Aktualności

Panie Profesorze, inwazja Rosji na Ukrainę trwa już dwa miesiące. Czy w związku z toczącą się wojną jesteśmy narażeni na dodatkowe zagrożenia w sieci?

Jeżeli chodzi o rosyjską inwazję i związane z nią zagrożenia w cyberprzestrzeni, w zasadzie nie notujemy w tym momencie nowych spektakularnych ataków. Niebezpieczeństwa, które obserwujemy w sieci, to zazwyczaj zagrożenia, które już dobrze znamy – na przykład ataki związane z blokowaniem dostępu do usług czy portali. Obecnie mamy jednak do czynienia z intensyfikacją takich działań. Moim zdaniem jedynym nowym zagrożeniem, o którym warto wspomnieć, jest z kolei szeroko pojęta dezinformacja, służąca osłabieniu struktur państwa. To zjawisko można sklasyfikować jako coś, czego do tej pory powszechnie nie doświadczaliśmy. Żadnego z tych niebezpieczeństw nie można bagatelizować. Najlepiej świadczy o tym trzeci stopień alarmowy CRP-CHARLIE, który jest podniesiony już od wielu tygodni – powinniśmy faktycznie wzmocnić czujność w Internecie.

Na czym miałaby polegać zwiększona czujność w przypadku szarego użytkownika sieci? W jaki sposób możemy się bronić przed tego typu atakami?

Według mnie podstawowa rada brzmi: starajmy się zawsze zachować zdrowy rozsądek. To jest cenne również w tej sytuacji – nasza codzienna aktywność w cyberprzestrzeni powinna być przemyślana i odpowiedzialna. Nie jest bowiem tak, że jako pojedynczy użytkownicy sieci nie mamy wpływu na bezpieczeństwo państwa. Jeżeli będziemy w nieostrożny sposób klikać w podejrzane linki, otwierać załączniki od nieznanych osób, to możemy doprowadzić do tego, że nasze urządzenie zostanie wykorzystane jako jedno z narzędzi ataku na usługi, które są kluczowe dla działania kraju. Warto w tym miejscu zwrócić uwagę Czytelników na rekomendacje CERT Polska – ten zespół ekspertów zamieścił na swojej stronie zalecenia zarówno dla obywateli, jak i dla osób zajmujących się utrzymaniem systemów IT w przedsiębiorstwach.

Czy w naszej uczelni także działa zespół, który monitoruje bezpieczeństwo sieci?

W AGH funkcjonuje centralna jednostka zajmująca się bezpieczeństwem informatycznym – to Samodzielna Sekcja Monitorowania Cyberbezpieczeństwa. W wielu innych jednostkach uczelni, takich jak wydziały czy instytuty, są również wyznaczone osoby, które odpowiadają za bezpieczeństwo i ochronę powierzonych im sieci i serwerów przed atakami hakerskimi.

Stereotyp hakera przedstawia go jako młodego geniusza, próbującego złamać te twarde informatyczne zabezpieczenia. Czy nie częściej jest jednak tak, że w celu zdobycia wrażliwych danych wykorzystuje się inżynierię społeczną?

Rzeczywiście, funkcjonuje takie wyobrażenie, że ów haker to postać, która ma niesamowite zdolności informatyczne i siedzi w ciemnym kapturze przed kilkoma monitorami, na których jednoczenie pracuje. Oczywiście są i takie osoby, które mają umiejętności pozwalające im na przeprowadzanie ataków na duże systemy IT, ale bardzo często tymi hakerami okazują się ludzie niebędący ekspertami w zakresie cyberbezpieczeństwa. Przeprowadzając atak, korzystają oni po prostu z gotowych intuicyjnych narzędzi, które można łatwo pozyskać, a czasem nawet kupić wraz z instrukcją obsługi. Haker nie musi być wcale dobrym informatykiem – czasem zamiast programowania wystarczy także zwykła socjotechnika.

Ktoś taki wychodzi pewnie z założenia, że najsłabszym ogniwem jest człowiek.

Po części owszem – człowiek jest zwykle najsłabszym ogniwem i przez manipulację można osiągnąć więcej niż za pomocą ataku hakerskiego na infrastrukturę informatyczną. Z drugiej strony ataki na systemy IT nie muszą wymagać dogłębnej wiedzy. Zobrazuję to na przykładzie analogii: nie trzeba być baristą, żeby zrobić świetną kawę – wystarczy wcisnąć guzik w ekspresie i proszę – zrobiliśmy dobrą kawę, a wcale się na tym nie znamy.

Głośne ostatnio ataki na strony rządowe podobno nie były oparte na dogłębnej wiedzy z dziedziny informatyki, lecz spamowaniu w celu przeciążenia serwerów.

Dokładnie, ataki w rodzaju Distributed Denial of Service (ang. rozproszona odmowa usługi) polegają na tym, że wysyłamy bardzo dużo zapytań, które angażują zasoby informatyczne danego serwera i przez to nie jest on w stanie obsłużyć normalnych zgłoszeń użytkowania.

 

Haker nie musi być wcale dobrym informatykiem, czasem zamiast programowania wystarczy także zwykła socjotechnika – mówi prof. Marcin Niemiec; grafika: Dreamstime

Co chce osiągnąć państwo, które prowadzi tego typu ataki i sieje dezinformację?

Pewnie zmierza Pan do problemu wojny informacyjnej, nazywanej czasem cyberwojną lub wojną w cyberprzestrzeni. Otóż sieć jest współcześnie traktowana jako jeden z wymiarów, w którym prowadzona jest wojna – czasem na równi z działaniem na lądzie, wodzie czy w powietrzu. Zawsze chodzi tu jednak o osiągnięcie pewnych celów politycznych. Jeżeli jedno państwo zamierza zaszkodzić drugiemu, to stara się wykorzystać cyberprzestrzeń do manipulacji, np. w celu potęgowania strachu czy niepewności wśród obywateli. Wiedza na temat stosowanych technik dezinformacji może być naszym orężem – stanowi ona naszą obronę.

Czy posiadamy jakieś słabe strony? W jaki sposób możemy je skutecznie chronić?

Najlepiej zapisać się na studia w AGH (śmiech). Przede wszystkim należy jednak szukać sprawdzonych informacji i zaufanych źródeł. Nie można ślepo wierzyć we wszystko, co się znajdzie w Internecie, a w szczególności trzeba być uwrażliwionym na takie newsy, które grają na emocjach. Kiedyś moi koledzy pracujący w firmie, która zajmuje się oprogramowaniem antywirusowym, przeprowadzili badania dotyczące tego, jakie treści powinien zawierać link, aby użytkownicy częściej w niego klikali i w ten sposób przechodzili na zainfekowana stronę. Okazało się, że najlepszy wynik uzyskały te, które zawierały zaskakujące informacje. Przykładem jest odnośnik do tytułu: W bunkrze na Mazurach odnaleziono żywych polskich żołnierzy z II wojny światowej.

Czyli jesteśmy podatni na sensację i to nasz czuły punkt w cyberprzestrzeni?

Dokładnie tak!

Czy na Pańskim wydziale są prowadzone kursy dotyczące umiejętności miękkich?

Jeżeli chodzi o umiejętności miękkie, to ponieważ jesteśmy jednak uczelnią techniczną, nie mogą one dominować nad wiedzą i umiejętnościami typowo technicznymi, lecz staramy się o nich nie zapominać. Gdy prowadzę na przykład kurs powiązany z cyberbezpieczeństwem, to poświęcam zawsze chwilę socjotechnice czy przedstawieniu typowych metod ataków, bazujących na inżynierii społecznej. Tak zwane umiejętności miękkie intensywnie rozwijamy również podczas debat oksfordzkich, kiedy dyskutujemy o problemach z zakresu cyberbezpieczeństwa. Odbywają się one w ramach przedmiotów obieralnych w naszym Instytucie Telekomunikacji na WIEiT.

Czy w ramach tych studiów prowadzona jest współpraca z firmami z obszaru IT?

Jak najbardziej, prowadzimy owocną współpracę z wieloma różnymi firmami, które zajmują się  technologiami informacyjnymi. Nazwy tych przedsiębiorstw każdy z pewnością kojarzy: to na przykład Nokia czy Motorola, ale również firmy zajmujące się głównie bezpieczeństwem, czyli opracowywaniem systemów antywirusowych i produkcją urządzeń, których celem jest wspieranie usług bezpieczeństwa, a także firmy zajmujące się przeprowadzaniem audytów czy testów penetracyjnych. Sam zresztą zapraszam na moje zajęcia ekspertów z zewnątrz, by opowiedzieli naszym studentom o wyzwaniach, którymi się obecnie zajmują.

Korporacje także mogą być narażone na cyberataki. Czy wielkie firmy mają swoje mini-agencje kontrwywiadowcze, które strzegą dostępu do strategicznych informacji?

Lord Baelish z Gry o Tron mawiał: knowledge is power – ta postać perfekcyjnie używała wiedzy do budowania własnej potęgi. Cóż, informacja jest oczywiście cennym aktywem w konkretnej firmie i rzeczywiście niektóre przedsiębiorstwa, zwłaszcza te duże, tworzą swoje grupy zajmujące się bezpieczeństwem. Często takie zespoły to tzw. SOC (Security Operations Center). Z jednej strony monitorują one to, co się dzieje w sieci korporacyjnej – czy nie jest na przykład celem ataku, a z drugiej strony budują szeroką wiedzę na temat zagrożeń – jest to tzw. threat intelligence. Takie zespoły sprawdzają m.in. zasoby Internetu (w tym dark webu), czy nie znalazły się tam poufne informacje dotyczące korporacji.

Jak rozumiem, mamy przy tym szereg różnych specjalistów działających na polu cyberbezpieczeństwa – to będą analitycy, programiści, ale także kryptografowie.

Cyberbezpieczeństwo jest bardzo szerokim pojęciem i dla różnych osób może oznaczać coś innego. Mamy analityków, którzy analizują aktualny ruch w sieci pod kątem monitorowania potencjalnych zagrożeń, ale są również osoby, które, dysponując umiejętnościami programistycznymi, piszą bezpieczne aplikacje. Mamy także wspominanych kryptoanalityków, zajmujących się sprawdzaniem zaimplementowanych algorytmów pod kątem ich bezpiecznego stosowania.

I prowadzone tu studia przygotowują do wykonywania wielu różnych zawodów?

Oczywiście, każdy znajdzie coś dla siebie. Jeżeli ktoś marzy, by tworzyć nowe programy, to nabędzie u nas umiejętności, które pozwolą mu zostać dobrym programistą. Jeśli ktoś chce administrować systemami IT, to uzyska tu wiedzę nie tylko z zakresu utrzymania systemu, lecz również jego skutecznego zabezpieczenia. Na studiach I stopnia prowadzimy kierunek Cyberbezpieczeństwo, a na studiach II stopnia mamy przedmioty obieralne, dzięki którym każdy może wybrać swoją drogę kształcenia. Przykładowo, jeśli ktoś jest zainteresowany wirtualizacją zasobów, to pójdzie inną ścieżką niż osoba, która pragnie się specjalizować w cyberbezpieczeństwie.

A czym dokładnie Pan się zajmuje w ramach swojej działalności naukowej?

Cyberbezpieczeństwem interesuję się od samych początków mojej kariery zawodowej i jak cyberbezpieczeństwo ma wiele różnych wymiarów, tak i ja koncentruję się na jego rożnych aspektach. Myślę, że warto tu wymienić w szczególności takie zagadnienia jak kryptografia kwantowa i inne technologie kwantowe służące do zabezpieczania danych – tym zajmowałem w trakcie mojego doktoratu. Interesuje mnie także sztuczna inteligencja i jej zastosowania w obszarze cyberbezpieczeństwa, wykrywanie zagrożeń w cyberprzestrzeni oraz zarządzanie ryzkiem. Czynnikiem, który często decyduje o kierunku moich badań, są aktualne granty, w których uczestniczę – zarówno te krajowe, jak i międzynarodowe, gdzie współpracuję z zagranicznymi ekspertami. Co roku zapraszam także studentów do prowadzenia badań naukowych, a to owocuje wspólnymi publikacjami na konferencjach naukowych bądź w czasopismach branżowych.

Jakie więc interesujące projekty realizuje Pan obecnie wraz ze swoim zespołem?

Najciekawszym projektem, o którym warto wspomnieć, jest projekt ECHO z programu Horyzont 2020. To duże przedsięwzięcie i jeden z flagowych projektów UE w dziedzinie cyberbezpieczeństwa. W skład konsorcjum wchodzi już teraz ponad 30 partnerów z całej Europy, a jego koordynatorem jest Królewska Akademia Wojskowa w Belgii. Zajmujemy się w nim szeroko pojętym cyberbezpieczeństwem, a więc zarówno aspektami technicznymi, jak i społecznymi czy prawnymi. Prowadzimy badania dotyczące bezpiecznej kooperacji jednostek w ważnych sektorach europejskiej gospodarki (jak np. transport, energetyka i służba zdrowia). My specjalizujemy się głównie w zagadnieniach technologicznych – opracowujemy cyfrowe znaki wodne oraz metody rozpoznawania treści multimedialnych. Aktualnie prowadzimy także zaawansowane prace dotyczące sztucznej inteligencji, która wspiera nas w ustalaniu bezpiecznych kluczy kryptograficznych pomiędzy użytkownikami w środowisku sieciowym.

Czy rozwój technologii może sam w sobie może być zagrożeniem? Czy na przykład komputery kwantowe nie stanowią wyzwania dla stosowanych algorytmów RSA?

To bardzo ciekawe pytanie – jakie zagrożenie w przypadku szyfrów asymetrycznych niesie rozwój komputerów kwantowych? Obecnie podczas komunikacji ze skrzynkami mailowymi albo zlecając transakcje bankowe, używamy powszechnie algorytmów asymetrycznych do tego, żeby ustalać klucze kryptograficzne zapewniające poufność komunikacji. Niestety, bezpieczeństwo tych algorytmów jest warunkowe – algorytm RSA jest bezpieczny pod warunkiem, że nie będziemy w stanie faktoryzować dużych liczb. Już teraz znamy jednakże mechanizm działający na komputerach kwantowych – tzw. algorytm Shora – który szybko przeprowadzi faktoryzację dużych liczb. To jest niezwykle niebezpieczne, dlatego że kryptografia asymetryczna opiera się na dwóch kluczach – kluczu prywatnym oraz powszechnie znanym kluczu publicznym. W wypadku algorytmu RSA w skład klucza publicznego wchodzi liczba, która stanowi iloczyn dwóch liczb pierwszych – jeśli ktoś jest w stanie w racjonalnym czasie rozłożyć ową dużą liczbę na iloczyn dwóch liczb, to łatwo obliczy klucz prywatny i w tym momencie zostanie skompromitowana cała komunikacja między użytkownikiem i serwerem.

Na szczęście komputery kwantowe stanowią dość drogą zabawę, gdyż wymagają do działania specyficznych warunków – dajmy na to bardzo niskiej temperatury.

To prawda, aby się uchronić przed dekoherencją stanów kwantowych, taki komputer musi działać w bardzo niskiej temperaturze, np. bliskiej 10 stopni Kelvina, zatem w tym momencie jest to urządzenie dość niespotykane i bardzo kosztowne. Poza tym nawet najpotężniejsze współczesne komputery kwantowe mają bardzo ograniczoną moc obliczeniową. Mamy natomiast różne inne zagrożenia związane z rozwojem technologii informatycznych. Weźmy chociażby pod uwagę sztuczną inteligencję. Sam obawiam się nowych zagrożeń związanych z wykorzystaniem tzw. deep fake’ów. Dzięki dostępnym narzędziom w naprawdę nieskomplikowany sposób można obecnie stworzyć filmy, w których wybrane osoby publiczne wygłoszą wygenerowany przez nas tekst. Wyobraźmy sobie niebezpieczeństwo związane z sytuacją, gdy w kraju ogarniętym wojną agresor wyemituje spreparowane wideo, w którym głowa państwa ogłosi bezwarunkową kapitulację, nakazującą wojsku natychmiastowe złożenie broni. Nie jesteśmy w ogóle przyzwyczajeni do dezinformacji przy użyciu takich deep fake’ów, a to może nieść za sobą bardzo poważne konsekwencje. Dynamiczny rozwój technologii rzeczywiście rodzi nowe zagrożenia. Naszą bronią pozostaje w tym przypadku głównie wykształcenie, doświadczenie i wiedza, w którą powinniśmy się uzbroić. Wszystko to jest dostępne u nas w AGH – zapraszamy do zgłębiania tajników cyberbezpieczeństwa!

Dziękuję za rozmowę.

***

Z dr. hab. inż. Marcinem Niemcem, prof. AGH rozmawiał Michał Ciesielka z Centrum Komunikacji i Marketingu AGH.