Яйцо Кукушки: Охота на компьютерного шпиона.

Введение

"Кукушкино яйцо: По следам шпиона в лабиринте компьютерного шпионажа" – научно-популярная книга 1989 года, написанная Клиффордом Столлом. Это его личный рассказ об охоте за компьютерным хакером, взломавшим компьютер в Национальной лаборатории Лоуренса Беркли (LBNL). Использование Столлом этого термина расширило метафору "кукушкиного яйца" от явления гнездового паразитизма у птиц до вредоносного программного обеспечения.

Резюме

Автор книги Клиффорд Столл, астроном по образованию, управлял компьютерами в Национальной лаборатории Лоуренса Беркли (ЛБНЛ) в Калифорнии. Однажды в 1986 году его начальник попросил его исправить ошибку в 75 центов в счетах за использование компьютера. Столл проследил ошибку до неавторизованного пользователя, который, по-видимому, использовал девять секунд компьютерного времени и не оплатил его. Столл в конечном итоге понял, что неавторизованный пользователь был хакером, получившим суперпользовательский доступ к системе ЛБНЛ, используя уязвимость в функции movemail оригинального GNU Emacs. В начале и на протяжении долгих выходных Столл собрал пятьдесят терминалов, а также телепринтеров, в основном "одолжив" их у коллег, отсутствовавших на выходных. Он физически подключил их к пятидесяти входящим телефонным линиям в ЛБНЛ. Когда хакер позвонил в эти выходные, Столл определил использованную телефонную линию, которая исходила от службы маршрутизации Tymnet. С помощью Tymnet он в конечном итоге отследил вторжение до колл-центра MITRE, оборонного подрядчика в МакЛине, штат Вирджиния. В течение следующих десяти месяцев Столл потратил огромное количество времени и усилий на отслеживание источника хакера. Он обнаружил, что хакер использует соединение со скоростью 1200 бод и понял, что вторжение происходит через телефонный модем. Коллеги Столла, Пол Мюррей и Ллойд Беллнап, помогали с телефонными линиями. Вернув "одолженные" терминалы, Столл оставил телепринтер, подключенный к линии вторжения, чтобы видеть и записывать все действия хакера. Он наблюдал, как хакер искал — и иногда получал — несанкционированный доступ к военным базам по всей территории Соединенных Штатов, ища файлы, содержащие такие слова, как "ядерный" или "SDI" (Стратегическая оборонная инициатива). Хакер также копировал файлы паролей (для проведения атак по словарю) и устанавливал троянские программы для поиска паролей. Столла поразило, что на многих из этих объектов с высоким уровнем безопасности хакер мог легко угадывать пароли, поскольку многие системные администраторы не удосужились изменить пароли с заводских настроек. Даже на военных базах хакер иногда мог войти в систему как "гость" без пароля. Это был один из первых — если не первый — задокументированный случай взлома компьютера, и, по-видимому, Столл был первым, кто вел ежедневный журнал действий хакера. В ходе расследования Столл связался с различными агентами Федерального бюро расследований (ФБР), Центрального разведывательного управления (ЦРУ), Агентства национальной безопасности (АНБ) и Управления специальных расследований ВВС США (OSI). В самом начале возникла путаница в отношении юрисдикции и общее нежелание делиться информацией; ФБР, в частности, не проявляло интереса, поскольку не было вовлечено крупной суммы денег и не был осуществлен доступ к секретной информации. Изучая свой журнал, Столл увидел, что хакер знаком с VAX/VMS, а также с AT&T Unix. Он также отметил, что хакер, как правило, был активен в середине дня по тихоокеанскому времени. В конечном итоге Столл предположил, что, поскольку счета за модем дешевле ночью, и большинство людей учатся или работают днем и у них будет много свободного времени для взлома только ночью, хакер находился в часовом поясе, расположенном на значительном расстоянии к востоку, вероятно, за пределами восточного побережья США. С помощью Tymnet и агентов из различных ведомств Столл обнаружил, что вторжение исходило из Западной Германии через спутник. Немецкая почтовая служба, Deutsche Bundespost, осуществляла контроль над телефонной системой и проследила звонки до университета в Бремене. Чтобы соблазнить хакера раскрыть себя, Столл создал сложную уловку — известную сегодня как "медовый горшок", — придумав вымышленный отдел в ЛБНЛ, который якобы был недавно сформирован по контракту "SDI", также вымышленному. Когда он понял, что хакер особенно заинтересован в поддельной организации SDI, он заполнил учетную запись "SDInet" (которой управляла воображаемая секретарша по имени "Барбара Шервин") большими файлами, полными впечатляющих бюрократических формулировок. Уловка сработала, и Deutsche Bundespost наконец-то обнаружила хакера в его доме в Ганновере. Его звали Маркус Хесс, и он уже несколько лет занимался продажей результатов своих взломов гражданской разведке Советского Союза, КГБ. Дополнительное подтверждение этому было получено, когда венгерский агент связался с вымышленной SDInet в ЛБНЛ по почте, основываясь на информации, которую он мог получить только через Хесса. По-видимому, это был метод КГБ для перепроверки, чтобы убедиться, что Хесс не выдумывает информацию, которую он продавал. Столл позже полетел в Западную Германию, чтобы дать показания на суде над Хессом.

Author Clifford Stoll, an astronomer by training, managed computers at Lawrence Berkeley National Laboratory (LBNL) in California. One day in 1986 his supervisor asked him to resolve an accounting error of 75 cents in the computer usage accounts. Stoll traced the error to an unauthorized user who had apparently used nine seconds of computer time and not paid for it. Stoll eventually realized that the unauthorized user was a hacker who had acquired superuser access to the LBNL system by exploiting a vulnerability in the movemail function of the original GNU Emacs. Early on, and over the course of a long weekend, Stoll rounded up fifty terminals, as well as teleprinters, mostly by "borrowing" them from the desks of co workers away for the weekend. These he physically attached to the fifty incoming phone lines at LBNL. When the hacker dialed in that weekend, Stoll located the phone line used, which was coming from the Tymnet routing service. With the help of Tymnet, he eventually tracked the intrusion to a call center at MITRE, a defense contractor in McLean, Virginia. Over the next ten months, Stoll spent enormous amounts of time and effort tracing the hacker's origin. He saw that the hacker was using a 1200 baud connection and realized that the intrusion was coming through a telephone modem connection. Stoll's colleagues, Paul Murray and Lloyd Bellknap, assisted with the phone lines. After returning his "borrowed" terminals, Stoll left a teleprinter attached to the intrusion line in order to see and record everything the hacker did. He watched as the hacker sought — and sometimes gained — unauthorized access to military bases around the United States, looking for files that contained words such as "nuclear" or "SDI" (Strategic Defense Initiative). The hacker also copied password files (in order to make dictionary attacks) and set up Trojan horses to find passwords. Stoll was amazed that on many of these high security sites the hacker could easily guess passwords, since many system administrators had never bothered to change the passwords from their factory defaults. Even on military bases, the hacker was sometimes able to log in as "guest" with no password. This was one of the first⁠—⁠if not the first⁠—documented cases of a computer break in, and Stoll seems to have been the first to keep a daily logbook of the hacker's activities. Over the course of his investigation, Stoll contacted various agents at the Federal Bureau of Investigation (FBI), the Central Intelligence Agency (CIA), the National Security Agency (NSA), and the United States Air Force Office of Special Investigations (OSI). At the very beginning there was confusion as to jurisdiction and a general reluctance to share information; the FBI in particular was uninterested as no large sum of money was involved and no classified information host was accessed. Studying his log book, Stoll saw that the hacker was familiar with VAX/VMS, as well as AT&T Unix. He also noted that the hacker tended to be active around the middle of the day, Pacific time. Eventually Stoll hypothesized that, since modem bills are cheaper at night and most people have school or a day job and would only have a lot of free time for hacking at night, the hacker was in a time zone some distance to the east, likely beyond the US East Coast. With the help of Tymnet and agents from various agencies, Stoll found that the intrusion was coming from West Germany via satellite. The West German post office, the Deutsche Bundespost, had authority over the phone system there, and traced the calls to a university in Bremen. In order to entice the hacker to reveal himself, Stoll set up an elaborate hoax—known today as a honeypot—by inventing a fictitious department at LBNL that had supposedly been newly formed by an "SDI" contract, also fictitious. When he realized the hacker was particularly interested in the faux SDI entity, he filled the "SDInet" account (operated by an imaginary secretary named "Barbara Sherwin") with large files full of impressive sounding bureaucratese. The ploy worked, and the Deutsche Bundespost finally located the hacker at his home in Hanover. The hacker's name was Markus Hess, and he had been engaged for some years in selling the results of his hacking to the Soviet Union's civilian intelligence agency, the KGB. There was ancillary proof of this when a Hungarian agent contacted the fictitious SDInet at LBNL by mail, based on information he could only have obtained through Hess. Apparently this was the KGB's method of double checking to see if Hess was just making up the information he was selling. Stoll later flew to West Germany to testify at the trial of Hess.

Ссылки в популярной культуре

Книга была освещена в эпизоде научно-популярного сериала WGBH NOVA под названием «КГБ, компьютер и я», который вышел на телеканалах PBS 3 октября 1990 года. Столл и несколько его коллег приняли участие в воссоздании описанных событий. Еще один документальный фильм, «Spycatcher», был снят Yorkshire Television. Эти события упоминаются в научно-фантастическом рассказе Кори Доктороу «Вещи, которые делают меня слабым и странным, исчезают», как "(a) системный администратор, который выявил аномалию в счете на 0,75 доллара, ведущую к иностранной шпионской сети, использовавшей его системы для взлома военных объектов".