Média do značné míry zničila pověst slova „hacker“. Když to slovo zmíníte, představíte si muže v temné kápi, který se nabourává do vojenských systémů, krade čísla kreditních karet nebo bourá světovou ekonomiku. Je to děsivý obrázek. A ano, takoví útočníci existují. Ale je jich menšina. Skutečný příběh je mnohem starší a mnohem zajímavější.
Samotný termín se objevil v polovině 60. let. Pak je hacker jednoduše programátor, který z kódu vymáčkl všechno možné a překročil svůj původní účel. Nebyli to zločinci. Byli to vizionáři. Do tohoto obrazu zapadají Bill Gates, Steve Jobs a Steve Wozniak. Viděli potenciál ve strojích, které ostatní považovali za pouhé kalkulačky. Vytvářeli operační systémy a aplikace od nuly. Byli průkopníci.
To, co měli společné, byla posedlost. Čistá, neotřelá zvědavost. Nechtěli jen vytvářet věci. Chtěli je rozebrat, aby pochopili, jak fungují. Při pádu programu se v něm objevila chyba (chyba). Tito hackeři napsali záplaty, aby opravili poškozený kód. Tyto znalosti volně sdíleli. Někteří nakonec dostali zaplaceno za to, že dělali věci pro zábavu. To byl původní duch hackerské kultury.
Jak počítače začaly být propojeny sítí, definice se změnila. Hacker se najednou stal někým, kdo prozkoumával síť, do které by neměl mít přístup. Záměry se však měnily jen zřídka. Bylo to o poznání. Bariéra byla jen další hádanka.
Dnes tato kuriozita pokračuje. Zatímco titulky křičí o virech a sabotážích, většina hackerů se jednoduše snaží pochopit složitosti digitálního světa. Někteří využívají své dovednosti, aby pomohli korporacím vybudovat silnější kyberbezpečnostní zdi. Ostatní jednají nezávisle a obcházejí pravidla.
Podíváme se, jak se dostanou dovnitř. Podíváme se na kulturu. Podíváme se na zákony, které porušují. Nejprve se ale musíme vrátit do doby před příchodem počítačů. Před křemíkem. Před kódem.
Původ phreakingu
Dávno před internetem byly telefony. A před internetovými hackery tu byli podivíni.
Byli to vynalézaví lidé, kteří přišli na to, jak manipulovat s telefonním systémem. Nenabourali se do bank. Nabourali síť. Volali na dlouhé vzdálenosti zdarma. Dělali si legraci z ostatních uživatelů. S globální telefonní sítí zacházeli jako s obřím hudebním nástrojem. Byla to hra. Tohle byl výzkum. Byl to předchůdce všeho, co následovalo.
Zásobník softwaru hackerů
Hlavní zbraní je kód. Ne vynalézavost. Kód.
I když se na internetu hodně mluví o obrovské komunitě hackerů, realita je mnohem specializovanější. Jen malá část z nich píše své vlastní exploity. Zbytek prohlíží web a stahuje hotové nástroje. K dispozici jsou tisíce programů pro snímání sítě. Tyto nástroje dávají obrovskou sílu každému, kdo rozumí, jak je používat. Jakmile se hacker naučí logiku systému, může vytvořit vlastní exploity k jeho prolomení.
Podívejme se na skutečné nástroje v sadě.
Odposlech a sledování vstupu
Některé programy běží tiše na pozadí a zaznamenávají každý stisk klávesy. Jsou instalovány na autě oběti a čekají v křídlech. Poté zachytí vše, co se nasbírá. Hesla. Čísla kreditních karet. Přihlašovací údaje. Tato data dávají útočníkovi klíče ke všemu, což často vede k úplnému proniknutí do systému nebo krádeži identity.
Odposlech e-mailů býval jedním z hlavních cílů. Hackeři napsali kód, aby naslouchali internetovému provozu. Dnes je z velké části zastaralý. Moderní e-mailoví klienti používají složité šifrovací algoritmy. Pokud hacker zachytí zprávu, vidí pouze nesmyslný řetězec znaků. Bez klíče nelze data číst.
Hacking hesel
Pronikat do účtů je umění trpělivosti a matematiky.
Vzdělané odhady fungují. Jednoduché algoritmy, které přeskupují písmena, čísla a symboly, fungují lépe. Ale těžké zvedání dělají dvě hlavní metody.
Za prvé, je to útok hrubou silou. Program zkouší všechny možné kombinace. Pro cíl je to noční můra pokusů a omylů, ale útočníkovi se často nevyhne, pokud má dostatek času a výpočetního výkonu.
Za druhé, toto je slovníkový útok. V tomto případě program do přihlašovacích polí vloží běžná slova, fráze a uniklá hesla. Je rychlejší než hrubá síla, protože využívá lenosti lidí.
Nasazení malwaru
Viry jsou programy, které se samy replikují. Jejich cílem je chaos. Způsobují pád systémů. Vymazávají pevné disky. Poškozují data.
Přenašeči infekce se změnili. V minulosti hackeři přímo infiltrovali systémy, aby nastražili tyto bomby. Nyní je snazší vytvořit jednoduchý virus a šířit jej prostřednictvím e-mailu, rychlých zpráv nebo sítí peer-to-peer. Stahujete soubor. Kliknete na “spustit”. Jste nakažení.
Ale viry jsou jen jednou z možností. Trojský kůň je zákeřnější. Vydává se za legitimní software. Po provedení se otevře backdoor (zadní vrátka). Toto je nezabezpečená cesta k síti. V raných dobách internetu bylo zabezpečení tak slabé, že takové dveře bylo snadné najít. To funguje dodnes, protože to zcela obchází autentizaci. Hacker nepotřebuje uživatelské jméno ani heslo. Potřebuje jen Trojana, aby otevřel bránu.
Botnety a spam
Z napadeného počítače se stane zombie nebo bot.
Oběť spustí kód. Je navázáno spojení mezi jejím počítačem a serverem hackera. Nyní má hacker tajnou kontrolu. Nestará se o uživatelská data. Zdroje stroje jsou pro něj důležité.
Tyto zombie se používají k rozesílání spamu. Používají se ke spuštění útoků typu distribuované odmítnutí služby (DDoS). Koordinací tisíců botů mohou hackeři zaplavit cíl provozem a učinit jej nefunkčním. Toto je digitální obležení.
Hierarchie hackerů
Kdo je za klávesnicí? Psycholog Mark Rogers rozděluje komunity do odlišných skupin. Toto není monolit.
- Nováci : Mají přístup k nástrojům. Nemají pochopení. Nevědí, jak základní kód funguje. Jsou hluční. Jsou chyceni.
- Cyberpunks : Pokročilejší. Jsou dobří v tom, jak se vyhnout odhalení. Chlubí se svými výkony. Ego je jejich motivátor.
- Kodéři : Stavitelé. Píšou skripty a exploity, které ostatní používají k navigaci v systémech. Jsou to penetrační inženýři.
- Kyberteroristé : Profesionálové. Infiltrují se za účelem zisku. Drancují podnikové databáze kvůli proprietárním tajemstvím. Sabotují operace. Není to pro ně koníček. Tohle je byznys.
Dále se podíváme na kulturu, která tyto skupiny spojuje.
Social Fabric of Code
Většina hackerů nejsou typické sociální typy. Posedlost kódem je může izolovat. Hodiny mizí před obrazovkami. Skutečný život ustupuje do pozadí.
Počítače jim daly víc než jen nástroje. Dali jim kmen. Předtím, než se World Wide Web stal nástrojem pro domácnost, existovaly systémy BBS (BBS). Jednalo se o digitální náměstí. Celá komunita byla umístěna na jednom počítači. Uživatelé připojení přes modemy. Nechali vzkazy. Vyměněné soubory. Hráli jsme textové hry.
Tato konektivita vše změnila. Informace se začaly šířit rychleji. Překážka sdílení znalostí se zhroutila. Ale také to vytvořilo zpětnou vazbu vedoucí k eskalaci.
Předzvěsti
Na počátku 90. let se tón změnil. Někteří uživatelé BBS přestali sdílet nástroje a začali se předvádět. Zveřejnili protokoly. Zveřejnili důvěrná data z napadených serverů jako trofeje. Pro strážce zákona to vypadalo jako existenční ohrožení. Zdálo se, že stovky lidí mohou podle libosti prolomit jakýkoli firewall.
Média zvýšila strach. Skutečná bezpečnostní rizika se v povědomí veřejnosti stala mýtickými monstry.
Dnes je krajina více fragmentovaná. Stránky jako Hacker.org se zaměřují na vzdělávání. Nabízejí hádanky. Proměňují získávání dovedností ve hru. Pak je tu 2600: The Hacker Quarterly. Tištěný časopis nadále existuje. Web vysílá diskuse. Toto je živý kulturní archiv.
Motivace a právo
proč to dělají? Pro mnohé je odpovědí zvědavost. Ne hněv.
Představte si bezpečný systém jako Everest. Nevylezete na ni, protože tu horu nenávidíte. Vylezete na něj, protože tam je. Chcete vědět, jak to funguje. Přežije?
V USA je zvědavost zločinem. Zákon o počítačovém podvodu a zneužívání činí neoprávněný přístup nezákonným. Tečka. Nemusíte nic krást. Není potřeba nic rozbíjet. Pouhé přihlášení bez povolení stačí k získání odpovědnosti.
Tento právní tlak změnil ekosystém. Vytvořilo rozdělení.
Černé klobouky vs bílé klobouky
Internet je bitevní pole. Na jedné straně máte černé klobouky. Usilují o průnik. Šíří viry. Využívají zranitelnosti pro zisk nebo chaos.
Na druhou stranu – bílé klobouky. Používají stejné dovednosti. Mají hluboké porozumění zranitelnostem. Ale staví zdi. Vyvíjejí antivirový software. Zakryjí díry, než je najdou černé klobouky.
Navzdory rozdílům mají obě skupiny společného spojence: software s otevřeným zdrojovým kódem.
Proč? Protože open source znamená, že kód je viditelný. Každý to může studovat. Každý to může změnit. Ať už se pokoušíte hacknout linuxové jádro nebo jej posílit, těžíte z kolektivní inteligence. Učíte se z chyb druhých. Stojíš na ramenou obrů.
Kolekce
Tato kultura není jen online. Schází se fyzicky.
DEFCON v Las Vegas je největší setkání. Tisíce účastníků. Soutěží v akcích Capture The Flag. Diskutují o vývojových trendech. Je to chaotický mix komerce, komedie a seriózního průzkumu bezpečnosti.
Pak je tu Chaos Communication Camp v Německu. Je to méně okouzlující. Účastníci spí ve stanech. Infrastruktura je low-tech. Ale rozhovory mají vysokou sázku. Je to připomínka toho, že kultura si cení myšlenky stejně jako nástroje.
Definice pojmů
V samotné komunitě probíhá jazyková válka.
Mnoho programátorů odmítá nazývat útočníky „hackery“. Pro ně je hackerem někdo, kdo staví. Někdo, kdo zvyšuje bezpečnost. Ten, kdo tvoří.
Ti, kteří se dostanou dovnitř? Jsou to sušenky.
Sušenky pronikají. Způsobují škody. Kradou data. Ale široká veřejnost používá “hacker” jako obecný negativní termín. Rozdíl se ztrácí. Nuance jsou pryč.
Tento zmatek má právní důsledky. Utváří to, jak společnosti vnímají digitální soukromí a inovace. Dalším krokem je pochopit, jak se právo snaží dohnat technologii, která jde rychleji než legislativa.
Musíme vidět, jak soudy tyto definice vykládají. A co se stane, když je „práskač“ vlastně jen zvídavý bílý klobouk, který udělal chybu.
Hranice je rozmazanější, než zákon připouští.
Většina vlád pohlíží na hackery s hlubokým podezřením. Schopnost vplížit se do systému s citlivými daty a ven ze systému stačí k tomu, aby každý úředník neklidně spal. Inteligence je příliš cenná na to, abychom riskovali. Mnoho agentů nedokáže rozlišit mezi zvídavým nadšencem testujícím jeho schopnosti a cizím špiónem, který krade tajemství.
Právní odpověď odráží tuto paranoiu. V USA několik zákonů činí hackování nezákonným. 18 U.S.C. Oddíl 1029 (18 U.S.C. § 1029) potírá vytváření a distribuci zařízení používaných k neoprávněnému přístupu. Její jazyk se zaměřuje na záměr klamat. Vzniká tak mezera. Hacker může tvrdit, že se chtěl pouze naučit, jak funguje zabezpečení. Je to slabá obrana, ale existuje.
18 U.S.C. Oddíl 1030 (18 U.S.C. § 1030) je přísnější. Zakazuje neoprávněný přístup k vládním počítačům. Samotný pokus o vstup může být trestným činem. Nemusíte ani nic ukrást, abyste byli potrestáni za přístup do neveřejného vládního systému.
Tresty a globální zákony
Důsledky jsou různé. Za méně závažné trestné činy může být uložena šestiměsíční zkušební doba. Ostatním hrozí až 20 let vězení. Ministerstvo spravedlnosti používá pro stanovení trestu vzorec, který zohledňuje finanční škody a počet obětí.
Jiné země mají svá vlastní pravidla. Některé z nich jsou rozmazané. Německo nedávno schválilo zákon proti držení „hackerských nástrojů“. Kritici tvrdí, že definice je příliš široká. Může kriminalizovat legitimní bezpečnostní práci. Pokud si společnost najme hackera, aby našel slabá místa, může technicky porušovat zákon podle této legislativy.
Noční můra o vydání
Hackeři mohou páchat zločiny v jedné zemi, zatímco v jiné. Pronásledování se stává logistickou bolestí hlavy. Orgány činné v trestním řízení musí požádat o vydání, aby mohli podezřelé soudit v zahraničí. Tento proces trvá roky.
Gary McKinnon je slavný případ. Ze Spojeného království hacknul systémy amerického ministerstva obrany a NASA. Začal v roce 2002. McKinnon tvrdil, že identifikuje slabá místa zabezpečení, ne kradl data. Pět let bojoval o vydání. V dubnu 2007 britské soudy zamítly jeho poslední odvolání. Bitva skončila.
Hackeři, kteří dodržují zákony, si stále mohou dobře vydělat. Firmy si je najímají, aby otestovaly zranitelnosti bezpečnostních systémů. Jiní vydělávají jmění vytvářením užitečného softwaru. Stanfordští studenti Larry Page a Sergey Brin vytvořili vyhledávač s názvem Google. Dnes se dělí o 26. místo na seznamu nejbohatších miliardářů světa Forbes.
Slavní hackeři
Hranice mezi tvůrcem a zločincem v technologii byla vždy tenká. Vezměte si například Steva Jobse a Steva Wozniaka. Než se stali titány za Apple, byli hackeři. Jejich rané činy nebyly úplně nevinné. Pohrávali si s telefonními systémy a obcházeli bezpečnostní protokoly způsoby, které dnes vypadají jako zlomyslné činy.
Ale změnili se.
Posunuli pozornost. Místo aby se lámali, začali tvořit. Tento obrat pomohl zahájit revoluci osobních počítačů. Před Apple byly počítače firemními monolity. Byly drahé. Byly objemné. Vlastnily je velké instituce, nikoli domácnosti. Jobs a Wozniak tuto moc demokratizovali. Dokázali, že práce s počítačem může být osobní.
Open Source architekti
Ne všichni hackeři touží po slávě nebo zisku. Někteří lidé prostě chtějí vytvořit lepší nástroje.
Linus Torvalds do tohoto obrazu zapadá. Tvůrce operačního systému Linux je často označován jako „poctivý“ hacker. Svůj kód neskryl. Otevřel to všem. Jeho práce podporuje model s otevřeným zdrojovým kódem, filozofii, která prosperuje z transparentnosti. Logika je jednoduchá. Když všem umožníte vidět zdrojový kód, získáte rychlejší inovace. Získáte systém, který je spravován tisíci očima, nikoli hrstkou firemních vývojářů.
Richard Stallman působí ve stejné etické oblasti. V komunitě známý jako „rms“ založil GNU Project. Bylo to obrovské úsilí vytvořit svobodný operační systém podobný Unixu. Stallman je velkým zastáncem svobodného softwaru. Tvrdí, že uživatelé by měli mít svobodu studovat, měnit a redistribuovat software.
Jeho odpor ke správě digitálních práv (DRM) je dobře zdokumentován. DRM vnímá jako omezení svobody uživatele. Pro Stallmana je svoboda softwaru občanskou svobodou. Na prosazování této agendy úzce spolupracuje s Free Software Foundation.
Když zvědavost překročí hranici
A je tu ještě jedna strana. Černé klobouky.
Jsou to herci, kteří své schopnosti využívají spíše k invazi než k tvorbě. Případ Jonathana Jamese vystupuje jako varovný příběh. Bylo mu pouhých 16 let, když se stal prvním mladistvým hackerem, který si odpykal trest odnětí svobody.
James nenaboural náhodné servery. Zaměřila se na vysoce profilované cíle s vysokou bezpečností. NASA byla jedním z nich. Infiltroval také server Agentury pro snížení obranných hrozeb. Sázky byly vysoké. Oběti byly mocné.
Na internetu používal přezdívku „c0mrade“. Používání pseudonymu nebo handle je běžnou praxí v hackerské kultuře k oddělení vlastní digitální identity od skutečného života. Anonymita ho ale neochránila.
James byl původně odsouzen k domácímu vězení. Tento rozsudek byl zrušen, když porušil podmínky podmínečného propuštění. V důsledku toho skončil za mřížemi. Jeho případ poukázal na posun v tom, jak soudní systém zacházel s počítačovými zločiny. Tohle už nebyl jen žert. To bylo vážné narušení národní infrastruktury.
Proč je to dnes důležité?
Vývoj od Jobse k Jamesovi ukazuje spektrum hackingu. Na jedné straně máte stavitele. Používají technické dovednosti k vytváření produktů, které mění způsob, jakým žijeme. Na druhou stranu máte útočníky. Používají stejné dovednosti k hackování systémů.
Rozdíl není jen technický. Je etická.
Pro běžného uživatele je tento rozdíl důležitý. Spoléháme na stavebníky. věříme
Šedá oblast moderního hackingu
Hranice mezi zločincem a poradcem není vždy jasná. Adrian Lamo se to naučil tvrdě. Nepoužil firemní zdroje. Využíval veřejné knihovny a internetové kavárny. Jeho metoda byla jednoduchá. Našel zranitelnosti ve vysoce profilovaných systémech. Zneužil je. Poté jsem poslal společnosti varovný e-mail. To zní jako chování bílého klobouku. Ale nebyl zaplacen. Neměl oprávnění. Byl jen zvědavý. A zašel příliš daleko. Pokukoval. Četl důvěrné dokumenty. Získal přístup k utajovaným materiálům, které neměl právo vidět. Dohonil ho New York Times. Tím jeho svoboda skončila. Nebylo to o zručnosti. Bylo to o úmyslech a zákonech.
Kevin Poulsen zvolil jinou cestu. Pseudonym „Dark Dante“ se k jeho rané tvorbě dokonale hodí. Specializoval se na telefonní sítě. Zaměřil se na KIIS-FM. Jeho cíl byl triviální, ale technicky náročný. Zmanipuloval telefonní linky tak, aby přicházely pouze hovory z jeho domova. Účastnil se rozhlasových soutěží. Vyhrál. Podváděl. Ale nezůstal jen u toho. Vyvinul se. Dnes Poulsen pracuje jako vedoucí redaktor časopisu Wired. Píše o bezpečnosti. Vysvětluje rizika. Zná nástroje, protože je sám používal.
A pak je tu Kevin Mitnick. Samotný název evokuje vzpomínky na 80. léta minulého století. Říká se, že hacknul NORAD v sedmnácti letech. Získal přístup k systémům Severoamerického velitelství protivzdušné obrany. Legenda rostla. Lidé si šeptali, že je na seznamu nejhledanějších FBI. To nebylo úplně přesné. Byl několikrát zatčen. Poplatky se obvykle týkaly neoprávněného přístupu k proprietárnímu softwaru. Nedostal se jen tak dovnitř. Něco odnášel. Kopíroval duševní vlastnictví. Mýtus o géniovi osamělého vlka zastínil realitu vytrvalého zloděje.
Co se dnes skutečně děje online
Nemáme dobré údaje o tom, kolik hackerů je právě teď aktivních. Odhady jsou v tisících. Počet nelze ověřit. Proč? Protože mnozí z nich jsou amatéři. Stahují si nástroje, kterým nerozumí. Spouštět skripty. Hackují věci, které by neměli. Zanechávají stopy. Jsou chyceni. Jejich nástroje jsou nebezpečné. Jejich znalosti jsou povrchní.
Jiní jsou jiní. Operují ve stínu. Znají architekturu. Znají zranitelnosti. Vklouznou dovnitř. Berou si, co potřebují. Odcházejí. Žádný z alarmů se nespustí. Ani jeden protokol nevykazuje anomálii. To je ta děsivá část. Tichá invaze.
Veřejnost vidí titulky. Zatčení. Netěsnosti. Nevidí tisíce tichých porušení. Ti, kteří nikdy nedávají zprávy.
“Hranice mezi zločincem a poradcem není vždy jasná.”
Pochopení prostředí hrozeb
Musíme se podívat, jak tyto útoky ve skutečnosti fungují. Nejen kdo, ale i jak.
Trojští koně se maskují jako legitimní software. Instalujete je dobrovolně. Otevřou zadní vrátka. Phishing se spoléhá na lidskou chybu. Přiměje vás k předání pověření. Spyware sleduje vaši aktivitu. Při procházení krade data.
Ochrana není jen o firewallech. Toto je vědomí. Šifrování chrání data při přenosu. Ale to nepomůže, když klíč odevzdáte sami.
Zdroje jako 2600: The Hacker Quarterly nebo DEFCON dokumentují tyto trendy. Sledují vývoj nástrojů. Diskutují o etice. Chaos Communication Camp spojuje komunitu dohromady. Nejde jen o zločince. To jsou výzkumníci. Kritici. Inženýři.
Zdroje sahají od Bruce Schneiera o bezpečnostních zásadách po Paula Grahama o kultuře. Právní texty ministerstva spravedlnosti nastiňují hranice. Právo dohání technologie. Ale vždy zaostává.
Vezměme si případ britského hackera, který prohrál boj o vydání. Nebo debata kolem německých zákonů proti hackerům. Právní rámec se snaží držet krok s technologií.
Pro bezpečnost spoléháme na open source nástroje. K testování našich vlastních systémů používáme algoritmy hrubé síly. K jejich kompromitaci lze použít stejné nástroje, které nám pomáhají chránit data. Toto je realita dvojího použití.
Dokonalé řešení neexistuje. Neexistuje žádná stříbrná kulka. Můžete zavřít jedny dveře. Otevře se další.
Otázkou zůstává. Jsme o něco bezpečnější než před deseti lety? Nástroje se zlepšily. Informovanost je vyšší. Útočníci jsou ale chytřejší. A jsou trpěliví.
Postupujte podle odkazů. Přečtěte si případy. Pochopte mechaniku. Nebojte se jen hackera. Porozumět systému, který provozují.
