Кібербезпека

Чеклист живучості

Спершу весь чеклист — бо саме його має пройти дизайн-рев’ю до того, як архітектура застигне, і бо майже кожен рядок дешевий на першому пристрої й обертається доробкою в полі на тисячному. Він пронумерований, щоб на рядок можна було послатися: «ми не проходимо 3.3» — це задача, тоді як «історія з оновленнями якась слабка» — це настрій. Групи йдуть за системою крізь її життя: рішення про те, що захищати, сам пристрій, кожне завантаження й кожне оновлення, кожна залежність і кожна збірка, і роки, які система служить.

1. 1.Модель загроз

   1. 1.1Її пишуть до дизайну, і її результат — обмеження, яким дизайн має відповідати, а не знахідки, підняті після нього.
   2. 1.2Вона називає активи — цей ключовий матеріал, цю історію переміщень, цю ідентичність оператора, цю здатність віддавати команди, — а не просто «систему».
   3. 1.3Вона називає супротивників за тим, що вони можуть: використати слабкі місця, знайдені іншими, знайти нові чи закласти власні у ваш ланцюг постачання.
   4. 1.4Вона письмово каже, від чого НЕ захищаються, і називає людину, яка має право прийняти цей ризик.
   5. 1.5Дизайн-рев’ю письмово фіксує, для чого система і для чого її не можна використовувати.

2. 2.Кожен пристрій

   1. 2.1Кожен пристрій має власну ідентичність — видану на виробництві, обмежену тим, що йому дозволено, і відкликувану з парку за хвилини без дотику до інших пристроїв.
   2. 2.2Ключі живуть в апаратному модулі, що не віддає їх назовні, — захищеному елементі чи TPMTPMTrusted Platform Module — чип безпеки на платіСтандартний чип безпеки на платі компʼютера, що тримає ключі, які не віддає назовні, фіксує, що саме пристрій завантажив, і може видати секрет лише в цьому виміряному стані. Він підвищує ціну видобування ключа із захопленого пристрою, але не робить його неможливим для когось із лабораторією й часом.Усі терміни, — і ніколи у файлі чи в образі прошивки.
   3. 2.3Дані у спокої зашифровані, а ключ зберігається окремо від них; на борту лише робочий набір, а історія йде з першим же звʼязком.
   4. 2.4Продакшн-образ виходить із закритими портами налагодження, паролями за замовчуванням і сервісними акаунтами, і тест на образі, що справді виходить, це доводить.
   5. 2.5Кожен канал — команди, телеметрія й відео однаково — зашифрований і автентифікований з першої версії.

3. 3.Кожне завантаження й кожне оновлення

   1. 3.1Ланцюг завантаження перевіряється від апаратного кореня довіри, тож замінена прошивка дає пристрій, що відмовляється працювати.
   2. 3.2Оновлення підписане, а підпис перевіряє завантажувач — ніколи не застосунок, який воно ось-ось замінить.
   3. 3.3Пристрій відмовляє в пониженні версії, тож ніхто не встановить торішню підписану збірку з торішньою діркою.
   4. 3.4Новий образ пишуть поруч із робочим, і якщо він не стартує справно, пристрій автоматично повертається до попереднього.
   5. 3.5Викочування поетапне, і жоден окремий обліковий запис, сервер чи людина не можуть доставити код або команди на весь парк одразу.

4. 4.Кожна залежність і кожна збірка

   1. 4.1Кожна залежність має власника, записане джерело й причину існувати; додати її — рішення, а не натискання клавіші.
   2. 4.2Залежності зафіксовані й віддзеркалені, і жодна збірка нічого не тягне з публічного реєстру.
   3. 4.3Кожна збірка створює SBOMSBOMSoftware Bill of Materials — список того, що всерединіМашиночитний перелік усіх компонентів, з яких зібрано програму, включно із залежностями, що приходять через інші залежності. Він важить у день, коли оголошують вразливість: без нього на питання «чи це нас стосується?» відповідають здогадом.Усі терміни, тож «чи нас це зачіпає?» має відповідь за хвилини, а не за тиждень grep.
   4. 4.4Збірка відтворювана з репозиторію вихідного коду, а машини збірки експлуатують як продакшн.
   5. 4.5Ключі підпису лежать в HSMHSMHardware security module — захищене сховище ключівЗахищений від втручання пристрій, що зберігає криптографічні ключі й сам виконує підпис, тож ключем користуються, але його ніколи не видають назовні. Скомпрометований сервер збірки однаково може попросити його підписати, тому продакшн-підпис потребує ще й журналу та другої людини.Усі терміни, а не на ноутбуці чи у змінній CICI/CDContinuous Integration / Continuous Delivery — автоматична збірка й доставкаКожен коміт автоматично складається і проганяється через тести (CI), а придатна збірка так само автоматично їде на сервери (CD). Сенс не в автоматизації як такій, а в тому, що поломку видно за хвилини, а не в день релізу.Докладніше в статті →Усі терміни; підпис релізу потребує двох людей, і кожен підпис журналюється.
   6. 4.6Де фізично живуть вихідний код, збірки й ключі, перевіряють на відповідність експортному контролю, бо регіон репозиторію — це рішення про експорт.

5. 5.Кожен рік служби

   1. 5.1Алгоритми стоять за інтерфейсом, і їх можна замінити оновленням, бо двадцять років переживають припущення, за яких їх обирали.
   2. 5.2Події безпеки журналюються у формі, яку тихо не відредагує той, у чиїх руках пристрій, і йдуть із першим звʼязком.
   3. 5.3Є опублікований спосіб повідомити про вразливість і названа людина, чия робота — на це відповісти.
   4. 5.4Ключі ротують за графіком, а виведений з експлуатації пристрій стирають за задокументованою процедурою, а не силами того, хто випадково його списує.

Модель загроз пишуть першою — і вона називає те, що приймає

У більшості софту модель загроз є артефактом рев’ю: дизайн існує, хтось його проходить, зʼявляється список знахідок, і кілька з них виправляють перед релізом. Такий порядок працює, коли знахідки малі й придатні до випуску. Він повністю провалюється, коли знахідка означає, що архітектура хибна, — бо на той момент саме на архітектурі всі й стоять. Тут модель пишуть до дизайну, і її результатом є набір обмежень, яким дизайн має відповідати, — рядок 1.1.

Придатна модель відповідає письмово на чотири питання, і четверте зазвичай пропускають. Що ми захищаємо — не «систему», а конкретні активи: цей ключовий матеріал, цю історію переміщень, цю ідентичність оператора, цю здатність віддавати команди (рядок 1.2). Хто намагається, з якими ресурсами й з яким терпінням (1.3). Що кожен із них здобуває, якщо вдасться. І від чого ми НЕ захищаємося — сказано явно (1.4), бо модель, що заявляє захист від усього, не ухвалила жодного рішення й буде тихо покинута першого ж разу, коли стане незручною.

«Фінансований і терплячий» потребує шкали, інакше це лишається настроєм. Найчастіше в цій галузі вживають шкалу зі звіту Ради оборонної науки США 2013 року про стійкі військові системи. Вона ділить супротивників на шість рівнів за тим, що вони можуть робити з вразливостями, а не за тим, хто вони, — і саме це рядок 1.3 просить записати в модель загроз.

Звідси два висновки, і обидва дивують. Низ шкали — не формальність, яку відмічають дорогою до цікавих загроз: коли GAO у 2018 році переглянуло власні випробування систем озброєння Міноборони США, тестувальники заходили простими інструментами, через паролі за замовчуванням і незашифровані канали. А верх шкали — те місце, де рядок 1.4 виправдовує себе. Від супротивника, що може роками закладати слабке місце в постачальника, повністю не захищається ніхто. Модель, яка вдає, що захищається, не вирішила нічого; модель, яка це визнає, може принаймні вирішити, до чого дозволено дістати одній такій компрометації.

Ще одне питання належить до того самого документа, і саме його інженери найбільше хочуть передати комусь іншому. Дуже багато цього софту має подвійне призначення: той самий конвеєр детекції служить пошуково-рятувальним роботам, обліку тварин і моніторингу кордону. Це справжня властивість галузі — і водночас не дозвіл пропустити питання, для чого саме ця система. Рядок 1.5 ставить відповідь у дизайн-рев’ю, письмово, поруч із моделлю загроз: почасти тому, що призначення формує модель загроз, а почасти тому, що рішення, якого ніхто не записав, — це рішення, якого ніхто не ухвалював.

Припускайте, що пристрій опиниться в чужих руках

Саме це припущення відрізняє домен, і його варто формулювати як очікування, а не як катастрофу. Розгорнутий пристрій лишається без нагляду, іноді надовго, у місці, яке ви не контролюєте. Якась частка пристроїв не повернеться, а частину з них досліджуватиме хтось, у кого є час, інструменти й мотивація. Це не гіпотеза: у грудні 2011 року Іран показав по телебаченню майже неушкоджений американський розвідувальний дрон RQ-170, і уряд США попросив його повернути. Проєктувати під це — не песимізм, а різниця між утратою пристрою й утратою парку.

Третя гарантія на схемі вирішує розмір утрати, і це рішення архітектурне, а не криптографічне. Якщо кожен пристрій тримає той самий спільний секрет або облікові дані, що автентифікують його як загального учасника мережі, то один пристрій, досліджений без поспіху, дає доступ до всього. Якщо ж кожен пристрій має власну ідентичність, обмежену тим, що саме йому дозволено, а парк може її відкликати, та сама подія коштує вам одного пристрою. Це рядок 2.1, і схема нижче малює обидва наслідки поруч.

Ліва панель — не уявний експеримент. У 2016 році ботнет Mirai розрісся приблизно до 600 000 камер і роутерів, перебираючи список із близько шістдесяти заводських паролів, бо цілі продуктові лінійки виходили з тим самим паролем, — спільний секрет парку в найчистішому вигляді. Відтоді регулювання наздогнало найслабшу версію рядка 2.1: з квітня 2024 року Велика Британія заборонила універсальні паролі за замовчуванням на споживчих пристроях. Оборонній системі не має знадобитися закон, щоб дотягнути до планки, яку тепер тримають споживчі камери.

Ланцюг довіри — і шлях оновлення як ваша найкраща мішень

Кожен пристрій потребує способу отримувати новий код, і цей механізм варто прочитати прямо: це єдиний компонент із владою над усім парком. Хто його контролює, той контролює кожен пристрій одразу, не торкаючись жодного. Тому шлях оновлення — найпривабливіша ваша мішень, і саме тому існує група 3 чеклиста.

Захист починається при ввімкненні, з ланцюга довіри. Boot ROM — це код, закріплений у кремнії на виробництві, з хешем єдиного ключа, якому він довіряє; жодне оновлення не може його змінити, і саме тому йому можна довіряти. Він перевіряє підпис завантажувача до запуску, завантажувач перевіряє ядро, а ядро — застосунок. Замініть будь-яку ланку на щось непідписане — і пристрій відмовиться працювати, а не запустить заміну, — рядок 3.1. Той самий ланцюг вирішує, де перевіряють оновлення: у завантажувачі, нижче за застосунок, який замінюють, бо застосунку не можна доручити перевіряти власного наступника, — рядок 3.2.

Випадок Viasat варто читати повільно, бо в ньому нічого не підробили. 24 лютого 2022 року нападники зайшли в сегмент керування супутникової мережі через хибно налаштований VPNVPNVirtual private network — шифрований тунель у мережуШифрований тунель, що дає віддаленій машині приєднатися до приватної мережі так, ніби вона всередині. Пристрій на кінці тунелю — це двері до всього за ним, тож його налаштування таке ж чутливе, як будь-який пароль.Усі терміни-пристрій. Потім вони скористалися власною функцією керування мережі й надіслали команди десяткам тисяч модемів одночасно; вайпер переписав їхню флеш-памʼять, і модеми так і не повернулися. Кожна перевірка на кшталт «чи це справжня наша команда?» відповіла б «так». Допомагає рядок 3.5: жоден окремий обліковий запис, сервер чи людина не мають діставати до всього парку за один крок, щоб навіть справжній канал у чужих руках натрапив на етап, який не можна оминути.

Кожна залежність — рішення, у якого є власник

Фінансований супротивник шукає найдешевший вхід, і в добре збудованому продукті найдешевшим входом рідко є сам продукт. Це залежність, яку ніхто не переглядає; машина збірки, яку ніхто не зміцнював; ключ підпису, до якого дотягується забагато людей. Схема прикріплює задокументовану атаку до кожної ланки між комітом і пристроєм, і суть у закономірності: жодна з шести не зламала криптографію продукту.

Рядок 4.4 важить більше, ніж здається. І в SolarWinds, і в xz репозиторій вихідного коду був чистим: шкідливий код існував лише в тому, що давала збірка, або в архіві, з яким виходив реліз. Відтворювана збірка — така, де будь-хто може перезібрати артефакт із репозиторію й отримати ті самі байти, — перетворює «бінарник відповідає коду» з віри на перевірку, і це єдина перевірка на цій сторінці, що спіймала б будь-який із двох випадків до релізу.

Рядок 4.6 юридичний, а не технічний, і знати його варто до того, як берете роботу, а не після. Значна частина цього софту підпадає під експортний контроль, а це обмежує, хто може тримати вихідний код, де його можна збирати й кому можна казати, що він робить, — правило, яке дістає навіть до таких звичайних рішень, як регіон хмари, у якому живе репозиторій. Правило так само звʼязує ваших постачальників, як і вас. У 2017 році Австралійське управління радіотехнічної розвідки (ASD) описало зловмисника, що місяцями сидів усередині аерокосмічного субпідрядника на 50 людей і виніс близько 30 ГБ даних, зокрема матеріали під експортним контролем щодо F-35 і P-8 Poseidon. Сервіси, відкриті в інтернет, там досі мали паролі за замовчуванням: admin і guest.

Двадцять років служби

Десять–двадцять років служби тут норма, і це змінює рішення, які здаються усталеними. Кожна залежність переживе інтерес своїх мейнтейнерів до неї. Кожен алгоритм переживе припущення, за яких його обирали. А «потім перепишемо» стає обіцянкою, яку вам згадають. Група 5 чеклиста — те, що тримає систему захищеною на пʼятнадцятому році, коли в команді вже немає нікого з тих, хто її проєктував.

Найконкретніше це видно в криптографії. NIST опублікував перші постквантові стандарти — FIPS 203, 204 і 205 — у серпні 2024 року, а настанова NSA CNSA 2.0 просить системи національної безпеки віддавати перевагу квантовостійким підписам для ПЗ і прошивок до 2025 року й використовувати лише їх до 2030-го. Пристрій, випущений сьогодні з однією схемою підпису, закріпленою в Boot ROM, служитиме й після цієї дати. Відповідь — рядок 5.1: алгоритми за інтерфейсом, замінні оновленням, — з одним жорстким винятком, під який варто планувати: перевірку в самому ROM оновити не можна, тож вибір, зроблений там, має враховувати весь строк служби — наприклад, чип, що тримає кілька кореневих ключів і вміє відкликати один із них.

• Криптографія, яку можна замінити (5.1)

  Алгоритми за інтерфейсом і узгоджувані, а не зашиті, тож оновлення може перевести парк на новий. Усе, що вище за ROM, має бути замінним саме так.

• Логи, що переживають пристрій (5.2)

  Події, важливі для безпеки, вивантажуються за наявності звʼязку й дописуються локально у формі, яку не відредагує тихо той, у чиїх руках пристрій опиниться потім.

• Спосіб отримати погану новину (5.3)

  Опублікований контакт, політика для повідомлень ззовні й названа людина, що відповідає. Дослідники щось знаходять; питання лише в тому, чи можуть вони сказати вам, чи мусять сказати комусь іншому.

• Списання — це процедура (5.4)

  Пристрій, що виходить зі служби, досі тримає ключі й дані. Його стирання — задокументований крок із записом, а ідентичність відкликають у парку того ж дня, а не коли хтось помітить.

Вісім компрометацій — і рядок, що покриває кожну

Оборонні програми рідко публікують свої компрометації, тож більшість цих випадків цивільні, і сторінка каже це відкрито: механізми переносяться один в один. Два походять із самої оборонки — відеоканали Predator і перевірка випробувань систем озброєння від GAO, — а один ударив по військовому звʼязку в перший день війни. Кожен несе рядок чеклиста, що його покрив би.

Де це перетворюється на театр

Чесне обмеження — це верх шкали супротивників і людина, що вже всередині. Супротивник, який може роками закладати слабке місце у ваш ланцюг постачання, чи інсайдер із законними правами підпису пройде повз заходи, розраховані на всіх інших. Апаратний модуль, що не віддає ключ, підвищує ціну його видобування, але не робить її нескінченною для когось із лабораторією й часом. Жодне рішення того, хто будує, цих загроз не прибирає. Рішення на цій сторінці їх обмежують: ідентичність на пристрій обмежує те, що відкриває один видобутий ключ, поетапне викочування — те, куди дістає один поганий реліз, а логи, що переживають пристрій, роблять компрометацію чимось, що можна знайти згодом. Сторінка свідомо зупиняється тут. Як розгорнуту систему моніторять, латають і захищають день у день — це експлуатація, інша дисципліна з власною літературою.

• Модель загроз, що захищає від усього й нічого не приймає, — тож після першого дедлайну до неї ніхто не заглядає.
• Рев’ю безпеки, призначене після того, як архітектура застигла, де зі знахідками сперечаються, а не виправляють.
• «Фізично ізольована» в проєктному документі — і USB-флешка в наземній станції.
• SBOM, що генерується на кожній збірці й нікому не потрібен.
• «Зашифровано у спокої» — з ключем у тій самій флеш-памʼяті, що й дані.
• Підписані релізи, підписані ключем, що живе у змінній CI.
• Тест на проникнення перед першою поставкою — і більше жодного за двадцять років.
• Поетапне викочування, усі етапи якого стартують протягом однієї години.
• Скринька для повідомлень про вразливості, яку ніхто не читає, — тож дослідники повідомляють деінде.

Коли це застосовувати

Пов’язані сторінки

• DeftechКомпʼютерний зірКомпʼютерний зір — це практика перетворювати зображення з камери на детекції, за якими може діяти машина чи людина, і модель тут рідко є складною частиною. Складно тут тому, що він працює на пристрої з бюджетом живлення й без мережі, на зображеннях, не схожих на ті, на яких його навчали, і живить рішення, у якому за два типи помилок платять різні люди. Сторінка починається з дванадцяти польових збоїв — причини кожного й перевірки, що його ловить; далі — бюджет на пристрої, проблема даних, поріг як політика, що треба записувати, і сім задокументованих збоїв.
• DeftechДата-платформиДата-платформа — це стек, який збирає, зберігає й переміщує записи організації, а та, що збудована під надійну мережу, спершу надсилає, а зберігає як побічний ефект. Переверніть це припущення — і разом із ним перевернеться архітектура: вузол пише локально й завжди, а надсилання стає фоновою справою за нагоди, якої сьогодні може не бути. Сторінка починається з дванадцяти способів, якими відʼєднана платформа губить чи псує дані, — кожен із рішенням, що його відвертає; далі — черга за пріоритетом, приймальний бік, що очікує обриву, що несе кожен запис, доказ як результат роботи, двадцять років форматів і сім задокументованих випадків.
• DeftechПЗ для дронівПЗ для дронів — це польотний код безекіпажного апарата й наземне ПЗ, що ним командує, створені, щоб лишатися безпечними, коли зникне звʼязок, позиція чи заряд. Безекіпажний апарат — це розподілена система, у якій один вузол падає з неба, якщо пропустить дедлайн, і цей єдиний факт вирішує, який код де працює, що може блокуватися і чому дозволено падати. Сторінка починається з чеклиста готовності до польоту на двадцять пʼять рядків; далі — стек як ієрархія дедлайнів, драбина фейлсейфів як справжня специфікація, рішення про повернення як розрахунок енергії, автономність як список рішень, симуляція як тестове середовище і сім задокументованих аварій.