McAfee оценивает ущерб от кибератак в триллион долларов в год. Это много? Страна, обучающая весь мир демократии, требует у провайдеров ключи от HTTPS. А есть ли уверенность, что они вообще хранятся надежно? Киберкомандования плодятся одно за другим. Думаете, количество «сноуденов» будет уменьшаться? «Заплатки» для различных операционных систем и приложений выпускаются с бешеной частотой. Уязвимостей становится меньше? Это всего лишь фон.

Всеобщая «мобилизация», начавшаяся с принесенных на работу из дома ноутбуков, а затем смартфонов и, наконец, планшетов и нелегального подключения их к корпоративным информационным системам, резко изменила вектор. Теперь «движение» возглавил топ-менеджмент компаний: сначала стало модно, затем вошли во вкус, и пошло внедрение в приказном порядке. Переход от «хватать и не пущать» к «чтобы завтра все было» произошел стремительно. Насколько все это безопасно, учитывая, что мобильные приложения изначально предназначены для работы в слабо контролируемой и крайне агрессивной среде?

Все зависит от оценки рисков. Могу себе представить, что для бизнеса вполне уместным окажется менеджмент через Facebook. Чем не PR-ход? Однако в большинстве случаев в погоне за удобством, оперативностью и т.д. приходится помнить о повышенных рисках работы через общедоступную среду. Уязвимость мобильных устройств ликвидировать совсем непросто, активно рекламируемая технология NFC далеко не панацея, различные программные решения - и подавно. Вирусописатели трудятся не покладая рук, на этой войне даже линия фронта трудноопределима: то ли она проходит по кошелькам граждан, то ли на стыке интересов государства и личности. Если управление вашим мобильным гаджетом захвачено злоумышленником, он же будет распоряжаться и всем, что внутри.

Технически проблема решаема, но требует затрат как со стороны государства и бизнеса, так и со стороны граждан. Государство пытается установить разумные правила игры, издает законы и нормативные акты. Бизнес вынужден вкладывать деньги в подготовку нужных законов и в соответствие им. Граждане, если у них есть что терять, пытаются приноровиться к правилам игры и оплачивают все, что было перечислено. И все это с разной эффективностью. Например, пресловутый Федеральный закон № 161-ФЗ с его широко обсуждаемой девятой статьей, конечно, потребует от бизнеса некоторых усилий. Клиенту тоже нужно будет разобраться в тонкостях своих прав и обязанностей и, возможно, потратиться на защиту. Это дорога с двухсторонним движением. Если клиент хочет использовать средство защиты, которое он считает адекватным своему счету, а банк не готов обеспечить такую возможность, то клиенту придется еще и «поработать ногами» в поисках подходящей кредитной организации. Предоставление клиенту на выбор различных вариантов защиты становится конкурентным преимуществом.

Итак, какие средства защиты являются адекватными на сегодняшний день, а какие нет?

Использование мобильных устройств как есть, без минимальных средств защиты, неадекватно? Постоянные логины и пароли - за чей счет убытки? Установка современного антивируса - уже что-то! К сожалению, не все вредоносные программы могут быть выявлены, да и трафик, оплачиваемый при постоянном скачивании обновлений, может порадовать только провайдера. Использование одноразовых паролей, в том числе полученных по SMS, - не самый плохой вариант, но вспомним о последних новостях про уязвимости в SIM-картах, да и более простые способы мошенничества никто не отменял.

Надежная взаимная аутентификация и использование электронной подписи снимает большую часть проблем, но не все. Хранение ключей в реестре или на обычном носителе превращает эту технологию в самообман. Необходимо использовать защищенное хранилище. По крайней мере у вас не украдут деньги с банковского счета, когда токен вынут из устройства. В любом случае это лучше, чем хранить ключи в памяти мобильного телефона.

Если прибавить к этому технологию отображения и подписания информации на защищенном внешнем устройстве, подход уже представляется серьезным. До недавнего времени существовали проблемы с подключением таких устройств к мобильным гаджетам, особенно к Apple. Установка хоть сколько-нибудь серьезных программных средств защиты на iPad и т.п. была связана с джейлбрейком устройства, что по понятным причинам далеко не всех радовало. А возможность встраивания вредоносного кода в легальные приложения Android превращала программные средства защиты для них в пустую трату денег.

Теперь эта проблема снята. Компания «Аладдин Р.Д.» уже предложила рынку внешние защищенные средства отображения и подписания критической информации, причем универсальные: одно и то же решение можно подключать и к iOS, и к Android, и к Win-совместимым устройствам.