Аппаратные закладки vs софт-уязвимости. Честный разговор о том, где на самом деле прячется угроза
В моей недавней публикации, посвященной цифровому суверенитету финансовой инфраструктуры, я затронул тему аппаратной зависимости. Тезис был жестким: без собственных процессоров, чипов памяти и контроллеров любые разговоры о платежном суверенитете остаются теорией. Импортозамещение ПО — да, локализация «железа» — всего около 40%, и это с учетом корпусов. Основные компоненты — чужие. А значит, существует гипотетический риск закладок и даже дистанционной остановки систем через прошивки.
Однако после публикации ко мне пришло аргументированное возражение от весьма уважаемого коллеги, относящегося к VIP-эшелону нашего платежного мира, пожелавшего остаться неизвестным. Его тезисы заставили меня взглянуть на проблему под другим углом, и я считаю важным представить этот диалог читателям PLUSworld в полном объеме.
Стратегический вызов: почему «железо» имеет значение
Мой исходный посыл был осознанно провокационным: пока мы не производим критическую микроэлектронику, мы уязвимы. Коллега возразил: «Риски уровня закладок в железе — как-нибудь справимся. Операционные и программные средства куда как важнее. Тем более что сегодня практически все ключевое железо уже китайское. И жить с этим очень долго».
Я с этим согласен на 80%, но есть важное «но»:
1. Повседневные vs системные риски. Коллега абсолютно прав: в повседневной операционной деятельности банка закладки в железе действительно не являются главной головной болью. Текущие риски — это сбои ПО, DDoS-атаки, внутренние ошибки операторов. С этим банки борются каждый день, и у них есть наработанные практики. Но я говорил о рисках системных — тех, которые реализуются в момент целенаправленного внешнего воздействия. Если завтра отношения с Китаем или с конкретным производителем «железа» осложнятся, гипотетическая возможность скрытой деградации критических систем становится не технической, а политической. И это уже не из разряда «как-нибудь справимся» — это сценарий, на который у банка просто не будет времени реагировать.
2. Иллюзия «китайской безопасности». Китайское «железо» само по себе базируется на западных архитектурах (американской x86 и британской ARM) и критически зависит от лицензий и технологических цепочек, контролируемых США и их союзниками. Если санкционное давление усилится, китайские вендоры могут потерять доступ к обновлениям технологий. Мы зависим не столько от «китайского» как такового, сколько от глобальной полупроводниковой цепочки, где США сохраняют ключевые позиции.
3. Реалии проверки «железа». Коллега упоминает, что спецприборы в РФ проверяются на закладки. Это справедливо для штучных заказов (военные, космические, спецслужбы), где возможно глубинное вскрытие кристаллов и анализ на уровне схемотехники. Но для массового серверного оборудования, которое стоит в ЦОДах банков, такая проверка экономически и технологически нереализуема: полный анализ одного чипа стоит дорого и занимает месяцы. Сертификаты ФСТЭК подтверждают поведение в штатных режимах, но не гарантируют отсутствия скрытых триггеров. Поэтому мы говорим о рисках для всей отрасли, а не для отдельного закрытого контура.
Моя позиция проста: аппаратная зависимость — это риск не первый по срочности, но первый по стратегической важности. Это как страхование жизни: большинство проживет долго, но полис нужен на случай непоправимого. Я не говорю, что завтра все сломается. Я говорю, что нужно иметь план на случай, если сломается.
Технологическая реальность: уточнение от анонимного коллеги
Здесь я хочу снова дать слово коллеге, который указал на важный технологический нюанс. Его аргумент заслуживает самого пристального внимания, поскольку он смещает фокус с гипотетических страхов на реальную практику.
«Вы пишете: "Если завтра отношения с Китаем или с конкретным производителем «железа» осложнятся, гипотетическая возможность скрытой деградации критических систем (например, инициирование сбоев при пиковых нагрузках или утечка данных через цепочку обновлений прошивок) становится не технической, а политической".
Так вот, смена прошивок, обновлений и т. п. – это не аппаратный уровень, а уровень ОС. И именно его я считаю критическим в случае таргетированных атак. Закладки не в железе, закладки в системном софте, на котором это железо работает… От самого нижнего уровня – до прикладного. И вы ровно про это же пытаетесь сказать!
Вектор атак через реальное железо – когда в чип-сете сидит отдельный жучок, невидимый глазу электронного микроскопа, – это о-оочень специальные чип-сеты, совсем не массового производства (на которых работают большинство серверов). И вот такие спецприборы проверяются на закладки в железе, и вообще в них стараются избегать наличия чужеродных компонент.
По крайней мере все известные мне атаки – через деградацию сервиса шли именно на уровне ОС. Про атаки на уровне железа знаю буквально пару случаев, которые делались изначально с прицелом на конкретные предприятия и требовали, кроме всего прочего, большой оперативной спецподдержки в дальнейшем. Сегодня, с развитием интернета и удаленным управлением всем и вся, залезать в «железный» уровень совсем не надо… Долго, сложно и дорого. Равно как и с чипами карт – вскрывать карту и ключи шифрования никто не будет – есть куча других элегантных способов. ЧИП защищен криптографией достаточно хорошо, чтобы делать атаки на него экономически бессмысленными. Так же и с железом компьютеров».
Развивая мысль коллеги
Коллега поднял крайне важный вопрос, который заслуживает отдельного внимания, — он помогает точнее сформулировать проблему.
Действительно, говоря о «прошивках», я, возможно, излишне упростил картину, назвав их частью «железного» уровня. Коллега совершенно прав в том, что подавляющее большинство реальных атак идет через программные интерфейсы — будь то ОС, прикладное ПО или системные утилиты. С этим не поспоришь: практика подтверждает его слова.
Однако если мы чуть пристальнее взглянем на архитектуру, становится видна та самая «серая зона», о которой мы оба, по сути, говорим. Прошивка (firmware) — это не совсем операционная система в классическом понимании. Это скорее микрокод и системный софт (UEFI/BIOS, прошивки сетевых карт, RAID-контроллеров, чипов управления питанием), который зашит в микросхемы на материнской плате и других компонентах. Он находится между железом и операционной системой: ОС обращается к железу через этот микрокод. Системный софт – именно тот самый слой, где даже идеально защищенная ОС оказывается беспомощной. Можно поставить самую надежную российскую операционную систему, но если микрокод процессора содержит скрытые команды или обновление прошивки сетевой карты приходит от вендора без нашего контроля – мы играем в поддавки.
И здесь мы касаемся еще одного аспекта, который имеет прямое отношение к стратегической архитектуре. Речь идет о так называемых «полицейских режимах» – механизмах, которые могут быть заложены в каждый чип на этапе производства. Их активация может осуществляться адресно, по внешней команде, и они способны обходить любые средства защиты, встроенные в ядро операционной системы, поскольку работают на уровне микрокода или аппаратных триггеров – ниже любой программной изоляции. Их принципиальная реализуемость – это инженерный факт, который нельзя игнорировать при построении долгосрочной стратегии. Даже если сегодня все атаки идут через софт, завтра, при изменении геополитической ситуации, этот скрытый рычаг может стать инструментом давления, и никакая защита ОС его не остановит. Именно поэтому мировые разработчики стремятся выносить критическую аутентификацию в аппаратные изолированные среды – такие как аппаратные модули безопасности (HSM) и доверенные среды исполнения (TEE, Secure Enclave).
Коллега прав, когда говорит о приоритете софта сегодня, но завтра без контроля над прошивками любой наш софт так и останется заложником «чужого» микрокода.
Здесь мы уже подошли к зоне консенсуса: даже если мы заменим ОС на отечественную, прошивки контроллеров и микрокод, поставляемые с чипами, остаются для нас «черным ящиком» от зарубежного вендора, или:
● коллега прав в том, что сегодня атаки идут через софт, — и это наш главный операционный фронт;
● я добавляю к этому, что при изменении геополитического ландшафта «черный ящик» может стать инструментом давления. И вовсе не потому, что кто-то хочет или не хочет вскрывать каждый чип, а потому, что доступ к обновлениям микрокода или его целенаправленная модификация могут быть заблокированы на уровне вендора.
Главный мой посыл — не противопоставление, а скорее дополнение: пока мы укрепляем софт, давайте не забывать, что фундамент, на котором он работает, тоже требует нашего стратегического внимания. Не вместо, а вместе с теми мерами, которые коллега совершенно справедливо предлагает.
Итоговый вывод: истина посередине
Хотя мы и спорим, но этим мы дополняем друг друга. А в долгосрочной стратегии, особенно с учетом геополитической волатильности, аппаратная и прошивочная зависимость — это риск, который нельзя сбрасывать со счетов. Ясно, что полный реверс-инжиниринг каждого серверного процессора – это утопия, нереальная ни экономически, ни технологически. Но стратегический вектор нам очевиден: мы должны двигаться к собственной архитектуре, где даже на уровне «железа» мы понимаем, что происходит, а прошивки и микрокод мы можем контролировать и модифицировать.
Мы посмотрели на проблему с разных сторон. Мой уважаемый оппонент — как практик, решающий задачи «здесь и сейчас». Я — скорее как стратег, смотрящий на 10+ лет вперед. Истина, как всегда, посередине: банкам нужны и надежные операционные решения сегодня, и проработанные сценарии на случай системных кризисов завтра.
Я сформулирую это так: нам нужна двухуровневая стратегия.
1. Здесь и сейчас — защита ОС и прикладного ПО, где реально лежат основные уязвимости. Это зона ответственности ежедневных операционных рисков.
2. На горизонте 10+ лет — движение к собственной архитектуре (включая контролируемый стек прошивок), чтобы убрать политический риск из уравнения, даже если технологически мы еще долго будем пользоваться чужими решениями. Это зона стратегического планирования.
Дискуссия закрыта, но работа продолжается.
От редакции PLUSworld:
Представленный выше обмен мнениями между Тимуром Аитовым и его коллегой, пожелавшим выступить анонимно, — яркий пример того, как должна строиться экспертная дискуссия в профессиональном сообществе. Два известных эксперта рынка, каждый со своей стороны, приближаются к пониманию сложной и многослойной проблемы технологической зависимости.
Мы в редакции считаем подобные открытые диалоги критически важными для неформального импортозамещения. Почему «неформального»? Потому что формальная замена иностранного ПО на отечественное, увы, не решает поставленных задач и целей в полном объеме. Как справедливо отметил анонимный эксперт, реальные уязвимости лежат на уровне операционных систем и системного софта. Как подчеркивает Тимур Аитов, стратегическая зависимость от глобальных технологических цепочек сохраняется, даже если мы переходим на китайские процессоры, а «серая зона» прошивок и микрокода остается за пределами контроля.
Этот диалог показывает: путь к истинному цифровому суверенитету лежит не через бюрократические отчеты о проценте импортозамещения, а через честное признание проблем и совместный поиск решений на всех уровнях — от физического ЦОДа до архитектуры чипа и микрокода. Именно такие дискуссии помогают отрасли двигаться вперед, а совсем не публичные рапорты и топтание на месте в иллюзии безопасности.
