Пример первый. В 2013 г. преступники проникли в сеть компании Target Corporation[12] и похитили информацию о 70 млн покупателей, а также данные 40 млн кредитных и дебетовых карточек. Доступ злоумышленники получили благодаря учетным данным для входа в систему Target Corporation, украв те у одной из фирм – поставщика обогревателей и кондиционеров{98}.
Пример второй. В 2016 г. хакеры объединили миллионы компьютеров из мира интернета вещей (роутеры, цифровые видеорегистраторы, веб-камеры и т. д.) в огромный ботнет Mirai, после чего использовали его для DDoS-атаки[13] против провайдера доменных имен Dyn, представлявшего сетевые сервисы для крупнейших интернет-сайтов. Dyn завис – десятки веб-сайтов (в том числе Reddit, BBC, Yelp, PayPal и Etsy) отключились{99}.
Пример третий. В 2017 г. через подключенный к интернету аквариум хакеры проникли в онлайн-казино и похитили данные игроков{100}.
Системы воздействуют друг на друга неожиданным и опасным образом. Элемент, что на этапе конструирования считался безопасным, становится вредоносным, стоит только системам начать взаимодействовать – уязвимости легко и незаметно проникают из одной в другую. Одна из таких ошибок могла стать причиной аварии на АЭС Три-Майл-Айленд, катастрофы шаттла «Челленджер» и массового отключения электричества в США и Канаде.
Кроме того, не всегда можно установить, по вине какой системы произошла ошибка, плюс причина уязвимости может и не скрываться в одной из них. Случается, что хорошо защищенные системы небезопасны друг для друга{101}. В 2012 г. неизвестный получил доступ к аккаунтам журналиста Мэта Хонана на Amazon, в Apple, Gmail и Twitter{102}. Системы не имели уязвимостей, но стали уязвимыми в результате взаимодействия, другими словами, играла роль траектория атаки.
Можно привести и другие примеры. Из-за уязвимости в умных холодильниках Samsung угрозе взлома подверглись аккаунты пользователей Gmail{103}. Излишне чувствительное приложение Gyrophone в iPhone, определяющее положение устройства в пространстве, улавливает акустические колебания, а потому способно подслушивать разговоры{104}.
Между 100 системами возникает около 5000 взаимодействий, то есть появляется порядка 5000 потенциальных уязвимостей. Между 300 системами – 45 000 взаимодействий, между 1000 – 500 000. Бо́льшая часть взаимосвязей окажется безобидной, но некоторые возымеют разрушительные последствия.
Существует три принципиальных отличия между тем, как выходят из строя компьютеры и прочие устройства.
Отличие первое: расстояние не имеет значения. В реальном мире мы беспокоимся о том, как защититься от среднестатистического врага. Мы не покупаем дверной замок, чтобы сдержать лучшего в мире взломщика, – мы покупаем дверной замок, чтобы сдержать обычного вора, который, возможно, крутится возле дома. Я живу в Кембридже (штат Массачусетс) и мало тревожусь из-за суперквалифицированной воровки из Канберры (Австралия). Вряд ли она полетит через полмира, чтобы ограбить мой дом. Но вот мою домашнюю сеть хакерша из Канберры взломает так же легко, как взламывает сеть того, кто живет на противоположной от нее стороне улицы.
Отличие второе: способность атаковать компьютеры не связана с особыми умениями. Да, создание ПО требует определенного мастерства. Та же самая суперквалифицированная хакерша из Канберры – виртуоз и отличный кодер. Она способна создать вредоносное программное средство, запустить его в работу, автоматизировать процесс – заставить его работать уже без своего участия – и передать любому человеку, даже не программисту. Подобная последовательность действий поспособствовала появлению термина «скриптомалыш» – это человек с минимальной квалификацией, но мощным ПО. Если бы лучший в мире вор мог делиться инструментом, который позволил бы обычному (среднестатистическому) воришке проникнуть к вам в дом, вы беспокоились бы о безопасности жилища куда сильнее.
В интернете потенциально опасные хакерские инструменты распространяются постоянно. Взломщик, создатель ботнета Mirai, сделал свой код доступным любому, и за неделю тот был интегрирован в десяток программ для взлома{105}. Мы называем такие программы вредоносными. Это черви[14], вирусы и руткиты[15]. Хакеры приобретают руткиты на черном рынке, берут или сдают их в аренду{106}. Известно, что европейские компании HackingTeam и Gamma Group поставляют вредоносные программные средства на рынки менее развитых государств{107}. Установлено, что за фишинговыми атаками, которые привели к взлому почтовых серверов Национального комитета Демократической партии США в 2016 г., стоял Карим Баратов, 21-летний гражданин Казахстана и Канады{108}. Вредоносный код был разработан опытным российским хакером Алексеем Беланом.
12
Target Corporation – одна из крупнейших американских компаний в области розничной торговли. –
99
Catalin Cimpanu (30 Mar 2017), “New Mirai botnet slams U.S. college with 54-hour DDoS attack,”
101
James Fisher (7 Apr 2018), “The dots do matter: How to scam a Gmail user,”
103
Pedro Venda (18 Aug 2015), “Hacking DefCon 23’s IoT Village Samsung fridge,”
104
Yan Michalevsky, Gabi Nakibly, and Dan Boneh (20–22 Aug 2014), “Gyrophone: Recognizing speech from gyroscope signals,” in
106
Tara Seals (18 May 2016), “Enormous malware as a service infrastructure fuels ransomware epidemic,”
107
Aaron Sankin (9 Jul 2015), “Forget Hacking Team – many other companies sell surveillance tech to repressive regimes,”