Читать «Журнал «Компьютерра» № 33 от 11 сентября 2007 года» онлайн - страница 58

Можно допустить, что людям, не знающим подоплеки этой истории, такое разъяснение покажется убедительным. Но для всякого, кто хоть мало-мальски соображает в криптографии, пресс-релиз означает лишь одно – горячее желание компании а) уклониться от обсуждения искусственно ослабленной криптосхемы и б) оставить все как есть. Ведь если из 64 бит секретного ключа ("тяжелых" для тотального перебора) случайными оставлены всего-навсего 28 (вскрываемых влет), сие означает лишь одно – намеренно внесенную в алгоритм слабость. С какого боку на это ни смотри.

Другая новость, тоже пришедшая из США, касается нюансов работы ФБР. Правозащитная организация EFF, руководствуясь законом о свободе информации, получила в распоряжение большую – около тысячи страниц – пачку документов, описывающих устройство и функционирование секретной компьютерной системы ФБР DCS-3000 для автоматизированного перехвата данных в самых разных коммуникационных системах, от Интернета до проводной телефонии и сотовой связи. Цензура, как водится, безжалостно прошлась по документам, но и оставшейся информации достаточно, чтобы получить представление о том, как далеко шагнули технологии тотальной слежки. Впрочем, речь не о том.

Стив Белловин (Steve Bellovin), один из самых авторитетных в США экспертов по компьютерной и сетевой безопасности, сразу отметил, что даже при поверхностном анализе DCS бросаются в глаза серьезнейшие дефекты в организации защиты этой системы и накапливаемых ею данных. В DCS-3000 вообще нет непривилегированных пользователей – лишь два типа аккаунтов для разного уровня привилегий. Причем работу индивидуальных пользователей (знающих подходящую пару логин-пароль) эффективно отследить невозможно, а уровень привилегий без особых проблем можно повышать по ходу работы с системой. Иначе говоря, защита DCS подразумевает лишь врагов из внешнего мира и не берет в расчет злоумышленников внутренних. Хотя давно известно, что наибольший урон обычно наносят враги внутренние. Вроде того же Роберта Ханссена (Robert Hanssen), далеко не последнего в ФБР человека, который много лет продавал российской разведке информацию, бесконтрольно извлекавшуюся им из Automated Case System – базы данных Бюро. По мнению Стива Белловина, в ФБР просто не понимают, что такое компьютерная безопасность, если то и дело наступают на одни и те же грабли.

Однако есть множество свидетельств, что Бюро и прочие спецслужбы уже давно сами не занимаются созданием сложных компьютерных систем, заказывая их разработку у профессионалов вроде крупных корпораций SAIC или CSC. А там прекрасно знают, что такое контроль за действиями и полномочиями каждого индивидуального пользователя в сети. И если в новой системе оставлен простор для анонимной и неотслеживаемой работы с важными данными, то маловероятно, что сделано это неумышленно. А всякие умники, вытаскивающие на свет столь вопиющие слабости, оказываются в подобной ситуации явно лишними.