Секрет успеха в современном мире выглядит как-то так:


То есть нужно придумать какой-нибудь хитрый план. И он придуман.



Вы только поглядите, это же песня - Hackers Could Crash Trains by Hacking Rail Traffic System. Божежтымойчтоделается! Хакеры пустят под откос наш поезд! Помогите люди добрые! Давайте срочно заплатим спецам по информационной безопасности много денег, чтобы они спасли нас от хакеров! Что тут можно сказать? Я, в недавнем прошлом разработчик систем управления движением поездов, даже чисто гипотетически не представляю себе сценарий, при котором хакеры могут, попивая сок у себя в квартале, отправить поезд под откос. Дистанционно парализовать работу определенной части поездной и маневровой работы еще как-то можно, например задержать движение поездов или помешать работе составителей, правда для этого должны сойтись воедино 100500 звезд условий и уязвимостей (т.е. это крайне малореально). И, кстати, для успешной реализации своих дерзких замыслов надо быть не специалистом в области уязвимостей ПО, а специалистом в предметной области (это только в кино хакеры разбираются во всем подряд - от микробиологии до ремонта пылесосов).

Если же мы хотим действительно устроить аварию, то я вам ответственно заявляю - это невозможно сделать никак иначе, кроме как путем прямого и, опять же правильного, воздействия на целый комплекс технических средств, доступ к которым возможен либо благодаря исключительной безалаберности охраны и персонала (а это явно не software problem), либо путем вооруженной диверсионной операции. И в последнем случае надо понимать, что охрана РЖД имеет достаточно средств (вплоть до пулеметов) и прав на их применение, чтобы помешать провести такую операцию силами страйкболистов, пейнтболистов, фанатов игры "Сталкер. Зов Припяти" и любых других самонадеянных дебилов из числа друзей эталонного британского хакера. А если вы не из их числа, если вы, к примеру, суровый британский отставник, отслуживший в 22-м полку SAS, имеющий награды за ликвидацию арабских террористов, и на последнем собрании бывших сослуживцев вы, выпив весь паб, решили прилететь в Россию в составе тургруппы и взять штурмом какую-нибудь станцию Московской дороги, чтобы устроить там аварию электрички "Москва-Узуново", то я могу вам напомнить об еще трех российских неприятностях. Во-первых, в нашей холодной большевистской стране принято в любой непонятной ситуации садиться в танк и ехать на разборки. Во-вторых, железная дорога в нашей стране является глубоко стратегическим объектом, поскольку лишь она одна в нашей большой стране с плохими дорогами способна обеспечить быстрое перемещение танков в те места, где ощущается явный их недостаток. В-третьих, ввиду вышесказанного вышло так, что практически повсюду возле железной дороги есть какие-нибудь военные части, в которых есть какие-нибудь танки. Я достаточно прозрачно намекаю?

Разумеется все, что я говорил выше, относится к России. Достоверно известно, что требования по безопасности железнодорожного движения и, самое главное, базовые принципы их реализации за рубежом чуть иные (во многом более мягкие), поэтому за рубежом конечно может быть и можно случайно пустить поезд под откос, неудачно обновив андроед на своем смартфончике. Но я что-то очень сильно в этом сомневаюсь.

Впрочем надо откровенно признать, что помимо станций и других охраняемых объектов, есть такая вещь, как пути, охрана которых на всем протяжении невозможна. Кроме того, по объективным причинам невозможен такой дистанционный контроль состояния путей, который позволил бы немедленно обнаружить любое вмешательство. Это правда невозможно. Проще говоря - всегда можно сделать на путях какую-нибудь гадость, которая приведет к самой настоящей аварии, однако это обстоятельство является в основном нетехническим и ни разу не софтверным.


Но специалисты по информационной безопасности продолжают гвоздить по нашим бедным головам. Вот например, как вам такое - Компания Schneider Electric поблагодарила победительницу хакерского конкурса PHDays. Не поленимся сходить по одной из ссылок в статье и понять суть вопроса. Там, в частности, сообщается, что госпожа Шевченко обнаружила уязвимости нулевого дня в Индусофте (оцените масштаб события! сам Индусофт взломали! ), а господа Максимов и Марков сумели вывести из строя модуль фирмы ICP DAS и подобрать пароль для веб-интерфейса контроллера фирмы Rockwell Automation (нет, вы все-таки оцените масштаб! ). Чтобы окончательно вас добить, я не поленюсь закопипастить бэкграунд этого события: "Конкурсантам предстояло обнаружить и проэксплуатировать уязвимости SCADA-систем и промышленных протоколов, чтобы захватить управление над роботом-манипулятором, грузовым краном, системами управления транспортом и городского энергообеспечения (в частности, уличного освещения). Кроме того, в макете была реализована возможность удаленного управления другими объектами — роботами, отдельными мощностями завода, железнодорожным переездом, градирнями." То есть было так - организаторы конкурса, насмотревшись "Крепкого орешка", решили, что пора стричь купоны с обывателя. Значит нужно собрать макет всего того, что киношные хакеры там взламывали, снабдить это разнообразной быдлоавтоматикой на базе предельно понтового ширпотреба (впрочем даже если бы они и хотели играть по-честному, то к нормальным решениям их бы все равно никто не подпустил, в первую очередь по причине нищеты), потом нужно реализовать какую-то мутную фигню из разряда "кроме того", обязательно чтобы с железнодорожным переездом, затем эффектно сломать все то, что своими кривыми ручками сделали, и все - можно обрабатывать клиента.

Представим себе, к примеру, Костромскую ГРЭС. Блокирование работы этого стратегического объекта (слова "государственная районная электростанция" как бы намекают его исключительную важность) является абсолютно недопустимым событием, в связи с чем принят ряд мер. В частности вышеупомянутый отставник 22-го полка SAS не сможет даже близко подойти к охранной зоне КГРЭС - и это даже без помощи Российской Армии. Что касается собственно технологического процесса, то здесь не только важность объекта, но и специфика работы, уровень мощностей и масштаб возможных последствий для персонала станции как бы сами по себе предполагают наличие совершенно экстремальных мер обеспечения надежности и живучести. Все ответственные системы управления разработаны и введены в строй довольно давно пряморукими советскими инженерами, и даже очень крутой хакер не сможет ни получить к ним доступ, ни, тем более, что-то там напортачить. В данном случае я знаю, о чем говорю и надеюсь, что за последние несколько лет там ничего не поменялось (похоже после аварии на Саяно-Шушенской ГЭС никто больше не будет строить системы подобного уровня на базе ширпотреб-автоматики). Однако всегда есть вероятность, что какой-нибудь молодой необразованный дурак по протекции высокопоставленного папаши займет пост IT-директора чего-нибудь в системе РАО ЕЭС, прочтет на Хабрахабре эту статейку и возопит - "какжетак, чтожеделать". Тут же найдется "высокопрофессиональный коллектив экспертов в области информационной безопасности", все проанализирует, внесет предложения, окажет услуги. Радует одно - все эти так называемые хакеры в силу отсутствия необходимых познаний не смогут понять принципы работы тамошнего оборудования и, как следствие, ничего не испортят.

И напоследок - Американский хакер рассказал, как перехватывал управление авиалайнером в воздухе. Это же просто праздник какой-то - Бывший специалист по IT-безопасности американской компании One World Labs Крис Робертс рассказал, что взламывал внутреннюю сеть самолёта, переписывал пароли системы безопасности авиалайнера и даже участвовал в управлении бортом. Прелестно, просто прелестно! Затем этот экзперд заявил, что "смог отдать команду одному из двигателей, что привело к набору скорости, а самолёт начал уходить в стороны, сбиваясь с маршрута". Если кто не понял - этот чувак находился в том самом самолете, которым и управлял (видимо он не только великий хакер, но и талантливый авиатор). А знаете, как он управлял бортовой сетью? Ему потребовались "всего лишь ноутбук, флешки, специальные провода для подключения и знания, которые он получил за много лет работы с системами безопасности". В данном случае просто перечислено все, что у него нашли при обыске. Если бы кроме ноутбука, флешек и "специальных проводов" у него нашли "таинственный серо-фиолетовый кубик", то и он был бы подшит к делу.

Я конечно в системах управления самолетами не разбираюсь, и даже поверхностными знаниями не обладаю, ибо этому не обучался и в этом не работал. Но уверен, что все вышенаписанное является бредом, поскольку в системах такого уровня уже сама их сложность является естественным препятствием для осмысленного несанкционированного вмешательства (неосмысленные вещи типа "проковырять дырку в иллюминаторе" мы не рассматриваем), не говоря о совершенно людоедских требованиях к надежности и живучести, которые автоматически ликвидируют столь простые сценарии вмешательства. Думаю, что профессионалы в этой области даже не стали читать эту заметку ввиду ее очевидной идиотичности. А ведь зря, скоро придется в этом даже поучаствовать - "чтобы подготовить обвинение против хакера, ФБР ещё предстоит преодолеть сопротивление конструкторов самолётов: последние, по понятным причинам, настаивают на абсолютной безопасности и защищённости всех электронных систем на борту самолёта". Мне это напомнило один анекдот - "Знаете, почему математики утверждают, что 2*2=4? Потому что это им выгодно!".

И вот вы зря смеетесь, оказывается "эксперты не раз заявляли, что опасаются возможности взлома системы управления самолётом через Wi-Fi". Интересно, что это за "эксперты" такие? А, вот же они - "ранее специалисты Счётной палаты США уже заявляли, что современные самолёты гражданской авиации стали очень уязвимыми для атак хакеров. Об этом говорится в докладе по результатам анализа работы Федерального управления гражданской авиации США." Вот так вот - бухгалтера делают выводы о защищенности систем самолета на основании анализа работы управления гражданской авиации. Это... Это просто...


Ну что, похоже процесс запущен на полную катушку. Эти люди найдут способ убедить несведущих, дело может дойти и до специально спланированных техногенных катастроф. Если уж корреспонденты Первого канала поджигают траву ради репортажа, то от хакеров можно ожидать чего угодно. Особенно когда кушать очень хочется, а в мире кризис и уже даже бабушки научились использовать антивирусные программы.

P.S.: Я бы хотел сразу оговориться, что проблемы информационной безопасности на ответственных объектах безусловно существуют. Просто лежат они в другой плоскости - никто ваш поезд с путей не уронит, и даже регулярно происходящие задержки в движении с хакерами не связаны (это просто неисправности), зато вот ваши личные данные в принципе могут быть похищены легко. Вы же сами их через интернет передаете при покупке билетов, верно? А что там дальше происходит - вот это действительно загадка, с которой разбираться не мне, я в этом ничего не понимаю. Вряд ли случится что-то страшное (могут, например, матерные СМСки присылать на мобилку), хотя какие-иностранные разведки возможно как-то этим пользуются - например для анализа перемещений каких-то лиц. Короче - оформляйте билеты на знакомого бомжа и спокойно ездите в поездах.