Принцип двух ключей: Обеспечение безопасности критически важных операций.

Введение

Действие, санкционированное только двумя или более лицами.

Правило двух лиц — это механизм контроля, разработанный для обеспечения высокого уровня безопасности особо критически важных материалов или операций. В соответствии с этим правилом, доступ и выполнение действий требуют одновременного присутствия двух или более уполномоченных лиц.

Соединенные Штаты: ядерное оружие

Согласно инструкции ВВС США (AFI) 91 104, "принцип двух человек" разработан для предотвращения случайного или злонамеренного запуска ядерного оружия одним человеком. В случае с экипажами пусковых установок ракет Minuteman, после получения приказа о запуске, оба оператора должны удостовериться в его подлинности, сравнив код авторизации в приказе с Sealed Authenticator (специальный запечатанный конверт, содержащий код подтверждения). Эти Sealed Authenticator хранятся в сейфе с двумя отдельными замками. У каждого оператора есть ключ только к одному замку, поэтому ни один из них не может открыть сейф в одиночку. Кроме того, каждый оператор владеет одним из двух пусковых ключей; после подтверждения приказа они должны одновременно вставить ключи в слоты на панели управления и повернуть их. В качестве дополнительной меры предосторожности, слоты для двух пусковых ключей расположены на достаточном расстоянии друг от друга, чтобы один оператор физически не мог дотянуться до обоих одновременно. Для дополнительной защиты, экипаж ракет в другом центре управления пусками должен выполнить ту же процедуру для запуска ракет. Таким образом, для инициации запуска требуется в общей сложности четыре ключа. На подводной лодке, как командир, так и старший помощник командира должны согласиться с тем, что приказ о запуске является подлинным, и затем совместно санкционировать запуск со своим оперативным составом. В отличие от процедуры подтверждения запуска ракеты, применяемой для наземных МБР, здесь также требуется подтверждение от третьего офицера – офицера по вооружению. Кроме того, набор ключей распределяется между ключевым персоналом на подводной лодке, а сами ключи хранятся в сейфах (каждый член экипажа имеет доступ только к своему ключу). Некоторые ключи хранятся в специальных бортовых сейфах, запираемых кодовыми замками. Никто на борту не знает код открытия этих сейфов; ключ для разблокировки поступает вместе с приказом о запуске (сообщением о чрезвычайных действиях) от вышестоящего командования. Журналист Рон Розенбаум обратил внимание на то, что после выдачи приказа, вся процедура направлена исключительно на подтверждение личности командиров и подлинности приказа, и не предусматривает никаких мер для проверки вменяемости лица, отдавшего приказ, или самого приказа. Примечательно, что майора Гарольда Херинга уволили из ВВС за вопрос: "Как я могу узнать, что приказ о запуске моих ракет исходит от здравомыслящего президента?"

Per US Air Force Instruction (AFI) 91 104, "the two person concept" is designed to prevent accidental or malicious launch of nuclear weapons by a single individual. In the case of Minuteman missile launch crews, once a launch order is received, both operators must agree that it is valid by comparing the authorization code in the order against a Sealed Authenticator (a special sealed envelope containing a verification code). These Sealed Authenticators are stored in a safe which has two separate locks. Each operator has the key to only one lock, so neither can open the safe alone. Also, each operator has one of two launch keys; once the order is verified, they must insert the keys in slots on the control panel and turn them simultaneously. As a further precaution, the slots for the two launch keys are positioned far enough apart to make it impossible for one operator to reach both of them at once. For additional protection, the missile crew in another launch control center must do the same for the missiles to be launched. A total of four keys are thus required to initiate a launch. On a submarine, both the commanding officer and the executive officer must agree that the order to launch is valid and then mutually authorize the launch with their operations personnel. Instead of another party who would confirm a missile launch as in the case of land based ICBMs, a third officer – the Weapons Officer – must also confirm the launch. In addition, the set of keys is distributed among the key personnel on the submarine, and the keys are kept in safes (each of these crew members has access only to their key). Some keys are stored in special safes on board which are secured by combination locks. Nobody on board has the combination to open these safes; the unlock key comes as a part of the launch order (Emergency Action Message) from the higher authority. Journalist Ron Rosenbaum has pointed out that, once the order is issued, the process is entirely concerned with authenticating the identity of the commanding officers and the authenticity of the order, and there are no safeguards to verify that the order or the person issuing it is actually sane. Notably, Major Harold Hering was discharged from the Air Force for asking the question, "How can I know that an order I receive to launch my missiles came from a sane President?"

Криптографический материал

Целостность действий двух лиц (TPI) — это мера безопасности, предназначенная для предотвращения доступа одного человека к материалам для формирования ключей COMSEC и криптографической документации. Обеспечение TPI осуществляется следующим образом:

Зона без одиночества

Зона, исключающая работу в одиночку, – это область, в которой постоянно должны находиться два или более квалифицированных и допущенных к работе лица. Эти лица должны поддерживать визуальный контакт друг с другом и с компонентами, требующими обозначения как зона, исключающая работу в одиночку. В такой зоне могут находиться криптографические компоненты, испытываемое аппаратное обеспечение систем вооружения, ядерное оружие, системы управления оружием или другие критически важные сведения или устройства. В политике ВВС США (USAF) в отношении критически важного оружия зона, исключающая работу в одиночку, – это область, куда запрещен вход одному лицу без сопровождения. Принцип двух лиц предполагает присутствие как минимум двух лиц, осведомленных о выполняемых задачах; кроме того, каждое лицо должно быть способно обнаружить неправильную или несанкционированную процедуру, выполняемую другими лицами при работе с этими задачами.

Другие применения

Правило двух человек используется в других областях, критически важных для безопасности, где требуется присутствие двух человек перед выполнением потенциально опасной операции. Это распространенная практика безопасности, например, в лабораториях и мастерских. В таком контексте дополнительная гарантия может быть менее важна, чем тот факт, что если один человек пострадает, другой сможет вызвать помощь. В качестве другого примера, пожарные, работающие в опасной среде (например, пожар внутри здания, зона с опасными веществами, также известная как IDLH, или "непосредственно опасная для жизни и здоровья"), действуют как команда, состоящая как минимум из двух человек. Обычно в одной среде работает несколько команд, но каждая команда функционирует как единое целое. Двойное подтверждение требует авторизации двух разных лиц перед выполнением определенного действия. Самая простая форма двойного подтверждения – это замок, который требует два ключа для открытия, каждый из которых находится у другого человека. Замок можно открыть только в том случае, если обе стороны согласятся сделать это одновременно. В 1963 году Канада согласилась разместить на своей территории американские ядерные боеголовки W 40 под двойным контролем, для использования на канадских ракетах BOMARC. Аналогично, многие банки используют различные варианты правила двух человек для обеспечения безопасности крупных сумм денег и ценных предметов. В соответствии с этой концепцией, для открытия хранилища требуется два человека с разными ключами, если хранилище защищено замком с ключом. Для банковских хранилищ, защищенных кодовыми замками, двум или более сотрудникам может быть предоставлена часть кода. Никто из них не знает полный код, и все они должны присутствовать физически, чтобы открыть хранилище. В качестве расширения общей логики правила двух человек, правила для некоторых компаний или некоммерческих организаций могут требовать подписи двух руководителей на чеках. Эти правила затрудняют совершение мошенничества организацией одним человеком, действующим в одиночку. Некоторые программные системы обеспечивают соблюдение правила двух человек, согласно которому определенные действия (например, денежные переводы) могут быть выполнены только после одобрения двумя авторизованными пользователями. Это помогает предотвратить дорогостоящие ошибки и затрудняет совершение мошенничества или растраты. Хотя такие требования распространены в финансовых системах, они также используются в системах контроля критически важной инфраструктуры, такой как ядерные реакторы для производства электроэнергии, и в опасных операциях, таких как исследовательские учреждения, работающие с биологически опасными материалами. Наконец, показания двух свидетелей ценны в различных ситуациях для предотвращения противоправного деяния или ложного обвинения, или для доказательства того, что противоправное деяние имело место. В некоторых исправительных учреждениях заключенным может быть присвоен статус, требующий присутствия двух надзирателей при их перемещении, в основном из-за дисциплинарных нарушений или потенциальных угроз безопасности надзирателей.

The two person rule is used in other safety critical applications where the presence of two people is required before a potentially hazardous operation can be performed. This is common safety practice in, for example, laboratories and machine shops. In such a context, the additional security may be less important than the fact that if one individual is injured the other can call for help. As another example, firefighters operating in a hazardous environment (i. e., interior structure fire, HAZMAT zone, also known as IDLH, or "immediately dangerous to life or health") function as a team of at least two personnel. There is commonly more than one team in the same environment, but each team operates as a unit. Dual keys require the authorization of two separate parties before a particular action is taken. The simplest form of dual key security is a lock that requires two keys to open, with each key held by a different person. The lock can only be opened if both parties agree to do so at the same time. In 1963, Canada accepted having American W 40 nuclear warheads under dual key control on Canadian soil, to be used on the Canadian BOMARC missiles. Similarly, many banks implement some variant of the two person rule to secure large sums of money and valuable items. Under this concept, unlocking the vault requires two individuals with different keys if the vault is secured by a key lock system. For bank vaults secured by combination locks, two or more employees may each be given a portion of the combination. None of them knows the entire combination, and all of them must be physically present in order to open the vault. As an extension of the broader rationale for the two person rule, regulations for some companies or not for profit organizations may require signatures of two executives on checks. These rules make it harder for an individual acting alone to defraud the organization. Some software systems enforce a two person rule whereby certain actions (for example, funds wire transfers) can only take place if approved by two authorized users. This helps prevent expensive errors, and makes it more difficult to commit fraud or embezzlement. While such requirements are common in financial systems, they are also used in controls for critical infrastructure, such as nuclear reactors for electrical power generation, and dangerous operations, such as biohazard research facilities. Finally, the testimony of two witnesses is valuable in various situations to deter a wrongful act or a false accusation of one, or to prove that a wrongful act occurred. In some correctional facilities, inmates may be given a two person rule designation, which means that a minimum of two correctional officers must be utilized to move that particular inmate, primarily due to disciplinary reasons or possible officer safety issues.

Гражданские воздушные суда

В конце марта 2015 года многие органы гражданской авиации и/или авиакомпании сделали обязательным присутствие двух пилотов в кабине пилотов во время полета, или ввели зоны, исключающие нахождение там одного человека, в связи с катастрофой рейса 9525 авиакомпании Germanwings. На ранних этапах расследования этой катастрофы, на основании данных бортового самописца речевой информации, а затем и подтвержденных информацией бортового самописца параметрических данных, было установлено, что второй пилот намеренно направил самолет в столкновение с землей после того, как запер дверь кабины, когда командир экипажа вышел в туалет.

В популярной культуре

В фильме "Охота на Красный Октябрь", когда капитан Рамиус берет ключ от ракеты у погибшего политрука, его сослуживец, корабельный врач, просит передать ему ключ, ссылаясь на правило двух человек, говоря: "Причина, по которой предусмотрено два ключа от ракеты, заключается в том, чтобы ни один человек не мог самостоятельно санкционировать запуск". Правило двух человек играло ключевую роль в фильме "Кримсон Тайд", когда капитан и старший помощник USS Alabama не сошлись во мнениях относительно применения ядерного оружия. В романе Тома Клэнси "Сумма всех страхов" президент Роберт Фаулер и Джек Райан, в качестве заместителя директора ЦРУ, были двумя лицами, уполномоченными отдать приказ о ядерном ударе по городу, предположительно укрывающему лидера террористов. Райан отказался санкционировать запуск, и ядерная атака была отменена. Райан выполнял роль второго лица, поскольку министр обороны погиб в результате террористического акта. В экранизации, где Райан – аналитик ЦРУ, вторым был госсекретарь Сидни Оуэнс. В фильме "WarGames" экипаж из двух человек получает и подтверждает приказ о запуске, но один из них отказывается поворачивать ключ, даже после того, как другой угрожает ему оружием. Они не знали, что это была симуляция; этот инцидент (а также значительный процент подобных отказов среди других экипажей) послужил основой для фильма, в котором Министерство обороны перевело систему запуска ракет под полностью автоматическое управление, чтобы предотвратить будущие отказы от запуска. Подобно "WarGames", в компьютерной игре Command & Conquer: Red Alert 2 один офицер направляет пистолет на другого, когда ему отдают приказ о запуске ядерных ракет. Однако это произошло не из-за разногласий, а из-за прямого контроля над разумом. Франшиза "Звёздный путь" демонстрирует правило двух человек и другие подобные вариации в критических ситуациях, часто связанные с активацией или отменой механизма самоуничтожения корабля (за исключением "Звёздного пути: Вояджер", где требовалось разрешение только капитана). Некоторые варианты требуют санкции трех старших офицеров (оригинальный эпизод "Стартрек" "Пусть это будет твоим последним полем битвы", "Стартрек III: В поисках Спока", "Стартрек: Первый контакт"), другие – только командира и старшего помощника (эпизоды "Стартрек: Следующее поколение" "11001001" и "Там, где царит тишина", эпизод "Противник"). Во всех случаях требуется голосовое подтверждение офицеров, а в двухстороннем варианте также используется идентификация по отпечатку пальца. В фильме "Пчела" два рабочих одновременно поворачивают ключи зажигания, чтобы разблокировать кнопку отключения, когда им приказывают остановить производство мёда. В романе Эрика Флинта "Факел свободы" для активации устройства ядерного самоуничтожения важного объекта требуется как минимум два человека. Тем не менее, один человек получает доступ ко всем необходимым кодам и активирует устройство. В первом эпизоде сериала "Последний рубеж" Маркус Чаплин и Сэм Кендал, капитан и старший помощник соответственно, выполняют процедуру запуска с двумя ключами, прежде чем подвергнуть сомнению приказ об атаке. В фильме "Послезавтра" Соединенные Штаты начинают ответный удар по Советскому Союзу, включая полную последовательность запуска ракеты LGM 30 Minuteman с двумя ключами, взятую из более раннего фильма "Первый удар". В анимационном фильме Pixar "Головоломка" персонифицированные эмоции отца инициируют наказание для Райли за её проступок, используя систему с двумя ключами для активации триггера "поставить на место". В эпизоде "Одиночество" сериала CBS "Супергёрл" злодейка Индиго убивает весь персонал шахты, чтобы завладеть ключами, а затем растягивает руки, чтобы одновременно повернуть оба ключа, запуская ядерную ракету, предназначенную для уничтожения Национального города. В фильме "Золотой глаз" одноименный спутник электромагнитного импульса может быть запущен только таким образом как на объектах в Северной, так и на Кубе. В эпизоде сериала "Мадам госсекретарь" два офицера инициируют процедуру запуска МБР с двумя ключами, но в последний момент поступает приказ об отмене.

In the film The Hunt for Red October, when Captain Ramius takes the dead political officer's missile key, a fellow officer, the ship's doctor, requests that he have the key, using the two person rule as his reason, saying, "The reason for having two missile keys is so that no one man may arm the missiles." The two person rule was crucial in the movie Crimson Tide when the captain and the executive officer of the USS Alabama disagreed over the release of nuclear weapons. In the Tom Clancy novel The Sum of All Fears, President Robert Fowler and Jack Ryan, as Deputy Director of the Central Intelligence Agency, were the two individuals that were authorized to issue a nuclear launch order against a city thought to be harboring a terrorist leader. Ryan refused to validate the launch order and the nuclear attack is aborted. Ryan was serving as the second one because the Secretary of Defense was killed in a terrorist attack. In the movie version, in which Ryan was a CIA analyst, the second one was Secretary of State Sidney Owens. In the film WarGames, a two person missile crew receives and verifies an order to launch, but one individual refuses to turn his launch key even after the other threatens to shoot him. Unknown to them, the attack was a simulation; this incident (as well as a significant rate of similar refusals among other missile crews) sets up the basis of the movie, in which the Department of Defense puts the missile launch system under fully automatic control to prevent a future refusal to launch. Similar to WarGames, in the computer game Command & Conquer: Red Alert 2 one officer pulls a gun on the second officer when given the command to launch nuclear missiles. However, this is not due to a disagreement, but due to direct mind control. The Star Trek franchise depicts the two person rule and other similar variations in critical situations, often concerning arming or cancelling a ship's self destruct mechanism (except for Star Trek: Voyager in which only the Captain's authorization was required). Some variants require the authorization of three senior officers (the original Star Trek episode "Let That Be Your Last Battlefield", Star Trek III: The Search for Spock, Star Trek: First Contact), others just the commanding and executive officers (Star Trek: The Next Generation episodes "11001001" and "Where Silence Has Lease", Star Trek: Deep Space Nine episode "The Adversary"). All depictions include voice authorization of the officers involved, while the two person variant also involved a hand print identification. In Bee Movie, when honey production is ordered to be halted, two workers simultaneously turn their ignition keys to unlock a shutdown button. In Torch of Freedom by Eric Flint, the nuclear self destruct device for an important installation requires at least two people to activate. Nonetheless, one person gains access to all the necessary codes and is able to activate the device. In the first episode of the ABC series Last Resort, Marcus Chaplin and Sam Kendal, the captain and XO respectively, perform a two person launch procedure, prior to questioning the attack order. In The Day After, the United States initiates a counterattack against the Soviet Union. This includes a complete two person LGM 30 Minuteman missile launch sequence taken from the earlier movie First Strike. In Pixar's Inside Out animated movie, the father's personified emotions initiate punishment for Riley's misbehavior using a two person rule system to arm a trigger for "putting the foot down". In the "Solitude" episode of the CBS series Supergirl, the villain Indigo kills all the silo personnel to take the keys, and then stretches her arms to turn both keys at the same time, launching a nuclear missile intended to destroy National City. In GoldenEye the eponymous EMP attack satellite can only be fired in this way at both the Severnaya and Cuba sites. In an episode of Madam Secretary, two officers initiate the two person rule to launch an ICBM, but a termination order comes in at the last moment.