Шейн Харріс - ВІЙН@: битви в кіберпросторі, Шейн Харріс

продають аналоги відмичок. Напевно, вони теж несуть певну міру відповідальності за доконані злочини – якщо не правову, то бодай моральну.

А як щодо АНБ? У кримінальному світі діяльність агентства не має аналогів. Адже ніхто не тиняється там, щоб купити відмичку про всяк випадок. АНБ претендує на роль охоронця інтернету. А що зазвичай відбувається, якщо охоронець, найнятий для патрулювання околиць, бачить відчинене навстіж вікно, але не повідомляє про це власників будинку? Ба більше, а якщо він сам виявляє недолік у конструкції вікон усіх помешкань у дільниці, який дозволяє злодієві відчинити вікно зовні? Якщо охоронець не попередить домовласників, його просто звільнять, а можливо, вимагатимуть його арешту. Мешканці не повірять, що він приховав інформацію про ваду в конструкції вікон, захищаючи домовласників. Вірогідно, поліція також не йнятиме віри охоронцеві, який приховав інформацію, якою міг скористатися для грабування будинків.

Аналогія не ідеальна. АНБ – не правоохоронний орган, це насамперед військова й розвідувальна організація. Діяльність агентства регламентована іншими законами та спрямована на вирішення інших завдань. Але позаяк агентство невпинно торохтить про кібервійну й позиціонує себе як найкраще озброєну організацію, покликану захищати державу від зловмисників та їхніх атак, то повинно й поводитися радше як охоронець, а не як грабіжник.

У 2013 році бюджет АНБ на придбання експлойтів нульового дня становив $25 млн, що було прописано у внутрішньому бюджетному документі агентства як «таємне придбання інформації про програмні вразливості». Проте АНБ, купуючи кіберзброю, не залежить лише від тіньового, нерегульованого ринку. Агентство здебільшого створює власну зброю. А чом би й ні? Агентство має власну виробничу базу, на якій працюють найкращі хакери країни, більшість яких зробила кар’єру в армії і навчалася державним коштом на університетських курсах із комп’ютерної безпеки. Такий персонал – це коштовна й довготривала інвестиція. Сполучені Штати покладаються на вміння та знання цих фахівців, коли йдеться про кіберзмагання з Китаєм, який, як здається, завжди матиме вагому перевагу за кількістю хакерів.

Проблема АНБ у тому, що кібервоїни високого польоту не зав­жди залишаються на державній службі. Завдяки переходу в приватний бізнес вони можуть завиграшки потроїти прибутки, бо зараз на їхню роботу в приватному секторі такий самий попит, як і у державному.

Чарлі Міллер, колишній співробітник АНБ, відомий своїм умінням відшукувати найважкіші для виявлення помилки в продуктах компанії Apple, зокрема в ноутбуках MacBook Air і смартфонах iPhone, 2012 року пішов працювати у Twitter. Таких, як Міллер, у колах хакерів називають «білими капелюхами». Він зламує системи, щоб виправити помилки, перш ніж «чорні капелюхи» зможуть скористатися недоліками системи й заподіяти шкоду. Що популярнішою ставала соціальна мережа Twitter, то привабливішою була для шпигунів і злочинців. Міллер використовує досвід, набутий в АНБ, і свій уроджений хист, захищаючи Twitter і сотні мільйонів користувачів компанії, яка 2013 року стала відкритим акціонерним товариством.

Джастін Шух пішов аналогічним шляхом. Він почав свою кар’єру в середині 1990-х як інформаційний аналітик, програміст і системний адміністратор у Корпусі морської піхоти США. У 2001 році Шух почав працювати в АНБ, де навчався в рамцях Міждисциплінарної програми вивчення систем і мереж (SNIP), метою якої є підготовка кібервоїнів. «Випускники цієї програми стають [для агентства] безцінними працівниками, здатними вирішувати всі проблеми [управління комп’ютерними мережами]», – написано в брошурі АНБ, яке вдається до технічних термінів, коли йдеться про кібератаки. Менш ніж два роки потому Шух перейшов до відділу технічних операцій ЦРУ, який допомагав АНБ інсталювати обладнання для стеження у важкодоступних місцях. Проте він також пішов у приватний сектор і незабаром вигулькнув у компанії Google на посаді фахівця з інформаційної безпеки.

Компанія Google створила команду (частиною якої став і Шух), покликану знаходити вразливості у системі безпеки й експлойти нульового дня, що загрожували клієнтам компанії та її продуктам, наприклад системі електронної пошти та браузерові. Компанія неод­норазово опинялася під прицілом спритних хакерських кампаній, найпомітнішу з яких 2010 року провела китайська група, що зламала сховище програмних кодів. Хакери вкрали текст програми для системи управління паролями, яка дозволяла користувачам одночасно заходити в різні додатки Google. Аналітики називали цю програму «коштовним каменем у короні» інтелектуальної власності компанії. Крадіжка викликала паніку серед вищого керівництва Google – ­компанії, яка пишається власною системою безпеки користувачів та їхніх персональних даних і яка вибудувала собі репутацію, гарантуючи цю безпеку.

Зараз у Google є власна команда нишпорок (деякі з яких працювали в АНБ та інших розвідувальних організаціях), яка відстежує потенційні загрози. «Жодного секрету немає. Володіння величезним каталогом підозрілого або доведено шкідливого ПЗ справді допомагає захистити сотні мільйонів користувачів», – написав Шух у своєму твіттері 2012 року, після купівлі Google невеличкої компанії, яка розробляла антивіруси для перевірки електронної пошти та сайтів. Нині Google сканує пошту користувачів Gmail, вишукуючи загрози, і навіть попереджає їх повідомленням на червоному тлі, якщо система підозрює у листі вірус, імовірно надісланий хакерами, що працюють на державу. У попередженні не йдеться про Китай, але це очевидне припущення.

Навіть компанії Google бракує працівників, щоб знайти всі вразливості та експлойти нульового дня, які можуть загрожувати компанії і сотням мільйонів її користувачів. Тому компанія платить премії незалежним хакерам – тим самим, які продають свої відкриття оборонним підрядникам. Співробітники Google кажуть, що їхній найбільший конкурент на тіньовому ринку вразливостей нульового дня – це АНБ. Агентство купує інформацію про вразливості швидше за всіх інших і платить найвищу ціну.

Компанія також співпрацює з мережею власних посередників, які постачають її інформацією про вразливості нульового дня. Згідно з даними двох джерел, знайомих із програмами контролю безпеки Google, компанія купує інформацію про вразливості систем і експлойти у спеціалізованої фірми Endgame, розташованої в передмісті Вашинґтона. Невідомо, що саме Google робитиме зі своїми набутками, але можна сказати абсолютно напевно: по-перше, колекція експлойтів нульового дня дозволяє компанії вести власну кібервійну, по-друге, це незаконно. Лише уряд Сполучених Штатів може проводити наступальні кібероперації, що заподіюють шкоду комп’ютерним системам.

Проте хакери цілять не лише в державні структури, і в США це чудово відомо. І справді, до створення кіберармії уряд підштовхнула масштабна шпигунська кампанія, скерована проти оборонних підприємств. Натомість приватні американські підприємства починають розуміти, що ця армія ніколи не буде достатньо численною та сильною, щоб захистити всіх. Тому бізнес вимушений захищатися самостійно.

І одне з тих місць, де компанії шукають захисту передусім, – та сама тіньова мережа хакерів, які продають свої вміння та зброю клієнтам, що пропонують найбільше.

6. Найманці

Веселі 20–30-літні молодики в сорочках поло і джинсах невимушено сидять у червоних кріслах Herman Miller перед сріблястими ноутбуками Apple і глянсовими пласкими моніторами. Хтось жує обід, який