АссистентНовый вопросИсторияОбласти знаний
Партнёрские проектыСпецпроектыСтать автором
Сменить язык
О РУВИКИ

Хакер безопасности

Хакер безопасности (англ. security hacker, security researcher) — это специалист, исследующий методы взлома или обхода защиты компьютерных систем и сетей, а также способы эксплуатации их уязвимостей[1]. Мотивы хакеров безопасности могут быть разнообразными: извлечение выгоды, протест, саботаж, сбор информации[2], вызов, развлечение[3] или проверка слабых мест системы с целью их усиления против потенциальных атак.

Долгое время вокруг понятия «хакер» велись споры. Многие представители компьютерного сообщества утверждают, что слово «хакер» означает просто человека с глубоким пониманием компьютеров и сетей, а термин крэкер (англ. cracker) следует применять к тем, кто занимается взломом чужих систем — будь то преступники (black hats) или эксперты по безопасности (white hats)[4][5][6]. Тем не менее, в массовом сознании значения хакер и «преступник» по-прежнему часто отождествляются[7]. Субкультура хакеров известна под названием «компьютерное подполье».

История

undefined

Зарождение субкультуры и выход в мейнстрим (1960—1980-е годы)

Субкультура хакеров возникла из среды фрикинга в 1960-е и сцены BBS (электронных досок объявлений) в 1980-х. Большую роль сыграли журнал 2600: The Hacker Quarterly и форум alt.2600.

В 1980 году в августовском номере журнала Psychology Today с комментарием Филипа Зимбардо появилось слово «хакер» в заголовке «The Hacker Papers». В фильме Трон (1982) герой Кевин Флинн (Джефф Бриджес) заявляет: «I’ve been doing a little hacking here». Уже к 1983 году термин hacking в значении «взлом» использовался среди специалистов[8], но широкая публика воспринимала это иначе[9].

Фильм Военные игры (1983) усилил общественные опасения, что хакеры (особенно подростки) опасны для национальной безопасности. В том же году группа подростков The 414s из Милуоки взломала системы по США и Канаде — в том числе лабораторию Лос-Аламоса и клинику Sloan-Kettering[10]. Эта история получила широкий общественный резонанс[10], и Нил Патрик стал публичным представителем группы — с сюжетом на обложке Newsweek «Осторожно: играют хакеры». Вероятно, это первое употребление слова хакер в негативном контексте в массовой прессе.

Под давлением СМИ конгрессмен Дэн Гликман инициировал расследование и подготовку новых законов против компьютерных взломов[11][12]. 26 сентября 1983 года Нил Патрик выступил в Палате представителей США о рисках хакерства; в том году было внесено шесть законопроектов о компьютерных преступлениях[12]. В результате белые, серые и чёрные «шляпы» — специалисты по безопасности — стали дистанцироваться друг от друга по степени допустимости своих подходов. Эти моральные конфликты нашли отражение в Манифесте хакера автора Mentor (Лойд Бланкеншип), опубликованном в 1986 году.

Закреплению образа хакера-преступника способствовала статья Клиффорда Столла Stalking the Wily Hacker (Communications of the ACM, май 1988), а также книга The Cuckoo’s Egg (1989). Общественное восприятие окончательно закрепилось после инцидента с червём Морриса.

Классификации

В компьютерной безопасности хакером называют того, кто исследует механизмы защиты или пытается их преодолеть. Зачастую подразделяют на тех, кто выявляет уязвимости для укрепления систем, и тех, кто добивается несанкционированного доступа. Существуют различные типы хакеров.

Крэкер

Эрик С. Рэймонд, автор The New Hacker’s Dictionary, предлагал называть хакеров-преступников крэкерами (англ. cracker). Однако представители подполья считают себя хакерами — даже если занимаются противоправной деятельностью, а термин крэкер зачастую применяют к наиболее опасным действиям[13].

Белая шляпа

Хакер-белая шляпа (англ. white hat) — этичный хакер, который выявляет уязвимости с разрешения владельца системы с целью её улучшения и предотвращения атак[14]. Эти специалисты востребованы отраслью информационной безопасности.

Чёрная шляпа

Хакер-чёрная шляпа (англ. black hat) — злоумышленник, взламывающий системы ради выгоды, вреда или других криминальных целей[15][16][17].

Серая шляпа

Хакер-серая шляпа (англ. grey hat) объединяет черты белой и чёрной шляп, может действовать по идеологическим соображениям или для демонстрации слабостей систем[18].

Элита

Термин элита (англ. elite) применяется к самым опытным и влиятельным хакерам[19].

Скрипт-кидди

Скрипт-кидди (Script kiddie, также skid или skiddie, чайник-скриптовик) — неопытный хакер, использующий автоматизированные инструменты, написанные другими, зачастую без глубокого понимания процесса[20].

Неофит

Неофит (англ. neophyte, «ньюб», англ. newbie, noob) — новичок, не имеющий существенных знаний или опыта[17].

Blue hat

Blue hat — специалист, приглашённый извне для поиска уязвимостей перед выпуском системы, а также участник конференций Microsoft BlueHat[21][22][23].

Хактивист

Хактивист — хакер, использующий технологии для распространения общественных, идеологических или политических посланий.

Государственные организации

Взломщики, работающие в интересах разведывательных структур и кибер-операций государств[24].

Организованные преступные группы

Группы хакеров, совершающих преступления ради финансовой выгоды[24]. Вымогательство, атаки с применением ransomware и кража данных активно использовались против государственных и частных структур[25].

Атаки

Хакерские атаки подразделяются главным образом на массовые и целевые[26]. Обычно процесс атаки на систему включает три этапа:

  1. Идентификация цели (network enumeration)
  2. Анализ уязвимостей (vulnerability analysis)
  3. Эксплуатация (exploit)[27]

Среди постоянных инструментов — программы-эксплойты, сканеры уязвимостей, снифферы и средства социальной инженерии.

Эксплойты безопасности

Эксплойт — программный код, использующий уязвимость системы[28]. Наиболее распространённые примеры: SQL-инъекция, межсайтовый скриптинг, межсайтовая подделка запросов (CSRF). Эксплойты используют протоколы FTP, HTTP, SSH, Telnet и другие.

Техники

Сканер уязвимостей
Программа для быстрой проверки систем на предмет известных уязвимостей.
Поиск уязвимостей вручную
Поиск слабых мест в программном коде с возможным применением реверс-инжиниринга.
Брутфорс
Атака перебором пароля (brute force); для длинных паролей используется словарная атака[29].
Взлом паролей
Методы восстановления паролей: перебор, подбор из списка распространённых паролей и словари[30].
Сниффер пакетов
Программа для захвата сетевых пакетов (packet sniffer), часто используется для перехвата паролей.
Подделка (спуфинг)
Один из способов социальной инженерии, при котором программа или сайт маскируется под доверенный сервис.
Руткит
Маскирующая программа, дающая злоумышленнику несанкционированный низкоуровневый доступ к системе.
Социальная инженерия
Методы обмана пользователей или персонала для получения доступа. Возможные методы: запугивание, апелляция к помощи, неймдроппинг, поддельные письма с просьбой о данных[31].
Троянские программы
Программа, маскирующаяся под легитимную, но открывающая злоумышленнику «чёрный ход» (backdoor).
Вирусы и черви
Самовоспроизводящиеся программы. Вирус привязывается к чужому коду, червь способен распространяться самостоятельно.
Кейлоггер
Программа, незаметно записывающая нажатия клавиш, зачастую для кражи данных.
Шаблоны атак
Серии шагов по моделированию атаки, могут применяться для тестирования и прогнозирования.

Инструменты и процедуры подробно рассматриваются в курсе EC-Council E|CSA[32].

Известные хакеры безопасности

  • Эндрю Оэрнхаймер — «серая шляпа», группа Goatse Security, известен обнаружением уязвимости iPad от AT&T.
  • Дэн Камински — эксперт по DNS и исследователь проблем rootkit Sony.
  • Берни С (Ed Cummings) — постоянный автор 2600: The Hacker Quarterly; в 1995 году арестован за хранение устройств для мошенничества.
  • Эрик Корли (Emmanuel Goldstein) — издатель 2600: The Hacker Quarterly, основатель конференций HOPE, участник хакерского сообщества с конца 1970-х.
  • Сьюзан Хэдли (Susan Thunder) — одна из пионеров социальной инженерии[33][34].
  • Гэри Маккиннон — британский хакер, обвинялся в США, экстрадиция отменена.
  • Гордон Лайон (Fyodor) — автор сканера Nmap, участник Honeynet Project.
  • Guccifer 2.0 — заявил о взломе сервера Демократического национального комитета США.
  • Якоб Аппельбаум — популяризатор Tor в правозащитных и журналистских сообществах.
  • Йоанна Рутковска — разработчик rootkit Blue Pill и операционной системы Qubes OS.
  • Джуд Милхон (St. Jude) — одна из первых киберактивисток, идеолог движения киберпанков[35].
  • Кевин Митник — консультант по безопасности, самый известный компьютерный преступник в истории США[36].
  • Лен Сассаман — программист, криптоактивист, специалист в области приватности.
  • Мередит Паттерсон — биохакер, известный совместными исследованиями с Дэном Камински и Леном Сассаманом.
  • Кимберли Ванвак (Gigabyte) — создатель первого вируса на C#[37].
  • Михаил Залевский (lcamtuf) — известный исследователь безопасности.
  • Solar Designer — основатель проекта Openwall.
  • Кейн Гэмбл — юный британский хакер, получил 2 года заключения за атаки на высокопоставленных представителей разведслужб США[38][39].

Субкультура

Компьютерное подполье[3] развило собственный сленг (leetspeak), подходы и «ценности». Множество хакеров используют псевдонимы и считают допустимым нелегальный взлом в интересах общественного блага[40].

Группы и конференции

Существуют известные хакерские конференции: DEF CON, Black Hat, Chaos Communication Congress, HOPE, SummerCon, ShmooCon и др. В 1980-е годы популярность приобрели группы-хакеры и BBS, где обменивались знаниями.

Ответственность за вредоносный взлом

Индия

Раздел Преступление Наказание
65 Искажение, уничтожение или сокрытие исходного кода (если код подлежит хранению по закону) До трёх лет лишения свободы и/или штраф до 20 000 рупий
66 Взлом До трёх лет лишения свободы и/или штраф до 50 000 рупий

Нидерланды

Статья 138ab Уголовного кодекса запрещает computervredebreuk — несанкционированное проникновение в систему или её часть, включая:

  • Обход средств защиты
  • Технические приёмы
  • Использование ложных сигналов или ключей
  • Использование украденных имён и паролей

Максимальное наказание — год лишения свободы или штраф 4-й категории[41].

США

Компьютерный закон о мошенничестве и злоупотреблениях (Computer Fraud and Abuse Act, 18 USC § 1030) запрещает несанкционированный доступ к «охраняемым компьютерам». Максимальное наказание зависит от тяжести нарушения и повторности. ФБР способно отслеживать платежи в криптовалюте и возвращать выкупы, выплаченные жертвами программы-вымогателя[42].

Хакеры в культуре и медиа

undefined

Хакерские журналы

Среди наиболее известных изданий — Phrack, Hakin9 и 2600: The Hacker Quarterly. Журналы и электронные «зяны» способствовали формированию сообщества[43].

Хакеры в художественных произведениях

Среди хакеров популярен жанр киберпанк и произведения о сетях и взломе. Часто используются псевдонимы и отсылки к мотивам из книг и фильмов[44][45].

Книги

  • Романы Уильяма Гибсона (особенно Спроул-трилогия)[46]
  • The Hacker’s Handbook Хьюго Корнуэлла (Питер Зоммер)
  • Лисбет Саландер в «Девушке с татуировкой дракона» Стига Ларссона
  • Little Brother Кори Доктороу
  • Neuromancer Уильяма Гибсона

Фильмы

  • Хакеры (Hackers)
  • Военные игры (WarGames)
  • Трон
  • Чистильщик (Sneakers)
  • Чёрная шляпа (Blackhat)
  • Матрица
  • Жажда смерти 4.0 (Live Free or Die Hard)
  • и другие

Телесериалы

  • Мистер Робот (Mr. Robot)

Нехудожественная литература

Инструменты

Среди инструментов, используемых хакерами:

  • Kali Linux — дистрибутив Linux для тестирования сетей на проникновение
  • Ghidra — открытый декомпилятор программ
  • IDA Pro — проприетарный декомпилятор
  • Nmap — средство анализа сетей

Примечания

  1. ↑ Gao, Xing (2015). “Information security investment for competitive firms with hacker behavior and security requirements”. Annals of Operations Research. 235: 277—300. DOI:10.1007/s10479-015-1925-2.
  2. ↑ Winkler, Ira. Spies Among Us: How to Stop the Spies, Terrorists, Hackers, and Criminals You Don’t Even Know You Encounter Every Day. John Wiley & Sons. 2005. С. 92. ISBN 9780764589904.
  3. ↑ 1 2 Sterling, Bruce. Part 2(d) // The Hacker Crackdown. — Вирджиния : IndyPublish.com, 1993. — P. 61. — ISBN 1-4043-0641-2.
  4. ↑ The Hacker's Dictionary (англ.). Дата обращения: 23 июня 2024. Архивировано 8 ноября 2020 года.
  5. ↑ Political notes from 2012: September-December Political notes from 2012: September–December. stallman.org. Дата обращения: 23 июня 2024. Архивировано 9 декабря 2012 года.
  6. ↑ Raymond, Eric S. Jargon File: Cracker (англ.). Дата обращения: 23 июня 2024. Архивировано 29 июня 2011 года.
  7. ↑ A Short History of 'Hack' (англ.) (6 марта 2014). Архивировано 10 ноября 2015 года. Дата обращения: 23 июня 2024.
  8. ↑ См. версию Jargon File 1981 года Jargon File 1981 (англ.). Дата обращения: 23 июня 2024. Архивировано 2 апреля 2018 года.
  9. ↑ Компьютерный взлом: с чего всё началось и как развивалось? WindowSecurity.com (16 октября 2002). Дата обращения: 23 июня 2024. Архивировано 16 января 2013 года.
  10. ↑ 1 2 Elmer-DeWitt, Philip. The 414 Gang Strikes Again (29 августа 1983), С. 75. Архивировано 2 декабря 2007 года.
  11. ↑ Timeline: The U.S. Government and Cybersecurity (16 мая 2003). Архивировано 16 ноября 2018 года. Дата обращения: 23 июня 2024.
  12. ↑ 1 2 Bailey, David. Attacks on Computers: Congressional Hearings and Pending Legislation // 1984 IEEE Symposium on Security and Privacy. — Окленд, Калифорния, США : IEEE, апрель 1984. — P. 180–186. — ISBN 978-0-8186-0532-1. — doi:10.1109/SP.1984.10012.
  13. ↑ Clifford, D. Cybercrime: The Investigation, Prosecution and Defense of a Computer-Related Crime. — Carolina Academic Press, 2011. — ISBN 978-1594608537.
  14. ↑ Wilhelm, Douglas. 2 // Professional Penetration Testing. — Syngress Press, 2010. — P. 503. — ISBN 978-1-59749-425-0.
  15. ↑ Moore, Robert. Cybercrime: Investigating High Technology Computer Crime. — Matthew Bender & Company, 2005. — P. 258. — ISBN 1-59345-303-5.
  16. ↑ O'Brien, James. Management Information Systems / James O'Brien, George Marakas. — Нью-Йорк : McGraw-Hill/ Irwin, 2011. — P. 536–537. — ISBN 978-0-07-752217-9.
  17. ↑ 1 2 Moore, Robert. Cybercrime: Investigating High-Technology Computer Crime. — 1. — Цинциннати, Огайо : Anderson Publishing, 2006. — ISBN 978-1-59345-303-9.
  18. ↑ Okpa, John Thompson; Ugwuoke, Christopher Uchechukwu; Ajah, Benjamin Okorie; Eshioste, Emmanuel; Igbe, Joseph Egidi; Ajor, Ogar James; Okoi, Ofem, Nnana; Eteng, Mary Juachi; Nnamani, Rebecca Ginikanwa (5 сентября 2022). “Cyberspace, Black-Hat Hacking and Economic Sustainability of Corporate Organizations in Cross-River State, Nigeria”. SAGE Open [англ.]. 12 (3): 215824402211227. DOI:10.1177/21582440221122739. ISSN 2158-2440. S2CID 252096635.
  19. ↑ Thomas, Douglas. Hacker Culture. — University of Minnesota Press, 2002. — ISBN 978-0-8166-3346-3.
  20. ↑ Andress, Mandy. CIW Security Professional / Mandy Andress, Cox, Phil, Tittel, Ed. — Нью-Йорк : Wiley, 2001. — P. 638. — ISBN 0-7645-4822-0.
  21. ↑ Blue hat hacker Definition, PC Magazine Encyclopedia, <https://www.pcmag.com/encyclopedia_term/0,2542,t=blue+hat+hacker&i=56321,00.asp>. Проверено 23 июня 2024.. 
  22. ↑ Fried, Ina Blue Hat summit meant to reveal ways of the other side. Microsoft meets the hackers. CNET News (15 июня 2005). Дата обращения: 23 июня 2024. Архивировано 3 декабря 2013 года.
  23. ↑ Markoff, John. At Microsoft, Interlopers Sound Off on Security (17 октября 2005). Архивировано 19 декабря 2014 года. Дата обращения: 23 июня 2024.
  24. ↑ 1 2 Chabrow, Eric. 7 Levels of Hackers: Applying An Ancient Chinese Lesson: Know Your Enemies. GovInfo Security (25 февраля 2012). Дата обращения: 23 июня 2024. Архивировано 31 декабря 2018 года.
  25. ↑ Egloff, Florian. Cybersecurity and the Age of Privateering. В: Understanding Cyber Conflict: Fourteen Analogies, глава 14. George Perkovich и Ariel E. Levite, изд. Georgetown University Press, 2017.
  26. ↑ Dey, Debabrata; Lahiri, Atanu; Zhang, Guoying (2011). “Hacker Behavior, Network Effects, and the Security Software Market”. SSRN Electronic Journal. DOI:10.2139/ssrn.1838656. ISSN 1556-5068.
  27. ↑ Gupta, Ajay; Klavinsky, Thomas; Laliberte, Scott. (15 марта 2002) Security Through Penetration Testing: Internet Penetration Security Through Penetration Testing. informit.com. Дата обращения: 23 июня 2024. Архивировано 3 июля 2019 года.
  28. ↑ Rodriguez, Chris; Martinez, Richard The Growing Hacking Threat to Websites: An Ongoing Commitment to Web Application Security. Frost & Sullivan. Дата обращения: 23 июня 2024.
  29. ↑ Kerner, Sean Michael. «Sentry MBA Uses Credential Stuffing To Hack Sites.» Eweek (2016): 8.
  30. ↑ Weir, Matt, Sudhir Aggarwal, Breno de Medeiros, Bill Glodek. 2009. «Password Cracking Using Probabilistic Context-Free Grammars». 2009 30th IEEE Symposium on Security and Privacy: 391—405.
  31. ↑ Thompson, Samuel T. C. «Helping The Hacker? Library Information, Security, And Social Engineering.» Information Technology & Libraries 25.4 (2006): 222—225.
  32. ↑ Press, EC-Council. Penetration Testing: Procedures & Methodologies. — Clifton, NY : CENGAGE Learning, 2011. — ISBN 978-1435483675.
  33. ↑ DEF CON III Archives - Susan Thunder Keynote. DEF CON. Дата обращения: 23 июня 2024. Архивировано 20 апреля 2019 года.
  34. ↑ Hafner, Katie (август 1995). “Kevin Mitnick, unplugged”. Esquire. 124 (2): 80. Архивировано из оригинала 2019-05-15. Дата обращения 2024-06-23. Используется устаревший параметр |url-status= (справка); Проверьте дату в |date= (справка на английском)
  35. ↑ Community Memory: Precedents in Social Media and Movements. Computer History Museum (23 февраля 2016). Дата обращения: 23 июня 2024. Архивировано 3 июля 2019 года.
  36. ↑ United States Attorney's Office, Central District of California (9 августа 1999). Kevin Mitnick sentenced to nearly four years in prison; computer hacker ordered to pay restitution .... Пресс-релиз.
  37. ↑ Holt, Thomas J. Corporate Hacking and Technology-Driven Crime: Social Dynamics and Implications / Thomas J. Holt, Bernadette Hlubik Schel. — IGI Global, 2010. — P. 146. — ISBN 9781616928056.
  38. ↑ «British teenager who 'cyber-terrorised' US intelligence officials gets two years detention» British teenager who 'cyber-terrorised' US intelligence officials gets two years detention. The Independent. Дата обращения: 23 июня 2024. Архивировано 14 июня 2018 года.
  39. ↑ «British teen Kane Gamble accessed accounts of top US intelligence and security officials» British teen Kane Gamble accessed accounts of top US intelligence and security officials. Deutsche Welle. Дата обращения: 23 июня 2024. Архивировано 21 июня 2018 года.
  40. ↑ Jordan, Tim. Hacktivism and Cyberwars / Jordan, Tim, Taylor, Paul A.. — Routledge, 2004. — P. 133–134. — ISBN 978-0-415-26003-9.
  41. ↑ Artikel 138ab Wetboek van Strafrecht, 27 декабря 2012. Дата обращения: 23 июня 2024. Архивировано 2 февраля 2015 года.
  42. ↑ Nakashima, Ellen. Feds recover more than $2 million in ransomware payments from Colonial Pipeline hackers. Feds recover more than $2 million in ransomware payments. Washington Post (7 июня 2021). Дата обращения: 23 июня 2024. Архивировано 19 июня 2021 года.
  43. ↑ Thomas, Douglas. Hacker Culture. — University of Minnesota Press, 2003. — P. 90. — ISBN 978-0-8166-3346-3.
  44. ↑ Swabey, Pete. Data leaked by Anonymous appears to reveal Bank of America's hacker profiling operation (27 февраля 2013). Архивировано 19 апреля 2016 года. Дата обращения: 23 июня 2024.
  45. ↑ Hackers and Viruses: Questions and Answers. Scienzagiovane. University of Bologna (12 ноября 2012). Дата обращения: 23 июня 2024. Архивировано 10 июня 2016 года.
  46. ↑ Staples, Brent. A Prince of Cyberpunk Fiction Moves Into the Mainstream, The New York Times (11 мая 2003). Архивировано 13 октября 2016 года. Дата обращения: 23 июня 2024.

Литература

Ссылки

Категории