Кивино гнездо: Человек против обмана

Автор: Берд Киви

Опубликовано 05 июля 2010 года

В стенах Компьютерной лаборатории Кембриджского университета прошел очередной ежегодный форум SHB 2010, или развернуто "Третий междисциплинарный семинар по безопасности и человеческому поведению".

По уже устоявшейся традиции это любопытное мероприятие представляет собой очень насыщенную докладами и дискуссиями двухдневную конференцию, на которую собираются пообщаться специалисты из столь разных областей исследований, как компьютерная безопасность, психология, поведенческая экономика, эволюционная биология, социология, философия и так далее. Организаторами SHB являются весьма авторитетные в мире информационной безопасности люди: англичанин Росс Андерсон и американец Брюс Шнайер, которым благодаря своим обширным знакомствам удается привлечь на конференцию исследователей, занимающихся "человеческой стороной" проблем безопасности на самых разных дисциплинарных направлениях.

Если требуются пояснения, зачем вообще это нужно - собирать под одной крышей людей со столь широким профессиональным разбросом, - то краткий ответ выглядит следующим образом. Ситуация с защитой компьютеров и сетей на сегодняшний день такова, что самым слабым местом здесь стабильно остается человеческий фактор, а атаки на основе обмана людей представляют самую большую угрозу для онлайновой безопасности. Иначе говоря, ощутимо укреплять защиту систем можно лишь в том случае, если во главу угла ставить особенности работы человеческой психологии. А коль скоро практически для любых проблем в области инфобезопасности непременно находятся достаточно близкие аналоги и в реальной жизни людей, одновременно имеются богатые возможности через защиту компьютеров узнать что-то новое и о человеке.

Конечно, при разговоре на столь обширную и разностороннюю тему было бы уместно дать более развернутые пояснения и примеры, однако 2 года назад на страницах "КТ" все это уже делалось при обзоре самой первой конференции, SHB 2008. Поэтому здесь для всех интересующихся достаточно будет дать ссылку на прошлую статью "Психология безопасности", после чего сразу перейти к рассказу о наиболее любопытных докладах конференции нынешней (что стало возможным благодаря феноменальным способностям Росса Андерсона, который одновременно участвует в работе конференции, делает конспекты всех выступлений и тут же выкладывает их в Сеть).

Доклад исследовательницы из Нортумберлендского университета Пэм Бригс (Pam Briggs) носил название "Биометрические деймоны" и должен был сопровождаться кратким фильмом, который особо интересен, наверное, был бы тем, кто читал трилогию Филипа Пулмана "Тёмные начала" или хотя бы смотрел недавнюю её экранизацию "Золотой компас". Видеопроекционная техника, правда, не сработала (как это нередко случается в подобных ситуациях), поэтому слушателям пришлось довольствоваться лишь устным выступлением докладчицы, пояснившей, что их работа была вдохновлена необычным миром из фэнтези-книг Пулмана. Или "миром Лиры", где человек всегда находится в неразрывной связи со своим "деймоном", говорящим духом в форме какого-либо животного.

"Цифровой биометрический деймон", созданный Бригс и её коллегами, внешне похож на общеизвестную игрушку тамагочи, а предназначен для того, чтобы полностью убрать из окружающего мира всю информацию, идентифицирующую человека в компьютерных сетях — криптоключи, имена-логины, пароли и тому подобные вещи, так часто похищаемые злоумышленниками и используемые для краж личности или компрометации владельцев. Здесь всё это хозяйство шифруется и помещается в память миниатюрного устройства, которое, словно неотделимый спутник-деймон, постоянно находится в непосредственной близости от хозяина.

По принципу тамагочи, деймон все время должен ощущать близость "своего" человека — тот время от времени его трогает, оставляя отпечатки пальцев, разговаривает с ним, оставляя сигнатуры голоса, а также снабжает другими видами биометрии (например, походки). Попутно деймон изучает и обучается узнавать обычные места, в которых чаще всего бывает хозяин. В результате всего этого обучения деймон делит с владельцем общую личность и начинает выдавать признаки беспокойства, когда линия поведения отходит от уже устоявшейся. Дабы убедить его, что все нормально, владелец должен разными способами "успокоить" своего деймона — потрогать, поговорить и так далее. Если же кто-то похищает деймона или он теряется, то он быстро начинает тосковать, чахнуть и "умирает" от недостатка заботы своего хозяина, запирая в памяти всю загруженную туда информацию.

Следующим шагом разработки в развитии и обучении "цифрового деймона" должна стать такая программа, благодаря которой он станет предупреждать своего владельца о признаках обмана и мошенничества. Например, демонстрируя признаки беспокойства, когда человек собирается предоставить свои реквизиты на сомнительном веб-сайте...

Понятно, что обучение программы столь нетривиальным вещам, как выявление потенциальных случаев обмана и мошенничества, требует создания соответствующих надежно работающих алгоритмов, анализирующих внешнее окружение лучше, чем это обычно делает человек. На конференции SHB было несколько докладов об исследованиях в данном направлении, в частности, выступление Петера Йохансона (Petter Johansson) из Лундского университета, Швеция.

В каком-то смысле предмет исследований этой работы имеет много общего с общеизвестным в реальной жизни типом жульничества под названием "денежная кукла" — когда при операции расчетов жертве сначала предъявляют пачку денег, а затем незаметно подменяют её пачкой нарезанной бумаги. Аналитические исследования Йохансона и его коллеги Питера Холла сосредоточены вокруг смежной проблемы, носящей название "слепота выбора" (статью можно найти тут).

Моделируя психологические механизмы того, как люди делают ошибки при достаточно несложном по сути, но важном по своим последствиям выборе, исследователи предлагали добровольцам в соответствии с некоторыми условиями выбрать лицо на одной из множества фотографий. Затем, переходя к следующему этапу теста, они подменяли этот выбор на другое лицо, и в результате обнаружили, что 80% людей не замечают подмены. Причём затем эти люди без проблем выстраивают обоснования своему неверному выбору, к которому их вынудили с помощью трюка. Любопытно, что этот же трюк, но уже в условиях компьютерного эксперимента, не срабатывает столь же хорошо, как при манипуляциях с подменой фотографий вручную. То есть при общении с компьютером, похоже, люди ведут себя всё же более бдительно, чем с людьми...

Слепота выбора, как установлено исследователями, проявляется человеком в весьма широком диапазоне ситуаций (не только лица, но также, к примеру, запахи или даже анкеты о моральных суждениях). По мнению учёных, это представляется весьма интересным направлением для самопознания человека. Подавляющее большинство людей даже не представляет себе, насколько мало мы знаем о себе самих и о том, как работает наша психология. Переходя от мошенничества к пропаганде, можно, скажем, отметить, что если с помощью хорошо отработанных трюков-подмен склонить граждан к одобрению того или иного заявления (чем постоянно занимаются политики и ТВ), то затем эти люди без проблем "прилипают" к этой точке зрения и даже защищают её в спорах с другими...

Среди других интересных докладов, о которых здесь есть возможность упомянуть лишь мимоходом, можно отметить такие.

Дилан Эванс (Dylan Evans) из Ирландского национального университета (Корк) изучает довольно своеобразное направление — насколько люди осведомлены о том, что они реально знают и чего не знают. Для этих исследований Эванс организовал онлайновый тест ProjectionPoint, в рамках которого измеряется RQ (от Risk Quotient) или коэффициент интеллекта при оценке рисков. Один из показательных результатов теста — это насколько по-разному может работать "интеллект рисков" у людей разных профессий. Например, весьма хорошие показатели демонстрируют здесь синоптики, предсказывающие погоду. А вот работники медицины в данных тестах почему-то показали себя просто невероятно плохо.

Известный математик Эндрю Одлыжко (Andrew Odlyzko) из университета Миннесоты выступил с докладом "Пузыри и доверчивость". Тема его исследования - каким образом удается надувать людей так, что они не только добровольно отдают тысячи миллионов долларов, но и с энтузиазмом помогают тем, кто эти деньги присваивает. В качестве характерных примеров берутся недавно лопнувший пузырь с финансовыми кредитами и 10-летней давности потеря 100 миллиардов долларов на афере с прокладкой трансатлантических оптоволоконных кабелей. Как ни странно, во всех последних пузырях самыми доверчивыми "простаками" оказывались творцы большой политики...

Одной из особо привлекательных сторон конференции Security and Human Behavior является то, что на сайте мероприятия, SHB 2010, сразу выкладываются ссылки на материалы практически всех исследований, лежащих в основе докладов. С кратким же конспектом выступлений и дискуссий на форуме можно познакомиться в кембриджском блоге Андерсона и его коллег по Компьютерной лаборатории, см. www.lightbluetouchpaper.org.