Bądź sprytniejszy niż premier. Admin1 to b. słabe hasło

...

Marek Górlikowski 2012-01-29, ostatnia aktualizacja 2012-01-29 10:29:56.0

Działania hakerów w sprawie ACTA to nie był majstersztyk. Proszę mi wierzyć, artysta haker nie interesuje się stronami rządowymi, bo po co? Gdyby to miał być majstersztyk, należało to zrobić w banku - mówi Rafał Tylman, który jest szefem administratorów trójmiejskiej Galery, jednego najszybszych komputerów na świecie

Marek Górlikowski: Kiedy pod naporem hakerów protestujących przeciwko podpisaniu porozumienia ACTA padły strony Sejmu, ABW, MON-u i premiera okazało zaczęto mówić o stanie wyjątkowym. Czy to na prawdę było takie groźne?

Rafał Tylman: Nie. To była zwykła demonstracja taka jak na ulicy tylko, że w świecie wirtualnym. To nie są strony strategiczne dla funkcjonowania państwa, to strony informacyjne. Gdyby weszli na serwery związane z obronnością czy energetyką, to co innego, a to jest zwykłe machnięcie sprayem po telebimie. Poza tym trzeba rozróżnić dwie rzeczy: czym innym jest blokowanie stron, a czym innym włamywanie się na strony. Blokowanie to zalewanie strony informacjami w taki sposób, że nie jest ona w stanie ich obsłużyć. Wbrew pozorom to sposoby znane od wieków.

Od wieków?

- Tak, bo to jest dokładnie ta sama sytuacja jak na święta na poczcie. Normalnie nic się nie dzieje, nagle zaczynają się święta, zaczynają przychodzić kartki, paczki i poczta nie daje sobie z tym wszystkim rady. Tylko, że tu jeszcze na ten sam adres przychodzą miliony listów, które wymagają potwierdzenia, że doszły. Nie ma siły, to musi się zablokować. Do tego mamy jeszcze efekt śnieżnej kuli. Idzie plotka, że coś z daną stroną jest nie tak, że nie odpowiada jak należy, czyli zaczyna mulić. Oczywiście wszyscy w okolicy, czytaj na całym świecie, chcą sprawdzić czy to prawda i

Zamulają.

- Dokładnie. Ale nic się tu nie dzieje złego z punktu funkcjonowania czegokolwiek. Tylko tyle, że osoby, które są zainteresowane informacjami na tej stronie nie są w stanie ich zdobyć. Takie strony informacyjne są blokowane na całym świecie - i to tak poważnych instytucji jak np. FBI.

I nie jest to przestępstwem?

- No jest w tym sensie, że urządzenia nie działają. Trzeba sobie zadać proste pytanie: czy przestępstwem jest to, że blokuje pan komuś wejście do urzędu? No jest. I tu tak samo.

A hakerstwo?

- Hakerstwo polega na tym, że pan jest w stanie włamać się do strony i zmienić jej zawartość.

I to się udało. Na stronie premiera pojawił się link do Baśka blog, a z osobistego komputera wiceministra administracji i cyfryzacji Igora Ostrowskiego skradziono dokumenty.

- W przypadku strony premiera gdzie login był typowo administracyjny - admin - a hasło admin1, to było po prostu zaniedbanie człowieka. Niestety zaniedbanie polegające na tym, że nie zmienia się haseł podstawowych to sytuacja bardzo częsta u użytkowników domowych. Jeśli to się zdarza na stronach rządowych, to sytuacja nie napawa optymizmem.

Ale jak poznali to hasło?

- Może spróbowali i się udało. Hakerzy mogą też wykorzystać to, że nie robi się update'ow czyli aktualizacji oprogramowania - to umożliwia wejście. Cały czas mamy informacje, że jakieś strony strategiczne zostały spenetrowane przez hakerów. Po prostu duża grupa osób bardzo zdolnych poświęca dużo czasu na to by się gdzieś dostać, szukająca błędów w oprogramowaniu, by przez nie wejść. Podsumowując najpierw jest błąd człowieka programisty, a potem leniwy administrator nie aktualizuje oprogramowania. To są klucze.

A wykradzenie dokumentów z prywatnego laptopa wiceministra to już chyba był majstersztyk?

- Nie. To nie był majstersztyk. Włamywanie się do komputera jednego z setek urzędników mogło się udać, bo ten urzędnik miał jakiś błąd w instalacji. Proszę mi wierzyć, artysta haker nie będzie się interesował Janem Kowalskim czy informacyjnymi stronami rządowymi, bo po co? Gdyby to miał być majstersztyk, to należało by to zrobić tam gdzie są realne korzyści takie jak kradzież poufnych danych czy pieniędzy z banku. Majstersztyk to by był też wtedy gdybym ja powiedział: proszę pana w tym tygodniu włamię się panu do komputera i pan o tym wie, a mimo to ja się tam włamuje. Tak się robi na świecie.

Jak to?

- Amerykańskie firmy co pewien czas ogłaszają: mam w tej chwili nowy produkt, nowe zabezpieczenie spróbujcie się włamać. Na zasadzie "pierwsza osoba, która się włamie do danego systemu otrzymuje 100 tys. dolarów". To taka forma audytu. Chodzi o to by zobaczyć słabe strony zabezpieczenia. Tego typu wyzwania są realizowane w kilkanaście sekund. I to nie jedna osoba się włamuje, a kilkanaście. W Polsce niestety tego się nie stosuje. A ostatnia akcja na strony rządowe świadczy o tym, że nie inwestuje się tam w ochronę jak np. robią to prywatne firmy. To pokazuje, jaki pan będzie bezbronny, jeśli odpowiednie osoby się za pana wezmą.

Kim są?

- Hakerzy? To ludzie, którzy nic innego nie robią tylko siedzą przed komputerem i wymieniają się informacjami, śledzą nowinki techniczne, śledzą strony by na nie wejść dla jakichś własnych korzyści. Jeżeli jest pan młody, ma dużo czasu, genialne pomysły to może być pan hakerem. Dla nich włamywanie się na strony informacyjne jest kwintesencją zabawy, dlatego nie można tych osób, które zaatakowały serwery informacyjne sejmu czy rządu nazywać np. terrorystami. Oni tak naprawdę nic strasznego nie zrobili z instytucjami kierowania państwa.

Poza ich ośmieszeniem.

- I ostrzeżeniem. Rzeczona Pani Basia jest żartem, ale dobrze, że to się stało i że takie sytuacje są nagłaśniane, może to podniesie świadomość pojedynczego użytkownika, że warto zmienić hasło w poczcie z imienia ukochanego pieska na bardziej skomplikowane. Żeby zainwestować 50 zł w program antywirusowy i ochronić 1500 na koncie. Nie wchodzić na nieznane strony, nie instalować nieznanego programu, żeby wiedzieć, że używanie komputera nie jest ani proste ani bezpieczne.

Jakbym czytał ostrzeżenia w instrukcji nowego komputera, a tak konkretnie?

- Gdyby pan uruchomił teraz nowy serwer strony www, to już po kilkunastu minutach zaczęłoby się tzw. macanie. Czyli dostałby pan zapytanie typu: czy zainstalowane jest to czy tamto? To tzw. boty, programy zmierzające do przejęcia kontroli nad komputerem. Strona www składa się z bardzo wielu elementów i te elementy mogą mieć luki w oprogramowaniu. W związku z tym, jeżeli np. jeden z bardziej popularnych elementów, które wykorzystują setki tysięcy stron www ma jakąś lukę, to hakerzy puszczają próbne zapytanie czy luka jest otwarta czy nie? Jak jest otwarta, to wchodzą. Hakerzy lub przygotowane przez nich programy chodzą po wszystkich stronach i sprawdzają możliwości włamania się, szukają luk. Sieć jest cały czas przez nich przeszukiwana. Stąd ta konieczność aktualizowania programów. Każdy administrator widzi dziennie dziesiątki jak nie setki prób włamania się na stronę. To samo z pirackimi programami i grami, które są często specjalnie wypuszczane z backdoorami.

Przepraszam z czym?

- No back door, tylne drzwi. Haker programista, który puszcza w sieć zarażony program instaluje tam te tylne drzwi by wejść przez nie do pana komputera. To tak jakby pan kupił, albo jeszcze lepiej dostał w prezencie piękne duże pudło i wniósł je do mieszkania. Pod pana nieobecność z pudła wychodzi krasnoludek, który po pierwsze rozmawia z tym, od kogo ma pan pudło. Informuje go, co jest w pana mieszkaniu wartościowego do zabrania. Czyli są zegarki, mam brać? Bierz. Bierze i wychodzi. W komputerze oczywiście bierze informacje czy pieniądze z konta. Dlatego takie hakerskie oprogramowania nazywane są często koniami trojańskimi. A były nawet przypadki, że oprogramowanie licencyjne miało backdoora, bo hakerom udało się dostać do programu na etapie produkcyjnym. Nie pamiętam, czego to dotyczyło, ale chyba jakiegoś oficjalnego programu rozdawanego prze poważną firmę na pendrivach. Na etapie pisania oprogramowanie dostało się w niepowołane ręce i zmieniono w nim jeden element oczywiście bez wiedzy producenta. Inny przykład: krasnoludek siedzi w pana komputerze przez długie miesiące i nic. Pewnego dnia na dany znak zaczyna jakąś akcję. Np. wypytywania serwerów, by je zablokować. Często właśnie przez niezabezpieczone routery w mieszkaniach prywatnych użytkowników siedzą takie krasnoludki.

Czy może być łatwiejsze hasło niż admin1?

- Najgorsze i najczęstsze są imiona, bo łatwo je złamać. To samo wyraz z narastającą cyfrą, nieszczęsny admin1, admin2 itd. do admin10.

To może coś poradzimy premierowi, albo jego administratorowi?

- Hasło łatwe do zapamiętania, a trudne do złamania. Dla pana trywialne, ale dla obcego nie. Np. zapamiętuje pan tytuł "Bajka o królewnie i 7 krasnoludkach" i z pierwszych liter tworzy hasło np. bok7k, a jeszcze żeby utrudnić robi pan to w innym języku. Można też kombinować z literami, pierwsza litera tytułu, druga, trzecia i jakiś pytajnik.

A pan jakie ma hasło?

- Kombinacje liter, cyfr i znaków specjalnych. Kolega ma np. całe zdania. Mam jeszcze jedną zasadę i ona jest najważniejsza, choć mało kto ją stosuje: kilka różnych haseł do różnych rzeczy. Wiele osób ma jedno hasło do wszystkiego. To hasło może w bardzo durny sposób dostać się w ręce kogoś innego, sfilmuje je lub podejrzy. Często są wycieki haseł z portali pocztowych i dzięki temu można się dostać np. do pana konta w banku jak ma pan tam takie same hasło.

Czy akcja w sprawie ACTA miała sens?

- Na pewno osiągnęła swój cel, bo przede wszystkim jest o niej głośno. My rozmawiamy o bezpieczeństwie, ale zaczęła się dyskusja, której przedtem nie było. To delikatna sprawa. Rozumiem jedną i drugą stronę. Oczywiście nie podoba mi się forma wprowadzenia tego dokumentu. Jeżeli rzeczywiście pracowano nad tym dokumentem w skrytości gabinetów, a z tego co słyszałem konsultowano go głownie ze środowiskami twórców, a w ogóle nie z internautami czy ekspertami od Internetu to bardzo źle. Oczywiście jestem przeciwny piractwu, bo to jest po prostu złodziejstwo. Ale boję się, że czasami tego typu obostrzenia mogą być za ostre i można wylać dziecko z kąpielą. Zrobi się pewne zapisy, które mogą być przez złych użytkowników prawa - tak jak są źli użytkownicy sieci - źle wykorzystywane. Boje się tego typu dodatkowych regulacji w szczególności, że dotyczą one złodziejstwa, a z tego, co wiem już takie przepisy w Polsce istnieją. Dlaczego nagle kradzież własności intelektualnej ma być specjalnie traktowana?

Bo ta kradzież się cały czas odbywa i trudno kogoś złapać za rękę i ukarać.

- Ale to znaczy, że coś jest nie tak z przepisami dotyczącymi praw autorskich, nie nadążają za rozwojem techniki. W tę stronę powinny iść zmiany. Jeżeli się okazuje, że miliony ludzi popełniają przestępstwo, to będziemy te miliony wsadzać do więzienia?

Jacek Żakowski, przeciwny ACTA, porównał Internet do biblioteki z książkami?

- To nie jest biblioteka, bo internauci nie wymieniają się płytami, tylko wymieniają się kopiami tych płyt. I tu jest problem, że jedna osoba kupuje płytę płacąc tantiemy i inne rzeczy, a cała reszta korzysta z tego za darmo. Dla mnie sytuacja jest prosta, jeżeli coś dla mnie jest za drogie, ktoś daje mi takie warunki nie do przyjęcia, to jak po prostu z tego rezygnuje. Bo prawdą jest też, duża część osób zrobiła sobie z tego obrotu całkiem niezłe źródło zysków. To nie jest tak, że te serwery działają za darmo. Pan płaci za to, żeby się z kimś wymienić tymi nielegalnymi plikami i tam ktoś po drodze zarabia kupę pieniędzy, na paserstwie de facto. Z drugiej strony, uważam też, że przemysł praw autorskich, a szczególnie duże koncerny muzyczne są za pazerne. Nie da się milionom ludzi zabronić robić rzeczy, które umożliwia w sposób łatwy technologia. Nie da się tego zatrzymać, trzeba raczej pomyśleć o zupełnie nowym spospoboie egzekwowania prawa.



Rafał Tylman jest kierownikiem pracowni Komputerów Dużej Mocy w Trójmiejskiej Akademickiej Sieci Komputerowej na Politechnice Gdańskiej. Ma pod swoją opieką superkomputer Galera. Maszyna ta znajduje się obecnie na 45. miejscu w rankingu najszybszych komputerów na świecie. Klaster Galera waży 7 ton i ma długość 17 metrów. Z Galery korzystają naukowcy z całej Polski (m.in. chemicy, fizycy, elektronicy, oceanografowie), urządzenie służy także do realizacji projektów międzynarodowych. Superkomputer jest w stanie przeliczać jednocześnie nawet 8 tys. różnych zadań.