Артём

Кит принёс распечатку после обеда.

Он вошёл без стука, что у нас нормально, встал у стола, положил передо мной сложенный вдвое сверток и не сказал ни слова. Просто прищурился так, что глаза превратились в две щели.

— Что это?

— А ты почитай. Уверен, тебе будет интересно.

Я развернул. Обычная газетная страница. Относительно недавний выпуск.

«Тюменский вестник». Рубрика «Частное мнение». Имя «Марина Вершинина». Заголовок: «Облачно, местами перебои».

Ниже фотография. Дорогой смартфон Nokia, открыт браузер, в поисковой строке написано «Общение…».

Колумнистом, значит, стала на стороне шабашить. Известной стала в своих кругах. Ясно. Я стал читать, ага.

«Мы очень быстро привыкли к удобству. Ещё пять лет назад слово „аккаунт“ в нашем городе понимали в основном те немногие люди, кто регулярно сидел в Интернете, а сегодня учётные записи на форуме, сайте знакомств или в каком-нибудь дневнике есть у любого десятиклассника. Мы заводим почтовые ящики, регистрируемся на форумах, оставляем номера телефонов, заполняем анкеты. И почти никогда не задаём себе простой вопрос: а где, собственно, всё это лежит?»

Дальше шёл абзац про то, как приятно, когда сервис бесплатный.

'За последние полгода два городских форума, которыми пользовались тысячи тюменцев, прекращали работу на несколько суток. Один — из-за проблем у хостинг-провайдера, другой — по причинам, которые администрация публично так и не объяснила. Не так давно на наших глазах на несколько часов оказался недоступен популярный мессенджер Dornet, местная разработка, о которой в городе много говорят и у которой уже есть заметная аудитория. Разработчик сообщил, что имела место внешняя атака, и заверил пользователей, что данные не пострадали.

Я готова верить разработчику. У меня нет ни малейших официальных оснований для сомнений. Но мне кажется важным сказать вслух вещь, которая почему-то считается неприличной: доверие — это не гарантия. Когда мы отдаём свою переписку, свои телефоны и свои имена частному лицу, мы полагаемся исключительно на его добросовестность и на его аккуратность. У нас нет ни договора, ни страховки, ни возможности проверить, где именно стоит сервер и кто имеет к нему доступ.

Ничего страшного в этом нет. Пока ничего не случилось.'

Я дочитал до конца, вернулся к середине и прочитал ещё раз.

Ни одного вранья вроде как, чисто технически.

Форумы падали — падали. Dornet лежал — лежал. Атака была — была. Данные не пострадали — не пострадали, и она это написала. Она даже написала, что готова мне верить.

И после всего этого у любого человека, который дочитает колонку до конца, в голове останется ровно одна фраза. «Пока ничего не случилось». Сердоболка, которая гнусно и преступно устроила гадость, а теперь она строит из себя публичную «переживальщицу». Моль поганая.

— Ну? — сказал Кит.

— Красиво.

— Чего?

— Красиво сделано, говорю. — Я положил газету на стол и разгладил ладонью сгиб. — Тут ни к одному слову не придерёшься. Она нигде не утверждает, что у нас проблемы с безопасностью. Она сердобольно задаёт провокационные вопросы и делится тревогой.

— Она нас в один ряд поставила с форумом, который вообще «на бесплатном хостинге у школьника» лежал!

— Поставила. И это тоже правда, мы все трое лежали.

Кит навис над столом, упёршись костяшками в столешницу.

— Артём, ты что, спокоен?

Хороший вопрос.

Спокоен я не был. У меня внутри стояло ровное злое гудение, примерно как у каракала, когда он лежит один себе такой, балдеет и кто-то его пытается погладить. Мне очень хотелось взять телефон, набрать редакцию «Тюменского вестника» и сказать несколько тёплых слов про их новое имя.

Но я держал себя в руках и телефон не трогал.

— Я не спокоен, Кит, — сказал я. — Я просто не буду делать эмоциональные глупости. Мне же не дв… не пятнадцать лет. У меня лимит глупостей на месяц уже выбран, хах.

— Какие глупости, например?

— Например, звонить им или ей. Я один раз уже позвонил ей.

Кит хмыкнул. Он знал про звонок. Про «паскуду в юбке» он тоже знал и, кажется, до сих пор внутренне мне аплодировал.

— Ну и правильно тогда сказал ей кто она есть и что ты в курсе про её пакости.

— Это спорно, друг мой. — Я откинулся на спинку кресла, хлопнув ладонями по столешнице. — Кит, что она получила от моего звонка?

— Что?

— Информацию. Она теперь точно знает, что я знаю. И знает примерно, откуда я мог узнать. Не точно, но допустим, что это так. А получила она это бесплатно, за две минуты моего гнева.

Кит подумал. Он думал секунд пять, шевеля челюстью, и я видел момент, когда до него дошло.

— Блин.

— Вот тебе и блин.

— То есть теперь она подчистит хвосты.

— Уже подчистила, я думаю. И защиту себе усилила. Я бы на её месте усилил.

Я поднялся, подошёл к окну, приоткрыл жалюзи и стал задумчиво осматривать улицу. Внизу, на парковке, стояла моя машина и медленно превращалась в духовку. Ходили люди, бегали собаки, кошки. Летали птицы. Но не пустельга…

— Слушай, — сказал Кит за спиной. — А если ответить? У тебя же канал есть. Записал ролик, объяснил людям, как оно на самом деле было, и всё. Ну, помимо того, о чём мы информировали пользователей официально.

— И что я им объясню?

— Что нас положили специально. Что это заказ Вершининой. Пусть, сучка, получит свою порцию хейта. И знает, что ещё раз подобное телодвижение и она уже будет в кабинете следователя объясняться…

— Доказательства?

— Ну ты же сам говорил, что Паша нашёл на мутном форуме сообщение.

— Нашёл. Никнейм, ни о чём не говорящий, какой-то анонимный чел, и слова «молодая тёлка из Тюмени». — Я повернулся. — Кит, представь, что я это показываю на камеру. Как это выглядит со стороны в условиях уже сформированных десятилетиями и набирающих обороты стереотипов и общей гендерной повестки?

Он поморщился.

— Как нелепое оправдание? Ты это имеешь в виду своими заумными словами, братец?

— Хуже. Как истерика. Мужчина с серьёзным бизнесом выходит и рассказывает, что во всём виновата женщина, которая написала про него статью в газете. Там же сразу набегут боевые фемки бальзаковского возраста и их сервильные мужичонки, начнётся: «Настоящий мужчина должен. Обязан. Терпи. Твои доказательства — не доказательства. Да она же женщина, такая хрупкая и честная — как тебе не стыдно? Мамкин пирожочек буянит, ой, боимся-боимся». И сама Вершинина однозначно потом запустит кампанию «бедной и несчастной жертвушки». Или в вообще в ответку с обвинениями за клевету пойдет. У меня после такого ролика половина зрителей уйдёт, а ещё четверть останется поржать, но потом тоже уйдёт. Подобное заявление можно и нужно делать, но только, когда у тебя на руках есть железные доказательства.

— Понял. Принял. И что тогда?

Я вернулся к столу.

— Тогда — считать, анализировать, накапливать информацию.

— Ладно, поступай как правильнее. Мы тебя, если что, всегда прикроем и подставим плечо.

Мы пожали друг другу руки и Кит ушёл.

* * *

Считал и анализировал я постоянно.

Смотрел свои цифры. Регистрации в Dornet после выхода статьи Вершининой, отписки, активность в сообществах, обращения в поддержку. Кэт как раз собирала свою библиотеку типовых проблем и заодно вела учёт того, с чем к нам вообще приходят люди. Отдельно ещё я попросил её помечать вопросы, которые хотя бы косвенно касались безопасности: пароли, хранение переписки, доступ администрации, утечки, взломы. Хотелось понять не то, что люди думают о безопасности вообще, а что именно их волнует в нашем случае.

Я подошёл сам к её рабочему месту.

— Кэт, что там по жалобам?

Она подкатилась на кресле ближе к монитору, звякнув чем-то в ухе, жуя жвачку.

— Да эт, кароч… Ничего нового. Пароли забывают, это половина. Ещё жалуются, что в общих ветках мат имеет место быть. Один типок вчера написал, что его бывшая зарегистрировалась и теперь читает его сообщения в открытом сообществе. Мол, что за срамота, как это можно порешать. Я объяснила, что это не взлом, она ничего не нарушала. Как вариант — он может тщательно подходить к вопросу того, что пишет публично, чтобы не выдавать свои секретики.

— Ещё что?

— Спрашивали, можно ли восстановить пароль без старого пароля. Один хотел поменять логин и сохранить все сообщения. Ещё женщина спросила, почему после смены пароля её муж всё равно может зайти с её компьютера.

— Мда. И он может.

— Ну ясен пень! Если она не вышла из аккаунта и браузер сохранил авторизацию, конечно.

— И что ответила?

— Объяснила. Она потом зачем-то написала, что муж ей всё-таки не нравится больше, чем Dornet. Видать, баттхёрт от мужа, вот и решила кому-то выплеснуть чутка.

Я усмехнулся.

— Про безопасность что спрашивают?

— Единично, честно говоря. Вот, например, вчера один спросил. Написал: «А правда, что вы переписку читаете?»

— Ты что ответила?

— Ну так и ответила, что не читаем, и дала ссылку на твой пост, где ты объяснял, как хранятся пароли.

— И?

— И он написал «ага, спасибо» и ушёл.

— А про то, где физически лежат данные?

— Один спросил. Ему было важно уточнить, в Тюмени сервер или в Москве. Я сказала, что серверы находятся у хостинг-провайдера в столице, и дала официальный ответ.

— Про резервные копии?

— Пока никто.

— Про администраторский доступ?

— Тоже никто.

Я задумался.

— А технические вопросы? Не «а вдруг вы читаете мои сообщения под подушкой с фонариком», а что-нибудь конкретное?

— Погодь.

Кэт покрутила мышь.

— Был один. Парень явно разбирается. Спросил, шифруется ли соединение между клиентом и сервером и какой протокол используется.

— И что ты ему ответила?

— Что соединение защищено SSL. А конкретную конфигурацию и внутренние технические параметры мы не раскрываем. Потом он ещё раз уточнил, почему мы не можем сказать протокол.

— И?

— Ответила, что это уже внутренняя техническая информация, которую мы не публикуем. Он написал: «Понятно».

— Ладно. Нормально.

Кэт кивнула и снова повернулась к экрану.

— Ещё один спрашивал, где хранится пароль: в открытом виде или в виде хэша.

Я посмотрел на неё.

— И что ты сказала?

— Что в открытом виде пароли не хранятся.

— Формулировка правильная?

— Ну, насколько я понимаю, да. Паша ещё когда регистрацию переделывал, говорил, что сам пароль в базе вообще не нужен. При входе система проверяет то, что ввёл пользователь, с тем, что у неё сохранено. Я в код, конечно, не лезла, но это у нас так устроено.

— Хорошо.

— Смотри, тут вот ещё есть вопрос, например, про то, может ли сотрудник Dornet посмотреть чужую переписку через админку. И один человек спрашивал, что будет, если кто-нибудь украдёт базу.

— Что ответила?

— На первый вопрос сама не стала отвечать. Переслала Паше. Да и со вторым вопросом та же история.

— И что Паша ответил?

— Так… На первый он написал: «Сотрудники технической поддержки не имеют доступа к содержимому личной переписки пользователей. Административный доступ используется для обслуживания учётных записей и работы сервиса. Доступ к содержимому сообщений не входит в обычные административные функции».

— Хорошо. А про базу?

— «В случае компрометации базы злоумышленник не получит пользовательские пароли в открытом виде: они хранятся в виде односторонних хэшей. Доступ к самой базе ограничен, резервные копии хранятся отдельно. Подробности внутренней архитектуры и защиты мы не раскрываем».

Я кивнул.

— Нормально. Если человек спрашивает технически, пусть получает технический ответ. То, что можно сказать, говорим. То, что касается внутренней защиты, оставляем внутри.

Кэт снова посмотрела на список.

— Паша ещё написал, что если пользователь подозревает взлом аккаунта, ему нужно обратиться в поддержку, а не пытаться самому выяснять, кто туда заходил.

Я придвинулся ближе к её экрану и сам пробежал глазами «по диагонали». Большинство вопросов действительно были бытовыми. Людей интересовало, почему не приходит письмо, куда делся пароль, можно ли удалить аккаунт. Один человек боялся, что администрация читает его переписку. Другой хотел знать, может ли злоумышленник узнать его пароль. Третий просто спрашивал, почему Dornet вообще просит номер телефона.

Рутина.

Газетная статья звучала так, будто после неё половина города должна была броситься проверять, где лежит база и кто имеет к ней доступ. На деле люди продолжали жить своей жизнью.

Я посмотрел на цифры регистраций ещё раз, график снова пошёл вверх.

Единичные переживания в тему атаки и последовавших набросов на вентилятор и колонки от паскуды в юбке. При том, что газета выходит тиражом в несколько тысяч и лежит в каждом киоске.

* * *

Дальше я полез уже из своего кабинета на городские форумы, куда обычно и стекается всё, что в этом городе думают. Ветку про колонку нашёл быстро, на втором по счёту.

Двадцать шесть сообщений.

Первые три — пересказ статьи и ссылка. Дальше пошло веселее.

«Botanik72: ну а чо она написала не так? форумы падали, дорнет падал. факт есть факт»

«dimon_v: факт в том что дорнет подняли за сутки а мурзилкин форум лежал 4 дня и админ пил»

«Мурзилка: иди в задницу, я не пил я в отпуске был»

«dimon_v: ну да ну да»

«kater: смешно что про дорнет пишет тётка у которой свой форум. типа независимое мнение ага, верим, ёптить»

«Anna_S: а я не поняла в чем претензия. её сервис тоже в интернете лежит, чем он надёжнее»

«Botanik72: тем что про него в газете не пишут))»

«k_ozero: надули, нас просто надули!»

Дальше ещё сообщения примерно в том же духе, из которых половина — спор про то, кто где хранит пароли, и один человек посреди всего этого спросил, где скачать драйвер на принтер. Ему кто-то ответил, что там же, где и драйвер для кулера с водой.

Я откинулся в кресле и потёр глаза.

В целом, люди оказались умнее, чем она рассчитывала. Не все, конечно… Но городской форум — место, где любую подачу разбирают на запчасти в течение суток, просто из природной вредности. И то, что колонку написала владелица конкурирующей площадки, заметили без моей помощи довольно быстро.

Значит, отвечать не надо.

Точнее, отвечать надо, но с умом и не в газете.

Я взял блокнот и написал три пункта. Первый — снять на канал ролик про то, как вообще устроены пароли и почему нельзя ставить один и тот же везде. Не про Dornet, а вообще, для людей. Кибербезопасность для чайников — что-то вроде этого. Нужно будет ещё обмозговать содержание, чтобы было максимально полезно и, вместе с тем, не заумно. Второй — проследить, чтобы в итоговом варианте Центра Помощи обязательно присутствовала информация о том, где развернуты наши серверы, кто имеет доступ и что мы делаем с резервными копиями. Без раскрытия лишней информации, разумеется. Человеческим языком, без «в целях обеспечения». Третий пункт я написал и обвёл в рамку.

Юрист.

Да. Именно юрист!

Не для того, чтобы судиться прямо сейчас, бежать, аж волосы назад. Говоря о колонке Вершининой про мой мессенджер, судиться там реально не с чем при данном раскладе, а если и есть с чем, то мне это обойдётся дороже любого возможного результата. Юрист был нужен для другого. У меня накопился список вещей, которые я тащил на честном слове и на своём понимании, а понимание у меня инженерное. Пока система работает, легко считать, что с документами разберёмся потом. Потом обычно наступает тогда, когда уже поздно что-либо спокойно исправлять.

Права на код. Договор с Пашей. Режим коммерческой тайны, которого у меня, как выяснилось, вообще нет. Договоры с моими абонентами, написанные по шаблону позапрошлого века из интернета. Хмм… действительно, нужно было юридически разобраться, кому принадлежат результаты работы программистов, как оформлен доступ сотрудников к внутренней информации, какие обязательства у нас перед пользователями и какие формулировки в договорах могут однажды выстрелить. Отдельно хотелось проверить всё, что касалось пользовательских данных. Я прекрасно понимал, как устроена база и кто технически может до неё добраться. Это не означало, что я так же хорошо понимал, как эта ситуация должна быть оформлена на бумаге.

И теперь ещё вот это, газетное, которое сегодня безобидное, а через полгода может стать не безобидным.