IT-инженер Никита Кузнецов считает, что разговор о цифровой безопасности нужно начинать не с антивирусов и паролей, а с того, как устроено доверие внутри системы. Важно понимать, кто кому доверяет, какие ключи используются для проверки и почему одна машина принимает команды другой.
Пароль сотрудника можно изменить. Гораздо опаснее, когда под угрозой оказывается доверие между целыми технологическими системами: сервисами, банками, центрами сертификации, платформами обновлений и издателями программ.
Пока всё работает штатно, эта архитектура остаётся незаметной. Однако именно она определяет, что произойдёт, если доверенный ключ окажется у злоумышленника.
«Антивирус ищут, когда уже страшно. Устройство мира видно раньше: кто кому верит и что будет, если эта вера окажется поддельной».
Компьютеры не распознают «своих» так, как это делают люди. Они проверяют ключи, цифровые подписи и цепочки доверия. В конце такой цепочки находится корневой сертификат — точка, которую система заранее считает надёжной.
Браузеры используют собственные списки корневых центров сертификации. Серверы проверяют подписи токенов, а системы распространения программ — подписи издателей и пакетов. Платёжная инфраструктура действует по своим правилам подтверждения операций.
Именно поэтому компрометация корня доверия может оказаться опаснее кражи отдельного пароля. Учётную запись можно заблокировать. Но если поддельным становится сам источник доверия, последствия затрагивают всех, кто на него опирался.
«Самый дорогой взлом — не тот, где украли базу. А тот, где вам начали верить поддельную подпись. После этого система честно открывает двери не тому».
История DigiNotar в 2011 году стала одним из таких примеров. После взлома голландского центра сертификации злоумышленники смогли выпускать поддельные сертификаты для чужих доменов. В итоге корневые сертификаты DigiNotar пришлось удалить из доверенных хранилищ браузеров и операционных систем.
Особенность подобных атак заключается в том, что система может работать формально правильно. Сертификат предъявлен, подпись проверена, цепочка доверия выстроена, а операция отражена в журнале как успешная.
Проблема находится глубже: все правила были выполнены, но основаны они были на ложном доверии.
Поэтому Кузнецов рассматривает цифровую подпись не как техническую формальность, а как право действовать от имени системы. Потеря ключа означает, что посторонний получает возможность выдавать команды, обновления или данные за легитимные.
Риски скрыты в цепочке поставок
Современный цифровой продукт редко состоит только из собственного кода компании. В нём используются сторонние библиотеки, пакеты, контейнерные образы, внешние сервисы, репозитории и автоматические обновления.
Каждый такой элемент добавляет новую точку доверия.
«Вам сломали не сервер. Вам сломали деталь, которую вкрутили все. Поэтому расследование начинается с вопроса не “кто к нам вошёл”, а “кому мы сами открыли ворота по инструкции”».
В 2020 году атака SolarWinds показала, насколько опасным может быть компрометация цепочки поставок. Вредоносный код оказался внутри легитимного обновления и распространялся по обычному каналу. Пользователи не открывали подозрительный файл — они устанавливали программу, которой уже доверяли.
Уязвимость Log4j, обнаруженная в 2021 году, выявила другую проблему. Библиотека использовалась настолько широко, что многие организации сначала пытались понять, присутствует ли она вообще в их инфраструктуре.
В 2024 году история с xz Utilities продемонстрировала ещё один сценарий. Попытка внедрения бэкдора развивалась постепенно, через участие в open-source-проекте и формирование доверия внутри сообщества разработчиков. Атакующий рассчитывал не на один сайт или сервер, а на компонент, который мог попасть в большое количество систем через обычные обновления.
Механизмы атак были разными, но принцип оставался общим: злоумышленники пытались использовать доверие, уже существовавшее внутри отрасли.
Отсюда возникает практический вопрос: понимает ли компания, из чего в действительности собран её продукт?
Необходимо знать, какие зависимости есть у библиотек, из какого образа создаётся контейнер, где подписывается пакет, какая версия используется в production и какие системы получат компонент после обновления.
До инцидента такие вопросы могут казаться бюрократией. После обнаружения критической уязвимости именно они позволяют быстро определить масштаб проблемы.
«Если вы не можете за час сказать, из чего собран боевой контур, у вас нет безопасности поставки. У вас есть надежда, что чужая деталь сегодня добрая».
Остановка системы тоже становится атакой
Для Кузнецова безопасность — это не только защита информации. Иногда злоумышленнику не нужно ничего красть. Достаточно остановить работу сервиса.
Интернет-магазин можно атаковать не ради клиентской базы, а чтобы сорвать продажи в самый загруженный день. Банковской системе можно не причинять прямого ущерба — достаточно сделать недоступными платежи. Логистической компании можно не уничтожать данные, а лишить её возможности управлять перевозками.
«Сервис не обязательно красть. Иногда достаточно не дать ему включиться. Для клиента это уже смерть продукта. Для бизнеса — смена режима с работы на тушение».
DDoS-атаки давно стали самостоятельным рынком. В нём используются арендуемые вычислительные мощности, ботнеты, вымогательство и политически мотивированные кампании.
Атака на DNS-провайдера Dyn в 2016 году показала, как зависимость от одного инфраструктурного слоя может повлиять сразу на множество сервисов. Пользователям казалось, что одновременно перестали работать разные сайты, хотя значительная часть сбоя была связана с системой разрешения доменных имён.
NotPetya в 2017 году продемонстрировал ещё более тяжёлые последствия. Для ряда компаний атака привела не только к повреждению компьютеров, но и к остановке реальных бизнес-процессов. У Maersk сбой затронул глобальную IT-инфраструктуру и логистическую сеть.
Поэтому доступность нельзя считать второстепенной характеристикой после конфиденциальности. Для многих организаций способность продолжать работу является главным активом.
«Когда контур не дышит, уже неважно, украли из него что-то или нет. Неработающая касса, стоящий рейс и молчащий реестр стоят дороже украденной таблицы».
Сегментация ограничивает ущерб
Отдельного внимания требует архитектура сети. В обычных условиях единый внутренний контур кажется удобным: сервисы свободно взаимодействуют, администраторам проще управлять инфраструктурой, а разработчикам не приходится преодолевать дополнительные ограничения.
Во время атаки это удобство превращается в готовый маршрут для распространения злоумышленника.
Взлом одной машины не должен автоматически открывать доступ к почте, платёжной инфраструктуре, административным панелям, резервным копиям и производственным системам. Для этого применяется сегментация.
«Общая сеть экономит время в мирный день. В день удара она экономит злоумышленнику маршрут. Сегментация — это не паранойя. Это решение, какие стены должны остаться стоять, когда одна комната уже горит».
Такие «стены» нужны не ради сложных сетевых схем. Разные части инфраструктуры имеют разную цену отказа.
Публичный сайт может временно перестать работать, но это не должно означать потерю контроля над платёжными ключами. Взлом корпоративной почты не должен открывать доступ к системе подписи. Тестовая среда может иметь менее строгий режим защиты, но ей нельзя разрешать видеть секреты production.
Особенно опасен административный контур: через него можно изменить состояние всей системы. Если все среды фактически соединены, одна ошибка может обернуться проблемой для всей инфраструктуры.
Критическая инфраструктура защищает право доверять
В критических системах понятие секрета не ограничивается паролем. Пароль можно сменить, API-ключ — отозвать, сертификат — перевыпустить. Но в критической инфраструктуре важно также понимать, кто имеет право подписывать обновления, менять доверенные корни, управлять резервными площадками и принимать решение об отключении отдельных компонентов.
«Пароль кончается там, где начинается режим. Режим — это уже не строчка, которую кто-то запомнил. Это правило, по которому система имеет право работать, останавливаться и никому не верить по умолчанию».
В крупном цифровом контуре главным секретом часто становится не файл, а карта доверия.
Кто может подписать обновление? Кто вправе изменить конфигурацию? Кто способен отозвать ключ? Где находятся резервные мощности? Какие системы могут обмениваться данными? Как быстро один контур можно изолировать от другого?
Для платёжной системы, государственного реестра, оператора связи или крупной логистической платформы это уже не только IT-вопросы. От них зависит, сможет ли организация продолжить работу после серьёзного инцидента.
«В большом контуре секрет — это не прятки. Это право решить, кому система ещё верит. Потерять это право страшнее, чем потерять файл».
В упрощённом виде логика выглядит так: компьютеры доверяют ключам и подписям, продукты зависят от цепочек поставок, сервисы — от инфраструктуры, а сеть может либо ограничить атаку, либо помочь ей распространиться.
Критическая система должна заранее знать, кому разрешено менять правила доверия.
Поэтому безопасность нельзя купить одной программой или добавить перед самым запуском продукта.
«Безопасность начинается не с вопроса, какой у нас антивирус. Она начинается с вопроса, кому наши машины согласны верить и что мы сделаем в ту минуту, когда эта вера окажется ложной».
Для Никиты Кузнецова разница между защищённой системой и системой, которой просто пока повезло, заключается в понимании собственных зависимостей.
Нужно знать, откуда инфраструктура получает код, кому доверяет, где заканчиваются полномочия одного контура, кто может изменить корень доверия и какие компоненты должны продолжить работу даже после компрометации соседних систем.
Антивирус устанавливается за несколько минут. Архитектуру доверия необходимо продумывать заранее.
