Da so v takih okoliščinah programerji v 60. in 70. letih delovali skrajno varčno s podatki, ne bi smelo biti presenečenje. Med ukrepi za zategovanje podatkovnega pasu se je znašla tudi odločitev, da pri zapisu letnice upoštevajo zgolj zadnji dve številki. Namesto letnice 1978 so računalniki pisali 78. Odločitev ni povzročala težav, dokler se nismo začeli približevati letu 2000, računalniški sistemi pa so še vedno varčevali z zapisom letnic. V drugi polovici 90. let je bil svet že povezan s komercialnim svetovnim spletom. Vse več storitev je bilo na mreži, računalniki pa so prevzeli veliko število avtomatiziranih nalog. Pojavil se je strah, da bodo na prehodu iz leta 1999 v 2000 računalniki pomotoma sklepali, da se po novem piše leto 1900, in zanemarili vse ključne naloge, ki so bile predvidene za 1. januarja 2000. Pojavil se je strah, da bodo odpovedali varnostni mehanizmi jedrskih elektrarn, da bodo v nebo poletele rakete, da bo obvisel bančni sistem in da bo tudi drugod vladala tehnološka huda ura.
V letih pred tako imenovanim Y2K so se na to temo pisale knjige in snemali filmi. O nevarnosti so razglabljali v medijih. Ko je napočil prehod, se ni zgodilo nič. Na Japonskem je odpovedal neki sistem v jedrski elektrarni, a ga je takoj nadomestil rezervni. V ZDA so za preprečitev hrošča Y2K zapravili milijone dolarjev. V nekaterih državah niso za preprečitev katastrofe storili skoraj ničesar. Na koncu so imeli oboji približno enako malo težav.
Okoli četrt stoletja kasneje so se Avstralci zbudili v jutro 19. julija 2024 in ugotovili, da jim jo je čez noč in brez kakršne koli napovedi zagodel računalniški hrošč. Operacijski sistem windows je na mnogih ključnih koncih v državi javljal, da ni mogoče zagnati računalnika. Pojavil se je zloglasni modri zaslon smrti, čemur je sledilo sizifovo delo neskončnega neuspešnega zaganjanja računalnikov. Z vrtenjem Zemlje proti vzhodu so se proti zahodu začele širiti novice o novih in novih prizadetih računalniških sistemih. Odpovedale so banke, letalske družbe in kontrolorji letov, zdravstveni sistemi in druga ključna infrastruktura sodobnega načina življenja. Sam sem se tistega jutra sprehajal nekje na Pokljuki. Sonce je sijalo, temperature so bile zmerne, pohodniki dobre volje, gotovinsko poslovanje pa je v sicer vse bolj digitaliziranih planšarijah delovalo brezhibno. Na območju, kjer je internetni signal že sicer redek, se nikomur ni sanjalo, kaj se dogaja v dolini. Tudi krave, ki so posedale na paši, se niso menile, da se je človeški svet za mnoge ustavil.
Kljub spokoju v planinah so bile težave v dolini resne. Po Microsoftovih ocenah je odpovedalo kar 8,5 milijona računalnikov. Dogodek je potrdil, da največja grožnja preti iz tiste smeri, iz katere jo najmanj pričakujemo. Težave v dolini pa bi, če bi vztrajale dovolj dolgo, na tak ali drugačen način dosegle tudi planino. »Popolnoma jasno je, da ob pospešeni digitalizaciji različnih vidikov družbe postajamo vedno bolj odvisni od informacijskih sistemov,« pojasnjuje vodja SI-CERT Gorazd Božič. »Če je na primer včasih zaradi izpadov recimo zgolj zakasnilo nakazilo plač, danes opazujemo težave na letališčih, v plačilnih sistemih in v zdravstvenem sektorju. Posledice so lahko tudi odpovedi nujnih operacij, kar lahko seveda močno vpliva na življenja ljudi.«
Računalniški sistemi v sodobnih mestih skrbijo za kakovost oziroma čistočo vode, za sinhronizacijo semaforjev, za usmerjanje električne energije po omrežju tja, kjer se potrebuje. Računalniški sistemi spremljajo, kje je prišlo do puščanja vodovodnih cevi, kje so začele v tla iz poškodovanih kanalizacijskih cevi curljati odplake, kje v električnem omrežju je prišlo do izpada. Računalniški sistemi uravnavajo proizvodnjo električne energije in skrbijo za varnost delovanja jedrskih elektrarn. Skrbijo za usklajevanje različnih oblik transporta ljudi in blaga. Vse to in sploh še nismo prišli do vloge, ki jo informacijski sistemi in avtomatizacija igrajo v sodobni proizvodnji, v kmetijstvu in storitvenem sektorju.
Preveč kompleksna civilizacija
za samo osem milijard ljudi
Neboleče poti nazaj praktično ni. Že samo za spremljanje prometa v velikem svetovnem mestu in ročno usklajevanje semaforjev bi potrebovali na tisoče ljudi. V Ljubljani je 85 postaj storitve bicikelj. Če bi namesto računalniškega sistema za izposojo skrbeli ljudje, bi za 24-urno obratovanje samo te storitve potrebovali najmanj 255 dodatnih zaposlenih. Če bi jim privoščili dopuste, proste konce tedna oziroma praznike z občasnimi dežurstvi in bolniške, bi jih potrebovali še več. Medtem se zaradi pomanjkanja kadrov zapirajo marsikatere storitve oziroma krajšajo obratovalni časi. Še bolj primanjkuje usposobljenih kadrov. Poklicni barometer Zavoda Republike Slovenije za zaposlovanje že več let kaže številne kadrovske primanjkljaje. Za letos so napovedali primanjkljaj pri kar 109 poklicih. To je že skoraj dvakrat toliko, kot je poklicev s presežkom ali v ravnovesju. Podjetje Manpower je v raziskavi ugotovilo, da je leta 2023 kar 75 odstotkov podjetij v EU imelo težave z iskanjem usposobljenih kadrov. Analitično podjetje Korn Ferry je lani izračunalo, da bi do leta 2030 na svetovni ravni lahko primanjkovalo kar 85 milijonov usposobljenih kadrov.
Glede na to, da na svetu živi že več kot osem milijard ljudi, se zdi podatek nenavaden. Ko pogledamo onkraj velike številke, pa opazimo, da se rast prebivalstva že dolgo upočasnjuje. Še več. Poročilo Združenih narodov iz leta 2022 opozarja, da kar dve tretjini prebivalstva živi na območjih, kjer je rodnost prenizka za ohranjanje enakega števila prebivalstva. V mnogih teh državah je rodnost pod magično mejo 2,1 otroka na žensko, kolikor je potrebno za ohranjanje enake populacije, padla že pred več desetletji. Ko se tak trend vleče tako dolgo, dobimo družbe, v katerih celo pri trenutni razvitosti in avtomatizaciji preprosto zmanjkuje mladih, ki bi s svojo produktivnostjo proizvajali ter svoje prihodke trošili oziroma vlagali v dovolj velikem obsegu, da bi s presežno produktivnostjo in kapitalom zmogli vzdrževati vse bolj številno neaktivno staro prebivalstvo. Hkrati niti ni dovolj mladih, da bi lahko imeli dovolj otrok za hiter obrat trenda navzgor. Tudi če bi ob vseh dodatnih bremenih vzdrževanja vse večjega deleža družbe našli dovolj časa in bili gmotno dovolj preskrbljeni, da bi se začeli odločati za več otrok kot njihovi bolje preskrbljeni in manj obremenjeni starši.
Najslabše kaže vzhodni Aziji. Dosti bolje ne kaže niti Nemčiji ali Italiji. V Sloveniji je rodnost pod magično mejo 2,1 otroka na žensko padla leta 1981. Zadnja leta se izboljšuje, a je pri 1,6 še vedno prenizka. Leta 1991 je bilo v Sloveniji 20,6 odstotka mlajših od 15 let, leta 2024 pa le še 14,7 odstotka. Po drugi strani je bilo leta 1991 vsega 10,8 odstotka starejših od 64, letos pa že 21,8 odstotka. Delež slednjih še narašča.
Potem pa je tu še globalni dan, na katerega človeštvo domnevno potroši vse resurse, ki jih lahko Zemlja obnovi v enem letu. Letos je napovedan za 1. avgust. Slovenija je svoj delež porabila že 25. aprila. Vsaj teden pred Nemčijo, Francijo, Japonsko in Italijo. Ob teh številkah se zdijo izjave Elona Muska, da naša civilizacija potrebuje kar milijardo dodatnih ljudi, bogokletne. Njegova motivacija je jasna. Nekdo pač mora delati stvari in jih kupovati. Po svoje kar spodbudno. Sodi med tiste milijarderje, ki nas še potrebujejo.
Ker ljudi na mnogih koncih sveta že danes primanjkuje, v prihodnje pa jih bo še bolj, bomo morali za ohranjanje sodobne infrastrukture na številnih koncih sveta močno odpreti meje ali pa avtomatizirati še več opravil in še povečati odvisnost od računalniških sistemov. Verjetno oboje, saj tudi zaloge potencialnih migrantov niso neizčrpne. Saj se še spomnite izjave migrantke z vrha migrantske krize? »Ampak Slovenija je revna država,« je rekla v kamero in nadaljevala pot proti severu Evrope.
Sanje o umetni inteligenci, ki bi nas lahko razbremenila še več nalog, so morda še vedno dokaj znanstvenofantastične, ne poganja pa jih lenoba. So vse bolj demografska nujnost. Bo pa verjetno treba najti način, kako sadove produktivnosti vse večje avtomatizacije razdeliti med ljudi, da ne bo prišlo do še hujše akumulacije premoženja peščic in še večjega razslojevanja, kot smo mu priča že danes, ko si mnogi celo v razvitem svetu težko privoščijo povsem nov avto, medtem ko nekateri turistično letijo v vesolje. Mimogrede, nekaj minut breztežnosti stane 250.000 dolarjev. Sedemnajstdnevni turistični obisk mednarodne vesoljske postaje ISS pa je leta 2022 stal 55 milijonov dolarjev na osebo. Eno od podjetij, ki se ukvarja z vesoljskim turizmom, je v lasti Jeffa Bezosa. Ta je hkrati lastnik največjega ponudnika podatkovnih centrov oziroma storitev v oblaku na svetu. Njegov Amazon nadzira 31 odstotkov tega trga. Sledi Microsoft s 25 odstotki. Googlov oblak zajema deset odstotkov trga. Vsa tri podjetja se ukvarjajo tudi z razvojem umetne inteligence. Prav posel z oblačnimi storitvami pa je Microsoft izstrelil na mesto drugega najvrednejšega podjetja na svetu. Malenkost za Applom. Na tretjem mestu je Nvidia, ki izdeluje čipovje, ki v oblaku poganja storitve z umetno inteligenco. Četrti je Google (Alphabet), peti pa Amazon.
Vrednost Microsoftovih
delnic je po izpadu narasla
Microsoft v svojem oblaku uporablja windowse, Amazon in Google pa različici operacijskega sistema linux. Še dobro. Napaka samo enega zelo razširjenega protivirusnega programa je v petek, 16. julija 2024, zrušila Microsoftov oblak in ponudila malo pokušino tega, kaj bi se zgodilo, če bi čez noč ostali brez sodobne informacijske infrastrukture. Mislili bi, da bi padec Microsoftovega operacijskega sistema in oblaka povzročil padec vrednosti njegovih delnic. Zgodilo se je ravno obratno. Po dveh tednih padanja vrednosti je v ponedeljek po incidentu sledil odboj. Očitno je dogodek investitorje spomnil, kako zelo pomemben je Microsoft za naš način življenja. Da je do izpada prišlo, tudi ni naključje. Pobira se tudi vrednost delnic Crowdstrika.
»Gre za večno tekmo: storilci najdejo nove mehanizme za napade, sledijo ustrezni obrambni mehanizmi. Sistemi postajajo bolj zapleteni, kar pomeni, da jih je bolj naporno vzdrževati,« pojasnjuje Božič. »Zagotovo pa se raven zaščite skozi čas povečuje, zato pogosto storilci uporabijo mehanizme družbenega inženiringa in se usmerijo na človeka. Phishing napad, kraja gesla za dostop zaposlenega v infrastrukturo organizacije, je velikokrat prvi korak, s katerim storilci podstavijo nogo med vrata. Nesmotrno pa je pričakovati, da bomo na področju kibernetske varnosti kdaj dosegli stoodstotno varnost, saj je tudi na drugih področjih ne moremo. Klasična primerjava je pri varnosti v cestnem prometu: nikoli ne morete preprečiti vseh neželenih dogodkov.«
Groženj računalniškim sistemom, ki so nepogrešljivi za naš način življenja, je vse več. Tudi zato, ker danes ni treba več imeti tehničnega znanja za izvedbo napada. Izurjeni nepridipravi svoje izdelke in navodila za njihovo uporabo že vrsto let prodajajo naročnikom. Hekanje je postalo storitev. Od tod tudi izjemen skok najrazličnejših napadov z izsiljevalskimi virusi. Slednji zašifrirajo datoteke na okuženih sistemih in jih naredijo neuporabne. Ključe za dešifriranje pa storilci nato prodajajo za visoke vsote. Hkrati lahko podatke tudi ukradejo.
»V kritični infrastrukturi in bistvenih storitvah je praviloma dobro zavedanje o skrbi za kibernetsko varnost,« je prepričan Božič. »To se seveda razlikuje od sektorja do sektorja. V prednosti sta bančni in energetski sektor. Kot primer rad navedem, da je kljub lanskemu kibernetskemu incidentu na HSE dobava elektrike ves čas potekala nemoteno. Bolj problematična je situacija v malih in srednjih podjetjih. Ne samo v Sloveniji, tudi v tujini. Zraven moram omeniti, da smo v nekaterih elementih, tudi pri odzivnih zmogljivostih, v zadnjem desetletju stagnirali in so nas že prehitele z nami primerljive države članice EU. Radi govorimo o kibernetski varnosti, pišemo lepe cilje v strategije, zaplete pa se pri realizaciji. Trenutno glede tega na SI-CERT še držimo glavo nad vodo, ponekod celo podhranjeni dosegamo dobre rezultate, ampak v nedogled to ne bo šlo. Nujno bo treba narediti načrt zmanjšanja omenjenega zaostanka in ga začeti takoj izvajati.«
Za upravljanje informacijsko-komunikacijskega sistema državne uprave in zagotavljanje delovanja elektronskih storitev javne uprave je od prestrukturiranja dalje v Sloveniji odgovorno ministrstvo za digitalno preobrazbo. Vodja službe za informacijsko varnost na ministrstvu mag. Anton Ujčič pravi: »Podobno kot druge panoge smo tudi v državni upravi izpostavljeni različnim grožnjam, tu ni razlike. Vseskozi te grožnje spremljamo, jih analiziramo in sprejemamo različne varnostne ukrepe. V obdobju zadnjega leta smo bili kar nekajkrat izpostavljeni tudi kibernetskim napadom s ciljem onemogočati razpoložljivost storitev javne uprave oziroma nedosegljivostjo spletnih strani, na katerih so te storitve dostopne, vendar smo z različnimi vpeljanimi ukrepi zagotovili zelo visoko stopnjo razpoložljivosti informacijskega sistema.«
Dodaja, da morajo lastniki storitev imeti pripravljene načrte neprekinjenega poslovanja tudi za primer izpada delovanja informacijskih sistemov. Še posebno se to nanaša na izvajalce kritičnih storitev, ki so določeni po zakonu o kritični infrastrukturi. Te načrte je treba redno testirati za primer različnih groženj, ki se spreminjajo hkrati s tehnološkim razvojem IKT-področja. Kot največjo grožnjo pa tudi on trenutno vidi v izsiljevalskih virusih.
V slovenski javni upravi večina podatkov danes nastaja praviloma v izvorno elektronski obliki, pojasnjuje Ujčič. »Hramba podatkov v fizični obliki je minorna, pa še ti dokumenti se praviloma pred hrambo skenirajo in prenesejo v digitalno obliko,« dodaja. »Bojazni, da bi ostali brez podatkov, ni, saj skrbimo, da se vsi podatki redno varnostno kopirajo in ustrezno hranijo na več lokacijah. Vseeno pa bi vsaka odtujitev podatkov pomenila zelo resen varnostni incident, saj gre pri tem tudi za občutljive osebne podatke in podatke zaupne narave.«
Odtekanje podatkov ni edini problem. Leta 2019 je bila v Sloveniji tarča izsiljevalskega virusa Lekarna Ljubljana. Čeprav je morala lekarna za izpolnjevanje digitalnih receptov komunicirati s sistemom NIJZ, se okužba po zaslugi varoval ni razširila. Je bilo pa izpolnjevanje digitalnih receptov za to lekarno blokirano, kar je seveda pomenilo hudo nevšečnost za uporabnike. Pri Lekarni Ljubljana pojasnjujejo, da morajo imeti lekarne pripravljen natančen načrt neprekinjenega delovanja za primer izpada informacijskih sistemov, so pa dodali: »Izdaja zdravil brez delovanja informacijskih sistemov je zelo otežena, v nekaterih primerih celo nemogoča oziroma omejena zgolj na nujno izdajo zdravil, ki so predpisana na papirnati recept.« Pri NIJZ medtem pojasnjujejo, da za primere sistemskih izpadov obstajajo protokoli, s katerimi so seznanjeni vsi izvajalci zdravstvenih storitev v Sloveniji.
Ker so na usodni petek klecnili zgolj sistemi z operacijskim sistemom windows, čeprav obstajajo Crowdstrikove storitve tudi za druge operacijske sisteme, nas je zanimalo, ali bi se tako obsežnim izpadom lahko izognili z večjo raznolikostjo operacijskih sistemov, ki poganjajo ključno infrastrukturo. Vsi sogovorniki so nam dali zelo podobne odgovore. Ujčič pojasnjuje, da je problem večplasten. »Večje število različnih platform zahteva najprej velike naložbe v podvojene infrastrukture in podvojene licence za uporabo teh platform. Prav tako je treba zagotoviti ustrezen kader s specialnimi kompetencami za upravljanje različnih platform ter na koncu tudi načrtovati razvoj kompleksnih IT-storitev, ki bi jih lahko uporabljali na različnih platformah. Vse to pomeni enormen zalogaj za državo, ki ni samo finančne narave, ampak se dotakne tudi problematike primanjkljaja IT-strokovnjakov na vseh področjih. Zato se IKT-sistemi praviloma konsolidirajo, avtomatizirajo in selijo v oblačne storitve, kar je trend tudi v državni upravi.«
Simptom dirke za dobičkom
Petkov incident je imel sicer zanimiv izvor. Upokojeni Microsoftov inženir programske opreme David Plummer je na svojem youtube kanalu pojasnil, da je falcon sensor, program, ki je povzročil izpad, nekakšen napreden varnostni izdelek, ki, povedano enostavno, opravlja podobno nalogo kot protivirusni programi za strežnike. Ker poskuša biti pri tem zelo proaktiven, zahteva zelo širok dostop. Tudi do jedra operacijskega sistema (kernal). Naloga slednjega je upravljanje sistemskih virov ter omogočanje komunikacije med strojno opremo in programsko opremo. Kernel torej deluje kot nekakšen most med aplikacijami in dejansko podatkovno obdelavo, ki jo izvaja strojna oprema. Programi do kode, ki se nahaja v kernalu, praviloma nimajo neposrednega dostopa. Kot pojasnjuje Plummer, so pri Crowdstriku dostop falcon sensorju do jedra operacijskega sistema omogočili tako, da so ga izdelali, kot da bi šlo za gonilnik, ki domuje v kernalu, čeprav se v resnici ne pogovarja z nobenim konkretnim kosom strojne opreme. Ima pa vseeno neposreden dostop do podatkovnih struktur računalnika. Ker nameščanje kode v kernal ni nedolžno, ima Microsoft poseben postopek certificiranja zaupanja vrednih in združljivih gonilnikov. Certifikat za takšen gonilnik velja, dokler se gonilnika ne spremeni oziroma posodobi.
Crowdstrike je zelo ambiciozno podjetje, strankam pa želijo ponuditi najhitrejšo zaščito ob pojavu nove nevarnosti. Ker bi vsaka posodobitev falcon sensorja zahtevala nov postopek certifikacije, ki se ne zgodi čez noč, so morali najti drugo rešitev. Neka nova ranljivost bi v času med njenim odkritjem in namestitvijo posodobljenega in certificiranega gonilnika že lahko povzročila hudo škodo. Crowdstrike je zato izdelal relativno domiseln sistem z datotekami, ki jih gonilnik uporablja, niso pa del gonilnika. Ko se nova nevarnost pojavi, se zgolj posodobi te datoteke, gonilnik pa ostane nespremenjen. Ko se gonilnik zbudi, poišče te datoteke in iz njih pridobi navodila za delovanje. To pa seveda pomeni, da v jedru operacijskega sistema v praksi deluje necertificirana oziroma nepreverjena programska oprema.Kako je prišlo do tega, da je Crowdstrike storitev falcon sensor posodobil s slabo datoteko, ki je sprožila hrošča v gonilniku, še ni znano, je pa jasno, da je takšno igranje s kernalom že samo po sebi zelo nevarno. V primeru petkovega hrošča je računalnike po vsem svetu, ki so imeli nameščen falcon sensor, posodobitev pa se je nanje prenesla samodejno, vrglo v neskončen krog iskanja in odpravljanja napake, ki se je vedno znova pojavila. Crowdstrike je po dogodku sicer sporočil, da je izdal popravek, a ta do naprav, ki so že klecnile, ni mogel priti, ker se niso hotele naložiti do točke, ko bi samodejna posodobitev falcon sensorja lahko stekla. Napako je bilo treba odpraviti lokalno. Ko se je izvedelo, katere datoteke so povzročile hrošča, njihova odstranitev za strokovnjake ni bila strašno težka, je pa postopek dokaj zapleten za manjša podjetja in organizacije, ki nimajo specializirane IT-službe.
Globalna razsežnost izpada je medtem posledica tega, da je Crowdstrike sicer veljal za zelo sposobno podjetje v boju proti kibernetskim napadom. Tako zelo, da so številne zavarovalnice po svetu od podjetij zahtevale, da morajo za odobritev svoje zavarovalne police v svojih sistemih uporabljati prav Crowdstrikovo orodje.
Božič ob tem izpostavlja, da je petkov incident hkrati simptom našega časa. »Izvor težav je bil zunanji izvajalec, zato je prav, da preverimo, kako bi lahko izboljšali tam. Vse kaže na to, da niso upoštevali vrste dobrih praks, ki bi težavo ustavile pravočasno. So bili opravljeni vsi testi problematične nadgradnje? Je bila izvedena 'staging' postavitev?« se sprašuje Božič. »Gre za incident v dobavni verigi in ti se zadnja leta kar vrstijo. Skupni vzrok pa najdemo velikokrat v zmanjševanju stroškov pri različnih ponudnikih, kar ima za posledico preskakovanje določenih faz razvoja in vpeljave v produkcijo. Ta zahteva prihaja od vodstev teh podjetij, zahtevo pa diktira bitka na trgu. Še preveč se vidi varnost kot strošek in EU se je odločila temu zoperstaviti s številnimi uredbami in direktivami, med katerimi bi omenil NIS2 (Network and Information Security) in CRA (Cyber Resilience Act). Prav slednja uredba bo predpisala številna pravila za ponudnike izdelkov z digitalnimi elementi, ki jih bodo morali izpolniti, če jih bodo hoteli ponujati na evropskem trgu.«
