Исследование уязвимостей. Чтобы двигаться в этом направлении, нужны исследователи для поиска «дыр» и усиления безопасности, а в законодательном акте под названием «Закон об авторском праве в цифровую эпоху» (Digital Millennium Copyright Act – DMCA) есть положения о запрете изысканий в данной сфере. Мы обратимся к этому закону в главе 4, а пока ограничимся информацией, что он запрещает несанкционированное воспроизведение произведений, защищенных авторским правом. Но его влияние гораздо шире. DMCA запрещает проводить реинжиниринг, находить уязвимости в программных системах, защищенных авторским правом, и сообщать о них общественности. Производители сертифицированного ПО неоднократно использовали эту лазейку.
В качестве примера приведу случай с российским программистом Дмитрием Скляровым. В 2001 г. он был арестован ФБР прямо на DefCon{149}. Поводом стала разработка метода обхода криптокода в Adobe Acrobat, предотвращающего незаконное копирование электронных книг. В том же 2001 г. НР применила DMCA в отношении исследователей, опубликовавших информацию о брешах в системе безопасности ее продукта Tru64{150}. В 2011 г. Activision использовала закон об авторском праве, чтобы закрыть веб-сайт инженера, который исследовал систему безопасности одной из ее видеоигр{151}. Подобных случаев очень много.
В 2016 г. Библиотека Конгресса внесла в DMCA поправку относительно исследователей в области безопасности{152}. Но изменения незначительны, к тому же носят временный характер и по-прежнему оставляют множество возможностей для преследования{153}.
Есть и другие поправки, направленные против аналитиков. В 2008 г. бостонский транспортный оператор MBTA (Massachusetts Bay Transportation Authority) воспользовался Законом о компьютерном мошенничестве и злоупотреблениях (Computer Fraud and Abuse Act) и воспрепятствовал презентации, посвященной дефектам проездных билетов на метро{154}. В 2013 г. Volkswagen подала в суд на исследователей, обнаруживших уязвимости в ее ПО, и тем самым на два года задержала обнародование этой информации{155}. В 2016 г. FireEye, работающая в сфере интернет-безопасности, добилась судебного запрета на публикацию деталей о «дырах» в ее продукте{156}.
Отрицательный эффект от подобных действий довольно ощутим. Беспокоясь о возможных судебных преследованиях, молодые исследователи, увлеченные карьерой, публикациями, отказываются от поиска ошибок – предпочитают не рисковать{157}.
По мере того как компьютеры проникают во все большее количество вещей, сложившаяся система будет работать все хуже и хуже. Но альтернативы пока нет.
Это возвращает нас к двум концепциям, о которых мы беседовали в начале главы: «Делайте правильно с первого раза» и «Убедитесь, что защита легко адаптируется».
В сфере ПО в ходу термин «каскадная модель»{158}. Используется он для описания традиционной модели разработки ПО: сначала формулируются требования, потом составляется спецификации, затем приходит очередь конструирования, реализации, тестирования и внедрения. Гибкий подход – это новая модель разработки ПО: создайте прототип, соответствующий базовым потребностям клиента, проследите за тем, как он выходит из строя, оперативно внесите исправления, обновите требования и спецификации и повторяйте эти действия снова и снова{159}. Гибкая модель намного лучше подходит для проектирования и разработки ПО. Она включает и конструктивные требования, и требования к функциональному дизайну.
Вы, наверное, заметили разницу в скорости обновления ПО Microsoft Office и приложений в iPhone. Новая версия Microsoft Office появляется раз в несколько лет, а новая версия приложений в iPhone – еженедельно. Изменения в Microsoft Office затрагивают конструктив и функционал, обновления приложений предполагают несущественные изменения и появление дополнительной функции. Возможно, Microsoft реализует гибкую модель, но из-за частоты релизов она ближе к каскадной модели.
149
Electronic Frontier Foundation (1 Jul 2011; last updated 7 Aug 2012), “US v. ElcomSoft Sklyarov,” https://www.eff.org/cases/us-v-elcomsoft-sklyarov.
151
Electronic Frontier Foundation (1 Mar 2013), “Unintended consequences: Fifteen years under the DMCA,” https://www.eff.org/pages/unintended-consequences-fifteen-years-under-dmca.
152
Charlie Osborne (31 Oct 2016), “US DMCA rules updated to give security experts legal backing to research,”
155
Chris Perkins (14 Aug 2015), “Volkswagen suppressed a paper about car hacking for 2 years,”
156
Kim Zetter (11 Sep 2016), “A bizarre twist in the debate over vulnerability disclosures,”
157
Electronic Frontier Foundation (21 Jul 2016), “EFF lawsuit takes on DMCA section 1201: Research and technology restrictions violate the First Amendment,” https://www.eff.org/press/releases/eff-lawsuit-takes-dmca-section-1201-research-and-technology-restrictions-violate.