Безопасность – цель, иммунность – идеал

Доклады участников были посвящены как отдельным разработкам ведущих российских вендоров операционных систем, так и изменениям самого подхода к процессам разработки программного обеспечения. 

Главной темой конференции стали архитектурные аспекты безопасности ОС.

OS DAY сегодня – один из наиболее авторитетных форумов российского ИТ-сектора, – за последний десяток лет эта конференция стала опорным отраслевым мероприятием, а число ее участников составляет более семи сотен человек. Ее организатором на протяжении многих лет выступает консорциум ведущих отечественных вендоров операционных систем – научных институтов и коммерческих компаний: ИСП РАН, «Лаборатория Касперского», НТП «Криптософт», «Открытая мобильная платформа», Группа Астра, «Базальт СПО», РЕД СОФТ, НТЦ ИТ РОСА и НИЦ «Институт имени Н.Е. Жуковского». Не удивительно, что принятые на OS DAY решения оказывают влияние на всю отечественную ИТ-отрасль, а доклады участников вызывают интерес не только в нашей стране, но и за ее пределами.

Среди важнейших тем, обсуждавшихся на конференции, были новые подходы к созданию безопасного кода, современные инструменты анализа безопасности, инструменты доверенной разработки и доверенной загрузки, мониторинга и диагностики, особенности создания системного программного обеспечения для промышленности и авионики, операционных систем для мобильных устройств. 

Прозвучало выступление о разработке нового национального стандарта «Доверенная среда исполнения», а новому ГОСТу  Р 56939 «Защита информации. Разработка безопасного программного обеспечения. Общие требования», регламентирующему и стандартизирующему процессы разработки ПО, был посвящен отдельный круглый стол.

Этот документ призван стандартизировать процессы создания ПО, ввести довольно жесткие рамки, которых должны будут придерживаться отечественные вендоры, как минимум, те, кто рассчитывает получать государственные заказы. Он вступит в действие до начала 2025 года. Разумеется, российское законодательство не предусматривает обязательного использования ГОСТов, так что большинство участников рынка внедрят его, как минимум, не сразу, однако лидеры отрасли определенно примут условия игры и через год смогут рассказать о первых результатах.
Насколько обсуждавшиеся на конференции меры помогут создать по-настоящему защищенное программное обеспечение? Эксперты отрасли убеждены, что это произойдет, определенно, не скоро. Как минимум, потому что внедрение новых подходов потребует пересмотра привычного стиля разработки.

– Процесс будет долгим, потому что изменение привычек всегда встречает сопротивление, – говорит Андрей Духвалов, директор департамента перспективных технологий «Лаборатории Касперского». – Ускорить его смогут только заказчики программных продуктов, если будут демонстрировать платежеспособный спрос на ПО, обладающее свойствами конструктивной безопасности, и ПО, способное быть устойчивым к информационным угрозам по факту разработки, а не с помощью наложенных средств.

Есть и другой фактор, связанный с ограниченностью ресурсов. Арутюн Аветисян, директор ИСП РАН, считает, что создать по-настоящему защищённую, полностью формально верифицированную операционную систему крайне сложно из-за больших объёмов кода, его изменчивости и высокой стоимости этого процесса. Для достижения позитивного результата необходима динамичная работа с кодовой базой, разумеется, если речь идет о ПО, созданном с использованием свободного кода.

– Одним из общепризнанных, наиболее эффективных способов обеспечения безопасности, – говорит он, – считается использование так называемых доверенных компиляторов, инструментов статического и динамического анализа кода. Чем больше специалистов использует такие инструменты, тем больше вероятность, что существующие ошибки и уязвимости в коде будут найдены и исправлены. 

– По-настоящему защищенную операционную систему не очень просто создать, – соглашается с ним Алексей Киселев, руководитель направления разработки операционных систем компании РОСА, – потому что она состоит из тысяч пакетов, и обеспечить их безопасность на сто процентов не получается, так как постоянно выходят новые версии. Они могут нести в себе новые уязвимости. И иногда в операционную систему может попасть пакет, например, который редко используется пользователями и не входит в большинство дистрибутивов на базе ядра Linux, а значит может быть недостаточно проверен на уязвимости.

Разделяет это мнение и Алексей Новодворский, советник генерального директора «Базальт СПО», утверждая, что стремление к созданию защищенной операционной системы – процесс практически бесконечный.

– Обеспечение безопасности ОС – непрерывный динамический процесс, – говорит он. – Практически каждая новая версия программы закрывает одни уязвимости и может внести другие.

Олег Шапошников, начальник отдела ИБ компании РЕД СОФТ, настроен более оптимистично:

– В каком-то обозримом будущем, вполне вероятно, эта проблема будет решена, к созданию полностью кибериммунной операционной системы приведут изменения в архитектуре ее построения, использование ИИ для анализа и разработки кода, появление новых инструментов анализа и тестирования кода, или что-то еще, – говорит он. – Возможно, это будет совсем иная концепция ОС, которая сама будет изменять код приложений и реализовывать таким образом защиту «на лету». Но пока, увы, это лишь будущее технологий разработки.

Пока же, как говорит руководитель отдела перспективных исследований и специальных проектов Группы Астра Роман Мылицын, создание абсолютно неуязвимой операционной системы является недостижимой целью, и перед их разработчиками стоит задача непрерывного развития средств защиты информации.

Работа в этом направлении продолжается, но еще чрезвычайно далека от завершения. 

По словам Арутюна Аветисяна, отечественная ИТ-отрасль еще в самом начале пути. И речь идет пока о том, что большинству ИТ-компаний предстоит еще только перейти от игнорирования безопасности на уровне кода к формированию более адекватной позиции. Сейчас этот переход далёк от завершения, большинство разработчиков все еще воспринимает безопасность на уровне кода просто как требование регуляторов.

Дмитрий Шевцов