Регулирование шифрования, принуждение к небезопасности и легализация шпионажа

[BDFINFO1.9]

Добрый день, дорогие участники #бдф. Данная статья подходит и в раздел новостей, но всё же данный раздел сборник статей по безопасности и анонимности - подходит больше, т.к. это скорее часть серии статей о безопасности и анонимности.
Приступим.
Одной из наиболее серьезных угроз для вашей безопасности, приватности и анонимности онлайн потенциально является, к сожалению, ваше собственное правительство. Эта угроза исходит из разных направлений, но есть два основных . Первое - это попытка ослабить и регулировать шифрование, второе - легализация, и я полагаю, узаконивание массовой слежки и шпионажа за собственными гражданами.
Многие страны говорят о реализации мер, которые ограничивают шифрование, и мер для легализации и узаконивания шпионажа, который и так проводится незаконно многие годы. И по факту, к тому времени, как вы это слушаете , если в конкретно вашей стране данные процессы идут весьма быстро, то возможно, ситуация уже изменилась, и теперь шпионаж за вами уже стал более законным, а шифрование регулируется на новом уровне.
Подобное регулирование и принуждение к небезопасности и легализация шпионажа происходит во многих странах: США, Великобритания, Китай, Россия, Бразилия, Индия и так далее. В Великобритании есть законопроект о коммуникационных дан-ных, согласно которому провайдерам необходимо хранить пользовательские данные в течение 12 месяцев, а также ряд других мер, напоминающих классику Джорджа Оруэлла.
Другие примеры, демонстрирующие волну изменений в разных странах, это например, блокировка WhatsApp на 48 часов в Бразилии из-за разногласий компании и правительства по вопросам шифрования. В Индии есть очень сильные попытки ограничения шифрования. В Казахстане правительство незаконно требует внедрять бэкдоры.
Шифрование - это фундаментальная математика; его нельзя запретить . Как гово-рится, лошадь уже покинула стойло. Шифрование уже существует. Оно не может быть ослаблено исключительно для террориста или преступника или другого человека, которого вы бы хотели снабдить слабым шифрованием. Эти люди будут попросту использовать сильное шифрование, которое также уже существует, а все остальные окажутся в затруднении со слабой безопасностью и слабым шифрованием, потому что их принудили к использованию слабого шифрования.
Если оно ослабляется или допускается возможность существования бэкдоров, то оно ослабляется для всех, включая хакеров, пытающихся скомпрометировать наши системы.
Нечто подобное уже пытались осуществить. Это были криптографические войны 1990-ых. Микросхема под названием "Clipper" была предложена правительством США и в ней был найден встроенный бэкдор, и к счастью , она не получила широкого распространения, потому что эту микросхему собирались встраивать во все электронные устройства, осуществляющие шифрование. И таким образом правительство намеревалось обходить шифрование и наблюдать за вашими действиями. Если бы это про-изошло, то это обернулось бы полной катастрофой ввиду найденной в микросхеме уязвимости.
И это проблема. Если вы ослабляете шифрование, вы можете ослабить его для всех разом. Террористы и преступники продолжат использовать сильное шифрование, даже если законопослушным гражданам это будет запрещено. Нет никаких оснований полагать, что ослабление шифрования вообще поможет.
И вдобавок ко всему вышесказанному, у нас нет физически осуществимого технического способа достигнуть этого. К несчастью, все эти вещи, возможно, слишком сложны для понимания тем людям, которые принимают по ним решения наверху, либо они понимают их, но ввиду политического курса продолжают продвижение этих идей.

You must be registered for see images attach

Мэтт Блейз о кибербезопасности

Это Мэтт Блейз, выступающий в комитете Конгресса США на тему невыполнимости подобных планов, и это определенно стоит посмотреть. Давайте обсудим эту запись, она длится минут пять.

"Председатель: доктор Блейз, ваши пять минут.

Мэтт Блейз: Спасибо, мистер председатель. Как технический специалист, я ловлю себя на мысли, что мне очень странно участвовать в дебатах по поводу целесообразности того, что звучит прекрасно , речь о системах безопасности, которые могут быть преодолены хорошими ребятами, но при этом надежно защищены от плохих.
И разумеется, мы можем это обсудить. Но как технический специалист, я не могу проигнорировать суровую реальность. Это попросту не может быть сделано безопасно. И если мы вырабатываем нужную политику, которая допускает и делает вид, что мы можем сделать это безопасно, то возникнут ужасные последствия для нашей экономики и национальной безопасности.
В наше время трудно переоценить важность устойчивых и надежных компьютер-ных систем и коммуникаций для нашей персональной, коммерческой и национальной безопасности. Очевидно, что современные компьютерные системы и сетевые технологии приносят огромную пользу нашему обществу и мы зависим от их надежности и защищенности точно таким же образом, как мы зависим сегодня от электричества, воды и других ключевых инфраструктур.
Но к сожалению, система, основанная на программном обеспечении - это фундамент, на котором строится технология всех современных коммуникаций, и общеизвестно об их уязвимости перед атаками преступников или враждебных государств. Крупные утечки данных, конечно , это буквально повседневность . И эта проблема становится все хуже, потому что мы строим все большие и сложные системы . И не будет преувеличением охарактеризовать состояние безопасности программного обеспечения как начинающийся национальный кризис.
И горькая правда за всем этим состоит в том, что компьютерная наука, моя сфера деятельности, попросту не знает, как разрабатывать сложное, крупномасштабное программное обеспечение, которое бы обладало надежным и безошибочным поведением. И это не новая проблема; она ничего общего не имеет с шифрованием или современными технологиями. Она остается главной темой исследований в области вычислительной техники с самого рассвета программируемых компьютеров.
Новые технологии позволяют разрабатывать нам более масштабные и сложные си-стемы, и вместе с тем, задача по обеспечению надежности становится существенно сложнее ввиду все большего количества компонентов, взаимодействующих друг с другом.
Если мы интегрируем небезопасность и уязвимые системы в структуру нашей экономики, то последствия от недостатков таких систем станут с большой долей вероятности все более серьезными.
К несчастью, нет простого решения проблемы защиты систем, основанных на программном обеспечении. Масштабные системы изначально подвержены риску, и мы можем, в лучшем случае, управлять этим риском, а не убрать его вовсе.
Есть два известных способа управлять рисками ненадежного и небезопасного программного обеспечения. Один из них - это использование шифрования, и это позволяет нам обрабатывать критичные данные в небезопасных медиа и системах программного обеспечения на уровне наших возможностей.
И другой способ - это разработка программных систем, которые были бы максимально небольшими и простыми, насколько это возможно, в целях уменьшения количества компонентов, в которых злоумышленник мог бы найти дыры для эксплуатации.
Вот почему предложения по предоставлению правоохранительным органам возможностей по доступу к данным так сильно пугают меня. Криптографические системы в числе самых хрупких и деликатных элементов современного программного обеспечения. Мы часто открываем катастрофические слабые места даже в очень простых криптографических системах спустя годы после их разработки и внедрения.
Требования по доступу третьих сторон к данным приводят к тому, что даже очень простые задачи, которые мы не знаем, как решить, превращаются в гораздо более сложные задачи, решить которые у нас вообще нет шансов.
Криптография с бэкдорами, которую продвигает ФБР, может быть и решит некоторые проблемы, при условии, что мы ее реализуем, однако это хорошо известная всем проблема. Мы нашли едва заметные дыры в системах, разработанных агентствами национальной безопасности, например, в микросхеме Clipper, две декады назад.
И даже если правильно настроить криптографию, мы останемся с проблемой инте-грации возможностей доступа в программное обеспечение. Требование к разработчи-кам предоставлять возможности доступа третьим сторонам в корне разрушит наши и так слабые способности противостоять атакам.
Хочется поставить вопрос ребром: либо персональная приватность, либо деятель-ность правоохранительных органов, но по факту, на карту поставлено гораздо боль-шее. Мы попросту не можем сделать то, о чем просит ФБР без серьезного ослабления нашей инфраструктуры. В полном выигрыше останутся преступники и противостоя-щие нам государства. Конгресс встает здесь перед критически важным выбором, либо фактически закрепить на законодательном уровне принудительную небезопасность наших критических инфраструктур, либо признать огромную важность надежной бе-зопасности в вопросах предотвращения преступлений в мире, все больше погружаю-щемся в сеть. Огромное спасибо за внимание."

You must be registered for see links

Здесь ссылка с интересным материалом для чтения. Это мнения экспертов в обла-сти криптографии на тему "почему принуждение к небезопасности - это плохая идея", включая тех людей, кто собственно говоря, и развивали ту самую криптографию, о которой мы будем говорить в нашем курсе. Так что если вы хотите копнуть поглубже, прочитайте этот материал в качестве домашнего задания.

Следующий короткий документ

You must be registered for see links

который вы можете прочитать, это доводы против регулирования технологий шифрования, всего пара страниц. И вам будет полезно это прочитать, чтобы получше войти в тему. Это "

You must be registered for see links

".
А здесь

You must be registered for see links

, можете узнать, сколько существует различных криптографических продуктов. Это единый учет криптографических продуктов со всего мира. Погуглите на этот счет. Здесь есть версия в PDF. Есть версия в Excel, она довольно-таки удобная, потому что вы можете сортировать список по типам. Здесь можно взглянуть на все разнообразные виды криптографического софта. В этом списке есть и те вещи, которые мы будем рассматривать в курсе.
В нем 865 аппаратных и программных продуктов со встроенным шифрованием из 55 стран мира. Конечно, если в одной стране появляется некий закон, это повлияет на другие страны и людей, использующих криптографические продукты из этой страны.
Давайте теперь перейдем к вопросам легализации шпионажа и массовой слежки. И я думаю, нам стоит начать с цитирования Эдварда Сноудена.
Итак, вот что он говорит : "Если вы приводите аргумент, что вас не волнует право на приватность, поскольку вам нечего скрывать, то это ничем не отличается от того, что вы скажете: "Меня не волнует свобода слова, поскольку мне нечего сказать". Люди, которые приводят доводы на уровне "Мне нечего скрывать", не понимают фундаментальных основ человеческих прав. Никто не обязан обосновывать, почему он нуждается в правах. Бремя доказывания падает на плечи тех, кто нарушает эти права. Если один человек решает не пользоваться своим правом на приватность, это не означает, что все остальные автоматически должны последовать за ним. Вы не можете жертвовать правами других людей, если сами в этих правах не нуждаетесь. Если говорить проще, то большинство не может голосовать против естественных прав меньшинства".

Мое мнение таково: когда люди знают, что за ними следят, что они находятся под слежкой, они начинают изменять свою деятельность. Они теряют свободу. Цель террористов - лишить нас свободы. Развивая массовую слежку для предотвращения терроризма, создавая инфраструктуру для массовой слежки, мы теряем ту самую свободу, которую пытаемся защитить. Контраргументом этому является то, что мы будем в большей безопасности благодаря массовой слежке, будем защищены в большей степе-ни. Но доказательств для подтверждения этого мало. Бывший руководитель подразделения АНБ по добыванию разведывательных сведений Билл Бинни высказывается на этот счет следующим образом : массовая слежка мешает способности правительства ловить плохих парней, и вина правительства в отношении событий 9/11, Бостонских взрывов, стрельбы в Техасе и других террористических актов заключается в том, что из-за массовой слежки правительство оказалось переполнено данными.
Для меня вопрос массовой слежки заключается в том, что правительству дается слишком много власти. Ключевые вопросы для обдумывания: "Вы можете доверять свои персональные и приватные данные, собранные при помощи массовой слежки, всем этим людям, правительственным учреждениям, агентствам, компаниям и подрядчикам? Вы можете поверить в то, что они будут всегда действовать в ваших законных интересах и будут всегда действовать в рамках закона с этой своей новой властью?"
И не только сейчас, но и в будущем, по отношению к вашим детям, потому что именно дети унаследуют мир, полный слежки. Все эти данные будут сохраняться и любое незначительное отклонение от того, что считается приемлемым, может быть использовано против вас, если вы выступите против действующих властей.
Изучите движения по защите гражданских прав. Замедляет ли массовая слежка поддержку гражданских прав? Способствует ли она ужесточению ситуации? Если массовая слежка будет реализована, будут ли полностью разрушены права граждан до их полного исчезновения? Над этим стоит задуматься.

Если вы очень интересуетесь приватностью и увлечены ею, подумайте о внесении вклада в некоторые судебные дела, затрагивающие приватность. Регулирование шифрования, принуждение к небезопасности и легализация шпионажа, к сожалению, все это - активные угрозы, которые могут потенциально находиться в вашем ландшафте угроз и о которых следует знать. Если ваши возможности по шифрованию уменьшаются, то уровень вашей безопасности также снизится, и вам нужны будут другие средства контроля за рисками.

 

[Rubikon]

В новом интервью Путина было сказано, что у нас нет никакой слежки, так как - мы не готовы вкладывать столько финансов, как делает это США.

 

[prad]

В новом интервью Путина было сказано, что у нас нет никакой слежки, так как - мы не готовы вкладывать столько финансов, как делает это США.

Такт оно может и так, го в целом - это фикция. У нас слежка заложена в фундамент построения сетей. Как мобильных, так и не мобильных.