Mesagerul și spațiul gol

Originea

Herodot descrie, în cartea a VIII-a a Istoriilor (cap. 98), sistemul de curieri al Imperiului Persan, iar în cartea a V-a (cap. 52–54) Drumul Regal dintre Sardes și Susa pe care acesta funcționa. Stații la o zi de călărie una de alta, cu cai și călăreți odihniți, astfel încât mesajul trecea din mână în mână fără oprire — „nici zăpada, nici ploaia, nici arșița, nici întunericul nopții” nu-i opreau, scrie el într-o frază care a ajuns, peste două mii de ani, deviza poștei din New York. Ce nu spune Herodot, pentru că era evident, este de ce regele avea nevoie de un asemenea sistem. Un mesaj purtat de un om de încredere, pe un drum păzit, era singura formă de comunicare pe care un adversar nu o putea asculta de la distanță. Nu exista „de la distanță”. Ca să afli ce scrie, trebuia să pui mâna pe curier.

Principiul a supraviețuit intact până azi în dreptul internațional. Convenția de la Viena din 1961 privind relațiile diplomatice stabilește, la art. 27, că valiza diplomatică nu poate fi deschisă sau reținută, iar curierul diplomatic se bucură de inviolabilitate. Statele au telefoane criptate, sateliți și rețele dedicate, și totuși continuă să trimită documentele cele mai sensibile într-o geantă, cu un om. Pentru că geanta, spre deosebire de orice rețea, are o proprietate pe care criptografia nu o poate oferi — nu poate fi atacată de cineva care nu se află lângă ea.

Războiul Rece a adăugat a doua tehnică, cutia poștală moartă, dead drop. Agentul și ofițerul de legătură nu se întâlnesc niciodată. Unul lasă mesajul într-un loc convenit, o crăpătură în zid, o piatră goală pe dinăuntru într-un parc, iar celălalt îl ridică mai târziu. Nicio transmisie, nicio întâlnire de observat, niciun moment în care ambii să fie în același loc. Comunicarea există, dar canalul nu are nicio secundă de existență simultană.

Iar în 2010 lumea a aflat cum arată eșecul acestei tehnici. Centrifugele de la Natanz, din Iran, erau controlate de o rețea izolată fizic de internet, un air gap, un spațiu gol. Viermele Stuxnet a ajuns totuși în ea, aproape sigur pe un stick USB, și a distrus aproximativ o mie de centrifuge. Spațiul gol fusese traversat de un om cu un stick. Mesagerul este și cea mai mare forță a tehnicii, și principala ei slăbiciune.

Surse: Herodot, Istorii, V, 52–54 și VIII, 98; Convenția de la Viena privind relațiile diplomatice (1961), art. 27; Kim Zetter, Countdown to Zero Day (2014), pentru Stuxnet.

Principiul

Orice sistem conectat la o rețea poate fi atacat de oriunde din acea rețea. Dacă rețeaua este internetul, „oriunde” înseamnă planeta. Spațiul gol reduce suprafața de atac la ceea ce poate ajunge fizic lângă sistem.

De aici decurg trei aplicații. Prima este izolarea a ceea ce nu are nevoie de rețea — un server de backup, o autoritate de certificare rădăcină, un sistem de control industrial, un calculator pentru semnarea software-ului, niciunul nu trebuie să poată fi atins de pe un laptop de birou. A doua este transferul controlat. Când informația trebuie să treacă spațiul gol, trece pe un suport fizic, printr-un om, cu o procedură care spune ce se transferă, cine, când și de pe ce suport verificat. A treia este întârzierea ca protecție. Cutia poștală moartă introduce timp între trimitere și primire, iar timpul este spațiul în care se poate observa că ceva nu este în regulă.

Termenul informal este sneakernet, rețeaua pe tenisi, în care datele circulă pe stick, purtat de cineva care merge pe jos. Este o glumă în IT. Este, și astăzi, modul în care se mută cheile cele mai importante din lume.

Amenințarea de azi

Accesul de la distanță este vectorul principal al atacurilor ransomware asupra firmelor mici și mijlocii — un port RDP deschis către internet, un VPN cu parolă slabă, un instrument de administrare de la distanță instalat „ca să putem interveni rapid”. Fiecare este o fereastră prin care atacatorul intră fără să se ridice de pe scaun. În multe cazuri, sistemul expus nu avea nevoie să fie accesibil de la distanță. Era doar comod.

Pentru infrastructura industrială și medicală, miza este alta. Un sistem de control al unei linii de producție, un echipament de imagistică medicală sau un sistem de ventilație al unei clădiri a fost proiectat pentru a funcționa izolat; conectarea lui la rețeaua de birou, pentru raportare sau mentenanță, îi dă unui atacator de ransomware acces la procese fizice. Cazul Norsk Hydro (fișa 3) a fost supraviețuit tocmai pentru că fabricile puteau fi operate manual, deconectate.

Iar pentru cheile cele mai importante, certificatul rădăcină al unei organizații, cheia de semnare a software-ului, cheia de criptare a copiilor de rezervă, un sistem conectat este un risc permanent. Cazul SolarWinds (fișa 7) a început cu accesul atacatorului la un server de construire a software-ului care era, firește, în rețea.

Cum o implementezi luni dimineață

Firma de 20 de oameni

Închideți orice acces de la distanță care nu este strict necesar. Dacă furnizorul de IT are nevoie să intervină, accesul se deschide la cerere, pentru intervenție, și se închide după, fără să rămână permanent deschis. Copia de rezervă deconectată (fișa 5) este spațiul gol în forma cea mai ieftină, pentru că discul care nu este în priză nu poate fi criptat.

Pentru operațiunile bancare și semnăturile electronice, folosiți un laptop dedicat, pe care nu se citește e-mail, nu se navighează și nu se instalează nimic. Costă cât un laptop simplu și elimină aproape complet riscul ca o pagină falsă sau un atașament să ajungă pe calculatorul de pe care se fac plățile. Orice stick USB care intră în firmă de la un terț se deschide întâi pe un calculator izolat, fie și un laptop vechi fără rețea, nu pe stația contabilei. Mesagerul este verificat la poartă.

Firma de 500 de oameni

Sistemele industriale, medicale și de clădire stau pe rețele separate fizic sau prin diode de date, dispozitive care permit traficul într-un singur sens, spre exterior pentru raportare și niciodată spre interior. Autoritatea de certificare rădăcină și cheile de semnare a software-ului stau pe un sistem complet deconectat, într-o cameră încuiată, pornit doar pentru operațiuni programate, cu regula celor doi (fișa 2) și jurnal (fișa 12).

Transferul de fișiere spre și dinspre zonele izolate se face printr-o stație de verificare dedicată, cu suporturi de unică folosință, cu scanare antimalware și cu consemnarea fiecărui transfer. Mediul în care se construiește software-ul livrat clienților este izolat de rețeaua de birou, cu acces restrâns și verificat — lecția directă a cazului SolarWinds.

Unde eșuează

Stick-ul, adică Stuxnet. Spațiul gol este traversat de fiecare dată de un om cu un suport, iar dacă suportul nu este verificat și transferul nu este consemnat, izolarea este o iluzie. Apoi, spațiul gol care nu este gol — un modem 4G lăsat „pentru urgențe”, un laptop de mentenanță al furnizorului conectat la ambele rețele, un Wi-Fi activat din greșeală. Verificarea periodică a izolării, fizic, nu pe hârtie, face parte din tehnică.

Mai subtilă este erodarea prin comoditate. Prima excepție se face pentru un motiv bun; a cincea nu mai are motiv. Fiecare conexiune nouă spre un sistem izolat cere aprobare de la două persoane și o dată de expirare. Curierul însuși poate fi compromis, iar Convenția de la Viena protejează valiza de autorități, nu de curierul necinstit, așa că omul care traversează spațiul gol trebuie să fie, el însuși, verificat și supravegheat. Iar costul operațional este real — izolarea totală este scumpă în timp și oameni și se aplică la ceea ce este cu adevărat critic, nu la tot.

Cadrul legal

Art. 21 alin. (2) lit. (e) din Directiva NIS2 cere securitatea achiziției, dezvoltării și întreținerii sistemelor, iar lit. (i) controlul accesului și gestionarea activelor; pentru entitățile cu sisteme industriale sau medicale, izolarea acestora este cea mai directă măsură documentabilă. Art. 32 GDPR cere măsuri adecvate riscului, iar pentru datele sensibile, cele de sănătate de la art. 9, riscul justifică izolarea sistemelor care le prelucrează. În ISO/IEC 27001:2022, controalele A.8.22 (separarea rețelelor), A.7.10 (suporturi de stocare), A.8.12 (prevenirea scurgerilor de date) și A.8.31 (separarea mediilor de dezvoltare, testare și producție) acoperă toate formele acestei tehnici.