Kibernetinio saugumo ekspertas: visada turėkite grynųjų ir eikite į tikrus pasimatymus

Kibernetinio saugumo ekspertas iš Nyderlandų, bendrovės „Nord VPN“ patarėjas Adrianusas Warmenhovenas juokauja, kad kuo ilgiau jis dirba šioje srityje, tuo mažiau pasitiki technologijomis. Futurizmo persmelktame pokalbyje LRT.lt jis pateikė nemažai praktinių patarimų, pavyzdžiui, mesti pažinčių programėles į šalį ir romantikos ieškoti senoviniu būdu, mat ir į šią sritį netrukus įsimes sukčiai.

– Prieš pokalbį minėjote, kad įrašinėjote atsitiktinius garsus gatvėje ir vėliau šifravote juos dirbtinio intelekto programėle. Skamba kaip meninis sumanymas.

– Vienas iš dalykų, kuriuos bandau padaryti, tai sukurti ką nors, naudodamas turimus įrankius, kad nereikėtų to specialiai pirkti arba konstruoti. Domiuosi kibernetinio saugumo sritimi nuo maždaug 1995 metų <...>. Pavyzdžiui, norėjau parodyti tėčiui NASA nuotraukas iš Marso. Tada nebuvo interneto. Na, ir tuo metu tai nebuvo nelegalu, pasakykime taip, nes nebuvo įstatymų. Buvo galima įsilaužti į telefono linijas. Vyresni žmonės žino apie 2 600 Hz dažnį, kurį sukėlus, galima nemokamai kalbėtis telefonu. Šiandien tai jau nebeveikia.

Taigi, mane visada domino klausimas, kas yra įmanoma. Tai ir yra kibernetinis saugumas, kai bandai rasti naujų kelių. O nusikaltėliai įsilaužėliai yra tie, kurių nestabdo etikos ribos. Tai esminis skirtumas tarp tokių žmonių kaip aš ir nusikaltėlių. Mus visus į priekį veda smalsumas, bet aš, tarkime, sustoju ten, kur galima uždirbti arba sukčiauti, o jie ne. Nusikaltėliai tenori pinigų ir daro viską, kad su kuo mažesnėmis pastangomis ir investicijomis uždirbtų kuo daugiau.

Ir čia pamatome, kad visi duomenys apie jus svarbūs, viskas gali būti parduota. Todėl „Google“ ir kitos reklamos kompanijos seka jus, bet tai vis dar yra pilkoji zona. O kibernetiniai nusikaltėliai žengia žingsniu toliau, sukuria dar detalesnį jūsų profilį, ir taip tampate auka arba jie gali jus apgauti. Kaip kartais sakau, viskas yra parduodama, tik ne siela <...>. Visi, net ir menkiausi duomenys, yra parduodami ir išnaudojami tokiais būdais, kurių net negalime įsivaizduoti.

– Įsivaizduokime paprastą žmogų, kuris keliauja, apsiperka internetu. Kokius savo duomenis jis, tikėtina, yra atidavęs?

– Matote, svarbiau ne tai, kad duomenys atskleisti, o kad su duomenimis kas nors gali jumis apsimesti. Pasaulis žino apie jus tik kaip apie skaitmeninį asmenį, o fizinis asmuo, kuris sėdi prieš mane, nėra svarbus. Sunku taip sakyti, bet kompanijoms jūs esate tik skaitmeninis pavidalas. Bankas, komunaliniai mokesčiai – viskas yra skaitmeninio pavidalo. Taigi, jei įtikinu ką nors, kad šis skaitmeninis rinkinys yra jūs, aš tampu jumis. Galiu paimti jūsų pinigus, galiu sukompromituoti dėl darbo, galiu jūsų vardu pirkti, pardavinėti narkotikus ir ginklus. Galiu būti jumis ir kai pradės domėtis teisėsauga, visi įkalčiai mes kaltę ant jūsų.

Skaitmeninė asmenybė yra labai svarbi ir visa apimanti. Jei dabar pat numirtumėte, pasaulis gali ir nesuprasti, nes jūsų skaitmeninis aš vis tiek gali atlikti pavedimus, gauti žinutes socialiniuose tinkluose, mokėti už paslaugas. Jūsų skaitmeninė tapatybė dar kurį laiką gyvuotų, ir žmonės turi suprasti, kad ši skaitmeninė pusė yra tiek pat jie, kiek ir fizinė. Todėl yra žmonių, kurie spaudžia bankus, kad išliktų grynieji pinigai.

– O jūs pats esate už ar prieš visuomenę be grynųjų?

– Absoliučiai prieš. Kuo ilgiau dirbi kibernetinio saugumo srityje, tuo mažiau pasitiki technologijomis (šypsosi). Technologijos savaime nėra blogos, bet jos kuriamos su labai skirtingais motyvais. Paslaugos, kurias gauname, gali būti puikios, bet, galvojant apie pasekmes, neskiriama pakankamai dėmesio kibernetiniam saugumui. Vos prieš savaitę kalbėjau apie Kanados „London Drugs“ vaistinių tinklą. Įvyko didelė klientų duomenų vagystė, ir tai reiškia, jog visi duomenys gali būti panaudoti nusikaltėlių, pavyzdžiui, jei kas nors yra priklausomas nuo vartojamų vaistų. Už tai mokami pinigai.

Man norisi turėti fizinių saugiklių.

– Gal kartais pats nusprendėte imtis kokių konkrečių žingsnių ir atsisakyti technologijų?

– Mano telefone nėra nė vienos mobiliosios banko programėlės.

– Tai kaip naudojatės bankų paslaugomis?

– Su fizine kortele. Nesakau, kad tokios paslaugos kaip „Google Pay“ yra blogos, bet kai dirbi su kibernetiniu saugumu arba prieš nusikaltėlius, išmoksti segmentuoti savo gyvenimą. Daugybė žmonių savo telefone turi viską <...>. Jei mano telefonas kada nors būtų sukompromituotas, žinočiau, kad mano kortelės yra saugios.

Kitas dalykas gal aktualesnis saugumo srityje dirbantiems žmonėms, bet kompiuteryje naudoju sistemą, kuri segmentuoja ir mano elektroninį paštą, naršyklę. Jei vienas būtų sukompromituotas, nebūtų galima patekti į kitas sistemas.

Tačiau daugumai žmonių aktualus patarimas būtų atskirti bent kelis dalykus. Pavyzdžiui, turėti bent vieną banko sąskaitą, kuri nėra telefone, ir joje turėti lėšų mėnesiui. Jei kas nors nutiktų, net jei [banko] kompanija ir imasi incidento tyrimo, jie renka įrašus, kitus duomenis, įsitraukia teisininkai, tai užtrunka.

O jei keliauju, pavyzdžiui, į Indiją, visada nusiunčiu savo paso kopiją ambasadai. Taigi, patarčiau skirti dalykus į segmentus. Tas pats ir su debesijos paslaugomis, nereikėtų vienoje vietoje laikyti ir banko išrašų, ir nuotraukų, ir kitko. Juos irgi reikia atskirti, pavyzdžiui, naudojant USB raktą, laikyti tai kur nors namuose.

Patį svarbiausią savo slaptažodį reikėtų užsirašyti ant lapelio. Daug saugumo ekspertų kartoja, kad slaptažodžių niekada nereikėtų užsirašinėti. Bet tai dešimtojo dešimtmečio požiūris, kai visų slaptažodžiai buvo užrašyti ant lipnaus lapelio prie kompiuterio. Atsirado memų apie tai. Vis dėlto būdamas namie užsirašykite slaptažodžius. Įsilaužti į namus, rasti jūsų užrašų knygelę [piktavaliams] kainuotų daugiau, nei jie iš to galėtų uždirbti.

– Lietuvoje dabar labai daug kalbama apie investavimo sukčius, pavyzdžiui, paskutiniu metu gyventojams skambina „Google“, policija apsimetantys sukčiai, plinta schemos. Sukčių aukomis dažnai tampa senoliai. Ar ši problema savaime taps nebeaktuali? Ir ką prieš tokius sunkiai sugaunamus nusikaltėlius gali padaryti policija?

– Manau, kad tai niekada nedings. Nyderlandai buvo viena pirmųjų skaitmenizuotų valstybių <...>. Bet nusikaltėliai vis tiek naudojasi socialine inžinerija. Jie skambina žmonėms ir sako, kad yra iš banko, suklastoja net telefono numerius. Net apsimeta policija – jų niekas nestabdo, jei tai nesunku ir galima gauti pelno. Sugauti šiuos žmones sunku, nes daug vyresnių žmonių neturi gerų stebėjimo kamerų ir kitų saugumo priemonių. Matome, kad daug nusikaltėlių gaujų naudoja kitus žmones nusikaltimams vykdyti – internetiniai nusikaltimai yra nelyg piramidė: yra išpirkos prašytojai, programinės įrangos kūrėjai, kampanijų kūrėjai, vykdytojai. Pagaunami dažniausiai žemiausio lygio veikėjai.

Taip yra ir su sukčiais. Kai kurie dirba vadinamosiomis „kojomis“, kurioms pasakoma: štai tau 200 eurų, apsirenk policijos uniforma, nueik pas žmogų, pasakyk, kad skambinome jums. O prieš tai aukai paskambina policija prisistatę sukčiai ir sako – mes iš policijos, matome, kad į jus taikosi kibernetiniai nusikaltėliai, bet nesijaudinkite, pinigai dar nedingo, atsiųsime pareigūną, paduokite jiems pasą ir PIN kodus kaip įkalčius. Tie žmonės, kurie paima voką ir perduoda kitiems, vadinami mulais. Taigi, yra du ar trys sluoksniai, kol prieini prie to, kas iš tiesų yra nusikaltėlių organizacija.

– Jos būna ir tarptautinės.

– Taip.

– Ar apskritai policija ir valstybė ką nors gali padaryti? Susidaro toks įspūdis, kad su internetu yra kaip kadaise su jūrų keliais: kažkada valdė piratai, o vėliau kontrolę įvedė valstybės. Gal su internetu yra panašiai ir kada nors jis bus absoliučiai kontroliuojamas?

– Geras pavyzdys yra „LockBit“ grupuotė, išpirkos atakų grupuotė. Prireikė daug valstybių bendradarbiavimo ir jos puslapiai buvo uždaryti, ji išnyko nuo žemės paviršiaus. O dabar jie sugrįžo dar stipresni ir dar nelyg keršydami šį mėnesį pasiekė rekordą, jie per dieną atakuoja šimtą įmonių. Per savaitgalį jie uždirba 100 milijonų dolerių.

Problema ta, kad internetas vis dar yra atviras. Nusikaltėliai būna iš valstybių, su kuriomis nėra ekstradicijos susitarimų. Daug problemų kelia Rusija, nes jie turi įstatymą, kad jei Rusijos piliečiai nėra aukos, nusikaltimo nebuvo <...>. Taigi, gal internetas ateityje bus kaip sienomis atitverti daržai, autoritarinė sistema, to kartais norima ir Europoje. Tai jau iš dalies vyksta, nes greitai visos valstybės galės tikrinti naršyklės srautą. Anksčiau, jei aš eidavau į banką, niekas negalėjo pamatyti srauto tarp manęs ir banko. O dabar jau visose Europos valstybėse teisėsauga gali skaityti srautą, į jį įsiterpti. Tai ne bėda savaime, bet nežinome, kokia valdžia visose valstybėse bus po 4, 5 ar 10 metų. Matome, kad daug vyraujančių politinių partijų Europoje tampa nacionalistinės.

– Mes ketinome kalbėti apie sintetines medijas, vadinamuosius deepfake.

– O, čia situacija daug blogesnė.

– Norisi paprovokuoti, nes kartais atrodo, kad tai jau tapo burtažodžiu, esame nemažai dėl to išsigandę. Vis tik sintetinės medijos kol kas didelio politinio chaoso, kaip buvo žadama, nesukėlė. Net Ukrainoje, kur buvo bandoma imituoti prezidentą, raginantį karius pasiduoti.

– Na, JAV tai jau yra problema. Buvo robotizuotų skambučių su Joe Bideno balsu, raginančių neiti balsuoti, nešvaistyti balso pirminiuose ir valstijų rinkimuose. Buvo taikomasi į vyresnius gyventojus.

Bus tik blogiau. Pavyzdžiui, mano draugas turi puslapį, kuriame galima gauti personalizuotą žinutę, kai įžymybė sveikina su gimtadieniu, pasako vardą. Jie nuskenuoja žmogų <...>. Žmogus gauna mokestį už savo atvaizdo naudojimą.

Sintetinės medijos ir dirbtinis intelektas jau naudojami ir pasimatymų programėlėse. Naudojant filtrus vienam žmogui įmanoma apsimesti kitu. Kol kas tai dar nėra labai plačiai naudojama, daugiausia dėl brangumo. Tačiau kai tik investicijos nusikaltėliams bus mažesnės nei grąža, jie pradės tai naudoti. Kol kas tai per brangu.

– Kada tai galėtų pradėti plisti?

– Kiti mano spėjimai pasiteisino, nors šis gali būti ir per ankstyvas. Manau, kad po metų ar dvejų. Tamsiajame internete jau galima nusipirkti DI įrangos būtent tokiam tikslui. Ji dar nėra labai ištobulinta, reikia didelės procesoriaus galios.

– Kodėl klastotės šiuo metu tokios brangios ir sudėtingos?

– Tai dėl procesorių. Kad sukurtum filtrą realiu laiku, reikia didelės galios procesoriaus. Dauguma įrenginių, kuriuos turime, dar nėra pakankamai galingi. Bet jei pažvelgtume į naujausius „Apple“ flagmanus, jie turi specifines DI mikroschemas, jų yra ir kompiuteriams. „Nvdia“ kuria procesorius, tai norint ir išleidus 5 ar 6 tūkstančius eurų galima susikurti tokį kompiuterį. Bet būtų galima skambinti tik vienam žmogui vienu metu, taigi, jei skaičiuojame, kad iš aukos sukčius gautų 2–3 tūkstančius, tai neapsimoka. Ateityje jie veiks greičiau, reikalaus mažiau atminties. Kaip dabar yra išpirkos už duomenis programinė įranga, taip ateityje bus ir dirbtinio intelekto įranga, duomenų centrai.

– Koks klastočių vaidmuo žvelgiant į platesnę ekosistemą, kurioje veikia informacijos operacijos, dezinformacija ir sistemingi bandymai paveikti, suklaidinti gyventojus, paveikti politiką?

– Šie procesai nėra paprasti. Kol kas galime paneigti informaciją sakydami, kad vaizdo įraše matomas žmogus iš tiesų buvo kitoje vietoje. Bet kas nors gali pasakyti ir tai, kad tikrasis vaizdo įrašas irgi yra klastotė. Tai ir yra tikrasis pavojus – ne pačios klastotės, bet skleidžiamas nepasitikėjimas tikrais vaizdo įrašais. Mes vis dar esame pereinamajame laikotarpyje, mūsų vaikams tai jau bus įprasta <...>.

Mūsų pasitikėjimo garantija, tai, kaip atskiriame tiesą, vis dar yra fizinėje realybėje. Žmonės nesupranta, kad jų skaitmeninė tapatybė ir yra jie, atskiria save. Bet taip jau nebebus. Jauni žmonės tai jau supranta, pavyzdžiui, jei kas nors nutinka jų paskyroms, jie tai priima kitaip, nes jiems tai dalis tikrovės, ne koks vaidmuo. Socialiniai tinklai, patiktukai ir yra jie patys.

Tarkime, matau, kad laiškas atėjo iš Adrianuso, todėl galvoju, kad jis ir išsiuntė. Būtent taip veikia sukčiavimo (angl. phishing) laiškai. Arba matau žmogų vaizdo įraše ir galvoju, jog tai jis: per vaizdo skambutį, pažinčių programėlėse. Pažinčių programėlėse visada sakoma, kad geriau prieš susitikimą susiskambinti. Bet ir tuo nebegalima pasitikėti, jei naudoju sintetines medijas. Jau niekas nesistebi filtrais nuotraukose ir vaizdo įrašuose. Taip pasikeičia pasitikėjimo garantija.

Kitas žingsnis susijęs su politika, su naujienomis. Matome, kad yra operatorius, žurnalistas, žiniasklaidos priemonė, galvojame, kad tai turėtų ir būti tikra žiniasklaida. Bet greitu metu bet kuris vaizdas, kurį matome ekrane, galės būti ir netikras. Mes prarasime pasitikėjimą tuo, ką matome. Ne dėl to, kad tai būtų nesąmonė, bet dėl to, kad matysime tiek daug netikrų vaizdo įrašų. Tai ir yra tikrasis pavojus – ne pačios klastotės. Anksčiau galėjome sakyti, kad štai yra tikras, o čia suklastotas vaizdo įrašas. Greitu metu rodysime vaizdo įrašą ir mums sakys „netikiu, čia klastotė“. Taigi, pavojus netiesioginis.

– Kol kas, man atrodo, nupiešėte gana pesimistinį vaizdą. Bet gal iš kibernetinės srities ateities tikitės ir teigiamų posūkių visuomenėms ir politikai?

– Oi, aš visada optimistas, nors ir esu pasinėręs į labai keistą pasaulį. Tol, kol žmonės stengiasi, ne viskas prarasta. Vienas dalykas būtų – prašau daugiau dėmesio matematikams, jie yra interneto superherojai. Apie tai niekas nepagalvoja, bet jie užsiima visu kriptografiniu darbu. Taigi, reikia daugiau dėmesio [matematikai] mokyklose. Taip pat reikia skirti dėmesio švietimui ir šaltiniams autentifikuoti. Pavyzdžiui, manau, kad televizijos transliacijos ateityje turės kriptografinį parašą. Tai reikš, kad vaizdas yra tikras ir nesuklastotas, ir kas jį nustatys, bus pats svarbiausias asmuo.

Taip bus ir su visais oficialiais pranešimais iš Vyriausybės. Taigi, turime rimtai dirbti su kriptografija. Dar nežinome, kaip tai sukurti, ar tai turėtų būti viena organizacija. Tačiau reikės sukurti sistemą, kur viena mašina tikrina, ar gali pasitikėti, ką transliuoja kita mašina. Ir dar – žmonės turi pradėti eiti į tikrus pasimatymus baruose (šypsosi). Žmonės turi suprasti, kad įprastas pasitikėjimo garantas internete, prie ko esame įpratę, po kelerių metų dings.

Daug žmonių dirba dėl to, kas bus ateityje. Nors dalykų nematome, kol jie nepristatyti, galiu jus patikinti, kad daug protingų žmonių visame pasaulyje jau galvoja apie šias problemas. Gal ateitis bus neįprasta, bet viskas bus gerai. Nėra ko nusiminti, nes interneto mirtis buvo pranašauta jau daug kartų. Dirba daug gero norinčių žmonių, gal ne visi garsiai kalba, bet žinau, kad jie daro didelius darbus.