Перейти к материалам
истории

«Мы создаем систему, которая для нас самоубийственна в случае злоупотребления» Интервью вице-президента «Лаборатории Касперского» Антона Шингарева. Он отвечает за связи с госорганами

Источник: Meduza

Последние два года «Лаборатории Касперского» приходится много говорить не об опасности хакеров и вирусов, а о собственной безвредности: все из-за решения властей США, которые в 2017 году запретили использовать в госучреждениях антивирус компании из-за опасений, что она сотрудничает с российскими спецслужбами. Год спустя, осенью 2018-го, «Лаборатория» открыла «Центр прозрачности» в Швейцарии, где стала предлагать экспертам ознакомиться с исходным кодом своих продуктов. Летом 2019-го в Мадриде откроется второй такой центр, а до конца года все данные европейских пользователей начнут обрабатывать непосредственно в Европе. Заместитель главного редактора «Медузы» Султан Сулейманов поговорил с Антоном Шингаревым, вице-президентом «Лаборатории», отвечающим за связи с госорганами по всему миру, о том, насколько эти центры помогают компании вернуть доверие пользователей и госорганов.

Беседа проходила в марте 2019 года. На тот момент было известно только о «Центре прозрачности» в Швейцарии.

— Зачем вы открываете эти центры, зачем вы о них рассказываете? Считаете ли вы, что это поможет вам вернуть доверие?

— Уже помогает. Мы запустили в ноябре 2018 года в Швейцарии центр прозрачности и центр обработки данных. Первые реакции от регуляторов, партнеров, заказчиков, политиков мы стали собирать в начале этого года. Съездили на пару конференций, пообщались в кулуарах. Люди говорят, что дело хорошее, что мы движемся в правильном направлении.

Публично о том, что «Лаборатория Касперского» — нормальная компания, которую запрещать не планируется, заявляли регуляторы во Франции и Германии, а также премьер-министр Бельгии.

— Это уже после запуска центра прозрачности?

— Да. Это был декабрь примерно. Но мы понимаем, что этого недостаточно, всех проблем это не решит. Тут вообще надо быть реалистами, и я прекрасно понимаю, что всегда будет вопрос доверия. Мы раньше находились здесь (показывает руками на начало воображаемого отрезка — прим. «Медузы») и говорили: доверяйте нам, мы хорошие. Но это больше не работает, презумпции невиновности нет, тебе не верят по умолчанию. Мы движемся сюда (показывает почти на самый конец отрезка), говорим: верьте нам, потому что… У нас центр обработки в Швейцарии, у нас есть центр прозрачности, у нас одна из компаний-аудиторов проводит аудит кода и так далее.

Мы говорим: верьте нам потому, что нам можно верить. Но все равно маленький элемент, как бы мы ни двигали этот ползунок в сторону фактов, всегда остается — доверие. В каких-то странах, как в США, например, где политический градус повыше и эмоций побольше, нам сложнее. В европейских странах, где больше к фактам прислушиваются, полегче. В Прибалтике — тоже тяжело, потому что есть тяжелая история, здесь тоже эмоционально политизированная форма. Так что мы движемся. Это помогает, но это длинный процесс.

— Я почитал, что вы открываете код, даете доступ к нему «надежным» людям. Были ли уже такие люди, которые что-то смотрели? Среди регуляторов или компаний?

— Тут надо разделять — компании и госорганы. От компаний уже есть ряд запросов, мы их привозим, показываем. Не код, на самом деле, их код не интересует, у них даже не хватает технических навыков понять, что это такое. Они приезжают пообщаться, чтобы мы им рассказали, что это за продукт, как он работает.

От регуляторов у нас есть только один запрос — от западноевропейского, я пока не могу сказать, из какой страны, потому что мы пока договариваемся, когда, что, где и как. Но один запрос есть, и анализ будет проведен.

Антон Шингарев рассказывает об инициативе «Лаборатории Касперского» по информационной открытости
«Лаборатория Касперского»

Интересный феномен, с которым мы столкнулись. Регуляторы говорят: «Центр прозрачности нам очень важен, но мы туда не поедем. Не поедем потому, что мы и так знаем, что все окей, но он важен, потому что у нас есть эта возможность».

Мы там складываем все сборки (готовые версии программ — прим. «Медузы»), доступные для пользователей, и все обновления к ним. И регуляторы всегда ретроспективно могут проверить любую сборку. То есть им важен сам факт, что есть такая возможность, но проверять пока не спешат.

— Как вы гарантируете, что тот код, те сборки, которые вы покажете в этом центре, — это то же, что уйдет и уходило пользователям?

— Там происходит компиляция — работает так называемый сборочный контейнер. Я сам не технарь, но расскажу, как я это понимаю на своем уровне: вы когда в супермаркете купили наш продукт и установили, там есть файлик с нашим скомпилированным кодом. Мы берем исходный код, привозим его в Швейцарию, там компилируем, и вы можете сравнить — вот код из коробки в супермаркете, которую вы купили, а вот скомпилированный.

Я сразу предупреждаю: там будут расхождения, потому что каждый раз при компиляции есть небольшие расхождения. Поэтому рядом сидит наш эксперт, который объяснит, почему это произошло.

— Когда я читал комментарии на Reddit к новости про запуск центра прозрачности, увидел такой аргумент: с кодом все может быть хорошо, но ведь антивирус, который уже установлен у пользователя на компьютере, подключен к «облаку», и оттуда может прийти команда: «Пришли-ка мне такие-то документы в зашифрованном виде».

— Да, теоретически такая возможность есть: с «облака» может прийти обновление, которое меняет функциональность продукта, и который теоретически может что-то такое [начать] делать. Для этого мы каждый апдейт тоже складываем в репозиторий и предоставляем для проверки.

Тут какая проблема: сделать систему, которая «на лету» будет все проверять и верифицировать, пока невозможно. И это даже регуляторы понимают. Поэтому мы создаем систему, которая для нас самоубийственна в случае злоупотребления. Если какой-нибудь инсайдер решит сделать что-нибудь подобное, рано или поздно это будет найдено.

— Кстати, про инсайдеров. Я еще читал, что вы 100 тысяч долларов предлагаете за поиск багов в продуктах «Лаборатории». Я подумал, что 100 тысяч — это довольно большая сумма, чтобы попытаться устроиться в «Лабораторию Касперского», внедрить туда замаскированный вредоносный код, и потом громко об этом объявить. Что вы будете делать, если кто-то попытается такое провернуть?

— В первый раз слышу такой вопрос. Вообще, это довольно сомнительно с юридической точки зрения — не уверен, что это легально, но [даже] допустим [что да]. Сейчас мы проходим аудит. Не могу сказать, какая фирма, но одна из «большой четверки» делает аудит engineering practice: как пишется код, кто проверяет, у кого есть права, кто проверяет проверяющих, кто его тестирует и так далее. После того, как мы его пройдем, — а я уверен, что мы пройдем, — у нас будет сертификат, что наши практики соответствуют самым жестким отраслевым стандартам. Когда сторонняя организация проводит аудит — это главная гарантия.

 — То есть вы просто докажете, что даже в теории такое невозможно?

— В теории, конечно, все возможно. Но у нас есть все средства, которые этот риск минимизируют. Я не хочу давать ложных обещаний: в этой индустрии теоретически все возможно. Мы говорим про риски и их минимизацию. Вся наша инициатива — она не направлена на уничтожение рисков полностью, это невозможно. Она направлена на минимизацию до приемлемого уровня для регуляторов и партнеров. Мы реалисты.

Регулятор в одной европейской стране говорил нам: «Если вы хотите, чтобы вы стояли на нашей атомной станции, вам нужно: первое, второе, третье». В конечном итоге [получалось, что нам надо] взять и переехать, нанять местного руководителя, местных разработчиков. Мы это понимаем и пытаемся найти компромисс: мы не готовы на полный переезд — значит, про атомные станции забыли. А что мы можем сделать, чтобы это окно возможностей увеличить?

— А что собой представляет центр прозрачности в Швейцарии? На фото с Евгением Касперским это выглядело как датацентр, рядом с которым находится какое-то административное здание.

— Там две сущности. Есть датацентр, а рядом центр прозрачности. И их не надо путать. Датацентр — там стойки, сервера, ничего фантастического нет.

В центре прозрачности тоже нет ничего особенного. Это просто отдельная изолированная комната с усиленными мерами безопасности, с камерами внутри. Вход туда по карточке, перед этим мы переписываем паспортные данные. Проносить туда камеры и телефоны нельзя.

Внутри — компьютер, у которого почти все порты запаяны. Чтобы начать работу, нужно вставить специальный именной ключ, которых всего пара штук на компанию. Ты заходишь, включаешь компьютер. Устанавливается VPN-связь с репозиторием исходного кода, и ты сидишь, проверяешь.

— И рядом сидит специалист? Или ты в одиночку?

— Да, рядом сидит специалист. Не столько из-за безопасности — мы и так кого угодно не пускаем, и там камеры есть. Это скорее в помощь, потому что человеку, который в первый раз видит 20 миллионов строк кода, очень сложно понять, что это такое, откуда и куда. Поэтому экспертная поддержка нужна.

— Если я обращусь за доступом, вы будете проверять, кто я такой?

— Мы проверяем по открытым источникам. Но мы сразу говорим, что каждый визит будет публичным. Мы оставляем за собой право опубликовать фамилию, имя, зачем пришел и когда. Какие модули запрашивал и что проверял. Ну и мы проверяем паспортные данные. У нас нет возможности проверить человека полностью, но мы принимаем меры, чтобы минимизировать риски.

— Вы не только открыли центр прозрачности, но и переносите обработку файлов в Европу. Зачем?

— Мне кажется, это даже важнее. После того, как мы, столкнувшись с обвинениями, перестали бегать по кругу и паниковать, мы поняли, что надо что-то делать. Что будем делать? Решили, что будет неправильно, если мы сами возьмем и придумаем, надо сначала прийти к тем людям, которые сомнения и высказывают. Мы пришли к регуляторам в Западной Европе и честно у них спросили: что вас беспокоит? Какие у вас претензии? Что мы можем сделать?

И нам удалось определить две больших области. Первый риск: бэкдоры. Умышленные, не умышленные, от инсайдера, не инсайдера. Про это мы уже поговорили — это центр прозрачности.

Второй — риск перехвата спецслужбами информации о вирусах, которую мы собираем. Несмотря на то, что это гипотетический риск, их это волнует. Их волнует СОРМ, хотя мы много раз говорили, что мы не субъекты СОРМа, потому что мы не телеком-провайдеры. Мы разработчики софта, причем шифрованного. Но им сложно это объяснить. Поэтому мы пошли на перенос центра обработки данных о вредоносах в Швейцарию. Это процесс, это не так быстро, не просто нажал кнопку и арендовал оборудование, к сожалению. Надо переписывать код, переписывать продукт. К четвертому кварталу 2019 года процесс закончится, и с этого момента вся информация о вредоносных файлах для европейских пользователей, включая Латвию, Литву, Украину — Европа в широком смысле — будет собираться, храниться и обрабатываться там.

— Но если кто-то не доверяет вам и считает, что вы желаете сотрудничать с российскими властями, то каким образом наличие этих центров в Швейцарии их успокоит? Ведь эти же собранные данные все равно могут «уехать» в Россию на сервер к товарищу майору.

— Это будет видно. Мы сейчас ищем «третью сторону» — организацию, которая будет это мониторить.

Предположим совсем фантастический сценарий: мы собрали какой-то массив данных в Швейцарии, его вдруг надо отправить в Россию. Пойдет большой трафик, это будет заметно.

Мы опять говорим про вероятности. Мы не можем полностью убрать этот риск. Точнее, можем, но для этого нам надо переехать в Швейцарию — тогда швейцарцы будут рады. Но не будут рады другие. Поэтому нам надо или открыть 189 «Лабораторий Касперского», или придумать другие пути. Наша логика — разработка остается в России, потому что русские программисты очень сильные и качественные, при этом недорогие. По соотношению цена/качество — они топ. Но саму инфраструктуру мы разносим.

В мире тренд на так называемую балканизацию, фрагментацию. Законы, которые принимаются в России, вполне в духе этого тренда. Китай обычно первый, но тренд вполне очевиден — строительство границ, отделение от других. И Европа движется туда же.

«Лаборатория Касперского»

— Расскажите про Штаты — там вы вообще приостановили активность, потому что никакого смысла нет? Или вы ждете чего-то?

— Не совсем так. Америка для нас даже сейчас, несмотря на падение, огромный важнейший рынок, который растет в диджитале — растут онлайн-продажи. Мы ни в коем случае оттуда не уходим. Но что точно заморожено — все связи с госорганами. Три-четыре года назад мы помогали ФБР и Министерству внутренней безопасности США в расследованиях преступлений, связанных с русскими хакерами. Сейчас этого даже близко нет, причем это решение с их стороны.

— А кулуарно они как-то говорят вам, что им стало тяжелее или нет?

— Да. Обычные офицеры на среднем уровне, которые отвечают за расследования и поимку преступников, хотят работать. Но люди, которые принимают решения, под влиянием политики не дают этому случиться. Это классическая история, на мой взгляд, «выколю себе глаз, чтобы зять у тещи был одноглазым». Они стреляют себе в ногу. Это однозначно негативно для американского бизнеса и граждан, потому что мы лучше всех в мире знаем о русскоязычных угрозах, о русскоязычных хакерах. Просто потому, что мы давно работаем в России, мы так или иначе защищаем практически все банки российской банковской системы, мы знаем про российскую киберпреступность почти все. И они сами себя ограничивают от этого огромного массива данных, которые могут им позволить защититься. Мне кажется, это очень большая ошибка.

Султан Сулейманов