گفتگو با رمزنویس مشهور ، بروس اشنایر

بروس اشنایر رمزنویس بزرگ در گفتگو با اسکات بریناتو (سردبیر مجله CSO) نظریات جدید خود را درباره نگاه تاریخی به امنیت سیستم ها از بعد فیزیکی و فنی ارائه کرده است .

کد خبر: ۳۰۷۵۴

این گفتگو حول موضوع رمزنگاری (CRYptographer*) با او انجام شده است وی به عنوان موسس امنیت اینترنت در Counterpane co نسبت به مطبوعات واکنشی مهاجمانه داشته و به سختی با آن کنار می آید اما وقتی هم که okدهد، می توان دنیای تحولات امنیتی در اینترنت و شبکه های رایانه ای را از کلامش در مصاحبه ای کوتاه گرفت . بروس در کتاب جدید خود به نام Beyond fear: Thinking sensibly About Security in an uncertain world به عنوان بت شکن نگاهی غیر آی تی آنه (Non IT) به امنیت سیستم ها دارد و چالش های امنیت فیزیکی را به عنوان ترمی جدید (New Term) در سیستم ها و شبکه ها بررسی می کند و از آن شمایی کلی در اختیار خواننده قرار می دهد. در این راستا حرکتی بلند پروازانه از infosecurity به دنیای جدیدی (که در تخیل خود ساخته) دارد که در این گفتگو چنین شرح می دهد:

شما از دوران رمزنویسی فاصله بسیار گرفته اید و حالا در دنیای متکامل تری از امنیت سیستم ها سیر می کنید.
«امنیت» یک «سیستم» است و مقوله عمده ای که روی آن کار کرده ام همین موضوع بوده و بیشتر از این منظر به امنیت نگریسته ام . ابتدا با رمزنویسی شروع کردم و بعد برای مقابله با حملات هوشمندانه به امن کردن سیستم ها از طریق ریاضیات پرداختم و بعدها که بیشتر روی امنیت رایانه متمرکز شدم ، به «خوب طراحی کردن» نرم افزار و سخت افزارها برای شکست نفوذگران بها دادم و سرمایه گذاری فکری بزرگی روی آن کردم . بعدها در طول تحقیقات و تجربه های کاری فهمیدم که شبکه های امن نیز با خطاهای انسانی دچار شکست و نقض می شوند و در این میان امنیت به عنوان یک زنجیره با توسعه رمزنویسی با حلقه های قوی تر، محکم تر می شود. به این فکر افتادم که مشابه همین داستان را می توان در دنیای امنیت غیررایانه ای (معادل همان تکنیک های رمزنویسی رایانه ای) ارزش سازی کرد و همان مراحل توسعه و تکامل رمزنویسی را برای امنیت سیستم ها در بعد فیزیکی پیاده کرد و این بود که در کتاب جدیدم از آن به عنوان ترمی جدید در امنیت یاد کرده و برای آن تعاریف جدیدی ارائه کردم . در واقع انگیزه ای هم که باعث نوشتن کتاب جدید شد ادراک من از چشم انداز جدید درباره «امنیت» است که از لابه لای موضوعات گیج کننده و پیچیده استنتاج شده است.
و حتما شما برای سروسامان دادن به آن هنوز در آشفتگی فکری به سر می برید. فرهنگ سازی برای ادغام امنیت فیزیکی و آی تی سخت بنظر می رسد و قطعا با استثناهاتی در عقاید خود روبه رو می شوید که شاید نتوان از آن به عنوان ترمی جدید نام برد!
انفصال فرهنگی بزرگی در عقاید کسانی که به امنیت فیزیکی فکر می کنند و کسانی که به امنیت رایانه ای بها می دهند ، هست که از امنیت به عنوان ترمی جدید یاد نمی کنند. اما من همه این عقاید و افکار را یک کاسه کرده و در زیر مجموعه ای به نام سیستم های امنیتی جمع کرده ام . گروهی که روی امنیت فیزیکی کار می کنند وقت بسیاری صرف کارتهای آی دی ملی می کنند که اگر موفق شوند می توانند آن را در سطح ملی اجرا کنند اما هرگز نمی توانند آن را در مورد همه خارجیان (خارج از امریکا) اعمال کنند. آنها فکر می کنند توقیف یک چاقو از مادربزرگ موفقیت به شمار می رود و دقیقا به همین خاطر است که من شکست در این عقیده را با چشم خود می بینم . امنیت ما دچار سردرگمی فراوان در تعاریف است که دائما با حفره ها و آسیب پذیریهای عمده و غیرعمده دست و پنجه نرم می کند و به همین خاطر است که تاکید می کنم که گروه طرفداران امنیت فیزیکی به موضوع به عنوان یک ترم سیستماتیک نمی اندیشند.
به فرضیه تکاملی شما می توان به عنوان جهانی کمپرس شده (که ما آنرا می بینیم) نگاه کرد که در آن اطلاعات و امنیت فیزیکی دو تاکتیک (share) شده بوسیله انضباط امنیتی است با این نوع نگرش آیا مقاومتی از سوی گروه طرفداران امنیت فیزیکی در برابر خود می بینید و برعکس ، طرفداران امنیت آی تی ، رمزنویسان و کسانی که با این نوع نگاه کار می کنند ، به چه فکر می کنند؛
امنیت فیزیکی بطور سنتی در کشورهای قدیمی رایج است و مقاومت سرسختانه ای هم برای عوض شدنش صورت می گیرد. در اینجا نیز من کشف کرده ام که بیشتر کارمندان و شاغلان قادر نیستند با راههای جدید درباره مشکلات سنتی خود فکر کنند (این موضوع را می توانیم در ژانویه 2003 زمانی که مت بلیز درباره نحوه شکستن قفل دربها به طریقه فیزیکی نوشت ، ببینیم). قفل سازان حرفه ای نسبت به کتاب بلیز واکنش خشم آلودی نشان دادند و اعتراض کردند که چرا «اسرار مگو» باید توسط وی فاش شود آنها می گفتند نباید این اسرار در دست عموم بیفتد. من عقیده دارم که این اسرار مگو همیشه در دست بچه های بد است و کمتر افراد خوب سعی می کنند بدان دسترسی یابند و به همین دلیل است که چنین مشکلاتی هنوز حل ناشده باقی مانده است . در آن طرف میدان حرفه ای های آی تی بیشتر مشتاق هستند تا با متدلوژی و راههای تفکر در دنیای واقعی امنیت ، با موضوع برخورد کنند (من در بسیاری از مواقع از استعاره های فیزیکی برای تبیین امنیت رایانه ای بهره برده ام). از این رو اسلوب شناسان امنیت رایانه مشکلات امنیت فیزیکی را با متدلوژی خودشان نگریسته و دنبال چاره جویی می روند.
یک طرفدار امنیت فیزیکی استدلال می کند که دار و دسته امنیت رایانه ای همیشه زمانی که وقت مناسب نیست ، در تلاش برای حل مشکلات خود از تکنولوژی مدد می گیرند و گامهای برداشته شده کاملا برخلاف گام هایی است که قوم امنیت فیزیکی دنبال آن می روند.
دوستداران امنیت آی تی همیشه ترجیح داده اند که بوسیله تکنولوژی مشکلاتشان را حل کنند و همین موضوع می تواند توضیح دهنده بسیاری از شکست ها در این حیطه باشد. و در اینجاست که من از ترم سیستماتیک امنیت دفاع می کنم ، کمااین که از بی فکری برای اجرای تکنولوژی نیز پرهیز می کنم . تجربه نشان داده که در بسیاری مواقع مشکلات امنیتی ذاتا مبهم هستند و تکنولوژی نمی تواند در این زمینه کمک نماید. چک کردن فتو آی دی مثال خوبی در این باره است . تکنولوژیست ها می خواهند این کیس را اضافه کنند تا بوسیله آن مانع از جعل آی دی شوند اما من ناراحت می شوم از این که فردی می تواند با دادن رشوه یک آی دی جعلی بگیرد (پس مشکلات را اینطور نیز می توان حل کرد). بنابراین با سخت تر کردن ساخت آی دی نمی توان جلوی جعل را گرفته و مشکلات مردم را حل کرد.
بت شکنی که از آن نام بردم در کتاب شما با عنوان «اندیشه معقول درباره امنیت در یک دنیای نامعلوم» شروع می شود با ضربه ای تلویحی می توان گفت طرز فکرهای مزخرف زیادی است که نیاز به اصلاح دارد برخی از مواردی که شما دیده اید یا شنیده اید را بگویید؛
داستان های استاپیدسیکیوریتی مانند یک سکه ده سنتی در میان یک دوجین سکه درشت است که در سایت www.stupidsecurity.com با جایزه ای بزرگ برای متخلفان خودنمایی می کند ترس من از اینجا ناشی می شود که بسیاری از این معیارهای غلط از نظر مردم نکته های مثبت به شمار می رود. در این راستا بسیاری معتقدند افزایش تقاضا برای Identification باعث ارتقای امنیت می شود و بسیاری معتقدند که توقیف چاقوی جیبی در هواپیما خطر هواپیماربایی را کاهش می دهد. اما من می گویم امنیت هر دو بعد احساس و واقعیت را در بر می گیرد و انشعاب میان این دو باعث بروز مزاحمت ها و رنج های بیشتر می شود.
ثمره 2 سال «سایبر تروریسم» چه بوده است؛
به نظر من این روزها مقدار زیادی چرندیات درباره این مقوله به زبان رانده شده و به صورت نوشتاری ضبط و منتشر می شود. قبل از آن که مردم از شما چشم بپوشند شما مانند گرگ جیغ می زنید و حالا پس از 2 سال مردم نسبت به تهدیدات بر زبان رانده شده و نوشته شده بی تفاوت شده اند. شخصا عقیده دارم درصد ریسک درباره «سایبر تروریسم» بسیار اغراق آمیز است . شرکت من (counterpane) روزانه هزاران وب سایت و سرور را در دنیا چک می کند و ما هر روز جنایات الکترونیکی را به وفور می بینیم اما آنچه تروریسم را تیتر یک روزنامه ها کرده به واقع اتفاق نیفتاده است و این دقیقا معادل انحراف و عدول از پاسخگویی مثبت به مردم و مخاطبان است که ساعت ها درباره این خطرها فقط شنیده اند و چیزی ندیده اند! اگر مشکل «سایبر تروریسم» است ، حکومت درباره آن اقدامات لازم را انجام دهد ؛ اگر مشکل جنایات سایبر است ، صاحبان شبکه های رایانه ای مشکلاتشان را حل کنند تا چنین اتفاقی نیفتد. پس می بینیم که این موضوع (سایبر تروریسم) جذابیت خاصی برای انحراف از پاسخگویی مناسب به مردم از سوی مسوولان به شمار می رود و حکومت نیز به سایبر تروریسم به عنوان مفری برای عدم حل مشکلات دامن می زند. (به تازگی دانشجوی دانشگاه جورج میسون تزی درباره در دسترس بودن اطلاعات مردم در ورودی های ارتباطاتی امریکا مطرح کرد اما فورا به وی گفته شد با نوت بوکش جلسه را ترک کرده تا با خطر اتهام تروریسم روبه رو نشود). امروز پریشانی میان رازداری (secrecy) و امنیت (security) کاملا مشهود شده است . امن کردن فراساختارهای ارتباطاتی اقدامی ارتجاعی (جهنده) در برابر امنیت تلقی می شود. فراساختارها امن نیستند و این را همگان جار می زنند بدون این که از این صحبت کنند که مطرح کردن همین موضوع برای مخالفان جذابیت دارد. بنابراین رازداری نیست ، امنیت گم شده و شما نیز دیگر نمی توانید به عقب برگردید.
چرا باید روی این نکته پای بفشاریم که اگر اطلاعاتمان را مخفی نگه داریم و آن را دور از دسترس قرار دهیم ، بچه های بد از به دست آوردن آن منصرف می شوند؛
این یک عقیده شایع است که رازداری معادل امنیت است این تصوری غلط میان مردم است و بسیار شبیه همان داستان زدن تیر به پیام آوری است که خبر بد آورده است . این مشکل روحی در بین مردم هست ، رازداری به سوی یک نقطه منعطف است اما امنیت بسیار شکننده است.
چه مفهومی از اصطلاح ترد و شکننده (brittle) دارید؛
من از این واژه به عنوان ترمی جدید استفاده می کنم که با آن تعداد و کیفیت شکسته شدن و نقض در سیستم های امنیتی را توضیح می دهم . سیستم های بریتل (ترد و شکننده) سیستم هایی هستند که به آسانی ، به طور کامل و مصیبت بار نقض و شکسته می شوند. خانه ای ساخته شده از کارتها یک بریتل است که وقتی یکی از کارتها را که به صورت قطاری چیده شده اند برداریم ، کل ساختار می شکند. اکنون بیشتر سیستم های رایانه ای بریتل هستند و وقتی امنیت در آنها نقض می شود به طور کامل از بین می رود. در این میان سیستم های جهنده (Resilient) امن می مانند و نقض کوچک باعث نقض بزرگ در کل سیستم نمی شود. در فصل نهم کتاب جدیدم درباره تردی و ارتجاعی بودن سیستم ها بحث کرده ام (یعنی سیستم های بریتل و جهنده). راههای وصول به سیستم جهنده را نیز شرح داده ام که دفاع در عمق ، قسمت قسمت کردن سیستم و انعطاف پذیری سیستم از جمله آنها است آنها همه مشخصات یک سیستم امن به طور طبیعی است که اغلب در سیستم های رایانه ای کنونی یافت نمی شوند.
نظریات کنگره درباره امنیت چگونه است؛
من چندین بار در جلسات آنها به عنوان صاحب کلام حرف زده ام آنها هر تصمیمی که می گیرند با رضایت عمومی است اما امنیت واقعی انتخاب ها را بسیار سخت می کند چرا که به منافع شرکت ها و صنایع آسیب وارد می کند. امنیت واقعی می گوید چه چیز درست است نه این که بگوید چیزی که سیاستمداران می گویند ، صحیح است!.
نظرات مردم درباره ریسکهای امنیتی چگونه است؛
من فکر می کنم سوال اصلی را این طور مطرح کنیم که چرا مردم در ارزیابی ها و پیش بینی ها و پذیرش ریسک اینقدر (Lousy) هستند. این سوال پیچیده ای است که من در فصل دوم کتابم بدان پرداخته ام . ارزیابی ریسک یکی از فانکسیون های داخل مغز است که از مفتولی سخت در یک پروسه جا می گیرد. اندیشه های ما خطرساز است و مبتنی بر آزمایش اما همچنان 2 فاکتور احساس و شهود نیز بدان افزوده می شود. علوم مدرن چیزهایی را می سازد که توضیحش برای یک فرد متوسط نیز دشوار است .
راجع به سیستم Terrorism information Awareness که بعد از یازدهم سپتامبر به اجرا گذاشته شد توضیح دهید که آیا این شما را نگران می کند؛
تروریسم پدیده ای نادر و کمیاب است در حالی که جنایت حالت عام و گسترده دارد. سیستم های امنیتی برای واکنش نیاز به دیتاهای قوی دارند اما سیستم هایی نظیر TIA و CAPPS2 در عمل راه را برای کارهای غیرقانونی و سرقت هویتی افزایش داده و نتیجه ای عکس داده است . همچنین نظارت غیرقانونی حکومت بر شهروندان افزایش یافته که این موضوع چندان جذاب نیست . اتفاقاتی نظیر فروختن اطلاعات به سرویس های خصوصی چیزی نیست که امنیت را بالا ببرد و بنابراین می بینم که به این راحتی چنین سیستم های پرهزینه ای آسیب پذیر می شوند و اگر این گونه سیستم ها واقعا خطر را کاهش می دهند من حاضرم آنها را بپذیرم اما متاسفانه سیستم های مذکور دردی را دوا نکرده و حتی بر مشکلات امنیتی نیز افزوده اند.
در قلمرو امنیت چه چیزهایی کمتر گزارش شده و به آنها پرداخته شد؛ که شما می توانید راجع به آن توضیح دهید؛
تعجب آورترین موضوع درباره امنیت این است که «امنیت واقعی» برعکس ظاهرش فراموش شده و به آن کمتر بها داده می شود. همه مسائل امنیتی سازش پذیر شده و حالت بده بستان پیدا کرده اند و جنبه های غیرامنیتی سازشها بسیار مهمتر از مشخصات امنیتی است . در این راستا می توان گفت که سیستم طوری ارائه شده که اصل را بر گناه کار بودن همه می گذارد مگر این که خلافش ثابت شود. از نظر امنیت مضحکی که در حال حاضر هست همه مردم گناهکارند مگر این که کاری کنند که عکسش ثابت شود. برای مثال یک بانک هیچ وقت سیستم امنیتی نمی سازد که همه مشتریان خود را دزد فرض کند حتی صرف نظر از این که این کار باعث بالا رفتن امنیت بانک نیز شود. امنیت فرودگاه اجازه نمی دهد یک چاقوی بسیار ریز توسط مسافر جابجا شود و فورا آن را می گیرند اما به همان مسافر اجازه حمل کبریت و فندک را می دهند (که موادی آتش زا هستند و بگذریم از این که پس از فشار از سوی لابی تنباکو کنگره مانع از این شد که فندک و سیگار را در رده چاقو تعریف کند) بیزینس ها به همین راحتی شبکه ها را ناامن کرده اند و آن وقت می توانیم بفهمیم که با امنیت واقعی چقدر فاصله داریم.

*(cryptography) کریپتوگرافی یا رمزنویسی : متد رمزنویسی است که دیتا در آن انکریپت (پنهان شدن یا مخفی کردن) می شود ، بدین معنی که متن اصلی به فرمتی غیرقابل خواندن تبدیل می شود و سپس decrypt یا آشکارسازی می شود ، یعنی به فرمت قابل خواندن مثل گذشته تبدیل می شود.
این عمل توسط یک فرد یا برنامه با یک کلید مخصوص با استفاده از یک الگوریتم صورت می گیرد. کریپتوگرافی یا رمزنویسی همچنین برای ارسال اطلاعات یا ذخیره اطلاعات به طریقه امن استفاده می شود.