Журнал Компьютерра - Журнал «Компьютерра» № 47-48 от 19 декабря 2006 года (Компьютерра - 667-668)
C.: Наши стандарты на электронную цифровую подпись построены на алгоритме типа Эль-Гамаля. Поэтому PGP, RSA и все, что вокруг них, у нас не лицензируется, насколько мне известно. Но там, где не нужна лицензия, - пожалуйста. Де-факто PGP сейчас почти стандарт для шифрования частной переписки в Интернете.
А опенсорсность дает преимущество в надежности? Ведь программу могут проверять все желающие.
С.: Чтобы аккуратно просмотреть такие коды, нужны огромные затраты, надо надолго занять группу высококлассных спецов. В Минатоме в начале 90 х изучали коды Microsoft Windows одной из тогдашних версий (они были предоставлены Microsoft в полном объеме), в связи с установкой специального ПО на предприятиях атомной отрасли по программе контроля за ядерными вооружениями. Аналогичная история была позже, в связи с использованием программ под Windows в госструктурах. Коды были открыты на каких то сверхжестких условиях, смотреть можно было только в отдельном помещении, с дискетой не заходить, смотреть с экрана и т. п. - но тем не менее. В результате - отдельные куски проанализировали, ничего не нашли. Ну и что? Полностью все эти гигабайты невозможно проанализировать. То же самое и с опенсорсом.
У нас есть разработки своих защищенных операционных систем?
Я.: Леонид, что значит «у нас»? Все равно каждая фирма, организация доверяет только себе. Из-за того, что сегодня все демократично, понятие «у нас» лишается того смысла, который вы, я полагаю, в это слово вкладываете.
С.: Классический пример. Я вел переговоры с одним банком о проекте по оценке их инфобезопасности. Говорю: в нашем институте есть специалисты, которые могут провести так называемое «обследование безопасности информационных систем» (мы такие работы часто делаем, в том числе для коммерческих фирм). Объясним, где у вас дыры могут быть. Смотрю - нет реакции. Потом объясняют: «Алексей, приходи к нам в банк работать, и тогда ты это сделаешь. Но заказывать на стороне такое исследование мы не хотим, потому что придется раскрыть информацию, которую не хотим раскрывать. Мы доверяем только себе и своим сотрудникам». Это просто классический пример отношения к внешнему аудиту.
И в критических ИС то же самое?
С.: Естественно.
Я.: Я совсем по-простому скажу. Вторая сторона вопроса - не всегда даже крупный игрок заинтересован, чтобы у него не было дыр в ИБ.
Почему?
С.: Потому что иногда он думает: «Если ты придешь ко мне и сделаешь все как надо - как же я тогда буду воровать деньги?»
РАСКРЫТЬСЯ, ЧТОБЫ ЗАЩИТИТЬСЯ
С.: Пример с нестыковкой ведомств в Нью-Йорке, о котором мы говорили, показывает одну из самых больших опасностей, связанных с ИБ критических ИС. Эти ИС - огромные и очень сложные, но часто построены на сегментах, которые мало связаны друг с другом. Внутренние сети министерств и ведомств очень плохо совместимы, и это глобальная проблема. К счастью, этим всерьез занялись Минсвязи и Федеральное агентство по инфотехнологиям.
Я.: У нас когда то пустили создание этих сетей на самотек, и каждый лепил, как мог. Но два года назад все это было проанализировано, и приняли единственно возможное решение - делать надстройку, через которую все будут общаться, то есть создать федеральный информационный центр для межведомственного взаимодействия. В этом году уже демонстрировался макет системы. Данные из Москвы передавались в центр другой организации, условно говоря - кто-то пришел в Москве в ГИБДД, и запрос об этом человеке, о машине идет по всем ведомствам. И по квартире, кажется, был такой тестовый запрос. Все сработало более или менее нормально.
Где же берутся кадры для всех этих проектов? ИБ сегодня - это множество рабочих мест. ИБ - самая модная ИТ- специальность в любом вузе. Действительно тут есть большое поле деятельности или это просто мода?
Я.: Специальность и правда модная, но люди, которые закончили МГУ - ВМК, мехмат, не очень востребованы по этой линии. В основном нужны не разработчики, а те, кто будет эксплуатировать готовые системы.
С.: Не совсем согласен. Я знаю, что в коммерческих структурах, в банках на самом деле востребованы квалифицированные люди, которые могут разрабатывать и сопровождать именно построение системы ИБ в целом. Конечно, надо ее и наполнить - купить нужное железо, поставить нужные программы, но в первую очередь грамотно придумать концепцию системы. Если же говорить о науке - например, о криптографии, то в ней и в смежных вопросах ИБ сейчас огромное количество новых научных задач. Надо только учитывать сейчас степень востребованности науки в России вообще.
Я.: По поводу задач в более широком смысле слова - существует официально утвержденный в 2001 году список 114 приоритетных научных задач в области ИБ (показывает документ: «Научные и методологические проблемы информационной безопасности», сборник статей под ред. В. П. Шерстюка, М., МЦНМО, 2004).
Беру наугад. Задача 2.2.1.5 - «исследование проблем информационной безопасности общероссийской информационной структуры». Нужное дело, бесспорно. Но как может быть сразу 114 приоритетных задач? В каком смысле они приоритетные?
Я.: Это очень полезный список, здесь представлены все аспекты ИБ, от фундаментальных философских до математики, криптографии, стеганографии, и кончая кадровыми вопросами. Многое имеет отношение и к критически важным ИС.
Отлично. Но давайте в заключение обсудим простой житейский вопрос: с чего начать компании, которая хочет себя защитить?
С., Я. (хором): От чего?
От атаки по информационным каналам.
С.: Нет, так не ставится вопрос. Компания должна четко объяснить специалисту, от чего она хочет защититься. Все компании всегда произносят те же слова, что и вы сейчас! Тут и начинается работа специалиста, который конкретизирует - от кого защитить, что защитить.
Я.: Защита всегда конкретна. Нужно понять, какую информацию хотим сохранить, и самое главное - создать модель противника.
С.: Может быть такая постановка задачи: мне не страшно, что будут читать то, что я пишу, - но страшно, если там что нибудь изменят. Или так: если прочитают Петров и Сидоров, не страшно, а если мистер Джонс - страшно. Причем все они работают в моей компании.
Я.: Чтобы дать рецепт, нужно влезть в компанию. То есть если хочешь получить надежные рецепты - должен раскрыться. Вот это многих останавливает. Первый этап информационной защиты - твоя оценка того, кто тебе угрожает.
А у нас даже ИС этого не делают?
С.: Нет, конечно. Вместо этого они идут на большие расходы и создают собственные подразделения, куда и пытаются набрать лучших специалистов.
Вот это и есть ключевой тезис - о раскрытии. Очень серьезная проблема!
Я.: Ключевой тезис такой: у нас в стране не было и пока нет системы подготовки кадров, которые могли бы давать такие рекомендации. Остались только те, кто был воспитан еще… в давние времена. Поэтому во всех крупных структурах люди именно такие. Для этого нужно быть широко образованным человеком.
Такого образования уже нет?
Я.: Нет.
То есть - катастрофа?
Я.: Катастрофа. Мы в МГУ очень узкие специализации готовим. Людей широкого профиля, которые могут дать рекомендации по защите крупного объекта, никто нигде в России не готовит. За исключением закрытых структур, готовящих кадры для закрытых же структур. 120 вузов открыли специализацию по ИБ. Но по пальцам можно пересчитать вузы, которые готовят действительно хороших специалистов.
С.: Чтобы готовить специалистов, нужно самому быть специалистом и иметь большой опыт. А таких преподавателей, увы, немного.
Что можете порекомендовать - где лучше учиться по этому профилю?
Я.: Лучше всего - в ИКСИ (Институт криптографии, связи и информатики) академии ФСБ. Но он готовит специалистов только для военных и для себя. Далее - МИФИ (факультет ИБ), МГТУ им. Баумана (но там тематика несколько уже, с ориентацией на технические средства защиты). Потом - РГГУ, МИЭМ, Московский Университет связи, в МИРЭА есть хорошая кафедра. В послед ние годы резко вырос Самарский университет. Проблема образования каждый год обсуждается на всех уровнях - но пока ничего не сдвинулось с места.
А на Западе какие университеты сильнее всех по этой части?
С.: Там много очень сильных школ. МТИ, Цюрих (ЕТН), прекрасная школа - Бельгийский католический университет. Они открыты, но до определенного предела. Некоторые работы выполняют для своих спецструктур, кое что им не рекомендуют обсуждать на конференциях.
Значит, у нас такой уровень только у военных, а там и у гражданских?
Я.: Могу ответить так: мы опоздали на тридцать лет с четким разделением проблематики ИБ на открытую и закрытую. Когда у американцев в 1975 году появились Диффи и Хеллман - это было начало. После нескольких лет борьбы их отпустили «на волю», и пошло все это развиваться в университетах. Сначала был принцип добровольного цензурирования, с докладом в АНБ, но потихоньку все освободилось.
