Всевидящее око: как не оставить цифровой след в интернете
В России каждое 20-е преступление совершено в интернете, но раскрывается меньше половины из них. А о многих кражах нельзя даже заявить в полицию. Например, пожаловаться на похищение боевого мага из онлайн-игры, который стоит сотни тысяч рублей. При этом с каждым годом число киберпреступлений будет расти в геометрической прогрессии, но технологии защиты становятся всё более совершенными. Например, сейчас в МФТИ разрабатывают новый тип биометрии — через пару лет появится рефлекторная идентификация. О том, как уберечься от преступлений в Сети и защитить свою личную информацию, эксперты рассказали на круглом столе «Известий».
Ничего личного
«Известия»: Какие угрозы конфиденциальности в Сети сейчас самые серьезные?
Евгений Лифшиц, глава АКБ (агентство кибербезопасности): Опасно вообще находиться в Сети. Как только вы начали использовать телефон, любое электронное средство, создали свой первый аккаунт в соцсети, вы оказались в небезопасном пространстве.
Валерий Конявский, завкафедрой защиты информации МФТИ, доктор технических наук: Наши данные давно украдены, поэтому чего бояться? Я не уверен, что регистрация в сетях опасна.
«Известия»: Какую информацию достаточно безопасно размещать в интернете, а какую ни в коем случае нельзя?
Валерий Конявский: Это решает сам пользователь. Человек иногда должен находиться в полностью защищенном состоянии, когда, например, работает с деньгами, а иногда он хочет заниматься свободной навигацией по сомнительным сайтам и имеет на это право. Каждый раз нужно определять, что опасно и не опасно.
Кирилл Бельский, старший партнер адвокатского бюро «Коблев и партнеры», специалист по делам о защите информации: Всё очень индивидуально. Но в любом случае следует с осторожностью относиться к платежам в интернете, а также к размещению своей приватной информации.
Валерий Конявский: Одна сторона вопроса — как человек хочет представить себя окружающим. Другая — каким образом его отыскать. Это разные вещи. Пользователь вправе выбирать, как он выглядит в Сети. Но его следы крайне полезны, потому что позволяют вычислять и находить негодяев.
Кирилл Бельский: Электронная среда — это полноценный мир. Там нет простых универсальных решений.
Алексей Раевский, генеральный директор Zecurion, кандидат технических наук: Можно сказать, что, если у меня деньги не украли, я в безопасности. Чем больше денег могут украсть, тем опаснее.
Кирилл Бельский: В романе Оруэлла «1984» у каждого в квартире был телевизор, который подслушивал беседы. Поголовная аутентификация каждого пользователя в Сети похожа на эту ситуацию. У человека исчезает право на приватность. Фактически даже добропорядочные граждане подпадают под подозрение.
Евгений Лифшиц: «Закона Яровой», я считаю, достаточно. Весь трафик сейчас записывается и хранится полгода.
Алексей Раевский: Записывают не значит смотрят.
«Известия»: Контекстная реклама появляется не только тогда, когда ищешь товар в интернете, но и после телефонного разговора о грядущей покупке. Получается, слушают еще и телефон?
Евгений Лифшиц: Айфон вас спрашивает, когда вы устанавливаете приложение: «Разрешить приложению доступ к микрофону?», «Желаете ли вы участвовать в программе улучшения поиска?». Вы же сами не читаете пользовательские соглашения, которые вам предлагают, нажимаете «Ок», «Согласен», «Разрешаю».
«Известия»: Надо везде ставить «нет»?
Алексей Раевский: Варианта всего два: или соглашаться и пользоваться приложением, или отказываться от достижений цивилизации.
Евгений Лифшиц: Можно отключить телефоны, электричество и чувствовать себя в безопасности.
Защитить холодильник от чайника
«Известия»: Есть перспективные технологии защиты данных?
Алексей Раевский: При защите данных от злоумышленников можно только постараться не оказаться в числе первых, потому что всё время возникают новые способы атак и новые жертвы. Важно соблюдать минимальные требования, чтобы не попасть в число самых невезучих и безответственных.
Самый простой способ — быть параноиком. Не открывать файлы сомнительных писем.
Кирилл Бельский: И не открывать подозрительные ссылки. Вспомните правило Парето: 20% самых простых действий позволяют избежать 80% типовых угроз. Не стоит делать пароль 123456 или со своей датой рождения.
Евгений Лифшиц: Большинство людей ставят один и тот же пароль на все соцсети и почту. Если взломали одно — доступно и всё остальное.
«Известия»: Как часто надо менять пароли?
Кирилл Бельский: Хотя бы раз в полгода-год. В Мичиганском университете провели эксперимент и выяснили, что пароль из восьми знаков ломается за 24 часа подбора, пароль из 12 знаков — за 17 тыс. лет. Это пример, как небольшие изменения позволяют добиться большой защиты.
Евгений Лифшиц: Это не совсем так — зависит от вычислительных мощностей.
Валерий Конявский: Простые методы никогда не работают. Вы сделаете длинный пароль и тут же его забудете, поэтому напишете на бумажке и приклеите к себе на монитор.
Кирилл Бельский: Это верно. Как часто, приезжая на обыск в организацию, вижу стикеры со сложными паролями… приклеенные к монитору. К сожалению, людские слабости цифровизация не устранит.
Валерий Конявский: Пароль — это только одна необходимая мера из огромного числа, чтобы хоть сколько-то быть уверенными в своей защищенности. Но это не главная мера. Сегодня повсеместно используются механизмы безопасности, которые были сформированы для корпоративных систем, где известны все участники. А открытая система принципиально отличается. Мы не можем обеспечить доверенность всех компьютеров в мире, поэтому должны разрабатывать такие методы защиты, которые на недоверенных устройствах дают доверенные результаты.
Евгений Лифшиц: Мир поменялся. Эта железка на столе может во много раз больше, чем серьезный компьютер десять лет назад. Если вы как пользователь представляете интерес, ваш 12-значный пароль суперкомпьютер взломает за 70 часов. Для этого хакеры объединяются в сообщества, которые могут работать гораздо быстрее, нежели в одиночку.
Валерий Конявский: Развитие вычислительной техники с 40-х годов, когда появилась машина Тьюринга, шло по пути повышения универсальности, и сегодня наш компьютер умеет делать всё, ровно поэтому он страшно уязвим. Будущее в том, что для важных действий люди начнут использовать специализированные микрокомпьютеры, которые будут «обучены» только необходимому.
Алексей Раевский: Холодильники же взламывают, а там специализированные компьютеры.
Валерий Конявский: То, что они специализированные, не значит, что они сделаны верно. Когда мы между холодильником и чайником используем протокол для двух сетей, неизбежно появляется уязвимость. Мы за универсальность платим безопасностью.
Похищение боевого мага
«Известия»: Каждый год преступления в Сети меняются. Какие мошеннические схемы сейчас самые популярные?
Алексей Раевский: Меняются не преступления, а инструменты. Вчера это был банальный фишинг, сегодня он более продвинутый.
Евгений Лифшиц: Фишинг с предварительным изучением вашей социальной сети. Проблему кибератак и киберугроз создают сами же производители. Выходит очередное обновление вашей операционной системы: в такой-то iOS устранили такую-то брешь в системе безопасности. За два часа хакерское сообщество списывается, берет iOS, разбирает по полочкам и использует там, где эта уязвимость еще работает.
Кирилл Бельский: По данным Генпрокуратуры, в 2017 году количество преступлений в сфере информационных телекоммуникационных технологий увеличилось с 65 тыс. до 90 тыс.
«Известия»: При этом мы понимаем, что далеко не всё фиксируется.
Кирилл Бельский: Компьютерные преступления считаются высоколатентными, то есть потерпевшие о них, как правило, не сообщают в правоохранительные органы, и, таким образом, значительная их часть не попадает в статистические отчеты. Между тем 90 тыс. — это 4,4% от всех зарегистрированных в России преступлений, то есть почти каждое 20-е преступление. Это очень много, а с учетом серьезной статистической погрешности доля таких преступлений значительно выше.
«Известия»: Что говорит мировая статистика?
Евгений Лифшиц: Что каждый седьмой адрес в мире подвергся кибератаке.
Кирилл Бельский: Наша страна уверенно держит пальму первенства по количеству исходящих атак — на 1-м, 2-м или 3-м месте в мире в зависимости от периода и рейтинга. Если же суммировать Белоруссию, Украину, Россию, первое место обеспечено. Эксперты оценивают совокупный ущерб от кибератак в мире в диапазоне от $500 млрд до $1 трлн в год.
Евгений Лифшиц: Вслед за продажами преступления всё больше перемещаются в онлайн. Если у женщины украли сумочку, есть алгоритмы действий оперативника. Когда она заказывает продукты в «Утконосе», а кто-то подменил адрес и за нее получил заказ, у оперативника нет регламента.
Алексей Раевский: Могут украсть персонажа в онлайн-игре, на которого игрок потратил 300 тыс. рублей: танк или прокачанного боевого мага. Что ему скажут в ОВД, если он придет писать заявление о краже боевого мага?
Кирилл Бельский: Существует черный рынок этих ворованных персонажей, угнанных танков. Есть спрос, и он по законам рынка рождает предложение.
«Известия»: Нужен ли России министр кибербезопасности, как в Японии и, возможно, скоро будет в Британии?
Евгений Лифшиц: В киберпространстве очень тяжело устанавливать правила. Они должны быть интернациональные, потому что это глобальная Сеть. На современного кибертеррориста реагировать нужно мгновенно, должна быть слаженная работа цепочки стран. Но нет соответствующих межправительственных соглашений.
Кирилл Бельский: Министерство кибербезопасности создавать не нужно, но бороться с киберпреступностью следует. Выделим два основных направления такой работы. Первое — глобальная и государственная кибербезопасность. Второе — бытовая кибербезопасность: защита частных и коммерческих пользователей. Первое направление в основном обслуживают специалисты из ФСБ. Второе направление находится в ведении полиции, но там число специалистов очень мало.
В Москве, 20-миллионном городе, оно измеряется сотнями, а в некоторых субъектах РФ — вовсе единицами. Это что касается оперативников. Кроме того, мы наблюдаем критический дефицит следователей по данной категории дел. Во многих странах следователи по киберпреступлениям — это технические специалисты. В России это юристы, но юрист не может самостоятельно расследовать киберпреступление.
Алексей Раевский: А хакер — это каждый второй студент. Хакеров гораздо больше, чем сотрудников правоохранительных органов.
Валерий Конявский: Министерство кибербезопасности не нужно создавать, потому что не существует отрасли, которой оно должно управлять. В стране всего около 300 компаний, которые что-то понимают в области информационной безопасности. В МВД работает управление «К», хорошие специалисты там есть, хотя их безумно мало.
Для госкомпаний нужно 5 тыс. новых специалистов в год, а готовится 3 тыс. Физтех ежегодно готовит 12 специалистов по компьютерной безопасности. Ко мне на кафедру приходят дети, у которых средний балл по ЕГЭ 297–298. Это действительно таланты, лучшие дети страны. Мы их стараемся очень хорошо готовить. Это будущие ученые, аналитики, самый высокий класс. И всё равно их очень не хватает.
Рефлекторная биометрия
«Известия»: Сейчас государство предлагает всем пользоваться онлайн-услугами. Насколько они защищены?
Алексей Раевский: Госуслуги — это удобно. Это сокращает время, уменьшает расходы госаппарата на администрирование. Никто от этого не откажется.
Мы еще не столкнулись с тем, с чем уже давно столкнулись в той же Америке, — это преступления, которые называются «кражей личности». Там у каждого гражданина есть номер социального страхования, известный только ему. С его помощью можно себя идентифицировать, но если кто-то ваш номер узнал, он может за вас открыть счет, взять кредит, что-то купить. Если у нас сделают систему единой аутентификации, о чем поговаривают, это всё тоже расцветет пышным цветом.
Кирилл Бельский: Наша система госуслуг сейчас одна из самых передовых в мире. Это большой прогрессивный шаг к цифровому государству. Переход населения на использование цифровых госуслуг можно сравнить с переходом от бумажных денег к электронным. Человек — ленивое существо, всё, что делает его жизнь легче и комфортнее, он принимает с удовольствием.
Валерий Конявский: Нынешние госуслуги не являются защищенными. Нужно ли ими пользоваться? Да, это удобно. Но нужно помнить, что изменилась архитектура информационных систем — они стали открытыми. А надежных механизмов защиты пока нет.
Самые большие проблемы, которые в ближайшее время возникнут, связаны с внедрением биометрической идентификации. Она разрабатывалась для криминалистики, чтобы опознать труп или найти хулигана. В цифровой экономике пользователь заинтересован в том, чтобы его правильно идентифицировали, но не хакеры, а центры услуг.
«Известия»: Можно подделать биометрию?
Валерий Конявский: Можно подменить. Все наши компьютеры недоверенные. Я могу приложить свой палец, а компьютер отправит рисунок вашего пальца — это несложно сделать. Тогда ваш счет будет уязвим для меня. Ваших отпечатков пальцев везде полно.
Кирилл Бельский: В США расследовали убийство девочки. Чтобы разблокировать ее телефон и посмотреть переписку, сделали палец на 3D-принтере на основе дактилоскопических данных, приложили к смартфону, прочитали переписку и вычислили убийцу.
Валерий Конявский: На недоверенных устройствах должны быть совершенно другие способы идентификации, нежели те, что применяются в криминалистике. Физтех сейчас занимается разработкой биометрии на основе рефлексов. Если посветить в глаза фонариком, зрачок начнет сужаться. Скорость сужения и расширения зрачка у людей разная. Когда вы читаете текст, ваши глаза движутся совершенно индивидуально. Рефлекторная, динамическая биометрия абсолютно надежно идентифицирует человека.
Техника практически готова, осталось научить ее, создать нейронные сети. Это дело не очень далекого будущего. У Физтеха есть необходимая компетенция. Думаю, через два-три года у нас появится рефлекторная идентификация.
ОБЖ для виртуального мира
«Известия»: Цифровой рейтинг, который уже используют в Китае, — это инструмент для манипуляции человеком или воспитательный фактор?
Евгений Лифшиц: Рейтинг поведения человека в цифровом пространстве может являться дополнительным фактором оценки при выдаче кредита или поступлении в институт. Можно сделать его инструментом для воспитания, который будет стимулировать этику, чистоту поведения в интернете.
Ребенок с момента, когда ему рассказали о существовании рейтинга, не будет совершать правонарушений в цифровом мире, которые могут ему помешать поступить в вуз.
Алексей Раевский: Приватности больше нет. Благодаря цифровым технологиям мир становится большой деревней, где все всё знают. С одной стороны, это плохо, с другой стороны, в деревнях не было преступности, не было воровства, замки на дверях не были нужны.
Но если у человека украли цифровой идентификатор и сделали от его имени что-то нехорошее, он замучается доказывать, что не виноват. Пока он сотрет пятно из истории, может пройти несколько лет. Это очевидная проблема.
Кирилл Бельский: Это история об изменении системы мироустройства. Кто является оператором социального рейтинга? Коммерческая компания. Она получает полный набор информации о гражданах и, по сути, решает, кому поступать в хороший вуз, ехать в первом классе, чьим детям учиться в хорошей школе. Например, Apple знает про нас всё, даже отпечатки пальцев большей части жителей Земли, снимки сетчатки глаза. Это история о том, что коммерческие корпорации уже возвышаются над государствами.
Следующий этап развития человеческого общества — когда корпорации будут мощнее, осведомленнее и влиятельнее, чем государства. Возникают новые наднациональные структуры. Государство имеет границы. Для Facebook, Apple или Alibaba этих границ нет, они будут собирать информацию про россиян, китайцев, англичан — кого угодно.
«Известия»: Какие советы вы даете своим детям, чтобы обеспечить их безопасность в Сети?
Евгений Лифшиц: Нужно в школе преподавать основы информационной безопасности, объяснять, что персональные данные в интернете порой дороже, чем паспорт. Фотографии с вашего телефона могут попасть к маньяку. Есть всевозможный софт для родительского контроля.
«Известия»: Что объяснить ребенку, чтобы он смог сам себя защитить простыми мерами?
Валерий Конявский: Мой ребенок — известный в отрасли специалист по информационной безопасности, но не всем так повезло. Всем я могу рекомендовать одно: если вы платите деньги через сервисы в интернете, имейте в виду, что они все недоверенные и легко ломаются. Заведите виртуальную карту, положите туда немного денег и заплатите с нее. Свою не используйте никогда. Больше ничего пока посоветовать нельзя.
Алексей Раевский: В программе ОБЖ есть рекомендации, что делать в случае терактов, техногенных катастроф, а про кибербезопасность там ничего нет, хотя вероятность стать жертвой теракта гораздо ниже, чем вероятность стать жертвой преступника в интернете.
Надо рассказать, что если тебе друг «ВКонтакте» пишет: «Пришли мне фотки», — может быть, что твоего друга взломали и пишут от его имени. Рассказывать, что в интернете можно потерять деньги.
«Известия»: Что хорошего и плохого нам ждать от цифрового мира завтра и послезавтра?
Кирилл Бельский: Количество киберпреступлений с каждым годом будет расти в геометрической прогрессии. Если несколько лет назад работали одиночки-хакеры, сейчас это превратилось в индустрию. Государство здесь всегда будет в роли догоняющего.
Алексей Раевский: Нам стоит ждать перехода преступности в цифровую сферу. Все преступления останутся теми же, будут направлены на те же самые объекты, но изменится механизм. Большие данные — одна из самых больших проблем. Если их научиться сопоставлять друг с другом, можно получать новые знания.
Анекдотический пример: в США сеть розничных магазинов вычислила, что девушка забеременела, до того, как об этом узнали ее родители. Ей стали слать предложения для беременных, возник скандал в семье.
Кирилл Бельский: Преступник будущего — это молодой человек, сидящий у монитора порой на другом конце земного шара, знающий математику, нейросети и, конечно, психологию.
Валерий Конявский: Главное, что мы можем сделать, — прививать цифровую гигиену, профилактический принцип, как мыть руки перед едой. Всё развивается так, как надо. От человека требуется одно — понимать, что такое хорошо и что такое плохо.
