Третья мировая война. Какой она будет
Шрифт:
Самая распространенная ошибка — переполнение буфера. Код веб-страницы должен быть написан так, чтобы пользователь имел возможность ввести фиксированный объем данных, например имя пользователя и пароль. Вспомните Twitter, где вы за раз можете ввести не более 140 символов. Но если разработчик кода забывает ограничить количество символов, пользователь может ввести что-нибудь лишнее. И вместо имени пользователя и пароля там окажутся несколько строк кода, дающих вам права администратора. Представьте, как эти команды оказываются в полях ввода персональных данных пользователя и превращаются в приложение. Ваша страничка начинает думать, что это вошел системный администратор, и — пинг! — нарушитель внутри.
Ошибки программного кода непросто обнаружить. Даже специалистам бывает сложно идентифицировать ошибки или слабые места в нескольких строках кода. А если речь идет о миллионах строк? Конечно, существуют программы, проверяющие корректность написанного кода, но и им не под силу выловить все ошибки. Каждая новая строка кода увеличивает количество багов программы.
Иногда разработчики кода специально оставляют «черные ходы», чтобы иметь возможность обновить код в дальнейшем. Но иногда они делают это по менее достойным причинам. Порой другие люди — хакеры и кибервоины — используют их для того, чтобы незаметно проникнуть в сеть. Когда кто-нибудь взламывает программный продукт (в процессе его разработки или позднее), он может не только украсть копию программы, но и добавить в нее что-нибудь лишнее. Умышленно оставленные «черные ходы», так же как и те, что появляются в результате ошибок, позволяют хакеру получить неограниченный доступ. Хакеры продают и покупают друг у друга «права доступа». Если у вас есть права неограниченного доступа к программе или сети, вы получаете все права и полномочия создателя программы или администратора сети. Вы можете изменять программу, добавлять учетные записи пользователей — делать все что угодно. И, что важно, вы можете уничтожить все следы вашего пребывания здесь, как вор, стирающий отпечатки пальцев и сметающий следы ног.
Разработчики кода могут оставлять не только «черный ход», но и логические бомбы. Логическая бомба в своей самой простой форме — это устройство, которое уничтожает программное обеспечение компьютера, превращая его в бесполезную груду металла. Более совершенные логические бомбы могут сначала дать команду аппаратным средствам сделать что-нибудь во вред себе, например вызвать скачок напряжения в электрической сети или заставить самолет уйти в пике. Затем стирается все, включая саму бомбу. АНБ все больше беспокоит проблема логических бомб, поскольку они, скорее всего, уже заложены по всей нашей электрораспределительной сети. В этом есть определенная ирония, ведь именно американские военные изобрели такую форму оружия. Одна из первых логических бомб, которая, возможно, и стала предвестником кибервойны, была создана еще до эпохи массового распространения Интернета. В начале 1980-х советское руководство составило для своей разведывательной службы КГБ список западных технологий, которые нужно было выкрасть. Один агент КГБ, у которого был доступ к этому списку, решил, что предпочтет провести остаток дней, потягивая вино в парижском кафе, а не замерзая в Сибири, и поэтому передал этот список французской разведке в обмен на французское гражданство. Франция же, будучи участником Западного альянса, передала его США. КГБ, не зная о том, что у западной разведки есть этот список, продолжал работать. Когда Франция передала список ЦРУ, президент Рейган дал добро на «помощь» Советскому Союзу. ЦРУ начало специальную программу, позволившую Советскому Союзу выкрасть необходимые технологии, но предварительно добавила незначительные ошибки в схемы истребителей-невидимок и космического вооружения. Но не чертежи были основной целью КГБ. Прежде всего России были нужны коммерческие и промышленные технологии, в частности для нефтяной и газовой промышленности. Нефть и газ должны пройти по трубопроводам тысячи километров, чтобы попасть к западным или российским покупателям. В России ощущался острый недостаток технологий автоматизированного управления трубопроводами. Советский Союз пытался купить их у американских компаний, но получил отказ, в связи с чем решено было выкрасть их у канадской фирмы. ЦРУ внедрило вредоносный код в программное обеспечение этой компании, и, когда русские украли код и стали использовать его для управления своими трубопроводами, все поначалу шло отлично. Но какое-то время спустя программа начала ошибаться. В одном сегменте трубопровода программа заставила насос работать на полную мощность, а в другом — закрыла клапан. Давление увеличилось, и произошел самый крупный неядерный взрыв за всю историю — более трех килотонн.
Если холодная война с Россией разгорится снова или если нам придется воевать с Китаем, превосходство окажется на стороне наших противников. Передовой арсенал, которым обладают Соединенные Штаты, может обернуться против нас самих. Наши военно-воздушные, сухопутные и военно-морские силы зависят от сетевых технологий и уязвимы перед кибероружием, которое разработали Китай и другие противники, чтобы уничтожить традиционное американское превосходство. Вооруженные силы США не способны обойтись без Интернета, как не способен обойтись без него крупнейший интернет-магазин Amazon.com. Материально-техническое обеспечение, управление и контроль, вывод флота на позиции, наведение орудий на цели—все базируется на программном обеспечении и прочих связанных с Интернетом технологиях. И все это так же не защищено, как ваш домашний компьютер, поскольку использует те же несовершенные технологии и то же небезопасное программное и аппаратное обеспечение.
С ростом аутсорсинга увеличивается количество иностранных соисполнителей из Индии и Китая, что, как говорит Фридман, лишь повышает вероятность того, что наши столь же сильные соперники уже сумели проникнуть в главные компании по выпуску программного обеспечения и внедрили свои коды в программы, которым мы привыкли доверять. Эксперты в области вычислительной техники давно уже считают, что коды двух самых распространенных операционных систем написаны хуже всего и не отлажены. Это операционные системы Microsoft Windows, предназначенные для компьютеров и ноутбуков, и Cisco — для маршрутизаторов. Обе системы проприетарны, что означает, что они не находятся в свободном доступе. Вы можете купить программное обеспечение как конечный продукт, но вы не имеете доступа к исходному коду. Было несколько случаев, когда защита Microsoft не помогла похитить исходный код, что позволило хакерам исследовать программные ошибки и найти способы использовать их.
Как я упоминал во второй главе, Китай в конечном итоге принудил Microsoft к сотрудничеству. Китайское правительство объявило, что вместо использования Microsoft будет разрабатывать собственную систему Red Flag на основе Linux. Вскоре после этого Microsoft начала переговоры с официальным Пекином на высочайшем уровне, а консультантом выступил Генри Киссинджер. Microsoft снизила цену, предоставил китайцам свой закрытый код, и открыла научно-исследовательскую лабораторию в Пекине (которая напрямую связана со штаб-квартирой Microsoft). Сделка состоялась, президент Китая посетил затем Билла Гейтса в его доме близ Сиэтла. Китайское правительство теперь пользуется программами Microsoft, но только с добавлением специального модуля шифрования, подготовленного китайской стороной. Один бывший офицер американской разведки сказал нам: «Наверное, это значит, что никто не сможет легко взломать Windows, чтобы заняться шпионажем в Китае. Но это определенно не значит, что Китай не сумеет взломать Windows, чтобы пошпионить за остальными».
То, что можно сделать с миллионами строк кода, можно сделать и с миллионами микросхем внутри компьютеров, маршрутизаторов, серверов. Чипы — это кремниевые внутренности компьютера. Их можно модифицировать, так же как компьютерные программы. Большинство специалистов не смогут, посмотрев на микросхему, определить, есть ли в ней лишние элементы или «черные ходы». Компьютерные микросхемы изначально выпускались в США, но сейчас в основном производятся в Азии. У американского правительства когда-то было собственное производство чипов, однако этот завод не поспевает за развитием технологий и не может выпускать микросхемы, необходимые для современных систем.
Недавно второй крупнейший в мире производитель микросхем, AMD, объявил о намерении построить самый передовой завод по производству микропроцессоров в северной части штата Нью-Йорк. Отчасти он будет финансироваться правительством, но не американским—в AMD вкладывают средства Объединенные Арабские Эмираты.
Дело не в том, что американское правительство не видит проблем, что программное и аппаратное обеспечение производится по всему миру. На самом деле в последний год своего президентства Джордж Буш-младший подписал PDD-54 — секретный документ, где намечены шаги, которые необходимо предпринять для лучшей защиты от кибернападения. Одной из таких программ должна стать «безопасная цепочка поставок», но американскому правительству будет трудно покупать программное обеспечение и аппаратные средства исключительно в США.
Ни уязвимость архитектуры Интернета, ни дефекты программного обеспечения и аппаратных средств не объясняют, как кибервоины могут заставить компьютеры начать атаку. Как чья-то разрушительная рука может протянуться из киберпространства в реальный мир и нанести серьезные повреждения? Ответ мы найдем, вернувшись в Интернет и киберпространство американской промышленности 1990-х. В течение десятилетия руководители ряда информационно-технологических компаний рьяно демонстрировали прочим корпорациям, как им удается экономить огромные суммы денег, пользуясь компьютерными системами. Помимо электронной почты или электронной обработки информации практика деловых отношений включала в себя системы автоматизированного управления, мониторинг материально-производственных запасов, доставку «точно в срок», аналитику баз данных, программы искусственного интеллекта. Главный исполнительный директор одной компании с воодушевлением рассказывал мне в конце 1990-х, как он использует эти возможности в собственной фирме: «Если кто-нибудь хочет что-то приобрести, он заходит на наш сайт. Указывает свои требования и нажимает кнопку „купить“. Наша система извещает производителей, планирует доставку компонентов на сборочный завод, составляет расписание сборки и доставки. На сборочном заводе промышленные роботы собирают продукт и упаковывают его в коробку с адресом получателя. Нам не принадлежат ни сервер, который принимает заказ, ни заводы по изготовлению комплектующих, ни сборочный завод, ни самолеты, ни грузовики. Все привлекается со стороны, и все это — доставка “точно в срок“».