Hogyan vezetett ahhoz, hogy több ezer kártevőprogram-mintát küldjek az űrbe, miután Rómában találkoztam Jeff Goldblummal

My római családi My remekül sikerült; egy hétre kiszakadni az irodából, felfedezni a várost, bejárni a történelmi helyszíneket, élvezni a finom ételeket, és egyszerűen csak a családommal lenni – pontosan erre volt szükségem.

Egy nap, miközben egy hűvös kis sikátorban sétáltunk, véletlenül rábukkantunk egy tészta- és tiramisu-készítő tanfolyamra. Szórakoztatónak tűnt, és ahogy a mondás is tartja: „Rómában tégy úgy, ahogy a rómaiak.” Néhány órára a kártevő szoftverek, a kiberbiztonság és a kritikus infrastruktúra helyett a liszt, a tojás, a víz, az időzítés, a nyomás és a türelem került a középpontba.

Minél jobban belerázódtam az órába, annál inkább rájöttem, hogy még a tészta készítése is egy rendszer. Kívülről egyszerűnek tűnik, de ha fontos számodra az eredmény, akkor a apró részletek is számítanak. A túl sok víz megváltoztatja a tésztát. A túl nagy nyomás megváltoztatja az állagát. Ha sieted a folyamatot, az eredmény nem lesz teljesen megfelelő.

Ez igaz az élelmiszeriparra, az üzleti életre és a kiberbiztonságra is.

Az óra végén valami teljesen váratlan dolog történt: találkoztam Jeff Goldblummal.

Melegszívű, vicces, elegáns és nagyon emberi volt. Mint a legtöbb ember, aki találkozott vele, én is az ikonikus filmszerepeire, a dzsesszzongorázására és arra a különleges képességére gondoltam, hogy híres létére mégis megközelíthető maradt. Ez még azelőtt volt, hogy a kiberbiztonsági gondolkodásmódom átvette volna az irányítást.

Folyamatosan az 1996-os „Independence Day” című film egyik jelenete járt a fejemben, amelyben David Levinson karaktere rosszindulatú szoftvert juttat az idegen anyahajóra.

Itt az időzítés a lényeg. Úgy tűnik, hogy az űrkutatás egy új fellendülési ciklusba lép, amely már túlmutat a rakétákon, a NASA-n és a SpaceX tőzsdére lépésén.

A tágabb összefüggésben ez globális jelenség. Az Amazon Kuiper belép a műholdas szélessávú versenybe. Európa az IRIS²-t építi ki, amely egy biztonságos és szuverén műholdas hálózat lesz a kormányzati kommunikáció, a válságkezelés, a kritikus infrastruktúra és a titkosított szolgáltatások számára. Kína nagy léptékű műholdas programokkal, mint például a Thousand Sails és a Guowang, agresszíven halad előre. India bővíti űr- és védelmi műholdas törekvéseit. Japán egyre többet fektet be az űrbeli biztonságba. Olyan üzemeltetők, mint a Viasat, a OneWeb, a Planet, a Maxar, az Intelsat, az Iridium, az Eutelsat, az SKY Perfect JSAT és mások, kommunikációs, képalkotó, navigációs, védelmi és adatszolgáltatásokat építenek ki a pályán.

A beszélgetés már túlmutat a műholdak mint kommunikációs infrastruktúra témáján. Elon Musk felvetette a mesterséges intelligencia adatközpontok pályára állításának lehetőségét, azzal érvelve, hogy a Földön korlátozott az energiaellátás, míg az űrben állandó napfény áll rendelkezésre. Tavaly a Starcloud egy Nvidia H100 chipet tartalmazó űreszközt indított útjára, és bemutatta, hogyan futtatja a Google Gemini mesterséges intelligencia-modelljének egy változatát az űrből. Ezen felül a Google bemutatta a Project Suncatcher nevű kezdeményezést, amelynek keretében TPU-kkal és optikai kapcsolatokkal felszerelt műholdas klaszterek fejlesztésén dolgoznak, valamint bejelentette, hogy 2027-ben prototípus műholdakat kíván pályára állítani.

Ez egy egészen másfajta űrgazdaság.

Az űrszektor a közlekedésről a kommunikációra, a kommunikációról az adatokra, az adatokról a számításra, majd a számításról a mesterséges intelligenciára terjeszkedik. Az űrszektor egy olyan globális digitális infrastruktúra-réteggé válik, amelybe nemzetállamok, kereskedelmi üzemeltetők, védelmi ügynökségek és multinacionális ellátási láncok egyaránt bekapcsolódnak.

...és minden digitális infrastruktúra-réteg előbb-utóbb kiberbiztonsági célponttá válik.

Számos eset rávilágított arra is, hogy milyen korlátai vannak annak, ha elsősorban a hagyományos tűzfalakra és az észlelésen alapuló biztonsági megoldásokra támaszkodunk.

A 2018-as NASA JPL-támadás során a támadók feltörtek egy külső fiókot, majd a rosszul szegmentált hálózatokon keresztül oldalirányban terjedtek tovább. Miután a támadók bizalmat építettek ki, a külső védelmi vonalak már nem bizonyultak elegendőnek. A 2022-es Viasat KA-SAT-támadás során a támadók egy feltört VPN- és tűzfal-útvonalon keresztül jutottak el egy megbízható felügyeleti hálózathoz, és ott legitim felügyeleti parancsokat adtak ki.

Ismét hangsúlyozzuk, hogy a probléma nem csupán a rosszindulatú forgalom észlelésében rejlett, hanem abban, hogy nem alkalmaztak egyirányú átjárót, amely tervezési szempontból – és nem csak szabályzat alapján – biztosította volna az egyirányú adatátvitelt, így eleve megakadályozva volna, hogy a támadók eljussanak a kritikus rendszerekhez.

Miután azonosítottuk a kockázatot és a bejelentett események mögött húzódó kiváltó okokat, mit tegyünk ezzel kapcsolatban?

Az űrkutatás kiberbiztonságának számos alapvető oka megegyezik a hagyományos kiberbiztonságéval, de ehhez két olyan dimenzió társul, amely mindent megváltoztat: az idő és a környezet.

A Földön, ha valami baj történik, azt feltételezzük, hogy kapcsolatba léphetünk, megvizsgálhatjuk a problémát, javíthatunk rajta, helyreállíthatjuk a rendszert, vagy valakit kiküldhetünk a helyszínre. Az űrben ezek a feltételezések közül sok nem érvényes. A kommunikáció lassabb, drágább, korlátozottabb, és minél távolabb kerülünk a Földtől, annál nehezebbé válik.

A Hold elég közel van ahhoz, hogy a jelek oda-vissza útja alig több mint egy másodpercet vegyen igénybe, de még ez is több mint két másodperces oda-vissza késleltetést eredményez. A Mars esetében az odaút időtartama körülbelül 4 és 24 perc között mozoghat, attól függően, hogy a Föld és a Mars hol tartózkodik a pályáján. A mélyűrbe irányuló küldetések esetében a probléma még súlyosabbá válik. A Voyager olyan messze van, hogy a kommunikáció odaútja szinte egy egész napot is igénybe vehet.

Ez megváltoztatja a kiberbiztonsági modellt.

A modern biztonsági eszközök egyre inkább a felhővel való folyamatos interakcióra támaszkodnak: hírnév-lekérdezések, hash-ellenőrzések, aláírásfrissítések, mesterséges intelligencia-modellek frissítései (ez a függőség egyre növekszik, ahogy a mesterséges intelligenciával ellátott rendszerek az űrbe kerülnek), sandbox-beküldések, telemetriai adatfeltöltések és központosított döntések. A Földön ez jól működik, mert az internetkapcsolat gyors és megbízható. Az űrben azonban veszélyes lenne feltételezni, hogy ugyanaz a modell működni fog.

A Holdon mindez technikailag még mindig lehetséges, de nem szabad rá számítani. Minden felhőalapú lekérdezés késleltetést okoz. Minden sandbox-bejelentésnek el kell jutnia a Földre és vissza. Minden távoli asztali munkamenet lassabbá válik. Minden nagy méretű nyomozati adatfeltöltés verseng a küldetés sávszélességéért. Ha a Földdel való kapcsolat túlterhelt, romlik a minősége, megakad vagy nem elérhető, a felhőalapú biztonság megbízhatatlanná válik.

Ha ez már a Holdon is nehéz, a Marson drámaian nehezebbé válik, a mélyűrben pedig valós időben végrehajthatatlan.

Ugyanez vonatkozik a frissítésekre is. Ha egy űrmissziót hosszú évekig működtetünk, nem feltételezhetjük, hogy az infrastruktúrát ugyanúgy frissíthetjük, mint egy laptopot, egy szervert vagy egy felhőalapú terhelést. Előfordulhat, hogy egy űrhajó régi hardverrel, korlátozott memóriával, sugárzásálló processzorokkal, korlátozott sávszélességgel, korlátozott energiaellátással és nagyon szűk kommunikációs ablakkal működik.

Ha a frissítés hibás, a parancs formátuma nem megfelelő, vagy a szoftver repülés közben másképp viselkedik, mint a szimuláció során, a helyreállítás nehéz lehet, vagy ami még rosszabb: lehetetlenné válik.

A Voyager erre tökéletes példa. A NASA 1977-ben indította útjára a Voyager 1-et és a Voyager 2-t, és a csapat közel öt évtizeddel később is továbbra is gondoskodik róluk. Egy ilyen régi és ilyen messze lévő űreszköz szoftverének frissítése vagy javítása hihetetlen mérnöki teljesítményt igényel. Ugyanakkor ez azt is bizonyítja, hogy egy űreszköz javítása lassú, kockázatos folyamat, és egyáltalán nem hasonlít a Földön végzett rendszerjavításokhoz.

A Galileo egy másik hasznos példa. Indulása után a Galileo nagynyereségű antennája nem nyílt ki teljesen, ami azt jelentette, hogy az űreszköz nem tudta használni a tervezett nagysebességű kommunikációs kapcsolatot. A NASA és a JPL ennek ellenére sikerült jelentős tudományos eredményeket elérnie adatkompresszió, szoftvermódosítások és gondos küldetés-tervezés révén. Ez egy kulcsfontosságú tényt bizonyított: az űrben a kommunikációs korlátok határozzák meg a küldetéseket.

A kiberbiztonsági kérdés egyszerű: mit tegyünk, ha nem számíthatunk gyors kommunikációra, folyamatos átláthatóságra, felhőalapú reagálásra vagy arra, hogy valakit a helyszínre küldjünk? Három stratégiát javaslok.

A felismerés továbbra is hasznos, különösen a földi rendszerek, terminálok és a küldetés körüli vállalati környezetek esetében, de ez azt feltételezi, hogy a támadást észlelni lehet, majd azt gyorsan elemezni, reagálni rá és helyreállítani. Az űrben ez a feltételezés nem állja meg a helyét, mivel a láthatóság korlátozott lehet, a kommunikáció késhet, a számítási kapacitás korlátozott lehet, és a helyreállítás lassú vagy akár lehetetlen is lehet. Mire a problémát észlelik, a küldetés már veszélybe kerülhet.

Éppen ezért a stratégiának megelőzésrea bizalom megteremtése előtt.

Minden fájlt, szoftverfrissítést, mesterséges intelligencia-modellt, hasznos adatcsomagot, parancscsomagot és cserélhető adathordozót addig megbízhatatlannak kell tekinteni, amíg azokat át nem vizsgálták, érvényesítették, megtisztították és jóvá nem hagyták. Mielőtt bármi eljutna a küldetési környezetbe, alkalmazzon többszöri vizsgálatot, sandboxolást, tartalom-semlegesítést és -rekonstrukciót (CDR), sémaválidációt, aláírt frissítéseket, engedélyezési listákat, parancs-érvényesítést és ellenőrzési nyomvonalakat.

Ne kezelje a misszióvezérlő központot úgy, mint egy átlagos vállalati informatikai rendszert, és ne engedje, hogy a fejlesztői rendszerek szabadon hozzáférjenek az üzemeltetési rendszerekhez. Gondoskodjon arról, hogy a beszállítók hozzáférése korlátozott, ideiglenes, naplózott és elszigetelt legyen, valamint szigorúan válassza szét a földi állomásokat, a parancsátviteli útvonalakat, a szoftverfrissítési rendszereket, a tesztkörnyezeteket és az együttműködési eszközöket.

Egyetlen fertőzött laptop, ellopott hitelesítő adat, fertőzött fájl, hibás frissítés vagy beszállítói adatvédelmi incidens sem juthat be a küldetés végrehajtásába.

A tűzfalak fontosak, de a legérzékenyebb adatátviteli útvonalak esetében nem bíznék kizárólag egy tűzfalban. A tűzfalakat szoftver vezérli, ami azt jelenti, hogy rosszul konfigurálhatók, megkerülhetők vagy támadhatók. Az adatiód vagy az egyirányú átjáró a jobb megoldás, mert kialakításából adódóan – és nem csupán a szabályzat alapján – biztosítja az egyirányú adatáramlást.

A MetaDefender Kiosk pályára állítása az első űrküldetésünk volt, nem pedig marketingfogás. Számomra a Kiosk küldetése azt testesíti meg, amit én a kiberbiztonság alapjának tartok az űrben: független számítás, a bizalom előtti megelőzés, determinisztikus fájlbiztonság, valamint olyan hardver, amely zord körülmények között is képes működni.

Először is, ez egy önálló rendszer. Bár rendkívül nagy magasságba juttattuk, a küldetés során nem állt kapcsolatban a felhővel. Helyi számításokat végzett, és „air-gapped” modell szerint működött. A jövőbeli küldetések során egyirányú adatátjárót vagy adatdiódát tervezünk beépíteni.

Másodszor, a Kiosk a Deep CDR™ technológiát Kiosk , hogy a feladat során egy ellenőrzött és elszigetelt tesztkörnyezetben feldolgozza az USB származó több ezer rosszindulatú szoftvermintát. A Deep CDR™ technológia determinisztikus, vagyis nem kell kitalálnia, hogy egy fájl rosszindulatú-e. Feltételezi, hogy a fájl rosszindulatú lehet, eltávolítja a kockázatos aktív tartalmakat, majd létrehoz egy tiszta változatot. Ha a folyamatot megfelelően lezárja, akkor nem szükséges gyakori szignatúrafrissítésekkel megelőzni a számos ismeretlen, fájlalapú fenyegetést, mivel a Kiosk a fájlt, mielőtt megbízik benne.

Végül a hardvert zord körülmények között is teszteltük. A Kiosk szélsőséges hőmérséklettel, alacsony nyomással, heves rázkódással, a léggömb felszakadásával, a leszállás során fellépő nagy G-erővel, forgással, zuhanással, sőt, egy folyóba való becsapódással is meg kellett küzdenie. Mindezek után még egy ideig működőképes maradt. Ez azért fontos, mert az űrkibertbiztonság egyaránt szoftveres és hardveres kérdés.