Кибергейт: Как выжить в мире умных вещей - страница 14

. Он обозначает любой преднамеренно созданный механизм доступа, позволяющий обойти обычные средства обеспечения безопасности компьютера. Бэкдоры часто бывают секретными и добавляются в систему без вашего ведома и согласия. Но это не данность. Когда представители ФБР требовали, чтобы компания Apple обеспечивала возможность обойти шифрование в iPhone, речь шла о необходимости добавить бэкдор{88}. Когда исследователи обнаружили жестко закодированный дополнительный пароль{89} в файрволах компании Fortinet[10], был найден бэкдор. Когда китайская компания Huawei установила в интернет-роутеры секретный механизм доступа, она установила бэкдор. Обсудим это в главе 11.

Все компьютеры могут быть заражены вредоносными программами{90}. Все компьютеры могут быть захвачены программами-вымогателями. Все компьютеры могут быть объединены в ботнет – сеть управляемых дистанционно зараженных вредоносными программами устройств. Содержимое всех компьютеров можно уничтожить удаленно. При этом основная функция встроенного компьютера или устройства из интернета вещей, в которую встроен компьютер, не будет иметь никакого значения. Атакующая сторона станет использовать их точно так же, как использует персональные компьютеры и ноутбуки.

Пока что у атакующих все еще сохраняется устойчивое преимущество. Если обратиться к истории, можно проследить, что долгие десятилетия и даже века перевес в ходе войны был то на стороне тех, кто держал оборону, то на стороне тех, кто нападал. Зачастую исход сражения определяла не тактика боя, а технологические новинки наподобие танков или пулеметов. В условиях современных цифровых войн атаковать легче, чем защищаться{91}. И в обозримом будущем ситуация не изменится.

Одна из многочисленных причин – сложность компьютерных систем. Замысловатость и витиеватость – злейший враг безопасности{92}. Чем мудренее система, тем хуже ее защита. Миллиарды компьютеров, в каждом из которых содержится несколько десятков миллионов строк кодов, подключены к интернету, состоящему из триллионов веб-страниц и неизвестного количества зеттабайт[11] информации{93}. В итоге мы получаем техническое устройство – самое сложное из когда-либо созданных человеком.

Среди прочего сложность компьютерных систем означает использование при их производстве все большего количества деталей, взаимодействие с ними все большего количества людей и их включение во все большее количество коммуникаций. А еще – новые уровни абстракции, огромное количество ошибок, допущенных при конструировании и разработке, все бо́льшие трудности, которые приходится преодолевать в ходе тестирования, и появление все большего количества мест в коде, где могут скрываться ошибки.

Экспертам в области компьютерной безопасности нравится говорить о поверхности атаки – потенциальных точках – целях взломщиков{94}. Сложная система подразумевает огромную поверхность атаки, то есть возможный агрессор получает существенное преимущество. Достаточно отыскать одну-единственную уязвимость – незащищенный путь – и выбрать время и метод нападения. С не меньшим успехом хакер может предпринять серию атак. Обороняющемуся же нужно обезопасить всю поверхность атаки от всех возможных нападений. По сути, у него нет права на ошибку, он должен побеждать каждый раз, в то время как атакующему достаточно всего одной победы. Неравный бой: расходы на атаку минимальны по сравнению с затратами на оборону.