Приведенные примеры интересны тем, что нападающие использовали не недостатки мер противодействия, а просчеты модели безопасности. Во всех случаях меры противодействия существовали, но они не решали истинную проблему. Хотя они могли преодолеть некоторые смежные проблемы. И в некоторых случаях решения создавали еще большие проблемы, нежели те, с которыми удавалось справиться.
Глава 20
Политика безопасности и меры противодействия
Если достаточно долго заниматься моделированием угроз, станет ясно, что понятие «система безопасности» имеет различные значения в зависимости от ситуации. Вот несколько примеров:
• Компьютеры, используемые в деловой сфере, должны быть защищены от хакеров, преступников и промышленных конкурентов. Военные компьютеры должны быть надежно защищены от тех же угроз, а также от проникновения вражеских военных сил. Некоторые коммерческие компьютеры, обслуживающие телефонные сети, также должны быть защищены от вторжений военных противников.
• Многие городские транспортные системы используют проездные карточки вместо наличных денег. Подобные им телефонные карты применяются повсюду и в Европе и в Азии. Такие системы обязаны быть застрахованы от всевозможных подделок. Конечно, это не проблема, если подделки обходятся дороже, чем настоящие карты.
• Программы безопасности электронной почты должны обеспечить защиту корреспонденции от любых попыток перлюстрации и внесения в нее изменений. Конечно, во многих случаях программными средствами невозможно обезопасить себя от некоторых манипуляций: это троянский конь в компьютере, атаки TEMPEST, видеокамера, которая может считывать с экрана, и т. д. Телефоны, использующие кодирование, имеют тот же недостаток: они сумеют обеспечить тайну переговоров в дороге, но бессильны против «жучков» в помещении.
Хитрость заключается в том, чтобы разрабатывать систему в расчете на реальные угрозы, а не использовать технологии безопасности все подряд в надежде, что из этого что-нибудь получится. Для чего необходимо выработать политику безопасности (иногда называемую моделью безопасности), основанную на анализе угроз, и уже затем разрабатывать механизмы защиты, которые реализуют эту политику и противодействуют угрозам.
Политика безопасности
Политика безопасности системы подобна внешней политике правительства: она определяет цели и задачи. Когда правительство обвиняют в непоследовательности во внешней политике, это происходит потому, что в его действиях отсутствует логика и нет общей стратегии. Точно так же без политики безопасности меры противодействия цифровой системы будут неупорядочены. Политика – это способ обеспечить всеобщую взаимосвязь.
Хорошая политика формируется как ответ на угрозу. Если угрозы отсутствуют, то нет и политики: каждый может делать все что угодно. Соединенные Штаты нуждаются во внешней политике ввиду угроз со стороны других государств. Штат Пенсильвания не нуждается во внешней политике, потому что остальные штаты не представляют для него опасности. То же самое с политикой безопасности – она необходима, потому что моделирование угроз не заканчивается пустой страницей. Политика безопасности определяет рамки, в которых осуществляются выбор и реализация мер противодействия.
Большая часть этой книги посвящена тактике, а политика имеет дело со стратегией. Вы не можете решить, какие виды защиты от мошенничества нужно использовать в сотовом телефоне, пока у вас нет стратегии реализации этих контрмер. Вы не можете ожидать, что дюжина инженеров, каждый из которых отвечает за безопасность одной маленькой части системы, будут вести себя согласованно, если нет общей политики, направляющей их работу. О политике безопасности помнят всегда, когда определяют и реализуют меры противодействия.
Не нужно доказывать, что каждая организация нуждается в политике безопасности для своей компьютерной сети. Политика должна очерчивать границы ответственности (кто отвечает за ее реализацию, проведение в жизнь, проверку, пересмотр), определять, что является основой политики безопасности сети и почему именно это. Последнее замечание очень важно, так как произвольная политика, «спущенная сверху» без объяснений, скорее всего, будет проигнорирована. Более правдоподобно, что сотрудники станут следовать ясной, краткой, логичной и последовательной политике.
Политика безопасности – это то, как вы определяете, какие меры противодействия использовать. Нужен ли вам брандмауэр? Как его сконфигурировать? Нужны ли маркеры доступа или достаточно использования паролей? Можно ли пользователям разрешить доступ к видео с их браузеров? Если нет никакой политики, то нет и возможности логически обосновать ответы на эти вопросы.
К сожалению, большинство организаций не имеют сетевой политики безопасности. А если и имеют, то никто ее не придерживается. Я знаю историю проверки одной сети, в которой использовался брандмауэр, защищавший границы между двумя половинами внутренней сети. «Какая сторона находится внутри брандмауэра, а какая – вне его?» – спросил проверяющий. Этого никто не знал. Это – пример организации с плохой политикой безопасности.
В любом случае политика безопасности должна в первую очередь давать ответы на вопрос «почему», а не «как». «Как» – это тактика, контрмеры. Трудно выбрать правильную политику, но еще труднее определить комплекс мер противодействия, которые позволят ее реализовать.
Доверяемое клиенту программное обеспечение
Мы коснулись различных аспектов этой проблемы в главах, посвященных защите программного обеспечения от копирования, присвоению интеллектуальной собственности и цифровым водяным знакам. Некоторые компании продают программные продукты с правами исключительно индивидуального пользования: аудио– и видеофайлы, которые нельзя скопировать или перепродать; данные, которые можно прочитать, но нельзя распечатать; программное обеспечение, которое не может быть скопировано. Другие компании «продвигают» по электронной почте свои секретные решения в письмах, которые нельзя прочитать по прошествии времени и которые автоматически «удаляются» после определенной даты. Третьи используют технологии электронной коммерции, в которых реализованы другие виды прав.
Общая идея всех этих решений состоит в том, что Алиса может послать Бобу файл, а затем проверить, что впоследствии происходит с полученным файлом. В случае программ, распространяемых по почте, Алиса хочет контролировать удаление файла с компьютера Боба. Если речь идет о продуктах с правами исключительно индивидуального пользования, Алиса посылает Бобу файл, но ограничивает время его просмотра, возможности копирования, изменения и пересылки третьим лицам.
Но это не работает. Контроль над тем, что Боб делает с некоторыми данными, предполагает, что доверенное (Алисой) программное обеспечение установлено на компьютере Боба. Такого не бывает, поэтому эти средства неэффективны.
В качестве примера рассмотрим игры онлайн. Многие игры в Интернете позволяют участвовать в них множеству игроков одновременно, а в некоторых даже проводятся турниры с денежными призами. Хакеры придумали компьютерных противников – ботов (bot), которые помогают в игре, особенно в таких, как Quake и NetTrek. Идея состоит в том, что бот реагирует намного быстрее, чем человек. Таким образом, игрок, их использующий, получает большие преимущества[52]. За этим последовала «гонка вооружений», когда создатели игры пытались выводить из строя этих союзников игроков и заставлять играть по справедливости, а хакеры, в свою очередь, делали более умных и менее уязвимых ботов.
Эти игры создаются в расчете на доверяемое клиенту программное обеспечение, а хакеры умело разрушают любую хитрость, противопоставленную разработчиками игр. Я постоянно восхищаюсь усилиями хакеров, которые они прилагают, чтобы преодолеть системы безопасности. Из этого можно извлечь двойной урок: не только неразумно считать, что программы будут использоваться согласно оказанному доверию, но также нет никакого способа когда-либо достичь нужного уровня защиты.
Противниками всех этих систем – пропадающих почтовых сообщений, ограничения права пользования музыкой и видео, справедливого ведения игры – являются два типа нападающих: средний и квалифицированный пользователи. От среднего пользователя можно защититься любыми средствами. Дядюшка Стив хочет только получить бесплатно копию Norton Utilities, Короля-Льва или самого последнего компакт-диска Робина Хичкока. Для этой ситуации не существует аналога в физическом мире; дядюшка Стив не сможет сделать отдельную копию сумочки от Шанель, даже если он этого захочет. С одной стороны, он более неуловим; с другой – причиняет меньше материального ущерба. Дядюшка Стив – не организованный преступник, он не собирается создавать преступную сеть. Он даже не станет покупать программное обеспечение, видео– или компакт-диск в том случае, если ему не удастся раздобыть бесплатную пиратскую копию. Остановить дядюшку Стива способны почти все меры противодействия, и нет необходимости в сложных программах для обеспечения безопасности.
