У десяти няньок кіберзахист із дірками
Вибори нового прем’єр-міністра Великої Британії відкладено на півтори тижні через загрозу хакерської атаки. Затримка сталася через попередженням тамтешньої спецслужби GCHQ про можливе стороннє втручання та підміну результатів голосування.
При цьому конкретної загрози не існувало, попередження GCHQ було загальним та змальовувало лише теоретичні вразливості процедури онлайн-голосування. Це вперше, коли голосування членів правлячої консервативної партії за нового прем’єра допускалося також в онлайн-форматі, бо зазвичай голосують особисто або поштою.
Наскільки я зрозумів, можливість голосувати онлайн наразі залишається доступною, але тепер проголосувати можна буде лише один раз, після чого унікальний код кожного учасника буде деактивовано. Що дещо дивно, адже фішкою онлайн-голосувань завжди була можливість проголосувати нескінченну кількість разів, і при цьому зараховано буде лише останній раз. Позиціонується ця фішка як «захист від примусу», тобто якщо тебе примусили голосувати онлайн певним чином – ти завжди зможеш пізніше проголосувати, як вважаєш за потрібне, і саме останній голос буде враховано.
Поки що замало інформації, яким саме чином буде організовано онлайн-голосування цього разу у Британії. Скоріш за все, відсутність такої інформації спричинена добрими намірами забезпечити безпеку та об’єктивність голосування. Якщо така секретність і спрацює, то лише один раз. У разі успіху застосування даної системи та відсутності обґрунтованих сумнівів щодо об’єктивності результатів голосування, мабуть, вона буде застосована і в подальшому. А значить, зберегти її у таємниці вже не вийде. Відповідно, ця (вже публічна) процедура повинна бути значно безпечнішою, ніж усі існуючи системи онлайн-голосувань. Хоча сумніваюся. Тому що наразі у Світі повноцінно голосують онлайн лише в одній країні Світу – Естонії, та й то їхню практику не можна вважати повноцінною та універсальною. Але з цікавістю чекатиму британських результатів.
Але не на це хотів звернути увагу шановного товариства. А ось на ці три висновки.
По-перше, у Великій Британії існує головна структура, яка відповідає за національну кібербезпеку. Її місія викладена зрозуміло та лаконічно: Making the UK the safest place to live and do business online. А не як у нас: десять (8+РНБО+МЦТ) різних державних інституцій «відповідає» за кібербезпеку країни, але по факту не відповідає ніхто.
По-друге, до висновків та попереджень GCHQ ставляться надзвичайно серйозно в Уряді Великої Британії. А не як у нас. Та і кому мусить довіряти український уряд, якщо усім відомо, що у кібер-держструктурах немає достойних фахівців відповідного рівня.
Та й навіть якби колись з’явилися, українським топ-чиновникам навіть американська розвідка не авторитет. Недовіра народу до ним же обраної влади, недовіра між гілками влади, недовіра всередині виконавчої влади, тотальна брехня, окозамилювання і не менш тотальна корупція: звідки тут взятися довірі?
По-третє: коли ще півроку тому в Україні цілий колектив топових експертів застерігав (криком кричав, насправді) про можливі кіберзагрози як для окремого державного додатку, так і для всієї системи національної кібербезпеки – урядові чиновники на те плювали. А хто зміг знайти в собі сили опуститися до реагування на критичні зауваження, відповідали приблизно так: «Тю, так то все теорія. Ви нам покажіть на практиці, як це можна хакнути, – ось тоді ми повіримо». Що сталося далі в країні, ви всі бачили на власні очі. Якщо у двох словах, хакерські орди держави-терориста на практиці, без всякої там теорії зламали буквально все: реєстри, сервіси, відкриті дані, е-урядування. Більшість досі не відновлено і невідомо коли і чи взагалі буде. То що, &*#$@, повірили нарешті?
До речі, також серйозно поставився Уряд Естонії у 2017 році до попередження фахівців про можливі вразливості чіпів місцевих ID-карт. Настільки серйозно, що прем’єр-міністр Естонії зібрав прес-конференцію та особисто оголосив про необхідність заміни 760 тисяч місцевих електронних паспортів – фактично половина дорослого населення країни. Хоча, чесно кажучи, спочатку влада не одразу зрозуміла та визнала масштаб проблеми – така вже сутність влади, спочатку все заперечувати. Але швидко зрозуміли та визнали. Бо урядовці в Естонії надзвичайно цінують довіру до себе з боку виборців. А не як у нас.
У країнах, де дійсно серйозно ставляться до національної кібербезпеки, попередження експертів ніколи не залишають без уваги. На них реагують і навіть (OMG!) вживають необхідних заходів.
Загалом GCHQ є організацією доволі цікавою як по можливостям (6132 службовців у 2013 році, поточна кількість засекречена), так і по задачах: захищає не тільки уряд і економіку, але також і армію. Причому не тільки у кібер-домені, але також бореться з тероризмом та організованою злочинністю. Тобто ця урядова організація не схожа ні на що подібне в інших країнах і, вочевидь, є продуктом певної еволюції.
У наших же краях про якусь еволюцію поки що не йдеться: все досі на рівні примітивних паразитів. І навіть найжорстокіша за останні 77 років війна в Європі не є достатньою мотивацією для «слуг народу» реформувати сферу національної кібербезпеки. «Тю, у нас же вже є найбільша у світі ІТ-армія? Та ще й два призи за кіберзахист?».
