История запутанная, и я поделил ее на две части. В части I я описываю текущее состояние компьютерной безопасности – с технической, политической и экономической точки зрения, – а также тенденции, которые привели к такому положению дел. Компьютеры уменьшаются в размерах и при этом оказывают все большее воздействие на физический мир, но, в принципе, пока остаются все теми же компьютерами, за которыми мы работали в течение нескольких десятилетий. Проблемы технической безопасности никуда не делись. Как и политические проблемы – мы преодолевали их раньше и преодолеваем сейчас. Но по мере того, как компьютеры и средства коммуникации проникают в приборы, отрасли промышленности – одна за другой – приобретают черты компьютерной промышленности (отрасли, производящей компьютеры). Компьютерная безопасность вскоре станет обязательным предметом, и ее азы будут изучаться и применяться повсеместно. Но вот что нам точно известно о компьютерах, вне зависимости от того, частью чего они являются – автомобилей, силовых подстанций или биопринтеров, – они уязвимы. Они могут подвергнуться атаке со стороны преступников, программистов-любителей, представителей государственной власти и вообще кого угодно, располагающего достаточными техническими возможностями.

В главе 1 мы кратко охарактеризуем технические причины уязвимости интернета. В главе 2 рассмотрим главный способ поддержания безопасности в компьютерных системах – пропатчивание^[6] уязвимостей в случае их обнаружения, а также поговорим о том, почему это не сработает применительно к интернету+. Глава 3 посвящена тому, как мы показываем, кто мы в интернете, и как мы можем это скрыть. В главе 4 рассказывается о политических и экономических силах, поощряющих информационную незащищенность, – капитализме слежки (наблюдения), киберпреступности, кибервойне, а также об агрессивных методах работы корпораций и государств, использующих незащищенность в своих целях. И, наконец, в главе 5 мы поговорим о риске, почему он растет и из-за чего может принять непоправимый характер.

«Кибергейт» – это гипербола, но мы уже живем в мире, где атаки на компьютеры становятся причиной автомобильных аварий и вывода из строя электростанций. И то и другое может повлечь за собой катастрофические последствия, привести к огромным жертвам. Добавим к этому взломы компьютерных систем самолетов, медицинских приборов и ряда стратегически важных объектов и в итоге получим устрашающий сценарий, над которым есть причина поразмыслить.

Если вы знакомы с моими книгами и статьями, следите за моим блогом, то знаете, что в своих работах и публикациях я поднимаю большинство тем, которые раскрываются в части I этой книги. Если эти вопросы вам незнакомы, то после прочтения первых пяти глав вы будете прекрасно ориентироваться в теме.

Проблема защищенности интернета+ заключается в том, что мы привыкли к безопасности. За защиту компьютеров и сетевых данных отвечал рынок. Такой подход работал, пока проблема не приобрела иные масштабы. Если компьютер подвергался атаке, терялась важная информация или некто похищал ваши персональные данные. Приятного мало, плюс возникали непредвиденные траты, тем не менее случившееся не имело трагических последствий. Теперь, когда все превращается в компьютер, взлом системы представляет непосредственную опасность для жизни и имущества. Хакеры способны устроить автоаварию, выключить кардиостимулятор или вывести из строя городскую энергосистему. А это уже катастрофа.

В части II я говорю об изменениях в политике, необходимых для обеспечения защищенности интернета+. Главы 6, 7 и 8 посвящены тому, с помощью чего и как усиливается защищенность интернета+, а также кто это делает. Все это не ново и не сложно, но дьявол кроется в деталях. Я надеюсь, что к главе 8 вы осознаете, что «кто» – это правительство. Да, есть значительный риск в том, чтобы отдавать решение проблемы информационной безопасности на откуп правительству, но этому нет равноценной альтернативы. Та степень защиты интернета+, которую мы наблюдаем сейчас, – результат плохо отрегулированных бизнес-инициатив и действий правительства, для которого развитие интернета находится в большем приоритете, чем его безопасность. Одна из мер защиты, предложенных мной в главе 8, – создание нового правительственного агентства, которое координировало бы действия властей с действиями других ведомств и консультировало бы их по вопросам защищенности интернета+ и технологий. Вы можете со мной не согласиться, и это хорошо, потому что необходимо дискутировать и обсуждать эту проблему.

Глава 9 носит общий характер. Чтобы заручиться доверием граждан, правительство должно отдавать предпочтение обороне интернета+, а не нападению (наступлению) с его помощью. Я объясняю, как это сделать. С практической точки зрения маловероятно, что большинство изменений, которые я предлагаю в главах 6–9, будут приняты в обозримом будущем. Поэтому в главе 10 я стараюсь оставаться реалистом и рассуждаю о том, что произойдет и как на это следует реагировать как США, так и другим странам. В главе 11 я выдвигаю несколько предложений относительно направлений в сегодняшней политике, которые существенно снизят защищенность интернета+. Глава 12 опять-таки более общая и посвящена тому, как нам создать такой интернет+, где доверие, стойкость и мир станут нормой, и как это будет выглядеть. По сути, я привожу доводы в пользу того, что хорошее правительство творит добро. Это может быть трудной задачей, особенно в строго либертарианской, компактной с точки зрения управления и настроенной против регулирования компьютерной индустрии, но это очень важно. В 2017 г. даже консервативный The Economist опубликовал материал, поддерживающий как контроль за умными вещами, так и ответственность, лежащую на них^{47}. Мы часто слышим жалобы, что правительство делает ошибки, работает спустя рукава, да попросту встает на пути технического прогресса. Гораздо реже обсуждается, каким образом руководство страны управляет рынками, защищает физических лиц и сдерживает напор корпораций. Одной из главных причин сегодняшней незащищенности интернета+ я считаю отсутствие контроля со стороны государства (правительства). По мере того как риски приближаются к критическим отметкам, требуется все большее включение руководства страны в процесс защиты интернета+.

Заканчиваю книгу я обращением к политикам и экспертам в области технологий. Я призываю их к действиям. Политические дискуссии в своей основе являются техническими. Мы нуждаемся в политиках, которые разбираются в технологиях, и нам необходимо вовлечь в политику таких экспертов. Нужно сформировать пул специалистов, ратующих за интересы общества. А эта проблема гораздо шире, чем защищенность интернета+. Но я призываю к действиям в конкретной области технологий, поскольку разбираюсь именно в ней.

Кроме того, я поднимаю некоторые дополнительные темы.

Гонка вооружений в области безопасности. Зачастую безопасность полезно рассматривать как технологическую гонку вооружений между атакующей и обороняющейся сторонами. Атакующая сторона разрабатывает новую технологию, а обороняющаяся отвечает контртехнологией. Или обороняющаяся сторона разрабатывает технологию защиты, вынуждая атакующую сторону придумывать новые пути и методы ее преодоления. Понимание того, как эта гонка вооружений разворачивается в интернете+, критически важно для его защищенности.

Доверие. Хотя мы зачастую не думаем об этом, доверие – базис функционирования общества на всех его уровнях. В интернете также все строится на доверии. Мы доверяем компьютерам, программному обеспечению (ПО) и интернет-сервисам. Доверяем сегментам сети, которые не способны увидеть, и рабочим процессам в используемых устройствах. Осознание того, как мы сохраняем это доверие и как оно может быть подорвано, также важно для понимания защищенности интернета+.

Сложность (запутанность). В этой проблеме сложно и запутанно все: технологии, политика, взаимодействие технологий и политики. Добавим сюда экономику и социологию. Эти области знания многомерны, с течением времени они лишь усложняются. Проблему защищенности интернета+ принято называть wicked problem, поскольку ее трудно или даже невозможно решить. Имеется в виду не дьявольская сущность проблемы, а ее завуалированный характер и – как результат – сложное или вообще отсутствующее решение. О выработке разумного решения и говорить не приходится.

В книге затрагивается множество вопросов по теме, которые раскрываются схематически. Огромное количество сносок – одновременно и список рекомендуемой литературы, и приглашение к ее прочтению. Перечень был уточнен в конце апреля 2018 г. Он есть и на веб-сайте книги (https://www.schneier.com/ch2ke.html). На сайте https://www.schneier.com/ вы найдете ежемесячный бюллетень, а также ежедневно обновляемый блог по упомянутой тематике и остальные мои работы.

Поднятые в книге проблемы я оцениваю с метауровня, будучи, по сути, технологом, а не политиком и даже не политическим аналитиком. Именно поэтому я могу рассказать о технологическом подходе к решению проблем с защищенностью интернета+. Могу дать рекомендации, какую политику необходимо проводить, чтобы найти, выработать и реализовать эти технологические решения. Но я не пишу о поиске политических решений. Не могу рассказать, как получить необходимую поддержку, или как вводить политические изменения, или даже о том, насколько они осуществимы. Признаюсь, книге этого действительно недостает.

Отмечу также, что я рассматриваю проблему с точки зрения американца. Большинство примеров взяты из реалий моей жизни, и бо́льшая часть рекомендаций дается применительно к Соединенным Штатам. Во-первых, это то, что я знаю лучше всего. Во-вторых, я убежден, что у США уникальный опыт развития не по плану и – благодаря территории и положению на рынке – эта страна как никакая другая способна изменить ситуацию к лучшему. Несмотря на то что освещение международных проблем и геополитических аспектов защищенности интернета не было целью этой книги, я так или иначе затронул эти вопросы. В то же время на эту тему есть отличная работа под названием «Темная сеть: Война за киберпространство» (The Darkening Web: The War for Cyberspace)^{48}.

Проблема защищенности интернета непрерывно эволюционирует и неизбежно находит отражение в каждой публикации на аналогичную тему. Я помню, как в марте 2014 г. заканчивал книгу «Данные и Голиаф» (Data and Goliath). Мне думалось, что она выйдет через полгода, и я надеялся, что за это время не произойдет ничего такого, что повлияет на ее нарратив. То же самое чувство я испытываю и сегодня. Тем не менее я верю, что главное событие, из-за которого мне пришлось бы переписать эту книгу, не произойдет. Конечно, появятся свежие истории и примеры, но ландшафт, который я описываю, скорее всего, останется неизменным на протяжении многих лет.

Будущее защищенности интернета+, или кибербезопасности, если вам по душе такая терминология, – это неисчерпаемая тема, и вопросы, поднятые и раскрытые в большинстве глав этой книги, могли бы послужить основой для новых работ. Надеюсь, что, копая не столько вглубь, сколько вширь, помогу читателям составить представление о реальном положении дел, предоставлю им возможность осознать существующие проблемы и предложу некий план действий. Цель я вижу в том, чтобы вовлечь как можно более широкую аудиторию в дискуссию по теме защищенности интернета+ и подготовить читателей к обсуждению поставленной проблемы на более глубоком уровне. В ближайшие несколько лет мы примем важные решения, даже если они будут сводиться к тому, чтобы не предпринимать никаких действий.

От рисков никуда не деться. И они никак не связаны с тем, насколько развита инфраструктура той или иной страны или насколько авторитарно ее правительство. Не ослабевают они и по мере того, как мы решаем глобальные проблемы, одна из которых – неэффективная политическая система Соединенных Штатов. Не исчезнут риски и под воздействием изменений на рынке. Преодолеваем же мы их лишь постольку, поскольку решили сделать это и согласились с политическими, экономическими и социальными издержками наших решений.

Мир создан из компьютеров, и нам нужно их защитить. Для этого следует начать думать иначе. В 2017 г. на конференции по безопасности интернета бывший председатель Федеральной комиссии связи (Federal Communications Commission – FCC) Том Уилер поддел экс-госсекретаря Мадлен Олбрайт, язвительно заметив, что «мы сталкиваемся с проблемами XXI века, обсуждаем их в терминах XX века и предлагаем решения XIX века»^{49}. Он был прав. Нужно действовать эффективнее. От этого зависит наше будущее.

Миннеаполис (штат Миннесота),

Кембридж (штат Массачусетс), апрель 2018 г.