19.2. Время исследовать защиту

Для проведения всестороннего исследования средств защиты может быть много причин. Но практически все эти причины основываются на простейших человеческих желаниях: стремлению к власти, деньгам, безопасности, славе, получению удовольствия и восстановлению справедливости. Разберем эти желания подробнее.

19.2.1. Власть и деньги

Если какой-нибудь человек или компания использовали средство защиты информации, а противнику удалось найти в нем уязвимость, противник получает над пользователями определенную власть. Эта власть может выражаться по-разному: как возможность читать засекреченные сообщения, подделывать чужую подпись или, например, шантажировать того, кто использует взломанную систему.

Разумеется, противник подвергает анализу систему защиты, к разработке которой он сам не имеет никакого отношения — основная цель анализа заключается не в проверке стойкости защиты, а в получении хоть какого-нибудь способа давления на сторону, применяющую уязвимую технологию. Поэтому обычно ищется наиболее простой способ атаки, приносящий плоды за минимальное время и при минимальных материальных затратах.

До начала компьютерной эпохи взломом чужих систем защиты занимались, преимущественно, на государственном уровне, ведь кроме военных и дипломатов мало кто мог себе позволить использовать хоть сколько-нибудь надежные средства защиты.

Сейчас, когда технологии защиты информации вошли в повседневную жизнь и применяются в той или иной форме почти всеми людьми (ввод PIN-кода или пароля — это уже использование средств зашиты), возможностей для атаки стало гораздо больше. Это обусловлено как существованием самых разнообразных (и далеко не всегда безопасных) средств защиты, так и сравнительно легким обнаружением объектов, которые можно попытаться атаковать — с появлением Интернета защищенные системы и данные можно встретить буквально на каждом шагу.

Если противнику удалось найти слабое место в системе защиты, его последующие действия могут быть самыми разными в зависимости от характера обнаруженной уязвимости.

Пожалуй, самые страшные последствия могут возникнуть, если противник научился читать зашифрованную переписку. При этом он не оказывает активного воздействия, и его присутствие никак не проявляется. Пользователи могут никогда не узнать, что содержимое их сообщений стало известно противнику.

Если противник сможет, например, подделать чужую цифровую подпись, то первый раз подобные действия вполне могут остаться незамеченными. Но если истинный владелец подписи обнаружит, что его подпись стоит на документе, который он видит первый раз в жизни, самым правильным решением будет отозвать ключ подписи, после чего противник теряет все полученное в результате взлома преимущество.

Достаточно распространенный способ использования информации о недостатках в организации безопасности некоторой системы — продемонстрировать уязвимости и предложить помощь в их устранении (разумеется, за вознаграждение). Однако в подобной ситуации противник сильно рискует — при многочисленных контактах с владельцами взломанной системы довольно сложно сохранять анонимность, а значит, изрядно возрастают шансы быть пойманным и получить обвинения в неправомерном доступе к информации и шантаже.

Нередко встречается и ситуация, когда противник, не имеющий возможности выполнить анализ защиты самостоятельно (например, из-за недостатка технических знаний), за деньги нанимает специалистов, которые и проводят все необходимые исследования.

19.2.2. Самозащита

Как уже упоминалось в начале настоящей главы, в жизни бывают такие ситуации, в которых защищаемая информация стоит очень дорого. И умный владелец информации предпочтет затратить на создание нормальной защиты сумму, соизмеримую с той, в которую оценивается ущерб при потере контроля над защищаемыми данными (при нарушении целостности  или секретности). То есть построение надежной защиты позволит не потерять очень крупную сумму денег.

Однако разработка новой, хорошо выверенной и отлаженной системы защиты не только дорогой, но и весьма длительный процесс. Разработка обычного программного обеспечения — не самый быстротекущий процесс, но программы, связанные с защитой, разрабатывать во много раз сложнее.

Недостаточно сформулировать техническое задание — надо проверить, что никакая комбинация элементов будущей системы не оставит лазейки противнику.

Недостаточно иметь готовую к работе команду программистов — необходимо научить их мыслить в терминах безопасности и писать не простой и эффективный, а надежный и проверяющий все, что только можно, код.

Недостаточно прогнать набор основных тестов — в проверке нуждается каждая ветка каждого алгоритма, во всех возможных режимах.

Поэтому вместо того, чтобы начинать разработку новой системы защиты, иногда бывает проще провести серьезный анализ существующей коммерческой системы на предмет выявления ее пригодности к решению поставленных задач.

Даже если разработка была проведена целиком внутри компании, это еще не означает, что нет никакого смысла в проверке качества реализации. Разработчики и программисты тоже люди, а людям свойственно ошибаться. Поэтому очень полезно иметь еще одну оценку — от людей, не принимавших прямого участия в разработке. Это позволит значительно повысить степень уверенности в стойкости защиты.

Очевидно, что иметь в штате команду специалистов по информационной безопасности, способных быстро и качественно провести анализ защиты, может позволить себе не каждый. Но для проведения исследований можно нанять независимых экспертов, имеющих хорошую репутацию в подобных делах. Как правило, все результаты подобной экспертизы передаются заказчику и не могут быть опубликованы без его согласия.

Подобный анализ "для себя" иногда устраивают и разработчики коммерческих защит, которые хотят получить независимое подтверждение надежности разработанного продукта, которое позже может быть использовано в рекламных целях. Однако "независимость" полученной таким образом оценки весьма сомнительна. Разработчик ожидает от экспертизы положительных результатов и, фактически, платит именно за них. Если же экспертное заключение будет негативным, то никто не заставит разработчика его публиковать.

Разумеется, в ходе анализа надежности системы безопасности, которую планируется использовать для защиты очень важных данных, недостаточно проверять только устойчивость к простейшим видам атак, которые противник сам будет пробовать в первую очередь. Требуется выполнить анализ на максимально доступную глубину. Но начинать можно и с самых простых атак — если окажется, что система неустойчива к ним, остальное проверять не обязательно. Наличие даже одной уязвимости сводит всю защиту к нулю.

19.2.3. Слава

Существует весьма многочисленная категория людей, мечтающих прославиться любым доступным им способом. Этих способов великое множество, и они очень сильно отличаются друг от друга.

Большинство людей, вошедших в историю, на протяжении всей жизни очень много трудились и именно этим снискали себе мировое признание. Так можно начать с разработки собственной версии интерпретатора языка BASIC или эмулятора терминала и через несколько лет стать лидером гигантской софтверной (производящей программное обеспечение) империи или самого крупного открытого программного проекта в истории. Но этот путь не очень надежен — миллионы людей изо дня в день работают не покладая рук, а слава приходит лишь к единицам.

Некоторым людям удается воспользоваться счастливым стечением обстоятельств и прославиться за один день, не прилагая к этому сверхчеловеческих усилий. Достаточно просто оказаться в нужное время в нужном месте, и известность придет сама. Однако фортуна — штука непредсказуемая, и такой способ вхождения в историю тоже не может считаться надежным. Однако существуют и более стабильные способы заявить о себе. Вспомним хотя бы путь, избранный в 356 году до н.э. Геростратом. Он сжег храм Артемиды Эфесской, одно из семи чудес света, и, тем самым, оставил свой след в истории. Не доходя до таких крайностей, как уничтожение мировых шедевров, вполне можно стать известным, если обратить на себя внимание достаточного числа людей. А в эпоху информационных технологий это не очень сложно.

Сейчас компьютеры используются повсеместно, и от правильной их работы зависит поведение очень многих окружающих нас вещей: от лифтов и светофоров до самолетов и стратегического вооружения. И нарушение в работе компьютеров может привести к серьезным последствиям — достаточно вспомнить все, чем путали простых людей компании, вовлеченные в решение "проблемы 2000 года". Многие из их прогнозов были не чем иным, как хорошим коммерческим ходом, подталкивающим потратить деньги на решение этой "проблемы". Но ведь существовала и реальная опасность неуправляемых негативных последствий.

То же самое касается и защиты информации. Несмотря на то, что большинство людей, пользующихся компьютерами, не осознает в полной мере всех аспектов информационной безопасности, подсознательно они понимают, что наличие дыр в используемом программном обеспечении может коснуться и их. Уж слишком часто за последнее время пользователям приходится слышать о том, как очередной вирус беспрепятственно шествует по планете, нанося ущерб, оцениваемый миллионами долларов. Ведь из каждого сообщения об обнаружении очередной уязвимости средства массовой информации стараются сделать громкое событие.

Вот и получается, что человеку или компании, обнаружившей слабость в широко распространенном средстве защиты, достаточно оставить сообщение о своем открытии в Интернете. Это сообщение в считанные часы окажется разнесенным по всему миру, появится на тысячах сайтов, попадет через почтовые рассылки миллионам пользователей, а то и выплеснется в прессе и на телеэкранах. И если автор сообщения не забудет указать свое имя, у него есть много шансов остаться в памяти людей, а значит, и в истории.

Однако у жажды славы есть и другие проявления. В компьютерном мире существует довольно многочисленное сообщество людей, занимающихся взломом коммерческого программного обеспечения. Очень часто эти люди объединяются в группы, выбирают себе псевдонимы, а группам — названия, и начинают соревноваться с другими подобными командами.

Цель соревнования, как правило, — это выложить в свободный доступ взломанную новую версию программного продукта раньше, чем это сделает другая группа. Взломом считается то, что программа может использоваться без регистрации или генератор регистрационных кодов прилагается к программе.

Разумеется, члены группы не оставляют своих реальных имен или адресов, и фактически всю известность они создают и закрепляют исключительно в рамках своего сообщества.

19.2.4. Удовольствие

Но кроме людей, рвущихся к славе, власти или деньгам, есть и просто любопытные. В большинстве своем они интересуются не результатом, а процессом исследования. Для них не важно, удастся ли обнаружить уязвимость. Ведь сам процесс исследования может доставлять огромное удовольствие.

Именно из таких любопытных, стремящихся проникнуть в самую суть, и получаются очень хорошие ученые. А научное исследование средств защиты позволяет собирать информацию, необходимую для всестороннего рассмотрения совокупности применяемых технологий безопасности, выявления их достоинств и недостатков, а также выработки рекомендаций по построению более надежных систем.

Однако ученые в своей работе не используют такую категорию, как мораль. Они решают поставленную задачу любыми доступными средствами. И если перед ученым стоит проблема накормить население страны, то правильным решением будет являться как увеличение производства продовольствия, так и сокращение размера населения.

Не удается однозначно трактовать и последствия научных исследований средств защиты. Результаты анализа могут быть использованы как для улучшения надежности защиты, так и для неправомерного доступа к информации, защищенной другими. Но ученому, по большому счету, это безразлично — главное, что он хорошо выполнил свою работу.

Возможно, именно это является первопричиной идущих довольно давно споров о правильной политике разглашения информации об обнаруженных недостатках средств защиты.

Формально причиной спора является то, что если открыто опубликовать информацию о найденной дыре, то с некоторой вероятностью уязвимость будет использована для нанесения ущерба одному или нескольким пользователям. Следовательно, открыто разглашать информацию о проблемах, связанных с безопасностью, до того, как разработчик уязвимой системы разработает заплатку, ни в коем случае нельзя. И подобной позиции придерживается большинство крупных производителей программного обеспечения.

Но, с другой стороны, если пользователи не будут знать о потенциальной угрозе, а противник ухитрится получить доступ к информации об уязвимости или найдет дыру самостоятельно, последствия атаки могут оказаться более серьезными. К тому же ждать, пока будет выпущена заплатка, иногда приходится очень долго. Ведь далеко не все производители программного обеспечения ставят вопросы безопасности на первое место (хотя в последнее время многие из них заявляют обратное, видимо, стремясь восстановить пошатнувшееся доверие пользователей). Все это приводит к мысли, что только полное описание всех деталей новой уязвимости подготовит пользователей к возможной атаке и подтолкнет разработчиков к скорейшему созданию заплаток. И эту позицию поддерживают очень многие специалисты по информационной безопасности.

19.2.5. Справедливость

Иногда исследование или даже взлом защиты производится с целью обеспечения безопасности государства или восстановления законности. Например, если информация на компьютере лица, подозреваемого в совершении преступления, полностью или частично зашифрована, то суд может выдать разрешение на анализ использованного средства защиты и на извлечение скрытых данных.

Очень похожая ситуация и с исследованием вредоносных программ: вирусов, троянских коней и т.п. Разработчики антивирусных программ проводят анализ внутреннего устройства вирусов для разработки эффективных методов противодействия им. Это не является исследованием защиты в чистом виде, но, безусловно, относится к информационной безопасности самым прямым образом.