Компьютеры и политика

Мне давно хотелось рассказать о той критической ситуации, которая сложилась в сфере  информационной безопасности применительно к российским государственным учреждениям. Защита информации — вообще тема сложная и крайне дорогостоящая, но и не менее важная, особенно если речь заходит о защите государственных секретов и обороноспособности нашей страны.

Не будем отрицать, что компьютеры сегодня используются везде. Начиная от вычислительных систем, управляющих ракетными установками, радиолокационных станций, бортовых систем самолетов и заканчивая теми ноутбуками, которые мы видим всякий раз, когда нам показывают первых лиц государства. 

К сожалению, бо́льшая часть процессоров и других компонент, используемых сейчас, производится и закупается за рубежом. А то, что делается у нас, либо представляет собой слабые и уже устаревшие на западе микросхемы, выпускаемые нашими заводами по лицензии, либо разработанные в далеких 60-х «процессоры с четырьмя ножками и двумя ручками», либо собранные нашими производителями компьютеры и процессорные модули из тех же импортных комплектующих, но проведенные по бумагам как изделия российского производства.

Известен случай, когда целый вычислительный комплекс, закупленный СССР в 80-х годах у новых «друзей», был полностью выведен из строя сигналом со спутника. Известно множество случаев, когда спецслужбы других стран тратили огромные суммы, чтобы внедрить свое оборудование в наши системы для снятия интересующей их информации. Не думаю, что у нас нет больше государственных секретов, которые необходимо было бы защищать. 

Давно прошли те времена, когда программы создавались для конкретного имеющегося в наличии, часто специализированного, «железа». Аппаратное обеспечение становится со временем все более универсальным, в то время как программное — всё более сложным. Поэтому создание любой компьютерной системы сейчас начинается именно с определения требуемой функциональности и подбора программ, реализующих необходимые функции. Затем уже выбирается оборудование, с которым совместимы эти программные продукты. 

Таким образом на первый план выходит проблема безопасности программного обеспечения. Встроить в программу небольшого «червячка», который будет собирать нужную информацию и отправлять её через Интернет или с помощью любых других доступных каналов существенно проще, чем интегрировать передающую аппаратуру в микросхемы. Да и засечь такую передачу обычно сложнее: информация передается как правило маленькими порциями в общем потоке. 

Известно, что на рынках всегда можно купить свежие версии баз данных любого государственного органа. Налоговая, прописка, ГИБДД, паспортные данные и многие другие. Постоянно проводятся некие «операции» по решению этой проблемы, но воз и ныне остаётся там. И причина проста до банальности. Безопасность может обеспечить только сбалансированный комплекс мер, как программно-аппаратных, так и административных. 

И вот здесь кроется пожалуй самая серьезная проблема современной России. Крайне низкий уровень специалистов и ещё более низкий уровень руководителей соответствующих подразделений. Руководитель, даже если ему повезло найти хорошего специалиста, часто относится к нему с позиции «таких как ты под любым забором найти можно». Его мнения никто не спрашивает, рекомендации и предупреждения о возможных угрозах остаются неуслышанными. 

С другой стороны, многие администраторы ставят на роутеры (шлюзы) и важные серверы те системы и программные продукты, которые первыми попадутся им под руки. Не проводя никаких исследований возможных вариантов, анализа их достоинств и недостатков и не представляя себе даже в полном объёме, как различные компоненты сети взаимодействуют между собой. Более того, часто устанавливаются ворованные программные продукты, купленные на ближайшем рынке. 

Последнее вскрывает ещё одну серьёзную проблему. В нашем законодательстве отсутствуют нормы, чётко регламентирующие использование как коммерческого, так и некоммерческого программного обеспечения. Исполнение же существующих норм принимает традиционно чудовищные формы. В связи с этим многие администраторы сомневаются, что использование легально приобретенных или некоммерческих программ сможет как-то защитить их в случае визита сотрудников правоохранительных органов.

В каждом офисе, как государственных учреждений, так и коммерческих компаний, практически на каждом компьютере стоит сейчас программное обеспечение одной очень известной американской фирмы. Операционная система производства этой фирмы — база для любой прикладной программы — является единственной на сегодняшней день, для которой существуют «вирусы».  Офисные программы, интернет-браузеры, почтовые клиенты, программы для обмена сообщениями также могут стать источником «заражения» или создать среду для работы «вируса», стать его «носителем».

Связано это в первую очередь, вопреки бытующему мнению, не с распространенностью этого программного обеспечения, а с огромным количеством уязвимостей, так называемых «дыр в безопасности». Известно, что без дополнительной защиты компьютер под управлением этой системы может находиться в сети Интернет не более семи часов, после чего гарантированно превращается в рассадник. В большинстве случаев «заражение» происходит уже в первые несколько минут после подключения к Сети. Специалисты знают, что компьютер, постоянно подключённый к Интернет, может подвергаться различным атакам до нескольких десятков раз за рабочий день. 

Многие интернет-провайдеры предлагают устанавливать на компьютеры так называемые программные фаерволлы (firewall) и антивирусы (anti-virus). Практика показывает, что эти средства не решают проблему полностью. Рано или поздно на компьютер попадает вирус, который не значится в базе антивирусной программы или «нащупывает» лазейку в сетевой защите. Хакерам, как правило, также не составляет большого труда преодолеть подобные барьеры. 

Несмотря на столь явные угрозы, Первый Зам. Председателя Правительства РФ Дмитрий Медведев договаривается с руководителем этой компании о расширении сотрудничества и пожимает руку перед телекамерами. Всё прогрессивное человечество рыдает от умиления. Теперь наши ракеты точно научатся зависать в воздухе. 

Было бы неправильно считать, что из сложившейся ситуации в сфере безопасности государственных и оборонных учреждений нет никакого выхода. Подходить к её разрешению, разумеется, нужно комплексно. Отдельные операции, не включённые в общий контекст, различные разовые акции и тому подобные мероприятия редко приносят ощутимый результат. Но почти всегда осложняют жизнь сотрудникам, работающим на предприятии или в учреждении. 

Одним из основных моментов в обеспечении безопасности любой компьютерной сети является установка брандмауэра — программного или аппаратного решения, защищающего сеть от проникновения извне и выполняющего обычно ряд дополнительных функций, таких как блокировка нежелательного веб-контента, фильтрация спама, проверка почты и веб-страниц на вирусы. 

Во многих государственных учреждениях по всему миру для этой цели применяются программные решения на базе некоммерческой операционной системы FreeBSD. Открытый исходный код этой системы проверяется офицерами безопасности (security officers) разных стран и информация о найденных уязвимостях публикуется в открытом списке рассылки, на который может подписаться любой желающий.

Патч, — заплатка, — устраняющий потенциальную угрозу, публикуется вместе с информацией об уязвимости. Сама операционная система устанавливается методом компиляции, что гарантирует соответствие между (проверенным) исходным и бинарным кодом. Таким образом удаётся достичь уровня безопасности, достаточного для большинства коммерческих компаний и государственных учреждений. 

Конечно, для создания полноценного брандмауэра одной операционной системы недостаточно. Требуются ещё прикладные программы, такие как различные прокси серверы, почтовые маршрутизаторы, антивирусы, системы обнаружения вторжений и подозрительной активности во внутренней сети, генераторы отчётов и многие другие. Однако на сегодняшний день существуют как варианты подобных программ с открытым исходным кодом, которые могут быть проверены сотрудниками соответствующих служб, так и продукты, полностью созданные российскими производителями. 

В ряде случаев, особенно когда речь заходит о государственной безопасности и обороноспособности, установки надёжного брандмауэра и антивирусных программ на рабочие станции может оказаться недостаточно. Требуется обеспечение безопасности на аппаратном уровне и, как правило, установка менее уязвимой операционной системы и других программных продуктов на компьютеры сотрудников или рабочие места операторов. 

Оказывается, эта задача сегодня также может быть успешно решена. Российская компания ЗАО «МЦСТ», в этом году приступила к тестированию своего нового процессора «Эльбрус» и набора микросхем — чипсета — который получил название «Эльбрус 3М». Многие известные специалисты связывают с его появлением большие надежды. По завершению испытаний эти комплектующие могут быть использованы для аппаратных устройств безопасности, таких как брандмауэры, для серверных решений, технологических компьютеров и офисных рабочих станций.

Аппаратная платформа «Эльбрус» поддерживается операционной системой МСВС (Мобильная Система Вооружённых Сил). Она основана на ядре Linux и имеет все необходимые сертификаты. Эта система разрабатывается российской компанией ОАО «ВНИИНС». И как любая UNIX система, она имеет очень широкий спектр возможных применений: от офисных рабочих станций до систем управления ракетными комплексами.

В Европейском Союзе всё более отчётливо прослеживается тенденция перехода на применение программного обеспечения с открытым исходным кодом (Open Source) в муниципальных и федеральных органах власти. В связи с этим всё более насущной становится проблема выработки единого открытого стандарта на «офисные» файлы (ODF), использующиеся при обмене электронными документами.

Такой стандарт был утверждён в апреле 2005 года Международным консорциумом по разработке открытых стандартов OASIS. Подразделение Еврокомиссии по обмену данными между администрациями (IDA) рекомендовало передать его на одобрение в Международную организацию по стандартизации (ISO). Весной 2006 года формат ODF получил статус стандарта ISO, таким образом став официальным международным стандартом на государственном уровне.

На текущий момент существует множество офисных пакетов с открытым исходным кодом, которые используют ODF в качестве основного формата при сохранении документов. Все эти пакеты могут быть скомпилированы под любую операционную систему на основе Linux, в том числе и МСВС. Однако вопрос о том, кто займётся их сертификацией и поддержкой в России, пока остаётся открытым. 

Фактическим лидером среди офисных пакетов, работающих с форматом ODF, на сегодняшний день является OpenOffice.org. Он распространяется с открытым исходным кодом и поддерживается такими компаниями как Sun, Novell и др. Кроме ODF, который является его основным форматом начиная с версии 2.0, OpenOffice.org обеспечивает хорошую поддержку документов Microsoft Office.

Из всего вышесказанного следует один простой вывод. Возможность обеспечить свою информационную безопасность и не уступать в этом отношении ведущим мировым державам у России сегодня есть. Необходимо только желание власти это сделать и политическая воля, чтобы довести проект до реального воплощения на хорошем международном уровне.