Янв. 11

Як IT-спеціалісти зі Львова створили застосунок для армії «Джура». 60 тисяч військових використовують його замість російських програм, що крали їхні дані

У 2019 році кілька українських IT-фахівців розробили застосунок для військових «Джура». Він мав замінити російські програми, якими масово користувалися у війську для відліку часу до демобілізації, й запобігти витоку персональних даних і секретної інформації. Сьогодні «Джура» — багатошаровий застосунок з довідниками, новинами, чатом, а незабаром там з’явиться гаряча лінія і власний месенджер.

В інтерв’ю DOU співзасновник проєкту та PHP-розробник Володимир Пасіка розповів, хто працює над програмою, скільки коштує розробка та чому кожен військовий має бути обізнаним в інформаційній та кібербезпеці.

Володимир Пасіка

«Коли почалися бойові дії, я розумів, де можу бути корисний». Про роботу в IT і допомогу війську на волонтерських засадах

Я розробляю вже десять років. У 2011-му прийшов на стажування в компанію Svitla Systems і там працюю досі. Мій профіль — розробка на PHP.

На розробника я не вчився — в університеті «Львівська політехніка» обрав спеціальність «Інформаційна безпека». Але на останньому курсі нам пів року викладали бази даних, Java, PHP. Викладач на пари практично не ходив, а коли приходив, то читав предмет з аркуша. Однак я побачив рекламу вакансій на Work.ua, де розробникам пропонували космічну зарплату. Тому вирішив потрохи розбиратися у програмуванні самостійно, паралельно навчаючись у виші. Спробував свої сили на фрилансі, а коли випустився, влаштувався у Svitla Systems. І зараз не шкодую про це.

Втім саме завдяки навчанню на «Інформаційній безпеці», коли почалися бойові дії, я розумів, де можу бути корисний. Адже армія — це не лише про безпосередні бойові дії, а й про війну технологій, інформації. Оскільки за станом здоров’я я не служив, вирішив, що можу виконати громадянський обов’язок в інший спосіб — як волонтер.

«Російська програма ставила телефон під тотальний контроль». Чому розробили застосунок «Джура»

Допомагати армії я та кілька колег по роботі почали у 2014-му. Ми збагнули, що війна XXI століття — війна, зокрема, й високих технологій. Тож IT-фахівці можуть впливати на перебіг подій.

Починали ми з простого: як і багато хто, збирали кошти для підтримки армії. А в якийсь момент здружилися з людьми, які працювали у проєкті InformNapalm. Це волонтери, які досліджують та ідентифікують, яка російська військова техніка чи які підрозділи з’являються на території України. Їм ми допомагали проводити аналіз, надавали технічну підтримку. Пізніше, у 2016-му, стали співпрацювати з командою «Українського кіберальянсу» — «білими» хакерами, які допомагають нашим військовим отримувати засекречену інформацію з Росії, прикривають ворожі сервіси.

Один з учасників InformNapalm, Лук’ян Турецький, озвучив актуальну тоді проблему: виявилося, що наші військові масово використовували російську програму «ДМБ таймер». Користувач завантажує застосунок, логіниться, встановлює терміни служби, і йому показує, скільки часу минуло, а скільки лишилося до демобілізації.

Такий застосунок мав чи не кожен військовий. Коли ми вивчили питання докладніше, зрозуміли, що це серйозна проблема. Російські програми такого типу просять доступ до геолокації, викачують зі смартфонів дані пачками: номери, смс, паролі, логіни та інше. З огляду на те, що користувачі люблять вказувати, який в них рід військ, звання, вороги можуть під’єднати хорошу аналітику до даних і досліджувати рух цілих частин, вивчити їхні типові маршрути.

Грубо кажучи, програма, яка в інтерфейсі повинна мати одну кнопку й показувати, скільки лишилося днів до демобілізації, ставила телефон під тотальний контроль. Частини, в яких військові мали ці застосунки, частіше потрапляли під обстріли в зоні бойових дій, в них частіше ставався витік даних. Це довели наші дослідження.

Деякі з цих даних допомагали російським службовцям вербувати українських військових. Адже солдати часом нотують у себе в телефоні, хто вкрав бензин, хто продав набої абощо. У війську, як і в суспільстві загалом, є хороші люди, а є такі, що чинять недобре. Тих, хто скоїв злочин, росіяни могли взяти на гачок. Російський застосунок отримує доступ серед іншого й до нотатників, календаря та всього гугл-акаунту.

Тоді, у 2015-му, й зародилася ідея «Джури» — українського аналога російських програм на кшталт «ДМБ таймера».

«Застосунок робили таким, щоб він, наскільки це можливо, не зберігав даних користувачів». Як створювали «Джуру»

До команди, яка працюватиме над програмою, шукали людей, які розумітимуть, чому вона важлива, чому про неї не можна розповідати будь-кому в барі. Адже мова про застосунок, який опрацьовуватиме дані тисяч військових. Це був основний критерій відбору. Тож я шукав охочих серед близьких знайомих. В принципі всі, кому запропонував, погодилися одразу — я знав, до кого підходити, бо перетинався з цими людьми на тих чи інших волонтерських ініціативах, розумів їхню позицію, мотивацію.

Більшість із тих, хто долучився на старті, працюють досі. Це Лук’ян Турецький — автор ідеї та дизайнер, колишній військовий, Сергій Міськів — співзасновник і керівник iOS-розробки, Дмитро Рубан — відповідальний за розробку під Android. І, власне, я — співзасновник і PHP-розробник. Також залучали студентів Українського католицького університету до роботи над застосунком під iOS.

Співзасновники та розробники «Джури»: Сергій Міськів, Дмитро Рубан і Лук’ян Турецький

На старті ми проаналізували функціонал трьох найпопулярніших російських програм. У своїй вирішили об’єднати все, що було там: таймер, довідники, нотатник, пам’ятні дати, стрічку новин. Це як у бізнесі: є п’ять сервісів, які на чомусь заробляють гроші, але коли виходить новий, що поєднує все, він займає свою нішу.

Ми вирішили робити застосунок таким, щоб він, наскільки це можливо, не зберігав даних користувачів. Під час верифікації не потрібно вказувати навіть електронну скриньку — достатньо вигадати пароль і нікнейм. Мінімум інформації гарантує додаткову безпеку. З огляду на те, що вороги не раз намагалися атакувати наш сервер, це не зайве. Наразі ми можемо відбивати їхні атаки, але краще перестрахуватися.

Роботу організували за «IT-лекалами»: побудували процеси розробки як на серйозному комерційному продукті, щоб він не згас за пів року. У нас є своя Jira, тікети, спринти, пріоритетність, ми працюємо з користувачами та збираємо дані про те, що їх цікавить.

Команда одразу розуміла, що проєкт ресурсний і забере чимало часу й фінансів. Якби він не подобався користувачам, ми б вичерпали всі ресурси, спрямовані на рекламу через волонтерів, блогерів, і припинили роботу. Але щойно продукт випустили, ми отримали близько 4000 завантажень за перший тиждень. Тому питання, продовжувати далі чи ні, відпало саме собою.

Річ у тім, що з 2014-го ми активно взаємодіємо з військовими, волонтерами, тому заздалегідь знали, що зможемо поширити інформацію про вихід «Джури». Наприклад, просили розклеїти плакати про застосунок у частинах на звичайних аркушах А4. Користуватися продуктом мали бодай тому, що на українському ринку аналогів немає.

Після релізу чимало користувачів писали нам особисто й казали, що видалили російські програми та користуються лише «Джурою». Сьогодні у нас понад 60 тисяч користувачів. Це означає, що сьогодні ми залишили Росію без інформації про 60 тисяч наших військових. Щодня маємо 120–150 нових реєстрацій. В Україні призов регулярний, тож думаємо, що кількість лише зростатиме.

Як і на початку, сьогодні я витрачаю 2–3 години на день на «Джуру». Та якщо раніше це було здебільшого програмування, тепер це переважно комунікація з користувачами, Міністерством оборони.

Скриншоти презентації «Джури» для Міноборони

«Щомісяця на розробку, оновлення та підтримку „Джури“ йде $2500». Про фінансову складову волонтерства

Застосунку вже два з половиною роки. В середньому щомісяця на розробку, оновлення та підтримку «Джури» йде 2,5 тисячі доларів. Це оплата сервісів, розробки, частково дизайну. Ми з Лук’яном Турецьким і Сергієм Міськівим працюємо на волонтерських засадах, а решта людей отримують за свою роботу гроші. На початку частину суми ми зібрали донатом — люди відгукувалися через фейсбук. Тому зробили не лише таймер, який показує дні, а «швейцарський ніж» для військового. Таким чином у застосунку з’явилися новини з 15 порядних військових сайтів, вкладка історичних подій, які показують пам’ятні дати, пов’язані зі Збройними силами, військовий чат і 15 довідників (тактико-технічне озброєння, звання, погони, нові види форм, роди військ, мова жестів, стандарти карт НАТО, нагороди тощо).

Щоб зрозуміти, що додавати у «Джуру», ми проводимо опитування в чаті програми й на фейсбук-сторінці. Які запити траплялися найчастіше, ті й додавали в беклог, а потім формували завдання на наступний спринт. Ми мусимо постійно оновлювати програму, оскільки там, де не дотягнемо до російських аналогів, програємо — користувачі одразу завантажуватимуть їх.

Коли зрозуміли, що фінансово стає складно підтримувати розробку, увімкнули рекламу від Google — її показували раз на добу в «Джурі». Але почався відплив юзерів, тож рекламу довелося вимкнути. Виходить, ми, автори застосунку, маємо дечим жертвувати (зокрема й доходом на ту ж розробку), щоб кінцевий користувач лишався задоволеним на 100% і не йшов у російські програми. Адже навіть одна людина може підставити цілий підрозділ.

Також ми зробили Patreon. Там є підписка від $1 до $100 доларів на місяць. Але з аудиторією майже у 60 тисяч ми маємо лише 46 патронів.

Зробили в «Джурі» і партнерський магазин. Військові чи туристичні крамниці можуть розміщувати тут свої рекламні банери зі знижками. Ми робили розсилки військовим раз на місяць з акційними пропозиціями. Наші користувачі за промокодом «Джура» мали додаткову знижку. Тобто це була й нам фінансова допомога, і військові мали ще одну мотивацію встановити застосунок, щоб придбати потрібну річ дешевше. Завдяки цьому команда мала близько тисячі доларів на місяць на розвиток продукту, але коли почався COVID-19, і магазини, і військові перейшли в режим економії, тож сьогодні реклами практично немає.

Коли «Джура» проіснувала близько року, до нас звернулися представники силового блоку Литви. Вони розповіли, що мають ту саму проблему, що й Україна — литовські військові теж користуються російськими програмами. Тож вони попросили на основі нашого рішення розробити для них продукт. Ми погодилися: провели редизайн, змінили локалізацію, підтягнули їхні новинні ресурси — литовці й сьогодні користуються розробкою із задоволенням. За роботу вони заплатили близько 10 тисяч доларів. Частково за ці гроші ми запустили розробку під iOS (вона дорога, і користувачів менше, ніж на Android, у нашому війську, тому спочатку під iOS версії «Джури» не було).

«Нам важливо лишатися волонтерською ініціативою, бо, якщо заліземо у військову бюрократію, робота згасне». Труднощі співпраці з Міноборони

Міністерству оборони України ми презентували «Джуру» ще у 2019-му, коли все було на стадії ідеї. Лук’ян Турецький тоді підготував презентацію, в якій описав переваги розробки, ризики для війська під час реєстрації службовців у російських програмах. Ідея їм сподобалася, командування сказало, щоб ми починали, а вони приєднаються згодом. Зрештою, ми все зробили самі. Реліз «Джури» у 2019-му припав на президентські вибори. Після зміни влади часто змінювалися кадри в оборонному секторі та їхні плани.

З Міноборони ми стали дружити вже 2020-го, коли застосунок мав близько 30 тисяч користувачів. Вони самі до нас прийшли. Нарешті керівництво зрозуміло, чому це важливо. Раніше, здається, взагалі не думали про інформаційну безпеку, кібербезпеку, а тепер бачать проблему й намагаються її розв’язати. Це позитивні зміни.

Ми підписали меморандум про співпрацю з Міноборони та Генеральним штабом. Для нас це важливо, бо зможемо отримати фінансування. Вони ж хочуть, аби в «Джурі» з’явилися важливі для них оновлення. Насамперед це анонімна гаряча лінія, через яку військові зможуть повідомляти про корупцію, проблеми з харчуванням абощо. Чимало скарг, які йдуть знизу, губляться дорогою до керівництва, бо середня ланка не хоче, щоб у кабінетах знали про проблеми й карали їх. Грубо кажучи, ми будемо каналом передачі інформації, а завдання Міноборони — оперативно реагувати на повідомлення. Оскільки застосунок був і лишається волонтерським, військові знають, що ми не збираємо інформацію про них, а тому довіряють і вільніше висловлюються (це видно навіть зі спілкування в чаті «Джури»).

Також міністерству важлива інформаційна підтримка. Через програму ми можемо швидко донести критично важливу інформацію до військових. Умовно: один клік в адмінці — і ми надішлемо десятки тисяч повідомлень і в застосунок, і на пошту чи через смс користувачам. Зараз міністерство не зможе цього зробити, бо просто не має технічної можливості. Крім того, через «Джуру» легко доносити офіційні новини — можна випередити фейкові новинні сайти, які дають неправдиву та перекручену інформацію.

Між нами та Міністерством оборони є чітке розуміння, що це лише співпраця. Нам важливо лишатися волонтерською ініціативою, бо, якщо ми заліземо у військову бюрократію, робота згасне. Тоді на те, щоб додати умовну кнопку в продукт, підуть місяці, поки її погодять у кабінетах. У меморандумі ми передбачили, що співпраця буде влаштована так, щоб наша команда могла оперативно розвивати й покращувати «Джуру», робити комунікацію між міністерством і армією ефективнішою. Адже все це впливає на боєздатність війська.

Нині ми також плануємо редизайн і шукаємо фінансування на наступні довідники й розробку власного шифрованого месенджера в межах «Джури». Мені не подобається, що військові сидять у телеграмі. Він оголошений безпечним, анонімним, але те, що може контролювати російський уряд, безпечним не назвеш. Коли їздив до зони операції об’єднаних сил, я особисто бачив, що на блокпостах дані для перевірки скидають у телеграм-канали. Для мене це дикість з погляду безпеки інформації.

Співзасновники «Джури» отримали медалі від Міноборони «За сприяння Збройним силам»

«З освітнім проєктом Security Steps ми пройшли відбір на „Кіберакселератор“». Перспективи навчання військових інформаційної безпеки

Паралельно з «Джурою» наша команда працювала над навчальним сервісом Security Steps. Це 20 навчальних відео по 90 секунд, розбитих на шість тем: що можна робити в мережі, що ні, фішинг, безпека мобільних пристроїв, паролі тощо. Проєкт теж мало підтримати Міноборони, але далі розмов справа не пішла. Хоча за задумом цей курс мав стати обов’язковим у Збройних силах України: кожен, хто заходив на службу, мав його пройти.

Курс має контроль результатів, тож після складання людина отримує сертифікат з балами. Сьогодні програма готова. Співпраця щодо неї з міністерством досі в підвішеному стані через бюрократію, але сервісом уже користуються приватні IT-компанії, бо курс розрахований не лише на військових, він актуальний і для ширшої аудиторії. Персонал трьох фірм проходить навчання, щоби в них не було зламів, фішингу. Це зручно для невеликого бізнесу, який не може собі дозволити власні курси чи наймати спеціаліста з кібербезпеки.

Ми вже протестували програму на користувачах «Джури». Коли в нас було близько 40 тисяч юзерів, розіслали всім запрошення в систему. Пройшли навчання близько 30 тисяч людей. В результаті показник правильних відповідей на тест після проходження курсу зріс на 40 %.

З Security Steps цього року ми пройшли відбір на «Кіберакселератор» (перший український акселератор у сфері кібербезпеки для продуктових та сервісних компаній, проєкт USAID «Кібербезпека критично важливої інфраструктури України» — ред.). Заявки подали 100 команд — ми одна з десяти, які пройшли відбір. Тепер готуватимемо заявки на грант, щоб масштабувати розробку.

«Мотивація повертається після поїздок на Схід». Як IT-компанії та окремі спеціалісти можуть допомогти армії

Військові сьогодні активні й шукають знань у сфері інформаційної та кібербезпеки. Вони зростають у цьому плані. Тож припускаю, що проєкти у цій сфері матимуть успіх.

Та я трохи розчарований, бо немає наступного покоління молодих розробників, які шукали б, як увімкнутися в процес. Замало тих, хто готовий приділяти кілька годин свого часу на тиждень, щоб допомогти державним інституціям. Хотілося б бачити більшу активність з боку українських IT-спеціалістів, бо фахівці в нас круті.

У мене теж є не лише робота й волонтерство. Треба знаходити час на дружину й дітей, які не завжди розуміють, чому я зникаю на години у своїх проєктах. Але нещодавно був на Сході, де їздив передовими лініями... Після такого мотивація не кидати все завжди повертається. Поки не з’явилася серйозна заміна нашій команді, мусимо тягнути самі. Зрештою, ми сидимо в кабінетах, а є люди на війні, які втомлюються набагато більше за нас, але продовжують робити свою справу.

Раджу IT-компаніям долучатися до волонтерських проєктів, фондів. Необов’язково підтримувати лише «Джуру». Є низка проблем, які Міністерство оборони не може оперативно закрити. Наприклад, безпілотники на фронті зараз йдуть як розхідний матеріал, а коштують немало. Війську потрібні дизельні генератори, помпи для відкачування води з окопів — це речі, які часто страждають при обстрілах, тож попит на них завжди є. Це технічні потреби, про які можна дізнатися у волонтерів і допомогти.