Китайска поговорка, или по-скоро проклятие, гласи: „Нека живеете в интересни времена“. Несъмнено живеем в зората на интересни времена. Развитието на технологиите вече оказва осезаемо влияние над социалната и културната среда. Професии са на прага да изчезнат и всяка една сфера е малко или много повлияна от така наречения изкуствен интелект.
Георги Смилянов обаче изпитва съвсем обяснима неприязън към това тривиално понятие. С над 20 години опит в световната технологична индустрия, трупан в САЩ и у нас, днес той е директор на собствена компания, преподавател и специалист в откриването на заплахи и киберзащитата. Но освен дълбок технически опит, той притежава нещо все по-рядко – критичен поглед върху цената, която социумът плаща за удобствата си.
Разговаряме за киберсигурността като за онази тънка граница между всекидневния комфорт и пълния крах на личната неприкосновеност. Водим този разговор на фона на последните данни на Евростата, че българските младежи са най-неграмотни в технологично отношение в ЕС.
Какво представлява киберсигурността на индивидуално ниво?
Той:
Хигиена на всекидневната активност. Подобно на личната хигиена – когато станеш, имаш определени процедури, които извършваш всеки ден. По същия начин определям и киберсигурността – като нещо, което човек трябва да прави всеки ден, докато си изгради необходимите навици. Същото се отнася и за големите компании.
Обикновено хората разбират, че се е случил някакъв проблем едва когато вече има последствия. Можем ли да поставим здравословни граници онлайн, без да се ограничаваме?
Той:
Комфортът и сигурността нямат допирни точки. Между тях винаги има пролука, разстояние… Няма как едновременно да ти е напълно комфортно и да си напълно защитен.
Аналогията е да употребяваш вредни за теб субстанции – независимо дали става дума за храна, алкохол или наркотици – и да очакваш да бъдеш здрав. Тези две неща няма как да се случат едновременно. Логиката тук е същата. Няма как да ти е комфортно да натискаш всеки линк, който видиш, и да отваряш всичко, което ти е изпратено, без да се замислиш кой го изпраща и защо.
Навремето един човек ме научи: „В интернет не отваряш това, което не очакваш, и не отиваш там, закъдето не си тръгнал“. Ако някой ти изпрати файл, не го отваряш просто за да видиш какво съдържа. Разбира се, днес големите доставчици на услуги – имейл сървъри, социални мрежи и други – се грижат до теб да не достигат вируси и зловредни линкове. Въпреки това правилото трябва да се спазва.
Ако не очакваш фактура от някого, но внезапно получиш съобщение, че трябва спешно да я платиш, че имаш спряна пратка на митницата или нещо подобно, просто не го отваряш. Това са познатите на съвременния бизнес измамни истории. Ако някой ти изпрати линк с текст от типа „Виж снимките“ или „Виж голите снимки на еди-коя си звезда“, не го натискаш. Дори много да искаш да отидеш там, не го правиш, защото не си тръгнал натам. Това бих добавил към понятието за киберхигиена.
Можем ли всъщност да използваме удобствата на интернет, без да жертваме личните си данни и сигурността си?
Той:
Доставчиците се грижат за нас – Microsoft, Apple, Google, Facebook. Те са пазителите. Масово хората разчитат на тях, със или без основание.
Целта обикновено не е конкретен човек – аз, ти или някой около нас. Целта е да бъде ударена масовата услуга, за да може чрез нея да се влезе в живота на всеки един от нас.
На въпроса дали можем да направим нещо – за съжаление, почти нищо. Атаките стават все по-добри. Изкуственият интелект помага много на мошениците, а крайният потребител все още е точно толкова наивен – или може би дори по-наивен – отколкото преди 10, 15 или 20 години.
Изкуственият интелект всъщност дава много повече предимства на хората, които се занимават с нерегламентирана дейност – дейност, свързана с нарушаване на закона, на личното пространство, на личните данни и на личните финанси.
Говори се за бели и черни хакери. Каква е разликата между тях? Съществува ли наистина такова разделение?
Той:
Съществува. Има дори организации, чрез които можеш да се сертифицираш като етичен хакер. Повечето хора от моето обкръжение са го правили, защото така показваш, че можеш да бъдеш от едната страна, но избираш да бъдеш от другата.
Много по-лесно е да рушиш, отколкото да съграждаш. Понякога е достатъчно просто да бъде отворен зловреден линк. При много по-сериозни атаки може да е достатъчно изпращането на един есемес, който понякога дори не съдържа нищо.
Това се е случвало десетки, да не кажа стотици пъти, в историята на големите мобилни операционни системи. Случва се и до ден днешен. Самите производители, като Google и Apple, имат бъг баунти (bug bounty) програми – официални награди от фирми за откриване на софтуерни грешки. Те ти плащат, ако намериш такава слабост и я докладваш по правилния начин. Но сумите са десетки, понякога стотици пъти по-малки от парите, за които би могъл да продадеш същата слабост другаде.
Съществува нещо като eBay, но за определена група хора – затворена общност, в която могат да се купуват подобни слабости. Знае се кои организации плащат и какви пари дават. Това са стандартни практики.
Саудитска Арабия официално беше обявила наградна сума от милиони евро за remote exploit на iPhone – софтуерна атака, която позволява на хакер да използва пропуск в сигурността от разстояние, без да има физически достъп до устройството. Известни са като едни от най-щедрите купувачи на експлойти за всякакви операционни системи.
Значи да бъдеш такъв тип хакер е професия, независимо дали го правиш с лоши подбуди?
Той:
Тези слабости в операционните системи не могат да бъдат открити от един човек и не са нещо, което просто разглеждаш и случайно намираш. Системите вече са многослойни. Една атака има няколко вектора.
Трябва конкретни събития да бъдат подредени едно след друго. Например изпращаш файл на човека. Той отваря анимацията във файла, а тя задейства нещо в определена част от паметта на операционната система.
Това е многослойна атака. Никога не става дума за един много прост начин, чрез който изпращаш есемес и получаваш достъп до телефона. Още по-трудно е да получиш достъп до паметта на телефона и след това да превърнеш този достъп в постоянно наблюдение на самото устройство.
Необходими са изключително сериозни екипи и хора, които познават системата отвътре. В повечето случаи това са бивши инженери на големите компании. Не са случайни хора или някое 12-годишно дете в мазето на майка си. Това вече го няма дори по филмите.
Много от добрите хакери имат поне по един синдром. Не преувеличавам. Това важи и за много от добрите инженери.
Говорим за способността да се фокусираш върху конкретна задача и месеци наред да правиш едно и също нещо, което за друг човек може да изглежда безсмислено. Тук не говорим за намеренията им.
Много от хората, които са в този спектър и продават слабости в операционни системи или в определени услуги на операционната система, всъщност продават само отделни вектори.
Ти продаваш един вектор, аз продавам друг, трети човек продава третия. След това една организация трябва да успее да ги събере, за да атакува конкретна цел. Векторът е различен слой от атаката, защото защитите вече са многослойни.
Не можеш да влезеш само с един пробив. Представи си много добре охраняван затвор. Има ограда, охрана и двор. След това всяка врата се заключва, всяко отделение се заключва, различните коридори се заключват и накрая се заключват килиите. Не можеш да избягаш от затвора само като прескочиш оградата и си тръгнеш. Трябва да преминеш през много различни ключалки и покрай много различни пазители. Затова е необходима многослойна атака. Защитите отдавна са многослойни, но атаките също са многослойни – поне от десет години.
Кои са основните проблеми с киберсигурността в съвременната индустрия?
Той:
Един от основните проблеми е постоянното съревнование между гигантите в индустрията, които бързат на всеки няколко месеца да извадят нов продукт.
Навремето, за да бъде пуснат на пазара един продукт – приложение, нова версия на софтуер или дори нов телефон – бяха необходими две-три години. Сега всяка година излиза нов телефон, което е абсурдно като концепция. Причината е и в това, че големите компании вече не се управляват от технически лица, когато става дума за техническите въпроси. Те се управляват от бордове на директорите, а бордът има една основна цел – да удовлетвори очакванията за печалба на акционерите. Когато крайната цел на един продукт е единствено печалбата, сигурността остава на второ, трето и четвърто място.
Поради тази причина абсолютно всеки голям производител – на превозни средства, на домашна или професионална електроника – постоянно допуска грешки. Това се отнася дори за производителите на продукти за сигурност.
Някои от най-големите световни security vendors (доставчици на услуги за сигурност), които произвеждат хардуер, вероятно имат по над сто сериозни пропуска в защитата само за последните шест месеца. Говорим за компаниите, които би трябвало да ни пазят.
Когато функционалността, дизайнът и удобството на крайния потребител са водещи, сигурността винаги изостава.
Ако навремето минимум 10 – 15% от инженерите на един голям производител са се занимавали със сигурността на продукта, сега числата са в пъти по-малки. Сигурността вече е минала на заден план. Големите доставчици разчитат проблемите просто да не им се случат. Големите скандали се потушават много бързо. В момента, в който се появи проблем, веднага се задейства damage control (процедура по контрол на щетите).
България достатъчно защитена ли е срещу кибератаки? На какви мерки разчитаме ние на ниво държава?
Той:
В голяма част от света големите компании имат отделен бюджет за инфраструктура, киберсигурност, системна администрация и други подобни дейности. В България… просто разчитаме да не ни се случи.
Оръжие в ръцете на хакерите ли е изкуственият интелект?
Той:
Хората, които се занимават с това, са подготвени. Навремето, по време на златната треска в Америка, всички са мечтали да отидат в Клондайк, да копаят и да намерят злато. По същия начин всеки човек, който има представа как работят хардуерът и софтуерът, може да си постави за цел да забогатее бързо. Логиката е: „Днес искам да направя големия си удар, а след това да лежа на някой плаж“.
Случва ли се това?
Той:
Случва се при пренебрежимо малък процент от хората и почти винаги като част от група.
Вероятността отделен човек сам да открие сериозна уязвимост в сигурността е близка до нула. Много по-голяма е вероятността това да бъде направено от група изследователи, защото те проверяват множество повърхности, вектори и слоеве. Колкото и добър да е един човек и с какъвто и изкуствен интелект да разполага, той има ограничен кръг от знания.
Случва ли се някой да забогатее по този начин? Да. Това е индустрия за огромни суми в световен мащаб. Но със сигурност не е масово. Процентът на хората, които успяват, е минимален.
В крайна сметка е въпрос на избор и на морални ценности.
Какво се промени в сферата на сигурността?
Той:
Навремето компаниите не можеха да си позволят да наемат изследователи по сигурността, които да работят за тях. Разчитаха, че инженерът си е свършил добре работата.
Отдавна обаче големите компании наемат security researchers. Те могат да бъдат техни служители или външни консултанти, които постоянно следят системите им. Всеки нов продукт, който ще бъде изваден на пазара, преминава през проверки.
Въпреки това има страшно много пропуски, защото живеем във времето на всичко бързо – бързи кредити, бърза храна, бързи коли, бързи връзки. За съжаление, имаме и бързи продукти.
Какви стъпки можем да предприемем в България на държавно ниво, за да бъдем по-добре защитени и хората да бъдат по-образовани по темата за сигурността в онлайн пространството?
Той:
С бюджета, който държавата отделя, би трябвало да могат да се направят много неща. Проблемът обаче е сходен с този в здравеопазването. Държавата отделя големи средства, а българинът може би е по-болен от всякога. Странното е, че живее по-дълго, но и прекарва повече време болен. Същото е и със сигурността, включително на държавно ниво.
В не толкова далечното минало почти нямаше държавна структура, която да не е била компрометирана. Това включваше и институции като НАП, както и други служби. Дори сайтовете им бяха заразени.
Ако разгледаме широката публика, възрастните хора ли са по-податливи на кибератаки?
Той:
Възрастните хора не са подготвени за този електронен свят. Младите пък смятат, че са много добре подготвени и че на тях няма да им се случи.
Същото е като да караш с 250 километра в час по магистралата и да смяташ, че точно пред теб няма да изскочи котка, заради която да се наложи рязко да натиснеш спирачките и да убиеш себе си или някой друг.
Разчитаме някой друг да ни пази – случайността, съдбата или каквото и да е, вместо сами да вземем правилните мерки.
Като човек с дълбок опит и познания в тази област, как виждаш бъдещото развитие на света в ерата на изкуствения интелект?
Той:
Виждам апокалиптични сценарии. Големите компании отделят все по-малко време за сигурността. Има и все по-малко служители и кандидати за работа, от които да избират. В същото време изкуственият интелект заменя огромни групи инженери по света – на всякакво ниво. Дори най-добрите публични модели все още халюцинират много повече, отколкото би трябвало.
Класическият пример е следният – питаш изкуствения интелект: „Намирам се на 30 метра от автомивката и искам да отида да си измия колата. Пеш ли да отида, или с колата?“. Изкуственият интелект може да ти отговори: „Говорим само за 30 метра, затова си заслужава да отидеш пеша“.
Говорим дори за най-новите модели. Ако това е нещото, което ще се грижи за нашата сигурност – нещо, което не е нито изкуство, нито интелект… Големите компании правят следната сметка: преценяват каква щета ще им нанесе един публичен скандал при пробив в сигурността.
Ако скандалът ще им струва например 100 милиона, а заплатите на необходимите инженери за една година ще струват 500 милиона, те са готови да поемат риска.
Погледни сценария в по-широк мащаб. На всеки няколко месеца се появява нова групировка, която е разработила нов криптиращ инструмент. Спирани са болници. Хора са губили живота си заради спирането на медицинска и животоподдържаща техника.
Това ще започне да се случва масово. Няма да продължи да бъде поредица от единични случаи, особено с развитието на изкуствения интелект.
Според една статистика около 85% от изкуствения интелект в момента се използва за създаване на изображения. От тези 85% повече от 60% са свързани с еротично съдържание. Тоест човечеството използва този мощен инструмент предимно за създаване на кучета, котки и жени – или жени с лисичи глави и човешки тела. Говорим за пълно безумие.
Има ли граница, която според теб никога няма да може да бъде прекрачена? Изконно човешка граница, която ще остане неприкосновена и незасегната от технологиите?
Той:
Нашите данни могат да станат публично достояние. Рождени дати, банкови акаунти и всякаква друга информация изтичат в интернет. Мога без особен проблем да изтегля бърз кредит на твое име. Мога да направя фалшива лична карта с твоя снимка от Facebook за три минути и да се опитам да изтегля три или пет хиляди лева. Това също е част от киберсигурността, въпреки че чрез интернет съм взел единствено снимката.
Докато еротиката и порнографията са водещи в света и докато чрез изкуствения интелект безпрекословно се задоволяват най-низките човешки страсти, няма граница, която да не може да бъде премината. Ние постепенно ще загубим личната неприкосновеност.
