Notat nr 1. Sikkerhet og Hacking Gruppemedlemmer: Geir Marthin Helland, IT-ledelse 2007 Peder Noteng, IT-ledelse 2007 Akseptabel hacking I dagens samfunn er begrepet hacking blitt et myteomspunnet begrep. Den menige mann har nok i utgangspunktet et negativt forhold til begrepet, men det kan finnes sider innen området som faktisk er med på å gi mannen i gata bedre beskyttelse. Richard Stalmann definerer hacking på følgende måte: hacking means exploring the limits of what is possible, in a spirit of playful cleverness. Når en hacker deltar i organisert aktivitet gjennom for eksempel et programvareutviklingsselskap for å finne eventuelle svakheter og feil på et program er dette med på å sikre et bedre produkt til kunden. Man har sett flere eksempler på at firmaer som har ansatt personer med tidligere bakgrunn fra hacking for å bruke deres kompetanse til å utfordre egne systemer. Politiet bruker også hacking metoder for å bekjempe kriminalitet, men her har man ikke de samme mulighetene til å gjøre hva man vil som andre autonome hackere. Man kan vel si at skille for akseptabel hacking går ved en white hat hacker. Kommer man over i grey hat området gjør man i prinsippet noe ulovlig, selv om det er i gode hensikter, og man må derfor karakterisere dette som uakseptabelt. Et godt eksempel på balansegangen en hacker må forholde seg presenteres i trilogien av Stieg Larsson hvor journalisten Mikael Blomkvist i sin jobb kontakter hackeren Lisbeth Salander. De tre bøkene beskriver på forskjellige måter hvordan Salander opererer for å innhente den informasjonen hun ønsker. Filmatiseringen av bøkene er nå rett rundt hjørnet og det blir interessant og se hvordan man har vinklet hennes forhold til hacking. I desember 2008 gjennomførte Nasjonal sikkerhetsmyndighet og Direktoratet for sammfunnssikkerhet og beredskap i samarbeid med flere institusjoner, simulerte dataangrep mot norske mål for å teste styrken og kvaliteten på sikkerheten. Dette ble kalt IKT 08. Dette ble gjort for å vurdere de sikkerhetssystemer man har i Norge. Nasjonal sikkerhetsmyndighet fokuserer i en artikkel på sine web-sider med tittelen Kunnskap viktig for å møte trusler på nett, hvor viktig det er å arbeide med dette trusselbildet. De nevner bl.a. Georgia-krigføringen fra 2008 hvor russisk side angrep georgiske datasentraler og slo de ut. 1
Kurset Sikkerhet og hacking ved HiØ våren 2009 skal først og fremst skape skeptisk IT-personell som er fokusert mot datasikkerhet. Det skal bidra til å arbeide mot destruktiv hacking og øke kompetansen på dette området slik at fremtidens IT-ansatte har et bedre utgangspunkt for å forsvare seg mot uønskede angrep. Kursdeltakerne skal få kunnskap om og ferdigheter i å kunne håndtere disse problemene effektivt og rasjonelt. Kurset fokuserer på det ansvar man har som ITressurs i en virksomhet og skal bidra til å skape positive holdninger til fenomenet hacking. Det finnes en god del støttelitteratur innen området som er presentert som frivillig lesning for deltakerne. Hacker versus Cracker Det skilles mellom hackere og crackere. Skillet går på at hackere er interessert i å finne nye måter og metoder, ofte for å kunne lære mer om sikkerhet og formidle dette til de som kan rammes av angrep. Crackere derimot, benytter andres metoder og har en målsetting om å gjøre ulovlige ting. Hackere ser i retning av makt, publisitet og status. Hva som driver hackere til å bedrive sin hackingvirksomet kan være så mangt. Eksempelvis nevner vi økonomisk svindel, utpressing, å skjule sine eller andres spor, publisitet, makt, nysgjerrighet m.fl. Det kan også være politiske mål, overvåking, identitetstyveri eller terror som er årsaker til aktivitetene. Innenfor industri kan copyright, patenter og andre viktige kunnskaper og konkurransefortrinn være sterke årsaker for hackere. Men vi kan også se personer som ønsker å teste ut egen sikkerhet og søken etter bevis for at systemer kan feile. Metodene som brukes er mange, bl.a. endre/slette data, såkalt defacing av websider hvor man endrer innholdet på en webside, ulike former for teknologisk overvåkning (GPS etc.), analysere trafikken på nettet, email, tidspunkter osv.,finne andre personers brukernavn og passord, for å nevne noen. Hvem som hacker er også et meget stort bilde. Det kan være gutter og jenter som sitter på sitt rom og prøver ut hva som er mulig, organiserte kriminelle, industrispioner, sikkerhetspersonell, politi eller mafia. Målsettingene er mange og hackere enda flere. Det finnes flere roller som gjør en person delaktig i hacking: Insidere de som låser opp dørene slik at angrep kan utføres. Disse kan det være vanskelig å hindre da de gjerne har tilgang til signifikante data for inntrengeren. I tillegg kjenner de systemet og svakhetene ved det. Deres motivasjon kan være alt fra revansje til økonomisk gevinse og 2
politiske/religiøse målsettinger. Disse kan inneha stillinger hvor de forsøker å gjøre seg selv uerstattelige for en arbeidsgiver. De kan via sine stillinger lage spesielle tilganger til systemet som de kan utnytte eller selge til andre senere. Tidligere ansatte er ofte å se i slike sammenhenger. Bedriftsspionasje er et stort problem og ser man på russiske og amerikanske romferger kan man lure på hvordan de har blitt så like. Det lukter spionasje eller utveksling av informasjon her. Etter 9/11 i USA har terrorfrykten økt vesentlig i store deler av verden. Hacking er et fantastisk våpen hvor man risikerer lite rent fysisk og kan oppnå store resultater strategisk. Denial og Service er et fenomen som skal gjøre en datamaskin utilgjengelig for de oppgaver den egentlig er satt til å utføre. Man kan tenke seg konsekvensene av dette ved f.eks. et sykehus, kraftverk, strømforsyning, militære, politi, flyovervåkning etc. Disse cyber-terroristene kan også slå til mot skattevesenet, telefonsentraler eller nyhetkanaler. Det vil kunne skape stor uorden eller direkte farer eller ødeleggelser. Politiet jobber sterkt med hacking. Der forsøker man å bekjempe kriminalitet ved hjelp av hacking. Det er ofte begrenset tilgang på ressurser og et rigid regelverk som forhindrer deres arbeid. De såkalte Info-Warriors er hackere som utfører snille kriger vha dataangrep. Dette gir informasjon og kontroll og benyttes i stor grad av etterretning. Hacking deles ofte inn i tre nivåer; lav eksterne hackere, middels insidere, høy- vanlige ansatte som ikke mente å gjøre noe galt men som gjorde det likevel i form av sin manglende forsiktighet og kompetanse. En hacker har bl.a. disse egenskapene: Motiv, kunnskap, ressurser, tilgang og risikovilje. I tillegg kan man ofte kategorisere hackeren som en usosial mann i 20-årene, er nerdete, har mye tid og lite ressurser. Vi kan også ofte si at han lever i sitt eget samfunn med egne regler, eget språk, egen kultur, egen etikk m.m. Typer hackere Man kan grovt sett dele inn hackere i 5 grupper uten at dette er en kategorisk inndeling White hat o Dette er vel det man kan kalle lovlige hackere. Gjerne ansatte i et firma, eller som er engasjert gjennom for eksempel politi Grey hack 3
o Dette er personer som foretar hack etter eget initiativ. De ønsker i utgangspunktet å ikke ødelegge noe, men påvise feil og svakheter. Tenker på brukerne og ikke på produsenten. Patch til programvare kommer ofte etter tips fra Grey hat Black hat o Gjør det fordi det er gøy, og for mulig fortjeneste. Ofte mer enn å bare bryte seg inn informasjon de finner spres i lukkede nettverk. Er ofte opphav til virus og ormer. Tar av og til hensyn til brukere i egen kategori. Script kiddie o Også betegnet som cracker. Dette er personer som ikke forstår helt hva de driver på med. Ofte wannabe nerder Hacktvist o Fortjeneste og ære er ikke hovedmålsettingen, men først og fremst ute etter å opplyse om en sak og skaffe seg publisitet Det som gjør hacking spesielt er at man kan ta lite fra mage og at det dermed er vanskelig å oppdage. Terskelen for å gjøre noe ulovlig er betraktelig lavere når du kan sitte hjemme på gutterommet enn om man fysisk skal gjøre noe ulovlig. Med dagens teknologi sprer verktøyene seg svært raskt. De nye hackerne Social engineering er en voksende trend innen hacking. Dette går ut på å manipulere ofrene slik at de gir fra seg passord osv. i den tro at man prater med personer som er betrodd slik informasjon. Botnets kjennetegnes ved at mange maskiner som kontrolleres av hacker gjennomfører store angrep/aktiviteter. Dette kan blant annet dreie seg om SPAM, DoS, crack av pw osv. Maskinene som brukes kalles zombies. Alle maskinene samlet kan ses på som en supermaskin, og det kan være snakk om opp til 1 millioner maskiner i et botnet. Det største hittil kjente botnet er Confiker/Downadup med opptil 9 millioner infiserte maskiner. Hvordan hacke 90 % av arbeidet i hacking er forarbeid, planlegging og innhenting av kunnskap. Med ulv ulv metoden foretar man mange dummy angrep slik at fienden blir lei og ikke er like påpasselig. Tilslutt gjør man et helhjertelig angrep og får utrettet det man har planlagt. Angriperne ser som oftest på systemet som helhet. Systemene består av mange enheter, og vanlig datasikkerhet fokuserer på å sikre enheter. For å innhente informasjon om systemene man skal hacke finnes det mange kilder, blant annet ligger det mye info på nettet. 4
Når man skal ta i bruk sikkerhetsmekanismer må man stille spørsmål hvem man skal sikre seg imot. Her er det mange farer, og en av de største er nok deg selv. Beskyttelsestiltakene vil alltid ligge bak angriperne, angriperne vil pønske ut nye metoder å knekke de til enhver tid gjeldende beskyttelsene. Men er ofte fornøyd så lenge tingene fungerer. Når man skal beskytte seg er det viktig å tenke som en hacker. Inntil nå har verdien av et eventuelt tap og risiko vært lavere enn kostnaden ved å beskytte seg fullt ut. Man tar derfor risikoen på at noe kan gå tapt, og det fører ofte til at sikkerhet nedprioriteres. Det blir ofte også sett på som en hemsko da det ofte medfører at ting blir mer tungvindt, og sikkerhetsansvarlige har derfor ofte et dårlig rykte på seg. Passord er også et område som medfører at hacking er mulig. Det er mange med dårlige rutiner for passord. Gammel teknologi er også en grunn til at man ikke får satt beskyttelsen optimal. Tekniker Det finnes mange tekniker for å innhente informasjon som hjelper en hacker i hans jobb. Account hijacking er en metode hvor man tar over kontoen for noen og opererer i vedkommendes identitet. Man kan også bruke phishing tekniker for å lede folk til sider hvor man for de besøkende som i god tro tror de er på en sikker side til avgi sensitiv informasjon. Ved å ha sterke og forskjellige passord på de kontoene man har øker man vanskeligheten for evt phishing angrep. 5