Искусство вторжения - Кевин Митник

РАСКРЫТИЕ ГОЛОСОВОЙ ПОЧТЫ

Команда, занимающаяся исследованием телефонных систем. обнаружила, что некоторые представители руководства «Newton», занимающиеся делом покупки l0pht имеют на своих ящиках голосовой почты пароли, установленные там изначально по умолчанию. Mudge со своей командой начал прослушивать их почту — это было забавно.

Одним из условий, которые они выдвигали для покупки l0pht, было создание мобильной тестовой лаборатории — небольшого, но емкого автомобиля, который надо было начинить разнообразным беспроводным оборудованием, чтобы использовать его для тестирования беспроводных сетей. Одному из членов руководства «Newton» идея покупки автомобиля для группы l0pht показалась настолько абсурдной, что он начал называть его смешным именем «Winnebago». Его голосовая почта буквально переполнена переговорами с другими руководителями с упоминанием этого «Winnebago» и команды l0pht, Mudge это и забавляло, и раздражало.

ОКОНЧАТЕЛЬНЫЙ ДИАГНОЗ

Когда время тестов подошло к концу, Mudge с коллегами написали отчет и готовились представить его на встрече со всеми руководителями компании «Newton». Сотрудники «Newton» не имели ни малейшего представления, чего ожидать, а команда l0pht знала, что это будет зажигательная встреча.

«Итак, мы передали им наш отчет и по сути дела открыли им глаза. Неудивительно, что они были потрясены. Их выдающийся системный администратор, честно говоря, очень симпатичный парень, был выслежен нами при помощи установленного „нюхача“, мы засекли его, когда он пытался войти в маршрутизатор, пробуя один за другим несколько паролей — все неудачно».

Это были специальные пароли администратора для любых внутренних систем, которые проверяющие получили всего за несколько минут. Mudge с удовольствием вспоминает, как элегантно это было сделано.

«Наиболее интересной частью всей их голосовой почты для нас были переговоры о нашей покупке. Они говорили нам: „Да, ребята, мы хотим вас купить“. Но во время переговоров друг с другом они говорили: „Да, мы действительно хотим заполучить Mudge, но нам совершенно не нужны все его коллеги. Как только они будут наши, лишних мы выкинем“.

Во время встречи с руководством «Newton», команда l0pht представила для прослушивания несколько записанных голосовых писем, а руководство сидело и слушало свои же слова. Но самое главное было еще впереди. Mudge запланировал провести окончательный раунд переговоров о покупке во время этой встречи. Он вспоминает эти подробности с особым удовольствием: «Итак, они заявили: „Мы хотим предложить вам определенную сумму, это предел, до которого мы готовы дойти, и мы выполним в с е наши обязательства“. При этом мы точно знали, что из сказанного ими — правда, а что — ложь».

Они начали разговор со своей минимальной суммы, сказав: «Что вы дум а е т е по поводу этого?». Мы ответили так: « В ы знаете, мы не готовы согласиться на сумму меньше, чем . . . » и назвали им сумму, которая, как мы знали, была их максимальной границей».

Они отвечали: «Нам необходимо обсудить ваше предложение, дайте нам несколько минут, не могли бы вы оставить н а с в комнате одних?» Мы не отнеслись к их предложению серьезно. Но они-то действительно надеялись легко заполучить нас».

Во время заключительной встречи между представителями двух компаний, как вспоминает Mudge, « м ы убедили их, что нет такого компьютера в их сети, к которому мы не смогли бы получить полный доступа. Карлос вспоминает, что „при этом лица присутствующих членов руководства „Newton“ стали бордовыми“.

В конце концов, команда l0pht просто ушла. Они получили свой гонорар в 15000 долларов, но решили не продавать свою компанию.

ОПАСНАЯ ИГРА

Для консультанта по безопасности Дастина Дюкса, хакерство ради выгоды «просто смешно, главное — это адреналин». Поэтому, когда он пришел в комнату для переговоров фармацевтической компании, которую мы будем называть «Biotech», для того, чтобы обсудить с ними проведение тестов безопасности, он был в бодром состоянии духа и готов к грядущим испытаниям.

Как ведущий консультант в департаменте безопасности компании Callisma (теперь подразделение SBC), Дастин заставил своих сотрудников прийти на это собрание в костюмах и галстуках. Он уже начал было скучать, когда появились сотрудники Biotech в джинсах, майках и шортах, что выглядело тем более необычно, что в районе Бостона в тот год была одна из самых холодных зим за все время наблюдения.

Несмотря на то, что Дастин какое-то время занимался сетевым администрированием, он всегда считал себя экспертом в области безопасности, по его словам, ощущение, что он создан для этого, появилось у него во время службы в авиации: «Я культивировал мою скрытую паранойю: такое состояние души, когда вам кажется, что в любой момент на вас могут напасть».

К компьютерам в седьмом классе его приобщила мачеха. Она тогда работала в одной компании системным администратором. Дастин был совершенно очарован иностранным звучанием ее речи. когда она говорила о своей работе по телефону. Однажды, когда ему было тринадцать, «она принесла домой компьютер, который я забрал в свою комнату и запрограммировал его на создание героев игр Dungeos and Dragon и игры в кости».

Роясь в учебниках по языку Basic и схватывая все, чему он мог научиться у друзей, Дастин развивал свои таланты. Он научился использовать модем для соединения с рабочим местом своей мачехи, чтобы играть в приключенческие игры. Вначале ему нужно было лишь все больше и больше компьютерного времени, но по мере того как он взрослел, он осознал, что его свободный дух плохо монтируется с проведением всей жизни перед терминалом. В качестве консультанта по безопасности он мог сочетать свои таланты со своей тягой к авантюре. Это было оптимальное решение.

Его карьера складывается отлично. «Я просто в восторге от своей профессии», — говорит он. «Это как игра в шахматы. На каждый ваш ход есть ответный ход. И каждый ход полностью меняет ситуацию на доске».

ПРАВИЛА ИГРЫ

Для каждой компании имеет смысл озаботиться уровнем своей уязвимости — подумать, насколько успешно меры, которые она предпринимает по защите своей интеллектуальной собственности, могут обезопасить компанию от потери конфиденциальности и от проникновения хакеров, а сотрудников — от электронных вторжений, нацеленных на персональную информацию.

У некоторых компаний есть еще более жесткие резоны, например, защита от правительственных детективных агентств, проигрыш которым может означать потерю важного контракта или исследовательского проекта. Любая компания, имеющая контракт с министерством обороны, попадает в эту категорию. Поэтому любая компания, занимающаяся серьезными биотехнологическими исследованиями, должна помнить о том, что департамент администрации по контролю над лекарствами и продуктами буквально заглядывает через ее плечо — именно в этот разряд и попадал новый клиент Callisma. В соседстве с опасными химикатами, в лабораториях, где ученые проводят такие опыты, о которых эксперты по безопасности и слыхом не слыхивали, этот опыт обещал быть очень интересным.

На первой же встрече с представителями Biotech команда Callisma поняла, что от нее требуется проведение всех возможных типов атак, которые только можно себе представить: от простых до сложных технических атак, от применения методов социальной инженерии до физических взломов. Руководители ИТ-подразделения компании, как часто бывает в таких случаях, были уверены, что все попытки взломщиков окончатся их полным поражением. Biotech сразу же установила такое правило: неприемлемы никакие неточности в документальных доказательствах.

Был продуман механизм прекращения работы проверяющих. Иногда это могло быть сделано достаточно просто, например, для остановки атаки, которая могла негативно повлиять на работу компании, любой из сотрудников должен был произнести предварительно согласованное кодовое слово. Компания также разработала четкие правила по обращению с добытой информацией — как ее следует хранить, когда и кому она должна предоставляться.

Поскольку проведение проверок может пересекаться с обычной работой компании, предусмотрено несколько «а что, если…». Кого следует уведомить, если вдруг нарушится предоставление той или иной услуги? В какую часть системы можно проникать и как? И как проверяющие поймут, до какого предела можно проводить атаку, чтобы не нанести непоправимые потери и не повредить бизнесу компании?

Клиенты часто просят ограничить проверки только техническими атаками и упускают из виду другие лазейки, которые могут быть еще более опасны для компании. Дастин Дюкс говорит:

«Независимо от того, что они говорят, я знаю, что поначалу они хотят только выяснить технические слабости их системы, но на самом деле их уязвимость может быть совсем в другом.. Опытный атакующий всегда пойдет по пути наименьшего сопротивления, отыскивая самое ненадежное звено в системе безопасности. Как поток воды, бегущий вниз по склону, атакующий пойдет к успеху самым простым и эффективным путем».