В современном цифровом мире защита личной информации и безопасность в Интернете имеют первостепенное значение. Хотя многие приложения для обмена сообщениями используют открытый код или сложное шифрование, в действительности абсолютная безопасность остается недостижимой, и ни один мессенджер не может ее гарантировать. Недавние события, такие как арест основателя Telegram Павла Дурова во Франции, ужесточили дискуссию о свободе слова и безопасности в цифровую эпоху. Дурову, известному своей твердой позицией относительно конфиденциальности и сопротивления правительственной слежке, выдвинули обвинения, которые могут привести к тюремному заключению. Эта ситуация поднимает неотложные вопросы о будущем безопасного обмена сообщениями, конфиденциальности и масштабах, в которых правительства могут контролировать цифровую коммуникацию.
Чтобы углубиться в эти вопросы, мы пообщались с Егором Альшевским, генеральным директором и основателем компании InTouch AG. Упорный бизнесмен и филантроп, Альшевский инвестировал значительные средства в создание полностью защищенной платформы для обмена сообщениями. Однако в ходе реализации проекта стало ясно, что проблемы оказались куда сложнее, чем предполагалось изначально, что сделало невозможным реализацию такой попытки.
Q:Егор, спасибо, что присоединились к нам сегодня. Давайте сразу погрузимся в суть вопроса: Возможно ли создать 100% безопасный мессенджер?
Егор Альшевский: Распространенной ошибкой является мнение, что при наличии достаточного количества технологий и приложенных усилий можно достичь абсолютной безопасности. Но действительно создать на 100% безопасный мессенджер невозможно. Хотя мы можем ввести сложное шифрование, строгие протоколы безопасности и постоянный мониторинг, уязвимые места будут всегда. Они могут появляться из разных источников – будь то недостатки программного обеспечения, аппаратные проблемы или даже постоянно эволюционирующая тактика киберпреступников. Ландшафт угроз постоянно меняется, как и наши средства защиты, однако следует признать, что не существует системы, которая не была бы уязвимой к атакам.
Q: Известно, что правительства по всему миру оказывают давление на технологические компании с целью получения доступа к зашифрованным сообщениям. Можете ли вы рассказать, как это влияет на развитие безопасных мессенджеров?
Егор Альшевский: Безусловно, государственное вмешательство является одной из важнейших проблем, с которыми мы сталкиваемся. Правительства располагают целым рядом инструментов - от законодательных шагов до технического надзора. Например, австралийский Закон о внесении изменений в телекоммуникационное и другое законодательство («О помощи и доступ») от 2018 года фактически обязывает компании создавать бэкдоры в шифровании или ослаблять свои протоколы безопасности по требованию правоохранительных органов. Такое законодательство напрямую подрывает саму основу безопасного обмена сообщениями.
Особенно тревожным примером является проект закона ЕС о борьбе с сексуальным насилием над детьми. Хотя его целью является предотвращение распространения материалов о сексуальном насилии над детьми, по сути он сломает шифрование, требуя от провайдеров услуг сканировать все сообщения на наличие незаконного контента. То есть даже сквозные зашифрованные сообщения будут подвергаться тщательной проверке, что фактически сведет на нет защиту конфиденциальности, которая должна обеспечиваться шифрованием.
Недавний арест Павла Дурова подчеркивает растущее давление на технологические компании, вынужденные выполнять требования правительства относительно доступа к данным пользователей. Дуров, активный защитник конфиденциальности и свободы слова, долгое время сопротивлялся попыткам правительства получить доступ к зашифрованным сообщениям Telegram через бекдор. Его арест не только подчеркивает риски, с которыми сталкиваются те, кто выступает против таких требований, но и вызывает серьезную обеспокоенность будущей конфиденциальностью и свободой в цифровую эпоху. Готовность правительств контролировать деятельность пользователей и арестовывать генерального директора мессенджера за то, что он выступает против бэкдоров, подвергает сомнению личностную свободу и право на неприкосновенность частной жизни.
Кроме того, законодательные акты типа патриотического закона США и закона об облачном сотрудничестве заставляют компании раскрывать данные пользователей, даже если они зашифрованы. По сути, мы оказались между молотом и наковальней – соблюдать эти законы и ставить под угрозу конфиденциальность пользователей, либо сопротивляться и подвергаться юридическим последствиям. Это сложный баланс, но мы стараемся придерживаться его таким образом, чтобы максимально защитить конфиденциальность наших пользователей.
Q: Вы уже упомянули о техническом надзоре. А какие еще методы используют правительства, чтобы обойти шифрование, и как они влияют на безопасность пользователей?
Егор Альшевский: Правительства используют самые современные технологии для доступа к коммуникациям, даже если они зашифрованы. Например, они могут использовать систему слежения GSM ID, позволяющую отслеживать мобильные устройства и непосредственно перехватывать коммуникации. Существуют также такие методы, как эксплуатация устройства, когда для доступа к данным используются уязвимости в программном обеспечении устройства, что позволяет полностью обойти шифрование.
Существует также проблема метаданных. Даже если содержание сообщения зашифровано, к метаданным – кто с кем общается, когда и как долго – все равно можно получить доступ. Эта информация может многое рассказать о моделях общения человека и может быть использована для слежения и мониторинга. Итак, хотя шифрование имеет решающее значение, оно не панацея от всех бед. Правительства имеют множество инструментов для сбора информации без прямого излома шифрования.
Возможно, нам нужно начать думать о том, как мы можем разработать более сложные методы анонимизации и создать протоколы, не поддающиеся анализу метаданных. Информирование пользователей о том, как минимизировать влияние метаданных, также может быть частью более широкой стратегии усиления конфиденциальности.
Q: Что бы вы посоветовали пользователям для усиления их безопасности?
Егор Альшевский: Для пользователей очень важно оставаться бдительными и активно заботиться о своей цифровой безопасности. Одним из ключевых шагов является регулярное обновление программного обеспечения на своих устройствах, включая микропрограммы, операционные системы и приложения. Эти обновления часто содержат критические исправления безопасности, которые защищают от новых опасностей.
Для тех, кто особенно занимается вопросом конфиденциальности, дополнительным уровнем безопасности может стать использование мессенджеров, периодически публикующих свой исходный код. Однако даже это не стопроцентная гарантия - были случаи, когда на такие платформы, как Apple Store, загружали различные версии кода, что потенциально ставило под угрозу безопасность. Важно всегда быть в курсе этих рисков и применять лучшие практики для защиты своей цифровой коммуникации.
Q: Давайте поговорим о технической стороне дела. Многие мессенджеры используют открытый код и сквозное шифрование для обеспечения безопасности. Как сильны и слабы слабые стороны этих технологий?
Егор Альшевский: Открытый код часто высоко оценивают по его прозрачности, которая позволяет всем желающим проверять его на наличие потенциальных уязвимостей. Это сильная сторона, поскольку позволяет проводить независимый аудит безопасности и укрепляет доверие между пользователями. Однако недостатком является то, что эта же прозрачность может быть и слабым местом. Злоумышленники могут проверять код, проявлять уязвимости и эксплуатировать их до момента, когда они будут исправлены. И не стоит забывать, что безопасность проектов с открытым исходным кодом зависит от сообщества разработчиков, не всегда успевающих выявить все недостатки.
Черезное шифрование (E2EE) – еще один важный компонент безопасного обмена сообщениями. Оно гарантирует, что только отправитель и получатель могут прочесть сообщения, защищая его от третьих лиц, включая поставщика услуг и государственные органы. Однако E2EE постоянно находится под давлением законодательства, направленного на его ослабление или запрет. Атаки из-за побочных каналов, которые используют уязвимости за пределами зашифрованного канала связи, и истоки метаданных - это еще одни риски, которые могут взорвать безопасность, гарантированную шифрованием.
Возможно, нам нужен более активный подход к привлечению сообщества к проектам с открытым исходным кодом, что обеспечит более быстрое реагирование на уязвимости. Мы также могли бы рассмотреть вопрос об усовершенствовании алгоритмов шифрования и включении более комплексных средств защиты от атак через побочные каналы и утечки метаданных. Если мы хотим предварять новые угрозы, то непрерывные инновации в шифровании имеют решающее значение.
Q: Искусственный интеллект (ШИ) и машинное обучение (МН) все чаще интегрируются в протоколы безопасности. Как, по вашему мнению, ИИ и МН влияют на безопасность мессенджеров в положительном и отрицательном смысле?
Егор Альшевский: Искусственный интеллект и машинное обучение (MН) имеют огромный потенциал для усиления безопасности, благодаря анализу огромных объемов данных для выявления подозрительной активности, прогнозирования угроз и автоматизации процессов мониторинга. Например, алгоритмы на основе искусственного интеллекта способны обнаруживать паттерны, которые могут свидетельствовать о нарушении безопасности, что позволяет оперативно вмешаться в ситуацию до того, как будет нанесен значительный ущерб. В частности, MН может помочь системам учиться на прошлых инцидентах и постоянно совершенствовать свою защиту от новых угроз. Особенно полезным это может быть для предотвращения утечки данных и других инцидентов безопасности.
Однако злоупотребление ИИ и МН вызывает значительную обеспокоенность. Эти технологии могут использоваться для массовой слежки, манипулирования общественным мнением и даже создания секретных правительственных профилей лиц на основе их онлайн-активности - от обмена сообщениями в социальных сетях до истории покупок. Этические последствия очень серьезны и существует реальный риск подрыва прав на конфиденциальность. Интегрируя ИИ и МН в платформы обмена сообщениями, мы должны быть осторожны и применять надежные средства защиты для предотвращения злоупотребления этими технологиями.
Q: Учитывая все эти вызовы, какое будущее ждет безопасность мессенджеров? Существует ли возможность достижения баланса между безопасностью и конфиденциальностью?
Егор Альшевский: Будущее безопасности мессенджеров лежит в плоскости поиска баланса между защитой конфиденциальности и решением легитимных вопросов безопасности. Это сложная задача, требующая постоянных инноваций и диалога между технологами, политиками и гражданским обществом. Необходимо продолжать развивать и совершенствовать такие технологии, как шифрование, ИИ и МН, параллельно пропагандируя законодательство, уважающее конфиденциальность и свободу выражения мнений.
В то же время нужно быть реалистами. Хотя мы можем добиться значительных успехов в повышении безопасности, идея о 100% безопасном мессенджере – это миф. Всегда будут существовать уязвимые места и ландшафт угроз будет продолжать развиваться. Необходимо максимально минимизировать эти риски и быть открытыми с пользователями по поводу недостатков нашей технологии. Только благодаря общему многогранному подходу мы можем рассчитывать на создание безопасной цифровой среды для всех.
