Чого не можуть хакери?

Глибоке нерозуміння більшістю обивателів проблем, пов'язаних з інформаційною безпекою в обчислювальних системах, з плином часу сформувало певний міф про всемогутність хакерів і повсюдної беззахисності комп'ютерних систем.

Дійсно, сучасні обчислювальні системи та мережі загального призначення мають серйозні проблеми з безпекою. Але, підкреслимо, саме обчислювальні системи загального призначення. Там же, де потрібна обробка критичної інформації та забезпечення вищого рівня захисту і секретності (наприклад, у військовій галузі, в атомній енергетиці і т. П.), Використовуються спеціалізовані захищені ВС, які (і це надзвичайно важливо!) В основному ізольовані від мереж загального призначення (від мережі Internet, наприклад). Тому необхідно розвіяти перший міф, виключно популярний в художній літературі, кіно, а також у засобах масової інформації: кракер не може проникнути ззовні в обчислювальну систему стратегічного призначення (наприклад, у ЗС атомної станції або пункту управління стратегічними озброєннями).

Нове життя в цей міф вдихнув останній військовий конфлікт в Югославії. Згідно з повідомленнями російських ЗМІ складалося відчуття, що військові мережі НАТО повністю беззахисні, і повний контроль над ними мають «відважні хакери». Природно, що коли такі перли потрапляли в електронні конференції, то тільки в розділи гумору. Тим не менш, зараз говоримо лише про неможливість отримання несанкціонованого віддаленого доступу саме ззовні. У тому випадку, якщо нанести шкоди системі наміриться кракер зі складу персоналу захищеної ВС, то складно абстрактно судити про те, наскільки успішні будуть його спроби. Як приклад згадаємо випадок на Ігналінської АЕС, коли місцевий системний програміст впровадив у ЗС програмну закладку («троянського коня»), яка мало не призвела до аварії станції. Однак, як стверджує статистика, порушення безпеки системи власним персоналом становлять близько 90% від загального числа порушень.

Отже, критичні обчислювальні системи не можна назвати невразливими, але реалізувати на них успішну віддалену атаку практично неможливо. Прочитавши цей пункт, недовірливий читач може зауважити, що він особисто зустрічав нотатки про те, як «кракери проникли в комп'ютер Пентагону або НАСА». Вся справа в тому, що будь-яка поважаюча себе організація, будь то ЦРУ, АНБ або НАСА, має свої www- або ftp-сервера, що знаходяться у відкритій мережі і доступні всім. І кракери в цьому випадку проникали саме в них (а ні в якому разі не в секретні або закриті мережі), використовуючи, можливо, один із широко описаних механізмів.

Іншим і, мабуть, найбільш стійким міфом є міф про загальну беззахисності банківських обчислювальних систем. Так, дійсно, на відміну від НД стратегічного призначення, банки з-за конкурентної боротьби між собою змушені для забезпечення зручності і швидкодії роботи з клієнтами надавати їм можливість віддаленого доступу з мереж загального користування до своїх банківських обчислювальних систем. Однак, по-перше, для зв'язку в цьому випадку використовуються захищені криптопротоколів і різноманітні системи мережевого захисту (наприклад, Firewall), і, по-друге, надання клієнту можливості віддаленого доступу аж ніяк не означає, що клієнт може отримати доступ безпосередньо до внутрішньої банківської мережі . На думку фахівців, зарубіжні банківські ВС є найбільш захищеними після ВС стратегічного призначення.

Однак в останні роки деяким журналістам, в тому числі і вітчизняним, в гонитві за сенсацією вдалося (і не без успіху, особливо на основі реально мав місце справи Левіна) придумати міф про загальну беззахисності банківських систем. Яскравий приклад подібних творінь - стаття пана А. Какоткіна «Комп'ютерні зломщики», опублікована в тижневику «Аргументи і Факти» в лютому 1997 року. Висновок з цієї статті, перефразовуючи слова її автора, можна зробити наступний: «Кожному хакеру - по бронежилету і запасному процесору». Не потрібно бути великим фахівцем з комп'ютерної безпеки, щоб, прочитавши цю статтю, зрозуміти, що вона неправдоподібна від початку і до кінця (особливо смішно читати «подробиці» злому банківської мережі). Можливо, втім, що недостатньо освіченого в цій області журналіста якісь люди ввели в оману (або, що не дивно, він просто чогось не зрозумів).

Більш цікавим, на наш погляд, питанням є те, наскільки надійно насправді захищені банківські мережі, особливо в тому випадку, якщо до них передбачений віддалений доступ з мережі Internet. На жаль, ні хто не може дати точної відповіді, поки спеціалізовані системи безпеки банківських ВС (природно, під такими системами не маються на увазі операційні системи типу Novell NetWare, Windows NT або 95, UNIX, які хоч і часто застосовуються в банківському середовищі, але спеціалізованими вже ніяк не є) не будуть сертифіковані. Єдине, що можна гарантувати, - те, що з вірогідністю близько 99,9% подібні системи будуть піддаватися загрозі відмови в обслуговуванні, яка розглянута далі.

Недовіра до описаних в засобах масової інформації способам того, як кракери здійснюють злом, і того, до яких результатів це призводить, спонукало докладніше розглянути питання: а чи реальні взагалі такі зломи? Так от, жодного підтвердженого факту здійснення цілеспрямованого злому за допомогою програмних засобів (а не за допомогою підкупу і т. П.) Не вдалося знайти ні в Росії, ні за кордоном. Так, майже кожен день розкриваються www-сервера якихось компаній. Але тут жертва вибирає не цілеспрямовано, а здебільшого випадково: «пощастить - не пощастить». Більш того, підміна деяких www-сторінок часто зовсім не означає, повного контролю над атакованим хостом, зловмисник може взагалі не мати до нього ніякого доступу, а просто підміняти ці сторінки за допомогою перемаршрутізаціі. Власне, злом www-серверів і становить 90% всіх проявів нібито всемогутніх кракерів, обговорюваних в мережевій і немережевий пресі.

Легендарний Кевін Митник був здебільшого саме легендарним. Навіть якщо взяти атаку Митника так, як вона підноситься, очевидним є той факт, що вона була придумана не їм і здійснена в той час, коли в Internet набагато менше турбувалися про безпеку. Можна згадати ще справа Левіна. Дуже туманне справу. Якщо Левін (або хтось ще) дійсно розкрив CitiBank, користуючись тільки своєю головою і руками, то честь йому і в'язниця. Але на сьогоднішній день найбільш переконливою є версія, що у нього все ж були спільники у цьому банку, які надали йому вхідне ім'я і пароль. Непрямим підтвердженням цього служить факт, що «геніальний зломщик банків» чомусь був геніальний тільки в самому процесі злому і поводився, скажімо, не дуже розумно при приховуванні своїх слідів і протиборстві з правоохоронними органами.

Все це дозволяє припустити, що проблема мережевих кракерів в тому вигляді, як вона зазвичай подається ЗМІ, насправді відсутня. Так, багато сил повинна приділятися захисту комп'ютерних систем від «псевдохакеров», які вважають себе професіоналами, вміючи запускати різні «нюкі» (nuke) або підбирати паролі типу «guest». Вони здатні завдати цим певної шкоди. Існують, безумовно, і більш кваліфіковані групи кракерів, що займаються, наприклад, зломом www-серверів для «увічнення» власного імені. Але викликає великий сумнів існування професіоналів, а тим більше налагодженої індустрії, яка допускає злом будь-якого більш-менш захищеного хоста «на замовлення». З досвіду можна припустити, що ціна такого злому повинна бути в кілька разів більше, ніж цінність розташованої там інформації, тому в хід йдуть старі перевірені методи типу вербування або підкупу.

Резюмуючи, можна сказати, що ніяких мережевих кракерів, що спеціалізуються на розтині хостів за гроші або з метою використання отриманої інформації для власного збагачення, не існує. Їх кваліфікація повинна бути настільки висока, що в усьому світі таких людей можна без зусиль перерахувати, і вони напевно заробляють великі гроші більш законними методами.