Nie ma zabezpieczeń nie do obejścia lub nie do złamania. Można jednak to zadanie hakerom utrudnić, stosując choćby podstawowe zabezpieczenia i zasady cyberhigieny – mówi kmdr por. Wiesław Goździewicz, szef Biura Prawnego Centrum Szkolenia Sił Połączonych NATO w Bydgoszczy. Oficer będzie jednym z prelegentów na tegorocznym forum CYBERSEC.

Żyjemy w erze cyfrowej. Poza dobrodziejstwami niesie ona także zagrożenia. Jak bardzo niebezpieczne są ataki w sieci i czy cyberbroń weszła już do arsenałów najpotężniejszych armii świata?

Kmdr por. Wiesław Goździewicz: Dotychczas ujawniono zaledwie kilka przypadków typowo militarnego wykorzystania cybernarzędzi. Robiła to Rosja zarówno podczas wojny w Gruzji, jak i na wschodzie Ukrainy. Za przykład może posłużyć także Izrael, który między 2008 a 2010 rokiem za pomocą złośliwego oprogramowania o nazwie Stuxnet najprawdopodobniej doprowadził do uszkodzenia irańskich wirówek do wzbogacania uranu. Także Izrael podczas operacji „Orchard” w 2007 roku użył, co jest wielce prawdopodobne, zaawansowanego narzędzia cybernetycznego do sparaliżowania syryjskiej obrony powietrznej.

Rozwój wojskowych ofensywnych technologii cybernetycznych jest groźny także z innego powodu. Wydawało się, że dzięki nowoczesnemu rozpoznaniu i łączności dowódca operacji będzie miał dostęp do wszystkich potrzebnych informacji. Tymczasem staliśmy się zakładnikami tych rozwiązań. Przecież celem ataku może być sama sieć teleinformatyczna, co może spowodować odcięcie dowódców i żołnierzy od jakiejkolwiek informacji. Dlatego doktryny szkoleniowe zakładają, że wojsko musi być gotowe do działania w sytuacjach ograniczonego dostępu do sieci lub nawet całkowitego jego braku. NATO oraz poszczególne państwa członkowskie próbują stawić czoła temu zagrożeniu i wdrażają rozwiązania umożliwiające uniezależnienie się od sygnału GPS oraz innych zaawansowanych narzędzi cyfrowych z obszaru C4ISR, czyli łączności, dowodzenia, kierowania, komputerów, rozpoznania i wywiadu.

Wyobraźmy sobie sytuację, w której naszpikowane elektroniką samoloty lub kierowane precyzyjnie uzbrojenie zostają nagle pozbawione sygnału GPS. Staną się one przynajmniej częściowo bezużyteczne. Według Amerykanów tak naprawdę jedynym rodzajem sił zbrojnych, który potrafiłby funkcjonować w takiej sytuacji, jest marynarka wojenna.

Obecnie w dużej mierze opieramy swoje funkcjonowanie na Internecie, wszystko jest ze sobą połączone. Z jakimi zagrożeniami to się wiąże i jak szybko narastają te zagrożenia?

Powszechność wykorzystania Internetu niesie ze sobą zagrożenia, dlatego najbardziej newralgiczne systemy wojskowe muszą być odizolowane od ogólnodostępnej sieci. Czy będzie to osiągnięte przez fizyczną separację sieci czy dzięki zastosowaniu tzw. diod danych, które umożliwiają filtrowanie ruchu sieciowego, albo przez uczynienie go wręcz jednokierunkowym, jest to sprawa drugorzędna. Musimy być świadomi, że te systemy, które korzystają z otwartego dostępu do Internetu, mogą zostać spenetrowane. Nie ma bowiem zabezpieczeń nie do obejścia lub nie do złamania. To tylko kwestia czasu. Można jednak to zadanie hakerom utrudnić, stosując choćby podstawowe zabezpieczenia i zasady cyberhigieny.

Media pisały niedawno, że dowódcy wojskowi uświadomili sobie, że wykorzystywane przez żołnierzy dane gromadzone przez aplikacje rejestrujące trasy joggingu umożliwiały naszkicowanie map wojskowych kompleksów i instalacji. Jak się chronić przed takimi zagrożeniami?

Najważniejszy jest rozsądek. Dotyczy to korzystania ze wszystkich dobrodziejstw cywilizacji, nie tylko z Internetu. Wspomniane aplikacje monitorujące treningi to tylko jeden z przykładów. Rosjanie wykorzystali już śledzenie aktywności w sieci na polu walki. Dzięki danym zamieszczanym w Internecie oraz informacjom pochodzącym od operatorów sieci komórkowych mogli precyzyjnie namierzać użytkowników smartfonów i na tej podstawie kierować ostrzał artyleryjski.

Podstawowe zasady cyberhigieny to przede wszystkim ostrożność, jeżeli chodzi o publikowanie danych. To konieczność zadania sobie odrobiny trudu, żeby skonfigurować aplikacje zainstalowane na naszych smartfonach i, na przykład, ograniczyć ich dostęp do galerii lub do kontaktów. Także media społecznościowe bardzo łatwo wykorzystać przeciwko potencjalnym użytkownikom. Naprawdę nie trzeba posuwać się do włamania do urządzenia, by poznać wrażliwe dane użytkownika. Często wystarczą otwarte źródła, na przykład publikowane przez nas posty. Swego czasu Belgijski Bank Centralny prowadził kampanię uświadamiającą obywateli, że wyłącznie na podstawie danych publikowanych w mediach społecznościowych hakerzy mogą uzyskać względnie swobodny dostęp do systemów bankowości elektronicznej. Przestępcy wiedzą, że wielu z nas nie przestrzega nawet podstawowych zasad cyberhigieny i jako hasło wykorzystuje datę urodzenia, adres czy inne dane, które bezwiednie ujawniamy w Internecie.

Niedawno rosyjskie ministerstwo obrony wprowadziło całkowity zakaz korzystania z mediów społecznościowych przez rosyjskich żołnierzy. Czy taką drogę obierze także NATO?

Nie sądzę, by w demokratycznym państwie prawa takie zakazy były możliwe do wprowadzenia. Natomiast należałoby się zastanowić nad ograniczeniem korzystania z mediów społecznościowych czy smartfonów podczas realizacji zadań służbowych. Dla przykładu, po kilku głośnych aferach związanych z publikacją nagrań z Afganistanu czy Iraku w armii amerykańskiej zabroniono żołnierzom zabierania na patrole prywatnych urządzeń nagrywających. Właśnie po to, by wrażliwe dane i szczegóły operacyjne nie wyciekały do sieci.

Jak Polska wypada na tym polu? Jesteśmy w stanie zaoferować technologie, które są konkurencyjne dla mocarstw i wielkich graczy?

Nie mamy się czego wstydzić. Zwłaszcza jeżeli chodzi o startupy, czyli młode, niewielkie przedsiębiorstwa sektora wysokich technologii. Jest kilka narzędzi z dziedziny cyberbezpieczeństwa, które powstały w Polsce i spokojnie mogą konkurować z produktami gigantów technologicznych. W tej sferze jesteśmy jednym z europejskich liderów. Zarazem fakt, że dany produkt pochodzi z niewielkiego przedsiębiorstwa i jest opracowywany na potrzeby konkretnego zamawiającego, może być przewagą w stosunku do produktów komercyjnych. Te drugie mogą być niedostosowane do potrzeb konkretnego użytkownika, mieć luki w zabezpieczeniach czy wręcz specjalnie pozostawione przez producenta furtki umożliwiające mu podglądanie aktywności klientów. Za przykład może posłużyć przypadek The Hacking Team firmy, która produkowała systemy umożliwiające zdalny dostęp do danych gromadzonych w smartfonach. Zostały one sprzedane kilkunastu europejskim służbom specjalnym. Następnie The Hacking Team samo zostało zaatakowane. Hakerzy ujawnili, które służby oraz za jakie pieniądze nabyły to narzędzie. Mało tego, przeanalizowano kody źródłowe oprogramowania i okazało się, że producent specjalnie zostawił w nim furtki. Dzięki temu mógł wyciągać od swoich klientów dane, które były przedmiotem kontroli operacyjnej. Podobnych przypadków było kilka.

A jak radzimy sobie z przeciwdziałaniem atakom w cyberprzestrzeni?

Jeżeli chodzi o możliwości przeciwdziałania, to nie ma sensu ukrywać, że przestępcy komputerowi czy cybernetyczni zawsze będą o krok przed użytkownikami czy organami ścigania. Choćby z tego względu, że nie muszą przestrzegać prawa. Niemniej jednak ostatnie sukcesy chociażby CBŚP, które schwytało bardzo groźnych przestępców komputerowych, pokazują, że jesteśmy w stanie skutecznie wykrywać cyberprzestępstwa, ścigać je i ostatecznie sądzić ich sprawców.

Można przewidzieć, w jaki sposób rozwinie się cyberprzestępczość oraz jakie powstaną narzędzia do jej zwalczania?

Rozwój technologii komunikacyjnej jest tak szybki, że w ciągu dwóch lat dokonuje się więcej odkryć niż dziesięć lat temu w ciągu całej dekady. Trudno w tej chwili przewidywać, w jakim kierunku będzie ewoluować cyberprzestępczość. Biorąc pod uwagę tempo postępu technologicznego, może to być nie tyle ewolucja, ile rewolucja. Ale nie tylko hakerzy uczą się i pozyskują nowe technologie. Czynią to również organy ścigania. Jeżeli chodzi o wykrywanie sprawców przestępstw komputerowych, bardzo wiele zasług mają także przedsiębiorcy sektora teleinformatycznego oraz handlu internetowego, dzięki którym organy ścigania uzyskują szybki dostęp do danych.

Należy jednak pamiętać, że działanie cyberobrońców jest zazwyczaj reakcją na wykorzystanie czy odkrycie luki w zabezpieczeniach przez stronę przeciwną. Dopiero wtedy administratorzy systemu czy twórcy oprogramowania orientują się, że problem w ogóle istnieje. Część środowiska programistów pomaga sobie wzajemnie i informuje o znalezionych lukach, ale równocześnie w sieci kwitnie handel informacjami o słabych punktach programów, a także narzędziami umożliwiającymi ich wykorzystywanie. Naprawdę nie jestem w stanie przewidzieć, w jakim kierunku zmierza ten nieustanny wyścig zbrojeń. Obawiam się jednak, że będzie to niekończąca się opowieść.

Kmdr por. Wiesław Goździewicz – szef Biura Prawnego Centrum Szkolenia Sił Połączonych NATO w Bydgoszczy. Jest specjalistą w dziedzinie międzynarodowego prawa humanitarnego oraz prawnych aspektów operacji wojskowych zarówno w kontekście działań konwencjonalnych, jak i operacji cybernetycznych, w tym w przestrzeni kosmicznej. Podczas forum CYBERSEC 2018 w Krakowie przedstawi prezentację na temat prawnomiędzynarodowych aspektów operacji cybernetycznych oraz poprowadzi dyskusję o roli wojsk specjalnych w prowadzeniu operacji cybernetycznych. „Polska Zbrojna” jest patronem medialnym konferencji.