Питер Затко: от хакера до разоблачителя Twitter

Введение

Американский эксперт по компьютерной безопасности Пейтер Ц. Закко, более известный как Мэдж, – американский специалист по сетевой безопасности, программист с открытым исходным кодом, писатель и хакер. Он был самым заметным членом влиятельного хакерского исследовательского коллектива L0pht, а также компьютерного и культурного хакерского кооператива Cult of the Dead Cow. Работая в L0pht, Мэдж способствовал раскрытию информации и повышению осведомленности об информационных уязвимостях и проблемах безопасности. Помимо пионерской работы в области переполнения буфера, его рекомендации по безопасности содержали ранние примеры уязвимостей в следующих областях: внедрение кода, состояние гонки, атаки по сторонним каналам, эксплуатация встроенных систем и криптоанализ коммерческих систем. Он является оригинальным автором программного обеспечения для взлома паролей L0phtCrack. В 2010 году Мэдж занял должность менеджера программ в DARPA, где руководил исследованиями в области кибербезопасности. В 2013 году Мэдж перешел на работу в Google в подразделение Advanced Technology & Projects. В настоящее время он работает в консалтинговой фирме Rapid7, которая разрабатывает Metasploit.

Биография

Родился в декабре 1970 года, Мадж окончил музыкальный колледж Беркли с отличием и является опытным гитаристом. Мадж отвечал за ранние исследования уязвимости безопасности, известной как переполнение буфера. В 1995 году он опубликовал работу "Как создавать переполнения буфера", одну из первых публикаций на эту тему. Он опубликовал одни из первых рекомендаций по безопасности и исследования, демонстрирующие ранние уязвимости в Unix, такие как внедрение кода, атаки по сторонним каналам и утечки информации, и был лидером движения за полное раскрытие информации об уязвимостях. Он был первым автором инструментов безопасности L0phtCrack, AntiSniff и l0phtwatch. Мадж был одним из первых представителей хакерского сообщества, который наладил отношения с правительством и промышленностью. Он выступал с докладами на хакерских конференциях, таких как DEF CON, и на академических конференциях, таких как USENIX. Мадж также является членом Cult of the Dead Cow с 1996 года. В 1999 году L0pht превратился в консалтинговую компанию по компьютерной безопасности @stake, а Мадж стал вице-президентом по исследованиям и разработкам, а затем главным научным сотрудником. В 2000 году, после первых масштабных DDoS-атак, он был приглашен на встречу с президентом Биллом Клинтоном на саммите по безопасности вместе с членами кабинета министров и руководителями отрасли. В 2004 году он стал научным сотрудником в правительственном подрядчике BBN Technologies, где он первоначально работал в 1990-х годах, а также вошел в технический консультативный совет NFR Security. В 2010 году было объявлено о его назначении руководителем проекта DARPA, посвященного направлению исследований в области кибербезопасности. Он был уволен из компании в январе 2022 года, при этом Twitter заявил, что это произошло после "оценки руководства организацией и его влияния на приоритетные задачи". 23 августа 2022 года были опубликованы материалы жалобы информатора Затко, поданной в Конгресс США. В жалобе утверждается, что Twitter допустил многочисленные нарушения правил ценных бумаг США, Закона о Федеральной торговой комиссии 1914 года и соглашения о согласии 2011 года, достигнутого с Федеральной торговой комиссией после ряда проблем в период с 2007 по 2010 год. Он также обвинил Twitter в "серьезных и грубых недостатках" в обработке информации пользователей и спам-ботов. Затко обвинил нескольких руководителей Twitter, включая Парага Агравала и некоторых членов совета директоров, в предоставлении ложных или вводящих в заблуждение заявлений о конфиденциальности, безопасности и модерации контента на платформе, что является нарушением Закона о Федеральной торговой комиссии 1914 года и правил раскрытия информации SEC. В частности, в жалобе утверждается, что заявления Агравала в треде от 16 мая были обманчивыми, а также указывается на предоставление искаженной информации Илону Маску в ходе его предложения о приобретении. The Wall Street Journal сообщила, что в июне Twitter достиг конфиденциального соглашения с Затко на сумму 7 миллионов долларов после его увольнения. Соглашение запрещает Затко публично высказываться о своем опыте работы в Twitter или критиковать компанию, за исключением слушаний в Конгрессе и подачи жалоб информаторов правительству.

Born in December 1970, Mudge graduated from the Berklee College of Music at the top of his class and is an adept guitar player. Mudge was responsible for early research into a type of security vulnerability known as the buffer overflow. In 1995 he published "How to Write Buffer Overflows", one of the first papers on the topic. He published some of the first security advisories and research demonstrating early vulnerabilities in Unix such as code injection, side channel attacks, and information leaks, and was a leader in the full disclosure movement. He was the initial author of security tools L0phtCrack, AntiSniff, and l0phtwatch. Mudge was one of the first people from the hacker community to reach out and build relationships with government and industry. In demand as a public speaker, he spoke at hacker conferences such as DEF CON and academic conferences such as USENIX. Mudge has also been a member of Cult of the Dead Cow since 1996. The L0pht became the computer security consultancy @stake in 1999, and Mudge became the vice president of research and development and later chief scientist. In 2000, after the first crippling Internet distributed denial of service attacks, he was invited to meet with President Bill Clinton at a security summit alongside cabinet members and industry executives. In 2004 he became a division scientist at government contractor BBN Technologies, where he originally worked in the 1990s, and also joined the technical advisory board of NFR Security. In 2010, it was announced that he would be project manager of a DARPA project focused on directing research in cyber security. He was terminated by the company in January 2022, with Twitter claiming it was after "an assessment of how the organization was being led and the impact on top priority work". On 23 August 2022, the contents of a whistleblower complaint made by Zatko to the United States Congress were published. The complaint alleges Twitter committed multiple violations of United States securities regulations, the Federal Trade Commission Act of 1914, and a 2011 enforceable consent decree reached with the Federal Trade Commission after several issues between 2007 and 2010. He also accused Twitter of "extreme, egregious deficiencies" in its handling of user information and spam bots. Zatko accused several Twitter executives, including Parag Agrawal and certain board members, of making false or misleading statements about privacy, security, and content moderation on the platform in violation of the Federal Trade Commission Act of 1914 and SEC disclosure rules. These included misrepresentations to Elon Musk made during the course of his acquisition bid, with the complaint specifically calling Agrawal's May 16 thread deceptive. The Wall Street Journal reported that Twitter reached a confidential $7million settlement with Zatko in June, following his firing. The settlement prohibits Zatko from speaking publicly about his time at Twitter or disparaging the company, with the exception of Congressional hearings and governmental whistleblower complaints.

Личная жизнь

11 августа 2007 года он женился на Саре Либерман, коллеге по работе в BBN и бывшем математике Агентства национальной безопасности. В статье для журнала Time она отметила, говоря о работе ее мужа в Twitter: "Нечестность его определенно раздражает".