Наткнулся я тут в Интернете на интересную картинку, которая очень удачно легла на истерию последних недель, которая разгорается в США по поводу "русских хакеров в погонах" и в России по поводу "угрозы АНБ".
Но рассмотреть я ее хотел не в контексте атрибуции, о которой я уже написал . Речь пойдет о моей личной модели нарушителя. В свое время я уже поднимал эту тему, рассуждая о ПП-1119 и возможности определения актуальности угроз персональным данным. Тогда я высказал мысль, которой придерживаюсь до сих пор, что актуальность угрозы определяет оператор (на самом деле это написано в самом Постановлении Правительства) и никто не может его заставить выбрать какие-то иные, зачастую мифические угрозы. Вот с моей личной моделью нарушителя ситуация ровно та же.
Есть ли вероятность, что АНБ может меня взломать? Да, безусловно. Такая вероятность есть. Будет ли АНБ меня ломать? А зачем? Существует куча иных способов получения доступа к моим данным, 95% которых и так публична. При моем пересечении границы США, в рамках действующего американского законодательства, у меня могут спокойно изъять мой ноутбук и потребовать от меня предоставить к нему доступ. И получить доступ к моей учетной записи в Apple, Google и других американских ИТ-сервисах АНБ, в рамках действующего американского законодательства, может беспрепятственно. И прослушивать они меня могут без особых проблем - направленные микрофоны еще никто не отменял и никакие скремблеры или шифраторы от них не спасут. У АНБ, если предположить, что они будут мной интересоваться, существует огромное количество достаточно простых способов незаметно взять меня "на контроль". Только вот зачем я им? Это ключевой вопрос при составлении моей модели нарушителя. Вчера на "Код ИБ" в Челябинске я задал ровно тот же вопрос аудитории и получил вполне ожидаемы ответ - никто не рассматривает АНБ, как угрозу для себя и своих компаний.
Криминалитет представляет для меня гораздо большую опасность, так как я активно пользую различные финансовые инструменты в Интернет и не хотел бы, чтобы мои деньги украли через непатченную уязвимость в Flash-плагине браузера или через дыру в моем Интернет-банке. И разработчик ПО для моего фитнес-трекера, который не знал про SDLC, и поэтому все данные о моем здоровье и перемещениях могут быть слиты в Интернет, - это тоже нарушитель, который мне актуален. И сосед по лестничной клетке, который может подцепиться к моей точке доступа и за мой счет ходить в Интернет или прослушивать мой трафик; он тоже включен в мою модель нарушителя (хотя и не с самым высоким приоритетом). И посторонний человек, который может заглядывать ко мне в экран ноутбука, когда я сижу в аэропорту, тоже представляет для меня угрозу. И пассажир метро, создавший "левую" точку доступа с SSID московского метро, в которому смартфон может подключиться автоматически. В конце концов взломщик этого блога или моего Твиттера для меня тоже более актуален, чем АНБ.
Это все реально и с этим я борюсь в меру моих возможностей и знаний. А вот с АНБ я бороться не могу (как и с ФСБ, Моссадом, Ми-6, НОАК и другими спецслужбами). Потому что я примерно представляю уровень их возможностей. Могут ли они использовать уязвимости в прикладном ПО? Да, могут. А в операционной системе? Тоже могут. А в процессоре Intel? Да, снова могут . И если я еще могу выстроить процесс управления (именно управления, а не устранения) уязвимостями в ПО, то на уровне процессора - увы. И на уровне используемого мной дома маршрутизатора тоже. И на уровне аппаратной начинки смартфона. Это вне моих возможностей. Покупать отечественный ПК на базе Эльбруса? Домой? Нет уж, увольте. Ставить какой-нибудь клон Линукса, смело названный российской защищенной ОС? Ну уж нет. Покупать "МойОфис"? В топку. Я прагматик и предпочитаю здоровый баланс безопасности и удобства. АНБ не вписывается в него, а посему и загонять себя в прокрустово ложе отечественных, и почему-то именно поэтому считающихся автоматически защищенными, технологий я не готов. Так зачем мне напрягаться? Я принимаю этот риск, занимаясь более приземленными и более актуальными для меня проблемами, бороться с которыми и проще, и доступнее, и дешевле.
Возможно у кого-то будет другая модель нарушителя. Вполне допускаю. Какой-нибудь фанат "Дождя" или "Медузы" может подумать, что за ним следит ФСБ и так и норовит узнать о его контактах с американским Госдепом. И специально для этого он купит BlackPhone, отключит по совету Сноудена GSM и GPS, обернет телефон в фольгу и будет думать, что он защитил себя от спецслужб. И какой-нибудь условный "Ролдугин" или "Песков" может всерьез рассматривать сотрудников Форт-Мида в Мэриленде в качестве своей основной угрозы. В этом, наверное, и состоит отличие специалиста от неспециалиста. Одни борются с актуальными угрозами, другие с мифическими. Одни находят баланс, другие перегибают палку. Одни тратят на безопасность исходя из актуальных для себя угроз, другие перестраховываются многократно. Каждый выбирает для себя.
ЗЫ. С корпоративными моделями нарушителей ситуация идентичная, но это уже не тема данной заметки. Понятно, что для государственных и военных систем, обрабатывающих определенного рода информацию, угроза со стороны АНБ будет вполне реальной.
