Гигабайты власти: информационные технологии между свободой и тоталитаризмом

Время двойных стандартов

Флоридская компания Applied Digital Solutions регулярно привлекает внимание прессы и общественности начиная с начала 2000-х годов, когда впервые стали появляться известия о ее технологии Digital Angel, позволяющей с помощью чипа-импланта дистанционно идентифицировать человека, следить за его географическим местоположением и физическим состоянием. Особый же резонанс инициативы ADS получили в феврале 2002, с появлением торговой марки "Чипсоны". Эту торговую марку - The Chipsons - компания Applied Digital зарегистрировала для своеобразного увековечения флоридской семьи Джекобсов - дантиста Джефри, его жены Лесли и их сына-подростка Дерека, - вызвавшихся быть первой семьей с имплантированными в руку устройствами VeriChip, капсулами размером 11x2 мм, содержащими внутри катушку антенны и RFID-микросхему, подпитывающимися от тепла человеческого организма. [JU02a, JM02]

Эта акция наглядно продемонстрировала, насколько быстро стала меняться ситуация в Америке после 11 сентября 2001. Когда в 2000 году только-только появились сообщения о технологии Digital Angel, то американская общественность буквально вскипела от негодования. Очень громко зазвучали голоса не только правозащитников, усмотревших в технологии посягательство на приватность граждан, но и христиан-ортодоксов, сразу вспомнивших знаменитое библейское пророчество об Антихристе из книги Апокалипсис апостола Иоанна: "И он сделал так, что всем - малым и великим, богатым и нищим, свободным и рабам - положено будет начертание на правую руку или на чело их; и что никому нельзя будет ни покупать, ни продавать, кроме того, кто имеет это начертание (число имени его) или знак зверя"... Интересно, что слова о "числе зверя" в данном случае подходили на редкость точно, поскольку патенты на свой чип-имплант Applied Digital Solutions приобрела вместе с покупкой фирмы Destron Fearing, специализировавшейся на чипах-метках для скота и других животных. Волна протестов в обществе оказалась тогда настолько мощной, что руководство ADS поспешило дать задний ход и заверить публику, что решила отказаться от технологии имплантации и переключиться на сенсоры, встраиваемые в браслеты или пейджеры. [LD03]

Но затем случились известные события 11-09-2001, и уже через пять дней на волне национальной истерии хирург из Нью-Джерси Ричард Силиг самостоятельно имплантировал себе сразу две капсулы с устройством VeriChip - в правое предплечье и бедро, - дабы на собственном организме продемонстрировать полезность новой технологии в деле обеспечения личной безопасности. После этого пошли сообщения об интенсивных контактах Applied Digital Solutions с латиноамериканскими странами, где технологию якобы чрезвычайно активно востребовала общественность, озабоченная ростом количества похищений людей. А в феврале во флоридскую штаб-квартиру компании нанес личный визит бразильский сенатор Антонио де Кунха Лима, вызвавшийся стать "первым политиком с чипом-имплантом"... [JU02b]

Дело это, конечно, сугубо личное и каждый, как известно, сходит с ума по-своему. Но в свете чрезвычайной озабоченности американской госадминистрации проблемами тотального контроля, в стране стали рождаться опасения, как бы наиболее лояльная к власти часть общества не потребовала всеобщей поголовной имплантации. Подобные опасения не так-то просто назвать полностью безосновательными, поскольку в прессе и Интернете уже неоднократно выдвигались предположения, что у флоридской фирмы ADS явно имеются какие-то очень влиятельные покровители на самой вершине политической власти США. Уж слишком уверенно держится ADS на плаву и продолжает продвигать свои сомнительные инициативы, несмотря на очевидно негативное отношение к ее технологии со стороны подавляющего большинства общества. Событие, произошедшее в октябре 2002, весьма убедительно подтвердили, что дело тут действительно нечистое.

Тогда, ко всеобщему удивлению народа, национальное Управление по надзору за качеством пищевых продуктов и медикаментов (Food and Drug Administration, FDA), еще совсем недавно заявлявшее, что будет тщательно разбираться с продукцией ADS, вдруг издало официальный документ, вообще освобождающий VeriChip от исследований и сертификации в FDA, если устройство используется в целях "безопасности, финансовой и персональной идентификации". Для формального объяснения такого шага заявлено, что FDA занимается лишь имплантами медицинского назначения. Однако хорошо известно, что до этого в США ничего нельзя было вживлять человеку под кожу без достаточно длительной процедуры сертификации в FDA. Даже косметические импланты, включая средства увеличения размеров бюста или пениса, хотя и не имеют никакого медицинского назначения, проходят тщательное исследование экспертов FDA на предмет побочного воздействия на человеческий организм. Известно и то, что ADS при рекламе VeriChip всегда напирает именно на медицинскую полезность своего устройства, потенциально обещающего спасать жизни попавшим в беду людям. [JU02c]

Поскольку и управление санитарного надзора, и Applied Digital Solutions отказались передать в печать документы, сопровождающие выдачу разрешения на VeriChip, правозащитная организация EPIC запустила официальный запрос на получение этой документации на основании закона о праве граждан на доступ к информации (FOIA). У правозащитников нет сомнений, что всякий человек имеет право вживлять в собственный организм что угодно - хоть хвост или рога. Но нынешние совместные маневры бизнеса и власти легко могут привести к тому, что однажды частные работодатели или государственные учреждения в качестве приема на работу начнут требовать у людей согласия на вживление под кожу чипа идентификации. Совершенно добровольного согласия, естественно... [EA02]

Учет и контроль

То, что технология RFID чрезвычайно нравится американской госадминистрации, особенно спецслужбам и военным, не подлежит никакому сомнению. Имеются сведения, что Министерство обороны США впервые начало применять радиочастотные метки еще в 1991 году, во время войны в Персидском заливе, для отслеживания перемещений крупных грузов и транспортных средств. К концу 2003 года высшее руководство Пентагона сочло технологию "умных ярлыков" настолько развитой, что решило радикально перестроить всю неповоротливую, "византийскую" систему закупок и инвентаризации в гигантском военном ведомстве. В конце октября 2003 Пентагон официально объявил о выработке "Политики радиочастотной идентификации", которая потребует от каждого поставщика министерства обороны снабдить к январю 2005 года все свои товары пассивными (с питанием от антенны) чипами RFID. Исключение сделано только для таких "массовых товаров", как песок, гравий и вода. [GL03]

Другая весьма привлекательная для военных область применения технологии RFID и близко ей родственных бесконтактных смарт-карт - это контроль доступа. Широкомасштабные эксперименты с "умными баджами" начались в Пентагоне в 2000 году, вместе с постепенным вводом личных "карт общего доступа" для идентификации военного и гражданского персонала на основе смарт-карт. [RE00]

Но, вообще говоря, к технологиям смарт-карт в Министерстве обороны США начали примеряться по крайней мере года с 1993. Тщательно знакомились с опытом правительственных органов стран поменьше, таких как Испания или Финляндия, где подобные вещи уже введены достаточно широко. Изучали и готовили технологический фундамент в национальной промышленности. Приблизительное представление о том, что представляет собой система автоматизированного контроля доступа в режимных ведомствах, можно получить на следующем примере. На рубеже 1998-99 гг. американская фирма 3-G International (3GI) объявила о выпуске "смарт-картной системы широкого применения Passage Government", предназначенной для решения задач по обеспечению безопасности в правительственных агентствах и организациях. В системе 3GI предусмотрено шесть базовых приложений, куча дополнительных, а также технология управления картами, позволяющая правительственным организациям выпускать "персонализированные" многоцелевые смарт-карты. Каковы же основные приложения Passage Government?

· Мониторинг физического доступа и определение местонахождения персонала - обеспечивает контроль и регистрацию прихода и ухода сотрудников с работы. Для идентификации сотрудников используются цифровые фотографии, и в реальном масштабе времени поддерживается база данных о персональном местонахождении людей. По запросу администрации генерируются соответствующие сообщения и отчеты.

· Учет посетителей - работает совместно с предыдущим приложением. Приложение поддерживает базы данных о посетителях, о временных картах-пропусках, о выдающих эти карты и о принимающих посетителей.

· Контроль за оборудованием - обеспечивает усовершенствованный учет и контроль за имуществом и оборудованием на объекте. Доступ к оборудованию контролируется соответствующей базой данных о владельцах смарт-карт.

· Учет посещаемости - использует возможности смарт-картной технологии для оперативного документирования посещений сотрудниками учебных занятий, встреч, конференций и прочих служебных сборов. Это клиентское приложение "снимает" персональную/административную информацию со смарт-карты посетителя мероприятия и формирует отчеты заседаний.

В 2001 году фирму 3GI поглотила более крупная RSA Security, включив Passage Government в более широкий пакет приложений RSA SecurID Passage. [FA01]

Одно из главных "неудобств" традиционных смарт-карт - для считывания информации их надо непременно проводить через щель прибора считывателя. Другое дело - новые бесконтактные смарт-карты, обменивающиеся информацией с ридером или программатором дистанционно через радиочастотный интерфейс. Метка RFID, по сути своей, та же самая бесконтактная смарт-карта, но с меньшей функциональностью из-за крошечных размеров. С начала 2000-х годов именно RFID и бесконтактные смарт-карты выступают в качестве основы современных систем "умных баджей", внедряемых повсеместно - в госучреждениях и корпорациях, учебных заведениях и тюрьмах. [PE03, JS03]

По секрету всему свету

Мало кому (кроме государства и корпораций) нравится идея крупных баз данных, централизованно хранящих персональную информацию о гражданах. Во-первых, это сверхпривлекательный объект устремлений для злоумышленников, использующих реквизиты чужой личности в своих гнусных целях. Во-вторых, это мощная потенциальная угроза злоупотреблений со стороны владельцев базы и обслуживающего персонала. И в-третьих, коль скоро здесь так глубоко замешан человеческий фактор, надежно защитить подобные хранилища практически невозможно. В таких условиях можно гарантировать, что известия о компрометации очередной крупной базы как появлялись часто прежде, так и будут регулярно появляться впредь. Широкое же внедрение микрочипов радиоидентификации, которые индустрия в ближайшем будущем намерена встраивать чуть ли не во все потребительские товары, непременно увеличит и масштабы компрометации. Потому что RFID, облегчающие корпорациям и торговым сетям учет производства и сбыта, для покупателей означают ведение соответствующих гигантских баз данных о приобретенных ими товарах.

Эта тенденция очень не нравится той части общества, что обеспокоена вторжением корпораций и властей в личную жизнь граждан. Для сопротивления бесконтрольному насаждению RFID создана специальная общественная организация CASPIAN или "Потребители против вторжения супермаркетов в частную жизнь" (Consumers Against Supermarket Privacy Invasion and Numbering). Летом 2003 г. активисты этой организации и решили проверить, как радетели RFID, заверяющие всех в надежной защите накапливаемой информации, в действительности способны хранить секреты. Для этого был проведен нехитрый тест на сайте Auto-ID Center (www.autoidcenter.org) - исследовательского центра консорциума, объединяющего около 100 компаний и 5 университетских лабораторий, разрабатывающих инфраструктуру для широкомасштабного внедрения чипов идентификации. Абсолютно без всяких хакерских ухищрений, просто введя в окошке поиска волшебное слово "confidential", правозащитники получили свободный доступ к целой библиотеке (около 70) конфиденциальных документов, не предназначенных для посторонних глаз. [AM03]

Среди этих материалов оказался, в частности, доклад о мерах по "умиротворению" противников RFID, в котором приводятся цифры внутреннего социологического исследования, показавшего, что около 78% опрошенных граждан "встревожены" посягательством чипов-меток на частную жизнь, а 61% обеспокоены влиянием повсеместно встроенных микросхем на здоровье. В другом документе вносятся предложения по смене отпугивающего названия RFID-чипов на более дружелюбное типа "зеленые ярлыки". Ну, а о документах с подробным расписанием рабочих встреч и детальной контактной информацией функционеров консорциума и говорить не приходится.

Естественно, это дало повод активистам CASPIAN громко заявить о неспособности консорциума обеспечить надежное хранение чувствительной к разглашению информации. В Auto-ID Center, в свою очередь, воздержались от комментариев, однако усилия для более надежного закрытия документов все же приложили. Впрочем, птичка уже выпорхнула из клетки, и конфиденциальные документы можно найти в Сети на множестве сайтов-зеркал (см. cryptome.org/rfid-docs.htm).

Интересно также, что буквально на следующий день после скандала крупнейшая в мире сеть универмагов Wal-Mart (порядка 4700 магазинов по всему миру) неожиданно объявила о сворачивании торгового эксперимента с RFID-чипами в бритвах Gillette. Руководство Wal-Mart не пожелало комментировать прекращение этого проекта, получившего название "умные полки" и уже практически подготовленного к запуску в универмаге Броктона, одного из пригородов Бостона. Но можно предполагать, что скандал в Auto-ID Center был сочтен слишком неблагоприятным фоном для представления публике новой технологии. [GS03]

Охота на ведьм XXI века

Откуда исходит угроза миру?

В последний день 1999 года на страницах популярного сайта Slashdot.org была опубликовано интервью с членами известной хакерской организации L0pht, признанное читателями как один из лучших материалов такого рода за всю историю Slashdot. Интервью было коллективным, то есть ответы давал как бы просто L0pht, без конкретизации на личностях отвечавших. И один из самых первых вопросов звучал примерно так: "Чьи угрозы следует рассматривать более опасными для личных свобод, со стороны правительства или со стороны транснациональных корпораций?"

Вот что, в несколько вольном пересказе, ответили на это хакеры из L0pht. [BR99]

Хотя и правительства, и транснациональные корпорации в значительной степени несут угрозу личным свободам человека (в частности, в Интернете), но существует опасность, значительно превосходящая первые две. Имя ей - неинформированные граждане. И как это ни парадоксально звучит, эта опасность многократно реальнее именно в условиях демократических режимов, где правительства стараются следовать общественному мнению. Потому что уже абсолютно четко видно, как большинство граждан вполне согласны и готовы поступиться своими личными свободами в обмен на ощущение некой безопасности. Обычно это укладывается в формулу типа "ради безопасности наших детей".

Уже сейчас многие люди полагают, что анонимный доступ к Интернету - это признак криминального поведения. Тем, кто управляет рычагами власти, обычно очень хочется, чтобы стремление воспользоваться правом на личную тайну воспринимали как "антисоциальное" поведение. Ведь добропорядочному гражданину нечего скрывать, не так ли? Это только террористам, наркодельцам и всяким прочим педофилам нужно скрывать свои темные замыслы.

На правительство надавливают неинформированные граждане, либо те, кому уже промыли мозги до стадии панического ужаса от угроз современных технологий и от тех людей, которые бесконтрольно могут технологии использовать (хакеров, одним словом). В этом процессе лоббирования активно участвуют и транснациональные корпорации, финансируя деятельность "озабоченных" общественных групп или принимая участие в деятельности ассоциаций, оказывающих консультативную помощь правительственным структурам в технических вопросах. И весьма часто эти рекомендации приводят к очередному урезанию священного права граждан на личные свободы.

Весьма проблематичным является и то, что мир деятельности транснациональных корпораций - это мир частной собственности. И когда какая-либо внешняя группа начинает заниматься тщательным анализом технологических продуктов или коммуникационных услуг корпораций, то возникают конфликты принципиального характера. Если эта группа обнаруживает существенный изъян, скажем, в безопасности и публикует о дыре в защите информацию, то корпорация в свою очередь нередко объявляет, что этим нанесен сильнейший ущерб ее деятельности и затевает судебное преследование в отношении опубликовавших компромат, а то и добивается изменений в законодательстве.

Одна из наиболее известных историй такого рода - судебная тяжба индустрии сотовой связи в США. Клонирование сотовых телефонов было острейшей занозой в наиболее нежных местах индустрии мобильной связи. В конце концов к решению проблемы привлекли американское правительство, дабы подобного рода мошенничество было запрещено специальным законом. В итоге же определенный участок спектра радиочастот стал в США запрещенным для прослушивания и сканирования. А обладание "оборудованием для клонирования" стало преступлением, хотя это просто компьютер, программатор перезаписываемых микросхем и сотовый телефон. Любому, кто понимает техническую суть проблемы, очевидно, что это явная глупость. Но имеющие большие деньги имеют и большое влияние на власть. И именно государственная власть принимает такого рода законы.

Правительство подталкивает людей, люди подталкивают правительство. Уже и не найдешь, кто первым высадил это семя... Те же, кто смыслят что-то в технологиях, страсть как все заняты разработкой какой-нибудь очередной крутой штуковины. Ну, а погруженный в эти технические чудеса мир тем временем все больше сползает к глобальной диктатуре, пока население понемногу привыкает к ней под видом "безопасности".

Конец цитаты, как говорится.

Когда законы готовит полиция

В ноябре 2003 года президент США Джордж Буш обратился с просьбой к американскому Сенату ратифицировать первый международный закон о компьютерных преступлениях или Конвенцию о киберпреступности (Convention on Cybercrime). В своем письме к Сенату Буш назвал этот весьма спорный в своем содержании договор, официально подготовленный Советом Европы, "эффективным инструментом в глобальных усилиях по противодействию преступлениям, связанным с компьютерами" и "единственным многосторонним договором, направленным на компьютерные преступления и электронный сбор улик".

Хотя США не являются членом Евросовета с правом голоса, достаточно хорошо известно, что именно американские правоохранительные органы были главной силой, стоявшей за подготовкой международного договора о киберпреступности. В этом законе они видят путь к выработке интернациональных стандартов в оценке криминальной деятельности, имеющей отношение к посягательствам на авторские права, к онлайновому мошенничеству, детской порнографии и несанкционированным сетевым вторжениям. Как заявляют в министерстве юстиции США, эта конвенция устранит "процедурные и юридические препятствия, которые могут задерживать или мешать международным расследованиям". [DE03]

Поскольку столь благородному, на первый взгляд, делу яростно и который уже год подряд сопротивляются правозащитники многих стран, имеет смысл рассмотреть историю рождения данной конвенции в некоторых содержательных подробностях.

Для компьютерных специалистов, уважающих термин "хакер", под "хакингом" обычно понимается процесс проникновения в суть той или иной вещи. Конечный результат - понимание того, "как это работает", зачастую сопровождаемое предложениями по улучшению работы. У властей же понимание "хакинга" сложилось совсем иное. Поскольку политическое руководство государств - народ занятой, то им некогда разбираться во всех этих терминологических тонкостях. Для этого есть эксперты и консультанты. Раз кругом говорят, что хакеры взламывают защиту компьютерных сетей, значит это дело экспертов из полиции и прочих правоохранительных органов. Логика же полиции свелась примерно к следующему умозаключению: раз хакерская публика мнит себя дюже умной и пишет всякие-разные программы, плодящие киберпреступность и лишающие корпорации доходов, то надо это дело запретить. Причем на корню.

Впервые о подготовке закона стало известно в октябре 2000 года, когда был рассекречен весьма важный и любопытный документ, подготовленный под эгидой Совета Европы и носивший название "22-я версия Проекта договора о киберпреступлениях" (Draft Convention on Cybercrime, № 22 rev). Этот документ, подготовленный в условиях необычной для европейского сообщества секретности, был представлен как "первый международный договор, посвященный уголовному праву и процедурным аспектам разного рода преступного поведения, направленного против компьютерных систем, сетей и данных".

В 22-й версии проекта обнаружилось много чего интересного: и намерение заставить всех интернет-провайдеров хранить подробные отчеты о деятельности своих клиентов (нечто подобное уже реализовал у себя Китай, поскольку это крайне полезный инструмент в борьбе с инакомыслием); и намерение привлекать к уголовной ответственности за посягательство на копирайт (для множества европейский стран это весьма спорный с правовой точки зрения вопрос); и запрет на хакерскую деятельность вкупе с хакерским инструментарием, и ряд положений, игнорирующих презумпцию невиновности, а также побуждающих граждан к "самообвинению". Достаточно подробный разбор весьма спорных юридических новшеств, предложенных в проекте и противоречащих европейской Конвенции о правах человека, был сделан в коллективном письме GILC (www.gilc.org), международной коалиции нескольких десятков правозащитных групп, на имя генерального секретаря Евросовета. По оценкам, сделанным в заявлении GILC, этот проект "противоречит прочно утвердившимся нормам защиты личности, подрывает разработку эффективных технологий сетевой безопасности и снижает подотчетность правительств в их правоохранительной деятельности". [GI00]

В контексте нашей истории наибольший интерес представляют те положения проекта Договора, что посвящены непосредственно хакерам и их инструментам. В компактном представлении выглядят эти положения проекта следующим образом.

Каждая сторона, подписывающая договор, должна принять такое законодательство и прочие меры, которые окажутся необходимы для преследования как уголовных преступлений следующих деяний: (1) доступ к компьютерной системе в целом или любой ее части без надлежащего на то права; (2) осуществляемый с помощью технических средств перехват компьютерных данных, идущих внутри компьютерной системы, от нее или к ней, а также перехват электромагнитных излучений системы, несущих такие компьютерные данные; (3) внесение, уничтожение, подмена, повреждение или удаление компьютерных данных без надлежащего на то права; (4) создание, продажа и прочее распространение устройств и компьютерных программ, разработанных или приспособленных для целей, перечисленных в предыдущих пунктах; (5) распространение информации, способствующей доступу к компьютерным системам без надлежащего на то права.