Az amerikai kormányzat közelmúltban nyilvánosságra került kiberstratégiájában az olvasható, hogy egy kibertámadás pont ugyanolyan veszélyességű lehet, mint egy valódi támadás, ezért előfordulhat, hogy egy ilyen támadásra valódi katonai válaszcsapással válaszolnak. Bár ez elsőre túlzásnak tűnhet, elemezzük végig egy kibertámadás veszélyességét. Előrebocsátom, hogy a következő téma mélységeiben több cikket is megérdemelne, így most inkább csak általánosságban próbálom meg bemutatni a kritikus pontokat.

Megbénított infrastruktúrák ■ Azt hiszem, nem kell különösebben kiemelnem, hogy a számítógép segítségével elkövetett támadások már manapság is nagyon veszélyesek, és ez a jövőben még inkább így lesz, mivel ma már számítógépek irányítják a legtöbb főbb infrastrukturális elemet (persze országa válogatja), az atomerőműveket, az elektromos hálózatot, a tőzsdei rendszereket, mobiltelefon hálózatot, közlekedési lámpákat, a banki rendszereket és természetesen magát az internet hálózatát is. Ezen infrastruktúrák megbénítása egyértelműen óriási gazdasági károkat tud okozni, és – bár ma még inkább közvetve – de emberi áldozattal is járhatnak.

Ugyanakkor, habár az internetes infrastruktúrák megbénítása kibertámadással inkább csak gazdasági károkkal járna, gondoljunk bele abba, mi történne, ha valaki nem csak az internetes infrastruktúrákat venné célba, hanem a valódiakat is. Mi lenne, ha a vasúti váltókat valaki úgy állítaná át, hogy a vonatok ütközőpályán közlekedjenek? Vagy akkor, ha egy ügyes vírus bekerülne a repülőgépek navigációs szoftverébe (esetleg már a gyárban) és az aktivizálódása esetén leszálláskor a repülőgép magasságmérője a valósnál 10 méterrel többet mutatna? Hollywood kifogyhatatlan tárháza az ilyen ötleteknek, de mint azt sokszor tapasztalhattuk, az élet képes felülírni a legjobb forgatókönyvet is.

Habár mostanáig inkább csak az internetes infrastruktúrák ellen történtek támadások, nagyon is reális esély van a valós fizikai infrastruktúrák elleni támadásnak is, amit valójában a virtuális térben követnek el. Ennek első példája a Stuxnet nevű vírus, amelyet kifejezetten az iráni atomerőművek urándúsító centrifugái ellen készítettek, túlpörgetve őket, amitől aztán azok tönkrementek. De mi történt volna akkor, ha a cél nem ez, hanem az atomerőmű leolvadása? Persze ehhez valószínűleg jó adag emberi hiba is szükséges, de azért kíváncsi lennék, hogy vajon egy atomerőmű alkalmazottai minek hinnének jobban: annak amit a számítógép kiír, vagy annak, amit tapasztalnak?

Hihetünk-e a szemünknek? ■ Ami még félelmetesebb lehet, ha egy ilyen támadást előtte gondosan megterveznek és leszimulálnak akár éles körülmények között is, majd a vírust felkészítik a legvalószínűbb emberi reakciókra, hogy félrevezesse az atomerőmű alkalmazottait, hisz ha egy erőmű egyik "hőmérője" téves értékeket ír ki, akkor azt hamar kiszúrják a dolgozók. De mi történne ha a vírus egy komplett programot futtatna, ami összehangoltan állítaná a műszerek kijelzéseit, hogy összezavarja a mérnököket?

Persze ehhez egy nagyon profi vírusra lenne szükséges ami valamely ország komoly támogatásával készül, hisz senkinek nincs otthon egy atomerőműve tesztelésre, kipróbálására, és az atomerőművek belső rendszereinek a működése sem tartozik a nyilvánosságra. Vajon hol van az a szint, ahol annyira meg lehetne téveszteni az embereket, hogy hibás lépést kövessenek el, esetleg ők maguk váltsák ki a katasztrófát azzal, hogy megteszik a szükséges lépéseket helyesnek vélt – de valójában téves – adatokat alapul véve? Természetesen mindez csak fikció, de korábban a Stuxnethez hasonló vírusok létezése is az volt, így egyáltalán nem lehet figyelmen kívül hagyni a lehetőséget.

Mindazonáltal, egy modern atomerőmű alapvetően jól védett és többszörösen túlbiztosított, így a támadóknak biztosan nehéz dolga lenne, de mint feljebb írtam, sok más támadható, számítógépes rendszerekkel vezérelt infrastrukturális elem létezik még, amik jóval kevésbé vannak kiemelve és ezért a védelmük is valószínűleg sokkal alacsonyabb, cserébe elég nagy pusztítás végezhető egy sikeres támadással. Ki gondolta volna 2001 előtt, hogy akár egy-két utasszállító repülő is mire képes...?

Veszélyes óvatlanság ■ Természetesen a kritikus rendszereket általában szoftveresen védik a kibertámadások ellen, de hogy ez mennyire hatásos, az kétséges. Ha csak azt nézzük, hogy az elmúlt  évben hány nagy cég (köztük sok biztonságtechnikai cég is), hány kormányzati rendszer vagy éppen bank szenvedett el sikeres betörési kísérletet és jutottak a hackerek több száz millió ügyféladathoz, akkor nem lehet kétségünk afelől, hogy egy vasúti vagy repülőgép irányító rendszer feltörése sem okozhat sokkal nagyobb gondot.

Persze mondhatjuk azt, hogy ezek a rendszerek jó esetben fizikailag le vannak választva az internetről, így védettek a betörések ellen, de az emberi tényezőt sosem lehet megkerülni. Hogy csak egy példát mondjak, figyelembe véve az okostelefonok terjedését, vajon hány ember töltötte már a telefonját egy, a számítógépére kötött mezei USB kábellel? Vajon hányan gondoltak arra közülük, hogy ha a telefonjuk megfertőződött egy vírussal vagy más kártékony alkalmazással, akkor így egyúttal a gépüket is megfertőzhetik?

Természetesen ne felejtsük el, hogy habár ezeknek az infrastrukturális elemeknek a számítógépes rendszere feltörhető, valódi kárt okozni egy kicsit összetettebb feladat. A legtöbb ilyen rendszer egyedi, a működése a nyilvánosság felé nem vagy alig dokumentált, így nem is olyan egyszerű egy olyan vírust írni, amely a rendszerbe behatolva képes vezérelni a valódi célhardvert is. Hogy egy egyszerű példát vegyünk: egy dolog egy autógyár számítógépes rendszerét feltörni, amely jó eséllyel a közismert Windows operációs rendszert használja, és egy másik dolog ezután irányítani az autógyárban a szalag mellett dolgozó robotokat, amelyekhez ismeretlen szoftver tartozik speciális vezérléssel.

A meglepetés ereje ■ Mindazonáltal, pont a meglepetés ereje miatt lehet egy ilyen támadás különösen súlyos, hisz korábban még nem történt ilyen, így teljesen felkészületlenül érhet minket. Valljuk be, még sosem gondoltunk arra autóvezetés közben, hogy azt a közlekedési lámpát, amely felé éppen haladunk, lehet hogy épp egy számítógépes vírus vezérli és nem csak nekünk mutat zöldet…

Azt tehát beláthatjuk, hogy a kibertámadások súlyossága megközelítheti egy valódi katonai támadás súlyosságát, és ez a jövőben – ahogy egyre több mindent vezérelnek számítógépek – egyre jobban így lesz, így viszont már nem is hangzik annyira örültségnek a valódi katonai válaszcsapás egy kibertámadásra.

Már csak egy kérdés van hátra, és ezen múlik minden, hogy tudjuk-e hogy ki követte el a támadást ellenünk? Anélkül, hogy különösebben belemélyednénk a témába, a válasz valószínűleg az, hogy nem. Kihasználva az internet névtelenségét, ma már egy kibertámadás bármely országból jöhet, miközben a valódi elkövetők valószínűleg egy teljesen más országban tartózkodnak, és a támadás visszakövetése szinte a lehetetlen kategóriáját súrolja, arról nem beszélve, hogy attól hogy egy adott országból jött a támadás, az még egyáltalán nem jelenti azt, hogy az az ország támadott meg minket, elég ha csak néhány állampolgára úgy gondolta, hogy ezt teszi.

Ha pedig a támadást nem is online követik el, hanem például egy vírus segítségével, akkor még ennyi információnk sem lesz, hisz azt a vírust bárki, bárhol írhatta. Így tehát, véleményem szerint a katonai válaszcsapásnak – bár indokolt lehetne - valójában semmi értelme, hisz nem fogjuk tudni, hogy kik az elkövetők, kivéve, ha esetleg azt valaki magára vállalja.


Hamis biztonságérzet ■ Ugyanezen ok miatt viszont a kibertámadás mint támadási forma, rendkívül népszerű lehet az egyes országok számára. Őszintén szólva, ma, az atomfegyverek korában senki nem kockáztatna egy nyílt támadást egy atomfegyverrel rendelkező országgal szemben, akkor sem, ha esetleg ő maga sem maradna alul erőben. Ugyanakkor, egy kibertámadással úgy lehet csapást mérni egy országra, hogy eközben a támadó végig rejtve marad. Ráadásul a helyzet paradoxona, hogy minél fejlettebb egy ország, annál kiszolgáltatottabb a kibertámadások ellen.

Végezetül, összegezve a fentieket, a jövőben minden országnak komolyan fel kell készülnie egy olyan kiberháborúra is, amely a valódi, fizikailag is létező infrastrukturális rendszereket támadja, úgy hogy az elkövetők kiléte valójában végig ismeretlen lesz. Ne ringassuk magunkat abba a hamis biztonságérzetbe, hogy mivel eddig még nem történt ilyen, ezután sem fog, mivel könnyen úgy járhatunk mint az egyszeri autós a kereszteződésben, aki nem nézett körül, mondván "tegnap sem jött senki".