Никита Кузнецов объяснил как один поддельный ключ может поставить под угрозу всю систему

Безопасность цифровой инфраструктуры определяется не количеством установленных защитных программ, а тем, как внутри неё устроено доверие. IT-инженер Никита Кузнецов считает главным вопросом понимание того, кто может отдавать команды, подписывать обновления и менять правила работы системы.

Пароль пользователя можно заменить. Куда опаснее, когда одна система продолжает доверять другой после того, как её ключ или сертификат оказался скомпрометирован.

Такие связи существуют повсюду: сервис обращается к сервису, браузер проверяет сертификат сайта, платёжный шлюз взаимодействует с банком, а программа получает обновление от издателя.

«Антивирус ищут, когда уже страшно. Устройство мира видно раньше: кто кому верит и что будет, если эта вера окажется поддельной».

Машины не понимают, кто является «своим», в человеческом смысле. Они сверяют ключи, цифровые подписи и цепочки сертификации. При этом в конце цепочки находится корень доверия — объект, который система заранее считает надёжным.

Браузеры используют списки доверенных центров сертификации. Серверы проверяют подписи токенов, а системы обновлений — подписи пакетов и издателей. Платёжные решения применяют свои механизмы авторизации.

Если злоумышленник получает контроль над корнем, проблема выходит далеко за пределы одного аккаунта.

«Самый дорогой взлом — не тот, где украли базу. А тот, где вам начали верить поддельную подпись. После этого система честно открывает двери не тому».

Показательный пример — взлом DigiNotar в 2011 году. Злоумышленники получили возможность создавать сертификаты для чужих доменов. Поскольку голландский центр сертификации входил в число доверенных, созданные им сертификаты могли восприниматься браузерами как настоящие.

После инцидента корневые сертификаты DigiNotar пришлось исключить из доверенных хранилищ.

Сложность таких атак в том, что система может не обнаружить очевидного нарушения. Сертификат выглядит действительным, подпись проходит проверку, а команда выполняется в штатном режиме.

Ошибка заключается не в процедуре проверки. Она в том, что сама процедура опирается на поддельное основание.

Поэтому Кузнецов сравнивает цифровую подпись с правом говорить от имени системы. Если ключ потерян, другой человек или программа получает возможность выдавать собственные действия за официальные.

Доверие распространяется вместе с кодом

Уязвимость может попасть в инфраструктуру не через прямой взлом сервера, а через компонент, который организация сама установила. Современные продукты включают сторонние библиотеки, пакеты, контейнерные образы, внешние сервисы и инструменты автоматической сборки.

Каждая зависимость создаёт отдельную точку доверия.

«Вам сломали не сервер. Вам сломали деталь, которую вкрутили все. Поэтому расследование начинается с вопроса не “кто к нам вошёл”, а “кому мы сами открыли ворота по инструкции”».

В 2020 году вредоносный компонент SolarWinds распространялся вместе с легитимным обновлением. Организации не загружали файл с неизвестного сайта — они устанавливали обновление программы, которой доверяли.

В 2021 году уязвимость Log4j выявила проблему масштабного использования одной библиотеки. Многие компании не сразу приступили к исправлению, потому что сначала должны были определить, где именно она установлена.

История xz Utilities в 2024 году показала, как атакующий может использовать доверие внутри open-source-проекта. Попытка внедрения бэкдора развивалась постепенно и была связана с участием в процессе разработки. Потенциально опасный компонент мог распространяться через обычные обновления.

Все эти случаи различались по технике, но имели общий принцип: атакующие использовали легитимную цепочку поставки.

Поэтому компания должна уметь быстро ответить на несколько вопросов:

• из каких компонентов состоит её продукт;
• какие зависимости есть у используемых библиотек;
• из какого образа собираются контейнеры;
• где подписываются пакеты;
• какая версия работает в production;
• какие системы получат обновление.

«Если вы не можете за час сказать, из чего собран боевой контур, у вас нет безопасности поставки. У вас есть надежда, что чужая деталь сегодня добрая».

Система должна не только хранить данные

Безопасность — это не только конфиденциальность. Иногда для серьёзного ущерба злоумышленнику не нужно получать доступ к данным. Ему достаточно остановить работу сервиса.

Для магазина это может быть срыв продаж. Для банка — блокировка платежей. Для транспортной или логистической компании — потеря возможности управлять потоками и маршрутами.

«Сервис не обязательно красть. Иногда достаточно не дать ему включиться. Для клиента это уже смерть продукта. Для бизнеса — смена режима с работы на тушение».

DDoS-атаки превратились в организованный рынок. Для них используются ботнеты, арендованные мощности, вымогательство и политические мотивы.

В 2016 году атака на DNS-провайдера Dyn показала, как единый инфраструктурный узел может повлиять на множество внешне независимых сервисов. Для пользователей это выглядело как одновременный сбой разных сайтов.

NotPetya в 2017 году продемонстрировал, что кибератака может остановить не только компьютеры, но и реальные бизнес-процессы. У Maersk нарушение работы IT-систем затронуло международную логистику и потребовало масштабного восстановления.

Поэтому доступность должна рассматриваться как один из основных показателей безопасности.

«Когда контур не дышит, уже неважно, украли из него что-то или нет. Неработающая касса, стоящий рейс и молчащий реестр стоят дороже украденной таблицы».

Сети нужны не только для удобства

Единая внутренняя сеть упрощает работу в обычных условиях. Сервисы быстрее обмениваются данными, администраторам проще управлять ресурсами, а разработчики сталкиваются с меньшим количеством ограничений.

Но при атаке такая архитектура может помочь злоумышленнику перемещаться от одной системы к другой.

Взлом одного компьютера не должен автоматически открывать доступ к резервным копиям, почте, платёжным ключам, административным панелям и production-среде. Ограничить распространение атаки позволяет сегментация.

«Общая сеть экономит время в мирный день. В день удара она экономит злоумышленнику