Кибервойн@. Пятый театр военных действий - Шейн Харрис

Фактически Комитет по стандартизации говорил миру, что у него не было никаких возможностей воспрепятствовать АНБ. Даже если бы в комитете хотели отстранить АНБ от разработки стандартов, этого нельзя было сделать по закону. Высокопоставленный представитель АНБ, по всей видимости, поддержал этот аргумент. В декабре 2013 г. Анна Ньюбергер, которая отвечала в АНБ за взаимодействие с технологическими компаниями, дала интервью национальному блогу по вопросам безопасности Lawfare. Анну спросили о сообщениях, согласно которым агентство тайно ухудшило алгоритм в процессе его разработки. Она не подтвердила, но и не опровергла эти обвинения. Ньюбергер назвала NIST «крайне уважаемым и близким партером по многим вопросам». Однако она отметила, что «институт не входит в число членов разведывательного сообщества».

«Вся их деятельность абсолютно чиста, – продолжала Ньюбергер, подразумевая, что в работе института не было никакого злого умысла, а ее целью была исключительно защита шифрования и содействие обеспечению безопасности. – Они отвечают только за стандартизацию и усовершенствование и укрепление стандартов настолько, насколько это возможно».

Похоже, что Ньюбергер собиралась «выдать NIST индульгенцию», избавляющую институт от всякой ответственности за внедрение уязвимости.

Случай, связанный с проведенной в 2006 г. работой по снижению безопасности генератора случайных чисел, не был единичным. Это было частью масштабной, длительной кампании по ослаблению безопасности основных стандартов защиты информации, которыми частные лица и организации пользуются во всем мире. Судя по документам, АНБ и NIST сотрудничали еще в начале 1990-х гг. Задачей АНБ было ослабление стандартов шифрования еще до их официального утверждения и внедрения. АНБ контролировало процесс разработки стандарта DSS (цифровой подписи) – метода установления подлинности отправителя электронного сообщения и проверки достоверности содержащейся в сообщении информации. «NIST открыто предложил [стандарт] в августе 1991 г. и сначала не упоминал о каком-либо участии АНБ в его разработке. Этот стандарт предназначался для использования в несекретных гражданских системах», – рассказывают в Информационном центре защиты электронных персональных данных, который получил документы о разработке стандарта DSS с помощью Закона о свободе информации. После того как группа экспертов в области компьютерной безопасности подала судебный иск, NIST признал, что АНБ разработало стандарт, который «был подвергнут широкой критике представителями компьютерной индустрии за его низкую надежность и неполноценность по сравнению с существующими технологиями проверки подлинности». «Многие наблюдатели допускали, что [существующая] методика не получила одобрения АНБ, поскольку фактически она была более безопасной, чем алгоритм, предложенный агентством».

C точки зрения АНБ его усилия, направленные на дискредитацию шифрования, совершенно естественны. В конце концов, взлом шифров – основной вид деятельность агентства. Именно этой работой оно уполномочено заниматься, и именно этой работы от него ожидают. Если агентство внедрило лазейки в алгоритмы шифрования, о которых знало только оно, то какой от этого вред?

Однако изъяны алгоритмов не были секретом. К 2007 г. об уязвимости генератора случайных чисел писали популярные сайты и ведущие эксперты по безопасности. Использовать эту уязвимость, то есть подобрать ключ, который открывал бы «черный ход», оставленный АНБ, было довольно сложно, но возможно. Иностранные власти могли найти способ взломать алгоритм шифрования, и тогда им открывалась возможность шпионить за своими гражданами или за американскими компаниями и агентствами, которые использовали этот алгоритм. Криминальные структуры могли использовать недостатки алгоритма для похищения персональных и финансовых данных. Алгоритм был уязвим везде, где он применялся, в том числе в продуктах одной из ведущих на мировом рынке компаний в сфере безопасности.

В АНБ могли успокаивать себя, рассуждая о том, что криптографические службы других стран, несомненно, пытались нейтрализовать использование шифрования, в том числе и тех алгоритмов, которыми манипулировало АНБ. И конечно, они этим занимались. Однако это не ответ на вопрос, зачем сознательно дискредитировать не просто один алгоритм, а весь процесс создания стандартов шифрования? Тайные действия АНБ подорвали доверие к NIST и разрушили давнюю репутацию агентства как надежного и ценного партнера, внесшего свой вклад в создание некоторых основополагающих технологий в Интернете – тех самых устройств, благодаря которым люди могли не опасаться за безопасность своих личных данных, а значит, и за неприкосновенность своей личной жизни. Представьте, если бы АНБ занималось производством дверных замков и навязчиво предлагало бы каждой строительной компании в Америке отдавать предпочтение их моделям, в которых есть тайный изъян. Никто не стал бы этого терпеть. В крайнем случае сами потребители завалили бы компанию судебными исками и требовали бы отставки руководителей организации.

Однако реакция общества на работу АНБ, направленную против шифрования информации, была относительно слабой. Отчасти это связано с тем, что многие эксперты, среди которых были и криптографы, уже давно подозревали агентство в подобного рода теневой деятельности. Новое разоблачение было содержательным и полезным, но не вызвало удивления. Кроме того, у американских законодателей и чиновников было сильное ощущение, что именно этим АНБ и должно заниматься. Оно взламывает шифры, чтобы похищать информацию. NIST утверждает новые стандарты посредством открытой и прозрачной процедуры. А это проклятие для скрытного характера АНБ. С точки зрения агентства Комитет по стандартизации создает угрозу распространения устойчивых ко взлому алгоритмов и криптографических технологий, которые позволяют надежно защитить информацию, то есть ведет деятельность, прямо противоположную задачам АНБ. Многие годы законотворцы, которые утверждали бюджет АНБ, и чиновники Администрации, которые курировали его работу, были на стороне агентства. Рассеять возникающие опасения им помогал тот факт, что, пока проделки АНБ оставались в секрете, ущерб безопасности Интернета и репутации Соединенных Штатов был минимальным. Разоблачения, опубликованные в 2013 г., положили конец подобным предположениям.

Из всех темных дел АНБ, наверное, ни одно другое не подвергало безопасность Интернета и людей, его использующих, большему риску, чем секретный поиск методов создания кибероружия.

В течение последних 20 лет аналитики АНБ подробно изучали мировое программное, аппаратное обеспечение и сетевое оборудование, пытаясь найти ошибки и уязвимости, с помощью которых можно создать программы для атаки на компьютерные системы. Такие программы получили название эксплоитов[10] нулевого дня, поскольку в них используются ранее неизвестные уязвимости, защиты от которых еще не существует.

Уязвимость нулевого дня – самое эффективное кибероружие. Применение этого оружия создает эффект неожиданности, дающий огромное преимущество в битве. Эксплоит нулевого дня создается специально под конкретную уязвимость. А поскольку недостаток системы, делающий ее беззащитной, скорее всего будет устранен, как только объект поймет, что был атакован, использовать такой эксплоит можно лишь один раз.

Атаки нулевого дня особенно сложны для реализации, поскольку неизвестные уязвимости трудно найти. Однако АНБ много лет занималось накоплением информации о таких уязвимостях. В 1997 г., согласно недавно рассекреченному информационному бюллетеню АНБ, по крайней мере 18 подразделений агентства тайно собирали данные об уязвимостях технологий, используемых частными лицами, компаниями и государственными учреждениями по всему миру. В настоящее время и эксперты в области безопасности, и государственные чиновники признают, что АНБ – единственный крупнейший владелец эксплоитов нулевого дня, многие из которых агентство покупает на теневом рынке в Сети у независимых хакеров и корпоративных посредников.

Этот теневой рынок, строго говоря, не является незаконным, но он функционирует на «задворках» Интернета. Принцип его работы следующий: специалисты по вопросам безопасности – еще одно название для хакеров – находят уязвимости. (Многие из этих специалистов базируются в Европе, где местные и национальные законы, противодействующие взлому компьютерных систем, гораздо мягче, чем в Соединенных Штатах.) Затем специалисты разрабатывают эксплоиты, или способы атаки с использованием найденной уязвимости, о которой на тот момент знают только те, кто ее обнаружил. Далее они продают эксплоиты посредникам, в качестве которых, как правило, выступают крупные оборонные подрядчики. Два крупнейших игрока на этом рынке – компании Raytheon и Harris Corporation. Они также разрабатывают традиционные виды систем вооружения для военных ведомств, при этом являются самыми крупными и авторитетными подрядчиками Пентагона. Они имеют давние и прочные связи с военными и АНБ. Кроме того, сбором и продажей уязвимостей нулевого дня занимаются небольшие специализированные фирмы. Некоторыми из них руководят бывшие армейские офицеры или сотрудники разведслужб.