Коллектив Авторов - Цифровой журнал «Компьютерра» № 224

И не надо думать, что все это минует нас стороной. Слишком много связей, от экономических до семейных. Слишком много общей истории и общей боли. И России, и её гражданам надо готовиться к худшему — worst case, знаете ли… За благодушие в прошлом нам приходилось платить страшную цену. И хотелось бы, чтобы приобретшие статус важнейших объектов инфраструктуры компьютерные системы работали нормально, обеспечивая повседневную жизнь экономики и общества. А нарушься такая работа — была б возможность узнать, кто в этом виноват…

Так что, пока есть ещё время и деньги в казне, хотелось бы призвать и власть, и бизнес срочно принять меры к повышению степени кибернетической безопасности предприятий и инфраструктур. Четырнадцатый год почему-то навевает отнюдь не весёлые мысли, а за рубежом уже всерьёз обсуждаются санкциипротив целых секторов отечественной экономики, которые затронут жизнь миллионов россиян… Так что, может, не стоит повторять печальный опыт Российской империи, пренебрегавшей внедрением отечественных разработок?

К оглавлению

Опубликовано08 мая 2014

Бывший сотрудник консалтинговой фирмы The Canton Group был арестованФБР после выполнения аудита безопасности компьютерной сети Университета штата Мэриленд. В награду за проделанную работу ему представили целый ряд обвинений.

До недавнего времени Дэвид Хелковски (David Helkowski) был известен в Балтиморе как представитель этических хакеров, также называемых «Белыми шляпами». Такие люди часто выполняют на добровольных началах сложную работу по аудиту безопасности программ, устройств с криптографической защитой и компьютерных сетей. В отличие от «Чёрных шляп», они ищут уязвимости с целью помочь разработчикам сделать свой продукт более защищённым и обычно не разглашают сведений о найденных ошибках до их устранения.

Термин ethical hacker отражает целую философию жизни, краткая суть которой в стремлении отдельных специалистов сделать ИТ-сферу более надёжной и безопасной для простых пользователей. Часто это происходит в ущерб собственной выгоде, требует высокой квалификации и немалых усилий в свободное время.

Обычно правительство и соответствующие службы лояльно относятся к таким людям, изредка контролируя их деятельность. Для них устраиваются открытые конференции по безопасности, а ведущих специалистов привлекают для раскрытия преступлений в сфере высоких технологий.

Описанный Дэвидом случай нарушения сложившихся традиций очень показателен. Он ставит под угрозу любую подобную деятельность, если она не санкционирована официально. Проблема в том, что многие организации весьма халатно относятся к вопросам безопасности и не заказывают подобных услуг. Вместо тестов на проникновение и рекомендаций по усилению защиты они предпочитают «сейф без задней стенки» и формальное соответствие минимальным требованиям.

Хелковски рассказалсвою историю на Reddit в потоке под названием «IamA Hacker who was Raided by the FBI and Secret Service AMAA!». Пост набрал триста пятьдесят комментариев, но затем был удалён якобы за нарушение правил сайта. Тогда прямо во время расследования он встретился с прессой. Первыми у него взяли интервью корреспонденты издания Ars Technica.

Во время своей работы в The Canton Group Дэвид в основном занимался анализом проектов с открытым исходным кодом. Кроме того, его периодически нанимали разные фирмы, поручая работу от создания веб-скриптов до написания сложных программ на Си.

В ноябре 2013 года его наняли в команду программистов, занимавшихся переносом содержимого сайта медицинской школы Университета штата Мэриленд. Для удобства Дэвид скопировал весь веб-контент на свой рабочий компьютер. Внезапно его антивирусная программа сообщила об ошибке и аварийно завершилась.

Хелковски стал смотреть логи и увидел причину: один из PHP-скриптов содержал признаки обфускации кода для сокрытия его функций и вызывал ошибку в работе антивирусного анализатора.