Угроза утечки информации за счёт “штатных” возможностей типового телекоммуникационного оборудования

1. УГРОЗА УТЕЧКИ ИНФОРМАЦИИ ЗА СЧЁТ “ШТАТНЫХ” ВОЗМОЖНОСТЕЙ ТИПОВОГО ТЕЛЕКОММУНИКАЦИОННОГО ОБОРУДОВАНИЯ.

Ну, а завтра спросят дети, навещая нас с утра:
– Папы, что сказали эти кандидаты в доктора?
Мы откроем нашим чадам правду, им не всё равно:
– Удивительное – рядом, но оно – запрещено.
Владимир Высоцкий, “Дорогая передача!”.
УГРОЗА УТЕЧКИ ИНФОРМАЦИИ
ЗА СЧЁТ “ШТАТНЫХ” ВОЗМОЖНОСТЕЙ
ТИПОВОГО ТЕЛЕКОММУНИКАЦИОННОГО
ОБОРУДОВАНИЯ.
А.Фантомэ
инженер, техническая защита информации.
Кишинёв
2025.

2. Небольшое вступление.

Данная презентация задумывалась как “наглядное пособие” для проведения занятий
по вопросам, связанными с некоторыми угрозами, которые могут возникнуть за счёт
“дополнительных функций” и “неграмотного использования”
типовых телекоммуникационных систем –
фраза получилась “длинной и запутанной”, но, надеюсь, что смысл её понятен.
Речь идёт о том, что некоторые “обычные” телекоммуникационные устройства
“по определению” могут представлять определённую угрозу с точки зрения
информационной безопасности.
При этом, для получения информации злоумышленнику совсем не требуется
использовать какие-либо специальные средства, а только “штатные”
устройства и “штатные” возможности типового оборудования –
без какой-либо его специальной “модификации”.
Ранее отдельные вопросы из этой “области” рассматривались в презентациях
“Технические каналы утечки акустической информации” и
“Технические каналы утечки информации, передаваемой по каналам связи”,
кроме того, у меня было несколько “коротких” презентаций на эту тему,
которые касались конкретных телекоммуникационных систем.
В итоге я решил сделать одну “большую” презентацию на эту тему, но это не значит,
что в ней рассмотрены все “важные моменты” и есть “ответы на все вопросы” –
наоборот, главная цель данной презентации: обратить внимание слушателей
на некоторые “специфические” угрозы и заставить их задуматься.

3. Небольшое вступление.

Основными слушателями, для которых делалась данная презентация,
были сотрудники подразделений информационных технологий,
отвечающие за эксплуатацию телекоммуникационных систем,
но не имеющие какой-либо серьёзной подготовки
в области защиты информации.
Одно дело, когда в компании “всё по-взрослому” и в её штате есть компетентные
сотрудники, отвечающие не только за функционирование и техническое
обслуживание соответствующих телекоммуникационных систем,
но и за их безопасность, в соответствии с требованиями
профильных руководящих документов – в том числе,
стандартов серии ISO 27000.
Совсем другое дело, когда в достаточно крупной компании всеми этими вопросами
“занимается” один человек, не имеющий специальной подготовки – как правило,
это “системный администратор” или “связист”, на которого “навалено” всё,
что связано с компьютерами, связью, ОПС, СКУД, CCTV и т.д. – понятно,
что в этом случае о какой-то реальной “информационной безопасности”
говорить достаточно сложно (вернее, только “разговор” и будет).
В то же время, вопросы, обсуждаемые в данной презентации,
могут быть полезны для сотрудников служб безопасности и личной охраны,
руководителей подразделений информационных технологий (и не только IT),
а также отдельных граждан, которых интересует данная тематика –
как говорится: “для общего развития”.

4.

Сразу хочу сделать несколько замечаний, чтобы внести ясность:
1. В данной презентации изложено исключительно моё личное мнение по данному
вопросу – поэтому оценивать его нужно очень критически и ни в коем случае
не воспринимать как “абсолютную истину”.
2. Фактически, данная презентация представляет собой некоторые мои “мысли вслух”,
поэтому она выполнена (изложена) в достаточно “свободном”, я бы даже сказал,
“неакадемическом” стиле – не путать с т.н. “ненормативной лексикой”
(хотя, т.н. “ненормативная лексика” в ней тоже присутствует).
3. Данная презентация не является каким-то “учебным пособием” – она предназначена
для проведения занятий именно с неподготовленными слушателями и ставит целью
их “общее развитие” в некоторых вопросах информационной безопасности.
Поэтому применяемая в ней терминология – например, такой термин как “угроза” –
не всегда является “строгим определением” из руководящих документов
по защите информации, в которых даны чёткие определения
для “угрозы”, “уязвимости”, “риска” и т.д.
4. В данной презентации я привожу некоторые “наглядные примеры”, связанные с работой
отдельных типов телекоммуникационных устройств – в том числе, рассматриваются
устройства, которые на сегодняшний день практически не используются,
но на их примере можно наглядно показать “суть” возможной угрозы.
Я хотел показать, что если угроза “в принципе существует”, то о ней надо помнить –
при этом в каждом конкретном случае нужно оценивать реальность данной угрозы,
внимательно изучая документацию на конкретный тип оборудования.

5.

В настоящее время очень часто можно услышать такие “модные” понятия, как
“информационные технологии”, “цифровизация”, “искусственный интеллект”,
“современные телекоммуникационные системы” и т.п.
Эти вещи, “высший смысл” которых для многих граждан представляет собой
что-то “абстрактно-непонятное”, прочно вошли в повседневную жизнь и
в том или ином виде встречаются практически повсеместно.
Естественно, что кроме приносимых ими определённых “удобств” и “плюсов” –
полезных, а в ряде случаев принципиально важных для современной жизни,
одновременно появляется целый ряд возможных “проблем” и “минусов”,
которые необходимо знать и, если не “полностью устранить”,
то, по возможности, “минимизировать”.
Одной из реальных “проблем”, связанных с использованием современных
телекоммуникационных устройств, является возможность утечки информации
различного характера (аудио, видео и т.д.), которая не только обрабатывается
на данных устройствах, но и которая не имеет непосредственного отношения
к работе данных устройств, а просто циркулирует рядом с ними –
например, разговоры возле абонентского устройства.
Утечка информации за счёт телекоммуникационных устройств может быть
не только “умышленной”, но и “случайной”, а все многочисленные вопросы,
связанные с этой важной и сложной проблемой, попадают в “сферу влияния”
такого направления деятельности, как “информационная безопасность” в целом,
и “информационная безопасность телекоммуникационных систем” в частности.

6.

Учитывая массовое распространение современных информационных технологий,
обеспечение информационной безопасности телекоммуникационных систем
является очень важным моментом не только для различных компаний,
но и для самых обычных “отдельных граждан”.
В частности, если говорить об “отдельных гражданах”, то в настоящее время для
большинства из них основным средством обработки и хранения как служебной,
так и личной информации является их мобильный телефон (смартфон),
на который “завязано” всё – начиная от банковских счетов, контрактов,
списка клиентов, данных о текущем местонахождении (маршруте) и
заканчивая т.н. “home-video” (проще говоря “частное порно”) –
для тех, у кого “хватает ума” его снимать, а тем более
хранить на своём мобильном телефоне.
Естественно, что утечка подобной информации в ряде случаев может привести
к серьёзным проблемам как служебного, так и личного характера –
если только её владелец не полный по**ист по жизни,
которого вообще не волнуют никакие проблемы.
Если же говорить о компаниях, то там ситуация, связанная с техническими
средствами обработки и хранения информации несколько сложнее,
так как кроме “личных” телекоммуникационных устройств
все сотрудники пользуются ещё и “служебными”
телекоммуникационными устройствами.

7.

Когда речь идёт об отдельно взятом гражданине, который по простоте душевной
решил воспользоваться “всеми благами цивилизации”, то это, как говорится,
“его проблемы” и ему самому придётся разбираться с этими “проблемами” –
что, на мой взгляд, трудно, но в некоторых случаях достаточно реально
(конечно, если человек адекватен, образован и сам этого захочет).
Если же речь идёт о какой-либо компании, то вопросы, касающиеся обеспечения
информационной безопасности, находятся в компетенции подразделения
информационных технологий, сотрудники которого обязаны их решать
в соответствии с требованиями руководящих документов –
в частности, согласно стандартов серии ISO 27000.
Понятно, что “компания компании рознь” и в каждом конкретном случае ситуация,
связанная с “количественным составом” и “качеством подготовки” сотрудников
подразделения IT, будет принципиально разной: где-то – “всё по взрослому”,
где-то это будут “три калеки” (образно говоря) – так когда-то давно
любила в шутку говорить про нас моя школьная учительница,
а где-то и “трёх калек” не наберётся.
Естественно, что штатная численность и “качество” подразделения IT в первую
очередь должны определяться объёмом и “спецификой” решаемых задач,
которые реально на него возложены: где-то будет нужен целый штат
узкопрофильных специалистов, где-то будет достаточно одного
грамотного системного администратора, а где-то никого
не нужно, т.к. эта “компания” – полный “шараж-монтаж”.

8.

Если говорить о серьёзном подходе к обеспечению информационной безопасности,
то он “по определению” включает в себя составление “модели угроз” и
проведение “анализа рисков” для каждого конкретного случая.
Перечень всех возможных “угроз” может быть очень широким и очень
“разнообразным” по своей природе, но в данной презентации речь не идёт о
составлении “полноценной” модели угроз для телекоммуникационных систем –
в ней я хочу обратить внимание слушателей только на небольшую часть угроз,
которая является достаточно “специфичной” и плотно “пересекается”
с вопросами технической защиты информации (ТЗИ).
Внимание! Важное примечание!
Как было сказано, “угрозы”, о которых пойдёт речь в данной презентации, являются
достаточно “специфичными” и, можно сказать, что по своей “сущности”
они более “близки” к вопросам ТЗИ, а не к “чисто IT-шным делам”.
Исходя из этого, возможно, было бы “логично” отнести вопросы противодействия
данным угрозам (во всяком случае, достаточно многим из них) к компетенции
сотрудников Службы безопасности компании, отвечающих за техническую
защиту информации, а не к компетенции сотрудников подразделения IT.
В то же время, даже в достаточно крупных молдавских компаниях специалисты
по ТЗИ просто “физически” отсутствуют – там даже нет таких штатных единиц,
при этом подразделение IT (в том или ином “штатном виде”) имеется
практически в любой более-менее серьёзной частной структуре.
Поэтому далее в презентации я говорю именно о “сотрудниках подразделения IT”,
которые в современных реалиях отвечают за информационную безопасность.

9.

Сегодня достаточно сложно встретить человека, который не пользовался бы
какими-либо телекоммуникационными устройствами: “обычный” проводной телефон,
мобильный телефон, персональный компьютер, “планшет”, радиостанция и т.д.
Кроме того, в настоящее время появилась масса “обычных бытовых устройств”,
которые фактически стали и “телекоммуникационными устройствами” –
речь идёт о т.н. “умных устройствах” (“Smart-устройствах”).
При этом, многие “телекоммуникационные устройства” могут представлять
реальную опасность, связанную с возможностью утечки информации.
Более того, в них даже не требуется ничего “устанавливать” или “дорабатывать”,
т.к. в ряде случаев обыкновенное “штатное” техническое средство может быть
использовано в качестве “закладного устройства” (в том числе “случайно”).
В данной презентации будут рассмотрены только некоторые варианты угроз,
связанные с использованием “штатных” возможностей некоторых видов типовых
телекоммуникационных устройств для получения информации различного рода –
в том числе аудио- и видеоинформации.
На самом деле возможных “угроз” такого типа намного больше, но, как говорится:
“нельзя объять необъятное” – во всяком случае, я этого точно не могу,
поэтому я остановлюсь только на тех вариантах, с которыми мне
более-менее “плотно” приходилось сталкиваться лично.
Примечание: ещё раз хочу подчеркнуть, что все варианты “угроз”, которые будут
рассмотрены в данной презентации, предполагают использование злоумышленником
только “штатных” возможностей типового телекоммуникационного оборудования.

10.

Понятие “телекоммуникационное устройство” относится к очень широкому и
“разностороннему” перечню оборудования, поэтому в данной презентации
будут рассмотрены только некоторые виды данных устройств.
Для “удобства” и “наглядности” я решил “разбить” рассматриваемые в данной
презентации телекоммуникационные устройства на несколько “групп”.
Это “разделение” является достаточно условным и не связано с какой-либо
“официальной классификацией” – просто мне так было удобнее и
“логичнее” (с моей точки зрения) излагать материал.
Далее будут рассмотрены следующие основные “группы угроз”,
связанные с использованием типового телекоммуникационного оборудования:
1. Угрозы, связанные с использованием абонентских устройств сети стационарной
телефонной связи – речь идёт именно об “отдельных абонентских устройствах”.
2. Угрозы, связанные с использованием мини-АТС.
3. Угрозы, связанные с использованием некоторых средств радиосвязи.
4. Угрозы, связанные с использованием средств вычислительной техники (ПК).
5. Угрозы, связанные с использованием мобильных устройств.
6. Угрозы, связанные с использованием т.н. “умных устройств”.
Как я сказал, это “разделение” является “условным”. Более того, в ряде случаев
существует “пересечение” между указанными выше “группами” – некоторые
“телекоммуникационные устройства” могут присутствовать “и там и там”,
но в каждом случае с “разными вариантами угроз”.
Примечание: как было сказано ранее, в данном контексте термин “угроза” не является
“строгим определением” из руководящих документов по защите информации.

11.

“Ориентировочное оглавление” – условно говоря.
Для того, чтобы слушатели (читатели) могли быстрее “ориентироваться” в этой
презентации, я решил сделать некоторое “подобие оглавления”, в котором указаны
некоторые страницы (номера слайдов), которые напрямую связаны
с некоторыми конкретными примерами определённых “угроз”.
Ещё раз хочу подчеркнуть: это не “полноценное оглавление”, а просто некоторые
выборочные номера страниц для “ориентирования”.
1. Угрозы, связанные с абонентскими устройствами сети стационарной телефонной связи:
Прослушивание помещения через автоответчик за счёт функции “Room Monitoring” – 17.
Особенности телефонов DECT с автоответчиком – 26.
2. Угрозы, связанные с использованием мини-АТС:
Прослушивание телефонных переговоров за счёт функции “вторжение в разговор” – 37.
Прослушивание телефонных переговоров за счёт их записи в систему “голосовой почты” – 47.
Прослушивание помещений за счёт функции “Room Monitoring” – 53.
3. Угрозы, связанные с использованием некоторых средств радиосвязи:
Прослушивание помещений за счёт устройств радиосвязи, имеющих функцию “радио-няня” – 80.
4. Угрозы, связанные с использованием средств вычислительной техники (ПК):
Прослушивание помещения за счёт “автоответа” на входящий звонок в Skype – 88.
5. Угрозы, связанные с использованием мобильных устройств:
Элементарные “базовые” настройки смартфона, связанные с обеспечением безопасности – 97.
6. Угрозы, связанные с использованием т.н. “умных устройств”:
Контроль информации с помощью т.н. “умных часов” для детей – 118.
Как я сказал – это “очень условное оглавление”, и в данной презентации кроме
указанных выше “ссылок” имеется много другой информации – надеюсь, что полезной.

12. Утечка информации за счёт использования абонентских устройств сети фиксированной (стационарной) телефонной связи.

В настоящий момент стационарная телефонная связь, которая существовала
раньше в “классическом” варианте, существенно изменилась – это касается
не только “технической” составляющей (“цифровизация”, “оптика” и т.п.),
но и самой “организации” связи: многие абоненты полностью отказались
от “обычного” домашнего телефона и пользуются только “мобильным”,
а большинство компаний имеет сейчас “собственную” сеть связи,
выполненную на базе мини-АТС или VoIP систем.
В то же время, до сих пор сохраняется достаточно большое количество граждан,
у которых в квартире установлен “городской телефон” – очень часто им
практически не пользуются, но тем не менее он там “стоит”,
а в ряде компаний имеются “прямые городские номера”,
которые “не завязаны” на офисную мини-АТС.
Далее будут рассмотрены некоторые примеры, демонстрирующие возможность
использования “обычных” абонентских устройств сети телефонной связи
для съёма информации: в частности, для “прослушивания помещений”,
в которых эти устройства установлены.
Данная угроза актуальна как для “отдельных абонентских устройств”,
установленных на “прямых городских номерах”, так и для абонентских устройств,
работающих в составе офисной мини-АТС – в обоих случаях есть свои “нюансы”.

13. Утечка акустической информации за счёт использования “обычных” абонентских устройств сети телефонной связи.

Речь идёт о самом простом (“лобовом”) варианте использования абонентских
телефонных устройств для прослушивания разговоров в помещении,
в котором эти устройства находятся.
Простой пример: с телефона, установленного в помещении, дозваниваются на другой
телефон и оставляют трубку “неположенной” – соединение установлено и на приёмной
стороне можно слушать, о чём говорят возле телефона с “неположенной” трубкой.
Аналогичный вариант возможен с мобильным телефоном,
включённом “на передачу” и оставленном в “нужном” помещении.
Естественно, тут есть нюансы:
Во-первых, данная угроза может быть реализована только кем-то из “своих” –
т.е. из тех, кто имеет постоянный свободный доступ в данное помещение.
Это отличие от вариантов с “забытым” мобильным телефоном, который может быть
оставлен в “нужном” помещении не только “своим”, но и кем-то из “посетителей”.
Во-вторых, нужно учитывать чувствительность “штатного” телефонного микрофона –
на каком расстоянии от “неположенной” трубки будет
разборчиво приниматься речевой сигнал.
На практике в ряде случаев такой вариант вполне реален: например,
при контроле за своими “домашними” (муж-жена, родители-дети и т.д.) или
в офисе, где работает “заинтересованное лицо”.

14. Утечка акустической информации за счёт использования “обычных” систем звукоусиления и громкоговорящей связи.

Аналогичная ситуация с устройствами звукоусиления, громкоговорящей и селекторной
связи – тут возможностей для “фантазии” и “претворения её в жизнь” ещё больше.
Классические наглядные примеры: финальная часть “Карнавальной ночи” – фраза:
“Братцы! Это я микрофон не выключил!” – в то время как тов. Огурцов С.И. диктовал
секретарю своё письмо в ВЦСПС по поводу того, что “… они нашли в его лице дурака”,
или “Королева бензоколонки” – эпизод, в котором Рогнеда Карповна “незаметно”
включает громкоговоритель во время разговора Панаса Петровича с Людмилой и
обращается к отдыхающим шофёрам: “Слушайте, театр у микрофона!”.
Как говорится “смех смехом…”, но и в реальной жизни такие ситуации вполне возможны.
Понятно, что в большинстве случаев такие “методы съёма информации” используются
для того, чтобы “поприкалываться” или “подставить” кого-то: например, в разгар
“корпоратива”, при “частной беседе” начальника с подчинённой или во время
“индивидуальных занятий” профессора со студенткой – вариант типа:
“жёны стареют, а студентки второго курса – никогда”.
Но в ряде случаев данный способ может быть использован и для реального получения
конфиденциальной информации, обсуждаемой в помещении: если злоумышленник
имеет доступ к данному оборудованию или если он вообще его обслуживает –
например, в качестве “техника-связиста”.
Кроме того, не следует забывать о “случайном нажатии на кнопку”, от которого
“эффект” может быть таким же печальным.

15. Примеры систем селекторной и громкоговорящей связи.

16. Съём акустической информации за счёт “дополнительных” функций абонентских устройств сети телефонной связи.

Многие абонентские устройства сети телефонной связи – телефонные аппараты,
автоответчики, беспроводные “радиотелефоны” (в т.ч. стандарта DECT) и т.д. –
имеют ряд штатных “дополнительных” функций, позволяющих дистанционно
контролировать акустику помещений, в которых данные устройства установлены:
например, функции “Room Monitoring” и “Радио-няня”.
Данные функции реализованы в некоторых моделях указанных выше устройств и, в
ряде случаев, могут представлять реальную угрозу с точки зрения утечки речевой
информации, циркулирующей в помещении.
Необходимо отметить, что данные функции являются именно “штатными” – они не
требуют какой-либо “доработки” абонентских устройств, чётко прописаны в
“Инструкции по эксплуатации” на эти устройства и, при определённом стечении
обстоятельств, ими может воспользоваться любой грамотный злоумышленник,
который, как говорил классик, умеет “смотреть на вопросы ширше”.
Контроль акустики возможен как на “ограниченном расстоянии” – например, в пределах
работы одной “DECT-базы” (для беспроводных телефонов с функцией “Радио-няня”)
или в пределах размещения внутренних телефонов офисной мини-АТС, в которой
реализована функция “Room Monitoring”, так и на “неограниченном расстоянии” – для
автоответчиков, в которых реализован режим работы “Room Monitoring”,
аналогичный работе устройств типа “телефонное ухо”.
Далее будут рассмотрены несколько наглядных примеров таких угроз,
характерных для типового оборудования.

17.

Съём акустической информации за счёт абонентских устройств сети
телефонной связи, имеющих в своём составе “автоответчик”.
Возможность съёма акустической информации, циркулирующей в помещении,
можно наглядно продемонстрировать на примере отдельных абонентских устройств,
имеющих в своём составе “классический” автоответчик.
Речь идёт именно об “отдельных абонентских устройствах”, имеющих функцию
автоответчика: варианты, связанные с функцией “автоответ”, реализованной
программно на уровне мини-АТС, сейчас не рассматриваются.
Технически автоответчик может быть выполнен как в виде отдельного устройства,
так и быть встроенным в телефонный или факсимильный аппарат.
Большинство типов автоответчиков поддерживают функцию “Room Monitoring” –
это так называемая функция “Прослушивание помещения”, которая “штатно”
была заложена производителем в данное оборудование
(честно говоря, не знаю из каких соображений – возможно, как вариант “охраны”).
Образно говоря, автоответчик, поддерживающий данную функцию,
представляет собой устройство типа “телефонное ухо”, позволяющее
по телефонной линии дистанционно прослушивать помещение,
в котором оно установлено.
Более подробно об устройстве “телефонное ухо” см. в презентации
“Технические каналы утечки акустической информации”.

18. Схема канала перехвата речевой информации с использованием устройства типа “телефонное ухо”  с передачей информации по

Схема канала перехвата речевой информации
с использованием устройства типа “телефонное ухо”
с передачей информации по телефонной линии на низкой частоте.
Хорев А.А. Техническая защита информации: учеб. пособие для студентов вузов. В 3 т.
Т. 1. Технические каналы утечки информации. М.: ООО «НПЦ Аналитика», 2008.

19. Схема использования устройства типа “телефонное ухо”.

Хорев А.А. Техническая защита информации: учеб. пособие для студентов вузов. В 3 т.
Т. 1. Технические каналы утечки информации. М.: ООО «НПЦ Аналитика», 2008.

20. Примеры абонентских устройств, имеющих функцию “автоответчик”.

Вариант реализации функции
“Прослушивание помещения” будет рассмотрен
далее на примере “чистого” автоответчика
модели ТЕХЕТ ТХ-235/85 и автоответчика,
встроенного в факсимильный аппарат
Panasonic KX-F680/780.
Кроме того, будет рассмотрен вариант прослушивания
помещения с помощью телефона DECT c автоответчиком –
на примере модели Panasonic KX-TCD825 –
там есть некоторые особенности.

21. Пример дистанционного контроля акустики помещения за счёт соответствующей функции автоответчика модели Texet.

Руководство по эксплуатации на телефонный автоответчик TEXET, модель TX-235/85.

22. Пример функции “Room Monitoring”, реализованной в некоторых моделях телефонных и факсимильных аппаратов с автоответчиком

Panasonic.
Инструкция по эксплуатации на факсимильный аппарат Panasonic KX-F680/780.

23.

Инструкция по эксплуатации на факсимильный аппарат Panasonic KX-F680/780.

24. Удалённый контроль голосовых сообщений за счёт “дополнительных” функций абонентских устройств телефонной связи.

Ранее были рассмотрены примеры некоторых абонентских устройств с автоответчиком,
которые могут быть использованы для удалённого контроля акустики помещения.
В этом случае угроза касается акустической информации, циркулирующей
в помещении, а автоответчик является только “механизмом” для дистанционного
включения встроенного микрофона и реализации функции “Room Monitoring”.
В то же время, существует ряд угроз, касающихся непосредственно телефонных
сообщений (т.н. “голосовых сообщений”), хранящихся в памяти автоответчика.
Необходимо чётко понимать, что практически во всех абонентских устройствах,
имеющих функцию автоответчика, заложены штатные “дополнительные” функции,
позволяющие дистанционно управлять этим автоответчиком –
т.е. фактически контролировать его удалённо.
Это может представлять реальную угрозу как утечки, так и уничтожения информации,
записанной на автоответчик: например, злоумышленник сможет не только “прослушать”
хранящиеся голосовые сообщения, но и “стереть” их из памяти автоответчика.
Кроме того, определённую угрозу может представлять удалённое несанкционированное
изменение “исходящего сообщения” (т.н. “приветствия”), записанного на автоответчик.
Например, злоумышленник может дистанционно изменить “приветствие” и вместо
типовой фразы “Здравствуйте. Оставьте сообщение после звукового сигнала.”,
будет звучать “мат–перемат” или “охи и ахи” определённого характера,
что может привести к “потере репутации” владельца автоответчика.

25.

Инструкция по эксплуатации на факсимильный аппарат Panasonic KX-F680/780.

26.

Особенности телефонов DECT
с автоответчиком.
Многие модели беспроводных
телефонов стандарта DECT также
имеют автоответчик, который может
дистанционно управляться.
Конструктивно такие телефоны
состоят из двух составных частей:
т.н. “базы” и “трубки” –
к одной “базе” могут быть
“привязаны” несколько “трубок”.
Сам автоответчик находится в
корпусе “базы” и имеет практически
такой же функционал, как у изделий,
рассмотренных ранее.
Но есть принципиальный “нюанс”,
касающийся работы функции
“прослушивание помещения”:
в некоторых моделях в “базе” есть
встроенный микрофон и через него
ведётся прослушивание помещения,
а в других моделях – микрофона в
“базе” нет и идёт “проключение”
на микрофон в “трубке”.
Инструкция по эксплуатации на
цифровой беспроводной телефон
с автоответчиком Panasonic KX-TCD825.

27.

Небольшой “итог”, касающийся абонентских устройств с “автоответчиком”.
Были рассмотрены некоторые угрозы, связанные с абонентскими устройствами сети
телефонной связи, которые имеют “дистанционное управление” –
в частности, речь шла об “автоответчиках”.
Понятно, что сейчас “классический” автоответчик (типа ТЕХЕТ) встречается
очень редко – я бы даже сказал, что они остались только у “фанатов”,
которые “принципиально” не хотят расставаться с такой “реликвией”.
То же самое можно сказать и о факсе типа Panasonic KX-F: сейчас для передачи
документов практически никто уже не пользуется “классическими” факсами,
использующими рулонную термобумагу (которую теперь не найдёшь).
Но кое-где такие изделия, которые были очень популярны в 90-х – начале 2000-х,
до сих пор установлены в качестве “обычного” абонентского устройства.
В большинстве случаев такие аппараты стоят просто “для солидности”, но при этом
они подключены к абонентской линии и в них включён режим “автоответ” –
да, там есть “код удалённого управления”, но обычно его оставляют
“по умолчанию” (т.е. “000” или “111”) и он не является “проблемой”.
В то же время, беспроводные телефоны DECT с автоответчиком достаточно широко
используются до сих пор – в том числе во многих достаточно крупных компаниях.
Необходимо чётко понимать, что если в каком-либо устройстве есть
встроенный “штатный” микрофон и это устройство может как-то дистанционно
управляться, то существует вероятность удалённого включения микрофона и,
соответственно, дистанционного прослушивания помещения.

28. Современные мини-АТС и некоторые угрозы, связанные с их использованием.

В настоящее время большинство компаний и организаций имеют свои
собственные АТС (мини-АТС), с помощью которых осуществляется связь
как с “внутренними” так и с “внешними” абонентами.
Где-то до сих пор сохранились и нормально работают чисто “аналоговые” мини-АТС,
где-то – полностью “цифровые”, включая и абонентские устройства.
В то же время, очень часто используются “гибридные” системы, в которых
задействованы как аналоговые, так и цифровые соединения и устройства.
Что касается цифровых систем типа ISDN или VoIP, то в них тоже могут
использоваться аналоговые телефонные аппараты, которые “стыкуются”
с остальным оборудованием через соответствующий “адаптер” (шлюз).
Использование собственной мини-АТС позволяет снять некоторые “внешние” угрозы,
так как телефонная станция и коммутационные устройства теперь находятся
на “своей территории”, но сразу появляется целый ряд других угроз.
При этом возникает принципиальный вопрос: кто будет обслуживать мини-АТС?
Если это “приходящий” работник, то сразу возникает очень много “нюансов”.
Если же это сотрудник компании, то очень важны его “надёжность” и компетентность,
так как именно он может полностью контролировать всё, что касается не только
ведущихся телефонных переговоров, но и разговоров в помещениях –
причём может делать это скрытно со своего рабочего места,
используя “дополнительные” возможности АТС.

29. Примеры мини-АТС.

http://ntcpik.com/catalog/telefonnaya-stantsiya/sats-216/

30. Примеры мини-АТС.

http://www.solarisgroup.ru/panasonic_kx_tde100/

31. Принципиальная схема типовой мини-АТС.

www.reicom.ru

32. Типовая схема офисной мини-АТС, к которой подключены как “аналоговые”, так и “цифровые” абонентские устройства.

33. Типовая схема построения корпоративной сети связи на базе мини-АТС.

При наличии в компании (организации)
нескольких территориально-разнесённых
подразделений (филиалов) они могут
быть соединены между собой
(например, с помощью VPN)
и будут “замыкаться” на одну АТС.
При этом телефонные разговоры между
абонентами компании будут
“внутренними” (бесплатными), даже
если физически они находятся
в различных городах (странах).

34. Некоторые угрозы, которые могут быть реализованы, за счёт “дополнительных” функций типовых мини-АТС.

Мини-АТС являются “ярким представителем” некоторых “штатных угроз”:
например, штатные возможности большинства современных мини-АТС позволяют
осуществлять скрытый контроль не только за телефонными переговорами, но и
за акустикой помещений, в которых установлены телефонные аппараты –
речь идёт как о “классических” мини-АТС (аналоговых и цифровых),
так и о VoIP системах.
В частности, это может быть реализовано за счёт “дополнительных” функций АТС:
“Вторжение в разговор”, “Запись телефонных переговоров” и “Room Monitoring”.
Необходимо отметить, что данные функции являются именно “дополнительными” –
не надо путать их с так называемыми “не декларированными возможностями”
телекоммуникационного оборудования – т.е. эти функции чётко прописаны
в “Руководстве пользователя” и не являются “секретными”.
Примечание: внимательное изучение “Руководства…” является обязательным и
принципиально важным моментом для сотрудников, обслуживающих АТС.
Далее будут рассмотрены примеры реализации некоторых типовых “штатных” угроз.
В качестве “наглядного образца” выступает мини-АТС Panasonic KX-TEA308 –
данное изделие уже давно снято с производства, но станции этого типа где-то ещё
используются, а приводимые примеры “дополнительных” функций являются
актуальными для любых современных мини-АТС и VoIP систем.

35. “Дискуссии” на форумах по поводу “дополнительных” функций АТС.

forum.ixbt.com

36.

Прослушивание телефонных переговоров, осуществляемое за счёт
“дополнительных” функций АТС.
Большинство современных мини-АТС
позволяет осуществлять скрытый контроль
ведущихся по ним телефонных переговоров.
Как правило, на мини-АТС возможны два
основных варианта прослушивания:
1. Прослушивание телефонных переговоров
в режиме реального времени.
2. Запись телефонных переговоров с
последующим прослушиванием.
В первом случае используется функция
“Вторжение в разговор”, а во втором –
“Запись в систему голосовой почты”.
Для реализации данных функций
необходимо провести предварительную
настройку (программирование) АТС.
Руководство пользователя. Усовершенствованная гибридная система Panasonic KX-TEA308.

37. Прослушивание телефонных переговоров, осуществляемое за счёт функции “Вторжение в разговор”.

Данная функция позволяет “вклиниваться” с “контролирующего” телефона в разговор,
который ведётся по другому телефону, подключённому к данной мини-АТС.
В зависимости от конкретной модели мини-АТС возможно “вклинивание” не только
в разговор между двумя “внутренними” абонентами, но и в разговор, который один
из “внутренних” абонентов мини-АТС ведёт по внешней соединительной линии.
С помощью программирования мини-АТС можно выбрать различные варианты
“вторжения в разговор” – как правило, существуют три основных варианта:
1. Вторжение в разговоры, ведущиеся с данного телефонного аппарата, запрещено –
т.н. “режим защиты абонентской линии”.
2. Вторжение в разговор сопровождается подачей в линию предупреждающего сигнала –
фактически, речь идёт об установлении “трёхсторонней конференц-связи”.
3. Вторжение в разговор не сопровождается предупреждающим сигналом, а микрофон
системного телефона, “вторгающегося” в разговор, остаётся выключенным –
именно этот режим позволяет третьему лицу скрытно “вклиниваться”
в разговор двух абонентов и прослушивать его в реальном времени.
Примечание: процедура включения функции “вторжение в разговор” может несколько
отличаться для каждой конкретной модели мини-АТС и указывается в технической
документации на конкретный тип оборудования – в частности, есть “нюансы”,
связанные с “контролирующим” телефоном: СТ или обычный ТА с ТН.

38.

Возможность принудительного подключения к занятой линии –
т.н. “вторжение в разговор” – на примере мини-АТС Panasonic KX-TEA308.
Руководство по функциям. Усовершенствованная гибридная система
Panasonic KX-TEA308.

39.

Пример программирования (выбора) внутренних абонентов (номеров)
мини-АТС Panasonic КХ-ТЕА308, которые смогут осуществлять “вклинивание”
в разговор двух других абонентов с помощью функции
“Принудительное подключение к занятой линии”.
Руководство по функциям. Усовершенствованная гибридная система Panasonic KX-TEA308.

40. Пример предварительного программирования (“назначения”) кнопок на СТ, с помощью которых будет осуществляться “Принудительное

подключение к линии”
(для мини-АТС Panasonic KX-TEА308).
Руководство пользователя.
Усовершенствованная гибридная система
Panasonic KX-TEA308.

41.

Пример программирования отмены подачи тонального сигнала подтверждения
организации трёхсторонней конференц-связи для внутренних абонентов
мини-АТС Panasonic КХ-ТЕА308, в целях скрытия факта
“Принудительного подключения к занятой линии”.
Руководство по функциям. Усовершенствованная гибридная система Panasonic KX-TEA308.

42. Пример реализации “вторжения в разговор” для мини-АТС Panasonic KX-TEA308.

Руководство пользователя. Усовершенствованная гибридная система
Panasonic KX-TEA308.

43. Возможные способы защиты от принудительного подключения к занятой линии (для мини-АТС Panasonic KX-TEА308).

Руководство по функциям. Усовершенствованная гибридная система Panasonic KX-TEA308.

44.

Пример установки на внутренней телефонной линии мини-АТС Panasonic KX-TEA308
функции “Режим защиты линии передачи данных”, которая блокирует
возможность реализации “вторжения в разговор”.
Руководство пользователя. Усовершенствованная гибридная система
Panasonic KX-TEA308.

45.

Пример установки на внутренней телефонной линии мини-АТС Panasonic KX-TEA308
функции “Защита от принудительного подключения к занятой линии”.
Руководство пользователя. Усовершенствованная гибридная система Panasonic KX-TEA308.

46. Прослушивание телефонных переговоров, осуществляемое за счёт функции “Вторжение в разговор”, на других типах мини-АТС.

Как было отмечено ранее, данная функция позволяет “вклиниваться” в разговор,
который ведётся по другому телефону, подключённому к данной мини-АТС.
Принцип работы данной функции практически один и тот же на всех мини-АТС,
которые её поддерживают. Некоторые особенности могут быть только в процедуре
программирования данной функции (в том числе и “защиты” от неё) и в процедуре
её “непосредственной реализации” (т.е. “на какие кнопки надо нажимать”).
Например, для мини-АТС Samsung OfficeServ 7200 (7400) с помощью предварительного
программирования можно выбрать один из трёх вариантов “вторжения в разговор”:
- вторжение в разговор запрещено;
- вторжение в разговор сопровождается сигналом предупреждения и сообщением
на дисплее – т.е. фактически это организуется режим “конференц-связи”;
- “скрытное” вторжение в разговор без каких-либо демаскирующих признаков –
сигнал предупреждения в линию не подаётся, а микрофон телефона,
“вторгающегося” в разговор, остаётся выключен.
При этом, для данной модели мини-АТС реализация функции “Вторжение в разговор”
возможна только при использовании т.н. “системного телефона” (СТ).

47. Прослушивание телефонных переговоров, осуществляемое за счёт функции “Запись разговоров в систему голосовой почты”.

Ранее была рассмотрена функция “Вторжение в разговор”, которая позволяет
прослушивать телефонные разговоры в “режиме реального времени” –
т.е. непосредственно в момент беседы двух абонентов.
В то же время, многие мини-АТС позволяют вести запись разговоров нужных абонентов,
используя систему “голосовой почты” (VPS). В этом случае телефонный разговор может
быть записан в соответствующий “почтовый ящик” – по аналогии с записью сообщения
на автоответчик – а потом прослушан при необходимости.
В зависимости от конкретной мини-АТС возможны различные варианты записи разговора:
как “ручная” – когда для начала записи абонент сам должен нажать соответствующую
кнопку на своём телефонном аппарате, так и “автоматическая” – когда запись начинается
автоматически без каких-либо действий абонента (он может вообще не знать об этом).
Естественно, что как для “ручной”, так и для “автоматической” записи телефонных
разговоров мини-АТС должна быть оснащена соответствующими “картами памяти”,
а так же должно быть проведено предварительное программирование АТС.
С помощью программирования можно выбрать различные варианты записи,
предусмотренные для данного типа мини-АТС, а так же “технические” параметры записи.
Примечание: процедура включения функции “запись в систему голосовой почты”
может несколько отличаться для каждой конкретной модели мини-АТС и указывается в
соответствующем разделе “Руководства пользователя” на данную мини-АТС.

48.

Возможность записи телефонных разговоров средствами голосовой почты
в “ручном режиме” на примере мини-АТС Panasonic KX-TEA308.
Руководство по функциям. Усовершенствованная гибридная система Panasonic KX-TEA308.

49. Пример “ручной” (нажатием на соответствующую кнопку) записи телефонных разговоров для мини-АТС Panasonic KX-TEA308.

Руководство пользователя. Усовершенствованная гибридная система
Panasonic KX-TEA308.

50.

Пример предварительного программирования (“назначения”) кнопок на СТ,
с помощью которых будет осуществляться “Запись телефонного разговора”
(для мини-АТС Panasonic KX-TEА308).
Руководство пользователя.
Усовершенствованная гибридная система
Panasonic KX-TEA308.

51. Реализация функции “Запись разговоров в систему голосовой почты” на других типах мини-АТС.

Как было отмечено ранее, данная функция позволяет пользователям мини-АТС
вести запись телефонных разговоров в систему голосовой почты.
Кроме возможности “ручной” записи – когда абонент, чтобы записать свой разговор,
должен сам нажать на соответствующую кнопку, в некоторых мини-АТС имеется
возможность “автоматической” записи разговоров “нужных” абонентов –
в этом случае абонент даже не подозревает, что его разговор записывается.
Например, для мини-АТС Samsung OfficeServ 7200 (7400) с помощью предварительного
программирования АТС можно выбрать несколько вариантов “ручной” или
“автоматической” записи разговоров в систему голосовой почты:
– запись разговоров во внешнюю систему голосовой почты;
– запись разговоров во встроенную систему голосовой почты;
– автоматическая запись разговоров во внешнюю систему голосовой почты;
– автоматическая запись разговоров во встроенную систему голосовой почты.
Кроме того, с помощью предварительного программирования определяется ещё ряд
параметров – в частности, какие звонки с данного внутреннего номера
будут записываться: исходящие, входящие или все.
Примечание: как и в случае с “вторжением в разговор”, на большинстве мини-АТС,
поддерживающих функцию записи телефонных разговоров, предусмотрена подача
сообщения о том, что разговор записывается – но оно может быть отключено.

52. Передача речевой информации, циркулирующей в помещении, за счёт штатных микрофонов, имеющихся в телефонном аппарате (общие

моменты).
Необходимо отметить, что кроме угроз, связанных с прослушиванием телефонных переговоров,
ведущихся с использованием мини-АТС, в ряде случаев штатное телекоммуникационное
оборудование может быть использовано для съёма акустической информации
из помещения, в котором установлен телефонный аппарат.
Большинство современных телефонных
аппаратов содержит не менее четырёх
“микрофонов”, которые могут быть
использованы не по назначению –
в том числе, путём “доработок”
схемы аппарата.
Например, можно сделать так, чтобы
при положенной после разговора трубке
штатный микрофон не отключался и
телефон продолжал передавать
в линию всё, что происходит
www.reicom.ru
в помещении.
Примечание: в данной презентации не рассматриваются угрозы, связанные со съёмом речевой
информации из помещения, в котором установлен телефонный аппарат, за счёт “доработки”
каких-либо элементов телефонного аппарата или за счёт акустоэлектрических
преобразований (т.н. “микрофонный эффект” и “ВЧ-навязывание”) – более подробно эти
вопросы были изложены в презентации “Технические каналы утечки акустической информации”.

53.

Прослушивание акустики помещений, осуществляемое за счёт
“дополнительных” функций АТС.
Кроме возможности прослушивания
телефонных переговоров,
большинство современных мини-АТС
позволяет осуществлять скрытый
контроль акустики помещений, в которых
установлены телефонные аппараты.
Данная угроза может быть реализована с
помощью так называемой функции
“Room Monitoring”
(контроль состояния помещения).
Это одна из “дополнительных” функций
мини-АТС, которая в принципе аналогична
рассмотренной ранее для абонентских
устройств с автоответчиком.
Для реализации данной функции
необходимо провести предварительную
настройку (программирование) АТС и
обязательно использование т.н.
“системных телефонов” (СТ).
Руководство пользователя. Усовершенствованная гибридная система Panasonic KX-TEA308.

54.

Возможность контроля акустики помещения за счёт функции “Room Monitor”
на примере мини-АТС Panasonic KX-TEA308.
Руководство по функциям. Усовершенствованная гибридная система Panasonic KX-TEA308.

55. Пример программирования (выбора) внутренних абонентов для мини-АТС Panasonic КХ-ТЕА308, за которыми может осуществляться

контроль
с помощью функции “Room Monitor” (контроль состояния помещения).
Руководство по функциям.
Усовершенствованная гибридная система
Panasonic KX-TEA308.

56.

Пример подготовки и осуществления контроля акустики помещения
с помощью функции “Room Monitor” для мини-АТС Panasonic KX-TEA308.
Руководство пользователя.
Усовершенствованная гибридная система
Panasonic KX-TEA308.

57.

Пример реализации функции “Room Monitor” для мини-АТС Panasonic KX-TEA308.
Руководство пользователя.
Усовершенствованная гибридная система
Panasonic KX-TEA308.

58. Реализация функции “Контроль состояния помещения” на других типах мини-АТС.

Как было отмечено ранее, данная функция позволяет пользователям системы (мини-АТС)
прослушивать “акустику” в помещениях, где установлены телефоны данной мини-АТС.
Как правило, чтобы “контролировать помещение”, в нём должен быть установлен
т.н.“системный телефон” (СТ) – во всяком случае, в технической документации
на те мини-АТС, которые в своё время приходилось изучать, это условие было
указано как обязательное (две мини-АТС Panasonic, две Samsung и одна Siemens).
Принцип работы данной функции практически один и тот же на всех мини-АТС,
которые её поддерживают. Некоторые особенности могут быть только в процедуре
программирования данной функции (в том числе и “защиты” от неё) и в процедуре
её “непосредственной реализации” (т.е. “на какие кнопки надо нажимать”).
Например, для мини-АТС Samsung OfficeServ 7200 (7400) с помощью предварительного
программирования АТС можно выбрать три варианта режима ответа любого СТ при
входящем звонке – в том числе, там может быть задан режим “Auto Answer Mode”,
при котором после короткого предупреждающего тона входящий звонок автоматически
проключается на спикерфон, что позволяет слышать “акустику помещения”.
При этом, если на телефонный аппарат, работающий в режиме “Auto Answer Mode”,
переводится звонок с внешней линии, то телефон будет продолжать звонить,
пока на нём не поднимут трубку или не нажмут кнопку “SP-Phone” –
т.е. функция рассчитана только на “внутренних” абонентов.

59. Утечка информации за счёт некорректной работы (“глюков”) мини-АТС.

Кроме рассмотренных ранее вариантов, связанных со “штатными” возможностями
некоторых мини-АТС, существует такая неприятная вещь, как “глюк” мини-АТС –
один из наглядных примеров таких “глюков” приведён на фото.
Это очень серьёзный момент, который может стать причиной больших проблем.

60.

Ещё несколько слов по вопросу “глюков” мини-АТС.
Если говорить о “глюках”, которые возможны при работе мини-АТС, то необходимо
отметить, что очень часто на них не обращают должного внимания –
я бы даже сказал, что их “не воспринимают в серьёз”.
Отдельные индивидуумы (в том числе из лиц, отвечающих за работу АТС)
вообще просто смеются и говорят: “О-о-о! Прикольно!”.
А это очень серьёзная угроза, которая может привести к большим проблемам.
“Глюк” может проявляться как разово, так и периодически – поэтому очень важно,
чтобы сотрудники компании (абоненты) сразу же сообщали в подразделение IT
о всех замеченных “непонятных” вариантах работы мини-АТС.
В то же время, сотрудник подразделения IT, обслуживающий мини-АТС, должен
тщательно разобраться с каждым случаем “некорректной работы” станции,
чтобы выяснить причину “глюка” и устранить её.
Понятно, что “глюк” он и есть “глюк”, поэтому не всегда “своими силами” можно
найти его причину – наглядный пример приведён ранее: режим прослушивания
помещений “самопроизвольно” включается как на мини-АТС, где эта функция
вообще не “прописана”, так и на мини-АТС, в которой такая функция есть,
но она по умолчанию “отключена” – причём в обоих случаях включение
данного режима происходит без какого-либо “специального” набора,
а при самом обычном исходящем или входящем звонке.
Так что ещё раз хочу подчеркнуть: “глюки” мини-АТС – это очень серьёзный момент.

61. Немного о VoIP-телефонии.

В настоящее время IP-телефония представляет собой реальную альтернативу
“классической” телефонии, работающей на базе мини-АТС
(в том числе и “цифровых”).
Что касается VoIP систем, то здесь хочу сказать буквально несколько слов,
так как я лично с ними плотно не работал – только как “обычный пользователь”.
Если говорить о возможных угрозах, которые ранее были перечислены
для мини-АТС, то практически все они актуальны и для VoIP систем:
1. Возможность “вторжения в разговор”.
2. Возможность записи телефонных разговоров.
3. Возможность прослушивания акустики помещения
(определяется наличием телефона, который поддерживает эту функцию).
4. Вообще возможностей очень много (моё личное мнение):
в частности, различные “варианты”, связанные не только с аудио, но и с видео –
если в данной системе используются абонентские устройства,
поддерживающие режим видеосвязи.
Необходимо отметить, что в VoIP системах практически всё определяется
соответствующим программным обеспечением и настройками,
поэтому “администратор системы” – это тот человек,
который имеет “полную власть” над системой.

62.

Принцип построения VoIP систем.

63.

Несколько слов о VoIP системах.
http://www.nav-it.ru
Один “нюанс”, касающийся VoIP систем: в ряде случаев некоторые функции, которыми обладает
конкретная система, могут быть “неактивны”, пока не будет приобретена соответствующая лицензия.
Например, функция “вторжение в разговор” у некоторых производителей работает “по умолчанию” и
входит в “базовую стоимость” системы, а у других производителей для “запуска” данной функции
необходимо приобретение отдельной лицензии за дополнительные деньги.

64.

Небольшой “итог” по вопросу “своей” мини-АТС.
Как было сказано ранее, в настоящее время “своя” мини-АТС является “нормой”
во многих компаниях и организациях – при этом не важно, какой конкретно тип
станции используется: аналоговая, цифровая или VoIP.
Нужно чётко понимать, что любая современная мини-АТС является источником
целого ряда “штатных” угроз, которые могут быть реализованы
как “умышленно”, так и “случайно”.
Примеры некоторых “штатных” угроз были рассмотрены в данной презентации,
но это только “капля в море” – существующих угроз намного больше и они касаются
не только возможной утечки информации, но и самого функционирования мини-АТС:
например, изменение или сбой настроек, в результате чего станция вообще
перестанет нормально работать.
Если “полноценно” говорить об администрировании и настройках мини-АТС,
то это очень серьёзный и, я бы даже сказал, “принципиальный” вопрос,
который требует отдельного разговора и не будет обсуждаться
в рамках данной презентации.
Сейчас речь идёт только о некоторых “штатных” функциях мини-АТС,
которые могут представлять угрозу с точки зрения утечки информации.
Как было отмечено, ключевым “элементом”, определяющим надёжность и
безопасность работы “своей” мини-АТС, является обслуживающий её сотрудник –
при этом, могут быть различные “варианты обслуживания”.

65.

Небольшой “итог” по вопросу “своей” мини-АТС.
На мой взгляд, можно выделить четыре “варианта обслуживания” мини-АТС:
1. Обслуживанием занимается “приходящий работник” – как правило, такой вариант
характерен для небольших компаний, в которых нет своего подразделения IT.
2. В компании имеется один “штатный” сотрудник (“системный администратор”,
“IT-специалист”, “связист” – не важно, как он называется), который “занимается”
всеми вопросами, связанными с обслуживанием телекоммуникационных систем –
т.е. он отвечает за всё, что связано с компьютерами и средствами связи
(кроме того, на него обычно “вешают” ОПС, СКУД, CCTV и т.д.).
3. В компании имеется более-менее реальное “штатное” подразделение IT,
в котором работают несколько “взаимозаменяемых” сотрудников, но при этом
каждый из них имеет свой “основной” профиль работы: администрирование сети,
обслуживание мини-АТС, обслуживание средств радиосвязи и т.д.
В этом случае обслуживанием мини-АТС занимается отдельный сотрудник,
который может полноценно сосредоточиться на этом вопросе.
4. В компании имеется “серьёзное” подразделение IT, в котором каждый сотрудник
имеет реальную серьёзную подготовку и занимается только своими задачами –
т.е. там нет “взаимозамен”, аврального “затыкания дыр” и т.п.
Штат такого подразделения предусматривает отдельного человека, отвечающего
за обеспечение информационной безопасности обслуживаемой мини-АТС –
т.е. здесь “всё по-взрослому”.

66.

Небольшой “итог” по вопросу “своей” мини-АТС.
На мой взгляд, наиболее “проблематичными” с точки зрения обеспечения
информационной безопасности являются два первых “варианта обслуживания” АТС.
В первом случае, когда обслуживанием занимается “приходящий работник”,
не являющийся сотрудником данной компании, проблемы могут быть однозначно –
при этом, речь идёт не только о каких-либо “умышленных” действиях с его стороны.
Как правило, для такого работника важно, чтобы “телефоны в компании работали” –
т.е. его главная (единственная) задача состоит в том, чтобы не было претензий
по поводу функционирования телефонной связи и его “не дёргали”.
Поэтому он более-менее следит за основными (“базовыми”) настройками мини-АТС и
совсем “не заморачивается” на какие-то “тонкие” (“специфические”) настройки
(если только заказчик не задаёт ему конкретных вопросов по этому поводу) –
это касается как “свободных художников”, работающих индивидуально, так и
представителей профильных компаний, предоставляющих такие услуги.
Более того, абсолютное большинство “свободных художников” – во всяком случае
из тех, с кем мне приходилось сталкиваться – вообще были не в курсе, что у АТС,
которую они вроде бы “обслуживают”, есть какие-то “дополнительные функции”.
Что же касается каких-либо “умышленных действий”, то тут всё абсолютно ясно:
посторонний человек имеет полный контроль над вашими телефонными
переговорами, а в ряде случаев не только “телефонными”.

67.

Небольшой “итог” по вопросу “своей” мини-АТС.
Также, на мой взгляд, достаточно “проблематичным” с точки зрения обеспечения
информационной безопасности является второй вариант – когда всеми вопросами,
связанными с обслуживанием телекоммуникационных систем, в компании
занимается один “штатный” сотрудник.
Понятно, что “компания компании рознь”: одно дело, когда речь идёт о небольшом
офисе, в котором стоят десять компьютеров и мини-АТС на восемь внутренних
номеров – тут всё понятно и можно реально работать.
Совсем другое дело, когда речь идёт о более-менее крупной компании, в которой
один человек отвечает за обслуживание нескольких десятков компьютеров,
офисную АТС ёмкостью от 50 абонентов и 20 – 30 радиостанций
(в ряде случаев ещё ОПС, СКУД, CCTV и др.).
В этом случае на данного сотрудника “навалено” немеренно обязанностей –
причём обязанностей “разноплановых”.
В такой ситуации даже более-менее подготовленный сотрудник чисто физически
не успевает полноценно выполнить всё, что необходимо: когда тебя дёргают
каждые пять минут из-за “зависших” компьютеров, а у половины абонентов
не работают телефоны, потому что где-то в здании повредились кабеля,
плюс ребята с “лички” постоянно жалуются, что не могут нормально
работать из-за “сдохших” на радиостанциях аккумуляторов,
“перетёртой” гарнитуры или повреждённой антенны –
ты не будешь сидеть с техдокументацией и
разбираться в настройках АТС.

68.

Небольшой “итог” по вопросу “своей” мини-АТС.
Два последних “варианта обслуживания” АТС являются оптимальными.
В этих случаях соответствующие сотрудники подразделения информационных
технологий могут полноценно сосредоточиться на всех возможных “нюансах” и
“проблемах”, касающихся функционирования мини-АТС – а их там,
если подходить к этому вопросу серьёзно, очень много.
В завершении своей “демагогии” на тему мини-АТС ещё раз хочу подчеркнуть,
что человек, обслуживающий АТС и имеющий доступ ко всем её настройкам –
т.е. к “системному программированию”, является её “хозяином” и может
использовать все её возможности в своих интересах как угодно.
Поэтому его “надёжность” и “компетентность” – это принципиальный момент.
На счёт “надёжности” – это отдельный разговор, касающийся компетенции СБ,
а вот на счёт “компетентности” хотел привести два примера:
Первый пример – это цитата из рассказа “Союз рыжих” Артура Конан Дойля,
когда Шерлок Холмс говорит Уотсону об инспекторе полиции Джонсе:
“Джонс нам тоже пригодится. Он славный малый, хотя ничего не смыслит в своей профессии.”
Второй пример – уже из собственного опыта, когда один мой знакомый,
работавший тогда над своим дипломным проектом, сказал такую фразу:
“Ладно – я ничего не знаю, но мой дипломный руководитель – вообще ничего
не знает. Что за диплом получится? Даже не представляю…”
Я это к тому, что “хороший парень” – это не профессия.

69.

Немного об угрозах, связанных с использованием средств радиосвязи
(общие моменты).
На сегодняшний день различные системы радиосвязи не только получили широкое
распространение, но и в ряде случаев “вытеснили” целый ряд проводных систем.
Одной из особенностей средств радиосвязи является их “автономность” (“свобода”),
которую многие конечные пользователи (именно “конеЧНые”, а не “коНЧенные”)
считают их основным “удобством” по сравнению с проводными системами.
Да, действительно, абонентские устройства большинства систем радиосвязи
могут легко перемещаться вместе с их владельцем (абонентом) и
“не привязаны” к одной конкретной точке за счёт кабеля.
При этом “обычных” пользователей интересует только “удобство” использования
данных устройств и они даже не задумываются о таких “технических” вещах,
как возможность радиоперехвата, подверженность помехам и т.д.,
которые характерны именно для средств радиосвязи.
Но речь сейчас не об этом.
Я хотел подчеркнуть другой принципиальный момент, который отличает
стационарное абонентское устройство от абонентского устройства радиосвязи:
как правило, абонентское устройство радиосвязи постоянно находится рядом
со своим владельцем, поэтому угроза от него тоже исходит постоянно.
Примечание: я ни в коем случае не хочу “посеять панику” или “шпиономанию”,
просто напоминаю, что радиосвязь имеет свои особенности.

70.

Утечка акустической информации за счёт средств
радиосвязи (общие моменты).
Практически любое абонентское устройство большинства систем радиосвязи
является своего рода “радиомикрофоном”, который может быть использован для
получения акустической информации, циркулирующей вблизи данного устройства.
В ряде случаев, чтобы абонентское устройство
превратилось в “полноценную радиозакладку”,
необходима его определённая аппаратная или
программная “модификация” – в частности,
речь идёт о различных “бытовых” Bluetooth- и
DECT-устройствах, а так же о так называемых
Spy Phones (“телефоны-шпионы”).
В то же время, любой мобильный телефон
может быть использован в качестве
“упрощённой радиозакладки” – когда
он просто “включается на передачу” и
“забывается в нужном помещении”.
Другой типовой пример: популярная “штатная” функция “Live-прослушивание”,
которую поддерживают некоторые модели наушников Apple.
Сейчас варианты, связанные с “модификацией” абонентских устройств радиосвязи,
не будут рассматриваться – более подробно об этих моментах изложено
в презентации “Технические каналы утечки акустической информации”.

71.

Утечка акустической информации за счёт “штатных” возможностей
некоторых средств радиосвязи.
Некоторые абонентские устройства радиосвязи могут быть использованы
для получения акустической информации даже без какой-либо “доработки” –
они уже имеют определённые “штатные” функции, позволяющие
использовать их в качестве “полноценного радиомикрофона”.
В частности, к таким устройствам относятся:
- устройства типа “Active Guard”, предназначенные для контроля работы персонала
в режиме реального времени;
- различные “беспроводные” сигнализации (в том числе “GSM-сигнализации”) и
различные “GPS-трекера”, имеющие встроенный микрофон и поддерживающие
функцию “голосовой мониторинг”;
- радиостанции, имеющие режим “VOX”;
- радиостанции, имеющие функцию “избирательного прослушивания”;
- различные устройства, имеющие функцию “радио-няня” .
Примечание: существуют и другие типы устройств радиосвязи, которые также имеют
“штатные” возможности по “дистанционному контролю акустики”.
Далее в общих чертах будут рассмотрены некоторые из возможных угроз,
источниками которых являются перечисленные выше устройства.

72. Системы типа Active Guard.

www.sec.md

73. Пример GSM-сигнализации с функцией “голосовой мониторинг”.

www.sapsanspb.ru

74. Пример GPS-трекера с функцией “голосовой мониторинг”.

http://www.company.mts.ru/comp/press-centre/press_release/2011-07-04-1262854/

75. Утечка акустической информации за счёт радиостанций с функцией VOX.

Речь идёт о режиме VOX, который может быть активирован
на многих типах радиостанций систем транкинговой связи –
как правило, при использовании специальной гарнитуры, но
некоторые радиостанции могут поддерживать данный режим и
без подключения гарнитуры, используя для этого
штатный встроенный микрофон.
В ряде случаев данная угроза может представлять реальную
опасность с точки зрения утечки информации – учитывая,
что пользователями таких систем являются, как правило,
достаточно “серьёзные” коммерческие структуры.
Реальная ситуация: радиостанция, на которой активирован
режим VOX, стоит на столе и периодически “самопроизвольно”
выходит в эфир, когда в кабинете начинают обсуждать
какие-либо вопросы.
Понятно, что там не всё так “просто”: при каждом выходе
в эфир радиостанция издаёт “специфичный звуковой сигнал”,
но в ряде случаев владелец станции может и не услышать
этот сигнал – например, если его уровень “установлен в ноль”.
При этом, в большинстве случаев причиной того,
что режим VOX был активирован “не на той радиостанции”,
является не “злой умысел” (хотя и такое возможно), а
“бардак” и некомпетентность.

76. “Информация к размышлению” о режиме VOX для радиостанций.

www.mobilradio.ru

77. Пример радиостанции с функцией VOX.

www.radioexpert.ru

78. Съём акустической информации за счёт “дополнительных” функций абонентских устройств систем транкинговой радиосвязи.

В первую очередь речь идёт о “дополнительных” функциях,
которые заложены в системы цифровой транкинговой радиосвязи –
в частности, стандарта TETRA.
В стандарте радиосвязи TETRA существует возможность
дистанционно включить радиостанцию – без каких-либо внешних
демаскирующих признаков, что она работает на передачу. В
этом режиме радиостанция не издаёт никаких предупреждающих
сигналов, у неё не работает дисплей и не подсвечиваются кнопки.
При этом микрофон радиостанции имеет максимальную
чувствительность, что позволяет прослушивать разговоры
в нескольких метрах от него.
Это так называемая функция “избирательного прослушивания”,
которая позволяет диспетчеру незаметно для абонента
прослушивать окружающую абонента обстановку.
Кроме того, возможны различные “варианты”, в том числе при
работе в режиме прямой передачи (Direct Mode Operation), который
предназначен для группового взаимодействия между абонентами
за пределами зоны действия базовых станций TETRA. В режиме
DMO связь между абонентами осуществляется в полудуплексном
режиме, но при этом сохраняется возможность сделать
индивидуальный или групповой вызов.

79. Стандарт радиосвязи TETRA: схема работы в режимах TMO и DMO.

80.

Утечка информации за счёт бытовых устройств радиосвязи,
имеющих функцию “радио-няня”.
Устройства типа “радио-няня” получили широкое распространение и активно
используются в “обычной” жизни. В то же время, в ряде случаев данные изделия
могут быть использованы и для несанкционированного прослушивания помещений.
Можно выделить три основных варианта устройств типа “радио-няня”,
наиболее часто встречающихся на практике:
1. “Классический” вариант “радио-няни” – т.е. это устройство, которое изначально
создавалось только для этой цели. Такая “радио-няня” состоит из двух отдельных
модулей (блоков), один из которых выполняет роль передатчика и устанавливается
в контролируемом помещении, а второй является приёмником.
Эти два блока работают “в паре” и продаются в комплекте.
2. Функция “радио-няня” может быть “штатно” заложена в обычную радиостанцию.
3. Функция “радио-няня” может быть “штатно” заложена в беспроводной телефон.
В зависимости от конкретного варианта исполнения “радио-няни”
будут варьироваться её функциональные возможности –
в первую очередь, дальность работы и процедура дозвона (соединения),
а так же габариты (внешний вид) устройства.

81. Пример “классического” устройства типа “радио-няня”.

www.videonyanya.ru

82. Пример радиостанции с функцией “радио-няня”.

www.videonyanya.ru

83. Пример цифрового беспроводного телефона Panasonic KX-TCD825, имеющего функцию “радио-няня”.

84. Выдержка из “Инструкции…” на цифровой беспроводной телефон Panasonic KX-TCD815 .

Инструкция по эксплуатации на цифровой беспроводной телефон Panasonic KX-TCD815.

85.

Некоторые особенности процедуры “дозвона”, характерные для
беспроводных DECT-телефонов, имеющих функцию “радио-няня”.
В беспроводных DECT-телефонах, имеющих функцию “радио-няня”,
могут использоваться различные процедуры соединения (“дозвона”)
между “контролируемой” и “контролирующей” трубками.
В зависимости от конкретной модели DECT-телефона будет отличаться кто является
инициатором соединения – “контролируемая” или “контролирующая” трубка,
а так же на какой дистанции осуществляется контроль – между трубками в пределах
одной “DECT-базы” или между “контролируемой” трубкой и любым телефоном.
Наиболее распространены три основных варианта процедуры “дозвона”,
используемых в беспроводных телефонах, при их работе в режиме “радио-няня”:
1. При появлении в помещении звуковых сигналов, превышающих заданный уровень,
находящаяся там “контролируемая” трубка автоматически звонит
на “контролирующую” трубку, зарегистрированную в той же “DECT-базе”.
2. При появлении в помещении звуковых сигналов, превышающих заданный уровень,
находящаяся там “контролируемая” трубка автоматически звонит на любой
телефонный номер, который был запрограммирован в ней как “контролирующий”.
3. Находящаяся в помещении “контролируемая” трубка автоматически отвечает
на входящий звонок с “контролирующей” трубки,
зарегистрированной в той же “DECT-базе”.

86.

Небольшой “итог” по вопросу возможной утечки акустической информации за
счёт “штатных” возможностей некоторых средств радиосвязи.
Ранее были рассмотрены несколько примеров, связанных с возможностью
использования “штатных” возможностей некоторых средств радиосвязи для
получения акустической информации.
Нужно чётко понимать, что с технической точки зрения многие радиоустройства,
используемые как в “профессиональной деятельности”, так и на “бытовом уровне”,
могут представлять собой практически “полноценную радиозакладку”.
Поэтому, если вы хотите избежать или хотя бы максимально уменьшить вероятность
различных “неприятных сюрпризов”, перед приобретением или использованием
любого устройства необходимо внимательно изучить, как оно работает и
что от него “можно ожидать”.
Рассмотренные выше средства радиосвязи широко используются в различных
областях, но они не являются “массовым продуктом” – образно говоря.
Далее хочу немного поговорить о некоторых “угрозах”, которые могут быть
актуальными для самого “массового” на сегодняшний день типа устройств,
используемых абсолютным большинством населения.
Речь идёт о мобильных телефонах – точнее говоря, о “мобильных устройствах”,
которые практически совмещают в себе возможности ПК и средства радиосвязи.
Всё, что касается “полноценного” программирования и “глубокой” работы с ПК,
мягко говоря – “не по моей части”, поэтому далее многие моменты
будут изложены с точки зрения “скромного любителя”.

87. Немного о компьютерах.

Хочется отметить, что компьютер,
у которого есть “штатный” микрофон,
по определению является диктофоном,
“проводной закладкой” – если он имеет
кабельное подключение к LAN или Internet,
или “радиозакладкой” – если у него есть
модуль Bluetooth или Wi-Fi.
И не нужно забывать, что говоря
“философским языком”,
компьютер (ноутбук, планшет, смартфон) –
это вообще “вещь в себе”.
Так что от него можно ожидать любых
“сюрпризов” – как правило, неприятных.
Наглядный пример: “глюк” мобильного
телефона, когда он самопроизвольно
“отвечает” на входящий звонок или
начинает самостоятельно “дозваниваться”
на номера из “записной книжки”.
Аналогичная ситуация и со “штатной” видеокамерой, встроенной в компьютер или
подключённой к нему: в этом случае возможна утечка и видеоинформации.

88. Пример утечки информации за счёт “автоматического ответа” при входящем звонке в Skype.

В качестве типового примера можно привести одну из “штатных” функций в Skype:
Реальная ситуация: в кабинете работает компьютер, на котором запущен Skype.
Монитор “погашен”, звук “выключен”, но работает микрофон. При входящем звонке
происходит “автоответ” и микрофон “проключается” на передачу. При этом
находящиеся в помещении ни о чём не подозревают, так как компьютер не подаёт
“никаких видимых признаков жизни”. При стандартных настройках Skype “автоответ”
будет включаться на любой входящий звонок, а при установке дополнительной
программы можно выбрать конкретных абонентов из “списка контактов”.

89. Утечка информации за счёт “автоматического ответа” при входящем звонке в Skype.

Естественно, что такой
вариант маловероятен
на “чужом” компьютере,
хозяин которого следит
за его настройками и
работой.
Наиболее реальный
вариант – это работа
через “свой” компьютер,
установленный в
“нужном” помещении –
т.е. для реализации
угрозы обязательно
участие кого-то из
“своих”.

90. О компьютерах и других “цифровых” устройствах – информация к размышлению…

www.yaplakal.com/forum1/topic1145389.html

91. Немного о мобильных телефонах – точнее о “мобильных устройствах” – и угрозах, которые они могут представлять.

Практически любой мобильный телефон является устройством, которое
может быть использовано злоумышленником как для получения информации,
передаваемой с его помощью (телефонные разговоры и сообщения) или
хранящейся в нём (фото, видео, документы и т.д.), так и для получения
аудио- и видеоинформации, циркулирующей рядом с данным телефоном.
Кроме того, современный мобильный телефон может использоваться
злоумышленниками для получения данных о вашем местоположении,
ваших персональных данных, номеров банковских счетов и карт,
снятия денег без вашего ведома и т.д.
Как правило, для “полноценного” контроля мобильного телефона злоумышленнику
необходимо использовать специальные комплексы радиоконтроля или
установить на “контролируемый” телефон специальную программу –
более подробно об этих моментах изложено в презентациях
“Технические каналы утечки акустической информации” и
“Технические каналы утечки информации, передаваемой по каналам связи”.
В то же время, в ряде случаев для получения определённой информации могут
быть использованы “обычные телефоны” (речь идёт о смартфонах) без какой-либо
дополнительной “доработки”, так как они уже имеют “штатные” функции и программы,
позволяющие злоумышленнику использовать ваш телефон в качестве “закладки”.

92.

Немного о мобильных телефонах – точнее о “мобильных устройствах” –
и угрозах, которые они могут представлять.
Вопросы, связанные с обеспечением безопасности мобильных устройств – например,
смартфонов и “планшетов” – это серьёзная и объёмная тема, которая является
очень актуальной на сегодняшний день и которая требует отдельного обсуждения.
Внимание! Моё личное мнение. Обязательно оценивайте его критически!
Данные устройства, которые повсеместно используются в современной жизни,
фактически изменили “картину мира” – я имею ввиду не только какие-то
“специальные” вопросы, связанные с информационной безопасностью,
но и повседневную жизнь людей в целом.
Что касается вопросов информационной безопасности, то современные мобильные
устройства принципиально изменили существовавшее “классическое” представление
о “тактике” использования “закладных устройств”: если раньше злоумышленнику
нужно было “внедрить” устройство съёма информации на нужный объект
(образно говоря, “проникнуть на чужую территорию и что-то там оставить”),
то теперь ему нет необходимости “куда-то проникать” и “что-то оставлять”.
Теперь в качестве “закладного устройства” (“железа”) выступает обычный смартфон,
который совершенно легально находится у своего владельца, при этом для съёма
информации используются “штатный” микрофон и “штатная” камера смартфона,
которые управляются злоумышленником с помощью специальных программ –
образно говоря, “физическая закладка” заменена на “логическую”.

93.

Немного о мобильных телефонах – точнее о “мобильных устройствах” –
и угрозах, которые они могут представлять: пример “логической закладки”.
.
Типовым примером современной “закладки” является т.н. Spy Phone (“телефон-шпион”).
Это устройство, выполненное на базе сотового телефона или смартфона, на который
установлено специальное ПО – т.н. “шпионская программа”.
Spy Phone позволяет практически полностью контролировать “нужный” телефон –
при этом пользователь (владелец) телефона ни о чём не подозревает.
Более подробно о “телефонах-шпионах” рассказано в презентациях
“Технические каналы утечки акустической информации” и
“Технические каналы утечки информации, передаваемой по каналам связи”.

94.

Немного о мобильных телефонах – точнее о “мобильных устройствах” –
и угрозах, которые они могут представлять.
Как было сказано, вопросы обеспечения безопасности мобильных устройств –
это очень серьёзная и сложная тема, которая требует отдельного разговора и
не будет рассматриваться в данной презентации.
Необходимо отметить, что когда речь идёт о “безопасности мобильного устройства”,
то это касается не только обеспечения конфиденциальности информации,
передаваемой с его помощью: например, телефонных разговоров и сообщений.
Кроме конфиденциальности необходимо обеспечить целостность и доступность
передаваемой информации – в ряде случаев это является даже более важным,
чем обеспечение конфиденциальности.
Эффективное и полноценное решение данных вопросов возможно только грамотным
специалистом, имеющим соответствующую специальную подготовку.
В то же время, общее представление о данной проблеме должно быть у каждого
пользователя мобильных устройств, который задумывается о своей безопасности.
На мой взгляд, один из хороших и полезных в практическом плане материалов
по данной теме – это книга “Защита мобильных телефонов от атак”.
В данной книге, на мой взгляд, достаточно подробно и корректно рассмотрены
многие моменты, связанные с обеспечением безопасности мобильных устройств.
Оглавление книги см. далее.

95. Пример одной из книг, в которой (моё личное мнение) достаточно подробно и корректно рассмотрены основные вопросы обеспечения

безопасности мобильных устройств.
Михайлов Д.М., Жуков И.Ю. Под редакцией Ивашко А.М. Защита мобильных телефонов от атак. – М.: Фойлис, 2011.

96.

Михайлов Д.М., Жуков И.Ю. Под редакцией Ивашко А.М.
Защита мобильных телефонов от атак. – М.: Фойлис, 2011.

97.

Немного об основных “штатных” настройках мобильного телефона, которые
важны с точки зрения обеспечения безопасности.
Современный мобильный телефон (смартфон) даже без установки на него каких-либо
специальных “шпионских” программ может стать причиной утечки информации.
Нужно понимать, что большинство “штатных” приложений – как “предустановленные”
на смартфон производителем, так и установленные самим пользователем –
могут иметь доступ к информации о местоположении данного устройства,
его микрофону, камере, списку контактов, хранящимся данным и т.д.
Если говорить об “обычном пользователе”, который хочет минимизировать
возможность такого “доступа” на своём смартфоне, то для этого ему необходимо
правильно задать соответствующие настройки (“разрешения”).
Можно выделить два условных подхода, связанных с заданием настроек:
вариант “белого списка” и вариант “чёрного списка”.
В первом случае изначально делается “общий запрет” на доступ к данной функции
смартфона – например, на доступ к геоданным, а потом для каждого конкретного
приложения при необходимости даётся “индивидуальное разрешение” –
т.е. формируется “белый список”.
Во втором случае изначально даётся “общее разрешение” на доступ к данной функции
смартфона, а потом для каждого конкретного приложения при необходимости
делается “индивидуальный запрет” – т.е. формируется “чёрный список”.
Далее в общих чертах будут рассмотрены некоторые моменты, связанные с настройками
смартфона, о которых, на мой взгляд, стоит задуматься каждому думающему пользователю.

98.

Типовое меню настроек мобильного телефона, позволяющих некоторым
установленным приложениям получать доступ к данным о местоположении
данного устройства, его микрофону или камере и т.д.

99.

Пример настройки разрешения доступа к камере и микрофону
для различных приложений на iPhone.
https://www.iphones.ru/iNotes/kak-na-iphone-povysit-lichnuyu-konfidencialnost-i-bezopasnost-svoi-dannyh-01-06-2022

100.

Немного о “геолокации”, как об одной из возможных угроз.
Наиболее “наглядной” угрозой,
актуальной практически для каждого
обычного пользователя мобильного
телефона, является определение его
местоположения – т.н. “геолокация”.
Варианты “геоданных”, передаваемых
вашим устройством другим лицам,
могут быть самыми различными:
от геопозиции того места, где вами
было снято фото или видео –
данная информация может автоматически
указываться в “свойствах” фото/видео,
до автоматической отправки уведомлений
о прибытии вами в конкретное место.
Всё зависит от того, какое программное
обеспечение используется на вашем
устройстве, и от “правильности” или
“неправильности” заданных вами
настроек и “разрешений”.

101.

Пример настройки геолокации для некоторых смартфонов Samsung.

102.

Пример настройки геолокации для некоторых смартфонов Samsung.

103.

Пример настройки геолокации для некоторых смартфонов Samsung.

104. Пример настройки геолокации для некоторых смартфонов на базе Android.

105.

Пример настройки геолокации для системных служб на iPhone.
https://www.iphones.ru/iNotes/kak-na-iphone-povysit-lichnuyu-konfidencialnost-i-bezopasnost-svoi-dannyh-01-06-2022

106.

Пример настройки геолокации (проставление “геотегов”) для фото и видео.
https://www.iphones.ru/iNotes/kak-na-iphone-povysit-lichnuyu-konfidencialnost-i-bezopasnost-svoi-dannyh-01-06-2022

107. Программы, позволяющих вашим “друзьям” отслеживать ваше местоположение.

Существует целый ряд приложений
(в том числе и “предустановленных”),
которые позволяют делиться местоположением
данного устройства с другими пользователями.
Для того, чтобы кто-либо из ваших “друзей”
мог отслеживать ваше местоположение,
нужно для них задать соответствующие
“разрешения” в настройках программы.
В зависимости от используемого приложения и
установленных настроек (заданных “разрешений”)
ваши “доверенные контакты” смогут получать
самую различную информацию:
данные о вашем текущем местоположении,
уведомления о посещении конкретного объекта,
историю ваших перемещений в течении
определённого времени (более недели) и т.д.
Понятно, что “старый друг лучше двух подруг”,
но перед тем, как дать кому-то “разрешение” на
доступ к геоданным, надо хорошо подумать…
Одна из статей на эту тему: https://androidinsider.ru/obzory-prilozhenij/kak-najti-druzej-po-ih-mestopolozheniyu.html.

108.

Небольшой “итог” по вопросу “настройки” мобильного телефона.
Правильная настройка мобильного телефона (смартфона) очень важна –
даже если речь идёт не о каких-то “специальных моментах”.
При правильной настройке мобильного телефона можно как минимум повысить
качество и надёжность его работы (телефон перестанет “тормозить”),
сократить “ненужный” трафик и уменьшить расход аккумулятора.
Моё личное мнение:
Если речь идёт об “обычных” пользователях, то большинство из них вполне
могут настроить свой мобильный телефон самостоятельно, правда для этого
придётся “помудохаться” (в хорошем смысле этого слова).
В этом случае необходимо помнить о том, что если “необоснованное разрешение”
может привести к работе какого-то “ненужного” приложения – образно говоря,
к “возникновению потенциальной угрозы”, то “необоснованный запрет”
может вообще нарушить нормальную работу смартфона.
Если же речь идёт о тех случаях, когда “всё серьёзно” и “всё по-взрослому”, то
правильно настроить смартфон сможет только специалист, имеющий
реальную специальную подготовку.
Примечание: выше были рассмотрены только некоторые “штатные” настройки в меню
мобильного телефона, которые связаны с конфиденциальностью и безопасностью.
В данной презентации не рассматриваются “специфичные” настройки конкретных
приложений (как ранее было со Skype) – это отдельный серьёзный разговор.

109.

Немного о мобильных телефонах и личной (“физической”) безопасности.
Кроме каких-то “высоких материй”,
связанных с обеспечением
информационной безопасности,
противодействием промышленному
шпионажу и т.д. и т.п., тупое
использование мобильного телефона
связано с более “простыми” и
“наглядными” вещами, которые в ряде
случаев могут привести к серьёзными и
печальным последствиям.
Речь идёт о самом элементарном
“зависании в телефоне” – когда его
владелец вообще тупо не замечает,
что происходит вокруг.
В результате такого “зависания” возможны
различные “аварийные ситуации”: ДТП,
пожар, серьёзная травма и т.д., а также
невыполнение своих функциональных
обязанностей (“забой” на работу).
Наглядный пример влияния мобильного телефона на работу телохранителя см. далее.

110.

Мобильный телефон и телохранитель – информация к размышлению…
Очень показателен пример, касающийся влияния “мобильных устройств” на работу
некоторых “телохранителей”, который был приведён в статье
“Телохранитель и телефонное залипание”:
“Запечатлённые на фото трое телохранителей, находятся в одном из ресторанов и
“обеспечивают” безопасность высокопоставленного чиновника.
И эти трое телохранителей настолько погружены в виртуальный мир своих
смартфонов, что абсолютно не замечают происходящих вокруг них процессов.
Несмотря на наличие у этих сотрудников огнестрельного оружия и властных
полномочий – то, чем так любят кичиться некоторые представители госструктур,
следует признать, что в этот момент они представляют собой три совершенно
бесполезных субъекта с точки зрения обеспечения безопасности.
В нашей практике также были случаи, когда старший группы приходил и спрашивал
у телохранителей: “Кто сейчас находится в кабинете у охраняемого?”.
При этом два телохранителя в приёмной, а вместе с ними и охранник, находящийся
на стационарном посту, не могли точно ответить на поставленный вопрос.
А знаете почему? Потому что всё это время, взрослые люди,
считающие себя “крутыми” телохранителями, занимались тем,
что “рубились в танчики” на своих смартфонах…
Таких людей следует выгонять, и чем раньше – тем лучше (что и было сделано).”
(полный текст статьи см. https://bezpekavip.com/lenta/telohranitel-i-telefonnoe-zalipanie).
Моё мнение: данная ситуация если не “типичная”, то “часто встречающаяся”.

111.

Немного о влиянии мобильных телефонов (“мобильных устройств”)
на современную повседневную жизнь – моё личное мнение.
Что касается влияния “мобильных устройств” на повседневную жизнь, то это вообще
отдельная история – причём, на мой взгляд, достаточно печальная.
Если перефразировать классиков (И.Ильф, Е.Петров, “Золотой телёнок”):
“Автомобиль – не роскошь, а средство передвижения!”, то можно сказать:
“Мобильный телефон – не игрушка, а средство обмена информацией!”.
Естественно, что когда речь идёт об “обмене информацией”, имеется ввиду обмен
реальной информацией, для которого есть реальная необходимость использовать
мобильный телефон: общение с родными и близкими, работа, учёба и т.д. –
в том числе, сюда можно отнести различные “информационные каналы” и “чаты”,
при условии, что данный индивидуум участвует в них осознанно (а не “лишь бы”)
и обдуманно излагает там своё мнение.
Совсем другое дело – это круглосуточное “зависание в телефоне” для просмотра и
переотправки всякой хе*ни, в смысл которой данный индивидуум даже не вникает,
но на которую он “подсел” и теперь “не может без этого жить”.
Некоторым гражданам стал важен сам “процесс” тупого нажатия на клавиши
для “селфи”, отправки “репостов” и получения/постановки “лайков” –
без какого-либо понимания ими о чём вообще идёт речь в этих “сообщениях”.
Фактически такие индивидуумы стали или “телефонозависимыми” –
т.е. больными (с медицинской точки зрения), или просто быдлом.

112. Мобильный телефон и его владелец: “Кто из нас настоящий хозяин?” – информация к размышлению...

113.

Девушка! Хорошенькая, белая,
полная задора и огня!
Для чего ты селфи это делаешь
прямо на балконе у меня?
Для чего глаза твои хорошие
смотрятся в предутреннюю тишь
на бюджетно застеклённой лоджии
в интерьере старых детских лыж?
Обсуждали фильм, делились мнением,
ты казалась умною на вид…
Что за примитивное стремление
сфоткать рюмку и отправить твит?
В чём прикол “чекиниться” в Чертаново?
Что тут интересного вокруг?
Для чего писать хэштэг #скагановым –
без пробела и заглавных букв?
Разговор-то шёл о философии,
обсуждали творчество друзей.
Поднялись буквально выпить кофе и…
как с айфоном в Пушкинский музей.
Даже после электронной ретуши в этих
фотках смысла ни на грамм.
Нету уникального контента же!
Чем ты наполняешь Телеграм?
Что тут фоткать? Ну ей богу, милая?
Ведь тебе же не пятнадцать лет!
Кухня, спальня, виноград, текила и…
чей-то лифчик, брошенный на плед.
Как лежу на простыне без майки я,
как танцуют тени на стене…
И жена из Праги это лайкает
с чистым состраданием ко мне.
Л.Каганов

114.

Немного о влиянии мобильных телефонов (“мобильных устройств”)
на современную жизнь – моё личное мнение.
Всё, что было сказано о “влиянии мобильных устройств на повседневную жизнь” –
это моё личное мнение, причём достаточно “пессимистичное”.
Возможно, что это уже “возраст”… Хотя надеюсь, что маразма у меня ещё нет.
Тут вполне актуальна фраза из замечательного фильма “Суп с капусты” –
на мой взгляд, это один из лучших фильмов с Луи де Фюнесом:
“… где по сей день живут два белых ворона, два ископаемых чистой воды,
два убогих старика. Первый из последних из могикан, из этих сушённых фруктов,
вымоченных в красном вине, этих пережитков былых времён, отторгнутых
не только электронным, но и механическим веком …”
Как мне сказал ребёнок, когда я провёл с ним “душеспасительную беседу” о том,
что “мобильник и планшет это конечно хорошо, но без них было лучше”:
“Ты что – первобытный человек? Может быть ты ещё динозавров видел?”.
Точнее говоря, сказали все трое, только по отдельности, так как “беседа” с каждым
проходила в разное время из-за ихней разницы в возрасте.
В двух случаях в мой адрес прозвучала формулировка “первобытный человек”,
в одном случае – “доисторический человек”, а вот фраза про “динозавров”
прозвучала один в один во всех трёх случаях, хотя между каждым
из этих разговоров была разница в несколько лет.
Так что, как говорится: “У каждого своя правда”…

115.

Немного о т.н. “Smart-устройствах” (т.н. “умных устройствах”).
Т.н. “Smart-устройства” широко используются в различных областях уже более 20 лет,
при этом, они всё сильнее влияют на людей и “меняют” их.
Т.н. “умные устройства” становятся всё более доступными для массового потребителя и
во многом “облегчают” – а точнее говоря “отупляют” – его повседневную жизнь,
отучая людей не только делать какие-то элементарные вещи, но и думать.
Современные “кофе-машины”, кухонные “комбайны”, музыкальные центры, пылесосы,
телевизоры, телефоны, тренажёры, часы и даже оконные шторы становятся “всё умнее”,
а их владельцы – которые наивно думают, что это они “настоящие хозяева”
этих вещей, а не наоборот – всё более зависимыми от них.
Это я перечислил только несколько наиболее распространённых “бытовых” устройств,
предназначенных для “домашнего использования”, а в реальности
т.н. “умных устройств” гораздо больше и они присутствуют
практически во всех областях жизни и деятельности.
Когда-то прочитал очень хорошую, на мой взгляд, фразу (не знаю, кто её автор):
“Чисто метафизически экосистема Apple – бесконечно комфортный, продуктивный,
эстетически совершенный корпоративный концлагерь. И чем экзотичнее ниша,
в которой пребывает гаджет, тем этот концлагерь безысходнее,
но и комфорт запредельнее”.
Здесь речь идёт конкретно об изделиях Apple – возможно, что эта фраза была из
какой-то статьи, в которой обсуждалась техника именно этого производителя,
но я уверен, что эти слова можно отнести ко всем “аналогичным” производителям.

116. Примеры т.н. “Smart-устройств”.

“Картографирование в реальном времени”!
Для пылесоса!!
Дожили!!!
Не знаю как других людей , которые
когда-то изучали такой замечательный
предмет как “Военная топография”,
но меня лично от одной мысли
об этом “пылесосе”
в “холодный пот кидает”.
А какие “выражения” по этому поводу
у штурманов из ВМФ или из ВВС –
даже представить не могу…

117.

Немного о т.н. “Smart-устройствах” (т.н. “умных устройствах”).
Кроме какого-то “глобального” влияния, оказываемого т.н. “Smart-устройствами”
на человеческую жизнь, существуют совершенно “конкретные” вещи – в частности,
связанные с угрозой утечки информации за счёт данных устройств.
На мой взгляд, можно выделить три основных варианта реализации утечки информации
за счёт использования т.н. “умных устройств”:
1. Утечка информации может быть реализована за счёт “прямого использования”
некоторых “штатных” функций, которые имеются у т.н. “Smart-устройств”: например,
функции аудио/видеомониторинга и GPS-трекинга в т.н. “умных часах” для детей.
2. Утечка информации может быть реализована за счёт “скрытого использования”
некоторых “штатных” функций, которые имеются у т.н. “Smart-устройств”: например,
функции “голосового управления” устройствами типа ПК, смартфон, Smart-TV и т.д.
3. Утечка информации может быть реализована за счёт использования различных
“закладных устройств”, которые сами по себе не являются т.н. “Smart-устройствами”,
но которые используют для передачи полученной информации каналы связи и
управления, предназначенные для работы т.н. “умных устройств”.
Например, такие “закладки” могут работать в стандарте Wi-Fi или Zigbee на объекте,
где реализована т.н. система “умный дом”, маскируя свою работу под неё.
Внимание! Приведённая выше “классификация” – это моё личное мнение.
Поэтому нужно относиться к ней очень критически и ни в коем случае не воспринимать её
как “абсолютную истину”, а только как некоторые мои “мысли вслух”.

118.

Немного о так называемых “умных часах” для детей.
“Умные часы для детей” являются своего рода “альтернативой” смартфону для ребёнка –
по крайней мере до тех пор, пока ребёнок не начнёт “считать себя уже большим” и
не станет претендовать на “настоящий” смартфон.
Данные устройства, которые изначально предназначены для обеспечения безопасности
своего ребёнка, фактически являются полноценным “закладным устройством”,
позволяющим осуществлять скрытый аудио- и видеоконтроль,
а так же отслеживать местоположение объекта.
Некоторые характеристики типовых моделей т.н. “умных часов” для детей:

119. Примеры т.н. “умных часов” для детей.

120.

Немного о функции “голосового управления”, имеющейся у ряда устройств.
Так называемую “функцию голосового управления” поддерживают многие устройства:
персональные компьютеры, “планшеты”, смартфоны, телевизоры и т.д. –
она позволяет человеку “разговаривать” с т.н. “умными устройствами” и отдавать им
определённые команды не с помощью “кнопок и клавиш”, а непосредственно голосом –
при этом не важно о какой именно “системе голосового управления” идёт речь:
“Ok, Google!”, “Hey, Cortana!”, “Hey, Siri!”, “Алиса!” и т.п.
Угроза утечки информации, которая возможна за счёт использования данной функции,
заключается в том, что т.н. “умное устройство” будет воспринимать не только
отдаваемые ему “голосовые команды”, но и вообще все разговоры, ведущиеся
вблизи него, с последующей их записью и передачей кому-либо.
Здесь есть принципиальное отличие от рассмотренного ранее варианта использования
устройств типа т.н. “умных часов” для детей: в случае т.н. “умных часов” для детей
ими “управляет” конкретный “злоумышленник” – конкретный человек, непосредственно
к которому поступает полученная информация, а в случае с т.н. “Smart-устройствами”,
имеющими голосовое управление, полученная информация отправляется не какому-то
конкретному человеку (“злоумышленнику”), а компании-производителю данного
оборудования или провайдеру, предоставляющему соответствующие услуги.
Эта проблема начала активно обсуждаться более десяти лет назад и уже привела к ряду
судебных исков в отношении некоторых производителей оборудования и программ.
Одна из статей по теме: https://scientificrussia.ru/articles/razgovory-vladelcev-televizorov-proslushivaiutsia

121. Немного о “голосовом управлении” некоторыми устройствами – информация к размышлению…

www.yaplakal.com/forum1/topic1145389.html

122.

Немного об устройствах съёма информации, которые “маскируются”
под работу т.н. “умных устройств”.
Ещё одну угрозу могут представлять различные “закладные устройства”, которые
сами по себе не являются т.н. “Smart-устройствами”, но которые используют
для передачи полученной информации каналы связи и управления,
предназначенные для работы т.н. “умных устройств”.
Образно говоря, такие устройства съёма информации “маскируют” свою работу
под работу “легальных Smart-устройств”, установленных на объекте.
Противодействие данной угрозе – это сложный процесс, который предусматривает
реализацию целого ряда как организационных, так и технических мероприятий.
Если в “общих чертах” говорить о варианте когда “всё серьёзно” и “всё по-взрослому”,
то одним из элементов, необходимых для обнаружения работы такой “закладки”,
является специальный круглосуточный мониторинг объектов, на которых
реализована т.н. система “умный дом”.
Вроде бы звучит “ясно и просто”, но чего стоит один только процесс непрерывного
контроля и анализа стандартов Wi-Fi, Zigbee и Bluetooth, включающий в себя
подготовку специалистов, приобретение нужного оборудования и
грамотное его использование – кто реально сталкивался
с этим вопросом, тот поймёт о чём речь.
Примечание: данные изделия “по определению” являются “закладными устройствами” и
фактически не попадают в перечень “штатных угроз”, которым посвящена данная
презентация, поэтому я упоминаю о них только “к слову” (“для общего развития”).

123.

Немного о т.н. “искусственном интеллекте”.
Т.н. “Smart-устройства”, о которых ранее шла речь, в той или иной мере связаны
с активным развитием так называемого “искусственного интеллекта” –
область деятельности очень актуальная и, я бы даже сказал “модная”.
В настоящее время т.н. “ИИ” в “явном” или “неявном” виде присутствует не только
в каких-то сложных “технологических процессах” и “научных разработках”, но и
в повседневной жизни большинства обычных граждан, многие из которых
об этом даже не подозревают.
Динамика развития данного направления имеет “экспоненциальный” рост и
невозможно спрогнозировать, что будет в этой области не то что
через несколько лет, а через год.
Если говорить об отрасли безопасности в целом и об информационной безопасности
в частности, то использование т.н. “ИИ” имеет к ним прямое отношение.
Некоторые моменты, частично связанные с т.н. “ИИ”, были рассмотрены ранее,
но “полноценное” обсуждение данного вопроса не входит в данную презентацию:
во-первых, из-за моей низкой компетентности в этом вопросе,
а во-вторых, из-за его сложности и объёмности –
чего стоит одна только технология “Deepfake”.
В то же время, хочу высказать некоторые свои мысли о т.н. “ИИ” в целом –
ещё раз подчёркиваю, что это моё личное мнение и его нужно
оценивать критически.

124.

Немного о т.н. “искусственном интеллекте”.
Безусловно, что использование т.н. “ИИ” позволяет людям эффективно решать многие
сложные задачи и может оказать огромную помощь в развитии человечества.
В то же время, как и в любой ситуации, в случае с т.н. “ИИ” есть не только “плюсы”,
но и “минусы”, которые при определённых обстоятельствах могут “перевесить”.
По этому поводу хотелось бы сказать “несколько слов” – учитывая, что я отношу себя
к “пережиткам былых времён” (см. фильм “Суп с капусты”, о котором говорилось ранее).
Основная проблема, на мой взгляд, заключается в следующем:
Хорошо, когда т.н. “ИИ” выполняет какую-либо работу под руководством человека или
когда он помогает человеку принимать решение в ходе какой-либо деятельности –
именно “помогает” – но непосредственно само решение принимает человек.
Очень плохо, когда т.н. “ИИ” сам принимает и реализует какие-либо решения, а человек
практически не участвует в этом процессе, а только “формально” его “контролирует”.
И самый худший вариант, когда человек вообще перестаёт участвовать в работе
т.н. “ИИ”, полностью возложив на него “решение всех вопросов” – в этом случае
человек вообще перестаёт не только что-то делать самостоятельно, но и думать
самостоятельно – фактически, он добровольно перестаёт быть Человеком
(по крайней мере, “Человеком Разумным”).
**** Из разговора двух граждан – типа юмор, но на самом деле очень серьёзно: ****
– Вас пугает прогресс в области искусственного интеллекта?
– Нет, больше всего меня пугает регресс в области естественного интеллекта.

125.

Немного о т.н. “искусственном интеллекте”.
Когда речь заходит об угрозах, которые может нести т.н. “ИИ”, то у многих сразу
возникает картина из “Терминатора”: по Земле ходят (ездят, летают и т.д.) “киборги”,
охотящиеся на людей, а те немногие люди, которым удалось остаться в живых,
прячутся по подземельям и пытаются как-то бороться с “киборгами”.
Картина вырисовывается печальная, но, на мой взгляд, не самая худшая – учитывая,
что в этом случае оставшиеся в живых люди остались именно людьми – т.е. существами,
которые способны думать, действовать (что-то делать) и бороться.
На мой взгляд, будущее может быть намного страшнее – не за счёт физического
уничтожения людей, а за счёт их полного отупения и деградации.
Как говорится: “Бог создал труд и обезьяну, чтоб получился человек”.
Понятно, что “вопрос происхождения человека” не имеет однозначного ответа и
каждый считает по-своему, откуда на Земле появились первые люди:
одни полностью согласны с теорией эволюции сэра Чарльза Дарвина,
другие искренне верят в Божественное происхождение человека,
кто-то уверен, что люди произошли от “инопланетян” и т.д.
По-моему, более важно не то, как на Земле появился человек, а что нужно
делать человеку, чтобы он оставался человеком.
Очень наглядный пример возможной деградации от высокоразвитых существ
до непонятно кого показан у Кира Булычёва в “Пленниках астероида” –
см. следующий слайд.

126.

Немного о т.н. “искусственном интеллекте” – Кир Булычёв, “Пленники астероида”.
– Когда-то, много столетий назад, из очень далёкой звёздной системы стартовал космический корабль.
Корабль был снабжён всем необходимым для длительного полёта, и было сделано всё, чтобы оградить
экипаж от труда и забот. Все тяжёлые работы делали роботы, они же готовили пищу, заботились об
оранжереях, ремонтировали, убирали, стирали, не говоря уже об управлении кораблём и всеми его
системами. Шли годы, десятилетия. Путешествие затягивалось. Представьте группу космонавтов –
уже не тех, кто улетел когда-то, а их праправнуков, за которых всё и всегда готовы сделать роботы.
Роботов становилось всё больше, они совершенствовались и всё меньше доверяли людям – то есть
ашиклекам. Потомки первых космонавтов привыкли к тому, что всё делают роботы. И люди, вроде бы
оставаясь господами на корабле, становились рабами роботов. Рабами безделья. И наступил день,
когда космонавты забыли, кто они, куда летят, зачем живут на свете. Они стали считать, что этот
астероид-корабль и есть вся вселенная. И только роботы во главе с бессмертным роботом-Хозяином
знали, для чего был построен корабль.
– Знали и терпели такое положение? – спросила Алиса.
– Не только терпели, оно их устраивало. Зачем роботам новые планеты и опасности? У них есть
заданная программа – обеспечить выживание ашиклеков. Вот они и обеспечивают. Они няньки, которые
не дают детям расти, которые на всю жизнь оставляют их в яслях. Уже через тысячу лет ашиклеки
превратятся в амёб и полностью лишатся разума. Его и сейчас немного. Это тупой, безумный народец,
который только знает, как есть, спать и развлекаться. Труд, как говорят, превратил обезьяну в человека,
так вот отсутствие труда обязательно превращает человека в обезьяну. Самое грустное в этом то, –
сказал профессор Комура, – что здесь нет преступников и злодеев. Есть отупевшие люди, которые
не ведают, что творят, и роботы, которые хотят лишь одного – чтобы ашиклекам хорошо жилось.
Они их кормят, согревают и, к сожалению, развлекают.

127. Т.н. “искусственный интеллект”.

Понятно, что использование т.н. “ИИ”
даёт человеку много полезного –
например, в таких жизненно важных
областях, как медицина.
Понятно, что там крутятся немереные
деньги, что этот процесс уже нельзя
остановить и он будет расти в
геометрической прогрессии.
Одновременно с бурным развитием т.н. “ИИ”
появляется всё больше связанных с ним “проблем”.
И если “проблемы технического характера” могут
быть решены в “рабочем порядке”, то остаётся
открытой “глобальная” проблема: кто в итоге
будет “хозяином” – человек или т.н. “ИИ”?
Об этом пытаются задумываться и что-то делать
не только в профильных компаниях-разработчиках,
но и на “государственном” уровне – как в отдельно
взятых государствах, так и “в мировом масштабе” –
например, можно отметить Резолюцию ООН,
касающуюся безопасности и надёжности т.н. “ИИ”.
Но чем всё закончится и кто “победит” – неизвестно.
Складывающуюся в этой области ситуацию,
на мой взгляд, можно охарактеризовать
точным афоризмом Л.В. Шебаршина:
“Беспросветно светлое будущее”.
Жан Эффель, “Сотворение человека”.
Практически стопроцентная “параллель” с сегодняшней реальностью
в области т.н. “ИИ”.

128. Небольшое заключение.

Ну вот, пожалуй, и всё.
Выше были рассмотрены некоторые элементарные вещи, связанные с некоторыми
“штатными” возможностями некоторых типовых телекоммуникационных устройств.
В заключении хочу отметить несколько важных, на мой взгляд, моментов –
ещё раз подчёркиваю, что это моё личное мнение, к которому нужно относится
очень критически и не воспринимать его как “абсолютную истину”:
1. Очень многие современные телекоммуникационные устройства имеют “штатные”
возможности, позволяющие использовать их для съёма информации, а некоторые
из них по своим техническим характеристикам практически являются
полноценными “устройствами съёма информации”.
2. В современных условиях сотрудники подразделения информационных технологий
являются полноценными (а в ряде случаев – основными) участниками мероприятий
по обеспечению безопасности (в широком смысле) и защите информации.
3. Развитие информационных технологий (в том числе т.н. “ИИ”) идёт немереными
темпами, а значит каждый день появляются новые “угрозы” и “проблемы”,
на которые надо реагировать и которые надо решать –
к чему многие (большинство) не готовы.
Если тех, кто читает эту презентацию самостоятельно, уже окончательно
“достала” моя “демагогия”, то они могут смело здесь остановиться –
потому что далее эта “демагогия” только усилится.
Ну, а если остался хоть небольшой интерес, то могут продолжить чтение.

129. Небольшое заключение. Роль подразделения IT в современных условиях.

По первому пункту всё понятно. Но хочу ещё раз отметить: в данной презентации
были рассмотрены только некоторые виды телекоммуникационных устройств,
которые имеют “специфические штатные возможности” – на самом деле
их значительно больше и возможности их намного “серьёзнее”.
По второму пункту хочу кое что сказать (моё личное мнение, достаточно спорное).
В современных условиях роль подразделения информационных технологий
не ограничивается только обеспечением функционирования и обслуживанием
телекоммуникационных систем, имеющихся в компании (это само собой).
Поле деятельности подразделения IT стало намного шире и некоторые его
сотрудники напрямую сталкиваются с решением вопросов, касающихся
обеспечения безопасности и защиты информации.
Функциональные обязанности, возлагаемые на данных сотрудников в частности и
на подразделение информационных технологий в целом, образно говоря,
стали “специфическими” и требуют от них “специфической” работы.
Если говорить о реальной работе, а не об “имитации бурной деятельности”,
то есть достаточно много как технических, так и организационных “нюансов”.
При этом, хочу обратить внимание на два важных момента:
во-первых – профессиональная подготовка соответствующих сотрудников
подразделения IT, а во-вторых – эффективное взаимодействие
подразделения IT и Службы безопасности.

130.

Немного о профессиональной подготовке сотрудников подразделения IT.
Что касается профессиональной подготовки сотрудников подразделения IT
(речь идёт о “специфической” подготовке, связанной с защитой информации),
на мой взгляд, можно выделить несколько категорий таких сотрудников:
1. Сотрудники, которые имеют полноценную базовую подготовку в области
информационной безопасности телекоммуникационных систем и полноценную
“доподготовку”, касающуюся конкретных технологий и оборудования.
2. Сотрудники, которые имеют полноценную базовую подготовку в области связи или
информационных технологий и серьёзную “доподготовку”, касающуюся
информационной безопасности телекоммуникационных систем (ИБТС).
3. Сотрудники, которые имеют полноценную базовую подготовку в области связи или
информационных технологий, но не имеют какой-либо серьёзной подготовки
в области ИБТС – только какие-то общие моменты, услышанные ими
в рамках “обзорного” курса по “Информационной безопасности”.
4. Сотрудники, которые имеют “некоторую” подготовку в области связи или IT,
но не имеют вообще никакой подготовки в области ИБТС – даже на уровне
“представления”, что это такое (не говоря уже о “понимании” и “умении”).
В зависимости от реальной подготовки данного сотрудника можно говорить о том,
какие задачи и насколько грамотно он может реально решать.
Понятно, что всё зависит от каждого конкретного человека и его подхода к работе,
но в любом случае соответствующая подготовка является необходимым условием.

131.

Немного о взаимодействии подразделения IT и Службы безопасности.
Что касается взаимодействия подразделения информационных технологий и
Службы безопасности компании, то это ещё один очень важный и “тонкий” момент.
В идеале эти два подразделения должны работать в плотном взаимодействии,
образно говоря: “дополнять друг-друга в части касающейся” –
я сейчас имею ввиду работу по обеспечению ИБТС.
Однако в реальности достаточно часто никакого взаимодействия практически нет.
На мой взгляд, основная причина такого положения дел чисто субъективная:
борьба между данными подразделениями и “перетягивание одеяла на себя” –
каждый хочет показать руководителю компании свою
“значимость” и “незаменимость”.
Здесь хочу отметить ещё один нюанс (моё личное мнение, достаточно спорное):
если говорить об условной “степени приближённости” к руководителю компании,
то в большинстве случаев начальник подразделения IT “котируется” выше,
чем начальник Службы безопасности – хотя многие думают наоборот.
На мой взгляд, это связано с тем, что начальник Службы безопасности обычно
является просто “наёмным специалистом” – пусть со связями в силовых структурах,
возможностью “решать вопросы” и т.д., но всё равно он “человек со стороны”,
в то время как начальник подразделения IT очень часто является
родственником “шефа” и его “доверенным лицом”.
Поэтому от начальника подразделения IT в ряде случаев зависит очень многое.
Если он по какой-то причине “упрётся рогом” и будет тупо гнуть “свою линию” –
даже если она неправильная, то у компании могут быть серьёзные проблемы.

132.

Небольшое заключение. Роль подразделения IT в современных условиях.
По третьему пункту так же хочу сказать несколько слов.
Как было отмечено ранее, в настоящее время развитие информационных технологий
происходит так быстро, что многие не успевают не то что “адаптироваться”
к происходящим изменениям, а даже просто “уследить” за ними.
При этом, вместе с этим “развитием” постоянно появляются новые “угрозы”,
в том числе, связанные с обеспечением информационной безопасности.
В то же время, очень многие – включая как отдельных граждан, так и достаточно
крупные компании – не готовы реально противостоять этим “угрозам”.
На мой взгляд, основная причина заключается не в “отсутствии финансирования”,
не в “недостаточном техническом обеспечении” и т.д., а в нашем менталитете:
люди часто берут себе “красивые игрушки”, даже не задумываясь о том,
что это такое на самом деле и какие могут быть последствия.
Понятно, что “понты дороже денег”, понятно, что если сосед покрасил свой забор
в фиолетовый цвет, то ты должен покрасить свой ещё “фиолетовей”,
чтобы выглядеть “круче” соседа – но есть вещи, которые имеют
принципиальное значение и на которые нельзя “забивать”.
Ещё раз хочу подчеркнуть, что такая ситуация возникает не только с отдельными
гражданами, которые пользуются т.н. “достижениями цивилизации” для себя лично,
но и во многих крупных компаниях, где работа по обеспечению информационной
безопасности не соответствует современным реалиям.

133.

Существует много наглядных примеров, касающихся бездумного приобретения и
использования “красивых игрушек” (думаю, что многие с этим сталкивались):
начиная от т.н. “Smart-устройств” для личного пользования и заканчивая
установкой на крупных объектах “модных” биометрических систем –
в частности, использующих т.н. “видеоаналитику”.
Я уже не говорю про такие “элементарные вещи”, как хранение какой-либо
“критической” информации на незащищённых, но типа “крутых” устройствах,
имеющих выход в Internet, или использование для этих целей различных
“облачных сервисов”, которые принадлежат непонятно кому и
непонятно кем обслуживаются и контролируются.
Понятно, что это “удобно”, а в ряде случаев ещё и “экономически выгодно” –
на первый “невооружённый” взгляд, но при этом нужно чётко понимать,
что “крутизна – крутизной”, “понты – понтами”, а серьёзные вещи –
это серьёзные вещи и они требуют очень серьёзного отношения.
Как было сказано, в современных условиях сотрудники подразделения IT являются
не просто “технарями-связистами”, а полноценными участниками мероприятий
по обеспечению информационной безопасности.
Соответственно, именно они должны уметь правильно составить “модель угроз”,
произвести “оценку рисков”, разработать и реализовать необходимые мероприятия
по защите информации – в частности, используя стандарты серии ISO 27000.
Но, что на мой взгляд не менее важно, они должны при необходимости не бояться
довести эту “проблемную” и “острую” информацию до руководства компании.

134.

Реальная ситуация: в достаточно крупной компании были установлены
терминалы “распознавания лиц”, интегрированные в СКУД.
Терминалы были установлены по всему объекту: на входе в офис, в лифтах,
у дверей на каждом этаже (“вход на этаж”) и у дверей в большинство помещений,
но данные терминалы так и не были использованы по их “основному назначению” –
т.е. контроль и управление доступом сотрудников с помощью функции
“распознавания лиц” так ни разу и не осуществлялись –
всё делалось только с помощью карточек доступа.
Когда я спросил у сотрудников этой компании, зачем они установили такую
систему, если фактически ей не пользуются, то мне ответили, что кто-то рассказал
хозяину компании про “распознавание лиц” и тот захотел, чтобы у него была
“самая современная система из существующих на сегодняшний день”,
а будет ли она работать или нет, его вообще не интересовало.
Но самое главное: текущим обслуживанием и “удалённым” контролем параметров
данной системы занималась сторонняя фирма (!!!), которая её устанавливала,
а “местные IT-шники” и “местные безопасники” вообще не имели доступа
к её настройкам и не знали, куда уходит информация с видеокамер (!!!).
И никто из них не поднял перед “шефом” вопрос о том, что такая система –
это целый “вагон” угроз, с которыми мы не то что не знаем как бороться,
но о которых мы даже не подозреваем, потому что не имеем в штате
подготовленных сотрудников, которые должны этим заниматься.
Все просто боялись сказать правду об этом “шефу”…

135.

Небольшое заключение. Роль подразделения IT в современных условиях.
На мой взгляд, если говорить о работе по обеспечению информационной
безопасности телекоммуникационных систем (ИБТС) внутри компании, то ситуация
во многом схожа с тем, что было сказано ранее об обслуживании “своей” мини-АТС,
только здесь намного больший объём решаемых задач.
Понятно, что “компания компании рознь” и всё зависит от конкретной ситуации:
где-то “всё по-взрослому”, где-то идёт только “имитация бурной деятельности”,
а где-то даже “имитацией не пахнет”.
И ничего, все эти компании “живы” и работают – каждая по-своему,
и сотрудники подразделений IT в них тоже работают – тоже “каждый по-своему”,
причём те, у которых “даже имитацией не пахнет”, могут жить очень неплохо.
Я это к тому, что очень часто ситуация “по жизни” может быть
как в песне Владимира Высоцкого:
Ну, а третий был дурак, ничего не знал и так.
И пошёл без опаски налево.
Долго ль, коротко ль шагал, и совсем не страдал,
Пил, гулял и отдыхал, никогда не уставал,
Ничего не понимал… Так всю жизнь и прошагал,
И не сгинул, и не пропал.
Знакомая ситуация? Вроде бы песня шуточная, а всё в ней один-в-один как в жизни.

136.

Небольшое заключение. Роль подразделения IT в современных условиях.
Это была “лирика”, а теперь немного “прозы” – можно даже сказать “прозы жизни”.
Учитывая “специфику” современных информационных технологий, можно сказать,
что они в той или иной мере касаются практически каждого гражданина,
не говоря уже о каких-либо коммерческих структурах.
Соответственно, практически каждый может столкнуться с целым рядом “угроз”,
которые “по определению” присутствуют при использовании данных технологий:
это не значит, что все эти “угрозы” будут реально реализованы,
но они точно есть и об этом надо помнить.
Хочу ещё раз подчеркнуть, что речь идёт об “угрозах”, которые не являются
чем-то “специальным” (в плане т.н. “спецтехники”), а связаны со “штатными”
возможностями типовых телекоммуникационных устройств – как было отмечено,
некоторые типовые телекоммуникационные устройства по своим ТТХ
практически являются устройствами съёма информации.
Поэтому, перед каждым как “физическим”, так и “юридическим” лицом,
которые задумываются (даже не над своей безопасностью, а просто думают),
встаёт закономерный вопрос: что нужно и можно сделать?
Конечно, есть ещё одна очень большая категория граждан, которые не думают
(именно о них говорится в отрывке из песни В.С. Высоцкого чуть выше),
но у них, как правило, вообще никаких проблем не бывает,
так как о них они тоже не думают.

137.

Небольшое заключение. Роль подразделения IT в современных условиях.
Если говорить об отдельных гражданах, то здесь можно смело процитировать
классиков – Илья Ильф, Евгений Петров, “Двенадцать стульев”:
“Дело помощи утопающим – дело рук самих утопающих”.
По моему мнению, самое надёжное средство защиты от возможных “угроз” –
это адекватное мышление и соответствующее поведение.
Что касается компаний, в которых имеются свои подразделения информационных
технологий, то здесь эта проблема должна решаться сотрудниками
данных подразделений.
Как было отмечено, в современных условиях сотрудники подразделения IT
являются полноценными участниками мероприятий по обеспечению безопасности и
защите информации – в частности, некоторые мои мысли о необходимости
привлечения сотрудников подразделения информационных технологий
при проведении специального осмотра помещения изложены в презентации
“Визуальный осмотр помещения с целью обнаружения устройств съёма информации”.
А если говорить об “угрозах”, связанных со “штатными” возможностями
телекоммуникационного оборудования, то противодействие им –
это вообще прямая обязанность сотрудников IT.
Другое дело – как эта “обязанность” будет реально “воплощена в жизнь” и
какое решение будет реализовано в каждом конкретном случае.

138.

Небольшое заключение. Роль подразделения IT в современных условиях.
Понятно, что “компания компании рознь” и не надо, как говорится,
“сравнивать палец и другую часть тела”.
Понятно, что “количество” и “качество” сотрудников каждого конкретного
подразделения информационных технологий очень индивидуально.
Возможные варианты “структуры” подразделения IT (моё личное мнение)
практически аналогичны с рассмотренными ранее вариантами
по “обслуживанию своей мини-АТС” (см. стр. 65),
только с более широким функционалом.
Есть серьёзные компании, в которых штат подразделения IT предусматривает
не только “эксплуатационщиков”, но и “безопасников” – например, две должности,
которые “звучат очень похоже”, но имеют существенно различный функционал:
“администратор сети” и “администратор сети по безопасности”.
Есть компании, в которых вообще “всё по-взрослому” и в которых есть даже такая
отдельная должность, как CERT (computer emergency response team).
Такие варианты я даже не буду сейчас рассматривать – это “идеальный вариант”,
когда в компании имеется “серьёзное” подразделение информационных технологий,
укомплектованное грамотными специалистами, каждый из которых имеет
реальную подготовку и занимается только своими задачами.
Сейчас я хочу акцентировать внимание на типовой ситуации, когда в относительно
крупной компании всё подразделение IT состоит из одного-двух человек,
не имеющих какой-либо полноценной подготовки в области ИБТС.

139.

Небольшое заключение. Роль подразделения IT в современных условиях.
Как правило, когда в относительно крупной компании всё “подразделение IT”
состоит из одного-двух человек, не имеющих какой-либо полноценной подготовки
в области ИБТС, основные функциональные обязанности этих сотрудников
заключаются только в обеспечении функционирования и обслуживании
телекоммуникационных систем, имеющихся в компании.
При этом вопросы, связанные с обеспечением безопасности эксплуатируемых
телекоммуникационных систем, решаются только в “самых общих чертах”:
пароли на рабочих местах, антивирус и т.п. – это понятно и “логично”,
так как во-первых, у сотрудников нет подготовки в этой области,
во-вторых, у них немеренно “текущей работы” (см. стр.67),
а в-третьих, в ряде случаев этого вполне достаточно.
В то же время, необходимо чётко понимать – в том числе и руководству компании,
что в современных условиях обеспечение информационной безопасности
телекоммуникационных систем является обязательным элементом
в работе подразделения IT, а “угрозы”, которые могут исходить
от этих систем, более реальны и “актуальны”, чем угроза
применения “классических” средств съёма информации,
которых многие “боятся” из-за “шпиономании”.
Внимание! Это моё личное мнение и его нужно оценивать критически!

140.

Небольшое заключение. Роль подразделения IT в современных условиях.
Относительно высказанного мной мнения о том, что некоторые “угрозы”, исходящие
от “обычных” телекоммуникационных устройств, более реальны и “актуальны”,
чем угроза применения “классических” устройств съёма информации,
могу сказать следующее:
На форуме сайта www.analitika.info была одна очень хорошая фраза, с которой
я согласен не на сто, а на миллион процентов:
“Если для конторы двенадцать штук зелени в год – проблема, то у неё нечего тырить.
Особенно с использованием технических средств.” – подробнее см. презентацию
“Визуальный осмотр помещения с целью обнаружения устройств съёма информации”.
Фраза абсолютно верная – никто не будет начинать какие-то “расклады” ради
“копеечного” выигрыша, а тем более использовать для этого спецтехнику.
Это как старый анекдот про “Неуловимого Джо”:
– Его действительно никто поймать не может?
– Да нет, просто нафиг он кому нужен.
Конечно, возможны ситуации, когда речь идёт не о “классическом” промышленном
шпионаже, а о каких-то других “вариантах” (как правило, “личных”):
шантаж, месть, просто “поприкалываться” и т.п.
Но в любом случае использование спецтехники требует от злоумышленника
финансовых затрат на её приобретение (если у него ещё получится её достать) и
выполнения ряда “организационных” моментов, связанных с её установкой.

141.

Небольшое заключение. Роль подразделения IT в современных условиях.
Если же говорить об “угрозах”, связанных со “штатными” возможностями
типовых телекоммуникационных устройств, то здесь ситуация другая.
Что касается “финансовой стороны вопроса”, то в этом случае “прямые затраты”
со стороны злоумышленника практически равны нулю, так как ему в принципе
не надо что-то “покупать” – всё оборудование приобретает сам владелец.
В то же время, “организационные” моменты есть и в этом случае:
во-первых, у злоумышленника должны быть определённые знания и, я бы сказал,
своего рода “нестандартное мышление” – чтобы додуматься использовать
при возможности такой “оригинальный” способ съёма информации;
во-вторых, в ряде случаев злоумышленнику нужно получить кратковременный
доступ к интересующим его телекоммуникационным устройствам, чтобы провести
их соответствующую “настройку”, а в некоторых случаях ему будет необходимо
получить определённую информацию, связанную с возможностью реализации
“удалённого доступа” к ним: пароли, коды доступа, настройки и т.д. –
речь идёт о злоумышленнике, который не работает в компании,
если же он из “своих”, то это многое упрощает для него.
В общем, тут тоже “не всё так просто”, но если злоумышленнику удастся
реально “зацепиться” за такой канал утечки информации, то это будет для него
“дойная корова” или “курица, несущая золотые яйца” – кому как больше нравится.
Внимание! Это моё личное мнение и его нужно оценивать критически!

142. Немного о “порядочности” и “профессионализме” – моё личное мнение.

Говоря о сотрудниках подразделения IT, я часто упоминал о двух важных моментах:
“надёжности” и “компетентности” данных сотрудников.
Можно было бы назвать это “порядочность” и “профессионализм”, но, на мой взгляд,
“порядочность” – это скорее “философская категория” и у каждого она своя,
а “единой порядочности” не существует “по определению”.
По поводу “порядочности” есть очень хороший момент в фильме “Не бойся, я с тобой!”,
когда Джафар договаривается с Фарзали-беком об убийстве Теймура и Рустама:
– Два человека по триста рублей – это значит шестьсот рублей. Но, ты, наверное,
знаешь: я не беру бумажные деньги, я люблю золото.
– Я брал бы и бумажные, да никто не даёт. Вот, держи.
– Считай, что они уже мёртвые. А как их звали при жизни?
– Первый – это Теймур, сын Мешади-Аббаса.
– Знаю. Ах, как он поёт! Когда он поёт, сердце тает как кусок сахара. Это талант,
великий талант. И ты хочешь, чтобы я его убил? За триста рублей?
– А за сколько?
– Пятьсот…
– Все меня грабят, почему ты должен меня жалеть? Возьми! А второго зовут
Рустам, сын Аликпера. Ты его не знаешь, он приезжий.
– Знаю, прекрасно знаю! Вот тебе сто рублей сдачи за Рустама – у меня с ним свои
счёты. Я сам его ищу.
– Нет-нет-нет! Договорились триста – значит триста! Я человек честный!
– Хватит двести! Я тоже человек порядочный. Хочешь, задаром его убью?

143.

Немного о “порядочности” и “профессионализме” – моё личное мнение.
Вообще, если говорить о “надёжности” и “компетентности”
(или, как было ранее сказано, о “порядочности” и “профессионализме”),
то, на мой взгляд, эти два параметра достаточно редко “совместимы”.
Это я ещё раз к тому, что “хороший парень” – это не профессия.
Очень часто нет ни того, ни другого – это понятно.
Но так-как работать в любом случае с кем-то надо, а выбор, как правило, не велик –
я имею ввиду не “количество” кандидатов на эти должности, а их “качество”,
то нужно трезво смотреть на реалии и, оценивая конкретного сотрудника,
выбирать, что для вас приоритетнее в данном конкретном случае.
Естественно, что с каждым сотрудником нужно предварительно чётко обговорить
все моменты, касающиеся как его функциональных обязанностей и его реальных
возможностей – что он реально знает и умеет, а о чём “вообще не слышал”,
так и вопросы вознаграждения его труда и его “свободы действий”.
Есть стандарт ISO 27002, где прописана процедура “работы с кадрами IT” –
начиная от отбора “кандидатов” и заканчивая увольнением сотрудника,
но когда дело касается “человеческого фактора”, любой “стандарт”
становится достаточно “условным” – моё личное мнение –
я имею ввиду не его “формальную составляющую”,
связанную с “проверками”, “подписками” и т.д.,
а реальное состояние дел.

144.

Немного о “порядочности” и “профессионализме” – моё личное мнение.
Вопрос “профессионализма”, на мой взгляд, очень хорошо показан в анекдоте, когда
человеку предлагают работу, а он точно знает, что за неё вообще не нужно браться:
– Я знаю, ты сильный, ты справишься.
– Нет. Я умный. Я за это даже не возьмусь.
Лично я именно так и понимаю “профессионализм”: ты чётко знаешь, что ты реально
умеешь делать хорошо или очень хорошо, а в чём ты “слабоват” или “полный ноль”.
Об этом ты открыто говоришь “работодателю”, при этом ты не пытаешься
“надувать щёки” и строить из себя “самого крутого специалиста в этой области”,
который “всё знает и умеет” – даже если ты действительно что-то умеешь.
Понятно, что профессионал должен постоянно учиться и совершенствовать свои
навыки – это даже не обсуждается, но это нужно делать “в рабочем порядке”:
“по-тихому”, без “показухи” и “понтов”.
Что касается “оценки надёжности” сотрудников, то есть хороший пример
из замечательного фильма “Вечный зов” (по роману Анатолия Иванова) –
таких мощнейших книг и фильмов уже давно нет и уже никогда не будет,
когда Демьян Инютин пришёл наниматься к Михаилу Лукичу Кафтанову:
– Ну, а воровать сильно будешь?
– Не без этого, ежели без утайки. Медведь без выгоды живёт, а я человек. Да только
я на копейку сворую, а на червонец прибыли принесу. Михал Лукич, ты бери меня.
Вот это, на мой взгляд, настоящий “профессиональный разговор” –
всё, как говорится, “чётко и ясно” – и точно не “по стандарту”.

145.

А сейчас, напоследок, хочу сказать ещё несколько слов, которые будут звучать
не в “академическом стиле” – это моё личное мнение, к которому нужно
относиться очень критически.
Есть старый армейский принцип, который я лично считаю абсолютно верным
не только для “армейской среды”, но и вообще по жизни:
«Не существует понятия “у меня спи**или”, есть понятие “ты про**ал”».
На мой взгляд, в этой простой фразе содержится очень глубокий смысл:
каждый человек лично отвечает за всё, что с ним происходит, поэтому во всех
его проблемах и неудачах виноват не “кто-то”, не “стечение обстоятельств”,
не “дураки-начальники” и не “тупорылые подчинённые”, а только он сам.
Это я к тому, что сегодня информационные технологии (в том числе и т.н. “ИИ”)
стали настолько “серьёзными” и получили такое массовое распространение,
что практически любой человек может, образно говоря,
вольно или невольно стать их “жертвой”.
Поэтому каждый “отдельно взятый гражданин” должен чётко понимать, что все
современные “чудо-устройства” – это, в первую очередь, источник прибыли
их производителей и продавцов, а кроме того – это целый набор
различных проблем, которые могут у вас возникнуть.
Соответственно, приобретая любое “крутое” или “не очень крутое” устройство,
нужно себя спросить: “А зачем я его вообще беру?” и честно ответить себе:
“Сам не знаю зачем”, “Ради понтов”, “Оно мне реально нужно” и т.д.
А дальше – “по обстоятельствам”, но “на свою ответственность”.

146.

Кроме “отдельно взятого гражданина”, который приобретает какое-либо устройство
для себя лично и который “сам по себе”, существует другой типовой вариант,
который связан не с “личным”, а со “служебным” использованием
телекоммуникационных устройств в различных компаниях.
В этом случае в “процессе” участвуют несколько человек, причём каждый из них
может иметь свою “точку зрения” на то, “для чего”, а главное – “как”,
надо пользоваться средствами телекоммуникаций.
Во-первых, есть многочисленные “точки зрения” сотрудников компании,
в том числе “точка зрения” руководителя компании, который, образно говоря,
является “основным пользователем” телекоммуникационных устройств.
Естественно, что каждый сотрудник убеждён, что именно он “лучше всех знает”,
как надо пользоваться тем или иным телекоммуникационным устройством –
в первую очередь теми устройствами, которые принадлежат им “лично” и
используются ими как для служебных, так и для “личных” вопросов.
Такая ситуация, которая является постоянным “геморроем” для подразделения IT и
Службы безопасности, может привести компанию к серьёзным проблемам.
Как правило, навести реальный порядок в этом вопросе бывает достаточно сложно,
не смотря на то, что ничего сверхъестественного для этого делать не требуется:
просто каждый сотрудник должен осознавать и выполнять такую простую вещь,
как “культура пользования средствами телекоммуникаций”
(имеется ввиду “культура” – в “широком” смысле слова).
Другое дело, что для большинства граждан это является фантастикой…

147.

Во-вторых, есть “точка зрения” сотрудника подразделения IT, который отвечает
за техническое обслуживание и надёжное функционирование соответствующих
телекоммуникационных устройств, – именно этот человек должен в каждом
конкретном случае предложить конкретное решение, как надёжно и
правильно (с его точки зрения) должно использоваться
вверенное ему оборудование.
Это решение может быть правильным, или неправильным, или каким-то “спорным”,
но в любом случае оно должно быть осознанным, обдуманным и обоснованным,
а главное – оно должно быть вашим, а не тупо скаченным из интернета
после “ввода” нескольких “ключевых слов” в какой-то “поисковик”.
По этому поводу есть очень хорошая фраза Готхольда Лессинга:
“Спорьте, заблуждайтесь, ошибайтесь, но ради Бога, размышляйте, и хотя криво, да сами”.
Понятно, что работа подразделения IT регламентирована целым рядом руководящих
документов – начиная от международных стандартов и заканчивая различными
внутренними инструкциями, которые определяют как правила эксплуатации,
так и порядок обеспечения безопасности телекоммуникационных систем.
Понятно, что требования этих документов должны строго выполняться –
но они должны выполняться не “тупо”, а осознанно и обдуманно.
Понятно, что для принятия правильного решения у сотрудника подразделения IT
должны быть необходимые знания и реальный опыт – хотя, даже при их наличии,
в ряде случаев бывает трудно найти правильное решение, а ещё труднее иногда
бывает донести это решение до руководства – особенно если “точки зрения”
этого сотрудника и руководителя компании “принципиально не совпадают”.

148.

Финал…
У Александра Новикова в одной из песен есть такие слова:
“А теперь вам, как свеча во мраке, тускло светит мой стиховный бред”.
В данной презентации, если “перефразировать” приведённую выше строку из песни,
содержится мой “прозаический бред” по поводу проблем, связанных с некоторыми
вопросами использования типового телекоммуникационного оборудования.
Ничего нового в этой презентации я “не открыл”, а просто попытался обратить
внимание слушателей на некоторые “специфичные” угрозы, о которых надо
помнить при использовании типовых телекоммуникационных устройств и
которые надо учитывать при оценке вероятности рисков.
На мой взгляд, утечка информации за счёт “штатных” возможностей
самого “обычного” телекоммуникационного оборудования в ряде случаев
является абсолютно реальной и может привести к серьёзным проблемам.
Ещё раз хочу подчеркнуть: всё, что я здесь говорил, это моё личное мнение и
вполне возможно, что я ошибаюсь (из-за своей некомпетентности) или
просто “торможу по жизни” – как очень многие.
Поэтому те слушатели, которые реально хотят “докопаться до истины”,
должны оценивать все мои “идеи” очень критически и думать самостоятельно –
как Шерлок Холмс у Артура Конан Дойля в “Собаке Баскервилей”:
“Увы, дорогой Уотсон, большая часть ваших выводов ошибочна. Когда я сказал,
что вы служите для меня хорошим стимулом, это, откровенно говоря, следовало
понимать так: ваши промахи иногда помогают мне выйти на правильный путь”.

149.

Финал…
Если же говорить об “информационных технологиях в целом”, то я считаю,
что в настоящее время они если не “прогнули” под себя большинство граждан,
то “уверенно к этому стремятся”, и что будет дальше – трудно сказать.
На мой взгляд, здесь вполне актуальна фраза из письма Альберта Эйнштейна,
хранящемся в т.н. “Капсуле времени”, которая была заложена в 1939 году
на Всемирной выставке в Нью-Йорке и которая должна быть вскрыта
через 5000 лет – т.е. в 6939 году:
“Любой, кто думает о будущем, вынужден жить в страхе и ужасе”.
Хотя, если посмотреть на сегодняшнюю реальность, то большинство граждан
точно “не подпадает” под эту фразу, а скорее соответствует персонажу
из песни В.Высоцкого – см. стр. 135.
В любом случае, чтобы оставаться Человеком – тем, который “звучит гордо”,
надо всегда думать – я имею ввиду не только “о будущем”, как сказал Эйнштейн,
а вообще по жизни (хотя это и трудно, а для некоторых граждан – бесполезно),
подвергать всё “разумному” сомнению – есть хорошая фраза по этому поводу:
“Не позволяйте угаснуть своему сомнению, именно оно приведёт вас к правде”,
работать (в том числе, а может быть в первую очередь – над собой) и
постоянно учиться (в том числе, обязательно на своих ошибках).
И никогда не переставать искать – см. следующий слайд.

150.

“Никогда не переставать искать” – эта фраза,
которой я хочу закончить данную презентацию,
абсолютно верна не только в каких-то
“рабочих моментах”, но и в целом
по жизни – так же, как фраза
“Удивительное – рядом”
(см. в самом начале).
Ли-Ли, когда-нибудь (уже без меня)
ты тоже приведёшь “кого-то” к тому
месту на даче, где мы с тобой
когда-то давно спрятали
пусть не “сокровище”,
но “важную вещь”.
И этот “кто-то” тоже скажет про меня: “Он был странным”.
А бабушка (которая тогда будет уже прабабушкой) и
мама (которая тогда будет уже бабушкой) скажут:
“Дааа… Он был очень странным…” и улыбнутся.
А ты и М-М, скажете: “Да, наверное.”, а потом добавите:
“И мы такие же…” – ну или “почти такие же”.

151. Немного об авторских правах – для “информации”.

В данной презентации я несколько раз с умным видом говорил такую фразу:
“Всегда надо внимательно читать техдокументацию на конкретное оборудование”.
Естественно, что я сам тоже всегда очень внимательно читаю техдокументацию –
иначе я был бы обыкновенным 3,14***болом, который говорит одно, а делает другое.
При этом, во многих документах кроме “чисто технической информации” присутствует
ещё и “информация общего характера”, которую тоже надо внимательно читать.
В частности, как правило где-то в самом конце документа мелким шрифтом
бывает набрана малозаметная надпись вот такого типа:
Учитывая, что в данной презентации мной было использовано большое количество
“скрин-шотов” из различной документации именно на технику марки Panasonic,
я, как “порядочный человек” (см. стр.142), обратился в данную компанию с просьбой
разрешить их публикацию, на что был получен положительный ответ.
Одновременно хочу заметить, что за подобными разрешениями я всегда обращался и
ранее ко всем авторам и компаниям, чьи материалы (рисунки, схемы, таблицы и т.д.)
были использованы в моих предыдущих презентациях.
Примечание на счёт “внимательного чтения документации”: в некоторых “скрин-шотах”,
которые я использовал в качестве “примеров” в своих презентациях (в т.ч. и в этой), имеются
отдельные ошибки (в большинстве случаев это “опечатки”) – я их заметил, но т.к. они не были
“критичными для смысла моих презентаций”, то я оставил эти “скрин-шоты” без правки.

152. О моих словах про необходимость “всегда думать” и про “адекватность”.

В данной презентации, а так же в другой презентации, которая тоже отражает “моё личное мнение” –
“Визуальный осмотр помещения с целью обнаружения устройств съёма информации” –
я часто говорил о том, что каждый человек должен всегда думать о том, что и как он делает,
и употреблял такие выражения, как “адекватный сотрудник”, “думающий человек” и т.п.
Хочу сказать несколько слов по этому поводу, чтобы внести ясность: опять повторюсь,
что это исключительно моё личное мнение и к нему нужно относиться критически.
Всё, что я говорил в своих презентациях о “дол***бах”, “неадекватах”, “тормозах”, “тупорылых” и т.п.
ОДНОЗНАЧНО НЕ ОТНОСИТСЯ к людям с особенным восприятием окружающего мира –
тут даже намёка быть не может!!!
Понятно, что каждый по-своему относится к этой категории людей, в которую входят очень
разные лица: это и Солнечные дети (и не только дети), и люди с душевными расстройствами,
и просто пожилые люди – в том числе наши Родители, которые прожили свою жизнь
честно и счастливо (или не очень счастливо), а сейчас не могут “привыкнуть”
к сегодняшним реалиям – в том числе “информационно-техническим”.
Примечание: “формально” в эту категорию попадают и реальные маньяки самых разных мастей –
хотя лично я считаю, что маньяки – это уже совсем другая категория граждан и
отношение к ним (в плане “жёсткости”) должно быть тоже совсем другое.
Поэтому, когда я говорю о людях с особенным восприятием окружающего мира,
то речь идёт точно не о реальных маньяках, которых я принципиально не ставлю рядом
с обычными душевнобольными – тут могут сказать, что у меня “двойные стандарты” –
ну и пусть говорят, согласен – как говорится: “У каждого своя правда”.
На эту тему не хочу особо говорить, потому что есть моменты, которые, по моему мнению,
должны быть у каждого человека “внутри”, а не “на виду” и бесполезно кому-то что-то “доказывать”:
это, как говорится, у человека или есть или этого нет и не будет…

153.

Очень хороший (на мой взгляд) отрывок, который заставляет задуматься о жизни...
Эдуард Хруцкий, повесть “Страх” из цикла повестей “ОББ” (Отдел борьбы с бандитизмом),
главный герой которых – начальник ОББ МУРа Иван Александрович Данилов:
Эти люди действительно живут в своём особенном мире (кто знает, тот поймёт о чём речь) и
мы можем только посочувствовать, а может быть наоборот – позавидовать им…
Ещё раз подчеркну, что сказанная мной выше фраза не относится к реальным маньякам:
ни по поводу какого-либо “сочувствия” , ни, тем более, по поводу “зависти”.

154.

И ещё один очень мощный отрывок – точнее не “отрывок”, а полноценное произведение
Льва Николаевича Толстого, которое называется “Старый дед и внучек” и
которое (на мой взгляд) должен хоть раз в жизни прочитать каждый человек.
Я бы мог добавить, что этот текст нужно не только “прочитать”, но и постоянно “перечитывать” –
чтобы никогда не забывать о своём долге – но тут, как я уже говорил:
“это у человека или есть или этого нет и не будет” –
даже если будешь читать сто раз в день...
Помните, что всем в этой жизни вы обязаны в первую очередь своим Родителям.
И ещё о Родителях (и не только о Родителях):
https://t.me/fighter_bomber/19541
“До них теперь бесконечно далеко и всё-таки Они рядом” – по-моему, лучше не скажешь…

155. О моих словах про необходимость “всегда думать” и про “адекватность”.

А теперь собственно о тех, кого я имел ввиду, когда говорил об “адекватности” или “неадекватности”.
Достаточно подробно я говорил об этом в другой своей презентации (не буду сейчас повторяться):
“Визуальный осмотр помещения с целью обнаружения устройств съёма информации” –
правда там речь шла в основном о том, как не попасть на “развод” т.н. “специалистов”.
Если же говорить о современных телекоммуникационных системах, то эти мои слова относятся
к тем индивидуумам, которые неплохо живут в современном мире (и “очень активно” живут):
в частности, пользуются современными средствами связи, летают на самолётах,
ездят на автомобилях, а главное – они “всё знают лучше других”.
При этом они заявляют, что Земля плоская, а на Северном и Южном полюсах находится “обрыв” –
поэтому там не могут летать самолёты и ходить корабли; что никаких полётов в космос нет и
спутников тоже не существует, так как “купол неба” над Землёй твёрдый (типа стекла) и
его нельзя “пробить”, а все рассказы про космические полёты – это “мировой заговор”;
что через сети 5G происходит автоматическое “чипирование” населения и т.п. –
это не какие-то мои “абстрактные выражения”, а это реальные слова людей,
с которыми мне реально приходилось общаться.
Когда начинаешь спрашивать такого индивидуума, на счёт того, как же он сам пользуется
“всеми достижениями современной науки”, то ответы примерно такие:
Да, он летает на самолётах (в том числе в Австралию и в Америку), но самолёты летят
не через “полюса” и ниже “земного купола” – поэтому никаких проблем не возникает.
Да, он постоянно пользуется GPS-навигатором, но сигнал на него приходит не со спутников,
которых “не существует”, а с “больших воздушных шаров”, которые привязаны к Земле верёвками.
Да, у него “айфон” последней модели, но он всегда ложит его в “специальный чехол” –
поэтому он защищён от “чипирования” через сеть 5G.
На вопрос: “Откуда он это всё взял?”, следует ответ: “Из специальных каналов на YouTube”.

156. О моих словах про необходимость “всегда думать” и про “адекватность”.

Для таких “знатоков” и “специалистов”
абсолютно верно известное выражение:
Безусловно, что “поисковые системы” –
это очень удобная и достаточно
информативная вещь.
Но пользоваться ими надо с умом,
чётко понимая, что с их помощью
можно просто найти какую-то
информацию.
А вот что касается достоверности и
корректности данной информации –
это уже совсем другой вопрос:
“На заборе тоже много чего пишут…”.
Поэтому любую информацию нужно
оценивать критически и проверять
не только из других источников,
но и на собственном опыте –
в первую очередь это касается всех моих “гениальных идей”, которые “звучат” в этой презентации.
На одном из “телеграм-каналов” – https://t.me/fighter_bomber/19656 – мне очень понравилась фраза,
с которой я полностью согласен, так как считаю, что каждый сам выбирает свой путь:
“Нельзя запрещать идиотам слушать, читать и смотреть других идиотов.
Должен быть естественный отбор и селекция”.
Другое дело, что судя по сегодняшним реалиям, есть очень высокая вероятность того, что в результате
такого “естественного отбора и селекции” останутся именно “неадекваты” (в моём понимании).
Ну что же, тогда возможно, что “человек” – как биологический вид – это просто “тупиковая ветвь”…

157. Ссылки.

Хорев А.А. Техническая защита информации. т.1. Технические
каналы утечки информации. – М.: ООО “НПЦ Аналитика”, 2008.
Руководство по эксплуатации на телефонный автоответчик TEXET,
модель TX-235/85.
Инструкция по эксплуатации на факсимильный аппарат Panasonic
KX-F680/780.
Инструкция по эксплуатации на цифровой беспроводный телефон
Panasonic KX-TCD815RU/KX-TCD825RU.
Руководство пользователя. Усовершенствованная гибридная система
Panasonic KX-TEA308.
Руководство по функциям. Усовершенствованная гибридная система
Panasonic KX-TEA308.
www.panasonic.com/ro

158. Ссылки на некоторые предыдущие презентации.

Здесь выложены ссылки на все презентации и мои “комментарии” к ним:
https://lib.itsec.ru/forum.php?sub=23488&from=-1
А это ссылки на отдельные презентации:
“Технические каналы утечки акустической информации”:
https://ppt-online.org/844278
“Технические каналы утечки информации, обрабатываемой СВТ”:
https://ppt-online.org/626074
“Технические каналы утечки информации, передаваемой по каналам связи”:
https://ppt-online.org/1118591
“Способы и средства обнаружения скрытых видеокамер”:
https://ppt-online.org/844276
“Визуальный осмотр помещения с целью обнаружения устройств съёма информации”:
https://ppt-online.org/1118586