Σκουλίκια #2

Στα εγκαίνια του blog μου είχα αναφερθεί στην άβυσσο που χωρίζει την κατανόηση των τεχνολογιών πληροφορικής στο εξωτερικό και την ελλαδίτσα μας. Ομολογώ ότι ήθελα ως ένα βαθμό να προκαλέσω, ομολογώ πως θα χαιρόμουν αν έβγαιναν 3 νοματέοι να με βγάλουν λάθος. Γιατί θα ήταν ευχάριστο λάθος... Δυστυχώς μάλλον έχω δίκιο. Τυχαία βρέθηκα να διαβάσω το rant της Constantinas επειδή κόλλησε ένα worm και μάλλον της έκανε σώβρακο τον υπολογιστή. Το θέμα δεν είναι τόσο αν και γιατί κόλλησε το worm - δεν είναι ότι η υπόλοιπη ευρώπη σφίζει από security experts - ούτε βέβαια οτι τσαντίστηκε με το συμβάν, αλλά η οπτική γωνία της απέναντι στο γεγονός. Χαρακτηριστική παράγραφος: Το άλλο σας το ΄πα; Οι μαλάκες που φτιάχνουν ιούς είναι και πολύ τελειωμένοι. Καλά ρε φίλε, σου ΄κανα τίποτα; Με ξέρεις; Πώς πας και φτιάχνεις μια μαλακία και την στέλνεις πακέτο στον άλλον; Εντάξει, να μην τον γουστάρεις, να το καταλάβουμε. Αλλά σε μένα; Στον οποιονδήποτε; Έχω πουλήσει εγώ ποτέ ληγμένο γάλα; (ατυχές παράδειγμα). Και δεν φτάνει που την κάνεις την μαλακία, πας και την εξελίσσεις, μην τυχόν και τη γλιτώσουμε. Όχι, δηλαδή πείτε μου, πώς χαρακτηρίζεται αυτός ο τύπος που όλη του η ζωή, είναι να ασχολείται με την καταστροφή του κομπιούτορά μου; Πώς λέγεται; Επαγγελματίας virus writer! Ο χείμαρος οργής συνεχίζεται με την προσωποποίηση του author ως (παραφράζω) «σπυριάρη εφήβου, χωρίς κοινωνική ή, πολύ περισσότερο, ερωτική ζωή που χαραμίζει όλη τη μέρα χαζεύοντας κώδικα που κανείς δεν καταλαβαίνει αλλά αυτός με 5 μαγικά μπαίνει και στον server του ΝΑΤΟ.» Κάτι δλδ μεταξύ του «καλτ» "Hackers" με την Jolie και αντιήρωα αμερικανικής κολλεγιο-σεξοκωμωδίας του ογδόντα. Παίρνοντας μεγάλα κομμάτια από το σχετικό μου σχόλιο, επαναλαμβάνω κι εδώ τα εξής ακόλουθα. Οι εποχές που οι VXers ήταν «ανεκπλήρωτοι» έφηβοι και έγραφαν ιούς και worms για «χαβαλέ» έχουν καιρό τώρα περάσει. This is a job, dude! Γράφουν worms για να αποκτήσουν τον έλεγχο σε μεγάλες μάζες από υπολογιστές (botnets) ώστε να τις χρησιμοποιήσουν είτε οι ίδιοι (σπάνια) είτε να τις πουλήσουν στον best buyer για spam ή εκβιασμούς μεγάλων και συνήθως «ημιπαράνομων» site (βλέπε ψευτο-casino, τσόντες κτλ. οπότε και δεν τους παίρνει να φωνάξουν τους μπάτσους) με επιθέσεις DDoS (Distributed Denial of Service). Βέβαια υπάρχουν ακόμα (λίγοι πια) «ερασιτέχνες» και συνήθως είναι αυτών το malware που ενώ έχει συνήθως μικρότερη εξάπλωση κάνει χειρότερη ζημιά. Γιατί ενώ ο «επαγγελματίας» θέλει να μείνει undetected όσο το δυνατόν περισσότερο, άρα και περισσότερα pc zombies στα χέρια του για πούλημα, ο ερασιτέχνης θέλει να τον προσέξουν. Να βγει στο IRC και να πει «είδατε γαμώ τους ιους που έφτιαξα;» (πόσα «παιδάκια» πιάστηκαν έτσι...) Ίσως πάλι ο ερασιτέχνης να μην είναι το 15χρονο that should get a life αλλά ο programmer που μόλις έχασε his life. Και η «κωλοεταιρία» θα το πληρώσει! Μαζί μ'αυτήν βέβαια την πληρώνουν και κανα χιλιάρικο φουκαράδες τουλάχιστον, αφού η εταιρία (είπαμε, είναι του κώλου) δεν έχει καμία στρατηγική για infection containment και μοιράζει το μαργαριτάρι όπου βρεθεί κι όπου σταθεί. Ας μην τα ρίχνουμε όμως κιόλας όλα στους κακοποιούς (χωρίς εισαγωγικά γιατί δεν είναι ούτε πιτσιρικάδες ούτε μαλακισμένα - βγάζουν λεφτά από αυτό το πράγμα και μάλιστα χοντρά). Αν φύγεις από το σπίτι σου και αφήσεις την πόρτα ορθάνοιχτη κανείς δεν θα ξαφνιαστεί αν σε κλέψουνε. Δεν παύει να είναι άδικο, αηθέστατο και εντέλει παράνομο. Κάπου όμως έχεις κι εσύ ένα μερίδιο της ευθύνης. Έκανες το λάθος να μην πάρεις τα μέτρα σου. Έτσι λοιπόν, πότε έκανες το τελευταίο update από την MS; Πότε έκανες το τελευταίο update του antivirus σου; Τρέχεις AdAware/WindowsWasher/κάτι-από-δαύτα-τέλος-πάντων; Και τέλος πάντων όταν τρέχεις windows ο ένας ή δύο ιοι/worms που θα σου ξεφύγουν πάραυτα είναι μέσα στο παιχνίδι. It's the risk you've got to take! Αν θες να ξεφύγεις από την βαβούρα, άλλαξε πλατφόρμα. Πάρε έναν macintosh... Μα είναι πανάκριβα τα Mac θα πεις... Ε, τότε βάλε linux! Μα είναι δύσκολο θα πεις, που να μαθαίνω τόσα πράγματα... Η απάντηση είναι πως: «ασφάλεια» = Κ 1/«ευκολία χρήσης» όπου Κ μία σταθερά εξαρτόμενη από το εκάστοτε λειτουργικό. Σε ένα δεδομένο περιβάλλον windows (η Κ μένει σταθερή), για να αυξήσεις την ασφάλεια πρέπει να παλεύεις καθημερινά με updates, virus/worm scans, να ξυλώσεις αυτόματες λειτουργίες όπως το ActiveX στο web κτλ, και αυτό σημαίνει μείωση της ευκολίας χρήσης. Από την άλλη, ακόμα και εντός του συνόλου των διαφόρων linux που κυκλοφορούν, δεν είναι το ίδιο να στήσεις μια αυτόματη mandrake, όπως μπήκε μπήκε, και να μην ξανασχοληθείς με το να στήσεις μια slackware ή debian ή gentoo και να φτιάξεις το firewall με τα χεράκια σου ή να βάλεις SElinux της NSA (National Security Agency) και να σου σπάει τα νεύρα να βάλεις password για κάθε πρόγραμμα που θες να τρέξεις. Η apple πουλάει ένα σύστημα ολοκληρωμένο hardware + unix-like software με υψηλό δείκτη ασφάλειας αλλά και πολύ εύκολο στην χρήση γιατί σπάσανε τα κεφάλια τους οι άνθρωποι να το κάνουν έτσι. Λογικό λοιπον να θέλουν και να πληρωθούνε τα ανάλογα... Η ουσία τελικά είναι πως ότι πληρώσεις παίρνεις... είτε το πληρώνεις σε ζεστό χρήμα είτε σε χρόνο και κόπο να κάτσεις να μάθεις πράγματα και να τα εφαρμόσεις (αφού δεν πληρώνεις κάποιον να το κάνει πριν από εσένα για σένα). Δυστυχώς στην ελλάδα του τζάμπα και του χύμα, θέλουμε και την πίτα ολόκληρη και τον σκύλο χορτάτο. Θέλουμε και τζάμπα λειτουργικό (άμα βρείς ιδιώτη που πήγε και αγόρασε windows ξεχωριστά από pc και δεν βάλανε τα γέλια σφύρα μου), και σίγουρο και ΦΥΣΙΚΑ εύκολο. Κι όταν λέμε εύκολο, εννοούμε κάτι σαν το πλυντήριο ρε παιδί μου. Πατάω το κουμπί και όλα έτοιμα. Ούτε manual ούτε τρίχες... Όταν όμως μας συμβεί το «μοιραίο», αρχίζουμε τα μπινελίκια και μας φταίνε οι hacker (ανάθεμα κι αν ξέρει κανείς τους τί σημαίνει) και τα βρώμικα σκουλίκια τους (των hacker!). Για να εξηγούμαστε και να μην παρεξηγούμαστε λοιπόν, ορίστε μια mini-ορολογία επί του θέματος.

• hacker: αυτός που κάνει hacks. Ο γνώστης βαθειών λεπτομερειών ενός λειτουργικού που θα χρησιμοποιήσει ανορθόδοξες τεχνικές και/ή εργαλεία για να επιτύχει απρόσμενα και συνήθως εντυπωσιακά αποτελέσματα. Ο όρος «φτιάχτηκε» το '70 στο MIT για τους πιο «χωμένους» στο Artificial Intelligence Lab που έγραφαν, επέκτηναν και άλλαζαν το δικό τους custom λειτουργικό που έτρεχε στους server του lab. Την ίδια εποχή, και συνήθως τα ίδια προσωπα (οι «original» hackers δλδ) διαπερνούσαν την ασφάλεια των συστημάτων είτε για να κάνουν την δουλειά τους πιο γρήγορα (παρακάμπτωντας γραφειοκρατικές διαδικασίες για χορήγηση άδειας χρήσης - μην ξεχνάμε ότι τότε υπολογιστής σήμαινε μια πανάκριβη και τεράστια σιδερένια ντουλάπα), είτε για να κάνουν πλάκα σε κάποιον συμφοιτητή/supervisor. Έτσι, ο όρος hacker απέκτησε και την 2η, «άτυπη» σημασία αυτού που ασχολείται με την security ενός ηλεκτρονικού συστήματος.
• black hat hacker ή blackhat: ο hacker με το μαύρο καπέλο, ο «κακός» hacker, σπάει συστήματα και ύστερα εκβιάζει την εταιρία για να δώσει «λύση» στο πρόβλημά τους. Κάτι σαν τον μπράβο που πουλάει προστασία σε νυχτερινό μαγαζί δλδ. Επίσης μπορεί να σπάσει συστήματα για να βρει πληροφοριές που ενδιαφέρουν ανταγωνιστική εταιρία (και που φυσικά τον πληρώνει αδρά) ή για να υποκλέψει προσωπικά δεδομένα (mails, τηλεφωνα, πιστωτικές) και να τα πουλήσει αδρά σε όποιον ενδιαφερόμενο.
• whitehat: ο hacker που δουλεύει νόμιμα σαν security consultant είτε σε εταιρία είτε σαν freelance επαγγελματίας.
• greyhat: υποτίθεται ότι είναι whitehat και δουλεύει σαν security consultant αλλά οι φήμες λένε πως κάνει και «βρωμοδουλειές».
• cracker: αρχικά σήμαινε αυτόν που «σπάει» προγράμματα για να μπορούν να χρησιμοποιηθούν παράνομα, χωρίς να τα πληρώσεις. Πλέον συμπεριλαμβάνει και τον blackhat hacker ιδίως αυτόν που θα «μπουκάρει» για την πλάκα ή/και τον ντόρο.
• script kiddie: ο 15χρονος wannabe hacker, χωρίς καν να ξέρει τι διάολο σημαίνει. Όνειρό του είναι να γίνει hacker και να τον σέβονται όλοι και να πιάσει γκόμενα την επίσης hacker θεοκόμματο-Jolie. Αυτός είναι κυρίως ο τύπος που φαντάστηκε η ψιλικατζού κι όχι ο virus writer. Παραγνωρισμένος και παρείσακτος στο σχολείο, ξεσπάει πάνω στον υπολογιστή τραγουδόντας ακατάπαυστα μέσα του το mantra: θα γυρίσει ο τροχός, θα γ****ει κι ο φτωχός. Οι γνώσεις του και τα ρήχα οράματά του όμως δεν είναι αρκετά για την σκληρή δουλειά που απαιτήται για να «ξέρεις τι κάνεις». Έτσι λοιπόν περιορίζεται σε έτοιμα προγραμματάκια malware (βλέπε subseven, papasmurf κτλ.) για να χτυπίσει όποιον του βγει με κόκκινο στα forum ή στο IRC όπου και ξημεροβραδιάζεται. Στο IRC μάλιστα έχει δικό του chanel όπου μαζεύονται καμιά δεκαριά όμοιοί του αλλά και κανένα ξεστρατιμένο «φυτό» από το σχολείο που καταλήγει να είναι ο wannabe-script kidie και που δίνει σημασία στην ζωή τους. Επίσης, βρισκονται σε όλα σχεδόν τα "heavyweight" chanels οπως #linux, #slackware, #openbsd χωρίς να καταλαβαίνουν το τι παίζεται ή να μιλάνε αλλά για να «θολώνουν» οποιον αδαή τους τραβήξει ένα /whois. Ενίοτε, στα βαρυά κανάλια, ρωτάνε πάντα σε private query κάποιον που βλέπουν ιδιαίτερα helpful για βρωμοδουλειές - πώς γινονται, γιατί κτλ, και καλά επειδή ενδιαφέρονται για security και «θέλουν να γίνουν hackers». Η άγνοιά τους είναι τόση που προδίδονται αμέσως και ο τύπος του query αφού πρώτα σπάσει αρκετή πλάκα τους πετάει ένα γερό ξέχεσμα συνήθως ακολουθούμενο απο paste το discussion στο public του καναλιού και το αναπόφευκτο kick-ban.
• VXer: είναι ο virus writer. Γράφει ιους και worms, συνήθως σαν side-kick σε ότι άλλο κάνει (cracker, blackhat αλλά και καθόλα έντιμες δουλειές ακόμα και εκτός IT). 17αρης+, είναι η εξέλιξη ή η απόρροια πολλών άλλων ιδιοτήτων και συνθηκών. Είναι π.χ. η εξέλιξη του script-kidie που επιτέλους έμαθε να γράφει ψιλο-σωστό κώδικα αλλά με το θολομένο μυαλό του προτιμά τα "weapons of mass destruction" δλδ ιους και worms που θα κάνουν έτσι γερή ζημιά και αποκλείεται οι «φίλοι» του να μην το μάθουν. Αυτός συνήθως δεν φτιάχνει έναν ιο εξ αρχής παρά πιο πολύ κολάζ από ιους και exploits. Τελικά ούτε στο κολλέγιο του ήρθανε τα πράγματα όπως ήθελε αλλά όλο και κανα φράγκο βγάζει, έχει access στα καλύτερα ftp site για φρέσκες ταινίες και mp3, και μπορεί και να έχει ψιλογ****ει. Είναι επίσης το κολλεγιόπαιδο που είπε να δοκιμάσει αυτά που έμαθε στα electronic calculators II κάνοντας παράλληλα και μια γερή πλάκα στον συγκάτοικο που έχει κάνει μν το ψυγείο. Μόνο που το πράγμα ξέφυγε από τον έλεγχό του (χελόοοοοου!). Είναι ακόμη ο απολυμένος προγραμματιστής που αποφάσισε να φύγει with a bang! :-P Τέλος βέβαια είναι ο επαγγελματίας του χώρου, που γράφει για να αποκτήσει botnets και να τα πουλήσει για spamming, phishing, DDoS, whatever - hey, I don't want to know, I am a professional! Συνήθως blackhat που κατάλαβε where the big money is ή πρωην script-kiddie που κατάλαβε πως οι γκόμενες γουστάρουν λεφτά κι όχι τον computer technician 24/7, οπότε και αναπροσαρμόστηκε χρησιμοποιόντας το μοναδικό πραγματικό του skill. Τελικά έτσι όλο και κάποια του κάθεται, οπότε το κοινωνικό του IQ ανέβηκε απο λειχήνα σε βλήτο.

Φυσικά όλοι αυτοί οι χαρακτηρισμοί ειναι καρικατούρες και υπάρχουν άπειρες γκρίζες ζώνες ανάμεσά τους, όπως και άτομα που συνδυάζουν περισσότερους από έναν χαρακτηρισμούς. Πόσοι από τους σημερινούς εργαζόμενους στην IT δεν παίξαμε έστω και για λίγο τα κακά παιδιά του IRC; Μπόρει να μην γλύφαμε τους ops στο #linux αλλά τα kick-ban party και τα takeover contests μεταξύ μας για πλάκα (και καμιά φορά και σοβαρά) δίνανε και παίρνανε... Πόσοι network admins και security consultants μπορούν ειλικρινά να πουν οτι δεν έκαναν ποτέ probing χωρις authorization. Ή οτι δεν έκαναν ποτέ μια πλάκα στον υπολογιστή συγκάτοικου/φίλου/συναδέλφου; Προσωπικά, τα «πειραγμένα» (με reboot, sleep 5 λεπτών κτλ.) ΒΑΤ και custom "h4x0R3d" bootsplash των '98 ήταν τα αγαπημένα μου.