5G тестирует пределы кибербезопасности в Швейцарии

В феврале 2019 года федеральное правительство присвоило частоты мобильной связи 5G трем операторам связи: Salt, Sunrise и Swisscom. Keystone / Boris Roessler

Когда правительства всё большего числа стран размышляют о рисках работы с зарубежными поставщиками сетей 5G, все взгляды прикованы к Швейцарии, которая одной из первых приняла на вооружение эту технологию. Займёт ли она более жёсткую позицию, наложив ограничения на участие в цепочке поставок 5G таких иностранных поставщиков, как Huawei, или отдаст решение этого вопроса на волю рынка?

Согласно мрачному, но не слишком надуманному сценарию, хакер может атаковать антенну 5G, отправив вредоносные сигналы миллионам подключённых к ней устройств. Это приведёт к коллапсу в работе транспортной системы и энергосистемы и парализует города. Ситуация быстро распространится на сети других стран, вызывая масштабную атаку на глобальную сеть Интернет.

Этот сценарийВнешняя ссылка показывает, что при всех преимуществах, которые может обеспечить возможность тотального подключения в сетях 5G, с использованием этой технологии также обостряются проблемы безопасности. Обнародованная на прошлой неделе оценка риска кибербезопасности 5G во всех странах ЕСВнешняя ссылка подтвердила это, показав, что зависимость критически важных услуг от сетей 5G означает, что масштабный сбой в их работе может иметь особо тяжкие последствия.

«Любые технологические изменения несут в себе и новые возможности, и новые риски», — говорит Флориан Эглофф (Florian Egloff), старший научный сотрудник Центра изучения проблем безопасности при Швейцарской высшей технической школе Цюриха (ETH Zürich).

Поскольку ни одна швейцарская компания не имеет достаточных средств для обеспечения инфраструктуры, необходимой для сети 5G, страна, по его словам, «должна полагаться «на иностранных поставщиков технологий, если хочет внедрить технологию 5G».

Поговорим о Huawei

В случае с 5G тем иностранным провайдером, который способен за разумную цену производить все элементы сети 5G «в нужном объёме и необходимого качестваВнешняя ссылка», оказался китайский телекоммуникационный гигант Huawei.

Данный факт вызвал в других странах опасения, что китайское правительство будет использовать это обстоятельство для кибершпионажа, и в итоге были приняты различные правительственные меры — от прямых запретов со стороны США и Австралии до внесения предложений о новых протоколах безопасности в Европейском союзеВнешняя ссылка.

Эти соображения нашли отклик и в Швейцарии. В начале 2019 года несколько швейцарских политиков выступили с предостережениямиВнешняя ссылка о рисках работы с Huawei.

Швейцария развернула сотни антенн 5GВнешняя ссылка, что делает её одним из мировых пионеровВнешняя ссылка в использовании этой технологии.

Всем трём крупнейшим швейцарским операторам связи — Salt, Sunrise и Swisscom – выдано разрешение на размещение антенн 5G по всей Конфедерации, и все они используют оборудование Huawei в своих сетях стационарной и мобильной связи. Sunrise также заключила контракт с Huawei на предоставление лицензионных технологий для сети 5G.

Швейцарское правительство заявляет, что относится к проблемам безопасности очень серьёзно, однако признает, что его руки отчасти связаны.

Представитель Федерального ведомства связи (Bundesamt für Kommunikation — BAKOM) сообщил swissinfo.ch, что «в соответствии с существующей правовой базой правительство не может влиять на то, каких поставщиков оборудования выбирают операторы сетей».

Кто несёт ответственность?

Итак, кто же несёт ответственность за обеспечение безопасности 5G? Хотя национальная безопасность и входит в компетенцию правительства, законодательство не всегда идёт в ногу с быстрыми изменениями в мире технологий.

Например, пересмотренный швейцарский «Закон о телекоммуникациях» включает специальную статью о кибербезопасности, призывающую компании бороться с любыми несанкционированными манипуляциями с их телекоммуникационным оборудованием.

Однако ни в этом законе, ни в последней редакции «Закона о защите данныхВнешняя ссылка» не упоминаются потенциальные угрозы, таящиеся в контрактах с зарубежными поставщиками программного или аппаратного обеспечения.

«Федеральный «Закон о телекоммуникациях» был разработан на том этапе, когда вопроса об использовании иностранных провайдеров ещё не было в повестке дня», — говорит Флориан Рот (Florian Roth), адвокат, специализирующийся в области телекоммуникационного права в цюрихской фирме Walder Wyss.

Существует также ряд не имеющих обязательную юридическую силу рекомендацийВнешняя ссылка по безопасности, которые были составлены ещё в 2009 году.

Что такое 5G?

5G — это беспроводная мобильная технология следующего поколения, обеспечивающая более высокую скорость передачи данных, меньшее время запаздывания (лучшую скорость отклика) и возможность одновременного подключения к большему количеству устройств. 

Считается, что 5G станет «цифровой нервной системой обществаВнешняя ссылка», как говорят некоторые.

Ожидается, что использование этой технологии поможет развитию робототехники и автоматизации, виртуальной и дополненной реальности, а также искусственного интеллекта и машинного обучения, соединяя устройства не виданными ранее способами. 

Более подробную информацию о том, как Швейцария развивает технологию 5G, можно найти здесьВнешняя ссылка.

По словам Рота, новая швейцарская стратегия в области кибербезопасности остаётся довольно расплывчатой, и частные компании вынуждены сами решать, какие меры принять, поскольку в самой стратегии они пока чётко не определены.

Рот отмечает, что такой подход типичен для швейцарских регулирующих органов. «Это очень прагматично. Регуляторы зачастую передоверяют участникам рынка принятие решений о том, какие меры являются адекватными», что возлагает большую ответственность за целостность сети на операторов связи.

В настоящее время для таких компаний не существует связывающих их юридическими обязательствами правил, касающихся использования оборудования иностранных поставщиков. Они также не имеют налагаемой законом обязанности сообщать о нарушениях системы безопасности, если такие нарушения не приводят к серьёзным сбоям в оказании услуг или в работе сети.

Ситуация может измениться с реализацией пересмотренного швейцарского «Закона о защите данных», но не ясно, когда он вступит в силу.

Как Swisscom, так и Sunrise сообщили swissinfo.ch, что они проводят оценку рисков поставщиков, а также регулярно отслеживают потенциальные угрозы и сообщают о них правительству.

Крупнейший швейцарский оператор связи Swisscom, контрольный пакет акций которого принадлежит государству, также заявил, что у него во всех контрактах и со всеми поставщиками есть положения о выходе из сделки. Условия сотрудничества также включают временные рамки, которые обычно пересматриваются и повторно определяются в процессе тендера через каждые 5-10 лет. Компания также регулярно публикует отчётыВнешняя ссылка о состоянии кибербезопасности.

Проблема «чёрных ходов»

Однако эксперты по кибербезопасности говорят, что этих мер может быть недостаточно. Один большой вопрос связан с так называемыми «чёрными ходами» (бэкдорами) или скрытыми точками удалённого доступа, которые можно использовать для получения контроля над устройством.

В отчёте ЕС говорится, что, поскольку сети 5G будут в значительной степени основаны на программном обеспечении, существенные дефекты защиты могут упростить для хакеров злонамеренное включение бэкдоров в программы и затруднить их обнаружение.

Согласно приложению к статье «Закона о телекоммуникациях» о кибербезопасности, правительство не решается призвать поставщиков телекоммуникационных услуг проверять физический доступ и бэкдоры в аппаратном и программном обеспечении.

Представитель BAKOM сказал swissinfo.ch, что это условие было опущено в основном из-за сомнений в его осуществимости, поскольку его выполнение «зачастую невозможно для телекоммуникационных компаний, так как компьютер клиента находится у него дома или в каком-то другом месте».

Принимая суровые меры

Реальность того, что инфраструктура 5G будет зависеть от иностранных поставщиков, вынуждает страны мира принимать превентивные меры. В то время как США и Австралия пошли дальше всех, занеся Huawei в чёрный список, ЕС обдумывает другие тактики, чтобы нивелировать потенциальные риски, не портя отношения с конкретными поставщиками.

Великобритания призвала операторов работать с поставщиками оборудования и технологий над проверкой надёжности и расширять контроль над некоторыми поставщиками с высоким уровнем риска. Франция обсуждает предложение, согласно которому операторы связи должны будут получать официальное разрешение премьер-министра на свои проекты сетей 5G.

Отдельные операторы при подписании контрактов с Huawei также ведут себя довольно осторожно. Норвежский телекоммуникационный провайдер Telia только что объявил, что для развёртывания сетей 5G выбрал Ericsson вместо Huawei. Правительство поспешно заявило, что не давало компании приказа отклонить предложение Huawei.

Компания Huawei неоднократно заявляла, что она скорее закроется, чем станет шпионить по заказу китайского правительства, предложив заключить «Соглашение о запрете шпионажа» правительствам нескольких стран. Например, недавно такое предложение было сделано Польше.

Ожидается, что ЕС также согласует меры по смягчению рисков кибербезопасности к концу этого года.

Поживём — увидим

На данный момент швейцарское правительство, похоже, использует выжидательный подход, следя за тем, что первым сделает Евросоюз.

По словам Флориана Рота, при рассмотрении вопроса об ужесточении мер по контролю над кибербезопасностью в этом секторе регулирующие органы также должны взвесить защиту конфиденциальности личных данных и конкуренцию на рынке. Существует также проблема налаживания отношений с Китаем — одним из важнейших торговых партнёров Швейцарии.

В целом, по мнению Флориана Эглоффа из ETH Zürich, правительство Швейцарии достаточно серьёзно относится к опасениям в отношении безопасности каналов поставок.

В последнем отчёте о кибербезопасностиВнешняя ссылка, опубликованном в апреле этого года, отмечается, что в стране идёт общая дискуссия о том, как выбраться из положения «зависимости от двух фактических технологических гигантов — США и Китая». Правительство также объявило о создании профессионального рабочего центра по вопросам кибербезопасности.

Но проблемы на самом деле огромны как со стратегической, так и с технической точки зрения. Исследование, проведённое Центром исследований проблем безопасности при ETH Zürich, показало, что по-прежнему сохраняется двусмысленность в деталях отношений с частным сектором и у компаний нет стимулов для того, чтобы заниматься вопросами национальной безопасности.

Вопрос, как говорит Эглофф, заключается в следующем: «В какой момент государство впредь должно будет поручать компаниям заниматься защитой своей инфраструктуры, инвестировать средства в эту деятельность или же помогать им в этой деятельности?»

Перевод с английского: Нина Шулякова