Как противостоять хакерским атакам. Уроки экспертов по информационной безопасности

Когда я беседовал с доктором Миллером, он заверил меня, что на него и других, с кем он работал, никогда не подавали в суд, и даже не угрожали: «На любого можно подать в суд, но мы были очень профессиональны. Это честь и для них, и для нас. Они попросили не показывать некоторые детали в одной из наших будущих презентаций, но мы все равно это сделали, и никто не обратился в суд». Это не значит, что автомобильным компаниям понравилось то, что он делал. Несмотря на то, что доктор Миллер проводит одни из лучших публичных исследований в области взлома автомобилей, его никогда не приглашали рассказать о своих выводах. И однажды во время конференции, когда он попросил автомобильные компании о большей прозрачности в будущем, чтобы помочь автомобильным хакерам найти и искоренить больше ошибок, ответом был отказ. По причинам, которые, к сожалению, имеют тенденцию повторяться снова и снова в разных отраслях, те самые компании, которые могли бы извлечь максимальную выгоду из этих исследований, просто видели в них раздражителей, если не прямых врагов. К счастью, времена изменились, и доктор Миллер работает на Uber. Компания считает, что он поможет лучше защитить будущие автономные беспилотные автомобили.

Я впервые встретил доктора Миллера почти десять лет назад, когда он пытался стать высокооплачиваемым профессиональным искателем ошибок. Он получил степень бакалавра математики в Северо-Восточном университете штата Миссури (ныне Университет штата Трумэн) и докторскую степень по математике в Университете Нотр-Дам. Вы можете встретить доктора Миллера на прогулке в солнцезащитных очках в стиле Элтона Джона, а при знакомстве он непременно пошутит и будет забавно жестикулировать. Если вы думали о том, как может выглядеть профессионал по угону автомобилей, кандидат наук, вы вряд ли представляли себе Чарли Миллера.

До своей нынешней работы он пять лет трудился в Агентстве национальной безопасности (https://www.nsa.gov/), три года в компании Twitter, а еще несколько лет в консалтинговых и других фирмах. Опыт доктора Миллера и любовь к математике заставили его заинтересоваться криптографией, а сочетание этих двух факторов сделало его интересным для АНБ. Для тех, кто не знает, АНБ – ведущее агентство США по шифрованию/дешифрованию, а возможно, даже и мировой лидер в этой области. Залы АНБ полны самых ярких криптографов, и доктор Миллер оказался среди них.

Я спросил Чарли, как он стал многопрофильным специалистом в сфере ИБ и профессиональным автомобильным хакером, и вот что он сказал: «До АНБ я никогда не думал, что смогу этим заниматься [информационной безопасностью]. Я ее не изучал. АНБ наняло меня криптографом, и я думал, что это моя специальность. Предполагается, что в АНБ вы будете каждые полгода переезжать в разные офисы (т. е. отделы), чтобы ознакомиться с широким спектром технологий, которые интересуют АНБ. Они думали, что я выберу разные темы, но я пошел на хитрость, чтобы они обучили меня только информационной безопасности, а не криптографии. Другие темы ИБ казались намного интереснее, чем криптографические. Я обманывал своих руководителей, думая, что каждый офис – это совершенно новая тема, но вместо этого они были сосредоточены на нескольких более узких сферах ИБ. Через три года я столкнулся со многими классными штуками. Мне повезло, что я оказался в месте, где должен был учиться и получать за это деньги».

Я спросил доктора Миллера, как он заинтересовался взломом машин. Он сказал: «Я долгое время взламывал телефоны и компьютеры. Но демонстрация этого не вызывала никакого беспокойства зрителей. Однако, когда рулевое колесо и тормоз стали работать сами по себе, люди заволновались. Это был хак, который мне не пришлось рекламировать или продавать. Он продвигал сам себя и был доступен обычным людям. Мы не были первыми, кто взламывал машины. Мы построили свою работу на том, что обнаружили наши предшественники, чтобы использовать пределы того, куда это может нас привести».

На раннем этапе карьеры доктор Миллер сделал себе имя, выиграв не один хакерский конкурс Pwn2Own всего за несколько минут. Pwn2Own (https://en.wikipedia.org/wiki/Pwn2Own) – это конференция в Ванкувере, Канада. Его целью было предоставление денежных средств и других призов всем, кто мог взломать различные операционные системы и программное обеспечение, ошибки которых ранее не были публично известны. Каждый успешно продемонстрированный хак был новым «нулевым днем», который вожделен в хакерском мире и больше всего беспокоит вендоров.