Как изъять «шпионов» из купленной на Западе техники

Главным технологическим событием последних дней стала новость о дистанционном отключении австрийских компрессоров, используемых Газпромом. И хотя само это событие произошло давно, оно напомнило, как уязвима Россия при использовании западного оборудования. Что такое компьютерные закладки, где они уже применяются – и как им противодействовать?

Про­грамм­ная или ап­па­рат­ная за­клад­ка в слож­ном обо­ру­до­ва­нии – это уже прак­ти­че­ски дан­ность в со­вре­мен­ном мире. Фак­ти­че­ски любое слож­ное обо­ру­до­ва­ние се­год­ня снаб­же­но схемой мик­ро­кон­трол­лер­но­го или мик­ро­про­цес­сор­но­го управ­ле­ния и имеет соб­ствен­ное про­грамм­ное обес­пе­че­ние раз­лич­ной сте­пе­ни слож­но­сти, вплоть до опе­ра­ци­он­ной си­сте­мы.

Кроме того, ме­сто­по­ло­же­ние обо­ру­до­ва­ния может от­сле­жи­вать­ся с по­мо­щью систем гло­баль­но­го по­зи­ци­о­ни­ро­ва­ния (таких, как GPS), а его со­сто­я­ние и па­ра­мет­ры могут (а иногда и просто обя­за­ны, что про­пи­са­но в кон­трак­те на по­став­ку) пе­ре­да­вать­ся по сети в цен­траль­ный офис ком­па­нии-про­из­во­ди­те­ля. Ещё одним фак­то­ром яв­ля­ют­ся ре­мон­ты и тех­ни­че­ское об­слу­жи­ва­ние. Часто обо­ру­до­ва­ние может бло­ки­ро­вать­ся по ис­те­че­нию опре­де­лён­но­го вре­ме­ни или на­ра­бо­тан­ных часов, офи­ци­аль­но – для ре­гу­ляр­но­го осмот­ра, на­строй­ки или ре­мон­та, а фак­ти­че­ски – для опе­ра­ций скры­то­го мо­ни­то­рин­га и кон­тро­ля со сто­ро­ны про­из­во­ди­те­ля.

При этом прак­ти­ка по­ме­ще­ния за­кла­док, нега­тив­но вли­я­ю­щих на функ­ци­о­ни­ро­ва­ние обо­ру­до­ва­ния, в общем-то, по­ри­ца­ет­ся. Однако опре­де­лить «вре­до­нос­ность» такого рода за­клад­ки вплоть до её сра­ба­ты­ва­ния за­труд­ни­тель­но. Дей­стви­тель­но, в боль­шин­стве слу­ча­ев от­ли­чить сра­ба­ты­ва­ние ава­рий­но­го вы­клю­ча­те­ля (англ. kill switch) из-за ис­поль­зо­ва­ния, на­при­мер, некон­ди­ци­он­но­го сма­зоч­но­го масла или работы обо­ру­до­ва­ния за пре­де­ла­ми тех­ни­че­ских ре­гла­мен­тов от про­из­воль­но­го от­клю­че­ния из­де­лия по же­ла­нию ком­па­нии-про­из­во­ди­те­ля прак­ти­че­ски невоз­мож­но.

«Пер­во­про­ход­ца­ми» в деле со­зда­ния таких за­кла­док ещё в 1960-е годы вы­сту­пи­ла ком­па­ния IBM: в ап­па­рат­ных воз­мож­но­стях её боль­ших ком­пью­те­ров были про­пи­са­ны сек­рет­ные коды опе­ра­ций, ко­то­рые ис­поль­зо­ва­лись только опе­ра­ци­он­ной си­сте­мой с за­кры­тым ис­ход­ным кодом. С тех пор тех­но­ло­гии за­кла­док лишь раз­ви­ва­лись и со­вер­шен­ство­ва­лись.

Опас­ность за­клад­ки в том, что обычно её функ­ци­о­нал недо­сту­пен и неиз­ве­стен ко­неч­но­му поль­зо­ва­те­лю – и он прак­ти­че­ски не может управ­лять её сра­ба­ты­ва­ни­ем, даже если оно фор­маль­но должно, на­при­мер, убе­речь си­сте­му от пе­ре­груз­ки или раз­ру­ше­ния. В том же случае, когда за­клад­ка сра­ба­ты­ва­ет и вовсе по же­ла­нию ком­па­нии-про­из­во­ди­те­ля, на­ру­шая или даже пол­но­стью бло­ки­руя функ­ци­о­наль­ность про­дан­но­го обо­ру­до­ва­ния, то воз­ни­ка­ет вопрос: «А по­ку­па­ли ли вы дей­стви­тель­но этот ком­прес­сор или просто взяли его по­поль­зо­вать­ся под жёст­ким и по­сто­ян­ным при­смот­ром?».

За­ви­си­мость от «чужого дяди»

За­клад­ки яв­ля­ют­ся одним из скры­тых ме­ха­низ­мов защиты тех­но­ло­ги­че­ско­го ли­дер­ства, на ис­поль­зо­ва­нии ко­то­ро­го за­пад­ные страны ба­зи­ро­ва­ли всю свою ко­ло­ни­аль­ную по­ли­ти­ку по­след­них двух веков. Просто в XIX веке это были пушки и ружья, а в XXI веке – ком­пью­те­ры, мик­ро­кон­трол­ле­ры и про­грам­мы.

На се­го­дняш­ний день многие за­пад­ные ком­па­нии пы­та­ют­ся про­пи­сать в до­го­во­рах на про­да­жу своего обо­ру­до­ва­ния ка­баль­ные усло­вия, фак­ти­че­ски за­ме­нив про­да­жу на сдачу обо­ру­до­ва­ния в аренду в самых жёст­ких огра­ни­че­ни­ях. В таком случае при про­да­же ого­ва­ри­ва­ет­ся прак­ти­ка так на­зы­ва­е­мых циклов об­слу­жи­ва­ния и при­вяз­ки обо­ру­до­ва­ния к опре­де­лён­но­му ме­сто­по­ло­же­нию. После на­чаль­но­го мон­та­жа на место обычно по­сы­ла­ет­ся спе­ци­а­лист про­из­во­ди­те­ля, ко­то­рый не просто за­пус­ка­ет из­де­лие, но и снаб­жа­ет его «кодом год­но­сти», дей­ству­ю­щим опре­де­лён­ное время. Кроме того, обо­ру­до­ва­ние может снаб­жать­ся при­ём­ни­ка­ми GPS или вы­со­ко­точ­ны­ми ги­ро­ско­па­ми, ко­то­рые сиг­на­ли­зи­ру­ют о его несанк­ци­о­ни­ро­ван­ном пе­ре­ме­ще­нии.

В таком случае уже вско­ро­сти, по окон­ча­нию «цикла об­слу­жи­ва­ния» или просто при пе­ре­ме­ще­нии обо­ру­до­ва­ния с ого­во­рен­но­го места, вклю­ча­ет­ся про­грам­ма или ап­па­рат­ное обес­пе­че­ние бло­ки­ров­ки, после чего еди­ни­ца обо­ру­до­ва­ния пре­вра­ща­ет­ся в мёрт­вый груз. Судя по всему, именно это и слу­чи­лось с ком­прес­со­ра­ми Га­з­про­ма: ведь в со­об­ще­нии ком­па­нии го­во­рит­ся, что мо­биль­ные ком­прес­сор­ные стан­ции IMF ис­поль­зо­ва­лись в до­чер­них струк­ту­рах Га­з­про­ма с 2010 года.

Впро­чем, может быть и хуже

Стоит учи­ты­вать, что отнюдь не все за­клад­ки сра­ба­ты­ва­ют в стиле «оно просто оста­но­ви­лось и не ра­бо­та­ет».

На­при­мер, одной из наи­бо­лее круп­ных тех­но­ген­ных аварий, вы­зван­ных за­клад­ка­ми в про­грамм­ном обес­пе­че­нии, стала ди­вер­сия на ГЭС Гури, ко­то­рая при­ве­ла к прак­ти­че­ски пол­но­му от­клю­че­нию энер­ге­ти­че­ской си­сте­мы Ве­не­су­э­лы 7 марта 2019 года. Успеш­ность атаки опре­де­ля­лась «зе­ле­но­стью» элек­тро­энер­ге­ти­ки Ве­не­су­э­лы, ко­то­рая на 82% за­ви­сит от про­из­вод­ства элек­тро­энер­гии на трех круп­ней­ших гид­ро­элек­тро­стан­ци­ях страны – Гури, Ка­ру­а­чи и Ма­ка­гуа. При этом круп­ней­шая ГЭС Гури в оди­ноч­ку дает 65% элек­тро­энер­гии. Такая сверх­кон­цен­тра­ция ге­не­ри­ру­ю­щих мощ­но­стей и поз­во­ли­ла успеш­но «по­ло­жить» всю энер­го­си­сте­му Ве­не­су­э­лы ди­вер­си­ей лишь на одном круп­ном объ­ек­те.

В 2005 году элек­тро­стан­ция Гури прошла через про­цесс мас­штаб­ной мо­дер­ни­за­ции, ко­то­рую осу­ществ­лял меж­ду­на­род­ный тех­но­ло­ги­че­ский кон­сор­ци­ум ABB – Asea Brown Boveri Ltd. В рамках этого до­го­во­ра ABB провел полную замену си­сте­мы управ­ле­ния и защиты этой ве­не­су­эль­ской ГЭС. При этом старая, «ана­ло­го­вая» ГЭС с по­мо­щью АВВ была пол­но­стью «оциф­ро­ва­на»: через кон­трол­ле­ры стало воз­мож­ным управ­лять прак­ти­че­ски всеми функ­ци­я­ми ГЭС – от от­кры­тия за­сло­нок и за­пус­ка ге­не­ри­ру­ю­щих аг­ре­га­тов и вплоть до выдачи мощ­но­сти в общую сеть. Кон­трол­ле­ры АВВ имели воз­мож­ность предо­став­ле­ния ана­ло­го­вой и циф­ро­вой ин­фор­ма­ции, вели ло­ги­че­скую и про­грамм­ную об­ра­бот­ку данных, а также взяли на себя функ­ции мо­ни­то­рин­га и связи.

На верх­нем уровне кон­трол­ле­ры ожи­да­е­мо управ­ля­лись через про­грамм­ный пакет для раз­ра­бот­ки или обес­пе­че­ния работы в ре­аль­ном вре­ме­ни (SCADA) на основе... Windows XP. Просто потому, что так в 2005 году было удобно, да и вы­гля­де­ло не особо опас­ным.

Как по­ка­зал анализ атаки 2019 года, ГЭС Гури «взло­ма­ли» именно через ком­пью­тер­ный ин­тер­фейс вы­со­ко­го уровня, однако со зна­ни­ем «за­кла­док» кон­трол­ле­ров АВВ, ко­то­рым просто отдали приказ на оста­нов­ку гид­ро­аг­ре­га­тов и от­со­еди­не­ние ГЭС от общей энер­го­си­сте­мы. В итоге по­пыт­ки пер­со­на­ла стан­ции сде­лать хоть что-то вруч­ную просто про­ва­ли­лись – везде их усилия упи­ра­лись в ту самую «модную» си­сте­му ав­то­ма­ти­че­ско­го управ­ле­ния, ко­то­рая не до­пус­ка­ла руч­но­го управ­ле­ния па­ра­мет­ра­ми стан­ции в неза­до­ку­мен­ти­ро­ван­ном режиме.

Впро­чем, самая на­шу­мев­шая ки­бе­р­ата­ка, хотя и с менее зна­чи­мы­ми по­след­стви­я­ми, слу­чи­лась де­вя­тью годами ранее. Опас­ность её за­клю­ча­лась в том, что в тот раз объ­ек­том атаки стала ядер­ная от­расль Ирана. В 2010 году ком­пью­тер­ный червь Stuxnet был внед­рён между про­грам­ми­ру­е­мы­ми ло­ги­че­ски­ми кон­трол­ле­ра­ми марки Simatic S7 и ра­бо­чи­ми стан­ци­я­ми SCADA-си­сте­мы фирмы Siemens. Несмот­ря на то, что само внед­ре­ние червя шло опять-таки через уяз­ви­мость си­сте­мы Windows, в даль­ней­шем он ис­поль­зо­вал си­сте­му «за­кла­док» внутри кон­трол­ле­ров Simatic S7, ко­то­рая штатно поз­во­ля­ла их уда­лён­ное пе­ре­про­грам­ми­ро­ва­ние.

Stuxnet при этом стал первым ком­пью­тер­ным ви­ру­сом, ко­то­рый смог при­оста­но­вить иран­скую ядер­ную про­грам­му, по­вре­див около 1000 цен­три­фуг обо­га­ще­ния ура­но­во­го топ­ли­ва и пе­ре­ве­дя их в нештат­ный режим работы. В сен­тяб­ре 2019 года было опуб­ли­ко­ва­но жур­на­лист­ское рас­сле­до­ва­ние, со­глас­но ко­то­ро­му за­ра­же­ние ви­ру­сом иран­ско­го центра по обо­га­ще­нию было про­из­ве­де­но иран­ским спе­ци­а­ли­стом, за­вер­бо­ван­ным гол­ланд­ской раз­вед­кой AIVD по по­ру­че­нию ЦРУ и Мос­са­да.

Чем за­щи­щать­ся?

Ос­нов­ной и глав­ной за­щи­той от такого рода «по­дар­ков» про­из­во­ди­те­лей яв­ля­ет­ся пуб­ли­ка­ция пол­но­го опи­са­ния всей струк­ту­ры управ­ле­ния го­то­вым из­де­ли­ем – на­чи­ная от мик­ро­кон­трол­лер­но­го обо­ру­до­ва­ния и за­кан­чи­вая опе­ра­ци­он­ны­ми си­сте­ма­ми и управ­ля­ю­щи­ми про­грам­ма­ми. Ещё два­дцать лет назад такой подход мог вы­звать у про­дав­цов только улыбку: в мире царило так на­зы­ва­е­мое про­при­е­тар­ное (ли­цен­зи­ру­е­мое) про­грамм­ное обес­пе­че­ние – и никто не жаждал от­кры­вать ис­ход­ные коды своих про­грамм.

На се­го­дняш­ний же день дви­же­ние в сто­ро­ну сво­бод­но­го про­грамм­но­го обес­пе­че­ния с от­кры­тым ис­ход­ным кодом уже при­ве­ло к тому, что в хо­ро­шую прак­ти­ку входит по­став­ка и про­грамм, и даже низ­ко­уров­не­вых драй­ве­ров в ис­ход­ном коде, в ко­то­ром любой же­ла­ю­щий может как опре­де­лить су­ще­ству­ю­щие за­клад­ки, так и убрать их оттуда.

При этом можно по­пут­но «от­де­лить зёрна от плевел», до­бив­шись того, чтобы кон­трол­лер или про­грам­ма оста­нав­ли­ва­ли обо­ру­до­ва­ние в опас­ных или неже­ла­тель­ных си­ту­а­ци­ях, но иг­но­ри­ро­ва­ли за­про­сы на оста­нов­ку по «же­ла­нию левой пятки ком­па­нии-про­из­во­ди­те­ля».

Такого рода циф­ро­вой кон­троль на сто­роне по­тре­би­те­ля вдвойне важен в со­вре­мен­ных усло­ви­ях. В част­но­сти, после 2014 года пра­ви­тель­ством США в от­но­ше­нии России вве­де­ны так на­зы­ва­е­мые ре­ги­о­наль­ные огра­ни­че­ния, ко­то­рые под­ра­зу­ме­ва­ют запрет на пе­ре­ме­ще­ние важных видов обо­ру­до­ва­ния в неко­то­рые ре­ги­о­ны России (в част­но­сти в Крым).

Про­из­во­ди­те­ли других за­пад­ных стран фор­маль­но были не обя­за­ны ис­пол­нять это ре­ше­ние, так как юрис­дик­ция этого пред­пи­са­ния носила внут­ри­а­ме­ри­кан­ский ха­рак­тер, однако «ре­ко­мен­да­ции» США за­ко­но­да­тель­но ле­га­ли­зо­вал Брюс­сель – после чего прак­ти­че­ски все ино­стран­ные по­став­щи­ки ста­ра­ют­ся внести этот пункт в свои до­го­во­ры о по­став­ках в Россию. Кроме того, в от­но­ше­нии рос­сий­ских ком­па­ний дей­ству­ют и так на­зы­ва­е­мые сек­то­раль­ные санк­ции, ко­то­рые также огра­ни­чи­ва­ют по­став­ки обо­ру­до­ва­ния. По­нят­ным об­ра­зом, ме­ха­низм за­кла­док и свя­зан­ных с ними бло­ки­ро­вок может быть за­дей­ство­ван и по этой линии.

На­гляд­ный рецепт защиты от такого скры­то­го и явного дав­ле­ния уже давно де­мон­стри­ру­ет Китай – там еще в 2014 году была при­ня­та об­ще­на­ци­о­наль­ная про­грам­ма пе­ре­хо­да с про­при­е­тар­но­го про­грамм­но­го обес­пе­че­ния (в ос­нов­ном Windows) на от­кры­тую опе­ра­ци­он­ную си­сте­му Linux. В боль­шин­стве слу­ча­ев речь идёт о Kylin Linux – соб­ствен­ной ки­тай­ской раз­ра­бот­ке, чьи клоны сейчас по­все­мест­но внед­ря­ют­ся в КНР. Как след­ствие, «эко­си­сте­ма» ки­тай­ско­го от­кры­то­го про­грамм­но­го обес­пе­че­ния по­сто­ян­но растёт – и мо­но­по­лия за­пад­но­го циф­ро­во­го мира сжи­ма­ет­ся год за годом. Ко­неч­но, пока ещё прямые атаки на Китай со сто­ро­ны Запада, схожие с недав­ней бло­ки­ров­кой Huawei, всё ещё бо­лез­нен­ны, но уже видно, что КНР дей­ству­ет в пра­виль­ном на­прав­ле­нии.

Как ви­дит­ся, у России се­год­ня тоже есть шанс под­дер­жать дви­же­ние мира к от­кры­то­му и сво­бод­но­му про­грамм­но­му обес­пе­че­нию. Ведь по­хо­жая си­ту­а­ция про­изо­шла в мире пол­ве­ка тому назад, когда бла­го­да­ря со­вет­ско­му АК-47 страны Тре­тье­го мира на­ко­нец по­лу­чи­ли воз­мож­ность метко стре­лять в ответ в ко­ло­ни­за­то­ров из мира Пер­во­го. Из мира, ко­то­рый весь XIX и начало ХХ века почему-то ещё и мнил себя миром Высшим. На про­тя­же­нии ми­ни­мум двух веков у стран Тре­тье­го мира не было на эту пре­тен­зию внят­но­го ответа. А Михаил Ка­лаш­ни­ков этот ответ создал – после чего сотни фабрик по всему миру пре­вра­ти­ли АК-47 в «оружие ответа».

Так что се­год­ня у нас тоже есть шанс. Тем более, что теперь стре­лять ни в кого не надо. Стоит просто ска­зать: это наше обо­ру­до­ва­ние – и управ­лять им будем только мы.

Алек­сей Ан­пи­ло­гов


Комментарий автора:

С введением сетей 5G возможности по удалённому отключению и управлению техникой увеличатся кратно. От крупных объектов к мелкой технике. В фильмах и реальности это уже есть в автомобилях "ведущих" фирм. Анекдот про уши КГБ из розетки перестанет быть смешным. Холодильник можно отключить за несвоевременную оплату кредита, из подушки будет звучать "вежливый" звонок коллекторского агентства в шесть утра. А из унитаза... ну, вы поняли. Источник