Секретарь, равно как и любой другой малооплачиваемый, загруженный работой неквалифицированный пользователь, является слабым звеном в цепочке компьютерной безопасности. Секретари не разбираются в компьютерах, и разбираться в них не желают. Они знают лишь одно: что-то не так, а вы собираетесь навести порядок. Этот план весьма эффективен.

Часы пик

Не используйте данный план ранним утром, или в околообеденное время в эти часы он может не сработать должным образом. Приступайте к нему тогда, когда рабочий день достигнет своей точки кипения.

Если вы можете свободно попасть туда, где расположены компьютеры с интересующей вас системой, - это может быть библиотека, стоматологический кабинет, банк или школа, - проведите некоторые исследования, чтобы выяснить, когда наступает наилучшее время для вашего звонка. В одной из библиотек, куда я захаживал, каждый день около трех часов пополудни компьютерная система внезапно начинала работать вполовину обычной скорости. Это вело, в свою очередь, к значительным затруднениям в работе библиотекарей. Возможно, в три часа дня число пользователей достигало критического уровня, или же в это время информация была вынуждена идти по альтернативному маршруту к мэйнфрэйму, расположенному в колледже на другом конце города. И если бы я решил заняться социальной инженерией в библиотеке, я начал бы именно в это время, когда скапливалось большое количество проблем. Те посетители библиотеки, которые не знали об этой особенности местных компьютеров, звонили в компьютерный зал колледжа и спрашивали, что случилось. Как вы думаете, неужели им не было бы приятно в один прекрасный день получить звонок из "компьютерного зала" (т. е., от меня или от вас), и услышать предложение о помоши? Конечно же, они бы с радостью рассказали бы вам о своих процедурах входа, лишь бы компьютеры заработали быстрее!

Компьютеры обычно работают медленнее всего в середине рабочего дня, когда в сети находится наибольшее количество пользователей. Это особенно ощушается в университетах. Утром в систему загружается небольшое количество студентов и преподавателей, которые не отключаются в течение всего дня, независимо от того, работают они в системе, или нет. С другой стороны, многие системы начинают быстрее работать днем, так что предварительные исследования вам все-таки необходимы. Следует заранее знать о тенденциях к отклонениям скорости компьютеров там, где вы собираетесь заниматься социальной инженерией. Если' вам удастся обнаружить значительное отклонение скорости (как в той библиотеке), вы, естественно, захотите пустить в ход ваши способности в это самое время.

Это необязательно должны быть отклонения скорости компьютеров; если в определенный промежуток времени критически нарастает загруженность работой, уровень шума, число посетителей и т. п., такое время тоже хорошо подходит для социальной инженерии.

Чтобы обнаружить такие промежутки времени, посетите избранный вами офис несколько раз в течение дня, и посмотрите, когда сотрудники заняты больше всего. Если это библиотека, или туристическое агентство, сходите туда или сделайте несколько телефонных звонков. Спросите о чем-либо, и, если они испытывают некоторые затруднения при поиске нужной информации на компьютере, перезвоните туда уже как сотрудник компьютерного отдела.

Офисы обычно бывают перегружены после одного-двух нерабочих дней, так что имеет смысл начинать в понедельник. Но сотрудники не должны быть настолько заняты, чтобы вообще не отвечать на телефонные звонки.

Конечно, метод социальной инженерии годится для любой системы. Но бывает гораздо проще надуть юную кассиршу в банке, нежели администратора системы в местном колледже. Социальная инженерия с успехом использовалась для получения доступа к корпоративным сетям, научным, правительственным и другим системам. Это мощное оружие, но, прибегая к нему, надо быть хорошим актером.

Дгугие советы

Если это возможно, вначале проведите исследования. Постарайтесь узнать как можно больше о часах пик и о том, какого рода проблемы возникают при использовании данной системы. Если вашей целью является, например, библиотека, разузнайте, кто из сотрудников совсем не разбирается в компьютерах. Попытайтесь поговорить с ними по телефону. Убедитесь в том, что вы верно называете себя - такой-то из компьютерного отдела (или подразделения, или сектора; используйте терминологию собеседника). Придумайте заурядное, часто встречающееся имя и такую же фамилию. Если вам не удастся получить входную информацию с первого раза, попытайтесь еще раз - в другое время, в другой день. Но не звоните два раза одному и тому же человеку.

Однажды мой друг, Билл, позвонил на фирму по распространению электронного оборудования и случайно услышал, как женщина, принимавшая его заказ, пожаловалась на то, что компьютеры отказали и ей приходится все делать от руки, в то время как в других частях здания все было в порядке. Повесив трубку, Билл тут же снова позвонил туда, попав к другому оператору. Представившись Биллом Робинсоном из компьютерного отдела, он посоветовал оператору включить неработающие компьютеры и набрать на клавиатуре "всю ту ерунду, что вы обычно набираете после включения". Биллу удалось выведать у нее всю необходимую информацию. Когда оператор закончила "загрузку" (безрезультатно, разумеется), Билл со вздохом произнес: "Ну что ж, дело хуже, чем я предполагал. Пойду еще покопаюсь. Спасибо за по-мошь." Таким образом, Билл узнал, как войти в компьютерную систему "Shark Radio Supplies", и вдобавок завел там знакомство, которое могло пригодиться ему при дальнейших исследованиях.

Примеры СИТУАЦИЙ, ВОЗНИКАЮЩИХ ПРИ СОЦИАЛЬНОЙ инженерии

Занимаясь социальной инженерией, вы нередко будете попадать впросак, особенно вначале. Ведь вы будете разговаривать с секретарями и другими членами компании, которые отлично знакомы с реалиями своей "конторы" и вполне способны заметить обман. Вам станут задавать вопросы, на которые вам будет непросто ответить немедленно. Вот несколько примеров такого рода.

СЕКРЕТАРЬ В ПРИЕМНОЙ: Так вы Чарльз Грин? Но в нашем компьютерном отделе нет никакого Грина.

ВАШ ОТВЕТ: Я работаю здесь всего несколько дней.

СЕКРЕТАРЬ: Интересно, почему же это я не видела вашей фотографии на доске объявлений о найме новых сотрудников?

ВАШ ОТВЕТ: Вы правы. Она... как ее там... еще не успела приклеить мою фотографию. Может быть, после обеда...

СЕКРЕТАРЬ: То есть как это - она? Этим всегда занимается Джек.

ВАШ ОТВЕТ: Ах да, правильно, Джек!

СЕКРЕТАРЬ: Я ничем не смогу вам помочь, пока вы не сообщите ваш идентификационный код сотрудника.

ВАШ ОТВЕТ: О, у меня его нет. Я здесь временно. Заменяю сотрудницу, ушедшую в декретный отпуск.

СЕКРЕТАРЬ: Просто прочтите код на вашем идентификационном значке.

ВАШ ОТВЕТ: У меня еще нет значка... тут произошла какая-то путаница, и супервизор сказал, что я, наверное, получу его завтра. Вы же знаете, у них там вечно какая-то ерунда происхо...

СЕКРЕТАРЬ: Кто ваш супервизор?

ВАШ ОТВЕТ: N. Вы знаете что-нибудь о нем (о ней)? (Если вы провели предварительные исследования, вы должны знать ответ на этот вопрос. Если ответа вы не знаете, а компания большая, вы можете выдумать общеупотребительное имя или прибегнуть к старой уловке: "Хм... Кажется, на 'Ш'-Шиндлер? Шиффер?")

А вот другая ситуация:

СЕКРЕТАРЬ: Но у меня нет компьютера!

ВАШ ОТВЕТ: Простите, я, должно быть, ошибся. Могу я поговорить с N.? (N. - имя босса). Если вам удастся незаметно собрать новости и слухи, циркулирующие в компании, используйте данную информацию в беседе, если, конечно, собеседник настроен дружелюбно. Это еще один способ завоевать доверие.

ВЫ: Кстати, вы не знаете, нет ли у N. сына в Лиге малышей? У моего сына есть друг по имени...

Но не забудьте - такие вопросы лучше задавать до того, как вы начнете расспрашивать о процедурах входа.

РАЗНООБРАЗНЫЕ советы по социальной ИНЖЕНЕРИИ

Вот еще несколько советов для обеспечения успешных занятий социальной инженерией. Обращайте внимание на то, как собеседник реагирует на ваши вопросы. Если вы разговариваете с секретарем, или другим сотрудником, занимающим одну из нижних ступеней на лестнице зарплаты, он (или она) может не захотеть болтать с вами о компьютерах, если его (или ее) контролируют, либо если звонки прослушиваются боссом.

Зайдите в какое-либо доступное вам место с подключенными терминалами, и взгляните на стену, туда, где терминал подключается к телефонному щитку. Найдите на щитке четыре цифры и спишите их (это четыре последних цифры телефонной линии, к которой подключен терминал). Остальные три цифры можно узнать по соответствующему каталогу. Затем в течение нескольких дней набирайте этот номер по несколько раз в день, дабы убедиться, что линия всегда занята. При занятиях социальной инженерией такие "взятые напрокат" телефонные номера следует держать под рукой, чтобы давать тем людям, которые захотят вам перезвонить. Как правило, это операторы систем, которые подозревают в вас хакера и хотят убедиться, что вы без опаски можете дать им информацию о себе. Давать такие номера лучше, чем выдумывать, поскольку если телефон будет просто занят, это даст людям хоть какую-то уверенность в вашей честности. Уже одно то, что вы даете им свой номер, может рассеять их подозрения.

Когда человек дает вам свой пароль, ему надо мягко возразить: "А вы уверены, что вы действительно используете именно это?" У секретарей может быть два пароля: один - их собственный, который дает им доступ к групповому бюджету нижнего уровня, а другой - пароль более высокого уровня, принадлежащий боссу (секретарь знает этот пароль, так как секретари действительно знают об организации все). Разоблачающим тоном расспрашивая кого-либо о сообщенном вам пароле, вы можете заставить человека пойти на попятную, если он решил дать вам неверный пароль, и таким образом от вас отделаться. У него создастся впечатление, что вы и так знаете верный пароль, и хотите уличить его во лжи. Если при упоминании пароля более высокого уровня собеседник приходит в замешательство, скажите: "Неужели вам до сих пор не повысили уровень доступа? Только что куплена новая система, которая может работать в пятьдесят раз быстрее. Все ее так хвалят...". Затем быстро перемените тему разговора.

Прежде чем сделать звонок, обзаведитесь соответствующей звуковой дорожкой, которая будет звучать на заднем плане. Перед этим наведайтесь в компанию и запишите их обычный рабочий звуковой фон. Дайте прослушать пленку по телефону своему другу, и сами тоже прослушайте ее по телефону, чтобы определить нужную громкость звучания. Но помните, что если вы решили сыграть "нового пользователя, пришедшего на работу раньше всех", пленка с записью болтовни и печатающего принтера вам не пригодится!

Беседуя с людьми, даже по телефону, старайтесь все время улыбаться; ведите разговор дружелюбно и непринужденно. Если собеседник снимает трубку со словами вроде: "Здравствуйте, это корпорация ..., Лу-лу у телефона", скажите: "Привет, Лулу! Это...", и начинайте вашу проникновенную речь. Теперь Лулу будет тщетно вспоминать, не встречались ли вы раньше, и, если вы продолжите беседу с ней в том же духе, она потихоньку начнет воспринимать вас как друга.

Можно почерпнуть какие-то идеи из пособий по подражению голосам. Линия, по которой поступил ваш звонок, тоже может повлиять на ваш успех. Во многих компаниях телефон сортирует звонки на внешние и внутренние. Если вы притворяетесь, будто звоните по внутренней линии, ваш звонок должен отразить это. Позвоните в другой отдел той же компании, скажите им, что ошиблись номером, и попросите соединить вас с нужным вам отделом. Например:

СОБЕСЕДНИК: Отдел рекламы. Чем могу быть полезен?

ВЫ: Извините, я, кажется, неверно набрал номер. Не могли бы вы соединить меня с 4358?

Теперь ваш звонок автоматически становится внутренним, а у вас появляется какой-никакой авторитет (а может быть, на телефоне даже зажигается специальный внутренний сигнал). Еще один способ смоделировать внутренний телефонный звонок - набрать не тот номер, что указан в каталоге, а другой, отличающийся от указанного на одну цифру. Почти любая организация с собственной телефонной линией обычно располагает блоком телефонных номеров. Так, если в каталоге указан номер 123-4567, попытайтесь набрать 123-4568, и т. д. Такие звонки, если они проходят, могут создать впечатление, что звонит кто-то из своих - посторонний набрал бы номер из каталога.

Следует учесть, что, если вы пытаетесь добраться до одного из начальников корпорации, вы можете так и не пройти дальше его секретарей и других подчиненных. Неплохо бывает позвонить в офис того же или более высокого уровня, что избранный вами, и попросить секретаря соединить вас с искомым. К примеру, я собираюсь опробовать свои методы социальной инженерии на мистере Палука - менеджере среднего уровня, занимающегося обувным отделом. Но мне никак не удается поговорить с ним лично. Тогда я звоню мистеру Колту, менеджеру того же или более высокого уровня, и прошу его секретаря соединить меня с мистером Колтом лично. Секретарь спрашивает, по какому поводу я хотел бы поговорить с Колтом, и я отвечаю: "Обувь!" Но мистер Колт занимается не обувью, а резинками для трусов. Поэтому секретарь отвечает: "Об этом вам следует поговорить с мистером Палука; соединить вас с ним?" И она передаст ваш звонок секретарю мистера Палука, которому вы скажете: "Здравствуйте. Это такой-то. В офисе мистера Колта посоветовали мне поговорить с мистером Палука насчет обуви." Это уже рекомендация, исходящая от другого сотрудника компании. Теперь вам станет проще добраться до мистера Палука.

Другие Роли

Основной частью социальной инженерии является получение групповых или личных паролей путем разыгрывания роли по придуманному вами сценарию в надежде на то, что ваш собеседник подыграет вам. Но целью социальной инженерии необязательно являются пароли, и переговоры могут вестись не по телефону, а лично, либо по электронной почте. Личные переговоры требуют сильных нервов и незаурядного актерского мастерства, электронная почта больше подходит для тех, кто испытывает трудности с СИ (социальной инженерией) по телефону.

Непосредственная инженерия

Любое исполнение какой-либо роли является формой социальной инженерии. Это может быть перевоплощение во вполне конкретную личность (например, президента компании, который желает знать, почему не работает его пароль), или же абстрактную (техник имярек, который звонит, чтобы узнать, не возникло ли каких-нибудь проблем с компьютерами). При этом, как правило, используется телефон - во-первых, потому, что он дает возможность хакеру вести переговоры с удаленными пунктами, не выходя из дома, а во-вторых, телефон создает защитный барьер между хакером и его собеседником. Если беседа идет не так, как планировалось, можно повесить трубку; но если вы теряете контроль над разговором, который ведете лицом к лицу, вам нелегко будет выпутаться из этой ситуации.

Для практических занятий непосредственной социальной инженерией (т. е. лицом к лицу) существует одно неплохое правило: всегда надевать приличный костюм, который хорошо на вас смотрится. Вы должны выглядеть так, словно только что вышли из модного ателье. На худой конец, наденьте рубашку и галстук. Для женщин подойдет любая одежда в деловом стиле. Многие методы СИ, которые срабатывают по телефону, не годятся для личной беседы. Вы не сможете притвориться, что звоните из офиса, сидя рядом с компьютером. Поэтому информация, полученная таким образом, будет минимальной, либо малоценной. Возможно, у вас появится больше вспомогательных сведений, чем необходимой на данный момент информации. Делая вид, что ищете работу в фирме, совершая экскурсию, или даже просто проникая в здание и бродя по нему в одиночестве, можно получить много полезной информации о взаимоотношениях сотрудников. Чтобы проникнуть в компанию, хакеры также часто притворяются ремонтниками, малярами и другими рабочими. Сыграть роль охранника-тоже неплохая выдумка. Прототипом непосредственного "социального инженера" можно взять социолога, который делает опрос. Вы стоите у входа в здание с ручкой и анкетой, и просите проходящих мимо людей заполнить для вас одну ячейку. "Социолога" интересуют имена сотрудников, их жен и мужей, их хобби, домашние животные и их клички, и тому подобная информация. Придя домой, попробуйте ввести всю эту информацию в качестве паролей. Вы можете возразить, что за заполнение анкеты полагается какой-нибудь приз. Что ж, анкеты могут, к примеру, разыгрываться в лотерее, а выигравшие получат билеты на какое-нибудь местное шоу или бесплатный визит в близлежащий ресторан. (Примечание: не приставайте к людям с анкетами по утрам, когда они спешат на работу).

Заниматься социальной инженерией можно по электронной почте или с помощью других видов контакта с пользователями. Например, если вам не хочется целый день торчать с авторучкой у входа в здание, вы можете просто оставить бланки анкет рядом с письменным ящиком или указать на них адрес электронной почты, по которому их следует переслать. Но много ответов не ждите.

Другие уловки эпистолярной инженерии принимают вид рекламы. Наклейте в компьютерном зале объявление о найме добровольцев для работы над специальным проектом. "Требуются системные менеджеры с опытом работы!" Попросите желающих заполнить почтовые карточки с именем, адресом, желательным паролем, и, возможно, типом компьютера, с которым клиент предпочитает иметь дело. Создавая такую рекламу, вам захочется сказать себе "Т-с-с-с! Это слишком явная ложь!". Но вы не поверите, сколько людей попадается на эту удочку. Напишите, чтобы они посылали свои почтовые карточки по адресу вроде: "Университет X, отдел компьютерной техники, кабинет Роджера Хэмма", далее укажите свой адрес. Но если вы живете в тридцати милях от настоящего университета - забудьте об этом.

Однажды двое манхэттенских хакеров заметили, что в одном из журналов после рекламы популярной информационной системы с данными об играх осталось свободное место. Они набрали в библиотеках как можно больше журналов с этой рекламой и вставили в пустой промежуток, напечатав на принтере, следующее сообщение: "Региональные резиденты Манхэттена! Звоните (телефонный номер). Свободное членство в течение шести месяцев!" Затем журналы были возвращены в библиотеку. Когда люди звонили по указанному номеру, им включали следующую запись: "Добро пожаловать в программу свободного шестимесячного участия в сети X! Послушайте, какие потрясающие веши можно проделывать в нашей сети!.." После этого один из хакеров задавал звонившему несколько вопросов: "Где вы услышали о нашей программе?", "Не присоединялись ли вы ранее к сети X?", "Какими еще платными BBS или компьютерными сетями вы пользуетесь?", "Под каким именем вы хотели бы входить в сеть X?", "А каков будет ваш секретный пароль?", "А вуверены, что сможете запомнить такой пароль? Может быть, выберете другой?". Действуя по этой схеме, они получили десяток имен для входа в компьютеры, и парочку паролей. Если вы живете в небольшом городке, такого улова у вас не наберется, но попробовать все равно стоит.

Можно также вклеить напечатанную карточку с рекламой прямо в журнал или поместить рекламу на BBS. Подобная же уловка заключается в распространении вашего номера в качестве локального переключателя звонков. Это может весьма пригодиться, если в ваших краях пока отсутствует связь Telenet или Tymnet. При загрузке пользователи увидят обычный открывающийся экран, хотя на самом деле это будет ваша модель программы. Занимаясь хакерством, вы, видимо, узнали адреса различных сетей, и сможете программно смоделировать любой подходящий входной экран. В противном случае отвечайте сообщениями вроде: "Линия занята" либо "Не удается установить связь". В этой ситуации важным бывает правильно установить таймерные задержки, соответствующие обычным задержкам в сети.

После "соединения" с компьютером или сетью моделирующая программа продолжает работать: она запрашивает у пользователя имя и пароль, а затем "вылетает" из-за помех на линии или какой-либо другой неприятности. Если пользователь пытается тут же вызвать ее снова, можно сделать для него сообщение, что, дескать, пути передачи данных подвергаются перепроверке, или любую подобную чепуху.

Требование информации

А теперь давайте вернемся к чистой социальной инженерии, проводимой по электронной почте... Не ленитесь просматривать все компьютерные газеты и журналы, даже самые никудышные, в поисках информации о недостатках программных продуктов и лазеек в их безопасности. Журналистский кодекс чести вообще-то запрещает публикацию опасных секретов, так что точного описания ошибок в обеспечении безопасности систем вы не найдете. Вам будут попадаться заметки типа: "Вчера были пойманы четыре хакера, нашедшие лазейку в программе Х на машине Y военной базы Z". Или: "Компания Y опубликовала предупреждение о недостатках выпушенного ею элемента Z, который создавался для защиты системы от проникновения в нее нелегальных пользователей..." Вы можете сделать следующее: отпечатайте некое псевдоофициальное заявление и отправьте его по электронной почте той самой компании, а ответ не заставит себя ждать. Содержание может быть приблизительно таким:

Уважаемый м-р Абель Джонс! До меня дошли сведения о серьезных недостатках вашей продукции, а именно элемента Z. Я веду свои дела, полагаясь на то, что наши данные находятся в полной безопасности благодаря элементу Z.

Увидев, как мы обманывались в течение шести лет, я хотел бы получить от вас следующее: подробное описание изъянов, делающих ненадежным использование элемента Z, либо компенсацию за шестилетнюю эксплуатацию двенадцати непригодных элементов Z, что составит 14 000 $.

Жду вашего скорейшего ответа.

Заявление может также быть выполнено в духе "давайте поработаем вместе, чтобы улучшить этот мир":

Уважаемый м-р Абель Джонс!

Я был весьма огорчен, увидев в номере "Computer Magazine" за пятницу информацию о дефектах, обнаруженных в вашем элементе Z.

На моем предприятии используется двенадцать таких устройств, и мне бы очень не хотелось потерять наши данные из-за их непригодности. Пожалуйста, вышлите в заклеенном конверте объяснение данной проблемы, чтобы мотехники могли устранить неполадки как можно скорее. Спасибо за помошь.

Искренне ваш...

Одно из этих посланий написано угрожающим тоном, другое - нет. С одной стороны, вам не хочется, чтобы ваше письмо посчитали липовым. С другой - данная компания наверняка получит множество писем подобного содержания, большинство которых будут отнюдь не подделками. Чтобы у вас не возникло проблем, напечатайте письмо на качественной бумаге, с настоящим или выдуманным бланком наверху.

Для пущего эффекта напечатайте адрес на конверте, а вместо того, чтобы наклеивать марку, пропустите конверт через почтовый счетчик. Можно дополнительно вложить визитку собственного сочинения - их можно недорого заказать. Если компания отказывается помогать вам без подтверждения сделанной у них покупки, - что ж, вы ничего не теряете. Вы всегда можете попытаться подвергнуть социальной инженерии техников данной компании, дабы выведать у них секреты безопасности. Вдобавок существует много ассоциаций и организаций по компьютерной безопасности, которым известны подробности допущенных ошибок. Можно попытаться узнать детали, написав в тот журнал, который напечатал статью об "элементе Z". Постарайтесь встретиться с автором этой статьи. Журналистов и газетчиков обычно на удивление просто поймать по телефону, но заполучить их для разговора -это другое дело! послание свыше.

Уважаемый пользователь! Я вынужден сообщить вам неприятную новость.

Являясь директором PinkyLink, самой крупной информационной службы Америки, работающей в режиме онлайн, я был шокирован, узнав о том, что шестого июля сего года имело место незаконное хищение нескольких файлов с именами пользователей. После нелегального копирования оригиналы были уничтожены. Одна из записей содержала, помимо всего прочего, закрытые личные данные небольшого количества наших клиентов. Хотя, к счастью, вашего имени не оказалось на похищенных файлах, все же определенная опасность для вас существует. На данный момент мы не можем сказать, содержались ли в похищенных файлах данные о каких-либо пользователях с программистским уровнем доступа, или нет. Таким образом, мы предлагаем вам за-полнить приложенную анкету и незамедлительно выслать обратно по почте в конверте. Мы берем на себя все ваши почтовые издержки. Оплаченный конверт с нашим адресом прилагается. Заполнив анкету, верните ее, пожалуйста, как можно скорее. При получении мы создадим вам новый секретный ID. Спасибо за поддержку.

В качестве компенсации за причиненные неудобства мы вычтем 75% из вашего счета за август.

Имя ______________________

Адрес ______________________

Индекс

Рабочий телефон Домашний телефон Старый (непригодный) пароль Новый (измененный) пароль

PinkyLink, самая большая информационная служба Америки, гарантирует, что вновь присланные личные данные будут введены не позднее 19-го сентября сего года. Конфиденциальность гарантируется до и после означенногосрока. Просьба сохранить для себя копию или оригинал данного сообщения.

Представьте себе абстрактного пользователя, получающего по электронной почте такое вот послание. Выглядит послание настоящим, имеет logo и бланк соответствующей службы, пришло в запечатанном конверте. Но поверитли пользователь, что послание сие ему действительно отправила служба

PinkyLink? Складывается совершенно абсурдная ситуация! Любая настоящая компьютерная служба, у которой возникли проблемы с паролями, станет осуществлять обновление всех паролей в режиме онлайн. Ведь это самый простой и дешевый способ обновить сотни или даже тысячи файлов с пользовательской информацией. Тем не менее, глядя на письмо, получивший его пользователь осознает, что он сам не находится в непосредственной опасности, в отличие от тех несчастных, чьи пароли были украдены; ему не придется получать по электронной почте громадные счета за кого-то, кто нелегально подключится к его, пользователя, бюджету. А как насчет упомянутых в конце 75%? Узнав про них, пользователь ответит на письмо в два раза быстрее. Он почувствует себя обязанным не только вновь сделать свой бюджет безопасным, но и обязанным перед базой данных: если уж они так любезно предупреждают его об опасности, да еще и платят, надо же хоть чем-то их отблагодарить. А оплаченный конверт с обратным адресом! Конечно, PinkyLink, скорее всего, меняет пароли пользователей и в режиме онлайн, но упоминать об этом в письме вовсе не обязательно. Помните, что в посланиях подобного рода стиль имеет большее значение, нежели содержание. Прежде чем отправлять подобное письмо, потрудитесь взглянуть на экземпляры настоящей корреспонденции PinkyLink, чтобы получить представление о том, какую бумагу, шрифт и т. д. лучше использовать. На эту удочку обычно попадается довольно много народа, особенно если ваши адресаты - абсолютные новички. Позднее мы еще поговорим о том, как можно с пользой понаблюдать за BBS.

Неприятности в раю

Ведя переговоры с крупной корпорацией, или заставляя людей посылать вам по электронной почте свои пароли, вы можете нарваться на крупные неприятности. Почтовое министерство расценивает подобную деятельность как почтовое мошенничество, даже если вы всего-навсего собирались пошутить. Я привел здесь этиидеи лишь для того, чтобы стимулировать ваше воображению, вовсе не собираясь провоцировать вас на незаконные действия.

При занятиях социальной инженерией существует множество причин, по которым ваш собеседник может отказаться снабдить вас секретными данными.

Он может: быть предупрежден об утечках информации; знать о тактике социальной инженерии; не поверить, что вы тот, за кого себя выдаете; знать, что вы не тот, за кого себя выдаете; не иметь причин помогать вам, и дать вам неверную или вводяшую в заблуждение информацию; доложить о вас менеджеру по безопасности. По любой из перечисленных причин человек, у которого вы пытаетесь выудить данные, может не суметь или не захотеть сообщить вам пароли и другую нужную вам информацию. А вы сами, прочитав все вышесказанное, стали бы выбалтывать секретные сведения неизвестному по телефону? Вот в чем проблема. Каково же ее решение?

Обратная социалогия инженерия

Обратная социальная инженерия (или просто ОСИ, или даже ОИ) является довольно рискованным предприятием с переменной эффективностью и пригодностью в различных ситуациях. Впрочем, результаты, которые дает ОСИ, бывают настолько потрясающими, а порой столь же забавными - что данный способ ярко выделяется среди остальных методов взлома защиты систем. Дело в том, что, хотя социальная инженерия представляет собой признанный и проверенный метод получения нужной информации, она имеет свои недостатки. Не бывает совершенных систем, и список в конце предыдущей главы наглядно показывает, что социальная инженерия срабатывает не всегда. ОСИ по многим критериям предпочтительнее СИ. Впрочем, применять обратную СИ можно лишь в некоторых ситуациях, после длительной подготовки и предварительных исследований.

Вдобавок, настоящая обратная инженерия может с успехом применяться только самыми хитроумными (и легкими на подъем) хакерами. Не думайте, что эта техника станет вашим основным методом сразу, как только вы начнете знакомиться с миром компьютерных правонарушений. Обратная СИ в своих наиболее совершенных проявлениях требует информации, которой вы пока не располагаете, и уловок, с которыми вы пока что не знакомы. Вот сравнительный список, показывающий некоторые "за" и "против" обоих методов.

Социальная инженерия: вы совершаете звонок, зависите от собеседника.

Обратная социальная инженерия: собеседник совершает звонок и находится в зависимости от вас.

Социальная инженерия: вы чувствуете себя в долгу перед ним, либо он может поверить в это и повести себя соответственно.

Обратная социальная инженерия: принимая вашу помошь и советы, он отблагодарит вас, если в будущем вам понадобится помошь.

Социальная инженерия: вы нуждаетесь в его помощи.

Другой способ заключается в постепенном замедлении времени ответа на каждую новую попытку входа. Начинающий хакер может обнаружить, что ответ от удаленного компьютера приходит к нему через тридцать секунд... затем через минуту... затем через две... Периоды ожидания начинают увеличиваться только после трех или четырех неудачных попыток входа. Компьютер говорит сам себе: "Черт возьми, ни один нормальный пользователь не смог бы ошибиться столько раз. Наверно, это хакер!"

Еще одна хитрость - ложное приглашение ко входу в систему. После определенного количества неудачных попыток входа система продолжает запрашивать входную информацию, но каждый раз возвращает сообщение об ошибке, независимо от того, верна данная информация, или нет.

Отсюда следует мораль: при написании программы для взлома паролей не забудьте о выводе результатов на экран по мере продвижения. Не следует запускать программу на всю ночь и ложиться спать, не убедившись сперва, что в данном случае не имеют места подобные меры безопасности. Ведь проснувшись утром, вы можете обнаружить, что время ответа компьютера на ваши попытки входа составляет сорок минут. Или же программа безуспешно переберет все возможные комбинации, отвечая на ложные приглашения.

Заключение

Значительная часть данной главы повествует о различных "вероятных" паролях, которые перебираются по ходу грамотной силовой атаки перебором.

Наиболее часто встречающиеся пароли можно перечислять ао бесконечности - имена домашних питомцев, исторические даты, названия книг - не говоря уже о том, что все они могут быть написаны с пропущенными гласными, задом наперед и в виде различных анаграмм. Порой и думать не приходится о сокрашении числа возможных паролей до нескольких, так как ваше "сокращенное" число окажется таким же бесконечным, как и то, которое вы пытались сократить. Кроме того, пароль может быть "легким" для угадывания и в то же время достаточно тайным, чтобы отбить у вас охоту его отгадывать. Пароль "Смит" не является особенно тайным, равно как и пароль"Ажонс", но пароль "Смит@ёДжонс" вполне отвечает требованиям секретности.

Сторонним наблюдателям кажется, что угадывание паролей как раз и является основным занятием хакеров, но на самом деле это лишь начальный этап взлома.

"Атаки перебором" лучше всего удаются компьютерам и к ним лучше всего прибегать тогда, когда для получения права доступа необходим компьютер (в качестве примера можно привести Роберта Морриса с его компьютерным"червем").

Дело в том, что хакерское дело целиком зависит от знаний и мастерства. Метод перебора имеет мало общего и с тем, и с другим. Но никто не посмотрит сверху вниз на хакера, который грамотно проводит силовые атаки, особенно если у него есть на то веские причины. Но не надейтесь, что электронный мозг сделает за вас всю грязную работу: используйте лучше творческие возможности своего собственного мозга. О них-то и пойдет речь в следующей главе.

ГЛАВА 4. СОЦИАЛЬНАЯ ИНЖЕНЕРИЯ

Обратная социальная инженерия: Он нуждается в вашей помощи.

Социальная инженерия: ваша жертва обычно остается в недоумении.

Обратная социальная инженерия: все проблемы устраняются, вопросов не остается.

Социальная инженерия: вы почти не контролируете ситуацию.

Обратная социальная инженерия: вы полностью контролируете направление и предмет беседы.

Социальная инженерия: подготовительной работы практически не требуется.

Обратная социальная инженерия: тщательное предварительное планирование; требуется предварительное получение доступа к месту действия.

Социальная инженерия: может применяться где угодно.

Обратная социальная инженерия: применяется только в определенных условиях.

Социальная инженерия в основном исходит из предпосылки, что вы - самозванец, притворяетесь, что у вас возникли затруднения и вам требуется помошь другого оператора. А вот обратная ситуация: проблемы возникают у легального пользователя системы, и он (или она) просит вас, хакера, о помоши. Помогая пользователю разрешить возникшие проблемы, хакер без особенных усилий может узнать рабочие имена и пароли. Атака с помощью ОСИ состоит из трех частей: диверсия; реклама; помошь.

Диверсия - это первый краткий контакт с определенным компьютером, во время которого хакер создает какую-либо неполадку, требующую устранения.

Реклама - информирование пользователя о том, что вы разбираетесь в вопросах из области компьютеров.

Помошь - общение с пользователем, в процессе которого вы решаете проблемы пользователя, а тот, сам того не ведая, решает ваши.

Прежде чем я начну объяснять, как применять этот метод и что он может дать, вам следует уяснить для себя, почему лучше, когда пользователь обращается к вам за помошью, а не наоборот. Давайте рассмотрим по пунктам список недостатков социальной инженерии, приведенный в предыдущей главе,чтобы показать, как обратная социальная инженерия преодолевает эти препятствия.

Преодоление недостатков социальной инженерии

Пользователь может быть предупрежден об утечках информации или знать о тактике СИ

Пытаясь подвергнуть социальной инженерии того, кто о ней знает, особенно квалифицированных программистов и других хакеров, вы вряд ли многого добьетесь. Даже если собеседник не знает о СИ как таковой, он (или она) может достаточно серьезно относиться к предупреждениям "Храните в тайне свой пароль", чтобы не купиться на вашу болтовню. Социальная инженерия рассчитана на наивных пользователей. Но ведь не все являются таковыми.

В случае ОСИ легальный пользователь обращается к вам за советом. Следовательно, он считает вас человеком, которому можно доверять, - членом компании или ее доверенным лицом, то есть тем, кто уже и так знает все пароли и протоколы. Так что у него нет причин не давать вам такую информацию. У него даже мысли подобной не возникнет - ведь ему так или иначе придется, обратившись за помошью, выложить всю подноготную.

Следует отметить, что обратная социальная инженерия не является социальной инженерией. Она подходит к проблеме разговора с пользователем с другой стороны, и пользователь, знакомый с обычными ха-керскими уловками, вряд ли сможет ее раскусить. Более того, даже если ваша жертва достаточно умна, чтобы распознать ОСИ, этот человек будет настолько озабочен возникшей у него проблемой, что не заметит происходящего. Ему (или ей) нужна ваша помощь, чтобы устранить неполадку; он понимает, что, если он не договорится с вами, вы ему не поможете.

Пользователь может не поверить, или знать, что вы не тот, за кого себя выдаете Уязвимое место социальной инженерии в том, что вы являетесь для собеседника темной лошадкой, поскольку он не знаком с вами лично. Кроме того, если человек на другом конце провода узнал о том, что вы не тот, за кого себя выдаете, возможно, воспользовался ID, или телефоном с определителем номера, то в этом случае, пароли могут и не появиться, как по волшебству, перед "таинственными техниками" и "растерянными пользователями" с "испорченными" модемами. НО! При обратной СИ у тех, кто знает волшебные слова, нет причин подозревать или обманывать вас - ведь это они обращаются к вам за советом. Это вы помогаете им в их несчастье. В самом деле, когда они звонят вам, вы вправе спросить, кто они, собственно, такие. Безопасность - прежде всего.

Пользователь не имеет причин помогать вам, или может дать неверную,ошибочную информацию Что прежде всего заботит человека, которого вы подвергли социальной инженерии, независимо от того, помог он вам, или нет?

Если бы я, не покладая рук, трудился в какой-нибудь конторе, или был секретарем, я просто пришел бы в ярость, если бы посередине хлопотного дня какой-то идиот позвонил мне по телефону и попросил уделить ему несколько минут моего драгоценного времени и сообщить некую информацию, которую он, скорее всего, вообще не должен знать! Я мог бы просто брякнуть в трубку, что на ум взбредет, только бы отделаться. При обратной же инженерии вы знаете, что ваши собеседники нуждаются в вашей помощи. Даже самый великий гуру из числа знающих пользователей обратился бы к вам, зная, что вы сможете быстро и эффективно определить суть проблемы и разрешить ее, не тратя времени зря. Этот пользователь знает, что ключ к решению задачи находится у вас, и если он его получит, в следующий раз сможет справиться с такой проблемой самостоятельно.

Пользователь может сообщить о вашем звонке менеджеру по безопасности

Опытный пользователь мгновенно догадается, если вы попытаетесь подвергнуть его социальной инженерии. Он может пойти и рассказать остальным, что вы пытались выманить у него пароль. "Остальные" - коллеги, боссы, менеджеры по компьютерам, человек, роль которого вы пытались сыграть, охранники либо офицеры безопасности. Ни один из них не станет помогать вам в дальнейшем, даже если вас не поймают сразу или не сведут к нулю ваши шансы на взлом. Разоблачение, конечно, совсем не подарок. Но при обратной инженерии вы неизменно приобретаете друзей. Когда вы помогаете людям преодолеть какие-то затруднения, они радостно пустят слух о вашей любезности и отзывчивости - а это означает еще больше звонков и паролей.

Предшествующие разъяснения преследуют три цели. Я хочу, чтобы вы поняли, почему такое мощное средство, как классическая СИ, может случайно провалиться, и как ОСИ может избежать этих ошибок. Я утверждаю следующее: социальная инженерия не может больше оставаться главным оружием в арсенале современного хакера без предупреждения обычных пользователей.

Обычные пользователи проявляют все большую осторожность и благоразумие, когда дело касается таких интимных вещей, как пароли и компьютерная безопасность. Обычные пользователи стали больше читать о том, как хакеры взламывают системы. Они посещают лекции по компьютерной безопасности, которые устраивают их компании, колледжи и местные полицейские подразделения. В системы стали включать предупреждения о недопустимости разглашения любой информации; об этом твердят их работодатели и их собственный рассудок. И я сам - даже я! - говорю им о том, что существуют злоумышленники, мечтающие испортить их файлы. Я весьма сомневаюсь в том, что наступит такое время, когда все компьютерные пользователи будут достаточно осведомлены, чтобы держать язык за зубами. Возможно, через несколько лег предприятия поставят на свои телефоны задержку времени и подключат их к голосовым мониторам. Тогда запрещенные к произнесению слова будут обнаруживаться и уничтожаться прежде, чем электроны, составляющие сигнал, покинут пределы находящихся внутри здания проводов. Даже если подобная вещь станет повсеместной, или если 95% людей, общающихся с компьютерами, захотят покончить с социальной инженерией, все же останутся пять процентов, останутся сотни других хакерских уловок, новых и старых, и останется Обратная Социальная Инженерия, помогающая хакеру в его нелегком деле.

Диверсионные методы обратной социальной инженерии

Первый шаг ОСИ - создать неполадку в избранном вами компьютере или сделать так, чтобы пользователь не смог на нем работать. Обычно это означает создание такой неполадки на рабочей станции, терминале или компьютере, чтобы пользователь не мог войти в систему так, как положено.

Неполадку должно быть трудно обнаружить, но легко исправить. Вот список из пяти общих идей, расположенных в порядке возрастания затрачиваемого на них времени и степени вашего знакомства с системой: Изменение какого-либо параметра, неизвестного новичкам или такого, о котором они не подумают. Например: устанавливаемые по умолчанию порты принтера, цвета экрана, макросы, скрытые коды принтера, периферийные технические установки. Установить файлы в режим "только для чтения", или переименовать их, или сделать невидимыми в их директориях. Пример: если рабочий файл текстового процессора называется WP.EXE, переименуйте его в WP.$A$. Вмешательство в аппаратное обеспечение. Например: переключить цветной монитор в монохромный режим; поменять дисководы; отключить клавиатуру, выташить из компьютера предохранитель. Инсталлировать большие резидентные программы, занимающие уйму памяти. Пользователь не поймет, почему ему не удается запустить программу. Запустить модель программы, подобную модели операционной системы, которая станет выдавать кучу ужасных сообщений об ошибках.

ВНИМАНИЕ! Диверсия не должна причинять неустранимого вреда компьютеру или пользователю! НЕ УНИЧТОЖАЙТЕ файлы и директории: не исключено, что их будет невозможно восстановить впоследствии. НЕ ИНСТАЛЛИРУЙТЕ вирусы: они легко выходят из-под контроля. НЕ делайте изменений, благодаря котоым операционная система откажется загружаться: когда пользователь позовет вас на подмогу, у него может не оказаться под рукой дискеты для загрузки DOS!

Разрешение диверсии

Допустим, уловка сработала и вам позвонили. После того, как система загрузится и вы обнаружите, что неполадка никуда не делась, вы должны сообщить пользователю, что он (или она) должен делать, чтобы устранить возникшую проблему. Конечно, можно просто дать ему недвусмысленные инструкции вроде:

"Наберите команду "rename WP.$A$ to WP.EXE"..." Но если пользователь достаточно сведущ, он наверняка заметит подвох. Как же обойти это препятствие? Вам придется дать взволнованному пользователю такие рекомендации, которые успокоили бы его.

Если диверсия связана с аппаратным обеспечением, разместите на диске программное решение. Например:

"Войдите в директорию текстового процессора, наберите "SETUP" и нажмите Return. Теперь попытайтесь запустить программу еще раз". В данном случае SETUP- это файл, который вы разместили на диске; он содержит инструкцию по переименованию, а также команду по самоуничтожению после выполнения.

Проблемы, связанные с аппаратным обеспечением, бывает трудно определить или объяснить по телефону, но, вообше-то, в ОСИ редко используется аппаратное обеспечение. Если на месте у вас окажется достаточно времени для создания физических неполадок на искомом компьютере, у вас должно хватить времени и на то, чтобы отобрать необходимую вам информацию.

Рекламные методы оси

Существует пять основных рекламных методов, которые могут заставить ваших пользователей позвать на помощь именно вас: Замена пометок. Если вы увидите приклеенный рядом с компьютером или непосредственно на нем листочек бумаги с номером телефона компьютерного отдела, снимите его и приклейте взамен записку с вашим собственным номером (или номером какого-то другого телефона, возле которого вы сможете сидеть в ожидании звонка). Размещение объявления. Поместите на доске объявлий (обычной, а не электронной!) большое, яркое, солидное объявление с содержанием типа:

Служба Технической Помощи

У ВАС ВОЗНИКЛИ ПРОБЛЕМЫ С КОМПЬЮТЕРОМ? ЗВОНИТЕ НАМ БЕСПЛАТНО ПО НАШЕМУ НОВОМУ НОМЕРУ:

(123)ABC-WXYZ

Служба Технической Помощи

Не забудьте поместить название и адрес компании, в которую вы хотите проникнуть, где-нибудь в углу объявления - чтобы можно было подумать, что объявление имеет какое-то отношение к ней. Расклейте такие объявления повсюду, или просто разбросайте по рабочим столам, особенно рядом с теми компьютерами, на которых вы произвели свою диверсию. Социальная инженерия. Позвоните за день, или даже за несколько часов до совершения диверсии, и сообщите тому, кто подойдет к телефону, новый номер вызова помощи из компьютерного отдела (т. е. ваш номер). Попросите держать его под рукой, чтобы не искать, если понадобится. Спросите, является ли ваш собеседник единственным пользователем данного терминала; если ответ отрицательный, попросите сообщить о новом номере другим пользователям. Перекройка каталога. Достаньте внешний телефонный каталог компании и добавьте ваш номер в список, либо вырезав существующий номер технической помоши, вставив вместо него свой собственный, либо разборчиво напечатав свой номер в конце каталога.

Диалоговая реклама

Непосредственно в процессе диверсии постарайтесь дополнительно разместить заметку на доске объявлений (на сей раз - электронной!) с вашим номером компьютерной помоши. Выдавать телефонный номер может и одна из процедур вашей диверсионной программы. Например, вы можете переименовать WP.EXE, затем создать модель текстового процессора, который станет врываться в операционную систему после нескольких нажатий клавиш, оставляя на экране искаженные цвета, символы, а также следующее сообщение:

<ВЕЕР!>

XERROR 3 - Consult fdox 90v.32a or call Jim at technical support @

(123) ABC-WXYZ

При создании рекламы убедитесь, что пользователю известно, что он звонит по внешнему номеру чтобы он знал, что ему надо сперва выйти из РВХ компании). Поступайте так, пока вам не удастся обзавестись собственным кабинетом или внутренним телефом (например, проникнув в кабинет, пока его хозяин в отпуске).

ПУСТАЯ трата времени?

Конечно, предварительное планирование и сама диверсия очень улекательны и занимательны. Но стоят ли они затраченных усилий? Почему бы не удовольствоваться более простой социальной инженерией и не беспокоиться о том, как к вам отнесется парень на другом конце провода?

Ну что ж, во-первых, это глупо. Особенно учитывая тот факт, что большинство людей в тех учреждениях, которые вы собираетесь взламывать, будут весьма неплохо информированы о безопасности. Вам придется признать, по многим причинам, что они узнают, кто вы такой, еще до того, как вы раскроете рот. А если они узнают, кто вы такой, они не станут помогать вам.

Вот еще один фактор, имеющий отношение к сказанному выше: занимаясь обратной инженерией, вы приобретаете друга на искомом предприятии. Приступив к взлому вплотную, вы не узнаете, не сидит ли кто-то у вас на хвосте, пока не свяжетесь с теми, кто находится "внутри". Если вы хорошо зарекомендовали себя какому-нибудь пользователю, вы сможете позвонить ему немного спустя после взлома и поинтересоваться: "Алло, вы помните меня? Я помог вам справиться с проблемой... Хотел спросить, не слышно ли у вас о чем-нибудь подобном, или еще о каких-то странностях с системой?". Если ваш собеседник слышал о попытках проникновения в систему или сбоях в ее работе, он в первую очередь сообщит об этом вам. Можно попросить его передавать вам все слухи о "хакерах" и т. п. А если ваш взлом обнаружат и, например, разошлют всем работникам сообщения с просьбой сменить пароли, поскольку в систему проник хакер, ваш ничего не подозревающий приятель опять же позвонит вам и расскажет о случившемся. Благосклонность одного из сотрудников избранного вами объекта, право же, стоит тех первоначальных трудностей, которые могут у вас возникнуть при совершении диверсии.

Глава 5. Компьютеры общественного доступа

Три разновидности

В этой главе пойдет речь о двух аспектах, связанных с компьютерами общественного доступа:

Как добраться до скрытых от посторонних глаз разделов, и - об использовании компьютеров для сбора информации о пользователях этих компьютеров, которую вам не положено знать.

Сам я никогда не взламывал такие компьютеры - хотя у меня есть и возможности, и желание для этого. Хакеры взламывают потому, что их прельщает идея того, что у любого доступного компьютера есть секретная сторона, в которую можно "вломиться". Такая сторона есть у всех компьютеров общественного доступа и хакер - именно тот, кто хочет до нее добраться.

Компьютеры и "глупые" терминалы общественного доступа - предмет вожделений любого, кто интересуется хакерством. Ааже если к такому компьютеру и не подсоединен модем, хакер может получить удовольствие, используя данный компьютер для сбора информации о легальных пользователях, работающих в режиме онлайн.

Теперь компьютеры общественного доступа можно найти во многих местах - в офисах, приемных, магазинах, музеях, залах для отдыха в аэропортах, в учебных заведениях, но чаше всего - в библиотеках, и речь в данной главе пойдет в основном о библиотечных компьютерах.

Компьютеры, предназначенные для использования широкой публикой, можно теперь увидеть в публичных библиотеках. Они делятся на три группы:

компьютеры с базами данных и информацией на CD-ROM, терминалы общественного доступа, и универсальные микроЭВМ.

Давайте рассмотрим эти разновидности по очереди, и выясним, какую пользу из каждой может извлечь хакер.

Компьютеры с базами данных и информацией на CD-ROM

Базы данных на CD-ROM, являются компьютеризированными листингами периодических статей, обновляющихся каждый месяц. Другие доступные базы данных посвящены бизнес-новостям, переписям и т. п. Некоторые библиотеки располагают энциклопедиями на CD-ROM, а во многих государственных книгохранилищах должны находиться базы данных со списками доступных государственных публикаций.