Secrets & Lies: Digital Security in a Networked World

Брюс Шнайер личность в узких кругах известная и блог у него хороший. "Секреты и ложь" с момента своего написания стала книгой классической, а автор написал не одну новую.

По-хорошему, эту книгу стоило бы читать всем (сам всегда отношусь с опаской к подобным рекомендациям, но что поделать). Не потому что книга такая сама по себе замечательная, а потому что для современного цифрового века, подобная книга является базовым учебником по "гигиеническим" нормам обращения с компьютером, в то время, как люди вопиюще беспечны во многом банально по незнанию. Так что это - элементарная грамотность. Становиться параноиком не обязательно.

Во многом Шнайер, как он сам признается, пытался исправить свою собственную ошибку: после успеха "Прикладной криптографии" многие в индустрии стали пользоваться криптографическими примитивами совершенно бездумно, поэтому по факту никакой безопасности не получалось. Потому что любая самая совершенная криптография не существует сама в себе, а взаимодействует с реальным миром. По факту, этой книгой он пытался показать и популярно объяснить прописные истины: что серебряной пули - нет, что для решения практических задач, нужно руководствоваться здравым смыслом, а не ложными надеждами.

Это важно понимать, открывая эту книгу. В ней нет ни единой строчки кода (кажется), а начинается она даже популистки-просто: как лента новостей о последних взломах. Несмотря на то, что с момента написания книги прошло уже много лет и "технически" книга вроде как устарела, Шнайер не был бы собой, если бы не заложил в эту книгу мощный фундамент идей о том, чем безопасность является и чем - нет. Да и если быть более точным, многие протоколы в индустрии не меняются десятилетиями, а способы взлома "любой системы" (больно пафосно получается, но по сути так оно и есть) заложены в непосредственно в ней самой и её дизайне.

Также в книге есть обширная классификация типов компьютерных атак, которую тоже можно было бы объявить устаревшей, но я бы сказал, что её просто стоит дополнить. Как и в "настоящей" гонке вооружений, всегда появляется что-то новое, но принципы оказываются на удивление долгоживущими.

К сожалению, автор заканчивает на простой мысли, что "безопасность - это процесс", который не может быть закончен. Это можно воспринять как маркетинг, но безопасность на самом деле часто "продают" под соусом риск-менеджмента. Об этом Шнайер и пишет: при проектировании систем нужно понимать, от кого мы защищаемся, потому что от арсенала злоумышленника зависит то, какие средства понадобятся для контрмер. Не один раз цитирует опыт военных, призывая понимать в том числе психологию противника. Где тонко - там и рвётся. Программы, компьютеры, люди - всё ненадёжно. В таком разрезе и "Искусство войны" представляется ничем иным, как пособием по управлению рисками и достижению своих целей в конфликтных ситуациях.

В более поздних работах Шнайер более подробно разовьет свои размышления о том, как "работает" наше общество с точки зрения безопасности, как мы фундаментально психологически и практически зависим от доверия, но уже в этой книге на самом деле есть ростки этих идей.

В общем, данная книга - не просто страшилка про злых хакеров из интернета 90-хх. Она про образ мышления.

Автор описывает в систематизированном виде свое представление о безопасности, по большей части кибербезопасности, но с постоянными отсылками к безопасности физической. Основная идея: безопасность - это процесс. Рассказывается о типах атак, о типах атакующих, о технологиях, о методиках противодействия. Книга не перенасыщена математикой или компьютерной терминологией, но для человека, далекого от компьютеров, может быть малопонятна. Автор развеивает ряд мифов в области кибербезопасности со множеством отсылок к историческим событиям. С мнением автора в целом согласен, ряд тезисов даже помог понять часть мер, принятых безопасниками на работе. Мысль из книги вынес следующую - как страшно жить! Шучу. Мысль скорее следующая: преступления будут совершаться там, где это выгодно, теми, кому этого выгодно; безопасность не предотвращает преступления, а только может сделать их менее выгодными для как можно более широкого круга лиц. И стоит научиться оценивать риски, чтобы не тратить впустую время на укрепление мер безопасности не самого слабого звена. А то получится как с Неуловимым Джо: построили вокруг себя супербезопасность, а никому вы не нужны в качестве объекта атаки.

Эта книга написана Брюсом Шнайером, человеком в криптографическом мире довольно известным, поэтому, когда я случайно наткнулся на его книгу, у меня даже мысли не появилось пройти мимо. Но, как показала практика, мысли всё-таки стоило появиться.

Итак, книга написана где-то в начале нулевых, что, казалось бы, должно убить её ценность, ведь, как мы все знаем, в ИТ-мире всё, что старее недели, уже бесконечно устарело. В этом же ключе построены многие отзывы на зарубежных сайтах об этой книге. Мол, отличная книга, хотя и устаревшая. Я с этим в корне не согласен, все описанные в этой книге проблемы как были актуальны, так и остались таковыми. Да, возможно, в книге содержаться несколько устаревшие примеры, но тем лучше — надо знать свою историю!

И вот, читая эти отзывы, я ещё больше убедился в том, что книга в общем-то бесполезная. Всё, что из неё извлекают люди, это то, что проблемы есть, хотя все описанные проблемы остались в истории. Они не понимают, что все проблемы остались, пусть и в несколько изменённом виде. Почему происходит такое недопонимание? Как мне кажется, это происходит из-за того, что эта книга имеет непонятную целевую аудиторию. Для кого она?

И вот на этот вопрос у меня, к сожалению, нет ответа. Если предположить, что она для «простых» людей, которые хотят прикоснуться к проблемам сетевой безопасности, чтобы потом козырнуть своими знаниями при случае, то она слишком много погружается в детали. К примеру, Шнайер, описывая ошибки в программном обеспечении, упоминает переполнение буфера, которое приводит к последующей атаке на хост. Но что тут может понять «обычный» человек, когда этот вектор атаки вряд ли будет понятен и большинству современных программистов? Таких деталей в книге немало, но понять их без подготовки вряд ли возможно.

С другой стороны, в книге много воды и очень много вопросов, на которые нет ответов. Поэтому, даже если «простой» человек прочитает эту книгу, вникнет и поймёт большую часть того, что там написано, то, кроме как «как страшно жить», он/она вряд ли смогут сделать какие-то выводы. Пресловутый человеческий фактор упоминается чуть ли не в каждой главе. Зачем? Типичная вода от американского автора, к сожалению.

В результате, прочитав 3/4 книги, я был вынужден её бросить. Просто потому, что лично для меня там нет ничего нового (кроме исторических вещей), а читать набор вопросов, который сопровождается тонной воды, я просто устал. Но может она кому-то другому пригодится? Это вряд ли. Если вы интересуетесь криптографией, то лучше почитайте технические труды Шнайера. Если сетевой безопасностью, то для этого опять же есть технические книги (но уже не Шнайера). Если же вы управленец, которому нужно вникнуть в безопасность, то лучше наймите толкового специалиста, а не пытайтесь набраться мудрости из поверхностной и посредственной книги.