Компьютерра, 2006 № 47-48 (667-668) - [19]
Самая распространенная точка зрения, явно доминирующая в государственных, промышленных и бизнес-кругах, сводится к тому, что информационная безопасность - это комплекс технических мероприятий, планомерно улучшая которые можно повышать степень защиты. Иначе говоря, создавая лучшие модели контроля доступа, совершенствуя криптографические протоколы, оттачивая методы выявления проникновений и защиты от вредоносных кодов, разрабатывая более и более мощные инструменты для оценки систем - можно и должно решить очевидные проблемы с безопасностью в сегодняшних компьютерных сетях вообще и в критических инфраструктурах в частности.
Однако есть и в корне иная точка зрения, которой придерживаются главным образом независимые исследователипрофессионалы. Среди них достаточно известных и весьма авторитетных специалистов с опытом работы в большой индустрии и государственных службах, благодаря чему и эту позицию иногда удается доводить до сведения властей и средств массовой информации. Но в целом альтернативный взгляд на инфобезопасность пока что известен общественности очень плохо. А потому стоит рассказать именно о нем.
В сентябре 2003 года под эгидой CCIA, всеамериканской Ассоциации компьютерной и коммуникационной индустрии, был опубликован 24-страничный аналитический документ под названием «КиберНебезопасность - цена монополии».
В этой работе семь известных экспертов по защите информации (Дэн Гир, Питер Гутман, Чарльз Пфлигер, Брюс Шнайер и др.) дали развернутое обоснование идее,согласно которой абсолютное доминирование в компьютерах программного обеспечения Microsoft (92-95%) привело к образованию, по сути дела, «софтверной монокультуры», что является очевидной угрозой для национальной безопасности.
Термин «монокультура» обычно применяется биологами для описания систем с очень низким уровнем генетического разнообразия и, как естественное следствие, с большой степенью риска подверженных опасностям вымирания. В частности, монокультура стала бичом сельского хозяйства, где ради максимальных урожаев с единицы площади нередко засаживают все одной, самой плодовитой и выгодной культурой, а появление неизвестного прежде паразита-вредителя превращается во всеобщую катастрофу. Как это было, например, со знаменитым картофельным голодом в Ирландии XIX века, вызванным гибелью урожаев из-за грибкового паразита фитофторы, или с массовым уничтожением виноградников в Европе из-за нашествия тли филлоксеры, вызвавшей чуть ли не разруху в индустрии виноделия.
Дэн Гир, технический директор известной «хакерской» фирмы @stake и главный соавтор отчета «КиберНебезопасность», в свое время защитил в Гарварде диссертацию по биостатистике. Именно он и углядел характерные признаки монокультуры в ситуации, сложившейся в компьютерносетевой сфере из-за тотально утвердившейся на рабочих станциях и серверах операционной системы Microsoft Windows.
К тому времени по Интернету уже прокатились несколько массовых эпидемий, вызванных вирусами-червями вроде Slammer и Blaster, а внушительные масштабы заражения были в первую очередь обусловлены редкостным единообразием программного обеспечения. Как в биологии, так и в компьютерных сетях представляется неоспоримым, что в условиях большего «генетического разнообразия» систем реакция на любые вирусные атаки будет более гибкой и жизнестойкой.
Нет никакого сомнения, что это прекрасно понимают и в Microsoft. Однако для бизнеса корпорации модель монокультуры обеспечивает наибольшую прибыль, а потому и в текущих разработках ПО делается все возможное для сохранения и закрепления статус-кво. Авторы отчета, доказывая, что всякая инфраструктура может считаться безопасной лишь при условии, когда на одну «культуру» приходится не более 50% общей массы, и одновременно понимая, что по собственной воле Microsoft вряд ли когда-нибудь озаботится всеобщим благом, решили обратиться с призывом к органам власти. В сложившихся условиях, уверены авторы, государство и общество должны настоять, чтобы корпорация Microsoft сделала по крайней мере три шага к созданию более разнообразного и безопасного киберпространства:
1) Открыто опубликовала спецификации интерфейсов ко всем основным функциональным компонентам своего ПО, как MS Windows, так и MS Office.
2) Поощряла разработку альтернативных источников функциональности платформы - взяв за образец крайне успешную технологию «plug and play» для аппаратных компонентов. 3) Совместно с широким консорциумом поставщиков «железа» и ПО разрабатывала открытые спецификации и интерфейсы на будущее, подобно тому, как в интернет-сообществе создаются новые протоколы для Сети…
Каковы же основные итоги этой интересной публикации? Лично для главного автора Дэна Гира все закончилось немедленным - в ту же неделю - увольнением с высокого поста в @stake, поскольку головным бизнес-партнером фирмы была корпорация Microsoft. Государственные структуры США в открытую не прореагировали на «КиберНебезопасность» практически никак. Но втихую Национальный научный фонд вскоре выделил многомиллионный грант исследовательскому центру CyLab при Университете Карнеги-Меллона - на изучение проблем инфобезопасности в условиях софтверной монокультуры. Грубо говоря, перед CyLab поставили задачу по поиску своего рода презервативов для «безопасного секса» между компьютерами в условиях общей для всех программно-операционной платформы. Судя по всему, сколь-нибудь заметных успехов на этом поприще достичь пока не удалось.
