Полвека правительства ста с лишним государств платили за уверенность, что их секреты надёжно заперты. Замок был швейцарским, репутация — безупречной, а ключ — в кармане у тех, от кого и запирались.
У этой истории есть конкретное лицо, и оно принадлежит человеку с биографией, словно написанной для шпионского романа, который никто бы не купил из-за избытка совпадений. Борис Хагелин родился в Российской империи — его отец работал на нобелевских промыслах в Баку, — вырос и выучился в Швеции, строил шифровальные машины для союзников во Второй мировой войне, а потом перенёс свой бизнес в тихий швейцарский Цуг — город, где банковская тайна впитана в воздух. В 1952 году он основал Crypto AG, и компания быстро стала синонимом нейтральной, независимой криптографии. Швейцария не входила ни в НАТО, ни в Варшавский договор. Кто мог быть надёжнее?
Хагелин не был наивен. Его ранние машины — механические шифраторы M-209 и CX-52 — уже во время войны поставлялись американской армии. Связь с американской разведкой существовала задолго до того, как она приобрела формальные очертания. Ключевая фигура на другом конце провода — Уильям Фридман, легендарный криптоаналитик, которого часто называют отцом американской криптологии. Между Хагелином и Фридманом сложилось то, что в документах деликатно именуется «джентльменским соглашением»: Хагелин обязался не продавать свои самые стойкие машины определённым странам, а взамен получал доступ к американскому рынку и негласное покровительство. Это был не контракт — скорее рукопожатие двух людей, которые понимали друг друга без лишних слов.
Рукопожатие переросло в нечто более осязаемое. 10 ноября 1960 года было подписано лицензионное соглашение, получившее кодовое название SPARTAN. Условия были вполне материальны: единовременная компенсация в 600 тысяч долларов и ежегодные выплаты по 75 тысяч. За эти деньги Хагелин соглашался координировать криптографические параметры своих машин с американскими спецслужбами — соглашение подписало ЦРУ: AFSA, предшественницу NSA, к тому времени уже восемь лет как расформировали, а сама NSA подписываться отказалась. По сути, Crypto AG ещё формально оставалась частной швейцарской фирмой, но её продукция уже проходила через фильтр, установленный в Форт-Миде. Грубо говоря, нейтральность была настоящей — просто с оговорками, о которых знали трое.
К концу шестидесятых джентльменское соглашение перестало устраивать обе стороны. Хагелин старел, и вставал вопрос наследования: кто будет контролировать компанию после него? Новый владелец мог оказаться менее сговорчивым. Американцы же хотели большего — не согласования параметров, а полного контроля над криптографическим ядром устройств. Решение было элегантным в своей наглости: купить компанию целиком, но так, чтобы никто об этом не узнал.
4 июня 1970 года сделка состоялась. CIA и западногерманская BND приобрели Crypto AG за 25 миллионов швейцарских франков — почти шесть миллионов долларов по тогдашнему курсу. Деньги прошли через цепочку подставных структур, названия которых звучат как персонажи бюрократического триллера: AEH, Anstalt Domar, DTU, BVV, Blanko Zession. Каждое звено существовало ровно для того, чтобы следующее звено нельзя было связать с предыдущим. Лихтенштейнские Anstalten, немецкие посреднические фирмы, швейцарские трастовые конструкции — всё было выстроено так, чтобы даже дотошный аудитор упёрся в стену из юридических лиц, за которыми стояли другие юридические лица, за которыми — тишина.
Внутри разведывательных ведомств проект получил кодовое имя THESAURUS. Позже, в 1987 году, его переименовали в RUBICON — и это второе название, как выяснится, окажется пророческим: Рубикон действительно был перейдён. Саму компанию в секретных документах обозначали как MINERVA. Формально Crypto AG продолжала работать как швейцарская фирма с безупречной репутацией, платить налоги в кантоне Цуг и отправлять своих инженеров на международные выставки. Её директором до 1975 года оставался Стуре Нюберг, затем его сменил Хайнц Вагнер, который управлял компанией уже в полном сознании того, кто на самом деле подписывает чеки.
Роль прикрытия играл и внешний консультативный совет — Beirat, — в котором присутствовали представители Siemens. Немецкий технологический гигант обеспечивал не столько техническую экспертизу (хотя и её тоже), сколько фасад респектабельности: если Siemens стоит рядом с Crypto AG, значит, всё серьёзно, всё по-немецки основательно.
Здесь начинается та часть истории, которая требует осторожности. Соблазн написать «CIA читала всё» — велик, но неточен. Реальность была сложнее и, если вдуматься, изощрённее простого тотального контроля.
Crypto AG производила разные линейки устройств. Ранние модели — механические, вроде модернизированных CX-52M — работали на принципах, которые к семидесятым годам уже не считались неприступными. Переход к электронике открыл новые возможности. Машина H-460 стала одной из первых электронных моделей. За ней последовали HC-570, построенный на базе микропроцессора Motorola 6800, затем HC-520, разработанный при участии Siemens, HC-740 и другие. Каждое новое поколение устройств означало новый раунд переговоров между инженерами Crypto AG, криптографами NSA и специалистами немецкого шифровального ведомства ZfCh (Zentralstelle für das Chiffrierwesen).
Суть манипуляций состояла не в том, чтобы сделать шифрование «картонным» — это было бы слишком заметно. Алгоритмы со скрытыми уязвимостями разрабатывались так, чтобы для стороннего криптоаналитика без знания конкретных параметров взлом оставался вычислительно трудной задачей, но для того, кто знал структуру уязвимости, пространство перебора сжималось на порядки. Это как замок, который выглядит десятизубцовым, но на самом деле три зубца — декоративные, и тот, кто это знает, подбирает ключ из тысячи вариантов вместо миллиона. Меня, признаться, завораживает эта инженерная двуличность: создать продукт, который проходит внешний аудит, выглядит надёжным для профессионала — и при этом содержит в себе тропинку, видимую только архитектору.
Но — и это принципиальный момент — не каждый аппарат и не каждый клиент получали одинаково ослабленную защиту. Рассекреченные материалы и журналистские расследования указывают на то, что разведки могли влиять на криптографические параметры ряда устройств, продававшихся избранным клиентам. Логика была адресной: страны, представлявшие наибольший разведывательный интерес, получали оборудование с более глубокими уязвимостями. Союзники по НАТО, закупавшие технику Crypto AG для менее чувствительных каналов, могли получать версии с иными параметрами. Утверждать, что абсолютно вся переписка всех клиентов читалась в режиме реального времени, — значит выдавать предположение за факт.
Среди сотрудников Crypto AG были люди, которые начали замечать странности. Петер Фрутигер, инженер компании, обнаружил проблемы в оборудовании, поставлявшемся Сирии, и — поступок, стоивший ему карьеры — попытался их исправить. В 1977 году Фрутигер был уволен. Официальная причина наверняка звучала нейтрально, но реальная была проста: он чинил то, что было сломано по замыслу. Фрутигер стал одной из первых жертв внутреннего противоречия операции — компания нанимала талантливых инженеров, которые по определению могли распознать подвох.
Другой ключевой фигурой стала Менгия Кафлиш, инженер, чья роль в истории Crypto AG связана с разработкой алгоритмов. А на рубеже семидесятых и восьмидесятых в орбиту операции был втянут шведский математик Кьелль-Ове Видман: ЦРУ дало ему криптоним ATHENA, а коллеги по фирме звали его попросту «Генри» — фамилию выговорить не мог никто. Видман был завербован как научный советник и стал связующим звеном между NSA и инженерным отделом Crypto AG. Его задача заключалась в том, чтобы криптографические решения, приходившие из Форт-Мида, органично встраивались в продукцию швейцарской фирмы — без следов, без швов, без подозрений.
Масштаб операции определялся географией продаж. Оборудование Crypto AG закупали десятки государств Латинской Америки, Ближнего Востока, Африки, Азии и даже некоторые европейские страны. Клиентская база охватывала более ста правительств. При этом СССР и Китай — главные противники в холодной войне — полагались на собственные криптографические разработки и технику Crypto AG не закупали. Это создавало парадоксальную ситуацию: операция RUBICON давала огромные преимущества при работе с «третьим миром», союзниками обоих блоков и нейтральными странами, но не обеспечивала прямого доступа к коммуникациям главного противника.
Несколько эпизодов перехвата подтверждены документально или через множественные независимые источники, и каждый из них — отдельная глава в учебнике разведывательной этики, которого никто никогда не напишет.
Кэмп-Дэвид, 1978 год. Во время переговоров между Египтом и Израилем американская сторона, согласно имеющимся данным, имела возможность мониторить коммуникации египетского президента Анвара Садата с Каиром. Представьте: посредник за столом переговоров знает, какие инструкции получает одна из сторон. Преимущество, которое невозможно переоценить и невозможно обнаружить — пока оно работает.
Иранский кризис с заложниками, 1979 год. После захвата американского посольства в Тегеране перехват иранских дипломатических коммуникаций через оборудование Crypto AG, по имеющимся свидетельствам, давал Вашингтону дополнительное окно в происходящее. Ирония в том, что иранские власти, захватившие посольство в знак недоверия к Америке, продолжали общаться через аппаратуру, принадлежавшую той же Америке.
Фолклендская война, 1982 год. Здесь география операции проявилась в полный рост: Аргентина использовала оборудование Crypto AG, и разведка США, по данным расследований, передавала перехваченные данные Великобритании. Союзническая солидарность, помноженная на криптографический бэкдор, — комбинация, которая могла влиять на ход боевых действий в Южной Атлантике.
Операция «Кондор» — координация южноамериканских диктатур в преследовании политических оппонентов — опиралась, среди прочего, на сеть связи Condortel, где использовалось шифровальное оборудование. Вопрос о том, в какой степени американские спецслужбы отслеживали эти коммуникации и как использовали полученную информацию, остаётся одним из самых болезненных аспектов всей истории.
Берлин, 1986 год. После взрыва на дискотеке «La Belle», где среди погибших были американские военнослужащие и турецкая гражданка, перехват ливийских дипломатических сообщений позволил администрации Рейгана возложить ответственность на Ливию и обосновать ответный авиаудар. Расшифрованные депеши стали, по сути, публичным доказательством — хотя источник расшифровки, разумеется, не раскрывался.
Каждый из этих эпизодов документирован с разной степенью подробности. Но экстраполировать их на всю клиентскую базу Crypto AG было бы ошибкой. Переход от электромеханических машин к цифровой криптографии менял характер возможных уязвимостей. Ранние механические устройства поддавались анализу через изучение физических характеристик — длины цикла, структуры роторов. Электронные системы позволяли встраивать более тонкие математические слабости, но и обнаружить их грамотному криптографу со стороны становилось потенциально проще — при наличии доступа к «железу» и алгоритмам. Операция балансировала на грани: уязвимость должна была быть достаточно глубокой для эксплуатации, но достаточно скрытой, чтобы её не нашёл ни один из сотен инженеров, обслуживавших технику в десятках стран.
Любое совместное предприятие несёт в себе семена раздора, и тайное совместное предприятие двух разведок — не исключение. К началу девяностых BND оказалась в положении, которое становилось всё более неудобным. Объединение Германии в 1990 году изменило политический ландшафт: бывшие клиенты Crypto AG в Восточной Европе теперь были потенциальными союзниками, а не объектами слежки. Риски разоблачения росли. Скандалы уже начинали просачиваться — в 1992 году в Иране был задержан продавец Crypto AG Ханс Бюлер, который провёл в иранской тюрьме девять с половиной месяцев, прежде чем миллионный залог за него внёс BND, разделив расход пополам с ЦРУ. Бюлер, судя по всему, не знал о двойной природе своего работодателя, но его арест запустил цепную реакцию подозрений.
В 1993 году BND приняла решение о выходе из проекта и продала свою долю ЦРУ: в декабре поступил аванс в двенадцать миллионов долларов, а окончательный расчёт — около семнадцати миллионов — закрылся летом 1994-го. Немцы зафиксировали прибыль и дистанцировались от операции, которая, по их расчётам, рано или поздно должна была стать публичной. Расчёт оказался верным — вопрос был только в сроках.
CIA, оставшись единоличным владельцем, продолжала эксплуатировать MINERVA ещё четверть века. Меня поражает эта выдержка: в 1995 году газета Baltimore Sun опубликовала статью, в которой впервые были изложены подозрения о связи Crypto AG с американской разведкой. Публикация вызвала шум, но не привела к окончательному разоблачению. Компания отрицала всё, швейцарские власти не проявили чрезмерного рвения в расследовании, и операция продолжилась. Двадцать три года после первой газетной публикации. Двадцать пять лет после выхода немецких партнёров. Инерция секретности оказалась сильнее журналистского любопытства — до определённого момента.
CIA владела Crypto AG до 2018 года, когда активы компании были наконец распроданы: продуктовый портфель ушёл шведскому предпринимателю Андреасу Линде с его Crypto International, а швейцарская часть была выкуплена менеджментом и продолжила жизнь под именем CyOne Security. Швейцарская компания с полувековой историей тихо прекратила существование в своём прежнем виде — без пресс-конференций, без торжественных проводов.
Полноценное разоблачение пришло в феврале 2020 года, когда The Washington Post, немецкий телеканал ZDF и швейцарская телерадиокомпания SRF опубликовали результаты совместного расследования, основанного на рассекреченных внутренних документах CIA. Эти документы — история операции, написанная её участниками для внутреннего пользования, — содержали такой уровень детализации, который не оставлял пространства для отрицания. Кодовые названия, суммы, имена, механизмы — всё было изложено с бюрократической обстоятельностью людей, привыкших документировать свои достижения.
Швейцарское правительство заказало независимое расследование, а затем — в характерной для швейцарской политики манере — столкнулось с вопросом, на который не хотело отвечать: знали ли швейцарские спецслужбы? Были ли они соучастниками или простаками? Оба варианта репутационно разрушительны для страны, чей бренд — нейтральность и надёжность. Расследование бывшего федерального судьи Нильса Мелцера (впрочем, это уже отдельная и незавершённая глава) показало, что простых ответов здесь нет.
Реакция стран-клиентов была предсказуемо разнообразной: от официального молчания до дипломатических нот. Но главный ущерб был нанесён не конкретным государствам, а самому принципу, на котором строится международный рынок криптографического оборудования.
Криптография — дисциплина, в которой доверие играет структурную роль. Вы можете математически доказать стойкость алгоритма, но вы не можете математически доказать, что производитель реализовал именно этот алгоритм, а не его ослабленную версию. Между спецификацией и реализацией лежит пропасть, которую заполняет только доверие к производителю. Crypto AG превратила эту пропасть в оперативное пространство.
Парадокс холодной войны, с которого мы начали, оказывается при ближайшем рассмотрении не парадоксом, а закономерностью. Государства покупали швейцарские шифраторы не потому, что проверяли их криптографическую стойкость до последнего бита, — у большинства покупателей просто не было для этого компетенций. Они покупали репутацию. Швейцарский флаг на корпусе устройства был главным криптографическим аргументом. И именно этот аргумент оказался взломан — не снаружи, а изнутри, не математикой, а корпоративным правом и подставными фирмами из Лихтенштейна.
Что осталось после RUBICON? Прецедент, который невозможно отменить. Любой производитель шифровального оборудования теперь существует в тени вопроса: «А не второй ли это Crypto AG?» Открытый исходный код, независимый аудит, формальная верификация — всё это инструменты, появившиеся в том числе как ответ на историю, которая полвека разворачивалась в тишине швейцарского Цуга. Но ни один из этих инструментов не решает проблему окончательно, потому что проблема — не техническая. Она в том, что между замком и тем, кто его запирает, всегда стоит тот, кто его сделал. А операция RUBICON продемонстрировала, что этот третий может десятилетиями носить чужое лицо — и ни один из ста с лишним клиентов не заподозрит подмены, пока архивы не откроются сами.