Specializovan² t²denφk o v²poΦetnφ technice
o Internetu
(CW 19/97)

---

Hacke°i a ti druzφ

V naÜich podmφnkßch si komplexnφ bezpeΦnostnφ °eÜenφ volφ obvykle Φeskß zastoupenφ zahraniΦnφch firem, kter²m to jejich mate°skΘ organizace uklßdajφ jako podmφnku.

Diskuse okolo hackerstvφ se u nßs v₧dy n∞jak² Φas t∞Üφ vzedmutΘ vln∞ zßjmu, kter² poslΘze op∞t opadne. Poslednφ p°φpad takto nastal ve chvφli, kdy neznßm² ·toΦnφk zniΦil strßnku v∞novanou mobilnφm telefon∙m, p°iΦem₧ pozm∞nil nejen vstupnφ obrazovku (jako p°edtφm znßm² CzERT), ale smazal i celou databßzi. Nßsledkem toho se v internetov²ch periodikßch objevily rozho°ΦenΘ Φlßnky, odsuzujφcφ ·toΦnφka; sbφrka hacknut²ch strßnek byla odstran∞na ze serveru NeviditelnΘho psa. U₧ p°edtφm doÜlo k ·toku na server Mamedia, kde byl zve°ejn∞n seznam lidφ obvin∞n²ch z krßde₧e softwaru (nßsledovala diskuse o omluvitelnosti takovΘho poΦφnßnφ za okolnostφ, kdy jsou u nßs legßln∞ zφskanΘ softwarovΘ balφky pro v∞tÜinu soukrom²ch u₧ivatel∙ finanΦn∞ nedostupnΘ). V tΘto chvφli vÜak emoce opadly a je Φas probrat celou zßle₧itost hned z n∞kolika stran.

N∞kterΘ dalÜφ p°φpady

TerΦem hackersk²ch ·tok∙ se stala nap°. America On Line. Hacke°i sv∙j ·tok dop°edu avizovali, kdy₧ vÜak k n∞mu opravdu doÜlo, ₧ßdn²ch zvlßÜtnφch ·sp∞ch∙ nedosßhli. NeÜ¥astnß America On Line se p°itom ji₧ p°edtφm stala jednou ob∞tφ "vtipßlk∙", kdy₧ byl napsßn program, s jeho₧ pou₧itφm fungovala celß slu₧ba zdarma. Cφlem agrese se ji₧ stala CIA, americk² kongres, university po celΘm sv∞t∞, newyrosk² policejnφ department...

Nejnov∞jÜφm p°φpadem jsou oblφbenΘ strßnky NASA.

"E-mailovß bomba" zasßhla na konci b°ezna kongres USA, potφ₧e s hackery m∞la i americkß armßda...

Podle ·daj∙ americkΘho ministerstva obrany a spoleΦnosti Datapro vzrost poΦet hackersk²ch ·tok∙ na strßnky americk²ch stßtnφch institucφ roku 1996 v porovnßnφ se situacφ o rok d°φve vφce ne₧ dvojnßsobn∞.

Nßzory se r∙znφ

Hacke°i se v zßsad∞ rozd∞lujφ na ty, kdo vyzdobφ vstupnφ obrazovku sv²m v²razn²m podpisem a na ty, kdo pßtrajφ po informacφch. O t∞ch druh²ch se zdaleka ne v₧dy n∞kdo dozvφ; je Φasto opakovanou skuteΦnostφ, ₧e neexistuje ₧ßdnß absolutnφ bezpeΦnost, kterß by vaÜi sφ¥ ochrßnila, m∙₧ete jenom pracovat v oblasti pravd∞podobnostφ. V nejlepÜφm p°φpad∞ jsou bezpeΦnostφ °eÜenφ o krok nap°ed p°ed ·toΦnφkem -- m∙₧e ale snadno nastat i situace zcela opaΦnß.

Boj proti hacker∙m

╪eΦnφci na nedßvno konanΘ americkΘ Banking & Information Security Conference p°itom opakovan∞ hovo°ili o tom, ₧e metoda vyvolßnφ nestability systΘmu prost°ednictvφm jeho bombardovßnφ velk²m mno₧stvφm dat je pou₧φvßna standardn∞ a beztrestn∞. Agresor p°inejmenÜφm dosßhne toho, ₧e se zhroutφ jakßkoliv dalÜφ komunikace p°φsluÜnΘ aplikace. Hacke°i majφ °adu vlastnφch WWW strßnek (nap°. elektronick² Φasopis Phrack, na http://www.fc.net/phrack/), archiv∙ (nap°. http://www.2600.com/hacked_pages) Φi usenetov²ch konferencφ.

╪ada odbornφk∙ je v tomto ohledu pesimistickß. Winn Schartau, autor knihy s charakteristick²m nßzvem InformaΦnφ vßlka: Chaos na elektronickΘ dßlnici, p°itom hovo°φ p°φmo o kritickΘ situaci internetov²ch slu₧eb.

NicmΘn∞ v poslednφ dob∞ byla navr₧ena °ada °eÜenφ. Za nejnad∞jn∞jÜφ je pova₧ovßn balφk, kter² by m∞l svoji definitivnφ podobu spat°it v pr∙b∞hu p∙l roku. Specißlnφ moduly by m∞ly detekovat p°φliv v∞tÜφho mno₧stvφ e-mail∙ Φi ping∙ z jednoho mφsta. Novinkou by m∞lo b²t vÜak zejmΘna jejich sledovßnφ a₧ k vlastnφmu zdroji -- bez ohledu na to, ₧e se hacker tvß°φ jako faleÜnß IP adresa.

DalÜφ z variant ochrany

Jednou z mo₧nostφ ochrany proti hackersk²m ·tok∙m je °eÜenφ Open Source Monitoring. V USA jej nabφzφ ji₧ n∞kolik provozovatel∙. V rßmci tΘto slu₧by je prohledßvßna sφ¥ WWW, Usenet i r∙znΘ sφt∞ typu BBS. JmΘno spoleΦnosti, kterß si slu₧bu objednala, je zde hledßno spolu s dalÜφmi klφΦov²mi slovy. Pokud se tato slova vyskytnou v diskusnφch skupinßch Φi na WWW serverech, pova₧ovanΘ za hackerskΘ, spoleΦnost je na to upozorn∞na a mß jeÜt∞ mo₧nost podniknout kroky k minimalizaci rizika.

Hovo°φ guru Sterling

Vyjßd°enφ Bruce Sterlinga, jednoho z kyberpunkov²ch vizionß°∙, m∙₧eme najφt na antivirovΘ strßnce spoleΦnosti IBM (http://www.av.ibm.com/current/CoverStory). Bruce Sterling, kter² je i autorem knihy The Hacker Crackdown, je₧ podle mnoh²ch vypovφdß o jeho sympatiφch k hacker∙m, hovo°φ o rozdφlu mezi hackery a tv∙rci poΦφtaΦov²ch vir∙. Zatφmco hacke°i jsou v jeho podßnφ lidmi, kte°φ zφskßvajφ informace, je₧ by velkΘ korporace nejrad∞ji p°ed ve°ejnostφ utajili, tv∙rci vir∙ jsou v jeho podßnφ zloΦinci, jejich₧ aktivita poÜkodφ p°edevÜφm obyΦejnΘ u₧ivatele, nevlastnφcφ p°φsluÜn² ochrann² software a xkrßt zßlohovanß vÜecha data. Na p°φpadu socialistickΘho Bulharska Sterling rovn∞₧ soudφ, ₧e na rozdφl od individualistick²ch hacker∙ pracujφ tv∙rci vir∙ v t²mech a Φasto jsou politicky motivovßni a °φzeni vlßdnφmi organizacemi. Je z°ejmΘ, ₧e v Sterlingov∞ vymezenφ pojm∙ se hackerem mφnφ p°edevÜφm Φlov∞k shßn∞jφcφ informace a pracujφcφ nedestruktivn∞.

JeÜt∞ jedna autorita

V oblasti internetovΘ bezpeΦnosti je dalÜφm z uznßvan²ch autorit Dan Farmer. Jeho program Satan, kter² hledß (a v∞tÜinou takΘ nalΘzß) bezpeΦnostnφ dφry v systΘmech, mu vynesl proslulost p°esahujφcφ hranice sv∞ta IT -- by¥ se na tom z°ejm∞ podφlel zejmΘna samotn² nßzev. Farmer∙v profil dnes p°inßÜejφ i takovΘ Φasopisy, jako je Scientific American.

Mylnß zprßva o hackingu

Za liÜßck² kousek je mo₧nΘ oznaΦit nedßvn² p°φpad, kdy hacke°i napadli mφsto, kde byl odkaz na p°est∞hovanou strßnku. Odkaz byl zam∞n∞n a u₧ivatelΘ byli dßle vedeni na p°edp°ipravenou strßnku hackera -- ani₧ by ovÜem doÜlo ke "skuteΦnΘmu" hackingu. ZejmΘna v p°φpad∞ organizacφ, kterΘ majφ n∞co spoleΦnΘho s armßdou nebo nßrodnφ bezpeΦnostφ, m∙₧e podobn² trik snadno vzbudit vÜeobecnou paniku.

Tento kousek je samoz°ejm∞ umo₧n∞n za p°edpokladu, kdy spoleΦnost umφstφ odkaz (a¥ u₧ je p°esm∞rovßnφ automatickΘ a nebo jako link) na mΘn∞ chrßn∞n² poΦφtaΦ, nebo¥ -- v jistΘm smyslu prßvem, alespo≥ co se vlastnφch dat t²Φe -- nepova₧uje zabezpeΦenφ v tomto p°φpad∞ v∙bec za nutnΘ.

Soudnφ procesy

P°φpady hacker∙, kte°φ v poslednφ dob∞ skonΦili p°ed soudem, jsou a₧ tφm poslednφ Φlßnkem °et∞zce. Prßvnφ aspekty tΘto problematiky jsou zßle₧itostφ komplexn∞jÜφ a souvisejφ spφÜe obecn∞ s informaΦnφmi systΘmy ne₧ konkrΘtn∞ s Internetem.

BezpeΦnost z trochu jinΘho soudku

I bez hacker∙ u₧ zmatek a potφ₧e panujφcφ na Internetu mnohdy dosahuje stupn∞, kter² u₧ivatel∙m podstatn∞ komplikuje jejich prßci. P°ed nedßvnem se na WWW strßnce Internet Society po klepnutφ na tlaΦφtko "What is the Internet?" objevilo chybovΘ hlßÜenφ. AΦkoliv je v tomto ohledu ji₧ vÜe v po°ßdku, cel² p°φpad je v jistΘm ohledu charakteristick².

S objevenφm Javy a ActiveX vstoupily navφc na scΘnu problΘmy zcela jinΘho charakteru. Microsoft v souvislosti s potφ₧emi, kterΘ m∙₧e ActiveX zp∙sovit, zahßjil program Web Executable Security Adviser. Dosavadnφ srovnßnφ obou technologiφ provedenΘ Bobem Trottem z americkΘho InfoWorldu p°itom vede k zßv∞ru, ₧e v souΦasnosti jsou ActiveX controls nebezpeΦn∞jÜφ ne₧ javovΘ applety. NicmΘn∞ v novΘm Communicatoru je technologie sandbox, kterß zatφm p∙sobnost applet∙ omezovala, opuÜt∞na...

Srovnßnφ s bankovnictvφm

Robert L. Ayers, °editel Defence Information Systems Agency, soudφ, ₧e neexistuje ₧ßdnΘ "koneΦnΘ °eÜenφ" problΘmu. Je ale mo₧nΘ dosßhnout takovΘ ·rovn∞ zabezpeΦenφ, ₧e se b∞hem Φasu pot°ebnΘho k prolomenφ na ·toΦnφka p°ijde. "Libovoln² sejf lze nakonec vyhodit do pov∞t°φ -- jde jenom o to, zda b∞hem tΘ doby stihnete uv∞domit policii," °φkß.

Jedno takovΘ, zatφm neprolomenΘ °eÜenφ, pou₧φvß First Network Bank, je₧ se elektronick²m obchodem a transakcemi zab²vß ji₧ od roku 1995. DoÜlo ji₧ p°itom k n∞kolika pokus∙m o naruÜenφ bezpeΦnosti, ale systΘm v₧dy vydr₧el prvnφ nßpor a ·toΦnφci v obav∞ p°ed prozrazenφm akci v₧dy p°eruÜili.

V tΘto souvislosti se diskutuje otßzka, nakolik majφ b²t s podstatou zabezepΦenφ sφt∞ seznßmeni vedoucφ pracovnφci. Nßzory se r∙znφ.

Bude Internet rozd∞len?

Rozd∞lenφ Internetu na minimßln∞ dv∞ spolu pouze jednosm∞rn∞ propojenΘ sφt∞, je °eÜenφ, o n∞m₧ se zaΦalo mluvit v okam₧iku otev°enφ Sφt∞ komerΦnφm zßjm∙m. KonkrΘtnφ podobu budoucφho modelu dnes (z°ejm∞) nikdo neznß. Projekt Internet II sv∞dΦφ ovÜem o odliÜn²ch po₧adavcφch v∞deckΘ komunity na ·nosnou mφru chaosu. Stejn² rozdφl p°itom zjevn∞ existuje i v pohledu na ·nosnou mφru rizika, pouze d∞licφ Φßra zde vede jinak: od bankovnφch transakcφ po otev°enΘ diskusnφ skupiny, p°iΦem₧ prost°edφ univerzit stojφ uprost°ed.

FalÜovßnφ e-mailu

Tvß°it se jako n∞kdo jin² nenφ pro zkuÜen∞jÜφho naruÜitele zvlßÜtnφ problΘm. Pokud se podφvßte do kolonek From a Received v zßhlavφ doÜlΘho e-mailu, nezjistφte pravd∞podovn∞ v∙bec nic. Pomocφ nßstroje NetScan (http://www.eskimo.com/~nwps/index.html -- zde si ho m∙₧ete i stßhnout) p°itom dosßhnete nßsledujφcφho: aΦkoliv jmΘno domΘny v hlaviΦce zprßvy je faleÜnΘ, program najde skuteΦnou IP adresu a vy m∙₧ete napsat p°φsluÜnΘmu sprßvci, ₧e n∞kdo jeho server zneu₧φvß. DoporuΦuje se vÜak z∙stat zdvo°il², nebo¥ rovn∞₧ IP adresa m∙₧e b²t zfalÜovßna. NetScan p°itom zahrnuje i dalÜφ slu₧by.

Co jsou "most important data"?

Obecn∞ se soudφ, ₧e vÜe, co nßle₧φ do tΘto kategorie, by rad∞ji nem∞lo s Internetem p°ijφt v∙bec do styku. OvÜem co vlastn∞ tato skupina zahrnuje a jak²m zp∙sobem s t∞mito informacemi pracovat, to u₧ zßle₧φ na vßs -- a¥ u₧ jste drobn²mi podnikateli, v∞deck²mi pracovnφky nebo snad pracovnφky (nikoliv Φesk²ch) tajn²ch slu₧eb.

(pah)