경하고 싶지 않았습니다. 따라서 Perlman, Clark 및 기타 저명한 세계 전문가들의 합리적인 경고 이후 암호화 보안 BGP 라우팅의 상대적 비율은 전혀 증가하지 않았으며 여전히 8%입니다. [XNUMX]

BGP 라우팅이 유일한 해킹은 아닙니다

그리고 BGP 라우팅은 "임시 솔루션보다 더 영구적인 것은 없다"는 생각을 확인하는 유일한 해킹이 아닙니다. 때로는 우리를 환상의 세계로 인도하는 인터넷이 경주용 자동차처럼 우아해 보이기도 합니다. 그러나 실제로는 해킹이 겹겹이 쌓인 탓에 인터넷은 페라리보다 프랑켄슈타인에 더 가깝다. 이러한 해킹(공식적으로는 패치라고 함)은 결코 신뢰할 수 있는 기술로 대체되지 않기 때문입니다. 이러한 접근 방식의 결과는 끔찍합니다. 사이버 범죄자는 매일, 매시간 취약한 시스템을 해킹하여 사이버 범죄의 범위를 이전에는 상상할 수 없었던 비율로 확장합니다. [8]

사이버 범죄자가 악용하는 많은 결함은 오랫동안 알려져 왔으며 임시 해킹/패치를 통해 새로운 문제를 해결하려는 IT 커뮤니티의 경향으로 인해 보존되었습니다. 때로는 이로 인해 낡은 기술이 오랫동안 쌓여 사람들의 삶을 힘들게 하고 위험에 빠뜨리기도 합니다. 당신의 은행이 짚과 진흙 기초 위에 금고를 짓고 있다는 사실을 알게 된다면 어떻게 생각하시겠습니까? 그가 당신의 저축을 지켜줄 것이라고 믿으시겠습니까? [8]

리누스 토발즈의 평온한 태도

인터넷이 처음으로 100대의 컴퓨터에 도달하기까지는 몇 년이 걸렸습니다. 현재 매초 9대의 새로운 컴퓨터와 기타 장치가 여기에 연결됩니다. 인터넷에 연결된 장치가 폭발적으로 증가함에 따라 사이버 보안 문제도 시급해졌습니다. 그러나 이러한 문제를 해결하는 데 가장 큰 영향을 미칠 수 있는 사람은 사이버 보안을 경멸하는 사람입니다. 이 사람은 천재, 깡패, 영적 지도자, 자비로운 독재자로 불려왔습니다. 리누스 토발즈. 인터넷에 연결된 대부분의 장치는 운영 체제인 Linux를 실행합니다. 빠르고 유연하며 무료입니다. Linux는 시간이 지남에 따라 점점 더 대중화되고 있습니다. 동시에 매우 안정적으로 작동합니다. 그리고 수년 동안 재부팅하지 않고도 작동할 수 있습니다. 이것이 바로 Linux가 지배적인 운영 체제라는 영예를 누리는 이유입니다. 서버, 의료 장비, 비행 컴퓨터, 소형 드론, 군용 항공기 등 오늘날 우리가 사용할 수 있는 거의 모든 컴퓨터 장비는 Linux를 실행합니다. [XNUMX]

Linux가 성공한 이유는 Torvalds가 성능과 내결함성을 강조했기 때문입니다. 그러나 그는 사이버 보안을 희생하면서 이러한 점을 강조합니다. 사이버 공간과 실제 물리적 세계가 서로 얽혀 있고 사이버 보안이 세계적인 문제가 되고 있음에도 불구하고 Torvalds는 자신의 운영 체제에 보안 혁신을 도입하는 것을 계속해서 거부하고 있습니다. [9]

따라서 많은 Linux 팬 사이에서도 이 운영 체제의 취약점에 대한 우려가 커지고 있습니다. 특히 Torvalds가 개인적으로 작업하는 Linux의 가장 친밀한 부분인 커널입니다. Linux 팬들은 Torvalds가 사이버 보안 문제를 심각하게 받아들이지 않는다는 것을 알고 있습니다. 더욱이 Torvalds는 이러한 평온한 태도를 공유하는 개발자들로 둘러싸여 있습니다. Torvalds 내부 서클의 누군가가 안전한 혁신 도입에 대해 이야기하기 시작하면 그는 즉시 마취됩니다. Torvalds는 그러한 혁신가 중 한 그룹을 "자위하는 원숭이"라고 부르며 일축했습니다. Torvalds는 보안에 민감한 다른 개발자 그룹에게 작별 인사를 하면서 그들에게 이렇게 말했습니다. “자살할 만큼 친절하시겠습니까? 그 덕분에 세상은 더 나은 곳이 될 것입니다.” 보안 기능을 추가할 때마다 Torvalds는 항상 반대했습니다. [9] Torvalds는 이와 관련하여 상식이 전혀 없는 전체적인 철학을 가지고 있습니다.

“절대적인 보안은 불가능합니다. 따라서 항상 속도, 유연성, 사용 편의성 등 다른 우선순위와 관련해서만 고려해야 합니다. 보호 제공에 전적으로 헌신하는 사람들은 미친 사람들입니다. 그들의 사고는 제한적이며 흑백입니다. 보안 자체는 쓸모가 없습니다. 본질은 언제나 다른 곳에 있습니다. 그러므로 정말로 원하더라도 절대적인 보안을 보장할 수는 없습니다. 물론 토발즈보다 안전에 더 관심을 두는 사람들도 있다. 그러나 이러한 사람들은 단순히 자신의 관심사에 대해 작업하고 이러한 관심사를 설명하는 좁은 상대적 프레임워크 내에서 보안을 제공합니다. 더 이상은 없어. 따라서 절대적인 보안을 강화하는 데 전혀 기여하지 않습니다.” [9]

사이드바: OpenSource는 화약통과 같습니다. [10]

OpenSource 코드는 수십억 달러의 소프트웨어 개발 비용을 절감하여 중복 작업의 필요성을 제거했습니다. OpenSource를 통해 프로그래머는 제한이나 비용 지불 없이 최신 혁신 기술을 사용할 수 있는 기회를 갖게 되었습니다. 오픈소스는 어디에서나 사용됩니다. 전문적인 문제를 처음부터 해결하기 위해 소프트웨어 개발자를 고용했다고 해도 이 개발자는 일종의 OpenSource 라이브러리를 사용할 가능성이 높습니다. 그리고 아마도 하나 이상일 것입니다. 따라서 OpenSource 요소는 거의 모든 곳에 존재합니다. 동시에, 어떤 소프트웨어도 정적인 것이 아니며, 코드가 끊임없이 변경된다는 점을 이해해야 합니다. 따라서 "설정하고 잊어버리세요" 원칙은 코드에서는 결코 작동하지 않습니다. OpenSource 코드 포함: 조만간 업데이트된 버전이 필요할 것입니다.

2016년에 우리는 이러한 상황의 결과를 보았습니다. 28세의 개발자가 이전에 공개했던 자신의 오픈 소스 코드를 삭제하여 인터넷을 잠시 "파괴"했습니다. 이 이야기는 우리의 사이버 인프라가 매우 취약하다는 점을 지적합니다. OpenSource 프로젝트를 지원하는 일부 사람들은 이를 유지하는 데 매우 중요하므로 만약 그들이 버스에 치인다면 인터넷이 끊어질 것입니다.

유지 관리가 어려운 코드에는 가장 심각한 사이버 보안 취약성이 숨어 있습니다. 일부 회사는 유지 관리가 어려운 코드로 인해 얼마나 취약한지조차 인식하지 못합니다. 이러한 코드와 관련된 취약점은 매우 천천히 실제 문제로 발전할 수 있습니다. 즉, 부패 과정에서 눈에 띄는 오류가 나타나지 않고 시스템이 천천히 부패합니다. 그리고 실패하면 그 결과는 치명적이다.

마지막으로 OpenSource 프로젝트는 일반적으로 Linus Torvalds나 기사 시작 부분에서 언급한 Model Railroad Club의 해커와 같은 열광적인 커뮤니티에 의해 개발되기 때문에 유지 관리하기 어려운 코드 문제는 전통적인 방법으로는 해결할 수 없습니다. 상업 및 정부 레버). 그러한 공동체의 구성원은 의지가 강하고 무엇보다 독립성을 중요하게 생각하기 때문입니다.

사이드바: 정보 기관과 바이러스 백신 개발자가 우리를 보호할 수도 있을까요?

2013년에는 카스퍼스키 랩에 정보 보안 사고에 대한 맞춤형 조사를 수행하는 전담 부서가 있는 것으로 알려졌습니다. 최근까지 이 부서는 이전에 수도의 K 부서(모스크바 주요 내무국 USTM)에서 근무했던 전직 경찰 전공인 Ruslan Stoyanov가 이끌었습니다. Kaspersky Lab 특별 부서의 모든 직원은 조사 위원회 및 "K" 부서를 포함한 법 집행 기관 출신입니다. [열하나]

2016년 말 FSB는 루슬란 스토야노프를 체포하고 반역죄로 기소했습니다. 같은 경우 FSB CIB(정보 보안 센터)의 고위 대표인 세르게이 미하일로프(Sergei Mikhailov)가 체포되었으며, 체포되기 전에 국가의 전체 사이버 보안이 묶여 있었습니다. [열하나]

사이드바: 사이버 보안 시행

머지않아 러시아 기업가들은 사이버 보안에 심각한 주의를 기울여야 할 것입니다. 2017년 2016월, 정보 보호 및 특수 통신 센터의 대표인 니콜라이 무라쇼프(Nikolai Murashov)는 러시아에서 70년에 CII 개체(핵심 정보 인프라)만 26천만 번 이상 공격을 받았다고 밝혔습니다. CII 개체에는 정부 기관, 방위 산업 기업, 운송, 신용 및 금융 부문, 에너지, 연료 및 원자력 산업의 정보 시스템이 포함됩니다. 그들을 보호하기 위해 1월 2018일 블라디미르 푸틴 러시아 대통령은 "CII의 안전에 관한" 법률 패키지에 서명했습니다. 법이 발효되는 12년 XNUMX월 XNUMX일까지 CII 시설 소유자는 해커 공격으로부터 인프라를 보호하기 위한 일련의 조치를 구현해야 하며, 특히 GosSOPKA에 연결해야 합니다. [XNUMX]

서지

조나단 밀레. IoT: 스마트 장치 보안의 중요성 // 삼.
로스 앤더슨. 스마트카드 결제 시스템이 어떻게 실패하는지 // Black Hat. 2014.
SJ 머독. 칩과 PIN이 깨졌습니다 // 보안 및 개인 정보 보호에 관한 IEEE 심포지엄 진행. 2010. pp. 433-446.
데이비드 탤벗. 컴퓨터 바이러스는 병원의 의료 기기에 "만연"되어 있습니다 // MIT 기술 리뷰(디지털). 2012.
크레이그 팀버그. 불안전함: 설계의 흐름 // 워싱턴 포스트. 2015.
마이클 리스타. 그는 FBI가 적발할 때까지 자동차, 옷, 시계에 수백만 달러를 쓴 십대 해커였습니다. // 토론토 라이프. 2018.
크레이그 팀버그. 불안의 그물: 예고된 재난 – 그리고 무시됨 // 워싱턴 포스트. 2015.
크레이그 팀버그. 빠른 '수정'의 긴 수명: 1989년의 인터넷 프로토콜로 인해 데이터가 하이재커에게 취약해졌습니다. // 워싱턴 포스트. 2015.
크레이그 팀버그. 불안전함: 논쟁의 핵심 // 워싱턴 포스트. 2015.
조슈아 간스. 오픈 소스 코드가 Y2K에 대한 두려움을 마침내 현실로 만들 수 있을까요? // 하버드 비즈니스 리뷰(디지털). 2017.
FSB가 Kaspersky 최고 관리자를 체포했습니다. // 씨뉴스. 2017. URL.
마리아 콜로미첸코. 사이버 인텔리전스 서비스: Sberbank는 해커와 싸우기 위해 본부를 만들 것을 제안했습니다. // 적혈구. 2017.

출처 : habr.com

만연한 불안 30주년