Редакторские будни: куда девать идеи или комментарии к текстам 2

В качестве примера уместного комментария от редакции, приведу тот, который родился при работе над статьей О.С. Бондаренко, Е.А. Малиновская "Имитационная модель "хакер-администратор" (будет опубликована в "Прикладной информатике" №4 2010). Конечно, это черновой вариант в том смысле, что слова, выражения и объем будут поправлены перед включением в номер, но, в целом, тема и содержание вполне соответствуют. По-моему, я достаточно четко и лаконично определил место темы статьи в картине информационной безопасности как области компьютерной науки и отрасли.

От редакции: На компьютерную информационную безопасность и ее «естественного врага» – компьютерную преступность можно смотреть по-разному.

Взгляд на эти вещи человека, который никогда не сидел за компьютером и впервые собирается это сделать, – это либо «взгляд сквозь стену», если он ничего не знает ни о безопасности, ни об опасности, либо «взгляд в бездну», если он запуган мифами на эту тему.

С точки зрения обычного пользователя-неспециалиста, безопасность/преступность ассоциируются с состоянием его персонального компьютера или мобильного устройства (хотя необходимость опасаться за свои мобильные устройства еще не в полной мере осознана общественностью – это вопрос нескольких ближайших лет), а также со взломом учетных записей, кражей других персональных данных, исчезновением денег со счетов, ознакомлением его или ее детей с неподходящим для них контентом и тем, установлены ли на устройстве программные средства защиты от всего этого. И по сей день последний вопрос часто задается после того, как некие неприятности уже случились. Также по-прежнему встречаются случаи предельной безответственности по отношению к необходимости защиты своих данных или данных работодателя и случаи предельного заблуждения на этот счет: «Раз нет ни одного средства защиты, надежного на 100%, значит, нет смысла использовать ни одно из них» (здесь в качестве контраргумента напрашивается аналогия с противозачаточными средствами).

С точки зрения бизнесменов – потребителей услуг информационной безопасности, она – необходимая составляющая успешной деятельности (хотя понимается каждым отдельным потребителем по-своему).

С точки зрения бизнесменов – производителей указанных услуг, а также с позиции специализированных преступных организаций информационная безопасность / компьютерная преступность – это рынок, это отрасль (две отрасли), это технические средства, это умелые специалисты, действующие и с той, и с другой стороны и большие деньги.

С точки зрения любого взятого наугад специалиста по информационным технологиям, информационная безопасность является очень важной составляющей его работы, в которой он хорошо разбирается, хотя эта самооценка часто является завышенной. Настоящие специалисты именно в этой конкретной области компьютерной науки и практики применения вычислительной техники знают, что безопасность состоит не только из дисциплины в части изобретения и хранения паролей, определения подозрительных писем с гиперссылками «на глаз», самостоятельного тестирования своих сайтов на «прочность» и принятой в компании политики безопасности (в отсутствие которой можно с уверенностью говорить о том, что никакие меры безопасности не предусмотрены вообще). Она также состоит из формальных математических методов проверки стойкости шифров и оценки защищенности программного обеспечения, математических и инструментальных моделей, деревьев угроз и уязвимостей, обратной инженерии обнаруженных, то есть пойманных «зловредов» – вредоносного программного обеспечения (по выражению одного из представителей «Лаборатории Касперского») и многого другого.

Оценка защищенности или уязвимости той или иной системы – это одна из главных задач компьютерной информационной безопасности. Многие разработчики и потребители соответствующих услуг, а также ученые привлекают сторонних или своих специалистов для целенаправленного взлома тех или иных систем. Это проверка систем «на прочность» в условиях максимально приближенных к реальным – система атакуется до тех пор, пока не удается реализовать угрозу (взломать систему) или пока взломщик не сдается. Такой метод оценки защищенности систем впечатляет, однако что с позиции науки, что на практике он не слишком эффективен – один сеанс взлома занимает много времени, проверка может завершиться лишь с двумя взаимоисключающими результатами: «брешь найдена» и «брешь не найдена». Ни тот, ни другой не говорит о том, что система защищена в достаточной степени (определение этой степени в каком-либо виде – отдельная трудная задача). Таким образом, подход к оценке безопасности компьютерных систем на основе имитационных (в частности) моделей, которого придерживаются авторы данной статьи, во многих случаях (и в общем случае) представляется более уместным. Существуют сложности с составлением достаточно полных моделей угроз и методов защиты/реагирования на них, но параметры модели изменить проще, чем параметры людей – взломщиков и администраторов, а прогнать модель можно значительно быстрее, чем дождаться результатов от них.

Что я изначально собирался сказать на Infosecurity'2009 Moscow и почему не сказал

Когда выяснилось, что в рамках Infosecurity'2009 будет проходить круглый стол по "Безопасному Интернету", я подготовил небольшой доклад (скорее даже - затравку) по этой проблематике, который и представляю Вашему вниманию.

Для начала было бы полезно очертить некоторые границы вопроса. Мы часто слышим или читаем сводки, новости, аналитику со словами «по таким-то оценкам процент инцидентов в области информационной безопасности, связанных с человеческим фактором, составил столько-то», однако практически никогда нельзя с уверенностью установить, что именно каждый респондент исследования имел в виду под такими инцидентами:

• реализацию инсайдерских угроз;
• рисков, связанных с применением социальной инженерии;
• установку недозволенного или уязвимого ПО или неправильное/несвоевременное обновление дозволенного;
• все вместе или что-то в отдельности.

Истина в том, что компьютеры, как и все неживое в этом мире, проектируются и создаются людьми, люди решают, какое ПО на них устанавливать, и как их использовать, поэтому все, что связано с компьютерами вообще и с информационной безопасностью в частности имеет и человеческую сторону. Дело всегда в людях – если не в потенциальных жертвах, то в злоумышленниках, и если бы компьютеры могли действовать самостоятельно, заражать и взламывать друг друга, у людей были бы совершенно иные проблемы с ними, нежели имеющиеся сегодня.

С другой стороны, было бы ошибочным утверждать, что человеческий аспект любого инцидента с информационной безопасностью всегда является определяющим: все мы знаем, что любое более-менее крупное приложение сегодня стремится соединиться с сервером в Интернет для обновления, что уязвимости в приложениях, хотя и порождаются людьми, но для большинства пользователей могут долгое время оставаться незаметными, что многие процессы происходят в скрытом режиме. Например, в конце прошлого года и в начале нынешнего было достаточно много публикаций, выражающих мнение о том, что в текущем экономическом кризисе как минимум частично повинны... суперкомпьютеры. Суть идеи в том, что развитие финансового рынка и его инструментов вкупе с развитием информационных технологий привело к ситуации, когда вручную совершать и контролировать все сделки невозможно. То есть многие, а точнее - большинство: сотни тысяч и миллионы сделок совершаются с электронными деньгами в автоматическом режиме, проходя, фактически, мимо людей (если цена такой-то ценной бумаги упала до такой-то отметки - купить/продать, если поднялась до такой-то - продать/купить). Программное обеспечение оперирует на математических моделях, предсказывая прибыли и потери с учетом рисков, но с такими моделями и программами имеются проблемы, как и с любыми другими.

Есть вещи, о которых пользователи вообще не должны, не обязаны знать. На разработчиках множество подобных грехов.

Часто говорится, что введение политики безопасности, способно свести к минимуму инциденты с информационной безопасностью, но тут нужно иметь в виду, что помимо технических мер, в такой политике часто оговариваются бессмысленные запреты, например, на запись паролей на бумаге и призывы к их запоминанию. Хорошо известно, что пользователи тяготеют к ненадежным паролям, к их записи на листочках и к использованию одного и того же пароля для авторизации в разных службах. Ситуация, когда пользователь помнит наизусть 6 уникальных паролей, включающих алфавитно-цифровые и специальные символы, по 20 символов каждый – это скорее фантазия, к тому же полностью расходящаяся с физиологией и характером мыслительных процессов большинства людей. Вины пользователей здесь нет.

Когда речь идет об обучении населения, о повышении уровня грамотности в части ИБ, перед вопросом: «Как обучать?» важно поставить вопрос: «Чему, собственно, нужно обучать людей? Чему они будут готовы научиться, и зачем им это»?

Вообще, «Информационную безопасность» стоило бы назвать «Безопасностью человека при работе с информацией», чтобы не только сотруднику в офисе, но и домашнему пользователю, играющему онлайн и посещающему сайты откровенного содержания, было с самого начала понятно, что именно его и хотят обезопасить.

Существует интересный провал в том, что большинство пользователей знает о проблемах с компьютерами в части безопасности: если спросить: «Знаешь ли ты, что вирусы, трояны, спам и так далее вообще существуют?» – он ответит утвердительно. Спросишь, знает ли он, что и у него могут быть проблемы и какие – снова утвердительно. Однако если поинтересоваться, как по его мнению факт существования всех этих вредоносных программ «вообще» «трансмутирует» непосредственно в его собственные частные неприятности, как и в какой момент это происходит – вот здесь, чаще всего, ответом будет молчание.

Наличие подобной пропасти в части знаний об ИБ – это частный случай большого парадокса информационных технологий – отсутствие среднего звена. У нас таких провалов уйма: разработчики предполагают, что их продуктами будут пользоваться, но мало интересуются тем, насколько это будет удобно и делают страшные в своем неудобстве творения, иногда довольно крупные и дорогостоящие (провал между пользователем и разработчиком), в теории существует множество технологий разработки и доказанных на практике истин, но к ним редко обращаются, если вообще о них знают (провал между теорией и практикой разработки ПО). Сведения, доступные пользователю по теме ИБ, в большинстве опять-таки представляют собой либо новости о взломах и потерях денег (где-то в мире), либо книги и источники типа «нажми сюда и сюда». Можно при наличии некоторой фантазии сравнить отрасль ИТ с футбольным мячом: на одной половине мяча проверенные, но гипотетические сведения о том, по каким законам живет отрасль и чем дышит, а на другой – конкретные действия конкретных людей, связанных так или иначе с этой отраслью. Все бы ничего, но мяч внутри пустой – точки в разных половинках не соединены.

Наличие знаний по ИБ в области «среднего звена» («Как общечеловеческие проблемы становятся лично моими?») важно – его отсутствие всегда чревато в том числе и реализацией экономических рисков. Где-то там же в области «среднего звена» находится и «момент выбора» - тот момент в процессе работы человека за компьютером или с носителями, когда в зависимости от его действий решается дальнейшая судьба той или иной информации и самого человека.

Сегодня часто говорят о том, что молодежь лучше разбирается в информационных технологиях, чем старшие поколения. Когда мне было 4 года, моим любимым занятием была сортировка выпусков газеты «Правда» по датам и чтение вслух постановлений пленумов Верховного совета. Думаю, я тогда в политике понимал примерно столько же, сколько и сегодняшняя использующая Интернет и мобильники молодежь – в информационных технологиях (в большинстве своем)… но раскладывал и читал газеты правильно.

Нельзя сделать специалиста по информационной безопасности из каждого пользователя, даже из каждого ИТ-специалиста его нельзя сделать (часто действует «парадокс очевидных истин»: «Конечно, я знаю, что так нельзя и это чревато, но лично со мной ничего такого не случится!»), хотя некоторые технические детали при обучении могут и понадобиться – для понимания сути процесса. Сосредоточение усилий по обучению пользователей в области «среднего звена», то есть разъяснение, как и что можно выдать, подцепить, на что обратить внимание и почему, позволяет сформировать у пользователя ряд триггеров, которые заставляют его остановиться и задуматься в «момент выбора»: «Вбивать ли e-mail?», «Доверять ли сайту?», «Действительно ли это письмо от того от кого кажется?», «Вытащил ли я флэшьку?», «Заблокировал ли компьютер?» и так далее, по аналогии с взглядом в окно перед выходом на улицу или взглядом налево при переходе дороги.

Человек, так или иначе, всегда является виновником своей информационный беззащитности: он не может предотвратить все неприятности, но может хотя бы узнавать потенциальные угрозы и делать осознанный выбор, вместо того, чтобы апостериорно оправдываться: «Я нажал Ok, но не успел прочитать…»

Почему я, собственно все это не зачитал? Помимо проблем с регламентом, о которых я уже говорил, я понял в процессе мероприятия, что отраслевики вообще не считают парадигму образования пользователей за нечто весомое... или полезное. С другой стороны я подумал над тем, что, возможно, я сам ее переоцениваю, и дело здесь даже не в наличии/отсутствии разума или чего-то такого. Как весьма лаконично и метко выразился Дэвид Алан Грир в статье "Персонаж (или характер) игры" (David Alan Grier "The Character of Play" - Computer. July, 2009):

Поколения 70-х и 80-х годов имели дело непосредственно с компьютерами. Сегодняшние дети имеют дело с программами. Это совершенно другой характер взаимодействия, и вряд ли они способны нас понять!

Надо сказать, что я долгое время пытался сформулировать нечто подобное, хотя и безуспешно (стыд мне и позор). Зато такая вот пусть чужая, но емкая и правильная формулировка ставит все на свои места. Становится понятно, почему:

• с каждым годом программистов учить все сложнее, и в целом они слабее, и это при росте интереса и распространения ИТ;
• современные студенты-информационщики часто ругаются на компьютер, что для нас - ветеранов несколько странно;
• никто не учится на "нигерийских письмах" и "письмах счастья";
• все сложнее год от года обосновывать наличие в университетском курсе "Программирования на Ассемблере", без которого лично мне обучение программированию до сих пор кажется бессмысленным...

Вот такие выводы.

И я там был - "Infosecurity 2009"... может, лучше б и не был

Я помню, на первых "КОМТЕК"-ах все было новое. Вообще, такого размаха выставки были в новинку, да и время было другое, поэтому практически каждый посетитель шастал по залам с пачкой проспектов (последние я выкинул, кажется, году так в 2002). Любая презентация обещала что-то новое, каждый стенд громогласно возвещал:

- Посмотрите на функциональное (хотя, во многом и недоразвитое в те годы) настоящее и на светлое (хотя, еще и не состоявшееся) будущее!

Зачем я все это говорю? Дело в том, что с годами как-то приелось. То есть лоск приелся, а развитие ИТ как-то "устаканилось". И, несмотря на то, что на подобных специализированных (и не очень) выставках стенды с годами все крупнее, а полуобнаженных и/или раскрашенных под хохлому / золото / бронзу девушек все больше, былого шарма: ни эстетического, ни интеллектуального уж нет. Печатная продукция наполняет пакеты, узкие проходы создают ощущение беспрецедентной массовости, металлоискатели на входе, на писк которых никто не обращает внимания, лестницы и коридоры, позволяющие с легкостью обойти охрану и стол регистрации, - все как обычно.

Революций на Infosecurity 2009 Moscow тоже не было. Я, в основном, участвовал в круглом столе по "Безопасному Интернету" (впрочем, тут кавычки можно ставить, где захочется) в качестве эксперта МОО "Информация для всех" и репортера от "Прикладной информатики" заодно и хотел бы поделиться некоторыми впечатлениями о нем. Самым красочным из этих впечатлений была 30-ти секундная разговорная стычка между представителями "Софтфакс" и "Kaspersky Lab":

- Sandbox, виртуальные браузеры и хранилища для интернет-файлов - это будущее, а Касперский отомрет в ближайшее время, - говорили первые (сразу предупреждаю, что я излагаю суть, как я ее понял, своими словами).

- Не обойдетесь вы все без нас, и, вообще, песочницы - это чушь, и они ни от чего не спасают, а, кроме того, у нас в 10-ой версии они тоже есть (!!!), - отвечали вторые, несколько греша против логики.

В остальном все было традиционно: детей надо защищать, за прошлый год найдено столько-то "зловредов" (цитируемый на круглом столе отчет "Касперского" я раскладывал по полочкам еще полгода назад), песочницы и так далее. Где-то в процессе мне стало немного грустно. Дело в том, что я осознал в очередной раз, что преступники - с одной стороны, компании, делающие в области информационной безопасности деньги на массовом рынке, - с другой, а народ - где-то посередине, и из него, извиняюсь за выражение, "сосут" в любом случае.

Я не выступал с докладом по образовательным инициативам на круглом столе: во-первых, сильно бы выделялся, а, во-вторых, регламент был очень жесткий - 55 минут на все мероприятие. Я, помнится, готовил, докладик, так что если найду и сочту, что там есть что-то, кроме того, что я хочу сказать сейчас, я его выложу.

Вернемся, однако, к "отсосу". Либо Вы не пользуетесь антивирусными средствами и сильно рискуете потерять деньги в том или ином виде, либо пользуетесь и платите за них, то есть за снижение (и, замечу, не за устранение) риска. По идее, что бы там ни говорили, такая ситуация устраивает и преступников, и бизнесменов, и процесс борьбы между ними, откачивающий бабло из Вашего кармана, - вечен, это сражение "всепротыкающих" копий со "всеотражающими" щитами. И те, и другие имеют с Вас деньги, а кто именно - это зависит не от успеха борьбы (полный успех в которой невозможен), а скорее от Вашего темперамента.

Альтернативы, позволяющей Вам абстрагироваться от всего этого, сегодня нет. Сравните с рестораном: Вы можете пойти в забегаловку и рискнуть отравиться за меньшие деньги, потратиться побольше в дорогом ресторане с меньшим риском или купить продукты, выбрав их по органолептическим параметрам и с помощью всяких "нитратометров", после чего приготовить еду самостоятельно. Так вот в случае Интернета и безопасности третьего варианта у Вас нет. Работа, хобби и общение многих людей сегодня подразумевают Интернет, и его дома не приготовишь. То есть, если Вы хоть как-то с Интернетом связаны, "поесть дома" Вам уже не удастся.

Остается еще вера в великие идеи и новшества, но, например, "песочница" таковой идеей не является. Я хорошо помню 90-е, когда появилась Java, и все говорили, что на ней нельзя написать вирус, потому что вся виртуальная машина - это, по сути, большая песочница. Хммм... сегодня 10 из 20-ти "зловредов" работают прямо из HTML-кода, то есть представляют собой скрипты на JavaScript, вирусы на самой Java тоже существуют.

Как программист я хорошо понимаю, что реальная ОС должна взаимодействовать с песочницей, а песочница с ней. Далее, поскольку ПО песочницы - это все-таки ПО, то в нем обязательно найдутся бреши и, рано или поздно, вредоносный код сможет-таки докопаться до реальных ресурсов. Это неизбежно, это - вопрос времени. Я думаю, что года за 1.5-2 песочницы наберут популярность, но через 2-3 в них будет столько брешей, что мы пройдем полный круг и вернемся обратно... к "Касперскому". Поживем-увидим, прав ли я.

Теперь, что касается детей, игр, Интернета, жестокости, крови и порно. Любую идею можно испоганить, доведя до абсурда. Я прекрасно понимаю, какое негативное влияние Интернет и, вообще, неправильный контент может оказать на детей, но, пардон, какого же лешего я-то должен превращаться в ребенка, будучи вынужденным играть в бескровные игры и смотреть замазанные видео? Я что ради этого налоги плачу и рос, можно сказать, 31 год?

СТОП! Дело вовсе не в моем психическом здоровье. Я не голосую за повсеместные реки крови и голых спаривающихся людей (для этого можно просто новости посмотреть про отлов проституток и криминал). Однако помимо кровавости/бескровности и пуританства/развязности есть еще стиль, композиция и прочее. Приведу один пример: только что привезли мне Ninja Gaiden Sigma 2 для PS3. Это римейк Ninja Gaiden 2 для XBox360. В оригинале конечности отрубаются, кровищей измазываются все стены. В римейке конечности отрубаются, но крови нет даже при отрубании рук и голов или ее, как от пореза - разработчики решили быть поскромнее... Нашли время! Я все понимаю, но Ninja Gaiden - это бренд, это стилистика, это традиция, в конце-концов. И потом, господа, ну где же, логика? Эта игра уже есть в откровенном варианте, она уже есть, мы про разработчиков уже все знаем и про их психическое здоровье, ну зачем же теперь такая запоздалая "кастрация"? Никогда не поверю, что это было необходимо с технической позиции, потому что PS3 не тянет кровь по вычислительной мощности... Зато теперь грудь героинь можно колыхать с помощью SIXAXIS... улет - то есть это нормально и взамен крови? Поставили крест на игре, на ее "коленкоре" и до свидания.

Я за контроль над контентом, но не превращайте меня в ребенка и не засовывайте в детский сад! Так и до "покемонов" с "телепузиками" недалеко - я же не выживу!

А в целом было весело и поучительно. Такие вот мысли и итоги.

Эволюция злого умысла

Наконец-то в 7 утра закончил долгоиграющий фрагмент книги (глава 5), посвященный компьютерной преступности. Как обычно, вряд ли сказал что-то совсем уж новое. На что надеюсь, так это на то, что понятно, по-человечески объяснил ситуацию.

Тема и впрямь интересная... началось весело, а когда стал раздумывать, куда все катится, и что нас ждет в будущем, аж самому стало страшновато... правда самую малость. И еще тема обширная, как архивная бомба: кажется, что вот сейчас вроде все сказал, а потом задумываешься и каждый раз вспоминаешь еще что-нибудь "архиважное".

В блог эта поэма, конечно, не влезет, она размещена здесь. Милости прошу ругать, хвалить и комментировать.

Да и еще у меня был день рождения... кажется где-то 8-го числа. Жуть. Говорят: "в 30 лет ума нет и не будет". Судя по тому, что ум не появился и в 31, видимо говорят правду.