Алексей Смирнов: если вы шифруетесь, вы рисуете мишень у себя на лбу

Сейчас к Интернету люди подключают все что можно, чуть ли не кофейные чашки. Но при этом нас всех предостерегают, что все эти вещи кто–то издалека может выключить или с их помощью собрать о нас информацию. Где тут грань между разумной осторожностью и манией преследования?

— Очень много информации о человеке можно получить, не взламывая его электрочайник, а посмотрев, к каким точкам доступа пытается подключиться его телефон или ноутбук. Точки доступа запоминаются все, и получить их список — достаточно тривиальное дело. Таким образом можно получить историю перемещений человека. С другой стороны, те же микрофоны, камеры можно использовать, чтобы подслушивать, подсматривать. Представьте, что можно удаленно управлять кондиционером — включить его посильнее, чтобы человек простудился. Но это уже менее значащие сценарии. А впрочем, посмотрим.

Недавно стало известно, что во многие жесткие диски от известных производителей было встроено шпионское ПО.

— Это правда, но это не массовое явление. Не то чтобы абсолютно все поставляемые в Россию жесткие диски несли это ПО.

Эти диски направленно поставляются куда–то или, например, в моем компьютере он тоже может стоять, просто меня пока не прослушивают, так как я неинтересна спецслужбам?

— Не исключено, но маловероятно. Обычно "железо" подвергается модификации по пути от производителя к покупателю. Например, перехватывают по дороге на почте.

Каким способом сейчас "модно" собирать информацию: через встроенное "железо", ПО или что?

— Это сложный вопрос, и вот почему. Часто огромное значение имеет сопоставление информации. Могу привести хороший пример. Все знают, что сотовые операторы собирают метаданные, предоставляют их спецслужбам по запросу. Большую роль играет именно сопоставление данных. У спецслужб есть программы, которые выявляют людей, путешествующих вместе. Даже если люди не звонили друг другу, можно определить, что они встречались. Часто эти вещи даже более важны, чем прямое изъятие информации с компьютера или смартфона.

Сейчас люди стали больше внимания уделять не криптографии, а тому, как устроен обмен информацией, что может узнать внимательный наблюдатель, проанализировав информацию. Самое главное для человека, который хочет скрыть информацию, — это находиться ниже радара. А очень часто сам факт использования криптографических средств — это все равно что нарисовать на лбу большую мишень. Поэтому очень важно, чтобы подобные средства стали нормальной частью жизни обычных людей, перестали быть игрушкой для параноиков.

Но мы же не можем заставить всех людей шифровать информацию?

— Да, и люди показывают истинное отношение к информации: они не готовы за нее платить ни деньгами, ни временем. То есть, несмотря на все откровения Сноудена, рынка для средств коммуникации, в котором безопасность была бы определяющим фактором, как не было, так и нет. Люди готовы принять безопасность в качестве дополнительного приятного бонуса, но в первую очередь им нужно, чтобы это было удобно и бесплатно либо очень дешево.

Как вы относитесь к разговорам о том, что Интернет в руках американцев и они могут в любой момент все нам здесь выключить, из–за чего наши предприятия выйдут из строя и т. д.?

— С одной стороны, это действительно проблема. Мне лично не нравится в последнее время политика организаций, управляющих Интернетом, их попытки активно форсировать юрисдикцию США над Интернетом. Интернет изначально задумывался как среда без границ. И все были до определенного момента согласны, пока эти организации, которые занимаются управлением, не начали стрелять себе в ногу, продвигая доминирование США.

Какие организации вы имеете в виду?

— ICANN (Корпорация по управлению доменными именами и IP–адресами. — Ред.) не делает решительно ничего, что помогло бы защитить Интернет от государственного произвола. ФБР начало активно выписывать ордера на изъятие доменных имен в зонах .com и .net, нахождение которых под юрисдикцией США все долго принимали за незначительную формальность. Самое неприятное — то, как другие государства на это реагируют. Вместо того чтобы сохранить глобальную природу Интернета и попытаться обеспечить технологическую независимость, они пытаются проводить какие–то государственные границы.

А можем ли мы в одностороннем порядке что–то изменить? В Китае, например, просто закрывают крупные иностранные сервисы. У нас постоянно говорят: давайте что–нибудь свое изобретем.

— С легкой руки господина Ашманова (Игорь Ашманов — гендиректор IT–компании "Ашманов и партнеры". — Ред.) возник замечательный термин "информационный суверенитет". Если бы это слово обозначало то, что должно обозначать, это была бы возможность бесперебойного функционирования российского сегмента Интернета в том случае, если внезапно США нам его отключат. Но почему–то люди, которые употребляют это словосочетание, имеют в виду другое — возможность России вводить цензуру в пределах Рунета, ограничивать доступ к ресурсам, которые они считают вредными.

То есть запрещать и не пущать. А можно ли вообще сделать Рунет независимым?

— В принципе это задача выполнимая. Вопрос в том, что мы будем делать в таком Интернете, ведь мы все привыкли пользоваться иностранными ресурсами. И не только мы. Мир давно глобален. В голову не приходит, что в Интернете может иметь значение какая–то "политическая география". Хотя жители Крыма узнали об этом без каких–либо глобальных действий со стороны организаций, регулирующих Интернет (Google, PayPal и ряд других американских компаний перестали оказывать свои сервисы жителям Крыма. — Ред.).

Кстати, как вы считаете, для жителей Крыма введенные запреты — досадная неприятность или они действительно сильно мешают? Ведь есть же варианты обхода.

— Да, к счастью, идея Интернета в том, что там не существует государств, а есть только узлы и маршруты. Получается, что все можно обойти. Но если для частных лиц это одни неудобства, то для бизнеса — уже другие проблемы.

Но, на ваш взгляд, проблемы эти не очень серьезные?

— Да, это не то чтобы лишает каких–то возможностей, а заставляет совершать ряд бессмысленных действий.

Есть такое распространенное мнение, что антивирусные компании сами пишут вирусы.

— Мне недавно этот же вопрос задавали. Для того чтобы получить на эту тему объективную информацию, достаточно почитать аналитические отчеты о рынке вредоносного кода, как он монетизируется, кто такие вирусописатели, как они зарабатывают деньги. Но люди, которые верят в двойную игру антивирусных компаний, никогда не читают аналитических отчетов. Я помню, когда общался с людьми, которые выражали сомнения по поводу официальной версии трагедии 11 сентября в Нью–Йорке, каждого из них припирал к стенке и спрашивал, читал ли он аналитический отчет. Мне все отвечали: "А что там читать? И так понятно, что дело нечисто". Я считаю, что с теми людьми, которые даже не удосужились изучить официальную точку зрения, обсуждать нечего.

Можете объяснить, почему антивирусным компаниям невыгодно писать вирусы?

— Им и так хватает работы. Нет никакого смысла сидеть и придумывать себе дополнительную.

С одной стороны, у нас клеймят американские спецслужбы. С другой — есть устоявшееся словосочетание, эдакий российский бренд, как матрешка, "русские хакеры". Хакеры вообще делятся по государственному или национальному признаку?

— Скорее нет. Количество хакеров зависит от многих факторов, таких как уровень образования в стране, возможность получать легальный доход от своей деятельности. Как правило, в хакерских группировках большую часть денег получают не исполнители, а заказчики, которые могут вообще ничего не понимать в технике. Талант криминального организатора никак не связан со способностями к программированию.

Насколько, на ваш взгляд, за последние годы усложнилась работа хакеров и их стоимость?

— Сложность растет, а цена падает. Происходит насыщение рынка. И чем он больше, тем больше домашних заготовок — то, что уже наполовину сделано, остается только адаптировать под заказчика.

Значит, все больший круг компаний и лиц может заказать атаку на конкурента или что–то подобное?

— В общем, да, ценовой порог снижается. Насколько я слышал, в постоянном предложении появилась услуга — доступ к компьютеру, который находится в сети конкретной компании.

Я правильно понимаю, что тут как в случае с хорошим карманником: если до тебя захотят добраться, то доберутся, можно только усложнить эту задачу для мошенника?

— Я как раз сегодня читал доклад об этом: о проблеме, когда профессионалы в области IT думают, что от них никто не требует показывать хороший результат, достаточно сказать: "Я же старался" — и выполнить некую норму по отрасли. Тут есть много нюансов. Никто, пожалуй, не может на 100% предотвратить компрометацию своей сети. Если у тебя десятки тысяч компьютеров, ты не можешь гарантировать, что один из них не окажется под контролем злоумышленников. Но то, что при этом не украдут какую–то ценную информацию, — задача решаемая. Надо сначала определиться с понятием ценных активов — какая информация нуждается в дополнительной защите. Для компаний — разработчиков ПО, для нас в том числе, это в первую очередь все, что относится к безопасности продуктов.

Ну и самый лучший способ обезопасить данные — не хранить их вовсе. Это особенно относится к случаям, когда у компании есть продукты и сервисы, через которые может осуществляться доступ к системам данных клиентов.

Есть ожидания, что в кризис компании будут меньше вкладываться в IT–безопасность, а хакеры активизируются.

— С одной стороны, верно. С другой стороны, технические средства, которые покупают за иностранную валюту, подорожали. В тучные годы многие компании купили системы, которые не используются на 100%, рабочая сила сейчас довольно дешева — можно заставить работать то, что не работало раньше, и добиться больших результатов меньшими средствами.

Какой из последних методов похищения информации вас удивил?

— Не знаю, я, наверное, разучился удивляться.

Вам уже все известно?

— Когда я услышал о возможности внедрения вредоносного кода в железо жестких дисков, это не было для меня удивительным, потому что я такое видел.

Сто лет как было?

— Не то чтобы давно, но я незадолго до этого видел аналогичные технологии, которые в чуть более тепличных условиях демонстрировались исследователями. Совершенно никого не удивит, что спецслужбы, которые обладают большими ресурсами, достаточно давно это применяют на практике.

Сейчас в США набрал популярность сервис Snapchat, где сообщения и фото удаляются сразу после просмотра. Насколько высока вероятность, что эта идея получит распространение и будет использоваться в других сервисах типа соцсетей или почты?

— Идея интересная. Но понятно, что все в конечном счете зависит от доброй воли владельца конечного устройства, что он не сохранит где–то полученное сообщение.

Кстати, был большой скандал, когда выяснилось, что приложение SnapChat не удаляло полученные фотографии, а сохраняло их на телефоне, где они были скрыты от владельца, но могли быть легко восстановлены.

Работа в сфере IT–безопасности делает параноиком? Ощущаете, что вы знаете намного больше остальных?

— Не скажу, что я знаю намного больше, но почему–то эти "остальные", пока их Сноуден не потыкал носом, отказывались верить в очевидное.