Спецслужбы России и США одновременно принялись стращать граждан новомодной угрозой планетарного характера. По странному совпадению новая угроза возникла в канун бюджетных слушаний в законодательных органах обеих стран.
28 июня в Совете безопасности РФ состоялось всероссийское совещание — с участием ФСБ, МВД, ФАПСИ, администраций субъектов федерации. Это всероссийское совещание — первое мероприятие такого масштаба, прошедшее при новом главе СБ. И посвящено оно было точно тому же вопросу, по которому буквально несколькими днями раньше выступил в сенате конгресса США шеф ЦРУ, а Главное контрольно-финансовое управление (ГКФУ) конгресса США опубликовало пространный доклад.
И на всероссийском совещании, и в американском конгрессе речь шла о некоей принципиально новой напасти, угрожающей национальной и общечеловеческой безопасности. Спецслужбы США и России объявили о своей готовности вести против этой угрозы долгую, изнурительную борьбу.
Информационная война
Новую всемирную угрозу условно назовем — по аналогии со "звездными войнами" — так: "информационные войны".
Джон Дейч, директор ЦРУ:
Я не могу раскрыть детали: они засекречены. Однако у нас есть надежные данные о том, что некоторые страны развивают доктрины, стратегии и средства для проведения информационных атак. Международные террористические группы уже сейчас могут атаковать информационную инфраструктуру США, используя относительно простые методы. Я предвижу чрезвычайно крупные инциденты. Потенциальный ущерб от этой угрозы сравним с последствиями применения оружия массового поражения. Крупномасштабная компьютерная атака способна парализовать и даже уничтожить энергоснабжение, транспорт, связь, банки, бизнес и армию. Ведь деятельность всех этих отраслей сегодня основана на компьютерных сетях, подверженных хакерским взломам...
Андрей Курило, сотрудник аппарата Совета безопасности РФ:
Анализ имеющихся фактов свидетельствует о стремительном росте правонарушений, совершаемых с использованием средств информатизации в качестве орудия преступной деятельности... Положение с организацией противодействия компьютерной преступности в России можно охарактеризовать как критическое.
По оценкам ГКФУ конгресса США, сейчас "примерно 120 стран мира ведут работы или уже закончили отдельные разработки по развитию возможностей специального программно-математического воздействия на информационный ресурс противника". Правда, какие именно страны имеются в виду, в докладе ГКФУ не сообщается. Но в конгрессе США уже заговорили об угрозе "электронного Перл-Харбора" и решили создать при Агентстве национальной безопасности (АНБ) некий "центр по компьютерным атакам".
А в России (на упоминавшемся выше совещании, которое называлось "Проблемы борьбы с компьютерной преступностью") решили просить правительство о принятии и финансировании "Федеральной программы выявления и пресечения компьютерных преступлений". Так что при аппарате Совета безопасности должен вскоре появиться "Межведомственный координационный совет по борьбе с компьютерной преступностью"...
Но отчего же это вдруг по обе стороны океана одновременно случился переполох по далеко не новому поводу? Ведь о несанкционированном проникновении в компьютерные сети, так называемых взломах, начали говорить еще года три-четыре назад. Тогда же зазвучало на весь мир это грозное слово — хакер.
Гений и злодейство
За прошедшее с тех пор время усилиями журналистов и кинематографистов создан устойчивый стереотип хакера: компьютерный гений, вундеркинд с ноут-буком, способный за несколько минут, не выходя из квартиры или телефонной будки, взломать компьютерную защиту любой военной или коммерческой организации. См. голливудский боевик "Хакеры" или отечественную "Лимиту". Впрочем, образ этот восходит еще к "Интервенции"... Или вы не помните Медвежатника (Катина-Ярцева), который при помощи интеллекта и хирургического инструмента вскрывает в одесском банке приличный сейф?
------------------------------------------------------
Самые громкие хакерские скандалы двух последних лет
— Шестнадцатилетний британец Ричард Прайс, работая на компьютере в своей спальне, в течение семи месяцев копался в пентагоновской информации по исследованию баллистических ракет. Далее, "притворившись" компьютером из системы ВВС США, он забрался в южнокорейский центр по атомной энергии. Суд над Прайсом состоится 11 июля 1996 года.
— Другой англичанин, Мэтью Биван, 21-летний специалист по информационным технологиям, тоже долго путешествовал по пентагоновским сетям. Он вывел из строя на несколько дней одну из систем, а незадолго до ареста умудрился даже перехватить сообщения американских агентов из КНДР во время кризиса с инспектированием ядерных объектов. Судить его будут вместе с Прайсом.
— Хакер по кличке Ice Mc больше года терроризировал многие финансовые структуры в Италии. По данным полиции, он влезал в компьютеры крупных банков и стратегических объектов не только Италии, но и других европейских стран и США. Подозревают, что он побывал и в российских компьютерах. Злоумышленником оказался 17-летний студент Сиракузского университета. Имя его пока не разглашается.
— Неизвестный хакер проник в компьютерные системы штаб-квартиры НАСА и военно-воздушной базы Wright-Patterson в известном городе Дейтоне. В результате он получил доступ к исследовательскому проекту, связанному с управлением боевыми самолетами и тактикой воздушного боя. Если бы он испортил проект, военным пришлось бы потратить $4 млн для его восстановления. Обнаружить этого хакера пока так и не удалось.
— Американский хакер-рецидивист Кевин Митник еще в десятилетнем возрасте проник в школьную базу данных, а к 30 годам имел уже три "компьютерные" судимости, дважды сидел за решеткой (5 и 8 месяцев). Перед освобождением Митник присягнул не прикасаться больше к компьютеру, но вскоре вновь взялся за старое. На сей раз он получил 35 лет тюрьмы.
— Самый громкий случай последнего времени. Петербургский хакер Владимир Левин сумел проникнуть в компьютерную систему одного из крупнейших американских банков — Citibank — и похитить $400 тыс. (по другим данным — $2,8 млн). Похищенные доллары были переведены на счета нескольких компаний в Калифорнии и Израиле. Левин выехал в Англию, но вскоре был арестован.
--------------------------------------------------------
Обратим внимание: все истории про хакеров, периодически заполняющие первые полосы газет, повествуют главным образом о хулиганстве или воровстве относительно небольших денег. Но после таких историй уже не кажутся неправдоподобными приведенные выше заявления спецслужб о возможности для "некоторых государств" или террористических организаций привлечь хакеров для целенаправленной диверсии как против вероятного противника, так и против человечества в целом.
Один сотрудник российских спецслужб в беседе с корреспондентом Ъ прокомментировал ситуацию так: "Зачем же коллегам подставляться самим, когда всегда найдется 16-летний сопляк?"
Но вот никто почему-то публично не задается другим очевидным вопросом: а отчего объектами компьютерных атак и взломов становятся исключительно банки, телефонные компании, а прежде всего — военное ведомство? Почему ни один хакер ни разу не залез в компьютерную сеть, например, нефтяной корпорации? Или в системы управления крупными коммерческими проектами?
Попробуем ответить.
"Скажи пароль!" — "Пароль". — "Проходи".
Рассказы и кинофильмы о хакерских чудесах, как правило, не докучают читателю и зрителю сведениями о том, какие именно манипуляции совершает реальный компьютерный взломщик для проникновения в чужую сеть. Как-то само собою ясно, что хакер (часто еще школьник) располагает интеллектуальным аппаратом, который и представить себе невозможно. В смысле кино, ход совершенно правильный: на хилого сверхумника, способного обмануть компьютерный центр ЦРУ, зрителю смотреть так же приятно, как и на суперагента, в одиночку раскидывающего все спецслужбы тоталитарного государства. Подробности здесь неуместны. Иногда, правда, сообщают вскользь, что якобы хакер "подобрал пароль". Однако столь прозаическое разъяснение резко снижает романтический потенциал хакерского образа.
И потому уже почти негде читателю и зрителю узнать о том, что сегодня подобрать пароль к хорошо защищенной системе абсолютно невозможно. Если компьютерная сеть защищена в соответствии с американским стандартом DES или российским ГОСТом, то на подбор пароля при помощи домашнего компьютера понадобится около одного миллиарда лет. А то и чуть побольше.
Даже если делать это при помощи самого производительного из существующих на планете в единичных экземплярах суперкомпьютера, то уйдет на это никак не меньше 50 лет — именно такова гарантированная стойкость современной системы защиты. Поэтому в нормально защищенные компьютерные сети, каковыми являются системы автоматизации в крупных международных коммерческих компаниях, ни один хакер еще не проник.
Возможен же подбор пароля в принципе только тогда, когда система защищена слабо. В частности, когда она позволяет использовать в качестве пароля имена собственные, годы рождения, просто одну-две буквы. Но, как ни странно, именно такого уровня системы установлены практически во всех американских банках, работающих, как говорят в России, "с населением".
Впрочем, не так уж это и странно.
Не более странно, чем поражавший некогда советских путешественников в "загранке" свободный доступ к неохраняемым прилавкам. Ведь чем сильнее защита, тем сложнее пользоваться системой, а клиент не любит сложностей. Поэтому банки вполне сознательно допускают возможность компьютерного воровства, компенсируя ее привлекательностью простоты обращения с системой. Работает ровно тот же расчет, что и в розничной торговле: можно убрать товар с открытых прилавков, и тогда воровство сократится. Но сократится и количество покупателей, а это давно просчитано: ущерб от магазинных воришек на Западе значительно меньше, чем ущерб от оттока покупателей, любящих выбирать товар собственными руками.
Банкиры тоже умеют считать и потому не используют слишком сложные системы защиты. Ведь на самом деле совокупный ущерб от хакерских проникновений в банки не так уж велик: много украсть такими методами все равно невозможно.
И еще один резон: серьезная защита информации — дело недешевое, а противоугонное устройство все-таки не должно стоить дороже автомобиля.
В сетях же военных ведомств другие уязвимые места. Дело в том, что серьезная защита информации всегда сопряжена с некоторой опасностью. Она в том, что при утрате секретного ключа информация может быть потеряна навсегда: расшифровать ее уже не удастся. Поэтому разработчики военных систем часто предусматривают в них потайные дырки — какие-то заветные комбинации действий, позволяющие в случае чего войти в систему без пароля. Именно этим путем чаще всего и лезут хакеры.
Впрочем, дырки оставляются разработчиками обычно не в шибко секретных военных системах, а в тех, которые связаны с деятельностью большого количества гражданских лиц. А если даже некий файл имеет внутри себя надпись "особо секретно", то это зачастую — художественное преувеличение. В 95-м комиссия американского конгресса специально проанализировала ситуацию. Оказалось, что над 5 официальными грифами секретности коммерческие компании, работающие на военные заказы, нарастили еще 280 грифов своих, самостийных. Ведь чем секретнее выглядит заказ, тем дороже тянет его исполнение. И вот теперь, бывает, сопрет юный хакер файл с грозным грифом — и пошла гулять легенда: взломана особо секретная сеть.
Шум на весь мир.
Но умалчивается еще об одном обстоятельстве: практически всегда причиной взлома становится элементарная халатность или сребролюбие. Источник в одной из самых специальных спецслужб России выразился в беседе с корреспондентом Ъ категорично: "Все громкие хакерские случаи, толкуемые как дешифровка информации, на самом деле — агентурно-оперативное проникновение. Даже у прославленного хакера Левина на самом деле был сговор с соисполнителем, работавшим в пострадавшей организации".
Словом, хакеры самостоятельно обычно не подбирают пароль и не ищут дырки в чужих программах. Они попросту вызнают необходимую для взлома информацию. Подглядывают, подслушивают, выведывают... Причем делают это часто даже не с помощью компьютера, а напрямую.
Короче, совершают действия, плохо совместимые с образом интеллектуального медвежатника, вооруженного электронными аналогами фомки, отмычки и сварочного аппарата.
Так что хакер, несмотря на все сопутствующие описанию его деятельности метафоры ("взлом", "налет", "ограбление"...), в сущности, скорее не медвежатник, а просто карманный воришка. Как Костя-Кирпич из фильма "Место встречи изменить нельзя".
Впрочем, известно, что карманные воры почитаются в уголовном мире довольно высоко. Ведь щипачом-специалистом может стать далеко не всякий, для этого требуется множество незаурядных качеств и талантов: знание человеческой натуры, наблюдательность, умение выжидать... И ловкость рук, конечно.
Бюджетный профицит
Есть, однако, еще одна причина, по которой военные так боятся компьютерных взломов и так громко кричат о своей уязвимости (что защитникам отечества, вообще-то говоря, не очень к лицу). И именно этой причиной объясняется, как нам представляется, новая волна шпиономании (точнее, хакеромании) — как в России, так и в США.
Причина предельно проста: обеим странам предстоит принятие нового бюджета. Сколько в нем будет выделено силовым ведомствам, зависит, в частности, и от того, насколько громко они заявят о своей необходимости на современном этапе.
И в этом смысле раздувание опасности "информационных войн" — беспроигрышный ход. Особенно для Соединенных Штатов, где под обычные вооружения конгресс денег давать уже давно не хочет. А тут — точный удар по самой слабой части американского оборонного менталитета: они ведь привыкли к своей недоступности на отдельном континенте — даже ракеты туда не сразу долетят, можно успеть перехватить. И вдруг — угроза мгновенного удара, причем из любой точки земного шара! Сильный аргумент, что и говорить.
Но в Штатах уже давно подмечено: если начались разговоры о советской, ближневосточной или другой какой угрозе, это к очередным бюджетным слушаниям.
РУДОЛЬФ КАГАЛАЕВ
Место военной угрозы заняла ныне угроза компьютерная
Хакеры — не взломщики, а карманники
Волна шпиономании накатывает обычно в канун бюджетных слушаний