Дмитрий Горелов: Мы были вынуждены вводить производство в работу посменно, чтобы снизить риск заражения

Дмитрий Горелов, коммерческий директор компании «Актив», и Владимир Иванов, директор по развитию компании «Актив», поделились с Anti-Malware.ru итогами уходящего года с эффектами от эпидемии коронавируса, а также планами на будущее, рассказав при этом много интересного об аутентификации, идентификации, биометрии и многом другом.

Коллеги, добрый день! После нашего эфира по выбору средств многофакторной аутентификации прошло уже очень много времени, сейчас у нас уже приближается Новый год, но так или иначе хотелось бы с вами поговорить индивидуально о рынке, о том, что происходит в вашей компании, подвести некие итоги. Сейчас, по прошествии без малого 12 месяцев этого сложного для всех года, что скажете — каким он оказался для рынка средств аутентификации в России и для вашей компании в частности?

Д. Г.: Вопрос про рынок и про бизнес, наверно, ближе ко мне. Я коммерческий директор и один из основателей компании «Актив», рядом со мной Владимир Евгеньевич Иванов, директор по развитию и тот человек, который в своё время привёл меня в ту группу, которая потом со временем организовала компанию «Актив», так что мы, можно сказать, люди из прошлого века, но на рынке информационной безопасности, надеюсь, пока чувствуем себя и выглядим ещё достаточно молодо.

Спасибо, что вы приехали вместе. Необычно, но от этого, я думаю, наше интервью получится ещё интереснее.

Д. Г.: Мы постараемся, чтобы было задорно (смеются). Кстати, Володя в том мероприятии участвовал по Zoom и был в Крыму в то время на «удалёнке».

В. И.: Да, я сидел в Севастополе и, к сожалению, не смог очно принять участие, но думаю, что и так неплохо получилось. Очно, конечно, было бы интереснее.

Д. Г.: Для нашей компании год оказался не таким плохим, как мне казалось в марте, потому что в марте я приехал из отпуска в честь своего юбилея и застрял почти на три месяца дома, работая удалённо. Сначала меня посадили на карантин, потом карантин был для всей страны, но так получилось, что и для нашей компании, и для многих наших технологических и бизнес-партнёров год оказался и финансово, и по проектам не таким плохим. Поэтому в целом и IT-рынок, и рынок средств информационной безопасности и средств аутентификации, средств электронной подписи с моей точки зрения если и просел, то совсем на небольшую величину, а в некоторых сегментах даже вырос, потому что переход на удалённую работу, особенно в первом полугодии, всколыхнул продажи и общий интерес к той теме, которой мы уже больше 25 лет занимаемся.

Переход на «удалёнку» позитивно отразился на вашем сегменте рынка?

Д. Г.: Да, конечно, мы поставляем аппаратные средства аутентификации. Люди, которые переводили своих сотрудников на удалённую работу, поняли, что вот это — ключевой секрет для доступа в рабочую среду, на сервер компании, и из рабочего компьютера лучше делать это по какому-то аппаратному средству, чтобы ключи доступа были на извлекаемом носителе. Поэтому у нас было неплохое количество продаж устройств в корпоративный сегмент — чтобы люди, которые уходят на «удалёнку», даже когда они работают на домашнем компьютере или ноутбуке, а не рабочем, который в обычное время просто подключён к внутренней сети, заходили на свой рабочий стол или своё удаленное рабочее место на сервере компании по аппаратному средству, поэтому в первом полугодии продажи в этом сегменте возросли.

В целом, если говорить про рынок электронной подписи, на котором мы работаем, — из-за того, что электронный документооборот стал быстрее развиваться из-за «удалёнки», рынок хорошо держал удар, который нам наносила природа.

Как мне кажется, он ещё хорошо должен был вырасти этой осенью в московском регионе, когда все компании вынудили делать отчёты о переходе сотрудников на «удалёнку» (смеются).

Д. Г.: Шутки шутками, но у большинства людей, которые должны были это сделать, электронная подпись уже была. В прессе показали, что люди страдают. В принципе, у нас большинство главных бухгалтеров и директоров компаний имеют электронные подписи для сдачи отчётности, для участия в электронных торгах на государственных площадках, поэтому в целом это дало небольшой прирост, но он был незначительным.

В. И.: Для меня как для человека, который обо всём этом рассказывает часто — я много общаюсь с людьми, и я наблюдал такую картину — ситуация изменилась в том смысле, что если раньше в основном усиление аутентификации использовали люди и заказчики, которых обязывали это делать — «регуляторкой» и так далее, — то сейчас уже пошла некая волна осознанного применения, понимания того, что учётные записи надо защищать, особенно учётные записи дистанционных сотрудников, что каналы надо закрывать. Это показывает, что «цифра» работает, потому что многие бизнесы, уйдя на «удалёнку», как показала практика, продолжают работать, и работать, и работать. И банки, у которых сотрудники по домам сидят.

Кстати, переход на электронный документооборот, который сейчас тоже во многих компаниях если не наметился, то ускорился: я по себе сейчас вижу, по нашей компании — со многими контрагентами мы стали работать по ЭДО, хотя раньше все отказывались и говорили «давайте нам бумажки». Сейчас — нет. Это повлияло как-то на ваши продажи?

Д. Г.: Это повлияло на наши продажи. Это смогло сгладить удар пандемии по малому и среднему бизнесу, начавшему сокращать некоторое количество предприятий и просто прекратившему существование. Видимо, за счёт того, что увеличились и количество людей, которые начали пользоваться электронной подписью для электронного документооборота, и общее количество наших устройств в этот рынок, продажи наших технологических партнёров, которые этим бизнесом занимаются, по моим ощущениям, у кого-то даже немного подросли. Было снижение из-за того, что бизнесы «умирали», это факт, и государство наше это не скрывает, но за счёт того, что переход на электронный документооборот был осознан главными ретроградами IT-мира — бухгалтерами, — это, в принципе, случилось: пал последний оплот, обыкновенный бухгалтер, который говорил «нет, у меня налоговая просит только бумажки», а налоговая всем писала и, в принципе, даже рекомендовала — где-то в рабочем порядке, где-то вполне официально — переходить на электронный документооборот. И рынок, да, растёт, и очень хорошими темпами. Я думаю, мы в начале года опросим наших партнёров и, может быть, даже сделаем какую-то аналитику по этому поводу, потому что для всех игроков рынка электронного документооборота мы — поставщики и мы их всех знаем как родных, это наши старейшие партнёры.

Да, это было бы интересно, потому что как раз здесь, как вы говорили, история с пандемией во многих аспектах ускорила эволюцию и переход на «цифру», на цифровой уклад жизни. ЭДО — как раз один из таких моментов, где это видно. Мы стали быстрее на него переходить, это стало одним из драйверов. А были ли за этот год такие проекты, которые пришлось отложить или, возможно, скорректировать каким-то образом, или переиграть ваши планы по разработке, по выходу новых продуктов, потому что ситуация на рынке поменялась? Возможно, какие-то госконтракты «переехали» на следующий 2021 год и пришлось экстренно что-то выпускать из продуктов, а что-то, наоборот, отодвинуть на будущее?

Д. Г.: С точки зрения разработок, мы, конечно, ничего не прекращали, потому что разработка — такая вещь: если её прекращаешь, много денег теряешь, поэтому фактически мы ни одного из инвестиционных планов не порезали и все те планы по разработкам, которые собирались выполнить в этом году, выполняем; к концу года будем подводить итоги. Мы выпустили в этом году один очень интересный продукт, очень много ресурсов на него потратили. И если говорить про заказчиков, то корпоративный сегмент чуть быстрее сориентировался, они начали у себя кое-какие затраты резать, но опять же из-за того, что «удалёнка». В нашей области мы этого не почувствовали. Если говорить про госорганы, там идёт достаточно длительное бюджетирование, годовое, по сути дела, и я думаю, что сокращение IT-бюджетов в целом будет заметно только в следующем году для рынка информационной безопасности. В этом году мы выполняли контракты, которые были запланированы ещё в прошлом, поэтому какого-то падения в том, что касается рынка государственных проектов, мы не заметили. У нас была пара таких непростых контрактов, которые мы выполняли прямо в разгар первой волны. Мы были вынуждены вводить производство в работу посменно, чтобы снизить риск заражения, но когда всё остановилось и сидело, по указу Собянина, то производство и логистика работали, потому что они должны были делать большой многомиллионный контракт, и мы были обязаны поставить его к концу апреля обязательно.

Мы возили наших сотрудников, которые работают на производстве, на такси на работу и обратно, потому что считали, что это надо делать обязательно, мы должны были минимизировать угрозу их здоровью и всё равно выполнить контракт, который мы подписали.

Что касается продуктов: что сейчас интересного вышло, как раз в волну перехода на «удалёнку»?

В. И.: На самом деле всё новое, то, что сейчас повытаскивали из пыльных сундуков, — это уже достаточно известная история, экспериментов много ставили, но мало применяли в жизни. Опять же удалённая работа поставила перед безопасниками, айтишниками сложную задачу — обеспечение безопасности рабочей среды у дистанционного сотрудника. Потому что понятно, что не каждый может увезти рабочий компьютер домой, люди вынуждены работать со своих домашних устройств, безопасность на которых обеспечить фактически невозможно, доверять им не приходится, домашние Wi-Fi, точки доступа, которые зачастую без паролей даже работают, то есть полная беда. Очень сильно стала актуальна тема «нулевого» или тонкого клиента на носителе, то есть устройства, с которого можно загрузить операционную систему фактически на любой домашней машине; это устройство обеспечивает усиленную аутентификацию, строгую аутентификацию, и оно же применяется для электронной подписи, то есть всё-всё-всё в одном маленьком устройстве. Вот эта история сейчас стала очень популярной и начала подниматься как раз в апреле, когда мы были даже вынуждены отгружать все наши устройства и наши продукты под безавансовые оплаты, то есть под честное слово, «ей-Богу, заплатим», и производство, как Дмитрий сказал, работало очень мощно.

А как оно называется?

В. И.: У нас есть такой продукт — «Рутокен ЭЦП 2.0 Flash», но на самом деле это аппаратная база, потому что там есть операционная система, которая загружается, там есть продукты — VPN-клиенты, RDP-клиенты и т. д. Фактически там собирается в одно маленькое устройство много вендоров, много продуктов.

Физически это — флешка?

В. И.: Выглядит, как флешка, да. И конфигурируется соответственно под нужды заказчика. Кому-то нравится ALT Linux, кому-то — Astra. В основном это — отечественные Linux, которые грузятся в режиме Live CD. Там же установлены VPN-клиенты, чтобы закрывать канал и не зависеть от безопасности точек доступа — домашних, гостиничных, любых.

Мысль о том, что пошёл большой рост электронного документооборота, я хотел дополнить, там получилась такая история: если раньше происходила конкуренция между электроникой и бумагой в пределах, грубо говоря, одной комнаты, то тут получилось, что надо заниматься бумагой, когда у тебя сотрудники рассажены по всему городу, находятся в других регионах. То есть вышла такая ситуация, что возникают накладные расходы на пересылку этой бумаги: чтобы директор подписал какой-то договор или счёт, чуть ли не курьером ему везут, если это срочно.

Со стороны контрагента иной раз непонятно, кому и на какой адрес отправлять это всё. Отправишь в офис, а там нет никого (смеётся).

В. И.: Да, а там нет никого. На самом деле человек вернулся в свой регион, если он откуда-то приехал, и сидит за тысячу километров, куда вообще даже не доедешь. И вот тут электронный документооборот, что называется, победил за явным преимуществом, чистой победой практически.

Я помню, на нашем августовском эфире обсуждалось достаточно многое об альтернативных способах аутентификации, идентификации, в том числе с использованием биометрии, OTP. Сейчас вы фиксируете какой-то дополнительный рост интереса к такого рода технологиям? Или всё-таки на них делать упор ещё рановато, или, может быть, только использовать как некий дополнительный фактор?

В. И.: Про дополнительный фактор — это было сказано про биометрию. И я с этой точкой зрения совершенно согласен, потому что не совсем понятно, что такое биометрическая аутентификация. Что такое идентификация — понятно. Как «прикрутить» это к аутентификации, не совсем ясно, потому что когда мы говорим об аутентификации, это некое доказательство того, что человек действительно является законным пользователем. Когда мы говорим про биометрию… На самом деле вопрос-то философский, потому что биометрия — это когда мы идентифицируем тело, а психическая личность, получается, к этому не привязана. Именно поэтому биометрия должна использоваться как один из факторов, обязательно.

Д. Г.: Если есть техническая возможность.

Мы очень надеемся, что в ближайшее время биометрические технологии станут дешеветь, потому что, к сожалению, сама по себе технология хороша и может широко использоваться, но в реальных внедрениях хорошие биометрические технологии стоят очень дорого.

Получается, что другие технические средства позволяют нивелировать эти возможности, которые даёт биометрия, и что по большому счёту хорошие биометрические технологии могут себе позволить действительно богатые компании, там это всё работает. Потому что ситуация, когда приходит человек и его идентифицируют, а потом, когда действительно нужно подписать, он вставляет смарт-карту или токен, встречается сплошь и рядом в больших организациях. А для случая прохода в помещение — да, отлично работает биометрия.

А что касается OTP — одноразовых паролей?

В. И.: Я бы не сказал, что они стали сильно популярнее, потому что они и раньше были, и не сказать чтобы продемонстрировали какой-то небывалый рост. При этом крупные корпорации на самом деле внедряют аппаратные средства для своих сотрудников, в первую очередь. Не будем говорить, какие корпорации, наверно, помните эту историю. При этом пользователям предлагают пользоваться «софтверными» OTP, которые на телефоне. Я читал несколько статей про компрометацию как раз программных OTP-генераторов — в частности, той компании, о какой шла речь. И тут опять же у нас всплывает вопрос, где всё это работает. Мы говорили про домашний компьютер, который является недоверенным, проходной двор на нём, но на самом деле смартфон — это ещё хуже, чем домашний компьютер, доверия к нему ещё меньше.

Д. Г.: Если говорить про Android, то да, действительно. Я как приверженец закрытой архитектуры Apple считаю, что Apple построила себе очень даже неплохую экосистему, но мы не знаем, кто там действительно на нас смотрит. Неграмотные хакеры, наверно, не смотрят, а про грамотных мы не знаем (смеётся).

В. И.: Тем не менее уязвимости и там находят. То есть это не означает, что там нет уязвимостей. И время от времени что-то такое да всплывает.

Что касается аутентификации с использованием мобильных устройств: понятно, что у нас у всех есть устройства, зачастую есть и интернет-банк, и много всяких дополнительных сервисов. Было бы удобно использовать некие надёжные и доверенные средства аутентификации прямо в телефоне. Здесь идёт какое-то развитие?

В. И.: Не то чтобы развитие каких-то средств, но мы сейчас взялись за разработку целой линейки устройств для именно мобильного применения, в первую очередь. У нас первая ласточка взлетела — это смарт-карта с NFC-интерфейсом, которая может использоваться и для аутентификации, и для электронной подписи, и в документообороте на мобильных устройствах.

Её надо прикладывать к телефону?

В. И.: Да. Фактически там аутентификация и подпись для пользователя получаются не сложнее, чем карту «Тройка» к считывателю в автобусе приложить, или чем бесконтактные платежи в магазине — их, по-моему, уже все освоили, и применяются они сплошь и рядом практически всеми.

Д. Г.: Только в нашем случае всегда ПИН-код спрашивается (смеётся).

А то, что были попытки в своё время сделать аналоги токенов для мобильных устройств под microUSB, — не взлетела эта тема у вас?

В. И.: На самом деле, да, не взлетела по разным причинам. Во-первых, это неудобно, потому что делать какую-то непонятную «колбасу» из разных устройств не очень хорошо. При этом разъём, как правило, один: ни наушники не подключить, ни зарядку. И до сих пор остаётся актуальной тема с Bluetooth-устройствами. У нас в линейке уже есть устройство Bluetooth, и будет новое. Наверное, в следующем году мы его выпустим.

Д. Г.: Почему «наверное»? Будет в следующем году.

В. И.: Я осторожен в прогнозах (смеётся).

Это будет использоваться как раз в первую очередь для мобильных устройств?

Д. Г.: Одной из сторон применения будут планшеты. В частности, планшеты Apple.

В. И.: Потому что там NFC нет, а Bluetooth есть фактически везде. И вот это будет следующая ласточка, за той смарт-карточкой будет Bluetooth-устройство.

А протокол Bluetooth можно считать безопасным для такого рода чувствительных вещей?

В. И.: По умолчанию мы не считаем его безопасным, поэтому мы используем специальные технологии и делаем шаги для того, чтобы закрыть канал Bluetooth и построить доверенный канал между мобильным устройством и нашим. Это — шифрованный трафик. Внутри Bluetooth-канала делается ещё один туннель, как VPN, нечто похожее, то есть защищённый Bluetooth-канал.

Потому что действительно известны прецеденты, когда некие устройства городской инфраструктуры взламывались именно через Bluetooth. Соответственно, мы делаем всё для того, чтобы такого не происходило, чтобы канал был закрыт.

Да, уязвимостей там весьма много обнаружилось, я поэтому и спрашиваю, насколько это вообще возможно.

В. И.: Мы давно работаем, следим за ситуацией.

Д. Г.: Мы ТЗ в ФСБ согласовали, поэтому нам надо делать безопасно.

В. И.: И регулятор в общем поддержал то решение, которое мы предложили.

Хотел отдельно спросить о комбинированном средстве аутентификации. В частности, есть токены — по-моему, и у «Актива» тоже, — где или OTP, или датчики для биометрии есть уже на самом корпусе…

В. И.: Вы кнопочки имеете в виду?

В том числе — да, но, по идее, можно приделать туда и сканер для пальцев.

В. И.: Можно, но, возвращаясь к тому, что сказал Дмитрий, — либо оно дешёвое, сиречь доверия к нему никакого, это, как на сленге говорится, «свистелка», а не та хорошая, правильная, надёжная биометрия, либо оно вылетает в достаточно серьёзные деньги и на «кастомерский» рынок такое устройство просто не выпустишь.

Здесь сдерживающим фактором является именно цена?

В. И.: Это даже не соотношение «цена — качество», а сумма цены и качества. Оно должно быть и дешёвым, и качественным, но так пока не умеют.

Д. Г.: В реальной жизни, если люди хотят дополнительной безопасности, они на корпоративные компьютеры ставят хороший биометрический датчик, допустим, по рисунку вены, и ещё смарт-картридер, и тогда получается и биометрия доверенная, и нормальная двухфакторная аутентификация за счёт реальной криптографии. Вот это работает. Но это — опять же корпоративный сегмент, где на цену не смотрят. А если мы говорим про какое-то массовое устройство, которое считывает по пальцу, то пока только очень крупные вендоры мобильных платформ делают на своих «железках» что-то более или менее хорошее по биометрии, и то это работает на больших цифрах, это надо понимать: на том же самом айфоне биометрический датчик всё равно сводится к шестизначному паролю в конце концов. Какая бы биометрия ни работала, всё равно мы к простой подписи всё это сводим.

А такая экзотика, как смарт-карта с генератором одноразовых паролей прямо на ней, которую я видел у одного крупного российского банка?

Д. Г.: Это комбинированное устройство.

В. И.: В принципе, это тоже достаточно известная старая технология. Аппаратный генератор одноразовых паролей, просто в форм-факторе карточки. Это известно уже лет 10 как минимум.

Д. Г.: Это применяется для доступа. Это аналог OTP, программного или аппаратного, только в виде карточек.

Широкого применения сейчас это не находит?

В. И.: Оно и не было никогда широким, потому что всё равно это деньги. Для частных клиентов это дорого, а корпоративные клиенты, как правило, используют другие технологии, связанные с усиленной электронной подписью.

Д. Г.: Я как коммерческий директор вставлю: расскажи всё-таки поподробнее про карточку NFC, суть того, как она работает и где работает, потому что ты о ней совсем кратко рассказал.

В. И.: NFC-карточка — совершенно универсальное устройство, которое может использоваться и на десктопах, и на ноутбуках. Там два интерфейса. Один — контактный, как на банковских картах, контактная площадка. И ровно те же функции доступны в бесконтактном режиме. При этом она — реальное криптографическое устройство с российской и с нероссийской криптографией, и использоваться она может точно так же, как контактная карта обычная, как токен. Выглядит это как банковская карта с беспроводным интерфейсом, но там есть существенное различие. Оно состоит в том, что банковская карта ничего на себе не вычисляет, особенно через бесконтактный интерфейс, то есть там происходит считывание некой информации терминалом, но даже проверка PIN-кода происходит снаружи. Здесь же происходит криптографическое вычисление на чипе, PIN-код проверяется чипом. Соответственно, фактически получается универсальный носитель для ключей, который отчуждается от устройств, то есть его можно использовать на нескольких устройствах, потому что когда мы что-то, допустим, подписываем на мобильном телефоне, у нас ключ лежит в памяти этого телефона. На компьютере я тот же ключ использовать не могу, на другом телефоне я тот же ключ использовать не могу, а здесь получается полная переносимость и плюс защита секретного ключа.

Да, это должно быть удобно.

Д. Г.: И радость — в том, что наконец-то та же самая компания Apple открыла интерфейс для разработчиков, и начиная, кажется, с тринадцатой версии iOS уже можно нормально на всех айфонах такими технологиями пользоваться.

В. И.: Мы научились работать с NFC-картами на iOS, что, собственно, — достаточно серьёзное достижение.

Д. Г.: Сложились карты, потому что людям нужно было что-то такое, что позволит им делать на смартфоне операцию подписи, операцию аутентификации так же, как они делали их при помощи токена на рабочем месте. Мы видим для этого рынка применение, в первую очередь это — новые рабочие места. Цифровизация у нас, слава Богу, развивается вполне неплохо. Люди, которые работают на выкладке в магазине или на больших складах, сейчас просто ходят со специализированным телефончиком, назовём его терминалом, и делают какие-то операции. Сейчас можно сделать так, что вместо нажатия пальцем они могут сделать при помощи этой бесконтактной карточки свою личную электронную подпись, в том числе даже квалифицированную. Это — такая штука, которую рынок ждал. Надеюсь, что в следующем году пойдут большие проекты, потому что наши инвестиции в этот проект были приличными.

Сам рынок созрел, потому что хорошие безопасные технологии аутентификации и электронной подписи именно на мобильных устройствах, такие, чтобы ключи были точно неизвлекаемыми, точно на каком-то абстрагированном аппаратном устройстве, пока никто не делал с российской криптографией.

Мы сейчас начали серьёзную сертификацию всех этих решений, в следующем году мы эту сертификацию сделаем, а сейчас уже есть промышленное решение, которое наши технологические партнёры внедряют.

Хотелось бы про будущее немножко поговорить, в том числе о технических трендах. На нашем эфире мы говорили, я помню, про возможности идентификации, например, на основе поведения устройства в сети, поведения пользователя за компьютером. Как вы смотрите на такого рода инновации и есть ли у них возможность «приземления» на российские реалии?

В. И.: Поведенческая идентификация, на мой взгляд, — вещь достаточно сложная. Для того чтобы она работала чётко и надёжно, её надо «кормить» правильными данными в достаточно большом объёме, чтобы она на каждое нечто, которое не укладывается в шаблон, не поднимала тревогу, чтобы как минимум вот этих ложноположительных срабатываний у неё было немного. С моей точки зрения, это больше применимо, наверное, где-то в антифроде, именно как обнаружение совершенно нетипичных операций типа вывода всех денег сразу.

Скорее здесь получается что-то обратное, да? Не для идентификации доверенных, а для обнаружения недоверенных?

Д. Г.: Да, хотя это мы делали всё-таки с тем, чтобы человека сначала допустить, заметить, что он там что-то делает не так, а потом уже «отрубить».

В. И.: Надо проанализировать поведение, потом обнаружить в этом поведении аномалии, и это всё занимает время — и на обучение, и на реакцию системы. При этом надо учитывать, что человек, скажем так, меняется. Сегодня, допустим, у меня болит голова и я нервный сижу, у меня одно поведение. Завтра я благостный — у меня другое поведение.

Поссорился с женой и нервно печатаешь (улыбается).

В. И.: Да. И тут система начнет выдавать «алёрт», что что-то там с парнем не так.

Д. Г.: С моей точки зрения, это наверняка будет хорошо работать. Есть крупные игроки интернет-рынка — «Яндекс», Mail.Ru, Google, — и они наверняка «играют» с этими технологиями. Мы с вами работаем в том же Gmail, и какие-то такие технологии на нас же проверяются, только нам про это не говорят. Поэтому стопроцентно эта технология работает, но она в первую очередь предназначена для массового рынка и для крупных экосистем, в которых люди постоянно работают. Какого-то нелегального человека, который случайно зашёл, они будут определять, без сомнения, потому что на больших цифрах это точно будет работать.

Мы на мероприятии в августе говорили про корпоративный сегмент; как это хорошо использовать для корпоративного сегмента, мне непонятно. Скорее всего, там дешевле и проще будет применить другие технологии.

Там речь идёт, как я понял, в первую очередь об обнаружении, допустим, недоверенных подключений IoT, «умных» устройств — например, так ты не сможешь определить, что это у тебя там за устройство, но по профилю трафика, по профилю сетевого поведения можно понять…

Д. Г.: Корпоративный сегмент таков: вот белый список, вот чёрный список, и не нужно никаких новшеств.

В. И.: Да, а IoT — это вообще отдельная тема, потому что там вполне себе можно идентифицировать и аутентифицировать устройство достаточно надёжными способами, не прибегая к таким вещам, как обнаружение аномалий в поведении.

Д. Г.: Если говорить как раз про интернет вещей, то он для будущих проектов таких компаний, как наша или как наши уважаемые конкуренты, — очень хороший рынок, потому что IoT будет развиваться и это всё равно какой-то чип, что-то с «мозгами», где можно каким-то образом спрятать и скрыть секрет, где можно на уровне кремния построить механизм аутентификации, где можно применять хороший качественный «двухфактор» — неважно, с симметричной криптографией или с асимметричной.

Надо понимать, что для любых технологий информационной безопасности, которые построены не на криптографии, сложно доказать, что они действительно работают. Они всегда вероятностны.

А для того, что построено на криптографии, можно прямо обосновать: вот это действительно с такой-то долей вероятности нельзя взломать. Причём эти доли вероятности — очень высокие.

В. И.: При этом в том же интернете вещей и в M2M возникают уже совершенно новые задачи. Если для человека мы можем придумать какую-то многофакторную аутентификацию или какую-то биометрическую идентификацию, то для аппаратного устройства, например, фактор знания отсутствует, то есть устройство знать ничего не может, это не личность. Оно может кем-то быть, чем-то быть, какими-то характеристиками обладать, некое такое подобие биометрии. Над этим на самом деле предстоит много работать для того, чтобы, во-первых, это были надёжные технологии, а во-вторых, чтобы они не были запредельно дорогими, потому что устройств много и ещё увеличивать цену устройства за счёт того, что там будет какая-то надёжная идентификация, — как бы не очень хорошая идея. То есть тут придётся всем потрудиться. Я всё-таки надеюсь, что в аббревиатуру IoT буковкой S попадём.

Да, я тоже на это надеюсь.

В последнее время я вижу, что российские банки, особенно большой зелёный банк, очень активно вовлекают своих клиентов в тему биометрической идентификации. Я хотел бы у вас как у специалистов, экспертов спросить: есть ли в этом какой-то здравый смысл со стороны именно пользователя — доверять банку свои биометрические идентификаторы, переходить на эти методы, — если и так всё нормально работает? Есть коды, есть на телефоне те же самые отпечатки, которые можно использовать. Зачем? Какой в этом смысл?

В. И.: Илья, это — очень сложный вопрос. На самом деле банки не то чтобы вовлекают, они вынуждены вовлекать.

Рекламируют-то они.

В. И.: Рекламировать им приходится, потому что у них есть регулятор, который, собственно, тему единой биометрической системы и внёс в нашу повестку дня, и он требует от банков привлечения и сбора биометрии клиентов. Поэтому банки просто вынуждены по большей части.

Разнарядка — собрать, допустим, ещё миллион лиц?

Д. Г.: Есть прямые выгоды, есть косвенные выгоды. Если мы сейчас будем в этот вопрос углубляться и «резать правду-матку», то, я думаю, мы можем договориться не до правильных вещей, потому что, честно говоря, биометрия как таковая — очень хорошая технология. Как любая технология, которая позволяет ещё больше удостовериться, что перед тобой тот, кого ты ожидаешь. Проблема биометрии в том, что сбор её в одном месте, хранение этих биометрических образцов или свёрток — это дополнительные риски.

В. И.: С моей точки зрения, это — совершенно неправильная история.

Д. Г.: Я как специалист считаю, что пока ничего лучше, чем асимметричная криптография для аутентификации и идентификации, в мире не придумали. Как в своё время в компании RSA родился алгоритм, ещё не на эллиптике, а на возведении в степень в математике, так с тех пор и нет ничего лучше, чем когда у всех есть открытые ключи, а приватный — только у человека, который хранит у себя секрет и никому его не рассказывает. Эта штука максимально безопасна, потому что если уж ты сам раскрыл свой секрет, то сам и виноват. Все остальные знают только твой открытый ключ и по нему тебя аутентифицируют. Это хорошо, безопасно, и в целом весь мир живёт на этом уже многие десятилетия. Любые вещи, связанные с аутентификацией, хранением каких-то симметричных вещей, образов, всегда находятся на такой грани. И надо понимать, что набор биометрических данных лично обо мне понижает мою безопасность, если он будет лежать во многих местах. Лично я так считаю.

У меня тоже как раз такое мнение, и я лично с большой опаской смотрю на это.

Д. Г.: Пока можно будет не давать, я лично не буду. То, что это где-то полезно со стороны, — может быть, да.

В. И.: И то это — спорный вопрос, на самом деле, с моей точки зрения. И тут мы опять же возвращаемся к обработке биометрии не централизованной, а децентрализованной. То есть хорошие биометрические датчики на мобильных устройствах — это опять же дорого. Если бы я проектировал эту систему, я бы закладывал возможность и необходимость обработки и хранения биометрии на конкретном устройстве у конкретного человека для того, чтобы весь биометрический массив не был собран в одном месте, чтобы все яйца не лежали в одной корзине. Мы опять упираемся в технологии, но поскольку расчёт-то шёл на самом деле на среднего человека со средним смартфончиком, у которого средненькая камера, средненький интернетик и средненький микрофончик, я бы не стал на этом зацикливаться.

Д. Г.: Сама по себе тема потенциально интересна, но, по-моему, что с точки зрения безопасности, что с точки зрения развития проекта, может быть, время и придёт, но сейчас ещё не пришло. Я как специалист считаю, что люди, которые понимают, зачем это нужно, могут пока обойтись другими механизмами.

В. И.: Но при этом мы опять же видим, что пошли разработки обхода той же биометрии. У дипфейка пошёл взлёт в гору. Пока он применяется в шуточных областях, назовём это так, но гарантировать того, что злоумышленники не научатся достаточно быстро обходить систему биометрической идентификации, особенно для удалённых пользователей, нельзя. Кто-то говорил, что биометрическая система хороша, когда рядом стоит прапорщик с автоматом, а когда это какое-то удалённое устройство, удалённый пользователь, никогда нельзя быть ни в чём уверенным.

И эти технологии, того же дипфейка и обхода биометрии, до сих пор не вылезли на свет и не развились. Возможно, там уже наработок лежит много, но пока тут нет денег, нет выгоды; как только появится выгода — и получение кредитов, и совершение каких-то торговых операций, — тут же, я готов сто рублей на это поставить, всё это выйдет.

А менять потом сканеры для отпечатков или идентификации по лицу на всех банкоматах, например, будет ещё более затратно.

В. И.: При этом биометрия — это такая штука, которую человек поменять не может. Даже надёжные, казалось бы, методы идентификации по радужке глаза оказываются не столь надёжными, а если они будут скомпрометированы…

Глаза надо будет, как в фантастических фильмах, на чёрном рынке покупать, делать операцию (смеётся).

В. И.: Это откроет новую область — индустрию изготовления новых глаз, или я не знаю чего (смеётся). Потому что если ключ можно просто выкинуть и сгенерировать новый, то новую биометрию ты не сгенерируешь никогда — это раз, а во-вторых, она доступна всегда, то есть снять несколько фотографий с высоким разрешением с разных ракурсов для того, чтобы изготовить цифровую 3D-модель, при этом говорящую твоим голосом — особенно твоим, потому что твоего голоса, например, в интернете много (смеётся), — проблемы не составит никакой. Опять же сфотографировать с высоким разрешением твою руку, чтобы изготовить поддельный отпечаток пальца, тоже, в общем, проблема небольшая. И так обо всём. Мы же не будем ходить с пакетом на голове.

Резиновые перчатки сейчас в моде (смеётся).

В. И.: Так-то да. И уже, кстати говоря, вовсю разрабатываются методы не то чтобы обхода биометрии, а противостояния идентификации. То есть всякий грим на лицо, чтобы система идентификации не опознавала человека вообще, не воспринимала как человека даже.

Коллеги, большое спасибо вам за содержательное интервью. С наступающим вас Новым годом! Успехов в развитии бизнеса и ваших продуктов в наступающем 2021-ом!

В. И.: Илья, спасибо большое! С наступающим Новым годом и тебя, и всех зрителей! Всем добра, здоровья!

Д. Г.: Счастья в новом году и хорошего праздника, потому что мы должны ударно отпраздновать окончание этого года, чтобы в следующем всё было значительно лучше!

Спасибо!