Категорія: Кібербезпека

Ось чому спеціалісти з кібербезпеки змушують вас шифрувати жорсткі диски та не залишати лептопи там, де ви їх не можете бачити. Атака типу «evil maid» (зла покоївка) це сувора реальність, хоча здійснює її скоріше не персонал готелів, а працівники занадто цікавих спецслужб та інші збоченці.

Звісно, що в нормальному режимі використання ноутбуків хвилини вашого розставання нечисленні. Виключення складають ті з нас, хто часто подорожує у справах. Якщо ви згадаєте типову сучасну мандрівку, то зможете легко уявити близько 10 разів коли різні незнайомці можуть отримати неконтрольований доступ до вашого лептопу ще до поселення в готель в місті прибуття.

Історія фізичних атак на сучасні комп’ютери цікава та повна технічних деталей. Якщо дуже спрощувати, є така технологія, Direct Memory Access (DMA). Назва в неї буквальна: вона реалізує доступ зовнішнього пристрою до пам’яті комп’ютера напряму – оминаючи втручання центрального процесора. Це суттєво прискорює роботу системи та, як це буває у разі різкого підвищення продуктивності, створює колосальну ваду безпеки.

Читачі, знайомі з базовими принципами побудови безпечних систем, можуть побачити в цій фічі пряме порушення принципу повної медіації. Щоб у системі була безпека, її треба десь розмістити. Чесно, треба визначити якесь місце (монітор посилань або Reference Monitor), через яке будуть проходити всі стосунки між суб‘єктами (користувачі, процеси, пристрої тощо) та об‘єктами (файли, дані, інші пристрої) системи, та застосувати в ньому політику безпеки – чіткі правила, які змушують систему працювати безпечно.

Це може здаватися непростим завданням, – так і є. А те, що вийде, буде жахливо гальмувати та знижувати продуктивність та зручність. В цьому легко переконатися: в перших рядках пошукової видачі по запиту «Kernel DMA Protection» не лише посилання на опис цієї функції, а й докладні інструкції з її вимкнення. Баланс між безпекою та зручністю – надзвичайно складна інженерна задача, яка здійснюється згідно з іншим принципом безпечної архітектури – принципом психологічної прийнятності (Psychological Acceptability). Але це вже інша історія.

Підсумовуючи, це дуже гарний приклад, як «зрізаючи навпростець», ми можемо забити на важливі та принципові речі та наразити себе на небезпеку. В цьому випадку мова йде про персональні комп‘ютери, сконструйовані до 2019 року, коли з‘явилася технологія Kernel DMA Protection. Докладніше про нову атаку Thunderspy можна прочитати в матеріалі Wired.

Які заходи безпеки можна порекомендувати для захисту лептопів від атак «фізичної близькості»? Поряд із придбанням сучаснішого пристрою з підтримкою Kernel DMA Protection, можу порадити налаштувати систему для повної гібернації під час неактивності та запит автентифікації перед продовженням роботи. Звісно, що із застосуванням повного шифрування диску. Користувачі macOS можуть також поекспериментувати із програмою Do Not Disturb, яка зв’язує ваші макбук та смартфон і надає вам змогу отримувати на телефон повідомлення, коли хтось намагається скористатись вашим ноутбуком. В програми є функція фотографування потенційного нападника, яка не раз покращить настрій вам та вашим близьким.

Бережіться.

Якщо ви ділите програмне забезпечення на безпечне та небезпечне, це означає що ви маєте дуже умовне поняття про безпеку програмного забезпечення. Вибачте, що розчаровую, але це так. Хороша новина в тому, що в певному віці так роблять усі, включно з автором цих рядків. Але в більшості це проходить, а в декого ні.

Все ПЗ вразливе, крапка. Бережа робить понад 50 проектів на рік, десь 40 із них пов’язані з перевіркою безпеки софта. Поодинокі 1-2 проекти завершуються дуже скромними рекомендаціями типу «тут підфарбувати» і «і тут поправить». Решта – мають у звіті досить серйозні зауваження. А деякі вразливості ми повідомляємо одразу, щойно їх знайдено. Тому що відкладати це до початку формування звіту чи навіть до завтра – тупо страшно. І ці вразливості виправляються ще до завершення проекту – з аналогічних міркувань. А ви потім цим софтом користуєтесь.

Безпека софта полягає не в тому, чи є в ньому вразливості. А в тому, як (і з якою швидкістю) з цими вразливостями чинить розробник. І тут справа навіть не в процесах та практиках (хоча за це мене зараз будуть сварити колеги по OWASP), а в рівні культури безпеки. І в цього рівня є очевидні індикатори.

Якщо розробник вразливості сам не шукає, перед іншими заперечує, виправляє повільно та ще й погрожує хакерам – його культура на умовному нулі або нижче. Якщо розробник регулярно робить оцінку захищеності чи хоча б пентест, самостійно тестує безпеку та відкритий до повідомлень про його вразливості, що надходять ззовні – його рівень культури значно вище середнього. Якщо ж розробник навчає безпечній розробці свою команду, має Application Security функцію, приділяє увагу розвитку відповідних навичок персоналу та ще й впроваджує та виконує практики з OWASP SAMM – його рівень десь за хмарами. А рекомендації у звіті про пентест будуть дуже стриманими.

Але все ПЗ вразливе, і колись у його коді (або в коді якоїсь його залежності) знайдуть надстрашну багу. І піонери від безпеки будуть носитися з нею та звинувачувати розробника в тому, що його продукт «небезпечний». А люди з досвідом будуть намагатися пояснити, в чому піонери помиляються, але марно.

А помилка насправді проста: якщо чиясь безпека залежить від вразливостей в окремому програмному забезпеченні, то хтось очевидно зробив свою роботу дуже погано. Взагалі, якщо безпека сконцентрована в якомусь одному місці – хтось десь налажав. Можливо, це відбулося в наслідок того, що я називаю «фаєрвольною ментальністю» – коли спеціаліст скеровується морально застарілою парадигмою «зон та периметру». А можливо, це й не спеціаліст, просто коли він повторює гасла за журналістами кібербезпекових онлайн-таблоїдів, скрадається таке враження.

Мінімальних навичок з моделювання загроз достатньо, щоб навчитися довіряти важливі для вас речі лише перевіреним та надійним інструментам. Плавно переходячи до конкретики – Zoom до цього кола не входить. Не може система, яка дозволяє одночасно спілкуватися вдесятьох та записувати відео в хмару, бути надійним засобом для передачі надконфіденційних даних. Будь-яка мінімально обізнана в безпечній системній архітектурі людина вам це підтвердить. І ніхто з експертів вам ніколи не рекомендував Zoom для передачі конфіденційних даних: я перевірив. «Але ж маркетологи сказали що в них наскрізне шифрування…» Та вгамуйтеся вже з тими маркетологами! Вам Паша Дуров вже казав, що Телеграм безпечний. Що ще кому не ясно?

Залишайтеся вдома та сидіть в безпеці.

Багато галасу здійнялося через синхронні спроби технологічних компаній та урядів по всьому світу впровадити засоби відстежування контактів користувачів смартфонів. Щодо загроз приватності, які створює такий підхід, не висловився хіба що ледачій. Але я деякий час залишався осторонь мейнстрім дискусії, адже ця ситуація вимагає хоча б поверхневого моделювання загроз. Та все більше людей в приватному режимі питають “Стиран, ти чого мовчиш? Галактіко апаснастє!” Тому довелося трохи поміркувати, й результатами я ділюся з вами.

Для початку попрошу не читати далі людей, які досі перебувають в омані. Якщо ви все ще вважаєте, що загроза цьогорічного коронавірусу незначна та перебільшена, будь ласка, гортайте далі. А ще краще, відпишіться від сторінки. Це пишуть не для вас.

В умовах, коли від інфекції вже страждають люди, яких ми знаємо особисто, а жертвами вірусу стали люди, яких від нас відділяє одне рукостискання – ігнорувати критичний ризик загрози безвідповідально. Очевидно, ситуація не зміниться на краще в наступні місяці. Поки набутий колективний імунітет та ефективна вакцина не дозволять нашому життю хоча б частково повернутися до звичного режиму, ця ситуація вимагатиме неординарних рішень. Нормальні люди планують свої дії виходячи з логічних міркувань. А що ж роблять політики?

Політики це такі люди, які орієнтуються у своїх діях на реакцію більшості. Політикам треба продемонструвати дію і мова йде не про мобільний додаток. Швидка, рішуча дія у відповідь на кризу – цього чекає більшість, це подобається виборцю. Звісно, що рішення, прийняті похапцем, та дії, здійснені терміново, скоріш за все будуть неідеальними. Щоб проаналізувати ситуацію, виробити стратегію, обрати методи та спланувати дії, потрібен час. А часу в політиків немає – їм треба показати всім, що вони “щось роблять”.

(Через це, зокрема, я не передбачаю серйозного скорочення попиту на послуги консультантів з кібербезпеки в наступні декілька місяців. Термінова цифровізація всього і вся, яка наступила в наслідок введення тотального карантину, відбувається терміново. Рішення, прийняті та реалізовані в такому режимі, ніколи не бувають продуманими. А там, де перетинаються нові технології, людський фактор та недостатнє планування, що? Правильно, вразливості безпеки. Але це я трохи відхиляюся від теми.)

Отже, проаналізуймо, що роблять політики в технологічному сенсі, і що вони роблять не так. Точніше, що вони можуть зробити не так; бо швидко лише базікати можна, робота вимагає часу. Що ж вони можуть зробити не так, та як ми про це дізнаємось?

Будь-яка криза створює можливості. Поточна криза – це ідеальне алібі для впровадження технологій тотального моніторингу. Користуючись неосвіченістю з питань приватності, уряди та технологічні компанії намагаються відновити ініціативу, яку їм обламав скандал з Cambridge Analytica та все, що з нього засмерділо. Включаючи викриття дій росіян з підриву демократичних процесів по всьому світі. Останній раз такий шанс спецслужбам та ІТ-гігантам випадав 9 вересня 2001 року. Користуючись піднесенням боротьби з тероризмом, технологи дали своїм урядам змогу підсилити потужності слідкування за громадянами, а уряди не змогли втриматися від спокуси. Наслідки цього союзу ми всі прекрасно знаємо.

Але давайте вже до конкретики. Нещодавно Google та Apple запропонували цікаву технологію відстежування контактів користувачів смартфонів за допомогою BLE (Bluetooth Low Energy). Умовно, у всіх у нас на тілі вже є маячки, тому чому б не відстежувати хто поруч із ким і скільки часу проводить, а потім, коли хтось раптом виявиться корона-позитивним, відновити з цієї історії всі його контакти за останні два тижні? Ідея досить спокуслива, адже цінність інформації про контакти інфікованих неможливо переоцінити. Своєчасне виявлення носіїв збудників COVID-19 – чи не найефективніший захід із протидії пандемії.

В голові у можновладців швидка дія, а це рідко суміщається з акуратним аналізом загроз. Які ж загрози тут очевидні? Найбільшими загрозами я вбачаю агрегацію даних, чутливих до загроз кореляції, а також широкі можливості шахрайства, які тут відкриваються. Розташування в одних руках даних про геолокацію (розташування та пересування) та історію контактів (пристрої в зоні приймання) – це і є ризикована агрегація. Коли в грудні ми планували функціональність нового бейджу NoNameCon, ми дуже докладно обговорювали соціальну частину та дуже хотіли реалізувати її саме через “маячки” BLE. Це дало б нам змогу отримати картину, наскільки інтенсивно відбувається нетворкінг на конференції, в яких локаціях відвідувачі бувають та де затримуються надовго. Також, ми хотіли протестувати метрики інтересу відвідувачів до стендів партнерів конференції. Але коли ми підбили всі наші хотілки в цій частині та перейшли до наступних пунктів, першим одностайним рішенням було “нафіг GPS”. Адже об’єднувати анонімізований peer-to-peer протокол вимірювання соціальної активності із можливістю відстежувати пересування власників бейджу створило б загрозу такого рівня, який ми просто не можемо собі дозволити. Щойно ми взнаємо де ви, ваша “анонімність” йде під три чорти, а ми зі спеціалістів з кібербезпеки, які проводять професійну конференцію, перетворюємось на кібер-сталкерів.

Підсумовуючи: дві чутливі категорії даних, які можна легко корелювати та отримувати ще більш чутливу інформацію про суб’єктів цих даних, не можна агрегувати. Крапка. Якщо хтось намагатиметься переконати вас, що це хороша ідея, знайте – в людини немає навіть базових знань з кібербезпеки та аналізу ризиків.

Серед численних сценаріїв шахрайства наведу найпростіший. Як закрити вас на обсервацію? Постояти у вас під дверима квартири довше 15 хвилин, а потім заявити про позитивний результат тесту на корону. Пам’ятаєте історію про росіян, які нещодавно “закривали ваших конкурентів”, відвідуючи їхні офіси після візиту до Китаю? Тепер до офісу йти не треба – досить повештатися трохи в зоні приймання BLE вашого смартфону.

Звісно, це не все. Неточні технології призведуть до неточних результатів, всі дані не провалідуєш, а працювати якось треба. Почнуться хибні спрацювання, хтось зламає протокол та почне спуфити дані, і знову все з початку, вже сто разів це проходили. Це я ще не розбираю сценарій, коли всі борці за власну приватність припинають встановлювати оновлення операційних систем на версії, в які додані ці чудові функції. Ось тоді точно “заживемо”. Але повернімось до уряду та його дій (в широкому розумінні).

Будь-яка технологічна проблема, може бути розв’язана на одному з трьох рівнів:

1. На рівні користувача. Ми можемо всі дружно забити на реальний світ та самоізолюватися на 3-4 тижні. Тоді проблема просто зникне та її не доведеться розв’язувати.
2. На рівні виробника продукту. Можна створити універсальний додаток, який використовує технології (BLE, WiFi, GPS etc.) для розв’язання поставленої задачі з врахуванням всіх актуальних загроз та застосуванням всіх релевантних принципів безпеки.
3. На рівні платформи. Виробники мобільних пристроїв та провайдери інтернету можуть об’єднатися у спільному пориві та створити щось своє, з блек-джеком і ш… вибачте, блокчейном і штучним інтелектом. Тут масштаб науково думки виходить за рамки моїх знань, але я майже впевнений, що з цього щось може вийти.

Увага питання: де в цьому рівнянні уряд? Правильно, його немає. Максимум, на що він може впливати, це поведінка користувачів, регулювання роботи додатків або блокування доступу до платформ. Й всі ці способи впливу в сучасній демократичній державі трохи обмежені. І порушення цих обмежень може призвести до порушення демократії як такої, причому в обидва боки. Або держава з демократичної перетвориться на тоталітарну, або ж народ відчує, що ця демократія зламалася і потрібна інша.

Розумною стратегією уряду в кризовій ситуації було б не вхопитися за обіцянки технологів та не планувати “закручування гайок”. Мудрий уряд розпочав би роз’яснювальну роботу серед користувачів, та що найголовніше – виступив би на їхньому боці коли мова зайде за глибину проникнення нових рішень в приватність та безпеку громадян. Саме це ми й спостерігаємо в багатьох місцях і не спостерігаємо в Україні. В якої, як завжди, свій шлях.