Poza prawem i kontrolą

Wojciech Pięciak: NATO-wska komisja ekspertów, która pod kierunkiem byłej sekretarz stanu USA Madeleine Albright przygotowała projekt nowej strategii Sojuszu, twierdzi, że w najbliższej dekadzie krajom NATO nie grozi atak konwencjonalny. Komisja wymienia trzy zagrożenia: atak rakietami balistycznymi, międzynarodowy terroryzm i ataki cybernetyczne. Sekretarz generalny NATO mówi, że Sojusz powinien zbudować "tarczę cybernetyczną". Czy to realne?

Sandro Gaycken: Wizja "tarczy cybernetycznej" to tylko gadanina, polityczna retoryka. Nie jest to możliwe ani z technicznego, ani z politycznego punktu widzenia. W sieci jest czymś niemal niemożliwym, aby odróżnić atak cybernetyczny - zanim się on nie rozpocznie - od zwykłego przepływu danych. Nie można więc chronić się przed cyberatakami jakąś "tarczą". Poza tym w przypadku cyberataków niezwykle trudno jest zidentyfikować napastnika. A skoro tak, trudno bronić się przy pomocy militarnej strategii odstraszania, czyli groźby kontruderzenia. Aby odstraszyć czy ukarać potencjalnego agresora, najpierw trzeba stwierdzić, kim on jest. Tymczasem agresorzy działający w cyberprzestrzeni umieją się kamuflować, zostawiają fałszywe tropy, prowadzą swoje kampanie za pośrednictwem przejętych serwerów. A takie serwery mogą znajdować się zarówno w krajach wrogich, jak też w krajach będących naszymi sojusznikami.

W swej książce "Cyberwar", która wkrótce ukaże się w Niemczech, pisze Pan: "Wojna cybernetyczna już się zaczęła: coraz częściej państwa angażują hakerów, aby wykradali tajemnice, szkodzili gospodarkom, utrudniali prowadzenie operacji wojskowych lub manipulowali opinią publiczną". Kim są cybernetyczni wojownicy? Żołnierzami w mundurach czy hakerami, opłacanymi przez instytucje państwowe?

To zarówno żołnierze, jak też cywile-hakerzy, którzy mogą działać z pobudek patriotycznych lub na zlecenie. W niektórych krajach obie grupy kooperują zresztą ze sobą: wojskowi utrzymują po prostu dobre kontakty ze swoimi środowiskami hakerskimi, nie angażując ich formalnie na jakichś kontraktach. To wygodne również dlatego, gdyż w razie potrzeby można się zdystansować od danego cyberataku. Ale niezależnie od tego, większość państw buduje już własne struktury, rzec można: własne siły cybernetyczne.

W maju tego roku USA ogłosiły oficjalnie, że powołują do życia Cyber Command, Dowództwo Sił Cybernetycznych, jako jedno z dowództw obok np. wojsk lądowych, lotnictwa, marynarki itd. Jak wyglądają takie zbrojenia w innych krajach?

Również wiele innych państw wydaje miliardy dolarów na tworzenie własnych sił cybernetycznych. Prowadzone jest to w ścisłej tajemnicy, niewiele o tym wiadomo. Ale, generalnie, budowanie możliwości militarnych w cyberprzestrzeni jest relatywnie tanie. Trzeba tylko kupić ekspertów albo wyszkolić własnych. Sprzęt nie jest specjalnym problemem. Dziś wszyscy rekrutują, szkolą i zbroją własne siły cybernetyczne. W 2008 r. w 140 krajach zidentyfikowano programy komputerowe, mogące służyć do prowadzenia działań w cyberprzestrzeni, a wiele z nich miało charakter ofensywny. Wcześniej, w 2007 r., produkująca oprogramowanie antywirusowe firma

McAfee twierdziła, że zidentyfikowała ponad 120 krajów, które miały tworzyć programy mogące być narzędziem cyberwojny. Do tej informacji podchodziłbym jednak z ostrożnością.

Jeśli chodzi o budżety poszczególnych państw: firma doradcza Technolytics [niezależny amerykański think-tank, pracujący także dla rządu USA - red.] sporządziła w 2007 r. opracowanie, w którym szacowała, że Chiny zainwestowały dotąd ok. 55 miliardów dolarów w budowę infrastruktury służącej do prowadzenia cyberwojny, zaś Rosja ok. 44 mld. Dla porównania: USA inwestują teraz ok. 45 miliardów. Amerykańskie programy zbrojeniowe są tu najbardziej znane, oczywiście w pewnych granicach. Np. wiadomo, że Dowództwu Sił Cybernetycznych podlega 30 tys. żołnierzy. Pewien znajomy opowiadał mi, jak trafił kiedyś do jednej z takich baz. Normalnie w amerykańskich bazach wojskowych wszystko jest uporządkowane, posegregowane. Tymczasem tam walały się przysłowiowe pudełka od pizzy, rytualny rekwizyt z filmów o hakerach, ludzie pracowali tam niezależnie od pory dnia, dzień czy noc, niektórzy poubierani tylko w jakieś elementy umundurowania... Nawet armia USA jest w tej sferze elastyczna.

Czym właściwie zajmują się żołnierze z sił cybernetycznych?

Próbują przeniknąć do systemów komputerowych przeciwnika, zwłaszcza systemów mających szczególne znaczenie polityczne i militarne. A gdy to się uda, mogą, w zależności od politycznego zapotrzebowania, ograniczyć się do pozyskiwania informacji albo podejmować działania ofensywne, np. prowadzić akcje sabotażowe czy wprowadzić do systemu oprogramowanie, które pozwoli przejąć nad nim kontrolę.

Dlaczego państwa korzystają z hakerów, skoro mają wojskowych specjalistów?

Wysokie kwalifikacje, wiedza, umiejętności tych ludzi - to jedna przyczyna. Druga jest natury politycznej: angażowanie ludzi z zewnątrz otwiera rozmaite opcje taktyczne: można zlecać hakerom różne operacje, samemu pozostając jeszcze bardziej w cieniu. Różne kraje stosują tu różne strategie. Np. rosyjskie instytucje państwowe mają utrzymywać bliskie kontakty z przestępczością cybernetyczną, rekrutując ludzi ze środowisk kryminalnych. Z kolei armia chińska korzysta chętnie z pomocy subkultury hakerskiej, która istnieje w tym kraju: to subkultura "hakerów-patriotów", gotowych pracować na rzecz państwa z motywacji patriotycznych.

Które kraje są najbardziej aktywne w cyberwojnie?

Bardzo duże możliwości mają dziś USA, Rosja, Chiny, Izrael i Francja. Czy podejmują działania agresywne, to trudno ocenić, wracamy tu do problemu identyfikacji. Ale były już cyberataki, w przypadku których można bez wątpienia powiedzieć, że stały za nimi państwa. Mieliśmy atak tzw. GhostNetu na infrastrukturę tybetańskiej emigracji czy kradzież danych amerykańskiego myśliwca F-35; te sprawy miały charakter cyberszpiegostwa. Były też przypadki sabotażu, np. cyberataki na amerykańskie sieci energetyczne czy teraz wirus Stuxnet, który miał zaatakować irańskie instalacje [patrz "TP" nr 41/2010 - red.]. W 2007 i 2008 r. cyberataki dotknęły Estonię i Gruzję, choć do nich nie przywiązywałbym wielkiej wagi: były spektakularne, ale koniec końców nie miały dramatycznych skutków.

Czy Zachód jest podatny na cyberataki? W USA politycy przestrzegają przed "elektronicznym 11 września". Zagrożone są elektrownie lub sieci energetyczne?

Są zagrożone w tym sensie, że w razie jakiegoś kryzysu czy konfliktu obce armie mogą uderzyć nie tylko na lądzie czy w powietrzu, ale także w cyberprzestrzeni. To może być atak na sieci energetyczne, aby doprowadzić np. do wyłączenia prądu, może to być również atak na inne obiekty należące do strategicznej infrastruktury państw. Moim zdaniem realne zagrożenie płynie tu tylko ze strony innych krajów. Grupy terrorystyczne są zbyt słabe, aby mogły sobie pozwolić na poważne cyberataki. Mówiąc inaczej: aby cyberbroń stała się poważnym zagrożeniem, musiałoby dojść w Europie ponownie do konfliktu między państwami. W takiej sytuacji broń cybernetyczna byłaby jednym z narzędzi nowoczesnej wojny. A gdyby już do niej doszło, nasza infrastruktura informatyczna byłaby w gruncie rzeczy bezbronna. Dla profesjonalnych wojsk cybernetycznych wrota do niej są szeroko otwarte, jak do stodoły.

W tekście w "Technology Review" pisze Pan, że operacje wojskowe w sieci stały się "nie tylko możliwe technicznie, ale też atrakcyjne strategicznie". Jak to rozumieć?

Komputery są dziś wszędzie, a większość z nich jest podłączona do jakiejś sieci. Infrastruktura narodowa krajów i infrastruktura globalna, gospodarka i polityka - wszystko jest naszpikowane techniką informatyczną. Również logistyka wojskowa, struktury dowodzenia, a także poszczególne urządzenia, samoloty itd., wszystko pracuje w oparciu o technologie informatyczne i wszystko jest ze wszystkim połączone. Jak się to mówi: osieciowane. Tymczasem wszystkie takie urządzenia, jeśli są podłączone do sieci, można wyłączyć, zaburzyć ich pracę lub nimi manipulować. To otwiera ogromną ilość najróżniejszych opcji strategicznych. Przede wszystkim ta różnorodność sprawia, że dla wojskowych cyberwojna stała się sexy.

Jeśli dobrze rozumiem, twierdzi Pan, że nie ma skutecznej obrony przed profesjonalnymi cyberatakami?

To prawda: w obecnych warunkach totalnego osieciowania nie można się skutecznie bronić. Z jednej strony nie ma solidnych możliwości technicznych takiej obrony, a z drugiej nie można prewencyjnie odstraszać agresora, skoro nie mamy pojęcia, kim jest. Jedyną możliwością obrony w cyberwojnie jest wyciągnięcie wtyczki z gniazdka. Odłączenie urządzenia od sieci. Czyli: brak osieciowania. Jakkolwiek by to nie zabrzmiało: musimy odłączać nasze systemy informatyczne od sieci. A także, oczywiście, korzystać ze sprawdzonego oprogramowania i sprzętu. No i ograniczać korzystanie z technik informatycznych, na ile to możliwe...

...czyli niszczyć globalną sieć, którą stworzyliśmy: nie ma Pan wrażenia, że taka teza brzmi niemodnie, wręcz archaicznie?

Jestem przekonany, że współczesne społeczeństwo informacyjne będzie musiało dokonać wkrótce gigantycznego przewartościowania. Prędzej czy później będziemy musieli zmienić nasze myślenie. Wydaje mi się, że taka tendencja już się zaczęła, choć powoli i punktowo.

Jeśli spojrzymy na problem z punktu widzenia historii techniki, nie będzie w tym nic niezwykłego. Już 70 lat temu filozof William Ogburn dowodził, że ludzie zaczynają dostrzegać negatywne skutki uboczne jakiejś technologii dopiero po pewnym czasie, gdy jest już ona bardzo szeroko rozpowszechniona. Wtedy, po fazie euforycznego rozwoju, następuje wyhamowanie, przewartościowanie i koniec końców tendencja do ograniczania wpływu danej technologii. Jestem przekonany, że czeka nas odwrót od wszechobecności sieci informatycznych i internetu.

Jak ocenia Pan etyczny aspekt cyberwojny? Jest ona bardziej etyczna niż wojna prowadzona na lądzie czy w powietrzu?

Broń cybernetyczna jest taką samą bronią jak każdy inny oręż. Problemy etyczne pojawiają się z chwilą jej użycia w taki czy inny sposób. A działania podejmowane w ramach cyberwojny, np. w postaci destrukcyjnych programów wirusowych, mają tendencję do wymykania się spod kontroli i mogą łatwiej powodować straty uboczne. Poza tym natura broni cybernetycznej, jej anonimowość, może zachęcać do bezkarnego, w mniemaniu agresora, atakowania obiektów cywilnych. A więc do popełniania zbrodni wojennych. Pod tym względem cyberwojna otwiera szczególnie wiele opcji niezwykle nieetycznych. Bo choć jest mniej krwawa niż broń kinetyczna, jej skutki mogą być dramatyczne, choćby wyłączenie prądu w jakimś kraju na wiele tygodni.

W historii widać taką tendencję: gdy pojawia się nowa broń, prędzej czy później ludzie podejmują wysiłki, aby ograniczyć jej skutki. W XX w. pojawiły się konwencje, mające regulować wojnę na lądzie i w powietrzu. Potem traktaty o broni atomowej. Cyberprzestrzeń jest sferą kompletnie nieuregulowaną. Czy kiedyś uda się tu stworzyć jakieś konwencje?

Jestem przekonany, że to kompletnie nierealne. A przyczyną jest, ponownie, kłopot z identyfikacją aktorów cyberwojny. Jeśli nie ma możliwości zidentyfikowania tego, kto łamie reguły, to nie można go też ukarać. A skoro nie można ukarać agresora, jaki sens ma tworzenie reguł? Chyba że w postaci jakichś apeli. Ale, niestety, całkowicie niezobowiązujących.

Dr SANDRO GAYCKEN (ur. 1973) jest filozofem i fizykiem, pracownikiem Freie Universität w Berlinie (w Secure Identity Research Group na Wydziale Informatyki). Zajmuje się m.in. filozofią polityki bezpieczeństwa i etycznymi skutkami cyfryzacji. Współautor książki "1984.exe - Gesellschaftliche, politische und juristische Aspekte moderner Überwachungstechnologien" ("1984.exe - Społeczne, polityczne i prawne aspekty nowoczesnych technologii inwigilacji"). Wkrótce ukaże się jego książka "Cyberwar. Das Internet als Kriegsschauplatz" ("Wojna cybernetyczna. Internet jako pole walki"). Jest też doradcą wojskowym w dziedzinie broni cybernetycznej.