Hackerských 101 - MujMAC.cz - Apple, Mac OS X, Apple iPod

Navigace:  » Úvodní stránka  » Rubriky  » Informace  

9. prosince 2002, 00.00 | Všichni mluví o firewallech, (ne)bezpečnosti operačních systémů, ale co ti hackeři vlastně dělají? Tedy kromě toho, že nahradí webové stránky NASA pornem?

Několik mých známých, inspirovaných předešlým dílem o bezpečnosti OS X počítačů, na mne vzneslo dotaz, respektive připomínku, že bych mohl alespoň v krátkosti vysvětlit, co ten ošklivý hacker chce vlastně jejich počítači udělat...

Don't panic
Na prvním místě je třeba podotknout, že není třeba panikařit. Když se na celý problém podíváte z psychologického hlediska, tak se hacker chce dostat "na kobylku" počítači, který je dostatečně známý a tudíž mu jeho výkon přinese nějakou popularitu. Samozřejmě také existují útoky na obchodní data společností - vždyť co může být pro konkurenci zajímavějšího, než seznam všech vašich ochodních partnerů, naservírovaný na stříbrném podnose (a pokud útočník data ještě smaže, buď se prověří kvalita zálohování v napadené firmě, nebo, pokud žádné nebylo, lze rovnou do dané firmy napsat kondolenční dopis). Pokud tedy nejste systémovými administrátory na nějakém opravdu citlivém místě, pravděpodobnost napadení je dost mizivá. A pokud jste, asi nepotřebujete číst tento článek :)) Mnohem častěji, než se samotným útokem hackera, se můžete setkat s útokem programu, který byl za podobným účelem napsán. I program nmap, který jsem použil v minulém díle, lze zneužít. Takový program pak obsahuje databázi chyb jednotlivých operačních systémů, programů nebo služeb a zkouší na jednu IP adresu pro druhé, co umí. A pokud se mu napadení povede, pošle třeba email svému tvůrci, který příště ví, kam má jít.

Systémové služby
Každá služba, která na počítači běží, je potenciálním zdrojem problémů. Proto, jak podotkl v diskusi pod minulým článkem jeden z častých přispěvatelů, chodí OS X s naprostou většinou služeb vypnutou. Je zřejmé, že pokud je služba neaktivní, nedává prostor k napadení. Kromě služeb, které může uživatel spouštět a vypínat, je v systému ještě spousta podpůrných programů, které fungují trvale, nebo je nelze vypnout vůbec. To, co patří mezi permanentně zapnuté služby, je například reakce na ping. Ping je program, který posílá po síti ICMP pakety, se zapnutým potvrzením o příjmu. Pokud zařízení (počítač, tiskárna se síťovou kartou, router) adresovaný paket přijme, zjistí, že má poslat odesilateli potvrzení a bez dalšího to udělá. Ping se tím dozví, že na dané adrese je aktivní zařízení a zobrazí dobu, která uplynula mezi odeslání požadavku a přijetím potvrzení. Běžného uživatele ani nenapadne, že by takový proces šel zneužít. A jak uvidíte, šel...

Představte si server na internetu a počítač, který mu posílá PING pakety, aby zjistil, jestli je spuštěný. Server tedy odpoví na požadavek. Ale, co když těch požadavků přijde najednou tisíce nebo deseti tisíce? Dojde k zahlcení serveru, protože nebude dělat nic jiného, než odpovídat na tyto požadavky. Z tohoto důvodu lze ve firewallu nastavit blokování ICMP paketů, takže server sice požadavek obdrží, ale pozná, že jde o ICMP a nereaguje. Zmíněným způsobem funguje třeba server www.atlas.cz

Jak jste asi rychle pochopili, je snad nekonečně variant různých útoků, s různými cíly. Mezi oblíbené varianty patří zneužití SMTP, které se stará o odesílání e-mailů, takže server lze použít k odesílání spamu. Další variantou může být zneužití POP3, k získání neomezeného přístupu do počítače. Tento problém se snad již v novějších operačních systémech nevyskytuje, ale princip by byl asi následující: POP3 protokol používá e-mailový klient ke stáhnutí pošty. Aby služba, která se o to stará, mohla pracovat se všemi uživateli, musí být puštěna s maximálním právy. Hacker se pak připojí port 110 z našeho výpisu z minulého dílu. Podle specifikace POP3 protokolu je komunikace asi následující:

Server: čeká na portu 110
Klient: započne komunikaci
Server: +OK AppleMailServer 10.2.2.0 POP3 server at ns.apple.cz ready
Klient: USER _nekdo z CDS_
Server: +OK Password required for _jmeno_
Klient: PASS _heslo_

Pokud se nad výpisem zamyslíte, sami uvidíte několik problémů:

Proč se Černý, může připojit ze svého počítače k mail serveru CDS?

Potřebují vybírat poštu jinde než z firmy? Pokud ano, proč nemají nastavený jiný port, který není tak do očí bijící?

Proč nepoužívají zabezpečenou verzi protokolu?

A teď k chybě, která je již určitě odstraněna (v OS X na 100%, zkoušel jsem to). Chyba (prostor pro problém) spočívala v tom, že server vždy očekával odpověď na svůj požadavek ve správné posloupnosti. To znamenalo, že když klient napsal "USER", další mělo přijít heslo, které je však maximálně dlouhé 30 znaků. A tak programátor nastavil proměnnou pro heslo na velikost o něco větší, 60 znaků. A hacker tam vložil řetězec 200 znaků dlouhý a tím způsobil chybu programu. Program spadl do promptu, ale zároveň zůstala nastavená uživatelská práva, takže si každý mohl dělat, co chtěl.

Co napsat závěrem?
Počítač, který je připojen pevným přípojením k internetu, může být napaden. Ať už hackerem, nebo jím napsaným programem. Pravděpodobnost je malá, ale existuje. Chránit se můžeme několika způsoby, o kterých je tato série. Základní poučkou je to, abychom nepouštěli služby, o kterých nevíme, co dělají, případně, jak je zabezpečit.