Lekerült a Kaspersky Lab arról az amerikai listáról, amely a kormányzati szektorban engedélyezett beszállítókat tartalmazza. Szerdán a Reuters közölte a hírt. Érdekes, hogy a Bloomberg épp a döntés nyilvánosságra kerülését megelőző napon közölt újabb részletes elemzést a Kaspersky és az orosz titkosszolgálatok kapcsolatáról. Erre maga Kaspersky reagált blogján egy terjedelmes posztban.

Az elnöki rendelet értelmében az amerikai kormányzati szerveknek tilos saját célra Kaspersky-temrékeket és szolgáltatásokat vásárolni saját célokra. A döntés indoklása szerint az orosz kiberbiztonsági cég túl szoros kapcsolatot ápol az orosz titkosszolgálatokkal. A GSA (General Services Administration) nyilatkozata szerint a döntéssel biztosítható a szervezet legfontosabb célja, hogy biztosítsa a kormányzati rendszerek és hálózatok integritását és biztonságát. A tiltás azonban egyelőre még nem teljes körű, egyedi közbeszerzési eljárásokban továbbra is vásárolhatnak kormányzati szervek Kaspersky-megoldásokat.

A döntés előzménye volt, hogy egy hónapja a hadsereget már letiltották Kasperskyékról, és a Reuters szerint elképzelhető a kormányzati szerveket érintő radikálisabb tiltás is.

Régi vád felmelegítve

Régi lemez, hogy a Kaspersky Lab szoros kapcsolatot ápol az orosz szolgálatokkal. A Bloomberg már 2015-ben terjedelmes összeállításban számolt be arról, hogyan fonódik össze a cég a vezetésének keresztül a titkosszolgálatokkal (erről, valamint Kaspersky válaszáról itt írtunk). A cég vezéréről a Wikipédián olvasható, hogy a KGB egyetemén végzett, és pályáját a katonai hírszerzésnél kezdte szoftvermérnökként.

A Bloomberg mostani cikke a két évvel korábbi íráshoz képest nem szolgál túl sok eget rengető újdonsággal. Új elem csupán egy a Bloomberg birtokába jutott levelezés 2009-ből, mely szerint a Kaspersky az FSZB-vel (Federalnaja Szluzsba Bezopasznosztyi) nem nyilvános biztonsági technológiákat fejlesztett DDoS-típusú támadások elleni védekezéshez. Ebben olyan fejlesztések is szerepeltek a Bloomberg szerint, melyekkel a támadók fizikai tartózkodási helyét is fel lehet deríteni.

A kulcsfigurák is ugyanazok: ebben a projektben is feltűnik a vállalat vezető jogásza, Igor Csekunov, akit a 2015-ös összeállításban a Bloomberg KGB-s kapcsolatokkal vádolt. (Ezt már akkor cáfolta a cégvezető: a jogi igazgatónak csak annyi köze van a KGB-hez, hogy sorkatonaként az akkor a KGB alá tartozó határőrségnél szolgált.)

Nehéz helyzetbe kerülhet a vállalat

Azt a Bloomberg is elismeri, hogy a nagy biztonsági cégek jellemzően jó kapcsolatot ápolnak a szolgálatokkal és a nyomozó hatóságokkal. A korábbi összeállításban példaként a CIA-val közvetlen üzleti kapcsolatban is álló FireEye-t hozza, amely azokban az esetekben mindig visszafogottabban kutakodott, amikor például egy kémprogram akárcsak áttételesen is kapcsolatba hozható volt valamelyik amerikai titkosszolgálattal.

A Kaspersky ellenben kínosan ügyelt arra, hogy függetlenségét hangsúlyozza. Erre jó példa egy japán forgalmazójuk esete. A japán cég 2007-ben egy a KGB-re utaló szlogennel kezdte reklámozni a Kasperskyt (A Specialist in Cryptography from KGB), amit az oroszok azonnal le is állítottak, mivel már akkor látszott, hogy elsősorban az amerikai és a nyugat-európai piacon akarnak nőni.

A Kaspersky Lab számára ma már létkérdés, hogy fenntartsa a függetlenség imidzsét. A cég bevételeinek jelentős része ugyanis külföldről származik. A Bloomberg az IDC adatait hozza: 2016-ban a 633 millió dolláros bevételéből 374 millió jött az Egyesült Államokból és Nyugat-Európából. Ugyanakkor a cég 400 millió felhasználójából 200 millió nem is tudja, hogy Kaspersky-terméket használ, mert a cégnek van egy sor olyan ügyfele, amely Kaspersky-megoldásokat licencel, és azokat tűzfalakba és érzékeny távközlési berendezésekbe is beépíti, amiről azonban a felhasználókat nem informálja. Ilyen rendszer például az év elején bemutatott KasperskyOS is, amely épp a kritikus infrastruktúrákban kaphat szerepet.

A tételes cáfolat...

Amit Kaspersky személyes hangvételben, azt az amerikai központ tárgyilagosabban, de ugyancsak tételesen cáfolta. Kasperskyék csúsztatásokkal és szakmaiatlansággal vádolták a Bloomberg szerzőit.

Az FSZB-vel való együttműködésnek és a közös fejlesztési projektnek több pontot is szenteltek. Állításuk szerint ebből szinte semmi sem igaz. Csak annyira működnek együtt az orosz hatóságokkal, amennyire más kormányok hasonló szolgálataival, hogy elhárítsák a kiberfenyegetéseket. Az FSZB-vel pedig nem csak közös fejlesztésük nem volt, de a titkosszolgálat nem is ügyfele a Kasperskynek DDoS-megoldásokban.

A cáfolat azonban összességében most meglehet keveset ér. A Bloombergnek nyilatkozó szakértők is felhívják a figyelmet arra – és ezt a Kaspersky sem tudta megcáfolni –, hogy a vírusvédelmek lényegében hozzáférnek a számítógépen lévő összes fájlhoz, alkalmazáshoz, és magához az operációs rendszerhez is. Ez és a rendszeres – a Kaspersky Antivirusnál például óránkénti – frissítés együtt akár visszaélésekre, kiberkémkedésre is használható.

A viszony most Oroszország és az USA, illetve a nyugat-európai államok között meglehetősen feszült, ami eleve aláássa azt a bizalmat, amely a kiberbiztonsági piacon való érvényesüléshez kulcsfontosságú. A bizalmat erősíthette volna az is, ha a céget a korábbi terveknek megfelelően tőzsdére viszik. Végül Kaspersky másként döntött, indoklása szerint ugyanis a rugalmasság és gyors reakciókészség megőrzéséhez gyors döntések kellenek, ami egy tőzsdei cégnél nem biztosítható. Meglehet, most ezt is újra kell gondolniuk a tulajdonosoknak.