Мы поздно закрываем дверь сарая на Пегасе

Людей пугают сообщения о том, что инструмент наблюдения Pegasus от NSO Group используется для слежки за журналистами, политическими диссидентами и другими противниками режимов во всем мире. Это обескураживает и стоит обсудить. Но почему мы в шоке?

Я реалист по информационной безопасности. С такими крупными вещами, как слежка со стороны национального государства, это означает анализ стимулов со стороны национального государства. Другими словами, я применяю теорию игр (правда, на любителя). В случае с Pegasus теория игр ясна: какая-то компания должна была разработать программное обеспечение для наблюдения, какое-то менее щепетильное правительство обязано было купить его, и в конечном итоге их поймали.

Многие СМИ, которые я читал, размышляли о социальных последствиях слежения за смартфонами людей, которые, по мнению большинства из нас, не заслуживают этого. Для меня это мысленное упражнение — хорошая тренировка. Но здоровые упражнения требуют хорошей формы. Чтобы поразить все группы мышц, давайте рассмотрим создателя, владельца и цель Пегаса.

Мифический зверь, выведенный для кибервойны
Пегас и раньше попадал в обжигающий свет общественного внимания. Независимо от того, насколько уникальными возможностями NSO может сказать вам Pegasus, его класс программного обеспечения хорошо известен. По иронии судьбы, в 2015 году итальянскую компанию Hacking Team, занимающуюся технологиями слежки, взломали, и ее исходный код просочился в сеть, чтобы весь мир мог его разветвить. За год до этого, исходный код Gamma в FinFisher был сбрасывали , тоже.

Взгляд в пасть этого летающего коня показывает, что он может делать все, на что может надеяться правительство, отслеживающее «угрозы». Pegasus может захватывать фотографии, сообщения, аудио- и видеозаписи, списки контактов и пароли с зараженных устройств. Он устанавливает магазин на устройствах с помощью текстового сообщения со ссылкой на полезную нагрузку. Однако настоящая уловка заключается в том, что пользователь может даже не увидеть его, потому что он может уклониться от панели уведомлений и приложения для SMS.

Вы, наверное, догадались, почему существует эта программа. Невозможно найти правительственное учреждение, которое не могло бы получить выгоду от рутирования телефонов своих жертв для обнаружения угроз национальной безопасности. Однако не каждая нация может разработать инструменты шпионажа самостоятельно. Войдите в NSO Group и друзей.

Проблема в том, что не каждая страна дает разумное определение «угрозе». Даже тиранические режимы должны защищать своих граждан — просто они больше заинтересованы в защите самих себя.

В NSO ясно предвидели, что будет плохо оглашаться, если сильный человек обрушит их продукцию на мирных протестующих. Чтобы предотвратить это, NSO клянется, что не продает репрессивные правительства. Amnesty International утверждает, что у нее есть список из 50 000 телефонных номеров, на которые нацелены Pegasus, что доказывает, что это есть у NSO.

Это, безусловно, могло быть правдой, но ни одна из сторон не представила доказательств, чтобы окончательно доказать свою правоту. Во-первых, как мы можем быть уверены, что режимы из запрещенного списка NSO приобрели программное обеспечение на законных основаниях (то есть приобрели его)? Несомненно, возможны пиратство или обратное проектирование инструментов. Мог ли кто-нибудь в компании украсть копии и продать их нелегально?

То, что якобы был получен список из 50 000 номеров, предполагает, что NSO не герметично. В настоящее время неясно, как составлялся список Amnesty. Организация могла бы прикрывать разоблачителя или хакера, которые выхватили список, но мы не можем предположить это обоснование.

Одна из теорий заключается в том, что каждый командный модуль Pegasus передает свой список целей обратно в NSO, и что кто-то просто утек или украл составной список целей NSO. У NSO есть все основания спроектировать Pegasus таким образом.

Это позволило бы обеспечить соблюдение их репрессивного государственного запрета. Как еще вы можете убедиться, что ваше программное обеспечение не нацелено не на тех людей, чем просто увидев цели? Тон Amnesty подразумевает, что NSO искренне не заботится, но трудно спорить, что NSO могло бы даже провести должную осмотрительность без такой функциональности.
Если документы Сноудена чему-то нас и научили, так это тому, что самые способные разведывательные силы 21 века — это те, кто использует свой внутренний частный сектор. АНБ воровало у американских компаний с глобальным охватом и законным образом заставляло их получать свои данные.
Почему кто-то должен думать, что Израиль с одним из самых агрессивных средств обороны и разведки в мире не сделает то же самое? Израильская разведка получит большую пользу от находки НСУ. Либо НСУ уже получила эти данные, и израильская разведка запросила или украла их, либо израильская разведка вставила код, который собирал их.
Заверение NSO в том, что оно «не понимает» специфики операций по мониторингу клиентов, усложняет эту теорию, противореча идее о том, что NSO вообще следит за клиентами.

Однако другой урок Сноуеда показал, что мир интеллекта любит словесные игры, которые позволяют ему делать утверждения, которые технически верны в свете внутренних, мучительных переопределений общих терминов.

Например, АНБ утверждает, что оно не «собирает» данные об американцах, просто собирая их, потому что, говоря языком АНБ, «собирать» означает, что эти данные просматривает аналитик АНБ. Почему бы поставщику продуктов для частного видеонаблюдения не поступить так же?

Обычные киберподозреваемые
Как и все продукты, инструменты вроде Pegasus существуют потому, что на них есть покупатели. В частности, Pegasus достаточно надежен, чтобы предоставлять респектабельные возможности национальной разведки клиентам с субрегиональным бюджетом-гегемоном. Страны, которые не могут сравниться с ресурсами Соединенных Штатов или Китая, по-прежнему хотят держаться под наблюдением больших собак.

Как упоминалось ранее, у менее чем демократических режимов есть граждане, которых нужно защищать. В этом наблюдении нет ничего ложного, поэтому правительства полагаются на него, чтобы придать своей деятельности вид легитимности.

Какой предприимчивый поставщик систем видеонаблюдения откажется от этого? Поставщики технологий видеонаблюдения не являются геополитическими экспертами, поэтому то, что может показаться обычным политическим группировкам внешним наблюдателям, может быть реальной угрозой для нации или наоборот; и, конечно же, покупатели оружия, укрывающие злой умысел, обычно не сообщают об этом.

Это непростой бизнес, потому что традиционный критерий «продажа этому покупателю нарушает закон» становится неясным, когда покупателями являются правительства — как судья Дредд, они — закон.

Авторитарные государства навязывают более либеральные определения того, что представляет собой угрозу безопасности, чем демократические государства.

Многие американские технологические компании не работают в Китае, потому что они отказываются сотрудничать с китайскими правительственными запросами о предоставлении их данных, несмотря на их полную законность в соответствии с китайским законодательством. Это происходит не потому, что американские компании не хотят помогать китайским гражданам оставаться в безопасности от насильственных нападений, а потому, что китайское правительство классифицирует любую открытую критику правительства как угрозу безопасности.

Как только страна с сомнительной приверженностью правам человека получает свое шпионское программное обеспечение, радиоспектр становится пределом. Как и было обещано, они, вероятно, начнут с выявления домашних плохих парней. Но со временем они захотят тренировать свое видение за границей, как и все остальные.

Такова была суть шпионажа на протяжении всей истории: посмотрите, что другой парень, хороший или плохой, делает, чтобы перехитрить его. Традиционно любой иностранец, обладающий политической или финансовой властью, является допустимой целью разведки.

Тот факт, что Макрон попал в список Amnesty, предполагает, что инструменты NSO использовались для иностранной разведки. Скажем так, крайне маловероятно, что Франция шпионила за Макроном. Однако другим странам определенно было бы интересно узнать, что задумал лидер умеренно могущественной западной нации.

Вы бы остановились на домашних жестоких преступниках, если бы могли шпионить за кем угодно и где угодно?

Поскольку страны все чаще переводят свои критически важные коммуникационные, коммерческие и гражданские инфраструктуры в онлайн, этот момент был неизбежен. Экономика цифровых технологий лишь ускорила эту неизбежность.

Pegasus — это безошибочная точка, в которой частные поставщики систем видеонаблюдения разрешают странам шпионить, что иначе было бы невозможно. Это прекрасный пример отчетливой динамики информационной безопасности, которую Брюс Шнайер иллюстрирует в своей последней книге «Щелкните здесь, чтобы убить всех».

Чтобы адаптировать его пример, если в стране есть элитный шпион, который может извлекать разведданные из любого места, этот человек по-прежнему может шпионить только за одной страной за раз и не может быстро передать свои навыки другим. Но программные эксплойты могут быть упакованы в инструмент слежки и распространены среди всех, а затем развернуты против целей каждого пользователя одновременно.

Сначала только развитые в военном отношении страны могли разработать возможности цифрового наблюдения. Теперь целеустремленный хакер может превратить свое торговое мастерство в инструменты «наведи и стреляй», предоставив любой стране, владеющей им, высококлассное наблюдение за небольшую часть стоимости. Эти экономические реалии неуклонно отыгрываются — это только сейчас, что мы замечаем.

Женевской конвенции в киберпространстве нет
Тот факт, что эти суровые реальности рациональны, ни для кого не делает их мягче. Изучение последствий вездесущего программного обеспечения, подобного Пегасу, показывает, что мир менее шокирующий, чем могли бы подумать потребители случайных новостей.

Некоторые аналитические статьи Pegasus, которые я прочитал, показали, что читатели стремятся повысить свою безопасность, поскольку в заключение они делали «лучшие практики», такие как установка уникальных паролей с высокой энтропией, использование приложений для зашифрованных сообщений и избегание подозрительных ссылок. К сожалению, они упускают из виду ранее заявленную способность Pegasus компрометировать полностью исправленные ОС без вмешательства пользователя.

Что еще более важно, как я отмечал в прошлом , большинство пользователей никогда не будут нацелены на подобные Pegasus, поэтому беспокойство — пустая трата времени.

Исходя из модели ценообразования NSO, Pegasus не очень подходит для массового наблюдения. При десятках тысяч долларов на цель наблюдение за миллионным населением было бы непомерно дорогим, но доступным для отслеживания высокоприоритетного целевого списка из нескольких сотен. Если вы подчиняетесь и подчиняетесь — как это делает большинство людей — все будет в порядке.

Accusoft PDF Viewer — Попробуйте прямо сейчас!

Другая причина, по которой, как мне кажется, мы наблюдаем взрывные сообщения, заключается в том, что взлом устройства более явный, чем пассивное наблюдение за магистралью Интернета или телекоммуникационными коммутаторами.

Спецслужбы во всем мире перешли от сбора данных в пути к сбору данных в состоянии покоя, поскольку использование шифрования сделало первый менее плодотворным. Обнюхивание пакетов в воздухе или по проводам традиционно было первым выбором спецслужб только потому, что это было проще всего. Спецслужбы тоже исторически нацелены на устройства, но обычно только для своих главных целей.

Но теперь, когда зашифрован такой объем трафика, имеет смысл сосредоточиться на его конечных точках. Все данные из этих чатов с непрерывным шифрованием хранятся на устройствах отправителя и получателя, расшифровываются во время работы устройства и готовы к использованию. Не зря это называется «сквозным», а не «сквозным» шифрованием.

Дать шанс кибермира?
Моя цель здесь не в том, чтобы перестать беспокоиться и полюбить цифровую бомбу, а в том, чтобы беспокоиться продуктивно. NSO, вероятно, следует более тщательно выбирать своих клиентов, но мы не можем на это рассчитывать. Слишком щепетильно относитесь к тому, чьи электронные письма читают, и клиенты уйдут в другое место.

Что нам, плебеям, делать? Меньше, чем хотелось бы, но не совсем. Если это нас чему-то и учит, так это тому, что мы должны понимать пределы возможностей наших устройств. Приложения для обмена зашифрованными сообщениями защищают данные, проходящие через Интернет, но это не то, на что нацелены сложные шпионские инструменты. Есть исключения, такие как скаты, но вы, возможно, заметили, что заголовки в виде скатов в наши дни не так распространены.

Ваш телефон не заслуживает вашего доверия из-за действительно деликатных вещей. Показательный пример: ни один из знакомых мне профессионалов в области информационной безопасности не занимается банковскими операциями на своем телефоне, и я тоже.

Если вы думаете, что шпионское NSO позволяет своим клиентам делать что-то, это не круто, этого недостаточно, чтобы наказать игроков — правила игры нужно изменить. Снова закройте NSO, и покупатели найдут новых продавцов. Интернет пересекает границы, а законы не могут. Поставщики систем видеонаблюдения просто откроют свой магазин там, где это разрешено законом.

Чтобы взять еще одну (буквальную) страницу из «Щелкните здесь, чтобы убить всех», необходимо изменить отношение к исследованию уязвимостей и раскрытию информации. Если правительства раскрывают уязвимости вместо того, чтобы копить их, они могут быть исправлены, блокируя всех от использования (или злоупотребления) ими; и если бы законы защищали добросовестных исследователей, у нас были бы ищейки, вынюхивающие дыры в системе безопасности.

До тех пор, пока есть деньги, которые можно заработать, и власти, регулирующие это, могут получить некоторую награду, одна организация будет продавать инструменты наблюдения, другая будет покупать, а третья позволит этому случиться.