В начале года министр обороны Франции Флоранс Парли (Florence Parly) обнародовала новую национальную доктрину кибербезопасности, а также связанный с ней документ под названием «Наступательные военные действия в киберпостранстве» («Militaire de lutte informatique. Offensive»).
Последний представляет собой ясно написанный, не допускающий двусмысленных толкований текст, который в нашей армии назвали бы «Наставлением по военно-кибернетическому делу». В нём вводится, в частности, военный термин «кибернаступление» (lutte informatique offensive, LIO), провозглашается принцип активного применения LIO в военных операциях и конкретизируются задачи LIO.
Вот цитата из коммюнике Министерства обороны Франции от 18 января 2018 года: «Появление нового поля конфронтации (киберпространство – ред.) заставляет французскую армию глубоко переосмыслить подход к условиям войны. Наступательные операции в цифровой среде становятся полноценной составляющей оперативных задач вооруженных сил и будут активно применяться в военных операциях».
Где и как будем воевать. Французская версия
Предметная область, предназначенная для LIO, в соответствии с представлениями французских военных «трёхслойна».
Нижний слой находится на «физическом уровне», это оборудование (компьютеры, каналы связи, включая спутниковые, маршрутизаторы и т.п.).
Второй слой – «логический»: цифровые данные, процедуры их обработки, программное обеспечение, сайты, пароли доступа к IT-системам, протоколы – всё то, без чего физический слой не имеет смысла.
Наконец третий, «семантический», он же «социальный», слой. Это комбинация двух элементов: 1) люди, идентифицируемые (для целей военного воздействия – ред.) по сетевым псевдонимам, адресам электронной почты, IP-адресам, учётным записям в социальных сетях и пр. цифровым идентифицирующим признакам; 2) информация, циркулирующая в киберпространстве, рассчитанная на то, что её прочтут, увидят или услышат люди.
В задачи LIO входят цифровая разведка, дезинформация и деморализация противника, вывод из строя его баз данных, программных систем, а также «физических объектов». Если бы с помощью двоичного кода можно было уничтожать живую силу, задачей стало бы и это – стиль, в котором написан документ, сомнений на сей счёт не оставляет.
LIO предполагает творческий подход к делу и взаимодействие кибервоенных со смежниками, т.е. товарищами по оружию из других видов и родов вооружённых сил. Чтобы добыть, скажем, пароли доступа к IT-системам противника, можно задействовать социальную инженерию или военную разведку, затем опуститься с социального на логический уровень и, действуя там, вывести из строя физическое оборудование. Можно использовать ботов в социальной сети, чтобы манипулировать населением чужой страны. Можно вызвать авиацию, чтобы разбомбить вражеский ЦОД.
Вариантов – бесконечное несчётное множество. Какие-то из них, очевидно, уже изучены и признаны подходящими: документ «Наступательные военные действия в киберпостранстве» частично засекречен.
О кибервеличии Франции
Французы, впрочем, не оригинальны. Аналогичные официально принятые и опубликованные документы, провозглашающие идею войны в киберпространстве, есть у других стран. Так, киберкомандование в Британии создано три с лишним года назад. Осенью 2018 года опубликована агрессивная «Национальная киберстратегия США», которая поощряет ведение в киберпространстве военных действий против «неправильных» стран. Во Франции управление кибербезопасности создано ещё в 2017 году.
И без официально провозглашённых кибердоктрин спецслужбы (хорошо ещё, если не вооружённые силы) множества стран уверенно осваивают Интернет. Однако в случае с LIO есть нюанс: имеет место попытка легализации кибервойн без достаточных для этого оснований. Франция на голубом глазу объявляет, что действует, планируя кибервойны, в соответствии с уставом ООН и международным правом.
Это опасно. ООН уже приняла две резолюции о международных отношениях в киберпространстве. Оказалось, что 119 стран – абсолютное большинство – поддерживают российский план разработки юридически обязывающих правил поведения государств в киберпространстве. Американский вариант резолюции ООН по тому же поводу тоже принят, но он не предполагает разработку новых норм международного права для регулирования отношений в киберпространстве.
Франция, объявив о LIO, фактически ведёт себя по-американски: национальная доктрина кибербезопасности декларирует, что «наступательные военные действия в киберпостранстве полностью соответствуют нормам международного права». Ждать принятия специальных международных правил не надо, давайте сразу воевать в Сети по правилам, принятым для обычных войн, поскольку мы решили, что должны обеспечить себе безопасность в киберпространстве военной силой. Это сказано буквально так и, главное, официально.
Внешней разницы с «Национальной киберстратегией США» в таком заявлении вроде бы нет. Американцы провозглашают то же самое, обещая использовать «дипломатические, военные (как кибернетические, так и «kinetic», т.е. ракеты, снаряды и бомбы), финансовые, разведывательные методы, публичные заявления», а ещё «возможности правоохранительных органов» ради доминирования в мире вообще и Интернете в частности.
Но в глубине разница есть, и существенная. Если принять тезис «киберпространство = новый театр военных действий», а его необходимо принять в силу очевидных причин, быстро выяснится, что оборудован этот ТВД так, чтобы воевать на нём было удобно только одной стране. Даже Франция, глубже остальных интегрированная в систему управления Интернетом (на её территории есть, например, корневой DNS-сервер, что большая редкость) при попытке сравняться с США по степени кибернезависимости выглядит неубедительно.
Воевать нельзя договариваться
LIO – не первая попытка французов продемонстрировать киберсамостоятельность. Предыдущая инновация имела место в ноябре 2018 года, когда Макрон предложил Форуму ООН по управлению Интернетом (ФУИ), проходившему тогда в Париже, Paris Call – не взяв в расчёт, что мандат ООН, выданный ФУИ, не предусматривает рассмотрение инициатив такого рода, поступивших от отдельно взятой страны (подробнее см. здесь).
Инициатива Макрона совпала во времени и месту с торжествами по случаю столетия окончания WW1, что вызывает тревожные ассоциации: если сейчас проигнорировать французское заявление о том, будто LIO не противоречит международному праву, мир, вероятно, сделает ещё один шажок к началу WW3.
Ну при чём тут, действительно, международное право, если его в Интернете нет? Оно же там заменено «мультистейкхолдеризмом», что годится как механизм для управления техническими системами, но чего совершенно недостаточно для несколько более сложных предметных областей. Сможет ли, например, в отсутствие международного права г-жа Парли ответить на не самый сложный вопрос: уничтожение хранилища электронных архивов системы здравоохранения другой страны – это военное преступление, или Нюрнберга можно будет не опасаться? А как президент Макрон относится к идее – глупой, конечно – переместить корневые DNS-серверы в нейтральные страны и стеречь их там силами войск ООН?
Что такое «кибернападение»? Как в международном праве, на которое ссылается министр французской обороны, определён этот термин? Скажем, ситуация «взломали Фердинанда-то нашего» тянет на casus belli, или ракеты лучше всё же не запускать? То, что НАТО считает кибератаку событием, равным военному нападению и поводом применить статью 5 устава НАТО для «коллективной обороны» – это точно служит безопасности Франции?
Но что толку иронизировать. Возможность запретить кибероружие в зародыше, вероятно, уже упущена, и потребуется трагедия, прежде чем международное сообщество запретит цифровой иприт.
Имеется печальный пример из относительно недавнего прошлого, прецедент победы кибероружия над здравым смыслом и осторожностью. Без малого 20 лет назад оно, кибероружие, одним фактом своего существования подвергло успешной ревизии один из важных итогов WW2.
Силы самообороны Японии, как известно, после 1945 года не имели права действовать за пределами своей страны. Но в 2000 году японцы создали военную киберструктуру, куда отобрали три десятка квалифицированных офицеров, наделив их правом атаковать, если потребуется, вражеские серверы в других странах (Мисима, доживи он до 2000-го, несомненно одобрил бы цифровую реинкарнацию самурайского духа).
Событие прошло совершенно незамеченным, хотя ни о каком праве Японии на подобное в ту пору и речи быть не могло. И вот теперь вооружённые силы Японии воюют за границей.
Слишком похоже на то, что имело место в Европе в тридцатые – да, Версальский договор запрещает немцам ездить на танках, но давайте закроем глаза и не станем это безобразие замечать.
Сегодня можно, конечно, точно так же закрыть глаза на вероятный сценарий начала WW3: 1) киберинцидент; 2) кибернападение; 3) полномасштабная кибервойна с выводом из строя критически важных для государства IT-систем; 4) применение одной из вовлечённых стран конвенционального оружия для уничтожения вражеских IT-систем; 5) чья-нибудь киберпобеда – вражеская IT-инфраструктура разрушена, проигравшая страна дезорганизована до состояния, несовместимого с сохранением государственности. Если эта проигравшая страна обладает ядерным оружием, в сценарии с ненулевой вероятностью случится пункт шесть, а потом долгое время ничего больше случаться не будет.
Как и где договариваться
Понимая опасность выйти за пределы, за которые IT-издание выходить не должно, попытаемся дать формальное описание возможного метода устранения риска WW3.
У государств есть общая шина для обмена данными – ООН. Эта шина отлажена и работает. Отказ от неё, пусть в одном и самом мелком элементе, рано или поздно вызовет отказ всей системы: ООН выйдет из строя, и человечество с ядерным оружием под мышкой вернётся в XIX век.
Надеяться на то, что страны вне ООН смогут договориться о правилах поведения в киберпространстве – наивно, а после публикации «Национальной киберстратегии США» и вовсе глупо. В действующей ныне мультистейкхолдерной модели государства к управлению Интернетом никогда не приблизятся.
Государствам, очевидно, надо действовать доступными и привычными дипломатическими методами, пока не дошло до методов военных. Единственное подходящее место, где странам можно договариваться о киберпространстве – это ФУИ, действующий при ООН. Договорившись там, на следующем этапе можно вводить ФУИ в мультистейкхолдерную модель – как авторитетного стейкхолдера, не считаться с которым не найдётся убедительных причин.
Для этого придётся преодолеть соблазн использовать ФУИ как сцену, на которой странам можно демонстрировать самостоятельность и величие. У людей нет нужды в Paris Call и вообще в разнонаправленных действиях государств. Есть нужда в том, чтобы государства договорились о международном праве в Сети.
Фото (с) Jiel Beaumadier — собственная работа, CC BY-SA 3.0
