?Неуязвимость! Отчего системы дают сбой и как с этим бороться. Крис Клирфилд

автомобиле осталось еще немало. Всего несколько месяцев спустя Миллер и Валасек научились удаленно брать под контроль рулевое управление, вызывать неожиданное ускорение и также неожиданно ударять по тормозам. И все это во время движения на высокой скорости.

      «Подлинная угроза, – объяснял Гринберг, – исходит от личностей со злыми намерениями, которые связывают вместе отдельные звенья цепи. Они используют цепочку вирусов для того, чтобы перепрыгивать с одной системы на другую, пока не завладеют всем кодом»{98}. Другими словами, они эксплуатируют сложность системы: используют связи в ней для того, чтобы от программного обеспечения, управляющего аудиосистемой и GPS, внедриться в компьютерные программы, которые управляют самой машиной. «По мере того как автомобили оснащаются все большим количеством функций, – рассказывал нам Гринберг, – расширяются возможности для злонамеренного их использования». А ведь в будущем функциональность машин значительно увеличится: в автомобилях без водителя (беспилотных средствах передвижения) компьютеры начнут контролировать буквально все, а в некоторых таких моделях уже не будет рулевого управления или педали тормоза.

      Уязвимы не только автомобили, банкоматы и кассовые аппараты. После своей презентации в Лас-Вегасе Барнаби Джек обратил внимание на медицинскую аппаратуру и инструменты{99}. Он создал устройство, которое с помощью антенны и ноутбука смогло внедряться в работу инсулиновых помп с расстояния в десятки метров. Джек оказался в состоянии полностью контролировать эти помпы вплоть до того, чтобы давать устройствам команду ввести пациенту весь объем инсулина, содержащийся в контейнере. А это грозит потенциально летальным исходом. Джеку даже удалось убрать из функций работы помпы подачу вибрационного сигнала, который обычно предшествует инъекции.

      Джек также взломал вживляемые дефибрилляторы{100}. Он понял, как удаленно заставить эти похожие на электростимуляторы устройства подавать на сердце пациента электрический разряд в 830 вольт. Такая атака была изображена в психологическом триллере – телесериале «Родина», в котором террористы получили доступ к электростимулятору вымышленного вице-президента США, чтобы убить его. Критики назвали этот эпизод сюжета «надуманным», но Джек полагал, что на самом деле в фильме такая атака только кажется слишком сложной{101}. Многие также серьезно восприняли эту угрозу. За несколько лет до выхода на экраны сериала «Родина» кардиологи вице-президента Дика Чейни отключили функцию удаленного управления на вживленном ему электростимуляторе, чтобы предотвратить негативные последствия возможной атаки.

      Трансформация автомобилей и электростимуляторов из изолированных устройств в сложные, жестко связанные машины – это не что иное, как техническая революция. И это только вершина айсберга. Миллиарды таких машин – от авиадвигателей до домашних обогревателей – стали теперь частью

98

Интервью с Энди Гринбергом от 12 августа 2016 года.

99

Stilgherrian. Lethal Medical Device Hack Taken to Next Level // CSO Online, October 21, 2011. URL: https://www.cso.com.au/article/404909/lethal_medical_device_hack_taken_next_level; David C. Klonoff. Cybersecurity for Connected Diabetes Devices // Journal of Diabetes Science and Technology 9 (5), 2015. P. 1143–1147; Jim Finkle. U.S. Government Probes Medical Devices for Possible Cyber Flaws // Reuters, October 22, 2014. URL: http://www.reuters.com/article/us-cybersecurity-medicaldevices-insight-idUSKCN0IB0DQ20141022.

100

Darren Pauli. Hacked Terminals Capable of Causing Pacemaker Deaths // IT News, October 17, 2012. URL: https://www.itnews.com.au/news/hacked-terminals-capable-of-causing-pacemaker-deaths-319508. Примечательно, что результаты исследований Джека и права на них впоследствии перешли к Джастин Боун из Новой Зеландии, генеральному директору фирмы по разработке систем безопасности для медицинского оборудования MedSec. Эта фирма обнародовала, что обнаружила недостатки в безопасности вживляемых дефибрилляторов, произведенных компанией St. Jude Medical. А та опровергла наличие в ее устройствах каких-либо проблем и подала иск на ложные заявления со стороны MedSec. См.: Michelle Cortez, Erik Schatzker, and Jordan Robertson. Carson Block Takes on St. Jude Medical Claiming Hack Risk // Bloomberg, August 25, 2016. URL: https://www.bloomberg.com/news/articles/2016-08-25/carson-block-takes-on-st-jude-medical-with-claim-of-hack-risk; St Jude Medical Inc v. Muddy Waters Consulting LLC et al., Federal Civil Lawsuit. Minnesota District Court, Case No. 0:16-cv-03002.

101

Barnaby Jack. «Broken Hearts»: How Plausible Was the Homeland Pacemaker Hack? // IO Active Labs Research, February 25, 2013. URL: http://blog.ioactive.com/2013/02/broken-hearts-how-plausible-was.html.