DoS Attacks

Οι hackers δεν επιτίθενται πλέον σε ένα σύστημα με σκοπό την αλλαγή των αρχείων του, την υποκλοπή αρχείων και κωδικών, την αλλαγή των Web σελίδων... Αρκούνται και στο να θέσουν το σύστημα αυτό "εκτός λειτουργίας" προξενώντας έτσι περισσότερη ζημιά...
Από τo PsychoGRpsychogrthehacker@gmail.com

Αυτό το είδος των επιθέσεων των hackers σε υπολογιστικά συστήματα λέγονται DOS (Denial Of Service) attacks. Επιθέσεις που έχουν ως σκοπό όχι την υποκλοπή κωδικών και προγραμμάτων, αλλά να θέσουν εκτός λειτουργίας τον υπολογιστή που επιτίθενται. Τα άμεσα αποτελέσματα μιας τέτοιας επίθεσης είναι rebοot, crashes, kernel dumps... Το να τεθεί ένας υπολογιστής ή κάποιος router εκτός λειτουργίας για κάποιο διάστημα για πολλούς είναι κάτι το καταστροφικό. Παρόμοια περίπτωση επίθεσης είχαμε τον περασμένο Νοέμβριο στην Forthnet. Επιπλέον υπάρχει και η πιθανότητα η μη σωστή επανεκκίνηση του υπολογιστή να κατεβάσει το επίπεδο ασφάλειας του, μετατρέποντας έτσι τον υπολογιστή εύκολη λεία για τον επίδοξο hacker. Είναι πραγματικά επιθέσεις στις οποίες είναι δύσκολο να αμυνθεί κανείς αποτελεσματικά. Υπάρχουν αρκετοί τρόποι που μπορεί να ακολουθήσει κάποιος ώστε να επιτεθεί. Πολλά είναι και τα προγράμματα καθώς και οι source κώδικες που κυκλοφορούν στο Internet και βοηθούν τους επίδοξους hackers στο καταστροφικό τους έργο. Μέσα από το άρθρο αυτό θα γίνει αναφορά στους 3 πιο συνηθισμένους τρόπους επίθεσης.





Πρόκειται για έναν αρκετά παλιό τρόπο επίθεσης ο οποίος εκμεταλλεύεται ένα καταπληκτικό εργαλείο για δίκτυα. Πιο απλά αυτή η επίθεση γίνεται με την χρήση της εντολής ping. Η εντολή ping στέλνει ένα "πακέτο" από bytes σε κάποιον υπολογιστή του δικτύου για να ανακαλύψει αν αυτός ο υπολογιστής είναι on-line. Αν είναι δηλαδή συνδεδεμένος στο δίκτυο. Το "πακέτο" αυτό από bytes μπορεί να περιέχει καθορισμένο αριθμό bytes μέχρι ενός σημείου βέβαια (μπορεί να περιέχει έως 65.535 bytes). Έτσι στέλνοντας ένα αρκετά μεγάλο πακέτο από bytes σε κάποιον server έχει ως αποτέλεσμα να δημιουργηθεί πρόβλημα υπερχείλισης στο buffer του (Buffer Overflow). Αυτός ο περιορισμός του αριθμού των bytes είναι δυνατόν να ξεπεραστεί αν εκμεταλλευτεί κανείς το γεγονός ότι το TCP/IP διασπά τις πληροφορίες σε μικρότερα κομμάτια τα οποία συναρμολογούνται αργότερα στον server. Έτσι μπορούμε να δημιουργήσουμε ένα πακέτο το οποίο να περιέχει 70.000 bytes, το TCP/IP θα το κόψει σε μικρότερα κομμάτια πχ. 300 bytes και έτσι θα σταλεί στον server, όπου τελικά θα συναρμολογηθεί και θα αποκτήσει το αρχικό του μέγεθος. Οι συνέπειες είναι reboots, crashes και λοιπά άλλα προβλήματα στον παραλήπτη αυτού του πακέτου. Ευτυχώς που τώρα το είδος αυτό επίθεσης δεν είναι πια εφικτό καθώς οι περισσότεροι υπολογιστές είναι πια προστατευμένοι με ειδικά patches.









Μπορεί το pinging ενός server να μην αποτελεί πλέον απειλή στους περισσότερους υπολογιστές του δικτύου, αλλά υπάρχουν και άλλα είδη επιθέσεων όπως η OOB (Out Of Band) επίθεση ή αλλιώς Nuke. Αυτού του είδους η επίθεση είναι εφικτή μόνο σε λειτουργικό Win95 και WinNT. Η βασική λειτουργία της επίθεσης αυτής είναι ότι ο server δέχεται σε κάποιο ανοιχτό port data σε high priority mode. Συνήθως τέτοιου είδους data στέλνεται στα port 139, 138, 137, 119, 113. Λαμβάνοντας ο υπολογιστής τα δεδομένα αυτά σε αυτό το mode δεν ξέρει πως να τα χειριστεί και το αποτέλεσμα είναι να δημιουργηθεί ένα kernel panic. Το αποτέλεσμα είναι reboot, μπλε οθόνη, αποσύνδεση του modem και άλλα τα συναφή. Με ειδικά patches και προγράμματα (όπως το Nuke Nabber) που κυκλοφορούν στο Internet μπορεί οποιοσδήποτε να ασφαλίσει το μηχάνημά του από τέτοιου είδους επιθέσεις. Τέτοιες επιθέσεις μπορούν να γίνουν και σε servers του δικτύου αλλά και σε απλά home computers. Έχετε ποτέ παρατηρήσει πόσο συχνά αποσυνδέεται το modem σας όταν μιλάτε στο IRC ? :) 'Ένας από τους χειρότερους τρόπους επίθεσης είναι το SYN FLOOD (Synchronise Flooding). Μια τέτοια επίθεση απαιτεί την γνώση σε βάθος του πρωτοκόλλου TCP/IP. Εκεί βασίζεται και αυτή η επίθεση γι΄αυτό αποτελεί ακόμα απειλή στους διάφορους υπολογιστές. Πιο αναλυτικά... Για να επικοινωνήσουν δύο υπολογιστές στο Internet απαιτούνται 3 βασικά βήματα (3 Way Handshale). Έστω ότι ο υπολογιστής Α (client) ξεκινάει την διαδικασία σύνδεσης με τον Β (server). (εικόνα 3 Α) Το πρώτο βήμα είναι η αποστολή στον υπολογιστή Β της αίτησης σύνδεσης (Connection Request.). Έτσι ο Α στέλνει στον Β ένα πακέτο του τύπου SYN/ACK (Synchronize Acknowledge) με το οποίο του λέει ότι επιθυμεί να συνδεθεί σ΄αυτόν. (εικόνα 3 Β) Ο Β δέχεται το πακέτο και στέλνει στον Α ένα πακέτο ACK (Acknowledge Received) με το οποίο πληροφορεί τον Α ότι έλαβε το πακέτο του και ξεκινάει την διαδικασία ρύθμισης των παραμέτρων σύνδεσης. (εικόνα 3 Γ) Τέλος ο Α στέλνει άλλο ένα πακέτο του ίδιου τύπου (ACK) με το οποίο πληροφορεί με την σειρά του ότι έλαβε το πακέτο του Β και ξεκινάει την διαδικασία ρύθμισης των παραμέτρων σύνδεσης. Έτσι επιτυγχάνεται η σύνδεση μεταξύ των δύο υπολογιστών Α και Β. Αυτό είναι το λεγόμενο 3 Way Handshale. Κατά την διάρκεια αυτής της διαδικασίας ο Α και ο Β υπολογιστής αναγνωρίζουν ο ένας τον άλλο από τον ip αριθμό τους που έχουν στον διαδίκτυο. Έτσι ο Α στέλνει τα πακέτα στον Β και ο Β απαντά στον Α και όχι σε έναν άλλο υπολογιστή. Όση ώρα κρατάει αυτή η διαδικασία, η οποία δεν είναι μία άλλα μερικές εκατοντάδες το λεπτό, ο υπολογιστής Β κρατάει τα στοιχειά του Α, όπως πχ. τον ip αριθμό, σε ένα μέρος της μνήμης (buffer). Όταν όμως η σύνδεση πραγματοποιηθεί η μνήμη που είχε δεσμευθεί για να κρατήσει τις πληροφορίες ελευθερώνεται. Δυστυχώς όμως το μέγεθος του buffer που έχει στην διάθεσή του ο server είναι πολύ μικρή. Το αποτέλεσμα είναι με τις αιτήσεις για σύνδεση που γίνονται να γεμίζει γρήγορα. Έτσι όταν δεν υπάρχει διαθέσιμη μνήμη ο Β δεν μπορεί να δεχτεί άλλες συνδέσεις. Ευτυχώς όμως όσες αιτήσεις δεν καταλήξουν σε συνδέσεις σε ορισμένο χρονικό διάστημα γίνονται expired από τον server, δηλ. απορρίπτονται και την θέση τους παίρνουν άλλες καινούργιες. Η επίθεση έχει ως σκοπό να γεμίσει η μνήμη του υπολογιστή Β, του server δηλαδή, από αιτήσεις ώστε να μην μπορεί να δεχτεί άλλες. 'Έτσι να είναι αδύνατον να συνδεθούν άλλοι υπολογιστές εκεί. Ο Α υπολογιστής βομβαρδίζει συνεχώς με πακέτα συνδεθούν άλλοι υπολογιστές εκεί. Ο Α υπολογιστής βομβαρδίζει συνεχώς με πακέτα SYΝ/ACK τον Β. Επιπλέον ο Α φροντίζει να μην στέλνει τα πραγματικά του στοιχεία (τον ip αριθμό) στον Β έτσι ώστε αυτές οι αιτήσεις να μην καταλήγουν ποτέ σε συνδέσεις. Με το συνεχή βομβαρδισμό του Β ξεπερνιέται και το timeout του server. Έτσι όσα πακέτα SYN/ACK γίνονται expired την θέση τους στο buffer παίρνουν αμέσως άλλα πακέτα ίδιου τύπου προερχόμενα φυσικά από τον υπολογιστή που επιτίθεται. Έτσι η μνήμη γεμίζει και το αποτέλεσμα είναι ο server να μην μπορεί να δεχτεί άλλες συνδέσεις για όση ώρα διαρκεί αυτή η επίθεση. Είναι πραγματικά πολύ δύσκολη επίθεση να πραγματοποιηθεί αλλά πολύ αποτελεσματική. Ελπίζω η ανάλυση των τριών αυτών τρόπων επίθεσης να ήταν κατανοητή. Στην πραγματικότητα τα πράγματα είναι περισσότερο πολύπλοκα. Επομένως έπρεπε να τα απλουστέψω όσο πιο πολύ γινόταν χωρίς όμως να ξεφύγω τελείως από την τεχνική που χρησιμοποιείται γι΄αυτές τις επιθέσεις. Σαν συμπέρασμα παρατηρούμε ότι υπάρχουν αρκετοί τρόποι να επιτεθεί κάποιος σε έναν οποιονδήποτε υπολογιστή που είναι συνδεδεμένος στο Internet. Πράγμα που μας κάνει να συμπεραίνουμε ότι κανένας υπολογιστής δεν είναι απόλυτα ασφαλής. Αυτές οι επιθέσεις είναι ένα μικρό μέρος από το σύνολο των DOS attacks. Ευτυχώς για αρκετές από αυτές υπάρχει προφύλαξη. Μπορείτε να βρείτε παντού πληροφορίες για την ασφάλεια των υπολογιστών. 'Ένα καταπληκτικό site σχετικά με την ασφάλεια των ΝΤ είναι το ΝΤ Shop. Και αν αυτό δεν είναι αρκετό μπορείτε να βρείτε πολλά περισσότερα sites μέσω του Yahοo! ή της αγαπημένης σας μηχανής αναζήτησης.

Kevin Mitnick

Ο ΚΕΒΙΝ ΜΙΤΝΙΚ ΔΙΗΓΕΙΤΑΙ ΤΗΝ ΙΣΤΟΡΙΑ ΤΟΥ

Το αδημοσίευτο πρώτο κεφάλαιο από το νέο βιβλίο για τον Αμερικανό hacker, που πέρασε 4½ χρόνια στη φυλακή δίχως δίκη
Δίσταζα να γράψω αυτό το κεφάλαιο. Αλλά έχουν έλθει σε επαφή μαζί μου κυριολεκτικά εκατοντάδες άνθρωποι που θέλουν να ξέρουν "ποιος είναι ο Κέβιν Μίτνικ". Όσοι δεν δίνετε δεκάρα, προσπεράστε αυτές τις σελίδες. Για τους υπόλοιπους, εδώ διηγούμαι, ό,τι κι αν αξίζει, την ιστορία μου.
Ο Κέβιν Μιλά Μερικοί hackers καταστρέφουν αρχεία ή ακόμη κι ολόκληρους σκληρούς δίσκους των θυμάτων τους· αποκαλούνται crackers, ή βάνδαλοι. Κάποιοι νεόκοποι hackers δεν ενδιαφέρονται να μάθουν την τεχνολογία, απλώς κατεβάζουν εργαλεία των hackers για να εισβάλλουν σε υπολογιστικά συστήματα· τους αποκαλούν script kiddies. Πιο πεπειραμένοι hackers με ικανότητες προγραμματισμού αναπτύσσουν προγράμματα hackers και τα αναρτούν στο Web και σε BBSs. Κι υπάρχουν και άτομα τα οποία δεν έχουν κανένα ενδιαφέρον για την τεχνολογία, αλλά χρησιμοποιούν τον υπολογιστή απλώς και μόνο ως εργαλείο για να καταφέρουν να κλέψουν χρήματα, αγαθά ή υπηρεσίες. Παρά τον δημιουργημένο από τα μέσα ενημέρωσης μύθο του Κέβιν Μίτνικ, δεν είμαι κακόβουλος hacker. Αυτά που έκανα δεν ήταν καν παράνομα όταν ξεκίνησα, και χαρακτηρίστηκαν εγκλήματα μόνο μετά την έγκριση νέας νομοθεσίας. Συνέχισα ούτως ή άλλως, και με έπιασαν..
Η μεταχείρισή μου από την ομοσπονδιακή κυβέρνηση δεν βασίστηκε στα εγκλήματα που μου απέδιδε, αλλά στην πρόθεση της να με καταστήσει ένα παράδειγμα. Δεν μου άξιζε να με μεταχειρισθούν σαν τρομοκράτη ή βίαιο εγκληματία: να ψάξουν την κατοικία μου με ένα κενό ένταλμα· να με ρίξουν στην απομόνωση για μήνες· να μου αρνηθούν θεμελιώδη Συνταγματικά δικαιώματα που είναι εγγυημένα σε οποιονδήποτε κατηγορείται για ένα έγκλημα· να μου αρνηθούν όχι μόνο την αποφυλάκιση με εγγύηση, αλλά ακόμη και την ακρόαση για αποφυλάκιση με εγγύηση· και να με εξαναγκάσουν να ξοδέψω χρόνια πολεμώντας να μου δοθούν τα στοιχεία που διέθετε η κυβέρνηση ώστε ο διορισμένος από το δικαστήριο δικηγόρος μου να μπορέσει να προετοιμάσει την υπεράσπισή μου.
Τι συνέβη στο δικαίωμά μου για ταχεία αποπεράτωση της δίκης μου; Επί χρόνια, κάθε έξι μήνες μου προσφερόταν μια επιλογή: υπόγραψε ένα χαρτί με το οποίο απεμπολείς τα Συνταγματικά σου δικαιώματα για να υπάρξει γρήγορη δίκη, η πας σε δίκη με έναν δικηγόρο ο οποίος θα είναι απροετοίμαστος. Επέλεξα να υπογράψω. Αλλά, προτρέχω.
Ξεκινώντας Η πορεία μου χαράχθηκε πιθανότατα τα πρώτα χρόνια της ζωής μου. Ήμουν ένα "ευτυχισμένο και τυχερό" παιδί, βαριεστημένο. Αφότου ο πατέρας μου έφυγε, όταν ήμουν τριών, η μητέρα μου εργαζόταν ως σερβιτόρα για να μας ζήσει. Αν προσπαθούσε να με δει κανείς τότε, θα έβλεπε ένα μοναχοπαίδι το οποίο μεγάλωνε μια μητέρα που εργαζόταν πολύ και βιαζόταν, κι είχε ασταθές ωράριο. Θα έβλεπε ένα παιδί μόνο του, όλες τις ώρες που ήταν ξύπνιο. Η μπέιμπι-σίτερ μου ήμουν εγώ.
Το ότι μεγάλωσα σε μια περιοχή στην κοιλάδα του Σαν Φερνάντο σήμαινε ότι είχα όλο το Λος Αντζελες να εξερευνήσω, και στην ηλικία των δώδεκα ετών είχα ανακαλύψει τον τρόπο να ταξιδεύω δωρεάν σε ολόκληρη την περιοχή του ευρύτερου Λος Αντζελες. Συνειδητοποίησα μια μέρα, καθώς ταξίδευα με λεωφορείο, ότι η ασφάλεια των εισιτηρίων που αγόραζα βασιζόταν στις διάτρήσεις με τις οποίες οι οδηγοί σημείωναν την ημέρα, την ώρα και το δρομολόγιο των μετεπιβιβάσεων. Ένας φιλικός οδηγός, απαντώντας σε μια προσεκτικά διατυπωμένη ερώτησή μου, μού αποκάλυψε πού μπορούσα να αγοράσω τα τρυπητήρια αυτού του είδους. Οι μετεπιβιβάσεις σου επιτρέπουν να αλλάξεις λεωφορείο και να συνεχίσεις το ταξίδι σου ως τον προορισμό σου, και κατάφερα να μάθω πώς να τις χρησιμοποιώ για να πηγαίνω όπου ήθελα δωρεάν. Το να βρω κενά χαρτιά μετεπιβιβάσεων ήταν εύκολο σαν βόλτα στο πάρκο: οι σκουπιδοτενεκέδες στους τερματικούς σταθμούς των λεωφορείων ήταν πάντοτε γεμάτοι με μισοχρησιμοποιημένα βιβλία μετεπιβιβάσεων, που πετούσαν οι οδηγοί στο τέλος της βάρδιας τους. Με ένα κενό βιβλίο και το τρυπητήρι, μπορούσα να φτιάξω τις δικές μου μετακινήσεις και να φθάσω οπουδήποτε πήγαιναν τα λεωφορεία του Λ.Α. Λίγο καιρό μετά, είχα απομνημονεύσει τα δρομολόγια των λεωφορείων ολόκληρου του συστήματος. Αυτό ήταν ένα πρώιμο παράδειγμα της εκπληκτικής μνήμης που διέθετα για ορισμένους τύπους πληροφοριών: ακόμη και σήμερα, μπορώ να θυμηθώ αριθμούς τηλεφώνων, passwords και άλλα δεδομένα, ως τα παιδικά μου χρόνια. Αλλο ένα προσωπικό μου ενδιαφέρον που ήλθε στην επιφάνεια σε μικρή ηλικία ήταν η γοητεία που μου ασκούσε το να κάνω μαγικά κόλπα. Μόλις μάθαινα πώς γινόταν ένα νέο κόλπο, θα έκανα εξάσκηση, εξάσκηση και εξάσκηση-ώσπου να το μάθω τέλεια. Σ'ένα βαθμό, ήταν μέσω της μαγείας που ανακάλυψα την απόλαυση του να εξαπατάς τους ανθρώπους.
Από Phone Phreak, Hacker Η πρώτη μου εμπειρία με αυτό που θα μάθαινα στη συνέχεια να αποκαλώ κοινωνική μηχανική (social engineering) ήλθε στα χρόνια που ήμουν στο γυμνάσιο, όταν συνάντησα έναν μαθητή που είχε κολλήσει με ένα χόμπι που αποκαλείτο phone phreaking. Το phone phreaking είναι ένα είδος hacking που σου επιτρέπει να εξερευνάς το τηλεφωνικό δίκτυο, εκμεταλλευόμενος τα τηλεφωνικά συστήματα και τους υπαλλήλους της τηλεφωνικής εταιρίας. Μου έδειξε έξυπνα κόλπα που μπορούσε να κάνει με ένα τηλέφωνο, όπως το να βρει οποιαδήποτε πληροφορία είχε η τηλεφωνική εταιρία για οποιονδήποτε πελάτη, και το να χρησιμοποιεί έναν μυστικό δοκιμαστικό αριθμό για να κάνει υπεραστικές κλήσεις δωρεάν (στην πραγματικότητα, δωρεάν μόνο για μας-έμαθα, πολύ αργότερα, ότι δεν επρόκειτο καθόλου για κάποιον μυστικό δοκιμαστικό αριθμό: οι κλήσεις χρεώνονταν, στην πραγματικότητα, στους λογαριασμούς κάποιας καημένης εταιρίας στην MCI). Αυτή ήταν η γνωριμία μου με το social engineering-το νηπιαγωγείο μου, ας πούμε. Ο μαθητής αυτός και άλλος ένας phone phreaker που συνάντησα λίγο μετά με άφηναν να ακούω, καθώς έκαναν ο ένας μετά τον άλλο κλήσεις στην τηλεφωνική εταιρία για να αντλήσουν πληροφορίες. Τους άκουσα να λένε πράγματα που τους έκαναν να φαίνονται πιστευτοί, έμαθα ποια ήταν τα διάφορα γραφεία, την αργκό και τις διαδικασίες της τηλεφωνικής εταιρίας. Αλλά αυτή η "εκπαίδευση" δεν διήρκεσε πολύ· δεν χρειαζόταν. Σύντομα, τα έκανα όλα μόνος μου, μαθαίνοντας στην πορεία, κάνοντάς το ακόμα καλύτερα από ότι αυτοί οι πρώτοι μου δάσκαλοι. Η πορεία που θα ακολουθούσε η ζωή μου για τα επόμενα δεκαπέντε χρόνια είχε χαραχτεί.
Μια από τις πιο αγαπημένες μου φάρσες ήταν να αποκτώ παράτυπη πρόβαση σε κάποιον τηλεφωνικό διεπιλογέα (switch) και να αλλάζω το επίπεδο των υπηρεσιών που είχε κάποιος άλλος phone phreak. Όταν επιχειρούσε να κάνει ένα τηλεφώνημα από το σπίτι, το θύμα άκουγε ένα προηχογραφημένο μήνυμα που του έλεγε να ρίξει ένα κέρμα στο τηλέφωνο, αφού ο διεπιλογέας της τηλεφωνικής εταιρίας είχε λάβει στοιχεία που καταδείκνυαν ότι τηλεφωνούσε από συσκευή για το κοινό με κερματοδέκτη. Απορροφήθηκα εντελώς σ'ο,τιδήποτε αφορούσε τα τηλέφωνα-όχι μόνο τα ηλεκτρονικά τους, τους διεπιλογείς και τους υπολογιστές, αλλά επίσης και την εταιρική οργάνωση, τις διαδικασίες και την ορολογία. Μετά από λίγο καιρό, ήξερα πιθανότατα περισσότερα για το τηλεφωνικό σύστημα από οποιονδήποτε υπάλληλο που εργαζόταν σ'αυτό. Κι είχα αναπτύξει τις ικανότητές μου στο social engineering στο σημείο που, μόλις στα 17 μου χρόνια, μπορούσα να πείσω τους περισσότερους υπαλλήλους της τηλεπικοινωνιακής εταιρίας να κάνουν σχεδόν τα πάντα, είτε τους μιλούσα προσωπικά είτε από το τηλέφωνο.
Η καριέρα μου ως hacker ξεκίνησε ενόσω ήμουν ακόμη στο γυμνάσιο. Τότε χρησιμοποιούσαμε τον όρο hacker εννοώντας κάποιον που ξόδευε πολύ χρόνο ενασχολούμενος με το hardware και το software, είτε για να αναπτύξει πιο αποτελεσματικά προγράμματα ή για να παρακάμψει μη αναγκαία βήματα και να καταφέρει αυτό που ήθελε να κάνει πιο γρήγορα. Ο όρος έχει πλέον γίνει εξευτελιστικός, και σημαίνει "κακόβουλος εγκληματίας". Σ'αυτές τις σελίδες χρησιμοποιώ τον όρο με τον τρόπο που τον χρησιμοποιούσα πάντοτε-με την πρώτη, αγαθότερη έννοιά του. Στα τέλη του 1979, μια ομάδα που αποτελούσαν μερικοί hackers που δούλευαν στην συνοικία του ενοποιημένου γυμνασίου του Λος Αντζελες με προκάλεσαν να προσπαθήσω να μπω με hacking στο The Ark, το υπολογιστικό σύστημα της Digital Equipment Corporation που χρησιμοποιείτο για την ανάπτυξη του λειτουργικού συστήματος RSTS/E της εταιρίας. Κι ήθελα να γίνω αποδεκτός από τους τύπους σ'αυτή την ομάδα των hackers, ώστε να μπορέσω να μάθω απ'αυτούς περισσότερα για τα λειτουργικά συστήματα.
Αυτοί οι νέοι μου "φίλοι" είχαν καταφέρει να βρουν τον διεπιλογικό τηλεφωνικό αριθμό πρόσβασης στο υπολογιστικό σύστημα της DEC. Αλλά ήξεραν ότι ο αριθμός dial-up δεν θα με ωφελούσε σε τίποτα: Δίχως ένα όνομα χρήστη και τον κωδικό πρόσβασης, δεν θα μπορούσα να μπω ποτέ στο σύστημα. Επρόκειτο να μάθουν σύντομα ότι όταν υποτιμάς τους άλλους, μπορεί να σε δαγκώσουν στον πισινό. Αποδείχθηκε ότι για μένα, ακόμη και σ'αυτή την νεαρή ηλικία, το να μπω με hacking στο σύστημα της DEC ήταν πολύ εύκολο. Ισχυριζόμενος ότι ήμουν ο Anton Chernoff, ένα από τα κορυφαία στελέχη που εργάζονταν για την ανάπτυξη του λειτουργικού, έκανα ένα απλό τηλεφώνημα στον διαχειριστή του συστήματος. Ισχυρίστηκα ότι δεν μπορούσα να αποκτήσω πρόσβαση σε έναν από τους λογαριασμούς "μου", και ήμουν αρκετά πειστικός ώστε να καταφέρω τον τύπο να μου δώσει πρόσβαση και να μου επιτρέψει να επιλέξω τον κωδικό της επιλογής μου. Ως επιπλέον επίπεδο προστασίας, οποτεδήποτε κάποιος καλούσε το σύστημα ανάπτυξης, ο χρήστης έπρεπε να δώσει έναν κωδικό για την έγκριση της τηλεφωνικής σύνδεσης. Ο διαχειριστής του συστήματος μου είπε τον κωδικό. Ήταν buffoon (παλιάτσος), πράγμα που υποθέτω περιγράφει το πώς πρέπει να ένοιωσε αργότερα, όταν ανακάλυψε τι είχε συμβεί. Μέσα σε χρόνο λιγότερο από πέντε λεπτά, είχα αποκτήσει πρόσβαση στο σύστημα ανάπτυξης του RSTE/E της Digital. Και δεν είχα πρόσβαση ως απλός, συνηθισμένος χρήστης, αλλά ως χρήστης που διέθετε όλα τα προνόμια ενός system developer. Στην αρχή, οι νέοι υποτιθέμενοι φίλοι μου αρνούνταν να πιστέψουν πως είχα αποκτήσει πρόσβαση στο σύστημα The Ark.
Ένας από αυτούς πραγματοποιήσε μια τηλεφωνική κλήση στο σύστημα και έσπρωξε το πληκτρολόγιο μπροστά μου έχοντας ένα προκλητικό ύφος στο πρόσωπό του. Το στόμα του άνοιξε καθώς πράγματι συνδέθηκα σε έναν προνομιακό λογαριασμό. Αργότερα, ανακάλυψα ότι πήγαν κάπου αλλού και, την ίδια εκείνη ημέρα, άρχισαν να κατεβάζουν τμήματα του πηγαίου κώδικα του λειτουργικού συστήματος της DEC. Ήταν η σειρά μου να την πατήσω. Αφού κατέβασαν όλο το λογισμικό που ήθελαν, κάλεσαν το τμήμα ασφαλείας της εταιρίας στην DEC και είπαν ότι κάποιος είχε διεισδύσει με hacking στο εταιρικό δίκτυο. Κι έδωσαν το όνομά μου. Οι υποτιθέμενοι φίλοι μου πρώτα χρησιμοποίησαν την πρόσβαση που είχα αποκτήσει για να αντιγράψουν εξαιρετικά ευαίσθητο πηγαίο κώδικα, και μετά με κατέδωσαν. Υπήρχε ένα μάθημα εκεί, όχι όμως ένα μάθημα που θα κατάφερνα να καταλάβω εύκολα. Στην διάρκεια των χρόνων που ακολούθησαν, θα έμπλεκα επανειλημμένα σε μπελάδες επειδή εμπιστεύτηκα ανθρώπους που πίστευα ότι ήταν φίλοι μου.
Μετά το γυμνάσιο, σπούδασα υπολογιστές στο Κέντρο Εκμάθησης Υπολογιστών στο Λος Αντζελες. Σε μερικούς μήνες, ο διαχειριστής των υπολογιστών του σχολείου συνειδητοποίησε ότι είχα βρει ένα ευάλωττο σημείο στο λειτουργικό σύστημα και είχα αποκτήσει όλα τα διαχειριστικά προνόμια στον μινι-υπολογιστή IBM του σχολείου. Οι καλύτεροι ειδικοί του διδακτικού προσωπικού δεν μπορούσαν να καταλάβουν πώς το είχα καταφέρει. Σε ένα από τα πρώτα παραδείγματα της τακτικής "προσέλαβε τον hacker", μου έκαναν μια προσφορά που δεν μπορούσα να αρνηθώ: να αναλάβω ένα έργο για την βελτίωση της ασφάλειας του υπολογιστή του σχολείου, ή να αποβληθώ επειδή μπήκα στο σύστημα με hacking. Φυσικά επέλεξα το τιμητικό έργο, και κατέληξα να αποφοιτήσω με πτυχίο και τιμητική διάκριση.
Πώς έγινα Social Engineer Μερικοί άνθρωποι ξυπνούν το πρωί τρομοκρατημένοι από την καθημερινή εργασιακή ρουτίνα τους, στα κατά φαντασίαν ορυχεία όπου πηγαίνουν. Ήμουν τυχερός στο ότι η δουλειά μου μου άρεσε. Για την ακρίβεια, δεν μπορείτε να φανταστείτε την πρόκληση, την ανταμοιβή και την ικανοποίηση που ένοιωθα, την εποχή που ήμουν ιδιωτικός ερευνητής. Ακόνιζα τα ταλέντα μου στην τέχνη που αποκαλείται κοινωνική μηχανική-το να καταφέρνω να πείθω ανθρώπους να κάνουν πράγματα που φυσιολογικά δεν θα έκαναν για κάποιον ξένο-και πληρωνόμουν γι'αυτό. Για μένα, δεν ήταν δύσκολο να γίνω αποτελεσματικός στο social engineering. Η πλευρά του πατέρα μου στην οικογένεια ασχολείτο με πωλήσεις για γενιές ολόκληρες, έτσι η τέχνη της άσκησης επιρροής και πειθούς μπορεί και να μου είχε ενσταλλαχθεί κληρονομικά. Όταν συνδυάζεις μια κλίση στην παραπλάνηση των ανθρώπων με τα ταλέντα της επιρροής και της πειθούς, φθάνεις στο προφίλ ενός social engineer.
Μπορεί κανείς να πει ότι υπάρχουν δύο ειδικότητες στην περιγραφή της εργασίας ενός καλλιτέχνη της παραπλάνησης, ενός απατεώνα. Αυτός που εξαπατά και αποσπά από ανθρώπους τα χρήματά τους ανήκει στην μια ειδικότητα, του κλέφτη. Αυτός που χρησιμοποιεί την εξαπάτηση, την επιρροή και την πειθώ εναντίον επιχειρήσεων, με στόχο συνήθως τις πληροφορίες τους, ανήκει στην άλλη ειδικότητα, του social engineer. Από την εποχή που έκανα το κόλπο με τα λεωφορεία, όταν ήμουν πολύ μικρός για να καταλάβω ότι ήταν λάθος αυτό που έκανα, αντιλήφθηκα το ταλέντο μου να μαθαίνω τα μυστικά που δεν έπρεπε. Έκτισα πάνω σε αυτό το ταλέντο χρησιμοποιώντας την παραπλάνηση, γνωρίζοντας την αργκό, κι αναπτύσσοντας μια καλοακονισμένη ικανότητα να μανιπουλάρω ανθρώπους. Ένας από τους τρόπους που χρησιμοποίησα για να εξελίξω τις ικανότητες μου στην τέχνη μου (αν μπορώ να την αποκαλέσω τέχνη) ήταν να διαλέγω τυχαία μια πληροφορία που μου ήταν αδιάφορη και να προσπαθώ να δω αν μπορούσα να πείσω κάποιον ή κάποια στην άλλη άκρη μιας τηλεφωνικής γραμμής να μου την δώσει, απλώς και μόνο για να βελτιώσω τα ταλέντα μου. Με τον ίδιο τρόπο που έκανα εξάσκηση στα μαγικά μου κόλπα, έκανα εξάσκηση στην εξεύρεση προσχημάτων.
Μ'αυτές τις πρόβες, σύντομα ανακάλυψα ότι μπορούσα να αποκτήσω σχεδόν οποιαδήποτε πληροφορία είχα στόχο. Καταθέτοντας στο Κογκρέσο ενώπιον των Γερουσιαστών Λίμπερμαν και Τόμπσον, χρόνια αργότερα, είπα πως "απέκτησα παράτυπη πρόσβαση στα υπολογιστικά συστήματα ορισμένων από τις μεγαλύτερες επιχειρήσεις στον πλανήτη, και διεισέδυσα επιτυχώς σε μερικά από τα πιο ανθεκτικά υπολογιστικά συστήματα που αναπτύχθηκαν ποτέ. Χρησιμοποίησα τεχνικά όσο και μη τεχνικά μέσα για να αποκτήσω τον πηγαίο κώδικα διαφόρων λειτουργικών συστημάτων και τηλεπικοινωνιακών συσκευών, για να μελετήσω τα ευάλωττα σημεία τους και τον εσώτερο τρόπο λειτουργίας τους". Όλα αυτά ήταν στην πραγματικότητα μια προσπάθεια να ικανοποιήσω την περιέργειά μου, να δω τι μπορούσα να κάνω, και να ανακαλύψω μυστικές πληροφορίες σχετικά με λειτουργικά συστήματα, κινητά τηλέφωνα, και ο,τιδήποτε άλλο εξήρε την περιέργειά μου. Η σειρά των γεγονότων που θα άλλαζαν τη ζωή μου άρχισε όταν έγινα το θέμα ενός άρθρου στο πάνω μέρος του πρωτοσέλιδου των New York Times της 4ης Ιουλίου 1994. Μέσα σε μια νύχτα, αυτό το άρθρο και μόνο μετέβαλε την εικόνα μου από εκείνην ενός σχετικά άγνωστου ενοχλητικού hacker σε αυτήν του Δημοσίου Κινδύνου Υπ'Αριθμόν 1 στον κυβερνοχώρο. Σύμφωνα με τον Τζον Μάρκοφ, "συνδυάζοντας τεχνική μαγεία με την πανάρχαια δολιότητα του απατεώνα, ο Κέβιν Μίτνικ είναι ένας προγραμματιστής υπολογιστών που έχει καταληφθεί από αμόκ" (The New York Times, 4 Ιουλίου 1994). Συνδυάζοντας την πανάρχαια επιθυμία να αποκτήσει μια περιουσία που δεν του ανήκε με την δύναμη να δημοσιεύει ψευδή και συκοφαντικά άρθρα για τους ανθρώπους που επέλεγε ως θέματα στην πρώτη σελίδα των New York Times, ο Τζον Μάρκοφ ήταν στ'αλήθεια ένας ρεπόρτερ για θέματα τεχνολογίας που είχε καταληφθεί από αμόκ. Ο Μάρκοφ επρόκειτο να κερδίσει πάνω από 1 εκατομμύριο δολάρια δημιουργώντας μόνος του αυτόν που αποκαλώ τον "Μύθο του Κέβιν Μίτνικ". Έγινε πλούσιος διαμέσου της ίδιας ακριβώς τεχνικής που χρησιμοποίησα για να μπω σε υπολογιστικά συστήματα και δίκτυα σε όλο τον κόσμο: της εξαπάτησης. Σε αυτήν την περίπτωση όμως, το θύμα της εξαπάτησης δεν ήταν κάποιος απλός χρήστης υπολογιστή ή κάποιος διαχειριστής συστήματος, ήταν κάθε άτομο που εμπιστευόταν τα ρεπορτάζ που δημοσιεύονται στις σελίδες των New York Times.
Ο πιο καταζητούμενος στον Κυβερνοχώρο Το άρθρο του Μάρκοφ στους Times ήταν σαφώς σχεδιασμένο ώστε να μπορέσει να αποσπάσει ένα συμβόλαιο για να γράψει ένα βιβλίο σχετικά με την ιστορία της ζωής μου. Δεν συνάντησα ποτέ τον Μάρκοφ, κι όμως έχει κυριολεκτικά γίνει εκατομμυριούχος διαμέσου των λιβελογραφικών και συκοφαντικών του "ρεπορτάζ" για μένα στους Times και το βιβλίο του, που εξέδωσε το 1991, με τίτλο Cyberpunk.
Στο άρθρο του, συμπεριέλαβε δεκάδες κατηγορίες σε βάρος μου, που παρουσίασε ως γεγονότα, χωρίς να επικαλείται τις πηγές του, που ακόμη και η πιο επιφανειακή διαδικασία επαλήθευσης των γεγονότων (κάτι που νόμιζα ότι όλες οι εφημερίδες πρώτης γραμμής απαιτούν από τους δημοσιογράφους τους να κάνουν) θα αποκάλυπτε ότι ήταν αναληθείς ή αναπόδεικτες. Με αυτό το ψευδές και συκοφαντικό άρθρο, ο Μάρκοφ με χαρακτήρισε τον "πιο καταζητούμενο στον κυβερνοχώρο", ως "έναν από τους πιο καταζητούμενους εγκληματίες των υπολογιστών στη χώρα", χωρίς δικαιολογία, λόγο, ή στοιχεία που να υποστηρίζουν τις κατηγορίες που διατύπωνε, με διακριτικότητα συγγραφέα για ταμπλόιντ εφημερίδα σούπερ-μάρκετ. Στο δυσφημιστικό του άρθρο, ο Μάρκοφ ισχυρίσθηκε, ψευδώς, ότι έκανα παρακολουθήσεις σε βάρος του FBI (πράγμα που δεν είχα κάνει)· ότι είχα διεισδύσει στους υπολογιστές του NORAD (που δεν είναι συνδεδεμένο με κανένα εξωτερικό δίκτυο)· κι ότι ήμουν ένας "βάνδαλος" των υπολογιστών, παρά το γεγονός ότι δεν είχα προκαλέσει ζημιά από πρόθεση σε κανέναν από τους υπολογιστές στους οποίους είχα αποκτήσει πρόσβαση.
Αυτές, ανάμεσα σε άλλες απίθανες κατηγορίες, ήταν, πέρα από εντελώς χαλκευμένες, σχεδιασμένες για να δημιουργήσουν μια αίσθηση φόβου για τις δυνατότητές μου. Σε μια ακόμη παραβίαση της δημοσιογραφικής ηθικής, ο Μάρκοφ δεν αποκάλυψε στο άρθρο εκείνο και σε όλα τα συνακόλουθα άρθρα του ότι είχε προϋπάρχουσα σχέση με εμένα, μια προσωπική αντιπάθεια που απέρρεε από το γεγονός ότι είχα αρνηθεί να συμβάλλω στην συγγραφή του βιβλίου Cyberpunk. Επιπλέον, του κόστισα κάποια δυνάμει επιπλέον έσοδα, αρνούμενος να ανανεώσω το συμβόλαιο που του είχε προσφερθεί για το γύρισμα μιας ταινίας βάσει του βιβλίου του. Το άρθρο του Μάρκοφ είχε σαφέστατα στόχο να προκαλέσει τις υπηρεσίες ασφαλείας της Αμερικής. "Οι υπηρεσίες ασφαλείας", έγραψε ο Μάρκοφ, "δεν μοιάζουν ικανές να τον προλάβουν...". Το άρθρο ήταν εκ προθέσεως φτιαγμένο για να με παρουσιάσει ως τον Δημόσιο Κίνδυνο Υπ'Αριθμόν 1 του κυβερνοχώρου, ώστε να αναγκάσει το υπουργείο Δικαιοσύνης των ΗΠΑ να δώσει την μεγαλύτερη δυνατή προτεραιότητα στην υπόθεσή μου. Μερικούς μήνες αργότερα, ο Μάρκοφ και ο φιλαράκος του Τσουτόμου Σιμομούρα θα συμμετείχαν, σαν de facto πράκτορες της κυβέρνησης, στην επιχείρηση της σύλληψής μου, παραβιάζοντας την ηθική τόσο του ομοσπονδιακού νόμου όσο και της δημοσιογραφίας. Κι οι δύο ήταν κοντά όταν τρία κενά εντάλματα χρησιμοποιήθηκαν για την παράνομη έρευνα της κατοικίας μου, και ήταν παρόντες στην σύλληψή μου. Και, στην διάρκεια της έρευνας των δραστηριοτήτων μου, οι δύο επίσης παραβίασαν τον ομοσπονδιακό νόμο, υποκλέπτοντας μια προσωπική μου τηλεφωνική κλήση.
Ενώ παρουσίαζε εμένα ως τον κακό, ο Μάρκοφ, σε επόμενο άρθρο του, παρουσίασε τον Σιμομούρα ως τον υπ'αριθμόν 1 ήρωα του κυβερνοχώρου. Και πάλι, παραβίαζε την δημοσιογραφική ηθική μη αποκαλύπτοντας μια προϋπάρχουσα σχέση: αυτός ο ήρωας ήταν στην πραγματικότητα προσωπικός φίλος του Μάρκοφ επί χρόνια.
Πρώτη Επαφή Η πρώτη μου συνάντηση με τον Μάρκοφ είχε γίνει στα τέλη της δεκαετίας του '80, όταν ο ίδιος και η σύζυγός του Κέιτι Χέφνερ είχαν έλθει σε επαφή μαζί μου καθώς βρίσκονταν στην διαδικασία της συγγραφής του Cyberpunk, που επρόκειτο να είναι η ιστορία τριών hackers: ενός παιδιού από τη Γερμανία γνωστού ως Pengo, του Ρόμπερτ Μόρις, και εμού. Τι αποζημίωση μου προσέφεραν για να συμμετάσχω; Τίποτα. Δεν έβλεπα κανένα όφελος στο να τους δώσω την ιστορία μου αν αυτοί έβγαζαν κέρδος ενώ εγώ όχι, κι έτσι αρνήθηκα να τους βοηθήσω. Ο Μάρκοφ μου έστειλε ένα τελεσίγραφο: ή μας δίνεις συνέντευξη, ή ο,τιδήποτε ακούμε από οποιαδήποτε πηγή θα το αποδεχόμαστε ως αλήθεια. Ήταν σαφώς ενοχλημένος που δεν θα συνεργαζόμουν, και μου καθιστούσε σαφές ότι είχε τα μέσα για να με κάνει να το μετανοιώσω. Επέλεξα να διατηρήσω την θέση μου, και δεν επρόκειτο να συνεργασθώ παρά τις τακτικές πίεσης που ακολουθούσε. Όταν δημοσιεύθηκε, το βιβλίο φιλοτεχνούσε το πορτέτο μου ως του "Hacker της Σκοτεινής Πλευράς".
Συμπέρανα ότι οι συγγραφείς είχαν εκ προθέσεως συμπεριλάβει αστήρικτες, αναληθείς δηλώσεις για να με εκδικηθούν που δεν είχα συνεργασθεί μαζί τους. Παρουσιάζοντας τον χαρακτήρα μου ως απαίσιο και ρίχνοντάς μου ένα ψεύτικο φως, πιθανότατα είχαν αυξήσει τις πωλήσεις του βιβλίου τους. Ένας κινηματογραφικός παραγωγός μου τηλεφώνησε με σπουδαία νέα: το Χόλυγουντ ενδιαφερόταν να κάνει μια ταινία για τον Hacker της Σκοτεινής Πλευράς που απεικονιζόταν στο βιβλίο Cyberpunk. Τόνισα ότι η υπόθεση του βιβλίου ήταν γεμάτη ανακρίβειες και αναλήθειες σχετικά με εμένα, αλλά παρ'όλ'αυτά ήταν πολύ ενθουσιασμένος με το έργο. Δέχθηκα να μου δώσει 5.000 δολάρια για μια option δύο ετών, και άλλα 45.000 δολάρια αν κατάφερναν να επιτύχουν συμφωνία για την παραγωγή της ταινίας και κινούνταν σε αυτή την κατεύθυνση. Όταν η option έληξε, η εταιρία παραγωγής ζήτησε εξάμηνη παράταση. Εκείνο τον καιρό εργαζόμουν και κέρδιζα ικανοποιητικά χρήματα, κι έτσι είχα ελάχιστα κίνητρα να δω να παράγεται μια ταινία η οποία θα με παρουσίαζε με έναν τόσο δυσμενή και εσφαλμένο τρόπο. Αρνήθηκα να δεχθώ την παράταση. Αυτό σκότωσε την προοπτική να υπάρξει συμφωνία για την ταινία για όλους, περιλαμβανομένου του Μάρκοφ, ο οποίος πιθανότατα περίμενε ότι θα κέρδιζε ένα τεράστιο ποσό χρημάτων από το έργο. Εδώ ήταν ένας ακόμη λόγος για τον Τζον Μάρκοφ να είναι εκδικητικός απέναντί μου.
Περίπου την εποχή που εκδόθηκε το Cyberpunk, ο Μάρκοφ είχε μια συνεχιζόμενη επιστολογραφία μέσω e-mail με τον φίλο του Σιμομούρα. Αμφότεροι, παραδόξως, ενδιαφέρονταν σφόδρα για το πού βρισκόμουν και το τι έκανα. Κατά εκπληκτικό τρόπο, ένα από τα e-mail που αντάλλαξαν περιείχε πληροφορίες ότι παρακολουθούσα το Πανεπιστήμιο της Νεβάδα, στο Λας Βέγκας, κι είχα χρησιμοποιήσει ένα εργαστήριο υπολογιστών των φοιτητών. Μπορεί να σήμαινε αυτό ότι οι Μάρκοφ και Σιμομούρα ενδιαφέρονταν να γράψουν άλλο ένα βιβλίο για μένα; Σε διαφορετική περίπτωση, γιατί να τους ένοιαζε τι έκανα;
Ο Μάρκοφ σε καταδίωξη Πάμε ένα βήμα πίσω, στα τέλη του 1992. Πλησίαζα στο τέλος της απελευθέρωσής μου υπό περιοριστικούς όρους, για την εισβολή μου στο εταιρικό δίκτυο της Digital Equipment Corporation. Στο μεταξύ, είχα αντιληφθεί ότι η κυβέρνηση προσπαθούσε να στοιχειοθετήσει άλλη μια υπόθεση σε βάρος μου, σε αυτή την περίπτωση επειδή είχα εμπλακεί σε αντικατασκοπευτική δραστηριότητα, προκειμένου να μάθω για ποιο λόγο είχαν παγιδευτεί οι τηλεφωνικές γραμμές μιας εταιρίας ιδιωτικών ερευνών του Λος Αντζελες. Καθώς έσκαβα, επιβεβαίωσα την υποψία μου: οι άνθρωποι του τμήματος ασφαλείας της Pacific Bell πράγματι ερευνούσαν για την επιχείρηση. Το ίδιο και ένας βοηθός του Τμήματος του Σερίφη της Κομητείας του Λος Αντζελες που ασχολείτο με το έγκλημα στον τομέα των υπολογιστών. (Ο βοηθός αποδείχθηκε ότι ήταν, συμπτωματικά, ο δίδυμος αδελφός του ενός εκ των συγγραφέων του βιβλίου περί εμού. Είναι μικρός ο κόσμος). Περίπου εκείνο τον καιρό, οι Ομοσπονδιακοί ανέθεσαν σε έναν εγκληματία που είχαν κάνει πληροφοριοδότη τους το να με παγιδεύσει. Γνώριζαν ότι πάντοτε προσπαθούσα να το μαθαίνω αν οποιαδήποτε υπηρεσία πραγματοποιούσε έρευνα σε βάρος μου. Έτσι, έστειλαν τον πληροφοριοδότη να προσπαθήσει να γίνει φίλος μου και να με προειδοποιήσει ότι με παρακολουθούσαν. Ακόμη, μοιράστηκε μαζί μου λεπτομέρειες για ένα υπολογιστικό συστημα στην Pacific Bell, που θα μπορούσε να μου επιτρέψει να παρακολουθώ την δική τους παρακολούθηση. Όταν ανακάλυψα το σχέδιό του, ανέτρεψα την κατάσταση και τον εξέθεσα για την απάτη με πιστωτικές κάρτες που διέπραττε ενώ εργαζόταν για την κυβέρνηση, ως πληροφοριοδότης. Είμαι σίγουρος ότι οι Ομοσπονδιακοί το εκτίμησαν αυτό!
Η ζωή μου άλλαξε την Ημέρα της Ανεξαρτησίας του 1994, όταν το pager μου με ξύπνησε νωρίς το πρωί. Ο αποστολέας του μηνύματος έγραφε ότι θα έπρεπε κατεπειγόντως να αγοράσω ένα φύλλο των New York Times.
Δεν μπορούσα να το πιστέψω όταν είδα ότι ο Μάρκοφ όχι μόνο είχε γράψει ένα άρθρο για εμένα, αλλά και ότι οι Times το είχαν βάλει στην πρώτη σελίδα τους. Η πρώτη σκέψη που μου ήρθε στο νου ήταν για την προσωπική μου ασφάλεια-τώρα η κυβέρνηση θα αύξανε σημαντικά τις προσπάθειές της να με βρει. Ανακουφίσθηκα επειδή στην προσπάθεια τους να με δαιμονοποιήσουν, οι Times δημοσίευσαν μια φωτογραφία πολύ διαφορετική από το πώς ήμουν. Δεν φοβόμουν ότι θα με αναγνώριζαν· είχαν επιλέξει μια φωτογραφία τόσο παλιά που δεν έμοιαζε καθόλου με εμένα! Καθώς άρχισα να διαβάζω το άρθρο, συνειδητοποίησα ότι ο Μάρκοφ ετοιμαζόταν να γράψει το βιβλίο για τον Κέβιν Μίτνικ, ακριβώς όπως πάντοτε ήθελε. Απλώς δεν μπορούσα να πιστέψω ότι οι New York Times θα διακινδύνευαν να τυπώσουν τις οφθαλμοφανώς ψευδείς κατηγορίες που είχε γράψει εναντίον μου. Ένοιωσα αδύναμος. Ακόμη κι αν ήμουν σε θέση να απαντήσω, ασφαλώς δεν θα μπορούσα να έχω ακροατήριο ισομεγέθες αυτού των New York Times για να διαψεύσω τα εξοργιστικά ψεύδη του Μάρκοφ. Αν και μπορώ να συμφωνήσω ότι υπήρξα ενοχλητικός, ουδέποτε κατέστρεψα πληροφορίες, χρησιμοποίησα ή αποκάλυψα σε άλλους τις πληροφορίες που είχα στην κατοχή μου. Οι πραγματικές ζημιές από τις δραστηριότητές μου όταν έκανα hacking ήταν ισόποσες με το κόστος των τηλεφωνικών κλήσεων που είχα κάνει με έξοδα της τηλεφωνικής εταιρίας, τα χρήματα που ξόδεψαν οι εταιρίες για να διορθώσουν τις αδυναμίες από πλευράς ασφαλείας που είχαν αποκαλύψει οι επιθέσεις μου, και σε κάποιες λίγες περιπτώσεις πιθανώς το ότι οι επιχειρήσεις αναγκάστηκαν να επανεγκαταστήσουν τα λειτουργικά τους συστήματα και τις εφαρμογές τους, λόγω του φόβου ότι μπορεί να είχα τροποποιήσει το λογισμικό κατά τρόπο που θα μου επέτρεπε να έχω πρόσβαση σε αυτά και στο μέλλον.
Αυτές οι επιχειρήσεις θα παρέμεναν ευάλωττες σε δυνητικά πολύ χειρότερες ζημιές, αν οι δραστηριότητές μου δεν τους είχαν επισημάνει τους αδύναμους κρίκους στην αλυσίδα της ασφάλειάς τους. Αν και είχα προκαλέσει κάποιες ζημιές, οι πράξεις μου και το κίνητρό μου δεν ήταν κακόβουλα... και τότε ο Τζον Μάρκοφ άλλαξε την αντίληψη του κόσμου για τον κίνδυνο που αντιπροσώπευα. Η ισχύς που διαθέτει ένας ανήθικος ρεπόρτερ σε μια τόσο επιδραστική εφημερίδα, να γράψει ένα ψευδές και δυσφημιστικό ρεπορτάζ σε βάρος οποιουδήποτε, θα έπρεπε να στοιχειώνει τον καθένα μας. Ο επόμενος στόχος θα μπορούσατε να είστε εσείς.
Η Δοκιμασία Μετά την σύλληψή μου, μεταφέρθηκα στην Κομητειακή Φυλακή στο Σμίθφιλντ της Βόρειας Καρολίνας, όπου η Υπηρεσία των Μάρσαλς των ΗΠΑ είχε διατάξει τους δεσμοφύλακες να με βάλουν "στην τρύπα"-στην απομόνωση. Μέσα σε μία εβδομάδα, οι ομοσπονδιακοί εισαγγελείς και ο δικηγόρος μου είχαν συνάψει μια συμφωνία που εγώ δεν μπορούσα να αρνηθώ. Θα μπορούσα να βγω από την απομόνωση μόνο υπό τον όρο ότι απεμπολούσα στοιχειώδη δικαιώματά μου και συμφωνούσα να: α) μην ζητήσω ακρόαση για αποφυλάκιση με εγγύηση· β) να μην ζητήσω προκαταρκτική διαδικασία· και γ) μην κάνω τηλεφωνήματα, εκτός από αυτά προς τον δικηγόρο μου και δύο μέλη της οικογενείας μου. Αν υπέγραφα, μπορούσα να βγω από την απομόνωση. Υπέγραψα. Οι ομοσπονδιακοί εισαγγελείς που ασχολούνταν με την δίωξή μου χρησιμοποίησαν κάθε βρώμικο κόλπο που υπάρχει στο βιβλίο ως την αποφυλάκισή μου, πέντε χρόνια αργότερα.
Εξαναγκάστηκα επανειλημμένως να απεμπολήσω τα δικαιώματά μου ώστε να απολαύω της μεταχείρισης που είχε κάθε άλλος κατηγορούμενος. Αλλά αυτή ήταν η υπόθεση Κέβιν Μίτνικ: Δεν υπήρχαν κανόνες. Καμμία απαίτηση να γίνουν σεβαστά τα Συνταγματικά δικαιώματα του κατηγορούμενου. Η υπόθεσή μου δεν αφορούσε απλώς την δικαιοσύνη, αλλά και την αποφασιστικότητα της κυβέρνησης να νικήσει, όποιο κι αν ήταν το κόστος.
Οι εισαγγελείς διατύπωσαν υπερβολικές κατηγορίες στο δικαστήριο για τις ζημίες που είχα προκαλέσει και την απειλή που αντιπροσώπευα, και τα μέσα ενημέρωσης μετέφεραν στο κοινό αυτούσιες τις δηλώσεις, που προκαλούσαν αίσθηση· τώρα, ήταν πολύ αργά για τους κατήγορους να υπαναχωρήσουν. Η κυβέρνηση δεν μπορούσε να χάσει την υπόθεση Μίτνικ. Ο κόσμος έβλεπε. Πιστεύω ότι τα δικαστήρια επηρρεάστηκαν από τον τρόμο που δημιούργησε η κάλυψη των μέσων ενημέρωσης, αφού πολλοί από τους ηθικότερους δημοσιογράφους είχαν αντλήσει τα "γεγονότα" από τους έγκριτους New York Times και τα επαναλάμβαναν. Ο δημιουργημένος από τα ΜΜΕ μύθος φαίνεται πως τρόμαξε ακόμη και τους αξιωματούχους των υπηρεσιών ασφαλείας.
Ένα εμπιστευτικό έγγραφο που βρέθηκε στην κατοχή του δικηγόρου μου έδειξε ότι η Υπηρεσία των Μάρσαλς των ΗΠΑ είχε εκδόσει προειδοποίηση προς όλους τους πράκτορες των υπηρεσιών ασφαλείας να μην αποκαλύψουν ποτέ προσωπικά τους στοιχεία σε μένα· αλλοιώς, μπορεί οι ζωές τους να καταστρέφονταν ηλεκτρονικά. Το Σύνταγμά μας προβλέπει ότι ο κατηγορούμενος θεωρείται αθώος πριν δικασθεί, άρα παρέχει σε όλους τους πολίτες το δικαίωμα σε ακρόαση σχετικά με την αίτηση αποφυλάκισης με εγγύηση, όπου ο κατηγορούμενος έχει την ευκαιρία να εκπροσωπηθεί από δικηγόρο, να παρουσιάσει στοιχεία, και να εξετάσει δι'αντιπαράστασης μάρτυρες. Κατά τρόπο απίστευτο, η κυβέρνηση καταστρατήγησε αυτά τα δικαιώματά μου, βασιζόμενη στην εσφαλμένη υστερία που δημιούργησαν ανεύθυνοι ρεπόρτερς όπως ο Τζον Μάρκοφ.
Κρατήθηκα έγκλειστος για πάνω από τεσσεράμιση χρόνια πριν υπάρξει δίκη, κάτι που δεν έχει προηγούμενο. Η άρνηση του δικαστή να μου επιτρέψει την ακρόαση προκειμένου να διεκδικήσω αποφυλάκιση με εγγύηση εκδικάσθηκε ως και στο Ανώτατο Δικαστήριο των ΗΠΑ. Τελικά, η ομάδα της υπεράσπισής μου με ενημέρωσε ότι η υπόθεσή μου έθεσε άλλο ένα προηγούμενο: Ήμουν ο μόνος ομοσπονδιακός κρατούμενος στην ιστορία των ΗΠΑ που του αρνήθηκαν ακρόαση για αποφυλάκιση με εγγύηση. Η κυβέρνηση δεν χρειάστηκε ποτέ να αποδείξει ότι δεν υπήρχαν όροι αποφυλάκισης που θα διασφάλιζαν την παρουσία μου στο δικαστήριο. Τουλάχιστον σε αυτήν την υπόθεση, οι ομοσπονδιακοί εισαγγελείς δεν ισχυρίσθηκαν ότι θα μπορούσα να ξεκινήσω πυρηνικό πόλεμο απλώς σφυρίζοντας σε κάποιο τηλέφωνο με κερματοδέκτη για το κοινό, όπως είχαν ισχυρισθεί άλλοι εισαγγελείς σε μια προηγούμενη υπόθεση. Οι πιο σοβαρές κατηγορίες σε βάρος μου ήταν ότι είχα αντιγράψει κλειστό πηγαίο κώδικα για διάφορους τύπους κινητών τηλεφώνων και δημοφιλή λειτουργικά συστήματα.
Ωστόσο, οι εισαγγελείς με κατηγόρησαν δημόσια και στο δικαστήριο ότι είχα προκαλέσει συνολικές ζημιές που ξεπερνούσαν τα 300 εκατομμύρια δολάρια σε διάφορες επιχειρήσεις. Τα έγγραφα με τις λεπτομέρειες της εκτίμησης των ζημιών είναι ακόμη σφραγισμένα από το δικαστήριο, υποτίθεται για να προστατευθούν οι εμπλεκόμενες εταιρίες· η ομάδα της υπεράσπισής μου, όμως, πιστεύει ότι το αίτημα της κατηγορούσας αρχής να σφραγισθούν οι πληροφορίες αυτές κατατέθηκε για να συγκαλυφθεί η τεράστια παρανομία της στην υπόθεσή μου. Αξίζει επίσης να σημειωθεί ότι κανένα από τα θύματα στην υπόθεσή μου δεν ανέφερε οποιαδήποτε ζημία στην Επιτροπή Κεφαλαιαγοράς, όπως προβλέπει ο νόμος. Είτε πολλές πολυεθνικές επιχειρήσεις παραβίασαν τον Ομοσπονδιακό νόμο-και παράλληλα εξαπάτησαν την Επιτροπή Κεφαλαιαγοράς, τους μετόχους τους και τους αναλυτές-ή οι ζημίες που μπορούν να αποδοθούν στο δικό μου hacking ήταν, στην πραγματικότητα, πολύ ασήμαντες για να αναφερθούν.
Στο βιβλίο του The Fugitive Game [Το Παιγνίδι του Φυγά], ο Τζόναθαν Λι Βαν αναφέρει ότι μέσα σε μία εβδομάδα από την δημοσίευση του πρωτοσέλιδου ρεπορτάζ στους New York Times, ο πράκτορας του Μάρκοφ είχε "καταλήξει σε συμφωνία πακέτο" με τον εκδοτικό οίκο Ουώλτ Ντίσνεϋ Υπερίων για να εκδοθεί ένα βιβλίο σχετικά με την εκστρατεία της σύλληψής μου. Η προκαταβολή επρόκειτο να είναι περίπου 750.000 δολάρια. Σύμφωνα με τον Λίτμαν, επρόκειτο να υπάρξει μια ταινία του Χόλυγουντ, επίσης, με την Μίραμαξ να δίνει πάνω από 200.000 δολάρια για να έχει τα δικαιώματα και "συνολικά 650.000 πληρωτέα με την έναρξη των γυρισμάτων". Μια εμπιστευτική πηγή πρόσφατα με πληροφόρησε πως η συμφωνία του Μάρκοφ ήταν στην πραγματικότητα πολύ μεγαλύτερη από αυτήν που πίστευε αρχικά ο Λίτμαν. Έτσι, ο Τζον Μάρκοφ πήρε κάπου ένα εκατομμύριο δολάρια, κι εγώ πήρα πέντε χρόνια φυλακή.
Τι λένε άλλοι Ένα βιβλίο που εξετάζει τις νομικές διαστάσεις της υπόθεσής μου γράφτηκε από έναν άνθρωπο που υπήρξε και ο ίδιος δημόσιος κατήγορος στο Γραφείο Εισαγγελέα του Λος Αντζελες, συνάδελφος των κατηγόρων που άσκησαν την δίωξη σε βάρος μου. Στο βιβλίο του Spectacular Computer Crimes [Θεαματικά Εγκλήματα με Υπολογιστές], ο Μπακ Μπλουμπέκερ έγραψε ότι "με θλίβει που αναγκάζομαι να γράψω για τους πρώην συναδέλφους μου με όρους όχι κολακευτικούς... Με προβληματίζει η παραδοχή του βοηθού ομοσπονδιακού εισαγγελέα των ΗΠΑ ότι τα πιο πολλά επιχειρήματα που χρησιμοποιήθηκαν για να μείνει ο Μίτνικ πίσω από τα σίδερα της φυλακής βασίσθηκαν σε φήμες οι οποίες δεν ευσταθούν". Συνεχίζει λέγοντας, "ήταν ήδη αρκετά άσχημο το ότι οι κατηγορίες που απήγγειλαν οι εισαγγελείς διαδόθηκαν σε εκατομμύρια αναγνωστών εφημερίδων σε όλη τη χώρα. Αλλά μήπως είναι ακόμη χειρότερο το ότι αυτές οι αναληθείς κατηγορίες ήταν κατά μεγάλο μέρος η βάση του εγκλεισμού δίχως δίκη που επιβλήθηκε στον Μίτνικ, χωρίς την δυνατότητα από μέρους του να αιτηθεί αποφυλακίσεως με εγγύηση;".
Συνεχίζει επί μακρόν, γράφοντας για τα ηθικά πρότυπα με τα οποία οι κατήγοροι θα έπρεπε να ζουν, και κατόπιν γράφει, "η υπόθεση του Μίτνικ καταδεικνύει ότι οι ψευδείς κατηγορίες που χρησιμοποιήθηκαν για να μείνει υπό κράτηση προκατέλαβαν επίσης και την κρίση του δικαστηρίου όσον αφορά μια δίκαιη ποινή".
Σε ένα άρθρο του το 1999 στο Forbes, ο Ανταμ Λ. Πένενμπεργκ περιέγραψε την κατάστασή μου με τον εξής τρόπο: "τα εγκλήματα του Μίτνικ είναι περιέργως αβλαβή. Εισέβαλε σε εταιρικούς υπολογιστές, αλλά δεν υπάρχουν στοιχεία που να καταδεικνύουν ότι κατέστρεψε δεδομένα. Ή ότι πούλησε ο,τιδήποτε από αυτά που αντέγραψε. Ναι, έκλεψε λογισμικό, αλλά κάνοντάς το, το άφησε άθικτο".
Το άρθρο ανέφερε πως το έγκλημά μου ήταν ότι "έχωσα τη μύτη μου στα ακριβά συστήματα ασφάλειας υπολογιστών που διέθεταν μεγάλες επιχειρήσεις". Και στο βιβλίο The Fugitive Game [Το Παιγνίδι του Φυγά], ο συγγραφέας Τζόναθαν Λίτμαν σημείωσε ότι "την απληστία η κυβέρνηση θα μπορούσε να την καταλάβει. Αλλά έναν hacker που αντιστεκόταν στην εξουσία μόνο και μόνο επειδή έτσι ήθελε... αυτό ήταν κάτι που δεν μπορούσαν να το κατανοήσουν". Σε άλλο σημείο του ίδιου βιβλίου, ο Λίτμαν έγραψε: ο Ομοσπονδιακός Εισαγγελέας Τζέιμς Σάντερς παραδέχθηκε στον Δικαστή Φέλτζερ ότι η ζημιά που έκανε ο Μίτνικ στην DEC δεν ήταν τα 4 εκατομμύρια δολάρια που είχαν κάνει πρωτοσέλιδα, αλλά 160.000 δολάρια. Και ακόμα κι αυτό το ποσό δεν ήταν ζημίες που είχε προκαλέσει ο Μίτνικ, αλλά το γενικό κόστος του εντοπισμού της αδυναμίας ασφαλείας που οι εισβολές του είχαν φέρει στο κέντρο της προσοχής της DEC.
Η κυβέρνηση αναγνώρισε ότι δεν είχε αποδείξεις για τους απίθανους ισχυρισμούς που βοήθησαν να μείνει φυλακισμένος ο Μίτνικ χωρίς δυνατότητα αποφυλάκισης με εγγύηση και σε απομόνωση. Καμμία απόδειξη ότι ο Μίτνικ παραβίασε ποτέ την ασφάλεια της NSA. Καμμία απόδειξη ότι ο Μίτνικ εξέδωσε πλαστή ανακοίνωση τύπου της τράπεζας Security Pacific. Καμμία απόδειξη ότι ο Μίτνικ άλλαξε ποτέ την πιστωτική αναφορά TRW ενός δικαστή. Αλλά ο δικαστής, πιθανότατα επηρρεασμένος από την τρομολαγνική κάλυψη των ΜΜΕ, απέρριψε την συμφωνία βάσει ομολογίας και καταδίκασε τον Μίτνικ σε ποινή μεγαλύτερη ακόμα κι από εκείνη που ήθελε η κυβέρνηση.
Στην διάρκεια των χρόνων που ξόδεψα ως hacker, απέκτησα μια φήμη που δεν ήθελα, αναφέρθηκα σε αναρίθμητα ρεπορτάζ και άρθρα περιοδικών, και γράφτηκαν για μένα τέσσερα βιβλία. Το βιβλίο-λίβελος των Μάρκοφ και Σιμομούρα έγινε ταινία, με όνομα Takedown. Όταν το σενάριο κατέληξε στο Διαδίκτυο, πολλοί από τους υποστηρικτές μου έκαναν πικετοφορία στην Miramax Films για να διαμαρτυρηθούν για τον ανακριβή και εσφαλμένο τρόπο που χαρακτηριζόμουν στην ταινία. Δίχως την βοήθεια πολλών ευγενικών και γενναιόδωρων ανθρώπων, η ταινία σίγουρα θα με παρουσίαζε άδικα περίπου σαν τον Χάνιμπαλ Λέκτερ του κυβερνοχώρου. Υπό την πίεση αυτών που με υποστήριζαν, η εταιρία παραγωγής συμφώνησε να ρυθμίσει την υπόθεση με εμπιστευτικούς όρους για να αποφύγει το να αναλάβω νομική δράση για δυσφήμιση εναντίον τους.
Τελευταίες σκέψεις Παρά τις εξοργιστικές και συκοφαντικές περιγραφές του Τζον Μάρκοφ για μένα, τα εγκλήματά μου είναι απλά εγκλήματα παραβίασης της ασφάλειας υπολογιστών και πραγματοποίησης δωρεάν τηλεφωνικών κλήσεων. Παραδέχθηκα μετά την σύλληψή μου ότι οι πράξεις που έκανα ήταν παράνομες, και ότι είχα παραβιάσει την ιδιωτικότητα άλλων.
Αλλά το να υποστηρίζει κανείς χωρίς καμμία δικαιολογία, λογική ή απόδειξη, όπως έκανε ο Μάρκοφ με τα άρθρα του, ότι αφαίρεσα από άλλους χρήματα ή ιδιοκτησιακά στοιχεία μέσω υπολογιστή, είναι απλούστατα αναληθές κι ανυπόστατο. Οι κακές μου πράξεις είχαν ως κίνητρο της περιέργεια: Ήθελα να ξέρω όσο πιο πολλά μπορούσα για το πώς τα δίκτυα λειτουργούν, τα μέσα και τα έξω της ασφάλειας υπολογιστών. Εφθασα να γίνω από ένα παιδί που λάτρευε να κάνει μαγικά κόλπα ο πιο διαβόητος hacker, που έτρεμαν οι επιχειρήσεις και η κυβέρνηση.
Καθώς κοιτώ πίσω στην ζωή μου, τα τελευταία τριάντα χρόνια, ομολογώ ότι πήρα μερικές πολύ άσχημες αποφάσεις, οδηγούμενος από την περιέργειά μου, την επιθυμία να μάθω την τεχνολογία, και την αναζήτηση μιας διανοητικής πρόκλησης. Έχω αλλάξει πλέον. Στρέφω τα ταλέντα μου και την γνώση που συγκέντρωσα για την ασφάλεια πληροφορικών συστημάτων και τις τακτικές κοινωνικής μηχανικής στο να βοηθήσω την κυβέρνηση, τις επιχειρήσεις και άτομα να αποτρέψουν, να εντοπίσουν και να ανταποκριθούν σε απειλές προς την ασφάλεια υπολογιστικών συστημάτων. Αυτό το βιβλίο είναι ένας ακόμη τρόπος να καταθέσω την εμπειρία μου για να βοηθήσω άλλους να γλυτώσουν από τους κλέφτες των πληροφοριών σ'όλο τον κόσμο.
--Kevin MitnickΑΠΟΔΟΣΗ:Καδήρ Αικούτ - PsychoGRpsychogrthehacker@gmail.com

Το κείμενο αυτό, με τίτλο Η Ιστορία του Κέβιν, επρόκειτο να αποτελέσει το Πρώτο Κεφάλαιο του βιβλίου των Κέβιν Μίτνικ και Ουΐλιαμ Σάιμον The Art of Deception: Controlling The Human Element of Security (John Wiley & Sons, ΗΠΑ, Οκτώβριος 2002). Ωστόσο, οι εκδότες εξέφρασαν αντιρρήσεις για τα αιχμηρά του σχόλια και τελικά δεν συμπεριελήφθη στην τελική έκδοση. Δημοσιεύθηκε από το Διαδικτυακό περιοδικό The Register τον Ιανουάριο εφέτος (βλ. http://www.theregister.co.uk/content/archive/28836.html).

Hacking μέσω jpeg

Απλές jpeg φωτογραφίες μπορούν να μετατραπούν σε «κερκόπορτα» για hackers εξαιτίας της μεθόδου που χρησιμοποιούν τα Windows για να εμφανίζουν τις φωτογραφίες. Αυτή η «αδυναμία» έχει εντοπιστεί σε παραπάνω από 12 προγράμματα της Microsoft. Στα προγράμματα «υψηλού κινδύνου» συμπεριλαμβάνονται τα Office XP 2003, Office 2003, Windows Server 2003, Internet Explorer 6 και μερικές εκδόσεις του Digital Image Pro και του Picture It. Ακριβώς επειδή ο ΙΕ ανήκει στα «τρωτά» προγράμματα, θεωρητικά είναι πιθανή η επίθεση από ιό, αν το site που επισκεφθεί ο χρήστης έχει επεξεργασμένες γι’ αυτό τον σκοπό jpeg φωτογραφίες. Η Microsoft εξέδωσε ανακοίνωση προκειμένου όλοι οι χρήστες που χρησιμοποιούν τα εν λόγω προγράμματα να εγκαταστήσουν το κατάλληλο patch. Επιπλέον έδωσε στην κυκλοφορία ένα εργαλείο με το οποίο οι χρήστες μπορούν να ελέγξουν αν το software που χρησιμοποιούν περιέχει τον «τρωτό» κώδικα. Ευάλωτα Προγράμματα Windows XP Windows XP Service Pack 1 Windows Server 2003 Internet Explorer 6 SP1 Office XP SP3 Office 2003 Digital Image Pro 7.0 Digital Image Pro 9 Digital Image Suite 9 Greetings 2002 Picture It! 2002 Picture It! 7.0 Picture It! 9 Producer for PowerPoint Project 2002 SP1 Project 2003 Visio 2002 SP2 Visio 2003 Visual Studio .NET 2002 Visual Studio .NET 2003

Hacking Primer

Hackers, crackers and Trojan horses:A primer
by PsychoGRWeb posted at: 10:59 a.m. EST (1559 GMT)
By David MandevilleSpecial to CNN Interactive & HACKOO!
(CNN) -- Two things terrify today's computer users: viruses and hackers. And just like viruses, most people don't understand hackers or what they do.
Hackers come in many varieties. The term "hacker" usually brings to mind three of these -- people who break the security of computer networks, people who break the security on application software, and people who create malicious programs like viruses. These aren't mutually exclusive, but it's a simple way to divide the activities that fall under "hacking."
Network hackers
These are the hackers you see in movies, usually as unattractive, introverted and anti-social -- or ultra-hip, sexy and connected. Real hackers don't fit those stereotypes. They aren't nerds living in darkened dorm rooms or multi-millionaire industrial spies. They are average people with strong computer skills and the desire to test those skills in ways that often prove illegal.
Network hackers engage in several sorts of activities. Some, like "denial of service attacks" or "mail bombs," are designed to swamp a computer network's ability to respond and perform its internal functions. For instance, a denial of service attack on a Web server floods it with bogus requests for pages. The server spends so much time trying to process these requests that it can't respond to legitimate requests and may crash. A mail bomb is similar but targets a victim's mail server. A number of businesses and Internet service providers have suffered these sorts of attacks in recent years.
No one connected to a computer network is really safe from hackers
Another form of network hacking involves penetrating a secure area by subverting its security measures. Network hackers might accomplish this by setting up programs that try millions of passwords until one is accepted. A hacker may set up "sniffers," programs that check data to find encrypted or sensitive information. Once they gather the information they can decode it, or if unencrypted, use it directly to find out more about a network and penetrate it more easily.
Once hackers get onto the machines that host networks, they can alter or remove files, steal information and erase the evidence of those activities. But many hackers break security systems just to see if they can do it. They may enter the system, look at the data within and never go back. For these hackers, it's more a test of skill than an attempt to steal or alter data.
Software crackers
Application software, such as programs for word processing or graphics, puts the power of a personal computer in the hands of a user, even one who doesn't know how the computer works. It's often expensive and, like anything else that's useful but expensive, there's bound to be someone who wants to get it free of charge. That's where "crackers" -- hackers who break software security -- come in.
These hackers develop their own software that can circumnavigate or falsify the security measures that keep the application from being replicated on a PC. For instance, you have a piece of software that requires a serial number to install. A software hacker does this in much the same way that network hackers attack network security. They may set up a serial number generator that tries millions of combinations of numbers and letters until it finds one that matches. The hacker could also attack the program at the assembly-code level, finding and altering the security measures.
One note: A software hacker is not necessarily a software pirate. A hacker may break the security and use the software, but a true pirate would also replicate and sell the cracked software.
Virus builders
Some hackers are also virus builders. Viruses, worms, Trojan horses and logic bombs are all forms of programs that can invade a system. Some are malicious, some aren't.
A virus is a program that may or may not attach itself to a file and replicate itself. It may or may not corrupt the data of the file it invades. It may or may not try to use all of the computer's processing resources in an attempt to crash the machine. If that seems vague, it's because viruses are tricky. They may be simple notes that say "Hello" -- or they may attack and corrupt the files at the core of the system, causing it to crash.
Worms invade a computer and steal its resources to replicate themselves. They use networks to spread themselves.
A Trojan horse appears to do one thing but does something else. The system may accept it as one thing, but upon execution it may release a virus, worm or logic bomb.
A logic bomb is an attack triggered by an event, like the computer clock reaching a certain date. It might release a virus or be a virus itself.
No defense
No one connected to a computer network is really safe from hackers. Luckily, most invasions or infections don't result in serious injury to the system that has been attacked.
The only real defense is limiting your risk by using virus scanners and enforcing security measures on network computers. But in the end, hackers see security systems as a challenge, not an obstacle.
For more information on hacking and security, take a look at these sites:
Technology and Society at the World Wide Web Consortium (W3C) -- The W3C tries to set and maintain standards for the portion of the Internet people are most familiar with, the World Wide Web. The Technology and Society domain seeks to influence public and private policy on issues, including security, arising out of the development of Web technology. The articles may be a little dry, but the information is good.
Electronic Freedom Foundation -- An organization dedicated to keeping the Internet an uninhibited medium for information, the EFF is an excellent source of information about security issues and legislation that affects the Internet.
David Mandeville is an application engineer at iXL.

Hacking?

PsychoGR greek-c0derHackerz - Οι αναρχικοί του ηλεκτρονικού κόσμου

Οι "hackers",έχουν χαρακτηριστεί ανήθικοι και από τους σοβαρότερους κινδύνους για την κοινωνία, για πράξεις που συχνά αφορούν επεμβάσεις τους σε συστήματα ηλεκτρονικών υπολογιστών.

Oι hackers είναι άτομα που αγαπούν τη μάθηση και την εξερεύνηση, βοηθώντας περισσότερες φορές από αυτές που θέλουν να προκαλέσουν ζημιά, ενώ παράλληλα έχουν υψηλές αξίες συμπεριφοράς. Η μυθολογία που τους περιβάλλει ανήκει στις γκρίζες περιοχές των κοινωνικών διαμαχών που ζούμε καθημερινά, στην εποχή της πληροφόρησης, ενώ πολλοί εξακολουθούν να παραμένουν αμαθείς, απαθείς και αμέτοχοι.Κύριο στοιχείο της (δια)μάχης τους είναι αν πρέπει οποιαδήποτε πληροφορία να έχει ή να μην έχει ιδιοκτήτη. Οι hackers έχουν επισημάνει σοβαρά ζητήματα στην κοινωνία της πληροφόρησης, που τελικά συνεχίζει να μας δείχνει πως θέλει να παραμείνει απληροφόρητη.


Τι ονομάζεται hacking;

Ηacking ονομάζεται η πράξη της εισβολής σε συστήματα υπολογιστών για την απόκτηση γνώσεων που αφορούν το σύστημα και τον τρόπο που λειτουργεί. Το hacking θεωρείται παράνομο γιατί απαιτεί ελεύθερη πρόσβαση σε ΟΛΕΣ τις πληροφορίες, τις οποίες οι hackers συνήθως καταφέρνουν να αποκτήσουν. Εκνευριστικό πράγμα για μερικούς, με επακόλουθο τον εξοστρακισμό των hackers από τη "σεβαστή" μας κοινωνία. Έτσι, οι hackers αναγκάζονται να "τυλίγουν" τις προσπάθειες τους με απόλυτη μυστικότητα. Κανείς hacker δε συζητά τα ευρήματα του παρά μόνο με τα υπόλοιπα μέλη της κοινότητας των hackers, λόγω ότι φοβούνται την τιμωρία. Οι hackers τιμωρούνται γιατί αναζητούν γνώσεις. Γιατί όμως οι κυβερνήσεις όλου του κόσμου ξοδεύουν τεράστια χρηματικά ποσά για τη σύλληψη των hackers, όταν υπάρχουν πολύ περισσότερο επικίνδυνοι άνθρωποι στην κοινωνία; Δολοφόνοι, καταχραστές κ.τ.λ. που θα έπρεπε να διώκονται παραμένουν κύριοι ενώ οι hackers, δεν αποτελούν απειλή για κανένα, γιατί δε στοχεύουν στο να βλάψουν τους ανθρώπους ή τους υπολογιστές τους, καλούνται ως από τα πιο επικίνδυνα μέλη της παγκόσμιας κοινωνίας. Φυσικά υπάρχουν και κακόβουλοι hackers, αλλά κατά τη γνώμη μου είναι μειοψηφία. Οι ίδιοι οι hackers υποστηρίζουν ότι υπάρχουν δύο τρόποι για να τους ξεφορτωθούν οι κυβερνήσεις. Ο πρώτος είναι η κατάργηση των υπολογιστών και των τηλεφωνικών συσκευών. Ο δεύτερος τρόπος είναι η κατάργηση της ιδιοκτησίας της πληροφορίας. Αν δε γίνει ένα από τα δύο, οι hackers θα εξακολουθούν να παραμονεύουν!


Μια σύντομη ιστορία του hacking:

Στην αρχή ήταν μια τηλεφωνική εταιρεία - η ολοκαίνουρια Ρackard Βell. Τότε περίπου υπήρξαν οι πρώτοι hackers που δεν ξεπερνούσαν τα όρια της φάρσας, μέχρι τη δεκαετία του '60. Οι σπουδαστές του ΜΙΤ, είχαν τη φυσική περιέργεια για τον τρόπο λειτουργίας κάθε συσκευής που υπήρχε. Οι υπολογιστές τότε ήταν mainframes, μηχανήματα κλειδωμένα σε δωμάτια με ελεγχόμενη θερμοκρασία. Το κόστος λειτουργίας τους ήταν απαγορευτικό και οι ερευνητές είχαν στη διάθεση τους περιορισμένο χρόνο εργασίας. Τότε οι πιο έξυπνοι από αυτούς, δημιούργησαν τα πρώτα hacks, προγράμματα που βοηθούσαν στη γρηγορότερη εκτέλεση υπολογισμών. Αρκετές φορές τα hacks ήταν καλύτερα προγράμματα από τα αρχικά. Ίσως το καλύτερο hack της ιστορίας έγινε το 1969, όταν δύο υπάλληλοι της Βell συνέθεσαν κάποιες εντολές για να αυξήσουν την ταχύτητα των υπολογιστών. Οι Dennis Ritchie και Ken Thompson ονόμασαν το λειτουργικό τους σύστημα, UNIX . Τη δεκαετία του '70 τα ηλεκτρονικά σύνορα διάπλατα ανοιχτά. Το hacking ήταν εξερεύνηση και κατανόηση του τρόπου λειτουργίας του νέου κόσμου. Γύρω στο 1971 ένας βετεράνος του Βιετνάμ ανακάλυψε ότι η σφυρίχτρα που έδιναν δώρο τα Cap 'n' Crunch cereals παρήγαγε ήχο συχνότητας 2600 mhz (θυμίζει τίποτα;). Απλά σφύριζε στην τηλεφωνική συσκευή και έκανε τηλεφωνήματα χωρίς χρέωση... Το μόνο που έλειπε από τη σκηνή της δεκαετίας του '70 ήταν ένα εικονικό μαγαζί συγκέντρωσης των hackers. Το 1978, οι Randy Sousa και Ward Christiansen δημιούργησαν το πρώτο ΒΒS (Βulletin Βoard System) που λειτουργεί μέχρι και σήμερα. Το 1981, η ΙΒΜ ανακοίνωσε ένα νέο μοντέλο υπολογιστή, το γνωστό σε όλους μας ΡC. Ο χρήστης μπορούσε να κάνει τα πάντα μ'αυτό. Το 1983, η ταινία "War Games" έριξε φως στο σκοτεινό κόσμο του hacking και προειδοποίησε το κοινό για τις ικανότητες των hackers. Οι ίδιοι οι hackers πήραν διαφορετικά μηνύματα από την ταινία. Το περιβάλλον άλλαζε. Όλο και περισσότεροι κάτοικοι μετακινούνταν στον ηλεκτρονικό κόσμο. Το ΑRΡΑΝΕΤ μετασχηματιζόταν σε Internet και τα ΒΒS βρίσκονταν σε εποχή άνθησης. Στο Milwaukee μια ομάδα hackers με ψευδώνυμο 414 (ο κωδικός της περιοχής τους) εισέβαλλαν στους υπολογιστές διάφορων ερευνητικών κέντρων, μέχρι να συλληφθούν από την αστυνομία. Το 1984 αποτέλεσε την αρχή του Μεγάλου Πολέμου κατά των hackers. Τότε δημιουργήθηκε η ομάδα Legion of Doom, μέλη των οποίων αποσπάστηκαν και δημιούργησαν τους Masters of Deception. Από το 1990 και για δύο χρόνια, οι δύο ομάδες πολέμησαν μεταξύ τους μέχρι που συνελήφθησαν από το FBI. Με την κυβέρνηση στο δίκτυο, τέλειωσε και η πλάκα! Το Κογκρέσο δημιούργησε το νόμο για τις απάτες με υπολογιστές. Τότε εμφανίστηκε o Robert Morris που το 1988 έκανε crash σε 6.000 online υπολογιστές και κέρδισε τον "τίτλο" του πρώτου hacker που τιμωρήθηκε από τον νόμο, με 10.000 δολλάρια πρόστιμο και ατέλειωτες ώρες κοινωνικού έργου. Ακολούθησε ο Κevin Mitnick και αρκετές φορές κάποια μέλη των Legion of Doom. Η κυβέρνηση ονόμασε την επιχείρηση σύλληψης των hackers, "Επιχείρηση Sundevil". Το ευρύ κοινό παρακολούθησε τη σύλληψη του Μitnick από την κρατική τηλεόραση και τα αισθήματα του για τους hackers άλλαξαν. Μήπως ήρθε το τέλος μιας αναρχίας; Οι hackers δεν ήταν πια οι εκκεντρικοί που ήθελαν να αποκτήσουν περισσότερες γνώσεις. Η οικονομία που στηριζόταν στο δίκτυο χρειαζόταν προστασία και οι hackers χαρακτηρίστηκαν ως εγκληματίες. Το καλοκαίρι του 1994 μια ομάδα hackers εισέβαλλαν στους υπολογιστές της Citibank και μετέφεραν 10 εκατομμύρια δολλάρια από λογαριασμούς πελατών. Οι hackers συνελήφθησαν και η τράπεζα κάλυψε ξανά τα χρήματα, αλλά ο φόβος εξακολουθεί να υπάρχει στο δίκτυο...
Οι δημιουργoί της ταινίας "Hackers" δέχτηκαντα πυρά των αληθινών hackers, που θεώρησαναπαράδεκτο το σενάριό της.
Από τις αγαπημένες photos όλων των hackers.


Ο πιο διάσημος hacker:
Ποιος είναι ο Κevin Mitnick; Η φωτογραφία που εμφανίστηκε ύστερα σπό τη σύλληψη του στο Raleigh δείχνει έναν προγραμματιστή 31 χρονών, ο οποίος είχε αρκετές ευκαιρίες για να φτιάξει τη ζωή του, αλλά πάντα έτρεφε μια έλξη για τη "σκοτεινή πλευρά" των υπολογιστών. Με έναν υπολογιστή και ένα modem μπορούσες να ελέγξεις το ψηφιακό κέντρο μιας τηλεφωνικής εταιρείας από απόσταση και ο Κevin ενθουσιαζόταν από κάτι τέτοιες ιδέες! Ο Μitnick έγινε σύντομα μέλος μιας ομάδας phreaks που συγκεντρώνονταν τακτικά σε μια πιτσαρία στο Hollywood. Η ομάδα όμως, είχε και "ανήθικα" μέλη. Ένας από αυτούς κατέστρεψε τα αρχεία των υπολογιστών μιας εταιρείας με βάση το San Fransisco, έγκλημα που παρέμεινε ανεξιχνίαστο, μέχρι τη στιγμή που η διάρρηξη του πίνακα ελέγχου μιας τηλεφωνικής εταιρείας οδήγησε την αστυνομία στην ομάδα.
Η συγκεκριμένη διάρρηξη έγινε το σαββατοκύριακο της Ημέρας Ανεξαρτησίας των ΗΠΑ το 1981, όταν ο Mitnick και δύο φίλοι αποφάσισαν να μπουν σωματικά στο κέντρο της τηλεφωνικής εταιρείας του Los Angeles, COSMOS. Εκεί, πήραν λίστες κωδικών, στις οποίες υπήρχαν και passwords για 9 κεντρικά γραφεία της Packard Bell και κάποια εγχειρίδια χρήσης του συστήματος COSMOS. Για να αχρηστεύσουν τους μηχανισμούς άφησαν τα ψευδώνυμα και τους τηλεφωνικούς τους αριθμούς σε κάποιο αρχείο. Οι αριθμοί τηλεφώνου χτυπούσαν σε έναν τηλεφωνικό θάλαμο μιας καφετέριας στο Van Nuys. Η υπόθεση λύθηκε όταν η φιλενάδα ενός από την ομάδα πήγε στην αστυνομία και σύντομα ο Kevin και οι φίλοι του συνελήφθησαν. Η ομάδα κατηγορήθηκε για την καταστροφή δεδομένων σε δίκτυο υπολογιστών και για την κλοπή των εγχειριδίων χρήσης της τηλεφωνικής εταιρείας. Ο Kevin, στα 17 του τότε, στάθηκε τυχερός και εξέτισε ποινή 3 μηνών στο Κέντρο Αναμόρφωσης του L.A. και 1 χρόνο επιτήρηση. Η επόμενη σύλληψη του έγινε το 1983, όταν βρέθηκε μπροστά σε έναν υπολογιστή της Πανεπιστημιούπολης και να μπαίνει παράνομα στους υπολογιστές του Πενταγώνου μέσα από το ARPANET. Καταδικάστηκε σε 6 μήνες φυλάκιση στο Stocton της California. Κατηγορήθηκε για κλοπή προγραμμάτων από την εταιρεία Santa Cruz Operation, μια εταιρεία παραγωγής software της California και το Δεκέμβριο 1987, καταδικάστηκε σε 36 μήνες επιτήρηση. Το 1987 και το 1988, ο Mitnick και ένας φίλος του, ο Lenny DiCicco, άνοιξαν ηλεκτρονικό πόλεμο με τους ερευνητές του Palo Alto. Σύντομα τα τηλεφωνήματα ανακαλύφθηκαν, όμως τo FBI δεν μπόρεσε να βρει την πηγή τους, καθώς ο Mitnick πείραζε τη συνδεσμολογία των τηλεφώνων της εταιρείας για να καλύπτει τα ίχνη του. Ο DiCicco ομολόγησε τα πάντα στον εργοδότη του και ο Mitnick κατέληξε στο Ομοσπονδιακό Δικαστήριο του L.A.. Ο Kevin καταδικάστηκε για απάτη μέσω υπολογιστή και την απόκτηση υπεραστικών κωδικών πρόσβασης. Στις αρχές του 1992, ο Mitnick μετακόμισε στο San Fernado Valley και σύντομα έγινε υπάλληλος της εταιρείας Tel Tec Detective Agency. Λίγο μετά την πρόσληψη του, κάποιος χρησιμοποίησε παράνομα τις υπηρεσίες μιας ελεύθερης βάσης δεδομένων για λογαριασμό της εταιρείας και ο Mitnick έγινε στόχος των ανακρίσεων του FBI. Δύο μήνες αργότερα, ένας ομοσπονδιακός δικαστής εξέδωσε ένταλμα σύλληψης κατά του Mitnick, για παραβίαση των όρων επιτήρησης του 1989. Όταν οι πράκτορες του FBI έφτασαν για να τον συλλάβουν, εκείνος είχε εξαφανιστεί.


Σύγχρονα "εγκλήματα" hacking:

Σε μια από τις πρώτες αποδείξεις των δυνατοτήτων του ηλεκτρονικού πολέμου, μια διεθνής ομάδα hackers υποστηρίζει ότι έκλεψε ένα πακέτο προγραμμάτων που χρησιμοποιείται στα απόρρητα στρατιωτικά και δορυφορικά συστήματα των ΗΠΑ. Η ομάδα, που αυτοαποκαλείται Masters of Downloading ή MOD δήλωσε ότι έκλεψε το πρόγραμμα Defense Information Systems Network Equipment Manager από το τμήμα του Υπουργείου Άμυνας που ασχολείται με απόρρητα υπολογιστικά συστήματα. "Αυτό μπορεί να σας βοηθήσει να καταλάβετε την πραγματικότητα του ηλεκτρονικού πολέμου κατά των ΗΠΑ, καθώς και την αξία των προγραμμάτων του Υπουργείου Αμύνης για συγκεκριμένα άτομα και διεθνείς οργανισμούς", ανέφερε η δήλωση που έκανε ανώνυμο μέλος της ομάδας. Η δήλωση περίγραφε με ακρίβεια τις δυνατότητες του προγράμματος και συνοδευόταν από εικόνες που έδειχναν το λειτουργικό του σύστημα. Η αυθεντικότητα του προγράμματος επιβεβαιώθηκε από τον John Vranesevich της σελίδας συστημάτων ασφαλείας Anti Online.Ο Vranesevich δήλωσε ότι απόκτησε ένα αντίγραφο του προγράμματος από το Υπουργείο που το δοκίμασε αφού αποσυνδέθηκε από το Internet και υποστήριξε ότι η κλοπή ενός απόρρητου προγράμματος χειρισμού δικτύου παρουσιάζει μια ουσιαστικότερη απειλή από την καθημερινή εισβολή σε servers που είχαν αυξηθεί τους τελευταίους μήνες. "Είναι η πρώτη φορά που παρατηρούμε μια ομάδα hackers που δεν είχε σκοπό τη δημιουργία graffiti στο Internet με την παρέμβαση τους σε κάποια σελίδα. Αντίθετα στόχευε, σχεδίασε και απέκτησε πακέτα προγραμμάτων που σχεδιάστηκαν για στρατιωτικούς σκοπούς", είπε ο Vranesevich. Ο Vranesevich ήταν ο πρώτος που έκανε ερωτήσεις στον Ehud Tanabaum, τον νεαρό Ισραηλινό που αποτέλεσε το επίκεντρο της ομοσπονδιακής έρευνας για τις επιθέσεις στα συστήματα υπολογιστών του Αμερικανικού στρατού. Oι άλλες επιθέσεις υστερούν μπροστά σ αυτήν, υποστηρίζει. "Η ηθελημένη κλοπή απόρρητων πακέτων προγραμμάτων τοποθετεί αυτήν την ομάδα σε διαφορετική κατηγορία παιχνιδιού...", είπε ο Vranesevich, προσθέτοντας ότι η ομάδα αποτελείται από 15 άτομα, μέσα στους οποίους υπάρχουν 8 Αμερικανοί, 5 Βρετανοί και 2 Ρώσοι. Η ομάδα δε συνδέεται με τον Tanabaum, γνωστό με το ψευδώνυμο "Analyzer". Οι MOD δήλωσαν ότι το πρόγραμμα χρησιμοποιείται για τον έλεγχο και χειρισμό στρατιωτικού υλικού με βάση τους υπολογιστές από μεγάλη απόσταση, που περιλαμβάνουν από συστήματα στρατιωτικών τηλεπικοινωνιών μέχρι το χειρισμό των δορυφόρων GPS!!!. "Το πρόγραμμα καταφέρνει να χειρίζεται όλα τα όργανα του Αμερικανικού στρατού που έχουν σχέση με υπολογιστές", έγραφε η δήλωση.



Τέλος...

...μετά από όλα αυτά κάθε λογικός άνθρωπος, θα μπορούσε εύκολα να καταλάβει πως οι hackers δεν είναι εγκληματίες, όπως όλοι εκείνοι οι υπερβολικοί τους ονομάζουν, αλλά άτομα που θέλουν να αποκτούν όλο και περισσότερες γνώσεις χωρίς να καταστρέφουν τα πάντα σε κάθε τους πέρασμα (όπως και λέγεται)! Δείχνουν πως ξέρουν να χειρίζονται έναν απομακρυσμένο υπολογιστή και όχι μόνο! Εισβάλουν στο σύστημα για να μάθουν τον τρόπο που λειτουργεί θέλοντας να επεκτείνουν τις γνώσεις τους, και το καταφέρνουν.
Η ιστορία τους δικαιώνει!!!!!

Hacking?

Χάκερ στη Microsoft

Στα μέσα Οκτωβρίου και επί 12 ημέρες, άγνωστος «κυκλοφορούσε» ανενόχλητος στο δίκτυο υπολογιστών της μεγαλύτερης εταιρείας ανάπτυξης λογισμικού, αποδεικνύοντας ότι κανείς δεν βρίσκεται στο απυρόβλητο των επίδοξων χάκερ.
H είδηση μεταδόθηκε στις 27 Οκτωβρίου και επιβεβαιώθηκε από τη Microsoft, η οποία ζήτησε τη βοήθεια του FBI για να εντοπίσει τον εισβολέα και να απαλλαγεί από αυτόν. Σύμφωνα με τα πρώτα στοιχεία, ο άγνωστος κατάφερε να αποκτήσει πρόσβαση στο δίκτυο υπολογιστών της Microsoft στέλνοντας ένα «δούρειο ίππο» τύπου QAZ, γραμμένο σε Visual C++. Αρχικά, τα δημοσιεύματα του Τύπου ανέφεραν ότι οι κωδικοί που χρησιμοποιούν οι υπάλληλοι της εταιρείας για να αποκτήσουν πρόσβαση στον πηγαίο κώδικα των δημοφιλών προγραμμάτων της είχαν σταλεί σε ένα λογαριασμό ηλεκτρονικού ταχυδρομείου στη Ρωσία. Η Microsoft υποψιάζεται ότι ο εισβολέας κατάφερε να ρίξει μια γρήγορη ματιά στον πηγαίο κώδικα προγραμμάτων που βρίσκονται στο στάδιο της ανάπτυξης, διέψευσε όμως ότι κατάφερε να τον κλέψει.
Λίγες ημέρες μετά, δεύτερος εισβολέας έφερνε το θέμα της ασφάλειας ξανά στην επικαιρότητα. Ένας Δανός με το ψευδώνυμο Dimitri κατάφερε να δημοσιεύσει το μήνυμα «Hack The Planet» στην ιστοσελίδα με διεύθυνση events.microsoft.com. Η ιστοσελίδα αυτή βρισκόταν σε ένα διακομιστή της εταιρείας, που αναλάμβανε να ανακατευθύνει τους επισκέπτες της σε άλλο διακομιστή στον οποίο φιλοξενείται η «ατζέντα» εκδηλώσεων που διοργανώνει η εταιρεία στις Ηνωμένες Πολιτείες.
Η Microsoft παραδέχτηκε την εισβολή, ωστόσο διευκρίνισε ότι επρόκειτο για ένα διακομιστή υπό απόσυρση, ο οποίος δεν θα μπορούσε να αποδειχθεί επικίνδυνος, αφού δεν φιλοξενούνται σε αυτόν πολύτιμα δεδομένα. Αντίθετα, ο Dimitri ισχυρίστηκε ότι η Microsoft είχε αμελήσει να εγκαταστήσει τα διορθωτικά προγράμματα που είχε ήδη ετοιμάσει για το λογισμικό της Internet Information Server (IIS) και να διασφαλίσει τους ιντερνετικούς διακομιστές της. Υποστήριξε μάλιστα ότι θα μπορούσε να προσθέσει ακόμα και «δούρειους ίππους» σε λογισμικό που κατεβάζουν οι χρήστες της Microsoft από τους διακομιστές της. Προχώρησε ακόμα και στην αποκάλυψη κάποιων λεπτομερειών από τη δομή του δικτύου των διακομιστών της κολοσσιαίας εταιρείας λογισμικού, όπως ότι το server domain ονομάζεται Houston.
Λίγες ημέρες αργότερα, ο Dimitri επανέλαβε την εισβολή, δημοσιεύοντας στην ίδια ιστοσελίδα ένα μήνυμα που έγραφε ­σε ελεύθερη μετάφραση: «Είναι πολύ δύσκολο να μπαλώσετε το σύστημά σας, έτσι;».
Ο Dimitri, μετά τη δεύτερη εισβολή, απέστειλε τη διεύθυνση της «σπασμένης» ιστοσελίδας σε δημοσιογράφους και σε άλλους «συναδέλφους» του, προκειμένου να αποδείξει του λόγου το αληθές.

Η ...Μεγάλη των Hackers Σχολή

Η ...Μεγάλη των Hackers Σχολή

Μπορεί το χτύπημα ενός χάκερ να στοιχίζει πολλά σε μία εταιρία και η τοποθέτηση φίλτρων προστασίας να κοστίζει ακόμη περισσότερα, όμως το "Σχολείο Χάκερς" στο Λος 'Αντζελες δεν φαίνεται να πτοείται. Δεκαπέντε μαθητές, με "δάσκαλο" τον Ralph Echemendia, μαθαίνουν σε ειδικά σεμινάρια πώς μπορεί κανείς να σπάσει έναν κώδικα ασφαλείας και μάλιστα με απόλυτη επιτυχία! Οι μαθητές (στελέχη επιχειρήσεων, ακαδημαϊκοί και στρατιωτικοί) πλήρωσαν περίπου 40.000 δολάρια για να παρακολουθήσουν τα μαθήματα αυτά, να πάρουν μέρος στις εξετάσεις και να αποκτήσουν δίπλωμα "Ηθικού Χάκερ". Τα σεμινάρια του "Σχολείου Χάκερς" προετοιμάζουν τους μαθητές για τις εξετάσεις, που οργανώνει το Διεθνές Συμβούλιο Ηλεκτρονικού Εμπορίου (EC-Council). Όποιος καταφέρει να περάσει, αποκτά το πολυπόθητο δίπλωμα, που τον ανακηρύσσει Πιστοποιημένο Ηθικό Χάκερ. Τα μαθήματα πάντως δεν είναι και τόσο εύκολα. Οι εκπαιδευτές "τρέχουν" από το ένα θέμα στο άλλο, ενώ οι θεματικοί τομείς περιλαμβάνουν ενότητες, όπως το συμμετρικό σύστημα κρυπτογράφησης, η επικοινωνία με κώδικες και οι υπηρεσίες TCP. Τα δύσκολα για τους επίδοξους χάκερς αρχίζουν από την πρώτη κιόλας μέρα των μαθημάτων. Αντί για τον καθιερωμένο αγιασμό, οι μαθητές κάνουν εκτενείς αναζητήσεις σε βάσεις δεδομένων και μηχανές αναζήτησης, προκειμένου να εντοπίσουν πληροφορίες για κάποιες εταιρίες, τα στελέχη και τα συστήματά τους. "Το σεμινάριό μας δεν απευθύνεται στον οποιονδήποτε", λέει ο επικεφαλής του Σχολείου, Μπεν Σούκινγκ, που θέτει ως προαπαιτούμενο για κάθε μαθητή την επιστημονική γνώση στα διδασκόμενα αντικείμενα. "Αν κάποιος δεν έχει τη γνώση, δεν τα βγάζει πέρα", επισημαίνει χαρακτηριστικά ο κ. Σούκινγκ. Και για να μην αρχίσετε να ανησυχείτε, ότι η παραβίαση συστημάτων θα γίνει επάγγελμα, σημειώνουμε πως τα μαθήματα γίνονται σε σχολή ηλεκτρονικών υπολογιστών και σκοπός των εκπαιδευτών είναι η αποτροπή των χάκερς. Η σχολή, που ονομάζεται Intense School, ξεκίνησε το 1997, διδάσκοντας τη χρήση των λειτουργικών συστημάτων Microsoft και Cisco. Mετά το χτύπημα στους Δίδυμους Πύργους της Νέας Υόρκης το 2001, τα μαθήματα στράφηκαν περισσότερο σε θέματα ασφάλειας των ηλεκτρονικών υπολογιστών. "Στόχος μας είναι να κατανοήσουμε πως σκέφτονται οι χάκερς" δηλώνει ο διευθυντής της σχολής, Ντέιβ Κάουφμαν, υποστηρίζοντας, πως με τα μαθήματα αυτά η αποτροπή των χάκερς είναι εφικτή.

Έλληνες Hackers στην τσιμπίδα

Η είδηση έγινε πρωτοσέλιδο στις περισσότερες εφημερίδες: Για πρώτη φορά στην ιστορία της η ΕΛ.ΑΣ. συνέλαβε hackers που, κατά τα φαινόμενα, είχαν ρημάξει το Ιδρυμα Ερευνών. (Ενημέρωση: 1/9/2000) Το πρωί της Πέμπτης 6 Ιουλίου ανηφόριζα προς τα γραφεία του "PC Master" με την τσίμπλα στο μάτι, αναθεματίζοντας τον αξιότιμο διευθυντή Σύνταξης (μεγάλη η χάρη του) και τον μεγαλόθυμο αρχισυντάκτη (πολλά τα έτη του), που δεν με άφησαν να κοιμηθώ κάνα εφτάωρο παραπάνω (είδατε που βρήκα τρόπους να αποφεύγω τις βουρδουλιές;). Στο περίπτερο ψηλά εκεί, έπιασα με την άκρη του ματιού μου (η τσίμπλα ήταν στο άλλο) έναν υπέρτιτλο εφημερίδας που έλεγε: "Συνελήφθησαν Ελληνες χάκερ που 'έκλεβαν' ιδρύματα". Ωπα μεγάλε, λέω, τι έγινε; Μπήκα στο Twilight Zone και ξύπνησα σε άλλη χώρα; Συλλαμβάνουν hackers και στην Ελλάδα τώρα; Και τσιμπάω την εφημερίδα. Προσπέρασα την εντελώς άσχετη φωτογραφία του επίμαχου θέματος και... Μα όχι, θα σκάσω άμα δεν σας το πω. Μα, όχι πέστε μου, είναι δυνατόν ένα άρθρο για Ελληνες χάκερς να συνοδεύεται από μία φωτογραφία που δείχνει έναν νεαρό (του οποίου το πρόσωπο είναι "πιξελιασμένο" και καλά για να μην αναγνωριστεί) μπροστά από ένα monitor, το οποίο καταφανώς απεικονίζει το CMOS setup ενός -Award μάλλον- BIOS (μάλιστα ο κέρσορας είναι στη θέση εκείνη που ορίζεις την ώρα), ενώ δίπλα του εμφανίζεται ένας ξομπλιασμένος υπολογιστής από τον οποίο "κρέμεται" στο πλάι (συνδεδεμένος στον υπολογιστή) ένας σκληρός δίσκος; Και ο νεαρός με κατσαβίδι στο ένα χέρι (το άλλο είναι στο πληκτρολόγιο) προσπαθεί να κάνει τι; Να ξεβιδώσει το καπάκι του σκληρού δίσκου. Κύριε ελέησον! Η φωτογραφία αυτή είναι άσχετη γενικώς. Δεν υφίσταται τέτοιο "στήσιμο", οτιδήποτε κι αν θέλεις να κάνεις με τον υπολογιστή σου. Δεν είσαι ηλίθιος για να ξεβιδώσεις το καπάκι του σκληρού σου δίσκου ενώ αυτός λειτουργεί αλλά, ακόμα κι αν θέλεις το κάνεις (για να δεις τι θα γίνει, βρε αδερφέ!), δεν θα κοιτάς με προσοχή την οθόνη του BIOS εκείνη τη στιγμή! Μα τι στο καλό, δεν έχουν κάποιον σχετικό με υπολογιστές να τους πει ότι η συγκεκριμένη φωτογραφία "δεν στέκει"; Πού νομίζουν ότι ζούμε; Στον Μεσαίωνα; Κλείνω την παρένθεση. Προσπέρασα λοιπόν την εντελώς άσχετη φωτογραφία του επίμαχου θέματος και βούτηξα στο ψαχνό. Και πράγματι, έτσι ήταν. Να, λοιπόν, που έγινε κι αυτό. Τελικά, η Ελληνική Αστυνομία πρέπει να έχει εκσυγχρονιστεί χοντρά κι εγώ δεν το έχω πάρει χαμπάρι. Σύμφωνα με το δημοσίευμα, οι λεγόμενοι "χάκερς" φαίνεται ότι χρησιμοποιούσαν τις εγκαταστάσεις του Εθνικού Ιδρύματος Ερευνών για να συνδέονται με τα "πανταχού παρόντα" ροζ τηλέφωνα, με αποτέλεσμα το Ιδρυμα να ζημιωθεί δεκάδες εκατομμύρια δραχμές. Δυστυχώς, δεν έχω άλλα στοιχεία για τους ίδιους τους hackers -ούτε καν τα nickname τους- εκτός από το ότι ήταν φοιτητές στο Πανεπιστήμιο Ξάνθης ο ένας και στο Πανεπιστήμιο Κρήτης ο άλλος. Αν υπάρξουν νεότερα, θα είστε οι πρώτοι που θα το μάθετε.

Είδη επιθέσεων DoS (Denial of Service)

Είδη επιθέσεων DoS (Denial of Service) (Μπορεί να μην είμαστε hackers, αλλά καλό είναι να γνωρίζουμε μερικά πράγματα)
Τον τελευταίο καιρό έχουν γίνει πολλές συζητήσεις για το θέμα των επιθέσεων DoS χάρη στις οποίες είναι δυνατή η σχετικά εύκολη απενεργοποίηση ενός κόμβου Internet, ακόμη και από άτομα με μικρές τεχνικές γνώσεις. Στο άρθρο αυτό περιγράφουμε τα κυριότερα είδη αυτών των επιθέσεων οι οποίες έχουν ως κοινό χαρακτηριστικό την αποστολή στο θύμα (τον server που αποτελεί τον στόχο της επίθεσης) ενός τόσο μεγάλου αριθμού πλαστών αιτημάτων σύνδεσης ώστε δεν μπορεί πλέον να διαχειριστεί το παραμικρό και διακόπτει τη λειτουργία του.
Οι κυριότερες μορφές επιθέσεων αυτής της μορφής είναι:
Ping of Denial (γνωστή και ως Ping of Death)
Πρόκειται για την παλαιότερη και πιο διαδεδομένη μορφή επίθεσης. Για καθαρά τεχνικούς λόγους κάθε server συνδεδεμένος με το Internet πρέπει να μπορεί να δεχθεί μηνύματα ping στα οποία απαντά αποστέλλοντας μια σειρά από μηνύματα pong χάρη στα οποία μετράται η ταχύτητα ανταπόκρισής του.
Για την επίθεση αυτή ο επιτιθέμενος απλώς αποστέλλει πάρα πολλά μηνύματα ping τα οποία ο server είναι υποχρεωμένος να απαντήσει, δαπανώντας φυσικά υπολογιστική ισχύ και bandwidth. Αν τα μηνύματα ping είναι πάρα πολλά τότε ο αποδέκτης τους καθυστερεί σημαντικά στην εκτέλεση άλλων εργασιών (π.χ. αποστολή web σελίδων) διότι είναι πολύ απασχολημένος στέλνοντας pong, ενώ αν ο φόρτος γίνει πολύ μεγάλος είναι πιθανό να διακόψει τελείως τη λειτουργία του.
Δυστυχώς, η άμυνα από το Ping of Death είναι εξαιρετικά δυσχερής, καθώς το Ping αποτελεί τη μέθοδο με την οποία ένας Η/Υ δηλώνει ότι είναι ενεργός μέσα στο δίκτυο. Δεν είναι λοιπόν δυνατόν να αρνηθεί να απαντήσει σε όποιο Ping δέχεται. Τελευταία, μερικά συστήματα έχουν αποκτήσει μεγάλους Ping buffers και έτσι μπορούν είτε να απαντούν σε πολλά Ping χωρίς να επηρεάζεται η λειτουργία τους, είτε να επεξεργάζονται όσα Ping δέχονται, αναγνωρίζοντας και αγνοώντας αυτόματα όποια από αυτά αποτελούν προϊόν επιθέσεως.
ICMP
Το πρωτόκολλο ICMP χρησιμοποιείται για την επικοινωνία μεταξύ υπολογιστών, χωρίς να χρειάζεται η υλοποίηση ενός ισχυρότερου και πιο περίπλοκου (συνεπώς και πιο αργού) πρωτοκόλλου όπως το TCP. Το ICMP μεταφέρει πολύ λίγες πληροφορίες οι οποίες ενημερώνουν κάθε υπολογιστή για την κατάσταση της σύνδεσής του με άλλα μηχανήματα. Για να "κλείσει" τη σύνδεση ενός Η/Υ ο επιτιθέμενος δεν έχει παρά να του στείλει μέσω του ICMP ένα από τα ακόλουθα μηνύματα:
DESTINATION UNREACHABLE
TIME TO LIVE EXCEEDED
PARAMETER PROBLEM
PACKET TOO BIG
SOURCE QUENCH
Ουσιαστικά δηλαδή, ο επιτιθέμενος δηλώνει απλώς στο θύμα πως υπάρχει πρόβλημα και ο αποδέκτης διακόπτει τη σύνδεσή του!
Θεωρητικά, αυτό το πρόβλημα μπορεί να αντιμετωπιστεί αν απενεργοποιηθεί (κλείσει) η ICMP port (στα windows αυτή είναι η default επιλογή). Δυστυχώς, με τον τρόπο αυτό μειώνεται η ταχύτητα σύνδεσης ενός Η/Υ με το δίκτυο. Έτσι, πολλοί administrators προτιμούν να διατηρούν αυτή τη δυνατότητα εν λειτουργία, παρ' όλους τους κινδύνους που συνεπάγεται κάτι τέτοιο.
Fragmentation
Αποτελεί τον πιο μοντέρνο, και γι' αυτό πιο δύσκολο στην αντιμετώπιση, τρόπο επιθέσεως. Όταν δύο Η/Υ επικοινωνούν με το πρωτόκολλο TCP/IP ουσιαστικά ανταλλάσσουν αρχεία τα οποία ο αποστολέας "τεμαχίζει" σε μικρότερα κομμάτια τα οποία και αποστέλλει στον παραλήπτη ο οποίος τα συναρμολογεί, ανασυνθέτοντας το αρχικό αρχείο.
Τα πακέτα αυτά περιέχουν μια σειρά από στοιχεία ελέγχου μέσω των οποίων ο παραλήπτης ελέγχει αν τα δεδομένα έφτασαν σε καλή κατάσταση. Σε περίπτωση που διαπιστωθεί κάποιο πρόβλημα, τότε ο παραλήπτης επικοινωνεί με τον αποστολέα και του ζητάει να ξαναστείλει τα πακέτα που αλλοιώθηκαν κατά τη μεταφορά.
Εκμεταλλευόμενος αυτό το χαρακτηριστικό, ο επιτιθέμενος στέλνει συνεχώς πακέτα με λανθασμένα στοιχεία ελέγχου. Έτσι, υποχρεώνει τον παραλήπτη να σπαταλά υπολογιστική ισχύ και bandwidth, ζητώντας συνεχώς την επανάληψη της αποστολής τους.
Αν και έχουν βρεθεί κάποια αντίμετρα για τις επιθέσεις Fragmentation, κανένα από αυτά δεν είναι αρκετά αποτελεσματικό. Αν η επίθεση συνεχιστεί για μεγάλο χρονικό διάστημα ή αν γίνεται από μια γρήγορη γραμμή, τελικά το θύμα θα υποχρεωθεί να αποσυνδεθεί από το δίκτυο.
E-mail bombing
Αν και από πολλούς δεν θεωρείται ως Denial of Service Attack, το E-mail bombing είναι πολύ αποτελεσματικό όταν χρησιμοποιείται εναντίον υπολογιστών οι οποίοι διαχειρίζονται mail. Το μόνο που έχει να κάνει κανείς είναι να τους στείλει τόσα πολλά (σε μέγεθος και αριθμό) email μηνύματα, ώστε ο φόρτος των εργασιών διαχείρισής τους να οδηγήσει το σύστημα σε κατάρρευση.
Port Flooding
Όλοι οι υπολογιστές διαθέτουν μια σειρά από λογικές πόρτες μέσω των οποίων μπορεί ένα άλλο μηχάνημα να συνδεθεί μαζί τους για να εκτελέσει μια σειρά από εργασίες. Για παράδειγμα, στο UNIX η πόρτα 25 χρησιμοποιείται από την υπηρεσία Sendmail. Ο επιτιθέμενος μπορεί να γράψει ένα πρόγραμμα για οποιαδήποτε πόρτα το οποίο θα ζητάει να ανοιχθούν μέσω αυτής όσο γίνεται περισσότερες (πλαστές φυσικά) συνδέσεις. Όσο αυξάνει ο αριθμός των συνδέσεων, τόσο μεγαλύτερος γίνεται και ο φόρτος για το μηχάνημα το οποίο επιβαρύνεται όλο και περισσότερο μέχρι που τελικά "κολλάει" και διακόπτει τη λειτουργία του.
SYN Flooding
Το πρωτόκολλο SYN-ACK αποτελεί τη βάση κάθε έναρξης σύνδεσης μέσα στο Internet. Όταν ένας Η/Υ θέλει να συνδεθεί με έναν άλλο του αποστέλλει ένα πακέτο SYN στο οποίο ο server απαντάει με ένα πακέτο ACK (acknowledge). Όταν ο Η/Υ που ζήτησε τη σύνδεση λάβει το ACK θεωρεί ότι η σύνδεση έχει ολοκληρωθεί και αρχίζει τη μετάδοση των δεδομένων.
Σε μια επίθεση SYN Flooding ο επιτιθέμενος στέλνει συνεχώς πακέτα SYN αλλά όχι ACK. Έτσι, ο server που δέχεται την επίθεση είναι υποχρεωμένος για περιμένει για κάποιο χρονικό διάστημα το ACK, δεσμεύοντας φυσικά με την αναμονή αυτή ένα μέρος των διαθέσιμων πόρων του. Αν το ACK δεν έρθει ποτέ, το θύμα θα τερματίσει την αναμονή και θα ασχοληθεί με άλλες δραστηριότητες. Γι' αυτό ο επιτιθέμενος συνήθως στέλνει έναν συνεχώς αυξανόμενο αριθμό πακέτων SYN, δεσμεύοντας όλο και περισσότερους πόρους του θύματος στην αναμονή των ACK τους και οδηγώντας σιγά σιγά τον server του θύματος στην κατάρρευση.
Δυστυχώς δεν είναι πρακτικά δυνατόν να αμυνθεί κανείς σε επιθέσεις αυτής της μορφής, καθώς το πρωτόκολλο SYN-ACK αποτελεί τη βάση κάθε σύνδεσης μέσα στο Internet. Γι' αυτό και η μόνη απάντηση που έχει προταθεί μέχρι σήμερα είναι να θέτει ο administrator κάθε μηχανήματος ένα όριο στον αριθμό των συνδέσεων τις οποίες θα εξυπηρετεί ο server, αγνοώντας πολλά από τα SYN που λαμβάνει. Δυστυχώς όμως, με τον τρόπο αυτό κινδυνεύουν να μην εξυπηρετηθούν και οι νόμιμοι χρήστες του συστήματος αφού δεν είναι εύκολο να ξεχωρίσει κανείς τα αποδεκτά από τα κακόβουλα SYN.
Τρόποι απόκρυψης της επίθεσης
Η απόκρυψη του Η/Υ από τον οποίο γίνεται η επίθεση είναι απαραίτητη όχι μόνο διότι ο επιτιθέμενος επιθυμεί να παραμείνει κρυφή η ταυτότητά του, αλλά και επειδή μόνο έτσι θα μπορέσει να επαναλάβει τις επιθέσεις του αρκετές φορές ώστε να αποβούν καρποφόρες (αν ο διαχειριστής του στόχου παρατηρήσει ότι όλα τα προβληματικά πακέτα έρχονται από την IP διεύθυνση ΧΧ.ΧΧΧ.Χ.ΧΧΧ τότε απλώς θα διακόψει την επικοινωνία μαζί της, λύνοντας αμέσως το πρόβλημα της επίθεσης).
Για τον λόγο αυτό οι επιτιθέμενοι ακολουθούν συνήθως την τεχνική του IP Spoofing μέσω της οποίας πλαστογραφούν τη διεύθυνση αποστολής των πακέτων τα οποία δέχονται τα θύματά τους. Το IP Spoofing συνήθως γίνεται από μηχανήματα UNIX διότι αυτό το λειτουργικό σύστημα δίνει μεγαλύτερες ελευθερίες στους χρήστες του απ' ό,τι ένα κλειστό λειτουργικό όπως τα Windows (ουσιαστικά ο επιτιθέμενος μπορεί να κάνει τα πακέτα να δηλώνουν ως σημείο προέλευσης όποια IP διεύθυνση επιθυμεί).
Οι επιθέσεις Denial of Service ως μέσο εισβολής σε ένα σύστημα
Για τους περισσότερους ειδικούς, οι επιθέσεις DoS θεωρούνται πολύ ενοχλητικές, αλλά όχι θανάσιμα επικίνδυνες για ένα σύστημα. Ο επιτιθέμενος μπορεί ίσως να διακόψει τη λειτουργία ενός μηχανήματος για μερικές ώρες, αλλά δεν έχει τη δυνατότητα να αποκτήσει πρόσβαση σε αυτό και να τροποποιήσει δεδομένα σε κάποιο από τα άλλα μηχανήματα τα οποία μοιράζονται το ίδιο δίκτυο.
Δυστυχώς, αυτό δεν είναι αλήθεια. Μια καλή και δοκιμασμένη τεχνική (χρησιμοποιήθηκε από τον Kevin Mitnick για να εισβάλει στο σύστημα του διώκτη του κ. Tsutomu Shinomura) είναι η εισβολή σε ένα δίκτυο μέσω επίθεσης DoS σε έναν από τους servers του. Όταν το μηχάνημα αυτό πάψει να λειτουργεί, τότε ο επιτιθέμενος επικοινωνεί με άλλα μηχανήματα του ίδιου δικτύου "υποκρινόμενος" ότι τα πακέτα που στέλνει προέρχονται από το αχρηστευμένο και εκτός λειτουργίας πλέον μηχάνημα. Με τον τρόπο αυτό αυξάνονται σημαντικά οι πιθανότητες να επιτευχθεί πρόσβαση στα άλλα μηχανήματα του δικτύου, καθώς η εντολή πρόσβασης δεν δίνεται από έναν τρίτο, αλλά από μια έμπιστη πηγή (ένα μηχάνημα εντός του δικτύου).
Συμπεράσματα
Όπως φανερώνουν τα παραπάνω στοιχεία, οι τρόποι επίθεσης DoS σε έναν κόμβο Internet είναι τόσοι πολλοί και οι δυνατότητες άμυνας τόσο περιορισμένες που είναι να απορεί κανείς γιατί μέχρι σήμερα τα κρούσματα ήταν τόσο λίγα. Δυστυχώς όμως αυτή η "ανακωχή" δεν προβλέπεται να διαρκέσει για πολύ. Όλο και περισσότεροι hackers (ειδικά από χώρες του τρίτου κόσμου) επιτίθενται σε επιχειρήσεις και στη συνέχεια τις εκβιάζουν, ζητώντας την καταβολή ποσών που φτάνουν μέχρι και τα 100.000 δολάρια, για να μην κοινοποιήσουν όσα στοιχεία ανακάλυψαν στους ανταγωνιστές τους.
Αν λοιπόν λάβει κανείς υπ' όψιν του το χαμηλό βιοτικό επίπεδο των χωρών αυτών, αλλά και τη συνεχιζόμενη "ελαφρότητα" με την οποία αντιμετωπίζεται το θέμα της ασφάλειας από τις περισσότερες επιχειρήσεις, τότε επιθέσεις όπως αυτές που περιγράφηκαν παραπάνω θα γίνονται όλο και συχνότερες και πιο εντυπωσιακές.
Λυπάμαι μόνο που το θέμα των hackers δεν προσφέρεται για κινηματογραφική δραματοποίηση (αν και το Hollywood έχει ήδη καταβάλει φιλότιμες προσπάθειες). Διαφορετικά ο Rambo, ο Superman και ο James Bond σύντομα θα έβλεπαν τα άστρα τους να επισκιάζονται από νέους ήρωες όπως ο Captain Crunch (ο διασημότερος ειδικός στο phreaking), ο Kevin Mitnik (ο άνθρωπος που θεωρείτο πολύ επικίνδυνος για να του επιτρέψεις να ακουμπήσει ένα τηλέφωνο) ή ο Vladimir Levin (ο ρώσος που έβαλε τους υπολογιστές της Citibank να μεταφέρουν 10 εκατομμύρια δολάρια στο λογαριασμό του).
PsychoGR
psychogrthehacker@gmail.com
psychogrthehacker@msn.com

Mήπως σας έχουν κλέψει τον αριθμό της πιστωτικής σας κάρτας; Καλύτερα να το ελέγξετε!

Οι ηλεκτρονικές συναλλαγές έχουν πλέον μπει στην καθημερινότητά μας. Από τη μία οι πιστωτικές κάρτες που αποτελούν το πλαστικό χρήμα και οι οποίες χρησιμοποιούνται σε όλες τις αγορές που μπορούμε να κάνουμε. Από την άλλη το διαδίκτυο το οποίο γίνεται μέσα με την ημέρα αναπόσπαστο κομμάτι της ζωή μας κι αποτελεί εκτός από πηγή πληροφοριών και ένα τεράστιο πολυκατάστημα. Στο διαδίκτυο μπορούμε να αγοράσουμε τα πάντα, από βιβλία, προγράμματα και ρούχα μέχρι και μάρκες σε online καζίνο, χρόνο σε video προβολές πορνογραφικού περιεχομένου και πολλά άλλα. Οι περισσότερες αγορές στο διαδίκτυο γίνονται μέσω πιστωτικών καρτών, Visa ή Mastercard, μια και προσφέρουν ταχύτητα στις συναλλαγές αφού η χρέωση και η διασταύρωση των στοιχείων μπορούν να γίνουν μέσα σε λίγα λεπτά. Γι' αυτό έχουν φροντίσει διάφορα on line συστήματα τα οποία συνδέονται με τις διάφορες τράπεζες μέσω των ιστοσελίδων τους και αναλαμβάνουν τις χρεώσεις. Συγκεκριμένα έχουν εμφανιστεί διάφορες πλατφόρμες λογισμικών που αναλαμβάνουν να συνδέσουν τον δικτυακό σας τόπο με τις τράπεζες για αγορές μέσω πιστωτικών καρτών.
Ενώ λοιπόν το ηλεκτρονικό εμπόριο αρχίζει και παίρνει σάρκα και οστά δεν θα μπορούσαν να λείψουν και οι διάφορες απόπειρες "e-ληστείας" των χρημάτων που διακινούνται στο διαδίκτυο. Δεν είναι λίγες οι κλοπές βάσεων δεδομένων πιστωτικών καρτών από hackers. Πολλά και αρκετά μεγάλα site δεν φρόντισαν σωστά την ασφάλεια των αριθμών των πιστωτικών καρτών των πελατών τους με αποτέλεσμα αυτοί να πέσουν στα χέρια επίδοξων ληστών που μπορεί να χρησιμοποιήσουν τις κάρτες και να τις χρεώσουν διάφορα ποσά για τα οποία ο κάτοχός τους δεν έχει καμμιά ιδέα. Μόνο στην Αμερική έχουν μετρηθεί 700.000 κλεμμένοι αριθμοί πιστωτικών καρτών μέσω του διαδικτύου τον περασμένο χρόνο ενώ το ποσό που συνολικά κλάπηκε ξεπέρασε το 1 τρισεκκατομύριο δολλάρια.
Στη προσπάθεια αντιμετώπισης του φαινομένου αυτού μια εταιρία που ασχολείται με την ασφάλεια διαδικτυακών τόπων κατασκεύασε ένα διαδικτυακό τόπο στον οποίο μπορείτε δωρεάν να τσεκάρετε αν έχει κλαπεί ο αριθμός της πιστωτικής σας κάρτας. Το site μπορείτε να το βρείτε στην διεύθυνση http://www.cardcops.com ενώ η υπηρεσία για να τσεκάρετε την κάρτα σας αναμένεται να λειτουργήσει από την Πέμπτη 27 Ιουνίου. Οι υπεύθυνοι της εταιρίας συγκέντρωσαν τους αριθμούς από διάφορες πηγές στο δίκτυο ενώ ταυτόχρονα παρακολούθησαν καταχωρήσεις που έγιναν σε κάποια chat rooms. Τα chat rooms έχουν ένα on line σύστημα αναγνώρισης της πιστωτικής κάρτας με μια πολύ μικρή χρέωση. Τα χρησιμοποιούν οι hackers για να ελέγξουν αν έχει αντίκρυσμα ο κλεμμένος αριθμός τους. Επειδή η χρέωση είναι πολύ μικρή είναι πολύ πιθανό να μην πέσει στην αντίληψη του κατόχου της κάρτας στον πρώτο λογαριασμό που θα πάρει. Βέβαια ο επόμενος, υπερχρεωμένος από τον κλέφτη, λογαριασμός σίγουρα θα κερδίσει την προσοχή του. Εκτός από τον έλεγχο στον παραπάνω διαδικτυακό τόπο θα ήταν καλό να αφιερώνουμε και λίγο περισσότερο χρόνο στον έλεγχο των συστημάτων ασφαλείας που διαθέτουν οι εν λόγω ιστοσελίδες από τις οποίες κάνουμε τις online αγορές μας.

Bracing for guerrilla warfare in cyberspace

'There are lots of opportunities; that's very scary'
April 6, 1999Web posted at: 2:29 p.m. EDT (1829 GMT)
By John ChristensenCNN Interactive
(CNN) -- It is June, the children are out of school, and as highways and airports fill with vacationers, rolling power outages hit sections of Los Angeles, Chicago, Washington and New York. An airliner is mysteriously knocked off the flight control system and crashes in Kansas.
Parts of the 911 service in Washington fail, supervisors at the Department of Defense discover that their e-mail and telephone services are disrupted and officers aboard a U.S. Navy cruiser find that their computer systems have been attacked.
"If somebody wanted to launch an attack, it would not be at all difficult." -- Fred B. Schneider, a professor of computer science at Cornell University
As incidents mount, the stock market drops precipitously, and panic surges through the population.
Unlikely? Hardly. The "electronic Pearl Harbor" that White House terrorism czar Richard A. Clarke fears is not just a threat, it has already happened.
Much of the scenario above -- except for the plane and stock market crashes and the panic -- occurred in 1997 when 35 hackers hired by the National Security Agency launched simulated attacks on the U.S. electronic infrastructure.
"Eligible Receiver," as the exercise was called, achieved "root level" access in 36 of the Department of Defense's 40,000 networks. The simulated attack also "turned off" sections of the U.S. power grid, "shut down" parts of the 911 network in Washington, D.C., and other cities and gained access to systems aboard a Navy cruiser at sea.
At a hearing in November 1997, Sen. Jon Kyl, R-Arizona, chairman of a Senate technology subcommittee, reported that nearly two-thirds of U.S. government computers systems have security holes.
"If somebody wanted to launch an attack," says Fred B. Schneider, a professor of computer science at Cornell University, "it would not be at all difficult."
'There are lots of opportunities'
Although "Eligible Receiver" took place in the United States, which has about 40 percent of the world's computers, the threat of cyberterrorism is global.
Consider:
During the Gulf War, Dutch hackers stole information about U.S. troop movements from U.S. Defense Department computers and tried to sell it to the Iraqis, who thought it was a hoax and turned it down.
In March 1997, a 15-year-old Croatian youth penetrated computers at a U.S. Air Force base in Guam.
In 1997 and 1998, an Israeli youth calling himself "The Analyzer" allegedly hacked into Pentagon computers with help from California teen-agers. Ehud Tenebaum, 20, was charged in Jerusalem in February 1999 with conspiracy and harming computer systems.
In February 1999, unidentified hackers seized control of a British military communication satellite and demanded money in return for control of the satellite.The report was vehemently denied by the British military, which said all satellites were "where they should be and doing what they should be doing." Other knowledgable sources, including the Hacker News Network, called the hijacking highly unlikely.
"There are lots of opportunities," says Schneider. "That's very scary."
'The Holy Grail of hackers'
President Clinton announced in January 1999 a $1.46 billion initiative to deal with U.S. government computer security -- a 40 percent increase over fiscal 1998 spending. Of particular concern is the Pentagon, the military stronghold of the world's most powerful nation.
"It's the Holy Grail of hackers," says computer security expert Rob Clyde. "It's about bragging rights for individuals and people with weird agendas."
Clyde is vice president and general manager of technical security for Axent Technologies, a company headquartered in Rockville, Maryland, that counts the Pentagon as one of its customers.
The Defense Department acknowledges between 60 and 80 attacks a day, although there have been reports of far more than that.
Web attacks from Russia? Maybe not
(CNN) -- In January 1999, U.S. Air Intelligence Agency computers were hit by a coordinated attack, part of which appeared to come from Russia.
Rob Clyde of the computer security firm Axent Technology suspects that a certain shareware program easily obtained on the Internet was used to launch the attack. The program allows attackers to cloak themselves and send out numerous probes that appear to be coming from around the world.
Clyde says "it's a heck of a lot more likely" that the attack was launched by a hacker or hackers using the program than by terrorists or another country attempting to break into AIA computers.
Had the government really believed the attackers were terrorists, says Clyde, "they wouldn't have called a press conference. They're not very forthcoming about true, spy-type activities."
The government says no top secret material has ever been accessed by these intruders, and that its most important information is not online. But the frustration is evident.
Michael Vatis, director of the FBI's National Infrastructure Protection Committee, told a Senate subcommittee last year that tracing cyberattacks is like "tracking vapor."
'A lot of clueless people'
Schneider says the "inherently vulnerable" nature of the electronic infrastructure makes counterterrorism measures even more difficult. Schneider chaired a two-year study by the National Academy of Sciences and the National Academy of Engineering that found that the infrastructure is badly conceived and poorly secured.
"There is a saying that the amount of 'clue' [knowledge] on the Internet is constant, but the size of the Internet is growing exponentially," says Schneider. "In other words, there are a lot of clueless people out there. It's basically a situation where people don't know how to lock the door before walking out, so more and more machines are vulnerable."
Schneider says the telephone system is far more complicated than it used to be, with "a lot of nodes that are programmable, and databases that can be hacked." Also, deregulation of the telephone and power industries has created another weakness: To stay competitive and cut costs, companies have reduced spare capacity, leaving them more vulnerable to outages and disruptions in service.
Still another flaw is the domination of the telecommunications system by phone companies and Internet service providers (ISPs) that don't trust each other. As a result, the systems do not mesh seamlessly and are vulnerable to failures and disruptions.
"There's no way to organize systems built on mutual suspicion," Schneider says. "We're subtly changing the underpinnings of the system, but we're not changing the way they're built. We'll keep creating cracks until we understand that we need a different set of principles for the components to deal with each other."
'The democratization of hacking'
Meanwhile, the tools of mayhem are readily available.
There are about 30,000 hacker-oriented sites on the Internet, bringing hacking -- and terrorism -- within the reach of even the technically challenged.
"You no longer have to have knowledge, you just have to have the time," Clyde says. "You just download the tools and the programs. It's the democratization of hacking. And with these programs ... they can click on a button and send bombs to your network, and the systems will go down."
Schneider says another threat is posed not by countries or terrorists, but by gophers and squirrels and farmers.
In 1995, a New Jersey farmer yanked up a cable with his backhoe, knocking out 60 percent of the regional and long distance phone service in New York City and air traffic control functions in Boston, New York and Washington. In 1996, a rodent chewed through a cable in Palo Alto, California, and knocked Silicon Valley off the Internet for hours.
"Although the press plays up the security aspect of hacker problems," says Schneider, "the other aspect is that the systems are just not built very reliably. It's easy for operators to make errors, and a gopher chewing on a wire can take out a large piece of the infrastructure. That's responsible for most outages today."
'The prudent approach'
Schneider and Clyde favor a team of specialists similar to Clinton's proposed "Cyber Corps" program, which would train federal workers to handle and prevent computer crises. But they say many problems can be eliminated with simple measures.
These include "patches" for programs, using automated tools to check for security gaps and installing monitoring systems and firewalls. Fixes are often free and available on the Internet, but many network administrators don't install them.
A step toward deterrence was taken in 1998 when CIA Director George Tenet announced that the United States was devising a computer program that could attack the infrastructure of other countries.
"That's nothing new," says Clyde, "but it's the first time it was publicly announced. If a country tries to destroy our infrastructure, we want to be able to do it back. It's the same approach we've taken with nuclear weapons, the prudent approach."
The U.S. Government Accounting Office estimates that 120 countries or groups have or are developing information warfare systems. Clyde says China, France and Israel already have them, and that some Pentagon intrusions have surely come from abroad.
"We don't read about the actual attacks," says Clyde, "and you wouldn't expect to."
"The Analyzer" was caught after he bragged about his feat in computer chat rooms, but Clyde says the ones to worry about are those who don't brag and don't leave any evidence behind.
"Those are the scary ones," he says. "They don't destroy things for the fun of it, and they're as invisible as possible."