Häkkimine – mis ja milleks?
Heno Ivanov
EENet
Üha rohkem koole kasutab Internetiühenduse jaoks Linuxit või mõnda muud unixilaadset operatsioonisüsteemi. Sellistel lahendustel on hulgaliselt eeliseid nagu odavus, lihtne laiendatavus ja suhteliselt hea töökindlus. Paraku jäävad sageli tähelepanuta ohud, mis võivad kaasneda suurte võimalustega süsteemi ebapiisava haldamisega. Järgnevalt püüan kirjeldada koos konkreetsete põhjustega 1998 aastal Eesti koolides valitsevat olukorda.
Kooliserveri tekkimine.
Kuna koolis puudub piisav kompetents linuxi installeerimiseks, kasutatakse välist abi. Selleks võib olla (endine) õpilane, kohaliku arvutifirma spetsialist või EENet. On ka juhtumeid, kus ametisolev arvutiõpetaja linuxi kooli sattumisest midagi ei tea ["On siin alati olnud.... "]. Sellises olukorras on kooliserver administreerimisest rääkimine küsitav, kuid... siiski on olemas administraator...
Administraator ja vinge kasutaja (power-user).
Reeglina nimetakse administraatoriks inimest kes teab "linuxipurgist" kõige rohkem. Sageli on selleks õpilane. Administraatori ülesandeks on tagada süsteemi töötamine. Mida nimetakse süsteemi töötamiseks on jäetud defineerimata. Seega tegelevad administraator ja vinged kasutajad enamiku ajast asjadega, mis talle endale huvi pakuvad.
Nende huvide realiseerimiseks installeeritakse kooliserverisse hulgaliselt uusi teenuseid - Jututuba, MUD, IRC server, poolanonüümne mp3 ja piraattarkvara vahetuspunkt jne. Mida nende uute teenuste abil lisaks ettenähtule veel teha saab teab ainult programmi autor...
Seega toimib administraator loomuliku monopoli tingimustes - tema on ainus isik kes suudab tõrkeid likvideerida (neid ise vajadusel tekitades, et oma olemasolu õigustada) ning tema töö kuulub müstika valdkonda. Selle kohta mis asi süsteemiadministraator tegelikult on võib lähemalt lugeda aadressilt: http://www.collective.com.au/bofh/
Turvaaugud.
Igasugune tarkvara sisaldab vigu. Neid avastatakse iga päev ning osad vead võimaldavad ka arvutile lubamatut ligipääsu. Sõltuvalt vea ohtlikkusest antakse mõne tunni kuni mõne nädala jooksul välja veaparandus. Enamik turvaauke on seotud mingi konkreetse võrguteenusega või programmiga. Kui te seda teenust ei paku, siis teie süsteem haavatav ei ole. Paraku on enamasti kooliserveris kasutusel kõik võimalikud ja võimatud teenused sõltumata nende vajalikkusest. Operatsioonisüsteem tervikuna on turvaline hetkeni kuni leitakse kasutuselolevas teenuses esimene tõsisem turvaauk. Süsteemiadministraatori ülesanne peaks olema neid veaparandusi paigaldada.
Tavaline kasutaja.
Tavalise kasutaja kergeusklikus ning abivalmidus on piiritu. Piisab vaid saata pikk ja viisakas kiri palvega saata core, /tmp kataloogi sisu või /etc/passwd fail ning enamasti te selle saategi. Muidugi juhul kui kasutaja nii keerulise operatsiooniga iseseisvalt hakkama sai. Loomulikult ei ole emaili teel võimalike sigaduste hulk sellega piiratud - Back Orifice on endiselt olemas ning kuna koolis tulemüüri ei kasutata piisab vaid selle saatmisest mõnele õpetajale...
Eraldi grupi moodustavad kasutajad kes olulise aja oma ärkveloleku ajast elavad MUD'i, Interneti jututoas või mõnel "halva mainega" IRC kanalil. Mitmed laialt levinud klientprogrammid on kergesti "kaugadministreeritavad". Ühendades siin kasutaja mugavuse ja teadmatuse saame suhteliselt kergest saavutada ligipääsu klientarvutile.
Häkkerite päritolu.
Häkkerid ei tunne riigipiire. Aga samahästi võivad nad õppida teie samas või naaberkoolis. Tagantjärgi kindlaks tegemine kuskohast sisse murti on aeganõudev ning kasutu, kuna reeglina tegutseb pahulane läbi mitme arvuti. Üldiselt siseneb häkker teie arvutisse kas läbi mingi avalikult saadaoleva teenuse (näiteks quake server) turvaauku kasutades või kuidagi tema kätte sattunud parooli kasutades. Kui häkker omab teie arvutis juba ligipääsu mingile accountile, on ta väga tõenäoliselt võimeline saavutama ka root-i õigusi.
Mida häkker teeb.
Esimene asjana kindlustab häkker ligipääsu teie arvutisse. Selleks installeeritakse kas spetsiaalne tarkvara "rootkit" või lihtsalt tekitakse juurde mõned libateenused - tavaliselt mingile pordile üles seatud shell. Mõnikord tekitatakse ka spetsiaalseid kasutajaid.
Rootkit on komplitseeritum tarkvarapakett, mis asendab enamiku teie süsteemi utiliitidest sellistega, mis takistavad sissemurdja avastamist. Näiteks võib ls teatud eksisteerivaid faile mitte näidata, osad toimunud sündmused enam süsteemi logidesse ei jõua jne... Sissemurdja saab pärast rootkiti paigaldamist teie süsteemi alati tagasi tulla, kasutades enda poolt määratud salajast parooli, mis on kodeeritud login programmi sisse.
Järgmiseks installeeritakse sniffer - programm võrgust paroolide püüdmiseks. Seega sattuvad häkkerite kätte kõik paroolid mida kasutatakse arvutivõrgus juhul kui side ei olnud krüptitud. Neid parooli kasutatakse järgmistesse masinatesse sisenemiseks.
Sageli paigaldab pahulane teie arvutisse ka skänneri. See on programm arvutivõrgust teatud turvaaugu suhtes tundlike arvutite avastamiseks. Skänneri efektiivsus sõltub suuresti võrguühenduse kiirusest - seetõttu skännitakse enamasti lähedalasuvaid võrkusid. Leitud arvutisse murtakse sisse. Tuntumad avalikult saadavalt olevad skännerid on SATAN - Security Administrator's Tool for Analysing Networks ja ISS - Internet Security Scanner.
Kas häkkerite vastu saab võidelda.
Absoluutselt kindlat süsteemi ei saa eksiteerida ja eriti ei saa seda olla koolis.
Avalikustamine: Kui kommerts struktuurid püüavad igasuguseid turvaintsidente kiivalt salajas hoida, et mitte kahjustada oma mainet, siis selline käitumine kooli poolt on ohtlik kõigile. Toppides ainult turvaauke oma serveris ja mitte informeerides naaberkooli, et pahulased just sealt tulid on kurjast. Mida kiiremini info levib, seda raskem on pahalastel aruvutivõrkudes pahandusi teha.
Eesmärkide selge püstitamine. Sageli on ebaselge, millega kooliserver ikkagi tegeleb. Kas see on maakondlik quake server? Kooli viimase 10 aasta vilistlaste emailihoidmise koht? Avalik ftp arhiiv? Alles pärast väga üksikasjalikku vastust küsimusele milliseid teenuseid kooliserver pakub ja kellele saab hakata rääkima tema turvalisusest.
Kuigi on levinud seisukoht, et "Kui koolis midagi juhtub, siis ei juhtunud tegelikult midagi (Henry Viiret, 1998)" ei saa soovitada olukorda kus pärast arvutisüsteemi krahhi on vastuseks küsimusele kas teil backup on - loomulikult mitte! Vähemalt praegu tundub olevat halvim mis juhtuda andmete kaotus. Loomulikult võib seoses kooli infosüsteemi arenguga olukord muutuda.
Kelle oma on arvuti IP aadressiga X.X.X.X ja mida üldse teatada.
Sageli tekkib logi faile uurides kahtlus, et mingit arvutit kasutakse turvaukude otsimiseks või niisama sigatsemiseks. Tuleks teatada aga kellele? Maailmas on kolm online andmebaasi, mis jagavad teavet kellele on eraldatud mingi IP aadress - whois.ripe.net, whois.arin.net ja whois.apnic.net.
1. Tehke kindlaks kellele antud IP aadress kuulub - Olgu kahtlane IP aadress 195.242.35.132 - teeme päringu RIPE andmebaasi whois 195.242.35@whois.ripe.net - saame hulgaliselt andmeid, sh ka emaili aadressi support@pipex.net
2. Selgitame IP aadressile vastava nime, kasutades programmi nslookup - antud näites ufo.kronaverket.se - moodustame sellest "normaalsed" E-posti aadressid abuse@kronaverket.se ja postmaster@kronaverket.se
Nüüd tuleb veel juhtunu võimalikult selgelt ja lühidalt kirja panna. Kindlasti lisada konkreetsed lõigud logidest ja kellaajad. Kui logist ei selgu, siis tuleb mainida ka Eesti ajavööndit.
Kas MS Windows on parem?
Enamus Unixiga seotud probleemidest tuleb temaga halvasti ümberkäimisest. Kuuldused, et WindowsNT'd ei ole võimalik valesti konfigureerida on alusetud. Inimvõimetel pole piire. Näiteks on Lokaalvõrgus kohutavalt mugav jagada kettaid ilma paroolideta. Aga siis ühendume Internetti? Internetis on massiliselt Windows töökohti, kes oma kettaid kogu maailmale lugemiseks ja kirjutamiseks pakuvad. Lihtsalt piiratud kasutusvõimalused piiravad ka kuritarvitusvõimalusi. Windowsi kaugadministreerimis tarkvara BO peaks olema kõigile tuntud. Eksisteerivad ka analoogid NT jaoks.
