Коли кіберзлочинці починають використовувати штучний інтелект, особиста кібербезпека повинна стати настільки ж звичною навичкою, як закривати двері на кілька замків.
Ваш телефон час від часу просить себе оновити, а ви ігноруєте його запит, натискаючи "пізніше". Якщо чесно, довгий час чинив так само. Оновлення завжди приходить у непідходящу мить, забираючи місце та іноді псуючи звичний вигляд застосунків. І найгірше - ніколи не пояснюється, навіщо воно взагалі потрібне. Донедавна ігнорування оновлення програмного забезпечення (ПЗ) коштувало небагато. Тепер таке ігнорування починає коштувати дорого, й у цьому матеріалі спробую пояснити - чому.
Суть справи полягає в тому, що оновлення програмного забезпечення – це не лише естетичні зміни. У більшості випадків це виявлення та усунення цифрових вразливостей, які були виявлені виробником у його продукті. Коли компанія випускає оновлення, вона фактично оголошує всьому світу, де саме знаходиться ця вразливість. Щоб простіше зрозуміти, уявіть, що житлове управління розміщує оголошення про зміну замків на чорному вході. Ті мешканці, які замінили замок, тепер у безпеці. А ті, хто цього не зробив, залишаються під загрозою, адже злодій може потрапити до їхніх квартир у будь-який момент. Саме так функціонує цифрова безпека. Загроза не полягає у самій програмі, яку ви користуєте, а виникає в проміжку між моментом, коли оновлення було випущено, і моментом, коли ви його застосували. І ризик для вас триває доти, поки ви не оновите додаток.
Ще зовсім недавно інтервали між оновленнями вимірювалися місяцями, і причина цього була суто людська. Виявити вразливість у програмному забезпеченні не є складним завданням. Автоматизовані системи, які працюють цілодобово, вже давно займаються цим, перевіряючи мільйони варіантів і виявляючи тисячі проблем щорічно. Проте сама по собі вразливість не означає, що сталося зламанння. Якщо порівняти, це подібно до тріщини у стіні будівлі, через яку злочинець ще не проник. Щоб перетворити тріщину на пограбування, потрібна людина з іншими навичками. Вона має розширити отвір, не зруйнувавши стіну, обійти охоронні системи, в темряві знайти потрібні двері і дістатися до сейфа. Мова йде про справжніх хакерів, яких, якщо бути об'єктивними, до нещодавнього часу було небагато у світі — всього кілька тисяч. Вони навчаються роками, працюють у дуже вузькому колі і мають високу ціну. Цей дефіцит хакерів і став справжнім щитом для всього цифрового простору. Не шифрування, не паролі, не фаєрволи, а звичайна нестача кадрів. Оскільки вразливостей було багато, а тих, хто вміє їх використовувати, небагато, більшість з них залишалася лише теоретичними. Цей захист не був спроектований і оплачений — він просто існував, і саме тому ми звикли його не помічати. Але за останній рік ситуація змінилася кардинально.
Що зробили дослідники з цифрових вразливостей і що з цього вийшло?
У травні цього року була опублікована дослідження, проведене в Каліфорнійському університеті в Берклі, Інституті Макса Планка та ще в трьох університетах у співпраці з компаніями Anthropic, OpenAI і Google. Основна мета дослідження полягала в тому, щоб з'ясувати, чи здатний сучасний штучний інтелект самостійно пройти шлях від виявлення вразливості до проведення кібератаки. Для цього було проаналізовано близько дев'ятисот реальних уразливостей програмного забезпечення, яке використовується у всьому світі, включаючи браузер Chrome та ядро операційної системи, на якій працює більшість серверів планети. Кожній системі демонстрували одну вразливість і ставили завдання отримати доступ до документа на цифровому пристрої, до якого вона не мала жодних прав. Найефективніша з протестованих систем змогла справитися з сто п’ятдесятьма сімома пристроями, що становить менше двадцяти відсотків. Чи є це багато чи мало? Щоб це зрозуміти, варто звернути увагу на інше число: машина отримала повний контроль над чужою системою двісті двадцять шість разів. Різницю в показниках врахували з формальних причин, оскільки дослідники зараховували успіх лише в тих випадках, коли система скористалася саме показаною вразливістю. Проте, система часто обирала інший шлях. Оглянувши задану вразливість, вона визначала, що це не оптимальний варіант, і шукала альтернативні способи отримання контролю над пристроєм. Інколи вона навіть виявляла слабкі місця, про які раніше ніхто не здогадувався.
З метою наукової точності, відповідне число — сто п’ятдесят сім. А для власника пограбованого дому правильним числом є двісті двадцять шість. Адже йому не важливо, через яке вікно чи двері злодії потрапили всередину. А ця різниця свідчить про щось значно більш тривожне, ніж самі цифри. Тепер машина вже не просто виконує команди, а має можливість самостійно виявляти вразливі місця та проводити повноцінні атаки.
Чому фахівці вважають це ключовим моментом?
Написати цей матеріал мене спонукав один із протоколів того дослідження. Машині показали вразливість, яка в звичайній збірці браузера навіть не виглядає як вразливість. Програма просто показує нешкідливе повідомлення про помилку, і жоден користувач ніколи б нічого не запідозрив. За сімдесят одну хвилину машина перетворила це нешкідливе повідомлення на повний контроль над чужим комп'ютером. По дорозі вона спробувала зрізати кут і взяти документ навпростець, отримала відмову й повернулася до довгого шляху. Уся робота вартувала п'ятнадцять доларів. Фактично це була плата за електрику.
Тиждень роботи живого спеціаліста такої кваліфікації коштує кілька тисяч, якщо ви взагалі знайдете вільного. І проблема тут зовсім не в тому, що машина розумніша за людину, бо вона поки що помітно дурніша. Проблема в тому, що вона дешевша в сотні разів, ніколи не втомлюється і запускається одночасно тисячею однакових копій. Пограбування, яке раніше берегли для одного багатого будинку, тепер можна пустити суцільною атакою по цілому кварталу. Дослідники, до речі, обмежили кожну спробу двома годинами, а потім окремо продовжили до шести. Успіхи весь цей час продовжували накопичуватися, і крива жодного разу не сповільнилася. Тобто опубліковані числа показують не межу можливостей машини, а межу дослідницького бюджету.
Що кожному з нас варто зробити вже цього тижня?
Особисто вас ніхто не ламатиме способом, описаним вище, бо такий інструмент витрачають на банк, на оператора зв'язку чи на державний реєстр, а не на людину. Проти вас працюють дешевші інструменти соціальної інженерії. Наприклад, лист від банку без жодної помилки в мові, повідомлення зі справжніми подробицями вашого життя, зібраними з відкритих джерел за десять хвилин, голос вашої доньки в слухавці з десяти секунд її відео. Обидва рівні тримаються на одному й тому самому, тобто на тому, чи оперативно ви оновлюєте ПЗ, що стоїть у ваших пристроях.
Кожна з майже дев'ятисот дірок, які машини зламували в тому дослідженні, мала готове виправлення від виробника. Ці системи вдалося зламати виключно тому, що хтось вчасно не поставив оновлення. Проміжок між виявленням вразливості та усуненням його за рахунок оновлення, який раніше тривав тижні, тепер вимірюється годинами. І саме тому далі запропоную звичайний перелік дій, які потрібно оперативно зробити кожному з нас. Тож увімкніть автоматичне оновлення на телефоні та комп'ютері й не відкладайте перезавантаження, бо частина оновлень застосовується тільки після нього. Браузер оновлюється так само, тобто його треба іноді повністю закривати, а не тримати відкритим місяцями. Це проста дія, яка допоможе підвищити ваш щоденний захист.
Оцініть вік своїх пристроїв. Сучасні системи мають потужні захисні механізми, які дозволяють запобігти приблизно трьом чвертям атак. Проте ці можливості доступні лише на нових моделях гаджетів. Якщо ваш телефон більше не отримує оновлень від виробника, він знаходиться в тому ж стані, що й пристрої, на яких дослідники свідомо відключали захист для проведення експериментів. Такий телефон може ще підійти для дзвінків і фотографій, але зберігати там інформацію для банківських додатків чи робочих переговорів небажано. Аналогічна ситуація стосується комп'ютера з операційною системою, яка вже не підтримується виробником.
Перегляньте, що у вас узагалі встановлено. Кожен застосунок і кожне розширення браузера - це окремі "двері" у ваш цифровий гаджет, а слідкує за їхнім "доступом" стороння людина, про яку ви нічого не знаєте. Половину з них ви відкривали один раз три роки тому. Видаліть усе, чим не користуєтеся, і не встановлюйте нічого поза офіційними магазинами.
Обов'язково змініть методи доступу до важливих сервісів. Підтвердження через мобільний додаток або апаратний ключ є набагато безпечнішими, ніж SMS, які легко можуть бути перехоплені. Якщо сервіс надає можливість входу за допомогою відбитка пальця або розпізнавання обличчя без використання пароля, не сумнівайтеся в цьому — такий спосіб доступу практично неможливо обманути за допомогою фальшивих електронних листів.
Якщо ви ще не вжили цього заходу, рекомендуємо створити менеджер паролів і використовувати унікальні паролі для кожного веб-сайту. Найчастіша причина втрати доступу не пов’язана зі складністю пароля. Справа в тому, що ваш застарілий пароль міг бути викритий на іншому ресурсі три роки тому, і його просто використали для входу до вашої електронної пошти.
Створіть резервну копію найціннішого. Для приватної особи основною загрозою є не складні хакерські атаки, а звичайний шифрувальник чи втрачене мобільне пристрій. Резервне копіювання вирішує обидві ці проблеми одним простим кроком.
Не ігноруйте роутер та смарт-пристрої у вашій оселі. Це часто найбільш недооцінена частина домашньої електроніки, адже роутер зазвичай купують один раз і більше не перевіряють. Як результат, заводський пароль залишається незмінним протягом багатьох років.
І, зрештою, встановіть вдома контрольне слово, яке ви будете використовувати під час важливих дзвінків. Наприклад, коли йдеться про терміновий переказ грошей. На сьогоднішній день не існує кращого способу захисту, ніж голос, записаний з короткого відео. Ще одним варіантом є те, що всі термінові розмови про фінанси перевіряються за допомогою зворотного дзвінка на номер, який ви добре знаєте.
Для осіб, що займаються оборонною сферою, журналістикою чи публічною політикою, існує ще один важливий аспект. На вас можуть витрачатися дорогі ресурси, отже, робочі і особисті справи не повинні змішуватися на одному пристрої. Ваш телефон має бути оснащений режимом підвищеної безпеки, який доступний у кожній сучасній операційній системі.
Помилки в програмному забезпеченні завжди були і залишаться, адже абсолютно бездефектні програми — це лише теоретична концепція. Протягом багатьох років світова безпека базувалася не на досконалості коду, а на тому, що людей, здатних скористатися вразливостями, було катастрофічно мало. Проте ця ситуація стрімко змінюється, і відбувається це не через чийсь злий умисел, а як наслідок розвитку інструментів, створених для програмістів. Двадцять відсотків успіху можуть заспокоювати до того моменту, поки не звернеш увагу на те, з чого вони почалися і як швидко досягли нинішнього рівня. Сьогоднішня недосконалість технологій не гарантує безпеки на завтра. Ми вже одного разу розраховували на те, що доступні технології залишаться лише забавкою для ентузіастів, і цією забавкою стали дрони.
Завдяки цьому кібербезпека перестає бути вузькоспеціалізованою галуззю для обраних і перетворюється на звичайну навичку, таку ж необхідну в повсякденному житті, як, наприклад, закривати двері на замок. Держава може інвестувати в будь-яку кількість захисних технологій, але жодна з цих інвестицій не замінить вашої відповідальності за оновлення телефону. Адже єдине, що ми дійсно можемо контролювати, — це той момент між появою нової версії програми та миттю, коли ви нарешті натискаєте кнопку для її установки.
Віктор Таран є фахівцем у сфері оборони та військових технологічних нововведень, зосереджуючи свою увагу на безпілотних літальних апаратах і питаннях кібербезпеки.
#
