Читаем Кибервойн@ полностью

Серьезные покупатели информации об уязвимостях нулевого дня, такие как АНБ, добывают ее разными способами. Они создают резервы на будущее. По словам бывшего высокопоставленного государственного чиновника, получившего информацию на секретном совещании с руководителями АНБ, агентство хранит данные более чем о двух тысячах уязвимостей нулевого дня для потенциального применения против одних только китайских электронных систем. Это потрясающе огромное количество эксплоитов. Компьютерный червь Stuxnet, который был создан совместными усилиями США и Израиля для нарушения работы объектов иранской атомной программы, содержал четыре эксплоита нулевого дня, что само по себе немало для одной атаки. Коллекция из 2000 эксплоитов нулевого дня – это кибернетический аналог ядерного арсенала.

Этот арсенал к тому же подвергает риску пользователей во всем мире. Раз АНБ запасает данные об уязвимостях, вместо того чтобы сообщать производителям высокотехнологичной продукции, что в их аппаратном и программном обеспечении имеются изъяны, значит агентство, вероятно, скрывает ценную информацию, которая могла бы быть использована для защиты от злонамеренных хакеров. АНБ, конечно же, использует накопленные знания об эксплоитах нулевого дня для затыкания дыр в технических средствах, которые оно применяет или может применить в рамках военной или разведывательной деятельности. Но оно не предупреждает остальной мир, ведь тогда эксплоиты нулевого дня будут менее эффективны или вообще бесполезны. Если АНБ предупредит технологические компании об уязвимостях в их продуктах, то потенциальные цели агентства в Китае или Иране смогут подготовиться к отражению атак.

Однако на теневом рынке уязвимостей нулевого дня никто не дает гарантий, что АНБ приобретает исключительные права на информацию об этих уязвимостях. Один сомнительный поставщик, французская компания Vupen, продает информацию об одних и тех же уязвимостях нулевого дня и одни и те же эксплоиты многим клиентам, в том числе и государственным ведомствам разных стран. АНБ тоже является клиентом компании Vupen – из общедоступных документов видно, что агентство приобретает информацию об уязвимостях нулевого дня по подписке, которая предполагает получение информации об определенном количестве уязвимостей в течение срока действия договора. (Вооруженное этой информацией, АНБ может создать собственные эксплоиты.) Vupen также ведет каталог сложных, готовых к реализации атак нулевого дня, которые стоят гораздо дороже информации, распространяемой по подписке.

АНБ знает, что Vupen не всегда заключает эксклюзивные договоры, поэтому агентству приходится покупать все больше и больше информации об уязвимостях нулевого дня, рассчитывая на то, что по крайней мере какая-то часть из них окажется бесполезной в случае, если другое государство или компания, или криминальная группа воспользуются ими. Критики обвиняют компанию Vupen в поддержке «гонки кибервооружений» – стравливании государственных разведслужб и вооруженных сил друг с другом. Клиенты Vupen знают, что, если они упустят возможность купить информацию об очередной уязвимости, компания обязательно найдет клиента где-нибудь еще. Уязвимости, информацией о которых владеет Vupen, не являются уникальными для какой-то одной страны. Многие из них обнаружены в широко продаваемых высокотехнологичных продуктах, используемых по всему миру. Таким образом, у государств имеется стимул приобретать как можно больше информации об уязвимостях нулевого дня как для самозащиты, так и для проведения атак на своих противников.