ЗМІ неабияк зіпсували репутацію слову «хакер». При згадці цього слова ви уявляєте людину в темному капюшоні, яка зламує військові системи, краде номери кредитних карток або обрушує світову економіку. Це страшний образ. Так, такі зловмисники існують. Але вони меншість. Справжня історія набагато старша і набагато цікавіша.
Сам термін виник у середині 1960-х років. Тоді хакер – це просто програміст, який вичавлював із коду все, що було можливо, виходячи за рамки його первісного призначення. Це були злочинці. То були візіонери. Білл Гейтс, Стів Джобс та Стів Возняк вписувалися в цей образ. Вони бачили потенціал у машинах, які інші вважали просто калькуляторами. Вони створювали операційні системи та програми з нуля. Вони були піонерами.
Що їх поєднувало, так це одержимість. Чиста, нічим не приправлена цікавість. Вони хотіли не просто творити речі. Вони хотіли розбирати їх, щоб зрозуміти, як вони працюють. Коли програма давала збій, у ній з’являлася помилка (баг). Ці хакери писали патчі для виправлення зламаного коду. Вони вільно ділилися цими знаннями. Дехто зрештою почав отримувати гроші за те, що робили заради задоволення. Ось такий був первісний дух хакерської культури.
У міру того, як комп’ютери почали об’єднуватися в мережі, визначення змінилося. Хакером suddenly став той, хто досліджує мережу, до якої у нього не повинно бути доступу. Проте наміри рідко змінювалися. Йшлося про знання. Бар’єр був ще однією головоломкою.
Сьогодні ця цікавість зберігається. Поки заголовки кричать про віруси та саботаж, більшість хакерів просто намагаються зрозуміти тонкощі цифрового світу. Деякі використовують свої навички, щоб допомогти корпораціям будувати більш надійні стіни кібербезпеки. Інші діють самостійно, в обхід правил.
Ми розглянемо, як вони проникають усередину. Ми розглянемо культуру. Ми розглянемо закони, які вони порушують. Але спершу нам потрібно повернутися назад, до появи комп’ютерів. До кремнію. До коду.
Витоки фрикінгу
Довго до появи Інтернету були телефони. А до хакерів інтернету були фрики.
Це були винахідливі люди, котрі з’ясували, як маніпулювати телефонною системою. Вони не зламували банки. Вони зламували мережу. Вони здійснювали міжміські дзвінки безплатно. Вони розігрували інших користувачів. Вони належали до глобальної телефонної мережі як до гігантського музичного інструменту. То була гра. Це було дослідження. Це був предок всього, що було за цим.
Стек програмного забезпечення хакерів
Код – це головна зброя. Чи не винахідливість. Код.
Хоча в інтернеті багато говорять про широке співтовариство хакерів, реальність набагато спеціалізованіша. Лише невелика частина їх пише власні експлойти. Інші переглядають Інтернет, завантажуючи готові інструменти. Існують тисячі програм для зондування мереж. Ці інструменти дають величезну владу будь-кому, хто розуміє, як ними користуватися. Як тільки хакер вивчає логіку системи, він може створити користувацькі експлойти для її злому.
Погляньмо на реальні інструменти в наборі.
Перехоплення введення та стеження
Деякі програми тихо працюють у фоновому режимі, записуючи кожне натискання клавіші. Вони встановлюються на машину жертви і чекають свого часу. Потім вони захоплюють усе, що набирається. Паролі. Номери кредитних карток. Облікові дані для входу. Ці дані дають зловмиснику ключі від усього, що часто призводить до повного проникнення в систему чи крадіжку особистості.
Перехоплення електронної пошти раніше було однією з головних цілей. Хакери писали код для прослуховування інтернет-трафіку. Сьогодні це значною мірою застаріло. Сучасні поштові клієнти використовують складні алгоритми шифрування. Якщо хакер перехоплює повідомлення, він бачить лише безглуздий набір символів. Дані не можна прочитати без ключа.
Зламування паролів
Проникнення в облікові записи – це мистецтво терпіння та математики.
Освічені припущення працюють. Прості алгоритми, що переставляють літери, цифри та символи, працюють краще. Але важку роботу виконують два основні методи.
По-перше, це атака методом грубої сили. Програма пробує кожну можливу комбінацію. Це жах проб і помилок для мети, але часто неминучий для атакуючого за наявності достатнього часу та обчислювальної потужності.
По-друге, це словникова атака. У цьому випадку програма вставляє поширені слова, фрази та витоку паролів у поля для входу. Це швидше, ніж груба сила, тому що вона використовує людську лінь.
Розгортання шкідливого ПЗ
Віруси – це програми, що самовідтворюються. Їхня мета — хаос. Вони викликають збої у системах. Вони стирають жорсткі диски. Вони ушкоджують дані.
Вектори зараження змінилися. Раніше хакери безпосередньо впроваджувалися у системи, щоб посадити ці бомби. Тепер простіше створити простий вірус та поширити його через електронну пошту, миттєві повідомлення чи однорангові мережі. Ви завантажуєте файл. Ви натискаєте “запустити”. Ви заражені.
Але віруси – це лише один із варіантів. Троянський кінь більш підступний. Він маскується під легальне програмне забезпечення. Після виконання він відкриває бекдор (задні двері). Це незахищений шлях до мережі. У ранні епохи інтернету безпека була настільки тонкою, що знайти такі двері було легко. Сьогодні це все ще працює, тому що воно повністю оминає автентифікацію. Хакеру не потрібні ім’я користувача або пароль. Йому просто потрібно, щоб троян відчинив ворота.
Ботнети та спам
Компрометований комп’ютер стає зомбі, або ботом.
Жертва виконує 간似无害ний код. Між її машиною та сервером хакера встановлюється з’єднання. Тепер хакер має таємний контроль. Йому не важливі дані користувача. Йому важливі ресурси машини.
Ці зомбі використовуються для надсилання спаму. Вони використовуються для запуску розподілених атак відмови в обслуговуванні (DDoS). Координуючи тисячі ботів, хакери можуть завалити мету трафіком, виводячи її з ладу. Це цифрова облога.
Ієрархія хакерів
Хто стоїть за клавіатурою? Психолог Марк Роджерс поділяє співтовариство на чіткі групи. Це не є моноліт.
- Новички : У них є доступ до інструментів. Вони не мають розуміння. Вони не знають, як працює код, що лежить в основі. Вони галасливі. Їх ловлять.
- Кіберпанки : Більш просунуті. Вони вміють уникати виявлення. Вони вихваляються своїми експлойтами. Его — їхній мотиватор.
- Кодери : Будівельники. Вони пишуть скрипти та експлойти, які інші використовують для навігації систем. Вони інженери проникнення.
- Кібертерористи : Професіонали. Вони проникають заради прибутку. Вони грабують корпоративні бази даних для пропрієтарних секретів. Вони саботують операції. Для них це не хобі. Це – бізнес.
Далі ми розглянемо культуру, яка поєднує ці групи.
Соціальна тканина коду
Більшість хакерів є типовими любителями спілкування. Одержимість кодом може їх ізолювати. Годинник зникає перед екраном. Реальне життя відходить другого план.
Комп’ютери дали їм не лише інструменти. Вони дали їм плем’я. До того як Всесвітня павутина стала побутовим засобом, існували дошки оголошень (BBS). Це були цифрові міські майдани. Вся спільнота розміщувалася на одному комп’ютері. Користувачі підключалися через модеми. Вони залишали повідомлення. Обмінювалися файлами. Грали у текстові ігри.
Ця зв’язність змінила все. Інформація почала поширюватися швидше. Бар’єр для обміну знаннями впав. Але це також створило петлю зворотного зв’язку, що веде до ескалації.
Провісники
На початку 1990-х тон змінився. Деякі користувачі BBS перестали ділитися інструментами і почали хвалитися. Вони опублікували логи. Викладали як трофеї конфіденційні дані з зламаних серверів. Для правоохоронців це виглядало як екзистенційна загроза. Здавалося, що сотні людей можуть свавілля долати будь-які файрволи.
ЗМІ посилювали страх. Реальні ризики безпеки перетворилися на міфічних монстрів у суспільній свідомості.
Сьогодні ландшафт став більш фрагментованим. Такі сайти, як Hacker.org, зосереджені на освіті. Вони пропонують головоломки. Вони перетворюють набуття навичок у гру. Потім є 2600: The Hacker Quarterly. Друкований журнал продовжує існувати. Веб-сайт транслює обговорення. Це живий архів культури.
Мотивація та закон
Чому вони це роблять? Для багатьох відповідь – цікавість. Чи не злоба.
Уявіть захищену систему як Еверест. Ви підіймаєтеся на нього не тому, що ненавидите гору. Ви підіймаєтеся на нього, бо вона там є. Ви хочете знати, як вона влаштована. Чи витримає вона?
У США цікавість є злочином. Закон про шахрайство та зловживання у сфері комп’ютерів робить несанкціонований доступ незаконним. Крапка. Вам не потрібно нічого красти. Вам нічого не потрібно ламати. Просто вхід до системи без дозволу достатньо для притягнення до відповідальності.
Цей юридичний тиск змінив екосистему. Воно створило поділ.
Чорні капелюхи проти білих капелюхів
Інтернет – це поле битви. З одного боку, у вас є чорні капелюхи. Вони прагнуть проникнення. Вони розповсюджують віруси. Вони експлуатують уразливості заради вигоди чи хаосу.
З іншого боку – “білі капелюхи”. Вони використовують самі навички. Вони глибоко розуміють уразливість. Але вони будують мури. Вони розробляють антивірусне програмне забезпечення. Вони закривають дірки до того, як чорні капелюхи їх знайдуть.
Незважаючи на відмінності, обидві групи мають спільного союзника: програмне забезпечення з відкритим вихідним кодом.
Чому? Тому що вихідний вихідний код означає, що код видно. Кожен може його вивчити. Кожен може його змінити. Незалежно від того, чи намагаєтеся ви зламати ядро Linux або зміцнити його, ви виграєте від колективного інтелекту. Ви навчаєтесь на помилках інших. Ви стоїте на плечах гігантів.
Збір
Ця культура не лише онлайн. Вона сходиться фізично.
DEFCON у Лас-Вегасі – найбільші збори. Тисячі учасників. Вони змагаються у заходах Capture The Flag. Вони обговорюють тенденції розробки. Це хаотична суміш комерції, комедії та серйозного дослідження безпеки.
Потім є Chaos Communication Camp у Німеччині. Це менш гламурно. Учасники сплять у наметах. Інфраструктура низькотехнологічна. Але розмови мають високу ставку. Це нагадує, що культура цінує ідею не менше, ніж інструмент.
Визначення термінів
Усередині самої спільноти йде лінгвістична війна.
Багато програмістів відмовляються називати зловмисників хакерами. Для них хакер це той, хто будує. Той, хто покращує безпеку. Той, хто творить.
Ті, хто проникає усередину? Вони — крекери.
Крекери проникають. Вони завдають шкоди. Вони крадуть дані. Але широка громадськість використовує хакер як загальний негативний термін. Різниця втрачена. Нюанси зникли.
Ця плутанина має юридичні наслідки. Вона формує те, як суспільства сприймають цифрову приватність та інновації. Наступний крок — зрозуміти, як закон намагається наздогнати технології, які рухаються швидше за законодавство.
Нам потрібно подивитися, як суди інтерпретують ці ухвали. І що відбувається, коли «крекер» насправді просто допитливий білий капелюх, який припустився помилки.
Кордон розмитий більше, ніж визнає закон.
Уряди більшості країн відносяться до хакерів із глибокою підозрою. Здатність непомітно проникнути в систему і вийти з неї з конфіденційними даними достатньо, щоб змусити будь-кого спати неспокійно. Розвідувальна інформація надто цінна, щоб ризикувати нею. Багато агентів не проводять відмінності між допитливим ентузіастом, який перевіряє свої навички, та іноземним шпигуном, що краде секрети.
Правова реакція відбиває цю параною. У США кілька законів роблять хакерство незаконним. Стаття 1029 розділу 18 Зводу законів США (18 U.S.C. § 1029) спрямована проти створення та розповсюдження пристроїв, що використовуються для несанкціонованого доступу. Її формулювання зосереджені на намірі обдурити. Це створює лазівку. Хакер може заявити, що хотів лише дізнатися, як працює безпека. Це слабкий захист, але він існує.
Стаття 1030 розділу 18 Зведення законів США (18 U.S.C. § 1030) є суворішою. Вона забороняє несанкціонований доступ до комп’ютерів уряду. Найбільша спроба проникнення може бути злочином. Вам навіть не потрібно нічого красти, щоб покарати доступ до непублічної урядової системи.
Покарання та глобальні закони
Наслідки різняться. За незначні правопорушення можуть призначити шість місяців терміну випробування. За інші передбачені максимальні строки ув’язнення до 20 років. Міністерство юстиції використовує формулу, яка враховує фінансові збитки та кількість жертв для визначення вироку.
В інших країнах діють правила. Деякі їх розмиті. Нещодавно Німеччина ухвалила закон проти possession (“володіння”) “хакерськими інструментами”. Критики стверджують, що визначення надто широке. Воно може криміналізувати законну роботу у сфері безпеки. Якщо компанія наймає хакера для пошуку вразливостей, то вона може технічно порушити закон у рамках цього законодавства.
Кошмар екстрадиції
Хакери можуть чинити злочини в одній країні, перебуваючи в іншій. Переслідування стає логістичним головним болем. Правоохоронним органам необхідно клопотати про екстрадицію, щоб судити підозрюваних за кордоном. Цей процес займає роки.
Гері МакКіннон – відомий випадок. Він зламав системи Міністерства оборони США та NASA зі Сполученого Королівства. Він розпочав у 2002 році. МакКіннон стверджував, що він виявляв уразливості у безпеці, а не викрадав дані. Він боровся проти екстрадиції протягом п’яти років. У квітні 2007 року британські суди відхилили його останню апеляцію. Битва була закінчена.
Хакери, які дотримуються закону, все ще можуть добре заробляти. Підприємства наймають їх для тестування систем безпеки на наявність уразливостей. Інші заробляють стани, створюючи корисне програмне забезпечення. Студенти Стенфорда Ларрі Пейдж та Сергій Брін створили пошукову систему, яку назвали Google. Сьогодні вони ділять 26-е місце у списку найбагатших мільярдерів світу за версією Forbes.
Знамениті хакери
Кордон між творцем і злочинцем у технологічній сфері завжди був тонким. Візьмемо, наприклад, Стіва Джобса та Стіва Возняка. Перш ніж вони стали титанами, що стоять за Apple, вони були хакерами. Їхні ранні подвиги були зовсім невинними. Вони поралися з телефонними системами і оминали протоколи безпеки способами, які сьогодні виглядають як зловмисні дії.
Але вони змінились.
Вони змістили фокус. Замість ламати, вони почали створювати. Цей поворот допоміг запустити революцію персональних комп’ютерів. До Apple комп’ютери були корпоративними монолітами. Вони були дорогими. Вони були громіздкими. Вони належали великим установам, а чи не домогосподарствам. Джобс та Возняк демократизували цю владу. Вони довели, що обчислення можуть бути особистими.
Архітектори відкритого вихідного коду
Не всі хакери прагнуть слави або прибутку. Деякі просто хочуть створювати найкращі інструменти.
Лінус Торвальдс вписується у цей образ. Автор операційної системи Linux часто згадується як «чесний» хакер. Він не приховував коду. Він відкрив його всім. Його робота підтримує модель відкритого вихідного коду – філософію, яка процвітає завдяки прозорості. Логіка проста. Коли ви дозволяєте всім бачити вихідний код, ви отримуєте швидше інновації. Ви отримуєте систему, яку виправляють тисячі очей, а не жменька корпоративних розробників.
Річард Столлман діє у тій самій етичній сфері. Відомий у співтоваристві як «rms», він заснував проект GNU. Це було масштабне зусилля щодо створення вільної операційної системи, схожої на Unix. Столлман є активним прихильником вільного програмного забезпечення. Він стверджує, що користувачі повинні мати свободу вивчати, змінювати та розповсюджувати програмне забезпечення.
Його опозиція цифровому управлінню правами (DRM) добре задокументована. Він бачить у DRM обмеження свободи користувачів. Для Столлмана свобода програмного забезпечення є громадянською свободою. Він тісно співпрацює з Фондом вільного програмного забезпечення, щоб просувати цей порядок денний.
Коли цікавість переходить межу
А є й інший бік. Чорний капелюх.
Це актори, які використовують свої навички для вторгнення, а чи не для створення. Справа Джонатана Джеймса виділяється як повчальна історія. Йому було лише 16 років, коли він став першим неповнолітнім хакером, який відбув ув’язнення.
Джеймс не зламував випадкові сервери. Він націлювався на високопоставлені цілі із високим ступенем захисту. NASA був одним із них. Він також проник на сервер Агентства зі зниження загрози оборони. Ставки були високими. Жертви були могутніми.
У мережі він використовував нікнейм “c0mrade”. Використання псевдоніма, або handle, — поширена практика у хакерській культурі, що дозволяє відокремити свою цифрову ідентичність від реального життя. Але анонімність не захистила його.
Спочатку Джеймса було засуджено до домашнього арешту. Цей вирок скасовано, коли він порушив умови дострокового звільнення. У результаті він опинився за ґратами. Його справа наголосила на зрушенні в тому, як судова система ставилася до комп’ютерних злочинів. Це вже не було просто витівкою. Це було серйозне порушення національної інфраструктури.
Чому це важливо сьогодні
Еволюція від Джобса до Джеймса показує спектр хакерства. З одного боку, ви маєте будівельників. Вони використовують технічні навички створення продуктів, які змінюють те, як ми живемо. З іншого боку, ви маєте зловмисників. Вони використовують самі навички для злому систем.
Різниця не лише технічна. Вона етична.
Для звичайного користувача ця різниця має значення. Ми покладаємось на будівельників. Ми довіряємо
Сіра зона сучасного злому
Кордон між злочинцем та консультантом не завжди чітка. Едріан Ламо дізнався про це на власному гіркому досвіді. Він не використовував корпоративних ресурсів. Він користувався громадськими бібліотеками та інтернет-кафе. Його метод був простим. Він знаходив уразливості у високопрофільних системах. Експлуатував їх. Потім надсилав компанії електронний лист із попередженням. Це звучить як поведінка «білих капелюхів». Але йому не платили. Він не мав авторизації. Він просто був цікавий. І він зайшов надто далеко. Він підглядав. Він читав конфіденційні документи. Він отримував доступ до секретних матеріалів, які не мав права бачити. The New York Times спіймала його. Це поклало край його свободі. Йшлося не про вміння. Йшлося про наміри та закон.
Кевін Пульсен вибрав інший шлях. Псевдонім “Dark Dante” відмінно підходить для його ранніх робіт. Він спеціалізувався на телефонних мережах. Він націлився на KIIS-FM. Його мета була тривіальною, але технічно складною. Він підробив телефонні лінії так, щоб проходили лише дзвінки з його будинку. Він брав участь у радіоконкурсах. Він виграв. Він обдурив. Але на цьому він не зупинився. Він еволюціонував. Сьогодні Пульсен працює старшим редактором у журналі Wired. Він пише про безпеку. Він пояснює ризики. Він знає інструменти, бо використовував їх сам.
А потім є Кевін Мітнік. Саме ім’я викликає спогади про 1980-ті роки. Кажуть, що у сімнадцять років він зламав NORAD. Він отримав доступ до систем Командування з повітряно-космічної оборони Північної Америки. Легенда зростала. Люди шепотіли, що він знаходиться у списку Most Wanted ФБР. Це було не зовсім точно. Його заарештовували кілька разів. Звинувачення, як правило, стосувалися несанкціонованого доступу до пропрієтарного програмного забезпечення. Він не просто проникав усередину. Він щось забирав. Він копіював інтелектуальну власність. Міф про самотнього генія-вовка затьмарив реальність наполегливого злодія.
Що насправді відбувається в мережі сьогодні
У нас немає хороших даних про те, скільки хакерів активно зараз. Оцінки обчислюються тисячами. Підрахунок неможливо перевірити. Чому? Тому що багато хто з них — любителі. Вони завантажують інструменти, які не розуміють. Запускають скрипти. Зламують те, що не повинні. Залишають сліди. Їх ловлять. Їхні інструменти небезпечні. Їхні знання поверхові.
Інші відрізняються. Вони діють у тіні. Вони знають архітектуру. Вони знають уразливості. Вони прослизають усередину. Беруть те, що їм потрібне. Ідуть. Жодна сигналізація не спрацьовує. Жоден лог не показує аномалію. Це лякаюча частина. Тихе вторгнення.
Публічність бачить заголовки. Арешти. Витоку. Вони не бачать тисячі тихих порушень. Тих, які ніколи не потрапляють до новин.
«Кордон між злочинцем і консультантом не завжди чітка.»
Розуміння ландшафту загроз
Нам слід подивитися, як насправді працюють ці атаки. Не лише хто, а й як.
Троянські коні маскуються під легальне програмне забезпечення. Ви встановлюєте їх добровільно. Вони відкривають бекдор. Фішінг покладається на людську помилку. Він дурить вас, змушуючи передати облікові дані. Шпигунське ПЗ відстежує вашу активність. Воно краде дані під час перегляду.
Захист – це не лише файрволи. Це обізнаність. Шифрування захищає дані під час передачі. Але це не допомагає, якщо ви самі передаєте ключ.
Такі ресурси, як 2600: The Hacker Quarterly чи конференції DEFCON, документують ці тенденції. Вони відстежують еволюцію інструментів. Вони обговорюють етику. Chaos Communication Camp об’єднує спільноту. Це не лише злочинці. Це дослідники. Критики. Інженери.
Джерела варіюються від Брюса Шнайєра за принципами безпеки до Пола Грема за культурою. Правові тексти від Міністерства юстиції окреслюють межі. Закон наздоганяє технології. Але він завжди відстає.
Розгляньте випадок британського хакера, який програв боротьбу за екстрадицію. Або дебати навколо німецьких антихакерських законів. Правова база важко встигає за технологіями.
Ми покладаємось на open source інструменти для захисту. Ми використовуємо ** алгоритми грубої сили ** для тестування власних систем. Ті самі інструменти, які допомагають нам захищати дані, можуть бути використані для їх компрометації. Це дійсність подвійного призначення.
Нема ідеального рішення. Нема срібної кулі. Ви можете закрити одні двері. Відкриється інша.
Запитання залишається. Чи безпечнішими ми стали в порівнянні з десятьма роками тому? Інструменти стали кращими. Поінформованість вища. Але зловмисники розумніші. І вони терплячі.
Виконуйте посилання. Читайте кейси. Розумійте механіку. Не просто бійтеся хакера. Розумійте систему, що вони експлуатують.
