Криптография. Как защитить свои данные в цифровом пространстве

1. Безопасность в киберпространстве

Что означает быть защищенным в киберпространстве? Прежде чем приступать к осмыслению идеи кибербезопасности, стоит проанализировать основные элементы безопасности в реальном мире: вы увидите, что в виртуальном пространстве некоторые аспекты физической защиты отсутствуют. Сама по себе криптография заменить их не может. Ее главная задача – дать инструменты, с помощью которых можно обеспечить безопасность в киберпространстве.

Типичный день

Вы просыпаетесь утром, находите в почтовом ящике счет от своего поставщика электроэнергии и сразу же его оплачиваете. Вам нездоровится (особенно после оплаты счета), поэтому, позавтракав, вы отправляетесь в ближайшую аптеку. Короткое обсуждение симптомов с фармацевтом – и вот вы уже получили консультацию, оплатили лекарства наличными и возвращаетесь домой. А после обеда вы уже на пути к выздоровлению.

Это короткий фрагмент обычного дня в реальном мире, в котором мы живем. Этот мир состоит из материальных объектов и физического взаимодействия, которое зачастую «привязано» к определенному географическому положению. Давайте для начала посмотрим, насколько безопасен этот мир: насколько хорошо он защищен от того, что может причинить нам вред?

Для тех из нас, кому посчастливилось жить в относительно мирном и благополучном месте, почти любой день обходится без происшествий. Каждый день мы читаем и слышим в новостях о тревожных случаях, но, как правило, эти случаи исключительны, потому и попадают в новости. Мы достаточно неплохо защищены в реальном мире, так что стоит выделить элементы нашего окружения, обеспечивающие эту защиту.

Давайте подумаем о том, что могло бы произойти за такой же типичный день. Это упражнение потребует от нас крайне пессимистичного мышления, граничащего с паранойей, но именно анализ того, что могло бы пойти не так, позволяет формировать механизмы безопасности. Надеюсь, этот мысленный эксперимент не отобьет у вас желание подниматься с кровати по утрам!

Нетипичный день

Вы просыпаетесь утром и находите в почтовом ящике счет – точь-в-точь один из обычных счетов за электричество. Недолго думая, вы его оплачиваете. Но этот счет на самом деле послал злоумышленник, зарящийся на ваши деньги. Вам нездоровится (и вы бы чувствовали себя еще хуже, знай вы о допущенной оплошности), поэтому после завтрака отправляетесь в аптеку, закрыв, разумеется, дверь на замок. Как только вы уходите, в ваше жилище вламывается вор. Тем временем вы садитесь в автобус, который, к несчастью, только что угнали. Каким-то чудом вам удается выбраться из автобуса и добраться до вашей цели, и вы наконец обсуждаете симптомы с человеком в белом халате. Это должен быть фармацевт, но на самом деле это психопат, находящийся в розыске, и он выписывает вам какую-то отраву. Каждому следующему покупателю этот самозванец рассказывает о вашем плохом самочувствии, и уже через несколько часов весь город знает, что вы ужасно больны. Вы платите наличными, но вдобавок ко всем своим злоключениям получаете сдачу поддельными купюрами. Вы возвращаетесь в свое недавно ограбленное жилище с опасными лекарствами. Конец.

История, конечно, совершенно нелепая. Но что интересно, каждую отдельную параноидную ее часть кто-то когда-то как минимум замышлял, поскольку в реальном мире существуют способы предотвращения большинства этих неприятностей. «Типичность» первого дня и «нетипичность» второго объясняются тремя факторами, каждый из которых заслуживает внимания: механизмами безопасности, контекстом безопасности и вероятностью возникновения угрозы.

Реальные угрозы

Для обеспечения безопасности используется множество инструментов и методик, которые я обобщенно называю механизмами безопасности. Давайте проанализируем те из них, которые действуют на протяжении вашего типичного дня.

Почтовые ящики бывают разными. Одни защищают только от плохой погоды, другие запираются на замок и не открываются без ключа, а в некоторых домах почтовый ящик и вовсе заменяет щель в парадной двери. Письма, которые просовываются через эту щель, защищены дверным замком, но совершенно беззащитны перед внутренними угрозами (например, интересом вашей собаки).

В ваш почтовый ящик опустили письмо в конверте. Содержимое конверта в какой-то степени защищено от случайных повреждений при доставке и от прочтения посторонними. Но эта защита довольно слаба: бумага конверта тонка, легко рвется, да и открыть его несложно. Пожалуй, самый важный элемент защиты конверта – то, что его обычно нельзя открыть, не повредив. Если не соблюдать крайнюю осторожность, получатель заметит вмешательство.

Письмо, которое вы получили, было послано от имени крупной организации, ее знакомый логотип несли на себе как сам конверт, так и его содержимое. Письмо имело характерный вид: дизайн бланка, общую структуру, шрифты, стиль речи. Все эти свойства в той или иной степени являются механизмами безопасности.

Ваша дверь была защищена замком. Современные дома иногда уже могут быть оснащены электронными системами контроля доступа, но большинство дверей запираются механически. Некоторые замки нужно закрывать ключом, другие закрываются сами, стоит захлопнуть дверь. Позже вы увидите, что с точки зрения криптографии различия между этими двумя типами замков произвели революцию.

Автобус, на который вы сели, был оформлен в знакомом фирменном стиле, на табло или на табличке значился нужный вам номер маршрута. У водителя был бейдж определенного дизайна с именем, фотографией и официальным логотипом. Вероятно даже, что водитель был одет в униформу транспортной компании и имел при себе ключи.

Фармацевт, разумеется, тоже носил официальный именной бейдж. Но вы, скорее всего, знали его в лицо: это ближайшая к вашему дому аптека, вы не раз и не два бывали здесь. Лицо и голос фармацевта – тоже механизмы безопасности. Вы разговаривали на некотором расстоянии от других покупателей и, если не хотели, чтобы вас слышали, понизили голос. Лекарства были в запечатанной фирменной упаковке с информативной надписью и, возможно, печатью самой аптеки.

Наконец, вы платили наличными. На монетах есть надписи, насечки и чеканки, которые сложно подделать. Для купюр существует более сотни механизмов защиты, включая водяные знаки, голограммы и металлографию. Но многим проще всего определять подлинность денег на ощупь, на вид и на звук[32 - Многие национальные монетные дворы предоставляют подробности о мерах защиты валюты, чтобы помочь с обнаружением подделок. Это относится как к тактильным ощущениям, так и к внешнему виду купюр. Больше о мерах защиты монет Британского фунта можно узнать в статье «The New 12-Sided ?1 Coin» от Королевского монетного двора, https://www.royalmint.com/new-pound-coin (по состоянию на 10 июня 2019 года); в статье «Take a Closer Look – Your Easy to Follow Guide to Checking Banknotes» от Банка Англии, https://www.bankofengland.co.uk/-/media/boe/files/banknotes/take-a-closer-look.pdf (по состоянию на 10 июня 2019 года) речь идет о британских купюрах; а о долларе США можно почитать в документе «Dollars in Detail – Your Guide to U.S. Currency», опубликованном в рамках Образовательной программы о национальной валюте США, https://www.uscurrency.gov/sites/default/files/downloadable-materials/files/CEP_Dollars_In_Detail_Brochure_0.pdf (по состоянию на 10 июня 2019 года).].

Материальный мир полон механизмов безопасности, каждый из которых защищает определенные объекты от конкретных угроз.

Контекст безопасности

Важность контекста безопасности в реальном мире не так очевидна. Под этой формулировкой я понимаю окружение, в котором происходят события и с учетом которого мы анализируем и интерпретируем их безопасность. Контекст – это все то, на чем мы обычно не заостряем внимание. Его роль в нашей повседневной безопасности почти незаметна, но огромна: сосредоточившись на контексте, вы сразу заметите, насколько он информативен.

Вернемся к типичному дню. Письмо в почтовом ящике было отправлено организацией, счет на оплату услуг которой вы ожидали получить: эта компания присылает вам счета за эти услуги примерно в одни и те же даты каждого месяца. Если бы счет за электричество пришел через неделю после оплаты предыдущего, вы могли бы что-то заподозрить. Сумма к оплате тоже информативна, поскольку ее можно интерпретировать в более широком контексте обычного для вас расхода электроэнергии. Она могла бы, наверное, вас удивить, но, скорее всего, не слишком сильно разошлась с вашими ожиданиями.

У автобуса на любом маршруте есть установленное расписание, поэтому, когда к остановке вовремя подъехал автобус обычного вида, сомневаться в его подлинности не было причин. Если бы он сильно опоздал, двигался рывками, или если бы водитель пребывал в прострации, у вас наверняка возникли бы опасения.

За прилавком в аптеке стоял человек, который не только выглядел, но и – что важнее – вел себя как фармацевт. Он профессионально отреагировал на ваши жалобы, со знанием дела обсудил с вами лечение. И вас, конечно, могло бы насторожить, если бы фармацевт постоянно ухмылялся или растерялся при поиске медикаментов[33 - Генеральный фармацевтический совет Великобритании устанавливает стандарты для фармацевтов. Стандарт под номером 6 гласит: «фармацевты должны вести себя профессионально»; это означает вежливость, тактичность, проявление сочувствия и сострадания, уважительное отношение к людям и защита их достоинства. См. «Standards for Pharmacy Professionals», Генеральный фармацевтический совет, май 2017 года, https://www.pharmacyregulation.org/sites/default/files/standards_for_pharmacy_professionals_may_2017_0.pdf.].

Даже у денег есть контекст. Если вам случалось платить крупной купюрой, чей номинал во много раз превышал стоимость покупки, фармацевт мог засомневаться и проверить подлинность ваших денег.

Контекст безопасности в материальном мире по-настоящему важен. Кто не слышал фразы вроде: «Если вы видите что-то подозрительное, пожалуйста, обратитесь к сотруднику компании»? Фактически все эти фразы нам говорят: «Если вы видите что-то вне контекста, пожалуйста, поднимите тревогу».

Какова вероятность?

В оценку безопасности обязательно входит и оценка вероятности перехода потенциальной угрозы в реальную. Обычно невозможно вычислить с точностью шанс какого-то неприятного события, но на протяжении жизни мы вырабатываем интуитивное представление о реалистичности многих угроз[34 - Это не совсем точно, поскольку людям свойственно переоценивать одни угрозы, такие как авиакатастрофы, и существенно недооценивать другие, например, загрязнение воздуха.].

Интуитивно же мы понимаем, что «нетипичный день», описанный выше, полностью абсурден. Почему?

Существуют ли жулики, обманывающие людей для извлечения финансовой выгоды? Конечно, их полно вокруг[35 - В 2016 году объем финансового мошенничества с платежными картами, удаленным банкингом и чеками в Великобритании оценивался в размере 768,8 миллиона фунтов: «Fraud: The Facts, 2017», Financial Fraud Action UK, 2017, https://www.financialfraudaction.org.uk/fraudfacts17/assets/fraud_the_facts.pdf.]. Однако круг их потенциальных жертв очень широк, и вероятность того, что в их сети попадете именно вы, относительно невысока. Могли ли они воспользоваться счетом за электроэнергию для своего мошенничества? Конечно. Для этого им пришлось бы составить письмо, которое выглядело бы как настоящая платежка, учесть контекст расписания и суммы к оплате. Такая афера потребовала бы значительных усилий, и при этом все еще осталась бы строго индивидуальной. Все это не делает ее невозможной, но существует много более простых и надежных способов выманивания чужих денег[36 - Для нашего читателя этот раздел может быть довольно забавен, поскольку именно такие аферы с платежками в последние несколько лет происходят постоянно и массово.].

Точно так же нельзя полностью исключать кражу со взломом, но чаще всего каждый отдельный дом даже не в самом благополучном районе остается нетронутым. Автобусы угоняют крайне редко, и еще реже серийные убийцы прикидываются фармацевтами. Все эти ужасные вещи могут случиться, но мы знаем (в основном благодаря нашему интуитивному пониманию материального мира), что, скорее всего, этого не произойдет.

Безопасность в материальном мире

Ваш нетипичный день в материальном мире выглядит как кошмарный сон, цепочка почти невероятных событий, которые становятся еще менее вероятными, если учесть сочетание механизмов и контекста безопасности. Неправдоподобность этого примера определяется тремя свойствами реального мира.

Первое – это буквально его материальность. Большинство механизмов безопасности, описанных ранее, полагаются на использование органов чувств. Письмо в почтовом ящике выглядело подлинным, вы узнали фармацевта, деньги казались правильными на ощупь. Мы полагаемся на чувственное восприятие во всех аспектах нашей жизни и с его помощью принимаем решения о безопасности. В какой-то мере в нас с самого рождения заложено понимание разных физических угроз. Например, как показывают исследования, у младенцев есть врожденный страх пауков и змей[37 - Стефани Хоэл и др., «Itsy Bitsy Spider. .: Infants React with Increased Arousal to Spiders and Snakes», Frontiers in Psychology 8 (2017): 1710.]. О других угрозах в материальном мире мы узнаем с возрастом. Сочетание врожденного и приобретенного дает нам возможность формировать на основе собственных ощущений понятие безопасности в окружающей нас обстановке.

Второе важное свойство материального мира – это его знакомость, переработанный опыт жизни в нем. Это не означает, что мы понимаем все его аспекты, но мы привыкли ориентироваться в ситуациях, в которых оказываемся. Мы можем не знать, как именно работает двигатель автобуса, но знаем, как он выглядит, как на него сесть, и что собой представляет обычная поездка в общественном транспорте. Многие механизмы и некоторые контексты безопасности, на которые вы полагаетесь в повседневной жизни, относятся к знакомости. Письмо в почтовом ящике казалось подлинным, поскольку вы уже прежде видели много таких писем. Автобус казался нормальным, потому что он подъехал к знакомой вам остановке в ожидаемое время. Чувство беззащитности, которое мы часто испытываем при попадании в новую для себя ситуацию, объясняется именно ее незнакомостью. Нас настораживают незнакомцы. Если бы счет за электроэнергию пришел в конверте, подписанном от руки и с международной печатью, а деньги нужно было переводить на иностранный банковский счет, вы бы вряд ли его оплатили.

Наконец, материальному миру присуща ситуативность. Люди и объекты физически находятся в определенном месте в определенный момент времени, что позволяет нам судить о них в ходе принятия решений о безопасности. Даже поддельный счет все равно должен был очутиться в вашем почтовом ящике в подходящий для оплаты период. Даже угнанному автобусу пришлось бы выйти на маршрут по расписанию, а угонщику – вовремя сесть за руль. Фармацевт-психопат должен был явиться в аптеку в тот день, когда у знакомого вам фармацевта выходной. Ни одно из этих нарушений физической безопасности нельзя назвать невозможным, но ситуативность затрудняет их осуществление. Террористы, похитившие и разбившие самолеты в США 11 сентября 2001 года, не только учились пилотированию, но и должны были сесть на разные авиарейсы с примерно одинаковым временем прибытия и точками посадки недалеко друг от друга[38 - «9/11 Commission Staff Statement No. 16», Комиссия по событиям 11 сентября, 16 июня 2004 года, https://www.9–11commission.gov/staff_statements/staff_statement_16.pdf.]. Их деяние ужасно, но ситуативные трудности, которые они преодолели для его осуществления, были экстраординарными настолько, что никто даже представить себе не мог, что угроза такого рода вообще реальна.

Мы материальные существа, привыкшие защищать себя в материальном мире. Проблема в том, что киберпространство – это нечто совершенно другое.

Кибердень

Пришло время поговорить о дне другого рода: кибердне.

Вы просыпаетесь утром и проверяете свою электронную почту. Среди груды спама обнаруживается уведомление о необходимости заплатить за электроэнергию, что вы и делаете. Вам нездоровится, но благодаря прелестям киберпространства покидать дом в поисках лекарства нет нужды: вы задаете симптомы в поисковой системе, находите интернет-аптеку, заказываете медикаменты, оплачиваете их банковской картой и ждете доставки.

Или как насчет этого?

Вы просыпаетесь утром и проверяете свою электронную почту. Среди груды спама обнаруживается счет, выставленный, по всей видимости, вашим поставщиком электроэнергии. На самом же деле его послал жулик, пытающийся выманить у вас деньги, что ему и удается. Вам нездоровится, поэтому вы задаете симптомы в поисковой системе и находите сайт, предлагающий лекарства по удивительно адекватным ценам. Поисковая система делится вашими симптомами с несколькими партнерскими организациями, в числе которых оказывается ваша страховая компания, которая решает увеличить размер ваших взносов. Вы заказываете медикаменты и платите своей банковской картой. К несчастью для вас, этот «аптечный» веб-сайт размещен на компьютере в какой-то квартирке в Руритании[39 - Королевство Руритания – вымышленная страна центральной Европы, в которой происходит действие романа The Prisoner of Zenda Энтони Хоупа, 1894 год. Я взял на себя смелость использовать Руританию в качестве типичного государства, чтобы не обидеть ничьи национальные чувства. Я (бесстыдно) скопировал этот прием у моего коллеги Роберта Каролайна, который использовал Руританию в своих курсах по киберзаконодательству.] и продает продукты сомнительного качества. У этого веб-сайта есть несколько побочных «бизнес-направлений», одно из которых – быстрые покупки в сети при помощи ваших банковских реквизитов, а другое – удаленная установка на ваш компьютер пары программ, позволяющих неведомому руританцу найти на нем все, что может вызвать интерес, включая пароли и финансовые данные. Вас определенно ограбили, хотя вы даже не выходили из дома. Это был плохой кибердень.

Какой из этих двух кибердней «типичен»? Естественно надеяться, что вторая версия менее вероятна. Может быть, это даже действительно так, но для ее описания мне не потребовался полет фантазии, который лег в основу абсурдного нетипичного дня в материальном мире. Плохой кибердень выглядит правдоподобным, его элементы – обычными и распространенными. Как же так?

Провернуть мошенничество с поддельным счетом в киберпространстве намного легче, чем в реальном мире. Прежде всего, в Интернете намного дешевле и проще разослать миллионы фальшивых электронных уведомлений об оплате. Большую часть проигнорируют, но один-два успешных результата окупят всю затею. К тому же рядовому клиенту сложнее проверить подлинность цифрового требования, так как цифровые средства связи в разнообразии форм и стилей пока уступают материальным[40 - Появляется все больше и больше рекомендаций о том, как распознавать поддельные электронные сообщения. Например, см. «Protecting Yourself», Get Safe Online, https://www.getsafeonline.org/protecting-yourself (по состоянию на 10 июня 2019 года).].

Вводя запрос в поисковую систему, мы очень плохо представляем, что происходит с данными дальше. Они исчезают в киберпространстве, после чего компания, стоящая за поисковой системой, может обрабатывать их так, как ей вздумается (по крайней мере в теории). Когда результаты поиска выводят нас на онлайн-продавца, судить о его добропорядочности и качестве товара можно только по его сайту, тому, как он выражается, и ценам, которые он предлагает. Если мы не знакомы с этим продавцом, нам придется в какой-то степени принять его слова на веру. Большинство людей не осознают, насколько легко организовать бизнес в киберпространстве и создать настоящий (на первый взгляд) интернет-магазин из своей спальни в Руритании.

Покупки в Интернете по чужим банковским реквизитам будут продолжаться, скорее всего, пока банковская система противодействия мошенничеству не посчитает эту активность подозрительной, но это может произойти слишком поздно. Именно поэтому похищение и продажа информации о банковских картах сейчас лидирует среди преступных промыслов в киберпространстве. Удаленная установка на компьютер вредоносного ПО тоже не вызывает проблем – обычно для этого достаточно, чтобы ничего не подозревающий пользователь щелкнул по ссылке или загрузил вложенный файл. Такие вредоносные программы могут, к примеру, легко просканировать компьютер на предмет паролей и банковских реквизитов. Что еще хуже, они могут оставаться на компьютере вечно, играя роль цифровых «шпионов»[41 - Программное обеспечение, написанное для сбора и использования информации о ничего не подозревающем пользователе часто называют шпионским ПО. Это могут быть как относительно невинные программы слежения, предназначенные для подбора адресной рекламы, так и системы мониторинга, сообщающие сторонним лицам о любой активности, включая случайные нажатия клавиш.].

Плохой кибердень гораздо, гораздо вероятней, чем описанный ранее нетипичный день в реальном мире.

Незащищенность киберпространства

Киберпространство, каким бы оно ни было и где бы оно ни находилось, кардинально отличается от материального мира, и это отличие весьма существенно для безопасности. Чтобы понять, почему обеспечение безопасности в киберпространстве сопряжено с особыми трудностями, стоит взглянуть на него с точки зрения трех аспектов материального мира, которые мы уже обсуждали.