полная версияСекреты и ложь. Безопасность данных в цифровом мире
Короче говоря, мы должны заручиться гарантией, что люди будут подвергать себя опасности при совершении преступлений в киберпространстве.
Мы также должны учиться на своих ошибках.
Когда самолет DC-10 терпит крушение, что-либо узнать об этом легко. Есть расследования и отчеты, и в конечном счете люди учатся на таких несчастных случаях. Вы можете подключиться к Air Safety Reporting System и получить детальные описания десятков тысяч аварий и несчастных случаев, начиная с 1975 года.
Крах безопасности происходит по разным причинам, но обычно не из-за шаровой молнии или внезапного удара. Наиболее успешные нападения (на банки, корпорации и правительства) не упоминаются в средствах массовой информации. Некоторые из них проходят незамеченными даже самими жертвами. Мы знаем все относительно MD-80[79], вплоть до металлургии винтового домкрата, и лишь немного о том, как нападавшие крали номера кредитных карточек с веб-узлов. Это подобно Аэрофлоту Советского Союза: официально никогда не происходило никаких аварий, но каждый знал, что иногда самолеты не достигают пункта назначения по загадочным обстоятельствам.
Предание гласности не оценивается по достоинству. Когда в 1995 году Ситибанк потерял 12 миллионов долларов из-за российского хакера, банк объявил о факте внедрения и уверил клиентов, что предпринял новые, более серьезные меры безопасности для предотвращения таких нападений в будущем. Даже в этом случае миллионы долларов были отозваны людьми, которые полагали, что их счета стали уязвимы сразу после объявления Ситибанка. В конечном счете, Ситибанк возместил убытки, но получил ясный и однозначный урок: не разглашать.
Мы обязаны предавать гласности нападения. Должны открыто анализировать, почему системы выходят из строя. Мы должны разделить информацию о нарушениях безопасности на причины, слабые места, результаты и методики. Секретность только на руку нападающим.
Недальновидная политика тех, кто стремится запретить перепроектирование, только ухудшает положение. Почему люди, покупающие программное обеспечение, не должны знать, как оно работает, в отличие от покупателей, например, автомобилей? Почему программное обеспечение должно быть освобождено от «Отзывов потребителя» (способа анализа и испытания)? Опять тайна только помогает нападающим.
И мы нуждаемся в реальной ответственности поставщиков за продукты. Это очевидно: поставщики не будут предоставлять безопасное программное обеспечение, пока это не в их интересах.
Сочетание безответственности и невозможности перепроектирования особенно разрушительно. Если исследователям запрещен анализ безопасности продукта, имеет ли смысл ограждать поставщиков от ответственности? И если поставщики не несут никакой ответственности за некачественные продукты, то как указание на недостатки может быть незаконным?
Всюду в этой книге я доказывал, что технологии безопасности имеют ограничения. Я не хочу сказать, что они бесполезны. Такие контрмеры, как криптография, защита от несанкционированного вмешательства и обнаружение вторжения, делают систему более безопасной. Технологии задерживают незрелые сценарии и случайных нападающих, которые действительно не ведают, что творят. Но эти технологии подобны рентгеновской установке и датчикам металла в аэропортах: они не делают ничего, чтобы остановить профессионалов, но препятствуют любителям.
Средний человек не способен отличить хорошую безопасность от плохой. Она так же работает и столько же стоит. (Плохая безопасность могла бы даже лучше смотреться и меньше стоить; компания, которая не слишком волнуется о безопасности, может уделять больше ресурсов для изготовления модных «примочек».) Реклама и специальная литература в обоих случаях одинаковы. Разницы не заметить, не заглянув внутрь исходного кода или «железа». И к тому же вы должны быть специалистом. Средний человек все еще не может отличить продукт высокого качества от подделки.
Мир заполнен вещами, угрожающими общественной безопасности, суть которых находится вне понимания среднего человека. Люди не могут отличить безопасную авиалинию от опасной, но 1,6 миллиона человек в Соединенных Штатах летают каждый день. Люди не всегда способны отличить качественное лекарство от бесполезного, и все же объем американского фармацевтического рынка составляет 60 миллиардов долларов в год. Люди пользуются «заезженными» каботажными судами, доверяют свои деньги не тем, кому следует, и едят обработанное мясо – не проявляя реального беспокойства по поводу своей безопасности.
В коммерции все то же самое. Когда в последний раз вы лично проверяли точность насосов бензоколонки, или счетчик такси, или информацию о весе и объеме пищевых продуктов в пакетах? Когда в последний раз вы вошли в офис здания и потребовали показать свидетельство последнего осмотра лифта? Или проверяли лицензию фармацевта?
Мы часто полагаемся на правительство для защиты потребителя в областях, где большинство людей не имеют навыков или знаний, чтобы оценить риски должным образом и сделать разумный выбор покупки. Федеральное авиационное агентство (FAA) регулирует безопасность авиатранспорта; Министерство транспорта (DOT) отвечает за безопасность автомобилей. Администрации штатов регулируют веса и меры в торговле. Вы не можете ожидать от семейства, движущегося в направлении к Диснейленду, принятия разумного решения относительно того, является ли их самолет безопасным для полета или арендованный автомобиль безопасным в движении. Мы не ждем, что балкон второго этажа гостиницы упадет на портик ниже. Вы можете спорить о том, действительно ли правительство хорошо справляется со своей ролью (так как избиратели не понимают, как оценивать риски, то они и не вознаграждают правительство за хорошую оценку угрозы), но все же благоразумнее оставить эту роль именно ему.
Но если Управлению по контролю за продуктами и лекарствами США (FDA) доверить роль управления Интернетом, то в результате государственного регулирования из Интернета, вероятно, будет вычищено все, что делает его Сетью, сама его сущность. Регулирование часто выбирает неправильные решения (сколько денег было потрачено, чтобы оснастить посадочные места в самолетах спасательными поясами, и какое количество людей реально воспользовались ими при крушении?), и оно медлительно. FDA потребовалось три с половиной года на утверждение Interleukin-2[80], что соответствует вечности в мире Интернета. С другой стороны, неспешность FDA бывает иногда на пользу: из-за нее Соединенные Штаты не имели национальной катастрофы из-за «Талиломида» (Thalidomide)[81] в масштабе Британии. И благодаря ей же продажа «Лаэтрила» (Laetrile)[82] на американском рынке так и не была санкционирована.
Или представим, что Underwriters Laboratory отвечает за безопасность киберпространства. Это частная лаборатория, которая испытывает и сертифицирует электрическое оборудование. (Они также оценивают надежность сейфов.) «Отзывы потребителей» предоставляют подобный сервис для других продуктов. Частная компания может обеспечить компьютерную и сетевую безопасность, но ценой огромных затрат. И поэтому правительство отворачивается от такой модели, а новые законы в Соединенных Штатах не признают законность оценки безопасности продуктов частыми компаниями и лицами.
Другой пример. Medical Doctors и Registered Nurses лицензированы. Инженеры, имеющие сертификаты, могут помещать буквы РЕ (зарегистрированный инженер) после своего имени. Но свидетельства значимы на местах, а Интернет глобален. И все еще нет никакой гарантии.
Все эти модели не выводят нас из затруднительного положения. Мы нуждаемся в технологических решениях, но они пока не совершенны. Мы нуждаемся в специалистах для управления этими технологическими решениями, но имеющихся специалистов мало. Мы нуждаемся в сильных законах, чтобы преследовать по суду преступников, и готовы следовать установленному порядку, но большинство атакованных компаний не хотят обнародовать случившееся.
В главе 24 я доказывал, что способов обеспечить безопасность при ограничениях технологии, кроме как задействовать процессы безопасности, нет. И что эти процессы неразумно осуществлять силами организации, правильнее привлечь профессионалов безопасности киберпространства. Это представляется единственным выходом из обрисованного выше положения.
Предположим, что решение привлечь стороннюю организацию вас устраивает.
В моей первой книге «Прикладная криптография» я писал: «Шифрование слишком важно, чтобы оставить его исключительно правительству». Я все еще верю этому, но в более общем смысле. Безопасность слишком значительна, чтобы разрешить ею заниматься любой организации. Доверие нельзя доверить случаю.
Доверие индивидуально. Один человек всецело доверяет правительству, в то время как другой может не доверять ему вообще. Различные люди могут доверять различным правительствам. Некоторые люди доверяют корпорациям, но не правительству. Невозможно проектировать систему безопасности (продукт или процесс), которая будет лишена доверия; даже человек, пишущий собственное программное обеспечение безопасности, должен вверить его компилятору и компьютеру.
К сожалению, большинство организаций не понимают, кому они доверяют. Кто-то может вслепую положиться на какую-то особую компанию без особой на то причины. (Слепая вера некоторых людей заставляет их иметь особенную операционную систему, брандмауэр или алгоритм шифрования.) Иная администрация безоговорочно доверяет своим служащим. (Я слышал, что некоторые оценивают безопасность не по тому, сколько истратили на брандмауэр, а по тому, сколько стоит системный администратор.)
Из того, что безопасность по своей сути обязана ограничивать риски, вытекает, что организации должны доверять объектам, которые ограничивают их риск. Это значит, что объекты имеют гарантию. Доверенные объекты обладают такими свойствами, как проверенный послужной список, хорошая репутация, независимые сертификаты и аудиторы. Каждое по отдельности не считается доказательством, но все вместе являются основанием для доверия.
Выбор заключается не в том, чтобы доверять организации, а в том, какой организации доверять. Для меня отдел MIS (управленческой информационной структуры) компании, в которой я работаю, вероятно, заслуживает меньшего доверия, чем независимая привлеченная организация, которая всерьез заботится о безопасности.
Безопасность – это не продукт, а процесс. Вы не можете ее просто добавить к системе уже после нападения. Жизненно важно понять реальные угрозы для системы, спроектировать политику безопасности, соразмерную серьезности угроз, и реализовать соответствующие контрмеры. Помните, что не требуются идеальные решения, но также недопустимы системы, которые можно полностью разрушить. Хорошие процессы безопасности также существенны, они помогают продукту работать.
Благоразумнее готовиться к наихудшему. Нападения и нападающие со временем только совершенствуются, а системы, установленные сегодня, могли быть к месту на 20 лет раньше. Реальным уроком Y2K[83] стала замена устаревшего кода компьютера. Мы все еще подвержены ошибкам, допущенным в аналоговых телефонных системах десятилетия назад и в цифровых сотовых системах годы назад. Мы все еще работаем с опасным Интернетом и ненадежными системами защиты пароля.
Мы также до сих пор еще имеем дело с ненадежными дверными замками, уязвимыми финансовыми системами и несовершенной юридической системой. Но все же ничто из перечисленного не является причиной крушения цивилизации и маловероятно, что станет. И мы не добьемся должной цифровой безопасности, пока не сосредоточим внимание на процессах безопасности, а не на технологиях.
Эта книга постоянно менялась. Я написал две трети книги и осознал, что мне нечем обнадежить читателя. Казалось, возможности технологий безопасности исчерпаны. Мне пришлось отложить рукопись более чем на год, было слишком тягостно работать над ней.
В начале 1999 года я разочаровался в своей консультационной деятельности. Компания Counterpane Systems давала консультации по криптографии и компьютерной безопасности на протяжении нескольких лет, и бизнес быстро развивался. В основном наша работа заключалась в проектировании и анализе. Например, заказчик приходил к нам со своей проблемой, и мы разрабатывали систему, которая была способна противостоять определенным угрозам. Или же заказчик приходил к нам с уже разработанной системой, которая должна была противостоять целому списку угроз, а мы искали просчеты в решении и устраняли их. Мы могли работать до изнеможения. Единственная проблема состояла в том, что наши изящные разработки не выдерживали столкновения с реальным миром. Хорошая криптография постоянно оказывалась неэффективной из-за плохого исполнения. Прошедшие тщательные испытания средства защиты отказывали из-за ошибок, допущенных людьми. Мы делали все, что могли, но системы все же оставались ненадежными.
От криптографии я обратился к безопасности и представлял себе проблему примерно так же, как и военные. Большинство публикаций по вопросам безопасности были проникнуты той же идеей, которую можно кратко сформулировать так: профилактические меры могут обеспечить безопасность.
Для чего используется шифрование? Существует угроза прослушивания, и шифрование должно помешать этому. Представьте себе, что Алиса общается с Бобом, а Ева подслушивает их. Единственный способ помешать Еве узнать, о чем говорят Алиса и Боб, – использовать такое профилактическое средство защиты, как шифрование. В этом случае нет ни обнаружения, ни реагирования. Нет также возможности управлять риском. Поэтому следует заранее отвести угрозу.
В течение нескольких десятилетий мы использовали этот подход к безопасности. Мы рисовали различные схемы. Мы классифицировали различных нападающих и определяли, на что они способны. Мы использовали профилактические меры, такие как шифрование и контроль доступа. Если мы можем отвести угрозы, то мы победили. Если нет – мы пропали.
Вообразите мое удивление, когда я узнал, что в реальном мире такой подход не работает. В апреле 1999 года я прозрел: безопасность связана с управлением рисками, процессы безопасности имеют первостепенное значение, а обнаружение и реагирование – реальные способы улучшить безопасность, и все это могут обеспечить лишь привлеченные независимые компании. Внезапно все стало на свои места. Так что я переписал книгу и преобразовал свою компанию Counterpane Systems в Counterpane Internet Security, Inc. Теперь мы предоставляем услуги по контролю безопасности сетей (обнаружение и реагирование).
Раньше, когда использовалась связь только по радио или телеграфу, такой подход не имел бы смысла. Обнаружение и реагирование были невозможны. Сегодняшний электронный мир сложнее. Нападающий не просто подключается к линии связи. Он взламывает брандмауэр. Он пытается украсть деньги, используя подделанную смарт-карту. Он хозяйничает в сети. Сегодняшний виртуальный мир больше похож на физический со всеми его возможностями.
Но это не ситуация «все или ничего». Раньше, если уж Ева умела подслушивать, то она могла бы подслушать всех. А если бы у нее не было такой возможности, то ей не удалось бы подслушать никого. Сегодня все иначе. Можно украсть деньги, но не слишком много. Пират-одиночка может сделать несколько копий DVD, но не десятки тысяч. Нападающий может проникнуть в сеть и поковыряться в ней минут десять, после чего он будет обнаружен и выдворен.
Реальный мир полон опасностей. Это не значит, что их нужно избегать, невозможно делать деньги, ничем не рискуя. В выигрыше оказывается не та компания, которая лучше всех отводит угрозы, а та, которая лучше всех управляет рисками. (Вспомните систему кредитных карт.)
В Counterpane Internet Security мы считаем, что одни только технические средства не могут защитить от нападений, осуществляемых человеком, поэтому основная наша деятельность заключается в предоставлении услуг квалифицированных специалистов по безопасности. Мы собираем информацию с разных устройств в сетях клиентов и тщательно выискиваем следы нападений. Все сколько-нибудь подозрительное исследуют наши аналитики, которые знают все о нападениях, могут определить, действительно ли происходит нападение, и знают, как на него реагировать.
Я понял, что проблема не в технологиях, а в их использовании. В своей фирме мы используем симбиоз человеческих способностей и возможностей машины. Люди – наиболее уязвимое звено любой системы безопасности, в том числе компьютерной.
И если читателю покажется, что эта книга написана в рекламных целях, то он будет отчасти прав. И книга, и новая компания появились на свет благодаря открытию того, что самую надежную защиту можно обеспечить только с помощью опытных специалистов, занимающихся обнаружением и реагированием. Эта книга отражает ход моих мыслей, связанных с преобразованием нашей компании, и поясняет, чем мы занимаемся.
Вы можете узнать больше о нас на сайте www counterpane com.
Спасибо за внимание.
Источники
Многие идеи этой книги были почерпнуты автором в работах других людей. Я намеренно не прерывал повествование сносками или цитатами. В конце книги я решил поместить список некоторых наиболее полезных источников.
Некоторые специалисты открыто осуждают Интернет за то, что не поддается систематизации как архив, поскольку URL постоянно меняются. Так что вы можете использовать этот список, чтобы попытаться подтвердить или опровергнуть этот взгляд.
Работы Росса Андерсона (Ross Anderson) всегда интересны и заслуживают внимания. Его веб-сайт: www cl cam ac uk/users/rjal4/. Ищите его книгу Security Engineering: A Comprehensive Guide to Building Dependable Distributed Systems (John Wiley& Sons, 2000).
Дороти Деннинг (Dorothy Denning) писала о криптографии, компьютерной безопасности и защите баз данных, а позже об информационной войне. Я использовал ее самую последнюю книгу Information Warfare and Security (Addison-Wesley, 1999), а также ее классическую работу Cryptographyand Data Security (Addison-Wesley, 1982).
Работы и речи Вита Диффи (Whit Diffie) также повлияли на мои размышления. Я рекомендую книгу, написанную им в соавторстве со Сьюзен Ландау (Susan Landau) Privacy on the Line (MIT Press, 1998).
Карл Эллисон (Carl Ellison) продолжает писать эссе и статьи об инфраструктуре открытого ключа. Многие его работы можно найти на веб-сайте: world std com/~cme/.
От Эда Фелтона (Ed Felton) я узнал много нового о ненадежности модульного программного обеспечения и о средствах безопасности Java. Именно он показал мне однажды рисунки, воспроизведенные в этой книге под номерами 10.1 и 10.2.
Речи Дэна Гира (Dan Geer) были столь же содержательны.
Превосходная работа Дитера Голлманна (Dieter Gollmann) Computer Security (John Wiley&Sons, 1999) содержит много полезных сведений.
Классическая книга Дэвида Кана (David Kahn) The Codebreakers изобилует интересными историческими фактами из области криптографии. [русский перевод книги доступен на http://lib aldebaran ru/author/kan_dyevid/kan_dyevid_vzlomshiki_kodov/ Прим сост. FB2]
Стюарт МакКлур (Stuart McClure), Джоел Скрамбрей (Joel Scrambray) и Джордж Курц (George Kurtz) написали книгу Hacking Exposed (Osborne/McGraw-Hill,1999), которую я настоятельно рекомендую. Я написал предисловие ко второму ее изданию, которое уже должно выйти к моменту публикации этой книги.
Гэри Макграу (Gary McGraw) подробно описал разработку надежного программного обеспечения, а также все плюсы и минусы открытого исходного кода. Я использовал его книгу Securing Java (John Wiley&Sons, 1999), написанную в соавторстве с Эдом Фелтоном (Ed Felton).
Наблюдения Питера Неймана (Peter Neumann) настолько глубоки и очевидны, что я часто забываю, что не всегда верил ему. Его колонка Inside Risks на последней странице журнала Communications of the ACM всегда интересна. Я также настоятельно рекомендую его книгу Computer-Related Risks (Addison-Wesley, 1995).
Эссе, речи и застольные шутки Маркуса Ранума (Marcus Ranum) долго были для меня источником вдохновения и здравого смысла. Я настоятельно рекомендую прочитать все, что он написал. Его веб-сайт: http://pubweb nfi-.net/~mjr/.
Эви Рувин (Avi Ruvin), Дэн Гир (Dan Geer) и Маркус Ранум (Marcus Ranum) совместно написали книгу Web Security Sourcebook (John Wiley&Sons, 1997), которую я тоже рекомендую.
Книга Винна Швартау (Winn Schwartau) Time Based Security (Interpact Press, 1999) содержит схожие с моими идеи о важности обнаружения и реагирования.
Диомидис Спинеллис (Diomidis Spinellis) приводит данные о сложности операционных систем и языков программирования в своей статье Software Reliability: Modern Challenges (in G.I.Schueller and P.Kafka, editors, Proceedings ESREL'99 – The Tenth European Conference on Safety and Reliability, pages 589—592, Munich-Garching Germany, September 1999).
Размышления Ричарда Тиема о хакерстве и эпистемологии Интернета были для меня источником вдохновения. Вы можете найти его работы на сайте: www thiemeworks com.
Сотни эссе и статей о компьютерной безопасности публикуются каждый год. Если бы я все их прочитал, то, несомненно, все мысли, идеи, размышления, нюансы и умные остроты, собранные там, попали бы в эту книгу. Я приношу свои извинения за то, что не могу выразить благодарность каждому, кто заслуживает этого.
Об авторе
Брюс Шнайер – президент криптографической компании Counterpane Systems (США), член совета директоров Международной ассоциации криптологических исследований (IACR) и член консультативного совета Информационного центра электронной приватности (EPIC). Шнайер известен как автор нескольких бестселлеров и признанный эксперт в области прикладной криптографии и компьютерной безопасности. Его книги давно стали настольными энциклопедиями для множества людей, интересующихся вопросами защиты информации.
В своей новой книге Брюс Шнайер развеивает миф о том, что информация в цифровом мире может быть абсолютно конфиденциальной. Он проповедует собственный подход к защите информации. Безопасность данных для него – не только систематизация, обнаружение и отражение угроз, главное – управление рисками, своевременные превентивные меры для снижения риска угроз, каждодневная кропотливая работа по системному обеспечению безопасности предприятия.
«…Наконец-то я могу предложить решения для обозначенного круга проблем, показать путь из тьмы, дать надежду на будущее компьютерной безопасности…»
Брюс ШнайерПримечания
1
От английского bug (жучок). Однозначного русского перевода не существует. – Примеч. ред.
2
Группа рассылки новостей в сети USENET, посвященная коллекционированию марок. – Примеч. ред
3
Путешественники по Интернету. – Примеч. ред.
4
Так это уже прошло (фр.). – Примеч. ред.
5
Торговая марка, пользующаяся широкой известностью. – Примеч. ред.
6
Предприимчивый Гари Кремен из Сан-Франциско зарегистрировал домен Sex com в 1994 году. Еще более предприимчивый Стивен Майкл Коэн сфабриковал фальшивое письмо в VeriSign, в результате чего притягательное имя было передано во владение Коэна. Гари Кремен вышел из зала суда с победой, но отсуженных 65 миллионов долларов так и не получил. Тогда он пустился во все тяжкие и включил в следующий процесс нового оппонента – VeriSign. И выиграл бы, если бы в 1994 году была принята практика платить за регистрацию домена. В результате процесс вокруг секс-домена тянется до сих пор. – Примеч. ред.
7
Карманный компьютер, созданный корпорацией 3Com. – Примеч. перев.
8
AZT – препарат, использующийся для ВИЧ-терапии. Был разработан в 1960–х годах как химиотера-певтическое средство для больных лейкемией. Подавался как панацея, но, похоже, не оправдал ожиданий. – Примеч. ред.
9
Это заняло 1, 5 часа. – Примеч. ред.
10
Приведена нижняя граница. Верхняя – 2 года. Другая часть закона Мура говорит, что на разработку и организацию серийного выпуска процессоров удвоенной производительности компании вынуждены затрачивать на порядок большие денежные средства. – Примеч. ред.
11
База США в Германии Bad Aibling, выполнявшая с 1947 года радиопрослушивание стран Восточной Европы, а в последние годы работавшая на систему ECHELON, расформировывается в 2002 году вследствие недоверия немцев. Высказывались опасения, что Bad Aibling в числе прочего занимается промышленным шпионажем. – Примеч. ред.