Затянуть в Сеть: как ЦРУ помогло сторонникам фрагментации интернета
Публикацию WikiLeaks массива документов ЦРУ под условным названием Vault7 уже называют крупнейшей утечкой в истории спецслужб и сравнивают с раскрытием Эдвардом Сноуденом данных о программах Агентства национальной безопасности (АНБ). Впрочем, даже первая часть публикации (8700 документов) намного превосходит весь объем той утечки. При этом представители WikiLeaks анонсировали продолжение публикации и подчеркнули, что пока раскрыта меньшая часть данных. По мнению ряда авторитетных экспертов по информационной безопасности, раскрытые проекты ЦРУ представляют для пользователей всего мира даже большую угрозу, чем печально известные программы АНБ, такие как знаменитая PRISM. А бывшие сотрудники самих разведструктур США заявляют, что утечка по своим последствиям для национальной безопасности «хуже разоблачений Сноудена».
Рассекреченный арсеналНа первый взгляд, эта история действительно имеет явные параллели с утечкой данных АНБ. В обоих случаях речь идет о масштабных программах спецслужб, которые не ограничены узкой линейкой средств или группой целей. И ЦРУ, и АНБ независимо друг от друга много лет разрабатывали универсальный инструментарий для перехвата электронных данных, доступа к информационным системам и сетям, преодоления средств защиты информации. Как и АНБ, ЦРУ во многом обязано своими обширными и удобными для широкой интерпретации полномочиями «Патриотическому акту» 2001 года.
Даже беглый обзор содержимого Vault7 показывает, что разведслужба работала над созданием инструментов, применимых едва ли не к большинству наиболее популярных решений и продуктов. Сюда входят средства эксплуатации уязвимостей в серверных, десктопных и мобильных ОС (Windows, iOS, Android) и низкоуровневых прошивках пользовательских устройств, сетевом оборудовании (роутеры Cisco), программных прошивках устройств «умного телевидения» (Samsung), системах автотранспорта и проч. Список средств еще обширнее и включает наборы эксплойтов и прилагающуюся к ним обширную базу уязвимостей, в том числе «нулевого дня», трояны, вирусы и черви, средства обхода антивирусов, обманных систем (ханипотов) и иных систем защиты информации. Также ЦРУ развивало и поддерживало виртуальные серверы для сбора данных, поступающих с прослушиваемых устройств; командные серверы, которые могут использоваться для управления компьютерными атаками, удаленного контроля зараженных вредоносным ПО систем, и иных целей. Наконец, многие аналитики отметили наличие в каталоге Vault7 данных о проекте UMBRAGE — своего рода каталоге образцов кода вредоносного ПО, разработанного и применяемого компьютерными мошенниками и хакерскими группировками, которые могут быть связаны с зарубежными спецслужбами. Цель — возможность замаскировать операции ЦРУ под чужие действия и направить расследование по ложному следу.
Все это как минимум сопоставимо с масштабами и спектром программ АНБ. Согласно документам, опубликованным WikiLeaks, разработкой средств перехвата данных в службе занимается отдельная группа (Engineering Development Group), насчитывающая не менее семи специализированных подразделений, каждое из которых отвечает за развитие отдельных видов инструментов. Все эти подразделения входят в структуру Центра киберразведки ЦРУ. Как и АНБ, разведуправление располагает сетью собственных баз для ведения операций за рубежом. К их числу относится европейский «филиал» Центра киберразведки на площадке консульства США во Франкфурте-на-Майне, который выполняет роль базы для координации операций ЦРУ в Европе, Африке и на Ближнем Востоке. Любопытно, что три года назад именно Германия фигурировала в числе основных целей программ электронного шпионажа АНБ за пределами США.
Последний рубежВнешние параллели между программами АНБ и ЦРУ провоцируют вопрос: позволяют ли публикации WikiLeaks рассматривать ЦРУ и его программы как «АНБ 2.0» — более технологически продвинутую и агрессивную версию ведомства-конкурента, перехватившего инициативу создания глобальной системы сбора данных? Особенно важно понять, смогло ли ЦРУ сломать те механизмы безопасности и доверия, которые стали ответом IT-отрасли на раскрытые программы АНБ. Прежде всего речь идет о внедрении концепции шифрования данных «по умолчанию», включая глобальный переход интернет-ресурсов на защищенную версию протокола HTTP (HTTPS), а также бурный расцвет мессенджеров и иных сервисов передачи данных с применением сквозного шифрования (end-to-end encryption). Именно эти нововведения после 2013 года серьезно поменяли как рынок, так и правила регулирования в сфере IT во всем мире. Например, тупик в дискуссии о реализации «пакета Яровой» в части хранения и расшифровки пользовательского трафика связан как раз с тем, что доля шифрованного трафика в Рунете уже примерно 40–50% и будет быстро расти.
Самая страшная угроза, которую могут нести раскрытые проекты ЦРУ, — разработка средств, позволяющих гарантированно взламывать криптографическую защиту в реализациях ключевых протоколов и стандартов (AES, RSA, TLS/SSL) и таким образом разрушать существующие системы безопасности крупнейших IT-вендоров и интернета в целом. Пока, исходя из раскрытой WikiLeaks части данных, ЦРУ не сумело этого сделать — и даже не особо старалось. На самом деле это главная «хорошая новость» в нынешней истории. Представители WikiLeaks неточно осветили этот момент в своем анализе, заявив, что разработки ЦРУ позволяют «обходить криптографическую защиту» и собирать данные из защищенных сервисов и мессенджеров, включая WhatsApp, Signal, Telegram, Wiebo, Confide и Cloackman за счет «взлома» устройств, на которых установлены такие сервисы. Инструментарий ЦРУ, без сомнений, позволяет собирать данные со смартфонов, ноутбуков, серверного оборудования крупнейших мировых вендоров — но не путем взлома криптографической защиты установленного на них ПО. Речь идет об эксплуатации уязвимостей в архитектуре операционных систем, прошивок и иных программных компонентов устройств при помощи уязвимостей «нулевого дня», троянов, червей, вирусов и проч. Методы сбора данных после установления контроля над устройством довольно типичны и аналогичны программам АНБ (XKeyScore и PRISM): ведется запись аудиоданных, регистрируются действия пользователя с клавиатурой (кейлоггинг), а переписка в мессенджерах копируется и отсылается на командный сервер за счет создания снимков экрана и пересылки файлов, сохраненных на диске устройства. Казалось бы, для пользователя, чьи данные похищены, все равно, была ли при этом взломана криптографическая защита используемых им сервисов или нет. На самом деле разница принципиальна: даже самые передовые методы атак с эксплуатацией уязвимостей в архитектуре ПО конкретных моделей и продуктов IT-рынка требуют доставки вредоносного ПО на устройство. Для этого приходится выстраивать некий вектор атаки, например, спровоцировать пользователя вставить в устройство зараженный съемный носитель, перейти на скомпрометированный ресурс или запустить на своем устройстве скачанный или пришедший по почте файл с вредоносным ПО. В общем, нужно заморачиваться, разрабатывать массивную и громоздкую линейку эксплойтов и постоянно пополнять базу уязвимостей под конкретные версии ОС и программных прошивок.
Реальное преодоление криптографической защиты ключевых протоколов и алгоритмов шифрования открыло бы перед ЦРУ куда более широкие возможности. Отпала бы необходимость разрабатывать огромный бестиарий вредоносного ПО. Имея возможность гарантированного взлома криптографической защиты, ЦРУ могло бы разместить средства перехвата трафика на сетях связи и просто расшифровывать потоки данных из тех же мессенджеров, не утруждая себя доставкой эксплойтов и средств удаленного контроля на конкретное устройство. В начале 2000-х такие возможности искало АНБ в рамках программы Bullrun. Агентство практиковало добровольно-принудительное сотрудничество с IT-вендорами в США, заставляя их внедрять в свои продукты программные бэкдоры, позволяющие обойти криптографическую защиту. Кроме того, в АНБ искали фундаментальные решения, позволяющие взламывать такие протоколы, как TLS/SSL, HTTPS, SSH. Успех на втором направлении означал бы де-факто разрушение экосистемы доверия, на основе которой и функционирует интернет. Но этот ключевой рубеж пока остается не взятым, что и подтверждают данные Vault7.
Важное отличие программ ЦРУ от их военных коллег в том, что перед ЦРУ никогда не стояла задача массового сбора данных. Задачи АНБ, которые были вскрыты Сноуденом, более глобальны и при этом абстрактны — агентство стремилось создать инструментарий, позволяющий перехватывать и анализировать обмен данными в рамках если не всего интернета, то его существенных сегментов. ЦРУ же, при всем масштабе своей деятельности, всегда занималось целевыми операциями. Лучшим примером здесь служит старый добрый Stuxnet: под очень узкую задачу с нуля был создан арсенал средств, гарантирующих поражение сложной, максимально защищенной цели. Кроме того, деятельность ЦРУ всегда была плотно замкнута на агентурную разведку и сбор данных, что остается актуальным и в эпоху интернета. В рамках такой модели неизбирательный перехват огромных сырых массивов данных вряд ли станет ключевым приоритетом. Можно сказать, что АНБ пытается поймать всю рыбу в море, а уже потом разбирается, что с ней делать — в то время как ЦРУ выбирает конкретную жертву и охотится за ней, прихватив гарпун из своего гигантского арсенала.
Глобальные последствия
Сама публикация документов ЦРУ указывает на серьезные проблемы в системе безопасности спецслужб. Представители WikiLeaks утверждают, что из ЦРУ база утекла не вчера и какое-то время обращалась среди «сообщества» подрядчиков спецслужбы общей численностью порядка 5000 человек. Здесь важно отметить, что и предыдущие крупные утечки данных происходили через подрядчиков, включая Эдварда Сноудена и Гарольда Мартина, рассекретившего архив «кибероружия» АНБ в 2016 году (оба на момент утечек были сотрудниками Booz Allen Hamilton, подрядчика Пентагона и спецслужб). Этот момент вряд ли интересен за пределами США, однако может повлиять на курс администрации Трампа, который поставил задачу срочно решить проблемы с национальной безопасностью в киберпространстве.
Во-вторых, подобные утечки создают серьезный риск бесконтрольного распространения более тысячи образцов вредоносного ПО. Хотя администраторы WikiLeaks вряд ли выложат коды в открытый доступ, их «расползание» по серому и черному рынкам — вопрос времени. Вскоре наработки ЦРУ пополнят инструментарий как хакеров, так и спецслужб. Поэтому очень актуален вопрос о разработке международной системы контроля над спецоперациями в киберпространстве. Специфика IT такова, что утечки из спецслужб становятся всеобщим достоянием, стимулируя мгновенный трансфер технологий и дальнейшую «гонку цифровых вооружений».
В-третьих, информационный эффект от нынешней утечки, пусть и меньше, чем от разоблачений Сноудена, безусловно, льет воду на мельницу сторонников фрагментации глобального IT-рынка. Под ударом оказываются вендоры сетевого оборудования и разработчики пользовательских устройств и их программных экосистем, включая прежде всего ОС. Для государств, где национальные рынки достаточно велики и есть стремление к относительной независимости от глобальных IT-вендоров, публикации WikiLeaks станут еще одним доводом в пользу импортозамещения. При этом подобные программы, включая развитие проектов на основе открытого кода, совсем не обязательно ведут к повышению уровня информационной безопасности. Степень возможной фрагментации рынка зависит от тех механизмов доверия в Сети, которые пока остаются не скомпрометированными. По сути, такой механизм один — современные решения, протоколы и стандарты криптографической защиты информации, которые пока не по зубам ни АНБ, ни ЦРУ. Впрочем, будущее развитие техник квантовых атак на традиционные криптосистемы может поставить под сомнение и эту константу. Осторожный оптимизм пока внушает тот факт, что в программах ЦРУ не так много внимания уделено работе с самыми передовыми технологиями, включая те же квантовые вычисления и квантовую криптографию, нейросети и системы ИИ и ряд других.
В случае правильной реакции на утечку она может стать мощным раздражителем для международного инженерного сообщества и IT-отрасли, который заставит укреплять экосистему доверия в Сети за счет поиска новых решений на уровне технологий, архитектуры и организации бизнес-процессов. Несколько лет назад индустрия и инженеры уже отреагировали на угрозу со стороны АНБ, переведя коммуникации в интернете в зашифрованный формат. Раскрытие данных о программах ЦРУ может привести к ускорению работы над решением проблем, которые вообще-то возникли не сегодня. Речь идет прежде всего о согласовании и внедрении общих принципов и стандартов безопасности для интернета вещей (IoT), шифровании данных на нижних уровнях сетевой инфраструктуры киберфизических систем и промышленных объектов (уровень автоматизированных систем управления технологическими процессами, АСУ ТП), определении подходов к регулированию и саморегулированию в части безопасности передовых ниш продуктов и сервисов, таких как умный транспорт. Иногда для того, чтобы добиться согласования интересов вендоров, инженеров, пользователей и правительств, нужна по-настоящему серьезная угроза интересам всех заинтересованных сторон. Возможно, через несколько лет еще придется сказать ЦРУ спасибо.