Главное – выбрать направление удара

Главное – выбрать направление удара

В конце мая в НИУ ВШЭ состоялась VII Международная научно-практическая конференция «Управление информационной безопасностью в современном обществе». BIS Journal по горячим следам попросил рассказать о ней главного организатора Александра Баранова. Разговор очень быстро повернул в сторону импортозамещения.

- Александр Павлович, судя по пленарному заседанию, проблемы информационной безопасности по-прежнему решаются весьма сложно и имеют два классических направления – технологическое и юридическое. О чем больше говорили?

- Было пять секций. На одной из них рассматривали юридические проблемы – полтора десятка докладов. Речь шла о необходимости корректировки законов – о персональных данных, об электронной подписи, обсуждались возможные направления корректировок, конкретные предложения и т.д.

Остальные четыре секции были посвящены техническим проблемам.Собственно тон задал доклад профессора Александра Викторовича Шмидта, он назывался так: «Достижение цифрового суверенитета РФ как необходимое условие развития российского этноса». Соответственно тема импортозамещения сквозила непрерывно и обсуждалась с разных сторон. Например, президент госкорпорации «Эшелон» Алексей Марков поднял основные проблемы в области анализозащищенности информационных систем, методов анализа, возможностей и пределов этого анализа. Его выступление и послужило затравкой к круглому столу.

- В этом году традиционный круглый стол сосредоточился на проблемах создания и аттестации безопасного прикладного ПО. А что было на прошлой конференции?

- Тогда мы рассматривали вопросы безопасных отечественных или импортозамещенных операционных систем и баз данных. И спустя год, мы констатировали: существенное продвижение в этой области есть. Вопрос из принципиально идеологического состояния перешел в технологическое. Имеется несколько стабильных операционных систем, как полностью отечественных, так и сделанных на базе Linux.

- А конкретнее?

- Продолжает развиваться криптософтовская QP OC – очень выгодная, потому что многие приложения, сделанные для Microsoft и Windows, могут работать на этой системе. Самое главное, что она живет и развивается – пензенский «КриптоСофт» представил в этом году ряд новых приложений. Если в импортозамещении смотреть несколько веток, то вот эта – полностью отечественная.

Следующая ветвь – это клоны Linux, проверенные и аттестованные по ИБ, - Альт Linux и Астра Linux. И вот на том, как они развиваются, какие прикладные продукты к ним создаются, мы и сосредоточились на конференции. Потому что вся ценность компьютерных систем вовсе не в операционках, и даже не в их безопасности, а именно в прикладном продукте. Если прикладных задач нет, сама по себе операционка и не нужна.

Другое направление, которое обсуждалось, - отечественные гипервизоры. Какие задачи на их базе можно решать, какие прикладные системы можно строить, на какие уровни безопасности можно выйти. Отмечалось, что гипервизор и платформа «Горизонт», кстати, полностью отечественная, - своеобразный аналог криптософтовской QP OC. Эта московская разработка тоже очень успешная, аттестованная. Платформа рассчитана на разные операционки и соответственно на много разных прикладных продуктов.

Заодно затронули и положение с базами данных. Констатировали, что фирма Постгресс представила достаточно развитый продукт, под которым появилось много прикладных продуктов. То есть определенный прогресс наблюдается, но  по большому счету ситуация с базами данных по-прежнему тяжелая. В потреблении и эффективности превалируют Oracle, Microsoft SQL, и вот они-то 90% рынка и определяют.

- Этим вопросам был посвящен круглый стол. Их активно обсуждали представители восьми предприятий-разработчиков защищенных компьютерных систем. Их список сам по себе интересен: «Базальт СПО», «ИЦ «Баррикады», «Криптософт», «Открытая мобильная платформа», «НПО РусБИТех», «Постгрес профессиональный», «НППКТ». А дальше?

- Затем пошли пленарные заседания. Первый вопрос– национальная сим-карта. Представитель компании «Национальная сим-карта» Владимир Олегович Дрелихов помог нам разобраться, что происходит в этом направлении. Как мы поняли, речь идет об отечественном крипто-кошельке, который будет работать либо через вай-фай, либо через GSM. Конечно, отмечалось, что есть проблема с российской элементной базой, что симку пока удается реализовать только на самсунговском типе. Но есть надежда, что «Микрон» сделает нам чип, и симка получится полностью отечественная. По крайней мере, отработка технологии создания крипто-кошелька движется бодро. В прошлый раз нам рассказывали только общую схему и общие представления об этой организации.

Дальше мы обсудили ряд вопросов, связанных с облачными сервисами и методами оценки аутентификации граждан. Тут принципиального прорыва пока не случилось, но доклады были хорошие, глубокие.

- Два доклада были посвящены проблемам развития отечественной элементной базы. В частности, для суперкомпьютеров…

- Да, два доклада. Что мы из них поняли? Что есть некоторый прогресс в понимании возможностей применения импортных чипов для построения отечественных суперкомпьютеров. Все-таки еще пока импортных. Безусловно, есть надежда на чипы «Эльбруса», но там еще не все технологические проблемки решены. В общем, дело движется, но приходится констатировать, что число суперкомпьютеров и решаемых на них задач у нас (по сравнению с другими ведущими странами) крайне мало. То есть, меньше на порядки. Это, конечно, печально, потому что когда-то мы были второй державой по суперкомпьютерам в мире. И это - результат нашего отставания в первую очередь в элементной базе.

- Александр Павлович, скажите, пожалуйста, свое личное мнение по поводу импортозамещения на сегодняшний день. Какие главные проблемы в этой сфере?

- Главная проблема импортозамещения состоит в отсутствии технического квалифицированного единого руководства этой отрасли. Не выделены основные направления, решающие первоочередные задачи импортозамещения. Пока что все размазывается тонким слоем по огромной площади. И даже программа «Цифровая экономика РФ» составлена таким образом, что финансирование ведется по принципу «всем сестрам по серьгам» - всем понемногу, тонким слоем, так сказать.

Если, конечно, считать цифровизацию регионов главной проблемой импортозамещения, то тогда это и есть импортозамещение, но какое-то странное, при котором цифровизация осуществляется на импортном оборудовании.

– А как, по-вашему, надо?

– А надо выделить основные, наиболее острые, задачи. Ведь для чего оно - импортозамещение? В первую очередь для информационной безопасности. А какие проблемы информационной безопасности сейчас самые острые? Самая острая – это возможность выключения интернета, учитывая то положение, которое он занял в жизни общества, страны. И этот интернет может быть выключен, и не надо питать по этому поводу иллюзий. Он может быть выключен в результате того, что чипы, которые там используются, плохо сертифицированы, допускаются разные ошибки, уязвимости… И когда эти ошибки-уязвимости найдут, то возьмут и выключат. Все думают, что если выключат, то сразу во всем мире – ничего подобного. Могут и сегментарно, уж я не говорю о происках, так сказать, недоброжелателей.

И никто такую проблему не хочет понимать. Все думают, что отключение интернета – это отключение Яндекса. Ничего подобного. Интернет – это всеобщая транспортная сеть теперь, или мобильные телефоны... Телефоны отключатся мгновенно, потому что все провайдеры пользуются для связи между вышками именно интернетом, и ничем больше. И вся эта система рухнет. Потому что все сидят на изделиях а-ля Huawei, а-ля Cisco, а-ля прочее-прочее, которые сертифицированы без нас, в лучшем случае. А, может быть, и не сертифицированы вовсе. Ну, по крайней мере, нами не проверены. Нам их проверять не дают, и они не аттестовываются по надлежащим уровням безопасности. И эта проблема не решается никак.

Вместо этого говорится, что будут строиться отечественные коммутаторы или маршрутизаторы. Вопрос: на каких принципах они будут строиться? Можно строить  на принципах обеспечения защиты верхнего слоя управления. А это, на самом деле, ничего не даст против выключения интернета. А можно строить так, как надо строить – на принципе защиты нижнего слоя реализации соединений. Но для этого нужно разрабатывать и реализовывать свои микросхемы, так называемые айсики.

Не такая уж это непосильная задача. По некоторым оценкам, это всего два миллиарда рублей, и в течение двух лет можно получить циски, вернее построить аналоги цисок в районах 2.000-5.000-ой серии. Для более мощных цисок нужны другие разработки. Но и так возможно. Где эта задача обозначена? Нигде. А она главнейшая, на самом деле.

Недавно кто-то в Госдуме посчитал, что если интернет выключат, то потери составят 20 миллиардов рублей в день. Безумная сумма. Высочайшие риски. Вот что такое импортозамещение! Но ни в самой программе импортозамещения, ни в программе «Цифровая экономика РФ» мы такого приоритета не найдем.

В принципе, персональный компьютер можно составить из импортных компонентов, если он отвечает определённым условиям размещения. Но в данном случае, учитывая всеобщность и глобальность доступа в интернет, этого делать никак нельзя.

–  А что делать?

– Без вложения средств и целенаправленной политики, выделения ответственных организаций, которые бы целевым образом осуществляли развитие и финансирование, ничего не получится. Посмотрите, как у американцев. Илон Маск, он что, на свои деньги запустил этот самый Фолькон-9? Да, он его сделал – синхронизовал работу 9 двигателей, а потом и 28 двигателей, что и является главным принципиальным новшеством. Но не на свои деньги, вернее, не только на свои. У него же госзаказ колоссальный! Он вложил туда свою сотню миллионов на сотню миллионов государственных. За точность цифр не отвечаю, но соотношение примерно такое.

Почему   мы так не делаем? Надо перенимать капиталистические методы хозяйствования,методы стимулирования науки. Не просто грантами, в которых очень трудно определиться. Вот, например, как был создан знаменитый открытый ключ Диффи—Хеллмана, по сути, революционный прорыв в криптографии? Очень поучительная история, мне ее рассказал Диффи лично. В Википедии вы об этом не прочитаете.

Агентство национальной безопасности поставило тупиковую на тот момент задачу. Можно ли осуществлять секретную связь, не распределяя предварительно ключей?  Потому что главная проблема - предварительные ключи. И все отказывались, а Диффи и Хеллман согласились. Для нас интересны условия, на которые они согласились. Им дали на эту работу – на командировки и зарплату – на год где-то 30-50 тысяч долларов. Цифры точно уже не помню, но порядок такой. С учетом, что шел 1975 год, это было не мало, но и не много.  По истечении года заказчик принимает работу. Если агентство посчитает, что эта работа нужна государству, то государство забирает себе все права на нее, за что выплачивает авторам миллион или два, точно не помню.

По словам Диффи, АНБ рассмотрело их работу и признало, что она выполнена, деньги потрачены правильно, но… работу у ребят агентство не возьмет и миллионов им не даст. Зато они могут распоряжаться этим интеллектуальным продуктом по своему усмотрению.

Диффи и Хеллманне стали патентовать это дело, кому-то продавать, предлагать, они просто опубликовали статью и стали всемирно известными. Монетизировал ли Диффи эту работу?  Думаю, да, учитывая, что в последний раз я беседовал с ним как с вице-президентом Sun Microsystems, где его годовая зарплата явно превышала тот самый миллион, который ему не заплатили в АНБ. Но важно не это, а то, как было организовано это изобретение, как стимулировано и мотивировано.

Совершенно необычно, не так, как у нас. У  нас либо все берут,  либо все не берут, а у них – вариативность. И это продуктивный метод, ведь открытый ключ Диффи и Хеллмана – это фундаментальное открытие, как ни крути.

Это я снова к тому, что нужно выделять основные направления, и именно на них сосредотачивать усилия и финансы. Тогда будут и прорывы в науке, и отечественная электроника, и безопасный интернет.

Нечего разбрасывать деньги. Конечно, фирмы, которые работают на этом рынке, хотят заработать. Но нам-то сейчас – в условиях обостряющейся внешнеполитической обстановки – нужны наиболее быстрые, наиболее эффективные результаты. Мы же видим, что обстановка, как ни крути, обостряется. Значит, надо сосредотачиваться, собирать силы в кулак.

Может ли это сделать ФАНО? Вряд ли, это юридическая организация. А я глубоко убежден, что юрист не может управлять техническими исследованиями. Сколько бы мне ни говорили, что современный менеджер может управлять чем угодно, хоть баней, хоть тракторным заводом, я считаю, что это не так. Я убежден, что управленец высшего звена должен быть специалистом в своей области. Не может учитель истории управлять IT технологиями и развивать их эффективно. Хоть кол мне на голове чеши, не может! И лингвист не может руководить физическими исследованиями…

Нам говорят, что, мол, сейчас Курчатовых нет. Есть! Есть, у нас тут – на конференции были такие ребята.

Беседовал Игорь Некрасов