Nowy język wpłynie na bezpieczeństwo w sieci

Modelowanie można uznać za pewnego rodzaju programowanie, którego efektem nie jest jednak działająca aplikacja tylko model, który jest abstrakcją pewnej rzeczywistości. W dzisiejszych czasach systemy teleinformatyczne są bardzo złożone. Żeby znajdować rozwiązania dla pewnych problemów, szczególnie związanych z bezpieczeństwem, budujemy modele, które pozwalają nam odpowiadać na trudne problemy. Analizując je możemy testować bezpieczeństwo pewnych rozwiązań.

Mówi Pan o bezpieczeństwie, ale co Pan przez to rozumie?

Weźmy na przykład najmniejszą rzecz, którą mamy pod ręką, czyli smartfon. Telefon cały czas sprawdza skrzynkę pocztową i informacja o mailu przychodzi np. na smartwatcha. Dla użytkownika ważne jest, żeby zegarek działał kilka dni bez ładowania. Jednak mogę wykonać prosty atak, który spowoduje, że zegarek rozładuje się znacznie szybciej. Wystarczy, że będę zalewał ten zegarek seriami zmanipulowanych żądań i w pewnych warunkach, w których zegarek nie będzie posiadał pewnych mechanizmów ochrony, za godzinę przestanie działać. A co jeśli ten sam atak powtórzymy w domu, w systemach energetycznych czy systemach sterowania ruchem? Wówczas skutki mogą być znacznie poważniejsze. W dobie internetu rzeczy (ang. IoT), w którym autonomiczne urządzenia takie jak: zegarki, telefony, laptopy, czujniki i urządzenia domowe są połączone w sieć, pojawia się problem modelowania protokołów bezpieczeństwa. Urządzenia wchodzące w skład takich sieci komunikują się ze sobą oraz przetwarzają informacje w pewien ustalony sposób.

Jak to się odbywa?

Wróćmy do naszego przykładowego domu. Nasze urządzenia łączą się bezprzewodowo z routerem, którego dostajemy od dostawcy internetu. W momencie kiedy wracam do domu, mój smartfon chce nawiązać połączenie z routerem, więc wysyła chęć nawiązania połączenia. Zaczyna się protokół komunikacyjny, w którym wymieniany jest tzw. handshake, który zawiera między innymi skrót hasła. To może przechwycić dowolna osoba, która jest w pobliżu. Jeżeli używamy łatwego hasła to na podstawie tego handshaka jestem w stanie w kilka godzin złamać twoje hasło. Dodajmy do tego praktykę pewnych dostawców, którzy używają ośmioznakowego hasła pisanego tylko dużymi literami, dodając ewentualnie kilka cyfr. Takie hasło jest proste do złamania. W sytuacji, kiedy hasło jest zaczerpnięte ze słownika, wówczas odgadnięcie go jest jeszcze szybsze. Ta słabość prowadzi do tego, że osoba niepowołana może dostać się do mojej sieci.

Wróćmy do języka modelowania Pana autorstwa. Czemu służy?

Pozwala analizować system teleinformatyczny biorąc pod uwagę wiele aspektów. Można badać chociażby tylko bezpieczeństwo komunikacji smartwatcha ze smartfonem, ale w tym momencie unikają nam inne aspekty. Stosowanie środków bezpieczeństwa takich jak szyfrowanie, elementów zabezpieczających poufność, czy autentykację wpływa na wydajność tego urządzenia, czas wykonania usługi i czas jego funkcjonowania. W przypadku zegarka nie jest to może kluczowa kwestia, ale już dla linii energetycznych czy systemów sterowania ruchem jest bardzo istotna. Sensory, które informują o stanie przesyłania lub niespodziewanych zdarzeniach, jak uderzenie pioruna, muszą być niezawodne. Liczy się jakość zabezpieczeń, czas otrzymania informacji, żywotność (żebyśmy za tydzień lub dwa nie musieli wymieniać sprzętu), koszt zastosowania, obciążenie serwerów i emisja dwutlenek węgla. Jest szereg czynników, które oddziałują na system i ja mogę analizować wszystkie scenariusze, ustalić parametry, żeby wybrać najbardziej optymalną wersję. Język to jedna rzecz. W ramach badań, wykonaliśmy w Instytucie Informatyki, również narzędzie, którym jesteśmy w stanie modelować systemy i je budować. Na podstawie uzyskanych wyników jestem w stanie zaprojektować a następnie zbudować moduł systemowy, który np. zarządzał całymi serwerowniami. W sytuacji, kiedy nie ma dużego obciążenia systemu, może przenieść procesy z np. 50 serwerów do 10, a resztę wyłączyć. Dzięki temu w skali rocznej można zaoszczędzić znaczne kwoty.

Co zrobić, żeby to wykorzystać w praktyce prawdziwego przedsiębiorstwa?

Żeby zrealizować taki projekt, i z tym problemem mierzy się wielu moich kolegów, to musiałbym porzucić naukę dla biznesu. Gdyby był pomiędzy mną a biznesem ktoś, kto to komercjalizuje, to byłoby świetnie.

Przed nami duża dawka środków unijnych na komercjalizację wiedzy. Czy Pana zdaniem to pomoże w rozwoju polskiej nauce i biznesowi?

W nowym rozdaniu funduszy europejskich pokładam duże nadzieje. Wydaje mi się, że powinniśmy systemowo promować liderów. Zapewnić im takie finansowanie, żeby mogli się zająć zaawansowaną nauką, a nie szukać możliwości dodatkowego zarobku. W moim odczuciu, zarobki na uczelniach powinny być uzależniane od rynkowej sytuacji danej branży, wówczas więcej osób decydowałoby się na trudną karierę akademicką w dziedzinie informatyki, co w rezultacie skutkowałoby nowymi wynalazkami.

Z drugiej strony prace naukowe z informatyki często są odtwórcze. Sami nie proponujemy swojej metody, lepszej, bardziej wydajnej, tylko opisujemy jak zagraniczne rozwiązania zastosowaliśmy na polskim gruncie. A dopiero na podstawie nowej metody, aplikacji, urządzeniu można odnieść sukces na świecie. W moim odczuciu takich prac jest bardzo mało. Tego brakuje, także w Lublinie. Ale do tego, żeby wejść na rynek jest potrzebny wielki marketing, znaczne pieniądze. Czy to jest możliwe? Myślę, że tak.

Rozmawiał Piotr Nowak