Przyszłość to internetowy paszport?

Jewgienij Kaspierski to bardzo zapracowany człowiek. Jako dyrektor generalny Kaspersky Lab, bardzo dużo podróżuje i mało kiedy zatrzymuje się w jednym miejscu na dłużej niż kilka dni. Dlatego trudno go spotkać nawet tam, gdzie jak by się wydawało, powinien bywać częściej. Tak właśnie było podczas naszej wizyty w głównej kwaterze firmy w Moskwie. Niezrażeni niepowodzeniem, cierpliwie czekaliśmy na okazję do rozmowy ze sławnym łowcą wirusów. Dzięki uprzejmości Kaspersky Lab Polska przeprowadziliśmy z nim wywiad podczas jego wrześniowej wizyty w naszym kraju.

PCLab.pl: Osobie z tak dużym doświadczeniem chciałbym zadać wiele pytań, ale mamy ograniczony czas. Zacznijmy od tego, kiedy napisałeś swój pierwszy program.

Jewgienij Kaspierski: – To bardzo dobre pytanie. Nad pierwszą aplikacją zacząłem pracę jeszcze w szkole, choć bez powodzenia. Uczęszczałem do szkoły o profilu matematycznym i w roku 1980 lub 1981 po raz pierwszy spróbowałem sił w programowaniu. To była bardzo duża maszyna i chyba nie pomylę się, jeśli powiem, że zajęłaby pół tego pokoju. Żadnego monitora ani klawiatury – cała komunikacja z tym komputerem odbywała się za pomocą kart dziurkowanych. Mieliśmy zajęcia, na których tworzyliśmy pierwsze programy. Przeważnie wynikiem ich działania była liczba lub lista liczb. Ja postanowiłem napisać program symulujący zachowanie obiektu w przestrzeni, a mówiąc dokładniej: spadanie obiektu na ziemię. Kod miał obliczać czas, prędkość itd. To nie było nic trudnego, więc postanowiłem skomplikować sobie zadanie, dodając do symulacji wpływ atmosfery. I nie udało mi się tego osiągnąć.

A jak wyglądała praca nad -V?

– -V powstał na przełomie 1990 i 1991 roku i był moim pierwszym programem antywirusowym z interfejsem użytkownika. Dwa lata wcześniej pracowałem nad pierwszym narzędziem do walki z wirusami, ale nie było ono wygodne w użytkowaniu, bo można było je obsługiwać tylko z wiersza poleceń. Mało kto o nim pamięta, bo nie dystrybuowałem go na dużą skalę, ograniczając testy to bliskiego kręgu znajomych. Byłem wtedy żołnierzem w radzieckiej armii i badania nad wirusami były raczej moim hobby niż pracą. Kiedy powstał -V, postanowiłem opuścić armię, by móc skupić się wyłącznie na pracy nad oprogramowaniem antywirusowym. -V był w pewnym sensie przełomowy, bo w tamtym okresie wszystkie takie narzędzia były obsługiwane z wiersza poleceń, a to ograniczało grupę ich użytkowników do tych bardziej zaawansowanych.

Nadal jest podobnie. Jeśli mówimy o programach obsługiwanych z wiersza poleceń, to przeważnie myślimy o zaawansowanych użytkownikach, takich jak administratorzy i programiści.

– Przyznam, że nie lubię używać myszy.

Czy następny projekt był w jakiś sposób powiązany z -V?

– Tak, był rozwinięciem pomysłów z -V. Nadal opierał się na skanowaniu plików, ale robił to przy użyciu innych technik. Wtedy też wprowadziłem, jako jeden z pierwszych, bardziej skomplikowane sposoby wykrywania wirusów. W latach 1992–1993 pojawiły się pierwsze wirusy polimorficzne, czyli takie, które zmieniały swój kod, więc trudno było je wykryć, skanując tylko przy użyciu sygnatur. Inżynierowie konkurencyjnych firm, by walczyć z wirusami polimorficznymi, rozwijali technikę skanowania z użyciem sygnatur, tworząc tzw. sprytne sygnatury. Ja postanowiłem zrobić to zupełnie inaczej i zacząłem pracę nad emulatorem. Jego zadaniem było emulowanie wykonania kodu, by dotrzeć do jego niemutującej, niezaszyfrowanej postaci, i dopiero wtedy stworzenie sygnatury.

Miałem okazję rozmawiać o aspektach technicznych z Nikołajem Griebiennikowem i omówił on wtedy działanie emulatora w najnowszej wersji Kaspersky Internet Security, ale nie wspomniał wtedy, że idea emulatora powstała tak wcześnie.

– Nikołaj mógł tego nie wiedzieć, bo miało to miejsce ponad 10 lat przed przyjęciem go do Kaspersky Lab. Na początku pracowałem sam, a w 1992 roku zespół składał się już z trzech osób. Staraliśmy się opracowywać innowacyjne techniki, skupialiśmy się na nowych aspektach bezpieczeństwa danych, nowych warstwach zabezpieczeń. Oczywiście, nie byliśmy we wszystkim zawsze najszybsi, ale wiele z naszych pomysłów i ich opracowań było pierwszymi tego typu rozwiązaniami na rynku. Na przykład teraz wszyscy mówią o chmurze, o zabezpieczeniach działających w chmurze. Byliśmy jednymi z pierwszych, jeśli nie pierwszymi, którzy użyli chmury. Byliśmy zbyt zajęci rozwijaniem tej techniki niż reklamowaniem się za jej pomocą.

Nie używaliście też samego terminu chmura.

– Kiedy wprowadziliśmy to rozwiązanie do swoich produktów, to była po prostu chmura, nikt nie robił z tego takiego szumu jak teraz. To była kolejna forma ochrony oparta na sieci chronionych komputerów. Jesteśmy firmą, która bardziej skupia się na technice niż na marketingu, no może wyjąwszy związki z Ferrari.

O tej współpracy jeszcze porozmawiamy. Czy mógłbyś opowiedzieć, jak doszło do zamieszania z nazwami ATP i AVP przy kolejnym programie?

– To moja wina, zrobiłem literówkę. Decyzję co do nazwy podejmowałem ja i dwóch innych inżynierów, którzy wraz ze mną nad nim pracowali. Wspólnie szukaliśmy odpowiedniej i po jakimś czasie zdecydowaliśmy się na AntiViral Toolkit Pro, w skrócie ATP. Niestety, nie zmieniliśmy nazw plików wchodzących w skład pakietu i wszystkie zostały takie, jakie były w -V. Nigdzie nie pojawiła się nazwa ATP – ani w dokumentacji, ani w nazwach plików, nawet w samych plikach. Po stworzeniu pakietu wrzuciłem go na jeden z serwerów FTP, omyłkowo zmieniając jego nazwę na AVP. Wszyscy, którzy pobrali program i używali go, znali go jako AVP. Kiedy zauważyłem pomyłkę i chciałem ją poprawić, było już za późno. Program rozprzestrzenił się w internecie i nie było mowy o poprawieniu nazwy, bo wszyscy znali go pod „niewłaściwą”. Patrząc na to z perspektywy czasu, odbieram to jako dobry omen. Do tego AVP brzmi lepiej niż ATP.

Jak wyglądało zdobywanie rynków zachodnich? Jak Wasze oprogramowanie zostało tam przyjęte, czy media i kupujący mieli obawę przed produktem z Rosji?

– W pewnym momencie staliśmy się całkiem rozpoznawalni na lokalnym rynku; niestety, nie przekładało się to w żaden sposób na zyski. Nie zarabialiśmy wtedy dużych pieniędzy. Mieliśmy wielu użytkowników, podkreślam: użytkowników, nie klientów. Nie szukaliśmy wtedy partnerów, to oni przyszli do nas. Nawiązaliśmy współpracę z wieloma firmami na całym świecie, z których najwięcej pochodziło z Europy, m.in. ze Szwajcarii, z Włoch, Niemiec, Polski. Sprzedaż nie była duża, i to nie tylko przez rosyjskie korzenie. Nasz program był nowym produktem na rynku rozwiązań antywirusowych, a nasza marka – nierozpoznawana. Wtedy postanowiliśmy zmienić strategię i zaczęliśmy licencjonować swoją technologię innym producentom oprogramowania antywirusowego, by w ten sposób poprawić pozycję swojej marki. W tamtym okresie nie mieliśmy rozwiązań biznesowych, oferowaliśmy tylko pakiety dla odbiorców indywidualnych. Rozpoznawalność naszej marki wśród europejskich konsumentów była znikoma, za to nasi rywale znali nas bardzo dobrze. Na rynku producentów oprogramowania antywirusowego każdy zna każdego, każdy uważnie śledzi poczynania konkurencji. Przyjęta strategia okazała się sukcesem i zaczęliśmy odnotowywać zyski z licencjonowania swoich rozwiązań. Nasi licencjobiorcy wychodzili z następującego założenia: Zapłaćmy tej małej firmie za jej silnik antywirusowy, a zaoszczędzone w ten sposób środki przeznaczymy na rozwój swoich własnych technik. Wtedy tylko kilku dużych graczy na rynku europejskim używało naszych rozwiązań w swoich produktach, a dziś robi to ponad sto firm z całego świata, głównie ze Stanów Zjednoczonych, i przeważnie stosują je w rozwiązaniach sprzętowych. Tak wyglądał pierwszy krok w drodze na rynki zachodnie. Następnym etapem było nawiązanie współpracy ze sprzedawcami detalicznymi. Nie byliśmy już dla nich kimś nieznanym, bo przecież znali wiele firm, które korzystały z naszych licencji. Teraz, kiedy marka Kaspersky jest powszechnie rozpoznawana, wygląda to inaczej. To, że jesteśmy rosyjską firmą, czasami jest problemem w Europie Zachodniej we współpracy z wielkimi korporacjami i organizacjami rządowymi i nadal bywa problemem w Stanach Zjednoczonych. Z każdym podpisanym kontraktem sytuacja się polepsza; mamy wielu klientów wśród dużych firm, które odpowiadają za bezpieczeństwo ekonomiczne w takich krajach Europy Zachodniej, jak Niemcy i Francja. Bardzo staramy się zdobyć taką pozycję w Wielkiej Brytanii. Jestem optymistą, jeśli chodzi o dalszy rozwój firmy w tym kierunku.

Jeśli przyjęcie w Europie było tak ostrożne, to co było impulsem do tak szybkiego wejścia na polski rynek? W końcu stało się to raptem cztery lata po utworzeniu centrali w Moskwie...

– To nie była nasza decyzja, by otworzyć oddział w Polsce. To Andrzej Pilarz (obecnie prezes Kaspersky Lab Polska) przyszedł do nas. 10 lat temu nie byliśmy gotowi na globalną ekspansję. Nie mieliśmy zasobów, które moglibyśmy poświęcić na rozwój oddziałów poza Rosją. Firma liczyła raptem 20 osób, a połowa z nich to byli inżynierowie oprogramowania. Nie mieliśmy nawet ludzi, których moglibyśmy wysłać, by tworzyli oddział. Do tego byliśmy na etapie budowania marki, więc z dochodami było różnie i zdarzały się opóźnienia w wypłatach. To, że jesteśmy obecni w Polsce, to zasługa Andrzeja. To on wierzył w powodzenie tego przedsięwzięcia, to on skontaktował się z nami, zaufał mnie i mojej firmie. To on stworzył ten oddział, praktycznie przy zerowym wsparciu z naszej strony. Wtedy mogliśmy zapewnić tylko produkty, szkolenia dotyczące poszczególnych rozwiązań oraz bogatą wiedzę o ochronie i bezpieczeństwie. Cała reszta to zasługa jego i zespołu, który stworzył. Siedzibą polskiego oddziału jest Częstochowa, ale wkrótce w Warszawie zostanie otwarte drugie biuro. Miałem okazję dzisiaj je odwiedzić; jest jeszcze dużo do zrobienia, ale mam nadzieję, że pod koniec tego roku lub na początku przyszłego Kasperski Lab Polska oficjalnie otworzy swoją nową placówkę. Podkreślam: obecna pozycja Kaspersky Lab Polska to wynik bardzo, bardzo długiej drogi i olbrzymiej pracy. Powiem nawet, że polski oddział rozwija się w tym samym tempie co centrala. Niewiele firm, z którymi współpracujemy, osiągnęło tak wysoką pozycję. Niektóre z nich nie wykazywały chęci rozwoju i praktycznie znajdują się na tym samym poziomie co na początku współpracy. Niektórzy umieją się rozwijać, inni – nie. Andrzej należy do tych nielicznych, którzy wiedzieli, jak wykorzystać szansę, i rozwinęli swój biznes.

Wspomniałeś o Ferrari. Jak układa się współpraca między Ferrari a Kaspersky Lab?

– Jestem zadowolony, Ferrari również.

Z tego, co widzę, wynika, że powód do zadowolenia mają również użytkownicy Waszych programów. Mam tu na myśli konkurs, w którym nagrodą jest wyjazd na jeden z wyścigów Formuły 1.

– Oni też są z tego powodu szczęśliwi. Żałuję, że nie możemy zabrać tam wszystkich, ale w końcu to konkurs.

Skąd decyzja, by nawiązać współpracę właśnie z Ferrari?

– Dlaczego Ferrari... Po pierwsze, dlatego, że jest bardzo nieprzewidywalne. Nie przypominam sobie innej firmy tworzącej oprogramowanie, która zdecydowała się na sponsorowanie zespołu Formuły 1 na takim poziomie, jak my to robimy. Niektóre z nich mają tylko swoje małe logo na bolidzie w zamian za sponsoring. Kooperacja z Ferrari daje nam realne korzyści. Mamy do swojej dyspozycji VIP-owskie loże zaraz przy linii startu. Możemy zajrzeć do garażu, czasami dochodzi do spotkań z kierowcami. Wszystkim tym dzielimy się ze zwycięzcami naszych konkursów, dla których jest to jedyne w swoim rodzaju, fantastyczne wydarzenie, gdy mogą poczuć tę szczególną atmosferę, być częścią czegoś wyjątkowego. Bardzo podoba mi się ten pomysł, współpraca układa się znakomicie. Myślę, że ludzie z Ferrari również są usatysfakcjonowani, bo są bardzo przyjaźni, bardzo otwarci. Naszym partnerom i głównym klientom także podoba się ta współpraca. To idealne połączenie biznesu i zabawy – wstrząśnięte, ale nie zmieszane.

W wielu swoich wypowiedziach wspominasz o paszporcie internetowym. Czym ma on być? Czy widzisz w nim lekarstwo na wszystkie bolączki internetu?

– Nie można o tym myśleć jak o stuprocentowej ochronie. Jak zawsze trafią się ludzie, którzy złamią tę formę zabezpieczenia, tak jak teraz mamy do czynienia z podrobionymi dowodami osobistymi, tradycyjnymi paszportami itp. Traktowałbym go jako dodatkową linię ochrony, która zablokuje większość cyberprzestępców. Numery seryjne na silniku i nadwoziu nie przeciwdziałają w stu procentach kradzieży samochodów, ale wyobraź sobie, co by się działo, gdybyś mógł sprzedać lub kupić samochód bez numerów i dokumentów. Nie przychodzi mi na myśl nic innego jak totalna katastrofa. Teraz mamy taką sytuację w internecie. Główną ideą stojącą za paszportem internetowym jest zmniejszenie przestępczości w sieci. Cyberprzestępstwa kosztują nas wszystkich bardzo dużo. Nie zdziwiłbym się, gdyby szacunkowe wyliczenia strat spowodowanych samym złośliwym oprogramowaniem wynosiły 100 mld dol. rocznie. Gdyby uwzględnić spam, kradzieże numerów kart kredytowych, różnego rodzaju oszustwa i inne przestępstwa, ta liczba byłaby zdecydowanie wyższa. Nie zdziwiłbym się, gdyby dochody osiągane ze wszystkich przestępstw popełnianych w sieci były na drugiej pozycji zaraz za handlem narkotykami. Nie twierdzę, że taki identyfikator powinien być używany przy potwierdzaniu każdej transakcji internetowej. Nie chcę, by ludzie postrzegali mnie jako Wielkiego Brata, który chce wszystko kontrolować. Nie. Jeśli jesteś typowym użytkownikiem, przeglądasz internet, czytasz pocztę, czasami napiszesz coś na blogu, to nie musisz mieć identyfikatora. Ale jeśli jesteś bardzo aktywny w sieci, np. jesteś dziennikarzem, którego materiały czytają codziennie tysiące czytelników, będę Cię prosił, byś przedstawił swój paszport internetowy. Oczywiście, rodzi to wiele pytań. Czy blogi internetowe to media? Jakie powinny być limity wizyt dziennie, by nie było potrzeby identyfikacji? Jak uwzględnić w zasadach zmienność internetu, kiedy to jednego dnia jesteś poniżej limitu, a w następnym publikujesz coś poczytnego i kilkakrotnie go przekraczasz? Tych pytań jest bardzo dużo, a odpowiedzieć na nie może być bardzo trudno.

Czy są już prowadzone jakieś prace związane z opracowaniem takiego identyfikatora?

– Myślę, że to zadanie dla władz poszczególnych krajów. Muszą one stworzyć odpowiednie regulacje prawne, które obejmą to, co dzieje się w internecie. I nie mam tu na myśli tylko portali społecznościowych czy mediów rozpowszechnianych w globalnej sieci. Uważam, że te regulacje powinny mieć zasięg światowy. Internet w przeciwieństwie do krajów nie ma granic. To jeden wielki kraj, dostępny dla wszystkich narodowości. Dlatego jakiekolwiek regulacje muszą zostać wprowadzone globalnie.

Myślisz, że rządy tak wielu krajów dojdą w tej kwestii do porozumienia?

– Mamy Organizację Narodów Zjednoczonych, w której skład wchodzi wiele państw. Potrafiły się porozumieć i stworzyć taką organizację. Myślę, że to tylko kwestia czasu, aż dojdzie do znacznego pogorszenia sytuacji w internecie i poszczególne kraje zostaną zmuszone do poświęcenia większej uwagi temu problemowi oraz podjęcia odpowiednich działań.

Czy w tym roku mamy do czynienia z ogromnym wzrostem przestępczości w internecie?

– Zdecydowanie tak. W przeszłości dużo mówiłem o potrzebie regulacji, wprowadzenia identyfikatora internetowego, o tym, że rządy muszą się zaangażować w utrzymanie porządku w internecie. W roku 2001, 2002 ludzie tylko się uśmiechali, władze nie słuchały, bo przestępczość w sieci dopiero się rozkręcała. Mówiłem wtedy, że to wyłącznie kwestia czasu, aż cyberprzestępczość osiągnie taki poziom, że będzie miała wpływ na globalną ekonomię. Przez kolejne lata mieliśmy do czynienia z atakami na instytucje państwowe, wielkie korporacje, nawet na cele strategiczne z punktu widzenia państwa, jak elektrownie atomowe. Sytuacja z poziomu akceptowalnego zmieniła się na złą i wszystko wskazuje na to, że pogorszy się jeszcze bardziej.

Ostatnio miała miejsce kradzież certyfikatów do podpisywania oprogramowania. Ukradziono ich na tyle dużo, że o wydarzeniu dowiedzieliśmy się z głównych mediów. Czy zaobserwowano już ich użycie?

– Tego typu wydarzeń jest znacznie więcej, ale nie o wszystkich się mówi, bo nie dotyczą nas albo nie są przyczyną poważnych problemów. W przypadku Stuxnetu użyto skradzionych certyfikatów, a włamanie do irańskiej elektrowni atomowej nie mogło przejść bez echa. Gdyby nie skala tego wydarzenia, nie wiedzielibyśmy, że posłużono się skradzionymi certyfikatami. Do kradzieży certyfikatów dochodzi coraz częściej i mam nadzieję, że nie wszystkie zostaną użyte. Nie umiem zasugerować, co należałoby zrobić z systemem certyfikacji oprogramowania, by go bardziej zabezpieczyć. Nie zajmujemy się certyfikatami oraz kryptografią, a ja nie jestem ekspertem w tej dziedzinie. Na pewno jest to problem i realne zagrożenie. Z każdym rokiem zwiększa się ilość oprogramowania, zwłaszcza przeznaczonego na urządzenia przenośne, np. Apple'a. By podpisać te programy, trzeba stworzyć kolejne certyfikaty. Może dojść do sytuacji, że dostęp do certyfikatów nie będzie tak powszechny jak teraz, że ich pula zostanie ograniczona. Z drugiej strony mamy Androida, dla którego każdy może tworzyć aplikacje; nie są stosowane certyfikaty, nie ma zapewnionego bezpieczeństwa. To jak gra: bezpieczeństwo kontra elastyczność. Brak ograniczeń i bezpieczeństwo nie idą ze sobą w parze.

Źródło: pclab.pl