З погляду АНБ жодного підступу в його спробах контролювати процес шифрування немає. Зрештою, агентство займається зламуванням закодованої інформації. Це завдання, яке йому доручили і виконання якого очікують. Якщо агентство зробило лазівки в алгоритмах шифрування, про які знало лише воно, кому це зашкодить?
Проте ці лазівки не були секретом. До 2007 року про бекдори в генераторі випадкових чисел писали популярні сайти й провідні експерти з кібербезпеки. Використати цю вразливість, тобто підібрати ключ, який відкривав би «чорний хід», залишений АНБ, було складно, але можливо. Іноземні служби могли знайти спосіб зламати алгоритм шифрування, щоб потому шпигувати за власними громадянами або за американськими компаніями й агентствами, які використовували цей алгоритм. Злодії мали змогу використовувати вразливості алгоритму для крадіжки персональної й фінансової інформації. Алгоритм був уразливий скрізь, де його застосовували, зокрема і в продуктах однієї з провідних світових компаній у сфері безпеки.
Фахівці АНБ могли заспокоювати себе, припускаючи, що криптографічні служби інших країн, безсумнівно, спробують обійти шифрування, зламуючи й ті алгоритми, якими маніпулювало АНБ. Звісно, так воно й було. Проте це не відповідь на запитання: навіщо свідомо дискредитувати не лише один алгоритм, а й процес створення стандартів шифрування загалом? Секретне втручання АНБ підірвало довіру до NIST і зруйнувало давню репутацію агентства як надійного й цінного партнера у створенні деяких засадничих технологій в Інтернеті та пристроїв, в яких люди зберігали власну інформацію, захищаючи недоторканність особистого життя. Лише уявіть, що АНБ займалося б виробництвом дверних замків і заохочувало всі будівельні компанії країни віддавати перевагу моделям, в яких є прихований недолік. Ніхто би цього не терпів. Споживачі завалили б компанію судовими позовами та вимагали б відставки керівників організації.
Проте реакція на антишифрувальну кампанію АНБ була порівняно кволою. Почасти тому, що багато експертів, серед яких були й криптографи, віддавна були переконані в причетності агентства до подібної тіньової діяльності. Нове викриття було скандальним, але особливого подиву не викликало. Натомість американські законодавці та можновладці мали стійке переконання, що саме цим і повинно опікуватися АНБ. Агентство зламує шифри, щоб викрадати інформацію. NIST затверджує нові стандарти за допомогою відкритої та прозорої процедури. А це прокляття для секретної діяльності АНБ.
З погляду агентства Комітет зі стандартизації створює загрозу поширення стійких до зламування алгоритмів і криптографічних технологій, які надійно захищають інформацію, тобто робить усе, що перешкоджає АНБ виконувати свою роботу. Упродовж багатьох років законотворці, які затверджували бюджет АНБ, а також представники адміністрації президента, які наглядали за його роботою, були на стороні агентства. Не бажаючи непорозумінь, вони цілком покладалися на той факт, що спритна діяльність АНБ залишається в секреті, отже, збиток безпеці інтернету і репутації Сполучених Штатів був мінімальним. Викриття 2013 року поклали край цим сподіванням.
Зі всіх темних справ АНБ, напевно, жодна інша не загрожувала безпеці інтернету й користувачів так, як секретні розробки кіберзброї.
Протягом останніх 20 років аналітики АНБ вивчали світове програмне й апаратне забезпечення та мережеве обладнання, намагаючись знайти помилки й уразливості, які допоможуть розробити методи атак на комп’ютерні системи, так звані експлойти[6] нульового дня, названі так, бо йдеться про невідомі раніше вразливості, захисту від яких наразі не існує. (Ціль має «нуль днів», щоб підготуватися до атаки.)
Уразливість нульового дня – найефективніша кіберзброя з ефектом несподіванки, що дає величезну перевагу в битві. Експлойт нульового дня розробляють з огляду на конкретну вразливість. А позаяк недолік системи, найімовірніше, «залатають», щойно об’єкт зрозуміє, що його атакували, скористатися вразливістю можна лише один раз.
Атаки нульового дня розробляти доволі складно, оскільки невідомі вразливості знайти непросто. Однак АНБ упродовж багатьох років накопичувало інформацію про них. У 1997 році, згідно з нещодавно розсекреченим інформаційним бюлетенем АНБ, принаймні 18 підрозділів агентства таємно збирали дані щодо вразливості технологій, використовуваних приватними особами, компаніями та державними установами всього світу. Нині експерти з безпеки та державні діячі одноголосно визнають, що АНБ – єдиний і найбільший власник експлойтів нульового дня, більшість яких агентство скупило на тіньовому інтернет-ринку в незалежних хакерів і корпоративних посередників.
6
Експлойт – програма, фрагмент програмного коду або послідовність команд для здійснення атаки на комп’ютерну систему завдяки вразливостям програмного забезпечення.