CLOUDY podcast | #21 Keď hacker pomáha, nie škodí
Kto to teda ten hacker je?
Ako si správne povedal, je to taký trošku mystifikovaný pojem. Vždy, keď počujeme slovo hacker, tak si predstavujeme nejakého chlapíka dole v pivnici v kapucni, ktorý tam niečo ťuká a vždy má zlé úmysly. Niečo hackuje, niečo kradne atď.
Hacker nie je vždy negatívny pojem, ale skôr je to označenie nejakého typu myslenia, nástroja. Každý poznáme pojem „life-hack“, že som niečo hackol, niečo som dobre vymyslel. Je to skôr nejaký postup, nejaký typ myslenia.
Sú hackeri dobrí aj zlí?
Sú dobrí aj zlí a sú ešte takí, čo sú medzi. Tí dobrí sa označujú ako „white“ hackeri, tí zlí ako „black“ hackeri a tí medzi ako „grey“ hackeri. Rozdiel medzi nimi je etický rozmer.
Etický hacker robí svoju činnosť s legálnym súhlasom danej spoločnosti. On to robí preto, aby povýšil bezpečnosť spoločnosti, ktorá si ho objednáva a jej systému. Pričom ten legálny súhlas sa udeje ešte pred samotným hackovaním. Je to o dohode medzi spoločnosťou a hackerom – presne sa definuje čo bude predmetom testovania. Na konci etický hacker odovzdáva výsledky danej spoločnosti, aby ona mohla zapracovať potenciálne nájdené problémy a dostane za to dohodnutú odmenu.
A tí zlí, teda "black hat" hackeri, robia v podstate to isté, ale nie je tam žiaden legálny súhlas a samozrejme motiváciou takýchto hackerov je napríklad nejaký finančný zisk alebo dosiahnutie iných napr. politických cieľov. Ďalej oni nemajú etické zásady a využívajú akékoľvek nástroje, ktoré si nájdu, ukradnú a podobne. Etický hacker predsa len pracuje len s tými dostupnými nástrojmi v nejakom rozpočte, ktorý na to je určený a pod.
V súčasnosti sa už nemusíme baviť len o jednotlivcoch, existujú celé hackerské skupiny, ktoré sú organizované, majú svoj hiring, náborové centrá... Tešiť nás môže, že tie skupiny často súperia aj medzi sebou a útočia aj navzájom na seba.
A niekde v strede tohto je ten „gray“ hacker, ktorý sa pohybuje v tej šedej zóne. Väčšinou funguje tak, že skúša a hľadá tie technické nedostatky a následne sa snaží ich spoločnosti oznámiť, ale robí to bez ich súhlasu. Chýba mu ten právny súhlas vopred, aby takéto „hackovanie“ robil.
Mnoho veľkých spoločností má tzv. bug bounty programy, ktoré verejne vyhlasujú – v zmysle, ak niečo nájdeš, tak nám to nahlás a my ti za to dáme odmenu. Vtedy tá spoločnosť akoby sama vyhlásila ten legálny súhlas a hackeri môžu skúšať. Tie odmeny sa hlavne pri veľkých hráčoch vedia vyšplhať aj na stovky, tisíce až desaťtisíce eur v závislosti od toho, akú veľkú zraniteľnosť hacker nájde.
Ako sa človek stane hackerom?
Ja si myslím, že každý hacker začína tým, že ho to baví a skúša. Určite existujú certifikované kurzy, ktorými môže človek prejsť a pod., ale musí mať to nastavenie, že tomu chce rozumieť, chce vedieť ako veci fungujú na pozadí a to sú hodiny až roky skúšania, oboznamovania sa.
Vo firme sú to vlastne z časti bezpečnostní experti, ktorí čiastočne zastávajú tú prácu hackerov. Aj my robíme široké spektrum služieb, ktoré dodávame zákazníkom a začíname od rizík, právnych súhlasov, nasadenia technológií ako firewall-y (ochrana pred neoprávneným vstupom), multi-faktorové autentifikácie a pod. A časť kolegov sa zas venuje penetračnému testovaniu webov, aplikácií atď.
Útoky sa dejú aj u nás. Naposledy taký najväčší bol asi útok na kataster. Dá sa zistiť, odkiaľ tie útoky boli smerované? Kto za hackerskými útokmi stojí?
Volá sa to atribúcia útokov a nie je to triviálna vedná disciplína. Reálne sa zbierajú dôkazy o tom, čo má hacklo, či to bola táto IP-adresa, tento hash súbor, skúmajú sa procedúry a taktiky, ktoré boli použité a vyšetrovatelia sa snažia zistiť, ktorá hackerská skupina možno používa dané taktiky a stojí za útokom a pod. Niekedy sa podarí táto atribúcia a niekedy sa nepodarí alebo až s odstupom času.
Čo môže byť motiváciou hackerov? Ide len o finančný zisk, či zisk údajov?
Okrem týchto spomínaných sa ďalej kradnú napríklad patenty, technológie, ktoré spoločnosti používajú, zisťuje sa akých zákazníkov má spoločnosť, komu koľko fakturuje...
Treba sa hackerských útokov obávať?
Jednoznačne. Hackerské útoky nie sú len svetlou výnimkou, my vidíme len špičku ľadovca, čo sa dostanú na verejnosť. Stále platí, že gro tých útokov je nenahlásených alebo sa neriešia.
Je rôzne spektrum útokov, nedávno sa odohral napr. útok na Nymburskú nemocnicu, ktorá fungovala v odstavenom režime, ďalej útok na priehradu v Nórsku, známe sú veľké útoky ako Stuxnet (útok prostredníctvom počítačového vírusu z roku 2009 na počítače, ktoré riadili iránske jadrové zariadenie), kde americké tajné služby znehodnotili centrifúgu na obohacovanie uránu v Iráne a pod.
Aké sú najčastejšie chyby, ktoré firmy robia?
Za mňa sú to hlavne dve situácie – prvá, že spoločnosť odignoruje zistené či nahlásené nedostatky v mylnej predstave, že „nám sa to aj tak nemôže stať“. Lebo treba si uvedomiť, že medzi odhalením chýb a ich nápravou je veľká asymetria. Hacking môže trvať povedzme mesiac, ale náprava tých chýb môže kľudne trvať polroka.
Druhá vec je, že firma sa rozhodne problém opraviť, ale ide len o rýchlu, nedostatočnú opravu, čo v konečnom dôsledku nestačí.
A čo rola AI v hackovaní?
AI urýchľuje proces toho doťahovania sa tých dvoch táborov (hackeri vs. bezpečnostní technici). Útoky sú adresnejšie, je potrebné reagovať rýchlejšie a pod. Podľa mňa AI ešte nie je tak ďaleko, že by písalo presné kódy na zraniteľnosť. Ešte nie je tak sofistikované, že by vedelo napísať kód, ktorý udrie presne dokonalo, kde hacker chce. Ale rozhodne vie pomôcť, urýchliť proces, je veľmi výhodná v rámci phishingu atď. AI teda vie zotrieť hranicu medzi začínajúcim hackerom a povedzme stredne lepším hackerom. Ale na top hackerov ešte nemá, tam má stále navrch človek.
Celý podcast si môžete vypočuť na Spotify, Apple podcastoch alebo pozrieť na YouTube.
