Последний отзыв
Очень интересная!
По всем вопросам обращайтесь на: info@litportal.ru
(©) 2003-2024.
✖
Криптография. Как защитить свои данные в цифровом пространстве
Настройки чтения
Размер шрифта
Высота строк
Поля
Криптография. Как защитить свои данные в цифровом пространстве
Кит Мартин
БукТех. Книги про технологии
Криптография – ключ к цифровой безопасности. Имея базовое представление о ней, вы сможете не только защитить свои данные от угроз, кроющихся в киберпространстве, но и лучше понять природу интернет-технологий, все глубже внедряющихся в нашу повседневную жизнь. Каковы потенциальные последствия подключения к незащищенной сети Wi-Fi? Так ли уж важно иметь разные пароли для разных учетных записей? Если вы видите, что у веб-сайта нет действительного сертификата, стоит ли продолжать с ним работу? Ответы на эти и другие вопросы вы найдете внутри.
В формате PDF A4 сохранен издательский макет книги.
Кит Мартин
Криптография. Как защитить свои данные в цифровом пространстве
Keith Martin
Cryprography: The Key to Digital Security, How It Works, and Why It Matters
© 2020 by Keith Martin
© Райтман М. А., перевод на русский язык, 2022
© Оформление. ООО «Издательство «Эксмо», 2023
* * *
Посвящается Фреду: криптографу, визионеру, наставнику
Введение
Ею пользовался Юлий Цезарь. Ее пыталась применять Мария Стюарт, но не справилась и лишилась головы. Наполеон ею злоупотреблял, и это стоило ему империи. На нее полагались все стороны Второй мировой, и многие считают, что именно превосходство союзников в ее применении позволило войну наконец закончить. На протяжении всей холодной войны без нее не могли обойтись шпионы и разведчики, более того, и сейчас не могут. Но кое-кто использует ее намного чаще и для неизмеримо более широкого круга задач. Кое-кто полагается на нее при решении значительной, если не большей части своих повседневных задач. Этот человек – вы. А этот незаменимый инструмент – криптография.
Именно криптография обеспечивает безопасность множества обычных дел, которые лишь на первый взгляд не нуждаются в защите. Вы обращаетесь к ней, когда звоните по мобильному, снимаете наличные в банкомате, подключаетесь к сети Wi-Fi, входите в систему компьютера, ищете информацию в Google и смотрите фильмы в Netflix. Криптография помогает защитить более миллиарда устройств Apple[1 - Дэми Ли, «Apple Says There Are 1.4 Billion Active Apple Devices», Verge, 29 января 2019 года, https://www.theverge.com/2019/1/29/18202736/apple-devices-ios-earnings-q1–2019.], более 7 миллиардов банковских карт[2 - По состоянию на апрель 2018 года в мире существовало 7,1 миллиарда глобальных банковских карт EMV (Europay, Mastercard и Visa) с чипом и PIN-кодом: «EMVCo Reports over Half of Cards Issued Globally Are EMV® Enabled», EMVCo, 19 апреля 2018 года, https://www.emvco.com/wp-content/uploads/2018/04/Global-Circulation-Figures_FINAL.pdf.] и 55 миллиардов ежедневных сообщений WhatsApp[3 - Это цифры, которые компания WhatsApp опубликовала в середине 2017 года, но даже если они немного преувеличены, они, скорее всего, правильно отражают масштаб: WhatsApp, «Connecting One Billion Users Every Day», Блог WhatsApp, 26 июля 2017 года, https://blog.whatsapp.com/connecting-one-billion-users-every-day.]. Цифровая валюта Bitcoin и сопутствующий блокчейн тоже опираются на криптографию.
Собственно говоря, криптография ответственна за защиту более трех четвертей всех глобальных соединений в Интернете[4 - По сообщениям компании Mozilla, в 2018 году доля веб-страниц, загруженных браузерами Firefox по https (с шифрованием), достигла отметки в 75 процентов: Let’s Encrypt Stats, Let’s Encrypt, по состоянию на 10 июня 2019 года, https://letsencrypt.org/stats.]. Известно ли вам, что при подключении к безопасному веб-сайту ваш браузер использует криптографические инструменты, без которых не произошла бы компьютерная революция, создавшая Интернет в его нынешнем виде? Знали ли вы, что каждый раз, когда вы открываете дверь автомобиля, ваш ключ делает то, на что не способен ни один злоумышленник с доступом к самому мощному суперкомпьютеру в мире? Можете ли вы представить, что сообщения с вашего телефона зашифрованы так хорошо, что это может всерьез обеспокоить некоторые разведслужбы?
В сущности, криптография – это одно из практических применений математики. Но сложно назвать хотя бы еще одну область, где математика применялась бы в таких масштабах и была бы настолько важной. Ей редко уделяют внимание в популярных фильмах, но с криптографией все иначе: вспомните Энигму, 007: Координаты «Скайфолл» и Тихушников[5 - Энигма (режиссер Майкл Эптед, Jagged Films, 2001) – художественный фильм о криптографах, работавших в Блетчли-парке, Англия, во время Второй мировой войны, и их попытках расшифровать переговоры, закодированные нацистскими машинами Энигма. В фильме 007: Координаты «Скайфолл» (режиссер Сэм Мендес, Columbia Pictures, 2012) Джеймс Бонд и его квартирмейстер, Q, занимаются впечатляющим (и несколько неправдоподобным) анализом зашифрованных данных. Фильм Тихушники (режиссер Фил Алден Робинсон, Universal Studios, 1992), пожалуй, опередил свое время; в нем два студента занимаются взломом компьютерных сетей и оказываются вовлечены в сбор разведданных с использованием устройств, способных взламывать криптографию.]; или сериалы C.S.I.: Киберпространство и Призраки[6 - C.S.I.: Киберпространство (Jerry Bruckheimer Television, 2015–16) – американский драматический сериал об агентах ФБР, расследующих киберпреступления. В нем изображены довольно необычные криптографические методики, включая хранение ключей шифрования в виде татуировок. Призраки (Kudos, 2002–11) или MI-5 – британский телесериал о вымышленных сотрудниках спецслужб. В нескольких сериях агенты имеют дело с зашифрованными данными, демонстрируя необычайный талант к преодолению шифрования прямо на лету!]; или такие бестселлеры как Цифровая крепость Дэна Брауна[7 - Дэн Браун использовал криптографию в нескольких своих книгах, особенно в романе Цифровая крепость (St. Martin’s Press, 1998), посвященном компьютеру, способному взломать любой известный метод шифрования. Интересно, что в самом известном романе Брауна, Код да Винчи (Doubleday, 2003), одним из персонажей выступает криптограф, хотя криптографии как таковой там нет.].
К тому же математика обычно не решает исход войн и не нервирует мировых лидеров.
Криптография предоставляет набор инструментов для защиты информации. Их можно применять к информации, представленной физическим образом, такой как слова, написанные на бумаге, но ее огромная роль в современной жизни объясняется в основном нашей растущей зависимостью от цифровых данных. Криптография позволяет держать конфиденциальную информацию действительно в тайне. С ее помощью можно обнаружить случайное или умышленное изменение информации. Она дает возможность определить, с кем мы общаемся. На самом деле это практически единственное доступное средство для обеспечения цифровой безопасности.
Криптография подобна антибиотикам: их тоже можно принимать всю жизнь, ничего в них не понимая. Однако существуют целых две причины разобраться в том, как они работают. Во-первых, это поможет понять, как устроено человеческое здоровье, и когда антибиотики принимать стоит, а когда нет: такое знание будет полезно как вам самим, так и окружающим. Во-вторых, потребление антибиотиков каждым отдельным индивидом складывается в важные последствия для общества в целом: чрезмерное использование и появление супербактерий.
Точно так же можно всю жизнь применять криптографию, даже не подозревая о ее существовании. Однако я убежден, что даже немного знаний в этой области могут принести огромную пользу. Прежде всего мне хотелось бы открыть вам глаза на ту огромную роль, которую криптография играет в поддержке вашего образа жизни. Мне кажется, что понимание того, зачем нужна криптография и как она работает, позволит вам увереннее ориентироваться в вопросах цифровой безопасности. Кроме того, применение криптографии затрагивает и более широкие социальные вопросы баланса личной свободы и контроля за информацией, и их я тоже собираюсь исследовать в этой книге.
Киберпространство
Я не стану предпринимать никаких серьезных попыток дать определение киберпространству[8 - Мой коллега Роберт Каролайна считает, что киберпространство – это не место, а средство взаимодействия. Он приводит сравнение между киберпространством и термином televisionland, с помощью которого на заре телевидения описывали абстрактную связь между людьми и новой технологией. В наши дни приветствие «Доброе утро всем в телевиделяндии!» (фраза, с которой экипаж Аполлон-7 начал свое первое радиообращение из космоса в 1968 году); Каролайна ожидает, что идея нахождения «в киберпространстве» точно так же в конечном счете выйдет из употребления. Я склонен с ним согласиться.]. В контексте нашей книги киберпространство – это все, что вы таковым считаете. Иными словами, все множество «электронных вещей[9 - Киберпространство – это концепция, которой чрезвычайно сложно дать четкое определение. Принято считать, что впервые этот термин использовал писатель Уильям Гибсон, однако современные определения обычно основаны на абстрактном описании компьютерных сетей и данных, которые в них находятся. В своем выступлении на Crypto Wars 2.0 (третий межуниверситетский семинар по кибербезопасности, Оксфордский университет, май 2017 года) доктор Киан Мерфи (Бристольский университет) предложила более краткое определение: «Мне не нравится слово киберпространство, я предпочитаю называть это электронными вещами».]».
Киберпространство состоит из компьютеров, взаимодействующих через сеть, иначе говоря – из устройств, которые можно с уверенностью назвать вычислительными. Это не только стационарные ПК, моноблоки и ноутбуки, но и такие гаджеты, как мобильные телефоны, игровые приставки, и даже голосовые помощники. Эти последние принято считать устройствами с доступом к Интернету, но компьютерами их признают редко. Помимо них киберпространство состоит из миллионов устройств, с которыми мы взаимодействуем напрямую (включая платежные терминалы, банкоматы и системы паспортного контроля), и других, скрытых от нас, например компьютерных систем бизнеса, обороны и промышленного управления.
Наверное, самым важным и до некоторой степени тревожным можно назвать тот факт, что многие устройства, которые даже не принято считать цифровыми, не говоря уже об отнесении их к компьютерам, стремительно расширяют свое присутствие в киберпространстве: автомобили, бытовая техника, «умные дома». Сети, объединяющие их, могут быть проводными и беспроводными, коротковолнового и длинноволнового диапазона, полностью открытыми или выделенными для определенных задач, таких как телекоммуникации. Самой важной из этих сетей, безусловно, является Интернет.
Конечно, между киберпространством и реальным миром нет четкой границы, их элементы взаимодействуют все активнее с каждым днем. Все сложнее найти человека, который не пользуется Интернетом[10 - Согласно Internet World Stats (Miniwatts Marketing Group), по состоянию на 14 июля 2019 года, https://www.internetworldstats.com/stats.htm, чуть более половины населения мира уже в Интернете.], компанию, которая не представлена онлайн, или технологии, никак не связанные с киберпространством. И при этом большая часть происходящего в киберпространстве – результат нажатия кнопок на физических устройствах, запускающих программы на компьютерах, которые можно пощупать.
Ваша безопасность в киберпространстве
Задумайтесь на секунду, насколько сильно вы зависите от киберпространства. Вспомните, как вы общаетесь с друзьями, где читаете и смотрите новости и как выбираете, где провести следующий отпуск. Как ведете финансы и делаете покупки. Не забывайте о музыке, фильмах, фотоальбомах. Я уже упоминал об автомобиле? Он открывает двери по нажатию кнопки, всегда знает, где находится, отчитывается производителю о неполадках и понемногу учится ездить самостоятельно. И это лишь верхушка айсберга. Каждый день вы полагаетесь на множество незаметных вещей, которые просто работают. Самолеты летают, электричество питает устройства, сигнал светофора меняет цвет. В наши дни киберпространство повсюду.
Вместе с киберпространством в нашу жизнь потихоньку проникают и киберпреступники. Сеть – это чудесное место для совершения преступлений. Не ограниченные расстоянием, злоумышленники в любой точке мира находят возможность совершить налет на ваш дом. Это идеальное место для того, чтобы пускать пыль в глаза: подросток, сидя в своей комнате, может притвориться представителем вашего банка или сымитировать веб-сайт торгового центра. В новостях постоянно мелькает что-то о нарушении безопасности посредством компьютеров – и это лишь то, что на слуху.
Точные цифры установить крайне сложно, но, если верить компании кибербезопасности Norton, в 2017 году в мире было 978 миллионов жертв киберпреступлений (и в общей сложности 172 миллиарда долларов ущерба[11 - «2017 Norton Cyber Security Insights Report Global Results», Norton by Symantec, 2018, https://www.symantec.com/content/dam/symantec/docs/about/2017-ncsir-global-results-en.pdf.]). Компания профессиональных услуг PwC утверждает, что в 2016 и 2017 годах[12 - Почти каждая вторая организация утверждает, что она была жертвой мошенничества и экономических преступлений, 31 % из этих случаев относится к киберпреступности: «Pulling Fraud Out of the Shadows: Global Economic Crime and Fraud Survey 2018», PwC, 2018, https://www.pwc.com/gx/en/services/advisory/forensics/economic-crime-survey.html.] 31 % случаев корпоративного мошенничества приходился на киберпреступления. А исследования Cybersecurity Ventures говорят о 6 триллионах долларов, в которые киберпреступность обошлась глобальной экономике в 2021 году[13 - Это внушительная оценка того, что нельзя измерить. Но она отражает идею о том, что в связи с нашей повышенной активностью в киберпространстве возрастает вероятность того, нас там кто-то обманет. Эти конкретные цифры взяты из отчета по киберпреступности за 2017 год, Cybersecurity Ventures, https://cybersecurityventures.com/2015-wp/wp-content/uploads/2017/10/2017-Cybercrime-Report.pdf.]. Киберпространство по большей части не попадает в наше поле зрения, и мы, как правило, о нем просто не думаем. Это могут подтвердить иранские ученые на заводе по обогащению урана в Нетензе, чьи центрифуги в 2010 году[14 - Компьютерное вредоносное ПО Stuxnet использовалось для атаки на завод по обогащению урана в Нетензе, Иран, в котором в начале 2010 года начали замечать неполадки. Это, пожалуй, первый общеизвестный пример того, как важный индустриальный объект стал жертвой атаки из киберпространства. Это не только усилило напряжение вокруг данного инцидента в сфере международной политики и ядерной безопасности, но и послужило напоминанием всему миру о том, что критически важная национальная инфраструктура все чаще подключена к киберпространству. Атака на Нетенз проводилась не напрямую через Интернет, а, как считается, была инициирована с помощью зараженных USB-накопителей. О Stuxnet и Нетензе много всего написано – например, см. Countdown to Zero Day: Stuxnet, and the Launch of the World’s First Digital Weapon, Ким Зиттер (Broadway, 2015).] начали загадочным образом ломаться, или руководители Sony Pictures, невольно ставшие в 2014 году звездами собственного фильма ужасов, когда их корпоративная переписка, доходы и еще не вышедшее кино оказались достоянием всей сети[15 - В ноябре 2014 года компания Sony Pictures Studios подверглась целому ряду кибератак, которые привели к раскрытию конфиденциальных сведений о ее сотрудниках и удалению данных. Злоумышленники требовали от Sony остановить выход нового комедийного фильма о Северной Корее. Например, см. статью Андреа Питерсон «The Sony Pictures Hack, Explained» в Washington Post от 18 декабря 2014 года, https://www.washingtonpost.com/news/the-switch/wp/2014/12/18/the-sony-pictures-hack-explained/?utm_term=.b25b19d65b8d.].
Мы существа из плоти и крови, эволюционировавшие в реальном мире, и мы неплохо ориентируемся в физических средствах безопасности вроде дверей с замками, паспортного контроля, подписанных и заверенных документов и т. п. Но нам с очевидностью не хватает той же степени понимания кибербезопасности. Этому, конечно, способствует виртуальная природа киберпространства, но я подозреваю, что основная причина – отсутствие хотя бы элементарного понимания, что такое эта самая безопасность в киберпространстве. Мы оставляем открытыми настежь парадные двери, передаем незнакомцам реквизиты банковских счетов и высекаем интимные записки на цифровой скрижали, с которой их уже не стереть. Я покажу вам, как криптография пытается решить саму суть этой проблемы и дает возможность принимать взвешенные решения о том, как защитить себя и свои данные.
Понимание основ криптографии поможет вам оценить важность технологий безопасности, которыми вы пользуетесь ежедневно. Пароли применяются повсюду, но и недостатков у них множество. Кстати, знаете ли вы, что ваш онлайн-банкинг, скорее всего, защищен «идеальным» криптографическим паролем? Криптография в конечном счете полагается на секретные элементы, известные как ключи. Я попытаюсь повысить вашу осведомленность о важности этих ключей для вашей цифровой безопасности, и советую вам относиться к ним так же бережно, как и к физическим ключам, а в идеале еще бережней, так как зачастую в киберпространстве ваш ключ – единственное, что отличает вас от остальных 4,5 миллиарда пользователей Интернета. Не правда ли, крайне важно иметь о них какое-то представление и знать, где они хранятся?
Информированность о криптографии также поможет вам адекватно реагировать на проблемы кибербезопасности, с которыми вы сталкиваетесь. Каковы потенциальные последствия подключения к незащищенной сети Wi-Fi? Так уж ли важны разные пароли для разных учетных записей? Стоит ли продолжать работу с веб-сайтом, у которого нет действительного сертификата? И что насчет всех этих новых историй о кибербезопасности? В 2017 году широко распространилась новость о том, что сети Wi-Fi, использовавшие определенный протокол шифрования, оказались небезопасными[16 - Широко освещавшиеся атаки с переустановкой ключей были направлены на протокол безопасности WPA2, который использовался для криптографической защиты сетей Wi-Fi: Мэти Ванхоф, «Key Reinstallation AttacksWPA2 by Forcing Nonce Reuse», последнее обновление в октябре 2018 года, https://www.krackattacks.com.], и что криптографическое оборудование от Infineon было легко взломать[17 - Атака ROCA использует уязвимость в криптографической программной библиотеке для генерации ключей RSA, которые использовались в смарт-картах, токенах безопасности и других защищенных чипах производства Infineon Technologies. В результате появлялась возможность восстановить закрытые ключи для расшифровки: см. отчет Петра Свенды, «ROCA: Vulnerable RSA Generation (CVE15361)», опубликованный 16 октября 2017 года, https://crocs.fi.muni.cz/public/papers/rsa_ccs17.]. 2018 год начался с новости о дефектных чипах многих устройств Apple[18 - Эксплойты Meltdown и Spectre использовали слабые места в широко распространенных компьютерных чипах. В январе 2018 года стало известно, что они затрагивают миллиарды устройств по всему миру, включая модели iPad, iPhone и Mac: «Meltdown and Spectre: All Macs, iPhones and iPads affected», BBC, 5 января 2018 года, http://www.bbc.co.uk/news/technology-42575033.]. Пора ли паниковать? Принимать ли меры самостоятельно, или об этом позаботится кто-то другой? Следует ли быть в восторге от блокчейна? Или, может, пора волноваться о квантовых компьютерах?
Элементарные знания по криптографии также помогут вам решить, как обращаться с нынешними и будущими технологиями. Безопасно ли передавать персональную информацию тому или иному приложению? Правда ли вы рискуете потерять все деньги, переводя их в Bitcoin? На что по теме безопасности нужно обращать внимание, выбирая новый телефон?
И это касается не только вас; это общая проблема. Конечно, если вы забудете закрыть дверь и сейф, и вор похитит ваши бриллианты, это будет ваша потеря, а не моя. Но с кибербезопасностью все иначе. Если вы неосторожно щелкнете по подозрительной ссылке на видео с пляшущей овцой, ваш компьютер может легко стать частью глобальной преступной сети и атаковать одно из моих устройств. Так что все мы заинтересованы в том, чтобы вы могли защитить себя в киберпространстве. Если повезет, то каждый читатель, который приобретет немного базовых знаний по криптографии, подарит нам всем капельку безопасности.
Социальная дилемма
Криптография – неотъемлемая часть нашей повседневной жизни, без которой мы уже довольно давно не можем обходиться. Тем не менее в каком-то смысле ее можно назвать хлопотной и даже опасной. Она работает настолько хорошо, что порождает в обществе социальную дилемму.
В мае 2017 года сетевые администраторы сорока британских больниц оказались в кризисной ситуации. Компьютерные системы, отвечавшие за рутинные операции, вышли из строя, и причиной тому была криптография. Злоумышленники взломали их с помощью криптографических возможностей программы WannaCry и перекрыли доступ ко всем данным. За возвращение систем в нормальное состояние, разумеется, потребовали выкуп. Криптография надежно защищает нас в киберпространстве, но это был один из случаев, когда она, напротив, привела к серьезным проблемам[19 - Кибератака WannaCry навредила многим старым компьютерам в Национальной службе здравоохранения Великобритании (и не только). В ходе нее устанавливался вирус-вымогатель, который шифровал диски зараженных устройств и затем вымогал выкуп взамен на расшифровку данных, которые стали недоступными. Позже Национальное аудиторское управление опубликовало детали расследования этого происшествия и предложило несколько способов, как его можно было бы избежать: Амьяс Морс, «Investigation: WannaCry Cyber Attack and the NHS», Национальное аудиторское управление, 25 апреля 2018 года, https://www.nao.org.uk/report/investigation-wannacry-cyber-attack-and-the-nhs.].
Как ни досадно, криптография не делает разницы между вашими данными и, к примеру, переговорами преступников, планами террористических группировок и распространением детской порнографии. Неудивительно, что службы безопасности некоторых стран высказывают озабоченность ее повсеместным применением. Особенно этим известен бывший директор ФБР Джеймс Коми, регулярно сетовавший на то, что криптография препятствует сбору разведданных[20 - Коми стал своего рода легендой в кругах специалистов по кибербезопасности за высказывания относительно его обеспокоенности о том, что использование криптографии мешает органам правопорядка. Например, в сентябре 2014 года он, как сообщается, выразил озабоченность усилением средств шифрования на различных мобильных устройствах: Райан Рейли, «FBI Director James Comey ‘Very Concerned’ about New Apple, Google Privacy Features», Huffington Post, 26 сентября 2014 года, http://www.huffingtonpost.co.uk/entry/james-comey-apple-encryption_n_5882874. В своем заявлении в мае 2015 года Коми по сообщениям журналистов был огорчен еще сильнее: Лорензо Франчески-Биккераи, «Encryption Is ‘Depressing,’ the FBI Says», Vice Motherboard, 25 мая 2015 года, https://motherboard.vice.com/en_us/article/qkv577/encryption-is-depressing-the-fbi-says.]. А в 2013 году бывший контрактник Агентства национальной безопасности США Эдвард Сноуден пожертвовал карьерой и свободой, предав огласке механизмы, с помощью которых АНБ пыталось обойти повседневное использование шифрования[21 - Нравится вам Сноуден или нет, опубликованная им информация имела далеко идущие последствия, и я подробно поговорю о ней позже, когда речь пойдет о дилемме, возникшей из-за применения криптографии.].
На криптографию порой возлагают и вину за серьезные нарушения безопасности в реальном мире. По крайней мере частично. После теракта в Париже в 2015 году британский премьер-министр Дэвид Кэмерон публично задавался вопросом: «Хотим ли мы позволить в нашей стране средства коммуникации, которые не можем контролировать?»[22 - Вот что ответил Кэмерон на свой собственный вопрос: «Нет, мы не должны». Это замечание было воспринято многими как предложение запретить технологии шифрования: Джеймс Болл, «Cameron Wants to Ban Encryption – He Can Say Goodbye to Digital Britain», Guardian, 13 января 2015 года, https://www.theguardian.com/commentisfree/2015/jan/13/cameron-ban-encryption-digital-britain-online-shopping-banking-messaging-terror.]. В июне 2017 года австралийский Генеральный прокурор Джордж Брэндис заявил, что Австралия возглавит международные переговоры о роли промышленности в «борьбе с шифрованным обменом сообщениями между террористами»[23 - Брэндис сделал это заявление перед совещанием разведывательного альянса Пять глаз: Крис Дакетт, «Australia Will Lead Five Eyes Discussions to ‘Thwart’ Terrorist Encryption: Brandis», ZDNet, 26 июня 2017 года, https://www.zdnet.com/article/australia-will-lead-five-eyes-discussions-to-thwart-terrorist-encryption-brandis.]. Примерно в то же время немецкий министр внутренних дел Томас де Мезьер сообщил о подготовке закона, позволяющего государственным органам читать шифрованные частные сообщения, аргументировав это тем, что государство «не может допустить существование пространства, фактически стоящего вне закона»[24 - Кирен Маккарти, «Look Who’s Joined the Anti-encryption Posse: Germany, Come On Down», Register, 15 июня 2017 года, https://www.theregister.co.uk/2017/06/15/germany_joins_antiencryption_posse.]. А в мае 2018 года Генеральный прокурор США Джефф Сешнс высказался о том, что «с распространением шифрования и „уходом в тень“ необходимо что-то делать»[25 - «Attorney General Sessions Delivers Remarks to the Association of State Criminal Investigative Agencies 2018 Spring Conference», Министерство юстиции США, 7 мая 2018 года, https://www.justice.gov/opa/speech/attorney-general-sessions-delivers-remarks-association-state-criminal-investigative.].
Все эти политические высказывания, в сущности, сводятся к требованию снизить эффективность криптографии. Однако верховный комиссар ООН по правам человека, Зейд Раад аль-Хуссейн, неоднократно заявлял о том, что запрет шифрования «может поставить под угрозу человеческие жизни»[26 - Зейд заявил: «Средства шифрования широко используются по всему миру, в том числе защитниками прав человека, гражданским обществом, журналистами, осведомителями и политическими диссидентами, которым грозят преследования и притеснения. Шифрование и анонимность необходимы как для свободы выражения мнений, так и для права на частную жизнь. Утверждение о том, что без средств шифрования под угрозой могут оказаться человеческие жизни, не является ни надуманным, ни преувеличенным. В самом худшем случае способность правительственных органов взламывать телефоны своих граждан может привести к преследованиям тех, кто всего лишь пользуется своими неотъемлемыми правами». «Apple-FBI Case Could Have Serious Global Ramifications for Human Rights: Zeid», канцелярия верховного комиссара ООН по правам человека, 4 марта 2016 года, http://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=17138.]. Можно ли примирить эти точки зрения?
Сегодняшние споры об использовании криптографии на самом деле продолжают давнюю дискуссию о свободе и контроле за информацией в цивилизованном обществе. Изобретение печатного станка в середине пятнадцатого века породило и борьбу за возможность контролировать книгопечатание. Решая, кто может издавать книги, а кто нет, светские и церковные власти управляли доступом общества к информации[27 - «The Historical Background to Media Regulation», открытый архив Лестерского университета, данные по состоянию на 10 июня 2019 года, https://www.le.ac.uk/oerresources/media/ms7501/mod2unit11/page_02.htm.]. В наши дни криптография защищает потоки цифровых данных так, что это снова вызывает опасения у правительств.
Между свободой и контролем в любом вопросе не бывает простых компромиссов. Многим политикам и журналистам работа над этой темой дается нелегко, так как они, по всей видимости, не понимают, для чего предназначена криптография и как она работает[28 - Бывший Министр внутренних дел Великобритании Эмбер Радд сделала об этой проблеме довольно откровенное заявление: «Мне не нужно знать, как работает шифрование, чтобы понимать, как оно помогает (сквозное шифрование) преступникам». Брайан Уиллер, «Amber Rudd Accuses Tech Giants of ‘Sneering’ at Politicians», BBC, 2 октября 2017 года, http://www.bbc.co.uk/news/uk-politics-41463401.]. Я попытаюсь объяснить, какую пользу она приносит и какие трудности создает, чтобы вы могли сформировать обоснованное мнение о ее использовании. Эти знания пригодятся вам не раз, поскольку в будущем наша зависимость от криптографии будет только расти, а социальные трения, которые провоцирует ее применение – обостряться.
Мой подход
Несмотря на то что криптография – это практическое применение математики, для понимания ее основ читателям вовсе не обязательно становиться диванными алгебраистами. Математики, лежащей в основе шифрования, не так уж много в этой книге. Примерно так же люди учатся водить машину, не интересуясь, как происходит впрыск топлива.
Кроме того, несмотря на захватывающее прошлое криптографии и даже ее военный «опыт», это не учебник истории. То, как шифрование использовалось в разные времена, прекрасно освещает другая литература[29 - О богатой и увлекательной истории криптографии написано множество книг. Одна из самых доступных – The Code Book (Fourth Estate, 1999) авторства Саймона Сингха. Эталоном по-прежнему остается книга Дэвида Кана The Codebreakers (Scribner, 1997), но можно выделить и World War II Cryptography (CreateSpace, 2016) от Charles River Editors, Unsolved! (Princeton University Press, 2017) Крейга Бауэра, Codes and Ciphers – A History of Cryptography (Hesperides, 2015) Александра Д’Агапейеффа и Codebreaker: The History of Codes and Ciphers (Walker, 2006) Стивена Пинкока. В своей книге Decipher: The Greatest Codes Ever Invented and How to Break Them (Modern Books, 2017) Марк Фрари проводит хронологическое исследование ряда исторических кодов и шифров. В превосходной книге Стивена Леви Crypto: Secrecy and Privacy in the New Cold War (Penguin, 2000) задокументированы американские политические события второй половины двадцатого века, связанные с криптографией.]. Мы же сосредоточимся на современном положении вещей, обращаясь к историческим примерам только тогда, когда это уместно.
Эта книга также не о головоломках[30 - Существуют разные книги, посвященные криптографическим головоломкам. Например, The GCHQ Puzzle Book (GCHQ, 2016), Break the Code (Dover, 2013) Бада Джонсона и Cryptography: The Science of Secret Writing (Dover, 1998) Лоуренса Д. Смита.]. Одно из «лиц» криптографии – создание «задач», которые нужно «решить», и во время Второй мировой британское правительство действительно набирало стажеров-криптографов среди тех, кто умел и любил решать кроссворды. Но все же я не последую примеру тех, кто преподносит криптографию как искусство в первую очередь развлекательное (в конце концов, это ТЖРАЖИНПЖ ЕЖМП[31 - Если этот шифр вам не поддался, попробуйте сдвинуть буквы вперед на одну позицию в алфавите! – Здесь и далее прим. ред.]).
В главе 2 я покажу, что такое безопасность в киберпространстве, и как криптография помогает ее обеспечить. В главе 3 я объясню разницу между ключами и алгоритмами в контексте криптографии. Затем каждой из основных криптографических функций будет посвящена отдельная глава, я имею в виду хранение секретной информации, обмен ключами, поиск и обнаружение изменений в данных и определение того, с кем мы взаимодействуем. В главе 7 мы поговорим о некорректном использовании криптографии, сосредоточившись на конкретных примерах и возможности исправить положение. Затем в главе 8 я исследую вызовы обществу, которые провоцирует использование криптографии, и политическую реакцию на них. И наконец в главе 9 я попытаюсь обрисовать будущее, которое ожидает криптографию, и поразмышлять о том, как к нему подготовиться.
Суммируя, перед вами книга о том, почему криптография важна для общества и как осведомленность о ней может нас защитить. Я хочу показать вам, что криптография в буквальном смысле ключ к киберпространству.
Кит Мартин
БукТех. Книги про технологии
Криптография – ключ к цифровой безопасности. Имея базовое представление о ней, вы сможете не только защитить свои данные от угроз, кроющихся в киберпространстве, но и лучше понять природу интернет-технологий, все глубже внедряющихся в нашу повседневную жизнь. Каковы потенциальные последствия подключения к незащищенной сети Wi-Fi? Так ли уж важно иметь разные пароли для разных учетных записей? Если вы видите, что у веб-сайта нет действительного сертификата, стоит ли продолжать с ним работу? Ответы на эти и другие вопросы вы найдете внутри.
В формате PDF A4 сохранен издательский макет книги.
Кит Мартин
Криптография. Как защитить свои данные в цифровом пространстве
Keith Martin
Cryprography: The Key to Digital Security, How It Works, and Why It Matters
© 2020 by Keith Martin
© Райтман М. А., перевод на русский язык, 2022
© Оформление. ООО «Издательство «Эксмо», 2023
* * *
Посвящается Фреду: криптографу, визионеру, наставнику
Введение
Ею пользовался Юлий Цезарь. Ее пыталась применять Мария Стюарт, но не справилась и лишилась головы. Наполеон ею злоупотреблял, и это стоило ему империи. На нее полагались все стороны Второй мировой, и многие считают, что именно превосходство союзников в ее применении позволило войну наконец закончить. На протяжении всей холодной войны без нее не могли обойтись шпионы и разведчики, более того, и сейчас не могут. Но кое-кто использует ее намного чаще и для неизмеримо более широкого круга задач. Кое-кто полагается на нее при решении значительной, если не большей части своих повседневных задач. Этот человек – вы. А этот незаменимый инструмент – криптография.
Именно криптография обеспечивает безопасность множества обычных дел, которые лишь на первый взгляд не нуждаются в защите. Вы обращаетесь к ней, когда звоните по мобильному, снимаете наличные в банкомате, подключаетесь к сети Wi-Fi, входите в систему компьютера, ищете информацию в Google и смотрите фильмы в Netflix. Криптография помогает защитить более миллиарда устройств Apple[1 - Дэми Ли, «Apple Says There Are 1.4 Billion Active Apple Devices», Verge, 29 января 2019 года, https://www.theverge.com/2019/1/29/18202736/apple-devices-ios-earnings-q1–2019.], более 7 миллиардов банковских карт[2 - По состоянию на апрель 2018 года в мире существовало 7,1 миллиарда глобальных банковских карт EMV (Europay, Mastercard и Visa) с чипом и PIN-кодом: «EMVCo Reports over Half of Cards Issued Globally Are EMV® Enabled», EMVCo, 19 апреля 2018 года, https://www.emvco.com/wp-content/uploads/2018/04/Global-Circulation-Figures_FINAL.pdf.] и 55 миллиардов ежедневных сообщений WhatsApp[3 - Это цифры, которые компания WhatsApp опубликовала в середине 2017 года, но даже если они немного преувеличены, они, скорее всего, правильно отражают масштаб: WhatsApp, «Connecting One Billion Users Every Day», Блог WhatsApp, 26 июля 2017 года, https://blog.whatsapp.com/connecting-one-billion-users-every-day.]. Цифровая валюта Bitcoin и сопутствующий блокчейн тоже опираются на криптографию.
Собственно говоря, криптография ответственна за защиту более трех четвертей всех глобальных соединений в Интернете[4 - По сообщениям компании Mozilla, в 2018 году доля веб-страниц, загруженных браузерами Firefox по https (с шифрованием), достигла отметки в 75 процентов: Let’s Encrypt Stats, Let’s Encrypt, по состоянию на 10 июня 2019 года, https://letsencrypt.org/stats.]. Известно ли вам, что при подключении к безопасному веб-сайту ваш браузер использует криптографические инструменты, без которых не произошла бы компьютерная революция, создавшая Интернет в его нынешнем виде? Знали ли вы, что каждый раз, когда вы открываете дверь автомобиля, ваш ключ делает то, на что не способен ни один злоумышленник с доступом к самому мощному суперкомпьютеру в мире? Можете ли вы представить, что сообщения с вашего телефона зашифрованы так хорошо, что это может всерьез обеспокоить некоторые разведслужбы?
В сущности, криптография – это одно из практических применений математики. Но сложно назвать хотя бы еще одну область, где математика применялась бы в таких масштабах и была бы настолько важной. Ей редко уделяют внимание в популярных фильмах, но с криптографией все иначе: вспомните Энигму, 007: Координаты «Скайфолл» и Тихушников[5 - Энигма (режиссер Майкл Эптед, Jagged Films, 2001) – художественный фильм о криптографах, работавших в Блетчли-парке, Англия, во время Второй мировой войны, и их попытках расшифровать переговоры, закодированные нацистскими машинами Энигма. В фильме 007: Координаты «Скайфолл» (режиссер Сэм Мендес, Columbia Pictures, 2012) Джеймс Бонд и его квартирмейстер, Q, занимаются впечатляющим (и несколько неправдоподобным) анализом зашифрованных данных. Фильм Тихушники (режиссер Фил Алден Робинсон, Universal Studios, 1992), пожалуй, опередил свое время; в нем два студента занимаются взломом компьютерных сетей и оказываются вовлечены в сбор разведданных с использованием устройств, способных взламывать криптографию.]; или сериалы C.S.I.: Киберпространство и Призраки[6 - C.S.I.: Киберпространство (Jerry Bruckheimer Television, 2015–16) – американский драматический сериал об агентах ФБР, расследующих киберпреступления. В нем изображены довольно необычные криптографические методики, включая хранение ключей шифрования в виде татуировок. Призраки (Kudos, 2002–11) или MI-5 – британский телесериал о вымышленных сотрудниках спецслужб. В нескольких сериях агенты имеют дело с зашифрованными данными, демонстрируя необычайный талант к преодолению шифрования прямо на лету!]; или такие бестселлеры как Цифровая крепость Дэна Брауна[7 - Дэн Браун использовал криптографию в нескольких своих книгах, особенно в романе Цифровая крепость (St. Martin’s Press, 1998), посвященном компьютеру, способному взломать любой известный метод шифрования. Интересно, что в самом известном романе Брауна, Код да Винчи (Doubleday, 2003), одним из персонажей выступает криптограф, хотя криптографии как таковой там нет.].
К тому же математика обычно не решает исход войн и не нервирует мировых лидеров.
Криптография предоставляет набор инструментов для защиты информации. Их можно применять к информации, представленной физическим образом, такой как слова, написанные на бумаге, но ее огромная роль в современной жизни объясняется в основном нашей растущей зависимостью от цифровых данных. Криптография позволяет держать конфиденциальную информацию действительно в тайне. С ее помощью можно обнаружить случайное или умышленное изменение информации. Она дает возможность определить, с кем мы общаемся. На самом деле это практически единственное доступное средство для обеспечения цифровой безопасности.
Криптография подобна антибиотикам: их тоже можно принимать всю жизнь, ничего в них не понимая. Однако существуют целых две причины разобраться в том, как они работают. Во-первых, это поможет понять, как устроено человеческое здоровье, и когда антибиотики принимать стоит, а когда нет: такое знание будет полезно как вам самим, так и окружающим. Во-вторых, потребление антибиотиков каждым отдельным индивидом складывается в важные последствия для общества в целом: чрезмерное использование и появление супербактерий.
Точно так же можно всю жизнь применять криптографию, даже не подозревая о ее существовании. Однако я убежден, что даже немного знаний в этой области могут принести огромную пользу. Прежде всего мне хотелось бы открыть вам глаза на ту огромную роль, которую криптография играет в поддержке вашего образа жизни. Мне кажется, что понимание того, зачем нужна криптография и как она работает, позволит вам увереннее ориентироваться в вопросах цифровой безопасности. Кроме того, применение криптографии затрагивает и более широкие социальные вопросы баланса личной свободы и контроля за информацией, и их я тоже собираюсь исследовать в этой книге.
Киберпространство
Я не стану предпринимать никаких серьезных попыток дать определение киберпространству[8 - Мой коллега Роберт Каролайна считает, что киберпространство – это не место, а средство взаимодействия. Он приводит сравнение между киберпространством и термином televisionland, с помощью которого на заре телевидения описывали абстрактную связь между людьми и новой технологией. В наши дни приветствие «Доброе утро всем в телевиделяндии!» (фраза, с которой экипаж Аполлон-7 начал свое первое радиообращение из космоса в 1968 году); Каролайна ожидает, что идея нахождения «в киберпространстве» точно так же в конечном счете выйдет из употребления. Я склонен с ним согласиться.]. В контексте нашей книги киберпространство – это все, что вы таковым считаете. Иными словами, все множество «электронных вещей[9 - Киберпространство – это концепция, которой чрезвычайно сложно дать четкое определение. Принято считать, что впервые этот термин использовал писатель Уильям Гибсон, однако современные определения обычно основаны на абстрактном описании компьютерных сетей и данных, которые в них находятся. В своем выступлении на Crypto Wars 2.0 (третий межуниверситетский семинар по кибербезопасности, Оксфордский университет, май 2017 года) доктор Киан Мерфи (Бристольский университет) предложила более краткое определение: «Мне не нравится слово киберпространство, я предпочитаю называть это электронными вещами».]».
Киберпространство состоит из компьютеров, взаимодействующих через сеть, иначе говоря – из устройств, которые можно с уверенностью назвать вычислительными. Это не только стационарные ПК, моноблоки и ноутбуки, но и такие гаджеты, как мобильные телефоны, игровые приставки, и даже голосовые помощники. Эти последние принято считать устройствами с доступом к Интернету, но компьютерами их признают редко. Помимо них киберпространство состоит из миллионов устройств, с которыми мы взаимодействуем напрямую (включая платежные терминалы, банкоматы и системы паспортного контроля), и других, скрытых от нас, например компьютерных систем бизнеса, обороны и промышленного управления.
Наверное, самым важным и до некоторой степени тревожным можно назвать тот факт, что многие устройства, которые даже не принято считать цифровыми, не говоря уже об отнесении их к компьютерам, стремительно расширяют свое присутствие в киберпространстве: автомобили, бытовая техника, «умные дома». Сети, объединяющие их, могут быть проводными и беспроводными, коротковолнового и длинноволнового диапазона, полностью открытыми или выделенными для определенных задач, таких как телекоммуникации. Самой важной из этих сетей, безусловно, является Интернет.
Конечно, между киберпространством и реальным миром нет четкой границы, их элементы взаимодействуют все активнее с каждым днем. Все сложнее найти человека, который не пользуется Интернетом[10 - Согласно Internet World Stats (Miniwatts Marketing Group), по состоянию на 14 июля 2019 года, https://www.internetworldstats.com/stats.htm, чуть более половины населения мира уже в Интернете.], компанию, которая не представлена онлайн, или технологии, никак не связанные с киберпространством. И при этом большая часть происходящего в киберпространстве – результат нажатия кнопок на физических устройствах, запускающих программы на компьютерах, которые можно пощупать.
Ваша безопасность в киберпространстве
Задумайтесь на секунду, насколько сильно вы зависите от киберпространства. Вспомните, как вы общаетесь с друзьями, где читаете и смотрите новости и как выбираете, где провести следующий отпуск. Как ведете финансы и делаете покупки. Не забывайте о музыке, фильмах, фотоальбомах. Я уже упоминал об автомобиле? Он открывает двери по нажатию кнопки, всегда знает, где находится, отчитывается производителю о неполадках и понемногу учится ездить самостоятельно. И это лишь верхушка айсберга. Каждый день вы полагаетесь на множество незаметных вещей, которые просто работают. Самолеты летают, электричество питает устройства, сигнал светофора меняет цвет. В наши дни киберпространство повсюду.
Вместе с киберпространством в нашу жизнь потихоньку проникают и киберпреступники. Сеть – это чудесное место для совершения преступлений. Не ограниченные расстоянием, злоумышленники в любой точке мира находят возможность совершить налет на ваш дом. Это идеальное место для того, чтобы пускать пыль в глаза: подросток, сидя в своей комнате, может притвориться представителем вашего банка или сымитировать веб-сайт торгового центра. В новостях постоянно мелькает что-то о нарушении безопасности посредством компьютеров – и это лишь то, что на слуху.
Точные цифры установить крайне сложно, но, если верить компании кибербезопасности Norton, в 2017 году в мире было 978 миллионов жертв киберпреступлений (и в общей сложности 172 миллиарда долларов ущерба[11 - «2017 Norton Cyber Security Insights Report Global Results», Norton by Symantec, 2018, https://www.symantec.com/content/dam/symantec/docs/about/2017-ncsir-global-results-en.pdf.]). Компания профессиональных услуг PwC утверждает, что в 2016 и 2017 годах[12 - Почти каждая вторая организация утверждает, что она была жертвой мошенничества и экономических преступлений, 31 % из этих случаев относится к киберпреступности: «Pulling Fraud Out of the Shadows: Global Economic Crime and Fraud Survey 2018», PwC, 2018, https://www.pwc.com/gx/en/services/advisory/forensics/economic-crime-survey.html.] 31 % случаев корпоративного мошенничества приходился на киберпреступления. А исследования Cybersecurity Ventures говорят о 6 триллионах долларов, в которые киберпреступность обошлась глобальной экономике в 2021 году[13 - Это внушительная оценка того, что нельзя измерить. Но она отражает идею о том, что в связи с нашей повышенной активностью в киберпространстве возрастает вероятность того, нас там кто-то обманет. Эти конкретные цифры взяты из отчета по киберпреступности за 2017 год, Cybersecurity Ventures, https://cybersecurityventures.com/2015-wp/wp-content/uploads/2017/10/2017-Cybercrime-Report.pdf.]. Киберпространство по большей части не попадает в наше поле зрения, и мы, как правило, о нем просто не думаем. Это могут подтвердить иранские ученые на заводе по обогащению урана в Нетензе, чьи центрифуги в 2010 году[14 - Компьютерное вредоносное ПО Stuxnet использовалось для атаки на завод по обогащению урана в Нетензе, Иран, в котором в начале 2010 года начали замечать неполадки. Это, пожалуй, первый общеизвестный пример того, как важный индустриальный объект стал жертвой атаки из киберпространства. Это не только усилило напряжение вокруг данного инцидента в сфере международной политики и ядерной безопасности, но и послужило напоминанием всему миру о том, что критически важная национальная инфраструктура все чаще подключена к киберпространству. Атака на Нетенз проводилась не напрямую через Интернет, а, как считается, была инициирована с помощью зараженных USB-накопителей. О Stuxnet и Нетензе много всего написано – например, см. Countdown to Zero Day: Stuxnet, and the Launch of the World’s First Digital Weapon, Ким Зиттер (Broadway, 2015).] начали загадочным образом ломаться, или руководители Sony Pictures, невольно ставшие в 2014 году звездами собственного фильма ужасов, когда их корпоративная переписка, доходы и еще не вышедшее кино оказались достоянием всей сети[15 - В ноябре 2014 года компания Sony Pictures Studios подверглась целому ряду кибератак, которые привели к раскрытию конфиденциальных сведений о ее сотрудниках и удалению данных. Злоумышленники требовали от Sony остановить выход нового комедийного фильма о Северной Корее. Например, см. статью Андреа Питерсон «The Sony Pictures Hack, Explained» в Washington Post от 18 декабря 2014 года, https://www.washingtonpost.com/news/the-switch/wp/2014/12/18/the-sony-pictures-hack-explained/?utm_term=.b25b19d65b8d.].
Мы существа из плоти и крови, эволюционировавшие в реальном мире, и мы неплохо ориентируемся в физических средствах безопасности вроде дверей с замками, паспортного контроля, подписанных и заверенных документов и т. п. Но нам с очевидностью не хватает той же степени понимания кибербезопасности. Этому, конечно, способствует виртуальная природа киберпространства, но я подозреваю, что основная причина – отсутствие хотя бы элементарного понимания, что такое эта самая безопасность в киберпространстве. Мы оставляем открытыми настежь парадные двери, передаем незнакомцам реквизиты банковских счетов и высекаем интимные записки на цифровой скрижали, с которой их уже не стереть. Я покажу вам, как криптография пытается решить саму суть этой проблемы и дает возможность принимать взвешенные решения о том, как защитить себя и свои данные.
Понимание основ криптографии поможет вам оценить важность технологий безопасности, которыми вы пользуетесь ежедневно. Пароли применяются повсюду, но и недостатков у них множество. Кстати, знаете ли вы, что ваш онлайн-банкинг, скорее всего, защищен «идеальным» криптографическим паролем? Криптография в конечном счете полагается на секретные элементы, известные как ключи. Я попытаюсь повысить вашу осведомленность о важности этих ключей для вашей цифровой безопасности, и советую вам относиться к ним так же бережно, как и к физическим ключам, а в идеале еще бережней, так как зачастую в киберпространстве ваш ключ – единственное, что отличает вас от остальных 4,5 миллиарда пользователей Интернета. Не правда ли, крайне важно иметь о них какое-то представление и знать, где они хранятся?
Информированность о криптографии также поможет вам адекватно реагировать на проблемы кибербезопасности, с которыми вы сталкиваетесь. Каковы потенциальные последствия подключения к незащищенной сети Wi-Fi? Так уж ли важны разные пароли для разных учетных записей? Стоит ли продолжать работу с веб-сайтом, у которого нет действительного сертификата? И что насчет всех этих новых историй о кибербезопасности? В 2017 году широко распространилась новость о том, что сети Wi-Fi, использовавшие определенный протокол шифрования, оказались небезопасными[16 - Широко освещавшиеся атаки с переустановкой ключей были направлены на протокол безопасности WPA2, который использовался для криптографической защиты сетей Wi-Fi: Мэти Ванхоф, «Key Reinstallation AttacksWPA2 by Forcing Nonce Reuse», последнее обновление в октябре 2018 года, https://www.krackattacks.com.], и что криптографическое оборудование от Infineon было легко взломать[17 - Атака ROCA использует уязвимость в криптографической программной библиотеке для генерации ключей RSA, которые использовались в смарт-картах, токенах безопасности и других защищенных чипах производства Infineon Technologies. В результате появлялась возможность восстановить закрытые ключи для расшифровки: см. отчет Петра Свенды, «ROCA: Vulnerable RSA Generation (CVE15361)», опубликованный 16 октября 2017 года, https://crocs.fi.muni.cz/public/papers/rsa_ccs17.]. 2018 год начался с новости о дефектных чипах многих устройств Apple[18 - Эксплойты Meltdown и Spectre использовали слабые места в широко распространенных компьютерных чипах. В январе 2018 года стало известно, что они затрагивают миллиарды устройств по всему миру, включая модели iPad, iPhone и Mac: «Meltdown and Spectre: All Macs, iPhones and iPads affected», BBC, 5 января 2018 года, http://www.bbc.co.uk/news/technology-42575033.]. Пора ли паниковать? Принимать ли меры самостоятельно, или об этом позаботится кто-то другой? Следует ли быть в восторге от блокчейна? Или, может, пора волноваться о квантовых компьютерах?
Элементарные знания по криптографии также помогут вам решить, как обращаться с нынешними и будущими технологиями. Безопасно ли передавать персональную информацию тому или иному приложению? Правда ли вы рискуете потерять все деньги, переводя их в Bitcoin? На что по теме безопасности нужно обращать внимание, выбирая новый телефон?
И это касается не только вас; это общая проблема. Конечно, если вы забудете закрыть дверь и сейф, и вор похитит ваши бриллианты, это будет ваша потеря, а не моя. Но с кибербезопасностью все иначе. Если вы неосторожно щелкнете по подозрительной ссылке на видео с пляшущей овцой, ваш компьютер может легко стать частью глобальной преступной сети и атаковать одно из моих устройств. Так что все мы заинтересованы в том, чтобы вы могли защитить себя в киберпространстве. Если повезет, то каждый читатель, который приобретет немного базовых знаний по криптографии, подарит нам всем капельку безопасности.
Социальная дилемма
Криптография – неотъемлемая часть нашей повседневной жизни, без которой мы уже довольно давно не можем обходиться. Тем не менее в каком-то смысле ее можно назвать хлопотной и даже опасной. Она работает настолько хорошо, что порождает в обществе социальную дилемму.
В мае 2017 года сетевые администраторы сорока британских больниц оказались в кризисной ситуации. Компьютерные системы, отвечавшие за рутинные операции, вышли из строя, и причиной тому была криптография. Злоумышленники взломали их с помощью криптографических возможностей программы WannaCry и перекрыли доступ ко всем данным. За возвращение систем в нормальное состояние, разумеется, потребовали выкуп. Криптография надежно защищает нас в киберпространстве, но это был один из случаев, когда она, напротив, привела к серьезным проблемам[19 - Кибератака WannaCry навредила многим старым компьютерам в Национальной службе здравоохранения Великобритании (и не только). В ходе нее устанавливался вирус-вымогатель, который шифровал диски зараженных устройств и затем вымогал выкуп взамен на расшифровку данных, которые стали недоступными. Позже Национальное аудиторское управление опубликовало детали расследования этого происшествия и предложило несколько способов, как его можно было бы избежать: Амьяс Морс, «Investigation: WannaCry Cyber Attack and the NHS», Национальное аудиторское управление, 25 апреля 2018 года, https://www.nao.org.uk/report/investigation-wannacry-cyber-attack-and-the-nhs.].
Как ни досадно, криптография не делает разницы между вашими данными и, к примеру, переговорами преступников, планами террористических группировок и распространением детской порнографии. Неудивительно, что службы безопасности некоторых стран высказывают озабоченность ее повсеместным применением. Особенно этим известен бывший директор ФБР Джеймс Коми, регулярно сетовавший на то, что криптография препятствует сбору разведданных[20 - Коми стал своего рода легендой в кругах специалистов по кибербезопасности за высказывания относительно его обеспокоенности о том, что использование криптографии мешает органам правопорядка. Например, в сентябре 2014 года он, как сообщается, выразил озабоченность усилением средств шифрования на различных мобильных устройствах: Райан Рейли, «FBI Director James Comey ‘Very Concerned’ about New Apple, Google Privacy Features», Huffington Post, 26 сентября 2014 года, http://www.huffingtonpost.co.uk/entry/james-comey-apple-encryption_n_5882874. В своем заявлении в мае 2015 года Коми по сообщениям журналистов был огорчен еще сильнее: Лорензо Франчески-Биккераи, «Encryption Is ‘Depressing,’ the FBI Says», Vice Motherboard, 25 мая 2015 года, https://motherboard.vice.com/en_us/article/qkv577/encryption-is-depressing-the-fbi-says.]. А в 2013 году бывший контрактник Агентства национальной безопасности США Эдвард Сноуден пожертвовал карьерой и свободой, предав огласке механизмы, с помощью которых АНБ пыталось обойти повседневное использование шифрования[21 - Нравится вам Сноуден или нет, опубликованная им информация имела далеко идущие последствия, и я подробно поговорю о ней позже, когда речь пойдет о дилемме, возникшей из-за применения криптографии.].
На криптографию порой возлагают и вину за серьезные нарушения безопасности в реальном мире. По крайней мере частично. После теракта в Париже в 2015 году британский премьер-министр Дэвид Кэмерон публично задавался вопросом: «Хотим ли мы позволить в нашей стране средства коммуникации, которые не можем контролировать?»[22 - Вот что ответил Кэмерон на свой собственный вопрос: «Нет, мы не должны». Это замечание было воспринято многими как предложение запретить технологии шифрования: Джеймс Болл, «Cameron Wants to Ban Encryption – He Can Say Goodbye to Digital Britain», Guardian, 13 января 2015 года, https://www.theguardian.com/commentisfree/2015/jan/13/cameron-ban-encryption-digital-britain-online-shopping-banking-messaging-terror.]. В июне 2017 года австралийский Генеральный прокурор Джордж Брэндис заявил, что Австралия возглавит международные переговоры о роли промышленности в «борьбе с шифрованным обменом сообщениями между террористами»[23 - Брэндис сделал это заявление перед совещанием разведывательного альянса Пять глаз: Крис Дакетт, «Australia Will Lead Five Eyes Discussions to ‘Thwart’ Terrorist Encryption: Brandis», ZDNet, 26 июня 2017 года, https://www.zdnet.com/article/australia-will-lead-five-eyes-discussions-to-thwart-terrorist-encryption-brandis.]. Примерно в то же время немецкий министр внутренних дел Томас де Мезьер сообщил о подготовке закона, позволяющего государственным органам читать шифрованные частные сообщения, аргументировав это тем, что государство «не может допустить существование пространства, фактически стоящего вне закона»[24 - Кирен Маккарти, «Look Who’s Joined the Anti-encryption Posse: Germany, Come On Down», Register, 15 июня 2017 года, https://www.theregister.co.uk/2017/06/15/germany_joins_antiencryption_posse.]. А в мае 2018 года Генеральный прокурор США Джефф Сешнс высказался о том, что «с распространением шифрования и „уходом в тень“ необходимо что-то делать»[25 - «Attorney General Sessions Delivers Remarks to the Association of State Criminal Investigative Agencies 2018 Spring Conference», Министерство юстиции США, 7 мая 2018 года, https://www.justice.gov/opa/speech/attorney-general-sessions-delivers-remarks-association-state-criminal-investigative.].
Все эти политические высказывания, в сущности, сводятся к требованию снизить эффективность криптографии. Однако верховный комиссар ООН по правам человека, Зейд Раад аль-Хуссейн, неоднократно заявлял о том, что запрет шифрования «может поставить под угрозу человеческие жизни»[26 - Зейд заявил: «Средства шифрования широко используются по всему миру, в том числе защитниками прав человека, гражданским обществом, журналистами, осведомителями и политическими диссидентами, которым грозят преследования и притеснения. Шифрование и анонимность необходимы как для свободы выражения мнений, так и для права на частную жизнь. Утверждение о том, что без средств шифрования под угрозой могут оказаться человеческие жизни, не является ни надуманным, ни преувеличенным. В самом худшем случае способность правительственных органов взламывать телефоны своих граждан может привести к преследованиям тех, кто всего лишь пользуется своими неотъемлемыми правами». «Apple-FBI Case Could Have Serious Global Ramifications for Human Rights: Zeid», канцелярия верховного комиссара ООН по правам человека, 4 марта 2016 года, http://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=17138.]. Можно ли примирить эти точки зрения?
Сегодняшние споры об использовании криптографии на самом деле продолжают давнюю дискуссию о свободе и контроле за информацией в цивилизованном обществе. Изобретение печатного станка в середине пятнадцатого века породило и борьбу за возможность контролировать книгопечатание. Решая, кто может издавать книги, а кто нет, светские и церковные власти управляли доступом общества к информации[27 - «The Historical Background to Media Regulation», открытый архив Лестерского университета, данные по состоянию на 10 июня 2019 года, https://www.le.ac.uk/oerresources/media/ms7501/mod2unit11/page_02.htm.]. В наши дни криптография защищает потоки цифровых данных так, что это снова вызывает опасения у правительств.
Между свободой и контролем в любом вопросе не бывает простых компромиссов. Многим политикам и журналистам работа над этой темой дается нелегко, так как они, по всей видимости, не понимают, для чего предназначена криптография и как она работает[28 - Бывший Министр внутренних дел Великобритании Эмбер Радд сделала об этой проблеме довольно откровенное заявление: «Мне не нужно знать, как работает шифрование, чтобы понимать, как оно помогает (сквозное шифрование) преступникам». Брайан Уиллер, «Amber Rudd Accuses Tech Giants of ‘Sneering’ at Politicians», BBC, 2 октября 2017 года, http://www.bbc.co.uk/news/uk-politics-41463401.]. Я попытаюсь объяснить, какую пользу она приносит и какие трудности создает, чтобы вы могли сформировать обоснованное мнение о ее использовании. Эти знания пригодятся вам не раз, поскольку в будущем наша зависимость от криптографии будет только расти, а социальные трения, которые провоцирует ее применение – обостряться.
Мой подход
Несмотря на то что криптография – это практическое применение математики, для понимания ее основ читателям вовсе не обязательно становиться диванными алгебраистами. Математики, лежащей в основе шифрования, не так уж много в этой книге. Примерно так же люди учатся водить машину, не интересуясь, как происходит впрыск топлива.
Кроме того, несмотря на захватывающее прошлое криптографии и даже ее военный «опыт», это не учебник истории. То, как шифрование использовалось в разные времена, прекрасно освещает другая литература[29 - О богатой и увлекательной истории криптографии написано множество книг. Одна из самых доступных – The Code Book (Fourth Estate, 1999) авторства Саймона Сингха. Эталоном по-прежнему остается книга Дэвида Кана The Codebreakers (Scribner, 1997), но можно выделить и World War II Cryptography (CreateSpace, 2016) от Charles River Editors, Unsolved! (Princeton University Press, 2017) Крейга Бауэра, Codes and Ciphers – A History of Cryptography (Hesperides, 2015) Александра Д’Агапейеффа и Codebreaker: The History of Codes and Ciphers (Walker, 2006) Стивена Пинкока. В своей книге Decipher: The Greatest Codes Ever Invented and How to Break Them (Modern Books, 2017) Марк Фрари проводит хронологическое исследование ряда исторических кодов и шифров. В превосходной книге Стивена Леви Crypto: Secrecy and Privacy in the New Cold War (Penguin, 2000) задокументированы американские политические события второй половины двадцатого века, связанные с криптографией.]. Мы же сосредоточимся на современном положении вещей, обращаясь к историческим примерам только тогда, когда это уместно.
Эта книга также не о головоломках[30 - Существуют разные книги, посвященные криптографическим головоломкам. Например, The GCHQ Puzzle Book (GCHQ, 2016), Break the Code (Dover, 2013) Бада Джонсона и Cryptography: The Science of Secret Writing (Dover, 1998) Лоуренса Д. Смита.]. Одно из «лиц» криптографии – создание «задач», которые нужно «решить», и во время Второй мировой британское правительство действительно набирало стажеров-криптографов среди тех, кто умел и любил решать кроссворды. Но все же я не последую примеру тех, кто преподносит криптографию как искусство в первую очередь развлекательное (в конце концов, это ТЖРАЖИНПЖ ЕЖМП[31 - Если этот шифр вам не поддался, попробуйте сдвинуть буквы вперед на одну позицию в алфавите! – Здесь и далее прим. ред.]).
В главе 2 я покажу, что такое безопасность в киберпространстве, и как криптография помогает ее обеспечить. В главе 3 я объясню разницу между ключами и алгоритмами в контексте криптографии. Затем каждой из основных криптографических функций будет посвящена отдельная глава, я имею в виду хранение секретной информации, обмен ключами, поиск и обнаружение изменений в данных и определение того, с кем мы взаимодействуем. В главе 7 мы поговорим о некорректном использовании криптографии, сосредоточившись на конкретных примерах и возможности исправить положение. Затем в главе 8 я исследую вызовы обществу, которые провоцирует использование криптографии, и политическую реакцию на них. И наконец в главе 9 я попытаюсь обрисовать будущее, которое ожидает криптографию, и поразмышлять о том, как к нему подготовиться.
Суммируя, перед вами книга о том, почему криптография важна для общества и как осведомленность о ней может нас защитить. Я хочу показать вам, что криптография в буквальном смысле ключ к киберпространству.
Другие аудиокниги автора Кит Мартин
Последний отзыв
Очень интересная!