Почему идеальная криптография не делает мир безопасным

Почему идеальная криптография не делает мир безопасным

В 2011 году голландский удостоверяющий центр DigiNotar был скомпрометирован. Атакующие выпустили поддельный, но технически валидный сертификат для доменов Google. Это позволило проводить атаки типа man-in-the-middle против части пользователей в Иране: браузеры показывали защищённое соединение, а трафик мог быть незаметно перехвачен. TLS работал безупречно. Сертификат был подписан правильно. Цепочка доверия выстроена как положено. С точки зрения криптографии ничего не сломалось, просто доверие выдали не тому, кому нужно.

Эта история — ​почти идеальная метафора современной информационной безопасности (ИБ). Математика чувствует себя прекрасно, но защиту всё равно обходят. Потому что криптография отвечает только на один вопрос: «Можно ли математически доверять данным?» А ИБ работает с другой проблемой: «Можно ли доверять человеку?»

С криптографией сегодня никто не сражается. Это слишком дорого и бессмысленно. Да и зачем, если можно скомпрометировать доверие, которое мы делегируем сотням центров сертификации, не зная даже их названий, если можно создать интерфейсы, в которых правильное действие пользователя неотличимо от неправильного?

А ещё можно поискать в открытом доступе секреты, которых в любой крупной инфраструктуре тысячи, и никто не помнит, какие из них живы. Или внедриться в корпоративные ритуалы, продающие ощущение защищённости вместо самой защищённости. На каждом из этих направлений криптография работает безупречно. Только вот защита всё равно проигрывает.

В этой статье мы поговорим о том, как человеческий фактор превращает криптографическую защиту в мощную крепость с открытыми настежь воротами.

Алгоритмы не виноваты

Сначала факты. AES‑256 не взламывают перебором — ​на классических компьютерах перебор пока остаётся задачей настолько дорогой, что не имеет практического смысла. RSA‑2048 по-прежнему считается достаточно стойким для большинства сценариев. TLS 1.3 устранил многие слабые места и классы атак, характерные для предыдущих версий протокола. Signal Protocol с его двойным храповиком, устойчивостью к компрометации ключей и пройденными независимыми аудитами считается одним из наиболее тщательно проанализированных криптографических протоколов массового применения.

Но утечки при этом растут год от года. Программы-вымогатели стали индустрией с многомиллиардным оборотом. Фишинг эффективнее любого zero-day. Каждые две недели или даже чаще в новостях появляется очередная компания, у которой украли всё, что можно было украсть.

Это не парадокс, а смещение поверхности атаки. Атакующий — ​рациональный экономический агент. Если математику взламывать слишком дорого, он будет ломать всё, что вокруг математики. Эту мысль часто связывают с одной из известных максим израильского криптографа Ади Шамира, соавтора RSA (буква «S» в названии — ​его) и лауреата премии Тьюринга: «Криптографию не взламывают, её обходят». Современная ИБ живёт в мире, где этот закон стал основной операционной реальностью.

PKI: невидимая инфраструктура слепого доверия

Спросите любого пользователя, о чём говорит значок защищённого соединения в адресной строке. Самый частый ответ — ​«что сайт безопасен». Иногда — ​«что это настоящий магазин». И совсем редко технически подкованный человек даст правильную характеристику.

На самом же деле TLS-сертификат подтверждает лишь то, что удостоверяющий центр выдал владельцу домена цифровую подпись с пометкой: «мы проверили, этот человек действительно контролирует данный домен». Ни про честность владельца, ни про безопасность сайта, ни про защищённость хранилища паролей сертификат не говорит ничего.

Однако система работает. Миллиарды людей ежедневно совершают покупки, банковские операции, переписку и аутентификацию, полагаясь на этот невидимый механизм. Они не открывают свойства сертификата, не сверяют отпечаток и не задаются вопросом, кому именно они только что доверились. Могут, но зачем? Ведь так привычно доверять браузеру, который доверяет операционной системе, которая доверяет корневому хранилищу, в котором лежат электронные оттиски сотни центров сертификации из десятков юрисдикций.

В этом и есть суть PKI. Это не технология шифрования. Это технология делегирования доверия в промышленных масштабах. И главное её достижение в том, что она сделала это делегирование невидимым.

Невидимость имеет свою цену. История DigiNotar — ​лишь один пример, в котором всё было «правильно» с точки зрения TLS: сертификат подписан доверенным центром, замок горит зелёным (тогда он ещё был в браузерах), ошибок нет. В корпоративных сетях регулярно делают то же самое, только осознанно. TLS-inspection устанавливает на каждое рабочее место корневой сертификат компании, после чего любой HTTPS-трафик может быть расшифрован и прочитан работодателем. Технически это всё ещё TLS. Криптография работает. Браузер не ругается. Только вот к приватности это уже не имеет никакого отношения.

У этой мысли есть классическая формулировка. Кембриджский профессор Росс Андерсон, автор фундаментального учебника «Security Engineering», настольной книги по практической ИБ, всю жизнь повторял: реальные атаки эксплуатируют не криптографические ошибки, а провалы в управлении и бизнес-процессах. PKI — ​почти эталонный пример того, как идеальная математика подписи накладывается на хаос организационного доверия и в итоге защищает совсем не то, что обещает пользователю.

Почему PGP проиграла WhatsApp [1]

В 1991 году Фил Циммерман выпустил программу «Pretty Good Privacy» (PGP) с фразой, ставшей знаменитой: «Если приватность объявят вне закона, она останется только у преступников». Его программа была криптографически элегантной, идеологически чистой, технически правильной. Но она требовала от пользователя слишком многого:

• понять модель «сеть доверия», когда люди подписывают ключи друг друга, ручаясь за их подлинность;
• самостоятельно управлять собственными ключами;
• сверять отпечатки;
• разбираться, кто кого подписал и почему этой подписи можно верить.

В итоге PGP проиграла как массовая пользовательская технология. Не математически. Социально.

В 1999 году Алма Уиттен и Дж. Д. Тайгар опубликовали статью с замечательным названием «Why Johnny Can’t Encrypt». Они протестировали PGP на людях без технического образования. Результат оказался катастрофическим. Большинство участников не смогли отправить зашифрованное письмо за полтора часа. Многие отправили незашифрованное, будучи уверенными в обратном. Некоторые сгенерировали ключи и опубликовали приватную часть вместо публичной, не понимая разницы. Люди тестировали не баги, а интерфейс, в котором всё было правильно с точки зрения криптографа и просто взрывало мозг обычного человека.

Спустя почти тридцать лет тот же среднестатистический пользователь, который когда-то не мог справиться с PGP, ежедневно переписывается через WhatsApp или Signal, хотя вообще ничего не знает о Signal Protocol под капотом этих мессенджеров. Никаких отпечатков, никакой сети доверия, никаких решений, которые нужно принимать. Криптография наконец сделала то, что от неё ждали тридцать лет — ​исчезла из интерфейса.

Но у этой исчезнувшей криптографии есть оборотная сторона. Когда мессенджер однажды сообщит, что «ключ безопасности собеседника изменился» — ​а это может означать как новый телефон у друга, так и атаку «человек посередине» (MitM-атаку), — ​обычный пользователь не сможет достоверно определить, какой из двух случаев перед ним. Он нажмёт «ОК» и продолжит переписку. Вместе с отсутствием необходимости разбираться в технологии исчезла и возможность отличить норму от аномалии. PGP требовала думать и проиграла. WhatsApp не требует и победил. Хорошо ли это для безопасности в долгую, по-прежнему остаётся открытым вопросом.

SSH-ключи: алгоритм идеален, эксплуатация катастрофична

В теории SSH-ключ — ​почти идеальный механизм аутентификации. Асимметричная криптография. Достаточно длинные ключи. Нет передачи секрета по сети. Возможность отозвать доступ. Поддержка аппаратных токенов.

Но на практике в любой достаточно большой инфраструктуре есть свой тихий кризис ключей. Их слишком много. Они копируются между серверами при настройке и сопровождении. Пассфразы часто отключают или делают слишком простыми, потому что не хочется усложнять автоматизацию и повседневную работу, но нужно, чтобы деплой-скрипт ночью точно отработал. SSH-ключи остаются после увольнения сотрудников, потому что никто точно не знает, какие именно у этого человека были доступы. Ключи оказываются в публичных Git-репозиториях и дублируются в десятках CI/CD-конфигов.

Криптография никак не защищает от этого хаоса. Алгоритму всё равно, в чьих руках находится приватная часть ключа. Если её скопировали трижды, поделились с подрядчиком и забыли отозвать после ухода администратора, длина ключа и даже переход на постквантовые алгоритмы не имеют значения.

Это общая закономерность: жизненный цикл почти всегда уязвимее алгоритма. То же верно для API-токенов, OAuth-секретов, паролей сервисов, ключей подписи кода и сертификатов внутренних центров сертификации. Современные компании страдают не от слабой криптографии, а от того, что у них тысячи секретов и нет ответа на простые вопросы: сколько их, где они находятся, кто их создал, кто ими пользуется, когда последний раз менялись, какие из них всё ещё нужны.

SSH тут — ​концентрированная иллюстрация общей беды. Сам алгоритм безупречен. Но его обходят через копии, забытые отзывы, скрипты без парольной фразы и бывших подрядчиков, ключи которых так и не отозвали.

Безопасность как театр

В 2003 году американский криптограф и публицист Брюс Шнайер, автор учебника «Applied Cryptography» (1993) и одного из самых читаемых блогов о безопасности, ввёл термин «security theater». Так он описывал меры, которые создают ощущение безопасности, не создавая её фактически. Изначально это касалось процедур в аэропортах после 11 сентября, но термин оказался слишком удобным, чтобы остаться в одной области.

Любопытно, что термин «security theater» появился у Шнайера уже после того, как он публично пересмотрел собственные ранние взгляды: в «Secrets and Lies» (2000) он прямо признал, что в «Applied Cryptography» переоценил роль математики и недооценил человеческий фактор.

В корпоративной ИБ ритуальная безопасность встречается чаще, чем хотелось бы признавать. «Мы шифруем все данные». Где именно? На каком уровне? От какого противника? На скомпрометированном устройстве полнодисковое шифрование не защищает ни от чего: атакующий читает данные из работающей системы, где ключи уже подгружены в память. Но галочка в чек-листе проставлена, аудитор удовлетворён, лендинг про «банковский уровень шифрования» написан и демонстрируется клиентам.

Во многих случаях фраза «у нас Zero Trust» постепенно превращается в голый маркетинг и означает следующее: «мы купили дорогой продукт у вендора, который называет себя Zero Trust». Архитектурная философия превратилась в рекламный ярлык, и пользоваться этим ярлыком стало проще, чем выстраивать настоящую модель угроз.

«Соединение защищено VPN». От кого? VPN не устраняет необходимость в доверии, а переносит его: вместо интернет-провайдера пользователь вручает часть своей сетевой активности и метаданных VPN-провайдеру. Иконка с замком в углу окна сообщает пользователю, что он в безопасности. Что именно за этой иконкой делается с его DNS-запросами, телеметрией и логами подключения, пользователь не знает и узнать не может.

Ритуальная безопасность опасна не сама по себе. Шифрование диска полезно. VPN, несомненно, важен и нужен. Чек-листы иногда заставляют сделать минимально разумные вещи. Опасно другое — ​ритуал создаёт уверенность, а уверенность снижает бдительность. Человек, который думает, что защищён, ведёт себя не так осторожно, как человек, который знает, что беззащитен.

Криптография и все-все-все

PKI, мессенджеры, SSH-ключи, корпоративные ритуалы — ​все эти истории говорят об одном: защита — ​это не выбор между криптографией и процессами. Это всегда и то, и другое вместе. Сильные алгоритмы — ​необходимая часть. Без них любая попытка защититься теряет смысл на первом же шаге. Но сами по себе они ничего не защищают. На этом фундаменте нужно построить инфраструктуру доверия, интерфейсов, процедур и людей.

Внедрить TLS, развернуть PKI, включить шифрование диска, настроить многофакторную аутентификацию (MFA) — ​это критически важная часть, но далеко не вся работа. Дальше начинается то, что куда сложнее автоматизировать: процессы, в которых человек по умолчанию делает безопасное действие, а небезопасное требует усилий. Управление жизненным циклом ключей и секретов. Отзыв доступов после увольнений. Аудит выданных прав. Отказ от ритуалов в пользу честных моделей угроз. И отказ от привычки считать стойкость алгоритма гарантией стойкости системы.

Идеальная криптография сама по себе не делает мир безопасным. Она лишь гарантирует, что математика на вашей стороне. Всё остальное остаётся за людьми: кому доверять, какие права выдавать, что считать нормой, а что — ​тревожным сигналом.

Мы построили крепость с почти непробиваемыми стенами. Но вход в неё открывает человек. И этого человека всё ещё можно попросить нажать «ОК».

[1] WhatsApp принадлежит компании Meta, признанной в РФ экстремистской организацией и запрещённой на территории России.