Ваш телефон час від часу просить себе оновити, а ви ігноруєте його запит, натискаючи «пізніше». Якщо чесно, довгий час чинив так само. Оновлення завжди приходить у непідходящу мить, забираючи місце та іноді псуючи звичний вигляд застосунків. І найгірше – ніколи не пояснюється, навіщо воно взагалі потрібне. Донедавна ігнорування оновлення програмного забезпечення (ПЗ) коштувало небагато. Тепер таке ігнорування починає коштувати дорого, й у цьому матеріалі спробую пояснити – чому.

Річ у тім, що оновлення ПЗ – це не просто поліпшення дизайну. У значній більшості випадків це ліквідація цифрової вразливості, яку виробник щойно знайшов у власній програмі. І коли він випускає це оновлення, він одночасно повідомляє всьому світові, де саме та вразливість була. Давайте поясню простіше. Уявіть, що ЖЕК вивішує на під'їзді оголошення про заміну замків на чорному ході. Мешканці під’їзду, які поміняли замок, тепер у безпеці. Мешканці підїзду, які не поміняли, тепер живуть із ризиком, що будь-якої миті до них у парадне (а потенційно і в квартиру) проникне злодій. Так влаштована вся цифрова безпека. Небезпека живе не в самій програмі, яку ви використовуєте, а в проміжку між моментом, коли її закрили для тих, хто оновився, і моментом, коли ви нарешті натиснули згоду. І ризик для вас триває рівно стільки, скільки часу ви не оновили застосунок.

Ще недавно проміжок між оновленнями вимірювався місяцями, і причина була суто людською. Знайти вразливість у програмі нескладно. Цим давно займаються автоматичні системи, які цілодобово перебирають мільйони варіантів і знаходять тисячі несправностей щороку. Але знайдена вразливість сама по собі не є зламом. Якщо описати образно, то це своєрідна тріщина у стіні будинку, крізь яку злочинець ще не проліз. Щоби тріщина перетворилася на пограбування, потрібна людина зовсім іншої кваліфікації. Вона мусить розширити отвір, не обваливши стіну, обійти сигналізацію, знайти в темряві потрібні двері й дістатися до сейфа. Мова йде про справжніх хакерів, яких, будьмо об’єктивними, донедавна було не багато у світі – лиш кілька тисяч. Вони вчаться роками, працюють у дуже вузькому колі й коштують дорого. Ось цей дефіцит хакерів і був справжнім захистом усього цифрового світу. Не шифрування, не паролі, не фаєрволи, а звичайна нестача рук. Оскільки вразливостей було багато, а тих, хто вміє ними скористатися, мало, тому й більшість вразливостей так і залишалися теоретичними. Цей захист ніхто не проєктував і не оплачував. Він просто був, і саме тому ми звикли його не помічати. Але за останній рік ситуація різко помінялася.

Що зробили дослідники з цифрових вразливостей і що з цього вийшло?

У травні цього року вийшла робота, яку зробили в Каліфорнійському університеті в Берклі, в Інституті Макса Планка та ще в трьох університетах разом із компаніями Anthropic, OpenAI і Google. Вони вивчали лиш одне питання: чи вміє сучасний штучний інтелект самостійно пройти шлях від знайденої вразливості до кібератаки. Для перевірки зібрали майже дев'ятсот справжніх несправностей у програмах, якими користується весь світ. Серед них були браузер Chrome та серцевина операційної системи, на якій працює більшість серверів планети. Кожній машині показували одну вразливість і давали завдання дістати з цифрового гаджету документ, до якого вона не мала жодного права доступу. Найсильніша з перевірених систем упоралася зі ста п'ятдесятьма сімома гаджетами або менше ніж із двадцятьма відсотками. То це багато чи мало? Для того, щоб це зрозуміти, потрібно проаналізувати друге число. Повний контроль над чужою системою машина здобула двісті двадцять шість разів. Різницю відняли з формальних міркувань, бо дослідники зараховували успіх лише тоді, коли машина пролізла саме в ту вразливість, яку їй показали. А вона регулярно робила інакше. Подивившись на задану вразливість, вона вирішувала, що ця незручна й шукала інший варіант взяття контролю над цифровим гаджетом. Кілька разів вона знаходила слабкі місця, про які взагалі ніхто не знав.

Для наукової чистоти правильне число – сто п'ятдесят сім. Для господаря пограбованого будинку правильне число – двісті двадцять шість. Бо йому байдуже, крізь яке саме вікно чи двері до нього зайшли. І оця різниця означає щось значно неприємніше за самі підсумки. Машина вже не просто виконує вказівку, а здатна самостйіно ефективно шукати вразливості та здійснювати повноцінні атаки.

Чому експерти вважають це поворотним моментом?

Написати цей матеріал мене спонукав один із протоколів того дослідження. Машині показали вразливість, яка в звичайній збірці браузера навіть не виглядає як вразливість. Програма просто показує нешкідливе повідомлення про помилку, і жоден користувач ніколи б нічого не запідозрив. За сімдесят одну хвилину машина перетворила це нешкідливе повідомлення на повний контроль над чужим комп'ютером. По дорозі вона спробувала зрізати кут і взяти документ навпростець, отримала відмову й повернулася до довгого шляху. Уся робота вартувала п'ятнадцять доларів. Фактично це була плата за електрику.

Тиждень роботи живого спеціаліста такої кваліфікації коштує кілька тисяч, якщо ви взагалі знайдете вільного. І проблема тут зовсім не в тому, що машина розумніша за людину, бо вона поки що помітно дурніша. Проблема в тому, що вона дешевша в сотні разів, ніколи не втомлюється і запускається одночасно тисячею однакових копій. Пограбування, яке раніше берегли для одного багатого будинку, тепер можна пустити суцільною атакою по цілому кварталу. Дослідники, до речі, обмежили кожну спробу двома годинами, а потім окремо продовжили до шести. Успіхи весь цей час продовжували накопичуватися, і крива жодного разу не сповільнилася. Тобто опубліковані числа показують не межу можливостей машини, а межу дослідницького бюджету.

Що кожному з нас варто зробити вже цього тижня?

Особисто вас ніхто не ламатиме способом, описаним вище, бо такий інструмент витрачають на банк, на оператора зв'язку чи на державний реєстр, а не на людину. Проти вас працюють дешевші інструменти соціальної інженерії. Наприклад, лист від банку без жодної помилки в мові, повідомлення зі справжніми подробицями вашого життя, зібраними з відкритих джерел за десять хвилин, голос вашої доньки в слухавці з десяти секунд її відео. Обидва рівні тримаються на одному й тому самому, тобто на тому, чи оперативно ви оновлюєте ПЗ, що стоїть у ваших пристроях.

Кожна з майже дев'ятисот дірок, які машини зламували в тому дослідженні, мала готове виправлення від виробника. Ці системи вдалося зламати виключно тому, що хтось вчасно не поставив оновлення. Проміжок між виявленням вразливості та усуненням його за рахунок оновлення, який раніше тривав тижні, тепер вимірюється годинами. І саме тому далі запропоную звичайний перелік дій, які потрібно оперативно зробити кожному з нас. Тож увімкніть автоматичне оновлення на телефоні та комп'ютері й не відкладайте перезавантаження, бо частина оновлень застосовується тільки після нього. Браузер оновлюється так само, тобто його треба іноді повністю закривати, а не тримати відкритим місяцями. Це проста дія, яка допоможе підвищити ваш щоденний захист.

Порахуйте вік своїх пристроїв. Захисні механізми сучасних систем дозволили уникнути приблизно три чверті атак. Але такі захисні можливості існують лише на нових версіях гаджетів. Телефон, який більше не отримує оновлень від виробника, перебуває рівно в тому стані, який дослідники створювали штучно, коли вимикали захист для чистоти експерименту. Такий апарат ще годиться для дзвінків і фотографій, але банківський застосунок і робоче листування на ньому тримати не варто. Те саме стосується комп'ютера з операційною системою, яку виробник уже зняв із підтримки.

Перегляньте, що у вас узагалі встановлено. Кожен застосунок і кожне розширення браузера – це окремі «двері» у ваш цифровий гаджет, а слідкує за їхнім «доступом» стороння людина, про яку ви нічого не знаєте. Половину з них ви відкривали один раз три роки тому. Видаліть усе, чим не користуєтеся, і не встановлюйте нічого поза офіційними магазинами.

Обов’язково змініть спосіб входу у важливі сервіси. Підтвердження через застосунок або фізичний ключ значно надійніше за текстове повідомлення, перехоплення яких стало буденною справою. Якщо сервіс пропонує вхід за відбитком чи обличчям без пароля взагалі, погоджуйтеся без вагань, бо такий вхід неможливо виманити підробленим листом у принципі.

Якщо ви цього ще не зробили, то заведіть менеджер паролів і зробіть пароль унікальним для кожного сайту. Найпоширеніший сценарій втрати доступу не має жодного стосунку до складності пароля. Він полягає в тому, що ваш старий пароль витік з іншого сайту три роки тому, і його просто підставили до вашої пошти.

Зробіть резервну копію найважливішого. Для приватної особи головна масова загроза – це не витончений злам, а звичайний шифрувальник або втрачений телефон, і копія знімає обидві проблеми одним рухом.

Не забудьте про роутер і про розумні пристрої в квартирі. Це найзанедбаніша частина домашньої техніки, бо роутер купують один раз і більше ніколи не відкривають, а стандартний заводський пароль на ньому лишається роками.

І нарешті домовтеся вдома про контрольне слово, яке ви маєте сказати у випадку важливого дзвінка. Наприклад, про терміновий переказ коштів. Проти голосу, зібраного з короткого відео, поки що не вигадали нічого кращого. Альтернативою є та, що будь-яка термінова розмова про гроші перевіряється зворотним дзвінком на відомий вам номер.

Для тих, хто дотичний до оборони, журналістики чи публічної політики, до цього переліку додається ще одне. Проти вас витрачають дорогі інструменти, тому робоче й особисте не повинні перетинатися на одному апараті, а телефон має право на режим підвищеної безпеки, який сьогодні є в кожній сучасній системі.

Помилки в програмах були й будуть завжди, бо велика програма без жодного дефекту існує лише в теорії. І світовий захист усі ці роки тримався не на досконалості коду, а на тому, що людей, здатних тими дефектами скористатися, катастрофічно бракувало. Саме ця нестача зникає просто зараз, причому зникає без чийогось злого наміру, – як побічний наслідок інструментів, створених для програмістів. Двадцять відсотків успіху заспокоюють рівно доти, доки не подивишся, з якого нуля вони починалися і за який короткий час дійшли сюди. Сьогоднішня незграбність машини не є жодною гарантією на завтра. Ми вже одного разу будували плани на припущенні, що дешева технологія залишиться іграшкою для ентузіастів, і та іграшка називалася дрон.

Через це кібербезпека перестає бути окремим ремеслом для вузького кола людей і стає такою самою побутовою навичкою, як звичка замикати двері на два оберти ключа. Держава може закупити скільки завгодно захисного обладнання, але жодна закупівля не поставить оновлення на ваш телефон замість вас. Бо єдине, що кожен із нас справді контролює, це той проміжок між випуском оновлення і хвилиною, коли ви нарешті натиснули згоду на оновлення програмного забезпечення.

Віктор Таран, експерт з оборонних та військово-технічних інновацій, спеціалізується на безпілотниках та кібербезпеці

Ілюстрація: Pixabay

* Точка зору автора може не збігатися з позицією агентства