Сейчас мои продукты, плоды трёхлетней заказной разработки, внедряются в Роспатент. Этот длинный путь завершается выдачей аттестата соответствия на требования информационной безопасности. Аттестат - это формальная бумажка, которая подтверждает, что продукт развернут у Заказчика и хакеры ему не страшны. Наблюдая работу IT-безопасников, хочу поделиться парой баек. Начну с классического анекдота:
– У нас дыра в безопасности!
– Ну хоть что-то у нас в безопасности...
Байка №1
В первой половине 2000-х я работал программистом в компании ВИТАИ, которая занималась разработкой и внедрением собственной системы контроля и управления доступом (СКУД). Компания оснащала шлюзы, турникеты и двери магнитными замками, считывателями, дактилоскопами (сканер отпечатка пальцев) и прочими штуками, которые управлялись с компьютера. В то время это было не то чтобы Rocket Science, но примерно как сейчас беспилотный трамвай, который обещают запустить в Москве. Однажды эта компания поставила в Бутырскую тюрьму шлюз, в который был установлен дактилоскоп. Посетитель заходил в шлюз, прикладывал палец к считывателю, отпечаток пальца проверялся и человека пропускали через проходную...
Как-то раз адвокат зашёл в этот шлюз, приложил палец несколько раз, а IT-система его не распознала. Она посчитала, что в шлюзе - нарушитель. О ужас! Нарушитель надел на себя шкуру адвоката, взял его портфель и паспорт, а сейчас он прорывается внутрь охраняемого периметра! По регламенту IT-система блокировала шлюз и вызывала дежурный наряд. Несчастный нарушитель сидел внутри, ждал и боялся того, как вооружённые люди с дубинками будут его принимать с другого конца шлюза.
Нарушителя не было, был Адвокат собственной персоной. Дело в том, что IT-система с каждым проходом посетителя через шлюз немного портила скан эталонного пальца в базе данных. За один проход через шлюз эталон портился несильно и был похож на оригинальный отпечаток человека. Со временем изменения накапливались и реальный отпечаток пальца начинал значительно отличаться от эталонного. В итоге человека блокировало внутри шлюза, а навстречу ему выдвигались улыбчивые люди в синем камуфляже.
Байка №2
В те же 2000-е мне довелось работать в компании Автолик, которая, в том числе, выдавала аттестаты на режимные помещения. Правила работы с секретной информацией гласят, что помещение, в котором обрабатывается секретная информация, должно быть защищено от утечек информации по:
акустическому каналу,
виброакустическому каналу,
радиоканалу,
и ряду других каналов.
Выдача аттестата выглядит так: приезжают дядьки со специальной аппаратурой, ходят с антеннами по помещению и вокруг него. Что-то замеряют, затем записывают эти цифирьки и уезжают. Через несколько дней звонят и говорят: “Ваше помещение не готово к выдаче аттестата, вам нужно установить радио/вибро глушилки в таких-то местах в n-ном количестве”. Заказчик устанавливает предписанную аппаратуру и процесс проверки повторяется. Аттестат действует несколько лет и после истечения этого срока нужно проходить повторную аттестацию.
В одной организации была секретная комната, у которой истекал сертификат. Сертификат выдали не мы, но за повторной аттестацией они обратились к нам. Ходят наши специалисты с антеннами по помещению, что-то измеряют и видят, что показания странные. Скорее всего глушилки сломались - такое может произойти за годы года. Ребята взяли в руки проект защиты помещения, в котором нарисованы места расположения глушилок и начали их проверять. Оказалось, что вместо двух глушилок стояли пластиковые ловушки от тараканов.
Байка №3
В 2014-м году я работал в ДИТ г. Москвы и отвечал за цифровизацию ЗАГСов. Единой федеральной IT-системы ЗАГСа в то время не существовало, но межуровневый обмен информацией никто не отменял. Межуровневый обмен - это когда ЗАГС Урюпинска что-то направляет в Московский ЗАГС***. На рынке IT-систем для ЗАГС в то время было два крупных игрока: Находка и Инсофт, у которых форматы хранения записей актов гражданского состояния не всегда совпадали.
Однажды мне на работу приходит письмо из одного областного ЗАГС, отправленное Почтой России. В конверте сопроводительное письмо с текстом: “Направляем вам на сверку персональные данные по такому-то запросу бла-бла-бла-бла”. Помимо письма в конверте лежит 3,5” дискета, на которой записаны эти самые данные. Получилось как смерть Кощея: персональные данные на дискете, дискета в конверте, а конверт по Почте России. На дискете, Карл! По Почте России, Карл!
Байка №4
При входе на форум стояли рамки металлоискателей и проводилась проверка билетов. До входа в зону проверки можно было пойти направо и войти в уборную. В уборной было два выхода: один до поста, а второй после поста проверки билетов. То есть можно было войти в туалет до охраны, а затем выйти из него после охраны. Билет был не нужен.
Вместо заключения
Вы знаете почему я вам не расскажу более свежие байки? Потому, что я их вам не расскажу! ;-) Есть шутка, что конец света наступит не тогда, когда придут всадники апокалипсиса, а сразу после того как аварийная сигнализация начнёт работать по протоколу TCP/IP.
Всё это не столько смешно, сколько опасно. Например, существует уязвимость устройств с системой подачи инсулина, которая позволяет злоумышленнику, находясь поблизости, управлять устройством: запланировать новую дозу или же ввести дозу инсулина немедленно. Конкретный пример, того, что цифровизация медицинских устройств без должного контроля их безопасности ни к чему хорошему не приведёт.
