Безопасности нет: вас уже взломали
29 июля 2016

Безопасности не существует. Даже если вы не выходите из дома, отгородившись от мира пуленепробиваемой дверью и железными решётками на окнах, вы всё равно можете стать жертвой преступления. Кто на самом деле такие хакеры и каких цветов они бывают, зачем тренировать память и выдумывать двадцатизначные пароли — в новом тексте в разделе Защита. А вы уже заклеили объектив камеры на ноутбуке?

В 2007 году вся Эстонии внезапно лишилась доступа в интернет. Перестали работать банкоматы, веб-страницы нельзя было открыть, пришлось приостановить работу государственных систем. Виновником оказался двадцатилетний русский парень Дмитрий Галушкевич, проживающий в Эстонии. Действовал он в одиночку или нет, установить так и не удалось. В 2011 году после присоединения Палестины к ЮНЕСКО часть территории страны лишилась доступа в интернет и телефонной сети в ходе хакерских атак. Эдвард Сноуден рассказал о том, как в 2012 году хакеры из ТАО при попытке удалённо установить эксплойт на один из маршрутизаторов крупнейшего интернет-провайдера Сирии случайно отключили страну от глобальной сети. В фильме «Бойцовский клуб» достаточно было взорвать пару зданий, чтобы уничтожить все данные о людях. В наши дни положить начало хаосу можно дистанционно.

Хакер

«Для начала я хотел бы привести определения слову «хакер», так как его трактуют в большинстве случаев лишь в одном контексте — по сути неверном — «взломщик». В изначальной трактовке это слово не подразумевало ничего плохого и незаконного. Однако сегодня услышать от не подкованного в ИТ сфере человека в свой адрес фразу «Ты хакер» — это практически обвинение».

По официальной версии, «хакер» происходит от английского «to hack», что означает «разрубать», но на самом деле слово произошло из иврита, где «хэкэр» — это «исследование». Субкультура, впервые заявившая о себе во времена ламповых счётных машин, существует и развивается в неразрывной связи с компьютерной техникой. Хакеров ни в коем случае нельзя путать с кулхацкерами и ламерами, то есть всякими низкоуровневыми немного продвинутыми пользователями интернета школьного возраста, орущими в комментариях, что вычислят вас по IP.

Настоящие хакеры бывают разные: есть те, кто хочет заработать; те, кто хочет славы; есть идейные альтруисты; кроме того, есть и добрые хакеры. Иногда их подразделяют на белых, серых и чёрных. Белые хакеры — это специалисты по кибербезопасности, осуществляющие свою работу в рамках закона, не причиняя никому вреда; это те, кого нанимают корпорации с целью выявления брешей в системах безопасности. Чёрные действуют в корыстных целях. Им не близки никакие этические нормы, они будут делать всё, что вздумается, невзирая ни на законы, ни на ущерб, причиняемый компаниям или конкретным личностям. Серые же действуют чёрными методами, но во благо, они в состоянии нарушить закон, но без злого умысла. Вообще хакерство — очень сложный процесс, на который приходится тратить очень много времени, поэтому это становится стилем жизни.

Настоящие хакеры могут сидеть над задачей неделями и даже месяцами, а порой и дольше.

ФАКТ №1: Я знаю все твои трещинки
Большинство крупных корпораций периодически заказывают взлом своих систем для выявления уязвимостей. Например, Facebook платит минимум 500 долларов за найденную брешь в безопасности социальной сети, а Google ещё больше — сумма некоторых контрактов достигает 20 000 долларов. ВКонтакте наградит вас суммой минимум в 100 долларов за поиск уязвимостей в сервисах компании и её официальных мобильных приложениях.

Anonymous

Самый известный пример идейных альтруистов — хакерская группировка Anonymous. Их символом является маска Гая Фокса из «V значит Вендетта», напоминающая о борьбе с репрессивным правительством, а приблизительная численность, по некоторым оценкам, составляет несколько тысяч человек. Группировка ведёт свою деятельность с 2008 года. Среди самых известных проектов Anonymous — протест против деятельности Церкви саентологии, протест против антипиратства и авторского права, протест против цензуры в интернете. Так 2012 году после закрытия сайта MegaUpload, в знак протеста Anonymous провела крупнейшую в истории DDoS-атаку с применением LOIC. В результате атаки были выведены из строя сайты ФБР, Белого дома, Министерства юстиции, холдинга звукозаписи Universal Music Group, Американской ассоциации звукозаписывающих компаний, Американской ассоциации кинокомпаний, а также Американского управления авторского права. В 2013 году Anonymous в ответ на операцию «Облачный столп» в Секторе Газа атаковали более ста тысяч израильских сайтов. Ущерб от атаки был оценён в 3 000 000 000 долларов. А во время украинского кризиса группировка подвергла атаке правительственные сайты РФ и сайты некоторых российских СМИ. В 2015 году хактивисты объявили войну ИГИЛ, разместив в сети личные данные пяти тысяч аккаунтов членов террористической группировки.

Но даже такая крупная группировка лишь в теории может устроить апокалипсис из «Бойцовского клуба» или «Мистера робота». В мире почти семь с половиной миллиардов человек. Допустим, что у трети есть компьютеры. Добавим к ним компьютеры и сервера правительственных организаций и крупных корпораций с сильной защитой. Получается достаточно внушительная сумма, на взлом которой даже у нескольких тысяч слаженно работающих хакеров уйдёт больше жизни. Однако наверняка никто знать не может.

Факт №2: Remember, remember the Fifth of November
Маска, копирующая внешность средневекового анархиста Гая Фокса, представляет собой своеобразное переходящее знамя. Так в комиксе после гибели V её забирает себе его соратница. Она понимает, что личность V не важна, а смысл заключён в идее, которую он воплощает. Таким образом, V — скорее явление, символов протеста и борьбы против коррупции, нынешнего строя и реформ власти.

Darknet и TOR

Первая ошибка начинающих хакеров заключается в том, что они пользуются обычным интернетом. Так их и вычисляют. Настоящие хакеры обитают в даркнете. Есть интернет, в котором мы находимся сейчас, а есть его тёмная сторона, где сидят преступники, драгдилеры и киберпреступники. Там торгуют оружием, наркотиками, детскими органами — вообще всем, что незаконно. Попасть в даркнет очень сложно, дорога туда лежит через определённые браузеры, которые защищены от отслеживания.

Раньше в даркнет попадали через браузер TOR. С него можно зайти только на .onion, который давно отслеживается всеми спецслужбами мира после истории с раскрытием «чёрного» онлайн-рынка Silk Road. По IP-адресу вычислить пользователя даже в этом браузере на данный момент невозможно, вычисляют в нём людей всякими уловками. Браузер создаёт сеть между двумя, тремя, миллионами компьютеров со всего мира.

Информация неоднократно шифруется и потом отсылается через несколько сетевых узлов, называемых луковыми маршрутизаторами, что не позволяет определить изначального отправителя. Например, человек решил купить наркотики через TOR. Если он просто вбивает «купить наркотики» в адресной строке, то велика вероятность попасть на фальшивый сайт, созданный МВД, например. Поэтому настоящих дилеров можно найти только на проверенных сайтах, о которых можно узнать от знакомых.

Факт №3: Сладкая N
В даркнете есть кулинарный сайт, содержащий полное руководство по приготовлению женщин. На странице есть информация о том, как правильно разделывать тело на части, какие из них использовать в приготовлении ужина и как собственно готовить женщину, чтобы мясо получилось вкусным и мягким. Там же есть инструкция по хранению мяса.

Социальные сети

Хакером-взломщиком может стать любой профан, скачав соответствующее ПО и воспользовавшись им. Таких людей обычно называют скрипт кидди (script kiddie — детишки со скриптами). Взлом социальных сетей, подбор паролей — всё очень просто. Представьте, что вы забыли пароль от своей учётной записи. Вы примерно помните, какой должен быть пароль, и начинаете пробовать различные комбинации, чтобы найти верный.

Программы подбора паролей работают так же. Программе даётся список логинов и паролей, после чего она начинает генерировать варианты пока не найдёт верный. Переборщики паролей либо сами генерируют слова, полным перебором символов, либо берут их из словарей, которых в интернете огромное множество. Взломщик будет придумывать список паролей или брать популярные и генерировать пароли по некой маске. Список популярных паролей можно взять из утечек баз данных, которых немало — сотни миллионов учётных записей.

При генерации паролей по маскам основная проблема заключается в том, что пользователи используют одинаковые или похожие пароли для различных сервисов. Таким образом, получив пароль от одного аккаунта пользователя, можно с большой долей вероятности получить доступ к другому, а за ним и ко всем.

Другими способами взлома аккаунтов пользователей являются поиск уязвимости на сервере или поиск личных слабостей пользователя сетевого ресурса, а также социальная инженерия, вплоть до заражения компьютера пользователя вредоносным ПО. Системы восстановления паролей используют очередь — к примеру, почтовый ящик, номер телефона или секретный вопрос для восстановления пароля. То есть доступ к конкретному аккаунту теоретически можно получить, используя другие сервисы.

Что касается социальной инженерии, тут мошенник может прикинуться админом, может переслать жертве фейк — точную копию программы или сайта с хакерской базой данных, созданной для добычи паролей, номеров карт, телефонов — всего чего угодно.

Факт №4: Вор должен сидеть
За создание вредоносных программ или внесение изменений в существующие программы, заведомо приводящих к несанкционированной порче или копированию информации и к нарушению работы компьютера, в Российском законодательстве предусмотрено наказание — лишение свободы на срок до четырёх лет, штраф до 200 000 рублей или в размере дохода за период до восемнадцати месяцев. Те же деяния, повлёкшие по неосторожности тяжкие последствия, наказываются лишением свободы на срок от трёх до семи лет.
«Я, например, ради взлома почты притворялся девушкой в анонимных чатах и выбивал ответ на секретный вопрос».
Порой для того или иного ресурса создаются специальные программы, которые дают жертве некие преимущества в этом ресурсе: вроде «короля аськи» или +100500 голосов в ВК. Наивный пользователь вводит логин и пароль, а дальше взломщик получает доступ к его аккаунту.

«Лучше использовать пароли, созданные соответствующими генераторами паролей, к примеру, я использую пароли следующего вида: «GwlgURtG5b7e9Sw9G9fX». Из требований к стойким паролям можно выделить следующие: пароль должен быть не короче двенадцати символов, в пароле должны быть использованы прописные буквы, заглавные буквы, цифры, символы».

К слову, когда вы что-то удаляете у себя в браузере или социальной сети, например, переписки, медиафайлы, — они остаются храниться на сервере. Доступ к серверу имеют разработчики. А взломать разработчика или сервер и получить доступ ко всей хранящейся там информации не составляет труда для опытного хакера.

WebCam

Веб-камера на компьютере может без вашего ведома записывать фото и видео. К веб-камерам подключаются удалённо. Любой толковый хакер это сделает, зная ваш IP-адрес, который можно заполучить самым примитивным образом, например, через сниффер или при помощи фишинга. Вам отправляют картинку — «О, дружище, смотри какая фотка!», когда вы переходите по ссылке, ваш адрес становится известен хакеру, а с его помощью можно удалённо управлять вашим ПК. 

Скайп же может получить доступ к вашей камере — так же и вредоносное ПО может осуществлять запись и с микрофона, и с веб-камеры вашего компьютера.

«Мы с одним хером беседовали, который нашёлся в даркнете, он и не такое делал. Этот парень мог управлять чужим ПК удалённо и вскрывать практически всё. Проводить DDoS атаки, подключаться одновременно к трём десяткам ПК. Это достойно похвалы».

К слову, первое вредоносное ПО, или сетевой вирус, был создан в 1988 году Тэппэном Моррисом и получил его фамилию. Эпидемия поразила около шести тысяч узлов на тот момент ARPANETа. Двадцатитрёхлетний студент допустил несколько важных ошибок в кодировании и запустил то, что он не смог контролировать. «Червь Морриса» должен был бы заражать только VAX-компьютеры с операционными системами 4BSD и Sun 3. Однако портируемый си-код дал червю возможность запускаться и на других компьютерах.

Факт №5: Батенька, да вы параноик
Две трети россиян опасаются взлома своих веб-камер. Около 52% уверены, что хакеры могут получить доступ к веб-камере ноутбука,14% признались, что во избежание взлома заклеивают объектив пластырем или изолентой, 31% респондентов не боятся взлома, 12% не понимают, кому может быть интересен взлом веб-камеры, а 8% считают, что взлом — это выдумка. Всего 11% опрошенных россиян заявили, что доверяют своему антивирусу.

Телефоны и мессенджеры

Телефоны можно прослушивать и на уровне оператора, и на уровне взлома телефона. На телефон также, как на компьютер, можно установить вредоносные программы. Если речь идёт именно о голосовой связи, то самые простые способы: взлома телефона — это получения доступа к разговору, либо к самому аппарату, либо подмена (спуфинг) базовой станции (БС), через которую осуществляет звонок абонент. В последнем случае атакующий должен находиться недалеко от жертвы, чтобы она подключалась именно к его БС. Так же можно получить доступ к звонкам через оператора, как это делают, к примеру, спец службы. Ещё можно отправить или получить смс с чужого номера. Для этого нужен дубликат сим-карты человека, которые выдают направо и налево, третьим лицам, по поддельным доверенностям, якобы от абонента в салонах связи.

Разблокировать без пароля iPhone или разблокировать простой четырёхзначный пароль — большая проблема. Если вы не знаете пароль, то поможет восстановление, в этом случае потеряются все данные на трубке. Однако неоднократно находились уязвимости систем блокировки телефонов, что у iPhone, что у телефонов на Android: iOS использует криптостойкий алгоритм шифрования данных, подбор пароля к которому требует больших вычислительных ресурсов, поэтому взломать телефон террориста без помощи Apple было очень тяжело, но всё-таки возможно. Сумма сделки с хакерами оценивается в 1 500 000 долларов.

Двойная аутентификация — не панацея, но очень осложнит дело взломщику. Если она стоит, нужен доступ к телефону, либо придётся разузнать код из смс, например, используя социальную инженерию, то есть дубликат сим карты.

В основе шифрования мессенджеров (Whats App, Telegram и так далее) лежит математика. Есть множество известных алгоритмов шифрования, признанных устойчивыми, это означает, что алгоритм шифрования невозможно взломать. Сообщения передаются в зашифрованном виде, а это значит, что, если кто-то перехватит ваш траффик, он всё равно ничего с ним не сможет сделать. Но в реальном мире возможна атака на GSM-сети, на оператора связи, тот же дубликат сим-карты. Не так давно промелькнула статья, в которой рассказывалось, как зайти в Телеграм с левого номера и получить доступ только к контактам, не к сообщениям.

«Мессенджеры не полностью защищают вас от прослушки, но тот же Телеграм — достаточно хороший вариант, и я бы ему доверял. Не зря все торговцы запрещёнными товарами у нас в России пользуются именно этим мессенджером».

Вообще взломать можно любого пользователя, вспомним случай с iPhone Дмитрия Медведева. Также можно взломать и любого другого главу государства.

«О таком говорить и писать вряд ли станут, но это реально. Просто в том же МВД тоже не дураки сидят, они смогут вычислить, кто это сделал. И впишут срок огромный или вообще грохнут и в болото кинут.

Факт №6: Дедушка всех хакеров
Фокусник и изобретатель Джон Невиль Маскелин в 1903 году сорвал публичную демонстрацию, где Джон Флеминг показывал якобы безопасную беспроводную передачу данных Маркони. Маскелин взломал частоту на которой передавались данные, и передал текст о том, что Маркони вешает людям лапшу на уши.
В Америке пропал мальчик, маленький мальчик, который взломал сервер NASA, ему было лет восемь.

Обошёл самую сложную защиту в мире, и по сей день это повторить не каждый сможет. А парня этого просто убили, кому нужен такой хакер в живых, который сможет проводить атаки на правительство США?».

Вообще случаев взлома NASA было немало. Так, например, бразильские хакеры по ошибке взломали четырнадцать сайтов NASA и оставили на них сообщение, призывающие прекратить шпионить за ними и не нападать на Сирию. Целью хакеров было АНБ, дело в том, что АНБ на английском — NSA.

Что можно взломать?

В 1994 году россиянин Владимир Левин проник во внутреннюю сеть американского Citibank и смог перевести почти 11 000 000 долларов на счета в США, Финляндии, Германии, Израиле и Нидерландах. Деньги вернули, Левина арестовали и приговорили к трём годам лишения свободы. Позже была опубликована информация, что доступ к системам Citibank изначально получила российская группировка хакеров и продала информацию Левину за 100 долларов.

Множество американских фильмов показывают картину копирования пропуска. Данные пропуска используют технологию RFID, и в большинстве случаев не составляет труда применить ридер для чтения данных с этих карт и последующей их записи на чистую карту. Сделать таким способом копию можно даже банковской карты. Кроме того, существуют устройства, которые снимают средства с карты просто при приближении. Поэтому стоит быть бдительнее в метро. Есть ещё устройства, позволяющие снимать таким способом средства с мобильного счёта.

В случае получения доступа можно изменить вещание телестанции — а почему бы и нет? То же самое с ГЭС или любым другим промышленным объектом. Также хакеры могут управлять светом, электричеством, расписанием поездов, разводными мостами — всем, что подключено к сети. В автоматизированных системах управления технологическим процессом (АСУ ТП) также имеется множество уязвимостей, а неквалифицированный или ленивый персонал допускает серьёзные ошибки при проектировании и настройке сетевой инфраструктуры подобных предприятий, не придавая должного значения кибербезопасности.

Хакеры могут заполучить доступ и к спутникам. Перехватывать сигнал между устройством и спутником и даже осуществлять MitM атаку — для умельца не составит труда. К примеру, можно вспомнить инцидент с атакой на беспилотник в Иране: когда был осуществлён перехват сигнала, беспилотник приземлили в заданном атакующими месте.

Факт №7: Апокалипсис в прямом эфире
В 2007 году хакеры перехватили вещание чешской программы, которая показывает панорамные видео с камер в прямом эфире из Праги и по всей стране. Видеопоток был заменён хакерами на видео с ядерным взрывом, которое закончилось белым шумом. Испуганные чехи завалили телеканал звонками.
Можно взломать даже кнопку пуска ядерной ракеты или запустить какое-нибудь химическое оружие.

Другое дело, что такие системы не должны быть подключены к сети интернет и их место положения должно быть строго засекречено. В наши дни все данные о людях хранятся в электронном виде, а любая система имеет уязвимости и бреши, хакеры находят эти уязвимости.

ДОБАВЬТЕ КОММЕНТАРИЙ

comments powered by HyperComments

Больше?