Расширенный поиск

Проблемы создания технических средств контроля за соблюдением разрабатываемых норм международного права для киберпространства

Международный договор о запрете кибервойн

Существует разные определения для понятия «кибервойна». Часто это понятие связывают исключительно с сетью Интернет [1]: «компьютерное противостояние в пространстве Интернета» [2]. Более общее понимание распространяет это понятие на все компьютерные сети [3]. Нет и однозначного определения понятия «кибероружие».

Однако российские и американские специалисты в процессе работы над двусторонним проектом [4] пришли к общему пониманию целого ряда терминов [5]. В частности, было дано определение киберконфликта: «напряженная ситуация между и\или среди государств и/или политически организованных групп, при которой враждебные (нежелательные) кибератаки, провоцируют (приводят) к ответным действиям», а под кибервойной понимается: «высшая степень киберконфликта между или среди государств, во время которой государства предпринимают кибератаки против киберинфраструктур противника, как часть военной кампании». Еще более общее понимание киберугроз дается понятием «злонамеренного использования информационных и коммуникационных технологий (ИКТ)», которое включает в себя и киберпреступность, и кибертерроризм, а применительно к военным действиям позволяет рассматривать ИТК как «неявное оружие» [6].

Одновременно с развитием понятийного аппарата и осознанием возможных последствий кибератак рассматривался вопрос о регулировании отношений в киберпространстве, как в национальном, так и в международном масштабе. Научное сообщество выступило за необходимость такого регулирования [7], а ряд политологов высказывали противоположное мнение о международных договорах в «Дискуссионном клубе» U.S. News World Report [8]. Однако в последнее время мнение о том, что «международный договор о запрете кибервойн — это единственный способ совладать с угрозой» [9], становится все более актуальным. Можно также согласиться с автором следующей цитаты, что хотя «полное запрещение кибервооружений — это, конечно, хорошая цель, но почти наверняка недостижимая. Более вероятны такие договоры, которые обяжут стороны воздерживаться от применения оружия первыми, запретят кибероружие «широкого спектра действия», а также обяжут иметь лишь такие вооружения, которые самоуничтожаются по окончании боевых действий. Договоры, ограничивающие тактику и задающие пределы для накопления вооружений, могли бы стать следующей фазой соглашений» [9]. Представляется, что в качестве первого реального шага в этом направлении должно быть не руководство [10] по ведению кибервойн, а адаптация современного международного права к сложившимся реалиям [6], которая может быть в дальнейшем развита в отдельную отрасль права. Вопрос только в том, существуют ли технические возможности — киберсредства, позволяющие адекватно понимать происходящее в киберпространстве для применения соответствующих правовых норм.

Задачи адаптации международного права Jus ad Bellum

Международное право предусматривает возникновение права на оборону, применение государством вооруженных сил для отражения агрессии или угрозы миру, при этом предполагается, что возникающий или ожидаемый ущерб должен быть не незначителен [6, 11]. Однако как распознать угрозу миру или агрессию в киберпространстве и оценить величину ущерба, как определить реальный источник угрозы? Можно выделить три основные проблемы.

Во-первых, хотя подобная задача оценки угроз и возможного ущерба рассматривается методами анализа рисков информационной безопасности, но эти результаты имеют больше методологическое, а не практическое значение. Несмотря на публикации о большом количестве компьютерных атак [12] и существование различных методик выявления угроз и оценки возможных потерь [13], все это, по мнению многих экспертов, в большой степени лишь «торговля страхом». «Методов оценки вероятности существует больше пяти. Методов оценки ущерба — больше трех десятков. Методик оценки рисков вообще под полсотни. А результат все равно никого не устраивает» [14]. Это связано с тем, что реальных киберинцидентов со сколь-нибудь значительным ущербом относительно немного, а применительно к рассматриваемой тематике обычно вспоминают только Stuxnet [15] или DDOS-атаку на информационную систему эстонского правительства в 2007 г. На самом деле, вместо реальной оценки вероятности той или иной атаки мы можем располагать только экспертными оценками и это также справедливо в отношении ожидаемого ущерба.

Вторая проблема связана с выявлением истинной причины возникшего ущерба. Дело в том, что любое программное обеспечение (ПО) содержит ошибки, последствия которых могут быть катастрофическими. Именно поэтому в технологии создания программного обеспечения наряду с информационной безопасностью (security) рассматриваются задачи надежности, устойчивости и техники безопасности (safety). Примеров реальных катастроф с большим числом человеческих жертв или с огромными экономическими потерями из-за ошибок ПО достаточно и причинами были именно ошибки проектирования или создания программного кода, а не кибероружие или программные закладки. Все это требует тщательного изучения программного кода при анализе инцидентов, а при отсутствии исходного кода ПО, предназначенного для чтения человеком, эта задача может быть чрезвычайно сложной и сравнимой по трудоемкости с созданием аналогичного ПО.

И наконец, в-третьих, необходимо выявить источник угрозы\агрессии. В упомянутых выше кибератаках виновность США и Израиля в создании кода Stuxnet так и не была доказана, а истинным виновником эстонской атаки оказалась не Россия [16]. Иногда возможно обнаружить источник сетевых DDOS-атак, которые в сети идут постоянно [17] и на сегодняшний день не считаются серьезной угрозой. Как правило, это действия хакерских групп, а не кибервойск государства. А для целенаправленных атак все значительно сложнее. Дело в том, что все существующие системы «обнаружения вторжений» на самом деле обнаруживают только признаки действий, похожих на вторжение или изменения в системе, а анализ зарегистрированных действий, изменений в системе и машинного кода осуществляется специалистами. Более того, когда внедрение было обнаружено значительное время спустя, то никаких регистрационных данных уже не остается и для определения источника необходимо изучить машинный код внедренных программ, а создатели таких программ автографов, как правило, не оставляют.

Вместе с тем для адаптации существующих норм международного права необходима «атрибуция фактов противоправного применения силы и вооруженного нападения на основе злонамеренного использования ИКТ» [6] причем такая, что должны быть:

  • «доверие к показаниям средств технической фиксации нарушений норм международных договоров со стороны участников спора;
  • мониторинг всех событий, составляющих юридические факты, порождающие право индивидуальной или коллективной самообороны;
  • объективность информации технических средств мониторинга и возможность их представления в качестве средства доказательства в Международном Суде при рассмотрении соответствующих споров» [6].

Как видно из описанных выше проблем, связанных с распознаванием угрозы (агрессии), определением ее причины и источника, обеспечить атрибуцию фактов противоправного применения силы и вооруженного нападения на основе злонамеренного использования ИКТ только техническими средствами не удастся. Необходимо будет проведение расследования по каждому такому инциденту и фиксация полученных доказательств. Именно в этом смысле можно «создать единую систему (возможно на базе соответствующих национальных и региональных систем) регистрации фактов угрозы силой или ее применения, а также «вооруженного нападения» посредством злонамеренного использования ИКТ» [6]. Однако, кроме мероприятий по организации таких расследований уполномоченными специалистами, необходимо предусмотреть единые требования к программному обеспечению, которое будет исследоваться:

  • программное обеспечение должно быть официально установлено (приобретено);
  • программное обеспечение должно быть подписано надежным сертификатом разработчика;
  • разработчик должен хранить (или передать) исходные коды установленного ПО для последующего анализа;
  • все изменения программного обеспечения (доработки, модификации, исправления ошибок) должны быть подписаны, а их исходный код сохранен.

Подобные требования к ПО можно рассматривать как сертификацию программного обеспечения, которое должно быть в тех узлах информационной инфраструктуры, которые могут быть подвержены агрессии и их необходимо защищать в том числе и в рамках международного права.

Задачи адаптации международного права Jus in Bello

Право вооруженных конфликтов — исторически сложившаяся правовая система международного права, регулирующая поведение воюющих сторон в период вооруженных конфликтов. С точки зрения рассматриваемой проблемы адаптации норм права к применению в киберпространстве важно отметить, что «основная часть положений, закрепленных в источниках международного гуманитарного права, либо инвариантна к виду оружия, используемого в процессе военных действий, либо ориентирована на ограничение использования конкретных видов вооружения» [6]. Рассматривая перво-очередные задачи адаптации международного гуманитарного права, приведенные в [6], можно выделить следующие задачи, требующие создания соответствующих технических решений, обеспечивающих:

  • особый порядок цифровой идентификации информационных систем и телекоммуникационных сетей, защищаемых международным гуманитарным правом;
  • ведение реестров и архивов, предусмотренных нормами международного гуманитарного права;
  • запрет военного злонамеренного использования ИКТ против лиц и объектов, охраняемых нормами международного гуманитарного права, а также критически важных объектов глобальной, региональных и национальных инфраструктур, разрушение которых может привести к неоправданным человеческим жертвам, а также существенным негативным экологическим последствиям;
  • сохранение нейтралитета государств, не участвующих в военных действиях;
  • запрет некоторых видов злонамеренного использования ИКТ;
  • особую систему сертификации программных и технических продуктов по требованиям противостояния злонамеренному использованию ИКТ.

Рассмотрим некоторые технические и организационные решения, которые можно предложить для решения этих задач.

1. Введение доменной зоны и создание реестров Web-ресурсов, защищаемых международным гуманитарным правом.

Очень часто говоря о кибератаках имеют в виду атаки на Интернет-сайты всемирной паутины — World Wide Web (WWW). Сегодня многие специалисты считают защиту Web-ресурсов основным трендом информационной безопасности. Для того, чтобы легко опознать Web-ресурсы реестров и архивов, лиц и объектов, охраняемых нормами международного гуманитарного права, можно ввести отдельную доменную зону. Отдельно можно рассматривать Web-ресурсы критически важных объектов глобальной, региональных и национальных инфраструктур, разрушение которых может привести к неоправданным человеческим жертвам, а также существенным негативным экологическим последствиям.

Способ 1

Для разных типов объектов можно ввести разные доменные зоны. Для создания этих доменных зон надо обратиться в ICANN и возложить на него (или орган под юрисдикцией ООН) функцию ведения реестра организаций, обратившихся за регистрацией в этих доменах. Такие специализированные доменные зоны сегодня существуют, например:

«Старые» домены верхнего уровня общего пользования:

  • AERO — домен для авиационной отрасли;
  • EDU — домен для образовательных учреждений США;
  • MUSEUM — для музеев;

«Новые» — после открытия сводной регистрации доменов верхнего уровня:

  • MED — домен для медицины (люди и организации); MEDICAL — то же;
  • HOSPITAL — для госпиталей и другие.

Регистрация в этом реестре имени из этой доменной зоны должна проводиться только при предоставлении организациями документов, подтверждающих их статус организаций, защищаемых международным гуманитарным правом. При этом получение нового доменного имени в этой зоне не отменяет старого доменного имени, так как один сайт может иметь несколько доменных имен.

Способ 2

Для опознавания доменных имен организаций, защищаемых международным гуманитарным правом, можно ввести дополнительные записи в базы данных DNS.

Тип Расшифровка Код Описание Употребимость RFC
A Address 1 Соответствие между именем и IP-адресом одна из самых часто используемых записей RFC 1035
NS Authoritative name server 2 Адрес сервера доменной зоны DNS RFC 1035
CNAME Canonical name 5 Алиасы одноуровневая переадресация широко используется RFC 1035
SOA Start of authority 6 Указание на авторитетность DNS RFC 1035
PTR Domain name pointer 12 Механизм переадресации широко используется для IP-адресов RFC 1035
MX Mail Exchanger 15 Почтового шлюза для домена Важна для SMTP RFC 1035
TXT Text string 16 Запись произвольных данных DNS-туннели RFC 1035
AAAA для IPv6 28 Адрес в формате IPv6 эквивалента А для IPV4 RFC 3596
LOC Location information 29 Географическое местоположение ? RFC 1876
SRV Server selection 33 Указание на сервера для сервисов Jabber, Active Directory RFC 2782

 

В частности, запись TXT позволяет добавлять произвольные данные в описание домена, запись LOC может быть использована при определении нейтральных сторон, а запись SRV описывает наличие конкретного сервиса (например, сервиса опознавания, о чем подробнее будет сказано ниже). Внесение записей для опознавания в базы данных DNS может проводиться соответствующими регистраторами без участия ICANN, но только при предоставлении организациями документов, подтверждающих их статус организаций, защищаемых международным гуманитарным правом.

Способ 3

Внесение в корневой каталог каждого сайта файла со специальным именем (имя и структура файла могут быть описаны в соответствующем RFC), содержащим информацию о статусе организации, защищаемой международным гуманитарным правом. Хотя это способ наиболее простой, однако в этом случае затруднена проверка подтверждения статуса организаций, защищаемых международным гуманитарным правом. Было бы правильнее сочетать этот способ с описанными выше способами 1 или 2.

2. Создание реестров IP-адресов узлов сети Интернет, защищаемых международным гуманитарным правом

Определить по IP-адресу доменное имя (а следовательно, и «опознать» его) можно также по базе данных DNS (запись PTR), однако в общем случае IP могут не иметь соответствующих им доменных имен. Например, к сети Интернет могут быть подключены в качестве узлов сети международных гуманитарных организаций, сервера и сети медицинских учреждений, сети критически важных объектов глобальной, региональных и национальных инфраструктур, разрушение которых может привести к неоправданным человеческим жертвам, а также существенным негативным экологическим последствиям.

Все IP-адреса узлов таких организаций можно вносить в реестр организаций, защищаемых международным гуманитарным правом. Создание реестров можно возложить на регистраторов IP-адресов (или другой орган под юрисдикцией ООН). Регистрация в этом реестре IP-адресов должна проводиться только при предоставлении организациями документов, подтверждающих их статус организаций, защищаемых международным гуманитарным правом.

Информацию о принадлежности IP-адреса к реестру организаций, защищаемых международным гуманитарным правом, можно предоставлять через сервис whois (RFC 3912), используя доступ к публичным серверам баз данных (БД) регистраторов IP-адресов. К сожалению, информация о реальных владельцах IP-адресов может быть неточной, так как адреса выделяются, как правило, Интернет-провайдерам, информация о переданных ими в пользование IP-адресах может быть недоступна.

3. Введение стандарта опроса IP-адресов узлов сети Интернет, защищаемых международным гуманитарным правом

Для опознавания узлов сети Интернет, защищаемых международным гуманитарным правом, можно разработать протокол опроса на принадлежность к реестру IP-адресов организаций, защищаемых международным гуманитарным правом. В простейшем случае для реализации этого опроса можно использовать протокол пользовательских датаграмм (UDP, RFC 768) и зарезервировать фиксированный номер порта. Используя UDP, компьютерные приложения могут посылать сообщение-запрос (датаграмму) другим узлам сети Интернет по IP-адресу с указанием зарезервированного номера порта, а защищаемый узел должен возвращать номер (возможно, подписанный электронной подписью-сертификатом соответствующего доверительного центра-регистратора) регистрации в реестре IP-адресов организаций, защищаемых международным гуманитарным правом, или игнорировать этот запрос.

Важно отметить, что предлагаемый подход может быть единственно работоспособным в случае нарушения целостности сети (отсутствии доступа к DNS, сервисам whois или другим реестрам) в результате возникшего конфликта.

4. Обеспечение сохранения нейтралитета государств, не участвующих в военных действиях

Для опознавания Web-ресурсов государств, не участвующих в военных действиях, достаточно использовать национальный домен страны, запись LOC в базе данных DNS или сервис whois (RFC 3912), использующий доступ к публичным серверам баз данных (БД) регистраторов IP-адресов и регистраторов доменных имен и предоставляющий информацию о владельце доменного имени или IP-адреса.

К сожалению, информация в этих БД может быть не полной или не соответствовать действительности, так как регистраторы доменных имен не осуществляют проверку информации, предоставляемой владельцами доменных имен, информация же об IP-адресах в этом случае может быть более достоверной (но не всегда полной), так как национальные (местные, региональные) провайдеры со своим пулом адресов, как правило, остаются на территории своего государства.

Следует иметь в виду, что приведенные выше примеры возможной технической реализации способов адаптации международного гуманитарного права применительно к киберпространству далеко не исчерпывают список возможных технических решений. Более того, они ориентированы прежде всего на существующий сегодня вариант сети Интернет, основанный на протоколы IPv4, а с широким внедрением более развитого протокола IPv6 появятся новые возможности технических реализаций рассмотренных выше задач.

Задачи организационно-правового обеспечения технических средств

Как уже отмечалось выше, для реализации предлагаемых способов опознавания, защиты от вероломства (фальсификации статуса организаций, защищаемых международным гуманитарным правом) и проведения расследования инцидентов необходимо соответствующее организационное и правовое обеспечение.

1. Единая система сертификации информационных систем и телекоммуникационных сетей, защищаемых международным гуманитарным правом

Для проведения расследования инцидентов необходимо ввести систему сертификации информационных систем и телекоммуникационных сетей, защищаемых международным гуманитарным правом, предусматривающую:

  • наличие минимально необходимого набора средств информационной безопасности;
  • ведение средств регистрации информации, достаточной для анализа инцидентов;
  • использование официально приобретенного сертифицированного ПО.

 

Сертифицированное ПО должно удовлетворять следующим условиям:

  • программное обеспечение должно быть подписано надежным сертификатом разработчика;
  • разработчик должен хранить (или передать) исходные коды установленного ПО для последующего анализа;
  • все изменения программного обеспечения (доработки, модификации, исправления ошибок) должны быть подписаны, а их исходный код сохранен.

Организационное и техническое обеспечение проведения расследований инцидентов

Должен быть создан международный орган (под юрисдикцией ООН) для проведения проверок информации, предоставляемой в реестре, проведения расследования инцидентов злонамеренного использования ИТК и расследования случаев появления средств ИТК (программных\аппаратных), имеющих назначение злонамеренного использования (кибероружие).

Орган должен иметь высокий экспертный статус, опираться на соответствующее оснащение для проведения проверок и расследований и хранения и предоставления доступа к их результатам.

2. Стандартизация технических требований

Для реализации большинства перечисленных выше технических решений необходимо дополнить или разработать новые документы RFC (Request for Comments) и обеспечить их введение в общее пользование. Например, уже сейчас можно значительно сократить опасность DOS и DDOS атак, обязав провайдеров фильтровать не только входящий трафик (защита ресурсов от DOS-атак), но и исходящий (обезвреживание источников DOS-атак) трафик в соответствии с RFC2267 и RFC-2827.

В заключение хотелось бы отметить, что приведенный выше и далеко неполный, список технических и организационных мер описывает предложения, которые обладают не только разной сложностью реализации и требуют разных по величине издержек, но и эффективность их может существенно меняться в зависимости от стадий, остроты и глобальности киберконфликтов.

Литература

1. Український центр політичного менеджменту — Зміст публікації — Конвенция о запрещении использования кибервойны. http://www.politik.org.ua/vid/publcontent.php3?y=7&p=57

2. Кибервойна. http://ru.wikipedia.org/

3. Clarke, Richard A. Cyber War, HarperCollins (2010)

4. Двусторонний проект: Основы критически важной терминологии. К.Ф.Раушер, В.Ященко. МГУ им. М.В.Ломоносова 2013. http://iisi.msu.ru/articles/article31/

5. The Russia – U.S. Bilateral on Cybersecurity – Critical Terminology Foundations, Issue 2

6. Стрельцов А.А. «Основные направления прогрессивного развития международного права вооруженных конфликтов» МГУ им. М.В.Ломоносова 2014. http://iisi.msu.ru/articles/

7. «В поисках кибермира». Международный союз электросвязи и Всемирная федерация ученых. Geneva 2011. (Перевод на русский В.Бритков, В.Цигичко и др.)

8. «Дискуссоный клуб» U.S. News & World Report. http://www.3dnews.ru/632012/

9. «An International Cyberwar Treaty Is the Only Way to Stem the Threat» by Bruce Schneier, Security Technologist and Author June, 2012 http://www.usnews.com/debate-club/should-there-be-an-international-treaty-on-cyberwarfare/an-international-cyberwar-treaty-is-the-only-way-to-stem-the-threat

10.The Tallinn Manual on the International Law Applicable to Cyber Warfare. General editor Michael N. Schmitt. Camb- bridge University Press 2013. http://issuu.com/nato_ccd_coe/docs/tallinnmanual?e=5903855/1802381

11. Cyber-Weapons, Thomas Rid, Peter McBurney. The RUSI Journal volume 157, Issue 1, pp 6-13, 2012.

12. ЛК: “45% киберугроз в 2013 году исходило от России и США”, 16 декабря, 2013. http://www.securitylab.ru/news/448558.php

13. “Анализ инструментальных средств оценки рисков утечки информации в компьютерной сети предприятия”. С. Лопарев, А. Шелупанов. «Вопросы защиты информации», No 4, 2003.

14. “Как считать риски?” А.В.Лукацкий. http://lukatsky.blogspot. ru/2012/04/blog-post_18.html

15. W32.Stuxnet Dossier. Nicolas Falliere, LoamO Murchu, Eric Chien. Symatiec Security Response. Version 1.4 (February 2011)/

16. Б. Шнайер: “тинейджеры и переговоры — наше спасение от кибервойны” (Intel Live 2011 Лондон) 01.12.2011 http://www.xakep.ru/57907/

 

Материал подготовлен на основе доклада, представленного на Девятой научной конференции Международного исследовательского консорциума информационной безопасности в рамках международного форума «Партнерство государства, бизнеса и гражданского общества при обеспечении международной информационной безопасности», 21-24 апреля 2014 года г.Гармиш-Партенкирхен, Германия.

Об авторе

Павел Пилюгин

Институт проблем информационной безопасности, МГУ имени М.В.Ломоносова.

Написать ответ

Send this to a friend

Перейти к верхней панели