В последнее время нас пугают разными уязвимостями в программах, настолько страшных, что компании даже отключали собственные сайты, чтобы никто этими уязвимостями не воспользовался. Однако самое интересное остается без внимания. Настало время сорвать покровы.

Итак. Думаю, ни для кого не секрет, что западные спецслужбы понасовали разных закладок в программное обеспечение, через которые пытаются за всеми следить и все контролировать.

Одно из таких мест, куда они залезли с ногами, была криптография. Все реализации криптографических алгоритмов проходят строгий контроль условного ЦАССАДа-6. А если где-нибудь появляются независимые криптографические системы, то они агрессивно блокируются всеми возможными средствами.

Так, например, реализацию криптографических алгоритмов семейства ГОСТ не включили ни в один популярный компонент так называемого «свободного» ПО.

У мессенджера Мах есть веб-версия с поддержкой ГОСТ, но она не работает. Какое-то время ею даже можно было пользоваться. Сейчас она вообще не открывается, и ссылка на нее исчезла с сайта max.ru.

Яндекс.браузер при входе на сайты, работающие на ГОСТ, выдает предупреждение, как будто это очень опасно.

Но взять и просто написать в программе «ЕСЛИ ЮЗЕР=ДЖ-БАЙДЕН ТО все-расшифровать-и-отправить-в-пентагон;» — это так не работает. Явное вмешательство заметят пользователи, начнут возмущаться и перестанут пользоваться. Поэтому в современной криптографии используются довольно хорошие, математически выверенные алгоритмы, которые задачу безопасной коммуникации при правильном использовании действительно решают.

Чтобы контролировать цифровые коммуникации без палева, ЦАССАД-6 монополизировал инфраструктуру распространения ключей, Public Key Infrastructure (PKI).

Об этом можно долго рассказывать. Чтобы не утомлять читателей, опишу ситуацию вкратце:

1. Создается международный комитет Browser Forum, который, прикидываясь открытым и честным, занимается регулированием PKI. Аналог международного олимпийского комитета.
2. В «свободное» и коммерческое ПО прописываются списки ключей, которым можно доверять. Принимаются меры, чтобы пользователи не могли эти списки обходить или настраивать. Делается это все естественно для «безопасности пользователей».
3. Попытки властей РФ или других государств добавить в список доверенных свой ключ, отвергаются под предлогом тоталитаризма и отсутствия свободы.

В итоге управляемое спецслужбами сообщество вольных программистов запрограммировало следующий алгоритм «безопасной» работы:

1. Пользователь гражданин РФ хочет зайти на сайт Ку-банка.
2. Если сайт Ку-банка защищен ключом Российского Министерства цифрового развития, то браузер не рекомендует гражданину открывать сайт или вообще не пускает.
0. Ку-банк должен сделать Ку специальному центру сертификации из Японии или Таиланда, и после одобрения одного из них, Ку-банк получит ключ, с которым браузер пользователя разрешит гражданину РФ зайти в личный кабинет.

Правда, благодаря математике, даже такая наглая схема работает более-менее безопасно. Посторонние подсмотреть личный кабинет пользователя не могут. А вот ЦАССАД-6 может. Он тут не посторонний, а буквально хозяин.

Приватные ключи всех «независимых центров» есть у ЦАССАДа-6. Когда им надо что-то почитать, они выписывают себе ключи Ку-банка и подсовывают их пользователям. Пользователь думает, что работает с Ку-банком, а на самом деле он общается с ним через прослушку ЦАССАДа-6. Этот процесс называется ЦАССАД-посередине и обозначается буквами MITM.

Ответственности у «независимых» центров сертификации нет никакой. Они делают вид, что они волонтеры, работают на энтузиазме за долю малою, а если что-то из-за них случилось, то максимальное наказание — это выкидывание их ключа из списка.

Правда, этой идиллии немного мешает математика. Математика — очень строгая наука. Она не знает жалости, и с ней невозможно договориться. Если у какого-нибудь офицера на каком-нибудь устройстве будет найден приватный ключ независимого центра сертификации или что-нибудь явно незаконное, подписанное этим ключом, то это будет неоспоримым доказательством незаконной деятельности, и опровергнуть его будет невозможно. Это скомпрометирует всю систему.

Поэтому для маскировки своих махинаций ЦАССАД-6 применил мимикрию под ошибки. Они сделали сертификационным центрам приватные ключи, где большая часть цифр нули.

Таким образом решается сразу 2 задачи:

1. Активность спецслужб маскируется под случайную ошибку. Ну вот так написали программу, что она вместо 48 чисел записала лишь одно. Бывает. Каждый день генерируется миллиард ключей, где все числа заполнены, а тут вот конкретно в сертификационном центре свет Венеры отразился от облаков и стер 47 чисел из 48. И так 8 раз.

2. Использование этого бэкдора становится трудно доказать. Если у меня лежит файл с нулями и одной цифрой, я могу найти тысячу объяснений, откуда он у меня. Если кто-то подписал сетевое соединение или документ одной цифрой, невозможно доказать, что это сделал кто-то конкретно. Это любой пользователь мог сделать.

И так они читали интернет себе спокойно, и никто не мог им ничего предъявить. Только злые русские упорно внедряли зачем-то квантовый телефон, алгоритм шифрования «Кузнечик», создавали свой независимый центр сертификации и прочие тоталитарно-цисгендерные технологии.

Но недавно что-то случилось. Началась грызня между подразделениями ЦРУ, Моссада и МИ-6, и они начали сливать инструменты друг друга, чтобы подорвать их работу.

Какой-то пользователь с ником Wayne, скучая, разглядывал сертификат одного из индийских центров сертификации. Многие пользователи так делают. Я, например, предпочитаю проводить время в созерцании сертификатов Минцифры. Так вот этот Wayne как бы случайно составил приватный ключ из нулей и четверки, вычислил из него публичный ключ, и он совпал с тем, что прописан в сертификате. Он очень удивился, проверил 256 целых чисел и нашел 8 ключей одного и того же индийского центра.

Произошел тот случай, который известен каждому разведчику, и который бывает только раз в жизни. Вот еще один из известных спецслужбам подобных примеров:

Однажды на чемодане русской радистки Кэт обнаружили отпечатки пальцев штандартенфюрера СС, но оказалось, что он просто на днях на улицах Берлина помог какой-то женщине поднести этот чемодан. К рации он никакого отношения не имел. А поначалу думали, что он резидент русской разведки, и его даже задержали. Но потом все выяснилось, и его отпустили.

Однако есть и плохие новости.

Спецслужбы работают тихо, не афишируя свою деятельность, но теперь их инструменты стали доступны всем, и любой пионер может попробовать их использовать. Причем закладки, использующие эти ключи, прошиты в код огромного числа программ, и их оттуда практически невозможно выковырять.

Впереди нас ждут серьезные утечки, мошенничество, кибератаки с серьезными последствиями.

Вот так на наших глазах происходит разрушение старого мирового порядка. Посмотрим, что придет ему на смену.