PaaS: Паранойя как сервис

Знаешь, это зудящее чувство между лопаток? Нет, это не остеохондроз от твоего геймерского кресла за сотню тысяч. Это взгляд.

Ты просыпаешься, и первое, что ты делаешь — берешь в руки смартфон. Ты еще не открыл глаза, а гироскоп уже сдал твое положение, биометрия считала твой заспанный фейс, а логи провайдера зафиксировали, что пакет данных ушел на сервер в Шэньчжэнь. Твой умный чайник знает расписание твоих депрессивных ночных чаепитий, а робот-пылесос уже давно составил 3D-карту твоей квартиры и, возможно, продал её страховщикам, чтобы те пересчитали коэффициент риска, увидев, сколько у тебя проводов на полу.

Мы строим цифровой Гулаг своими руками. И самое смешное? Мы платим за кирпичи. Мы выстаиваем очереди за новыми кандалами, если на них нарисовано надкусанное яблоко.

Театр Безопасности: Пьеса в трех актах

Ты приходишь в офис. Или логинишься в корпоративный VPN. И тут начинается цирк.

Безопасники — это особая каста жрецов, которые верят, что если трижды плюнуть через левое плечо и заставить юзера сменить пароль, то китайские хакеры заплачут и уйдут майнить догикоины.

Корпоративная политика безопасности требует менять пароль каждые 30 дней. Серьезно? Ты хоть представляешь, как работает человеческий мозг? Это ленивая нейросеть, заточенная на сохранение энергии. Если ты заставляешь человека придумывать 12 символов с верхним регистром, цифрами и кровью девственницы каждый месяц, знаешь, что он сделает?

Он напишет Password123!. Через месяц это будет Password124!. А потом Password125!.

Это не безопасность. Это "Compliance". Это прикрытие задницы CISO перед аудитом. Они борются с людьми, а не с уязвимостями. Они превращают безопасность в бюрократическую пытку, где побеждает тот, у кого стикер с паролем надежнее приклеен под монитором.

Ошибка 404: Приватность не найдена

Главный враг — это не "китайские хакеры" и не АНБ. Им на тебя плевать. Ты для них — просто строчка в базе данных, статистическая погрешность.

Настоящий враг — это Скука Большого Брата.

Мы привыкли думать, что слежка — это люди в черных плащах. Нет. Слежка — это алгоритм, который решает, что тебе сегодня показать: видео с котиками или новость, от которой у тебя поднимется давление.

Я должен был бы переживать про это сильнее. Тимлид инфраструктуры, знаю как это работает изнутри — казалось бы, первый кандидат на паранойю. Но именно поэтому и не переживаю. Когда видишь кухню, страх пропадает. Остаётся только усталое понимание: это не Оруэлл, не заговор, не люди в плащах. Это просто чужой KPI. Алгоритм, которому всё равно кто ты — лишь бы ты провёл на платформе ещё четыре минуты.
Наверное это и есть самая грустная часть. Не то что следят. А то что следящим — тоже пофиг.

CVE-Human-001: Самая критическая уязвимость

Ты можешь обложить свой сервер фаерволами, настроить iptables так, что туда не пролезет даже нейтрино, и внедрить Zero Trust архитектуру. Но в твоей системе есть компонент, который нельзя пропатчить.

Его зовут "Сотрудник, которому все осточертело".

Давай назовем его Иван. Иван работает в бухгалтерии. Ивану грустно. От него ушла жена, кот нассал в тапки, а начальник — мудак. Ивану плевать на фишинг, на SSL-сертификаты и на твою паранойю. Иван видит письмо с заголовком "СМОТРИ, ТУТ ТВОИ ГОЛЫЕ ФОТКИ" или "СРОЧНО: Изменение зарплатной ведомости".

И Иван кликает.

Не потому что он тупой. А потому что он устал. Потому что его лимбическая система (древняя, как мир, прошивка v.1.0) быстрее, чем его неокортекс.

Самая большая дыра в безопасности — это не открытый порт 443. Это одиночество, апатия и выгорание. Хакеры это знают. Социальная инженерия работает лучше, чем брутфорс, потому что сломать человека проще, чем сломать шифрование AES-256. Человека не нужно дешифровать. Ему нужно просто посочувствовать или напугать.

Поэтому всё это — фаерволы, Zero Trust, мандатные политики — работает ровно до первого выгоревшего Ивана. А Иваны выгорают регулярно. Потому что система, которая строит безопасность на людях, не вкладывает в людей ничего. Ни нормального онбординга, ни объяснения зачем это всё, ни базового уважения к тому, что у человека есть лимбическая система и она древнее твоего регламента. Безопасность — это не технология. Это культура. А культуру не задеплоишь.

Я тоже Большой Брат

Я как-то участвовал в запуске анонимного опроса об удовлетворённости работой. Мы правда хотели сделать его анонимным. Мы правда старались.

Но так-как мы сами делали эту систему, то при желании — при наличии запроса — могли взять идентификатор ответа и сопоставить его с реальным человеком, по косвенным признакам. Логи времени доступа и все такое.

Запросы поступали. От руководства. Без мягких формулировок.
И я сопоставлял. Но чувствовал себя при этом довольно паршиво.

Вот тебе и паранойя как сервис. Не снаружи — изнутри.

P.S. Я заклеил камеру на ноутбуке изолентой. Знаю, что микрофон все равно пишет. Знаю, что это глупо. Но это мой маленький аналоговый бунт против цифрового бога. И знаешь что? Изолента синяя. Хоть какой-то цвет в этом сером мире нулей и единиц.