Текст книги "Компьютерные террористы"

Автор книги: Татьяна Ревяко

сообщить о нарушении

Текущая страница: 12 (всего у книги 34 страниц)

Хакеры атакуют интерактивные службы

Несмотря на недавние атаки хакеров, которые вывели из строя серверы World Wide Web в Калифорнии и Нью-Йорке, предприятия, ведущие свой бизнес по сети Internet, продолжают ею пользоваться. Вместе с тем, по утверждению их представителей, они и раньше знали о том, что вести бизнес по Internet – дело рискованное.

«Ведь у вас есть витрина, любой может зайти с пистолетом и совершить ограбление, – объясняет Дэвид Ре, исполнительный директор компании Attitude Network, которая пользуется услугами провайдера Internet – фирмы Unet Technologies, – Конечно, всегда есть риск, что такое время от времени может произойти, однако я не думаю, что этот риск перевешивает».

В последней атаке хакеров высокого класса применялся метод, известный как SYN-flood.

Хакер, использовавший этот метод, 7 декабря на 9 часов, а 14 декабря – на 40 часов выводил из строя Web-сервер провайдера Internet-служб компании Web Communications LLC.

«Мы, вероятно, недооценили серьезность вопросов защиты, – заявил президент компании Web Communications Крис Шефлер. – Не следовало полагать, что такое с, нами никогда не случится».

Эта атака привела в полный беспорядок деятельность 2200 предприятий и коммерческих пользователей Web Communications. Перед тем, в сентябре, была совершена такая же атака на другого провайдера – компанию Panix.

В атаке SYN-flood используются недостатки протокола TCP/IP. Мишенями для нападений такого типа оказались два широко известных провайдера услуг Internet, однако любой сервер в этой сети тоже подвержен риску, независимо от того, кто его эксплуатирует.

Атакующий посылает со своего компьютера сообщение, запрашивающее у системы-мишени разрешение на открытие сеанса связи. Атакуемая система просит подтверждения и оставляет канал открытым в течение 90 секунд.

Обычно машина, посылающая запрос, за это время отвечает, однако в случае атаки хакера она вместо этого посылает еще один запрос на сеанс TCP/IP и продолжает делать это с частотой до 200 раз в минуту.

«Это эквивалентно тому, как если бы вам звонили по телефону и тут же вешали трубку, – объясняет Юджин Спаффорд, директор программы Computer Operation, Audit and Security Technology университета Пердью. – Вы держите трубку, повторяя: „Алло, алло, кто там, алло?“, а затем вешаете ее. Однако, пока вы держите трубку, телефонная линия вами занята».

Попытки поймать хакеров оказались тщетными из-за того, что посылающие запрос зашифровывали свои адреса Internet с использованием кода, так что было невозможно проследить сеанс. Свое название подобный тип атаки (SYN flooding – синхронная лавина) получил потому, что при этом используется синхронизирующий сигнал.

Компании ANS (дочерняя фирма America On-line), COAST и Sun Microsystems имеют программные «заплатки», предназначенные для блокировки атаки SYN. Последняя версия коммерческого Web-cepвepa компании Netscape Communications более устойчива к таким атакам, чем предыдущие версии, в том числе и та, которую использовала компания Web Communications. Однако руководители последней были против модернизации, поскольку считали, что более поздняя версия работает нестабильно.

«Мы постараемся ускорить процесс перехода на более устойчивый Web-сервер, – сообщил Шефлер. – Кроме того, ведутся переговоры с компанией Cisco относительно мер по защите маршрутизаторов».

Узел Panix, между тем, некоторое время противостоял попыткам сокрушить его серверы методом атаки SYN. Начиная с сентября неизвестный хакер несколько раз в неделю пытался взломать систему, и когда наконец ему удалось проникнуть в нее, он на 12 часов парализовал работу части служб. Об этом сообщил Алексис Розен, президент компании Public Access Networks, которая эксплуатирует Panix. Чтобы заблокировать атаки, компания переписала ядро операционной системы SunOS на своих серверах Sun.

«Наши заплатки на ядре – далеко не самое лучшее решение, но они работают, – отмечает Розен. – Если бы атаки длились более нескольких минут каждая, мы смогли бы выяснить, кто их совершает, и наказать виновника».

Департамент полиции Нью-Йорка подвергся нападению хакеров

Для защиты данных в компьютерной сети можно использовать все что угодно, начиная от брандмауэров и антивирусного ПО и заканчивая кодированием.

Но как защитить телефоны?

В апреле 1996 года департаменту полиции Нью-Йорка пришлось убедиться, что, к сожалению, голосовая почта тоже является уязвимым местом для атак. Ночью хакеры проникли в полицейскую систему и изменили текст приветствия, которое воспроизводилось всем звонившим. Новое сообщение гласило, что офицеры-де слишком заняты поеданием пончиков с кофе, чтобы отвечать на телефонные звонки. В случае опасности автоответчик рекомендовал звонить по 911.

Сотрудники департамента полиции Нью-Йорка, отказавшиеся от комментариев по этому поводу, не одиноки в своих злоключениях.

«Нам никогда и в голову не приходило, что кто-то предпримет попытку взлома системы голосовой почты», – сказал программист Крис Бэртрам, работающий на небольшую компанию с Восточного побережья. Однако недавно телефонный взломщик воспользовался бесплатным номером компании для проникновения в ее голосовую почту. Хакер, называющий себя Shadow Runner (что-то вроде «призрачного вестника»), создал для себя и своих друзей почтовые ящики, использовал их как бесплатные центры обмена сообщениями и даже рекламировал эту услугу в Internet.

Компания, где работает Бэртрам, обнаружила мошенничество в январе, когда к ним позвонила женщина и спросила о бесплатной службе голосовой почты. Очевидно, прочитав рекламу, она не поняла, что это проделки хакеров. Сотрудники компании были по меньшей мере удивлены таким вопросом. Впоследствии они обнаружили 17 почтовых ящиков, зарезервированных на имя Shadow Runner.

Компания оказалась легкой добычей благодаря новой телефонной системе от Samsung Telecommunications America. Система была установлена реселлером, который оставил 100 неиспользуемых почтовых ящиков, по умолчанию доступных по паролю, установленному изготовителем.

Хакеры регулярно обмениваются информацией о таких паролях, а затем ищут системы, где их не модифицировали. Инструкции по взлому попадаются и на узлах Web, например, в электронном журнале Phrack помещена статья о том, как взламывать системы Meridian Mail.

Бывало, что взломщики оставляли грубые приветствия на автоответчиках или принуждали оплачивать крупные счета за международные разговоры компании, разрешавшие мобильным служащим осуществлять доступ к внутренним телефонным системам по бесплатному номеру.

Тем не менее некоторые руководители отделов защиты информации компаний отмечают, что потенциальная угроза компьютерным сетям причиняет им больше беспокойства, чем вероятность взлома голосовой почты. «Проблема защиты телефонных сообщений нас, конечно, волнует, но не настолько сильно», – заявил Тед Комбс из AlliedSignal.

По словам Бэртрама, его компания потеряла лишь несколько сотен долларов на междугородных звонках, сделанных хакером. Однако аналитики защиты телекоммуникаций предупреждают, что последствия могут быть гораздо хуже.

«У нас был клиент, который за три дня потерял 4,5 миллионов долларов, когда хакер, проникнувший в систему, распространил информацию о взломе по Internet», – посетовал Уолт Мэннинг, глава TCS Associates, консультативного агентства по вопросам безопасности.

«После установки такой телекоммуникационной системы, как Meridian Mail, администраторам следует немедленно сменить все пароли, – советует Эд Шак из Visual Traffic. – He дожидайтесь, пока за специалистом по установке захлопнется дверь: хакеры не замедлят появиться».

Крупнейший провайдер услуг Web атакован хакерами

Web Communications (WebCom). которая входит в число крупнейших в Соединенных Штатах провайдеров услуг Web, в середине декабря 1996 года оказалась заблокирована на целых 40 часов, став последней жертвой атаки хакеров. Атака привела к так называемому «отказу от обслуживания».

Был атакован ряд операторов Internet, а началось все с колледжа штата Британская Колумбия, хотя и нет достаточных оснований с уверенностью утверждать, что она была организована именно там.

Как сообщил Крис Чифлер, президент WebCom, сервер компании буквально захлебнулся пакетами данных, которые имели фиктивные обратные адреса, а результатом стал отказ от обслуживания. Когда сервер попытался послать ответы на эти запросы, он обнаружил, что таких адресов не существует, и поместил их в стек отложенных запросов. Стек, естественно, очень быстро переполнился, что и привело сервер к сбою.

К сожалению, все серверы, использующие стек протоколов TCP/IP, восприимчивы к таким атакам.

Этот инцидент обошелся компании WebCom и интерактивным службам, которые она поддерживает, в десятки тысяч долларов.

Последняя атака, затронувшая все три тысячи узлов Web, которыми владеет WebCom, началась вскоре после полуночи в субботу. 14 часов спустя, когда аналогичные явления были отмечены в сети MCI, удалось проследить обратную цепочку: канадский оператор сервиса CA-Net – колледж в Британской Колумбии. «Представители колледжа заявили, что кто-то, возможно извне, внедрился в их систему и удалил файл паролей и журнал, стремясь скрыть следы своего пребывания. Мы делали попытки восстановить удаленную информацию», – сообщил Чифлер.

Представители CIAC и CERT не выработали способа, позволяющего полностью «застраховаться» от повторения подобных атак; однако они рекомендуют операторам Internet переконфигурировать свои маршрутизаторы таким образом, чтобы те не позволяли посылать сообщения с IP-адресами, которые не принадлежат их собственной сети.

Это по крайней мере не позволит подобному бедствию «зародиться» в вашей сети, считают представители CIAC. Если такие шаги предпримет достаточно большое количество компаний, хакерам придется изрядно потрудиться, чтобы найти место, откуда можно было бы начать атаку.

Серверы могут быть переконфигурированы таким образом, чтобы иметь более длинные очереди соединений и быстрее сбрасывать запросы, помещенные в очередь. Это также не радикальная мера, но и она поможет серверам выдержать атаку.

Используемое WebCom серверное программное обеспечение, предоставленное компанией Netscape Communications, не имеет таких «защитных» механизмов, но в модернизированной версии они появятся.

Новая угроза безопасности сети Web

Новый тип хакерской атаки на Internet, именуемый Web spoofing, вскоре может создать гораздо более серьезную угрозу ее безопасности, чем Syn flood, вирусы и так называемый Ping o’Death.

Пока еще не зафиксированы случаи применения этого новейшего метода, представляющего собой «спуфинг» сервера и подмену данных, разыскиваемых браузером пользователя. Однако, по мнению профессора Эдварда Фелтена, возглавляющего группу, занимающуюся исследованиями в области безопасности Internet в Принстонском университете, которая и обнаружила такую возможность, он может быть даже более опасен, чем атаки других типов.

Это обусловлено тем, что, в отличие от атак типа Syn, которые привели недавно к нарушению работы провайдера услуг Internet из Калифорнии (этот случай получил широкую известность), атаки типа Web spoofing могут поставить под угрозу целостность данных владельца Web-узла.

Атаки типа Syn просто разрывают Internet-соединения пользователей, при этом сервер заполняется запросами на соединение – и все они исходят от компьютера хакера, генерирующего ложные IР-адреса; в результате сервер провайдера услуг Internet перегружается; создается ситуация, когда вполне законные запросы игнорируются. К счастью, чтобы избежать атаки такого типа, можно принять некоторые меры предосторожности.

Для осуществления «спуфинга» Web тот, кто его предпринимает, должен сначала привлечь внимание пользователя к ложному Web-узлу.

Это может быть сделано несколькими способами: проникновением на существующий узел и подменой локаторов URL путем внесения имитируемого узла в список механизма поиска или путем посылки электронной почты пользователям с указанием адреса, который сможет стимулировать их посещение. Данное пояснение принадлежит Фелтену, недавно раскрывшему технику имитации сервера.

Имитируемый узел затем помещает свой собственный адрес перед любым указателем ресурсов URL, запрашиваемым пользователем, так что адрес http://www.anyurl.com превращается в http://www.spoofserver.com/http://www.anyurl.com.

«Правильная» Web-страница затем отсылается назад пользователю через сервер, где эту информацию можно изменить, а любую информацию, которую передает пользователь, – перехватить.

Процесс может быть продлен, в результате чего все другие оперативные связи будут иметь пристыкованный впереди адрес; как следствие, все запросы других локаторов URL будут нарушаться.

Те два признака, которые могли бы насторожить пользователя, подсказывая ему, что его соединения осуществляются через другой сервер, – статусная строка внизу экрана и адрес назначения наверху, – могут быть изменены путем использования апплетов Java, как утверждает Фелтен.

Он заявил, что единственный способ избавиться от «спуфинга» Web – это щелкнуть мышью на закладке или выбрать опцию «open location» на меню файлов, потому что оба действия вызываются из компонентов браузера, которыми апплет Java не может манипулировать.

Кроме того, к сожалению, полного решения проблемы добиться невозможно, главным образом из-за того, что для этого потребовалось бы фундаментально изменить принципы работы WWW и апплетов Java.

Такие уязвимые места протокола IP привлекают все более пристальное внимание.

Например, две организации, отслеживающие нарушения компьютерной безопасности – Координационный центр CERT в университете Карнеги-Меллон и группа «неотложной компьютерной помощи» (CIAC) Министерства энергетики, – в конце декабря издали рекомендации, в которых содержатся предостережения относительно атак типа «отказ в обслуживании» путем применения схемы Ping o’Death.

При таком способе проникновения, как заметил менеджер CIAC Санди Спаркс, используется возможность фрагментирования пакетов, содержащаяся в спецификации протокола IP.

При атаке Ping o’Death посылающий передает слишком много фрагментов пакетов, которые после передачи должны быть снова смонтированы принимающей системой. Если объем фрагментов превысит максимально допустимый размер пакета, система отсоединится или даже выйдет из строя.

По данным CIAC, многие операционные системы открыты для атак типа Ping o’Death.

Компания IBM выпустила «заплатки» к своей операционной системе AIX для борьбы с атаками Ping o’Death и Syn-flood.

Наблюдатели считают, что эти недостатки скорее всего не последние «дыры», выявленные в протоколе IP, поскольку последний и разрабатывался как открытый.

Снова о войне с хакерами

Непрекращающаяся «электронно-почтовая бомбардировка» американского Конгресса, вызванная сотнями посланий с угрозами в адрес обитателей Капитолийского холма, превращается в нечто более серьезное, нежели простое неудобство.

На проходившей недавно конференции International Banking & Information Security Conference было отмечено, что сеть Internet остается чрезвычайно уязвимой для хакеров, которые взламывают системы, бомбардируя их таким огромным количеством данных, что затрудняют проведение содержательных операций.

Уинн Швартау, президент консультационной фирмы Interpact и автор книги «Информационная война – хаос на электронном автобане», заявил: «Мы не представляем, как с этим бороться. Рост количества отказов от обслуживания в Сети принимает угрожающие размеры».

«И это вызывает у нас серьезное беспокойство», – добавил Дэн Шутцер, вице-президент и директор по передовым технологиям Citibank’a.

А в это время с хакерских Web-узлов поступают предложения по оказанию услуг по анонимной «почтовой бомбардировке»; от заказчика требуется лишь указать адрес жертвы и количество посланий, которым он хочет ее «достать». Можно заказать также пинг-программу «Мертвая страница», которая вскрывает уязвимые места различных операционных систем.

«Internet очень чувствительна к перегрузкам, так как данные контроля и информации проходят по одному и тому же каналу», – подчеркнул Швартау, предложив использовать модули «внезапного» обнаружения, позволяющие быстро определить причину избытка электронной корреспонденции или пинг-программ в Сети, модули обратной связи, обеспечивающие фильтрацию потока данных на основе обнаружения активного источника, а также альтернативные каналы связи между клиентами и их провайдерами услуг (вероятно, это будут наборные сотовые модемы), чтобы преодолеть помехи хакеров.

Очередной «бомбой», свалившейся на Вашингтон опять-таки по электронной почте, была угроза группы кибер-панков стереть все файлы в компьютерных системах Конгресса. «Справедливости ради нужно отметить, что ни проникнуть в системы, ни „сломать“ что-либо им не удалось», – заметил Дэвид Сандретти, помощник сенатора-демократа от штата Калифорния Барбары Боксер. За один только День президента в его офис поступило более чем 200 посланий с угрозами.

Сандретти подчеркнул, что пока количество посланий не вызывает серьезных проблем, но если объем почты будет исчисляться сотнями тысяч подобных «депеш» (вместо теперешних сотен), система может не справиться с таким потоком.

«А это то, что нас сейчас беспокоит больше всего, – добавил Сандретти, – и совершенно не ясно, что, кроме усиления бдительности, мы можем противопоставить злоумышленникам».

Взломан Web-сервер ЦРУ

Коммерциализация Internet не только продолжается, но и убыстряется день ото дня. О былых временах, когда Сеть Сетей была полностью неконтролируема и неподцензурна, ветераны вспоминают с ностальгией. Новое поколение хакеров не ограничивается сочувствием им. Рост Internet-коммерции привел к появлению программ генерации номеров кредитных карточек, а наступление на свободу выражения, которое возглавил Билл Клинтон, привело партизан Internet в бешенство. Служба CNN Online с готовностью сообщила об актах вандализма, учиненных хакерами.

В августе хакеры «размялись» в Министерстве юстиции США. Вывеску Justice Department поменяли на Injustice Department, превратив организацию в «Министерство несправедливости». В качестве главы министерства выступал Адольф Гитлер, на фоне фашистских свастик, а одного из чиновников заменила обнаженная до пояса девушка.

Взламывали сервер шведские хакеры, некоторые надписи они перевели на родной язык, чтобы соотечественники читали и гордились. Как «правильные» хакеры, они трудились из благородных побуждений – во имя свободы. Главный объект их ненависти – Акт о недостойных материалах в Internet Билла Клинтона. Под изображением вышеупомянутой девушки они написали, что домашняя страница Министерства юстиции противоречит Акту.

Потренировавшись на правовых органах, ребята успешно штурмовали домашнюю страницу ЦРУ. Некто связался с CNN и сообщил о том, что шведские хакеры учинили беспорядки на сервере Управления. На вопрос, что же там происходит, доброжелатель ответил «посмотрите и увидите». Увидев, сотрудники информационного агентства скопировали экран и тут же поместили картинку на свой узел. ЦРУ было «перекрещено» в Central Stupidity Agency.

Представители и ЦРУ, и Министерства юстиции, разумеется, сделали заявления, что ценная и секретная информация осталась недоступна хакерам. Сведений о том, что личности налетчиков установлены, нет, как нет и сведений о том, каким образом были защищены серверы. Пентагон тоже жалуется на непрестанные атаки и говорит о «40 000 потенциальных шпионов».

Хакерские атаки, похоже, беспокоят поставщиков Web-услуг, но не заставят их отступить. Российская компания Uni, которая, в частности, занимаются установкой Web-серверов, включила сообщение о взломе Министерства юстиции в последнюю подборку своих пресс-релизов – они распространялись на семинаре, на котором, помимо прочего, рассказывалось о том, что компания взялась за продвижение брандмауэров CheckPoint. Злодеяния хакеров никого не отпугнут от стремительно раскручиваемой Web-коммерции.

Нападение хакеров

Недавно в результате широкомасштабной акции хакеров из групп новостей Internet было удалено около 27 000 сообщений. Это было проделано при помощи программ, которые автоматически удалили копии сообщений с тысяч компьютеров до того, как последние были прочитаны.

Эта «эпидемия», охватившая пользователей служб Internet из UUNET Technologies, Netcom On-line Communications Services и Cottage Software, распространилась на сообщения для различных небольших групп форума Usenet. Стало известно, что повинный в этом клиент Cottage Software идентифицирован и служба его закрыта. Эксперты-юристы пока не определили, есть ли в его действиях состав преступления.