Цинциннат, который не мог больше ждать
Как одна неустановленная программа едва не похоронила крупнейшую утечку в истории разведки - и чему нас учит дело Эдварда Сноудена.
В декабре 2012 года Гленн Гринвальд, журналист, писавший для The Guardian, получил сообщение от человека, подписавшегося «Цинциннат». Незнакомец утверждал, что у него есть нечто важное, и просил лишь об одном: чтобы Гринвальд установил PGP - программу для шифрования почты. Когда ответа не последовало, Цинциннат даже записал короткое видео с пошаговой инструкцией. У Гринвальда были другие заботы. Он откладывал это неделями. Так и не установил.
Одна из важнейших журналистских историй XXI века едва не пропала, потому что журналист не нашёл часа на настройку шифрования.
Вторая попытка
Цинциннат не сдался. В начале 2013 года он написал Лоре Пойтрас, американскому документалисту, которая уже много лет была под прицелом спецслужб - после её фильмов о войне в Ираке её десятки раз задерживали в аэропортах. На этот раз он подписался «Citizenfour». Пойтрас шифрованием пользовалась. Переписка длилась месяцами, прежде чем отправитель решился на следующий шаг.
В мае 2013 года Пойтрас и Гринвальд прилетели в Гонконг. В отеле Mira они договорились встретиться с незнакомцем в условленном месте - он должен был держать в руках кубик Рубика. Они увидели худого, бледного 29-летнего парня. Его звали Эдвард Сноуден. Он был IT-специалистом, раньше работал на ЦРУ, а в последнее время - как сотрудник подрядчика Booz Allen Hamilton - на объекте АНБ на Гавайях. При себе у него были документы, число которых американские власти позже оценивали в сотни тысяч, а то и более чем в миллион.
В гостиничном номере Сноуден просил гостей класть телефоны в холодильник. Звук с микрофона можно было перехватить даже с выключенного аппарата. Вводя пароли, он накрывал голову и ноутбук одеялом - на случай камер. Это выглядело как паранойя. Через несколько недель весь мир знал, что это было просто знание реалий.
«Не сознательно»
Зачем он это сделал? Сноуден не раз указывал на один момент. 12 марта 2013 года сенатор Рон Уайден задал в Конгрессе вопрос директору национальной разведки Джеймсу Клэпперу: собирает ли АНБ какие-либо данные о миллионах или сотнях миллионов американцев? Клэппер ответил: «Нет, сэр». Через мгновение добавил: «Не сознательно».
Сноуден знал, что это неправда. Он сидел за системами, которые делали именно то, что отрицалось под присягой. По его словам, раньше он пытался сообщать о сомнениях по внутренним каналам - АНБ утверждает, что доказательств этого нет. Он пришёл к выводу: если высшие чиновники могут лгать парламенту без последствий, единственный способ дать обществу возможность что-то решить - показать ему доказательства. Он не хотел сам выбирать, что публиковать, - передал документы журналистам с условием, что они оценят, что отвечает общественным интересам, а что может кому-то навредить.
Пять дней в июне
5 июня 2013 года The Guardian опубликовала секретное судебное постановление, по которому оператор Verizon ежедневно передавал АНБ метаданные миллионов телефонных разговоров американцев: кто звонил, кому, когда и как долго. Это была не слежка за подозреваемыми. Это была слежка за всеми.
На следующий день The Guardian и The Washington Post раскрыли PRISM - программу, в рамках которой АНБ имело доступ к данным пользователей крупнейших интернет-компаний. Затем появились новые кодовые названия: XKeyscore - поисковик, в котором аналитик мог просматривать почти всё, что человек делает в сети, просто введя адрес e-mail или IP. Tempora - британская программа, в рамках которой GCHQ подключился к подводным оптоволоконным кабелям и несколько дней хранил весь проходящий через них трафик. Boundless Informant - инструмент, показывавший на цветных картах, из каких стран агентство собирает больше всего данных.
9 июня Сноуден сам раскрыл свою личность в видео, которое записала Пойтрас. «Я не хочу жить в мире, где всё, что я делаю и говорю, записывается», - сказал он. Через несколько дней он исчез из отеля. 23 июня он сел в самолёт до Москвы, откуда собирался лететь дальше, в Латинскую Америку. Пока он был в воздухе, США аннулировали его паспорт. Он застрял в транзитной зоне аэропорта Шереметьево на 39 дней. В августе он получил в России временное убежище. Он живёт там до сих пор, а в 2022 году получил российское гражданство - для одних это доказательство его наивности, для других следствие того, что ни одна западная страна не захотела его принять.
«Tor Stinks»
Среди документов была презентация АНБ с красноречивым названием «Tor Stinks» - «Tor воняет». Опубликованная The Guardian в октябре 2013 года, она содержала фразу, ставшую одной из самых цитируемых в истории приватности в интернете: «Мы никогда не сможем деанонимизировать всех пользователей Tor всё время».
Агентство с крупнейшим разведывательным бюджетом в мире признавало в собственном секретном документе, что не может взломать сеть, которой мог пользоваться любой студент. В лучшем случае ему удавалось вычислить отдельных пользователей - и не взломом Tor, а атакой на то, что его окружало. Другой раскрытый документ описывал программу EgotisticalGiraffe, использовавшую уязвимости браузера Firefox, на котором был основан пакет Tor Browser. Целью был не сам Tor. Целью был браузер, в котором пользователь открывал страницы.
Это один из важнейших уроков всей истории: хорошо спроектированная криптография работает. Подводит то, что вокруг неё, - устаревшие программы, плохо настроенная система, человеческие привычки. Сноуден сформулировал это в июне 2013 года, отвечая на вопросы читателей The Guardian: «Шифрование работает. Правильно реализованные стойкие криптосистемы - одна из немногих вещей, на которые можно положиться. К сожалению, безопасность конечных устройств настолько ужасающе слаба, что АНБ часто находит способы её обойти».
Что изменилось
Немало. В 2015 году Конгресс США принял USA Freedom Act, положивший конец массовому сбору телефонных метаданных АНБ - теперь данные должны были оставаться у операторов. В 2020 году федеральный апелляционный суд признал, что раскрытая Сноуденом программа, скорее всего, была незаконной. В Европе Суд ЕС дважды аннулировал соглашения о передаче данных в США, ссылаясь именно на масштаб американской слежки.
Изменились и технологии. До 2013 года большинство сайтов работали без шифрования - сегодня HTTPS стал стандартом. Мессенджеры вроде Signal шифруют разговоры сквозным шифрованием, а Apple и Google ввели шифрование телефонов по умолчанию. Фильм Лоры Пойтрас «Citizenfour» в 2015 году получил «Оскар». Многие инженеры позже признавали, что именно документы Сноудена убедили их компании вложиться в шифрование.
Наконец, изменился и сам Сноуден - из информатора он превратился в один из самых влиятельных голосов в вопросах приватности. Он много лет называет инструменты, которым доверяет сам: мессенджер Signal, сеть Tor, систему Tails, которой он пользовался при общении с журналистами, а прежде всего Qubes OS - систему, созданную польской исследовательницей Иоанной Рутковской. «Если вы серьёзно относитесь к безопасности, Qubes OS - лучшая операционная система из доступных сегодня. Это то, чем пользуюсь я. И она бесплатна», - написал он. Трудно представить более сильную рекомендацию, чем от человека, который вблизи видел, на что способно АНБ.
Но изменилось не всё. Метаданные по-прежнему собирают - государства и компании. Во многих странах, в том числе в Евросоюзе, снова и снова возвращается идея хранения телекоммуникационных данных и сканирования личной переписки. Телефоны отправляют телеметрию. Операционные системы «звонят домой». Приложения знают ваше местоположение лучше, чем вы сами. Разница в том, что с 2013 года никто не может сказать, что не знал.
Урок Гринвальда
Вернёмся к началу. У Сноудена был доступ к самым секретным системам мира. Он сумел вынести из них документы, пройти проверки и добраться до Гонконга. А главной его проблемой оказался журналист, который не установил PGP.
Не потому, что это было сложно. Это просто казалось ненужным. У Гринвальда тогда не было причин думать, что кто-то следит за его почтой. Он не чувствовал угрозы - и не видел смысла в усилиях. До того дня, когда оказалось, что от этого одного часа зависит, увидит ли история свет вообще.
Это самая частая ошибка, которую мы видим: к безопасности относятся как к тому, чем займутся позже, когда появится реальная угроза. Только когда она появляется, обычно уже поздно. Источник не напишет второй раз. Утёкшие данные не вернутся. Перехваченные разговоры нельзя «разуслышать».
Безопасность не начинается в тот момент, когда она вам нужна. Она начинается раньше. Или не начинается вовсе.