film
Film pt. „Nie czas umierać”, który wszedł niedawno na wielki ekran, opuszcza kurtynę na erę Daniela Craiga. Postanowiliśmy sprawdzić wszystkie pięć jego kreacji Bonda z perspektywy cyberbezpieczeństwa. Oprócz samego Craiga filmy te łączy całkowity brak zrozumienia podstaw cyberbezpieczeństwa przez pracowników filmowego MI6.
Nie wiemy, czy niedopatrzenia te są celowe (biorąc pod uwagę przestarzałość filmów o Bondzie i całej koncepcji sekcji 00), czy też wynikają z niekompetencji scenarzystów i braku konsultacji w zakresie cyberbezpieczeństwa. Oto niektóre absurdy, które zauważyliśmy w filmach, w kolejności ich pojawiania się. Uwaga: spoilery!
Casino Royale
W pierwszym filmie o Bondzie z Danielem Craigiem widzimy następującą scenę: główny bohater włamuje się do domu swojej bezpośredniej przełożonej, M, i używa swojego laptopa w celu połączenia się z jakimś systemem szpiegowskim, aby poznać źródło wiadomości tekstowej wysłanej na telefon złoczyńcy. W rzeczywistości Bond mógłby to zrobić tylko wtedy, gdyby:
- W agencji MI6 nie obowiązywał przymus automatycznej blokady ekranu i polityki wylogowywania się, a M pozostawiła swój laptop na stałe włączony i zalogowany.
- W agencji MI6 nie obowiązywał przymus używania silnych haseł, a hasła M były łatwe do odgadnięcia.
- M nie wiedziała, jak zachować swoje hasła w tajemnicy przed kolegami lub używała takich, które zostały zhakowane.
Każdy z tych scenariuszy oznacza kłopoty, ale trzeci jest najbardziej prawdopodobny: nieco później Bond ponownie loguje się zdalnie do „bezpiecznej strony internetowej” przy użyciu danych logowania należących do M.
Postawa Bonda wobec haseł nie jest lepsza. Kiedy musi utworzyć hasło (składające się z co najmniej sześciu znaków) do tajnego konta, na którym będą znajdować się jego wygrane w pokerze, używa imienia swojej lubej Vesper. Co więcej, hasło jest w rzeczywistości mnemonikiem odpowiadającym liczbie (podobnie jak przestarzałe słowa telefoniczne, które należało zapamiętać, i numery do wprowadzania na klawiaturach alfanumerycznych). Jest to w rzeczywistości 6-cyfrowe hasło oparte na wyrazie słownikowym.
Quantum of Solace
Najmniej skomputeryzowany z ostatnich pięciu filmów o Bondzie, „Quantum of Solace” zawiera moment godny uwagi. Na początku dowiadujemy się, że Craig Mitchell, pracownik MI6 od ośmiu lat – od pięciu osobisty ochroniarz M – jest w rzeczywistości podwójnym agentem.
Oczywiście jest to kwestia bezpieczeństwa starej szkoły, a nie związana z zabezpieczeniami świata cyfrowego. Jednak widoczna w poprzednim filmie nieostrożność M w odniesieniu do haseł sugeruje, że sekrety MI6 mogą być w rękach superzłoczyńców na całym świecie.
Skyfall
Na drugim końcu cyberspectrum leży „Skyfall”, najbardziej skomputeryzowany film ze wszystkich pięciu. Tutaj bezpieczeństwo informacji leży w samym sercu fabuły. Cybermądność jest widoczna w pierwszej scenie. Dla wygody podzielimy naszą analizę chronologicznie.
Wyciek danych w Stambule
Nieznany przestępca kradnie dysk twardy laptopa, na którym znajduje się „tożsamość każdego agenta NATO z organizacji terrorystycznych na całym świecie”. O tej liście nie wiedzą nawet partnerzy agencji MI6 (która zresztą oficjalnie nie istnieje).
Sama idea istnienia takiego dysku jest już ogromną luką w zabezpieczeniach. Załóżmy, że baza danych jest niezbędna dla działalności MI6 (a naprawdę tak jest). Dlaczego zatem ten dysk znajdował się w kryjówce w Stambule, chronionej przez zaledwie trzech agentów? Nie ma znaczenia, czy dysk naprawdę był zaszyfrowany i ostrzegał MI6 o każdej próbie odszyfrowania.
Atak cyberterrorystyczny na SIS
Pierwszy prawdziwy cyberincydent pojawia się nieco później: mowa o ataku cyberterrorystycznym na siedzibę brytyjskiej tajnej służby wywiadowczej. Atakujący próbuje odszyfrować skradziony dysk, który według systemu bezpieczeństwa należy do komputera osobistego M. Obrońcy desperacko próbują wyłączyć komputer, ale złoczyńcy wysadzają budynek SIS znajdujący się nad brzegiem Tamizy.
Późniejsze dochodzenie ujawnia, że napastnicy włamali się do systemu kontroli budynku, zablokowali protokoły bezpieczeństwa i włączyli gaz — ale zanim to zrobili, zhakowali pliki M, w tym jej kalendarz, i wyodrębnili kody, dzięki którym mogli odszyfrować skradziony dysk.
Załóżmy, że alarm ze skradzionego dysku na komputerze M stanowił próbę dezinformacji lub trollingu (w końcu dysk nie mógł być w budynku). Zignorujmy też kwestię dostawy gazu w budynku — kto wie, może korytarze MI6 były oświetlone latarniami gazowymi z czasów Kuby Rozpruwacza… W końcu Wielka Brytania to kraj tradycji.
W każdym razie hakowanie systemów sterowania inżynierią jest całkowicie możliwe. Ale w jaki sposób systemy sterowania budynkiem i komputer M – rzekomo „najbezpieczniejszy system komputerowy w Wielkiej Brytanii” – znalazły się w tej samej sieci? Jest to najwyraźniej problem z segmentacją. Ponadto kolejnym przykładem czystego zaniedbania jest przechowywanie kodów deszyfrujących do dysku na komputerze M. Mogli przynajmniej użyć menedżera haseł.
Cyberprzemoc wobec M
Sprawcy drażnią się z M, okresowo umieszczając nazwiska agentów w domenie publicznej. W ten sposób są w stanie w jakiś sposób wyświetlać swoje wiadomości na jej laptopie. Wygląda na to, że jest to sprawka jakiegoś backdoora. Ale eksperci MI6 nie są zainteresowani sprawdzaniem laptopa, lecz śledzeniem źródła wiadomości.
Ostatecznie doszli do wniosku, że wiadomość została wysłana przez asymetryczny algorytm bezpieczeństwa, który przekazywał sygnał po całym świecie, wykorzystując do tego celu ponad tysiąc serwerów. Taka taktyka jest możliwa, chociaż nie wiadomo, czym jest „asymetryczny algorytm bezpieczeństwa” w tym kontekście. W prawdziwym świecie algorytm szyfrowania asymetrycznego jest terminem z dziedziny kryptografii i nie ma nic wspólnego z ukrywaniem źródła wiadomości.
Wewnętrzny atak na MI6
Bond lokalizuje i łapie hakera (byłego agenta MI6 o imieniu Silva) i zabiera jego i jego laptop do nowej siedziby MI6, nieświadomy, że Silva z nim pogrywa. Wchodzi Q: oficjalnie kwatermistrz, w praktyce naczelny haker MI6, a właściwie klaun.
Również w tym przypadku tok myślenia nie jest do końca jasny. Czy jest on klaunem, bo to zabawne? A może decyzja ta była kolejną konsekwencją analfabetyzmu cyberbezpieczeństwa scenarzystów? Najpierw Q podłącza laptop Silvy do wewnętrznej sieci MI6 i zaczyna mówić niezrozumiale. Postaramy się go rozszyfrować:
- „[Silva] ustanowił protokoły bezpieczeństwa w celu wyczyszczenia pamięci, jeśli istnieje jakakolwiek próba uzyskania dostępu do niektórych plików”. Ale jeśli Q o tym wie, to dlaczego nadal analizuje dane Silvy na komputerze z zainstalowanymi protokołami tego typu? Co się stanie, jeśli pamięć zostanie wymazana?
- „To jego strona omega. Najbardziej zaszyfrowany poziom, którym dysponuje. Wygląda jak zaciemniony kod, który ma ukryć prawdziwy cel. Bezpieczeństwo poprzez zaciemnienie”. Jest to w zasadzie strumień przypadkowych określeń, bez logiki. Niektóre kody są zaciemniane (zmieniane w celu utrudnienia analizy) za pomocą szyfrowania. Ale aby uruchomić taki kod, coś musi go najpierw rozszyfrować, jednak niestety nie dowiadujemy się nic więcej. Bezpieczeństwo przez niejawność to prawdziwe podejście do zabezpieczania systemu komputerowego, w którym zamiast solidnych mechanizmów ochronnych stosuje się utrudnianie napastnikom odczytu danych, jednak nie jest to najlepsza praktyka. Nie wiadomo, co dokładnie Q próbuje przekazać widzom.
- „Używa polimorficznego silnika do mutacji kodu. Ilekroć próbuję uzyskać dostęp, kod się zmienia”. To kolejny nonsens. Trudno zgadnąć, gdzie znajduje się kod i jak Q próbuje uzyskać do niego dostęp. Jeśli mówi o plikach, istnieje ryzyko wymazania pamięci (patrz punkt pierwszy). Nie wiadomo również, dlaczego nie mogą zatrzymać tego mitycznego silnika i pozbyć się „mutacji kodu”, zanim podejmą próbę rozgryzienia go. Jeśli chodzi o polimorfizm, jest to przestarzała metoda modyfikowania szkodliwego kodu podczas tworzenia nowych kopii wirusów w ścisłym tego słowa znaczeniu. W kontekście sceny z filmu ta technologia nie ma zastosowania.
Wizualnie wszystko, co dzieje się na komputerze Silvy, jest reprezentowane jako rodzaj skomplikowanego diagramu spaghetti z użyciem czegoś, co wygląda jak kod szesnastkowy. Jednak bystre oko Bonda zauważa znajomą nazwę pływającą w alfanumerycznej zupie: Granborough, nieużywana stacja metra w Londynie. Sugeruje użycie jej jako klucza.
Z pewnością kilku doświadczonych pracowników służb wywiadowczych zdałoby sobie sprawę, że istotna informacja pozostawiona na widoku — bezpośrednio w interfejsie — jest prawie na pewno pułapką. Dlaczego wróg miałby ją tam zostawić? Ale nieświadomy Q wprowadza klucz bez mrugnięcia okiem. W rezultacie otwierają się drzwi, mruga komunikat o naruszeniu bezpieczeństwa systemu, a Q może tylko odwrócić się i zapytać: „Czy ktoś może mi powiedzieć, jak on dostał się do naszego systemu?!”. Kilka sekund później „ekspert” w końcu decyduje, że może lepiej będzie odłączyć laptop Silvy od sieci.
Podsumowując, główne pytanie brzmi: czy scenarzyści celowo przedstawili Q jako nieudolnego amatora, czy też po prostu zasypali scenariusz losowymi terminami cyberbezpieczeństwa, mając nadzieję, że Q stanie się w oczach widzów genialnym informatykiem?
Spectre
Teoretycznie film „Spectre” miał na celu poruszenie kwestii legalności, etyki i bezpieczeństwa globalnego programu nadzoru i wywiadu Nine Eyes jako narzędzia antyterrorystycznego. W praktyce jedynym minusem tworzenia systemu takiego jak ten pokazany w filmie jest skorumpowanie szefa organizacji Joint Secret Service (po połączeniu MI5 i MI6) – to znaczy, jeśli tak jak poprzednio, dostęp do systemów informatycznych rządu brytyjskiego uzyskuje poufny złoczyńca pracujący dla zaprzysiężonego wroga Bonda, Blofelda. Inne potencjalne wady takiego systemu nie są w ogóle brane pod uwagę.
Ponadto Q i Moneypenny przekazują tajne informacje oficjalnie zawieszonemu Bondowi przez cały film i wprowadzają władze w błąd co do jego miejsca pobytu. Chociaż chcą pomóc, ujawniają tajne dane i są winni co najmniej wykroczenia zawodowego.
Nie czas umierać
W ostatnim filmie z czasów Craiga, organizacja MI6 potajemnie opracowuje ściśle tajną broń o nazwie Projekt Herakles — broń biologiczną składającą się z roju nanobotów, które są zakodowane do indywidualnego DNA ofiar. Za pomocą Heraklesa można wyeliminować cele, rozpylając nanoboty w tym samym pomieszczeniu lub wprowadzając je do krwi kogoś, kto z pewnością wejdzie w kontakt z celem. Broń jest pomysłem naukowca MI6 i podwójnego agenta (lub potrójnego, kto zliczy?) — Valdo Obrucheva.
Obruchev kopiuje tajne pliki na dysk flash i połyka go, po czym agenci (garstka osób, która nie została zabita w ostatnim filmie) z niezbyt tajnej już organizacji Spectre włamują się do laboratorium, kradną próbki nanobotów i porywają zdradzieckiego naukowca. Wiemy już o problemach związanych ze sprawdzaniem przeszłości personelu, ale dlaczego w laboratorium, które opracowuje tajną broń, nie ma systemu zapobiegania wyciekom danych (DLP) – zwłaszcza na komputerze osoby o rosyjskim nazwisku Obruchev? Bo jak wszyscy wiedzą, Rosjanin = złoczyńca.
Film wspomina również krótko, że w wyniku wielokrotnych wycieków dużych ilości danych DNA broń może być skutecznie obrócona przeciwko każdemu. Nawiasem mówiąc, jest to prawdopodobne. Ale potem dowiadujemy się, że wspomniane wycieki zawierały również dane na temat agentów MI6. Aby dopasować wyciekające dane DNA do danych pracowników MI6, listy tych agentów musiałyby zostać udostępnione publicznie. To trochę naciągane.
Tymczasem wisienką na torcie jest sztuczne oko Blofelda, które podczas gdy jego właściciel przez lata był w więzieniu typu supermax utrzymywało całodobowy kontakt wideo z podobnym okiem u jednego z jego popleczników. Załóżmy, że można przegapić bioimplant u więźnia. Ale oko musiałoby być regularnie ładowane, a dyskretne robienie tego w takim więzieniu byłoby trudne. Co robili strażnicy, że niczego nie zauważyli? Co więcej, w finale Blofeld zostaje zatrzymany bez sztucznego oka, więc ktoś musiał mu je przekazać już po aresztowaniu. Czy był tam kolejny insider?
Zamiast epilogu
Chciałoby się wierzyć, że wszystkie te absurdy są wynikiem luźnych pomysłów, a nie prawdziwym odzwierciedleniem praktyki cyberbezpieczeństwa w organizacji MI6. Przynajmniej mamy nadzieję, że prawdziwym służbom nie wycieka ściśle tajna broń ani nie przechowuje ona ściśle tajnych kodów w otwartym tekście na urządzeniach, które nawet nie blokują się automatycznie. Podsumowując, możemy jedynie polecić scenarzystom podniesienie świadomości cyberbezpieczeństwa, na przykład poprzez udział w kursie cyberbezpieczeństwa.
Porady