Максимальная Безопасность:

Руководство Хакера по Защите Вашего Internet Сайта и Сети

Предыдущая главаСледующая главаСодержание

4

Кто Может Быть Взломан?

Internet была рождена в 1969. Почти немедленно после того, как сеть была установлена, исследователи были поставлены перед тревожным фактом: Internet не была безопасна и могла быть легко взломана. Сегодня писатели пробуют минимизировать этот факт, напоминая Вам, что технологии безопасности того времени были примитивны. Это не так. Сегодня технология безопасности весьма комплексна, а Internet всё ещё легко взломать.

Я хотел бы вернуться к тем ранним дням Internet. Мало того, что это даст Вам понятие того времени, это продемонстрирует важную мысль: Internet не более безопасна сегодня, чем это было двадцать лет назад.

Мое доказательство начинается с документа: Просьба о Комментариях или RFC. Прежде, чем Вы сделаете обзор документа, позвольте мне объяснить, чем является система RFC. Это важно, потому что я обращаюсь ко многим RFC документам повсюду в этой книги.

Система Просьб о Комментариях (RFC)

Просьбы о Комментариях (RFC) это специальные документы. Они пишутся (и регистрируются в Сети) личностями, занятыми развитием или обслуживанием Internet. RFC документы служат важной цели запроса в Internet комментариев по новым или разрабатываемым технологиям. Наиболее часто, RFC документы содержат предложенные стандарты.

RFC система один из путей развития. Автор RFC посылает документ в Internet, предлагая стандарт который он, или она, хотел бы видеть принятым во всей сети. Затем автор ждет ответ из других источников. Документ (после того, как было сделано большое количество комментариев/изменений) переходит к черновому состоянию или непосредственно к состоянию стандарта Internet. Комментарии и изменения делаются рабочими группами Инженерных Целевых Сил Internet (IETF - Internet Engineering Task Force).

Ссылка: Инженерные Целевые Силы Internet (IETF) это "... большое, открытое международное сообщество проектировщиков сети, операторов, поставщиков и исследователей, заинтересованных в развитии архитектуры Internet и гладкой работе Internet." Чтобы узнать больше о IETF, посетите их домашнюю страницу на http://www.ietf.cnri.reston.va.us/.

RFC документы нумеруются последовательно (чем больше номер, тем более современный документ) и распределяются по различным серверам в Internet.

Ссылка: Один из центральных серверов, с которого можно получить RFC документы, находится на http://ds0.internic.net/ds/dspg0intdoc.html. Этот адрес (URL) расположен в InterNIC, или Сетевом Информационном Центре.

InterNIC

InterNIC обеспечивает исчерпывающие базы данных информации по организации сети. Эти базы данных содержат большую часть собранных знаний в области Internet. Некоторые из этих баз данных:

Ссылка: Все эти документы централизованно доступны на http://rs.internic.net.

Праздничное Сообщение

Как я упомянул ранее, я ссылаюсь здесь к раннему RFC. Рассматриваемый документ RFC 602: The Stockings Were Hung by the Chimney with Care. RFC 602 был зарегистрирован Bob Metcalfe в декабре, 1973. Предмет касался слабых паролей. В нем Metcalfe писал: Компьютерная Сеть ARPA восприимчива к нарушениям безопасности по крайней мере по трем причинам:

1. Отдельные сайты, использующие физические ограничения на доступ к машине, ещё не приняли достаточные предосторожности к защите своих систем от несанкционированного удаленного использования. Например, многие люди всё ещё используют пароли, которые просто угадать: свои имена и фамилии, инициалы, имя узла, записанное наоборот, строки символов, которые являются простыми печатными последовательностями (такие как ZXCVBNM).

2. TIP позволяет доступ к ARPANET намного более широкой аудитории, чем думали или предполагали. TIP телефонные номера регистрируются, подобно торопливо набросанным на стенах телефонов-автоматов и мужских туалетов. TIP не требует идентификации пользователя перед предоставлением службы. Таким образом, множество людей, включая тех, кто имели обыкновение проводить свое время, грабя Маму Bell, получают доступ к нашим ресурсам наиболее анонимным способом.

3. There is lingering affection for the challenge of breaking someone's system. This affection lingers despite the fact that everyone knows that it's easy to break systems, even easier to crash them.

Все это было бы весьма забавно, если бы не факт что за последние недели по крайней мере два главных узла обслуживания были взломаны при подозрительных обстоятельствах людьми, которые знали чем рискуют, а в третьей системе был скомпрометирован системный пароль двумя студентами средней школы в Лос-Анджелесе. Мы подозреваем, что число опасных нарушений безопасности возрастает и их больше, чем любой из нас знает. You are advised not to sit "in hope that Saint Nicholas would soon be there". Этот документ был зарегистрирован более 20-ти лет назад. Естественно, эта проблема с паролем больше не проблема. Или как? Исследуйте следующую выборку из Бюллетеня Сетевая Безопасность Защищенных Данных, написанного в 1993:

Администраторы узлов должны быть уверены, что пароли сохраняются в тайне их пользователями. Администраторы узлов должны также быть уверены, что пароли достаточно устойчивы, чтобы сорвать нападение по средствам взлома пароля, что они периодически меняются и что файлы паролей соответственно защищены. Пароли должны меняться, по крайней мере, ежегодно.

Обратите внимание. За больше чем 25 лет существования Internet никогда не была безопасной. Это факт. Позже в этой книге я попробую объяснить почему. Пока, однако, я ограничусь узким вопросом: Кто может быть взломан?

Вот короткий ответ: Пока человек поддерживает подключение с Internet (постоянно или иначе), он или она могут быть взломаны. Перед дальнейшим освещёнием этой темы, я хочу определить слово взломаны.

Что Означает Термин Взломанный?

Для наших целей, взломанный относится к тому состоянию, в котором сеть перенесла несанкционированное вторжение. Существуют различные степени этого состояния, каждая из которых подробно обсуждается в этой книге. Здесь, я предлагаю несколько примеров состояния взлома:

Чтобы быть справедливым, современные методы защиты сделали взлом более трудным. Однако, существует большая разница между словом трудно и словом невозможно. Сегодня взломщики имеют доступ к богатству информации о безопасности (и часто обязательно изучают ее), многое из которой свободно доступно в Internet. Равновесие знаний между этими личностями и добросовестными специалистами по безопасности не очень непропорционально. Фактически, этот промежуток сужается с каждым днем.

Цель этой главы состоит в том, чтобы показать Вам, что взлом является обычной деятельностью: настолько обычной, что любые гарантии относительно безопасности Internet должны восприниматься критически. Чтобы обсудить это, я начну с правительственных объектов. В конце концов, оборонные службы и спецслужбы формируют основу инфраструктуры нашей национальной безопасности. Они, больше чем любая другая группа, должны быть защищены.

Правительство

В истории Internet правительственные сайты были популярными объектами для взломщиков. Это прежде всего из-за статей в прессе, следующих за таким событием. Взломщики наслаждаются любым вниманием средств информации, которое они могут получить. Следовательно, их общая философия: Если вы собираетесь взломать сайт, взломайте тот, который имеет значение.

Взломщики делают успехи в компрометации наших наиболее безопасных национальных сетей? Точно. Чтобы найти доказательство того, что правительственные системы восприимчивы нападению, не нужно заглядывать далеко. Недавний отчет, зарегистрированный Правительственным Офисом Учета (GAO), о безопасности оборонных национальных сетей заключил что:

В прошлом году Оборона, возможно, была атакована целых 250.000 раз ... Кроме того, при испытании своих систем, DISA атакует и успешно проникает через системы Обороны в 65 процентах случаев. Согласно заявлениям должностных лиц Обороны нападавшие получили и разрушили чувствительную информацию – они захватили, изменили, и разрушили данные и программное обеспечение. Они установили нежелательные файлы и "люки", которые обходят нормальную системную защиту и позволяют нападающим несанкционированный доступ в будущем. Они отключили и разрушили целые системы и сети, отвергая обслуживание пользователей, которые зависят от автоматизированных систем, помогающих им выполнять критические задачи. Неблагоприятно повлияли на многочисленные функции Обороны, включая оружие и исследование суперкомпьютеров, материально-техническое обеспечение, финансы, поставку, управление персоналом, военное здоровье и платежную ведомость.1
1Information Security: Computer Attacks at Department of Defense Pose Increasing Risks (Chapter Report, 05/22/96, GAO/AIMD-96-84); Глава 0:3.2, Параграф 1.
Ссылка: Information Security: Computer Attacks at Department of Defense Pose Increasing Risks доступно на http://www.securitymanagement.com/library/000215.html.

Этот же отчет показал, что хотя больше четверти миллиона нападений происходит ежегодно, только 1 из 500 нападений фактически обнаруживается. (Обратите внимание, что эти сайты ориентированы на оборону и поэтому осуществляют более строгие политики безопасности, чем многие коммерческие сайты. Многие правительственные сайты используют безопасные операционные системы и частные утилиты безопасности, что так же является плюсом.)

Правительственные агентства, помня о секретности, понятно пробуют скрыть эти проблемы. Но некоторые из инцидентов трудно замять. Например, в 1994, взломщики получили полный доступ к лаборатории исследования вооружений в Риме, Нью-Йорке. В течение двухдневного периода взломщики загрузили жизненно важную информацию о национальной безопасности, включая протоколы связи военного времени.

Такая информация чрезвычайно важна, и используясь ненадлежащим образом, может подвергнуть опасности жизни американского обслуживающего персонала. Если взломщики с относительно скромным оборудованием могут иметь доступ к такой информации, враждебные иностранные правительства (с вполне достаточной вычислительной мощью) могут иметь доступ даже к большему.

SATAN и Другие Утилиты

Сегодня правительственные сайты взламываются все чаще. Авторы отчета GAO приписывают это в значительной степени появлению дружественных пользователю программ безопасности (типа SATAN). SATAN это мощная программа сканер, которая автоматически обнаруживает слабости безопасности на удаленных узлах. Она была размещёна свободно в Сети в апреле 1995. Ее авторы, Dan Farmer и Weitse Venema, легендарные личности в безопасности Internet. (Вы узнаете больше об этих двух господах в Главе 9, "Сканеры".)

Поскольку SATAN удобно использовать через броузер HTML (типа Netscape Navigator или NCSA Mosaic), от взломщика требуется меньше практического знания систем. Вместо этого, он или она просто направляют, щелкают и ждут предупреждение, что SATAN нашла уязвимую систему (по крайней мере так говорит отчет GAO). Действительно ли это так?

Нет. Скорее правительство оправдывает этим свою собственную дрянную безопасность. Вот почему: Во-первых, SATAN выполняется только на платформах UNIX. Традиционно, такие платформы требовали дорогих аппаратных средств. Рабочие станции этого класса чрезвычайно специализированы и не продаются в магазинах. Однако правительство указывает, что свободные версии для UNIX теперь существуют для IBM-совместимых платформ. Один такой дестрибутив это популярная операционная система Linux.

Linux истинно 32-разрядная, многопользовательская, многозадачная, UNIX-подобная операционная система. Это мощная вычислительная среда и, когда установлена на среднем PC, предоставляет пользователю огромные возможности, особенно в контексте Internet. Например, дистрибутивы Linux теперь снабжаются каждым возможным сервером, когда-либо созданным для TCP/IP транспорта по Сети.

Ссылка: Linux работает на широком диапазоне платформ, не только IBM совместимых. Некоторые из этих платформ это Motorola 68k, Digital Alpha, Motorola PowerPC, и даже архитектура Sun Microsystems SPARC. Если Вы хотите узнать больше о Linux, посетите страницу о Linux на http://www.linux.org/.

Дистрибутивы Linux свободно доступны для загрузки из Сети, или могут быть получены в любом местном книжном магазине. Дистрибутивы на CD-ROM обычно поставляются с книгами, которые инструктируют пользователей при использовании Linux. Таким образом, поставщики могут делать деньги на якобы бесплатной операционной системе. Средняя книга о Linux, содержащая инсталляционный CD-ROM, продаётся за сорок долларов.

Кроме того, большинство дистрибутивов Linux поставляется с обширными инструментальными средствами разработки. Они включают компиляторы и интерпретаторы множества языков:

Все же, даже учитывая эти факты, среднее дитя с небольшим знанием UNIX не может использовать утилиту типа SATAN на платформе Linux. Такие утилиты редко поставляются в двоичной форме. Большинство распространяется как исходный текст, который может затем быть откомпилирован с опциями, специфичными для данной платформы. Таким образом, если Вы работаете в AIX (версия UNIX от IBM), программа должна быть откомпилирована для AIX. При работе в Ultrix (DEC), она должна быть откомпилировано для Ultrix, и так далее.

ПРИМЕЧАНИЕ: Порт стал доступным для Linux не намного позже того, как SATAN была выпущена. Однако, ошибки полностью не были устранены, и процесс установки и выполнения SATAN будет всё ещё оставаться непростым опытом для многих пользователей Linux. Процесс разработки простой реализации порта довольно долог.

Большинство пользователей PC (без опыта в UNIX) безнадежно теряются даже во время инсталляции Linux. Соглашения UNIX решительно отличаются от DOS. Таким образом, прежде, чем новый пользователь Linux станет хотя бы немного опытней, вероятно пройдет год. Этот год будет потрачен на изучение того, как использовать Систему X Window MIT, как конфигурировать TCP/IP установки, как должным образом соединиться с Internet, и как распаковать пакеты программ, которые поставляются в основном в форме исходного текста.

Даже после того, как прошел год, пользователь всё ещё не способен использовать SATAN. Дистрибутивы SATAN не компилируются хорошо на платформе Linux. Для того, чтобы утилита работала, пользователь должно установить самую последнюю версию Perl. Только очень недавние дистрибутивы Linux (выпущенные в пределах одного года от публикации этой книги) вероятно имеют такую версию. Таким образом, пользователь должен также знать, как найти, получить, распаковать и должным образом установить Perl.

Короче говоря, расстояние между не UNIX грамотными пользователями и теми, кто эффективно использует SATAN, в действительности очень большое. Кроме того, в течение путешествия от первого к последнему, пользователь должен иметь вполне достаточно времени (и решимости) чтобы учиться. Этот путь не для того, кто хочет иметь звание супер-взломщика. Этот путь для того, кто глубоко увлечен операционными системами, безопасностью и Internet вообще.

Так что утверждение правительства, что SATAN, превосходный инструмент, явно предназначенный для улучшения безопасности в Internet, содействует взлому "укажи и щелкни", является необоснованным. Правда в том, что SATAN выполняет автоматизированное сканирование для пользователя. Тем не менее, этот пользователь должен иметь глубокое знание безопасности в Internet, UNIX и нескольких языках программирования.

Имеются также проблемы совместимости машин и типов подключения. Например, даже если пользователь закален, он, или она, должен иметь требуемую аппаратную мощь, чтобы использовать SATAN эффективно.

Ссылка: Вы изучите SATAN (подобные ей программы) более подробно в Главе 9. В той главе Вы познакомитесь со многими сканерами, как они работают, как они разработаны, и какую информацию они могут предоставить пользователям.

SATAN не имеет проблем с правительственными сайтами. Действительно, SATAN не единственный диагностический инструмент, который может автоматически идентифицировать лазейки в безопасности системы. Имеется множество таких же доступных утилит:

Глава 9 исследует эти автоматизированные утилиты и их методы работы. Пока я просто скажу следующее: Эти утилиты работают, нападая на доступные TCP/IP службы и порты, открытые и выполняемые на удаленных системах.

Независимо, доступны они ограниченному классу пользователей или всему миру, эти утилиты имеют одно общее свойство: Они проверяют известные дыры. То есть они проверяют уязвимость безопасности, которые обычно известны сообществу безопасности. Главное значение таких утилит в их возможности автоматизировать процесс проверки одной или более машин (сотен машин, если пользователь так пожелает). Эти утилиты не выполняют больше того, что хорошо осведомленный взломщик может сделать вручную. Они просто автоматизируют процесс.

Образование и Понимание Безопасности

Проблема не в том, что существуют такие утилиты, а в том, что образование в безопасности является слабым. Кроме того, оборонные информационные сети работают с архаичными внутренними политиками безопасности. Эти политики препятствуют (скорее, чем продвигают) безопасности. Чтобы продемонстрировать почему, я хочу обратиться к отчету GAO, который я упомянул предварительно. В нем правительство допускает:

... Военные службы и Оборонные службы выпустили множество информационных политик безопасности, но они противоречивы и неполны ...

Отчет указывает на ряд Оборонных Директив как пример. Он цитирует (как наиболее значительный DoD документ по политике) Оборонную Директиву 5200.28. Этот документ, Security Requirements for Automated Information Systems, датирован 21 марта, 1988.

Чтобы продемонстрировать реальную проблему, давайте исследуем часть этой Оборонной Директивы. Параграф 5 Раздела D этого документа содержит следующее:

Возможности компьютерной безопасности коммерчески произведенных программ и разработанных или полученных правительством программ должны быть оценены (как требуется) для обозначения их как доверенного программного обеспечения для включения в Список Оцененных Программ (EPL - Evaluated Products List). Оцененные программы должны быть обозначены как совокупность критериев безопасности, поддерживаемых Национальным Центром Компьютерной Безопасности (NCSC - National Computer Security Center) в NSA, определенных разделом безопасности, классом и возможностью (например, B, B1, управление доступом), описанных в DoD 5200.28-STD (ссылка (K)).
Ссылка: Security Requirements for Automated Information Systems доступны в Internet на
http://140.229.1.16:9000/htdocs/teinfo/directives/soft/5200.28.html

Именно в этом параграфе основная ложь правительства. Список Оцененных Программ (EPL) это список изделий, которые были оценены по критерию безопасности, основываясь на DoD рекомендациях. (Агентство Национальной Безопасности фактически наблюдает за оценкой.) Программы в списке могут иметь сертификаты безопасности различных уровней. Например, Windows NT версии 3.51 получила сертификат C2. Это очень ограниченный сертификат безопасности.

Ссылка: Прежде, чем продолжить, Вы должны вероятно вкратце ознакомиться с EPL. Загляните на
http://www.radium.ncsc.mil/tpep/epl/index.html.

Первое, на что Вы обратите внимание в этом списке, что большинство программ устарело. Например, изучите список EPL для Надежных Информационных Систем Trusted XENIX, UNIX-основанной операционной системы.

Ссылка: Список Trusted XENIX можно найти на
http://www.radium.ncsc.mil/tpep/epl/entries/CSC-EPL-92-001-A.html

Если Вы хорошо изучите список, то будете удивлены. TIS Trusted XENIX включено в EPL, потому что удовлетворяет рекомендациям правительства (от сентября 1993). Однако, исследуйте более близко платформы, на которых эта программа была очищена. Вот несколько из них:

Эти архитектуры древние. Они настолько стары, что никто фактически не использует их, за исключением возможно гаражных хакеров в воскресенье в полдень (или возможно эти системы остались в наследство, и на них размещёно программное обеспечение или другие данные, которые невозможно перенести). Другими словами, когда программы попадают в EPL, они часто уже устарели. (Процесс оценки долог и дорог не только для поставщика, но и для американских людей, которые платят за все это.) Поэтому, Вы можете заключить, что многое из оборудования, программного обеспечения и процедур безопасности DoD также устарели.

Теперь, добавьте вопрос внутреннего образования. Оборонный персонал обучен (и выполняет) самым последним методам защиты? Нет. Снова, цитирую отчет GAO:

Должностные лица Обороны в общем согласились, что обучение пользователей необходимо, но заявили, что начальники не всегда понимают риск компьютерной безопасности и таким образом, не всегда предоставляют достаточные ресурсы на решение проблемы.

Высококлассные Случаи

Недостаток понимания распространяется далеко за границы нескольких изолированных Оборонных сайтов. Эта проблема существует во множестве федеральных агентств по всей стране. Доказательство этого обычно появляется на титульных листах наших наиболее популярных национальных газет. Действительно, некоторые очень высококлассные правительственные сайты были взломаны в 1996, включая Центральное Разведывательное Управление (CIA - Central Intelligence Agency) и Министерство Юстиции (DoJ - Department of Justice).

Ссылка: Чтобы увидеть сайт ЦРУ во взломанном состоянии, посетите
http://www.skeeve.net/cia/.
ПРИМЕЧАНИЕ: skeeve.net был один из многих сайтов, которые сохранили взломанную страницу ЦРУ, прежде всего для исторических целей. Он сообщил, что после того как skeeve.net поместила взломанную страницу ЦРУ для просмотра, его сервер получил сотни запросов от правительственных сайтов, включая ЦРУ. Некоторые из этих запросов включали finger запросы и других утилит высматривания.
Ссылка: Сайт DoJ, во взломанном состоянии, может быть просмотрен на
http://river-city.clever.net/hacked/doj/.

Из описанных случаев ни один не был раскрыт. Наиболее вероятно и никогда не будет раскрыт. Оба по сообщениям исследуются ФБР.

Как правило, правительственные должностные лица характеризуют такие инциденты как редкие. Только насколько они редки? Не очень. В прошлом году обнаружилось много таких инцидентов:

Явление не было ограничено федеральными агентствами. В октябре 1996, домашняя страница Верховного Суда Штата Флорида была взломана. До взлома, страница использовалась для распространения информации о суде, включая текст недавних решений суда. Взломщики удалили эту информацию и заменили её порнографией. Как ни странно, Суд впоследствии отмечал необычно высокое количество посещёний.

В 1996 по крайней мере шесть высококлассных правительственных сайтов были взломаны. Два из них (ЦРУ и ФБР) были организациями, ответственными за поддержание отделов информации о войне и компьютерных преступлениях. Оба занимались одним или более аспектами национальной безопасности. О чем это все говорит? Наша национальная безопасность пущена на самотек? Это зависит от того, как Вы посмотрите на это.

В случаях с ЦРУ и ФБР последствия взлома были незначительными. Ни один сервер не содержал ценную информацию, и единственный реальный ущерб был нанесен репутации их владельцев. Однако, случай с Римом, Нью-Йорком был гораздо более серьезным (как в Форте Bragg). Такие случаи демонстрируют потенциальную опасность.

Существует более пугающий аспект этого: сайты, упомянутые выше, были сайтами WWW, которые очень хорошо известны публике. Поэтому, правительственные агентства не могут скрыть, что их домашние страницы взламываются. Но что происходит, когда взламывается некоторая другая часть атакованной системы (часть, вообще невидимая публике)? Вероятно, что, когда такой взлом происходит, прессе ничего не сообщается. Поэтому, вероятно, существует намного больше взломов правительственных сайтов, о которых Вы никогда не услышите.

Чтобы быть справедливым, Американское правительство пытается не отставать от времени. В январе 1997, репортер журнала Computerworld рассказал историю об усилиях Пентагона по увеличению безопасности. Очевидно, Министерство Обороны собирается создать свою собственную группу тигров (группа личностей, чьей единственной целью будет нападать на компьютеры DoD). Такие нападения покажут ключевые недостатки в безопасности DoD.

Другие рассказы указывают, что оборонные службы приняли новые и улучшенные технологии, чтобы защитить компьютеры, содержащие данные жизненно важные для национальной безопасности. Однако, как сообщал Philip Shenon, выдающийся журналист "Нью-Йорк Таймс":

В то время как Пентагон разрабатывает устройства шифрования, которые обещают нанести поражение компьютерным хакерам, офис учета, который является рычагом расследования Конгресса, предупредил, что ни одно из предложенных технических решений не было ошибкоустойчивым, и что текущая военная программа безопасности была 'противоречивой и неполной'.

Деятельность Пентагона по разработке устройств, которые "обещают нанести поражение компьютерным хакерам" ободряет. Из этого можно сделать разумные выводы, что кое-что делается для решения проблемы. Однако, реальность и серьезность ситуации сильно приуменьшаются.

Если Оборонные и другие жизненно важные сети не могут защититься от нападений внутренних взломщиков, маловероятно, что они смогут защититься от враждебных иностранных сил. Я отметил это ранее в главе, но теперь хочу подробно остановиться на этом.

Могут Соединенные Штаты Защитить Национальную Информационную Инфраструктуру?

Ни одна страна не может соответствовать Соединенным Штатам по военной мощи. Мы имеем в распоряжении достаточную разрушительную мощь, чтобы уничтожить все человечество. Так что с военной точки зрения невозможно сравнить Соединенные Штаты и даже несколько стран третьего мира. Однако это не является истинным относительно информационной войны.

Введение улучшенных миникомпьютеров навсегда изменило равновесие сил в информационной войне. Средний процессор Pentium, теперь продающийся в розничной торговле по всей стране, мощнее многих мэинфреймов, которые были пять лет назад (во много раз быстрее). Добавьте перенесение высокоэффективных UNIX-основанных операционных систем на IBM платформу, и Вы имеете полностью новую среду.

Страны третьего мира могут представлять существенную угрозу нашей национальной информационной инфраструктуре. Используя утилиты, описанные выше (и некоторые высокоскоростные подключения), страны третьего мира могут эффективно вести успешную информационную военную компанию против Соединенных Штатов в пределах своих средств. Фактически, вероятно, что в течение следующих нескольких лет мы испытаем инциденты кибертерроризма.

Чтобы подготовиться к будущему, должно быть сделано больше, чем простое распределение фондов. Федеральное правительство должно тесно взаимодействовать с организациями безопасности и корпоративными объектами, чтобы установить новые и улучшенные стандарты. Если новые стандарты не обеспечат более быстрые и более эффективные средства реализации безопасности, мы столкнемся с очень страшной действительностью.

Кто Имеет Преимущества?

Это (не законопослушные утилиты безопасности типа SATAN) проблема: Тридцать лет назад, американское правительство имело все преимущества в технологиях. Средний американский гражданин не имел ничего подобного. Сегодня, средний Американец имеет доступ к самым новым технологиям. В некоторых случаях эта технология так продвинута, что она соответствует технологии, которой в настоящее время обладает правительство. Технология шифрования является хорошим примером.

Многие Американцы используют программы шифрования, чтобы защитить свои данные. Некоторые из этих программ шифрования (типа самой известной утилиты PGP, созданной Phil Zimmermann) производят военную степень кодирования. Этот уровень шифрования достаточно силен, чтобы Американские спецслужбы не могли его вскрыть (по крайней мере не за разумное время).

Например, предположим, что один человек посылает сообщение другому с датой, когда они совместно взорвут здание Организации Объединенных Наций. Несомненно, время существенно. Если американские чиновники разведки не смогут декодировать это сообщение перед означенной датой, они могут уже не вскрывать его.

Этот принцип применяется непосредственно к безопасности в Internet. Технология безопасности проникает в массы с удивительной скоростью. Взломщики (и другие талантливые программисты) приняли эту технологию и быстро улучшили ее. Тем временем, правительственные шаги более медленны, так как связанны ограничительной и архаичной политикой. Это позволило частному сектору подхватить (и даже превзойти) правительство в некоторых областях исследования.

Это национального вопрос. Много массовых радикальных организаций взломщиков приходят в восторг от таких обстоятельств. Они часто перебивают правительство, чувствуя удовольствие от обладания передовыми знаниями. Они безответственные силы в сообществе программирования, силы, которые небрежно увековечивают ослабление национальной информационной инфраструктуры. Такие силы должны работать, чтобы помогать и просвещать правительственные агентства, но они часто не делают так, и по причинам иногда понятным.

Правительство много лет рассматривало взломщиков и даже хакеров преступниками высшего порядка. Также, правительство не желает понимать ценность информации, которую эти люди предлагают. Связь между этими противостоящими силами почти всегда негативная. Ожесточенные юридические споры развились за эти годы. Действительно, некоторые очень законопослушные специалисты по безопасности потеряли время, деньги и достоинство в руках американского правительства. В больше чем одном случае, правительство полностью ошибалось и разрушало (или иначе серьезно нарушало) жизни законопослушных граждан. В следующей главе, я буду обсуждать несколько таких случаев. Это в основном проистекает из слабого понимания правительством технологии.

Новые пути взаимодействия должны быть открыты между правительством и теми, кто владеет передовыми знаниями. Internet незначительно помогает в этом процессе, обычно через сервисы типа списков рассылки и Usenet. Однако, в настоящее время не предпринимается совместных усилий, чтобы соединить эти противостоящие силы на официальном уровне. Это неудачно, так как способствует ситуации, когда хорошие умы в Америке остаются в противостоянии друг с другом. Прежде, чем мы сможем эффективно защищать нашу национальную информационную инфраструктуру, мы должны прийти к соглашению по этой проблеме. В данный момент мы воюем сами с собой.

Общественный Сектор

Я понимаю, что слова общественный сектор могут быть неправильно истолкованы. Чтобы предотвратить это, я хочу определить значения этих слов. Здесь, общественный сектор относится к любому объекту, который не является правительством, учреждением или личностью. Таким образом, я буду исследовать компании (общественные и частные), поставщиков услуг Internet, организации или любую другую структуру коммерческого или полу коммерческого характера.

Перед продвижением вперед, нужно уяснить один момент: Коммерческие и другие общественные структуры не делятся опытом с правительственными сайтами. Другими словами, они ещё не были взломаны. Особенно в течение последних пяти лет коммерческие структуры стекались в Internet. Поэтому должны быть сделаны некоторые допущения. Неблагоразумно ожидать, что эти люди будут делать свои сайты непроницаемыми. Многие компании в данным момент небольшие, и я хочу непосредственно обратиться к ним: Вы, больше чем любая другая группа, должны получить нормальный совет по безопасности.

Маленькие компании работают не так, как большие. Для маленькой компании стоимость почти всегда имеет большое значение. Когда такие фирмы подключаются Internet, они обычно используют для этого внутренний технический персонал или вербуют гуру Internet. В любом случае, они вероятно покупают знания. Однако то, что они покупают, с точки зрения безопасности может измениться.

Большие компании, специализирующиеся в безопасности, платят большие деньги за такие услуги. Также, большинство из них специализируется безопасности UNIX. Так, маленькие компании, стремящиеся в Internet, могут избегать фирм, занимающихся безопасностью. Во-первых, стоимость является существенным сдерживающим фактором. Кроме того, многие маленькие компании не используют UNIX. Вместо нее они могут использовать Novell NetWare, LANtastic, Windows NT, Windows 95 и т.д.

Это ставит мелкие фирмы в трудное положение. Они должны либо потратить большие деньги либо поверить слову своих программистов, что сеть будет безопасна. Поскольку такие мелкие организации обычно не имеют персонала, который хорошо образован в безопасности, они милосердны к сотруднику, занимающемуся разработкой сайта. Это очень серьёзный вопрос.

Проблема в том, что многие "консультанты" врут, утверждая, что знают все о безопасности. Они делают такие заявления, когда, фактически, могут знать немного или ничего о предмете. Как правило, они купили пакет Web-разработки, они создают привлекательные Web страницы, и знают, как установить сервер. Возможно они имеют ограниченное, поверхностное, понятие о безопасности. Они берут деньги со своих клиентов, предполагая, что существует только очень маленький шанс, что Web серверы этих клиентов будут взламываться. В большинстве случаев это так. Но хотя серверы этих клиентов никогда взламывались, серверы могут оставаться в неопределенном состоянии ненадежности.

Коммерческие сайты также, более вероятно, купят один или два продукта безопасности. Они могут заплатить несколько тысяч долларов за якобы безопасную систему и оставить её так, доверяя все единственной программе.

По этим причинам, коммерческие сайты обычно взламываются, и эта тенденция вероятно продолжится. Часть проблемы в следующем: Не существует реального национального стандарта на безопасность в частном секторе. Следовательно, наиболее часто специалиста по безопасности квалифицирует через жесткий опыт, а не на основании любого формального образования. Правда существует много курсов и даже преподающихся личностями типа Farmer и Venema. Эти курсы законно дают право личности производить работу по безопасности. Однако не существует одной бумаги, которую компания может требовать, чтобы проверить качество безопасности, которую она получат.

Поскольку такие небольшие предприниматели испытывают недостаток в знании безопасности, они станут жертвами недобросовестных "специалистов по безопасности". Я надеюсь, что эта тенденция изменится, но я предсказываю, что пока она станет только более распространённой. Я говорю это по одной причине: Несмотря на тот факт, что многие тысячи американских предпринимателей теперь в Сети, они представляют только часть коммерции Америки. Существуют миллионы предпринимателей, которые должны присоединиться. Эти миллионы хороший улов, и шарлатаны безопасности выстроились, чтобы захватить их.

Взлом Общественного Сектора

В прошлом году был атакован ряд коммерческих сайтов. Эти нападения широко варьировались по методике. Ранее в этой главе я определил некоторые из этих методов, а также ущерб или задержки в обслуживании, которые они вызывают. Здесь, я хочу рассмотреть случаи, которые окончательно проиллюстрируют эти методы. Давайте начнем с недавнего нападения на Panix.com.

Panix.com

Panix.com (Public Access Networks Corporation - Корпорация Сетей Общественного Доступа) крупный поставщик услуг Internet (ISP), который обеспечивает доступ Internet нескольким сотням тысяч Ньюйоркцев. 6 сентября, 1996, Panix находился под тяжелой атакой из пустоты.

Случай с Panix очень важен, потому что он демонстрирует методику известную как Отказ в Обслуживании (DoS - Denial of Service). Этот тип нападения не включает получение вторгшимся доступа. Вместо этого, взломщик предпринимает удаленные процедуры, которые делают часть сервера (или иногда весь сервер) недействующей.

Методы, используемые при таком нападении, просты. Как Вы узнаете из Главы 6, "Краткое Введение в TCP/IP", подключения по Internet инициализируются через процедуру, называемую трехступенчатым открытием соединения. Во время нее, машина-клиент посылает пакет, требующий соединения. Машина-сервер отвечает подтверждением. Затем машина-клиент возвращает свое собственное подтверждение, и подключение устанавливается.

В нападении syn_flooder, машина-клиент (машина взломщика) посылает ряд запросов на подключение, но не подтверждает ответ адресата. Поскольку адресат не получает подтверждения, он ждет. Если этот процесс повторить много раз, то порты адресата станут бесполезными, потому что адресат всё ещё ожидает ответ. Запросы на подключение обрабатываются последовательно; в конечном счете, адресат откажется от ожидания подтверждения. Однако, если он получает десятки или даже сотни таких запросов, порт останется занятым, пока адресат не обработает, и не отвергнет, каждый запрос.

ПРИМЕЧАНИЕ: Термин syn_flooder обозначает действия, предпринимаемые такими утилитами. TCP/IP трехступенчатое открытие соединения инициализируется, когда одна машина посылает другой SYN пакет. При типичном нападении наводнением (flooding), ряд этих пакетов отправляется адресату от имени несуществующей машины. Машина-сервер поэтому не может найти узел. В любом случае, поток этих SYN пакетов затопляет адресата запросами, которые не могут быть выполнены.

Syn_flooder нападения являются общими, но они не причиняют реального ущерба. Они просто временно делают невозможным обращение других пользователей к портам сервера. В случае с Panix, тем не менее, временно продолжалось больше недели.

Syn_flooder классифицированы в этой книге как разрушительные устройства. Они широко описаны в Главе 14, "Разрушительные Устройства". В большинстве своем это маленькие программы, состоящие из двух сотен строк кода или меньше. Большинство написано на языке программирования C, но я знаю по крайней мере одну, написанную на БЕЙСИКЕ.

Crack dot Com

ISP являются популярными целями по разнообразным причинам. Одна причина это то, что взломщики используют таких адресатов как среду или базу, с которой предпринимают ряд нападений на других адресатов. Эта методика помогает в сокрытии личности нападающего, проблема, которую мы обсудим. Однако, DoS атаки неединственные в своем роде. Они современный эквивалент многократных звонков с телефона, чтобы держать линию постоянно занятой. Существуют гораздо более серьёзные типы взлома. Просто спросите Crack dot Com, изготовителя известной теперь компьютерной игры Quake.

В январе 1997, взломщики совершили налет на сайт Crack dot Com. По сообщениям, они взломали Web сервер, и перешли к взлому брандмауэра. После прорыва через брандмауэр, взломщики получили полный доступ к внутреннему файловому серверу. С него они взяли исходный текст для Quake и новый проект, названный Golgotha. Они послали этот исходный текст по Сети.

ПРИМЕЧАНИЕ: Для тех из Вас, кто не программист, исходный текст это программный код приложения в его необработанном состоянии. Он чаще всего в человеко-читаемой форме, обычно на простом Английском языке. После того, как тестирование программного обеспечения закончено (и в нем не существует никаких ошибок), этот исходный текст пропускается через компилятор. Компиляторы интерпретируют исходный текст, и создают из него двоичный файл, который может быть выполнен на одной или большем количестве платформ. Короче говоря, исходный текст можно назвать строительными блоками программы. В коммерческих кругах, исходный текст ревниво охраняется и настойчиво объявляется как частный материал. Для кого-то, взятие данных с сервера и посылка их без разбора в Internet, вероятно самый ужасный кошмар.

Для Crack dot Com, это событие могло иметь далеко идущие последствия. Например, возможно, что в течение короткого периода, когда код был в Сети, её конкуренты, возможно, получили копии (по крайней мере некоторые) алгоритмов программы. Фактически, взломщики могли связаться с этими конкурентами, чтобы получить прибыль от своих действий. Это, однако, является очень маловероятным. Характер действий взломщиков говорит о том, что они были детьми. Например, после завершения взлома, они хвалились своими действиями на чатах Internet. Они также по сообщениям оставили log-файл (регистрирующий чью-то деятельность во время связи с данной машиной). Случай с Crack dot Com показывает серьезность проблемы.

Kriegsman Furs

Другой интересный случай произошел с Kriegsman Furs of Greensborough, Северная Каролина. Web сайт этого меховщика был взломан активистом защиты животных. Взломщик оставил очень грубое сообщение, которое я частично воспроизвожу:

Сегодня потребитель полностью не имеет понятия о том, что приходит вместе с продуктами, которые они покупают. Потребитель не знает то, что происходит во многих больших отраслях промышленности. Наиболее важно, производство продовольствия. Например, молочным коровам вводится химикат, названный BGH, который очень вреден и для людей и для коров. Этот химикат вызывает инфекционные заболевания пузыря у коров. У коров начинается кровотечение, и догадываетесь что дальше? Это приходит прямо к вашему столу. Немногие потребители знают об этом. То же самое происходит с другой стороны меховых изделий. Химикалии, которые используются для обработки и производства меха, чрезвычайно вредны для нашей земли. Не только потому, что миллионы животных вырезаются ради меха и кожаных пальто. Я сделал это, чтобы открыть глаза слепым потребителям. Знайте факты.

За сообщением следовал ряд ссылок на организации по правам животных и ресурсы.

Kevin Mitnik

Возможно наиболее известные случаи взлома общественного сектора, это проделки 1994/1995 знаменитого компьютерного взломщика Kevin Mitnik. Mitnik получил известность с юных лет, когда он взломал Североамериканскую Космическую Команду Защиты (NORAD - North American Aerospace Defense Command). График его жизни удивителен, 15 лет взлома телефонных компаний, оборонных сайтов, ISP и корпораций. Кратко, некоторые из предыдущих жертв Mitnik'а включают:

25 декабря 1994, Mitnik по сообщениям взломал компьютерную сеть Tsutomu Shimomura, специалиста по безопасности Суперкомпьютерного Центра в Сан Диего. Как следствие, освещёние фиаско в прессе, которое продолжалось несколько месяцев. Случай мог бы быть не столь существенным, если бы не три фактора:

Вопервых, Shimomura был известен в кругах безопасности. Он, больше чем любой другой, должен был быть обезопасен. Типы утилит, которые он по сообщениям разрабатывал, должны были быть критическим фактором для любого взломщика. Кроме того, Shimomura имеет превосходное понимание безопасности в Internet. Когда он хватал спадывающие штаны, это было шоком для многих людей в безопасности. Естественно, это также привело в восхищение сообщество взломщиков. Некоторое время спустя, сообщество взломщиков было приведено в восторг достижением, ещё и потому что Shimomura по сообщениям помог различным федеральным агентствам в проблемах безопасности. Один из лучших консультантов правительства по безопасности был взломан массовым бандитом.

Во вторых, используемая методика, теперь упоминаемая как IP обман (IP spoofing), была сложна и не часто осуществлялась. IP обман сложен, потому что он полагается на обмен, который происходит между двумя машинами на системном уровне. Обычно, когда пользователь пытается войти на машину, ему или ей даётся приглашение на ввод логина. Когда пользователь вводит логин, даётся приглашение на ввод пароля. Пользователь вводит свой пароль и входит в систему (или, если он или она даёт неверный пароль, не входит). Таким образом, нарушения безопасности в Internet традиционно вращаются вокруг получения допустимого пароля, обычно получением и вскрытием основного файла паролей.

IP обман отличается от этого радикально. Вместо попытки связаться с помощью интерфейса с удаленной машиной через стандартную процедуру login/пароль, IP-spoofing взломщик использует намного более сложный метод, который частично полагается на доверие. Доверие упоминается в этой книге (если иначе явно не отмечено) как "доверие", которое возникает между двумя машинами, идентифицирующими себя друг с другом через IP адреса.

При IP обмане должен быть выполнен ряд действий прежде, чем может быть произведен успешный прорыв:

(Обратите внимание, что это краткое описание. Я обрабатываю эту тему интенсивно в отдельной главе, Главе 28, "Нападения Обманом").

При нападении, целевая машина доверяет другой. Всякий раз, когда происходит соединение между этими двумя машинами, оно удостоверяется через обмен числами. Этот обмен числами следует за forward/challenge сценарием. Другими словами, одна машина генерирует число, на которое другая машина должна ответить (также числом). Ключом к нападению является подделка адреса доверенной машины и обеспечение правильных ответов на вызовы другой машины. Это и есть то, что сделал Mitnik.

Этим способом привилегированный доступ получается без передачи пароля или логина по сети. Все обмены происходят глубоко на системном уровне, на котором люди почти никогда не взаимодействуют с операционной системой.

Любопытно, хотя эту методику хвалили как новую и творческую, она фактически весьма устарела (или, по крайней мере, её концепция). Она взята из статьи по безопасности, написанной Robert T. Morris в 1985 и озаглавленной A Weakness in the 4.2BSD UNIX TCP/IP Software(Слабости в Программном Обеспечении TCP/IP 4.2BSD UNIX). В этой статье, Morris (тогда работавший в AT&T Bell Laboratories) кратко детализируют компоненты, делающие такое нападение успешным. Morris начинает статью следующим заявлением:

4.2 Berkeley Software Distribution операционной системы UNIX (4.2BSD для краткости) представляет обширный набор программного обеспечения, основанного на семействе протоколов "TCP/IP". В частности каждая система 4.2BSD "доверяет" некоторому набору других систем, позволяя пользователям регистрироваться в доверенных системах и выполнять команды через TCP/IP сеть без введения пароля. Эти примечания описывают, как проект TCP/IP и его 4.2BSD реализация позволяют пользователям недоверенных и возможно очень удаленных узлов маскироваться под пользователей доверенных узлов. Bell Labs имеет ростущую TCP/IP сеть, соединяющую машины с различными потребностями в безопасности; возможно должны быть приняты шаги, чтобы уменьшить их уязвимость друг от друга.

Затем Morris продолжает описывать такое нападение подробно, приблизительно за десять лет до первого, широко известного случая такого нападения. Видел ли Mitnik эту статью (или даже она была у него на столе, пока дело делалось).

В любом случае, атака имела резонанс. В следующем месяце Нью-Йорк Таймс опубликовала статью о нападении. Было расследование, и Shimomura принимал в нем участие. Двадцать дней спустя, Shimomura и ФБР проследили Mitnik в квартире в Северной Каролине, очевидный источник нападения. Случай сделался национальной новостью на несколько недель, в течение которых власти разбирались в доказательствах, найденных в квартире Mitnik'а. Снова, самый знаменитый компьютерный бандит Америки, был за решеткой.

На мой взгляд, случай демонстрирует важную мысль, мысль, с которой я начал эту главу: Любой, кто связан с Сетью, может быть взломан. Shimomura является хакером и очень хорошим. Он, по слухам, имеет 12 машин, работающими под разнообразными операционными системами. Кроме того, Shimomura талантливый телефонный взломщик (то, кто квалифицирован в технологии управления телефонными системами и сотовыми устройствами). В сущности, он специалист в безопасности. Если он пал жертвой нападения такого рода, со всеми утилитами, находящимися в его распоряжении, то средний деловой Web сайт широко открыт для нападения по Internet.

В защиту Shimomura: Многие личности в безопасности защищают Shimomura. Они искренне доказывают, что Shimomura сконфигурировал свой сайт, чтобы приманивать взломщиков. В Главе 26, "Уровни Нападения", Вы узнаете, что Shimomura был, по крайней мере, незначительно вовлечен в реализацию этого вида системы вместе с некоторыми людьми в Bell Labs. Однако, этот довод в защиту Shimomura сомнителен. Например, он также намеревался позволить гипотетическим взломщикам захватывать частные утилиты, которые он разработал? Если нет, довод защиты терпит неудачу. Чувствительные файлы действительно были захвачены из сети Shimomura. Подтверждение этого в Internet теперь редки. Без сомнения, Shimomura предпринял усилия, чтобы выследить их. Однако я лично видел файлы, которые Mitnik по сообщениям захватил из многих сетей, включая Netcom. Charles Platt, в своем уничтожающем обзоре книги Shimomura Takedown(Демонтаж), предлагает небольшой срез действительности:

Kevin Mitnick ... по крайней мере показывает некоторую непочтительность, насмешку над Shimomura и пробует проколоть его напыщенность. В одном месте, Mitnick берет все данные, которые он скопировал с компьютера Shimomura, и сохраняет их в системе в Netcom, где, как он знает, Shimomura найдет их. ... У Shimomura неприятность, необходимо сохранить свое достоинство перед лицом этих шуток? Нет никакой неприятности вообще. Он пишет: "Это становилось личным. ... ни один из нас не мог поверить, как ребячески и глупо все это звучало".

Трудно понять, почему Shimomura позволил бы взломщикам (беспорядочно приходящим из пустоты) захватить результаты своей тяжелой работы и превосходный исходный текст. Мое мнение (который может быть ошибочным) в том, что Shimomura действительно сконфигурировал свой сайт, как приманку для взломщиков; он просто не рассчитывал на дыру через приманку к его внутренней сети. Другими словами, я полагаю, что Shimomura (которого я с готовностью признаю выдающейся личностью) был слишком самоуверенным. Не должно существовать никаких отношений доверия между приманкой и любой другой рабочей станцией.

Ссылка: Критический анализ Charles Platt Takedown, озаглавленный A Circumlocuitous review of Takedown by Tsutomu Shimomura and John Markoff, может быть найден на
http://rom.oit.gatech.edu/~willday/mitnick/takedown.review.html.

Итог

Эти случаи пища для размышлений. В последние 20 или около того лет, произошло несколько тысяч таких случаев (о которых мы знаем). Военные говорят, что подвергаются атакам не более чем 250,000 раз в год. По оценкам это число в половину больше. Вероятно, что ни один сайт не является полностью устойчивым. (Если такой сайт существует, это вероятно AT&T Bell Laboratories; они, вероятно, знают больше о сетевой безопасности, чем любая другая организация в Internet.)

Прежде, чем Вы сможете понять как взламывать, Вы должны сначала знать немного о сети. Часть II этой книги, "Понимание Ландшафта", имеет дело, прежде всего с разработкой и проектированием Internet.

Предыдущая главаСледующая главаСодержание


Macmillan Computer Publishing USA

Macmillan Computer Publishing.


Все мессаги сюда:yanich@inbox.ru
Hosted by uCoz