Останнім часом у новинах та у просторі Інтернету часто з’являється термін «бекдор у шифруванні». Редакція видання GALERA дослідила, що це таке, чому ця тема викликає стільки суперечок у світі технологій і як вона може вплинути на пристрої, котрими ми користуємося щодня.
Що таке шифрування і як працює захист?
В сучасних гаджетах для захисту особистих даних застосовуються різні види шифрування. Доступ до зашифрованої інформації можливий лише після проходження аутентифікації — наприклад, введення пароля, використання відбитка пальця чи сканування обличчя.
Завдяки цьому сторонній не зможе отримати доступ до особистих файлів користувача навіть у разі викрадення телефону. Більше того, спроби зламати пристрій можуть призвести до блокування або навіть видалення всіх даних на ньому.
Що таке бекдор?
Поняття бекдору бере свій початок із 60-х років XX століття, періоду, коли з’явилися перші багатокористувацькі та мережеві операційні системи (типу Multics). У 1967 році на конференції AFIPS обговорювалися комп’ютерні диверсії, де згадувалися “люки” як точки входу в систему в обхід засобів захисту, що фактично відповідає сучасному розумінню бекдору.
Бекдор (backdoor) — це прихований механізм, котрий дозволяє обійти стандартні засоби захисту й отримати доступ до даних на пристрої без згоди власника. Іншими словами, це «чорний хід» до його інформації. Ідея не нова — схожі розробки існували ще в 90-х роках, наприклад, проєкт “Clipper”.
“Clipper Chip” — це урядовий проєкт США початку 90-х, спрямований на створення чипа з вбудованим бекдором для шифрування комунікацій. Державні органи планували використовувати чип у телефонах і пристроях зв’язку, щоб забезпечити собі доступ до зашифрованих даних через систему зберігання ключів. Ідея викликала серйозну критику через загрозу приватності та потенційні ризики для безпеки.
Бекдором може виступати будь-що: прихована функція в операційній системі, спеціальний інструмент-ключ або ж вразливий код у програмі. Зловмисники можуть інтегрувати бекдор у ліцензійне програмне забезпечення або ж встановити його як окремий шкідливий інструмент, використовуючи слабкі місця у мережі чи файловій системі.
Основні типи бекдорів
Програмні бекдори — встановлюються разом зі шкідливими програмами, які користувач може несвідомо завантажити.
Апаратні бекдори — вшиті безпосередньо у комплектуючі пристрою, через що виявити їх надзвичайно складно.
Мережеві бекдори — відкривають незахищені порти або використовують мережеві протоколи для віддаленого доступу.
Бекдори в програмному забезпеченні — можуть залишитися як частина тестового коду або бути навмисно створеними для подальшого доступу.
У чому небезпека бекдорів?
Проблема бекдоів гостро постала у 2015 році через конфлікт між Apple та ФБР. Тоді спецслужба через суд вимагала від компанії допомогти зламати iPhone загиблого терориста. Apple відмовилася створювати програму для обходу захисту. Після цього ФБР залучило сторонню компанію (GrayKey), яка знайшла вразливість та отримала доступ до даних без участі Apple.
Тоді великі гравці IT-ринку — Google, Facebook, Amazon та інші — підтримали позицію Apple. Вони виступили проти будь-якого примусового створення бекдорів у своїх системах.
Головний аргумент проти бекдорів — це те, що вони роблять системи вразливими від самого початку. Навіть якщо на старті доступ до бекдору мають лише розробники чи уряд, з часом про нього дізнаються шахраї і хакери. І тоді будь-хто зможе використати цю «дірку» в безпеці для власних цілей.
Ще один ризик — це поширення технології. Тобто, якщо один уряд отримає таку можливість, інші країни рано чи пізно теж захочуть мати доступ до цих інструментів.
Бекдори загрожують кібербезпеці в масштабах цілих країн: можуть використовуватися для атак на урядові мережі, критичну інфраструктуру, або навіть спричинити зростання кіберзлочинності. Відомий експерт із безпеки Брюс Шнайєр зазначав, що подібна вразливість у системах може поставити під загрозу роботу важливих об’єктів національної інфраструктури. Також постає питання приватності, адже бекдор дає уряду повний доступ до особистих даних громадян без їх згоди.
Чому дехто виступає «за» бекдори?
Правоохоронні органи та уряд часто наполягають на необхідності таких інструментів. Вони вважають, що в деяких випадках дані не повинні бути повністю недоступними. Наприклад, інформація на заблокованих телефонах може бути критично важливою для розслідування вбивств чи серйозних злочинів.
У США поліція та ФБР стверджують, що мають право на доступ до контактів, листування та журналів викликів, якщо на це є відповідний ордер. Вони скаржаться на явище, котре називають «цифровою темрявою» — коли дедалі більше даних через шифрування стають недоступними навіть у рамках кримінальних справ.
Відомі приклади бекдор-атак
XZ бекдор (XZ backdoor)
У лютому 2024 року виявлено бекдор у популярній бібліотеці стиснення даних XZ Utils, яка широко використовується в багатьох дистрибутивах Linux. Цей бекдор дозволяв зловмисникам отримувати несанкціонований доступ до систем через SSH, використовуючи спеціально створений приватний ключ.
Зловмисник під псевдонімом Jia Tan протягом приблизно трьох років поступово здобував довіру в спільноті розробників XZ Utils, вносячи корисні зміни та виправлення. Зрештою, він отримав права співмейнтейнера проєкту та випустив версії 5.6.0 та 5.6.1, які містили прихований бекдор.
Бекдор був виявлений у березні 2024 року Андресом Фройндом, розробником з Microsoft, який помітив аномально високе навантаження на процесор під час SSH-з’єднань та помилки у Valgrind. Після детального аналізу було встановлено, що проблема виникає через модифіковану бібліотеку liblzma, частину XZ Utils.
Атака NotPetya: найпотужніший кібершторм сучасності
Одним із найвідоміших прикладів використання бекдорів у кібератаках є NotPetya. Світ зіткнувся з ним у червні 2017 року. Цей шкідливий програмний код став жорстоким ударом по державних установах, бізнесах і критичній інфраструктурі, спричинивши мільярдні збитки та паралізувавши діяльність сотень компаній у різних країнах. Найбільше від нього постраждала Україна, на її частку припало 75% випадків зараження вірусом. Сполучені Штати оголосили винагороду в розмірі до $10 млн за інформацію про працівників розвідки Росії, котрі ймовірно причетні до кібератаки.
Як працював NotPetya?
Попри схожість із відомим шифрувальником Petya, цей вірус мав зовсім іншу природу. Він не просто зашифровував файли жертви, а фактично знищував їх, роблячи відновлення неможливим. Першим етапом атаки стало зараження оновленням бухгалтерського програмного забезпечення M.E.Doc – широко використовуваного в Україні. Після проникнення в систему NotPetya блискавично поширювався через мережеві протоколи, використовуючи вразливості EternalBlue та EternalRomance, які раніше були експлуатовані інструментами АНБ США.
Великі корпорації, компанії, телеканали та навіть Чорнобильська АЕС, стали жертвами атаки. Загальні збитки оцінюються в понад 10 мільярдів доларів, що зробило NotPetya найдорожчою кібератакою в історії. Цей випадок став тривожним дзвінком для всього світу, нагадуючи, що у війнах майбутнього головним полем битви може стати кіберпростір.
Способи захисту від бекдорів
Захист від бекдорів у шифруванні вимагає комплексного підходу. Один із найефективніших методів – це аудит програмного забезпечення. Виявлення бекдорів у відкритому коді можливе завдяки незалежному аналізу та перевірці змін у репозиторіях. Саме так було викрито XZ backdoor. Проте аудит коду сам по собі не гарантує безпеки.
Важливим аспектом є використання криптографічного програмного забезпечення, що розробляється та підтримується спільнотою з високими стандартами безпеки. Варто уникати бібліотек та алгоритмів із сумнівною репутацією або недостатньою історією незалежного аудиту. Також важливо впроваджувати багаторівневий контроль коду, що включає відстеження змін у вихідному коді, механізми code review та використання інструментів статичного аналізу для автоматичного виявлення підозрілих змін.
Одним із ключових методів захисту є багаторівневе шифрування. Якщо є підозра щодо бекдорів у ПЗ, варто використовувати додаткові рівні шифрування. Наприклад, двошарове шифрування або застосування різних алгоритмів у паралельних системах. Надійні алгоритми, такі як AES, ChaCha20 чи ECC, мають довготривалу історію безпеки, тоді як використання власних або мало досліджених криптографічних рішень може призвести до появи вразливостей.
Не менш важливим є контроль походження бінарних файлів та оновлень. Варто перевіряти, що отримані файли відповідають офіційним джерелам шляхом перевірки цифрових підписів та хешів. Також слід забезпечити захист середовища розробки та розгортання, ізолюючі критично важливі системи від зовнішніх загроз. Модель zero trust та використання sandboxing допоможуть запобігти проникненню шкідливого ПЗ у важливі компоненти.
Замовлення або участь у незалежних криптографічних аудитах, а також впровадження програм bug bounty дозволяють залучати експертів у галузі кібербезпеки для тестування системи на наявність бекдорів.
Чи мають компанії створювати такі «парадні входи» для влади — складне політичне питання. Державні органи неодноразово підкреслювали, що не хочуть «бекдору» у звичному розумінні, а лише механізм легального доступу до інформації в особливих випадках. Проте, як не крути, і «парадний вхід», і бекдор — це одне й те саме: створення можливості зламу системи за певних умов. Поки немає остаточного рішення, ця тема залишатиметься однією з найбільш дискусійних у сфері кібербезпеки та захисту приватності.
