當「黑帽」——網路空間野生森林中的勤務兵——在他們的骯髒工作中特別成功時，黃色媒體就會歡呼雀躍。 因此，世界開始更加認真地看待網路安全。 但不幸的是不是馬上。 因此，儘管災難性網路事件數量不斷增加，但採取積極主動措施的時機尚未成熟。 然而，預計在不久的將來，由於「黑帽子」的出現，世界將開始認真對待網路安全。 [7]
就像火災一樣嚴重......城市曾經非常容易遭受災難性火災的影響。 然而，儘管存在潛在危險，但即使在 1871 年芝加哥發生火災、導致數百人喪生、數十萬人流離失所之後，也沒有採取積極的保護措施。 三年後再次發生類似災難後，才採取了積極的防護措施。 網路安全也是如此——除非發生災難性事件，否則世界無法解決這個問題。 但即使發生此類事件，世界也不會立即解決這個問題。 [7] 因此，即使是這樣一句話：“除非出現錯誤，否則不會打補丁”，這也不太有效。 這就是為什麼我們在 2018 年慶祝了猖獗的不安全局勢 30 週年。
抒情題外話
這篇文章的開頭是我最初為《系統管理員》雜誌撰寫的，結果在某種意義上是預言性的。 刊登這篇文章的雜誌 克麥羅沃購物中心「Winter Cherry」發生的悲慘火災日復一日地持續著（2018 年，20 月 XNUMX 日）。
30 分鐘內安裝互聯網
早在 1988 年，傳奇駭客星系 L0pht 在一次最具影響力的西方官員會議上全力發言，宣稱：「您的電腦化設備很容易受到來自網路的網路攻擊。 還有軟體、硬體和電信。 他們的供應商根本不關心這種情況。 因為現代立法沒有規定對確保製造的軟體和硬體的網路安全的疏忽方法承擔任何責任。 潛在故障（無論是自發性故障還是由網路犯罪分子介入引起）的責任完全由設備使用者承擔。 對聯邦政府來說，它既沒有能力也沒有意願去解決這個問題。 因此，如果您正在尋找網路安全，那麼網路不是找到它的地方。 坐在你面前的七個人中的每一個都可以完全破壞互聯網，從而完全控制與之相連的設備。 獨自。 30 分鐘精心設計的擊鍵就完成了。” [7]
官員們意味深長地點點頭，表明他們明白事態的嚴重性，但是卻沒有採取任何行動。 如今，距離 L30pht 的傳奇表演整整 0 年，世界仍然受到「猖獗的不安全感」的困擾。 侵入電腦化的、連網的設備是如此容易，以至於最初是理想主義科學家和愛好者的王國的互聯網已逐漸被最務實的專業人士佔領：騙子、騙子、間諜、恐怖分子。 他們都利用電腦設備的漏洞來獲取經濟或其他利益。 [7]
供應商忽視網路安全
當然，供應商有時會嘗試修復一些已識別的漏洞，但他們非常不情願地這樣做。 因為他們的利潤不是來自對駭客的保護，而是來自他們為消費者提供的新功能。 由於只關注短期利潤，供應商只投資於解決實際問題，而不是假設問題。 在他們中的許多人看來，網路安全是一個假設的東西。 [7]
網路安全是看不見、摸不著的東西。 只有當問題出現時，它才變得有形。 如果他們妥善保管它（他們在提供它上花了很多錢），並且沒有任何問題，最終消費者就不會願意為此多付錢。 此外，除了增加財務成本之外，實施保護措施還需要額外的開發時間，需要限制設備的能力，並導致其生產率下降。 [8]
連我們自己的行銷人員都很難相信列出的成本的可行性，更不用說最終消費者了。 由於現代供應商只對短期銷售利潤感興趣，他們根本不願意承擔確保其產品的網路安全的責任。 [1] 另一方面，較謹慎的供應商在處理其設備的網路安全時面臨著這樣一個事實：企業消費者更喜歡更便宜、更易於使用的替代品。 那。 顯然，企業消費者也不太關心網路安全。 [8]
鑑於上述情況，供應商往往忽視網路安全並堅持以下理念就不足為奇了：“持續建置、持續銷售並在必要時修補。” 系統崩潰了嗎？ 遺失資訊？ 信用卡號碼資料庫被盜？ 您的裝置中是否有致命漏洞？ 沒問題！” 反過來，消費者也必須遵循「修補並祈禱」的原則。 [7]
這是如何發生的：來自野外的例子
開發過程中忽略網路安全的一個突出例子是微軟的企業激勵計畫：「如果你錯過了最後期限，你將被罰款。 如果您沒有時間按時提交您的創新版本，它將不會被實施。 如果不實施，你將不會獲得公司的股份（微軟利潤的一塊蛋糕）。” 從1993年開始，微軟開始積極將產品與網路連結起來。 由於這項舉措是按照相同的激勵計畫運作的，因此功能擴展的速度快於防禦所能跟上的速度。 讓務實的漏洞獵人感到高興的是…[7]
另一個例子是電腦和筆記型電腦的情況：它們沒有預先安裝防毒軟體； 而且它們也不提供強密碼的預設。 假設最終用戶將安裝防毒軟體並設定安全配置參數。 [1]
另一個更極端的例子：零售設備（收銀機、購物中心的 PoS 終端機等）的網路安全狀況。 碰巧的是，商業設備供應商只出售已出售的產品，而不出售安全的產品。 [2] 如果商業設備供應商在網路安全方面關心一件事，那就是確保如果發生有爭議的事件，責任由其他人承擔。 [3]
事件發展的一個典型例子是：銀行卡EMV標準的普及，由於銀行行銷人員的出色工作，該標準在技術不成熟的公眾眼中出現為「過時」的更安全的替代品磁卡。 同時，負責制定EMV標準的銀行業的主要動機是將詐欺事件（由於發卡人的過失而發生）的責任從商店轉移到消費者身上。 而以前（使用磁卡支付時），由於借記卡/貸記卡的差異，財務責任由商店承擔。 [3] 因此處理支付的銀行將責任轉移給商家（使用其遠端銀行系統）或發行支付卡的銀行； 後兩者又將責任轉移給持卡人。 [2]
供應商正在阻礙網路安全
隨著網路連線裝置的爆炸性成長，數位攻擊面無情地擴大，追蹤連接到企業網路的內容變得越來越困難。 同時，供應商將所有連接互聯網的設備的安全性擔憂轉移給最終用戶[1]：“救助溺水者是溺水者自己的工作。”
供應商不僅不關心其產品的網路安全，而且在某些情況下，他們還會幹擾其提供。 例如，2009年，當Conficker網路蠕蟲病毒洩漏到貝斯以色列醫療中心並感染了該中心的部分醫療設備時，該醫療中心的技術總監為了防止今後再發生類似事件，決定禁用該蠕蟲病毒。透過網路對受蠕蟲影響的設備進行操作支援功能。 然而，他面臨著「由於監管限制，設備無法更新」的事實。 他花了相當大的功夫與供應商協商停用網路功能。 [4]
網路的基本網路不安全
麻省理工學院的傳奇教授戴維·克拉克（David Clarke）的天才為他贏得了“阿不思·鄧不利多”的綽號，他還記得互聯網的陰暗面被揭露給世界的那一天。 1988 年 5 月，克拉克正在主持一次電信會議，當時有消息指出歷史上第一個電腦蠕蟲病毒已透過網路線路傳播。 克拉克記得這一刻，因為參加他的會議的演講者（一家領先電信公司的員工）對這種蠕蟲病毒的傳播負有責任。 說話的人情緒激動，不經意地說：“給你！” 我似乎已經關閉了這個漏洞。」他為這句話付出了代價。 [XNUMX]
然而，後來事實證明，上述蠕蟲病毒傳播的漏洞並不是任何個人的功勞。 嚴格來說，這甚至不是一個漏洞，而是互聯網的一個基本特徵：互聯網的創始人在開發他們的創意時，只專注於數據傳輸速度和容錯能力。 他們沒有給自己設定確保網路安全的任務。 [5]
今天，在網路成立幾十年後，已經花費了數千億美元用於網路安全的徒勞嘗試，網路也同樣容易受到攻擊。 它的網路安全問題每年都在變得更加嚴重。 然而，我們有權利因此譴責網路的創始人嗎？ 畢竟，例如，沒有人會因為「他們的道路」上發生事故而譴責高速公路的建設者； 沒有人會因為「他們的城市」發生搶劫這一事實而譴責城市規劃者。 [5]
黑客次文化是如何誕生的
黑客次文化起源於 1960 世紀 6 年代初的「鐵路技術建模俱樂部」（在麻省理工學院內部運作）。 俱樂部愛好者設計並組裝了一個模型鐵路，其尺寸之大足以填滿整個房間。 俱樂部成員自發性地分成兩派：和平締造者和系統專家。 [XNUMX]
第一個用於模型的地上部分，第二個用於地下部分。 第一批收集並裝飾了火車和城市的模型：他們用微型模型模擬了整個世界。 後者致力於為所有這些和平建設提供技術支援：位於模型地下部分的複雜電線、繼電器和坐標開關——控制「地上」部分並為其提供能量的所有東西。 [6]
當出現交通問題並且有人想出一種新的巧妙的解決方案來解決它時，該解決方案被稱為「駭客」。 對俱樂部會員來說，尋找新的技巧已經成為生活的內在意義。 這就是為什麼他們開始稱自己為「駭客」。 [6]
第一代駭客透過在穿孔卡上編寫電腦程式來實現在模擬鐵路俱樂部獲得的技能。 然後，當阿帕網（互聯網的前身）於 1969 年進入校園時，駭客成為其最活躍、最熟練的用戶。 [6]
幾十年後的現在，現代網路就像是模型鐵路的「地下」部分。 因為它的創辦人就是這些駭客，「鐵路模擬社」的學生。 現在只有駭客操作真實的城市，而不是模擬的縮影。 [6]
BGP 路由是如何產生的
到了 80 年代末，由於連接到互聯網的設備數量呈雪崩式增長，互聯網接近了基本互聯網協議之一內置的硬數學極限。 因此，當時工程師之間的任何談話最終都變成了對這個問題的討論。 兩個朋友也不例外：Jacob Rechter（IBM 工程師）和 Kirk Lockheed（思科創辦人）。 他們在餐桌上偶然相遇，開始討論保護網路功能的措施。 朋友們用手頭上的任何東西寫下出現的想法——一張沾有番茄醬的餐巾紙。 然後是第二個。 然後是第三個。 “三張餐巾紙協議”，正如其發明者戲稱的那樣——在官方圈子裡被稱為 BGP（邊界網關協議）——很快就徹底改變了互聯網。 [8]
對 Rechter 和 Lockheed 來說，BGP 只是一種隨意的駭客行為，是本著上述模型鐵路俱樂部的精神開發的，是一種很快就會被取代的臨時解決方案。 1989年，這群哥們開發了BGP。 然而，30 年後的今天，儘管人們對網路安全嚴重問題的呼聲越來越高，但大多數網路流量仍然使用「三餐巾協定」進行路由。 臨時駭客成為基本的網路協定之一，其開發人員從自己的經驗中了解到「沒有什麼比臨時解決方案更永久的了」。 [8]
世界各地的網路已轉向 BGP。 有影響力的供應商、富有的客戶和電信公司很快就愛上了 BGP 並習慣了它。 因此，儘管該協議的不安全性敲響了越來越多的警鐘，但 IT 大眾仍然沒有表現出對過渡到新的、更安全的設備的熱情。 [8]
網路不安全的 BGP 路由
為什麼 BGP 路由這麼好，為什麼 IT 社群不急著放棄它？ BGP 幫助路由器決定將透過交叉通訊線路組成的龐大網路發送的大量資料流路由到何處。 即使網路不斷變化且熱門路由經常出現交通擁堵，BGP 仍可協助路由器選擇合適的路徑。 問題是網際網路沒有全域路由圖。 使用 BGP 的路由器根據從網路空間中的鄰居收到的資訊來決定選擇一條路徑或另一條路徑，而鄰居又從鄰居收集資訊等。 然而，這些資訊很容易被偽造，這意味著 BGP 路由非常容易受到 MiTM 攻擊。 [8]
因此，經常出現以下問題：“為什麼丹佛的兩台計算機之間的流量要繞道冰島？”、“為什麼五角大樓的機密數據在經過北京傳輸時會被修改？” 此類問題有技術答案，但它們都歸結為 BGP 基於信任工作的事實：信任從相鄰路由器收到的建議。 由於 BGP 協定的信任性質，神秘的流量霸主可以將其他人的資料流引誘到他們的領域中，如果他們願意的話。 [8]
一個活生生的例子是中國對美國五角大廈的BGP攻擊。 2010年16月，國營電信巨頭中國電信向世界各地發送了數萬台路由器，其中8台在美國，一條BGP訊息告訴它們有更好的路由。 由於沒有可以驗證中國電信 BGP 訊息有效性的系統，世界各地的路由器開始透過北京發送資料。 包括來自五角大樓和美國國防部其他站點的流量。 流量重新路由的容易程度以及缺乏對此類攻擊的有效保護是 BGP 路由不安全的另一個跡象。 [XNUMX]
從理論上講，BGP 協定很容易受到更危險的網路攻擊。 如果國際衝突在網路空間全面升級，中國電信或其他一些電信巨頭可能會試圖聲稱擁有實際上並不屬於其的部分互聯網的所有權。 這樣的舉動會讓路由器感到困惑，路由器將不得不在對相同網路位址區塊的競爭競標之間來回切換。 如果無法區分合法應用程式和虛假應用程序，路由器就會開始出現不穩定的行為。 結果，我們將面臨相當於核戰的網路——公開的、大規模的敵意展示。 在相對和平時期這樣的發展看似不切實際，但從技術上來說卻是相當可行的。 [8]
從 BGP 遷移到 BGPSEC 的徒勞嘗試
BGP 開發時並未考慮網路安全，因為當時駭客攻擊很少見，造成的損害可以忽略不計。 BGP 的開發人員由於為電信公司工作並且對銷售其網路設備感興趣，因此面臨更緊迫的任務：避免網路自發性故障。 因為網路的中斷可能會疏遠用戶，從而減少網路設備的銷售。 [8]
2010年8月美國軍用流量透過北京傳輸事件發生後，確保BGP路由網路安全的工作步伐明顯加快。 然而，電信供應商對於承擔遷移到新的安全路由協定 BGPSEC（作為不安全 BGP 的替代品）相關的成本並沒有表現出太多熱情。 儘管發生了無數的流量攔截事件，但供應商仍然認為 BGP 是可以接受的。 [XNUMX]
Radia Perlman 因在 1988 年（BGP 早一年）發明了另一種主要網絡協議而被稱為“互聯網之母”，她在麻省理工學院獲得了一篇預言性的博士論文。 帕爾曼預測，依賴網路空間鄰居誠實的路由協定從根本上來說是不安全的。 帕爾曼主張使用密碼學，這將有助於限制偽造的可能性。 然而，BGP的實施已經如火如荼地進行，有影響力的IT社群已經習慣了，不想改變任何事情。 因此，在 Perlman、Clark 和其他一些世界著名專家的合理警告之後，加密安全 BGP 路由的相對份額根本沒有增加，仍然是 0%。 [8]
BGP 路由並不是唯一的駭客手段
BGP 路由並不是唯一證實「沒有什麼比臨時解決方案更永久」這一理念的駭客。 有時，網路讓我們沉浸在幻想世界中，看起來像賽車一樣優雅。 然而，實際上，由於駭客堆積如山，網路更像是科學怪人而不是法拉利。 因為這些駭客（更正式地稱為補丁）永遠不會被可靠的技術取代。 這種方法的後果是可怕的：網路犯罪者每天、每小時都會侵入易受攻擊的系統，將網路犯罪的範圍擴大到以前難以想像的程度。 [8]
網路犯罪分子利用的許多缺陷早已為人所知，並且僅由於 IT 社群傾向於透過臨時駭客/修補程式來解決新出現的問題而得以保留。 有時，正因為如此，過時的技術長期堆積，使人們的生活變得困難並處於危險之中。 如果您得知您的銀行正在用稻草和泥土建造金庫，您會怎麼想？ 你會相信他會保管你的積蓄嗎？ [8]
Linus Torvalds 無憂無慮的態度
網路花了數年時間才到達第一百台電腦。 如今，每秒有 100 台新電腦和其他設備連接到它。 隨著網路連線設備的爆炸性成長，網路安全問題的迫切性也隨之增加。 然而，對解決這些問題能產生最大影響的人卻是那些蔑視網路安全的人。 這個人被稱為天才、惡霸、精神領袖和仁慈的獨裁者。 萊納斯·托瓦爾茲。 絕大多數連接到網際網路的裝置都運行其作業系統 Linux。 快速、靈活、免費—Linux 隨著時間的推移變得越來越流行。 同時，它的表現也非常穩定。 並且可以多年不重啟而正常工作。 這就是為什麼Linux有幸成為主導的作業系統。 當今我們可用的幾乎所有電腦化設備都運行 Linux：伺服器、醫療設備、飛行電腦、小型無人機、軍用飛機等等。 [9]
Linux 的成功很大程度是因為 Torvalds 強調效能和容錯能力。 然而，他的這種強調是以犧牲網路安全為代價的。 即使網路空間和現實實體世界交織在一起，網路安全成為一個全球性問題，托瓦爾茲仍然拒絕將安全創新引入他的作業系統。 [9]
因此，即使在許多Linux粉絲中，也越來越擔心這個作業系統的漏洞。 特別是 Linux 最親密的部分，即它的內核，Torvalds 親自參與開發。 Linux 粉絲發現 Torvalds 不認真看待網路安全問題。 此外，托瓦茲周圍都是同樣無憂無慮態度的開發人員。 如果托瓦茲核心圈裡有人開始談論引入安全創新，他會立即遭到咒罵。 托瓦爾茲駁斥了一群此類創新者，稱他們為「自慰猴子」。 當托瓦茲與另一群具有安全意識的開發人員告別時，他對他們說：「請你們好心自殺吧。 世界將因此變得更加美好。” 每當談到添加安全功能時，托瓦茲總是反對。 [9] 托瓦爾茲在這方面甚至有一套完整的哲學，這不乏常識：
「絕對的安全是不可能實現的。 因此，它應該始終只與其他優先事項一起考慮：速度、靈活性和易用性。 那些全心致力於提供保護的人都是瘋狂的。 他們的思維是有限的，非黑即白。 安全本身是沒有用的。 本質總是在別處。 因此，即使您真的想保證絕對安全，也無法保證絕對安全。 當然，還有比托瓦茲更注重安全的人。 然而，這些人只是致力於他們感興趣的事情，並在描繪這些利益的狹隘相對框架內提供安全。 不再。 因此，它們對提高絕對安全沒有任何貢獻。” [9]
側邊欄：開源就像火藥桶 [10]
開源程式碼節省了數十億美元的軟體開發成本，消除了重複工作的需要：透過開源，程式設計師有機會在不受限製或付費的情況下使用當前的創新。 開源無所不在。 即使您聘請了軟體開發人員從頭開始解決您的專業問題，該開發人員也很可能會使用某種開源程式庫。 而且可能不只一個。 因此，開源元素幾乎無所不在。 同時，應該明白沒有一個軟體是靜態的；它的程式碼是不斷變化的。 因此，「設定好後就忘記它」的原則對程式碼來說永遠不起作用。 包括開源程式碼：遲早需要更新版本。
2016 年，我們看到了這種情況的後果：一名 28 歲的開發人員刪除了他之前公開的開源程式碼，從而短暫地「破壞」了網路。 這個故事指出我們的網路基礎設施非常脆弱。 有些支持開源專案的人對維護開源專案非常重要，如果上帝保佑，他們被巴士撞到，網路就會崩潰。
難以維護的程式碼是最嚴重的網路安全漏洞所在。 有些公司甚至沒有意識到由於難以維護的程式碼而導致他們多麼脆弱。 與此類程式碼相關的漏洞可能會非常緩慢地發展成真正的問題：系統慢慢腐爛，而在腐爛過程中卻沒有表現出明顯的故障。 當他們失敗時，後果是致命的。
最後，由於開源專案通常是由愛好者社群開發的，例如 Linus Torvalds 或文章開頭提到的來自模型鐵路俱樂部的駭客，因此難以透過傳統方式解決程式碼難以維護的問題（使用商業和政府槓桿）。 因為這些社群的成員是任性的，並且將他們的獨立性看得高於一切。
邊欄：也許情報部門和防毒開發商會保護我們？
2013年，人們得知卡巴斯基實驗室有一個專門部門對資訊安全事件進行客製化調查。 直到最近，該部門的領導者是前警察少校魯斯蘭·斯托亞諾夫（Ruslan Stoyanov），他曾在首都「K」部門（莫斯科內務總局的 USTM）工作。 卡巴斯基實驗室這個特殊部門的所有員工都來自執法機構，包括調查委員會和「K」局。 [十一]
2016年底，俄羅斯聯邦安全局逮捕了魯斯蘭·斯托亞諾夫，並指控他犯有叛國罪。 在同一案件中，FSB CIB（資安中心）的高級代表謝爾蓋·米哈伊洛夫（Sergei Mikhailov）被捕，在被捕之前，整個國家的網路安全都與他掛鉤。 [十一]
側邊欄：實施網路安全
很快，俄羅斯企業家將被迫認真關注網路安全。 2017年2016月，資訊保護和特殊通訊中心代表尼古拉·穆拉紹夫表示，在俄羅斯，70年僅CII對象（關鍵資訊基礎設施）就遭受了超過26萬次攻擊。 CII對象包括政府機構、國防工業企業、運輸、信貸和金融部門、能源、燃料和核工業的資訊系統。 為了保護他們，1 月 2018 日，俄羅斯總統弗拉基米爾·普丁簽署了一系列「關於 CII 安全」的法律。 到 12 年 XNUMX 月 XNUMX 日該法律生效時，CII 設施的所有者必須實施一套措施來保護其基礎設施免受駭客攻擊，特別是連接到 GosSOPKA。 [XNUMX]
參考書目
- 喬納森·米勒. // 2017。
- 羅斯·安德森. 智慧卡支付系統如何失敗 // 黑帽。 2014年。
- SJ默多克。 晶片和 PIN 已損壞 // IEEE 安全與隱私研討會論文集。 2010.頁。 433-446。
- 大衛·塔爾伯特。 // 麻省理工學院技術評論（數字版）。 2012年。
- 克雷格·廷伯格。 // 華盛頓郵報。 2015年。
- 邁克爾·利斯塔. // 多倫多生活。 2018.
- 克雷格·廷伯格。 // 華盛頓郵報。 2015年。
- 克雷格·廷伯格。 // 華盛頓郵報。 2015年。
- 克雷格·廷伯格。 // 華盛頓郵報。 2015年。
- 約書亞·甘斯. // 哈佛商業評論（數字版）。 2017年。
- // C新聞。 2017.網址。
- 瑪麗亞·科洛梅琴科。 // 紅血球。 2017年。
來源： www.habr.com