Переполненная чаша Обамы

Еще одно уязвимое место финансового сектора возникло вследствие того, что крупнейшие финансисты успешно лоббировали отказ от правительственного регулирования. На нем и пришлось сконцентрироваться Бараку Обаме, когда он стал президентом. Провал субстандартного ипотечного кредитования и сложная ситуация на рынке ценных бумаг спровоцировали жесточайший финансовый кризис со времен 1929 года. Вследствие этого, а также войны в Ираке и Афганистане, угрозы пандемии гриппа, реформы здравоохранения, глобального потепления, которые требовали его внимания, Обама проигнорировал проблему кибербезопасности. Однако он затрагивал эту же тему во время предвыборной кампании 2008 года. Хоть я и согласился принять участие в кампании в качестве эксперта по проблеме терроризма, но использовал эту возможность, чтобы проработать кандидата и его советников на тему кибервойны. Я не удивился, что Обама уловил суть проблемы, поскольку он проводил самую технологически продвинутую, киберзависимую президентскую кампанию в истории. Еще будучи сенатором, Обама летом 2008 года выступил с речью перед экспертами в области кибербезопасности в Университете Пердью. В речи, посвященной проблемам национальной безопасности, он сделал смелое завление, объявив американскую киберинфраструктуру «стратегическими активами», — такая важная фраза в переводе с языка правительства означает — это стоит защищать. Он пообещал назначить в Белом доме старшего советника, который будет отчитываться непосредственно перед ним, и пообещал, что кибербезопасность станет «главным государственным приоритетом». В брошюре, которую мой соавтор Роб Нейк составил вместе с Джоном Мэллери и Роджером Хурвитцем — специалистами по вычислительной технике из Массачусетского технологического института, он пошел еще дальше, раскритиковав администрацию Буша за медлительность перед лицом рисков, связанных с киберпространством, и дал обещание «способствовать разработке безопасных компьютеров и сетей следующего поколения для обеспечения национальной безопасности», больше инвестировать в науку и математическое образование и создать план устранения уязвимых мест, предотвращения хищения информации и корпоративного шпионажа.

Несколько недель спустя Обама столкнулся с очень серьезной киберугрозой. ФБР, не привлекая общего внимания, проинформировало, что есть основания считать, будто китайские хакеры проникли в компьютерные системы участников кампании. Я попросил одного из моих деловых партнеров, Пола Куртца (занимавшегося в Белом доме вопросами кибербезопасности и при Буше, и при Клинтоне), привлечь команду экспертов по кибербезопасности из штаб-квартиры в Чикаго, чтобы оценить масштаб урона и посмотреть, что можно сделать, чтобы обезопасить системы. Китайских хакеров интересовали черновики программных документов. Они использовали достаточно сложные методы под прикрытием благовидной деятельности. Когда к кампании неофициально присоединились специалисты из Чикаго, я попросил всех, кто работает над вопросами национальной безопасности, не использовать домашние компьютеры для этой цели. Несмотря на то что их переписка была несекретной, ею очень интересовался Китай и другие (включая, предположительно, Джона Маккейна, хотя я бы не сказал, что его кампания отличалась глубоким пониманием кибертехнологий). С согласия участников кампании мы раздали всем «чистые» ноутбуки Apple и заблокировали их так, чтобы они могли работать только в пределах виртуальной частной сети, созданной с использованием сервера с совершенно безобидным именем. Я знал, что затруднения возникнут. Вскоре мне стали звонить с жалобами на ограничения: «Дик, я в кафе, и этот чертов компьютер не дает мне подключиться к wifi», «Дик, мне нужно отправить кое-какие файлы из своего ящика, но я не могу выйти в Интернет». Я пытался объяснить, что нам, наверное, не стоит планировать захват Белого дома из кафе, но никого это особенно не убеждало.

Незадолго до инаугурации мы с Полом Куртцем представили новой команде Белого дома проект решения, в котором были сформулированы предложения, озвученные Обамой в речи в Университете Пердью. Мы утверждали, что если Обама будет медлить, кто-нибудь обязательно попытается его остановить. Несмотря на то что многие из аппарата Белого дома понимали проблему и хотели быстрого решения, никто, разумеется, не считал ее первостепенной. Вместо этого администрация Обамы приказала подготовить за 60 дней обзор состояния систем IT — безопасности и попросила одного из составителей бушевской CNCI (Всесторонней национальной программы кибербезопасности) возглавить этот проект. И это несмотря на то, что комиссия по кибербезопасности 44-го президента во главе с Джимом Льюисом уже год пыталась прийти к консенсусу по вопросу, что должен делать следующий президент, и уже опубликовала отчет в декабре 2008 года. Когда 110 дней спустя президент объявил результаты, догадайтесь, что произошло? Вернули CNCI. Военное Киберкомандование осталось, но не было ни стратегии кибервойны, ни плана или программы действий по защите частного сектора, ничего того, что могло инициировать международный диалог по этим проблемам. И — опять дежавю — новый президент от демократов отказался от попыток регулирования: «Позвольте мне сказать с предельной ясностью: моя администрация не будет диктовать стандарты безопасности частным компаниям».

Но кое о чем в своих высказываниях Обама не упомянул, а именно: кто будет новым главой отдела кибербезопасности в Белом доме. Мало кто из компетентных людей хотел получить эту должность, в основном потому, что она не давала реальных полномочий и подразумевала подчинение и советнику по экономике, и помощнику президента по вопросам национальной безопасности Советником по экономике тогда был Лари Саммерс — отправленный в отставку президент Гарварда, который ясно дал понять: он считает, что частный сектор и рыночные силы и сами смогут справиться с угрозой кибервойны, без какого бы то ни было регулирования со стороны государства и любого его вмешательства. Проходили месяцы, но отдел кадров Белого дома не мог убедить ни одного кандидата, что эта работа стоит того, чтобы на нее согласиться. Таким образом, в первый год президентства Обамы в Белом доме никто не пытался управлять кибербезопасностью правительства или программой кибервоенного развития. Двумя главными ведомствами, которые защищали Америку от кибервойны, были Киберкомандование США (для защиты вооруженных сил) и Министерство национальной безопасности (для защиты всего остального). Глава Киберкомандования на протяжении 2009 года занимал сдержанную позицию, поскольку сенат никак не соглашался дать ему четвертую звезду. Чтобы получить повышение, генерал Кейт Александер должен был ответить на вопросы перед комитетом сената, но этот комитет не слишком понимал, чем на самом деле должно заниматься Киберкомандование.

Сенатор от Мичигана Карл Левин, прежде чем назначить слушания, попросил Пентагон сообщить, в чем заключается миссия и стратегия Киберкомандования. Пока сенатор Левин пытался выяснить, что должно защищать Киберкомандование, а генерал Александер занимал сдержанную позицию, я терялся в догадках, что же обязано защищать Министерство национальной безопасности. Поэтому и обратился к первоисточнику и спросил об этом непосредственно Джанет Наполитано. Она любезно согласилась встретиться со мной в штаб-квартире ее министерства. В отличие от других министерств, штаб-квартиры которых находятся в монументальных зданиях или современных офисных центрах близ National Mall, это ведомство располагается в обнесенном колючей проволокой лагере на северо-западе Вашингтона. За ограждением находятся несколько невысоких зданий из красного кирпича, которые, если смотреть с улицы, напоминают казармы. Неудивительно, что чиновники, вынужденные перебраться сюда, прозвали это место «Сталаг-13» — в честь вымышленного тюремного лагеря из телевизионного комедийного шоу Hogan’s Heroes.

Изначально здесь находился штаб криптографической службы ВМФ США, предшественницы нынешнего 10-го флота. Как и на всех остальных базах американского флота, здесь можно увидеть небольшую белую церковь и аккуратные вывески с названиями улиц. Одна называется Путь разведчика. Чтобы попасть в кабинет министра, мы прошли вдоль бесконечного ряда серых будок. Личный офис Наполитано выглядел не намного лучше. Для бывшего губернатора Аризоны это мрачное помещение три на четыре метра было серьезным понижением. Тем не менее в один угол она умудрилась втиснуть седло, какие используются в родео для езды на диких лошадях. Помещение выглядело как временное пристанище, даже спустя шесть лет после образования министерства. «Мы собираемся переезжать в новую, большую, штаб-квартиру», — объяснила министр, стараясь сделать акцент на позитивном. Новая штаб-квартира расположена на месте закрытой больницы для душевнобольных в Вашингтоне и будет готова на десятый год существования министерства. Возможно.

— Несмотря на то что вчера был выходной, я провела встречу с руководителями финансового сектора и обсудила проблему кибербезопасности, — начала Наполитана.

В министерстве шел месяц кибербезопасности, и она запланировала ряд событий. Я спросил ее, в чем важнейшая угроза.

— Опытный хакер-одиночка, киберпреступный картель» — ответила она.

— Хорошо, а если бы началась кибервойна? — продолжил я.

— Пентагон играл бы главную роль, но мы бы смогли справиться с последствиями любых повреждений, нанесенных Соединенным Штатам.

— А может, лучше предотвратить повреждения, чтобы справляться пришлось с меньшими последствиями?

— Мы наращиваем возможности, чтобы защитить домен. gov.

— Отлично. Если Киберкомандование США защищает. mil и вы однажды сумеете защитить. gov, кто защитит все остальное — важнейшую инфраструктуру, которая принадлежит частному сектору?

— Мы работаем с представителями частного сектора, центрами совместного использования и анализа информации в 18 важнейших отраслях промышленности.

— Но это не означает, что американское правительство защищает критическую инфраструктуру от кибератак, не так ли?

— Нет, не так. Это не входит в задачи Министерства национальной безопасности.

Министерство национальной безопасности разрабатывает систему сканирования кибертрафика, проходящего через федеральные ведомства, на предмет обнаружения вредоносного ПО (вирусов, «червей» и т. д.). Эта система с несколько претенциозным названием «Эйнштейн» выросла из простой программы контроля потоков трафика («Эйнштейн-1») в систему обнаружения вторжений и вредоносного ПО («Эйнштейн-2») и скоро научится блокировать интернет-пакеты, кажущиеся вредоносными («Эйнштейн-3»). В рамках попыток защитить правительственные сайты Министерство национальной безопасности и администрация общих служб стараются снизать количество интернет-порталов на домене. gov. Позднее Министерство национальной безопасности установит «Эйнштейн-3» на каждый из этих порталов, чтобы выявлять вредоносные программы. Управлять сетью «Эйнштейн-3» будет недавно организованное отделение — Национальный интеграционный центр кибербезопасности и коммуникаций в Болстоне (штат Вирджиния).

— Если Министерство национальной безопасности сумеет ее запустить, — спросил я, — то зачем ограничиваться защитой только федерального правительства?

— Возможно, в будущем мы рассмотрим возможность более широкого ее применения.

Наполитано, юрист и бывший федеральный обвинитель, добавила, что если правительство вознамерится сканировать публичный Интернет с целью защиты от кибератак, возникнут препятствия юридического и частного характера. Разве она не может привлечь распорядительный орган, чтобы заставить предприятия критической инфраструктуры усовершенствовать свои возможности защиты от кибератак и регламентировать деятельность интернет-провайдеров или электроэнергетических компаний? К ее чести, она не исключает этих и других возможностей, даже несмотря на то что сам президент Обама отказался от них в своей речи по кибербезопасности в мае 2009 года. Но регулирование, заметила она, может начаться только после совместного использования информации и добровольных мер, которые явно провалились, хотя в первый год президентства Обамы было слишком рано выносить такое суждение. Подход, основанный на совместном использовании информации и добровольных мерах, пытались использовать уже более десяти лет.

В сфере ее ответственности находится безопасность домена. gov, и Наполитано с гордостью сообщила, что в МНБ открыта тысяча вакансий для людей с опытом работы в кибербезопасности. Но с какой стати квалифицированные кибергики захотят работать на Министерство национальной безопасности, если их зовут куда угодно, начиная от Киберкомандования и заканчивая компаниями Lockheed и Bank of America. Наполитано ответила, что она прорабатывает кадровые вопросы, так что министерство сможет платить жалованье, сопоставимое с зарплатами в частном секторе, а еще планирует организовать дополнительные офисы вне Вашингтона — в Калифорнии и других местах, где, вероятно, предпочтут жить гики. Я подумал, что в ее голосе слышится тоска по дому, которую нередко тайно испытывают вашингтонские чиновники. Когда мы покинули кабинет министра, глава береговой охраны США адмирал Тад Ален встретил нас снаружи.

— Рад, что вы пережили разговор с Диком, — пошутил адмирал.

— Пережила, — ответила министр, — но теперь переживаю по поводу кибервойны.

Почему Клинтон, Буш и Обама так и не смогли справиться с проблемой уязвимости американского частного сектора перед кибервойной? Люди, работавшие над этим вопросом годами, имеют на сей счет разные мнения и расставляют разные акценты. Давайте рассмотрим шесть самых популярных объяснений.

Самый большой обман

Первое самое популярное объяснение заключается в том, что после кибератак обычно не остается ни следов, ни зияющих кратеров, как после взрыва на Манхэттене 11 сентября. Когда крадут интеллектуальную собственность компании, ее руководство и сотрудники, как правило, об этом даже не подозревают. Представьте, что вы работаете в музее, где хранятся ценные экспонаты, скажем, скульптуры и картины. Когда вы уходите из музея в конце рабочего дня, вы включаете систему сигнализации и убеждаетесь, что все камеры работают и ведется видеозапись. Утром вы возвращаетесь. Сигнализация не сработала, но чтобы знать, что все в порядке, вы просматриваете видео за последние 12 часов и убеждаетесь, что никто не вошел и не вышел из музея за время вашего отсутствия. И, наконец, вы проверяете скульптуры и картины, чтобы удостовериться, что все они на месте. Все хорошо. Так зачем же дальше думать о проблеме безопасности?

По существу, такая же ситуация наблюдается и в Пентагоне с конца 1990-х и по сей день. Врзможно, какие-то люди пытаются проникнуть в правительственные сети, но ведь программные средства защиты данных (брандмауэры, системы обнаружения и предотвращения несанкционированного вмешательства) эффективно стравляются с большей частью этих угроз? Зачем начальству думать, что их интеллектуальная собственность', их драгоценности — военные планы, технические чертежи или программы — теперь хранятся не только в их компьютерах, но и на жестких дисках в Китае, России и других странах?

Разница между похитителями произведений искусств и хакерами мирового класса заключается в том, что, когда работают настоящие киберграбители, вы и не догадываетесь, что стали жертвой. «Американское правительство каждый месяц совершает энное количество [точное число не называется] проникновений в иностранные сети», — сказал мне один офицер разведки. «Нас ни разу не засекли. Если нас не засекают, чего же тогда не замечаем мы, защищая собственные сети?» Как убедить кого-либо в на-линии проблемы, если вы не в состоянии предоставить доказательства ее существования? Данные не исчезают, как картина Вермеера, украденная из Музея Изабеллы Стюарт Гарднер в Бостоне в 1990 году. Очевидно, это новая, уникальная проблема, свойственная именно киберпространству. Историкам военной разведки, однако же, о подобном уже известно. Во времена холодной войны в ВМФ Соединенных Штатов были уверены, что смогут одержать победу над советским флотом, если он когда-либо перейдет к активным военным действиям, до тех пор, пока не узнали, что одна американская семья обеспечила Советам уникальное преимущество. Семья Уолкеров — сотрудник Агентства национальной безопасности и его сын, служивший в американском флоте, — предоставила СССР секретные коды и систему шифров для передачи сообщений между кораблями. С тех пор советский флот знал, где находились наши корабли, куда они направлялись, что им приказано делать, какое вооружение и другие системы на борту не работали. Мы такого и предположить не могли, потому что были уверены, что даже если они перехватывают радиосигналы с нашими сообщениями, расшифровать код им не удастся. Наверное, они и не могли, пока не купили ключ к дешифрованию у американцев. Это не единственный пример столь самонадеянной уверенности: во время Второй мировой войны японцы тоже думали, что никто не сумеет прочитать их шифровки, но Соединенные Штаты и Великобритания справились с этой задачей. Некоторые историки считают, что ВМФ США одержал победу над Императорским флотом Японии именно благодаря возможности дешифровать сообщения. Несомненно, решающая победа США в битве при Мидуэе состоялась именно потому, что американцы знали планы японцев. Разумно предположить, что на протяжении десятилетий коды многих стран, которые, как считалось, расшифровать невозможно, на самом деле раскрывались (и раскрываются). Несмотря на то что историки и сотрудники госбезопасности знают о многочисленных прецедентах, они упорно не желают верить в то, что такое может происходить сейчас и с нами. Американское военное руководство не может представить себе, что их секретная (SIPRNET) и сверхсекретная (JWICS) внутренние сети подвергаются опасности, но несколько экспертов, с которыми я беседовал, в этом уверены. Многие руководители компаний также верят в то, что миллионы долларов, потраченные на системы компьютерной безопасности, означают, что их коммерческие тайны надежно защищены. В конце концов, если кто-нибудь проникал в их секретные файлы, системы обнаружения несанкционированного вмешательства обязательно бы просигнализировали об этом. Правильно?

Нет, не обязательно. Даже если сигнализация включится, не факт, что кто-нибудь сумеет на это среагировать. Всегда есть способы проникнуть в сеть под видом системного администратора или другого полномочного пользователя, и тогда никакой аварийный сигнал вообще не сработает. Более того, если даже он срабатывает, в крупных сетях зачастую на него вообще не обращают внимания. Возможно, на следующий день кто-нибудь проверит журнал регистрации и заметит, что из сети была скачана пара терабайтов информации на некий сервер, который станет первой ступенью долгого пути до пункта назначения. А возможно, никто и не заметит случившегося. Бесценное произведение искусства по-прежнему в музее. А раз так, зачем правительству и заинтересованным только в прибылях руководителям что-то делать?

Во второй главе я упоминал о многодневном происшествии 2003 года под кодовым названием «Титановый дождь». Алан Раллер, мой друг и руководитель общественной организации SANS Institute, занимающейся образованием в сфере кибербезопасности, описывает, что произошло в один из дней «Титанового дождя», 1 ноября 2003 года.

В 10:23 хакеры воспользовались уязвимым местом в сети командования информационных систем сухопутных войск на базе Форт-Хуачука (штат Аризона).

В 13:19 через тот же «черный ход» они проникли в компьютеры управления информационного обеспечения в Арлингтоне (штат Вирджиния).

В 15:25 они взломали сеть Центра исследования морских и океанских систем Министерства обороны США в Сан-Диего (штат Калифорния).

В 16:46 они ударили по оборонительной установке армейского ракетно-космического центра в Хантсвилле (штат Алабама).

Подобных дней было еще много. Помимо взлома сетей Министерства обороны были украдены терабайты секретной информации из лабораторий НАСА, а также из компьютеров таких корпораций, как Lockheed Martin и Northrop Grumman, которые платят миллиарды долларов за безопасность своих сетей. Специалисты по кибербезопасности пытались выяснить, какие методы использовались для проникновения в их сети. Один из них сказал: «Все были слишком самодовольны». Покачал головой, состроил рожу и мягко добавил: «„.до тех пор, пока не осознали, что противник только что совершенно незаметно ушел, а возможно, и продолжает нас грабить. Но мы его больше не видим». «Лунный лабиринт» и «Титановый дождь» лучше всего считать краткими эпизодами огромной кампании, большая часть которой осталась незамеченной. Трудно представить, что можно практически беспрепятственно украсть из сети компании терабайты информации. В тех случаях, о которых нам известно, компании и правительственные организации долгое время даже не подозревали о краже данных. У всех пострадавших организаций имелись системы обнаружения несанкционированного вмешательства, которые должны поднимать тревогу в случае, если неавторизированный пользователь пытается проникнуть в сеть. Кое-где были установлены более совершенные системы предотвращения несанкционированного вмешательства, которые не только предупреждают, но и автоматически блокируют хакера. Но сигналы тревоги молчали. Если вы подумали, что по компьютерам лабораторий, компаний, исследовательских центров систематически, словно пылесосом, проходятся некие зарубежные организации, вы правы. Именно так и происходит. Львиная доля нашей интеллектуальной собственности копируется и перемещается за океан. Нам остается лишь надеяться на то, что кто бы этим ни занимался, у них не хватит аналитиков исследовать всё и найти все драгоценности, хотя это и слабая надежда, особенно если в стране, которая организует хакерские атаки, проживает миллиард человек.

Во всей этой мрачной картине есть одно светлое пятно, и связано оно с APL, физической лабораторией Университета Джонса Хопкинса под Балтимором. Лаборатория зарабатывает сотни миллионов долларов в год, проводя для американского правительства исследования в самых разных областях, начиная от космических технологий и заканчивая биомедициной и секретными проектами по национальной безопасности. Лаборатория APL обнаружила, что из ее сети в 2009 году выкрали огромные массивы данных, и сумела остановить этот процесс. APL — одно из тех мест, где работают настоящие эксперты по кибербезопасности, у них заключены контракты с АНБ. Поэтому логично предположить, что их системы предотвращения вторжений сумели заблокировать кражу данных. Однако эти эксперты нашли единственный способ остановить утечку — отключиться от Интернета. APL полностью перекрыла связь и изолировала целую сеть, сделав ее автономным островом в киберпространстве. На протяжении недель специалисты APL исследовали компьютер за компьютером, чтобы найти «черные ходы» и вредоносные программы. Чтобы убедиться в том, что важные данные никто не копирует прямо из вашей сети, вам нужно знать наверняка, что вы не связаны с кем бы то ни было вне вашей внутренней сети. Но это сложнее, чем может показаться. В больших организациях сотрудники устанавливают соединения со своими домашними компьютерами, ноутбуками с wi-fi, устройствами вроде копировального аппарата, который имеет выход в Интернет. Если вы хоть как соединены с Интернетом, считайте, что утечка уже произошла.

Действительно, хакерам, в том числе лучшим, которые работают на правительства Соединенных Штатов и России, редко не удается проникнуть в сеть, даже если ее операторы считают, что она не связана с Интернетом. Более того, хакеры работают так, что всех, кто бьет тревогу по поводу защиты сетей, окружающие считают параноиками. Они не оставляют следов, за исключением тех случаев, когда сами в этом заинтересованы. Вспомните слова героя Кевина Спейси из фильма «Подозрительные лица» (The Usual Suspects): «Величайший трюк дьявола состоял в том, чтобы убедить мир, будто он не существует».

Это Вегас, детка

Другой ответ на вопрос, почему в Америке до сих пор не поддерживают идею защиты уязвимых мест перед угрозой кибервойны, заключается в том, что «идейные лидеры» этой сферы до сих пор не договорились, что делать. Чтобы проверить данную гипотезу, я отправился на поиски таких «идейных лидеров» и нашел их… где бы вы думали? В самом неожиданном месте: в казино Caesars Palace в Лас-Вегасе, в августе 2009 года, в сорокаградусную жару.

Caesars Palace — место, совершенно неподходящее для подобных сборищ. Здесь, среди мерцающих игровых автоматов и столов для блэкджека, красуются статуи и символы империи, погибшей пятнадцать столетий назад. Конференц-залы носят гордые названия «Колизей» или «Палатинский холм», и это не развалины и руины, а самые современные помещения для встреч и презентаций с плоскими экранами и мигающими пультами управления. Каждое лето на протяжении последних 12 лет, когда заканчивается сезон конференций и цены на аренду помещений падают, сюда съезжается иная публика. В большинстве своем это мужчины в шортах и футболках, с рюкзаками за спиной и «маками» и BlackBerry в руках. Лишь немногие из них забегают в ультрамодные магазины — Hugo Boss, Zegna или Hermes, но почти все они были на премьере «Звездного пути». Эта публика — хакеры, и в 2009 году здесь, на конференции Black Hat («Черная шляпа»), их собралось более четырех тысяч — вполне достаточно, чтобы развязать кибервойну глобального масштаба. Вопреки названию на конференцию приехали не злодеи из кинофильмов, а вполне добрые, «этичные» хакеры, которым полагалось бы носить белые шляпы, — директора по информационным технологиям, старшие специалисты по информационной безопасности различных банков, фармацевтических компаний, университетов, правительственных организаций, словом, любых крупных (а также средних) компаний. Название Black Hat пошло с тех времен, когда кульминацией этих ежегодных собраний были сообщения хакеров о том, какие новые способы заставить популярные программные приложения делать то, для чего они не предназначены, появились. Компании по производству программного обеспечения привыкли думать, что на таких конференциях встречаются плохие парни. Выступления, как правило, демонстрируют, что разработчики программных продуктов недостаточно заботились о безопасности, в результате чего практически всегда можно найти способы проникнуть в компьютерную сеть без авторизации и даже взять всю сеть под контроль. Microsoft была главной мишенью хакеров на протяжении многих лет, и руководители из Редмонда каждый год ждали Black Hat с таким же нетерпением, с каким многие из нас ожидают налоговой проверки. В 2009 году участники конференции переключились на компанию Apple в силу растущей популярности ее продукции. Самым обсуждаемым выступлением стало сообщение о том, как взломать iPhone с помощью простого текстового сообщения SMS. Хоть Биллу Гейтсу и Стиву Джобсу не нравится, когда люди находят и разглашают дефекты в их продуктах, это не преступление. Преступление начинается тогда, когда хакер использует метод, им разработанный (средство атаки), чтобы использовать дефект, который он обнаружил в программе (уязвимость) и проникнуть в корпоративную или правительственную сеть (мишень), в которой он не авторизован. Конечно, когда об уязвимости объявляется на конференции или, что еще хуже, средство атаки получает огласку, любой может взломать какую угодно сеть, работающую на дефектной программе.

Я таки дождался неприятностей в 2002 году, когда в программной речи на конференции сказал: «Как здорово, что хакеры находят дефекты в программах!» Тогда я был специальным советником по кибербезопасности президента Буша. Кто-то, предположительно из Редмонда, рассудил, что нехорошо, когда милый консервативный Белый дом поощряет незаконные действия. Конечно же, на самом деле я имел в виду следующее — когда «этичные» хакеры обнаруживают дефекты в программном обеспечении, они в первую очередь должны сообщить об этом разработчику ПО, а затем, если ответа не последует, поставить в известность правительство. Только если производитель программного обеспечения отказывается исправить проблему, отметил я, хакеры могут предать обнаруженные факты огласке. По моей логике, если хакеры, собирающиеся на конференции в Лас-Вегасе, способны обнаружить дефекты программ, на это же способны их коллеги из Китая, России и других стран. Поскольку шпионы и преступники и так все узнают, уж лучше пусть об этом знают все. Общие знания о багах в программных продуктах могут означать, что: 1) самые чувствительные сети, вероятно, прекратят использовать данную программу до появления релиза с исправлениями; 2) производителям программного обеспечения придется внести исправления, потому что им либо будет элементарно стыдно, либо их заставят главные клиенты, к примеру банки или Пентагон.

Подобные комментарии не добавили мне симпатий со стороны определенных корпоративных кругов. Им не понравилась моя программная речь, с которой я выступил в том же 2002 году на ежегодной конференции компания RSA .[9]На конференции RSA собирается около 12 тысяч практикующих специалистов по кибербезопасности. По вечерам устраиваются большие приемы. Я выступал рано утром. Ожидая своей очереди, я стоял за кулисами и думал, как бы мне сейчас хотелось выпить еще хотя бы чашечку кофе. В большом холле громко играла приглашенная рок-группа. Когда они закончили, я должен был появиться на сцене в клубах театрального дыма. Представляете эту сцену? Не прекращая думать об острой нехватке кофеина в моем организме, я коротко отметил во вступлении, что, согласно недавнему опросу, многие компании больше тратят на бесплатный кофе для своих сотрудников и клиентов, чем на кибербезопасность. После чего добавил: «Если вы — руководитель крупной компании, в которой больше денег выделяется на кофе, чем на кибербезопасность, будьте готовы, что вас взломают». Пауза. И главное: «Более того, с такими приоритетами вы заслуживаете взлома». Последовали десятки звонков от раздраженных руководителей компаний.

В RSA очень силен корпоративный дух. На конференциях Black Hat гораздо веселее. Увлекательней всего сидеть в тускло освещенном танцевальном зале и наблюдать, как кто-нибудь, не привыкший к публичным выступлениям, проецирует на презентационный экран строчки кода. Забавно видеть недоуменные взгляды сотрудников отеля, обслуживающих конференцию, когда весь зал взрывается хохотом или аплодисментами, что бывает часто, хотя для постороннего в происходящем нет ничего ни смешного, ни достойного похвалы, ни даже понятного. Пожалуй, единственное, что с интересом наблюдают обычные американцев, пробираясь сквозь зал к столам с рулеткой, так это «суд хакеров» — пародия на суд, в ходе которого выясняется, какого рода хакерство следует считать «неэтичным». Очевидно, хакерство самих хакеров к этой категории не относится. Большинство участников конференции просто принимают условие не включать wi-fi на своих ноутбуках. По всем конференц-залам развешаны объявления о том, что использовать wi-fi настоятельно не рекомендуется. Такие предупреждения в данном случае нужны примерно так же, как объявления в океанариуме о том, что в бассейне с акулами не дежурят спасатели.

В 2009 году организатор конференции Джефф Мосс порвал с многолетней традицией, запланировав в рамках Black Hat одну встречу, доступную не для всех участников. Мосс, который, кстати, на протяжении всей конференции одевался только в черное, ограничил количество гостей на этом собрании 30 вместо обычных 500–800 человек, которые посещают каждую из шести одновременных сессий, что проходят не менее пяти раз в день. На закрытом заседании присутствовали только «старики», те, кто знал, где скрыты виртуальные «тела» в киберпространстве, — бывшие правительственные чиновники, действующие бюрократы, начальники служб безопасности крупнейших корпораций, ученые и старшие должностные лица IT-компаний. Мосс задал им вопрос: «Каких действий мы хотим от Обамы, чтобы защитить киберпространство?» В каком-то странном порыве администрация Обамы назначила Мосса членом консультативного совета по вопросам национальной безопасности, поэтому появился шанс, что он сумеет донести до Белого дома выработанное общими усилиями мнение, если, конечно, его удастся сейчас выработать. Ко всеобщему удивлению, группа достигла согласия по нескольким вопросам — и резкого разногласия по остальным. Консенсус был найден по пяти моментам.

Во-первых, все одобрили идею возвращения к временам, когда федеральное правительство спонсировало исследования и разработки в области кибербезопасности. Этим занималось Агентство перспективных исследований, которое финансировало создание Интернета, но при Буше сфера интернет-безопасности была, по существу, заброшена в пользу сетецентричных приемов ведения войны, без всякого внимания к тому факту, что подобные приемы осуществимы только в условиях безопасного киберпространства.

Во-вторых, незначительное большинство высказалось в пользу разумного регулирования некоторых аспектов кибербезопасности, к примеру принятия федеральных нормативов для операторов интернет-магистралей. Удачной была идея, что правительственные регулятивные органы должны только определять цели, а не контролировать каждый шаг, диктуя средства их достижения. Большинство, однако же, считало, что влиятельные заинтересованные группы в Вашингтоне убедят конгресс заблокировать любые шаги, направленные на регулирование в данной сфере.

В-третьих, было отмечено, что беспокоиться о том, кто провел кибератаку, думать о проблеме атрибуции бесполезно: лучше сконцентрироваться на устойчивости к внешним воздействиям — концепции, которая допускает возможность вредоносной и даже разрушительной атаки и поддерживает идею заблаговременного планирования действий, направленных на восстановление после таких разрушений.

В-четвертых, все единодушно сошлись на том, что не должно быть возможности соединения между локальными сетями и Интернетом. Идея отделения критической инфраструктуры от доступного Интернета оказалась вполне очевидной для этих опытных специалистов в сфере кибербезопасности. Идеи администрации Обамы об «умной» электросети резко критиковали и несколько сотен других специалистов по кибербезопасности, именно потому, что вследствие реализации этих планов энергетические сети, без которых не обходится ни одна другая инфраструктура, станут еще уязвимее перед угрозой неавторизированного вторжения анонимных хакеров, бродящих по Интернету.

Последний пункт, по которому сошлись «мудрейшие мужи» (в числе которых было трое женщин), заключался в следующем — ничто не сможет избавить нас от бед киберпространства до тех пор, пока кто-нибудь не возьмет на себя руководство, которого сейчас так не хватает. В этом наблюдении присутствующие руководители лучших специалистов по кибербезопасности в стране не видели никакой иронии. Они ждали руководства со стороны администрации Обамы. На тот момент Белый дом уже предлагал 30 экспертам возглавить работу по кибербезопасности в администрации президента. Поиски продолжались в Вашингтоне, в то время как здесь, в холле внизу, продолжалась демонстрация того, как нужно взламывать системы. Пока мы, «идейные лидеры», выходили из зала «Помпеи» в некотором унынии и в надежде на руководство, из зала «Везувий» то и дело раздавались возгласы одобрения — кто-то из хакеров «ломал» очередной iPhone. Мы не бросились туда, чтобы посмотреть, какое приложение взломали, а вместо этого направились к столам для блэкджека, где было меньше шансов проиграть, чем у американских компаний и правительственных организаций, мечтавших о безопасном киберпространстве.