Дэми Ли, «Apple Says There Are 1.4 Billion Active Apple Devices», Verge, 29 января 2019 года, https://www.theverge.com/2019/1/29/18202736/apple-devices-ios-earnings-q1–2019.
По состоянию на апрель 2018 года в мире существовало 7,1 миллиарда глобальных банковских карт EMV (Europay, Mastercard и Visa) с чипом и PIN-кодом: «EMVCo Reports over Half of Cards Issued Globally Are EMV® Enabled», EMVCo, 19 апреля 2018 года, https://www.emvco.com/wp-content/uploads/2018/04/Global-Circulation-Figures_FINAL.pdf.
Это цифры, которые компания WhatsApp опубликовала в середине 2017 года, но даже если они немного преувеличены, они, скорее всего, правильно отражают масштаб: WhatsApp, «Connecting One Billion Users Every Day», Блог WhatsApp, 26 июля 2017 года, https://blog.whatsapp.com/connecting-one-billion-users-every-day.
По сообщениям компании Mozilla, в 2018 году доля веб-страниц, загруженных браузерами Firefox по https (с шифрованием), достигла отметки в 75 процентов: Let’s Encrypt Stats, Let’s Encrypt, по состоянию на 10 июня 2019 года, https://letsencrypt.org/stats.
Энигма (режиссер Майкл Эптед, Jagged Films, 2001) – художественный фильм о криптографах, работавших в Блетчли-парке, Англия, во время Второй мировой войны, и их попытках расшифровать переговоры, закодированные нацистскими машинами Энигма. В фильме 007: Координаты «Скайфолл» (режиссер Сэм Мендес, Columbia Pictures, 2012) Джеймс Бонд и его квартирмейстер, Q, занимаются впечатляющим (и несколько неправдоподобным) анализом зашифрованных данных. Фильм Тихушники (режиссер Фил Алден Робинсон, Universal Studios, 1992), пожалуй, опередил свое время; в нем два студента занимаются взломом компьютерных сетей и оказываются вовлечены в сбор разведданных с использованием устройств, способных взламывать криптографию.
C.S.I.: Киберпространство (Jerry Bruckheimer Television, 2015–16) – американский драматический сериал об агентах ФБР, расследующих киберпреступления. В нем изображены довольно необычные криптографические методики, включая хранение ключей шифрования в виде татуировок. Призраки (Kudos, 2002–11) или MI-5 – британский телесериал о вымышленных сотрудниках спецслужб. В нескольких сериях агенты имеют дело с зашифрованными данными, демонстрируя необычайный талант к преодолению шифрования прямо на лету!
Дэн Браун использовал криптографию в нескольких своих книгах, особенно в романе Цифровая крепость (St. Martin’s Press, 1998), посвященном компьютеру, способному взломать любой известный метод шифрования. Интересно, что в самом известном романе Брауна, Код да Винчи (Doubleday, 2003), одним из персонажей выступает криптограф, хотя криптографии как таковой там нет.
Мой коллега Роберт Каролайна считает, что киберпространство – это не место, а средство взаимодействия. Он приводит сравнение между киберпространством и термином televisionland, с помощью которого на заре телевидения описывали абстрактную связь между людьми и новой технологией. В наши дни приветствие «Доброе утро всем в телевиделяндии!» (фраза, с которой экипаж Аполлон-7 начал свое первое радиообращение из космоса в 1968 году); Каролайна ожидает, что идея нахождения «в киберпространстве» точно так же в конечном счете выйдет из употребления. Я склонен с ним согласиться.
Киберпространство – это концепция, которой чрезвычайно сложно дать четкое определение. Принято считать, что впервые этот термин использовал писатель Уильям Гибсон, однако современные определения обычно основаны на абстрактном описании компьютерных сетей и данных, которые в них находятся. В своем выступлении на Crypto Wars 2.0 (третий межуниверситетский семинар по кибербезопасности, Оксфордский университет, май 2017 года) доктор Киан Мерфи (Бристольский университет) предложила более краткое определение: «Мне не нравится слово киберпространство, я предпочитаю называть это электронными вещами».
Согласно Internet World Stats (Miniwatts Marketing Group), по состоянию на 14 июля 2019 года, https://www.internetworldstats.com/stats.htm, чуть более половины населения мира уже в Интернете.
«2017 Norton Cyber Security Insights Report Global Results», Norton by Symantec, 2018, https://www.symantec.com/content/dam/symantec/docs/about/2017-ncsir-global-results-en.pdf.
Почти каждая вторая организация утверждает, что она была жертвой мошенничества и экономических преступлений, 31 % из этих случаев относится к киберпреступности: «Pulling Fraud Out of the Shadows: Global Economic Crime and Fraud Survey 2018», PwC, 2018, https://www.pwc.com/gx/en/services/advisory/forensics/economic-crime-survey.html.
Это внушительная оценка того, что нельзя измерить. Но она отражает идею о том, что в связи с нашей повышенной активностью в киберпространстве возрастает вероятность того, нас там кто-то обманет. Эти конкретные цифры взяты из отчета по киберпреступности за 2017 год, Cybersecurity Ventures, https://cybersecurityventures.com/2015-wp/wp-content/uploads/2017/10/2017-Cybercrime-Report.pdf.
Компьютерное вредоносное ПО Stuxnet использовалось для атаки на завод по обогащению урана в Нетензе, Иран, в котором в начале 2010 года начали замечать неполадки. Это, пожалуй, первый общеизвестный пример того, как важный индустриальный объект стал жертвой атаки из киберпространства. Это не только усилило напряжение вокруг данного инцидента в сфере международной политики и ядерной безопасности, но и послужило напоминанием всему миру о том, что критически важная национальная инфраструктура все чаще подключена к киберпространству. Атака на Нетенз проводилась не напрямую через Интернет, а, как считается, была инициирована с помощью зараженных USB-накопителей. О Stuxnet и Нетензе много всего написано – например, см. Countdown to Zero Day: Stuxnet, and the Launch of the World’s First Digital Weapon, Ким Зиттер (Broadway, 2015).
В ноябре 2014 года компания Sony Pictures Studios подверглась целому ряду кибератак, которые привели к раскрытию конфиденциальных сведений о ее сотрудниках и удалению данных. Злоумышленники требовали от Sony остановить выход нового комедийного фильма о Северной Корее. Например, см. статью Андреа Питерсон «The Sony Pictures Hack, Explained» в Washington Post от 18 декабря 2014 года, https://www.washingtonpost.com/news/the-switch/wp/2014/12/18/the-sony-pictures-hack-explained/?utm_term=.b25b19d65b8d.
Широко освещавшиеся атаки с переустановкой ключей были направлены на протокол безопасности WPA2, который использовался для криптографической защиты сетей Wi-Fi: Мэти Ванхоф, «Key Reinstallation AttacksWPA2 by Forcing Nonce Reuse», последнее обновление в октябре 2018 года, https://www.krackattacks.com.
Атака ROCA использует уязвимость в криптографической программной библиотеке для генерации ключей RSA, которые использовались в смарт-картах, токенах безопасности и других защищенных чипах производства Infineon Technologies. В результате появлялась возможность восстановить закрытые ключи для расшифровки: см. отчет Петра Свенды, «ROCA: Vulnerable RSA Generation (CVE15361)», опубликованный 16 октября 2017 года, https://crocs.fi.muni.cz/public/papers/rsa_ccs17.
Эксплойты Meltdown и Spectre использовали слабые места в широко распространенных компьютерных чипах. В январе 2018 года стало известно, что они затрагивают миллиарды устройств по всему миру, включая модели iPad, iPhone и Mac: «Meltdown and Spectre: All Macs, iPhones and iPads affected», BBC, 5 января 2018 года, http://www.bbc.co.uk/news/technology-42575033.
Кибератака WannaCry навредила многим старым компьютерам в Национальной службе здравоохранения Великобритании (и не только). В ходе нее устанавливался вирус-вымогатель, который шифровал диски зараженных устройств и затем вымогал выкуп взамен на расшифровку данных, которые стали недоступными. Позже Национальное аудиторское управление опубликовало детали расследования этого происшествия и предложило несколько способов, как его можно было бы избежать: Амьяс Морс, «Investigation: WannaCry Cyber Attack and the NHS», Национальное аудиторское управление, 25 апреля 2018 года, https://www.nao.org.uk/report/investigation-wannacry-cyber-attack-and-the-nhs.
Коми стал своего рода легендой в кругах специалистов по кибербезопасности за высказывания относительно его обеспокоенности о том, что использование криптографии мешает органам правопорядка. Например, в сентябре 2014 года он, как сообщается, выразил озабоченность усилением средств шифрования на различных мобильных устройствах: Райан Рейли, «FBI Director James Comey ‘Very Concerned’ about New Apple, Google Privacy Features», Huffington Post, 26 сентября 2014 года, http://www.huffingtonpost.co.uk/entry/james-comey-apple-encryption_n_5882874. В своем заявлении в мае 2015 года Коми по сообщениям журналистов был огорчен еще сильнее: Лорензо Франчески-Биккераи, «Encryption Is ‘Depressing,’ the FBI Says», Vice Motherboard, 25 мая 2015 года, https://motherboard.vice.com/en_us/article/qkv577/encryption-is-depressing-the-fbi-says.
Нравится вам Сноуден или нет, опубликованная им информация имела далеко идущие последствия, и я подробно поговорю о ней позже, когда речь пойдет о дилемме, возникшей из-за применения криптографии.
Вот что ответил Кэмерон на свой собственный вопрос: «Нет, мы не должны». Это замечание было воспринято многими как предложение запретить технологии шифрования: Джеймс Болл, «Cameron Wants to Ban Encryption – He Can Say Goodbye to Digital Britain», Guardian, 13 января 2015 года, https://www.theguardian.com/commentisfree/2015/jan/13/cameron-ban-encryption-digital-britain-online-shopping-banking-messaging-terror.
Брэндис сделал это заявление перед совещанием разведывательного альянса Пять глаз: Крис Дакетт, «Australia Will Lead Five Eyes Discussions to ‘Thwart’ Terrorist Encryption: Brandis», ZDNet, 26 июня 2017 года, https://www.zdnet.com/article/australia-will-lead-five-eyes-discussions-to-thwart-terrorist-encryption-brandis.
Кирен Маккарти, «Look Who’s Joined the Anti-encryption Posse: Germany, Come On Down», Register, 15 июня 2017 года, https://www.theregister.co.uk/2017/06/15/germany_joins_antiencryption_posse.
«Attorney General Sessions Delivers Remarks to the Association of State Criminal Investigative Agencies 2018 Spring Conference», Министерство юстиции США, 7 мая 2018 года, https://www.justice.gov/opa/speech/attorney-general-sessions-delivers-remarks-association-state-criminal-investigative.
Зейд заявил: «Средства шифрования широко используются по всему миру, в том числе защитниками прав человека, гражданским обществом, журналистами, осведомителями и политическими диссидентами, которым грозят преследования и притеснения. Шифрование и анонимность необходимы как для свободы выражения мнений, так и для права на частную жизнь. Утверждение о том, что без средств шифрования под угрозой могут оказаться человеческие жизни, не является ни надуманным, ни преувеличенным. В самом худшем случае способность правительственных органов взламывать телефоны своих граждан может привести к преследованиям тех, кто всего лишь пользуется своими неотъемлемыми правами». «Apple-FBI Case Could Have Serious Global Ramifications for Human Rights: Zeid», канцелярия верховного комиссара ООН по правам человека, 4 марта 2016 года, http://www.ohchr.org/EN/NewsEvents/Pages/DisplayNews.aspx?NewsID=17138.
«The Historical Background to Media Regulation», открытый архив Лестерского университета, данные по состоянию на 10 июня 2019 года, https://www.le.ac.uk/oerresources/media/ms7501/mod2unit11/page_02.htm.
Бывший Министр внутренних дел Великобритании Эмбер Радд сделала об этой проблеме довольно откровенное заявление: «Мне не нужно знать, как работает шифрование, чтобы понимать, как оно помогает (сквозное шифрование) преступникам». Брайан Уиллер, «Amber Rudd Accuses Tech Giants of ‘Sneering’ at Politicians», BBC, 2 октября 2017 года, http://www.bbc.co.uk/news/uk-politics-41463401.
О богатой и увлекательной истории криптографии написано множество книг. Одна из самых доступных – The Code Book (Fourth Estate, 1999) авторства Саймона Сингха. Эталоном по-прежнему остается книга Дэвида Кана The Codebreakers (Scribner, 1997), но можно выделить и World War II Cryptography (CreateSpace, 2016) от Charles River Editors, Unsolved! (Princeton University Press, 2017) Крейга Бауэра, Codes and Ciphers – A History of Cryptography (Hesperides, 2015) Александра Д’Агапейеффа и Codebreaker: The History of Codes and Ciphers (Walker, 2006) Стивена Пинкока. В своей книге Decipher: The Greatest Codes Ever Invented and How to Break Them (Modern Books, 2017) Марк Фрари проводит хронологическое исследование ряда исторических кодов и шифров. В превосходной книге Стивена Леви Crypto: Secrecy and Privacy in the New Cold War (Penguin, 2000) задокументированы американские политические события второй половины двадцатого века, связанные с криптографией.
Существуют разные книги, посвященные криптографическим головоломкам. Например, The GCHQ Puzzle Book (GCHQ, 2016), Break the Code (Dover, 2013) Бада Джонсона и Cryptography: The Science of Secret Writing (Dover, 1998) Лоуренса Д. Смита.
Если этот шифр вам не поддался, попробуйте сдвинуть буквы вперед на одну позицию в алфавите! – Здесь и далее прим. ред.
Многие национальные монетные дворы предоставляют подробности о мерах защиты валюты, чтобы помочь с обнаружением подделок. Это относится как к тактильным ощущениям, так и к внешнему виду купюр. Больше о мерах защиты монет Британского фунта можно узнать в статье «The New 12-Sided £1 Coin» от Королевского монетного двора, https://www.royalmint.com/new-pound-coin (по состоянию на 10 июня 2019 года); в статье «Take a Closer Look – Your Easy to Follow Guide to Checking Banknotes» от Банка Англии, https://www.bankofengland.co.uk/-/media/boe/files/banknotes/take-a-closer-look.pdf (по состоянию на 10 июня 2019 года) речь идет о британских купюрах; а о долларе США можно почитать в документе «Dollars in Detail – Your Guide to U.S. Currency», опубликованном в рамках Образовательной программы о национальной валюте США, https://www.uscurrency.gov/sites/default/files/downloadable-materials/files/CEP_Dollars_In_Detail_Brochure_0.pdf (по состоянию на 10 июня 2019 года).
Генеральный фармацевтический совет Великобритании устанавливает стандарты для фармацевтов. Стандарт под номером 6 гласит: «фармацевты должны вести себя профессионально»; это означает вежливость, тактичность, проявление сочувствия и сострадания, уважительное отношение к людям и защита их достоинства. См. «Standards for Pharmacy Professionals», Генеральный фармацевтический совет, май 2017 года, https://www.pharmacyregulation.org/sites/default/files/standards_for_pharmacy_professionals_may_2017_0.pdf.
Это не совсем точно, поскольку людям свойственно переоценивать одни угрозы, такие как авиакатастрофы, и существенно недооценивать другие, например, загрязнение воздуха.
В 2016 году объем финансового мошенничества с платежными картами, удаленным банкингом и чеками в Великобритании оценивался в размере 768,8 миллиона фунтов: «Fraud: The Facts, 2017», Financial Fraud Action UK, 2017, https://www.financialfraudaction.org.uk/fraudfacts17/assets/fraud_the_facts.pdf.
Для нашего читателя этот раздел может быть довольно забавен, поскольку именно такие аферы с платежками в последние несколько лет происходят постоянно и массово.
Стефани Хоэл и др., «Itsy Bitsy Spider. .: Infants React with Increased Arousal to Spiders and Snakes», Frontiers in Psychology 8 (2017): 1710.
«9/11 Commission Staff Statement No. 16», Комиссия по событиям 11 сентября, 16 июня 2004 года, https://www.9–11commission.gov/staff_statements/staff_statement_16.pdf.
Королевство Руритания – вымышленная страна центральной Европы, в которой происходит действие романа The Prisoner of Zenda Энтони Хоупа, 1894 год. Я взял на себя смелость использовать Руританию в качестве типичного государства, чтобы не обидеть ничьи национальные чувства. Я (бесстыдно) скопировал этот прием у моего коллеги Роберта Каролайна, который использовал Руританию в своих курсах по киберзаконодательству.
Появляется все больше и больше рекомендаций о том, как распознавать поддельные электронные сообщения. Например, см. «Protecting Yourself», Get Safe Online, https://www.getsafeonline.org/protecting-yourself (по состоянию на 10 июня 2019 года).
Программное обеспечение, написанное для сбора и использования информации о ничего не подозревающем пользователе часто называют шпионским ПО. Это могут быть как относительно невинные программы слежения, предназначенные для подбора адресной рекламы, так и системы мониторинга, сообщающие сторонним лицам о любой активности, включая случайные нажатия клавиш.
Общий недостаток понимания того, как устроено киберпространство, вредит отдельным людям, но это, наверное, создает еще более хронические проблемы для общества в целом. В отчете правительства Великобритании освещаются экономические потери, вызванные общей нехваткой цифровых навыков, и выявляется необходимость существенно улучшить обучение в этой сфере в школах, вузах и на производстве: «Digital Skills Crisis», комитет по науке и технике палаты общин Великобритании, 7 июня 2016 года, https://publications.parliament.uk/pa/cm201617/cmselect/cmsctech/270/270.pdf.
В 2010 году датский веб-сайт под названием Please Rob Me (дословно, «пожалуйста, ограбь меня») вызвал много споров, объединив ленты из социальных сетей и мобильного геолокационного приложения, в результате чего получился список адресов потенциально пустых домов. Создатели утверждали, что это делалось для повышения уровня осведомленности пользователей, но многие осудили эту инициативу, назвав ее безответственной. И хотя инструмент PleaseRobMe давно не существует, количество геолокационных приложений только увеличилось, а возможности по объединению источников данных для получения такого рода информации стали намного эффективней. См. Дженнифер Ван Гроув, «Are We All Asking to Be Robbed?», Mashable, 17 февраля 2010 года, https://mashable.com/2010/02/17/pleaserobme.
В качестве одного из многочисленных примеров можно привести следующую ситуацию: в 2016 году платформа под названием Avalanche была закрыта международным объединением правоохранительных органов. Она размещалась в восточной Европе и управляла сетью взломанных компьютерных систем, из которых можно было осуществлять различные киберпреступления, включая такие атаки как фишинг, спам, вымогательство и DoS. По оценкам, максимальное количество компьютеров, контролируемых платформой Avalanche, достигало полумиллиона: Уорик Эшфорд, «UK Helps Dismantle Avalanche Global Cyber Network», Computer Weekly, 2 декабря 2016 года, http://www.computerweekly.com/news/450404018/UK-helps-dismantle-Avalanche-global-cyber-network.
Самым печально известным примером такого рода была сеть, созданная Министерством государственной безопасности ГДР (Штази) в период между 1950 и 1990 годами. Штази вовлекло в нее более четверти миллиона граждан Восточной Германии, чтобы следить за всем населением страны и выявлять диссидентов.
Остановитесь на секунду и задумайтесь о том, сколько всего о вашей повседневной жизни могут знать мобильный телефон, поисковая система и социальные сети, собирая данные, которые вы генерируете при взаимодействии с ними. Теперь представьте, насколько больше они могли бы о вас узнать, поделившись этой информацией друг с другом. Если хотите менее гипотетический пример, введите «наблюдение за работниками» в свою любимую поисковую систему (прибавив еще чуть-чуть к тем сведениям о вас, которые у нее уже есть). Результаты могут вас расстроить.
Криптография лежит в основе любого рода финансовых транзакций, включая те, которые мы проводим с банкоматами, дебетовыми и кредитными картами, а также с глобальной сетью SWIFT (Society for Worldwide Interbank Financial Telecommunications – Общество всемирных межбанковских финансовых каналов связи). Ежегодная конференция Financial Cryptography and Data Security, проводимая с 1997 года, посвящена теории и практике использования криптографии для защиты финансовых транзакций и созданию новых видов цифровых денег: Международная ассоциация по финансовой криптографии, https://ifca.ai (по состоянию на 10 июня 2019 года).
Следует признать, что рекомендательные письма в наши дни являются редкостью. Но мы все еще активно используем письменные рекомендации при собеседовании. Наша безопасность в материальном мире во многом основана на мнении других доверенных источников. Например, друг может представить нам человека, с которым мы раньше не были знакомы; в каком-то смысле это тоже устное «рекомендательное письмо».
Фраза «Сезам откройся» взята из сказки об «Али-Бабе и сорока разбойниках», входящей в Книгу тысячи и одной ночи – собрание народных сказок, которое, возможно, уходит корнями в восьмой век.
Заметьте, что в ASCII символ «9» является пятьдесят седьмым по счету, что может вызвать путаницу, так как он представлен в виде двоичного эквивалента числа 57, а не десятичного значения 9.
Длину ключа иногда называют размером. Я буду считать эти термины синонимами.
Количество абонентов мобильной связи в мире насчитывает более 5 миллиардов: «The Mobile Economy 2019», Ассоциация GSM, 2019 год, https://www.gsma.com/mobileeconomy.
Этот пример основан на предположении о том, что в нашей вселенной существует около 1022 звезд. Подсчет звезд – это не точная наука, так как мы можем только догадываться об их количестве по нашим наблюдениям с помощью существующих телескопов. По последним оценкам этот показатель приближается к 1024, и многие специалисты подозревают, что он тоже может быть заниженным. Например, см. статью Элизабет Хауэлл, «How Many Stars Are in the Universe?» от 18 мая 2017 года в разделе Science & Astronomy на сайте https://www.space.com/26078-how-many-stars-are-there.html. Подсчет криптографических ключей является куда более точным процессом!
Термин персональный идентификационный номер (англ. personal identification number или PIN) обычно используют для обозначения коротких паролей, состоящих из цифр. Он уходит своими корнями в конец 1960-х, когда появились первые банкоматы. В нашем контексте PIN-коды и пароли представляют собой одно и то же – строку секретных символов.
На самом деле в этом процессе нередко участвует криптография, поскольку компьютеры в большинстве своем хранят не копии ваших паролей, а значения, вычисленные на их основе с помощью криптографической функции особого типа.
При вводе PIN-кода в банкомат мы фактически надеемся на то, что он не сделает с ним ничего плохого. Однако существует много атак, известных как скимминг, в ходе которых преступники модифицируют банкомат, чтобы заполучить данные о карте и PIN-коде (последний можно узнать, наложив поддельную клавиатуру).