Берд Киви. Гигабайты власти

[Datchanin]

Бёрд Киви. Гигабайты власти. Информационные технологии между свободой и тоталитаризмом. — М.: Бестселлер, 2004.

Киви Бёрд (Бёрд Киви и kiwibyrd) (от англ. kiwi bird — птица киви) ) — псевдоним неизвестного автора, который вёл колонку «Кивино гнездо» в журнале Компьютерра. Основные темы статей — криптография, компьютерные технологии, защита информации и деятельность спецслужб.

страничка

Пара цитат:

Откуда исходит угроза миру?

HIDE

---

В последний день 1999 года на страницах популярного сайта Slashdot.org была опубликовано интервью с членами известной хакерской организации LOpht (В 2000 году на базе LOpht была создана консалтинговая компания @Stake, специализирующаяся на проблемах компьютерной безопасности), признанное читателями, как один из лучших материалов такого рода за всю историю Slashdot. Интервью было коллективным, то есть ответы давал как бы просто LOpht, без конкретизации отвечавших личностей. И один из самых первых вопросов звучал примерно так: «Чьи угрозы следует рассматривать более опасными для личных свобод, со стороны правительства или со стороны транснациональных корпораций?»

Вот что, в несколько вольном пересказе, ответили на это хакеры из Lopht:

Хотя и правительства, и транснациональные корпорации в значительной степени несут угрозу личным свободам человека (в частности, в Интернете), но существует опасность, значительно превосходящая первые две. Имя ей – неинформированные граждане. И как это ни парадоксально звучит, эта опасность многократно реальнее именно в условиях демократических режимов, где правительства стараются следовать общественному мнению. Потому что уже абсолютно четко видно, как большинство граждан вполне согласны и готовы поступиться своими личными свободами в обмен на ощущение некой безопасности. Обычно это укладывается в формулу типа «ради безопасности наших детей».

Уже сейчас многие люди полагают, что анонимный доступ к Интернету – это признак криминального поведения. Тем, кто управляет рычагами власти, обычно очень хочется, чтобы стремление воспользоваться правом на личную тайну воспринимали как «антисоциальное» поведение. Ведь добропорядочному гражданину нечего скрывать, не так ли? Это только террористам, наркодельцам и педофилам нужно скрывать свои темные замыслы.

На правительство надавливают неинформированные граждане, либо те, кому уже промыли мозги до стадии панического ужаса от угроз современных технологий и от тех людей, которые бесконтрольно могут технологии использовать (хакеров, одним словом). В этом процессе лоббирования активно участвуют и транснациональные корпорации, финансируя деятельность «озабоченных» общественных групп или принимая участие в деятельности ассоциаций, оказывающих консультативную помощь правительственным структурам в технических вопросах. И весьма часто эти рекомендации приводят к очередному урезанию священного права граждан на личные свободы.

Весьма проблематичным является и то, что мир деятельности транснациональных корпораций – это мир частной собственности. И когда какая-либо внешняя группа начинает заниматься тщательным анализом технологических продуктов или коммуникационных услуг корпораций, то возникают конфликты принципиального характера. Если эта группа обнаруживает существенный изъян, скажем, в безопасности и публикует информацию о дыре в защите, то корпорация в свою очередь нередко объявляет, что этим нанесен сильнейший ущерб ее деятельности и затевает судебное преследование в отношении опубликовавших компромат, а то и добивается изменений в законодательстве.

Одна из наиболее известных историй такого рода – судебная тяжба индустрии сотовой связи в США. Клонирование сотовых телефонов было острейшей занозой в наиболее нежных местах индустрии мобильной связи. В конце концов к решению проблемы привлекли американское правительство, дабы подобного рода мошенничество было запрещено специальным законом. В итоге же определенный участок спектра радиочастот стал в США запрещенным для прослушивания и сканирования. А обладание «оборудованием для клонирования» стало преступлением, хотя это просто компьютер, программатор перезаписываемых микросхем и сотовый телефон. Любому, кто понимает техническую суть проблемы, очевидно, что это явная глупость. Но имеющие большие деньги имеют и большое влияние на власть. И именно государственная власть принимает такого рода законы.

Правительство подталкивает людей, люди подталкивают правительство. Уже и не найдешь, кто первым высадил это семя… Те же, кто смыслят что-то в технологиях, страсть как все заняты разработкой какой-нибудь очередной крутой штуковины. Ну, а погруженный в эти технические чудеса мир тем временем все больше сползает к глобальной диктатуре, пока население понемногу привыкает к ней под видом «безопасности».

Конец цитаты, как говорится.

Что означают сертификаты?

HIDE

---

Примерно в то же время, когда Буш-папа становился не только человеком, но и кораблем, корпорация Microsoft известила всех поклонников своей продукции, что ОС Windows 2000 получила от АНБ США сертификат соответствия «Уровню 4» по международной системе общих критериев компьютерной безопасности или кратко EAL4 (от «Common Criteria Evaluation Assurance Level 4 certification») [RE02]. Здесь заметим, что к 2002 г. в процедуре сертификации произошли существенные перемены: национальную «Оранжевую книгу» сменили международные «Общие критерии», а сам процесс государственной сертификации стали проводить не спецслужбы, а наделенные полномочиями коммерческие компании и институты.

Поскольку общие критерии безопасности разрабатываются совместно спецслужбами ведущих стран Запада, то новый сертификат признается по крайней мере в 15 государствах и формально открывает Windows 2000 дорогу для официального использования в правительственных учреждениях. По словам Крега Манди, главного директора Microsoft по технологиям, процесс сертификации занял три года и стоил корпорации «многие-многие миллионы долларов». От указания точной цифры затрат Манди, правда, воздержался.

Что же на деле означает сертификат EAL4? С точки зрения реальной безопасности – практически ничего. Программные продукты Microsoft слишком хорошо известны изобилием дыр в защите, никто, естественно, всерьез и не предполагает, будто от получения сертификата Windows 2000 стала вдруг «пуленепробиваемой». По сути дела, сертификат лишь признает, что тестирование независимыми экспертами третьей стороны (в данном случае – уже знакомой нам корпорацией SAIC) подтвердило – код программ действительно работает так, как заявляет изготовитель.

Попутно нелишне отметить, что и прошлые (времен Эда Карри) сертификаты на соответствие уровню С2 «Оранжевой книги» также были чистой формальностью. Поскольку на самом деле уровень С2 никогда не присваивался операционной системе вообще, а только вполне конкретной конфигурации ОС, работающей на вполне конкретной машине. Так, Windows NT 3.5 была аттестована на уровень С2 в условиях компьютеров Compaq ProLiant 2000, ProLiant 4000 и DECpc AXP/150. Причем, что существенно, только в условиях автономной работы машины, без каких-либо подсоединений к сети. Понятно, что на самом деле Windows NT повсеместно используется именно как сетевая операционная система.

Как бы там ни было, но для правительственных заказчиков наличие сертификата крайне важно, поскольку официально во многих государственных ведомствах работать с документами можно лишь на тех компьютерах, где установлено ПО, сертифицированное на соответствия принятым стандартам безопасности. Ныне это Common Criteria (CC). Конкретно о том, что означает уровень CC EAL4, лучше всего процитировать мнение сведущего эксперта. Вот что говорит Джонатан Шапиро, профессор Университета Джонса Хопкинса, участвующий в обкатке новых, еще далеких от завершения СС, и много лет занимающийся вопросами тестирования ПО на предмет безопасности:

Номер уровня оценки от 1 до 7, по идее создателей критериев, выражает степень доверия конкретной системе. Самый низший уровень EAL1 означает, по сути дела, что изготовителю просто достаточно показаться на официальной встрече в инстанциях. Высший уровень EAL7 означает, что все ключевые части системы строго протестированы математическими методами (правда, общедоступного описания этих методов нет). Уровень же EAL4 означает, что документация по архитектуре системы была оценена с применением нетребовательных критериев. Эту оценку можно уподобить поверхностной аудиторской проверке бухгалтерии, когда аудитор просматривает оформление бумаг на предмет соответствия общепринятым стандартам, однако совсем не углубляется в проверку правильности каких-либо цифр. Оценка EAL4 не требует исследования собственно программ, и никаких исходных кодов здесь не проверяется. Что же здесь реально оценивается, так это огромное количество документации, описывающей процесс работы программного обеспечения. Причем документация эта в принципе не может ничего сказать о качестве самого программного обеспечения.

Если же говорить в терминах компьютерной функциональности, то система с конкретным сертификатом EAL4, полученным на Windows 2000, не подразумевает ни подключение к Интернету; ни работу с электронной почтой; ни установку программ от разработчика, к которому нет 100-процентного доверия (сама корпорация Microsoft, кстати говоря, замечена в рассылке клиентам компакт-дисков с ПО, зараженным вирусом).

Таким образом, заключает Шапиро (после существенно более развернутого объяснения), в данном конкретном случае сертификат соответствия EAL4 свидетельствует лишь о следующем: корпорация Microsoft потратила многие миллионы долларов на создание документации, демонстрирующей, что Windows 2000 четко удовлетворяет неадекватному набору требований безопасности, а всякий пользователь может быть вполне уверен, что именно так дела тут и обстоят.

[e-S[oul]Calibur]

kiwi byrd arXiv - Архив статей