Кибербезопасность: далеко не только хакинг

Область кибербезопасности окружена тайной для тех, кто к ней не причастен, несмотря на то, что она становится более важной, чем когда-либо.

Есть что-то волнительное в одиноком хакере, с помощью одного компьютера и большого мозга проучивающем плохих парней или оказывающем сопротивление властям. Образ хакера ассоциируется со свободой, индивидуальностью и – что нельзя отрицать – небольшим налётом коварства. От культового фильма 1990-х «Хакеры» до более современного (и реалистичного) «Мистера Робота» – хакер давно уже занимает особое место в популярной культуре. Несмотря на такое очарование хакингом, хакерами и кибероружием, данную область плохо понимают все, кроме отраслевых специалистов.

По мере того как индустрия программного обеспечения продолжает «поглощать мир», вместе с ней растёт индустрия безопасности ПО. Чем больше разрабатывается ПО, логично, что тем больше ПО уязвимо к атакам. Среди специалистов даже растёт обеспокоенность из-за того, что занимающимся кибербезопасностью фирмам катастрофически не хватает кадров, да и самих фирм далеко не достаточно, чтобы противостоять растущему числу кибератак. Что ещё хуже, постоянное стремление к ускоренным программам подготовки разработчиков ПО означает, что разработкой кода всё чаще занимаются программисты, не получившие никакого формального обучения по безопасности.

Отсутствие базового образования по безопасности всегда представляло проблему – многие университеты не требуют обучения безопасности в своих программах по компьютерным наукам, – но проблема усугубляется тем, что образовательные учреждения побуждают разработчиков делать больше, имея меньше подготовки. Кроме того, программные экосистемы всё чаще побуждают разработчиков сильно полагаться на ПО от третьих сторон, нередко без анализа этого ПО на уязвимости. Скандал с left-pad 2016 г. позволяет увидеть, как растущая зависимость от ПО от третьих сторон может подвергнуть интернет риску.

Left-pad – это простая программа, вставляющая в левую часть текстовой строки определённый символ (обычно 0 или пробел) до достижения заданного размера. Данная функция в основном используется для форматирования текстового выхода, чтобы его было проще читать. Реализация проста; на момент скандала функция состояла из 11 строк прямолинейного JavaScript. Тем не менее тысячи разработчиков включили эту библиотеку в свой код, причём многие сделали это неосознанно, включив другую библиотеку, содержащую left-pad.