Миний аюулгүй байдал чиний аюулгүй байдлаас хамаарна

CERT

Интернет сүлжээ өнөөгийнх шиг түгээмэл бус байсан 1988 онд Корнеллийн их сургуулийн судлаач оюутан Роберт Моррис Интернетийн тархацыг судлах зорилгоор нэгэн код бичсэн нь Моррисийн өт нэрээр алдаршиж дэлхий дээрхи хамгийн анхны олныг хамарсан кибер аюулгүй байдлын будлиан (incident) үүсгэжээ. Энэ нь хамгийн анхны өөрийгөө хувилж автоматаар бусдад халдаах чадвартай буюу өт (worm) ангиллын хортой код байсан бөгөөд Моррис уг кодыг хяналтаасаа алдсанаар 15хан цагийн дотор нийт 2000 компьютерт халдварлаж тэр даруй тэдгээр компьютерийг ямар ч ажиллагаагүй болгож байв. Халдвар авсан компьютерийг сэргээж хэвийн ажиллагаанд оруулахад дор хаяж хоёр өдөр зарцуулж байсан бөгөөд нийт будлианы үр дүнд 6000 орчим компьютер халдвар авч 100,000-10,000,000 долларын хохирол учруулжээ.

Моррисын өтний халдлагаас улбаалан АНУ-ын ЗГ энэхүү шинэ төрлийн аюул заналд хууль хүчний байгууллагууд нь бэлэн бус байгааг ойлгосон юм. Үр дүнд нь компьютерийн аюулгүй байдал судалдаг судалгаа шинжилгээний  тусгай институти байгуулах шийдвэр гаргав. 1988 оны 11 сард Карнеги Меллон Их Сургууль дээр Computer Emergency Response Team (CERT) нэрээр хамгийн анхны компьютерийн аюулгүй байдлын судалгааны хүрээлэн байгуулагдаж хууль хүчнийхэнд мэргэжлийн туслалцаа үзүүлэх болжээ. Энэ цагаас хойш ижил төстэй CERT-үүд дэлхий даяар бий болж аюулгүй байдлын салбар томрохын хэрээр ач холбогдол нь нэмэгдэн хөгжиж ирэв. Зөвхөн тухайн компаний дотоод CERT (маш том компаний хувьд), тухайн секторийн CERT, тухайн улсынх, бүс нутгийнх гэх мэтээр төрөлжиж гарав.

2001 онд Нью-Йорк хотноо хоёр өндөр террористуудын халдлагад өртсөнөөр АНУ үндэсний аюулгүй байдалдаа онцгойлон анхаарах болж Department of Homeland Security (манайхаар бол Дотоод Явдлын Яам) байгуулж харъяанд нь US-CERT хэмээх хүчний байгууллагын функц бүхий төрийн CERT бий болгов. Карнеги Меллоны CERT нь CERT/CC буюу Coordination Center статустай болж зөвхөн АНУ гэлтгүй дэлхий даяархи аюулгүй байдлын асуудалд анхаарч аюулгүй байдлын будлианы үед зохицуулагч (coordination) функц бүхий судалгаа шинжилгээний институти болж хувирав.

CERT хэмээх товчлол нь Карнеги Меллон их сургуулийн барааны тэмдэгт (trademark) учир зөвхөн будлианд хариу үзүүлэх функц бүхий байгууллагууд нь CSIRT (Computer Security Incident Response Team) нэрээр мөн ажиллах болжээ.

Миний аюулгүй байдал чиний аюулгүй байдлаас хамаарна

Япон Улсын CERT болох JPCERT-ийн уриа үг нь “Our security depends on your security” буюу махчлан орчуулвал “Миний аюулгүй байдал чиний аюулгүй байдлаас хамаарна” гэсэн утгатай байдаг.

Кибер орчинд гарч буй хэрэг төвөг, аюулгүй байдлын будлиан нь ямар нэг хил хязгаар орон зайнд хашигдахгүйгээр гэрлийн хурдаар дэлхий тойрох чадвартай учир компани хоорондын, сектор хоорондын, улс хоорондын хамтын ажиллагаа зайлшгүй чухал болж нэгдсэн нэг хүчээр “муу” залуустай тэмцэх шаардлага урган гардаг. Ялангуяа орчин үеийн технологийн дэвшил бид бүгдийг нэгэн том системийн жижиг элементүүд болгон хувиргаж байгаа үед системийнхээ аюулгүй байдлыг хангахын тулд элемент тус бүр хамтарч ажиллах чухал шаардлага бий болж байна.

Монголд саяхан гарсан нэгэн жишээг дурьдвал томоохон арилжааны банкны картын системд асуудал үүсч доголдоход тухайн банкны карт эзэмшигчид өөр банкны POS машин дээр картаа зурсан ч гүйлгээ нь шилжиж орохгүй байх магадлал үүсч байв. Бизнесийн өнцгөөс харахад өрсөлдөгч банкны систем доголдох нь харилцагчдыг нь өөртөө татах сайхан боломж бүрдүүлж магадгүй ч уг банкинд өөрт нь шууд санхүүгийн эрсдэл учруулах буюу POS машиныг нь ашиглаж буй үйлчилгээ үзүүлэгчдэд хийгдээгүй төлбөрийнх нь дүнг шилжүүлэх шаардлага үүсгэж болзошгүй.

Ийм учир бизнесүүд үнэ, үйлчилгээгээ мэтээрээ өрсөлдөхөөс аюулгүй байдлаар өрсөлдөж болохгүй гэдгийг шийдвэр гаргагчид анхаарах хэрэгтэй болж байна.

MNCERT/CC

Өмнө дурьдсанчлан бизнесүүд эсвэл улс орнууд аюулгүй байдлын тал дээр хамтран ажиллах шаардлагатай юм бол дундын хэн нэгэн этгээдэд бүгд итгэх хэрэгтэй болно. Энэхүү “итгэл даагч” маань нарийн төвөгтэй технологийн орчинд аюулгүй байдлаар мэргэшсэн, аливаа кибер халдлага, будлианы үед талуудын хооронд зохицуулалт хийж хохирлыг хамгийн бага түвшинд аваачих чадвартай байх ёстой. Ихэнх улс оронд энэхүү чиг үүргийг хамгийн эхэнд дурьдсан CERT хэмээх байгууллага хэрэгжүүлэх бөгөөд тухайн улсын CERT нь төрөөс санхүүждэг төрийн байгууллага хэлбэртэй, эсвэл гишүүнчлэлээр санхүүждэг ТББ хэлбэртэй байх тохиолдлууд олон.

Монгол Улсын хувьд хамгийн анх тухайн үеийн КТМС-ийн багш нар болон бусад аюулгүй байдлын мэргэжилтнүүдээс бүрдсэн баг MonCIRT нэртэй ТББ 2007 онд бүртгүүлж байв.

2014 оны 3 сард MNCERT/CC нэртэй будлиан зохицуулах функц бүхий төрийн бус байгууллага байгуулагдаж төрийн болон хувийн хэвшлийн байгууллагуудад зөвлөмж өгөх, будлиан зохицуулах, олон нийтэд цахим аюулгүй байдлын талаар мэдлэг түгээх гэх мэт ажлуудыг хийж эхлээд байна.

Будлиан зохицуулах тал дээр MNCERT/CC дээр саяхан тохиолдсон жишээ гэвэл нэгэн гишүүн компаний сүлжээнд үйлчилгээ бусниулагч (DDoS) халдлага ирж тухайн байгууллагын үйлчилгээг доголдуулж эхэлсэн бөгөөд халдлагын эх үүсвэр БНСУ-д бүртгэлтэй IP хаягнаас гарч байсан тул бүс нутгийн CERT буюу APCERT (Asia Pacific CERT)-д хандаж, APCERT БНСУ-ын CERT болох KN-CERT-д дамжуулсанаар нийт 30 минутын дотор уг хаягнаас гарч буй трафикийг хязгаарлан халдлагыг зогсоож чадсан юм.

Information Sharing буюу мэдээлэл хуваалцах

Бизнесийн нууцлал зэргээс шалтгаалан өрсөлдөгч байгууллага, улс орон, хувь хүмүүс цахим халдлагатай холбоотой мэдээллээ нуух шаардлага их гардаг. Гэтэл нөгөө талд “муу” залуус болох гэмт хэрэгтнүүд, хактивист (хакер+активист буюу үзэл бодлоо хакдах замаар илэрхийлэгч нийгмийн идэвхитэн)-ууд үр ашигаа ихэсгэж баригдах эрсдэлээ багасгахаар Darknet хэмээн нэршсэн үй түмэн цахим сувгаар мэдээллээ солилцож нэгнээсээ суралцаж байна. Хэрэв “сайн” талынхан нэг талдаа гарч нэг нэгэндээ тохиолдсон явдлаа “итгэж” ярихгүй л бол бид “муу” залуусаас байнга л нэг алхамын хойно хоцорсоор байх болно.

Хийсвэр жишээ гэвэл аль нэг оператор компаний сүлжээнд тодорхой имэйл хаягнаас хортой код тарааж буй фишинг имэйл ирлээ гэж бодьё. Хэрэв тухайн имэйлийн header мэдээлэл зэргийг яаралтайгаар бусад операторууддаа хуваалцвал өөрсдөдөө тулгарсан асуудлыг бусад оролцогчиддоо сэрэмжлүүлж өмнө дурьдсан нийт “систем”-ийн аюулгүй байдлыг хангахад хувь нэмрээ оруулах юм.

Дүгнэлт

Технологи хурдацтай хөгжиж хүн төрөлхтөн улам нэг нэгнээсээ хараат амьдрах болсон энэ цаг үед сайны хажуугаар саар гэгчээр бидний амьдралд авчирч буй хөгжил дэвшлийн тоогоор нөгөө талд нь харгалзах эрсдэлүүд бий болсоор байна. Бид цаашид ч улам л нэг нэгнээсээ хамаарч амьдрах нь ойлгомжтой тул “Our security depends on your security” гэх үгийг санаж ядаж аюулгүй байдлын хувьд олон талд хуваагдах бус “сайн”, “муу” гэсэн хоёр л талдаа эртхэн гарч байвал зүгээр бололтой.

Аюулгүй байдлын талаархи алдаатай ойлголтууд

Монголд түгээмэл анзаарагдсан байгууллагын мэдээллийн аюулгүй байдлыг хангахад гардаг ойлголтын зөрүүнүүдийн талаар бичихийг хичээлээ.

Балансыг олох

Ихэнх мэдээллийн систем гурван үндсэн шаардлагыг хангаж байх ёстой байдаг. Эдгээр нь UX/UI буюу хэрэглэгчийн интерфэйсийн дизайн, Performance буюу гүйцэтгэлийн хурд, Security буюу аюулгүй байдал. Энэхүү гурван шаардлага жингийн туухай мэт балансаа олж байх ёстой. Өөрөөр хэлбэл хэрэглэгчийн интерфэйсдээ хэт их анхаарвал аюулгүй байдал болон гүйцэтгэлийн хурд орхигдох магадлалтай эсвэл хэт хурдан систем хийж байна гээд хүн хэрэглэхэд түвэгтэй, онгорхой цоорхой нүх сүв ихтэй юм бас бүтээчих боломжтой. Өөрөөр хэлбэл 100% аюулгүй эсвэл 100% хурдан систем байх боломжгүйтэй адил 100% хэрэглэгчийн таалалд нийцсэн систем оршин тогтнох боломжгүй юм. Тэгэхээр тухайн системийн эцсийн зорилго болон хэрэглэгчээс хамаарч энэхүү жингийн тухай дээш доош хэлбэлзэх ёстой. Өөрөөр хэлбэл залууст зориулсан нийгмийн сүлжээний хувьд хэрэглэгчийн интерфэйс болон ажиллагааны хурдандаа илүү анхаарах шаардлагатай бол банкны систем аюулгүй байдлаа илүүд үзэж дунд зэргийн хурдтай хэрэглэгчийн интерфэйс тийм ч чухал биш байж болно.

Эдийн засгийн үр ашигтай байдал

Ямар ч хөрөнгийг мөнгөн дүнгээр илэрхийлэх боломжтой. Бэлэн мөнгө, үнэт цаас, үл хөдлөх, автомашин гэх мэт бодит хөрөнгийг мөнгөөр үнэлэх нь ойлгомжтой бол цаасан дээр эсвэл серверт хадгалагдаж буй үнэ цэнэтэй мэдээллийн хөрөнгийг хэрхэн мөнгөн дүнгээр илэрхийлэх вэ.

Түгээмэл ашиглагддаг энгийн аргууд нь тухайн нууц бөгөөд үнэ цэнэ бүхий мэдээллийг ашигласнаар хэдэн төгрөгний орлого олох боломжтой эсвэл тухайн мэдээллийг өрсөлдөгчдөө алдсанаар хэдий хэмжээний хохирол учирч болзошгүй зэрэг бизнесийн болон эрсдэлийн тооцооллоор мэдээллийн үнэ цэнийг тодорхойлдог. Жишээлбэл банкны үндсэн систем 5 минут унахад банкинд хийгдэж болох байсан хэчнээн гүйлгээ дунд нь гацаж банкинд орж ирэх ёстой байсан хэдий хэмжээний орлого тасалдах, мөн уг саатлаас шалтгаалан унах бизнесийн нэр хүнд зэргийн нийлбэр тооцооллоор тухайн мэдээллийн системийн (хөрөнгийн) хүртээмжтэй байдлын үнэ цэнийг тодорхойлж болно.

Нэгэнт хөрөнгийн үнэ цэнийг тодорхойлсон нөхцөлд энэхүү үнэнд тохирсон хамгаалалт хийх нь ойлгомжтой. Өөрөөр хэлбэл 100 долларын мэдээллийг хамгаалахын тулд 1000 долларын үнэтэй firewall ашиглах шаардлагагүй, эсвэл унасан тохиолдолд минутанд л 1000 доллар алдах системийг хамгаалахаар 200 долларын рүтер тавьж болохгүй гэсэн үг.

Мэдээллийн аюулгүй байдал ганц Монголд гэлтгүй олон газар айлын шоовдор хүүхэд шиг байх тохиолдол их. Байгууллагын голлох хөрөнгө оруулалтууд бизнес хөгжил, маркетинг гэх мэт мөнгө олж ирэх нэгжүүдэд зарцуулагдаад мөнгө алдахаас сэргийлэх үүрэгтэй аюулгүй байдалд үлдсэн жаахан шавхрууг нь наах тохиолдол элбэг. Ийм учир мэдээллийн үнэ цэнийг зөв тодорхойлсоноор аюулгүй байдалд зоригтойгоор хөрөнгө оруулалт хийх үндсийг бүрдүүлж өгөх боломжтой.

PoLP

Principle of Least Privilege буюу хамгийн бага эрхийн зарчим гэсэн ойлголт аюулгүй байдалд бий. Жишээлбэл хандах шаардлагатай хүнд нь л хандах эрхийг өг, гэхдээ хамгийн бага байдлаар өг гэсэн санаа юм. Монголд анзаарагдсан нэг зүйл дарга захирлууд ямар ч системд хандах өндөр эрхтэй байх ёстой гэсэн бичигдээгүй дүрэм. Захирал хүн мэдээж их мэдээлэл дундаас зөв шийдвэр гаргах ёстой нь үнэн байх. Гэхдээ аюулгүй байдлын өнцөгөөс харахад уг байгууллагын захирал өөрөө аюулгүй байдлын том эрсдэл болж хувирдаг. Захиралд магадгүй компаний ашиг алдагдлын тайланг үзэх эрх байж болох ч гүйлгээ шивэх эсвэл системийн хандалтын логийг хянах эрх байх нь зохимжгүй. Захирал гүйлгээ шивэх шаардлагатай бол энэ ажлыг хийх үүрэгтэй нягтлан шивж захирал баталгаажуулах эрхтэй байх ёстой.

Өөрөөр хэлбэл албан тушаал дээшлэх тусам системд хандах эрх өндөрсөх албагүй бөгөөд системд хандах эрхийн түвшин нь ажил үүргийн хуваарийн дагуу хэн юу хийж байгаагаас шалтгаалах зайлшгүй шаардлагатай.

Боомтондоо зогсож буй усан онгоц хамгийн эрсдэлгүй нь

МАБ-ын эрсдэлийг үнэлэх нь харьцангуй ойлголт. Хүссэн ч эс хүссэн ч үйл ажиллагаа явуулж буй нөхцөлд аюулгүй байдлын аливаа эрсдэл гарах нь үнэн бөгөөд уг эрсдэлээс үүсч болох сөрөг үр дагавар болон уг эрсдэл биелэх магадлал нь тухайн эрсдэлийн авч үзэх шаардлагатай эсэхийг тодорхойлдог. Өөрөөр хэлбэл УБ хотод дата төвийн барилга дотор гал гарах эрсдэл нь газар хөдөлж уг дата төвийг нураах магадлалаас өндөр учир илүү бодитой байх жишээтэй. Юу ч хийхгүй байгаа нөхцөлд л эрсдэл алга болно гэхээс үйл ажиллагаа явуулж байгаа л бол тодорхой хэмжээний эрсдэл үүсэх нь үнэн. Ийм ч учир боомтондоо зогсож буй усан онгоц л хамгийн эрсдэлгүй нь гэж хошигнодог байх. 

Аюулгүй байдлын эрсдэлийн үнэлгээг тооцох олон янзын аргачлал байдгаас хамгийн энгийн нь:

Э=Ү*М*Ж гэсэн томъёо байх.

Уг томъёоны Э үсэг нь Эрсдэлийн оноо бол Ү нь тухайн эрсдэл бодитоор бий болсоноор гарч болох сөрөг Үр дагавар, М нь уг эрсдэл гарах Магадлал, Ж нь уг эрсдэлийн Жин (weight) юм.

Энэхүү томъёонд гарч буй Ж буюу жин нь тухайн эрсдэлийн ач холбогдолын эрэмбэ юм. Жишээлбэл компаний зөвхөн мэдээлэл түгээдэг вэбсайт хакдуулах болон шинэ бүтээгдэхүүний жорыг өрсөлдөгчид алдах эрсдэлүүдийг нэг эрэмбээр тооцож үнэлэх ёсгүй. If everything is priority nothing is priority буюу хэрэв бүх юм чухал гэж үзэж буй бол юу ч чухал биш болж таардаг гэсэн үгний утга энд бий. Тухайн бизнесийг байхгүй болгох эрсдэл нь хүн ордог эсэх нь ч тодорхойгүй статик вэб хуудас хакдуулах эрсдэлтэй нэг түвшинд тооцогдох нь утгагүй учир ийнхүү жигнэдэг хэрэг.

Иймээс аюулгүй байдлын бодлого зохицуулалтын түвшинд эрсдэл тус бүрийг олж илрүүлэн жигнэж эрсдэлийн оноогоор нь эрэмбэлэх нь чухал алхам юм.

Керчхофын зарчим

19-р зуунд Голландын криптографикч Аугусте Керчхоф криптографийн нэгэн зарчим тодорхойлсон нь өнөөдөр дэлхий даяар крипто системийн үндсэн баримтлах ёстой жишиг болжээ. Энэхүү зарчмыг Монголоор махчлан сийрүүлвэл “Аливаа шифрийн нууцлал нь тухайн шифрийг үүсгэж буй алгоритмын нууц эсэхэд бус тухайн шифрийг нууцалсан нууц үгний найдвартай байдалд оршино”

Энгийнээр тайлбарлавал шифр буюу нууц мэдээллийг хэрхэн нууцалсан нь нийтэд ил байснаар асуудал үүсгэхгүй бөгөөд харин тухайн мэдээлэлд хандах түлхүүр буюу нууц үг найдвартай байгаа нөхцөлд уг мэдээлэл нууцлалаа хадгалах юм. Өөрөөр хэлбэл тухайн шифрийг үүсгэж буй процессийн нууцлалд шифрийн найдвартай байдлыг даатгаж болохгүй гэсэн санаа.

Монголд тогтсон нэг буруу ойлголт байдаг нь нээлттэй эхийн програм хангамжийн эх код бүгдэд ил харагдах учир найдваргүй аюултай, үүний оронд эх кодоо нууцлаад өөрөө “гэртээ” (in house) нүдэж байгаад нэг юм хийчихвэл хэн ч миний юу хийснийг ойлгохгүй учир аюулгүй байдлын хувьд илүү найдвартай гэх ойлголт.

Хэдийгээр Керчфхофын зарчим яг энэ жишээг дурьдаагүй ч ер нь төстэй нөхцөл байдал. Өөрөөр хэлбэл тухайн системийн эх код буюу тухайн системийг бүтээх процесс нийтэд нээлттэй байх нь өөрөөс нь өөр хэн ч хараагүй кодноос илүү аюултай гэсэн баталгаа хаана ч байхгүй. Харин ч эсрэгээр эх код нь нээлттэй байснаар илүү олон нүд алдаа мадагийг нь шүүж нүх сүвийг нь битүүлсэн бүтээгдэхүүн гарах магадлалтай. Харин нээлттэй эх дээр тулгуурласан уг системийг хэрхэн арчилж хамгаалж буй болон нэвтрэх нууц үгний найдвартай байдал зэрэг нь тухайн системийн нууцлалыг хангах ёстой юм.

Монголд нэг хэсэг бүгд Joomla хэмээх нээлттэй эхийн Content Management System (CMS) ашиглаж вэб хуудастай болдог байв. Нэг өдөр Joomla дээр олдсон цоорхойг ашигладаг автомат скриптээр гаднаас халдлага хийхэд .mn домэйнтэй хамаг вэбүүд хиар цохиулав. Ганц нэг аюулгүй байдлын нэмэлт плагин суулгасан вэбүүд хакдуулаагүй үлдсэн санагдаж байна. Үүний дараа манайхан учиргүй нээлттэй эхийн бүтээгдэхүүнүүдийг харааж найдваргүйг нь гайхав. Надад бол 1. Автомат скриптэнд хиарахаар бүгд адилхан тохиргоотой олон вэб байсан нь өөрөө асуудал 2. Хэрэв нэмэлт плагин суулгах, тохиргоогоо чангатгах гэх мэт арга хэмжээ авсан бол заавал ийм хаканд унах учиргүй байсан байх.

Магадгүй гэртээ нүдэж хөгжүүлсэн систем ядаж ийм автомат скриптэнд унахгүй байсан байж магад. Гэхдээ тохиргоог нь чангатгасан Joomla ямар ч тохиолдолд хэдхэн хүний “нууцалж” байгаад бүтээсэн вэбээс илүү найдвартай гэдэгт би итгэдэг.

Технологи бол хариулт биш, технологи бол асуулт

Эцэст нь технологи бол аюулгүй байдлын асуудлуудыг шийдэх хариулт нь биш харин улам олон асуулт нэмж бий болгодог эд. Мэдээж технологигүйгээр өнөөгийн ертөнцөд хамгаалалт хийх боломжгүй ч дан ганц технологид найдсанаар аюулгүй сууна гэсэн баталгаа байхгүй.

Мэдээллийн аюулгүй байдал нь хүн, процесс, технологи гэсэн үндсэн 3 багана дээр тулгуурладаг учир үнэтэй антивирус авч суулгах төдийгөөр вирустэх аюулаас бүрэн зайлсхийх боломжгүй. Харин уг системийг ашиглаж буй хүн найдваргүй имэйлийн хавсралт нээхгүй хэмжээний ойлголттой, уг антивирусны програм нь өдөр болгон баазаа шинэчлэх процессийн тохиргоотой байж аюулгүй байдлын эрсдэл буурна.

Үлгэрлэбэл 30 мянган долларын үнэтэй нарийн функцууд бүхий firewall тавьчихаад уг төхөөрөмжийг ажиллуулах үүрэгтэй сисадминдаа эдгээр нарийн функцуудийг хэрхэн ашиглах сургалтыг нь авч өгөхгүй эсвэл firewall дээрээ юуг блоклох юуг нэвтрүүлэх журам нь тодорхойгүй бол зарцуулсан 30 мянган доллар тань салхинд хийссэнээс өөрцгүй.

Хэнд ч нуух юм бий

Сарын өмнө онлайн болзооны сайт болох Ashley Madison хакдуулж гишүүдийнх нь их хэмжээний мэдээлэл алдагдав. AshleyMadison сайт нь эхнэр/нөхрөө араар нь тавих зорилготой хүмүүсийн уулздаг сошиал сүлжээ бөгөөд мэдээлэл алдагдах үед бараг 40 орчим сая гишүүдтэй байсан гэнэ. Хакерууд AshleyMadison -ийг үйл ажиллагаагаа зогсоохыг шаардаж эс бөгөөс хулгайлж авсан мэдээллээ олон нийтэд ил болгохоо зарлан 30 хоногийн хугацаа өгөв. AshleyMadison шаардлагыг нь биелүүлээгүй учир өчигдөр буюу 8 сарын 19-ний өдөр нийт 32 сая хэрэглэгчийн овог нэр, гэрийн хаяг, утасны дугаар болон AshleyMadison дээр кредит картаар хийсэн гүйлгээний утгууд олонд дэлгэгдэв. Өмнө дурьдсанчлан AshleyMadison-ий хэрэглэгчид нь голчлон нууц амраг хайсан эхнэр/нөхрүүд байсан учир эдгээр мэдээлэл нь хэчнээн гэр бүлийн амьдралыг бусниулж хэрүүлийн үр тарьж буйг таашгүй.

 

Ashley Madison-ийг хакадсан нөхдүүд мэдээллийг нь ил болгохдооо бичсэн захиа

АНУ-д Снөүдэний дуулианы дараа гарч байсан маргаан нь хувь хүний нууц чухал уу, нийгмийн аюулгүй байдал чухал уу гэсэн сэдэв дээр голчлон тогтож байв. Өөрөөр хэлбэл хувь хүн бүрийн орон зай, нууцыг хүндэтгэх эсвэл илүү олон хүнийг хамгаалахын тулд хүн бүрийн хувийн орон зайд халдаж сэжигтэй/аюултай харилцаа холбоо тогтоох нь уу хэмээн байнга тагнаж чагнаж байх нь дээр үү гэсэн сонголт юм. Төр засаг, хууль хүчний байгууллагынхан нийгмийн аюулгүй байдлыг сахин хангахын тулд хувь хүн бүрийн харилцаа холбоог тагнаж чагнаж байх ёстой/эрхтэй гэж үздэг хүмүүсийн гол аргумент нь "Хэрэв хууль бус юм хийгээгүй л юм бол төр засгаас юугаа нуух гэсэн юм"  буюу бусдынхаа аюулгүй байдлын төлөө тагнуулах л үүрэгтэй/ёстой гэдэг. Харин Ashley Madison сайт хакдуулж мэдээлэл нь задарсанаар энэ аргументэд томоохон хариулт өгч байх шиг байна. Өөрөөр хэлбэл эхнэр/нөхрөө араар тавих нь ямар нэгэн хууль зөрчөөгүй боловч тухайн хүний хувьд ичгэвтэр/ёс суртахуунгүй үйлдэл мөн. Ashley Madison -ий хэн нэгэн гишүүн хэдийгээр бүх хууль журмыг сахиж амьдардаг ч гэр бүлийн асуудалтай бол үүнийгээ бусдаас нуух сонирхол байх нь зайлшгүй. Тиймээс ганцхан террорист, гэмт хэрэгтнүүд бус хувь хүн бүр өөрийн гэсэн нуух шаардлагатай өчүүхэн ч болтугай "гэм" бий бөгөөд энэхүү "нууц"-ыг төрийн нэрээр далайлгаж гэмт хэрэгтэй тэмцэх далбаан доор ил гаргах нь байж болшгүй асуудал юм.

Нийтийн аюулгүй байдлын төлөө хувь хүнийг "нүцгэлэх" нь

Яагаад энэ сэдвээр бичээд байна вэ гэвэл өмнөх блог дээр дурьдсанчлан Монголд хууль хүчний байгууллагууд бараг толгой дараалан дижитал харилцааг тагнаж чагнах програм хангамж худалдаж авсан нь 2014 оноос хойш тодорхой боллоо. Хууль хүчнийхэн ажлаа сайн, "зөв" хийж зөвхөн гэмт хэрэгтнүүдтэйгээ л тэмцэж байгаа байх гэж найдахаас өөрөөр хувийн орон зайгаа хадгалж үлдэхэд хэцүү болж буй бололтой.

Үндсэн хуулийн өөрчлөлт болон хувь хүний нууцлал

АНУ анх байгуулагдаж үндсэн хуулиа баталсанаас хойш нийт 27 удаа үндсэн хуулиндаа өөрчлөлт хийжээ. Үүнээс миний мэдэхээр хамгийн чухал хоёр өөрчлөлт нь Үндсэн хуулийн 1-р өөрчлөлт (First Amendment) буюу хувь хүн үзэл бодлоо чөлөөтэйгээр илэрхийлэх эрхийг баталгаажуулж өгсөн өөрчлөлт байдаг бол Үндсэн хуулийн 4-р өөрчлөлт нь (Fourth Amendment) нь тухайн иргэнийг тодорхой сэжиглэх үндэслэлгүйгээр төр засгийн зүгээс тагнаж чагнах эрхийг хязгаарлаж өгсөн байдаг. Үндсэн хуулийн энэхүү 4дэхь өөрчлөлт АНУ-д төр засгийнх нь бүхий л үйл ажиллагаанд нөлөөлж өгсөн байдаг бөгөөд гудамжаар явж байгаа замын болон эрүүгийн цагдаа тухайн иргэнийг ямар нэгэн зөрчил гаргаагүй л бол зогсоож шалгах тохиолдол тун цөөн. Хэрэв зам дээр машин бариад ямар нэгэн зөрчилгүй явж байхад замын цагдаа зогсоож шалгавал тухайн иргэн уг цагдааг өөрт нь Үндсэн хуулийн 4дэхь өөрчлөлтөөр олгосон эрхийг зөрчсөн буюу өөрийг нь үндэслэлгүйгээр тагнаж цагдсан шалтгаанаар шүүхэд өгөх эрхтэй.

2 жилийн өмнө мандсан Снөүдэний хэрэг гэгч дуулиан mass electronic surveillance буюу АНУ үндэсний аюулгүй байдлаа хамгаалах зорилгоор өөрсдийн иргэдийн электрон харилцаа холбоог “бөөн”-дөж чагнаж буйг илрүүлсэн юм. Уг асуудлаар удаан хугацаанд Америкийн нийгэм маргалдсаны эцэст 2015 оны 5 сард Холбооны шүүх энэхүү дотоодын иргэдээ тагнах үйл ажиллагаа нь хууль бус хэмээн шийдвэрлэв.

АНУ-д хууль хүчний байгууллага дараах схемийн дагуу гэмт хэргийн нотлох баримт бүрдүүлдэг. 

Үүнийг махчилан орчуулбал:

Mere suspicion: Сэжиг төдий

Reasonable suspicion: Үндэслэлтэй сэжиг

Probable cause: Магадлалтай

Preponderance of the Evidence: Үндэслэх баримттай

Clear and convincing evidence: Тодорхой бөгөөд үнэмшилтэй нотлох баримттай

Beyond a reasonable doubt: Эргэлзэх зүйлгүй

Үүнийг тайлбарлавал иргэн Болд нь тухайн гэмт хэргийг үйлдсэн байх магадлал 0-5% байгаа нөхцөлд сэжиг төдий (mere suspicion) бол нотлох баримтаар батлагдаж гэмт хэрэг хийсэн нь хөдөлшгүй үнэн болсон нөхцөлд Эргэлзэх зүйлгүй (Beyond a reasonable doubt) гэж ойлгодог. Харин хууль хүчний байгууллага иргэн Болдыг гэмт хэрэгт сэжиглэж буй нөхцөлд дор хаяж Болд тухайн хэргийг үйлдсэн байх магадлал 30% буюу Probable Cause байхад шүүхээс тухайн хүнийг тагнаж чагнаж хэргийн эд мөрийн баримт цуглуулах зөвшөөрөл хүсдэг. Иргэн Болдыг чагнаж тагнасны үндсэн дээр мань хүн хэрэг хийсэн нь 51%-ийн магадлалтай болсон нөхцөлд оргон зугтаах эсвэл нийгэмд хохирол учруулах магадлалтай үед баривчлах зөвшөөрөл шүүхээс хүснэ.

Миний хувьд хуульч биш учир Монгол улсад тагнаж чагнах болон баривчлах эрх ямар нөхцөлд яаж үүсдэгийг мэдэхгүй байна. Харин Монгол Улсын Үндсэн Хуулийн Арван Зургадугаар зүйлийн 17-д Монгол Улсын Иргэн нь: төр, түүний байгууллагаас хууль ёсоор тусгайлан хамгаалбал зохих нууцад хамаарахгүй асуудлаар мэдээлэл хайх, хүлээн авах эрхтэй. Хүний эрх, нэр төр, алдар хүнд, улсыг батлан хамгаалах, үндэсний аюулгүй байдал, нийгмийн хэв журмыг хангах зорилгоор задруулж үл болох төр, байгууллага, хувь хүний нууцыг хуулиар тогтоон хамгаална; гэж заасан нь тодорхой хэмжээнд хувийн нууцлалыг баталгаажуулж өгсөн бололтой. Харин яг төрийн хардлага сэрдлэгээс иргэн хүнийг хамгаалсан хууль эрхзүйн акт би хайгаад олсонгүй.

Саяхан Wikileaks сайтаар дамжуулан нийтэд дэлгэгдсэн Италийн Hacking Team компаний имэйл харилцааг харж байхад манай хууль хүчний нэлээд олон байгууллага тэдний бүтээгдэхүүнийг худалдаж авахаар сонирхож байсан бололтой. Үүнд АТГ, ТЕГ-ийн гүйцэтгэх ажиллагаа, ЭЦГ-ийн зохион байгуулалттай гэмт хэрэгтэй тэмцэх, Шүүхийн Шийдвэр биелүүлэх, Төрийн Тусгай хамгаалалт зэрэг газрууд Hacking Team-ийн Remote Control System-ийг сонирхож иргэдээ тагнаж чагнахаар 2011 оноос хойш оролдож байгаад АТГ л 2016 оны 6 сар хүртэл ашиглалтын лицензийг нь худалдан авсан бололтой. Үүний өмнө Гамма компаний FinFisher хэмээх тагнуулын програм хангамжийг ТЕГ-ийн гүйцэтгэх ажиллагаа худалдаж авсан нь 2014 оны 8 сард илэрч байсан билээ.

Hacking Team –ийн Remote Control System -ийг SafeBit компанийхан туршиж үзсэн үр дүн нь “аймаар” ч юм шиг. Өөрөөр хэлбэл энэхүү системийн тусламжтайгаар хувь хүнд нууцлал гэх ямар ч ойлголт байхгүй болж хууль хүчнийхэнд “дэлгэсэн тэрлэг” шиг хамгаа үзүүлэх боломжтой бололтой.

Энэхүү дуулианыг харж байхад хүмүүс хоёр янзын реакц үзүүлж байх шиг байна. Нэг хэсэг нь АТГ хууль зөрчлөө гэж буй бол нөгөө хэсэг нь авилгачдыг л тагнаж байгаа биз, зөв ухааны юм ярьж байх. Миний бодлоор АТГ хууль зөрчөөгүй бөгөөд Авилгын эсрэг хуулийн 18.4.5-д АТГ нь авлигын гэмт хэргийг илрүүлэх, таслан зогсоох зорилгоор гүйцэтгэх ажил явуулах, гүйцэтгэх ажил эрхэлдэг бусад байгууллагуудтай хамтран ажиллах; эрхтэй хэмээн заажээ. Харин энэхүү тагнаж чагнах ажиллагаа ямар процессийн дагуу явж байгаа, хэн нэгэн даргад таалагдаагүй нөхрийг тагнаж чагнах эрх шууд үүсч байгаа эсэх л бидний санаа зовох зүйл. Нөгөө талын шүүмжлэгчдэд зориулж хэлэхэд ямар ч хувь хүнийг “ухах”-ад замын хөдөлгөөний дүрэм зөрчихөөс эхлээд эхнэрээ араар нь тавих мэтийн бусдаас нуух шаардлагатай “но” гарч ирдэг юм шүү. Өөрөөр хэлбэл тухайн албан тушаалтанг авилгын хэргээр эхлэн тагнаж байгаад сүүлдээ нотлогдохоо баймагц тухайн хүний талаар олж авсан “хувийн нууцлал” бүхий мэдээллүүдээсээ шүүж Диплом хуурамчаар үйлдсэн гэх мэт огт хамааралгүй хэргээр ял өгдөг асуудал бийг санаж явахад илүүдэхгүй биз.

Эрхзүйт төрийн доорхи эрх чөлөөт нийгэмд амьдарч буй бол Ж.Орвеллийн 1984 зохиол дээрхи “Big Brother”-аас нуугдаж хэн намайг яах бол гэж амьдрах нь утгагүй юм. Иймийн тулд одоо Үндсэн хуулийн өөрчлөлт ярьж буй улстөрчид маань төрийн институциудын харилцааг зохицуулах заалтуудынхаа хажуугаар хэзээ ч Big Brother болоод хувирчихаж магадгүй хууль хүчнийхэнээсээ ард иргэд биднийгээ хамгаалсан зүйл заалт оруулж өгөөсэй гэж хүсэх байна. 

Цаг урагшлуулах шийдвэр ба Ухаалаг төр

Ерөнхийлөгч Ц.Элбэгдорж “Ухаалаг Төр”-ийн тухай лоозон дэвшүүлсэнээс хойш хоёр жил өнгөрчээ. Харин 20-иод хоногийн өмнө шийдэж урд шөнө өөрчилсөн цаг шилжүүлэх тухай тогтоолыг харахад энэ лоозонг хад руу хашгираад өнгөрсөн бололтой.

Улаанбаатарын “шинэ” цагаар 2015 оны 3 сарын 29-ний шөнө 2 цаг 14 минутад нийт хайлтын системийн зах зээлийн 70%-ийг эзэлдэг Google Монголын цагийг дараах байдлаар харуулж байна.

Google дээрхи цаг 2015 оны 3 сарын 29-ний шөнө 2 цаг 14 минутын байдлаар

Цаг солих шийдвэр гаргаад 20 хоног, цаг нь солигдсоноос хойш 24 цаг өнгөрчихөөд байхад дэлхий ертөнц Монголд хэдэн цаг болж байгааг мэдээгүй л байна гэсэн үг.

Ганц хайлтын системийн цаг буруу байх асуудал биш гэж үзэж байгаа хүмүүст өнөөгийн дэлхий ертөнц яаж амьдарч “амьсгалж” байгааг бодоод үзээрэй гэж зөвлөх байна. Бид өнөөдөр нягт уялдаа холбоотой бүх юм нь синхрон явдаг хорвоо дэлхий дээр амьдарч буй бөгөөд сүүлийн 20 гаруй жилийн технологийн дэвшил нь бүтээмжийг эрс өсгөж энэхүү синхрон харилцаа холбооны суурь нь болж буйг санууштай.

Би энд цаг өөрчлөх нь буруу гэж шүүмжлээгүй, магадгүй эдийн засгийн утгаараа ямар нэг ашигтай байхыг үгүйсгэхгүй. Гагцхүү энэ шийдвэрийн харалган, тооцоо судалгаагүй, огцом шинж чанарыг л шүүмжилмээр байна.

Нэгэн жишээ: Монголын Хөрөнгийн Биржийн (МХБ) арилжааны мэдээг гадны мэдээллийн агентлагууд бодит цагийн горимоор (real time) худалдаж авдаг. Үүний тулд МХБ-ийн арилжааны систем мэдээллийн агентлагийн системтэй холбогдож хэл нэвтрэлцдэг байх ёстой. Арилжааны систем дээр орсон аливаа өөрчлөлтийг ядаж сарын өмнөөс хоёр систем харилцан туршиж алдаа мадаггүй ажиллагааг хангах ёстойг цаад агентлагууд шаарддаг. Тэр жил Чингис хааны төрсөн өдөр гэж гэв гэнэт нэг амралтын өдөр “зохион бүтээхэд” тэрхүү өөрчлөлтийг системд оруулж мэдээллийн агентлагаас уучлалт гуйж хэвийн ажиллагааны горимыг нь өөрчлөх шаардлагатай болж байж билээ. Харин сая 3 сарын 9-ний өдөр шийдвэр нь гарч 19 хоногийн дотор цагийг нь солих болоход юу болж өнгөрсөнийг би таашгүй.

Цаг шилжүүлэх тогтоол

Ганц энэ гэлтгүй олон улсын нислэгийн цагийн хуваарь, олон улсын банк хоорондын гүйлгээ гэх мэт синхрон үйлдэл шаардах олон асуудалд энэхүү шийдвэр нөлөөлж байгаа гэдэгт итгэлтэй байна. Манайхан болохоор хэдэн инженер шөнө суулгаж байгаад л серверийнхээ цагийг өөрчлөөд болоо гэсэн амархан юм яриад байдаг, үнэндээ хэдэн инженерээс хамааралгүй гадны байгууллагуудын төлөвлөлттэй холбоотой асуудал их бий. Бизнес процесс нь тогтчихсон гадны томоохон байгууллагууд манай засгийн огцом шийдвэрт зориулж дүрэм журмаа зохицуулах нь хэр их байх бол доо.

Аз болж манай улс хүний амь настай холбоотой эмнэлгийн нэгдсэн удирдалагатай төхөөрөмж, эсвэл томоохон эрсдэл бүхий Атомын Цахилгаан Станц, автомат үйлдвэрийн систем зэрэг байхгүй (лав л миний мэдэхээр) болохоор гарах үр дагаварын хор хөнөөл харьцангуй бага байж магад

Зүй нь ийм шийдвэрийг хамгийн багадаа хагас жилийн өмнөөс төлөвлөж хаана хаана нөлөөлөхүйц байна гэдгийг тооцож шаардлагатай бэлтгэлийг нь хангаж байж гаргамаар. Гэнэт л нэг өглөө хэн нэг даргын бодож олсон гайхалтай санаа бүхэл бүтэн 3 сая хүний хувь заяанд нөлөөлж буй гэдгийг тооцмоор. Цаг өөрчлөхөд систем яаж зохицох ёстой талаар С.Дөлмандах энд бичсэн. Нөгөө талд цаг өөрчилсөнөөр хэдэн төгрөгний хэмнэлт хаана хаанаас орж ирж эдийн засагт ямар нөлөө үзүүлэх талаар би лав одоогоор хаанаас ч олж харсангүй.

Аливаа incident буюу гэнэтийн тохиолдолд реактив болон проактив гэсэн хоёр янзын хариу үйлдэл байх. Реактив нь хариу үйлдлийн шинжтэй буюу гал нэгэнт гарчихлаа бушуухан унтраая гэсэн хандлага бол, проактив нь гал гаргахгүй байхын тулд юу хийх ёстой, гарлаа гэхэд яаж хамгийн бага хохиролтойгоор салах вэ гэдэг төлөвлөлтийг хэлдэг. Манай засаг төрийн хийж буй үйлдэл бүхэн реактив шинжтэй бөгөөд миний харж буйгаар энэ нь төрийн байгууллагын чадавхи, хүний нөөцтэй холбоотой байх. Өөрөөр хэлбэл цаг өөрчилсөнөөр ийм ийм эрсдэлүүд үүснэ гэдгийг тооцоолж зөвлөх үүрэгтэй шийдвэр гаргагчийн тойрон хүрээлэгчид нь ихэвчлэн сонгуульд нь зүтгэсний шагналд дагалдаж явах эрх авсан нэгэн байх жишээтэй.

Одоо нэгэнт ийм будлиан үүссэн хойно энэхүү шийдвэрийг цуцалж ухраах бол утгагүй асуудал, бүр бантан болгоно. Ирэх намар гэхэд системүүд харьцангуй учраа олчих байх. Хамгийн гол нь иймэрхүү тооцоо судалгаагүй, огцом шийдвэрээ багасгаж Ерөнхийлөгчийн хэлээд байдаг “Ухаалаг Төр” лүү дөхөж очоосой, ирээдүйд гаргах шийдвэрээ олон талаас нь тооцоо хийж үзээсэй л гэж залбирах байна. 

Жич: Интернеттэй холбоотой дугаарлалтыг хариуцдаг олон улсын байгууллага болох IANA-д Ганболд ах 3 сарын 10-ны өдөр Монгол улс дахь цагийн бүсийг шинэчлэх хүсэлт "сайн дураараа" тавьсанаар 3 сарын 21-ны өдөр энэхүү өөрчлөлт орсон болно. Томоохон системүүдэд энэхүү шинэчлэлт нь ортол багагүй хугацаа шаардлагатай бөгөөд дээр дурьдсан Google миний таамаглаж буйгаар системүүдэд нь энэхүү шинэчлэлийг авсанаар манай цагийг зөв гаргадаг болох байх. 

Wikileaks ба Bradley Manning

bradass87: сониуч асуулт: хэрэв чи удаан хугацаанд, магадгүй 8-9 сарын турш нууцлал бүхий мэдээлэлд чөлөөтэй хандах эрхтэй байгаад аймшигт зүйлсийг олж мэдсэн бол яах вэ... тэрхүү аймшигт зүйлсийг олон нийт мэдэх ёстой болохоос Вашингтон ДиСи-д хаа нэгтэй серверийн харанхуй өрөөнд хэвтэж байх ёсгүй…

(12:21:24 PM) bradass87: жишээ нь 2004-2009 оны хоорондох Иракийн дайны хагас сая үйл явдалын огноо, газарзүйн байршил, хохирогсдын тоо гэх мэт бүх мэдээллийг агуулсан тайлан бүхий мэдээллийн сан. Эсвэл хөгжингүй орнууд гуравдагч ертөнцийг хэрхэн ашиглаж буй талаархи дэлхий даяархи АНУ-ын элчин сайдын яамдууд Төрийн Департментэд илгээсэн 260,000 нууц мэдээлэл…

(12:26:09 PM) bradass87: жишээ нь миний сайн таних “нэгэн” АНУ-ын нууцлал бүхий тусгай сүлжээнд нэвтрэн дээр дурьдсан мэдээллүүдийг цуглуулж тусгай сүлжээнээс энгийн компьютер луу зөөвөрлөн уг мэдээллийг ялгаж ангилаад шахаж жижигрүүлэн, дараа нь шифрлээд нэг улсад ч олигтойхон удаан амьдарчихдаггүй цагаан үстэй солиотой Австрали нөхөрт явуулчихсан бол яах уу?

(12:31:43 PM) bradass87: цагаан үстэй солиотой нөхөр = Жулиан Ассанж

(12:33:05 PM) bradass87: Өөрөөр хэлбэл би бөөн будлиан хутгачихлаа…[1]

Энэ бол АНУ-ын цэргийн ахлах түрүүч Брэдли Мэннинг 2010 оны 5 сард сэтгүүлч Адриан Ламотой AOL чатаар харьцсан ярианы хэсэг. Өөрийнхөө эр хүйсэнд сэтгэл хангалуун бус байсан (хожмоо шоронд хүйсээ солиулах хүсэлт гаргаж Чэлси Мэннинг хэмээн нэрээ сольсон) Брэдли сэтгэл санааны хувьд тогтворгүй, Иракт болж буй дайнд шүүмжлэлтэй ханддаг нэгэн байв. Хэдийгээр удирдлага нь түүнийг “өөртөө болон хамтран ажиллагсаддаа эрсдэл үүсгэх магадлалтай” хэмээн тодорхойлсон ч дайны талбар дахь тагнуулын ажилтны хэрэгцээ өндөр байсан учир Иракт томилжээ. Брэдли яг ч тагнуулын шинжээчээр ажиллаагүй харин шинжээчдэд шаардлагатай мэдээллийг нь бэлдэж өгдөг нэгэн байсан учир АНУ-ын нууцлал бүхий тагнуулын сүлжээнд бүрэн нэвтрэх эрхтэй бөгөөд асар их мэдээлэл дунд сууж байлаа. Брэдли Мэннинг 2009 оны 11 сараас эхэлж Викилийкс (Wikileaks) сайтынхантай холбоо тогтоож 2010 оны 5 сард баривчлагдах хүртэлээ нийт Ирак болон Афганы дайны талаархи 470,000 тайлан, АНУ-ын дипломат албаны 250,000 гаран нууц мэдээлэл дамжуулжээ. Викилийкс эхэндээ дээрхи мэдээлэлд гарч буй аюул учирч болзошгүй хувь хүмүүсийн мэдээллийг нууцалж бага багаар нийтэлж байсан бол сүүлдээ бүгдийг нь ямар ч засваргүйгээр нийтэлсэнээр эдгээр мэдээлэлд дурьдагдсан олон хүнийг шууд болон шууд бусаар эрсдэлд оруулсан юм. Үүнээс гадна АНУ -ын Засгийн Газар дэлхий дахинаа дипломат харилцааны “ичгэвтэр” байдалд орж НҮБ-ийн ерөнхий нарийн бичгийн даргыг нууцаар тагнадаг, Гуантанамо Бэй шоронд АНУ-ын хүчнийхэн хоригдлуудыг яргалж тамалдаг, элчин сайд нь ажиллаж буй улсынхаа удирдлагыг муушаасан зэрэг АНУ-ын гадаад харилцаанд сэв суулгахуйц ноцтой үр дагаварууд үүсгэх мэдээллүүд задарсан юм.  

Брэдли Мэннинг цагтаа хакер байж байгаад сэтгүүлч болсон Адриан Ламотой итгэж ярилцсан нь алдаа болсон бөгөөд бүх мэдээллийг нь нууцлана гэж амалж байсан Адриан чатаар ярилцсан яриагаа хуулж аваад Холбооны Мөрдөх Товчоонд өгсөнөөр долоо хоногийн дараа Брэдлиг Кувэйтэд баривчлав. 2013 оны 8 сард Брэдли Мэннингд АНУ-ын цэргийн шүүхээс нийт 35 жилийн ял оноосноор энэхүү хэрэг явдал дууссчээ. [2]

[1] http://www.wired.com/2011/07/manning-lamo-logs/

[2] http://www.theguardian.com/world/2013/jul/30/bradley-manning-timeline

Зарлаагүй дайны шинэ фронт

2013 оны 2 сард АНУ-ын мэдээллийн аюулгүй байдлын Mandiant компани БНХАУ-ын Ардын Чөлөөлөх Армийн 61398 дугаар тасгийн тухай АРТ1 нэртэй судалгааны тайлангаа олон нийтэд цацав. Энэхүү тайланд уг тасаг нь 2006 оноос хойш барууны 141 компани/төрийн байгууллагад кибер тагнуулын үйл ажиллагаа явуулж оюуны өмчийн болон нууцлалын зэрэгтэй хэдэн зуун терабайт хэмжээ бүхий материал хулгайлсан тухай бичжээ. Эдгээр халдлагуудад ижил төстэй шинж чанар цөөнгүй байсан төдийгүй хохирогчийн сүлжээнд өөрийн тагнуулын програм хангамжаа дундажаар 356 хоног байлгаж чадаж байсан юм. Mandiant компани нь эдгээр халдлагуудыг судалж үзсэний дүнд БНХАУ-ын Шанхай хотноо байрлалтай Ардийн Чөлөөлөх Армийн 61398 дугаар тасаг байрладаг 12 давхар барилга уг халдлагуудын эх үүсвэр нь байж болзошгүй хэмээн таамаглав. Эдгээр халдлагуудыг үйлдсэн бүлэглэлийг АРТ1 (зарим тохиолдолд Comment Crew) хэмээн нэрлэх бөгөөд Mandiant халдлагын цар хүрээ, удаан оршин тогтнох чадвар зэрэг дээрээс үндэслэн БНХАУ-ын Засгийн Газраас санхүүждэг байж болзошгүй талаар дурьджээ.

Ардын Чөлөөлөх Армийн 61398 дугаар тасаг байрлах байр

БНХАУ -ын засаг захиргаа уг таамаглалыг няцааж эдгээр баримтууд нь дүгнэлт хийх үндэслэл болохгүй хэмээн мэдэгдэж байв.[1]

2013 оны 10 сарын 7-ны өдөр мэдээллийн аюулгүй байдлын судлаачдын ThreatConnect групп хортой код агуулсан Монгол хэл дээрхи хэд хэдэн Word файл дээр хийсэн судалгаагаа танилцуулав. Эдгээр файлууд нь АНУ, Монгол Улсын хамтарсан цэргийн хээрийн сургууль болох “Хааны Эрэлд” болон 2013 оны ерөнхийлөгчийн сонгуультай холбоотой нууцлал шаардлагагүй энгийн мэдээлэл бүхий файлууд бөгөөд агуулсан хортой код нь Хонк Конгод байрлалтай хэд хэдэн сервертэй холбогдож мэдээлэл дамжуулах чадвартай ажээ. ThreatConnect -ийн судлаачид эдгээр файлуудыг ашиглан Монгол Улсын Батлан Хамгаалах Яам болон бусад холбогдох газруудад халдлага үйлдсэн байж болзошгүй хэмээн таамаглажээ. Уг файлуудад агуулсан хортой код болон холбогдож буй сервер зэрэг нь Mandiant-ийн илрүүлсэн АРТ1 бүлэглэлийнхтэй төстэй хэд хэдэн шинж чанар агуулж буйг мөн дурьджээ.

Хортой код агуулсан файлуудын нэг

Энэ талаар Монгол Улсын Засгийн Газраас ямар нэгэн байр суурь илэрхийлсэнгүй.[2]

Харин сар гарны дараа буюу 2013 оны 11 сарын 24-д өөр нэгэн бүлэг судлаачид Монголд баригдаж буй Ажаа Гэгээний хүүхдийн эмнэлэгтэй холбоотой Англи хэл дээрхи файлаас ондоо төрлийн хортой код илрүүлсэнээ зарлав. Уг хортой код нь өмнө дурьдсан ерөнхийлөгчийн сонгуультай холбоотой файлынхтай ижил төстэй серверүүд рүү мэдээлэл дамжуулах зориулалттай бөгөөд Монгол эсвэл Түвдийн эрх мэдэлтнүүдийг онилсон байх магадлалтай ажээ. [3]

Энэ талаар Монгол Улсын Засгийн Газар мөн л чив чимээгүй өнгөрсөн төдийгүй гүйцэтгэх засаглалын түвшинд кибер аюулгүй байдлыг хангах ёстой цорын ганц байгууллага болох Тагнуулын Ерөнхий Газрын харъяа Кибер Аюулгүй Байдлын Газар нь вэб хуудасныхаа дизайны талаар олон нийтээс санал асуулга асуух ажилтай сууж байлаа.[4]

2013 оны 12 сарын 9-ний байдлаар ТЕГ-ын Кибер Аюулгүй Байдлын Газрын ncsc.gov.mn вэб хуудсан дээрхи санал асуулга

Дээр дурьдсан баримтууд нь түүхэндээ эрэлхэг, дайнч, тулаанчаараа тэмдэглэгдэж ирсэн Монголчууд тун тааруухан мэдэх цоо шинэ фронт дээр тусгаар тогтнолоо хамгаалах бас нэгэн хэцүүхэн даалгавартай болсоныг харуулж байна. 21-р зууны дайн тулаан цэрэг зэвсгийн хүчээр бус технологи, үүнээс үндэслэн мэдээллийн давуу тал дээр явагдах болсоныг гэрчлэх бодит жишээ олон бий. Хамгийн ноцтой нь энэхүү “тагнуулын” дайныг хэн ч хаанаас ч албан ёсоор зарлахгүй бөгөөд ард нь заавал төрт улс (nation state) байх албагүй. Харин цөөхөн Монголчууд бид энэхүү цоо шинэ аюул занал, тодорхой бус дайны фронтод бэлэн үү? 

Эх сурвалж:

[1] http://intelreport.mandiant.com/Mandiant_APT1_Report.pdf

[2] http://www.threatconnect.com/news/khaan-quest-chinese-cyber-espionage-targeting-mongolia/

[3] https://www.bluecoat.com/security-blog/2013-11-25/plugx-used-against-mongolian-targets

[4] https://twitter.com/otgonpurew/statuses/409884946925232128?tw_i=409884946925232128&tw_e=media&tw_p=archive

Монгол Улсын Засгийн Газар интернетээр иргэдээ тагнаж чагнадаг уу?

Нэлээн дээхнэ http://mongolian-it.blogspot.com/2014/08/blog-post.html блог дээр бичсэн байсан манай засгаас (эсвэл өөр хэн нэгэн) ард иргэдээ тагнадаг байж болзошгүй тухай уншаад нэг их анзааралгүй орхисон юм. Харин өнөөдөр санамсаргүй явж байгаад Wikileaks дээрхи Gamma компанийх нь ил болсон баазыг үзлээ. Иймэрхүү хэдэн дүгнэлт хийж болж байна:

• Монголоос FinFisher ашиглахаар шийдэж 2010 оны 3 сарын 1-д Гамма Интернэйшнлийн харилцагчдийн санд бүртгүүлсэн бөгөөд хамгийн сүүлд энэ эрхээрээ 2013 оны 9 сарын 2-д Гаммагийн тусламж үйлчилгээнд нэвтэрсэн байх юм.
• 2014 оны 8 сарын 13-д уг мэдээллийг Гаммагийн бааз дээр шинэчилж (магадгүй програм автоматаар сэргээлт хийдэг байж болох) уг бааз 8 сарын 15-д хакдуулж хулгайлагджээ.
• FinUSB нэртэй Гаммагийн бүтээгдэхүүнийний лицензийг 3 ширхэгийг 2010 оны 9 сарын 1-д худалдаж авч 2011 оны 1 сарын 3-ны өдөр бүгдийг нь ашигласан байх юм.
• FinSpy V2 нэртэй бүтээгдэхүүний лицензийг 5 ширхэгийг 2011 оны 6 сарын 1-д ашигласан нь өдгөө идэвхигүй болжээ.
• Мөн адил FinSpy V2 бүтээгдэхүүнийг 8 ширхэгийг 2014 оны 1 сарын 21-д идэвхижүүлсэн байх юм.
• 2012 оны 5 сарын 17-д С.Одмагнай гэдэг нэртэй нөхөр PDF файлд хортой код суулгаад хэн нэгний gmail хаяг руу явуулах гэсэн боловч алдаа өгөөд байна гэсэн тусламж хүсчээ. Нэлээн яаруу байсан бололтой тухайн өдөртөө хоёр дахиж энэ мэйлийг явуулж маргааш нь бас тусламж хүсчээ.
• Одмагнайгийн үүсгэсэн хүсэлтээс харахад info@future-mongolia.com нь mail.mn дээр байдаг бололтой. Энэ хаягнаас туршиж odmagnai@gmail.com хаяг руугаа хортой код явуулах гэсэн боловч gmail-ийн филтерт орчихоод мэйл нь яваагүй буцаж ирээд байсан бололтой.
• Гаммагийнхан хариу өгөхгүй удахаар нь аргаа бараад altan_edu@yahoo.com mnkhzrg@yahoo.com odmagnai@yahoo.com гэсэн хаягнууд руу яаралтай холбогдоно уу гэжээ.

Wikileaks дээр тавьсан Гаммагийн танилцуулгаас харахад FinSpy програм нь дараах зүйлсийг хийх боломжтой:

• Төв рүүгээ нууцаар мэдээлэл дамжуулах
• Бодит цагийн горимоор тухайн хордуулсан компьютерт forensic буюу задлан шинжилгээ хийх боломжтой
• Имэйл чат зэргийг нь үзнэ
• VoIP протоколоор явж буй дуудлага, чат, видео, харилцаж буй хүмүүс, дамжуулж буй файл зэргийг хянах боломжтой
• Хордсон компьютерийн Webcamera болон микрофоныг ашиглан тухайн орчинд шууд тагнах үйл ажиллагаа явуулах боломжтой
• Объектийг дэлхийн хаана ч явсан байршлыг нь илрүүлэх боломжтой
• Ахисан түвшний филтерээр зөвхөн шаардлагатай гэсэн мэдээллийг хүргэнэ
• Windows, Linux, MacOS зэрэг түгээмэл үйлдлийн системүүдэд сууна
• 40 төрлийн түгээмэл антивирусны програмд баригдахгүй
• Европ стандартаар хүчин төгөлдөр нотлох баримт цуглуулна
• Хууль хүчний байгууллагын хяналтын системтэй нэгтгэх боломжтой
• Албан тушаалтны нууцын зэрэглэлээс хамаарч өөр өөр мэдээлэл өгөх боломжтой
• Аноним прокси ашиглаж олон нийтэд мэдэгдэхгүй байх

Эндээс харахад манай засаг иргэдээ тагнасан ч байж магадгүй, үгүй ч байж магадгүй, Монголд байгаа өөр ямар нэг байгууллага ийм ажил хийж байхыг бас үгүйсгэхгүй. Мөн манай засаг хэрэв ийм ажил хийсэн бол хууль хэрэгжүүлэх зорилгоор буюу гэмт илрүүлэх гэж ашигласан байхыг ч бас үгүйсгэхгүй. Гэхдээ л асуултын тэмдэг л бол асуултын тэмдэг юм даа.

Энэ талаар 2 жилийн өмнө NYTimes дээр гарсан нийтлэл: http://www.nytimes.com/2012/08/31/technology/finspy-software-is-tracking-political-dissidents.html?_r=2&partner=rss&emc=rss&

Wikileaks дээрх Гаммагийн өгөгдлийн сан:

https://wikileaks.org/spyfiles4/database.html