The Cybersecurity Dilemma: Hacking, Trust, and Fear Between Nations. By Ben Buchanan. Oxford University Press, 2017, 304 стр.
Cyberspace in Peace and War. By Martin C. Libicki. Naval Institute Press, 2016, 496 стр.
Во время подготовки к президентским выборам в США 2016 г. хакеры атаковали ряд видных политических организаций обеих партий, включая Национальный комитет Демократической партии (НКД); хакерам также удалось украсть целую пачку документов, связанных с президентской кампанией Хилари Клинтон. В их руки попала частная переписка, включая переписку Дебби Вассерман Шульц, председателя НКД, а также Джона Подесты, руководителя кампании Клинтон. В некоторых письмах обсуждались щекотливые вопросы, такие как сбор средств для Фонда Клинтон, или высказывалась мысль, что высокопоставленные функционеры НКД стремятся помочь Клинтон в ее внутрипартийной кампании против сенатора Берни Сандерса от штата Вермонт.
Когда приблизилась президентская кампания, ряд сайтов, в том числе WikiLeaks, начали публикацию украденной почты, что подлило масло в огонь теорий заговоров с участием Клинтон на правом фланге и вызвало гнев среди сторонников Сандерса. Дональд Трамп, кандидат-республиканец, ухватился за утечки, чтобы нападать на соперницу: «Обожаю WikiLeaks!» – заявил он на митинге в октябре. Тем временем в лагере демократов все дошло до точки кипения, поскольку стали поступать сообщения, что хакеры связаны с российским военным и разведывательным ведомствами.
Эти слухи были официально подтверждены в начале октября, когда Управление директора национальной разведки (УДНР) и Департамент внутренней безопасности издали совместное заявление, утверждавшее, что за хакерской атакой стояло правительство России, целью которого было вмешательство в выборы. В январе УДНР выпустило рассекреченный доклад, в котором еще более определенно говорилось, что взлом был частью попыток России «подорвать либеральный демократический порядок во главе с США», посеять хаос и разрушить веру в демократический процесс. «Не следует поднимать шум по этому поводу: русские вмешивались в наши выборы», – заявил Джеймс Коми, бывший директор ФБР, выступая перед Конгрессом в июне. До этого Коми выступил с предупреждением в отношении русских: «Они вернутся в 2020 году. Они могут вернуться в 2018 г., и один из уроков, извлеченных ими, состоит в том, что они добились успеха, потому что посеяли хаос, раскол и разногласия в нашем обществе».
Одна из причин успеха Москвы в том, что Вашингтон не сумел разработать стратегию сдерживания кибератак или дать достаточно решительный ответ после их выявления. Перед лицом искусных и согласованных действий по подрыву интересов США Вашингтон не придумал ничего лучше, как ввести дополнительные и преимущественно символические санкции, а также ударить противника по руке в дипломатическом смысле. Ничего не изменилось и после беспрецедентного вмешательства в президентские выборы. Попросту говоря, США не сумели сдержать Россию; вместо этого Россия удержала США от серьезных мер возмездия.
В двух недавно изданных книгах объясняется переплетение чрезвычайно сложных вопросов и интересов. В книге «Дилемма кибербезопасности» Бена Бьюкенана – специалиста по кибербезопасности из Белферовского центра факультета госуправления имени Кеннеди в Гарварде – описываются структурные вызовы, уникальные для взаимодействия между государствами в киберпространстве. В книге «Киберпространство в мирное и военное время» экономист и специалист по безопасности Мартин Либики авторитетно и детально описывает операционные и стратегические соображения стран в киберпространстве. Эти две книги вносят дополнительные нюансы в дебаты о цифровых конфликтах и одновременно противостоят искушению расценивать их как действия, аналогичные ядерным конфликтам или войнам с применением обычных вооружений. Вместе они помогают объяснить, почему США не смогли надлежащим образом защитить себя от киберугроз.
Хотя эти авторы не разбирают подробно хакерские атаки, нацеленные на избирательную кампанию 2016 г., они трезво анализируют реакцию США на спонсируемые государствами хакерские атаки, имевшие место до этого, и предлагают аналитические схемы, помогающие политикам продумать задачу недопущения цифровых атак в будущем. С прицелом на будущее Соединенным Штатам необходимо четко определить, что является неприемлемым поведением в киберпространстве и утвердить более широкий спектр мер возмездия, чтобы сдерживать атаки, которые, конечно же, будут становиться более жесткими и быстрыми, чем когда-либо раньше.
Условия взаимодействия
Бьюкенан и Либики согласны с тем, что сдерживание, в основном, сводится к доведению до сведения другой стороны четкого сигнала или способности провести четкую границу и описать последствия ее нарушения. Либики формулирует суть сдерживания следующим образом: «если вы сделаете это, будет сделано то-то и то-то». Способность отправить четкий сигнал требует четырех вещей: атрибуция события (государство должно уметь определить мишень ответных действий), пороги (государство должно последовательно отличать действия, заслуживающие возмездия, от тех, которые не требуют отмщения), правдоподобие (другие страны должны верить в волю и желание страны осуществить акт возмездия) и возможности (государство должно быть способно резко отреагировать на акт агрессии).
Каждый из этих компонентов на порядок сложнее в киберпространстве, нежели в обычной обстановке. Прежде всего, кибератаки трудно обнаружить. Как отмечает Бьюкенан, хакеры могут легко вторгаться в сеть, не привлекая внимания. Даже когда атака выявляется, трудно с уверенностью приписать ее какому-либо одному конкретному игроку. Хакер может быть государственным агентом или сотрудником, членом преступной организации, либо даже, как Трамп однажды грубовато выразился – «толстяк, не встающий с кровати и весящий 160-170 кг». И даже если власти выявят преступника, им необходимо определить, перешла ли данная кибератака порог возмездия и заслуживает ли она ответных действий. В обычных условиях подобные решения могут быть приняты в случае физического перемещения войск, прогресса на пути приобретения ядерного оружия или наращивания военной группировки. Но странам еще только предстоит договориться о цифровых эквивалентах подобных недружественных действий.
Государство также должно просигнализировать о своей воле и способности ответить на агрессивные действия, не выдавая слишком много информации о том, как оно это сделает, чтобы агрессор не смог заранее подготовиться. Кибервозможности зависят от сохранения информационной асимметрии. Сохранение тайны и эффект неожиданности имеют большое значение, потому что киберзащита может полностью блокировать конкретные методы вторжения, в отличие от обычных оборонительных средств, которые не всегда могут предотвратить действия более могущественного государства.
Когда сдерживание не дает результата
За прошедшее десятилетие Вашингтон обрел достаточный опыт в решении этих стратегических дилемм, поскольку сталкивался с эскалацией киберугроз со стороны самых разных противников. Соединенные Штаты вполне могли бы сдерживать наиболее опасные атаки; в конце концов, они еще не сталкивались с кибератаками, представляющими прямую угрозу для жизни людей. Как это часто происходит в случае сдерживания, успех невидим, а провал становится достоянием гласности. Однако две громкие неудачи – хакерская атака на компанию Sony Pictures в 2014 г., приписанная Северной Корее, а также кибератака 2015 г. против Управления кадровой службы США (УКС), приписываемая Китаю, – вскрыли существенные слабости и недостатки в политике сдерживания.
В 2009 года президент Барак Обама объявил о новой стратегии по отведению угроз со стороны все более агрессивных игроков в киберпространстве. «Теперь понятно, что эта киберугроза – один из самых серьезных экономических вызовов и проблем в области национальной безопасности, с которыми мы сталкиваемся как нация, – заявил он. – Понятно также, что мы не подготовлены должным образом». Администрация Обамы предприняла ряд шагов по укреплению кибербезопасности, таких как оптимизация каналов реагирования и обмен разведданными, повышение уровня безопасности государственных сетей и формулировка более явных порогов для нанесения ударов возмездия. Однако непрекращающиеся цифровые атаки протестировали новую политику на предмет ее комплексности и выявили существенные стратегические изъяны. В ноябре 2014 г. группа, спонсируемая Северной Кореей и называющая себя «Стражи мира», взломала компьютерные сети компании Sony Pictures, украв щекотливую личную информацию и копии невыпущенных фильмов. Хакеры попытались шантажировать Sony, требуя, чтобы студия отказалась от своих планов выпустить комедию с критикой верховного лидера Северной Кореи Ким Чен Ына. Раскрытие личных почтовых адресов руководителей студии дорого обошлось им и поставило их в неловкое положение. По оценке одного из руководителей Sony, урон составил 35 миллионов долларов. Однако правительство публично не обвинило Северную Корею, пока «Стражи мира» не начали угрожать реальными терактами против кинотеатров, если фильм выйдет на экраны. Поначалу Sony капитулировала, но после широкой общественной критики, в том числе со стороны Обамы, компания изменила решение и выпустила фильм в ограниченный прокат. Департамент внутренней безопасности настаивал на том, что реальной угрозы кинотеатрам не существует, и показ фильма прошел без инцидентов. В январе 2015 г. правительство США объявило о новых санкциях против государственных ведомств и официальных лиц Северной Кореи в ответ на хакерскую атаку. Однако эта спонтанная реакция продемонстрировала, что Вашингтону трудно определить порог нанесенного ущерба для акции возмездия.
Эпизод с компанией Sony выявил три явных недостатка политики киберсдерживания, проводимой США. Во-первых, все время существовала некоторая двусмысленность во вмешательстве государственной власти, совершающей возмездие за атаки на частную информационную инфраструктуру. Во-вторых, государство и частная индустрия не могли согласовать единый ответ на угрозы. Наконец, пресса жаждала сообщить о содержании похищенных почтовых сообщений, хотя они увидели свет в результате агрессивных действий иностранного игрока, и гораздо больше внимания уделяли часто легкомысленному или непристойному содержанию почтовых сообщений, нежели мотивам хакерской атаки.
Поскольку киностудия не подпадала под определение критически важной инфраструктуры, Вашингтон не сразу признал более широкие последствия атаки и необходимость государственной реакции. Проведение «красной черты», указавшей на недопустимость взлома государственных сетей, не смогло сдержать последующие нападения на частные сети. Похоже, что официальные лица не предвидели атаки на ключевые ценности страны – в данном случае, на свободу речи и самовыражения – в качестве потенциального спускового крючка для возмездия. И тот факт, что государство прибегло к каким-то действиям лишь после того, как до сведения Северной Кореи и других противников были доведены физические угрозы, показал, что Вашингтон не считал саму кибератаку достаточным основанием для возмездия.
Но даже атаки на государственные сети не повлекли за собой решительного ответа, и это еще больше подорвало доверие к США. В июне 2015 г. администрация Обамы сообщила, что хакеры украли целый блок данных с серверов УКС, где хранится огромный объем личной информации деликатного свойства о сотрудниках государственного ведомства. Директор национальной разведки Джеймс Клэппер сказал, что главным подозреваемым в совершении этой атаки является Китай. Но, несмотря на явное указание виновного и тот факт, что кража этой информации перешла одну из линий, проведенных администрацией Обамы, за этим не последовало никакой видимой реакции (хотя Китай арестовал нескольких человек, которых считал виновными). Клэппер, пусть и неохотно, даже выразил свое восхищение хакерами: «Приходится отдать должное китайцам, которые блестяще провели эту операцию», – сказал он, признав, что подобные атаки будут продолжаться до тех пор, пока Соединенные Штаты не укрепят безопасность сетей и не начнут проводить более основательную политику сдерживания противников. Однако обновленная политика киберсдерживания администрации Обамы, утвержденная в виде закона в декабре 2015 г., не устранила те слабости, которые были вскрыты в ходе атак против Sony и УКС.
Даже после таких видимых неудач в области сдерживания администрация Обамы продолжала узко определять пороги для операций возмездия в киберпространстве, сосредоточив внимание на угрозах человеческой жизни, критически важной инфраструктуре, экономической безопасности, а также военному командованию. И это явно не осталось без внимания России.
Из России с любовью
Русские давно занимаются провокациями в киберпространстве: их мишенью нередко становятся выборы в стратегически важных соседних странах. Например, в 2014 г. группа, известная как «КиберБеркут», пользующаяся поддержкой России, вмешалась в президентские выборы на Украине. Группа временно вывела из строя украинскую систему подсчета голосов, запустила вредоносную программу, сообщившую о победе кандидата от ультранационалистов на государственных сайтах, а также предприняла кибератаку, из которой окончательный подсчет голосов задержался на несколько часов. В конечном итоге попытки срыва выборов были своевременно обнаружены и не повлияли на их исход.
С учетом такого послужного списка, нет ничего удивительного в попытках России вмешаться в выборы 2016 г. в США. Мишенью русских, как и чуть раньше северокорейцев, стали негосударственные сети. Похоже, что Кремль отметил, что утечка почты руководителей Sony была воспринята как неловкая ситуация, но не как разновидность информационной войны. И в самом деле, поскольку сети Национального комитета Демократической партии (НКД) и Комитета по выборам в Конгресс Демократической партии США, взломанные русскими, не считались государственными системами или частью избирательной инфраструктуры, их взлом иностранной державой не вызвал достаточной тревоги в правительстве. Клэппер указал в мае 2016 г., что разведывательному сообществу известно о том, что мишенью хакера были президентские кампании, но оно исходило из того, что эти действия были частью обычного пассивного сбора разведывательной информации.
Летом 2016 г. уже имелись убедительные доказательства участия России во взломе серверов и опубликовании переписки, украденной у НКД; однако правительство публично не обвиняло Россию в этих атаках вплоть до октября. В период вмешательства пресса считала обвинения в адрес России спекулятивными и не имеющими отношения к сути вопроса: как и в случае с утечкой почты руководителей Sony, СМИ сосредоточились преимущественно на содержании сообщений, не уделив должного внимания тому, что эта почта, возможно, была украдена и опубликована недружественной иностранной державой – в данном случае пытавшейся повлиять на выборы в Соединенных Штатах. Тот факт, что переписка была украдена втайне, создал впечатление, будто Клинтон было что скрывать по ходу предвыборной кампании. Информация, которой в противном случае никто не придал бы большого значения, стала главной новостью многих информационных изданий. Если бы правительство с самого начала решительно и конкретно указало на виновника, это переместило бы акценты на мотивы России.
Когда администрация Обамы, в конце концов, отреагировала на хакерскую атаку русских, спусковым крючком стал не сам факт кражи или опубликования украденной переписки, а подозрение, что мишенью атаки стала инфраструктура выборов – опасность фактического искажения подсчета голосов – что было вскрыто выборными комиссиями штатов. Но даже публично обвинив Россию в атаке, Вашингтон продолжал уклончиво высказываться о возможных последствиях. К подобной риторике он прибегал и после хакерских атак на Sony и НКД: США ответят пропорционально; возможно, это будет невидимый ответ «в то время и в таком месте, которые они сами выберут».
Дилемма кибербезопасности
Хотя книга Бьюкенана увидела свет до выборов 2016 г., автор предлагает убедительное и прозорливое объяснение причин, по которым США не были готовы дать более решительный отпор: версию того, что политолог Джон Херц впервые обозначил в 1950-е гг. как «дилемма безопасности», применительно к киберпространству. Херц постулировал, что действия, предпринимаемые государствами по соображениям самообороны – например, увеличение расходов на оборону или концентрация войск на границе – часто воспринимаются другими государствами как угроза. В ответ они укрепляют собственную безопасность, что, в свою очередь, воспринимается как угроза третьими странами. Таким образом действия, нацеленные на оборону, непреднамеренно создают и подпитывают цикл эскалации. Но эти процедуры пока еще не распространились на киберпространство, где тесно переплетаются гражданские и государственные сети, и где часто трудно разграничить оборонительные и наступательные действия. Как объясняет Бьюкенан, государства иногда вторгаются в сети других стран в чисто оборонительных целях, но оценить намерения в киберпространстве зачастую намного труднее, чем судить об обычных военных маневрах. Когда государство не может распознать намерения, оно предполагает агрессию. Кроме того, Бьюкенан доказывает, что даже оборонительное вторжение в киберпространство может ослабить безопасность государства, становящегося мишенью, потому что создаются плацдармы или опорные пункты, которые впоследствии можно будет эксплуатировать для наступательных операций. Поэтому любое подобное действие несет в себе явную угрозу.
При обычных вооруженных конфликтах, объясняет Бьюкенан, государства частично решают эту дилемму, пытаясь позаботиться о том, чтобы другие ошибочно не приняли их оборонительные действия за подготовку к наступательной операции. В результате государства научились точнее оценивать действия другой стороны и разработали ряд стандартов для понимания того, что считать стандартными мерами укрепления обороны.
Острое осознание рисков эскалации удержало Вашингтон от ответа на кибератаки, равно как и то, что США больше зависят от информационных систем, чем их противники. Этим объясняется осторожность, граничащая с параличом. Но неспособность разработать действенную политику киберсдерживания повышает уязвимость США для противников, готовых пойти на риск.
Неудача и последствия
Обеспокоенность администрации Обамы относительно рисков возмездия в конечном итоге вылилась в ее полную беспомощность перед лицом вмешательства России в ход выборов. Согласно глубокому анализу, проведенному газетой The Washington Post, Белый дом рассматривал ответные меры, включая кибератаки на российскую инфраструктуру, экономические санкции, способные нанести реальный урон, а также опубликование информации, которая поставит российского президента Владимира Путина в неловкое положение. Некоторые официальные лица даже предлагали направить авианосцы к берегам Балтийского моря. Но администрация, в конечном итоге, избрала крайне умеренный вариант: введение экономических санкций против нескольких лиц, связанных с российской военной разведкой, изгнание 35 российских дипломатов из США, а также конфискацию двух российских объектов недвижимости в США, которые, как считал Вашингтон, Москва использовала для шпионажа. Согласно газете, администрация также одобрила тайную операцию по проникновению в российскую киберинфраструктуру, чтобы разместить в ней «кибероружие», которое можно будет использовать в будущем. Трамп, который, заняв президентский пост, не раз бросал тень сомнения на вмешательство русских в ход выборов, похоже, не склонен использовать эти инструменты.
Более того, доклад правительства о российском вмешательстве не оправдал ожиданий: в нем лишь сообщалось о выводах разведывательного сообщества, но не приводилось убедительных доказательств, подкрепляющих эти выводы. Хотя защита источников и методов важна, документ не убедил скептиков, и публикация доклада дала обратный эффект. Последовавшая серия весьма конкретных утечек засекреченных сведений привела к раскрытию куда больших подробностей, но это не было официально подтвержденной информацией, а потому она была не столь убедительна.
Внутриполитические факторы также способствовали немногословной реакции. Администрации Обамы крайне не хотелось, чтобы ее обвинили в неподобающем влиянии на выборы. Согласно The Washington Post, лидер республиканского большинства в Сенате Митч Макконнел, сенатор от штата Кентукки, сказал, обращаясь к администрации Обамы, что будет рассматривать любую попытку публично бросить вызов русским по поводу их вмешательства в ход выборов политически мотивированным шагом, тем самым исключив любую возможность единой двухпартийной позиции и реакции. Однако тонкости электоральной политики служат еще одной убедительной причиной установить более четкие дорожные правила, когда речь идет о кибератаках. Обнародовав нейтральные стандарты, будущие администрации смогут оградить себя от обвинений в защите узкопартийных интересов, если решат резко и решительно отреагировать на попытки иностранных игроков вмешиваться в американский политический процесс.
Вне всякого сомнения, более резкая реакция сопряжена с большими рисками. Как пишет Либики, «вариант ничегонеделания не совсем уж сумасшедший». Иногда противник хочет добиться резкой реакции, поэтому отказ признавать атаку – тоже своеобразная реакция. Но Либики также отмечает, что, какой бы путь реагирования на кибератаку государство ни избрало, оно должно «быть убеждено в том, что своими действиями срывает стратегию нападающего, а также меняет его расчеты». В этом смысле американская стратегия киберсдерживания была провальной как в прошлом, так и в настоящем.
Эта неудача уже повлияла на союзников США. В мае кандидат в президенты Франции Эммануэль Макрон стал очередной мишенью: его сервер был взломан, и его личная почта выложена в открытом доступе накануне выборов (он все равно победил). Хотя доказательства менее очевидны, чем в случае с Америкой, имеется широкий консенсус по поводу того, что это дело рук российских хакеров, поскольку Россия поддерживала соперницу Макрона – крайне правого кандидата-популиста Марин Ле Пен.
Следующие шаги
Чтобы избежать повторения фиаско 2016 г., США должны взять на вооружение новый курс, для которого характерна более высокая терпимость к стратегическим рискам. Для начала Вашингтону необходимо сформулировать более четкие линии. Киберстратегия администрации Обамы была двусмысленной в качестве тактики сдерживания. Она исходила из того, что отсутствие конкретики остановит другие страны, которые побоятся развертывать враждебные действия в киберпространстве, чтобы не перейти роковую черту. Однако опыт показал, что агрессивные недружественные страны считают эту зону двусмысленности зоной безнаказанности. Хотя проведение более четких линий сопряжено с риском активизации враждебных действий, не выходящих за «красную черту», сдерживание недружественных действий в этом пространстве – лучший исход, чем допущение безнаказанности более серьезных нарушений.
Точно так же Соединенным Штатам нужно быть более последовательными и действовать на опережение, публично объявляя об инициаторах кибератак. Когда официальные лица не указывают пальцем на виновного, чтобы не раскрывать источники и методы, они тем самым позволяют врагам США все отрицать, сохраняя видимость правдоподобия. Разоблачение виновных и заявления, в которых возмездие недвусмысленно увязывается с соответствующими преступлениями – важные шаги к формированию и принятию норм поведения государств в киберпространстве.
Наконец, Соединенным Штатам необходимо избавиться от страха стать инициаторами циклов эскалации. Более резкая реакция на хакерские атаки – ответные атаки и агрессивные санкции – несут в себе существенные риски, но Вашингтон больше не может полагаться на принцип ничегонеделания или делать очень мало. Политика киберсдерживания должна отражать реальность, согласно которой отсутствие реакции на атаку – это уже выбор с соответствующими неприятными последствиями.
