“Qora qalpoqchalar” – kibermakonning yovvoyi o‘rmonining tartibdorlari – o‘zlarining iflos ishlarida ayniqsa muvaffaqiyatli bo‘lib chiqqach, sariq ommaviy axborot vositalari zavq bilan chiyilladi. Natijada, dunyo kiberxavfsizlikka jiddiyroq qaray boshladi. Ammo, afsuski, darhol emas. Shu sababli, halokatli kiber hodisalar soni ortib borayotganiga qaramay, dunyo faol faol choralar ko'rish uchun hali tayyor emas. Biroq, yaqin kelajakda “qora qalpoqlilar” tufayli dunyo kiberxavfsizlikka jiddiy yondashishi kutilmoqda. [7]
Xuddi yong'inlar kabi jiddiy... Shaharlar bir paytlar halokatli yong'inlarga juda zaif edi. Biroq, potentsial xavf-xatarga qaramay, faol himoya choralari ko'rilmadi - hatto 1871 yilda Chikagoda yuzlab odamlarning hayotiga zomin bo'lgan va yuz minglab odamlarni ko'chirishga olib kelgan yirik yong'indan keyin ham. Proaktiv himoya choralari faqat uch yil o'tgach, xuddi shunday falokat yana sodir bo'lganidan keyin amalga oshirildi. Kiberxavfsizlikda ham xuddi shunday – halokatli hodisalar ro‘y bermasa, dunyo bu muammoni hal qilmaydi. Ammo bunday hodisalar yuz bergan taqdirda ham, dunyo bu muammoni darhol hal qilmaydi. [7] Shuning uchun, hatto: "Xato sodir bo'lmaguncha, odamga yamoq qo'yilmaydi" degan maqol ham ishlamaydi. Shuning uchun 2018-yilda biz keng tarqalgan xavfsizlikning 30 yilligini nishonladik.
Lirik tushunchalar
Men dastlab System Administrator jurnali uchun yozgan ushbu maqolaning boshlanishi ma'lum ma'noda bashoratli bo'lib chiqdi. Ushbu maqola bilan jurnalning soni Kemerovodagi "Qishki olcha" savdo markazidagi fojiali yong'in bilan kundan-kunga (2018 yil, 20 mart).
30 daqiqada Internetni o'rnating
1988 yilda afsonaviy xaker galaktikasi L0pht G'arbning eng nufuzli amaldorlari yig'ilishi oldidan to'liq so'zlab shunday dedi: “Sizning kompyuterlashtirilgan uskunangiz internetdan kiberhujumlarga qarshi himoyasiz. Va dasturiy ta'minot, apparat va telekommunikatsiya. Ularning sotuvchilari bu holat haqida umuman tashvishlanmaydilar. Chunki zamonaviy qonunchilikda ishlab chiqarilayotgan dasturiy ta’minot va texnik vositalarning kiberxavfsizligini ta’minlashga beparvolik bilan yondashganlik uchun hech qanday javobgarlik nazarda tutilmagan. Mumkin bo'lgan nosozliklar uchun javobgarlik (o'z-o'zidan yoki kiberjinoyatchilarning aralashuvi tufayli) faqat uskunadan foydalanuvchiga yuklanadi. Federal hukumatga kelsak, u bu muammoni hal qilish uchun na mahoratga, na xohishga ega. Shuning uchun, agar siz kiberxavfsizlikni qidirayotgan bo'lsangiz, unda Internet uni topadigan joy emas. Sizning oldingizda o'tirgan etti kishining har biri Internetni to'liq buzishi va shunga mos ravishda unga ulangan uskunalar ustidan to'liq nazoratni qo'lga kiritishi mumkin. Yakka. 30 daqiqa xoreografik tugmalar bosildi va u bajarildi. [7]
Mulozimlar ma'noli bosh irg'ab, vaziyatning jiddiyligini tushunganliklarini bildirishdi, lekin hech narsa qilmadilar. Bugungi kunda, L30phtning afsonaviy chiqishidan roppa-rosa 0 yil o'tib, dunyo hali ham "keng tarqalgan ishonchsizlik" bilan band. Kompyuterlashtirilgan, internetga ulangan uskunalarni buzish shunchalik osonki, dastlab idealist olimlar va ishqibozlar qirolligi bo'lgan Internetni asta-sekin professionallarning eng pragmatiklari: firibgarlar, firibgarlar, josuslar, terrorchilar egallab olishdi. Ularning barchasi moliyaviy yoki boshqa manfaatlar uchun kompyuterlashtirilgan uskunalarning zaif tomonlaridan foydalanadi. [7]
Sotuvchilar kiberxavfsizlikni e'tiborsiz qoldiradilar
Sotuvchilar, albatta, ba'zida aniqlangan zaifliklarning bir qismini tuzatishga harakat qilishadi, lekin ular buni juda istaksiz qilishadi. Chunki ularning foydasi xakerlardan himoyalanishdan emas, balki iste’molchilarga taqdim etayotgan yangi funksiyalardan kelib chiqadi. Faqat qisqa muddatli foyda olishga yo'naltirilgan sotuvchilar pulni taxminiy emas, balki haqiqiy muammolarni hal qilishga investitsiya qilishadi. Kiberxavfsizlik, ularning ko'pchiligi nazarida, faraziy narsa. [7]
Kiberxavfsizlik ko'rinmas, nomoddiy narsadir. U bilan bog'liq muammolar paydo bo'lgandagina aniq bo'ladi. Agar ular unga yaxshi g'amxo'rlik qilsalar (ular uni ta'minlash uchun ko'p pul sarflaganlar) va u bilan hech qanday muammo bo'lmasa, oxirgi iste'molchi buning uchun ortiqcha to'lashni xohlamaydi. Bundan tashqari, moliyaviy xarajatlarni oshirishdan tashqari, himoya choralarini amalga oshirish qo'shimcha rivojlanish vaqtini talab qiladi, uskunaning imkoniyatlarini cheklashni talab qiladi va uning mahsuldorligini pasayishiga olib keladi. [8]
Yakuniy iste'molchilar u yoqda tursin, hatto o'z sotuvchilarimizni ham sanab o'tilgan xarajatlarning maqsadga muvofiqligiga ishontirish qiyin. Va zamonaviy sotuvchilar faqat qisqa muddatli savdo foydasidan manfaatdor bo'lganligi sababli, ular o'z ijodlarining kiberxavfsizligini ta'minlash uchun mas'uliyatni o'z zimmalariga olishga moyil emaslar. [1] Boshqa tomondan, o'z jihozlarining kiberxavfsizligi haqida g'amxo'rlik qilgan ehtiyotkor sotuvchilar korporativ iste'molchilar arzonroq va foydalanish uchun qulayroq alternativalarni afzal ko'rishlari bilan duch kelishadi. Bu. Ko'rinib turibdiki, korporativ iste'molchilar ham kiberxavfsizlikka unchalik ahamiyat bermaydilar. [8]
Yuqoridagilardan kelib chiqqan holda, sotuvchilar kiberxavfsizlikni e'tiborsiz qoldirishlari va quyidagi falsafaga rioya qilishlari ajablanarli emas: “Qurilishda davom eting, sotishni davom eting va kerak bo'lganda yamoqqa qo'ying. Tizim buzildimi? Ma'lumot yo'qolganmi? Kredit karta raqamlari bo'lgan ma'lumotlar bazasi o'g'irlanganmi? Uskunangizda aniqlangan halokatli zaifliklar bormi? Hammasi joyida!" Iste'molchilar, o'z navbatida, "Yamoq va ibodat qilish" tamoyiliga amal qilishlari kerak. [7]
Bu qanday sodir bo'ladi: yovvoyi tabiatdan misollar
Rivojlanish jarayonida kiberxavfsizlikka e'tibor bermaslikning yorqin misoli Microsoft korporativ rag'batlantirish dasturidir: “Agar belgilangan muddatlarni o'tkazib yuborsangiz, sizga jarima solinadi. Agar innovatsiyangizni o'z vaqtida taqdim etishga vaqtingiz bo'lmasa, u amalga oshirilmaydi. Agar u amalga oshirilmasa, siz kompaniya aktsiyalarini olmaysiz (Microsoft foydasidan pirogning bir qismi). 1993 yildan boshlab Microsoft o'z mahsulotlarini Internetga faol ravishda ulashni boshladi. Ushbu tashabbus bir xil motivatsion dasturga muvofiq ishlaganligi sababli, funksionallik mudofaa uni ushlab turishdan tezroq kengaydi. Pragmatik zaiflik ovchilarining zavqiga... [7]
Yana bir misol, kompyuterlar va noutbuklar bilan bog'liq vaziyat: ular oldindan o'rnatilgan antivirus bilan birga kelmaydi; va ular kuchli parollarning oldindan o'rnatilishini ta'minlamaydi. Yakuniy foydalanuvchi antivirusni o'rnatadi va xavfsizlik konfiguratsiyasi parametrlarini o'rnatadi deb taxmin qilinadi. [1]
Yana bir ekstremal misol: chakana savdo uskunalarining kiberxavfsizligi bilan bog'liq vaziyat (kassa apparatlari, savdo markazlari uchun PoS terminallari va boshqalar). Shunday bo'ldiki, savdo uskunalari sotuvchilari xavfsiz narsalarni emas, faqat sotilgan narsalarni sotadilar. [2] Tijorat uskunalari sotuvchilari kiberxavfsizlik nuqtai nazaridan qayg'uradigan bir narsa bo'lsa, u munozarali voqea sodir bo'lsa, javobgarlik boshqalarga yuklanishiga ishonch hosil qilishdir. [3]
Voqealar rivojlanishining yorqin misoli: bank kartalari uchun EMV standartini ommalashtirish, bu bank marketologlarining malakali ishi tufayli texnik jihatdan murakkab bo'lmagan jamoatchilik oldida "eskirgan" ga xavfsizroq alternativa sifatida namoyon bo'ladi. magnit kartalar. Shu bilan birga, EMV standartini ishlab chiqish uchun mas'ul bo'lgan bank sanoatining asosiy motivatsiyasi firibgarlik hodisalari uchun javobgarlikni (karderlarning aybi bilan sodir bo'lgan) - do'konlardan iste'molchilarga o'tkazish edi. Agar ilgari (to'lovlar magnit kartalar orqali amalga oshirilgan bo'lsa), debet/kredit bo'yicha nomuvofiqliklar uchun moliyaviy javobgarlik do'konlar zimmasida edi. [3] Shunday qilib to'lovlarni amalga oshiruvchi banklar javobgarlikni savdogarlarga (o'zlarining masofaviy bank tizimlaridan foydalanadigan) yoki to'lov kartalarini chiqaradigan banklarga o'tkazadi; oxirgi ikkitasi, o'z navbatida, javobgarlikni karta egasiga o'tkazadi. [2]
Sotuvchilar kiberxavfsizlikka to'sqinlik qilmoqda
Raqamli hujum maydoni muqarrar ravishda kengayib borar ekan - Internetga ulangan qurilmalarning portlashi tufayli - korporativ tarmoqqa ulangan narsalarni kuzatib borish tobora qiyinlashmoqda. Shu bilan birga, sotuvchilar Internetga ulangan barcha jihozlarning xavfsizligi haqidagi tashvishlarni oxirgi foydalanuvchiga [1] o'tkazadilar: "Cho'kib ketgan odamlarni qutqarish - cho'kayotganlarning o'zlarining ishi".
Sotuvchilar nafaqat o'z ijodlarining kiberxavfsizligi haqida qayg'urmaydilar, balki ba'zi hollarda uni ta'minlashga ham aralashadilar. Masalan, 2009 yilda Conficker tarmoq qurti Bet-Isroil tibbiyot markaziga kirib, u yerdagi tibbiy asbob-uskunalarning bir qismini yuqtirganida, ushbu tibbiyot markazining texnik direktori kelajakda shunga o'xshash hodisalarning oldini olish uchun uni o'chirishga qaror qildi. tarmoq bilan qurtdan ta'sirlangan uskunada ishlashni qo'llab-quvvatlash funktsiyasi. Biroq, u "me'yoriy cheklovlar tufayli uskunani yangilab bo'lmagani" bilan duch keldi. Tarmoq funksiyalarini o'chirib qo'yish uchun sotuvchi bilan muzokara olib borish uchun unga ko'p kuch sarflandi. [4]
Internetning asosiy kiber-xavfsizligi
Afsonaviy MIT professori Devid Klark, uning dahosi “Albus Dambldor” laqabini olgan, internetning qorong‘u tomoni dunyoga oshkor bo‘lgan kunni eslaydi. Klark 1988 yil noyabr oyida telekommunikatsiya konferentsiyasiga raislik qilgan edi, o'sha paytda tarixdagi birinchi kompyuter qurti tarmoq simlari orqali o'tib ketgani haqida xabar paydo bo'ldi. Klark bu lahzani esladi, chunki uning konferentsiyasida qatnashgan ma'ruzachi (etakchi telekommunikatsiya kompaniyalaridan birining xodimi) ushbu qurtning tarqalishi uchun javobgarlikka tortildi. Bu ma'ruzachi his-tuyg'ularning qizg'inligida beixtiyor: "Mana,!" Men bu zaiflikni yopganga o'xshayman ", - dedi u bu so'zlar uchun. [5]
Biroq, keyinroq ma'lum bo'ldiki, yuqorida aytib o'tilgan qurt tarqaladigan zaiflik biron bir shaxsning xizmati emas. Va bu, aniq aytganda, hatto zaiflik emas, balki Internetning asosiy xususiyati edi: Internet asoschilari o'zlarining aqliy qobiliyatlarini ishlab chiqishda, faqat ma'lumotlarni uzatish tezligi va xatolarga chidamliligiga e'tibor qaratishgan. Ular o'z oldilariga kiberxavfsizlikni ta'minlash vazifasini qo'yishmagan. [5]
Bugungi kunda, Internet tashkil topganidan o'nlab yillar o'tib, kiberxavfsizlik bo'yicha behuda urinishlarga sarflangan yuzlab milliard dollarlar bilan Internet ham kam himoyasiz. Uning kiberxavfsizlik muammolari yil sayin yomonlashib bormoqda. Biroq buning uchun internet asoschilarini qoralashga haqqimiz bormi? Axir, masalan, hech kim tezyurar yo'l quruvchilarni "o'z yo'llarida" baxtsiz hodisalar sodir bo'lganligi uchun qoralamaydi; va hech kim shahar quruvchilarni "o'z shaharlarida" o'g'irlik sodir bo'lganligi uchun qoralamaydi. [5]
Xakerlik subkulturasi qanday paydo bo'lgan
Xakerlar subkulturasi 1960-yillarning boshlarida, “Temir yoʻlni texnik modellashtirish klubi”da (Massachusets texnologiya instituti devorlarida faoliyat yuritadi) paydo boʻlgan. Klub ishqibozlari temir yo'lning namunasini loyihalashtirdilar va yig'dilar, shuning uchun u butun xonani to'ldirdi. Klub a'zolari o'z-o'zidan ikki guruhga bo'lingan: tinchlikparvarlar va tizim mutaxassislari. [6]
Birinchisi, modelning er usti qismi bilan, ikkinchisi - er osti bilan ishlagan. Birinchilari poezdlar va shaharlarning maketlarini to'plashdi va bezashdi: ular butun dunyoni miniatyurada modellashtirdilar. Ikkinchisi bu tinchlik o'rnatishning texnik yordami ustida ishladi: modelning er osti qismida joylashgan simlar, o'rni va koordinatali kalitlarning murakkabligi - "er usti" qismini boshqaradigan va uni energiya bilan ta'minlaydigan hamma narsa. [6]
Yo'l harakati muammosi yuzaga kelganda va kimdir uni tuzatish uchun yangi va aqlli yechim topsa, bu yechim "hack" deb ataldi. Klub a'zolari uchun yangi xakerlarni qidirish hayotning ajralmas ma'nosiga aylandi. Shuning uchun ular o‘zlarini “xakerlar” deb atay boshladilar. [6]
Birinchi avlod xakerlari simulyatsiya temir yo'llari klubida olingan ko'nikmalarni perfokartalarda kompyuter dasturlarini yozish orqali amalga oshirdilar. Keyin, ARPANET (Internetning salafi) 1969 yilda kampusga kelganida, xakerlar uning eng faol va malakali foydalanuvchilariga aylanishdi. [6]
Endi, o'nlab yillar o'tgach, zamonaviy Internet namunaviy temir yo'lning o'sha "er osti" qismiga o'xshaydi. Chunki uning asoschilari aynan shu xakerlar, “Temir yo‘l simulyatsiya klubi” talabalari edi. Endi simulyatsiya qilingan miniatyuralar o'rniga haqiqiy shaharlarni faqat xakerlar boshqaradi. [6]
BGP marshrutlash qanday paydo bo'ldi
80-yillarning oxiriga kelib, Internetga ulangan qurilmalar sonining ko'chkiga o'xshash ko'payishi natijasida Internet asosiy Internet protokollaridan biriga o'rnatilgan qattiq matematik chegaraga yaqinlashdi. Shu sababli, o'sha davr muhandislari o'rtasidagi har qanday suhbat oxir-oqibat ushbu muammoni muhokama qilishga aylandi. Ikki do'st bundan mustasno emas edi: Jeykob Rexter (IBM muhandisi) va Kirk Lokxid (Cisco asoschisi). Kechki ovqat stolida tasodifan uchrashib, ular Internetning funksionalligini saqlab qolish choralarini muhokama qilishni boshladilar. Do'stlar qo'llariga kelgan narsalarni - ketchup bilan bo'yalgan salfetkada paydo bo'lgan g'oyalarni yozishdi. Keyin ikkinchisi. Keyin uchinchi. "Uch salfetka protokoli", uning ixtirochilari hazil bilan atashgan - rasmiy doiralarda BGP (Border Gateway Protocol) nomi bilan tanilgan - tez orada Internetda inqilob qildi. [8]
Rechter va Lockheed uchun BGP yuqorida aytib o'tilgan Model Railroad Club ruhida ishlab chiqilgan oddiy xaker edi, bu vaqtinchalik yechim tez orada almashtiriladi. Do'stlar 1989 yilda BGPni ishlab chiqdilar. Biroq, bugungi kunda, 30 yil o'tgach, Internet-trafikning aksariyati hali ham "uchta ro'molcha protokoli" yordamida yo'naltirilmoqda - uning kiberxavfsizligi bilan bog'liq jiddiy muammolar haqida tobora xavotirli qo'ng'iroqlarga qaramay. Vaqtinchalik hack asosiy Internet protokollaridan biriga aylandi va uni ishlab chiquvchilar o'z tajribalaridan "vaqtinchalik echimlardan ko'ra doimiyroq narsa yo'qligini" bilib oldilar. [8]
Dunyo bo'ylab tarmoqlar BGP ga o'tdi. Nufuzli sotuvchilar, badavlat mijozlar va telekommunikatsiya kompaniyalari tezda BGPni sevib qolishdi va unga o'rganib qolishdi. Shu sababli, ushbu protokolning ishonchsizligi haqida tobora ko'proq tashvishli qo'ng'iroqlarga qaramay, IT jamoatchiligi hali ham yangi, xavfsizroq uskunalarga o'tishga ishtiyoq bildirmayapti. [8]
Kiber-xavfsiz BGP marshrutlash
Nima uchun BGP marshrutlash juda yaxshi va nega IT hamjamiyati undan voz kechishga shoshilmayapti? BGP marshrutizatorlarga kesishgan aloqa liniyalarining ulkan tarmog'i bo'ylab yuborilgan katta ma'lumotlar oqimini qayerga yo'naltirish haqida qaror qabul qilishda yordam beradi. Tarmoq doimo o'zgarib tursa va mashhur marshrutlar ko'pincha tirbandliklarga duchor bo'lsa ham, BGP routerlarga mos yo'llarni tanlashda yordam beradi. Muammo shundaki, Internetda global marshrutlash xaritasi yo'q. BGP-dan foydalanadigan marshrutizatorlar kibermakondagi qo'shnilardan olingan ma'lumotlarga asoslanib, u yoki bu yo'lni tanlash to'g'risida qaror qabul qiladilar, ular o'z navbatida qo'shnilaridan ma'lumot to'playdi va hokazo. Biroq, bu ma'lumotni osongina soxtalashtirish mumkin, ya'ni BGP marshrutlash MiTM hujumlariga juda zaifdir. [8]
Shu sababli, muntazam ravishda quyidagi savollar paydo bo'ladi: "Nima uchun Denverdagi ikkita kompyuter o'rtasidagi trafik Islandiya orqali ulkan aylanma yo'lni bosib o'tdi?", "Nega Pentagonning maxfiy ma'lumotlari bir marta Pekin orqali tranzitda uzatilgan?" Bu kabi savollarga texnik javoblar mavjud, ammo ularning barchasi BGP ishonchga asoslangan holda ishlashiga asoslanadi: qo'shni routerlardan olingan tavsiyalarga ishonish. BGP protokolining ishonchli tabiati tufayli, sirli trafik boshqaruvchilari, agar xohlasalar, boshqa odamlarning ma'lumotlar oqimini o'z domenlariga jalb qilishlari mumkin. [8]
Jonli misol - Xitoyning Amerika Pentagoniga BGP hujumi. 2010 yil aprel oyida davlat telekommunikatsiya giganti China Telecom butun dunyo bo'ylab o'n minglab marshrutizatorlarni, shu jumladan Qo'shma Shtatlarda 16 8 marshrutizatorlarni jo'natdi, BGP xabari ularga yaxshiroq marshrutlarga ega ekanligi haqida xabar berdi. China Telecom kompaniyasining BGP xabarining haqiqiyligini tekshiradigan tizimsiz butun dunyo bo'ylab marshrutizatorlar Pekin orqali tranzit orqali ma'lumotlarni yuborishni boshladilar. Jumladan, Pentagon va AQSh Mudofaa vazirligining boshqa saytlaridan kelgan trafik. Trafik yo'nalishini o'zgartirish qulayligi va ushbu turdagi hujumdan samarali himoyaning yo'qligi BGP marshrutlashning ishonchsizligining yana bir belgisidir. [XNUMX]
BGP protokoli nazariy jihatdan yanada xavfli kiberhujumga nisbatan zaifdir. Kibermakonda xalqaro mojarolar to'liq kuchaygan taqdirda, China Telecom yoki boshqa telekommunikatsiya giganti Internetning aslida unga tegishli bo'lmagan qismlariga egalik qilishga urinishi mumkin. Bunday harakat marshrutizatorlarni chalkashtirib yuboradi, ular bir xil Internet manzillari bloklari uchun raqobatdosh takliflar o'rtasida o'tishlari kerak edi. Qonuniy dasturni soxta dasturdan ajrata olmasa, marshrutizatorlar tartibsiz ishlay boshlaydi. Natijada, biz Internetda yadroviy urushga o'xshash - ochiq, keng ko'lamli dushmanlik namoyishiga duch kelamiz. Nisbatan tinchlik davrida bunday rivojlanish noreal ko'rinadi, ammo texnik jihatdan bu juda mumkin. [8]
BGP dan BGPSEC ga o'tish uchun behuda urinish
BGP ishlab chiqilayotganda kiberxavfsizlik e'tiborga olinmagan, chunki o'sha paytda buzg'unchiliklar kam bo'lgan va ulardan ko'rilgan zarar unchalik katta bo'lmagan. BGP ishlab chiquvchilari telekommunikatsiya kompaniyalarida ishlaganliklari va o'zlarining tarmoq uskunalarini sotishdan manfaatdor bo'lganlari uchun yanada dolzarb vazifani qo'ydilar: Internetning o'z-o'zidan uzilishining oldini olish. Chunki internetdagi uzilishlar foydalanuvchilarni begonalashtirishi va shu orqali tarmoq uskunalari savdosini kamaytirishi mumkin. [8]
2010 yil aprel oyida Pekin orqali Amerika harbiy trafigini o'tkazish bilan bog'liq voqeadan so'ng, BGP marshrutining kiberxavfsizligini ta'minlash bo'yicha ish sur'ati, albatta, tezlashdi. Biroq, telekom sotuvchilari xavfsiz BGP o'rniga taklif qilingan yangi xavfsiz marshrutlash protokoli BGPSEC ga o'tish bilan bog'liq xarajatlarni o'z zimmalariga olishga unchalik ishtiyoqi yo'q. Sotuvchilar, hatto son-sanoqsiz trafikni ushlab turish holatlariga qaramay, BGPni hali ham maqbul deb bilishadi. [8]
1988 yilda (BGPdan bir yil oldin) yana bir yirik tarmoq protokolini ixtiro qilgani uchun "Internet onasi" nomini olgan Radia Perlman MITda bashoratli doktorlik dissertatsiyasini qo'lga kiritdi. Perlman, kibermakondagi qo'shnilarning halolligiga bog'liq bo'lgan marshrutlash protokoli mutlaqo xavfsiz emasligini taxmin qildi. Perlman kriptografiyadan foydalanishni yoqlab chiqdi, bu esa qalbakilashtirish imkoniyatini cheklashga yordam beradi. Biroq, BGPni joriy etish allaqachon qizg'in davom etayotgan edi, nufuzli IT hamjamiyati bunga ko'nikib qolgan va hech narsani o'zgartirishni xohlamagan. Shu sababli, Perlman, Klark va boshqa ba'zi taniqli dunyo ekspertlarining asosli ogohlantirishlaridan so'ng, kriptografik xavfsiz BGP marshrutlashning nisbiy ulushi umuman oshmadi va hali ham 0% ni tashkil qiladi. [8]
BGP marshrutlash yagona buzish emas
Va BGP marshrutizatsiyasi "vaqtinchalik echimlardan ko'ra doimiyroq narsa yo'q" degan fikrni tasdiqlovchi yagona xakerlik emas. Ba'zida bizni xayolot olamiga cho'mdiruvchi Internet poyga mashinasi kabi nafis ko'rinadi. Biroq, aslida, bir-birining ustiga to'plangan xakerlar tufayli Internet Ferrari-dan ko'ra ko'proq Frankenshteynga o'xshaydi. Chunki bu xakerlar (rasmiy ravishda yamoqlar deb ataladi) hech qachon ishonchli texnologiya bilan almashtirilmaydi. Bunday yondashuvning oqibatlari dahshatli: har kuni va har soatda kiberjinoyatchilar zaif tizimlarga kirib, kiberjinoyatlar doirasini ilgari tasavvur qilib bo'lmaydigan darajada kengaytiradi. [8]
Kiberjinoyatchilar foydalanadigan ko'plab kamchiliklar uzoq vaqtdan beri ma'lum bo'lib, faqat IT hamjamiyatining paydo bo'lgan muammolarni - vaqtinchalik xakerlar/yamalar yordamida hal qilish tendentsiyasi tufayli saqlanib qolgan. Ba'zan, shu sababli, eskirgan texnologiyalar uzoq vaqt davomida bir-birining ustiga yig'ilib, odamlarning hayotini qiyinlashtiradi va ularni xavf ostiga qo'yadi. Agar bankingiz o'z omborini somon va loy poydevoriga qurayotganini bilsangiz, nima deb o'ylaysiz? Omonatingizni saqlab qolishiga ishonasizmi? [8]
Linus Torvaldsning beparvo munosabati
Internet o'zining birinchi yuzta kompyuteriga yetguncha yillar o'tdi. Bugungi kunda unga har soniyada 100 ta yangi kompyuter va boshqa qurilmalar ulanadi. Internetga ulangan qurilmalar portlashi bilan kiberxavfsizlik muammolarining dolzarbligi ham ortib bormoqda. Biroq, bu muammolarni hal qilishda eng katta ta'sir ko'rsatishi mumkin bo'lgan odam kiberxavfsizlikka nafrat bilan qaraydi. Bu odamni daho, bezori, ruhiy yetakchi va xayrixoh diktator deb atashgan. Linus Torvalds. Internetga ulangan qurilmalarning aksariyati uning Linux operatsion tizimida ishlaydi. Tez, moslashuvchan, bepul - Linux vaqt o'tishi bilan tobora ommalashib bormoqda. Shu bilan birga, u o'zini juda barqaror tutadi. Va u ko'p yillar davomida qayta yuklamasdan ishlashi mumkin. Shuning uchun Linux dominant operatsion tizim bo'lish sharafiga ega. Bugungi kunda bizda mavjud bo'lgan deyarli barcha kompyuterlashtirilgan uskunalar Linuxda ishlaydi: serverlar, tibbiy jihozlar, parvoz kompyuterlari, mayda dronlar, harbiy samolyotlar va boshqalar. [9]
Torvalds ishlash va xatolarga chidamlilikni ta'kidlagani uchun Linux muvaffaqiyatga erishadi. Biroq, u bu urg'uni kiberxavfsizlik hisobiga qo'yadi. Kibermakon va haqiqiy jismoniy dunyo bir-biriga bog'langan va kiberxavfsizlik global muammoga aylansa ham, Torvalds o'z operatsion tizimiga xavfsiz innovatsiyalarni kiritishga qarshilik ko'rsatishda davom etmoqda. [9]
Shu sababli, hatto ko'plab Linux muxlislari orasida ham ushbu operatsion tizimning zaif tomonlari haqida tashvish kuchaymoqda. Xususan, Torvalds shaxsan ishlaydigan Linuxning eng samimiy qismi, uning yadrosi. Linux ishqibozlari Torvalds kiberxavfsizlik muammolarini jiddiy qabul qilmasligini ko'rishadi. Bundan tashqari, Torvalds o'zini bu beparvo munosabatda bo'lgan ishlab chiquvchilar bilan o'rab oldi. Agar Torvaldsning yaqin atrofidan kimdir xavfsiz innovatsiyalarni joriy etish haqida gapira boshlasa, u darhol anathematizatsiya qilinadi. Torvalds bunday innovatorlarning bir guruhini ishdan bo'shatib, ularni "onanizm qiluvchi maymunlar" deb atadi. Torvalds xavfsizlikni yaxshi biladigan boshqa bir guruh ishlab chiquvchilar bilan xayrlashar ekan, u ularga shunday dedi: “O'zingizni o'ldirishga mehribon bo'larmidingiz? Bu tufayli dunyo yaxshiroq joy bo'lardi ». Xavfsizlik xususiyatlarini qo'shish haqida gap ketganda, Torvalds har doim bunga qarshi edi. [9] Torvalds hatto bu borada butun bir falsafaga ega, bu esa sog'lom fikrdan xoli emas:
“Mutlaq xavfsizlikka erishib bo'lmaydi. Shuning uchun, u har doim faqat boshqa ustuvorliklarga nisbatan ko'rib chiqilishi kerak: tezlik, moslashuvchanlik va foydalanish qulayligi. O'zini butunlay himoya qilishga bag'ishlagan odamlar aqldan ozgan. Ularning tafakkuri cheklangan, oq va qora. Xavfsizlik o'z-o'zidan foydasiz. Mohiyat har doim boshqa joyda. Shuning uchun, siz haqiqatan ham xohlasangiz ham, mutlaq xavfsizlikni ta'minlay olmaysiz. Albatta, Torvaldsga qaraganda xavfsizlikka ko'proq e'tibor beradigan odamlar bor. Biroq, bu bolalar shunchaki o'zlarini qiziqtirgan narsa ustida ishlamoqda va bu manfaatlarni belgilaydigan tor nisbiy doirada xavfsizlikni ta'minlamoqda. Boshqa emas; boshqa ... bo'lmaydi; Endi yo'q. Shunday qilib, ular hech qanday tarzda mutlaq xavfsizlikni oshirishga hissa qo'shmaydi. [9]
Yon panel: OpenSource kukunli bochkaga o'xshaydi [10]
OpenSource kodi dasturiy ta'minotni ishlab chiqishda milliardlab xarajatlarni tejab, takroriy harakatlarga bo'lgan ehtiyojni bartaraf etdi: OpenSource bilan dasturchilar joriy yangiliklardan cheklovlarsiz va to'lovlarsiz foydalanish imkoniyatiga ega. OpenSource hamma joyda qo'llaniladi. Agar siz ixtisoslashgan muammoingizni noldan hal qilish uchun dasturiy ta'minot ishlab chiqaruvchisini yollagan bo'lsangiz ham, bu ishlab chiquvchi, ehtimol, OpenSource kutubxonasidan foydalanadi. Va, ehtimol, bir nechta. Shunday qilib, OpenSource elementlari deyarli hamma joyda mavjud. Shu bilan birga, shuni tushunish kerakki, hech qanday dasturiy ta'minot statik emas, uning kodi doimo o'zgarib turadi. Shuning uchun, "o'rnating va unuting" tamoyili hech qachon kod uchun ishlamaydi. OpenSource kodini o'z ichiga olgan holda: ertami-kechmi yangilangan versiya talab qilinadi.
2016-yilda biz bu holatning oqibatlarini ko‘rdik: 28 yoshli dasturchi o‘zining avval ommaga ochiq qilib qo‘ygan OpenSource kodini o‘chirib, qisqa muddatga internetni “buzdi”. Ushbu hikoya bizning kiberinfratuzilmamiz juda zaif ekanligini ko'rsatadi. OpenSource loyihalarini qo'llab-quvvatlovchi ba'zi odamlar uni saqlab qolish uchun shunchalik muhimki, agar Xudo ko'rsatmasin, ularni avtobus urib yuborsa, Internet buziladi.
Kiberxavfsizlikning eng jiddiy zaifliklari yashiringan joyni saqlash qiyin koddir. Ba'zi kompaniyalar, saqlash qiyin bo'lgan kod tufayli o'zlarining qanchalik zaif ekanligini hatto anglamaydilar. Bunday kod bilan bog'liq zaifliklar juda sekin haqiqiy muammoga aylanishi mumkin: tizimlar chirish jarayonida ko'rinadigan nosozliklarni ko'rsatmasdan, asta-sekin chiriydi. Va agar ular muvaffaqiyatsizlikka uchrasa, oqibatlar halokatli bo'ladi.
Nihoyat, OpenSource loyihalari odatda Linus Torvalds yoki maqola boshida aytib o'tilgan Model Railroad Club xakerlari kabi ishqibozlar jamoasi tomonidan ishlab chiqilganligi sababli, parvarish qilish qiyin bo'lgan kod bilan bog'liq muammolarni an'anaviy usullar bilan hal qilib bo'lmaydi. tijorat va davlat tutqichlari). Chunki bunday jamoalar a’zolari irodali va o‘z mustaqilligini hamma narsadan ustun qo‘yadi.
Yon panel: Balki razvedka xizmatlari va antivirus ishlab chiquvchilari bizni himoya qiladi?
2013-yilda “Kasperskiy laboratoriyasi”da axborot xavfsizligi hodisalari bo‘yicha maxsus tekshiruvlar olib boruvchi maxsus bo‘linma borligi ma’lum bo‘ldi. Yaqin vaqtgacha ushbu bo'limni sobiq politsiya mayori Ruslan Stoyanov boshqargan, u ilgari poytaxtning "K" bo'limida (Moskva Ichki ishlar Bosh boshqarmasi USTM) ishlagan. Kasperskiy laboratoriyasining ushbu maxsus bo'linmasining barcha xodimlari huquqni muhofaza qilish organlaridan, jumladan Tergov qo'mitasi va "K" direksiyasidan keladi. [o'n bir]
2016 yil oxirida FSB Ruslan Stoyanovni hibsga oldi va uni davlatga xiyonatda aybladi. Xuddi shu holatda, FSB CIBning (axborot xavfsizligi markazi) yuqori martabali vakili Sergey Mixaylov hibsga olindi, hibsga olinishidan oldin mamlakatning butun kiberxavfsizligi unga bog'langan edi. [o'n bir]
Yon panel: Kiberxavfsizlik qo'llaniladi
Tez orada rossiyalik tadbirkorlar kiberxavfsizlikka jiddiy e'tibor berishga majbur bo'lishadi. 2017 yil yanvar oyida Axborotni himoya qilish va maxsus kommunikatsiyalar markazi vakili Nikolay Murashov 2016 yilda Rossiyada faqat CII ob'ektlari (muhim axborot infratuzilmasi) 70 million martadan ortiq hujumga uchraganini ma'lum qildi. CII ob'ektlariga davlat organlarining axborot tizimlari, mudofaa sanoati korxonalari, transport, kredit va moliya sektorlari, energetika, yoqilg'i va atom sanoati kiradi. Ularni himoya qilish uchun 26 iyul kuni Rossiya prezidenti Vladimir Putin “CII xavfsizligi to‘g‘risida”gi qonunlar to‘plamini imzoladi. Qonun kuchga kirgan 1 yil 2018 yanvarga qadar CII ob'ektlari egalari o'z infratuzilmasini xakerlik hujumlaridan himoya qilish bo'yicha kompleks chora-tadbirlarni amalga oshirishlari, xususan, GosSOPKA ga ulanishlari kerak. [12]
Manbalar
- Jonatan Millet. // 2017 yil.
- Ross Anderson. Qanday qilib smart-karta to'lov tizimlari muvaffaqiyatsiz tugadi // Black Hat. 2014 yil.
- SJ Merdok. Chip va PIN kod buzilgan // IEEE Xavfsizlik va Maxfiylik simpoziumi materiallari. 2010. bet. 433-446.
- Devid Talbot. // MIT texnologiyasi sharhi (raqamli). 2012 yil.
- Kreyg Timberg. // The Washington Post. 2015 yil.
- Maykl Lista. // Toronto hayoti. 2018.
- Kreyg Timberg. // The Washington Post. 2015 yil.
- Kreyg Timberg. // The Washington Post. 2015 yil.
- Kreyg Timberg. // The Washington Post. 2015 yil.
- Joshua Gans. // Garvard Business Review (Raqamli). 2017 yil.
- // CNews. 2017. URL.
- Mariya Kolomychenko. // RBC. 2017 yil.
Manba: www.habr.com