Kako je Vlada predala državnu administraciju zapadnoj špijunaži?

Ruski politički analitičar Evgenij Morozov je u intervjuu za Wall Street Journal rekao da, iako će ovaj potez doneti uštedu koja se meri milijardama dolara na licencama, motivi za ovakvu odluku nisu strogo ekonomski. Najverovatniji razlog za taj potez je rastuća briga da će Ruska zavisnost od vlasničkog softvera stranih proizvođača imati razoran uticaj na nacionalnu bezbednost Rusije. Malo je verovatno da će softver otvorenog koda imati u sebi skrivene mehanizme za kompromitovanje sistema koji ga koristi što kod vlasničkog softvera nikako nije redak slučaj. Morozov je takođe naglasio da Rusija, kao i Iran, koji planira svoj operativni sistem zasnovan na softveru otvorenog koda, i Kina koja pokazuje sve veće interesovanje u tom pravcu i čiji se Čajna Mobajl (“China Mobile”) koji je u državnom vlasništvu priključio Linux (Linux) fondaciji, na ovaj način želi da se zaštiti od mogućih namerno kreiranih rupa u sistemima i iskorišćavanja istih od strane SAD.

Rusko Ministarstvo za informacione tehnologije i komunikacije je pripremilo plan za prelazak na slobodan softver još 2009. godine, a u ruskim školama je prelazak počeo iste godine. Uz to 2010. godine je počeo rad na pripremi posebne distribucije Linuxa, najpoznatijeg slobodnog operativnog sistema, specijalno kreirane za ruske organe vlasti (izvor h-online.com).

Ukratko, Rusija i Kina ne veruju proizvođačima softvera sa zapada i smatraju korišćenje softvera zatvorenog koda u svojim državnim institucijama bezbednosnom pretnjom.

Zašto softver otvorenog koda?

Pre nego što uđemo u detaljniju analizu ovakve odluke objasnićemo šta je to “slobodan” a šta “vlasnički” softver.

Vlasnički softver je licenciran i vlasništvo je isključivo držaoca autorskih prava. Korisnicima ovakvog softvera vlasnik prava daje licencu za korišćenje softvera pod određenim uslovima, dok su drugi načini korišćenja, kao što je modifikacija, dalja distribucija, kao i obrnuti inženjering zabranjeni (definicija sa Wikipedia-e). Vlasnički softver može biti besplatan, čak neke licence mogu dozvoljati njegovu redistribuciju pod određenim uslovima. Ali najvažnija odlika vlasničkog softvera u smislu bezbednosti negovog korišćenja u državnim institucijama je to što u najvećem broju slučajeva izvorni kod tog softvera nije dostupan korisniku. U jednoj rečenici, softver je za svog korisnika “crna kutija”, on radi ono što treba, ali niko ne može znati šta je još u stanju da uradi.

Tako korišćenje softvera zatvorenog koda dovodi do osnovane zabrinutosti o mogućnosti postojanja slučajno ili namerno kreiranih bezbednosnih rupa, koje pojedinci mogu iskoristiti za kompromitovanje sistema koji ga koriste. To možda i nije preterano zabrinjavajući faktor kada su kućni korisnici u pitanju, ali ukoliko se takav softver nalazi, recimo, na računarima u državnoj administraciji ili obaveštajnim službama jedne države onda sigurno postoji razlog za zabrinutost.

Zamislimo samo primer imejl (e-mail) klijenta koji ima bezbednosnu rupu preko koje je moguće ostvariti neautorizovan pristup sadržaju poštanskog sandučeta korisnika računara. Ukoliko je kućni korisnik u pitanju, situacija nije dramatična, ali ako taj računar pripada nekom članu obaveštajne službe, ili visokom državnom zvaničniku situacija postaje ozbiljna.

Još jedan problem kod korišćenja vlasničkog softvera je nemogućnost njegove modifikacije. Ukoliko se rupa u sistemu i pronađe, korisnik nije u mogućnosti da je sam blagovremeno “zakrpi” jer nema pristup izvornom kodu i detaljima implementacije softvera. Korisnik je u tom slučaju prinuđen da čeka “zakrpu” od strane proizvođača softvera, što se pokazalo kao pogubno u praksi, jer se na popravku nekih rupa u vlasničkom softveru čeka i po 10 godina!

SAD prvo napale Iran

Takve bezbednosne rupe koriste maliciozni programi da kompromituju sistem iz raznih razloga. Svež primer, i primer koji je definitivno pokazao da postoji rat u informacinoj sferi u kom učestvuju moćne obaveštajne službe velikih sila je pojava virusa nazvanih Stuxnet i Duqu, kao i virusa Flame. Naime Stuxnet je prvi otkriveni virus koji je stvoren da napadne infrastrukturu elektrana ili električnih mreža. Kada inficira određeni računar on ne čini nikakvu štetu osim ako ne utvrdi da je na njega povezan specifični SCADA sistem kompanije Simens  (Siemens) koji se koristi za kontrolu i nadzor industrijskih procesa u koje spada i kontrola izuzetno komplikovanih procesa vezanih za funkcionisanje nuklearnih elektrana. Stuxnet je pronađen na računarima u iranskim nuklearnim pogonima i sumnja se da je glavni razlog kašnjenja sa početkom rada nuklearne elektrane u Bušeru, i prvi je zvaničan primer sajber rata (iz SK 11/2010). Aleksander Gostev, stručnjak za bezbednost kompanije Kasperski (Kaspersky) izjavio je da su otkrili snažan dokaz da su Stuxnet/Duqu i Flame sajber oružja koja su povezana, i da su timovi koji su učestvovali u njihovom razvoju sarađivali bar jednom u ranoj fazi razvoja ovih oružja.

Monopol doveo do zavisnosti od Zapada 

Još jedan od problema korišćenja vlasničkog softvera kao zvanične platforme u jednoj državi je takozvani “vendor lock-in”, koji se odnosi na pitanje kompatibilnosti različitih sistema, i korisnika čini zavisnikom od proizvoda jedne softverske kompanije. Korišćenje vlasničkog softvera koji za sobom često povlači zatvorene formate datoteka znači da svi vaši saradnici moraju imati softver istog proizvođača, što vodi u monopol. Vlasnički softver često definiše svoje standarde koji su vezani isključivo za proizvođača, što znači da ako, uzmimo banalan primer, neko koristi određeni procesor teksta za uređivanje dokumenata, i takav dokument pošalje kolegi na doradu, i ovaj drugi mora imati isti procesor teksta ili proizvod iste softverske kuće da bi mogao da nastavi rad na dokumentu. Upravo ovakve situacije na kraju dovode do monopolskog položaja jedne softverske kuće u određenoj oblasti i potpune zavisnosti korisnika od njenih proizvoda.

 

Bezbednost je besplatna

Sa druge strane imamo “slobodan” softver ili softver otvorenog koda, koji je najčešće i besplatan, i u čijoj izradi ne učestvuje jedna kompanija već cela zajednica korisnika i modifikatora softvera. Kod ovakvog softvera korisnik ima uvid u detalje implementacije, i funkcionisanje takvog softvera je krajnje transparentno. Ukratko, nema “crne kutije” koja magično reaguje na komande, već je implementacija funkcionalnosti dostupna krajnjem korisniku. Korisnik zna sve o radu i sposobnostima softvera. Uz to licence uz koje dolazi softver otvorenog koda najčešće dozvoljavaju promenu i redistribuciju. Upravo je to osnov na kom se kreiraju, na primer, Linux distribucije.

Ovakva filozofija dozvoljava korisnicima sa posebnim potrebama i zahtevima, kakva je državna administracija ili bezbednosni sistem jedne države, da uzimajući slobodan softver kao osnovu kreiraju svoju sopstvenu platformu čija je potpuna funkcionalnost poznata, i koja nema skrivenih detalja implementacije, što bi ukoliko bi takav zadatak trebalo sprovesti “od nule”, bilo praktično nemoguće.

Prednosti ovakvog načina organizacije informacionog sistema u institucijama jedne države su brojne.

Za početak tu je finansijski moment, jer licence za vlasnički softver koštaju puno, vrlo su restriktivne i često postoje različite verzije istog softvera koje ograničavaju skalabilnost sistema koji je na njemu zasnovan i u sebi kriju troškove koji se pojavljuju tek u toku eksploatacije. Takve situacije su uzrok pomenutog “vendor lock-in” problema, jer kada treba proširiti resurse sistema korisnik je ograničen na proizvode kompanije na čijoj platformi je zasnovao sistem. Kod softvera otvorenog koda takvih problema nema jer je puna funkcionalnost proizvoda uvek dostupna korisniku.

Sledeća prednost je apsolutna transparentnost funkcionisanja sistema. Ako postoji problem – znate gde da ga tražite i što je najvažnije možete sami da ga otklonite. Ovo nije prednost ako se radi o kućnim korisnicima, ali u slučaju države, tim stručnjaka koji se stara o softveru će bez većih poteškoća otkloniti sve uočene probleme i prilagoditi sistem korisnicima.

Sledeća stavka je bezbednost kojom smo i počeli ovu raspravu. Softver otvorenog koda pišu ljudi, i sigurno je da u sistemima zasnovanim na takvom softveru postoje sigurnosni propusti. Međutim oni po pravilu nisu namerni, jer u izradi softvera ne učestvuje jedna “interesna grupa” ili jedna kompanija koja može sarađivati sa vladom svoje države i imati razne ciljeve, već zajednica ljudi različitih političkih ili religijskih ubeđenja a najčešće i različitih nacionalnosti. Uz to takvi propusti se veoma brzo pronalaze i popravljaju od strane zajednice jer je kod javno dostupan. Čak i ako se desi da postoji propust koji zajednica nije rešila tim stručnjaka koji je na raspolaganju jednoj državi i koji je zadužen za održavanje informacionog sistema državnog aparata može taj zadatak da preuzme na sebe i brzo reaguje. Kod softvera zatvorenog koda takva sitacija je nemoguća. Morate čekati da proizvođač popravi svoju grešku što u osetljivim sistemima može biti pogubno.

Jedina mana softvera otvorenog koda je što je često slabo dokumentovan, i uz to ima strmiju krivu učenja u odnosu na vlasnički softver. Ukratko, korisniku je teže da se privikne na taj softver jer je on često oblikovan po potrebama i očekivanjima stručnjaka.

Šta je sa Srbijom?

Cilj cele naše dosadašnje rasprave je uvod u ukazivanje na još jednu pogrešnu odluku političke elite u Srbiji – zasnivanje državnih informacionih sistema na vlasničkom softveru.

Na žalost, kao i kada je u pitanju većina značajnih tema i u ovoj sferi glavnu reč vode strane kompanije.
Srbija je svoje informacione sisteme zasnovala uglavnom na vlasničkom softveru, a pitanje licenci je najblaže rečeno u sivoj zoni. Softver koji se koristi u državnim institucijama je softver zatvorenog koda, neretko su to čak “piratske” verzije softvera koje na već postojeću zabrinutost o bezbednosti i ranjivost na opštepoznate rupe kakve koriste Stuxnet, Duqu, Flame i slična sajber oružja, dodaju nove probleme jer su takve kopije uglavnom sumnjivog porekla, i dela hakera koji često u razbijanju zaštita ostavljaju back door za sebe, što bezbednost državnih sistema dovodi pod još veći znak pitanja.

Naravno, kao i sve velike odluke u Srbiji i ova je prošla bez javne rasprave. Neko u državnoj administraciji je tako odlučio i bez rasprave ili konsultacija sa stručnjacima doneo političku odluku, najverovatnije iz lične koristi, lobirajući za interese stranih kompanija.

Uz to, što je prosto neverovatno, Poreska uprava države Srbije selektivno kontroliše legalnosti softvera instaliranog na računarima pravnih lica (najčešće malih i srednjih preduzeća), kontrolišući samo legalnost primeraka softvera određenih, naravno stranih, kompanija, dok istovremeno država u svojim institucijama neretko koristi nelegalne kopije tih istih proizvoda! Na taj način je jedna državna služba direkno stavljena u službu zaštite interesa grupe stranih kompanija. Kako se ovo zove u pravnoj terminologiji možete i sami da zaključite.

Izbor u sferi informacionih tehnologija je jednostavan. Ili zasnivate državni informacioni sistem na vlasničkom softveru i plaćate skupe licence i konsultacije u implementaciji stranim kompanijama, pri tom nasleđujući sve već pomenute probleme i rizike po bezbednost koje softver zatvorenog koda nosi sa sobom, ili gradite svoj sistem na softveru otvorenog koda i novac koji bi trošili na licence trošite na usavršavanje i obuku kadrova u svojoj zemlji koji će raditi na održavanju i prilagođavanju softvera specifičnim potrebama državnog aparata, pri čemu dobijate bezbedniji sistem koji je u potpunosti pod vašom kontrolom.

Kao i mnogo puta do sada, kad god su političari u Srbiji mogli da biraju između interesa stranih kompanija i domaćih firmi – izabrali su strance.