- internet4U -

Zlý sen a dobré rady v British Council

      V žádném z atakovaných podniků nebo institucí, v jejichž sítích se narušitelé pohybovali jako doma, neměl nikdo nejmenší tušení, že jejich počítačový systém byl narušen.

      Nevšední seminář Vybrané aspekty bezpečnosti informačních technologií, který uspořádala pražská společnost Point.X (známá převážné části naší veřejnosti především díky tomu, že u nás uvedla na trh a distribuuje českou verzi vůbec nejrozšířenějšího organizéru PSION), věru šokoval hezkou řádku pozvaných. Hlavním přednášejícím nebyl nikdo jiný než někdejší ředitel Kriminální ústředny pro počítačový zločin londýnské Metropolitní policie pan John Austen, a i když po něm vystoupili i představitelé České národní banky a firem Fischer International a Secure Commnications, nic už nemohlo smazat dojem, který zanechal. Upřímně řečeno, místy vznikal v sále až pocit, jakoby někteří přítomní zapochybovali, neměli-li by raději opustit sál a vrhnout se do svých předůležitých institucí, aby zabránili nejhoršímu totiž vbourání se do jejich počítačových systémů, o němž hovořil tak barvitě a sugestivně pan Austen.

      Malý incident se závažnými důsledky

      Na samém počátku popsal pan Austen poměrně nedávný případ, v němž se na oficiální internetové stránce důstojné britské společnosti objevil jednoho rána z čista jasna velmi lascivní obrázek a text.

      Jak se to mohlo stát? Jednoduše: někdo z takzvaných hackerů, ať už ze sportu nebo ovlivněn někým, kdo se chtěl společnosti pomstít, pronikl po Internetu do serveru společnosti a tím i na její stránky. Někteří lidé se rozhořčili, někteří pousmáli. Společnost ztratila zdání solidnosti a schopnosti zabezpečit svá data. Do tří dnů přišla o plných sedmdesát ze všech svých sto šedesáti klientů. To, co se může jevit jako poměrně malý incident, má v solidní společnosti závažné důsledky. Není to jen otázka morální, ale i obchodní. Kdokoliv je napojen na síť, může se stát přímým terčem jejího zneužití. A nemusí to být vždy jen pornografie. Také rasistické materiály široce dostupné na Internetu mohou napomoci k zničení vaší jinak solidní pověsti.

      Zisk však může patřit i politickým extrémistům, kteří tak na sebe dokáží upoutat kýžený větší zájem veřejnosti. Kterýkoliv z pod rukou získaných materiálů propašovaných na váš pevný disk tak může být použit velmi efektivně nejen proti vám, ale i proti vládě nebo politické straně, jejímž jste členem, a poškodit tak firmu i sekundárně.

      Jak k tomu dojde

      Aniž by zacházel do hlubších technických problémů, připomněl britský host varovně, že z větší části jde skoro vždy jen o otázku úrovně tzv. protokolů. Mimochodem, když se v zájmu odhadu situace u nás optal, kolik z přítomných ví o problémech s infiltrací do velkých systémů v souvislosti s jazykem JAVA od SUN Microsystems a s některými jeho aplikacemi zvanými applety, kladné odezvy by se daly spočítat na prstech jedné ruky, nás novináře nevyjímaje .

      Pan Austen poukázal dále na nejjednodušší způsob, jak distribuovat i nelegální informace: uložit je na legálně vystavenou web stránku na Internetu zakódované jako neškodný obrázek a rozšířit je tak po celém světě. A jenom ten, kdo o těchto mimikrách ví a ví, jak na to je z obrázku rozkryje a "vyzvedne" si je. Tady se dostáváme zdánlivě až takřka k dobrodružné literatuře, fantasy povídkám, sci-fi románům.

      Přednášející však zdůraznil, že opravdu jenom zdánlivě, když připomněl skutečné akce Interpolu proti tzv. podzemním sítím a počítačovým teroristům, jichž také v průběhu let skutečně celou řadu zatkli.

      Připomněl rovněž patrně nejdůležitější změnu v žebříčku hodnot tohoto století: že totiž vůbec nejváženější a nejceněnější komoditou celého lidstva už nejsou peníze, ani zlato, ani nafta. Stala se jí informace, jež vykazuje vůbec nejvyšší změnu hodnoty. A tak jako nafta, peníze a zlato jsou i informace oceňovány na burzách a v oficiálních bankovních transakcích nejvýše. Ale i prodávány na "černých" burzách a trzích. Zdůraznil, že i když si třeba myslíte, že organizace, kterou vlastníte nebo pro niž pracujete, je malá, ještě vůbec to neznamená, že informace, jež vlastní a vytváří, nejsou cenné.

      Už i ve vesmíru

      Kosmická loď Voyager při obletu kolem planety Uranus v říjnu 1996 začala vysílat digitální obrázky své mateřské laboratoři v Pasadeně. V té chvíli ještě neznámý tým počítačových zločinců, jemuž se povedlo dostat se do jejího počítačového systému, řídil a vyhodnocoval výsledky zároveň s nimi. Mezi systémy, do nichž tato skupina penetrovala, byl totiž právě ten v Pasadeně. K dalším patřil počítačový systém Evropského centra proti rakovině v Luxemburgu, naftová naleziště v Norsku, minerální naleziště v severní Itálii a mnoho dalších. Tým byl odhalen teprve za rok. Tři z jeho členů působili v Anglii, dva v Austrálii, jeden v Německu a jeden v Norsku. Spojeni byli jak jinak Internetem. Kriminalisté zabavili jejich zařízení, a během prvních šesti měsíců pátrání a ověřování se tak dostali i k datům a začali zjišťovat, do kolika počítačových systémů ve světě asi pronikli. Přestali počítat, když byli zhruba u šedesátitisícího a to ještě nebyl zdaleka konec. Zbytek informací o narušených systémech a způsobených škodách nakonec raději zničili, protože už neměli čas ani dostatek pracovních sil se jimi dále zabývat, nebylo však bezpečné riskovat jejich eventuální "znovuobjevení" zločinci a další zneužití. V žádném z těchto atakovaných podniků nebo institucí, v jejichž počítačových sítích se narušitelé pohybovali jako doma, neměl nikdo nejmenší tušení, že jejich počítačový systém byl narušen. V žádném z nich také ovšem nebyl instalován opravdu důmyslný systém ochrany, který by o takovém pokusu o proniknutí alespoň informoval. I tak je však množství podniků infiltrovaných jedinou skupinou narušitelů zdrcující.

      Kdo jsou tito lidé?

      Tito výjimečně nebezpeční lidé, zvaní obvykle shovívavě až lichotivě hackers (rádoby česky hakeři, ba někdy dokonce hekři), nejsou zdaleka jenom kluci nebo talentovaní studenti, a vůbec není pravidlem obvyklá představa, že jsou většinou mladí a že jsou vlečeni romantickou představou dobrodružství. Jejich nesporný talent bývá zcela cílevědomě zaměřen a využíván z ryze ekonomických, ale i politických nebo vojenských důvodů. Většinou jsou za svou činnost dobře placeni, nejsou-li za tímto účelem přímo systémově zaměstnáváni, což je mimochodem také velice častý případ. Jejich zaměstnavateli jsou kruhy organizovaného zločinu, vládní špionážní a protišpionážní agentury. Je také známo, že existuje řada takto se chovajících profesionálních agentur, jejichž cíle nejsou ani vojenské, ani politické, ale velice věcně řečeno prostě komerční. Když se lidé z londýnské centrály setkali po roce 1989 i s některými představiteli z oficiálních ochranných agentur ze zemí východní Evropy, zjistili, že i ty, samozřejmě že včetně ruské KGB, shromažďovaly podobnými prostředky běžně i tyto komerční informace.

      Asi před čtyřmi lety věnoval americký výrobce aut působící v Anglii více než šest měsíců vývoji designu nového typu vozu. Dalších šest měsíců trvaly obvykle v automobilovém průmyslu výroba a programování robotizovaných nástrojů, aby bylo nový model možno začít vyrábět. Protože však došlo k proniknutí do počítačového systému a k úniku nejcennějších informací o detailech nového typu, ale i dat nové výrobní linky, sjížděl nový model z pásu ne za půl roku, ale už za pouhé čtyři měsíce. Ne však v Anglii, ale na Dálném Východě, a ne z linky amerického výrobce, ale někoho zcela jiného. A samozřejmě i s jiným jménem. Design byl totožný do posledního milimetru. Samozřejmě, že lze připustit i možnost náhody, která přivedla dva tvůrce k tak podobným myšlenkám a tvarům. Ale právě tak dobře víme, že zejména v dnešní, na pirátské metody bohužel už tak uvyklé době, je to nesmysl. Protože v určitých zemích je to metoda, jež je přímo promyšlenou součástí koncepce jejich ekonomického rozvoje.

      Už dávno ne jen mladíci s hárem

      A tak, ať už podnikáme v jakémkoliv, zdaleka už ne jen počítačovém oboru, musíme si stále uvědomovat, že nejenže se můžeme stát, ale ve skutečnosti už jsme něčím cílem. Koho ? Ruce, v nichž končí naše nejcennější data, nepatří už dávno špatně oholeným a poněkud ošuntělým mladíkům s hárem až na ramena, ale dobře oblečenému gentlemanovi s kravatou a vlastním prosperujícím podnikem. Obvykle je to něco jako soukromá společnost věnující se průzkumu veřejného mínění nebo obchodního dopadu či zbožíznalectví a mívá v nabídce i vlastní, zcela legální zboží: ne vždy nutně jen individuální průzkum, jenž si u ní zadáte. V posledních letech byly nejčastěji identifikovány následující typy takovéto nabídky: čipy pro bezdrátovou komunikaci, konstrukční design pro průmyslovou výrobu, poskytování databází se jmény a adresami nejvlivnějších finančních institucí nebo s bankovními výpisy tisíce nejbohatších světových osobností, návrh a realizace nových počítačových sítí a systémů na objednávku nebo třeba i poskytování know how o nových výrobních postupech při výrobě železa a oceli. To je ovšem jen opravdu malý vzorek, ve skutečnosti používají

      pro své oficiální krytí mnohem širší záběr činností, z nichž mnohé přitom ovšem navíc skutečně vykonávají. Jde jen o malou část z mnohem delšího seznamu odhalených krycích činností. Pan Austen říká: A představte si rozsáhlost toho, co jsme ještě neodhalili!

      Možná nemusíme chodit daleko

      Ostatně nemusíme chodit daleko. Rozhlédneme-li se kolem po českém trhu, jenž se například nabídkami na návrh a realizaci vašeho počítačového systému na zakázku, včetně respektování takzvaného "internet-ready" hlediska, v poslední době jenom hemží, můžeme si položit otázku, kolik z nich se tak vedle toho, že získají nemalou zakázku a vydělají už na ní samotné dostanou (a kdoví, zda ne záměrně) jako tvůrci a dodavatelé systému jaksi "navíc" zdarma i ke klíčové "zlaté akcii" často dobře prosperujícího podniku. Možná už dnes není pro talentovaného tvůrce problém, ponechat v často nesmírně složitém a důmyslném systému kukaččí vejce: ať už hardwarový nebo softwarový modul, na nějž se mnohem později, až poté, co hotový systém dávno předal a opustil, odvolá, aktivuje jej a s jeho pomocí se už do něj ani nemusí pracně "probourávat": systém pracuje za něj.

      Screaming Eagle aneb MyNameIsJohn

      Technicky je zde jeden výrazný problém: rozpoznat, kdo je poctivý a kdo ne. Zvláště protože ti opravdu nebezpeční skrývají často vlastní identitu. Používají celou řadu jmen: Screaming Eagle (Křičící orel), Electronic Temple (Elektronický chrám), Red Advanture (Rudé dobrodružství) a další připomínajíci styl sci-fi nebo fantasy. Ten problém spočívá v tom, že nevíme, zda

      je pachatelem šestnáctiletý chlapec v brýlích od sousedů odnaproti, nebo hlava organizovaného zločinu, anebo člen zpravodajské služby. V každém případě jsou to profesionálové a dobře ovládají umění, jak používat mladých lidí jako pěšáků v první linii, moderní kanónenfutr.

      War Dialer aneb MyNameIsJohn

      Některé příklady rafinovaných nástrojů, které jsou užívány k nalezení spojení na váš systém, nejvhodnějšího místa a času pro jeho narušení, způsobu jeho zneužití a zamaskování stop:

      tl_110zip war dialer

      Kontinuálně vytáčí telefonní čísla serveru, eventuálně je periodicky mění, tak aby zvýšil pravděpodobnost navázání spojení.

      pwd.c password cracker

      Louskáček hesel, starší typ.

      /etc/paswdpassword cracker

      Neuvěřitelně výkonný nový typ louskáčku hesel, jenž bere do úvahy a vyzkouší jako heslo každé slovo zvoleného jazyka ve všech jeho podobách a vyzkouší je postupně jako heslo odpředu i odzadu, po slabikách, s pauzami nebo v kombinaci s jakýmikoliv dalšími na klávesnici existujícími znaky. Respektuje i možnost, že někdo použil v hesle písemnou zkratku, například m pro my nebo n pro name, i pro is a j pro John, takže celé heslo MyNameIsJohn lze zkrátit jako mnij. Tento nástroj, když narazí na zdánlivě nesmyslnou kombinaci, se nevzdá a pokusí se ji rozkódovat tímto způsobem na větu, a obráceně, znají-li jméno uživatele, pokusí se z podobné obvyklejší a tedy očekávané věty a jeho jména složit zkratku a tu vyzkoušet jako možné heslo.

      Když byly některé z těchto a jim podobných nástrojů použity zkusmo proti ochranným systémům britské policie, byly v osmdesáti pěti procentech případů úspěšné a do systémů pronikly.

      ypxsnarf.c infiltrační nástroje

      Nástroje pro druhé stadium, poté co bylo dosaženo prvního úspěchu, tzn. provolat se a vniknout do systému. Využívají děr v tzv. yp/nis a určí a identifikují přítomnost místní sítě LAN propojené na VAN.

      bgrtroj2.zip trojský kůň

      Funguje jako ona stará řecká báje. Podporuje nepozorované vniknutí do systému tím, že vymaskuje místo průniku tak, aby to systém nezaznamenal.

      hackbot.25 zpětné zrcátko

      Hacker pronikající do systému dokáže díky tomuto nástroji uhlídat, zda při tom není sám sledován.

      Hra na schovávanou

      Zvláštní roli hrají naopak nástroje, jež ničí stopy po vniknutí:

      cloak.c/invis.c hiding tool

      Maskovací nástroj by se dal přirovnat k pověstným, avšak v tomto případě fungujícím "císařovým novým šatům": do něj oděné ostatní hackerovy softwarové nástroje je činí před systémem, do nějž pronikají, neviditelnými.

      sunsnif.c sniffer

      "Čmuchací pes", který prozkoumá vždy sto dvacet osm prvních bitů každého packetu.

      alterlog.c zametač stop

      Nesmírně důležitý nástroj, jenž systematicky mění následně soubor po souboru tak, aby nezbyla ani stopa po tom, že systém byl infiltrován.

      Romantický stereotyp bulváru

      Samozřejmě, že existuje spousta další nástrojů. Těch několik příkladů z výkladu uvádíme, jen aby si čtenář a potencionální hostitel těchto nezvaných návštěvníků uvědomil, kdo jsou nepřátelé jeho počítače nebo systému. Stará představa pár mladých talentovaných kluků je tedy dávno určena k zapomnění a přežívá jen díky nenapravitelně romantickým stereotypům stupidních novinářů většiny bulvárních nebo nepoučitelně laických plátků.

      Jejich dnešní, i Interpolem ověřený, profil je jiný: jsou starší (18-35 let), s dobrým, často zahraničním vzděláním, většinou vysokoškolským z oboru počítačových technologií. Pracují v týmech. A je to velký business. Například vývoj některého čipu (ne nutně zrovna procesoru) obnáší i tři miliardy dolarů poskytnutých i třemi různými bankami ze tří různých zemí. Má-li být tento projekt infiltrován, není to záležitost pro jediného, jakkoliv chytrého člověka u jednoho, jakkoliv silného počítače. Je třeba si uvědomit, že jakmile si vyberou za cíl váš systém, bude atakován čtyřiadvacet hodin denně, neustále a trvale, dokud nenajdou ono slabé místo v jeho ochraně. A buďte si jisti, že vy jste ti poslední, kdo si myslí, že o něm víte nebo je najdete. Oni to udělají za vás. Přesně a čistě, rychle a spolehlivě. Jenže vy se to dozvíte příliš pozdě.

      Jediná obrana je útok

      Jedinou obranou je skutečně útok, a to kupodivu útok proti vlastnímu systému. Jsou to právě někdejší profesionální "lovci lebek", totiž bývalí zpravodajští a policejní experti, kteří zakládají stejně profesionální agentury schopné použít, v tomto případě autorizovaně a pod kontrolou, týchž unikátních nástrojů a testovací metodou se pokusit infiltrovat váš systém. Udělat to musejí sice s vašim vědomím, avšak jinak bez varování a nečekaně: jen tak může jejich eventuální úspěch usvědčit vašeho správce sítě z nedbalosti, pracovníky na jednotlivých terminálech z pohrdání zásadami bezpečnosti na síti a podobně. Jen tak mohou objevit opravdu slabá místa v její ochraně. Pan Austen vyslovil v této souvislosti se stoickým klidem jednu lapidární větu, při níž zamrazilo mnoha přítomným VIP určitě v zádech: ještě nikdy se nestalo, že by při testovacím průniku do systému jeho tým neuspěl.

      Veš v kožichu

      Nicméně: ač hovořil převážně o nebezpečí zvenčí, na závěr zdůraznil, že stejné, ne-li větší nebezpečí hrozí podniku i zevnitř, protože vlastní lidé mají oproti vetřelcům velkou výhodu: vědí, jak systém funguje. Navíc je zde samozřejmě i možnost, že oba tyto typy narušitelů existují najednou a spolupracují. V tomto směru je třeba dávat si pozor zvláště na zcela nové zaměstnance nebo na ty, kdo přicházejí na výpomoc, na předem omezenou dobu.

      Vůbec nejobvyklejším cílem a výsledkem proniknutí do vašeho počítačového systému jsou krádeže databází. Nezaleží na tom, zda jste novinářem nebo ředitelem továrny. Už jenom kontaktní seznam vašich partnerů nebo klientů je pravděpodobně jedním z prvních cílů. Jak myslíte, že mezinárodní zasilatelské a často podvodné služby získávají všechny ty adresy: opravdu si myslíte, že prostě jen opisují telefonní seznamy? Kupují je. Kupují od někoho, kdo je má a kdo vám je nejprve uzmul.

      Riziková analýza
a její časté nedostatky

      Když společnosti vytvářejí ochranná opatření a kvůli nim i rizikovou analýzu, věnují se většinou především riziku ztráty peněz. Zapomínají na možné ohrožení osobní agendy, jejíž získání může být v nepovolaných rukou tím nejlepším ulehčením cesty k únosu nebo vydírání.

      Často se zapomíná i na to, že i nejlepší bezpečnostní systémy musejí být včas obnovovány a vylepšovány. Když zvolíte kvůli úspoře starší verzi ochranného hardwaru nebo softwaru, možná si způsobíte více škody nežli užitku.

      Je třeba být také velmi opatrný na soukromé bezpečnostní agentury. Nezapomeňte na to, že pro jisté kruhy je cílem každý, tedy i ony samy.

      I na to, že když jdete do války, musíte mít plán. Máte-li počítačový systém, a zvláště připojujete-li jej i na Internet, měli byste si jej představit jako středověký hrad a hledat slabá místa způsob, jak právě je nejlíp uhájit.

      Musíte mít bezpečnostní politiku, strategii pro řešení nečekaně vzniklých situací a nehod, průběžné a dokonalé informace o stavu systému. A ti, kdo působí v opravdu velkých a perspektivních organizacích, by měli sledovat kursy akcií, i to, kam směřují trhy, a dávejte pozor na možnost, že by vás měla převzít jiná společnost. Protože to první, co udělá, bude najmutí agentury, která jí o vás opatří i ty nejcennější informace, jež vy sami nebudete chtít zveřejnit.

      A konečně, i všichni vaši zaměstnanci by měli být průběžně vzděláváni v tom, co nejnovějšího se v této oblasti vyskytlo a jakým rizikům se mají naučit čelit.

      Na přednášku Johna Austena, jejíž naléhavost co do nebezpečí hrozícího trvale našim datům zaskočila i největší pesimisty, navázalo vystoupení ing. Aleny Honigové z České národní banky, Rity Tenan ze spolupořádající Fischer International a Malcolma Reipa ze Secure Commnications. Oba posledně jmenovaní představili možnosti řešení: ochranné metody a prostředky Watchdog (Hlídací pes), Smart Disk (Chytrý disk) a Secrets for Windows. Těmto zajímavým řešením se budeme věnovat příště.

      Důstojný závěr akce uspořádané v kinosále sídla Britské Rady na Národní třídě vytvořila na ni navazující recepce v rezidenci britského velvyslance Sira Michaela Burtona.ajn @

            Pan John. Austen, dřívější ředitel Kriminální ústředny pro počítačový zločin londýnské Metropolitní policie, je zároveň expertem Rady Evropy pro počítačovou kriminalitu a jedním ze spoluautorů dokumentu, jenž doporučuje evropským vládám, jak by měly být eventuálně upraveny jejich zákony, aby byl v nich byl výslovně respektován autorizovaný přístup k počítačům, legální modifikace písemných materiálů, eventuálně jejich padělání, apod. Tyto materiály jsou k dispozici v angličtině, němčině a francouzštině v Radě Evropy ve Štrasburku.

      Pan Austen vyslovil
      se stoickým klidem
      jednu lapidární větu, při níž zamrazilo mnoha
      přítomným VIP v zádech: ještě nikdy se nestalo, že by při testovacím průniku do systému
      jeho policejní tým neuspěl.

     

ajn @

internet4U