Мир в опасности: кто сможет защитить данные пользователей интернета
Последние пять лет в цифровом мире самые горячие и обсуждаемые темы связаны с информационной безопасностью. Только отношение к ним кардинально изменилось. В субботу, 7 апреля, кибератака на оборудование Cisco вызвала перебои в работе крупных сайтов Рунета, включая ресурсы некоторых СМИ. При этом хакеры использовали уязвимость в оборудовании американской компании, о которой специалисты нашей компании сообщили на конференции по информационной безопасности ZeroNights … в 2016 году.
Кривая общественного мнения
Первый явный всплеск интереса к информационной безопасности был связан с публикацией в середине 2013 года информации о массовой слежке спецслужб по всему миру. После признаний Сноудена общественность взволновалась, а данные о слежке АНБ даже за главами союзных государств привели к напряженности в международных отношениях.
Постепенно частота появления тревожных новостей из мира информационной безопасности стала приобретать эффект снежного кома, стремительно летящего с горы. Обнаружение различных бекдоров спецслужб у ведущих мировых вендоров, обнародование исходных текстов кибероружия, публикация технических деталей, казалось бы, еще совсем недавно невероятных уязвимостей в самых неожиданных и технически сложных устройствах от биоса до процессора, от автомобиля до авиалайнера.
Обнародование информации о громких взломах всевозможных сервисов, которые приписывались спецслужбам разных государств, и громкий итог всего этого — не имеющий аналогов по медийному шуму и длительности скандал с хакерским вмешательством в выборы США. Все это время мир пребывал в потрясении и иногда вздрагивал от удивления и ужаса.
И ведь нереальные ранее сценарии стали явью, вплоть до взлома по сети выключенного (но включенного в электрическую розетку) компьютера из-за уязвимости в процессоре (Intel ME, 2017). Если еще три года назад исследователей нередко обвиняли в завышении реального уровня опасности обнаруживаемых ими уязвимостей, то в последнее время и этот хор голосов стих — даже убежденные скептики поняли, что реальность гораздо опаснее самых смелых предположений. И все пять лет мир не переставал удивляться надвигающейся новой реальности, в которой спецслужбы свое кибероружие забывают буквально на детской площадке, все ломают всех, киберпреступники зарабатывают на взломах банков миллиарды долларов, а правда и вымысел уже, кажется, слились воедино.
Не выдержав столь долгого напряжения, мир «перегрелся», интерес к теме стал угасать. Все мы хорошо знаем, что нельзя постоянно кричать «Волки, волки!» — надоест. Что и случилось. Пришла апатия. Весь этот шум привел к прямо противоположному результату от того, на который рассчитывали те, кто его поднимал. Вместо глобальных изменений и всеобщей борьбы с уязвимостями и за цифровую приватность мы в итоге за эти пять лет пришли к окончательной девальвации как самого понятия цифровой приватности, так и последних остатков ответственности вендоров за уязвимости.
Сплошная информационная опасность
О какой безопасности можно сегодня говорить, что можно требовать от вендоров, если опасными уязвимостями сегодня обладают буквально все продукты в мире ИТ?
Если раньше обнаружение серьезной уязвимости и необходимость ее скорейшего закрытия беспокоили вендора прежде всего из-за мнения широкой общественности, то сегодня тотальная уязвимость любых ИТ-технологий и одновременно безразличие общества убивает последнее желание вендора быстро исправлять даже самые опасные уязвимости. «Эксплойт не выложен в интернет — исправим через год» — это теперь не самый худший случай из нашей практики. Надо понимать, что апатия общества и толерантность к уязвимостям медленно, но верно убивает всю индустрию ИТ, так как вопиющие уязвимости и фактическое безразличие к ним вендоров постепенно подрывают базовое доверие общества к современным технологиям.
О каком контроле и защите общества от деятельности спецслужб можно сегодня говорить, если последние окончательно перестали кого-либо стесняться и начали действовать практически в открытую. Например, обнаружение двух откровенных закладок спецслужб несколько лет назад в продукции одного из крупнейших мировых производителей сетевого оборудования (Juniper) не вызвало серьезного скандала – пресса молчала. А обнародование информации о закладке в одном из крупнейших почтовых сервисов в мире вместо 10-балльного шторма вызвало не более чем легкую рябь (Yahoo). Никто не удивился. Все привыкли, всем все равно.
Маленький профессиональный секрет. Сейчас некогда «бесстрашные» антивирусные компании при расследовании и обнародовании отчета с информацией об очередной вирусной кампании с использованием вредоносного приложения, разработка которой имеет какие-либо признаки участия собственных спецслужб, соревнуются в игре «кто выдержит большую паузу» с публикацией отчета. Цель — отдать пальму первенства своему конкуренту в надежде, что тот тоже когда-нибудь обнаружит неавторизованное проникновение и рискнет первым обнародовать данное исследование. Главное — не стать первым, чтобы не портить отношения со спецслужбами.
О какой цифровой приватности может идти речь, если все привыкли к массовым утечкам, и каждая новая становится не более чем очередной новостью в прессе, приковывая ее внимание сегодня максимум на один день. Цифровая приватность в наши дни это фантом, ведь мир уже смирился с тем, что не только спецслужбы, а уже кто и что угодно (вплоть до малоизвестных приложений) массово собирает и анализирует различные метаданные пользователей, и это уже приводит к неожиданным последствиям — от раскрытия секретных военных баз до массовых манипуляций пользовательскими предпочтениями.
Современные методы анализа больших данных, машинное обучение и повсеместное использование интернета вещей в ближайшее время вызовет окончательный крах последнего оплота домашней приватности, когда холодильник начнет манипулировать вашими вкусовыми предпочтениями, заказывая вам продукты по своему усмотрению и согласно желанию каких-то ловких дельцов-манипуляторов, желающих заработать лишний доллар.
И не говорите потом, что вас не предупреждали, ибо в итоге в борьбе идеализма и реализма всегда побеждает последний. Так что кричать «Волки, волки!» поздно. Нужно действовать. Осталось только понять как. Традиционные меры уже не действуют.