об отсутствии конфиденциальности в интернете:
У американцев произошло следующее. Сейчас готовится целый пакет соглашений между Россией и США по контролю над ядерными объектами, в том числе и о механизмах взаимных инспекций. Соответственно, ведомства согласуют позиции, какие хранилища показывать инспекторам.
В начале июня один из внутренних документов, где перечислены и показаны некоторые объекты, был выложен на сервер, причем его хозяева просто не понимали, что он виден из интернета. Через день его, конечно, убрали, и потом долго гадали, успел ли кто-то его скопировать.
Все почему-то считают, что если документ попал на сервер, то его можно спрятать. Существует вселенское непонимание сути FTP-сервера.
Если, например, Windows закрывает паролем папку так, что ее вообще не видно, то FTP-серверы устроены иначе. Windows – это как охранник ночного клуба: если он вас туда не пустил, то, значит, не пустил. Он не позовет вам девушку, и не даст войти «на секундочку». Защита FTP-сервера устроена по-другому, она напоминает Ленинскую библиотеку. В книгохранилище вам не зайти, там у входа дежурит милиционер и вас не пропустит. Но если вы скажете точное название книги библиотекарю, она ее вам выдаст, поскольку библиотека для этого и предназначена.
На этом основана одна из методик обнаружения документов в интернете. Например, доступ к документам Microsoft с грифом Highly Confidential я могу получить за три минуты, не взламывая никаких паролей. Когда я сказал об этом людям из Microsoft, их реакция была «не может быть» (Slon.ru воспроизвел методику Андрея Масаловича и, не прибегая к нарушению защиты сервера Microsoft, получил доступ к документам с грифом Highly Confidential менее чем за три минуты – Slon.ru).
Но вернемся к американцам. Прошло месяца полтора, и я решил посмотреть, утек ли скандальный документ в Сеть. Я начал искать не столько этот конкретный файл, сколько скопления документов: это гораздо интереснее, поскольку эти скопления время от времени пополняются. И я набрел, к своему изумлению, и на внутреннюю переписку ведомств, и на таблицы с росписью количества стратегических материалов, хранимых на объектах, лежащие практически в открытом доступе.
Нашлись также закрытые отчеты о нарушениях в хранении стратегических веществ с номерами хранилищ – примерно такого содержания: «на объекте таком-то деревянная крыша, а в нем хранится плутоний», «на таком-то объекте уран, и затруднена эвакуация при пожаре». Наибольшая их часть сосредоточена на объекте Y12.
Всю информацию поисковые роботы Avalanche принесли мне за десять минут, собрав ее по открытым источникам последних лет, в том числе и план ядерного хранилища Y12. Простым поиском в Google Maps можно найти карту территории этого объекта, и две картинки элементарно накладываются друг на друга по характерному излому на дорожке между корпусами.
Обращает на себя внимание факт, что любой из корпусов находится в прямой видимости от ограждения комплекса, вокруг находятся пустыри, и расстояние от забора до любого из корпусов менее 500 метров. Для справки: американский ручной гранатомет ХМ25 имеет прицельную дальность стрельбы по площадным целям 700 метров. Остается только молиться, чтобы у террористов не оказалось под рукой исправного гранатомета и доступа в интернет.
Как теперь убрать эти сведения из интернета, я не представляю. Это же не утечка, а систематическая ошибка. Ядерные секреты США не утекли в интернет, они там живут всегда.
Безопасность начинается с головы. Нужно обучение персонала, и аудиты всех организаций, невзирая на лица. Начинать можно прямо с Совета Федерации и Госдумы: думаю, они согласятся, если им показать, что за несколько минут в сети можно найти пароли к железнодорожным перегонам, пароли к обновлению софта во всех школах – и все это можно получить без взлома, без троянов, не нарушая ни физических средств защиты, ни программных, ни парольной идентификации.
Доступ к диспетчерским аэропортов я не проверял, но пароли к компьютерам и аппаратов посольств видел – слава Богу, это были не российские посольства. Находил пароли и логины всех госструктур краевой администрации, включая спецслужбы одной дружественной нам страны.
Трудно сказать, легальны эти действия или нелегальны. Если я перехожу по ссылке, которая есть в открытом доступе в интернете, а потом меняю в ней несколько букв – это легально или нет?
