Для посетителя выставка, как и театр, начинается с вешалки или, точнее говоря, музейного гардероба. Для создателей же — с основной идеи: какие мысли нужно донести до аудитории и какой опыт она должна получить. От этой задумки отталкивается вся последующая работа, включая подбор экспонатов, подготовку интерактивов и оформление экспозиции.
Этот непростой и творческий процесс невозможен без дискуссий и концептуальных экспериментов. Даже такие, казалось бы, сугубо бытовые моменты, как освещение и вентиляция, порой требуют немалой фантазии и нестандартного мышления. Для посетителя всё это остается за кадром: он видит уже готовую экспозицию, но не знает, сколько решений стоит за тем, как она устроена.
Совместную выставку Музея криптографии и Бастиона «Ключ к доверию. Безопасность в эпоху высоких технологий» готовили целый год. За это время первоначальная концепция проекта успела претерпеть ряд трансформаций, но главная задумка осталась неизменной. Вместо абстрактного рассуждения в духе «вот так правильно, а вот так опасно» выставка дает посетителю самому оказаться в различных ситуациях, сделать осознанный выбор в части кибербеза и посмотреть, к каким последствиям это приведет.
К нам в блог заглянул научный куратор проекта Егор Ефремов. Он рассказал, как родилась и эволюционировала концепция выставки, как готовили проект и с какими сложностями сталкивались музейщики и безопасники. Не будем устраивать виртуальную экскурсию по залам — здесь лучше один раз посетить, чем сто раз прочитать. Вместо этого заглянем в закулисье проекта и посмотрим на выставку изнутри вместе с человеком, который координировал весь процесс.
Передаем слово Егору.
Цели выставки и состав команды
Идея выставки появилась не на пустом месте: у музея и команды Бастиона уже был общий интерес к теме, ведь где криптография — там и кибербез. Оставалось понять, под каким углом взглянуть на информационную безопасность. Техники взлома сами по себе быстро сместили бы фокус в сторону исключительно профессиональной аудитории. Поэтому решили смотреть шире — не разбирать сложные атаки, а искать сюжеты, в которых кибербезопасность пересекается с обычной жизнью людей.
Вокруг инфобеза постоянно рождаются мифы, теории заговора и заблуждения — от беспечности из серии «кому нужны мои данные?» до паранойи и страха тотальной цифровой слежки. Мы помогаем аудитории нащупать золотую середину между этими крайностями. Вот какие цели мы преследовали, когда готовили проект.
Сформировать осознанное отношение к цифровой безопасности у пользователей. Мы не стремились запугать посетителей и заставить срочно поменять пароли. Просто хотели подчеркнуть, что при всей зависимости от технологий человек не должен им слепо доверять. У каждого в современном мире есть инструменты для принятия взвешенных цифровых решений.
Предостеречь технарей от излишнего технооптимизма и уверенности, будто «технологии решают всё» без участия пользователя.
Продемонстрировать посетителям, как более чем за столетний период (с 1910-х годов до наших дней) технологии меняли наше чувство защищенности и контроль над данными. Выставка показывает, что кибербез — не цепь случайных инцидентов или хаотичная борьба «щита и меча». Это упорядоченная и постоянно адаптирующаяся к прогрессу отрасль.
Мы собрали дружную и разностороннюю команду из научных сотрудников, сценаристов, технических специалистов и внешних консультантов. От музея над проектом работали наши хранители Людмила Кузягина и Алиса Чернышева, научные сотрудники Анастасия Ашаева и Александр Дюльденко, редактор Мария Талмазова, инженеры мультимедиа Олег Кулешов и Сергей Харитонов, специалисты по доступности Никита Большаков и Наталья Макарова и многие другие. От Бастиона — руководитель отдела реагирования на инциденты Семен Рогачев, руководитель департамента маркетинга «ИКС Безопасность» Алиса Лазовская и руководитель группы ключевых проектов «ИКС Безопасность» Александра Резодубова.
Музейщики занимались историческими исследованиями и подбором экспонатов. Команда Бастиона помогала разрабатывать выставочную концепцию и интерактивные части проекта, подбирала актуальные кейсы, проверяла собранные материалы на предмет технической корректности.
Важную роль в реализации выставки сыграли студия АДэ, взявшая на себя разработку мультимедиа-интерактивов, и архитекторы «заруки студия», а также PAPERFORM, которые всё это великолепие произвели и собрали.
Старт работы и трансформация концепции
Для начала мы дали проекту простое техническое название — «Кибербезопасность». Выставочный проект — это не про то, «как корабль назовут…»: в ходе подготовки наименование может измениться (спойлер, так оно и произойдет).
Первым этапом работы стал исторический ресерч. Исследователи музея — Александр Дюльденко, Анастасия Ашаева и я — перелопатили кипы источников и научных статей. Безопасники из Бастиона делились своей экспертизой по современным кейсам и техникам взлома, оценивали значимость найденных нами исторических сюжетов и подсказывали, какие актуальные до сих пор проблемы они иллюстрируют.
Мы свели результаты ресерча в обширную таблицу, ставшую смысловым проектным майндмэпом. В таблице выстраивались связанные истории, добавлялись гиперссылки между объектами и сюжетами. В результате родилось общее видение концепции и смыслового наполнения проекта.
По изначальной задумке структура выставки включала два основных раздела:
исторический таймлайн, демонстрирующий, как цифровизация оплетала все аспекты жизни людей, как эволюционировали методы злоумышленников и техники защиты;
пространство с интерактивными сценариями, где сухая теория превращается в живой опыт посетителей.
Вдобавок задумывалась отдельная инсталляция о балансе свободы и безопасности с высказываниями на эту тему известных людей из мира ИТ, кибербеза, искусства.
После ресерча перешли к формированию сюжетов. Мы с коллегами из Бастиона изначально отказалась от банальной демонстрации предметов в духе «это стол, за ним едят»: каждый экспонат вписывался в появившийся на основе ресерча смысловой сюжет.
Как менялась концепция
Впоследствии мы пересмотрели ряд изначальных идей. Во-первых, за год проект сменил мало о чем говорящее техническое название «Кибербезопасность» на более емкое «Ключ к доверию. Безопасность в эпоху высоких технологий». Фокус в названии сместился с сугубо технических аспектов на человеческое восприятие кибербеза, что больше соответствует задумке выставки. Заодно нам удалось обыграть понятия «ключ» и «доверие», которые, помимо общечеловеческих, имеют вполне конкретные технические смыслы (и не только в контексте Zero trust).
Во-вторых, вместо двух разделов появились три полноценных зала: «Таймлайн», «Сценарии», «На языке защиты». В последнем пространстве гостям выставки предстоит ответить на один глобальный вопрос: что для вас безопасность сегодня? Для этого предусмотрены специальные звуковые киоски с экранами и микрофонами. Посетитель слышит аудиозапись своего голоса, а текст ответа выводится в потоке других высказываний на стене-экране. Можно сохранить свое высказывание в общем архиве или удалить и перезаписать. Через такую трехчастную структуру мы глубже погружаем аудиторию в тему инфобеза и помогаем лучше усвоить полученную информацию.
В-третьих, изменились временные рамки исторической экспозиции. Сперва мы хотели начать с зарождения телекоммуникаций и первых атак на них — момента, когда информационная безопасность перестала быть физической, основанной на конвертах и печатях. Поэтому планировали открыть экспозицию рассказом о появлении оптического телеграфа и его взломе братьями Блан. Эти первые хакеры стремились раньше всех узнавать сводки с парижской биржи. Вскоре пришло осознание, что секция не вписывается в задумку проекта. Тогда телеграф еще не влиял на повседневную жизнь большинства людей, в то время как главная идея проекта: кибербез касается каждого. В итоге повествование начали с 1910-х годов, когда коммуникационные технологии приобрели массовый характер.
Еще по совету экспертов из Бастиона мы постарались показать, что развитие кибербеза не всегда доставляет неудобства пользователям (постоянные капчи, замедление систем). Напротив, технологии защиты зачастую делают жизнь людей одновременно безопаснее и комфортнее — вспомним хотя бы токены вместо паролей или биометрическую аутентификацию. В связи с этим на выставке появилась инсталляция про принципы работы современных биометрических систем, где мы развеиваем некоторые тревожные мифы на сей счет.
Больше внимания уделили опасности киберпреступности и масштабам киберкатастроф.
Такой сюжет является сквозным, но ярче всего проявляется в двух инсталляциях. Во-первых, это инфографика крупнейших утечек ХХI века, по которой легко проследить рост объемов и значимости таких инцидентов — от сотен тысяч пользователей в нулевые до миллиардов в 2020-е.
Вторая ключевая инсталляция по этой тематике — о крупнейших кибератаках и разрушительных последствиях взломов.
Коллекция, которой не было: поиск и создание экспонатов
Параллельно с концептуальной и сюжетной проработкой проекта шел подбор экспонатов. Это оказалось непросто, ведь готовой коллекции предметов по теме кибербеза нет ни в государственных, ни в частных собраниях страны.
Да, многое удалось найти в собственных фондах: это и портативная механическая шифровальная машина конца 50-х годов XX века Hagelin CD-57, и заранее закупленный игрушечный свисток Капитана Кранча, который использовался американскими хакерами для взлома междугородних телефонных сетей в 1970-х, и знаменитая «Энигма», и другое. Но значительную часть экспонатов пришлось брать во временное хранение или закупать в других музеях. Поиск нужных предметов велся через Госкаталог музейного фонда РФ и по другим каналам. Некоторые члены выставочной команды ездили по разным музейным собраниям, чтобы найти и запросить недостающие экспонаты, как к себе на работу.
Не все такие поездки принесли результат: например, оригинал табулятора достать так и не получилось. Однако мы не могли отказаться от столь ценного смыслового объекта, поскольку взлом устройства, по сути, вдохновил появление белого хакинга и гражданского активизма посредством технологий.
Историческая справка
Табулятор — первый механический протокомпьютер, созданный инженером Германом Холлеритом для переписи населения. На каждом циферблате устройства рассчитывали определенную демографическую характеристику (количество женщин и мужчин, людей той или иной национальности). Результаты расчетов считывались с перфокарт и с помощью реле суммировались по определенным логическим правилам. Например, табулятор можно было закоммутировать на учет только мужчин старше 18 и младше 65 лет. В итоге реле оказались важнее статистики, и табуляторы стали основой для следующего поколения вычислительных машин — ЭВМ. Изобретатель же устройства Герман Холлерит основал компанию, впоследствии превратившуюся в IBM.
В годы Второй мировой войны табулятор широко применялся немецкими нацистами для военных и финансовых расчетов, а также для учета евреев. После оккупации Франции немцы попытались развернуть такую же систему и там, но агент французского сопротивления и сотрудник статистического управления Рене Кармиль начал выводить из строя функцию обработки графы национальности. Кармиль также изготовлял идентификаторы с нужной структурой данных и подделывал удостоверения личности для евреев и членов сопротивления. Тем самым он спас тысячи жизней.
Возвращаясь к экспозиции, в итоге застройщики выставки изготовили реалистичный макет табулятора. Нам удалось показать, как выглядело это чудо техники, рассказать о появлении устройства и про первого героического «этичного хакера» Рене Кармиля.
В свою очередь, из Музея ретро-компьютеров на экспозицию взяли ПК Apple II Europlus — европейскую версию устройства, на котором создали первый загрузочный вирус. К сожалению, по техническим причинам этот ПК нельзя оставлять работающим постоянно, но мы планируем периодически включать его для посетителей.
Этот же музей предоставил нам самый массовый персональный компьютер в истории — Commodore 64. ПК соединил в одном устройстве яркую по тем временам графику, полифонический звук, возможность подключения модема. Заодно Commodore 64 сильно повлиял на зарождение демосцены, хакерской субкультуры и эстетики (многие хакеры начинали свою карьеру именно с «Коммодора»).
Два важных экспоната удалось заполучить в музее Яндекса. Один из них — компьютер NeXTcube, на котором реализовали первый веб-сервер. По сути, это колыбель веба: в ней интернет получил массовое использование благодаря графическому интерфейсу, веб-сайтам, ссылкам. Другой — карманный персональный компьютер Sharp Zaurus (один из первых КПК на Linux с возможностью подключения к Wi-Fi). Zaurus стал излюбленным инструментом хакеров 2000-х годов для вардрайвинга — сбора данных о точках Wi-Fi и их взлома.
Из Филиппин, где побывал наш исследователь Александр Дюльденко, на выставку прибыла та самая банка консервов SPAM, которая стала первым мемом до появления интернета и подарила название феномену навязчивой рекламы.
Ряд показанных на экспозиции современных хакерских девайсов на базе Raspberry Pi и ESP-32 вовсе собрали энтузиасты из музейных сотрудников при экспертной помощи специалистов Бастиона. Еще ИБ-компания предоставила для выставки «пентестерский чемоданчик» — набор средств и инструментов для тестирования ИТ-инфраструктуры на проникновение, включающий популярный девайс Flipper Zero и многие другие тулзы.
Что-то удалось купить в частном порядке. Среди таких приобретений — чип Siemens SIMATIC S7, ставший жертвой вируса STUXNET (первого «кибероружия», нацеленного на физическую инфраструктуру).
Часть предметов сотрудники музея просто… нашли дома. Например, оказалось, что предок современного NFC — чип для бесконтактной передачи данных CommTech — впервые использовался в игрушках компании Hasbro, выпущенных в 1998–1999 годах к премьере очередного эпизода «Звездных войн». Одну из таких мне подарили на новый 2000 год 26 лет назад, и микросхема из нее нашла свое место на экспозиции.
Мы решили не ограничиваться традиционными экспонатами в витринах и для большего погружения публики создали с нуля тактильные копии исторических предметов. Так, посетителям дают потрогать и как следует изучить точную реплику диска легендарной «Энигмы». Ее изготовили в Мастерской тактильных макетов Михаила и Ольги Шу, где выполнили и другие представленные на выставке копии, например, исторических банковских карт 1950–1970-х годов, которые не получилось закупить.
Важное место на экспозиции заняли всевозможные цифровые объекты, с которыми предлагается провзаимодействовать на интерактивных стендах или с собственного смартфона либо планшета. Здесь можно «поиграться» с имитацией консоли управления компьютера 1960-х годов PDP-1, увидеть в работе разные утилиты из арсенала безопасников и даже (о ужас!) запустить вредоносное ПО.
Как цифровые процессы превращали в инсталляции
На этом этапе особенно пригодилась экспертиза специалистов Бастиона, которые делились своими рабочими кейсами и предоставляли ценную фактуру по актуальным методам атак.
Мы «на берегу» договорились об основной идее раздела: создать несколько интерактивных повседневных локаций, где гости выставки испытают на себе кибератаки. Одни инсталляций показывают методики прошлых лет, другие — современность. Антураж, техника, программное обеспечение — все соответствует заявленной эпохе и кейсу.
Сперва мы собирались включить в раздел пять городских сцен с упором на технические атаки, но и здесь не обошлось без пересмотра идей. В конце концов остановились на четырех блоках: дом, офис, банк, кафе.
Эксперты из Бастиона предложили отказаться от неактуальных сценариев, и мы прислушались к их мнению. Ключевой акцент в итоге сделали на более злободневные (и действительно касающиеся обычных людей) темы, такие как социальная инженерия и другие. Инсталляции воспроизводят телефонные звонки от «спецслужб» и «сотрудников банка», фишинговые страницы и сообщения в мессенджерах, взломы транспортной инфраструктуры и использование AI и дипфейков при атаках.
В процессе обсуждения мы пришли к мысли, что в каждой инсталляции посетителю следует примерить роль не только жертвы, но и киберпреступника. Когда сам попробуешь сыграть за атакующего, проще заметить, где обычно подстерегает опасность и в какой момент стоит насторожиться. Побывать по обе стороны баррикад полезно и для понимания, как устроена защита городской критической инфраструктуры, как работает система биометрического распознавания. Как говорится, знание — сила, а заодно отсутствие паники.
К тому же подобный подход помогает аудитории прочувствовать специфику деятельности хакера и избавиться от иллюзий на этот счет. Массовая культура часто изображает киберпреступника всесильным магом, который кидается трехмерными кубами и создает необратимые цифровые заклинания. Мы решили развеять этот полумистический флер и показать, что многие атаки используют очень простые методы. Любой человек может, как минимум, подстраховаться и снизить риски от действий хакеров.
Отдельные дискуссии развернулись вокруг инструментов погружения и интерактивного взаимодействия в инсталляциях. Проще всего установить везде сенсорные панели с пошаговыми инструкциями, однако в ряде интерактивов это снижает реалистичность и вредит атмосфере.
Например, одна из инсталляций представляет собой таксофон, который можно взломать, получив бесплатный звонок. Мы быстро отказались от соблазна разместить там интерактивный экран, ведь это сюжет про 70-90-е годы XX века и звуковой канал связи (тональный набор). Вместо этого посетитель снимает трубку, надевает динамик blue box и под руководством голосового помощника пошагово выполняет атаку.
Отметим, что таксофон подлинный. Мы его «взломали» и сделали внутри своеобразную мини-АТС на базе Raspberry Pi и Arduino, которая действительно распознает звуковые команды. Поскольку это специфическая звуковая технология, здесь нам помогли разработчики музыкальных синтезаторов из SxLab. Кстати, если у вас есть собственный blue box или свисток Капитана Кранча, вы можете прийти на выставку и взломать таксофон и сами, без нашего симулятора — что называется, милости просим.
Другой пример — банкомат с накладкой на клавиатуру и скиммером, с помощью которого посетитель на личном опыте узнает о методах похищения данных с банковских карт и мерах предосторожности при транзакциях на улице, в международной поездке. А один из методов и вовсе демонстрирует квишинг на собственном телефоне посетителя.
Отдельные интерактивы в разделе «офис» показывают актуальные техники фишинга и социальной инженерии, включая распространенные сегодня телефонные мошенничества.
Где заканчивается просвещение и начинается опасная романтика
При подготовке выставки мы столкнулись, в том числе, с проблемой тональности представления героев и антигероев. Хакер — это чаще всего преступник. Однако такую «профессию» нередко романтизируют в журналистике, кино, литературе и даже видеоиграх, создавая образ компьютерного гения в капюшоне. Мы постарались соблюсти баланс: объективно показать детали работы хакеров и в то же время не популяризировать и не оправдывать ее. Да, это интересно и местами даже захватывающе, но вместе с тем незаконно, неэтично и опасно для честных людей.
Встал в полный рост и ряд других этических и юридических вопросов. Какие техники и кейсы допустимо демонстрировать публике, а о чем лучше промолчать, чтобы не раскрывать чувствительные данные и не вдохновлять никого на аналогичные «подвиги»? Требует ли содержание выставки возрастного ограничения? Мы долго консультировались с юристами, и всё удалось сделать максимально этично и юридически корректно.
В итоге пришлось скорректировать не так и много сюжетов. Всё-таки детально мы описывали лишь исторические методы взлома, которые сейчас уже не актуальны. Современные же техники показаны скорее в игровой форме, чтобы обучить посетителей методам защиты. Так, мы упростили инсталляцию про взлом банковских карт — добавили «пасхалку» со структурой данных, записанных на карте, но убрали лишнюю детализацию.
Словом, мы смогли реализовать проект для самой широкой аудитории — от профи в кибербезе до дилетантов в этой сфере. Правда, возрастное ограничение 12+ всё же есть. Но это связано не с этикой — просто выставка получилась несколько сложнее нашей основной экспозиции в плане восприятия.
Как сохраняли работающую технику
Возвращаясь к экспонатам, мало их набрать и выгодно продемонстрировать — важно также обеспечить сохранность музейных предметов. Да, ПК или шифровальная машина — это не «Мона Лиза» и не «Венера Милосская». Однако требования к хранению и экспонированию у техники не менее жесткие, хотя и со своей спецификой.
Во-первых, пластик портится, становится хрупким и желтеет от ультрафиолета и агрессивного освещения. Поэтому мы уделили особое внимание проектированию системы иллюминации — для витрин подходят далеко не любые лампы, важно точно знать спектр их освещения, контролировать уровень УФ- и ИК-излучения, выделение тепла.
Другая сложность — опасность перегрева исторических компьютеров, которые включаются для демонстрации публике прямо в витринах. Для таких экспонатов спроектировали специальную систему вентиляции, незаметную посетителям.
Отдельным квестом стало согласование длительности работы ретро-компьютеров на экспозиции. Включать подобные машины ненадолго нельзя, поскольку пластиковые элементы расширяются, затем сужаются — это большой стресс для видавшей виды техники.
Слишком длительная работа тоже недопустима: могут сгореть конденсаторы в мониторах. Пришлось активно привлекать коллекционеров и знатоков подобной ретро-техники, чтобы найти компромисс.
Другой головной болью, особенно в плане техники 80-х и 90-х годов, оказались батарейки. Со временем из них вытекает электролит, вызывая коррозию и порчу устройств.
Характерные зеленые разводы от электролита на платах — настоящий ночной кошмар музейщиков, которым в коллекцию попадают такие устройства. Пришлось тщательно проверять, не осталось ли в технике старых неисправных батареек.
Еще стояла задача обеспечить стабильную температуру и влажность, для чего на экспозиции установили специальные датчики и сложную систему микроклимата. Вот только у людей и техники зачастую разные представления о комфорте. В выставочных помещениях с ретро-устройствами довольно прохладно, поэтому посетители при желании могут взять теплые пледы у смотрителя экспозиции.
Краткие выводы и перспективы
Выставка проработала всего пару месяцев, но уже можно сделать предварительные выводы. Хотя это и первый совместный проект Музея криптографии и Бастиона, эксперимент определенно удался.
Да, не все изначальные идеи оказались жизнеспособными, не обошлось и без пресловутых «граблей». Но в итоге навыки музейщиков в историческом ресерче и экспертиза безопасников в методах атак и защиты вылились в интересный и злободневный проект.
Работа усложнялась тем, что мы отталкивались не от имеющихся предметов (как говорится, чем богаты, тем и рады), а от разработанной тематической концепции и сюжетов. Наша команда приложила массу усилий, чтобы подобрать экспонаты на экспозицию.
Не меньше трудностей ожидало нас при разработке интерактивной части со сценариями. В итоге мы сделали проект уникальным, как минимум, в российских масштабах. Насколько нам известно, ни одна другая выставка не фокусируется так детально на повседневной и общечеловеческой стороне кибербеза и не дает посетителям возможность попробовать себя в роли жертвы и хакера.
На момент написания статьи выставку посетило больше 3500 человек — это мужчины и женщины самых разных возрастов.
Нам приятно получать благодарность и положительную обратную связь от посетителей. При этом у аудитории возникают разные мысли по итогам посещения выставки. Некоторые отмечают, что, с одной стороны, получили понимание многих процессов, с другой — стали относиться с подозрением к давно знакомым технологиям. Часть гостей впечатлена тем, что «битва щита и меча» началась задолго до появления современных компьютеров и интернета. Люди задаются справедливым вопросом: а догонит ли кибербез постоянно возрастающие угрозы?
Что же до планов и перспектив, выставка продлится до конца года. За первые три месяца выставка обросла новыми сюжетами, часть интерактивов переработали на основе обратной связи от посетителей.
А вы уже посетили выставку в Музее криптографии, и что для вас кибербез? Не стесняйтесь и пишите свое мнение в комментариях.
Короткая справка о выставке
Название: «Ключ к доверию. Безопасность в эпоху высоких технологий».
Место: Музей криптографии. Москва, улица Ботаническая, дом 25, строение 4
Сроки выставки: до конца 2026 года.
Организаторы: Музей криптографии, ИБ-компания «Бастион».
Площадь выставочных помещений: 230 кв. м.
Количество экспонатов: 82+
Количество интерактивных инсталляций: 21+
Количество исторических сюжетов: 65+
Рекомендуемое время для самостоятельного ознакомления: 1,5 часа