Може ли изкуственият интелект да постави точка на вечната битка между стражари и апаши? Възможно ли е да има пълна сигурност онлайн? Кои са най-големите опасности, които дебнат в мрежата и наистина ли по нашите ширини се раждат забележително добри хакери? Защо онлайн светът свиква с регулациите, докато в областта на ИИ все още сме по-близо до Дивия Запад?
Петър Кирков е българският шериф в днешния онлайн уестърн. След повече от 20 години опит в сферата на киберсигурността, като част от големи български и глобални компании, днес той е национален координатор в тази област.
Защо киберсигурността е процес, а не цел? Тя ли е най-неблагодарната, но и една от най-важните области на професионално развитие днес? А кои са предимствата ни като… държава стартъп?
– Случвало ли ви се е да кликнете на фишинг имейл?
– Да. Не ми се е случвало да продължа, както се казва в нашата професия, параноята е здравословна, но ми се е случвало да кликна. По-често обаче ми се е случвало да изпращам фишинг имейли като част от тренировка, защото това е начинът хората да се обучат. Пращаш ги и когато човек се върже, го записваш на обучение.
Най-слабата брънка в киберсигурността са потребителите,
защото, в кръга на шегата, е много трудно да ги ъпдейтнеш, да им инсталираш нова версия на софтуера. Така единственият вариант е някакво обучение. Това също е трудно, то не дава някакви умения, с които пряко могат да се изкарват пари. „Ама трябва ли?“ „Защо точно сега?“
Мои данни, включително и пароли, са изтичали.
Фишингът е само един от популярните методи за придобиване на потребители и пароли.
снимки: Добрин Кашавелов
– А кои са най-актуалните начини?
– Много по-често се разчита например на това, че ние, хората, сме мързеливи, в резултат на което преизползваме пароли. Мнозина имат една парола, в някои случаи тя дори е достатъчно добра, с много цифри и знаци. И я използват навсякъде.
Уви, не всички места са еднакво добре защитени. Преди бяха много популярни интернет форуми, в момента са всякакви онлайн магазини, които ни карат да се регистрираме, и ние ползваме един и същ потребител и парола. Много често такива сайтове биват хаквани тривиално и данните биват източени.
Тези акаунти се събират, има доста жив черен пазар. Когато някой ги придобие, първо пробва да ти влезе в пощата, после продължава… Дали ще ти хакне акаунта в социалните мрежи и чрез него ще опита да разпространява малуер, ще прави измами, той търси начин да монетизира този достъп, да спечели някакви пари…
В момента онлайн, ако гледаме брой засегнати и най-вече финансовите щети, на второ място са рансъмуер атаките – когато чрез зловреден софтуер се криптират файлове и след това се търси плащане, за да се върне достъпът до данните. Тоест – високотехнологичен рекет.
Начело обаче е една изключително нискотехнологична атака, даже не е кибератака по същество – получаването на неоторизиран достъп до служебната комуникация.
Кибер частта е придобиването на достъпа до електронната поща. Нататък атакуващите анализират начините и маниера на комуникация и например фалшифицират фактури – изпращат такива, които изглежда абсолютно като истински, разликата е само в банковата сметка.
Включително и в България, почти всеки месец има фирми, които изгарят с 40-50 хиляди евро, а ако не се реагира достатъчно бързо, тези пари са невъзстановими. От гледна точка на банковата система това е нормална транзакция.
снимки: Добрин Кашавелов
– Как се насочихте към киберсигурността?
– Беше съзнателно решение още преди 20 години. Тогава киберсигурността изглеждаше по много различен начин, беше нещо допълнително, което правеха системните администратори. Тъкмо започнаха да се появяват първите вируси и в един момент осъзнах, че това е нещо, което ми е интересно – начинът на мислене в тази област, дори още нямаше такъв сектор.
Първоначално ми станаха интересни приложенията в тази посока на UNIX машини. По това време голяма част от нещата, свързани с киберсигурността, се базираха на такива. Постепенно се специализирах, а този сектор започна бързо да нараства. Преподавам „мрежова и информационна сигурност“ и редовно се забавлявам да показвам на децата една графика за това какво трябва да знаеедин специалист по информационна сигурност – всяка година се добавят нови и нови квадратчета. В момента това е много сериозно поле с най-различни направления – технически, юридически, политики.
Аз се насочих конкретно към процесите на управление на информационната сигурност. Днес те са много дълбоко свързани с управлението на всяка организация, информационната сигурност, за да е икономически ефективна, трябва да интегрирана. Това, което правя, е управление на процеси на национално, наднационално и европейско ниво.
– Кои са най големите предизвикателства на национално ниво? Отстрани изглежда, че по-голяма част от процесите са свързани с компаниите…
– Всъщност не е така, както всеки друг аспект от живота, това също зависи от държавата. Много е предизвикателно, защото нейна отговорност са регулациите.
Всяка думичка във всеки един нормативен акт струва пари на даден сектор, на организации или на всички ни.
Това никак не е тривиално. Важно е подобни решения да се вземат много внимателно, за да не свръхрегулираме нещо и да навредим на даден сектор.
снимки: Добрин Кашавелов
– За киберсигурността често се говори като за най-неблагодарната работа в айти света. Защото човек никога не може да е сигурен, че е покрил всички рискове…
– Абсолютно е така. Тя е изключително неблагодарна работа, защото на практика няма възвръщаемост от инвестициите. Киберсигурността работи, когато нищо не се е случило, а тогава се задава въпросът „ние за какво ви плащаме?“.
За нея винаги се дават твърде много пари до момента, в който не се дават достатъчно.
Нещо, което мен ме привлече към нея, е, че киберсигурността не е цел. Няма вариант, в който да кажем: „Край, ние сме киберсигурни, приключихме“. Тя е процес. Има цикъл на постоянно анализиране какво се случва и адаптиране към него.
Киберсигурността трябва да е като ВиК услугите. Да знаем, че е там, но не и да ни се набива в очите до момента, в който не ни потрябва.
Сигурността винаги е баланс. Колкото по сигурно е едно нещо, толкова по-трудно е да бъде използвано.
И обратното, колкото е по-лесно, толкова е по-ниска е сигурността. Искаме повече пароли, пръстови отпечатъци, скенер на зеницата, ще се обади някой, за да провери дали наистина ти ползваш тази услуга. Всяка стъпка, която прави дадено нещо по-сигурно, го забавя и добавя неудобства.
Колкото повече интегрираме, колкото повече киберсигурността не е дейност само на определени специализирани хора, толкова по-добре за всички ни. Имаше шега от софтуерния свят: „Какво правиш?“ „Пиша бъгове.“ Наистина, няма как една програма да е абсолютно свободна от бъгове и уязвимости. Още повече, че в момента софтуерите са толкова комплексни системи, които разчитат на огромен брой библиотеки, нещата се усложняват допълнително. Изведнъж много рязко става страшно.
– Не обръща ли по някакъв начин парадигмата изкуственият интелект? Той ли е следващата стъпка, която може да създаде нов тип рискове?
– Да, но и в двете посоки, защото изкуственият интелект е поредният инструмент – може да бъде използван както от киберпрестъпници за атака, така и за киберзащита. Един от големите проблеми в индустрията е недостигът на хора. Той не е само при нас, не само в Европа, а в цял свят. Имаме вопиюща нужда от хора, които се занимават с киберсигурност, в Европа не достигат стотици хиляди.
снимки: Добрин Кашавелов
– А дали преди да го познаваме достатъчно добре, не е редно да има известни регулации на направление като изкуствения интелект? По тази тема неслучайно се говори толкова много…
– Бърза регулация няма, такова нещо не съществува. Няма как утре да се събудим и да има нова регулация, просто не работи по този начин.
И в Дивия Запад е било така – започва нещо ново, настава беззаконие, някои хора виждат възможностите и започват да правят пари.
Именно те казват: „Чакайте, на мен ми трябва сигурност“. Пристига инфраструктурата, създават се закони, структури, които да наложат ред. Същото се повтаря в киберсигурността.
Интернет се разви дотолкова, защото нямаше регулации. Сега именно той движи света напред.
– Все пак, според мен досега не се е случвало 1000 инвеститори и учени да кажат: „Дайте да спрем да разработваме нещо 6 месеца, докато направим регулация“. Освен всичко друго, това е невъзможно, няма кой да наложи такъв мораториум.
– Защо да не се е случвало? Същите писма е имало и за автомобилите, и за самолетите. „Спрете това нещо, то е опасно, хората не могат да се движат толкова бързо, вятърът ще им извлече въздуха от дробовете, няма да могат да дишат, всички ще умрат.“
Това е нормалният процес, чрез който ние, като цивилизация, приемаме нова технология.
Така беше с блокчейн, с мобилните устройства, със самия интернет. Факт е, че в момента
може с нулеви инвестиции твоето послание да стигне до повече от половината хора на планетата, свързани в интернет.
Това променя нашето общество, променя всичко, включително и политическите ни системи. В момента повечето тоталитарни режими се притесняват повече от интернет, отколкото от нещо друго и започват да налагат ограничения именно там.
снимки: Добрин Кашавелов
– В областта на изкуствен интелект и последния му напредък с GPT кои са най-големите опасности, които се задават от гледна точка на киберсигурността? Често се акцентира върху това, че повече хора ще имат възможност да организират кибератака.
– Получавал ли сте атака от типа „нигерийски скам“? Със сигурност. Нигерийски милионер ще подари на някого доста пари, ако му преведете една скромна сума… Правило ли ви е впечатление колко зле е написан този имейл?
Никак не е толкова сложно да се направи по-добър превод, сюжетът е друг. Първите два или три мейла в рамките на тази измама са много внимателно написани. Това е организирана престъпност и тази стъпка е в ръцете на човек, който е относително ниско в йерархията, той само копира. В момента, когато отговорите на втория или третия мейл, ви прехвърлят на друг човек в йерархията, който вече знае езика.
Защо е така? Има едно изследване, доста старо, от 2010 г., че текстът нарочно е отявлено неграмотен, защото по този начин хората, които са по-интелигентни и биха се усъмнили, автоматично го изтриват.
– Защото целта е да се насочат към по-уязвимите.
– Точно така. С нещо от рода на ChatGPT, което генерира смислен текст, който е много по-персонализиран, престъпниците могат да таргетират и да заблудят доста повече хора. „Нигерийският скам“ работи в 0,001% от опитите,
ако стигне 0,1% ще стане страшно. Говорим си за милиарди, които са свързани към интернет и този минимален процент всъщност е огромен брой хора.
За съжаление, престъпниците са едни от първите, които възприемат новите технологии, начинът им на работа е такъв. Те не съгласуват в шест комитета, не се нуждаят от одобрение, от финансиране. Там нещата се случват бързо.
снимки: Добрин Кашавелов
– Трябва да изпреварят и вас…
– Не само. Трябва да изпреварят и другите престъпници. Така те са първите, които възприемат нови технологии. Но
вече се говори за изкуствен интелект, който върши част от работата на специалиста по информационна сигурност.
Събира всички данни, анализира, разпознава рисковете, в 95% от случаите може да реагира адекватно и да ни защити! По този начин замества едно огромно количество хора, които… никога не ги е имало. Ето,
ИИ не измества, напротив, запълва работни места, които ние не можем.
Но нека обърна въпроса по друг начин. Изкуственият интелект може да бъде манипулиран по много начини. Например, тези модели се обучават чрез някакви входящи данни. Ако ги манипулираш, може да постигнеш поведение, което се отклонява от това, за което е проектиран.
Например, произвеждаш самоуправляващи се автомобили. Ако имаш достъп до данните, на които конкуренцията обучава своите модели, може да направиш така, че техният ИИ да кара по-лошо, дори да убие човек, което ще ги изкара от пазара.
Така че самият ИИ като технология също има нужда от киберсигурност, но на принципно ново ниво. Това е нещо, с което не сме се сблъсквали до този момент.
– И тепърва трябва да се учим. Може би е вечна битката между стражарите и апашите, как мислите?
– Поне до този момент да. Ето, ИИ има потенциал да постигне сингулярност в тази тема и в един момент да кажем: „Това е съвършеният ИИ, който ни пази и оттук нататък ние не се занимаваме“. Аз съм скептичен, защото, както е казал Хари Худини, „няма ключалка, изобретена от човек, която човек да не може да отключи“. Поне през последните 30 години това преследване продължава и предполагам, че няма да се промени, това ни е парадигмата.
Може би след стотина години, когато тези технологии – интернет, изкуственият интелект, вече са навлезли толкова дълбоко в нашето общество, както автомобилите днес, вече няма да е чак такава битка, ще сме стигнали до някакви граници на познанието.
В момента огромният проблем идва от това, че има изключително различно ниво на дигитална култура. Имаме различно ниво на системи, нямаме стандартизация, нямаме регулациите. Тепърва започват да се появяват.
Първата регулация, която изобщо говореше за данни в съвременния смисъл, беше GDPR от 2016 г. Оттогава не са минали и 10 години! От юридическата гледна точка, там хората изучават прецеденти, които са се случи преди 50-100 години, за тях това е едно мигване.
снимки: Добрин Кашавелов
– Едно време се славехме като много добри хакери, някои от най-„успешните“ вируси бяха създадени от българи. Изгубихме ли тази си „слава“ и защо?
– Защото си намерихме работа. Тогава имахме относително добре развита айти индустрия, произвеждахме компютри. През преходния период голяма част от тези хора нямаха работа и по някакъв начин започнаха да използват тези умения. Нямаше как да изкарват пари, затова ги използваха за постигането на слава под някаква форма.
След което обаче икономиката се разви, тези хора станаха ценни и в момента имаме огромен недостиг на работна ръка. Тоест,
за всички потенциални писачи на зловреден код е много по-лесно и икономически изгодно да работят нормална работа.
– Чел съм мнения на хора от бранша, че имаме потенциала да се превърнем в регионален лидер в киберсигурността, така ли е според вас?
– Ние имаме потенциал, защото в много случаи нямаме обремененост. Например, имаме един от най-добрите баланси между половете, в айти индустрията работят над 30% жени. Но това не е някакво постижение, което сме си поставили за цел и сме изпълнили. Получило се е благодарение на българската култура, че всички работим. Обществото ни е изградено така, имаме детските градини, с всичките им недостатъци, имаме дълго майчинство.
Понякога, започвайки по-късно в дадена сфера, това ти позволяват да скочиш напред.
В компютърните науки това е едно от нещата, които ни затрудняват да прогресираме бързо – трябва да сме съвместими към предишни решения. Влачим неща от толкова отдавна, просто защото има парченца код, които все още се използват.
Да, имаме потенциал да се развием, ако структурираме програми за обучение и ги насочим към децата. Специалисти по киберсигурност явно ще се търсят много, поне през следващите 10-20 години. Половината деца, които сега влизат в училище, ще работят професия, която в момента не съществува. Имаше ли преди 10 години инфлуенсъри?
снимки: Добрин Кашавелов
– Нямаше дори девопс.
– Нито пък девсекопс, технологията още не беше изобретена. Да, напълно е възможно ние да си превърнем в регионален център по киберсигурност, но няма да стане от само себе си. Далеч съм от мисълта, че ние, като нация, сме специални, по-умни от останалите, няма такова нещо. Това е синдромът на малката държава, ние сме същите като хората в съседните, че и по-далечните държави.
Но в някои случаи може да имаме предимство, защото нямаме обременността на западните държави, където тези структури са изградени и има традиции.
От тази гледна точка
може би сме държава стартъп – тепърва създаваме много области, така може да реагираме доста по-бързо и да сме по-адаптивни.
Само времето ще покаже…
