Общая сумма ущерба от мошенничества с кредитными картами в 2012 году составила $2 млрд. В основном – это деятельность так называемых фишинговых ресурсов. Суть их работы очень проста – они пользуются отсутствием элементарных меток, которые позволили бы нам наделить этот сайт тем или иным уровнем доверия… Что делать?

Несколько лет назад я стал замечать, что электронная торговля в моей жизни начала подменять собой обычную, в некоторых областях полностью. В интернете я плачу за связь, покупаю билеты в отпуск и многочисленные командировки, бронирую гостиницы и заказываю электронные книги. Даже доставка продуктов из магазина в какой-то момент стала такой же привычной, как самостоятельный поход к прилавку с корзиной.

Все это отличный повод задуматься, скольким людям и в каких ситуациях мы уже успели «засветить» данные своей кредитной карты и много другой персональной информации – домашний адрес и телефон, сведения о друзьях и родственниках, информацию о собственном маршруте и распорядке дня. Анонимность, возможность идентифицировать «вторую сторону» и сохранность информации – вопросы, которые в ближайшие пару лет будут становиться все более и более весомыми для пользователей.

Культура доверия

В течение жизни мы приобретаем определенный опыт, который помогает нам считывать информацию об окружающих объектах и оценивать их, выставлять баллы доверия и принимать решение о том, хотим ли мы иметь с ними дело. Формируется своеобразная сигнальная система «свой-чужой», сильно влияющая на наше поведение. В оффлайне люди придумали множество таких меток, которые призваны подтвердить полномочия человека или компании, удостоверить подлинность документа или узнать что-то об их репутации. Бюрократическая машина ввела подписи, печати, нотариальные заверения и выписки из различных реестров.

Когда-то давно интернету не требовалось всего этого. Пользователей было мало, денег в сети – еще меньше, интернет воспринимался больше как инструмент поиска и обмена информацией. Постепенно стали доступны инструменты для электронных платежей, интернет-банкинга, открыли свои сайты медицинские и образовательные учреждения, стали бурно развиваться первые интернет-магазины. И вслед за ними пришли мошенники.

По данным статистики за 2012 год общая сумма ущерба от мошенничества с кредитными картами составила около 2 миллиардов долларов. В основном это так называемый фишинг – вид мошенничества, при котором пользователю показывают специально созданный фальшивый ресурс, практически не отличимый от настоящего. Или обращаются от его имени по почте или мессенджерам. Суть работы таких ресурсов очень проста – они пользуются отсутствием тех самых меток, «маркеров», которые позволили бы нам наделить этот сайт тем или иным уровнем доверия.

Разнообразие таких ресурсов крайне велико. Чаще всего они маскируются под известные порталы, самые крупные почтовые сервисы, интернет-магазины или социальные сети. Притом степень проработки бывает очень высока – имитируется графика, звук, регистрируется похожее по написанию доменное имя. Наверняка многие, сидя на стороннем сайте, вдруг видели уведомление о пришедшем сообщении из мессенджера или социальной сети – речь именно об этом.

Затем, как правило, идет предложение зарегистрироваться, введя свой логин и пароль, или отправить смс, или просто перейти по ссылке для «верификации» - вариантов может быть масса, но задача злоумышленников уже выполнена: с вас списали деньги, данные вашей кредитной карты или вашего аккаунта похитили, на ваш компьютер подсадили вредоносный код.

Виртуальный нотариус

Когда масштаб проблемы подлогов стал угрожающим, за ее решение взялись сразу несколько компаний. В результате в 1995 году был разработан специальный протокол, получивший название SSL (Secure Socket Layer). Это технология, основная функция которой – создать новую «сигнальную систему» в интернете, ориентируясь на которую можно было бы убедиться, что ресурс действительно является тем, за кого себя выдает.

Работает технология следующим образом. Владелец сайта, который хочет получить его, заказывает у компании сертификат. Сертификат выдается удостоверяющим центром, который перед выдачей проверяет всех своих клиентов – на кого зарегистрирован домен, существуют ли указанные в заявках телефоны и почтовые адреса, в отдельных случаях просит копии уставных документов. Убедившись, что компании действительно принадлежит сайт, удостоверяющий центр передает ей специальный файл, который устанавливается на сервере клиента. В дальнейшем, когда пользователь заходит на сайт, где установлен SSL-сертификат, сервер, условно говоря, передает его браузеру специальный сигнал: если вдруг сайт выдает себя за кого-то еще, пользователь увидит предупреждающее окно.

Удостоверяющий центр таким образом берет на себя роль виртуального нотариуса – мы по умолчанию доверяем ему. Таких центров относительно не много, все они хорошо известны и производители браузеров тщательно следят, чтобы в список доверенных попадали только самые надежные. А значит, мы доверяем и тому, за кого этот центр поручился.

SSL-сертификат выполняет и еще одну важную функцию – он помогает  установить зашифрованное соединение между компьютером пользователя и сайтом. Если такое соединение установлено, то в начале адресной строки появляется замочек. Это позволяет быть уверенным, что даже если данные удастся перехватить где-то на пути из одной точки в другую, никакой информации извлечь из нее не получится.

Кстати, замок может быть разных цветов, которые обозначают разные типы сертификатов. Если замок, например, сопровождается названием компании на фоне зеленой плашки, это значит, что сертификат выдавался с максимальным количеством проверок и уровень доверия к сайту самый высокий.

Этих двух обстоятельств – подтверждения, что перед нами тот самый сайт, куда мы собирались идти, и шифрования сообщений – обычно бывает достаточно, для того чтобы свести к минимуму риски потери важной информации и фишинга. Именно поэтому в настоящее время SSL-сертификат является абсолютно обязательным не только для сайтов, работающих с деньгами, но даже для тех, где просто требуется ввести логин и пароль.

Можно отметить, что использование SSL, помимо чисто практических функций защиты информации, стал своеобразным имиджевым атрибутом, снижающим репутационные риски. Он стал признаком хорошего тона. Многие ресурсы в Америке, странах Европы и Азии, где проникновение интернета сильно превышает 50%, а сеть давно стала кровеносной системой экономики, уже приняли новые правила игры и устанавливают сертификаты только для того чтобы успокоить пользователей, показать свою открытость и добропорядочность.

Пользователи, в свою очередь, не отстают от владельцев сайтов. По данным статистики, в США посетители на 15-20% чаще уходят с сайта, на котором не установлен SSL-сертификат. Причем, как показывают исследования, они не знают, что это и как это работает, однако при этом понимают, что сайт, в адресе которого нет зеленого замочка – не безопасен.

Всего за каких-то несколько лет образовался новый сетевой этикет. Появилась та самая сигнальная система – пользователи получили надежную и достоверную метку, глядя на которую могут понять, что сайту можно доверять.

К сожалению, в России такой этикет только формируется. Однако потребность в такой идентификации есть, и в скором будущем наличие или отсутствие сертификата на сайте будет сильно влиять на пользовательское поведение. Например, пару лет назад я видел сайт одного из банков, где предлагалось ввести пароль от личного кабинета на странице, не защищенной сертификатом. Надо ли говорить, что я вряд ли когда-нибудь еще воспользуюсь его услугами.

Глобальная цепочка

Когда-то давно, когда компьютеры были большими, а интернет – совсем маленьким, машины в сети находили друг друга только по специальным числовым идентификаторам – IP-адресам. Запомнить их человек не мог, попробуй удержи в голове несколько немаленьких комбинаций цифр. Тогда же была придумана так называемая система DNS (Domain Name System), которая позволила ввести в обиход комбинации букв и цифр, называемых доменами.

Система DNS, по существу, выполняет роль большой записной книжки, где условный номер телефона – это IP-адрес, а имя – это привычное нам доменное имя.

Однако тогда же выяснилось, что у этой глобальной системы есть слабые места, опять же доступные для технологических мошенников.

Чтобы понять, что они собой представляют, надо кратко рассказать, как же устроена и работает система DNS. Если глубоко не вдаваться в технические подробности, то это гигантская распределенная иерархическая система, состоящая из нескольких уровней.

На первом уровне стоят корневые DNS-серверы (NS, серверы имён). Они управляются такими технологическими гигантами, как VeriSign, NASA, RIPE NCC, различными крупными университетами. Всего этих узлов  13, и они (вместе с их многочисленными дублерами) разбросаны по всей планете. Это ядро адресной системы, один из тех столпов, без которого невозможна работа сети.

На втором уровне расположены DNS-серверы, отвечающие за конкретные доменные зоны: .RU, .COM, .ORG и другие. На третьем уровне расположены серверы, отвечающие уже за конкретное доменное имя. Они, как правило, принадлежат либо хостинг-провайдеру, у которого расположен сайт, либо специальному DNS-оператору – компании, предоставляющей услуги поддержки DNS.

Работает система следующим образом. После того как пользователь ввёл в адресной строке доменное имя, браузер обращается к так называемому резолверу (компьютеру, установленному чаще всего у провайдера), чтобы спросить у него дорогу. Резолвер обращается к корневому DNS-серверу, и тот указывает ему адрес сервера второго уровня (отвечающего за доменную зону, например .RU). Дальше операция повторяется и резолвер уже обращается к серверу второго уровня, а тот выдает адрес третьего. Так продолжается до тех пор, пока последний из них не выдаст адрес сервера, на котором, собственно, сайт и расположен.

Проблема работы этой системы заключается в том, что у злоумышленника потенциально есть возможность подделать ответ DNS-сервера и выдать адрес другого сервера, на котором будет лежать какой-то совершенно другой сайт.

Ситуация тем более опасна, что пользователь ввел верный адрес, и он же у него отображается в адресной строке, а сайт у него открылся совершенно другой.

Очевидно, вопрос заключается в том, как удостовериться, что пришедший к нам адрес сервера  верный, и он ведет именно к тому сайту, который нам нужен. Как убедиться, что ответ от DNS-сервера не был перехвачен и изменен?

Здесь на помощь пришла технология цифровой подписи. Ответ DNS-сервера подписывается , при получении адреса можно сразу понять, настоящий ли он.

Но тут же встает другой вопрос, откуда взялась эта подпись и можно ли ей доверять, на сколько она достоверна? Доверять ей мы можем только в том случае, если точно знаем, что DNS-сервер, который прислал подписанный ответ, настоящий.

И тут проблема закольцовывается. Чтобы узнать, что сайт настоящий, надо знать, что DNS-сервер, приславший его адрес, настоящий. А чтобы узнать, что DNS-сервер настоящий? Для этого за него должен поручиться кто-то уровнем выше, кому мы доверяем.

Такая логика привела к появлению огромной, иерархичной и невероятной по своей красоте структуры, получившей название DNSSEC (DNS Security Extention). Принцип ее работы заключается в том, что все ответы, которые приходят к нам, страхуются кем-то выше, и так вплоть до самого высокого, корневого уровня. (Иерархия повторяет иерархию доменов.) Это можно представить как работу с человеком, за которого поручился второй, а за того, в свою очередь, третий. Естественно, мы подразумеваем, что доверие к первому, самому высокому, уровню безусловно – работа корневых серверов координируется международной корпорацией  ICANN, которая, фактически, отвечает за управление интернетом в мировом масштабе.

Подпись, сопровождающая ответы самих корневых серверов, создавалась по специальной процедуре, напоминающей сюжет фильма «Братство кольца». Были собраны видные и уважаемые представители интернет-сообщества, имеющие долгий опыт работы в отрасли, и каждому из них была выдана одна из составных частей ключа. Заменить корневую электронную подпись можно, только собрав всех этих людей вместе. Такая процедура происходит четые раза в год в Лос-Анджелесе, куда они приезжают со всего мира для процедуры плановой ротации ключей.

Технология DNSSEC достаточно молода, ее внедрение в зоне .RU произошло в самом конце 2012 года и большого распространения среди конечных пользователей она пока не получила. Однако если принять во внимание, сколько сил сейчас различные мировые компании тратят на повышение информационной безопасности, «узнаваемости» и борьбу за пользовательское доверие, можно предположить, что уже в недалеком будущем использование DNSSEC станет таким же обязательным правилом и такой же нормой этикета, как в реальной жизни – правило представляться и пожимать руку во время знакомства.

Михаил Анисимов

* Статья впервые опубликована в журнале «Интернет в цифрах» №2, 2013