Почему авиакомпаниям лучше обеспечить кибербезопасность прямо сейчас

В ночь с 17 на 18 февраля 2024 самолет Boeing 787 (регистрационный номер 4X-EDX) израильской авиакомпании El Al, который выполнял рейс LY88 Пхукет ― Тель-Авив, получил через систему передачи текстовых сообщений ACARS указание изменить направление полета. Опытный экипаж мгновенно заподозрил неладное, пилоты связались по голосовой связи с диспетчерской службой, выяснили, что сообщение ACARS было ложным, и продолжили полет по маршруту. Судя по местоположению самолета в этот момент, источником ложной информации могли быть либо йеменские хуситы, либо злоумышленники из Сомали, но в данном случае это не так важно. Гораздо важнее, что этот случай в очередной раз продемонстрировал низкий уровень технической защищенности воздушного транспорта от кибератак, которые в последние годы не только участились, но и становятся все более разнообразными.

Например, система ACARS работает на нескольких частотах (131-136 МГц) внутри авиационного УКВ-диапазона, и узкая полоса пропускания не позволяет использовать современные методы криптозащиты ― вся надежность базируется на пересылке подтверждающих сообщений между бортом самолета и наземным сервером. Соответственно, злоумышленники, подменяя сигнал ACARS, одновременно подавляют помехами ответный сигнал и наземный сервер не получает подтверждения о получении сообщения, которое он не отправлял. В результате ложное сообщение остается незамеченным, а в бортовой навигационный компьютер оказался заложен фальшивый план полета.

Нормативные вопросы криптографии

Глобальная проблема заключается в том, что вся система передачи информации на воздушном транспорте исторически сложилась в те времена, когда проблема кибербезопасности была практически не актуальна. Все начиналось с телеграфных аппаратов и обмена телеграммами через сеть авиационной фиксированной электросвязи AFTN. Сейчас телеграммы перекочевали из телеграфных аппаратов в электронную почту (или просто сетевые пакеты), но часто так и ходят незашифрованные, хотя передаются огромные потоки информации, критически важной для бесперебойной работы всей системы, а также персональные данные пассажиров.

Более или менее принятый во всем мире подход заключается в признании надежности проверенных протоколов шифрования при передаче данных. К таким относится, например, протокол TLS. Его последняя версия 1.3 утверждена Инженерным советом интернета в 2018 году и используется повсеместно как промышленный стандарт. Многие государства валидировали его у себя в национальных нормативных документах. Но в России с советских времен принято, что вся криптография должна быть собственная, причем сертифицированная своими государственными службами. В этом есть свой смысл с точки зрения контроля за производством и  распространением шифросредств. Однако при этом теряется возможность интеграции своих средств криптографии в общемировые стандарты защиты информации. Очевидно, что никто в мире не будет имплементировать наш ГОСТ Р 34.12-2015 «Кузнечик», да это и невозможно, поскольку передача его за границу ― это уголовно наказуемая контрабанда средств криптозащиты. Таким образом, защищенные с помощью TLS каналы передачи информации не выглядят таковыми с точки зрения российских регуляторов. И наоборот, системы, защищенные по российским ГОСТам, не будут верифицированы как безопасные на международном пространстве.

Также следует обратить внимание на размытость формулировок в нормативных документах отечественных регуляторов. Например, документ «Состав и содержание организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных», разработанный и утвержденный ФСТЭК России, содержит следующую формулировку в требованиям по защите систем и передачи данных: «ЗИС.3 Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи». Как видно, здесь не ни слова про криптографию и шифрование. Да, по смыслу это можно понять. Но в то же время остаются лазейка и соблазн обосновать выполнение меры ЗИС.3 иными, более дешевыми способами.

Защититься сейчас

Как бы то ни было, сложную тему обеспечения глобальной совместимости пока можно отложить на будущее. А пока вынужденный разрыв с иностранными поставщиками услуг и программного обеспечения (глобальными дистрибутивными системами, компьютерными системами бронирования и др.) дает возможность перестроить архитектуру транспортной инфраструктуры и информационных систем в соответствии с установленными национальными стандартами кибербезопасности. Безусловно, это порождает ряд технологических, нормативных и финансовых вопросов, которые необходимо решать. Построение защищенных каналов связи ― это дорогая и длительная задача, однако необходимо идти по этому пути, выстраивая стратегию и предусматривая исследования и разработки по замене исторически сложившейся инфраструктуры.

В первую очередь, техническая обязанность защитить каналы связи с передачей персональных данных лежит на авиакомпаниях и субъектах транспортной инфраструктуры, но справиться в одиночку им будет довольно трудно. Государство в лице регулирующих органов, безусловно, оказывает стимулирующее воздействие. Кроме того, технические задачи в пределах своих полномочий призвано решать ФГУП «ЗащитаИнфоТранс». Однако необходима активизация усилий. На рынке уже есть решения по защите каналов связи для гражданской авиации, которые обеспечивают соответствующую функциональность и соответствуют всем требованиям, однако необходимо еще обеспечить надежность работы и высочайший уровень послепродажной технической поддержки. Гражданская авиация ― критически важная отрасль с высокими техническими рисками, которая работает круглосуточно, без выходных и праздников. Поэтому и требования по уровню сервиса и выполнению обязательств предъявляются соответствующие.

Несмотря на то, что на рынке решений по кибербезопасности существует конкуренция и никто монопольно не задирает цены, переход на защищенные каналы связи все равно стоит больших денег, то есть финансирование остается главной проблемой. Отчасти это произошло и потому, что никто не торопился внедрять нормы, которые были приняты много лет назад, стремясь сохранить «совместимость» с иностранными системами бронирования. Сейчас государство повышает ответственность за невыполнение своих требований, растут штрафы и регуляторное давление. Безусловно, это подстегивает, однако одномоментный переход невозможен.

Можно посоветовать компаниям выработать собственные стратегии перехода, построить модели угроз, написать планы внедрения, в том числе с учетом сроков по импортозамещению. Это позволит растянуть капитальные вложения на несколько лет, да и регулирующим органам будет, что предъявить.

На какую поддержку от государства можно было бы рассчитывать? Вовсе не обязательно требуется прямое финансирование, есть и другие инструменты. Например, можно внедрить страхование рисков в области кибербезопасности, ― пусть это сложно и требует соответствующей экспертизы страховых компаний, однако вполне реализуемо. Кроме того, было бы замечательно исключить из налогооблагаемой базы инвестиции в кибербезопасность и вычислительные мощности. Тогда любая компания будет понимать, что она сможет взять необходимые деньги из своих налогов. Еще можно предусмотреть долгосрочные беспроцентные кредиты на приобретение оборудования и средств защиты информации. Причем состав оборудования и ПО для обеспечения кибербезопасности должен определяться моделями угроз и техническими заданиями, согласованными с профильными регуляторами. Это были бы честные правила игры, выгодные и понятные как бизнесу, так и государству.

А вот прятать голову в песок и игнорировать проблему ― точно не получится.