Урок Сноудена. Почему спецслужбы беззащитны перед «флешкой»

В любой системе защиты всегда есть такая точка, где мы вынуждены доверить что-либо стороннему человеку. И эта точка является наиболее уязвимой в любой системе, как бы защищенной внешне она ни была.

Об истории Эдварда Сноудена, 29-летнего системного администратора, раскрывшего всему миру глобальную слежку Агентства Национальной Безопасности США за собственными гражданами, не слышали только в глухих таежных деревнях. Во всех остальных местах планеты, обладающих минимальным информационным сообщением с внешним миром, эта история остается и будет еще оставаться информационным поводом номер один. Хотя бы потому, что как и полагается хорошему шпионскому роману, «дело Сноудена» показало, что за своими гражданами рьяно присматривает далеко не только США:

Что ж, с момента начала сноуденовских разоблачений минул месяц — и картина рисуется замечательная. С одной стороны, Европа продолжает накручивать сама себя и в последние дни дошла до организации полномасштабного расследования вскрывшейся слежки США за европейскими гражданами, а также предложений отказаться от пользования американскими интернет-ресурсами и даже прекращения, если понадобится, воздушного сообщения между США и ЕС.

С другой, как выяснилось, следят за простыми людьми не только США, но и Франция, и Англия (совместно с АНБ тихо врезавшаяся в трансатлантический оптоволоконный бэкбон). А Германия и «большинство других западных стран» (по Сноудену) если и не имеют собственных систем слежки, то сотрудничают с АНБ ради получения информации из той самой базы данных, существование которой так разозлило их политиков.

Собственно, пересказывать всю историю Эдварда Сноудена в рамках CIO нет особого смысла, сейчас этим занимаются сотни тысяч изданий по всему миру и разве что The Guardian может себе позволить быть впереди планеты всей. Замечу лишь, что по последним данным, Сноуден принял предложение Венесуэлы о предоставлении политического убежища.

Для нас же самое интересное во всем этом инциденте – это его начало. А именно – как Сноудену удалось протащить данные настолько высокой секретности через все кордоны службы безопасности АНБ? Доподлинно неизвестно, но, как сообщает Reuters, есть надежный способ вынести практически любые данные, обладая соответствующими доступами. А именно, скопировать данные на самый обычный USB-носитель, флешку в просторечии.

Разумеется, в Агентстве Национальной Безопасности, равно как и в Пентагоне, флешки строжайше запрещены. Для всех, кроме персонала, обслуживающего компьютеры и сети этих государственных агентств. Системные администраторы, например, подписывают специальные документы и получают практически неограниченный доступ ко всем машинам в локальной сети. Конечно, все кто подписал договор подвергаются дополнительному контролю и слежке.

Разумеется, службы безопасности военных ведомств США далеко не беспечны и мониторят любые подключения с неавторизованных устройств. В то же время, спикер Пентагона не смог назвать Reuters хотя бы приблизительное количество разрешений, выданных системным администраторам. Учитывая, что ведомство владеет миллионами компьютеров, примерно 600 000 мобильных устройств и 15 000 сетевых групп. Только представьте себе, сколько сисадминов требуется для того, чтобы обслуживать такую махину! Сколько «сноуденов» может породить такая толпа, пусть и тщательно управляемая?

Упорство, с которым, как в известной шутке, мыши продолжают грызть кактус, поражает. Ведь USB-носители стали притчей во языцех еще в 2008, во время операции Buckshot Yankee. Это был самый масштабный взлом секретных сетей армии США, осуществленный путем загрузки на компьютеры ведомства червя agent.btz. Помните, каким образом червь попал в Пентагон? На флешке!

А инцидент с атакой на британский парламент? В 2009 году компьютеры парламента оказались заражены вирусом Conficker, который затем охватил более 15 миллионов компьютеров по всему миру. Устранение последствий обошлось британским налогоплательщикам в несколько миллионов долларов. А причиной – вот здесь уже невозможно сохранить интригу – стал неавторизованный USB-носитель.

Понятно, что флешка сама не вставится в компьютер и данные тоже не имеют свойства сливаться самостоятельно. Непонятно другое: почему даже в таких защищенных ведомствах как Агентство Национальной Безопасности США не изобрели способа устранить фундаментальную брешь любой системы безопасности, а именно – человеческий фактор? Вероятно потому, что это невозможно в принципе.

И это в очередной раз напоминает всем нам о том, что сколь бы защищенной ни была система, сколь бы зашифрованными ни были данные, всегда существует вероятность утечки. И любая схема информационной безопасности разбивается об абсолютно нетехнологическую природу человеческого разума. Ведь почему Сноуден решил передать полученные сведения именно журналистам, а не продать целому ряду стран, ведущему кибер-войну с США? Если отбросить маловероятную версию о том, что он работает на Китай, то выходит, что мотивы его были исключительно иррациональны.

В интервью The Guardian Сноуден сказал: «Вы не можете ждать, пока кто-то ещё начнёт действовать. Я искал лидеров, но я понял, что лидерство в том, чтобы действовать первым». «Я не считаю себя героем, потому что я действую в собственных интересах: я не хочу жить в мире, где нет тайны частной жизни, и поэтому нет места для интеллектуальных исследований и творчества». Пусть это отдает идеализмом, но зато отлично вскрывает человеческую природу, которая не поддается ни криптозащите, ни директивам службы информационной безопасности.

Какой урок можно извлечь из вышесказанного? В любой системе защиты всегда есть такая точка, где мы вынуждены доверить что-либо стороннему человеку, будь это ваш сотрудник с подпиской о неразглашении или связанный по рукам и ногам (с помощью контракта, конечно) представитель вендора. И эта точка является наиболее уязвимой в любой системе, как бы защищенной внешне она ни была. Эта фундаментальная истина обозначена в информационной безопасности как «человеческий фактор», о котором, как и обо всем элементарном, никогда нельзя забывать.

Автор: Игорь Емельянов, CIO-world