АНБ оказывало компаниям помощь в поиске слабых мест в их продуктах. При этом агентство платило компаниям, чтобы те не устраняли некоторые из обнаруженных уязвимостей. Наличие слабых мест давало агентству точку входа для ведения шпионажа или проведения атак на иностранные государства, в разведывательных агентствах, военных ведомствах и ключевых объектах инфраструктуры которых устанавливались эти продукты. К примеру, Microsoft, по словам представителей компании и американских властей, передавала АНБ сведения об уязвимостях нулевого дня в своих программных продуктах еще до публикации официальных предупреждений и выхода программных обновлений. По сведениям профессионала в области кибербезопасности, который обучал сотрудников АНБ технологиям цифровой защиты, компания Cisco, один из ведущих мировых производителей сетевого оборудования, оставляла бэкдоры в своих маршрутизаторах, чтобы американские агентства могли отслеживать работу оборудования. Компания McAfee, работающая в сфере обеспечения безопасности в Интернете, перенаправляла в АНБ, ЦРУ и ФБР потоки сетевого трафика, результаты анализа вредоносного ПО и информацию о тенденциях развития хакерской активности.
Чиновники и эксперты, знакомые с ситуацией, говорят, что компании, которые обещают раскрывать сведения о дырах в безопасности своих продуктов только шпионским агентствам, получают деньги за свое молчание. Более того, закон требует наличия подобных дыр, через которые власти могут вести наблюдение. Прежде всего это относится к телекоммуникационным компаниям, которые обязаны так проектировать свое оборудование, чтобы правоохранительные органы при наличии судебного разрешения могли легко организовать прослушку, как раньше на проводных линиях телефонной связи. Однако, когда АНБ собирает информацию за границей, на деятельность агентства эти законы уже не распространяются. Но, с другой стороны, наблюдение, которое ведется агентством с помощью бэкдоров и секретных уязвимостей в аппаратном и программном обеспечении, во многих странах противоречит местным законам.
Конечно, бэкдорами и неустраненными уязвимостями могут воспользоваться и хакеры. В 2010 г. исследователь из компании IBM обнаружил дыру в системе безопасности операционной системы Cisco, благодаря которой хакер мог использовать бэкдор, предназначавшийся исключительно для правоохранительных органов. Хакер мог взломать оборудование Cisco и воспользоваться им для отслеживания всего проходящего трафика, в том числе и содержимого электронных писем. Когда технологические продукты, особенно широко распространенные программные продукты типа производимых компанией Microsoft, остаются уязвимыми для атак, то опасности подвергаются миллионы пользователей и их личная информация, а также электрические станции, объекты коммунальных служб и транспортные системы.
По американскому законодательству руководители компаний обязаны получать уведомления всякий раз, когда власти используют их продукты, сервисы или оборудование для наблюдения и сбора информации. Некоторые из этих соглашений об обмене информацией заключаются самими руководителями и могут быть просмотрены только некоторыми юристами. Выгода от подобного сотрудничества может быть довольно заметной. Джон Чамберс, руководитель Cisco, стал другом Джорджа Буша, когда тот занимал президентское кресло. В апреле 2006 г. Чамберс и президент обедали в Белом доме вместе с Генеральным секретарем Центрального комитета Коммунистической партии Китая Ху Цзиньтао, а на следующий день Буш позволил Чамберсу лететь на «Борту номер один» в Сан-Хосе, где президент и Чамберс приняли участие в круглом столе, проходившем в штаб-квартире Cisco и посвященном конкурентоспособности американского бизнеса. Губернатор Калифорнии Арнольд Шварценеггер также присутствовал на той встрече. Близость к политической власти уже сама по себе награда. Кроме того, привилегированные компании иногда получают ранние оповещения от властей о грозящих им опасностях.
Министерство внутренней безопасности также проводит встречи с компаниями в рамках своих инициатив «межотраслевых рабочих групп». Эти встречи дают шанс руководителям из корпоративного мира, с которыми власти делятся информацией, пообщаться друг с другом и послушать американских чиновников. Участники подобных встреч зачастую обладают допуском к закрытой информации и проходят предварительные проверки и опросы. Министерство открыто публикует расписание и программу некоторых встреч, но не раскрывает названия компаний-участников и сохраняет в секрете многие детали обсуждаемых проблем. В период с января 2010 г. по октябрь 2013 г., судя по сведениям, которые удалось получить из открытых источников, власти провели не менее 168 встреч с компаниями только в рамках межотраслевых рабочих групп. На самом деле проходили еще сотни встреч, распределенных по отраслям экономики: например, в области энергетики, телекоммуникаций и транспорта.
Обычно эти встречи подразумевали проведение «брифинга по киберугрозам» представителями американских властей, как правило, из АНБ, ФБР или Министерства внутренней безопасности; получение последних новостей о конкретных инициативах, таких как повышение безопасности банковских сайтов, совершенствование процедуры обмена информацией между коммунальными предприятиями или учет вредоносного ПО. Кроме того, проходило обсуждение «средств безопасности», разработанных государством и частными компаниями, вроде тех, которые используются для обнаружения взломщиков в сети. Одно из совещаний, прошедшее в апреле 2012 г., было посвящено «сценариям обмена информацией для обеспечения активной защиты» – разработанной АНБ процедуре нейтрализации киберугроз до того, как они приведут к существенному ущербу. В этом случае имелся в виду информационный обмен не между государственными службами, а между корпорациями.
На большей части встреч речь шла о защите промышленных систем управления – подключенных к Интернету устройств, которые контролируют работу оборудования электростанций, ядерных реакторов, банков и других жизненно важных объектов. Именно эти слабые места американского киберпространства больше всего тревожили руководителей разведки. Именно эта тема так оживила Джорджа Буша в 2007 г., и именно к ней Барак Обама обратился в своей публичной речи двумя годами позже. Рассекреченные сведения о программе этих встреч позволяют взглянуть, какие именно проекты реализовали компании и государство для создания внутренней киберобороны.
23 сентября 2013 г. Межотраслевая рабочая группа по базовым операциям для устойчивой безопасности (Cross Sector Enduring Security Framework Operations Working Group) обсуждала изменения, вносимые в законодательную инициативу под названием «Установление связи между ведущими операторами и государственным оперативным центром» (Connect Tier 1 and USG Operation Center). Под Tier 1 обычно подразумевается крупный интернет-провайдер или сетевой оператор. Некоторые из самых известных компаний уровня Tier 1 в Соединенных Штатах – это AT&T, Verizon и CenturyLink. Аббревиатура USG расшифровывается как United States Government – правительство Соединенных Штатов. Скорее всего, инициатива имела отношение к организации канала передачи данных между оборудованием АНБ и этими компаниями и являлась расширением пилотной программы DIB. Расширение программы было санкционировано в феврале 2013 г. президентским указом, направленным на повышение уровня безопасности ключевых объектов инфраструктуры по всей стране. Власти передавали, преимущественно через АНБ, информацию об угрозах двум интернет-провайдерам – AT&T и CenturyLink. Те, в свою очередь, могли продавать «расширенные услуги киберзащиты» компаниям, которые государственные власти признавали жизненно важными для национальной и экономической безопасности. Формально этой программой руководит Министерство внутренней безопасности, однако информационное обеспечение и техническую экспертизу осуществляет АНБ.