Сајбер ратовање је некада било предмет научнофантастичних филмова и војних вежби. Али са појавом црва Стукнет, хаковања компаније Сони Пицтурес—која је наводно извршена уз подршку владе Северне Кореје—и овонедељним нападом на веб странице немачке владе, велики број сајбер напада за које се сумња да су повезани са националним државама расту. све заступљенији.
Мало људи је подигло вео са сајбер ратовања попут Едварда Сноудена, бившег сарадника НСА који је медијима процурио огроман број докумената.
Џејмс Бамфорд: Хвала вам пуно што сте дошли. Заиста ценим ово. И заиста је занимљиво - истог дана када смо се састали са вама, изашао је овај чланак Нев Иорк Тимес, изгледало је као да умањује потенцијалну штету, коју су заиста навели у првобитној процени. Шта мислите о овом чланку данас?
Едвард Сноуден: Дакле, ово је заиста занимљиво. Нови директор НСА каже да је наводна штета од цурења била претерана. У ствари, дозволи ми да то поновим.
Дакле, ово је заиста занимљиво. Шеф НСА који је у томе заменио Кита Александера, бившег директора НСА, назива наводну штету од прошлогодишњих открића много безначајнијом него што се јавно представљало током прошле године. Навели су нас да верујемо да ће небо пасти, да ће океани да прокључа, да ће се атмосфера запалити, да ће се свет завршити какав познајемо. Али оно што он каже је да га то не наводи на закључак да небо пада.
И то је значајно одступање од тврдњи бившег директора НСА Кита Александра. И то је нека врста шаблона који смо видели где су једини амерички званичници који тврде да ова открића наносе штету, а не служе јавном добру, били званичници којима је то лично било непријатно. На пример, председници надзорних одбора у Конгресу, сам бивши директор НСА.
Али, с друге стране, имамо и званичнике из независних панела за ревизију Беле куће који су рекли да се никада није показало да ови програми заустављају чак ни један непосредан терористички напад у Сједињеним Државама и да немају никакву вредност. Па како је могуће да су ови програми били толико вредни да би причање о њима, њихово откривање јавности довело до краја света да нису зауставили никакве нападе?
Али оно што видимо и оно што овај чланак представља јесте да тврдње о штети које смо добили прошле године нису биле тачне и да би се у ствари могло тврдити да доводе у заблуду, и мислим да је то забрињавајуће. Али добро је видети да и сам директор НСА сада данас, са пуним приступом поверљивим информацијама, почиње да се приближава истини, мало се приближава ставу председника о томе, а то је ова дискусија што смо имали током прошле године не шкоди нам. То нас чини јачим. Па хвала што си то показао.
Бамфорд: Хвала. Још једна ствар у коју чланак улази, о чему ми данас овде говоримо, јесте да чланак цитира новог директора НСА, који је и командант Сајбер команде, који у суштини каже да је могуће у будућности да ови сајбер команде оружје ће постати нека врста нормалног војног оружја, и биће третирано као навођене ракете или крстареће ракете и тако даље.
Сноуден: Крстареће ракете или дронови.
Бамфорд: Шта мислите о томе, пошто сте и сами провели време у целом овом послу?
Сноуден: Мислим да јавност још увек није свесна са којом учесталост ових сајбер-напада, како се називају у штампи, користе владе широм света, а не само САД. Али важно је истаћи да смо заиста започели овај тренд на много начина када смо покренули Стукнет кампању против иранског нуклеарног програма. То је заправо покренуло одговор, неку врсту узвратне акције Ирана, где су схватили да су ухваћени неспремни. Били су далеко иза технолошке криве у поређењу са Сједињеним Државама и већином других земаља. И то се данас дешава широм света, где схватају да су ухваћени. Они су рањиви. Они немају капацитет да узврате на било какву сајбер кампању против њих.
Иранци су гађали отворене комерцијалне компаније америчких савезника. Сауди Арамцо, тамошња нафтна компанија—послали су оно што се зове випер вирус, који је заправо нека врста Фисхер Прице-а, прве бебине хакерске врсте сајбер-кампање. Није софистицирано. Није елегантно. Ви само шаљете црва, у суштини самореплицирајући комад злонамерног софтвера, у циљану мрежу. Затим се аутоматски реплицира преко интерне мреже, а затим једноставно брише све машине. Дакле, људи иду на посао следећег дана и ништа се не укључује. И то их ставља ван посла на неко време.
Али са ИТ могућностима предузећа, то није тривијално, али није немогуће вратити компанију у радно стање за прилично кратко време. Можете сликати све радне станице. Можете да вратите своје резервне копије са траке. Можете да извршите оно што се зове рестаурација голих метала, где добијате потпуно нови хардвер који одговара вашем старом хардверу, ако је сам хардвер покварен, и само га у суштини обојите, вратите податке као што је био оригинални циљ и вратили сте се на чистом. Идеш даље.
Ово је нешто што људи не разумеју у потпуности у вези са сајбер-нападима, а то је да је већина њих ометајућа, али не нужно и деструктивна. Једна од кључних разлика између нашег нивоа софистицираности и актера на националном нивоу је то што све више траже способност покретања деструктивних сајбер-напада, за разлику од ометајућих врста које иначе видите на мрежи, преко демонстраната, преко активиста, порицања сервисни напади и тако даље. А ово је стожер којим ће нам бити веома тешко да се крећемо.
Бамфорд: Да вас питам о томе, јер је то фокус програма овде. То је фокус јер је врло мало људи икада раније разговарало о томе, а фокус је зато што су САД покренуле свој први деструктивни сајбер-напад, Стукнет напад, као што сте споменули, у Ирану. Можете ли ми само рећи каква је то била прекретница за Сједињене Државе да покрену свој први деструктивни сајбер-напад?
Сноуден: Па, тешко је рећи да је то прва икад, јер је приписивање увек тешко са оваквим кампањама. Али поштено је рећи да је то био најсофистициранији сајбер напад који је ико икада видео у то време. А чињеница да је покренута као део одобрене кампање САД је означила радикално одступање од наше традиционалне анализе нивоа ризика које желимо да преузмемо за одмазду.
Када користите било коју врсту могућности засноване на интернету, било коју врсту електронске могућности, да бисте нанијели штету приватном субјекту или страној држави или страном актеру, то су потенцијална ратна дјела. И важно је да имамо на уму док разговарамо о томе како желимо да користимо ове програме, ове могућности, где желимо да повучемо црту, и ко треба да одобри ове програме, ове одлуке и на ком нивоу, за ангажовање у операцијама које би могле уведи нас као народ у рат.
Реалност је ако се завалимо и дозволимо неколицини званичника иза затворених врата да покрену офанзивне нападе без икаквог надзора на стране нације, на људе који нам се не свиђају, на политичке групе, радикале и екстремисте са чијим идејама се можда не слажемо, и може бити одбојан или чак насилан — ако дозволимо да се то деси без подршке јавности, нећемо имати никаквог места за столом владе да одлучимо да ли је прикладно да нас ови званичници увуку у неку врсту ратних активности да не желимо, али тада нисмо били свесни.
Бамфорд: А оно о чему изгледа такође говорите је ефекат повратног удара. Другим речима, ако покренемо напад користећи сајбер рат, деструктивни напад, ризикујемо да будемо индустријализована и електронски најповезанија земља на свету, да је то велики проблем за САД. Да ли је то твоје размишљање?
Сноуден: Слажем се да када је у питању сајбер рат, имамо више да изгубимо него било која друга нација на свету. Технички сектор је окосница америчке економије, и ако почнемо да се бавимо оваквим понашањем, у оваквим нападима, ми постављамо стандард, стварамо нову међународну норму понашања која каже да је то оно што нације раде. То раде развијене нације. То раде демократске нације. Тако да ће друге земље које не поштују правила као ми ићи још даље.
А реалност је таква да када су у питању сајбер сукоби између, рецимо, Америке и Кине или чак блискоисточне нације, афричке нације, латиноамеричке нације, европске нације, имамо више да изгубимо. Ако нападнемо кинески универзитет и украдемо тајне њиховог истраживачког програма, колико је вероватно да ће то бити вредније за Сједињене Државе него када Кинези узврате и украду тајне са америчког универзитета, од америчког одбрамбеног извођача, из америчке војне агенције?
Трошимо више на истраживање и развој него ове друге земље, тако да не би требало да правимо интернет непријатељскијом, агресивнијом територијом. Требало би да смиримо тензије, да га учинимо окружењем са већим поверењем, учинимо га сигурнијим окружењем, учинимо га поузданијим окружењем, јер је то темељ наше економије и наше будућности. Морамо бити у могућности да се ослонимо на безбедан и међусобно повезан интернет да бисмо се такмичили.
Бамфорд: Где видите ово у смислу уништења? У Ирану су, на пример, уништили центрифуге. Али које друге врсте ствари могу бити циљане? Електране или бране? Шта видите као крајњу потенцијалну штету која би могла произаћи из напада сајбер ратовања?
Сноуден: Када људи концептуализују сајбер напад, они имају тенденцију да размишљају о деловима критичне инфраструктуре као што су електране, водоснабдевање и сличне врсте тешке инфраструктуре, области критичне инфраструктуре. И они би могли бити погођени, све док су повезани на мрежу, све док имају неку врсту система који са њима ступају у интеракцију и којима се може манипулисати са интернет везе.
Међутим, оно што превиђамо и има много већу вредност за нас као нацију је сам интернет. Интернет је критична инфраструктура за Сједињене Државе. Користимо интернет за сваку комуникацију на коју се предузећа свакодневно ослањају. Ако противник није гађао наше електране, али јесу гађали основне рутере, кичме које повезују наше интернет везе, читави делови Сједињених Држава би могли бити одсечени. Могли би да буду искључени ван мреже, а ми бисмо замрачили у смислу наше економије и нашег пословања на минуте, сате, дане. То би имало огроман утицај на нас као друштво и имало би негативну реакцију политике.
Решење, међутим, није да се влади да више тајних ауторитета да стави прекидаче и мониторе и уређаје за њушкање на интернет. То је да променимо наше приоритете за начин на који се носимо са претњама по безбедност наше критичне инфраструктуре, за нашу електронску инфраструктуру. А то значи узимање тела као што је Агенција за националну безбедност која се традиционално баве обезбеђивањем нације и осигуравањем да је то њихов први фокус.
У последњих 10 година, видели смо—у последњих 10 година, видели смо одступање од оне традиционалне улоге прикупљања обавештајних података у иностранству која је повезана са одговором на претње које су—
Бамфорд: Не журите.
Сноуден: Јел тако. Оно што смо видели у последњој деценији је да смо видели удаљавање од традиционалног рада Агенције за националну безбедност. Постали су нека врста националне хакерске агенције, националне агенције за надзор. И изгубили су из вида да све што раде треба да нас учини сигурнијим као нацију и друштво.
Агенција за националну безбедност има две половине, једну која се бави одбраном и једну која се бави нападом. Мајкл Хејден и Кит Александер, бивши директори НСА, померили су те приоритете, јер када су отишли у Конгрес видели су да могу да добију више новца из буџета ако рекламирају свој успех у нападу, јер нико никада није заиста заинтересован за тежак посао. посао одбране.
Али проблем је у томе што када обезбиједите одбрану, све нас доводите у опасност. Одједном, данас су уобичајене политике које су биле невероватне, несхватљиве пре 20 година. Видите одлуке које доносе ове агенције које им овлашћују да инсталирају бацкдоор у нашу критичну инфраструктуру, што им омогућава да поткопају техничке безбедносне стандарде који чувају вашу комуникацију безбедном када посећујете банкарску веб локацију на мрежи или шаљете е-пошту пријатељу или се пријављујете на Фацебоок .
А реалност је, када те системе учините рањивим да бисте могли да шпијунирате друге земље и делите исте стандарде које те земље имају за своје системе, ви такође чините своју земљу рањивијом на исте нападе. Отварамо се за напад. Спуштамо своје штитове да бисмо имали предност када нападамо друге земље у иностранству, али реалност је када упоредите једну нашу победу са једном од њихових победа, вредност података, знања, информација добијених од ти напади су њима далеко већи него нама, јер смо ми већ на врху. Много је лакше повући нас доле него од њих зграбити неко постепено знање и изградити себе.
Бамфорд: Говорите посебно о Кини?
Сноуден: Говорим о Кини и свакој земљи која има снажан програм прикупљања обавештајних података који је добро финансиран у области обавештајних сигнала. Али суштина је да морамо да вратимо обезбеђење у Агенцију за националну безбедност. Не можемо имати националну надзорну агенцију. Морамо да идемо — види, најважније нам је да не можемо да нападнемо своје противнике, најважније је да можемо да се одбранимо. А ми то не можемо да урадимо све док подривамо сопствене безбедносне стандарде ради надзора.
Бамфорд: То је веома чудна комбинација, где имате једну половину НСА, Дирекцију за информационе гаранције, која је задужена за заштиту земље од сајбер-напада, коегзистира са Управом за обавештајне сигнале и Сајбер командом, која је прилично фокусирана на стварање слабости. Можете ли ми само рећи мало о томе како то функционише, коришћењу рањивости и имплантата и експлоатације?
Сноуден: Уопштено говорећи, постоји низ различитих термина који се користе у ЦНО, свету операција рачунарских мрежа.
Уопштено говорећи, постоји низ различитих термина који се користе за дефинисање народног језика у свету операција рачунарских мрежа. Постоји ЦНА, напад на рачунарску мрежу, који треба да пориче, деградира или уништи функционисање система. Постоји ЦНД, одбрана рачунарске мреже, која штити системе, која уочава рањивости, уочава упаде, одсеца их и поправља, крпи рупе. А ту је и ЦНЕ, експлоатација рачунарске мреже, која проваљује систем и оставља нешто за собом, ова врста електронског уха које ће вам омогућити да пратите све што се дешава од тог тренутка па надаље. ЦНЕ се обично користи за шпијунажу, за шпијунирање.
Да бисмо постигли ове циљеве, користимо ствари као што су експлоатације, имплантати, рањивости и тако даље. Рањивост је слабост у систему, где рачунарски програм има грешку у свом коду који, када мисли да ће извршити нормалан рутински задатак, заправо је преварен да уради нешто што нападач тражи од њега. На пример, уместо да отпремате датотеку да бисте приказали слику на мрежи, могли бисте да отпремате део кода који ће веб локација затим извршити.
Или уместо да се пријавите на веб локацију, могли бисте да унесете код у поље корисничког имена или у поље за лозинку, и то би се срушило кроз границе меморије – које је требало да заштити програм – у извршни простор компјутерских инструкција. Што значи да када рачунар прође кроз своје кораке онога што би требало да се догоди, он оде, тражим корисничку пријаву. Ово је корисничко име. Ово је лозинка. А онда када би требало да иде, проверите да ли су тачна, ако ставите нешто што је било предугачко у поље за лозинку, то заправо преписује следећа упутства за рачунар. Дакле, не зна да би требало да провери лозинку. Уместо тога, пише, требало би да направим нови кориснички налог са максималним привилегијама и отворим порт да противнику приступи мојој мрежи, и тако даље и тако даље.
Рањивости су углавном слабости које се могу искористити. Сама експлоатација су мали делови компјутерског кода који вам омогућавају да покренете било коју врсту програма који желите.
Експлоатације су делови компјутерског кода које уграђујете у рањивости како бисте вам омогућили да преузмете систем, да им приступите, да кажете том систему шта желите да урадите. Корисни терет или имплант следи иза експлоатације. Експлоатација је оно што вас увлачи у систем. Корисно оптерећење су упутства која су остављена. Сада, та упутства често говоре да инсталирате имплантат.
Имплантат је стварни програм који се покреће – остаје након експлоатације – и каже ми реците све датотеке на овој машини. Направите листу свих корисника. Шаљи сваку нову е-пошту или сваки нови притисак на тастер који је забележен у овом програму сваког дана на моју машину као нападачу, или заиста било шта што можете замислити. Такође може рећи нуклеарним центрифугама да се окрећу до максималног броја обртаја у минути, а затим да се окрећу довољно брзо да нико не примети. Може рећи електрани да се искључи.
Или би могло да каже, јавите ми шта овај дисидент ради из дана у дан, јер то живи на њиховом мобилном телефону и води евиденцију о свим њиховим кретањима, кога зову, с ким се друже, који је бежични уређај у близини. Заиста је експлоатација само ограничена — или није експлоатација. Имплантат је ограничен само маштом. Све за шта можете да програмирате рачунар, можете програмирати имплант.
Бамфорд: Дакле, имате имплант, а онда имате носивост, зар не?
Сноуден: Корисно оптерећење укључује имплантат. Експлоатација је оно што у основи улази у рањивост. Корисно оптерећење је оно што експлоатација покреће, а то је у основи нека врста извршног кода. А имплант је терет који је дугорочно остављен иза себе, нека врста програма за прислушкивање, неки шпијунски програм или нека врста деструктивног програма.
Бамфорд: Интервјуисати вас је као да радите са серво управљачем. Не морам ово да извлачим.
Сноуден: Да, извињавам се, мало сам неспретан са својим одговорима, а политички одговори нису баш јаки, али ја нисам политичар, тако да се само трудим у вези ових.
Бамфорд: Ово нису ноћне вести, тако да имамо сат времена.
Сноуден: Да, надам се да ћете ово исећи да не буде тако страшно.
Продуцент: Имамо две камере и можемо да изрезујемо ваше речи.
Сноуден: (смех) Одлично.
Продуцент: Али нећемо.
Бамфорд: Требало би сада да споменем овај имплант – имплант звучи помало као оно што су некада били агенти за спавање у старим данима Хладног рата, где имате агента који тамо седи и може све. Може да направи саботажу. Може да се бави шпијунажом. Може све. И гледајући један од оних слајдова који су изашли, оно што је било заиста фасцинантно је чињеница да је слајд мапа света, и да су на њему биле мале жуте тачке. Мале жуте тачке су означене као ЦНЕ, експлоатација рачунарске мреже. И очекујете да ћете их видети у Северној Кореји, Кини, на разним таквим местима. Али оно што је било занимљиво када смо то погледали је да их је било доста у Бразилу, на пример, и другим местима која су била пријатељске земље. Имате ли идеју зашто би САД желеле да ураде тако нешто?
Сноуден: Дакле, начин на који обавјештајна заједница Сједињених Држава дјелује је да се не ограничава на заштиту домовине. Не ограничава се само на сузбијање терористичких претњи, супротстављање нуклеарном пролиферацији. Такође се користи за економску шпијунажу, за политичко шпијунирање да би се стекло неко знање о томе шта раде друге земље. А током последње деценије то је отишло предалеко.
Нико не би тврдио да је у интересу Сједињених Држава да имају независно знање о плановима и намерама страних земаља. Али морамо да размислимо о томе где да повучемо црту у оваквим операцијама како не бисмо увек нападали наше савезнике, људе којима верујемо, људе на које треба да се ослонимо, а да се они заузврат ослањају на нас. Нема користи да Сједињене Државе хакују мобилни телефон Ангеле Меркел. Председник Обама је рекао да ће, ако треба да зна шта она мисли, само подићи телефон и назвати је. Али он наводно није био свестан да НСА ради управо то. То су сличне ствари које видимо да се дешавају у Бразилу и Француској и Немачкој и свим овим другим земљама, овим савезничким нацијама широм света.
И такође треба да запамтимо да када говоримо о експлоатацији рачунарске мреже, нападу рачунарске мреже, не говоримо само о вашем кућном рачунару. Не говоримо само о контролном систему негде у фабрици. Говоримо о вашем мобилном телефону, а такође говоримо и о самим интернет рутерима. НСА и њене сестринске агенције нападају критичну инфраструктуру интернета како би покушали да преузму власништво над њом. Они хакују рутере који повезују нације са самим интернетом.
А ово је опасно из више разлога. То нам пружа праву обавештајну предност, али је у исто време и озбиљан ризик. Ако једна од ових хакерских операција пође по злу, а то се дешавало у прошлости, а ради се о основном рутеру који повезује све провајдере интернет услуга за целу земљу са интернетом, искључили смо целу нацију од приступа на мрежи до тај проблем се може исправити. А ови рутери нису ваши мали Линксис, Д-Линк рутери који седе код куће. Говоримо о уређајима од 60,000, 600,000, 6 милиона долара, комплексима које није лако поправити, а они немају готову замену која је спремна за замену.
Зато морамо да будемо веома опрезни, и морамо да се уверимо да кад год учествујемо у кампањи сајбер-ратовања, кампањи сајбер-шпијунаже у Сједињеним Државама, да разумемо да се реч сајбер користи као еуфемизам за интернет, јер америчка јавност не би била узбуђена да чује да радимо кампање интернетског ратовања, кампање интернет шпијунаже, јер схватамо да смо и сами под утицајем тога. Интернет је заједничка критична инфраструктура за све на земљи. То не би требало да буде домен ратовања. Не би требало да стављамо нашу економију на прве линије фронта на бојном пољу. Али то се све чешће дешава данас.
Зато морамо да успоставимо процесе, политике и процедуре са стварним законима који забрањују превазилажење граница разумног да бисмо обезбедили да ми и друге земље широм света примењујемо ове овлашћења једино када је то апсолутно неопходно, постоји није алтернативно средство за постизање одговарајућег исхода, и сразмерно је претњи. Не би требало да доводимо инфраструктуру целе нације у опасност да шпијунирамо једну компанију, да шпијунирамо једну особу. Али све више видимо да се то данас све више дешава.
Бамфорд: Поменули сте проблеме, опасности које су повезане ако покушавате да искористите централни нервни систем неке земље када је у питању интернет. На пример, у Сирији је било времена када је све пропало, а за то је био окривљен председник Сирије Башар ел Асад. Да ли сте имали нека посебна сазнања о томе?
Сноуден: Заправо не желим да улазим у то пред камером, тако да ћу морати да се противим томе.
Бамфорд: Можеш ли некако да причаш о томе?
Сноуден: Оно што бих рекао је да када нападате рутер на интернету, а то радите на даљину, то је као да покушавате да пуцате у месец пушком. Све се мора десити тачно како треба. Свака појединачна варијабла мора бити контролисана и прецизно узета у обзир. А то није могуће учинити када имате ограничено знање о мети коју нападате.
Дакле, ако имате овај гигантски рутер који покушавате да хакујете, и желите да га хакујете на начин који системски администратори тог уређаја не могу открити, морате да се спустите испод нивоа оперативног система тог уређаја, од тај рутер. Не тамо где пише, овде су правила, овде су кориснички налози, овде су руте и исправне техничке информације којима би свако ко администрира овај уређај требало да има приступ. Доле на ниво фирмвера, на ниво контроле хардвера уређаја који нико никада не види, јер је то нека врста мрачног места.
Проблем је у томе што ако погрешите када манипулишете контролом хардвера уређаја, можете да урадите оно што се зове циглање хардвера, и то га претвара из уређаја за интернет комуникацију од 6 милиона долара у утег за папир од 6 милиона долара који вам смета комуникације целе ваше нације. И то је нешто за шта могу само да кажем да се десило у прошлости.
Бамфорд: Када смо били у Бразилу, показали су нам овај велики објекат за интернет везу. Био је то највећи интернет центар на јужној хемисфери, а налази се у Бразилу. А Бразилци су имали велику забринутост, јер су опет видели слајд који је показао да је сав овај малвер подметнут у Бразилу. Да ли је то стварна забринутост коју би требало да имају, чињеница да су, број један, добили ово огромно интернет чвориште тачно у Сао Паулу, а онда, с друге стране, имају НСА која преплављује земљу малвером?
Сноуден: Интернет размена је нека врста кључних тачака где се окупљају сви међународни каблови, где се окупљају сви провајдери интернет услуга и међусобно тргују линијама, где се крећемо са одвојених рута, одвојених аутопутева на интернету у један кохерентан саобраћајни круг где свако може да уђе и изађе на излазу који жели. Ово су приоритетне мете за било коју врсту шпијунске агенције, јер обезбеђују приступ толиком броју људи.
Интернет размене и провајдери интернет услуга—међународне тачке за слетање са оптичким влакнима—ово су кључни алати које владе траже да би омогућиле своје програме масовног надзора. Ако желе да буду у могућности да гледају целокупно становништво једне земље уместо једног појединца, морате да идете на те масовне размене. И то је оно што се дешава.
Дакле, то је стварна претња, и једини начин на који се може објаснити је да се осигура да постоји нека врста независне контроле и ревизије, нека врста рутинске форензичке истраге ових уређаја, како би се осигурало да не само да су били безбедни када су су инсталирани, али нису били надгледани, манипулисани или промењени на било који начин од последње ревизије. А то захтева да се раде ствари попут креирања математичких доказа који се називају хешови валидности стварног хардверског потписа и софтверских потписа на овим уређајима и њиховом хардверу.
Бамфорд: Још једна област—поменули сте председнички панел који је разматрао све ове области које су сада од значаја, које сте у суштини изнели ове области. И председнички панел је изашао са мислим 46 различитих препорука. Једна од тих препорука се бавила ограничавањем употребе или смањењем или можда чак и укидањем идеје да се крене за експлоатацијом нултог дана. Можете ли ми рећи нешто о вашим страховима које можда имате да би САД створиле ово тржиште експлоатације нултог дана?
Сноуден: Дакле, експлоатација нултог дана је метод хаковања система. То је нека врста рањивости за коју је написан експлоат, нека врста кључа и браве који иду заједно за дати софтверски пакет. То може бити интернет веб сервер. То би могао бити Мицрософт Оффице. То може бити Адобе Реадер или Фацебоок. Али ове експлоатације нултог дана — називају се нултим данима јер их програмер софтвера није потпуно свестан. Нису имали прилику да реагују, одговоре и покушају да закрпе ту рањивост и затворе је.
Опасност са којом се суочавамо у смислу политике гомилања залиха нултих дана је да стварамо систем подстицаја у нашој земљи и за друге земље широм света које опонашају наше понашање или које то виде као прећутно овлашћење да изврше иста врста операција је да стварамо класу истраживача интернет безбедности који истражују рањивости, али онда уместо да их открију произвођачима уређаја да их поправе и да нас учине сигурнијим, они их продају тајним агенцијама.
Продају их на црном тржишту криминалним групама како би их могли искористити за напад на мете. И то нас чини много мање сигурним, не само на индивидуалном, већ на ширем друштвеном нивоу, на широком економском нивоу. И поред тога, ствара ново црно тржиште за компјутерско оружје, у основи дигитално оружје.
И постоји мало проблема са слободом говора који је укључен у регулисање овога, јер људи морају бити слободни да истражују безбедност рачунара. Људи морају бити слободни да траже ове рањивости и креирају доказ кода концепта како би показали да су то праве рањивости како бисмо могли да обезбедимо наше системе. Али прикладно је регулисати употребу и продају експлоата нултог дана у зле сврхе, на исти начин на који бисте регулисали било које друго војно оружје.
А данас то не радимо. И зато видимо растуће црно тржиште са компанијама као што је Ендгаме, са компанијама као што је Вупен, где све што раде – њихов цео пословни модел је проналажење рањивости у најкритичнијим инфраструктурним софтверским пакетима које имамо широм интернета широм света, и уместо да их поправљају рањивости, отварају их и пуштају својим клијентима да уђу кроз њих, и покушавају да сакрију знање о овим експлоатацијама нултог дана што је дуже могуће како би повећали своју комерцијалну вредност и своје приходе.
Бамфорд: Сада, од тих 46 препорука, укључујући и ону о подвизима нултог дана до којих је панел дошао, председник Обама је одобрио само можда пет или шест од тих 46 препорука, а чинило се да уопште није говорио о препорука нултог дана експлоатације. Шта мислите о томе, чињеници да је то председник некако игнорисао?
Сноуден: Не могу да коментаришем председничку политику. То је за мене нагазна мина. Препоручио бих вам да питате Цхриса Согхоиана у АЦЛУ-у, Америчкој унији за грађанске слободе, и он вам може дати било коју понуду о томе. Не треба да говорим о томе, али сте потпуно у праву да тамо где има дима има и ватре, што се тога тиче.
Бамфорд: Па, као неко ко је радио у НСА, дуго је тамо, за то време када сте ви били тамо, они су створили целу ову нову организацију која се зове Сајбер команда. Шта мислите о стварању ове нове организације која долази баш као и НСА, под директором НСА? Поново, уз подршку, директор НСА од почетка је имао само три звездице, а сада је генерал са четири звездице или адмирал са четири звездице, и под собом има ову огромну највећу обавештајну агенцију на свету, НСА, а сада има Цибер команду. Шта мислите о томе, када сте ово видели изнутра?
Сноуден: Прошле године је била јака дебата о томе да ли би Агенција за националну безбедност и сајбер команда требало да се поделе у две независне агенције, и то је оно што је председников независни одбор за ревизију предложио да је одговарајући метод, јер када имате агенцију која би требало да будите дефанзивни у браку са агенцијом чија је цела сврха у животу да разбије ствари и запали их, имате сукоб интереса који ће заиста смањити утицај одбрамбене агенције, док офанзивна грана добија више утицаја, добијају више буџетских долара, добијају више билета и кадровских задатака.
Дакле, постоји реална опасност да се то деси. И сама Сајбер команда је одувек постојала у – сама Сајбер команда је увек била жигована на неки обмањујући начин од самог свог почетка. Директор НСА, када га је представио, када је покушавао да добије одобрење, рекао је да жели да буде јасно да ово није одбрамбени тим. Била је то одбрана репрезентације. Каже да је дефанзивна а не дефанзивна у исто време.
Разлог зашто то каже је зато што је то агенција за нападе, али излазак пред јавност и тражење од њих да одобре агресивну агенцију фокусирану на рат која нам није потребна је тешка продаја. Много је боље ако кажемо, хеј, ово је да нас заштити, ово је да нас чува, чак и ако све што чини сваки дан је спаљивање ствари и разбијање ствари у страним земљама са којима нисмо у рату.
Дакле, постоји стварна пажљива равнотежа која ту треба да се успостави, а која још увек није решена, али све док Агенција за националну безбедност и сајбер команда постоје под једним кровом, видећемо да офанзивна страна њиховог пословања има приоритет над одбрамбена страна посла, што је за нас као државу и као друштво много важније.
Бамфорд: И раније сте споменули, ако бисмо могли да се вратимо још једном на ово, колико више новца одлази у време сајбер офанзиве него на страну сајбер одбране. Не само више новца, већ више особља, више пажње, више фокуса.
Сноуден: Нисам разумео питање о томе.
Бамфорд: Само сам се питао да ли бисте то могли мало више да разрадите. Опет, имамо сајбер команду и имамо Одељење за осигурање информација и тако даље, и много је више новца и особља и нагласак иде на страну сајбер ратовања него на одбрану.
Сноуден: Мислим да је кључна тачка у анализи равнотеже и онога што излазимо у смислу напада наспрам одбране у Агенцији за националну безбедност и сајбер команди то што све више читамо у новинама и оно што видимо да се расправља у Конгресу , чињеница да Сенат сада покушава да изнесе предлог закона који се зове ЦИСПА, дељење сајбер обавештајних података — чак ни не знам како се то зове — дозволите ми да то повучем.
Видимо да се све више ствари дешава као што је Сенат који предлаже предлог закона под називом ЦИСПА, који је за размену сајбер обавештајних података између приватних компанија и владиних агенција, где покушавају да овласте не само потпуни имунитет, већ и давање потпуног имунитета, да приватне компаније ако обавештајним агенцијама деле информације о свим својим клијентима, о свим америчким грађанима и осталом који користе њихове услуге, са намером да се те информације користе за њихову заштиту.
Конгрес такође покушава да имунизира компаније на начин који ће им омогућити да позову групе као што су Агенција за националну безбедност или ФБИ да добровољно ставе уређаје за надзор на своје интерне мреже, са наведеном намером да открију сајбер нападе како до њих дође и да се у стању да одговори на њих. Али ми ту уступамо много овлашћења. Имунизирамо компаније од дужне пажње и штитимо права на приватност њихових клијената.
Заправо, ово је поента коју је превише тешко изнети у интервјуу. Дозволите ми да одступим од тога.
Оно што све више видимо је нека врста слома у Агенцији за националну безбедност. Све мање постаје Агенција за националну безбедност, а све више национална надзорна агенција. Сваком годином добија све више офанзивне моћи. Добила је ову нову сајбер команду која је под директором НСА која би по било којој мери требало да буде потпуно одвојена организација јер има потпуно одвојену мисију. Све што ради је напад.
И то нас ставља, и као нацију и као економију, у стање трајне рањивости и трајног ризика, јер када изгубимо Агенцију за националну безбедност и уместо ње добијемо офанзивну агенцију, уместо ње добијамо агенцију за нападе, све наше очи гледају напоље, али не гледају унутра, где имамо највише да изгубимо. И овако изнова пропуштамо нападе. Ово доводи до неуспеха обавештајних служби као што су бомбашки напади на Бостонском маратону или бомбаш у доњем вешу, Абдул Фарук Муталаб (сиц).
Последњих година, већина терористичких напада који су прекинути у Сједињеним Државама прекинута је због ствари као што је бомбаш на Тајм скверу, кога је ухватио продавац хотдога, а не програм масовног надзора, нити кампања сајбер шпијунаже.
Дакле, када канибализујемо доларе од одбрамбеног пословања НСА, обезбеђујући наше комуникације, штитећи наше системе, крпимо рањивости нултог дана, и уместо тога дајемо им те доларе да се користе за стварање нових рањивости у нашим системима како би може да надгледа нас и друге људе у иностранству који користе исте системе. Када дамо те доларе да поткопамо наше методе шифровања тако да немамо више приватности на мрежи и применимо сав тај новац на нападе на стране земље, повећавамо стање сукоба, не само у дипломатском смислу, већ иу смислу претње нашој критичној инфраструктури.
Када се у некој будућности у електрани угасе светла, знаћемо да је то последица одбацивања приоритета у одбрани зарад предности у нападу.
Бамфорд: Још један проблем који мислим је да људи мисле да, као што сте споменули – само да ово разјаснимо – људи који ово не прате изблиза мисле да је цела идеја сајбер команде била заштита земље од сајбер- напада. Да ли је то погрешно схватање, чињеница да ови људи мисле да је цела идеја сајбер команде да их заштити од сајбер-напада?
Сноуден: Па, ако питате било кога у Цибер Цомманд-у или погледате било који списак послова за слободна радна места, видећете да је једина ствар коју немају приоритет одбрана рачунарске мреже. Све је у нападу на рачунарску мрежу и експлоатацији рачунарске мреже у Цибер Цомманд-у. И морате се запитати, ако су то људи који би требало да бране нашу критичну инфраструктуру код куће, зашто проводе толико времена гледајући како да нападну мреже, како да разбију системе и како да искључе ствари? Мислим да то не значи представљање одбрамбеног тима.
Бамфорд: Сада, такође гледајући мало у будућност, чини се да постоји могућност да се много тога може аутоматизовати, тако да када Цибер команда или НСА виде потенцијални сајбер напад, могли би да постоје неки аутоматски уређаји који би у суштини узвратна ватра. А с обзиром на чињеницу да је то тако веома тешко—или дозволите ми да се повучем. Имајући у виду чињеницу да је за земљу тако лако да се маскира одакле долази напад, да ли видите проблем у томе што аутоматизујете системе који аутоматски узврате пуцањем, а они могу да узврате на погрешну земљу и да на крају рат?
Сноуден: Јел тако. Дакле, не желим да одговарам на први део вашег питања, али могу да користим други део, који се односи на приписивање и аутоматизовани одговор. А то је да је – инхерентно опасно аутоматизовати било коју врсту агресивног одговора на откривени догађај због лажних позитивних резултата.
Рецимо да имамо одбрамбени систем који је везан за способност сајбер-напада која се користи као одговор. На пример, креиран је систем који би требало да открије сајбер нападе који долазе из Ирана, нападе ускраћивања услуге против банке. Они откривају оно што изгледа као напад који долази, и уместо да једноставно предузму одбрамбену акцију, уместо да га једноставно блокирају на заштитном зиду и избаце тај саобраћај тако да оде у канту за смеће и нико то никада не види – нема штете – иде корак даље и каже да желимо да зауставимо извор тог напада.
Зато ћемо покренути аутоматски сајбер-напад на изворну ИП адресу тог тока саобраћаја и покушати да преузмемо тај систем на мрежу. Ми ћемо покренути напад ускраћивања услуге као одговор на њега, да уништимо, деградирамо или на други начин умањимо њихову способност да делују на основу тога.
Али ако се то дешава на аутоматизованој основи, шта се дешава када алгоритми погреше? Шта се дешава када је уместо иранског напада то била само дијагностичка порука из болнице? Шта се дешава када је то заправо напад који је направио независни хакер, а ви сте уклонили владину канцеларију из које је хакер радио? То није било јасно.
Шта се дешава када напад погоди канцеларију у коју је хакер из треће земље хаковао да би покренуо тај напад? Шта ако је кинески хакер покренуо напад са иранског компјутера усмереног на Сједињене Државе? Када узвратимо страној земљи на агресиван начин, ми Сједињене Државе смо у својој сопственој политици изјавили да је то чин рата који оправдава традиционални кинетички војни одговор.
Отварамо врата људима који лансирају пројектиле и бацају бомбе тако што извлачимо човека из ланца одлучивања како бисмо одлучили како да одговоримо на ове претње. И то је нешто што видимо да се све више дешава на традиционална средства како наше методе ратовања постају све аутоматизованије и роботизованије, као што је ратовање дроном. И ово је линија коју ми као друштво, не само у Сједињеним Државама већ и широм света, никада не смемо да пређемо. Никада не би требало да дозволимо компјутерима да доносе инхерентно владине одлуке у смислу примене војне силе, чак и ако се то дешава на интернету.
Бамфорд: А Ричард Кларк је рекао да нам је важније да се бранимо од напада из Кине него да нападамо Кину користећи сајбер алате. Да ли се слажете са тим?
Сноуден: У потпуности се слажем са тим. Концепт је да нема много вредности за нас да нападамо кинеске системе. Можда ћемо неколико рачунара искључити. Можда ћемо фабрику искључити. Можемо украсти тајне из универзитетских истраживачких програма, па чак и нешто високотехнолошко. Али колико више Сједињене Државе троше на истраживање и развој него Кина? Одбранити се од напада заснованих на Интернету, напада изазваних интернетом, много је, много важније од наше способности да извршимо нападе на сличне мете у страним земљама, јер када је у питању интернет, када је у питању наша техничка економија, имамо изгубити више него било која друга нација на земљи.
Бамфорд: Мислим да сте ово раније рекли, али у прошлости су САД заправо користиле сајбер рат за напад на ствари као што су болнице и сличне ствари у Кини?
Сноуден: Дакле, то нису могућности сајбер ратовања. Они су ЦНЕ, експлоатација рачунарске мреже.
Бамфорд: Да, ако можете то мало објаснити.
Сноуден: Нећу да улазим у то пред камером. Али оно што су приче показале и оно што можете да кажете је да су кинески универзитети – не само кинески, заправо – загребите то – да је Агенција за националну безбедност експлоатисала интернет размене, добављаче интернет услуга, укључујући и Белгију – случај Белгаком – преко својих савезника у ГЦХК и Уједињеног Краљевства. Напали су универзитете, болнице, тачке за размену интернета, провајдере интернет услуга — критичну инфраструктуру на коју се сви ми широм света ослањамо.
И важно је запамтити када почнете да радите ствари попут напада на болнице, када почнете да радите ствари попут напада на универзитете, када почнете да нападате ствари као што су тачке за размену интернета, када нешто крене наопако, људи могу да умру. Ако је инфраструктура болнице погођена, опрема за спасавање се искључује. Када интернет размена тачка пређе ван мреже и гласовне преко ИП позива са уобичајеним начином комуникације—мреже мобилних телефона данас се крећу преко интернет комуникационих тачака—људи не могу да позову хитну. Зграде изгоре. Све зато што смо хтели да шпијунирамо некога.
Зато морамо бити веома пажљиви око тога где повлачимо црту и шта је апсолутно неопходно и пропорционално претњи са којом се суочавамо у било ком тренутку. Мислим да не постоји ништа, било каква претња тамо данас на коју било ко може да укаже, што оправдава стављање читаве популације под масовни надзор. Мислим да не постоји претња са којом се суочавамо од неког терористе у Јемену који каже да треба да хакујемо болницу у Хонг Конгу или Берлину или Рио де Жанеиру.
Бамфорд: Знам да смо овде на временском ограничењу, али има ли питања која немам—
Продуцент: Хајдемо овде да направимо паузу од два минута.
Бамфорд: Једна од најзанимљивијих ствари у вези са Стукнет нападом је да је председнику — и председнику Бушу и председнику Обами — речено да не брините, ово нико неће открити. Неће бити повратне адресе за ово. И број два, неће побећи из области на коју га ионако фокусирају, центрифуга. И једни и други су се показали погрешнима, а вирус је побегао, откривен је, а затим је пронађен у Сједињеним Државама. Дакле, да ли је ово једна од великих опасности, чињеница да је председнику речено су ове ствари, председник нема способност да испита свако техничко питање, а онда нам те ствари могу узвратити у лице?
Сноуден: Проблем је што је интернет најсложенији систем који су људи икада измислили. И са сваком операцијом омогућеном на интернету коју смо до сада видели, свим овим офанзивним операцијама, видимо ефекте. Видимо нежељене последице. Видимо појавно понашање, где када ставимо мали зли вирус у велики базен свих наших приватних живота, свих наших приватних система широм интернета, он има тенденцију да побегне и нападне нас Јурски парк. И до сада, нисмо нашли начин да то спречимо. А с обзиром на сложеност ових система, врло је вероватно да никада нећемо.
Оно што треба да урадимо је да створимо нове међународне стандарде понашања – не само националне законе, јер је ово глобални проблем. Не можемо то поправити само у Сједињеним Државама, јер постоје друге земље које не поштују америчке законе. Морамо да створимо међународне стандарде који кажу да такве ствари треба да се дешавају само када је то апсолутно неопходно и да одговор који је операција скројен да буде прецизно уздржан и пропорционалан претњи са којом се суочава. И то је нешто што данас немамо и зато видимо ове проблеме.
Бамфорд: Други проблем је, још у време хладног рата – и већина људи је упозната са тим – када је постојао прилично ограничен број земаља које су могле да развију нуклеарно оружје. У основи је било неколико земаља које су могле да имају стручност, да одвоје време, пронађу плутонијум, саставе нуклеарно оружје. Данас је свет потпуно другачији и можете имати малу земљу попут Фиџија са способношћу да води сајбер рат. Дакле, није ограничен као у оно време на само неколико земаља. Да ли видите да је то велики проблем са целом идејом да се уђе у сајбер рат, где толико земаља има способност да води сајбер рат, а САД су технолошки најрањивија земља?
Сноуден: Да у праву си. Проблем је што се више ослањамо на ове техничке системе. Више се ослањамо на критичну инфраструктуру интернета него било која друга нација. А када постоји тако ниска препрека за улазак у домен сајбер-напада – сајбер ратовање јер они воле да говоре о претњи – ми почињемо борбу у којој не можемо да победимо.
Сваки пут када изађемо на бојно поље, а поље битке је интернет, није важно да ли ћемо сто пута пуцати у своје противнике и сваки пут погодити. Све док су нас једном погодили, ми смо изгубили, јер се много више ослањамо на те системе. И због тога, морамо се више фокусирати на стварање сигурнијег, поузданијег, робуснијег и поузданијег интернета, а не оног који је слабији, а не оног који се ослања на овај системски модел искоришћавања сваке рањивости, сваке претње. . Сваки пут када нас неко на интернету погледа попреко, ми крећемо у напад на њих. То нам неће успети дугорочно, и морамо да предузмемо проблем ако желимо да успемо.
Бамфорд: Још једна ствар о којој јавност заправо нема појма, мислим у овом тренутку, јесте колико је организована цела ова сајбер команда и колико је агресивна. Људи не схватају да сада постоји сајбер армија, сајбер ваздухопловство, сајбер морнарица. И чињеница да су модели за неке од ових организација попут Сајбер морнарице ствари као што је да ћемо доминирати сајбер простором на исти начин на који доминирамо морем или на исти начин на који доминирамо копном и на исти начин на који доминирамо простором. Дакле, то је цела ова идеја стварања огромне војске само за сајбер ратовање, а затим коришћење целе ове идеје да ћемо доминирати сајбер простором, баш као што су морнарице од пре векова које доминирају морима.
Сноуден: Јел тако. Разлог зашто кажу да желе да доминирају сајбер простором је зато што је политички некоректно рећи да желите да доминирате интернетом. Опет, то је својеврсни покушај брендирања да им се добије подршка која им је потребна, јер ми јавност не желимо да овластимо интернет да постане бојно поље. Морамо да учинимо све што можемо као друштво да то остане неутрална зона, да то буде економска зона која може одражавати наше вредности, како политички, тако и друштвени и економски. Интернет треба да буде сила слободе. Интернет не би требало да буде оруђе за рат. А за нас, Сједињене Државе, шампионе слободе, да финансирамо и охрабрујемо субверзију оруђа за добро да буде оруђе које се користи за деструктивне циљеве је, мислим, супротно принципима нас као друштва.
Бамфорд: Имао си питање, Сцотт?
Продуцент: Заиста је било само питање о (нечујним) рањивостима које превазилазе оперативне системе за које знамо, (нечујно) и чувају те рањивости, да се тај парадокс протеже на критичну инфраструктуру као и...
Сноуден: Дозволите ми да мало слободно говорим о томе, а онда можете да снимите део питања кад год желите. Нешто што морамо да запамтимо је да је све у вези са интернетом међусобно повезано. Сви наши системи нису нам заједнички само због мрежних веза између њих, већ због софтверских пакета, због хардверских уређаја који их чине. Исти рутер који је распоређен у Сједињеним Државама је распоређен у Кини. Исти софтверски пакет који контролише бране у Сједињеним Државама је исти као и у Русији. Исти болнички софтвер постоји у Сирији и Сједињеним Државама.
Дакле, ако промовишемо развој експлоатације, рањивости, несигурности у овој критичној инфраструктури, а не поправљамо је када је пронађемо – када пронађемо критичне недостатке, уместо тога стављамо је на полицу како бисмо је могли користити следећи пут када желимо да кренемо у напад на неку страну државу. Излажемо се ризику, и то ће довести до тачке у којој ће следећи пут када се електрана поквари, следећи пут када пукне брана, следећи пут када се светла угасе у болници, то бити у Америци , не у иностранству.
Бамфорд: У том смислу, једна од ствари на које се фокусирамо у програму је потенцијални обим сајбер ратовања. И приказујемо брану, на пример, у Русији, где је испод тога била велика електрана. Ово је био објекат који је био три пута већи од Хуверове бране и експлодирао је. Једна од турбина, која је била тешка као два Боинга 747, експлодирала је 50 стопа у ваздух, а затим се срушила и убила 75 људи. И то је било све због онога што се првобитно сматрало сајбер-нападом, али се испоставило да је то погрешан комад сајбера који је послат да се ово догоди. Било је случајно.
Али поента је у томе шта се може десити ако неко жели да то намерно уради, а не мислим да је то оно о чему многи људи у САД имају концепт, да ова врста ратовања може бити толико опсежна. И ако бисте могли да ми дате неке идеје у том смислу колико ово може бити разорно, не само у прекиду електричне мреже, већ и у рушењу целе бране или целе електране.
Сноуден: Тако да не желим да се упуштам у посао набрајања листе ужасних ужаса, јер не желим да навијам о претњи. Рекао сам све ове ствари о опасностима и шта може поћи наопако, и у праву сте да постоје озбиљни ризици. Али у исто време, важно је разумети да ово није егзистенцијална претња. Нико неће притиснути тастер на својој тастатури и срушити владу. Нико неће притиснути тастер на својој тастатури и избрисати нацију са лица земље.
Суочавали смо се са претњама криминалних група, терориста, шпијуна током наше историје и ограничили смо наше одговоре. Нисмо прибегли тоталном рату сваки пут када имамо сукоб широм света, јер нас та суздржаност дефинише. Та уздржаност је оно што нам даје морални статус да водимо свет. А ако кренемо, тамо постоје сајбер претње, ово је опасан свет, и морамо да будемо безбедни, морамо да будемо безбедни без обзира на цену, изгубили смо тај положај.
Морамо бити у стању да одбацимо несразмерне и неоправдане одговоре у сајбер домену, баш као што то радимо у физичком домену. Одбацујемо технике попут мучења без обзира да ли су ефикасне или неефикасне јер су варварске и штетне у широком обиму. Иста је ствар са сајбер ратовањем. Никада не би требало да нападамо болнице. Никада не би требало да рушимо електране осим ако је то апсолутно неопходно да бисмо осигурали наш наставак постојања као слободног народа.
Бамфорд: То је у реду са мном. Ако постоји нешто што мислите да нисмо покрили или желите да ставите тамо?
Сноуден: Размишљао сам о две ствари. Једна је—ја сам се доста бавио политиком овде, и много тога је било луцкасто, па бих могао да покушам још нешто о томе. Други сам говорио о ВФКС ствари за облак, како се сајбер-напади дешавају.
Продуцент: Тако да желим само неку врсту нацрта где желите да идете да бисмо били сигурни да ћемо то добити.
Бамфорд: Да, какво питање желиш да поставим.
Сноуден: Не морате нужно ни да постављате питање. Било би само-
Продуцент: (нечујно).
Сноуден: Да. То би био само сегмент. Рекао бих да се људи питају како се дешава сајбер напад. Људи питају како изгледа експлоатација на интернету и како сазнати одакле долази. Већина људи данас је свесна шта су ИП адресе и знају да не би требало да шаљете е-пошту са рачунара који је повезан са вама ако не желите да се она прати до вас. Не желите да хакујете електрану из своје куће ако не желите да прате траг назад и виде вашу ИП адресу.
Али постоје и они који се називају прокси сервери, прокси сервери на интернету, и то је врло типично за хакере. Они стварају такозване прокси ланце где добијају приступ великом броју различитих система широм света, понекад хаковањем ових, и користе их као неку врсту релејних кутија. Дакле, имате покретача напада чак овде на другој страни планете у великој кугли интернета, само огромну констелацију мрежних веза свуда около. И онда имате њихову предвиђену жртву овде.
Али уместо да иде директно од њих ка жртви једним правим путем где ова жртва види зачетника, нападача, особу која им је послала експлоатацију, која је напала њихов систем, видећете да раде нешто где цик-цак Интернет. Они иду од проксија до проксија, од земље до земље широм света, и користе тај последњи прокси, тај последњи корак у ланцу, да покрену напад.
Дакле, иако је напад могао да дође из Мисурија, истражитељ који реагује на напад ће мислити да је дошао из Централноафричке Републике или из Судана или из Јемена или из Немачке. И једини начин да се то прати је да се сваки од тих система хакује назад кроз ланац или да се користе технике масовног надзора да бисте у основи имали шпијуна на свакој од тих карика тако да можете пратити тунел све до куће.
Што више размишљам о томе, више мислим да би то било превише компликовано да...
Продуцент: Не, само сам гледао твоје руке. То је само попуњавање празнина.
Бамфорд: Не, и ја сам био. То ће бити у реду.
Продуцент: И то је добра поента како можете да аутоматизујете одговоре и како...
Бамфорд: Да, можемо само да уђемо и увучемо те цик-цак.
Сноуден: Јел тако. Мислим, да, начин на који ја то видим је нешто као звезде, као сазвежђе тачака. И имате путеве различитих боја између њих. И онда само истакнете зачетника и жртву. И не морају да буду на ивици. Могли би чак бити негде у центру облака. И онда имате неку врсту зелене линије која иде право између њих, и постаје црвена када се хакује, али онда видите да је мала полицијска агенција прати назад. И онда тако ставите Кс на њега и замените га зеленом цик-цак линијом, а онда она постане црвена када нападне, да би је назвали путањом.
Бамфорд: Од Мисурија до Централноафричке Републике.
Сноуден: Да.
Продуцент: Да ли постоје неке друге визуализације које можете замислити да их можда видите као слику за разлику од (више разговора; нечујно).
Сноуден: Мислим да би једна од добрих ствари – а можете то да урадите прилично јефтино, чак и готово смешно, попут цртаног филма, и скоро као Фласх анимација, попут исечака на папиру – била да помогнете људима да визуелизују проблем са САД дају предност нападу у односу на одбрану само ако погледате – а ја ћу вам дати глас.
Када погледате проблем да САД дају предност нападу у односу на одбрану, замислите да имате два трезора банке, трезор у банци Сједињених Држава и Банку Кине. Али трезор америчке банке је потпуно пун. Иде све до неба. А трезор кинеске банке или трезор руске банке у трезору афричке банке или ко год да је противник дана, њихов је пун само до пола, пун четвртине или десетине.
Али САД желе да уђу у њихов банковни трезор. Дакле, оно што раде је да граде бацкдоор у сваки банкарски трезор на свету. Али проблем је што њихов трезор, трезор америчке банке, има иста задња врата. Дакле, док се ми шуњамо у Кину и вадимо ствари из њиховог трезора, они се такође шуњају у Сједињене Државе и ваде ствари из нашег трезора. А проблем је у томе што нам је трезор пун, имамо још много тога да изгубимо. Дакле, у релативном смислу, добијамо много мање од провале у трезоре других него од тога што други проваљују у наше трезоре. Зато нам је много важније да можемо да се бранимо од страних напада него да можемо да покренемо успешне нападе на стране противнике.
Знате, само нешто симболично и брзо што људи могу одмах да визуализују.
Продуцент: Друга ствар коју бих желео да вам кажем, јер морамо да нађемо некога да то уради, је како се прави сајбер оружје? Шта је малвер? Шта је то?
Сноуден: Када људи говоре о малверу, оно што заправо мисле је—када људи говоре о малверу, шта они—
Када људи говоре о сајбер оружју, дигиталном оружју, оно што заправо мисле је злонамерни програм који се користи у војне сврхе. Сајбер оружје би могло бити нешто тако једноставно као стари вирус из 1995. који је још увек ефикасан ако га користите у ту сврху.
Дигитално оружје развијено по мери, сајбер оружје данас обично повезује низ експлоата нултог дана који су усмерени на одређену локацију, специфичну мету коју желе да погоде. Али, овај ниво софистицираности зависи од буџета и квалитета глумца који подстиче напад. Ако је то земља која је мање сиромашна или мање софистицирана, то ће бити мање софистициран напад.
Али основни алати за сајбер напад су да идентификују рањивост у систему којој желите да приступите или коју желите да подметнете или желите да порекнете, уништите или деградирате, а затим да је искористите, што значи да пошаљете кодове, испоручити код том систему на неки начин, било да је локално у физичком домену или на истој мрежи или удаљено преко интернета, преко глобалне мреже, и доведи тај код до те рањивости, до те пукотине у њиховом зиду, заглави га у тамо, а затим нека се изврши.
Корисни терет тада може бити радња, инструкције које желите да извршите на том систему, што би обично, у сврху шпијунаже, остављало имплант иза себе да слуша шта они раде, али исто тако лако може бити нешто попут випер вируса који само брише све са машина и искључује их. Заиста, све се своди на било које инструкције којих се сетите, а које бисте желели да извршите на том удаљеном систему.
Бамфорд: У том смислу, постоји једна област која се заиста може визуализовати, мислим много боље, а то су рањивости. Како сам то рекао неколико пута, али можда би било добро ако размислите о томе да гледате у трезор банке, а онда постоје ове мале пукотине, и то омогућава некоме да уђе у трезор банке. Дакле, оно што САД раде је каталогизирање свих тих малих пукотина умјесто да кажу банци како да исправи те пукотине. Проблем је што други људи могу пронаћи те исте пукотине.
Сноуден: Други људи могу да виде исте пукотине, да.
Бамфорд: И узмите новац од банке, у ком случају су САД учиниле медвеђу услугу клијентима банке, а то је јавност, тиме што банци уопште нису рекли за пукотине.
Сноуден: Да, то је савршено. И други начин да се то уради није само пукотине у зидовима, већ могу бити и други начини уласка. Можете да покажете типа како вири преко зида, можете видети типа како пролази тунелом испод, можете видети типа како пролази кроз улазна врата. Све су то, у сајбер терминима, рањивости, јер није да морате тражити једну рупу одређеног типа. То је цела парадигма. Гледате целокупну њихову безбедносну ситуацију и тражите било какав отвор којим бисте могли да поткопате намеру тог система. А ти само иди одатле. Постоји читав свет експлоатације, али то превазилази дубину опште публике.
Продуцент: Можемо их једноставно ставити све (више разговора; нечујно).
Бамфорд: Било које друге?
Сноуден: Једна ствар, да. Било је неколико ствари о којима сам желео да размишљам. Један је био човек у средини, врста напада коју треба да илуструјете. То је рутинско хаковање, али је повезано са ЦНЕ конкретно, експлоатацијом рачунарске мреже. Али мислим да мешање у сајбер рат помаже људима да схвате шта је то.
Напад човека у средини је када неко попут НСА, неко ко има приступ медијуму за пренос који користите за комуникацију, заправо поткопа вашу комуникацију. Они га пресрећу, читају и прослеђују, или га пресрећу, модификују и прослеђују даље.
Можете да замислите ово док ставите писмо у своје поштанско сандуче да га поштански превозник преузме и достави, али не знате да га је поштански превозник заправо однео особи коју желите док не потврди да се то догодило. Поштански превозник је могао да га замени другим писмом. Могли су да га отворе. Да је био поклон, могли су да изнесу поклон, такве ствари.
Временом смо створили глобалне стандарде понашања који подразумевају да поштари то не раде. Плаше се казни. Боје се да их не ухвате. И ми као друштво схватамо да вредност поседовања поузданих средстава комуникације, поуздане поште, далеко надмашује сваку корист коју бисмо могли да добијемо од могућности да слободно мењамо пошту. Потребни су нам ти исти стандарди да бисмо се применили на интернет. Морамо да будемо у могућности да верујемо да када шаљемо наше е-поруке преко Веризона, да Веризон не дели са НСА, да их Веризон не дели са ФБИ или немачком обавештајном службом или француским обавештајним службама или руским обавештајним службама или кинеским обавештајним службама.
Интернет мора бити заштићен од ове врсте наметљивог надзора или ћемо у супротном медиј на који се сви ослањамо за основу наше економије и нашег нормалног живота – данас сви додирују интернет – то ћемо изгубити, а он ће имати широк ефекте као последицу које не можемо предвидети.
Продуцент: Сјајно. Мислим да би требало да наставимо и радимо као интерактивна апликација Едварда Сноудена.
Сноуден: Мој адвокат би ме убио.
Продуцент: Не, ти си стварно—(нечујно) држао часове.
Сноуден: Да, предавао сам. Било је то на много конкретнијем нивоу, због чега стално морам да се враћам и размишљам о томе.
Продуцент: Ви сте врло јасан говорник о томе.
Сноуден: Дозволите ми да још једном урадим оно о нападу, одбрани и безбедности. Мислим да ви момци већ имате довољно да га закрпите, али дозволите ми да покушам слободно да га искористим.
Заједница техничких стручњака који заиста управљају интернетом, који су изградили интернет и одржавају га, постаје све забринутија за активности агенција попут НСА или сајбер команде, јер оно што видимо је да одбрана постаје мање приоритет од напада. . Постоје програми о којима смо читали у штампи током прошле године, као што је НСА која плаћа РСА 10 милиона долара за коришћење стандардног несигурног шифровања у својим производима. То нас чини рањивијим не само на њушкање наших домаћих агенција, већ и на стране агенције.
Видели смо још један програм под називом Буллрун који је подметнуо – који подмеће – он наставља да подрива сличне стандарде шифровања који се користе за већину е-трговине широм света. Не можете отићи у своју банку и веровати тој комуникацији ако су ти стандарди ослабљени, ако су ти стандарди рањиви. А ово резултира парадигмом у којој ове агенције имају огромну моћ над интернетом по цену да остатак своје нације учине невероватно рањивим на исту врсту експлоататорских напада, на исту врсту механизама сајбер-напада.
А то значи да иако можемо имати стварну предност када је у питању прислушкивање војске у Сирији или трговинских преговора у односу на цену шкампа у Индонезији — што је заправо права анегдота — или чак праћење конференције о климатским променама, то значи да то резултира . То значи да на крају живимо у Америци у којој више немамо Агенцију за националну безбедност. Имамо националну агенцију за надзор. И док не реформишемо наше законе и док не поправимо ексцесе ових старих политика које смо наследили у ери после 9. септембра, нећемо моћи да вратимо безбедност у НСА.
Бамфорд: То је сјајно. Управо у том смислу, из онога што знате о пројекту Буллрун и тако даље, колико мислите да су безбедне ствари као што су АЕС, ДЕС, те ствари, напредни стандард шифровања?
Сноуден: Не желим да одговарам на то пред камером, а одговор је да заправо не знам. Али да, оставимо то.
Бамфорд: Мислим, то би била идеја да се то ослаби.
Сноуден: Јел тако. Идеја би била да се то ослаби, али који стандарди? Као да ли је то АЕС? Да ли су то они други? ДЕС је заправо био јачи него што смо мислили да је у то време јер је НСА тајно манипулисала стандардом да би га учинила јачим у то време, што је било чудно, али то показује разлику у размишљању између 80-их и 90-их. То су биле С-кутије. Тако се то звало. С-кутије су биле модификације. А данас, где иду, о, ово је прејако, хајде да га ослабимо. НСА је заправо била забринута још у време крипто-ратова за побољшање америчке безбедности. Данас видимо да им је приоритет слабљење наше безбедности, само да би имали веће шансе да нас држе на оку.
Бамфорд: Добро, па, мислим да је то савршено. Па зашто једноставно не урадимо...
Продуцент: Желите кафу? Нешто за пиће?
Бамфорд: Да, можемо добити нешто од послуге у собу, ако желите.
Сноуден: Ја заправо пијем само воду. То је била једна од најсмешнијих ствари на почетку. Мајк Хејден, бивши директор НСА ЦИА, био је — одржао је неку врсту запаљивог говора —
Бамфорд: Ох, знам шта ћеш рећи, да.
Сноуден: — као црква у Вашингтону, и Бартон Гелман је био тамо. Био је један од новинара. Било је смешно јер је причао како сам ја — сви у Русији су јадни. Русија је ужасно место. И завршићу јадно и бићу пијаница и никада нећу ништа да урадим. Ја не пијем. Никада у животу нисам био пијан. А о Русији говоре као да је најгоре место на свету. Русија је велика.
Бамфорд: Као што је Стаљин и даље главни.
Сноуден: Да, знам. То је лудо.
Бамфорд: Али знате на шта је мислио, мислим. Знате на шта се он враћао - и био бих радознао да ли сте заиста чули за ово или не -
Сноуден: Филби и Берџес и—
Бамфорд: Мартин и Мичел.
Сноуден: Заправо се не сећам добро случаја Мартин и Мичел. Свестан сам обриса тога.
Бамфорд: Али знаш шта су урадили?
Сноуден: Не.
ЗНетворк се финансира искључиво захваљујући великодушности својих читалаца.
поклонити