Экс-хакер №1 Кевин Митник: «Я как Пабло Эскобар, который стал фармацевтом»

Кевин Митник в 1990-х считался киберпреступником №1 в мире. В конце 1990-х он провел пять лет в тюрьме, а после освобождения стал ярым борцом с хакерами. 10 сентября Митник посетил Москву, где выступил на конференции C^2: Cyber Challenge и ответил на вопросы Forbes – о будущем кибервойн, вмешательстве государства в интернет, Эдварде Сноудене, Евгении Касперском и желании «тряхнуть стариной».

Upd. Кевин Митник умер 20 июля 2023 года. Ему было 59 лет. 

— Менее 20 лет назад ФБР называло вас самым опасным хакером в мире. Сегодня вы перешли на другую сторону баррикад и помогаете совершенствовать кибербезопасность. IT-отрасль при этом сталкивается со все более сложными вызовами — целые государства, прежде всего США и Китай, развязывают кибервойны, создают киберармии. Каким вам видится будущее индустрии?

— Думаю, у наиболее передовых государств есть и программа защиты, и программа нападения в киберпространстве. Лидерами в этой области являются Россия, Китай и, безусловно, США. Все страны занимаются шпионажем в отношении друг друга и будут использовать все возможности в киберпространстве для достижения своих целей. Коды операционных систем и приложений содержат бесчисленное множество уязвимостей, и когда их обнаружат, они будут использованы, чтобы скомпрометировать системы противника. Пока существует код, будут и уязвимости для эксплойта. Я думаю, что в ближайшем будущем все останется по-прежнему – до тех пор, пока не решат проблему с безопасностью кодов.

— Вы согласны с мнением, что в будущем кибератаки могут стать решающим фактором успеха в настоящих полномасштабных войнах?

— На мой взгляд, они могут стать решающим фактором в том случае, если государства сумеют получить доступ к системам противника для проведения разведывательной или диверсионной работы с критически важными системами неприятеля.

— Государства при этом все чаще пытаются расширить контроль над интернетом. Российские власти, к примеру, за последние годы приняли целый ряд законов, регулирующих сеть, которые были раскритикованы представителями отрасли и пользователями. По-вашему, такие действия конструктивны?

— Нет, лично я не сторонник государственного контроля над интернетом. Российских законов о регулировании сети я не знаю. По-моему, интернет плохо поддается регулированию, ведь это глобальная сеть и в ней довольно просто сохранить анонимность, достаточно подключиться к чьей-то беспроводной сети. И как это регулировать?

— Так где проходит грань между свободой интернета и необходимостью регулирования с целью предотвращения киберпреступлений?

— Предупреждение киберпреступлений разумно, но эта цель не должна взаимоисключать свободу в интернете.

— А как вам идея введения подобия паспортов для идентификации интернет-пользователей? Аналитики все чаще прогнозируют принудительную деанонимизацию сети…

— Думаю, это плохая идея и толку от нее не будет. Посмотрите на «великий китайский фаерволл». При желании люди всегда смогут обойти любую систему контроля. Можно просто по-другому выходить в сеть, например при помощи старых модемных технологий. В сети очень трудно добиться подотчетности. Только представьте: кто угодно может подключиться к беспроводной сети и выйти в интернет, без какой-либо подотчетности. Так что я считаю, что интернет-паспорта работать не будут.

— Сами пользователи сегодня готовы пожертвовать частью своей свободы ради обеспечения безопасности?

— Существуют сторонники как защиты частной жизни, так и безопасности. В Америке, например, мы уже пожертвовали своими свободами ради защиты от возможных террористических атак. К сожалению, это привело к значительному ослаблению наших прав на неприкосновенность частной жизни. Как это ни печально для США, но если однажды уступить свои права, то обратно их уже не вернуть. При этом есть люди, готовые пожертвовать своими свободами ради безопасности.

— К вопросу о борцах. Самые известные киберпреступники последних лет вовсе не хакеры, а информаторы вроде Брэдли Мэннинга и Эдварда Сноудена….

— Да уж, трудно назвать хакером человека, который имел законный доступ к секретной информации, просто вставил в компьютер несколько DVD и скопировал ее.

— Каково ваше личное и профессиональное отношение к их разоблачениям?

— Самое крупное в истории США дело об утечке информации — дело Сноудена. Я считаю, что он поступил правильно, показав, как действует правительство США и Агентство национальной безопасности (АНБ) в отношении нарушения прав американцев на неприкосновенность частной жизни. В то же время, думаю, Сноудену не следовало раскрывать секретные операции в отношении других государств. Одно дело, когда АНБ или ФБР нарушают закон, прослушивая всех поголовно в США без надлежащей процедуры, другое дело – когда цели находятся в других странах, например в Афганистане, где базируются террористические ячейки.

Думаю, Сноудена не стоит называть предателем, ведь предатели обычно пытаются обогатиться на раскрытии государственной тайны. Я считаю его разоблачителем, потому что его целью было сообщить людям о незаконных действиях своего правительства.

— Решение России предоставить ему убежище поддерживаете?

— Да, здравое решение. У меня нет никаких сомнений в том, что США заперли бы его в одиночной камере пожизненно за разоблачение их преступной деятельности.

— Расскажите, чем занимается ваша фирма Mitnick Security Consulting. Есть ли у вас клиенты в России?

— Mitnick Security оказывает услуги в сфере кибербезопасности по всему миру, хотя у нас пока и нет клиентов в России, кроме заказчиков публичных выступлений. Основная сфера деятельности – тестирование и исследование физических и технических средств защиты клиента, человеческого фактора в обеспечении безопасности. Наша команда инженеров использует уникальные навыки для выявления уязвимостей в инфраструктуре клиента, чтобы проинформировать его о том, какие меры нужно принять для повышения уровня защиты от хакеров.

— Как на вашу работу влияют мобильные технологии? Меняется ли отрасль принципиально из-за смены платформы ПК на смартфоны и планшеты?

— Да, смартфоны и планшеты – это новое богатое пространство для атак. Люди хранят в мобильных устройствах огромные объемы информации, и злоумышленники могут этим воспользоваться для взлома корпоративной сети, кражи паролей и, возможно, даже для проведения финансовых операций от лица объекта атаки. Сейчас эти устройства напоминают мне о заре персональных компьютеров. Мобильные платформы легче поддаются взлому, потому что на рынке систем безопасности пока еще нет программ для адекватной защиты мобильных устройств. Соответственно, специалисты по безопасности, включая меня, должны ежедневно изучать новые векторы атаки, чтобы защитить информацию клиентов.

— Каковы сегодня главные угрозы кибербезопасности для бизнеса?

— Перечислю несколько. Во-первых, это слабозащищенные веб-приложения с интернет-уязвимостями; во-вторых, атаки с применением социальной инженерии (направленный фишинг и т. д.); в-третьих, незащищенные программными «заплатками» серверы и рабочие станции; в-четвертых, плохое управление паролями и использование одинаковых паролей в разных доменах; и наконец, вредоносные программы, умеющие обходить антивирусное программное обеспечение.

— И что вы советуете компаниям для защиты от этих угроз?

— Существует комплекс мер: аудит безопасности веб-приложений с выходом в интернет; обучение и тренинги для пользователей по противодействию социальной инженерии, проведение «вакцинации» с помощью сервисов вроде KnowBe4.com; активная установка «заплаток» на серверы и рабочие станции для защиты от последних угроз для безопасности; разработка и реализация хорошей корпоративной политики управления паролями во всей организации; использование антивирусных систем, например Kaspersky, которые лучше распознают хакерские программы за счет применения эвристических технологий, а не сигнатур.

— Упомянутая российская Лаборатория Касперского – один из крупнейших игроков на рынке кибербезопасности. Они для вас конкуренты или вы работаете над разными сферами?

— Нет, мы с Касперским не конкуренты. Кстати, пару дней назад я с ним встречался, мы обедали вместе. Он замечательный и очень приятный в общении человек! Касперский разрабатывает антивирусное ПО для защиты компаний и пользователей от вредоносных программ. А Mitnick Security выявляет уязвимости в защите сетей клиентов и расследует случаи хакерских атак.

— И последний вопрос. Не скучаете по своему прошлому? Не хочется тряхнуть стариной и взломать чей-нибудь компьютер?

— Вообще-то, открою вам секрет: я по-прежнему все время занимаюсь хакерством. Я постоянно взламываю системы, единственное отличие в том, что теперь клиенты дают мне на это разрешение и платят деньги, чтобы я помог им выявить проблемы в безопасности, которые потом можно будет устранить. Так что все остаются в выигрыше — и клиенты, и я. Моя деятельность сегодня — это как если бы Пабло Эскобар переквалифицировался в фармацевты.