Маршрутизатор раздора

# Маршрутизатор раздора

В мае 2023 года аналитики Microsoft Threat Intelligence опубликовали отчёт, который заставил вздрогнуть Вашингтон: китайская хакерская группа, получившая имя Volt Typhoon, годами незаметно компрометировала маршрутизаторы малых офисов и домашних сетей на территории США, выстраивая скрытую ретрансляционную инфраструктуру внутри критически важных систем — энергосетей, водоснабжения, транспорта (Microsoft Threat Intelligence, май 2023). Угроза выглядела неоспоримой. Ответ — запрет на импорт новых маршрутизаторов китайского производства — выглядел логичным. Но Брюс Шнайер когда-то назвал аналогичное явление в сфере аэропортовой безопасности «театром безопасности» — видимые меры, почти не снижающие реальный риск (Bruce Schneier, *Beyond Fear*, 2003). Возможно, здесь работает та же механика. Возможно, для неё нужно более точное имя.

Загадка приобретает очертания, если задать три простых вопроса. Первый: если китайские маршрутизаторы являются инструментами наблюдения, почему не провести аудит прошивки и не отозвать устройства? Второй: если угроза неотложна, почему запрет вводится поэтапно через ограничение импорта, а не экстренным приказом? Третий: почему именно маршрутизаторы, когда китайские устройства интернета вещей — камеры, умные колонки, термостаты — представляют сопоставимый или даже больший риск для приватности?

FCC исторически регулировала радиочастотные помехи и распределение спектра. Кибербезопасность — относительно новое и юридически спорное расширение её мандата. Тем не менее именно FCC становится главным инструментом действия. Дэвид Шепардсон из Reuters зафиксировал ключевую цифру: Китай контролирует, по оценкам, более 60% американского рынка домашних маршрутизаторов (David Shepardson, Reuters, 2024). Эта единственная статистика несёт колоссальный вес — и в аргументе о безопасности, и в аргументе о торговле. Чтобы понять, почему FCC действует именно сейчас, нужно проследить, как китайские производители захватили американский рынок.

TP-Link — компания, основанная в Шэньчжэне в 1996 году, — превратилась в крупнейшего мирового продавца Wi-Fi-маршрутизаторов. Её доминирование построено на агрессивном ценообразовании, обеспеченном вертикально интегрированными китайскими цепочками поставок, государственными субсидиями полупроводниковой экосистемы и эффектом масштаба, с которым американские конкуренты — Netgear, Linksys — не могли соперничать (Wall Street Journal, расследование о TP-Link, 2024). Параллельно эволюционировала американская политика: от доклада Комитета по разведке Палаты представителей 2012 года, обозначившего угрозу Huawei и ZTE, через Secure Networks Act 2019 года, запретивший Huawei в магистральной телеком-инфраструктуре, к эскалации 2024–2025 годов, нацеленной на потребительское оборудование. Каждый шаг расширял периметр «национальной безопасности» глубже в потребительские рынки.

Ближайшим поводом стала именно кампания Volt Typhoon: китайские государственные хакеры компрометировали маршрутизаторы для малых офисов и домашних сетей, чтобы выстроить скрытые ретрансляционные сети внутри критической инфраструктуры США (CISA Advisory, февраль 2024). Это — casus belli Вашингтона. Но здесь стоит вспомнить формулу Шнайера: «Безопасность — это процесс, а не продукт» (Bruce Schneier, *Secrets and Lies*, 2000). Может ли запрет категории продуктов заменить обеспечение процесса? Проблема выходит далеко за пределы маршрутизаторов — и осознание этого масштаба обнажает то, что запрет FCC оставляет без внимания.

Запрет маршрутизаторов — один узел в значительно более широкой программе технологического размежевания. Субсидии CHIPS Act, расширение чёрного списка Министерства торговли, законодательство о принудительной продаже TikTok, ограничения на китайские электромобили и портовые краны — всё это использует разные ведомства (Министерство торговли, FCC, Комитет по иностранным инвестициям) для достижения единой промышленно-политической цели под различными правовыми основаниями. Паттерн очевиден.

Но вот критическая деталь: Volt Typhoon эксплуатировала маршрутизаторы, произведённые Cisco, Netgear и Fortinet, — не только китайские бренды (Microsoft Threat Intelligence, май 2023; CISA Advisory, методы «использования штатных средств системы», февраль 2024). Уязвимость заключалась в устаревшей прошивке и плохой гигиене обновлений, а не в стране происхождения. Этот факт серьёзно подрывает нарратив «китайское железо = китайский шпионаж». Среднестатистический американский дом сегодня содержит полтора-два десятка подключённых устройств. Запрет китайских маршрутизаторов при сохранении китайских сенсоров, камер и умных устройств создаёт периметр безопасности с зияющими дырами. Избирательность бросается в глаза — и приглашает к очевидному объяснению: запрет действительно про безопасность, просто несовершенно исполнен. Проверим эту теорию.

Защита «несовершенный, но необходимый» звучит убедительно. Её сторонники приводят три аргумента: надо с чего-то начинать; маршрутизатор — шлюзовое устройство, скомпрометируй его — получишь доступ ко всему за ним; наконец, китайский Закон о национальной разведке 2017 года (статья 7) обязывает компании сотрудничать с государственными спецслужбами, что делает китайские маршрутизаторы категориально отличными от, скажем, тайваньских. Комиссар FCC Брендан Карр неоднократно указывал на то, что китайское оборудование представляет «неприемлемый риск для национальной безопасности» и что действия комиссии направлены на защиту коммуникационных сетей от эксплуатации иностранными противниками (публичные заявления FCC, 2024). Директор ФБР Кристофер Рэй охарактеризовал Volt Typhoon как «определяющую угрозу нашего поколения» и поддержал жёсткие меры против китайской технологической инфраструктуры на территории США (слушания в Конгрессе, январь 2024).

Аргумент отчасти верен. Статья 7 действительно создаёт юридическое обязательство, не имеющее западного аналога. ФБР и CISA публично атрибутировали Volt Typhoon китайским государственным акторам (FBI/CISA Joint Advisory, февраль 2024). Но появляется первая трещина: если угроза — это бэкдоры на уровне прошивки, то средством должен быть аудит прошивки, обязательное депонирование кода или режим сертификации, а не импортный запрет. Европейский Cyber Resilience Act, принятый в 2024 году, идёт именно этим путём: устанавливает стандарты безопасности для всех подключённых продуктов вне зависимости от страны происхождения (European Commission, Cyber Resilience Act, 2024). США выбрали другой инструмент — тот, который по совпадению является торговым барьером.

Напрашивается объяснение: возможно, FCC просто не обладает техническим потенциалом для сертификации прошивки и выбрала единственный доступный инструмент — грубый запрет. Звучит разумно. Чтобы оценить эту теорию «тупого инструмента», нужно посмотреть, как именно устроен запрет — его механизм покажет, чьим интересам он служит.

Запрет нацелен на новый импорт потребительских маршрутизаторов от производителей из списка ограничений, построенного по модели Secure Networks Act. Он не предусматривает отзыва существующих устройств. Не финансирует программ замены. И — вот ключевое — не устанавливает новых стандартов безопасности для отечественных производителей.

Экономический механизм прозрачен. Когда свыше 60% рынка внезапно освобождается, отечественные и союзнические производители — Netgear, Linksys/Belkin, Eero (Amazon), Google Nest — получают ценовую власть. Потребители столкнутся с ростом цен, который, по логике рыночной концентрации, может оказаться весьма ощутимым — особенно в сегменте устройств начального уровня, где китайские производители доминировали за счёт ценовой агрессии. Удар придётся прежде всего по домохозяйствам с низким доходом. Лоббистский след виден невооружённым глазом: отраслевые группы, представляющие американских производителей сетевого оборудования — Information Technology Industry Council, Telecommunications Industry Association, — продвигали именно ограничения по стране происхождения, а не стандарты безопасности на основе результатов (публичные комментарии к нормотворческим процессам FCC, 2024). Эти организации представляют те же компании, которые захватят освободившуюся долю рынка.

И вот улика: запрет не содержит ни одного положения, обязывающего американские маршрутизаторы соответствовать какому-либо новому стандарту безопасности. Американский маршрутизатор с известными незакрытыми уязвимостями остаётся абсолютно легальным для продажи. Теория «тупого инструмента» начинает рассыпаться — инструмент оказывается отточен с хирургической точностью. Только точит его не безопасность.

Оправдание «ограниченным потенциалом» не выдерживает проверки. FCC уже управляет всеобъемлющей системой авторизации оборудования — процедурой FCC ID, через которую проходит каждое электронное устройство, продаваемое в США. Добавить критерии безопасности прошивки к этому существующему процессу технически осуществимо — ЕС это делает в рамках Cyber Resilience Act (European Commission, 2024). FCC решила этого не делать.

Глубинный слой: запрет создаёт классическую динамику регуляторного захвата. Действующие игроки получают выгоду от барьера и теряют стимул инвестировать в собственную безопасность, потому что конкурентное давление со стороны более дешёвых — и потенциально лучше защищённых — китайских альтернатив устранено. Политика не поднимает планку безопасности. Она убирает ценовой пол.

Историческая параллель напрашивается: тарифы 2018 года на сталь и алюминий были обоснованы «национальной безопасностью» (Раздел 232 Закона о торговле). Экономисты почти единогласно заключили, что они функционировали как протекционизм (Peterson Institute for International Economics, анализ тарифов по Разделу 232, 2018–2019). Запрет маршрутизаторов использует другой правовой путь, но следует той же структурной логике. Формулировка, кристаллизующая суть, напрашивается сама: мы запретили страну, а не уязвимость. Восемь слов — и старая рамка трещит по швам.

Здесь всё встаёт на свои места. Общепринятая мудрость гласит: FCC запрещает китайские маршрутизаторы, потому что они представляют реальную киберугрозу, и запрет — пусть несовершенный — является необходимым первым шагом. Новая рамка — и здесь наконец стоит дать явлению имя: файрвол-меркантилизм. Это политический паттерн, при котором правительства используют угрозы кибербезопасности для возведения торговых барьеров, функционирующих как промышленные субсидии, — защищая отечественные компании от иностранной конкуренции, оставляя при этом базовые уязвимости без внимания.

Паттерн имеет чёткую последовательность: (1) идентифицировать реальную, но диффузную угрозу безопасности; (2) атрибутировать её оборудованию геополитического соперника; (3) запретить оборудование вместо того, чтобы установить стандарты безопасности; (4) передать освободившуюся долю рынка отечественным компаниям; (5) оставить базовую уязвимость незакрытой.

В рамке файрвол-меркантилизма каждый факт переосмысляется. Volt Typhoon была реальной — но она эксплуатировала уязвимости прошивки у маршрутизаторов всех брендов; рамка «страны происхождения» была наложена поверх задним числом. Шестьдесят процентов рынка — это не статистика безопасности; это экономическая статистика, делающая торговый приз достойным политических усилий. Отсутствие новых требований безопасности для американских маршрутизаторов — если эта интерпретация верна — не упущение, а индикатор того, что безопасность здесь — транспортное средство, а не пункт назначения.

В рамке файрвол-меркантилизма весь политический ландшафт реорганизуется — хотя, разумеется, эта реорганизация требует оговорок.

Отсутствие отзыва существующих китайских маршрутизаторов трудно объяснить логикой безопасности, но оно вписывается в меркантильную логику: отзыв стоил бы американским ритейлерам миллиарды и вызвал бы политическую реакцию; импортный запрет создаёт будущую долю рынка, не нарушая настоящего. Впрочем, можно возразить, что постепенность — стандартная практика регулирования, и отсутствие немедленного отзыва ещё не доказывает скрытых мотивов. Исключение устройств интернета вещей из запрета может свидетельствовать о меркантильной избирательности: у США нет отечественной базы производства таких устройств, которую стоило бы защищать, поэтому нет лоббистского контингента, продвигающего эти запреты. Наконец, отсутствие новых стандартов безопасности для отечественных маршрутизаторов — самый красноречивый элемент: стандарты повысили бы издержки для тех самых компаний, которым политика, если рамка файрвол-меркантилизма верна, призвана помочь.

Системная модель, которую стоит назвать прямо: это регуляторный захват, действующий через механизм инфляции угрозы — паттерн, задокументированный в оборонных закупках (военно-промышленный комплекс Эйзенхауэра), мигрировавший в потребительские технологии. И файрвол-меркантилизм не уникален для США: китайский «Великий файрвол» сам функционирует отчасти как торговый барьер, защищающий Baidu, Alibaba и Tencent. Америка, возможно, усваивает ту же структурную логику, одновременно критикуя Китай за неё.

Три кейса делают паттерн осязаемым.

TP-Link. Крупнейший мировой продавец маршрутизаторов по объёму. В 2024 году Wall Street Journal сообщил о расследовании правительства США в отношении TP-Link по соображениям национальной безопасности (Wall Street Journal, расследование о TP-Link, 2024). Ответ компании показателен: TP-Link объявила о корпоративной реструктуризации с переносом штаб-квартиры в Ирвайн, Калифорния, — попытка стать «достаточно американской» для выживания. В рамке файрвол-меркантилизма цель — не сделать TP-Link безопасной, а сделать её менее конкурентоспособной или заставить делиться прибылью с американскими операциями.

Разрыв атрибуции Volt Typhoon. Раскрытие Microsoft в мае 2023 года идентифицировало скомпрометированные устройства Cisco, Netgear, Fortinet и маршрутизаторы множества брендов (Microsoft Threat Intelligence, май 2023). Последующие рекомендации CISA сфокусировались на обновлении прошивки и установке патчей — процессный ответ (CISA Advisory, февраль 2024). Запрет FCC — продуктовый ответ, нацеленный на другой набор производителей. Два ответа не согласованы, потому что, если рамка верна, служат разным целям.

Cyber Resilience Act ЕС. Принятый в 2024 году, CRA требует от всех подключённых устройств, продаваемых в ЕС, соответствовать базовым стандартам безопасности — вне зависимости от страны происхождения. Обязательное раскрытие уязвимостей, сроки поддержки обновлений, аудит третьей стороной (European Commission, Cyber Resilience Act, 2024). Вот как выглядит политика, ставящая безопасность на первое место. США выбрали другую модель.

Впрочем, существуют серьёзные контраргументы, и интеллектуальная честность требует их рассмотреть.

Некоторые аналитики утверждают, что промышленная политика не является нелегитимной по определению: CHIPS Act открыто совмещает цели безопасности и экономики. Другие указывают, что стандарты — процесс медленный, а угроза — немедленная; запрет действует быстрее.

А аргумент о статье 7 китайского Закона о национальной разведке заслуживает отдельного разбора — это, пожалуй, сильнейший аргумент в пользу запрета по стране происхождения. Статья 7 создаёт юридическое обязательство, которое никакой аудит прошивки не может полностью нейтрализовать: даже если маршрутизатор проходит проверку сегодня, китайское государство может принудить производителя отправить скомпрометированное обновление завтра. Это реальная асимметрия. Но у аргумента есть конкретный изъян: он усиливает обоснование для обязательных механизмов обновления, депонирования кода и запрета аварийного отключения — то есть для стандартов, а не для импортного запрета.

Эти доводы нельзя отбрасывать — но запрет без стандартов не устраняет риск статьи 7 для миллионов китайских маршрутизаторов, уже стоящих в американских домах.

Запрет FCC на маршрутизаторы сделает некоторые американские компании богаче. Он сделает некоторые американские маршрутизаторы дороже. Чего он, вероятнее всего, не сделает — так это не сделает американские сети безопаснее. Миллионы китайских маршрутизаторов, уже гудящих в американских домах, продолжат гудеть — без патчей и без аудита.

Файрвол-меркантилизм — не заговор. Это структура стимулов. Когда угрозы безопасности реальны, но диффузны, а инструменты, которые бы их устранили — стандарты, аудит, обязательные обновления, — дороги и политически невзрачны, путь наименьшего сопротивления — запретить иностранца. Это удовлетворяет ястребов безопасности, радует отечественных производителей и оставляет реальную уязвимость нетронутой для следующего Volt Typhoon.

Сегодня вечером, в миллионах американских домов, маленькая пластиковая коробка, сделанная в Шэньчжэне, будет маршрутизировать каждый пакет данных, который семья отправляет в мир. Завтра она будет стоять на том же месте. FCC не защитила файрвол. Она лишь обложила налогом следующий.