Zastrzeżenie: Wydawnictwo i Autor nie ponoszą żadnej odpowiedzialności za jakiekolwiek straty poniesione przez daną jednostkę/organizację będące wynikiem działań podjętych na podstawie niniejszej książki (lub zaniechania jakichś działań).

Tytuł oryginału: Cyberphobia. Identity, Trust, Security and the Internet

Copyright © 2015 Edward Lucas

All rights reserved

First published in the Great Britain 2015 (Bloomsbury Publishing Plc)

Wydanie polskie:

© 2017 Kurhaus Publishing Kurhaus Media sp. z o.o. sp.k.

Prawa do przekładu polskiego:

© 2017 Kurhaus Publishing Kurhaus Media sp. z o.o. sp.k.

Wszelkie prawa zastrzeżone.

Żadna z części publikacji nie może być powielana bądź udostępniana

w jakiejkolwiek formie na drodze elektronicznej lub jakiejkolwiek innej, wliczając w to fotokopiowanie i nagrywanie, bez uzyskania zgody Wydawcy.

Przekład: Kurhaus Publishing (współp. Lidia Lipińska, Mateusz Dębski)

Redakcja i edycja: Kurhaus Publishing

Korekta: Małgorzata Koniarska

Projekt okładki: Ania Ławrynowicz

Opracowanie typograficzne i łamanie: Ania Ławrynowicz

Zdjęcie autora na okładce: www.edwardlucas.com

ISBN: 978-83-65301-18-5

EAN: 9788365301185

Dobre ścieżki literatury: www.kurhauspublishing.com

Kurhaus Publishing Kurhaus Media sp. z o.o. sp.k.

Dział handlowy: kontakt@kurhauspublishing.com, tel. 531790555

Ul. Chodakowska 53/57, 03-816 Warszawa

Zdigitalizowano w Polsce

konwersja.virtualo.pl

Spis treści

Dedykacja

Przedmowa do wydania polskiego

Przedmowa autora

Wstęp

Rozdział 1. Państwo Hakhett

Rozdział 2. Gdy komputery zawodzą

Rozdział 3. Złodzieje tożsamości

Rozdział 4. Utrata zabezpieczeń

Rozdział 5. Geopolityka internetu

Rozdział 6. Szpiedzy kontra wirtualni wojownicy

Rozdział 7. Kieszonkowy szpieg

Rozdział 8. Zagrożenia płynące z monokultury

Rozdział 9. Przeczesując dżunglę

Rozdział 10. Rozszyfrowywanie haseł

Rozdział 11. Polityka tożsamości

Rozdział 12. Odwrócenie sytuacji

Pierwszy Dodatek

Drugi Dodatek

Trzeci Dodatek

Słowniczek

Przypisy

Bibliografia

Podziękowania Autora

Mecenas wydania

Dla Sarah Lucas

Cioci, Babci i Przyjaciółki

PRZEDMOWA DO WYDANIA POLSKIEGO

Jako osoba na co dzień zajmująca się zagadnieniami cyberprzestrzeni mam nieodparte wrażenie, że wiele osób zostało skutecznie odstraszonych od technologii komputerowych niepotrzebnie skomplikowanym, technicznym językiem używanym przez specjalistów. Żyją przez to w niewiedzy, nie rozumieją ważnych zagadnień związanych z technologią, co więcej – nie potrafią przeciwdziałać zagrożeniom istniejącym w cyberświecie. Powstało już wiele książek na temat niebezpieczeństw czyhających na użytkowników komputerów czy internetu. Wiele z nich wyjaśnia w najdrobniejszych szczegółach, jak bezpiecznie budować sieci komputerowe czy korzystać z internetu. Problem w tym, że poradniki te są może interesujące dla specjalistów, ale niestety raczej bezużyteczne dla mniej zaawansowanych użytkowników czy laików. To bardzo niepokojące zjawisko, biorąc pod uwagę fakt, że jak uważa wielu ekspertów i publicystów, od kilku lat to właśnie w cyberprzestrzeni toczą się największe czy najważniejsze współczesne wojny.

Edward Lucas, autor kilku książek i wybitny redaktor brytyjskiego tygodnika „The Economist”, już od dawna ma świadomość tych procesów i zagrożeń. Gdy rozpoczynał swoje poszukiwania w obszarze cyberprzestrzeni, niewiele osób zdawało sobie sprawę z tego, jak ważne są to sprawy. Spotkania ze światowymi przywódcami, wysoko postawionymi biznesmenami, a także z innymi postaciami z różnych względów zainteresowanymi problematyką bezpieczeństwa danych (takimi jak Edward Snowden, Julian Assange czy Herman Simm – najgroźniejszy szpieg w historii NATO) przekonały Edwarda Lucasa o tym, że to cyberprzestrzeń będzie główną płaszczyzną dla rozwoju biznesu i niezakłóconego funkcjonowania gospodarek. Efektem jego kilkuletnich poszukiwań jest książka, którą trzymacie Państwo w rękach – a która swą premierę miała zaledwie kilka miesięcy temu w Wielkiej Brytanii.

Autor zwraca uwagę na dwie bardzo istotne kwestie. Po pierwsze – współcześni hakerzy i cyberprzestępcy nie pojawili się na świecie nagle, lecz mieli swoich pomysłowych poprzedników już ponad 100 lat temu. Można przyjąć, że do pierwszego cyberataku doszło w zamierzchłych czasach, a mianowicie w 1903 roku, kiedy to magik Nevil Maskelyne zakłócił pokaz fizyka Johna Amrose’a Fleminga, który odbywał się w The Royal Institution.

Po drugie – należy sobie uświadomić, że wraz z rozwojem komputeryzacji i wzrostem jej znaczenia dla wszystkich aspektów życia, cyberbezpieczeństwo staje się (albo już się stało) kwestią dotyczącą nas wszystkich. Dziś telefon, który mamy zawsze przy sobie i którym robimy zdjęcia podczas rodzinnych uroczystości, może być szpiegiem śledzącym naszą lokalizację czy korespondencję, a także narzędziem umożliwiającym cyberprzestępcom dostęp do naszego konta bankowego. Hakerzy atakowali już rządy, banki, elektrownie oraz armie – ich ofiarą padła nawet potężna US Army.

Dopóki sposób naszego myślenia i działania się nie zmieni, dopóty będziemy mniej bezpieczni, mniej wolni, mniej zdrowi i mniej szczęśliwi. Przede wszystkim każdy z nas powinien zrozumieć, że bezpieczeństwo w sieci nie jest zagadnieniem czysto technicznym, tak samo jak ruch drogowy nie jest wyłącznie kwestią inżynierii. Oswoić cyberświat opowiada o tym, w jaki sposób możemy kontrolować nasze zachowanie w sieci – jako osoby indywidualne, organizacje i społeczeństwo – i radzić sobie z zagrożeniami, jakie napotykamy w świecie online. Jest to przede wszystkim książka o ludziach, nie maszynach.

Cyberbezpieczeństwo to nie egzotyczna nowinka, nie moda ani żadne zjawisko z marginesu biznesu. To dziś obowiązek ludzi zarządzających firmami czy stojących na czele rządów i armii. O tym, jak poważnie świat traktuje to wyzwanie, świadczą rosnące nakłady finansowe na zarządzanie bezpieczeństwem w sieci. W budżecie na 2016 rok amerykański prezydent przeznaczył na poprawę bezpieczeństwa sieci 14 mld dolarów. Dlaczego są to aż tak pokaźne kwoty? Według Center for Strategic and International Studies (CSIS) każdego roku działania cyberprzestępców generują straty w wysokości 445 mld dolarów. Codziennie atakowanych jest pół miliona stron WWW, a 76 proc. przebadanych stron internetowych wykazuje „podatności”, przez które można je zaatakować. Każdego dnia wysyłanych jest ok. 28 mld e-maili o charakterze spamu (z czego jeden na tysiąc ma charakter phishingu), a rocznie generowanych jest 317 mln nowych wariantów oprogramowania malware.

Do głębokiego namysłu skłania informacja, że w Polsce liczba cyberataków rośnie szybciej niż w innych częściach świata. Jesteśmy (niestety) na 10. miejscu wśród krajów o największym współczynniku zagrożenia. Z badania przeprowadzonego przez PwC na potrzeby raportu „W obronie cyfrowych granic” wynika, że w 2015 roku ponad połowa firm w Polsce odnotowała nie mniej niż sześć cyberataków w ciągu roku. Jako główne ich źródło 70 proc. firm wskazało pracowników (w 2014 roku było to 48 proc.), 67 proc. anonimowe ataki hakerskie (rok wcześniej było to 35 proc.), a 41 proc. przestępców z grupy zorganizowanej (w 2014 roku 26 proc.). Co ciekawe, inaczej odpowiadali respondenci w badaniu globalnym: 34 proc. pracownicy, 29 proc. byli pracownicy, 19 proc. obecni dostawcy i wykonawcy. Hakerzy niszczą i okradają infrastrukturę nie tylko prywatnych firm, ale też instytucji rządowych i samorządów – według danych z Polskiego Towarzystwa Informatycznego w 2016 roku hakerzy okradli pięć polskich gmin na ponad 2 mln złotych.

Czy jesteśmy na te zagrożenia przygotowani? Niestety, dopiero w I kwartale 2016 roku został opracowany i przesłany do konsultacji przez Ministerstwo Cyfryzacji dokument „Strategia cyberbez-pieczeństwa”. Sektor prywatny zaczął się przygotowywać już wcześniej, dlatego wydatki działów IT firm na poprawienie bezpieczeństwa w sieci stale rosną i miejmy nadzieję, że ten trend się utrzyma. Banki chyba najpoważniej podchodzą do bezpieczeństwa danych (a tym samym do bezpieczeństwa pieniędzy swoich klientów). W konfrontacji z cyberprzestępcami bankowcy wychodzą na ogół zwycięsko, nie sprawia to jednak, że banki spoczywają na laurach.

My w banku Citi Handlowy dobrze rozumiemy, jak istotną sprawą jest bezpieczeństwo cyfrowe. W obszarze cyberbezpieczeństwa działamy wielowymiarowo. Nasza praca w tym zakresie ma charakter ciągły i dostosowywana jest do zmieniającego się otoczenia. Będąc częścią Citi, korzystamy z wiedzy i doświadczenia jednej z największych instytucji finansowych świata.

Inwestujemy w systemy oraz infrastrukturę, co pozwala nam skutecznie przeciwdziałać cyberzagrożeniom kierowanym zarówno w stronę naszych klientów, jak i infrastruktury banku. Efektem tych prac są rozwiązania funkcjonujące w obszarze logowania i akceptacji płatności, jak również wewnątrz systemu, w sposób niewidoczny dla użytkownika (wielowarstwowe mechanizmy monitorowania oraz reakcji na konkretne zdarzenia). Dla naszych klientów chcemy być nie tylko źródłem wiedzy ze świata finansów. Jako instytucja zaufania publicznego kładziemy szczególny nacisk na dzielenie się wiedzą w zakresie bezpieczeństwa w cyfrowym świecie. Podejmujemy różnorodne działania edukacyjne, począwszy od cyberwarsztatów z klientami, poprzez komunikację kierowaną do klientów, na profesjonalnym serwisie bezpieczeństwa dostępnym na stronie internetowej www.citidirect.pl/bezpieczenstwo kończąc. Dedykowany serwis bezpieczeństwa jest na tyle uniwersalny, że praktyki tam przedstawione można wykorzystać także w obszarze finansów osobistych.

Cyberzagrożenia już teraz są elementem naszej codzienności. Czy z tego powodu powinniśmy ograniczyć naszą aktywność w świecie wirtualnym? Absolutnie nie. Digitalizacja życia i codziennie wykonywanych czynności jest procesem postępującym i w żaden sposób go nie zatrzymamy. Poza tym nie ma zasadnych powodów, dla których mielibyśmy na masową skalę rezygnować z korzyści, jakie są z tym procesem związane. Mapa wyświetlająca się na ekranie smartfona wydaje się moim synom niezastąpiona, gdy jedziemy na wakacje. Według mnie również odchodzą w przeszłość czasy, gdy podróżowało się po świecie, korzystając z analogowych map, atlasów samochodowych i nie zawsze trafnych wskazówek napotkanych osób. Choć mamy wiele powodów do narzekania, fakt jest jednak taki, że mieszkamy w wysoko rozwiniętym kraju i w szerokim zakresie korzystamy z dobrodziejstw nowoczesnych technologii. Czy jesteśmy gotowi na pozbycie się zarówno użytecznych urządzeń, jak i gadżetów umilających nam czas? Wydaje mi się, że nasze społeczeństwo weszło na drogę, z której nie sposób bezproblemowo zawrócić. I jeśli tak faktycznie jest, to najlepszym rozwiązaniem będzie oswoić cyberświat, aby korzystać z niego efektywnie i bezpiecznie.

Głównym przesłaniem książki Oswoić cyberświat jest to, że nasza zależność od komputerów cały czas się zwiększa – i to szybciej niż nasza zdolność do zapobiegania atakom, do których wykorzystuje się komputery. Oszuści, złodzieje, naciągacze, psychopatyczni wielbiciele gwiazd muzyki, aktywiści polityczni oraz szpiedzy pracujący dla wielu krajów nieustannie atakują osoby prywatne, firmy, organizacje i rządy. W wielu przypadkach efekt tych ataków jest taki, że oni wygrywają, my przegrywamy. Co gorsza, bardzo długo możemy się nawet nie zorientować, że jakikolwiek atak nastąpił i że zostaliśmy pokonani. Wydaje nam się, że wszystko jest w jak najlepszym porządku, a tymczasem nasz komputer tak naprawdę służy już komuś innemu.

Jaka jest natura cyberataków? Dlaczego są one przeprowadzane? Nie tylko po to, by coś zniszczyć (np. infrastrukturę danej firmy), lecz również w celu pozyskiwania informacji i wrażliwych danych. Ta książka mówi właśnie o tym, jakich narzędzi używają hakerzy dla realizacji poszczególnych celów. Znajdziecie w niej Państwo m.in. bardzo przydatny słownik pojęć z zakresu cyberbezpieczeństwa, jak również przykłady pokazujące, jak dbać o poprawę swojego bezpieczeństwa cyfrowego, jak zabezpieczyć swoją firmę przed cyberatakami, a także jak oceniać działania rządu na tym polu.

Życzę Państwu miłej lektury.

Czesław Piasek[1]

Członek Zarządu Banku Handlowego w Warszawie S.A. działającego pod marką Citi Handlowy

[1] Czesław Piasek jest Członkiem Zarządu Banku Handlowego w Warszawie S.A. Od września 2012 r. pełni funkcję szefa Pionu Bankowości Transakcyjnej, odpowiada za obszar działalności Banku dotyczący zarządzania środkami finansowymi oraz finansowania handlu. W czerwcu 2013 r. został powołany w skład Citigroup Treasury and Trade Management Committee EMEA. Z Citi związany jest od blisko 20 lat. Karierę zawodową rozpoczął w Citibank (Poland) S.A., pełniąc wiele funkcji kierowniczych w obszarach zarządzania sprzedażą, współpracą z klientami oraz rozwijania produktów bankowości korporacyjno-inwestycyjnej. W 2007 r. objął stanowisko szefa Bankowości Transakcyjnej na Węgrzech i został powołany w skład zarządu Citibank Hungary Zrt. Od 2011 r., w ramach struktur Citi, piastował funkcję szefa Regionu Bankowości Transakcyjnej dla 18 rynków Europy Centralno-Wschodniej, włączając Węgry, Czechy, Słowację, Rumunię i Bułgarię. W tym samym czasie został powołany w skład Citi Transaction Services Management Committee dla regionu CEEMEA. Jest absolwentem Wydziału Finansów i Bankowości Szkoły Głównej Handlowej w Warszawie.

PRZEDMOWA AUTORA

Swoim filmem „Dyktator” z 1940 roku Charlie Chaplin wywołał oburzenie w hitlerowskich Niemczech, ponieważ ukazując samochwalstwo i brutalność przywódcy, wyśmiał wprost istniejący tam kult jednostki[1]. Dystrybucja filmu została zakazana we wszystkich krajach kontrolowanych przez Niemcy w czasie wojny (sam dyktator jednak otrzymał jego kopię; obejrzał go dwa razy, po czym się rozpłakał)[1].Wyobraźmy sobie, że wywiad III Rzeszy otrzymuje rozkaz wzięcia odwetu na Chaplinie i wytwórni United Artists, która ten film wyprodukowała. Agenci Hitlera mogliby w tym celu po prostu włamać się tam, gdzie przechowywane były taśmy, mogliby też utrudniać produkcję kopii, podpalić studio lub zorganizować zgromadzenie pronazistowskiego motłochu, który pikietowałby na zewnątrz (Stany Zjednoczone nie były wówczas zaangażowane w wojnę). Wszystkie te akcje byłyby bardzo ryzykowne i w większości nie odniosłyby skutku. Szpiedzy nie poświęcaliby za dużo uwagi łączności elektronicznej. Mogliby na krótki czas zablokować centralę telefoniczną lub wysyłać fałszywe telegramy, ale byłyby to raczej niewielkie utrudnienia – można by je nazwać bardziej wybrykami aniżeli działaniami odwetowymi.

Inaczej było w przypadku bardzo skutecznego anonimowego ataku na firmę Sony Pictures Entertainment, która stworzyła „Wywiad ze Słońcem Narodu”, cyniczną komedię o spisku na życie Kim Dzong Una, lidera Korei Północnej. Było to jedno z najbardziej niszczycielskich włamań do sieci komputerowych, o jakich kiedykolwiek dowiedziała się opinia publiczna, nie wiadomo też było, kto go przeprowadził i w jakim celu.

Podczas Święta Dziękczynienia w 2014 roku wyszło na jaw, że zamachowcy usunęli wszystkie dane z komputerów firmowych, używając do tego malware – aplikacji stworzonych do wyrządzania szkód. Poczta elektroniczna po prostu przestała działać, firma została sparaliżowana. Plan ataku został wprowadzony w życie z niebywałą precyzją, obejmując wiele sieci. To sugeruje, że sprawcy wiedzieli, jak działa wytwórnia, i przygotowywali się do zamachu przez wiele miesięcy. Wyczyszczenie danych było akcją czysto destrukcyjną. To jakby elektroniczny odpowiednik wielkiego pożaru w głównym budynku firmy. „Pożar” nie był jednak najbardziej niszczycielskim punktem planu. O wiele gorsza okazała się jakość i liczba skradzionych danych – szacowano, że było to w sumie 100 terabajtów.

Dokładna ocena sytuacji była trudna; wiele komputerów zostało wyczyszczonych z danych, później wyszło też na jaw, że przynajmniej pięć nierozpowszechnianych jeszcze filmów zostało skradzionych i znalazło się w internecie. Zamachowcy skopiowali i opublikowali również dane osobowe 47 tys. byłych i obecnych pracowników, kontrahentów i współpracowników firmy (wliczając w to celebrytów) oraz wiele e-maili. Wszystkie te działania były bardzo szkodliwe dla wytwórni, a utrata filmów odbiła się bezpośrednio na zysku. Studia filmowe starają się zwykle jak najlepiej zabezpieczyć swoje produkcje przed wyciekiem do sieci zarówno przed premierą, jak i później, natomiast informacje o zatrudnionych podlegają ochronie prawnej. Pracownicy mogą pozwać firmy do sądu, gdy te nie zdołają odpowiednio zabezpieczyć ich danych. Pierwsze pozwy zostały złożone pod koniec 2014 roku.

Prawdopodobnie jednak największym ciosem było upublicznienie prywatnej korespondencji. W szczególności odnosi się to do żenującej wymiany e-maili między członkami kadry zarządzającej. Pisząc do szefowej firmy Amy Pascal, starszy producent Scott Rubin określił gwiazdę Hollywood Angelinę Jolie – jedną z najważniejszych aktorek wytwórni Sony – jako „poważnie chorą na głowę” oraz „minimalnie utalentowanego, rozkapryszonego bachora”. Z kolei w e-mailu od scenarzysty znalazły się obraźliwe uwagi na temat słynnego irlandzko--niemieckiego aktora: „Nie wiem, kim Michael Fassbender jest, i nie sądzę, by reszta świata była nim zainteresowana”. Prawdopodobnie najważniejsza okazała się wiadomość – w najlepszym razie opisywana jako obojętna rasowo – w której kpiono z Baracka Obamy, suponując, że prezydent Stanów Zjednoczonych zainteresowany jest jedynie filmami, w których występują Murzyni.

Szczegóły dotyczące ataku na Sony wyciekały powoli. Nie zrujnowało to wytwórni, nie uniemożliwiło również premiery „Wywiadu ze Słońcem Narodu”. Po upokarzającym odwróceniu ról[2], które nastąpiło w efekcie działań podjętych przez firmę ze strachu przed terrorystami, w święta Bożego Narodzenia Sony ostatecznie udostępniło komedię o północnokoreańskim liderze w internecie i w niektórych kinach niezależnych. Film zarobił niecałe 18 mln dolarów – przy budżecie produkcyjnym wynoszącym 44 mln dolarów. To, co wiadomo (a może raczej czego nie wiadomo) na temat tego epizodu, stanowi główne wątki mojej książki: rola komputerów i sieci we współczesnym życiu, ich słabe punkty, a także nieprzewidziane i nieznane konsekwencje ich użytkowania.

Internet – sieć wszystkich sieci, która łączy większość komputerów na Ziemi – stał się nie tylko centralnym układem nerwowym współczesnego świata, ale także jego najsłabszym ogniwem. Tempo zmian zachodzących w obszarze technologii wydaje się zawrotne. Gdyby Związek Radziecki w czasie zimnej wojny próbował zhakować Hollywood z powodu narastającej liczby antyradzieckich filmów, dysponowałby tak samo ograniczonymi możliwościami jak naziści starający się działać przeciwko Charliemu Chaplinowi: włamaniami, sabotażem i naciskami politycznymi.

Dopiero w 1989 roku, gdy rozpadał się Związek Radziecki, Tim Berners-Lee wynalazł World Wide Web – sposób, w jaki użytkownicy komputerów mogą się poruszać w internecie. Program, zaprojektowany jako pomoc dla naukowców laboratorium fizyki cząstek elementarnych CERN, stworzony został w celu ułatwienia pracownikom dostępu do każdego pliku z każdego miejsca. Myśl, że projekt ten mógłby kiedyś posłużyć do niszczycielskich ataków lub stać się przemysłem przynoszącym wielomiliardowe zyski, nikomu nawet nie zaświtała w głowie.

Internet nie nabrał swojej przypominającej teraźniejszą formy do połowy lat 90. i minęło następnych pięć lat, zanim różne firmy zaczęły się nim zajmować jako istotnym narzędziem biznesowym. W 1995 roku jedynie 16 mln ludzi – głównie entuzjastów komputerów – używało internetu. Stanowili oni zaledwie 0,4 proc. światowej populacji. Chociaż powinni przykładać większą wagę do kwestii bezpieczeństwa, obchodziło ono jedynie garstkę użytkowników. Internet stał się sposobem łączenia sieci akademickich, a jego głównym celem było umożliwienie współpracy ludziom nauki. Nie używano internetu do przechowywania prywatnych danych ani do robienia zakupów czy korzystania z bankowości online. Dziesięć lat później liczba użytkowników urosła do ponad 1 mld (15,7 proc. populacji), a teraz wynosi ponad 3 mld, czyli obejmuje prawie połowę społeczeństwa. W bogatszych krajach prawie wszyscy są użytkownikami internetu – w USA 88 proc. Amerykanów jest online[2].

Znaczenie internetu przejawia się nie tylko w liczbie użytkowników. Sieć wszystkich sieci jest największą i najważniejszą drogą komunikacji na świecie. W 2015 roku liczba przesłanych e-maili przekroczyła 200 mld dziennie[3]. Oznacza to, że w dwa dni przesyła się więcej e-maili niż listów tradycyjnych przez rok[4]. Nieliczni spośród 2,5 mld ludzi, którzy wysłali e-maile, wiedzą, w jaki sposób ich wiadomości docierają do adresata. Większość błędnie zakłada, że ich e-mail przebędzie swoją drogę w sposób niezawodny i bezpieczny. Popełniają jeszcze większy błąd, gdy myślą, że e-mail, który właśnie otrzymali, zawsze pochodzi od osoby będącej tą, za którą się podaje.

Komputery stały się zbiornikami danych z całego świata. Pojedynczy twardy dysk wielkości kciuka jest w stanie pomieścić dziś więcej informacji niż 528 mln zapisanych stron lub, w przybliżeniu, taką liczbę danych, jaka według naukowców mieści się w ludzkim mózgu[5]. Studia filmowe zwykły niegdyś przechowywać filmy na nawiniętym na szpulę wąskim pasku plastiku pokrytego solami srebra. Ich kradzież polegałaby na wyniesieniu nieporęcznych zwojów z pilnie strzeżonego magazynu obserwowanego przez czujne oczy, potrzebny byłby również prawdziwy klucz do drzwi. W dzisiejszych czasach zarówno filmy, jak i inne dobra należące do sfery własności intelektualnej przechowywane są na nośnikach elektronicznych kontrolowanych za pomocą komputerów. Po wpisaniu odpowiedniego hasła (czasami można się obyć bez tego) możemy dane skopiować, skasować lub przenieść niezauważalnie i po cichu.

Na komputerach gromadzone są nie tylko wszelkie wytwory ludzkiego umysłu; chomikujemy tam również informacje z życia codziennego. Wśród danych skradzionych z firmy Sony Pictures Entertainment w zaledwie jednym pliku znajdowało się:

3 tys. lub więcej numerów ubezpieczeniowych, nazwiska, dane kontaktowe, numery telefonów, daty urodzenia, adresy poczty elektronicznej, informacje dotyczące świadczeń pracowniczych, odszkodowań, planów emerytalnych i wypowiedzeń, historii poprzedniego zatrudnienia pracowników, wynagrodzeń kadry kierowniczej, plany opieki medycznej, stomatologicznej, określenie płci, identyfikatory pracowników, raporty sprzedaży, kopie paszportów oraz rachunki za podróże[6].

Część danych gromadzonych przez firmy na komputerach to informacje banalne – jakie to ma znaczenie, gdzie Sony Pictures Entertainment kupuje spinacze do papieru? Niestety, często sieci zawierające ważne informacje – prywatne bądź mające jakąś wartość – połączone są, celowo bądź przez przypadek, z sieciami mniej znaczącymi.

W skrócie: internet stał się istotnym elementem współczesnego życia. To właśnie głównie w sieci wymieniamy się wiadomościami, relaksujemy się, przechowujemy wspomnienia, szukamy informacji, znajdujemy przyjaciół i robimy interesy. Internet wpłynie jeszcze bardziej na nasze życie w nadchodzących latach, gdyż zmienia się z narzędzia łączącego ludzi w takie, które łączy rzeczy. To oznacza, że urządzenia w naszych domach – na przykład liczniki energii elektrycznej, termostaty, lodówki i piekarniki – będą wspólnie korzystać z prądu, by jego zużycie było bardziej ekonomiczne. W procesach przemysłowych maszyny będą łączyć się ze sobą bez ingerencji człowieka. Kasy w supermarketach już teraz zawiadamiają magazyny o zmianach w zapotrzebowaniu, zamawiają większą ilość towarów i rezerwują dla nich transport. Wiele miliardów urządzeń i maszyn przejdzie w tryb online, zdecydowanie przewyższając liczebnie całą populację.

Zwiększanie naszej zależności od technologii na poziomie indywidualnym ma sens. Korzyści z tego wynikające są oczywiste: większa wygoda, niezawodność, elastyczność i bezpieczeństwo. Koszt, jaki ponoszą ci, którzy odżegnują się od komputerów i sieci, mimo że konkurencja i partnerzy z nich korzystają, jest nieraz ogromny. Firmy, które nie chcą używać poczty elektronicznej, mogą stracić zamówienia. Ktoś, kto nie nosi przy sobie telefonu komórkowego, może przegapić napływające ważne wiadomości. Współczesne życie jest nieubłagane. Czasy się zmieniają, technologia idzie naprzód. Jeśli nie nadążasz, możesz nie dostać drugiej szansy.

Natomiast na poziomie zbiorowym te indywidualne decyzje mogą stwarzać problemy. Skoro wszyscy są zależni od technologii, powinna ona być niezawodna. Jednak jakość internetu nieraz budzi wątpliwości. Został zaprojektowany po to, aby zapewnić elastyczność wymiany danych i łatwy dostęp do nich, nie jest jednak z założenia niezawodny i nie gwarantuje bezpieczeństwa.

Wynalazcy internetu byli ludźmi nauki; nie mieli powodu podejrzewać, że użytkownicy mogą się podawać za kogoś, kim nie są, ale w tamtych czasach miało to sens, ponieważ wskutek nadużycia zaufania mogłaby być zagrożona jedynie współpraca naukowców. W czasach współczesnych jednak, kiedy każdy może się pod kogoś podszyć, brak możliwości weryfikacji, kto jest po drugiej stronie, przeszkadza w rozwoju handlu elektronicznego oraz świadczeniu usług publicznych w trybie online. W życiu codziennym – nieważne, czy mówimy o bankowości czy umawianiu się przez internet na randki – jeżeli nie wiesz, z kim naprawdę masz do czynienia, możesz się stać ofiarą naciągaczy i oszustów. Udowodnienie, kim się jest, wymagałoby wykonania uciążliwych czynności, takich jak skanowanie i przesyłanie dokumentów.

Internet ma pewne zalety, których nie znajdziemy w realnym świecie. Nie ma tu możliwości (dzięki sposobowi, w jaki został dopracowany) wyczerpania się adresów, podczas gdy na przykład w niektórych większych miastach w sieci telefonicznej brakuje miejsca na nowe numery. W przeciwieństwie do transportu publicznego działanie sieci nie jest zależne od pogody; dzięki sposobowi, w jaki została zaprojektowana, jest z natury odporna. W odróżnieniu od systemu telefonicznego internet nie łączy ludzi bezpośrednio, zamiast tego informacje dzielone są na małe pakiety danych, które trafiają do odbiorcy każdą dostępną akurat drogą. Jeżeli jedno łącze jest przeciążone lub zablokowane, wybierają inne. Po dotarciu do adresata paczki danych łączą się z powrotem w jedną całość, tworząc oryginalny e-mail, zdjęcie, dokument itp.

Znacznie większe problemy mogą wynikać ze złożoności internetu i chaosu, jaki w nim panuje. Komputery i sieci są aż nadto skomplikowane. Gdy z nich korzystamy, nie wiemy dokładnie, jak to działa lub z kim mamy do czynienia. To stwarza raj dla złoczyńców wszelkiego autoramentu. Mogą to być szpiedzy, oficerowie służb, chuligani, żartownisie, przestępcy i konkurenci biznesowi – bądź mieszanina wszystkich wymienionych powyżej. Właściwa identyfikacja jest jednym z największych problemów w zabezpieczaniu naszych sieci i komputerów, co sprawia, że trudno jest nam odpowiedzieć na ataki. Sprawcy zamachu na Sony mogli być związani z północnokoreańskim reżimem, zirytowani wyszydzaniem ich lidera, którego Koreańczycy z Północy traktują jak półboga. Mogli to być jednak hakerzy z innych krajów, wynajęci i opłaceni przez reżim z Pjongjang. Mogli to również być ekstremiści, którym nie podoba się stanowisko Sony w kwestii praw autorskich do treści cyfrowych. Może to był jednak – według tego, co mówią niektórzy eksperci w dziedzinie bezpieczeństwa – jakiś niezadowolony pracownik[7].

Informacje umieszczone w internecie przez domniemanych zamachowców chwalących się swoim czynem były niejasne, pogłębiona analiza językowa nienaturalnie brzmiących wiadomości pisanych kiepskim angielskim sugerowała, że pierwszym językiem zamachowca – czy też grupy – mógł być rosyjski. FBI utrzymywało, że winę ponosi Korea Północna, nie wymieniło jednak żadnych konkretnych, mocnych dowodów na potwierdzenie tej opinii. W czasie świąt Bożego Narodzenia w Korei Północnej dwukrotnie zawiesił się internet i system telefonii komórkowej. Nic wielkiego: trwało to kilka godzin. Korea Północna stanowi jeden z najgorzej okablowanych krajów na świecie. Czy był to jednak jedynie przypadek, czy raczej rozmyślny odwet Amerykanów? Może jeszcze co innego? Czy tych samych metod można użyć przeciwko innym państwom? Jak zwykle w świecie komputerów i sieci nie ma jasnych odpowiedzi na te pytania.

Nieład i złożoność naszego życia online przewyższają zdolność naszych ciał i umysłów do sprostania temu chaosowi, jaki panuje w internecie. W świecie rzeczywistym poza naszymi miejscami pracy i domami kierujemy się głównie instynktem. Zdajemy sobie sprawę z tego, że niektóre dzielnice są mniej bezpieczne, że powinniśmy zachować środki ostrożności, gdy poruszamy się w określonych godzinach dnia i nocy. Możemy dokładać starań, by unikać rzucania się w oczy w pewnych sytuacjach, na przykład w podróży. Robiąc zakupy na bazarze w jakimś ubogim kraju, będziemy zwracać większą uwagę na to, co oglądamy, będziemy w inny sposób negocjować cenę, zapłacimy też inaczej, niż gdybyśmy to robili w jakimś ekskluzywnym butiku w światowej metropolii. Szybko przypisujemy ludziom różne cechy i nabieramy do nich zaufania lub nie, w zależności od tego, jak wyglądają, jaki mają ton głosu i jak się zachowują. Poznajemy ich i utrzymujemy z nimi kontakty, bazując na tym, jaki mają status społeczny i przywileje. Mocno zbudowany, nieco niechlujny i wyglądający na wstawionego młody człowiek stojący we wczesnych godzinach na moim progu może wydawać się zagrożeniem – dopóki moi synowie nie przypomną mi, że oczekują gości.

Od wielu pokoleń nasze bezpieczeństwo w świecie rzeczywistym zależy od zamków i kluczy, mamy już całkiem niezłe pojęcie o ich wytrzymałości, słabych i mocnych stronach. Nie zamykalibyśmy naszego domu na dziecięcą kłódkę, nie używalibyśmy również skomplikowanego systemu antywłamaniowego do zabezpieczenia naszej szopy. Udostępniając komuś klucze, staramy się instynktownie zrównoważyć ryzyko i wygodę. Na przykład nastolatek powinien mieć jeden klucz do drzwi wejściowych, raczej niepotrzebny jest mu komplet. W domu mamy zwykle sejf na kosztowności i ważne dokumenty. Jesteśmy również świadomi tego, że zamki mogą być niewystarczające, nasze domy i biura mogą być więc jeszcze wyposażone w nowoczesne systemy zabezpieczeń, takie jak alarmy przeciwwłamaniowe, czujniki ruchu czy nawet monitoring wizyjny. Dodatkowo te systemy bywają wspomagane przez ludzi: recepcjonistę w biurze czy dozorcę w budynku mieszkalnym. Jednak w naprawdę niebezpiecznym sąsiedztwie nawet najlepszy zamek nie gwarantuje skutecznej ochrony, podczas gdy w niektórych wsiach ludzie często nie zamykają drzwi, a dla wygody zostawiają kluczyki w stacyjce samochodu.

W ciemno zakładamy – i doceniamy to – że ludzie, którzy projektują, produkują, instalują i konserwują zamki, wiele wiedzą o bezpieczeństwie, nieliczni z nas jednak mają jakiekolwiek pojęcie o szczegółach i się nimi interesują. Nie trzeba być ślusarzem, by móc używać klucza do otwierania zamka, tak samo jak nie trzeba być mechanikiem, by móc jeździć samochodem, czy lekarzem, żeby dbać o zdrowie. Współczesność daje nam pewne możliwości, dzięki którym nie musimy mieć specjalistycznej wiedzy, żeby w pełni zrozumieć sposób działania różnych mechanizmów i urządzeń. Wiemy instynktownie, a także z doświadczenia, jakie są ich mocne strony i jakie mają ograniczenia.

W skrócie, ewolucja i edukacja dają nam ogromne możliwości rozwoju różnych umiejętności w celu zachowania równowagi między ryzykiem a bezpieczeństwem i wygodą. Jesteśmy zaprogramowani tak, by ufać innym i wspierać się nawzajem – człowiek pierwotny również nie mógłby poradzić sobie sam – w tym samym jednak czasie angażujemy się w nieprzerwaną serię obserwacji i działań, w większości nieświadomych. Nasze oczy, uszy i nosy podpowiadają nam, kiedy jesteśmy bezpieczni, a kiedy powinniśmy zachować czujność, co mamy robić, czego nie robić, kiedy, jak i gdzie.

Gdy tylko przechodzimy w tryb online, wszystko to, czego się nauczyliśmy w rzeczywistym świecie, traci znaczenie. Nasze zmysły skupiają się jedynie na oglądaniu obrazków i tekstów na ekranie bądź słuchaniu metalicznie brzmiących dźwięków z głośników. Tworzy to swego rodzaju iluzję świata rzeczywistego, nieraz wielce zwodniczą. Czujemy się pewnie w kwestiach, które znamy – zakupów online, przeglądania stron, kontaktowania się przez Skype’a, przesyłania e-maili – w rzeczywistości jednakże jesteśmy bezsilni, nieprzygotowani i podatni na kradzieże, manipulacje oraz innego rodzaju nieprzyjazne praktyki stosowane przez ludzi czy organizacje. Nie widzimy ludzi, z którymi mamy do czynienia; nie możemy ich ocenić po tonie głosu, mowie ciała czy mimice twarzy. Nie możemy poczuć ich zapachu ani ich dotknąć. Nie możemy również umieścić ich w żaden sposób w historii i geografii naszego życia. Nie rozumiemy również, czego tak naprawdę powinniśmy strzec. Zamki i klucze to jedynie częściowo przydatna analogia. Wirtualne dane nie są takie jak własność materialna: ich wartość zależy od kontekstu. Lista nazwisk i adresów nie znaczy nic sama w sobie, jednak gdy raz znajdzie się w kartotece poufnych informatorów policyjnych, życie wszystkich umieszczonych na niej osób może być zagrożone. W dzisiejszych czasach nie pozostaje nam nic innego, jak radzić sobie z tymi problemami i korzystać z technologii, której większość z nas nie rozumie.

Ponadto ochrony, którą bierzemy za pewnik, gdy mamy do czynienia z instytucjami w prawdziwym życiu, często brakuje, gdy wchodzimy w tryb online. Jeśli stracimy klucze od domu, ryzykujemy, że ktoś włamie się do nas pod naszą nieobecność; jeżeli zgubimy paszport lub zostanie nam skradziony, nie zakładamy, że ktoś, kto go znajdzie czy ukradnie, obrabuje nas na wielu płaszczyznach naszego życia. Jeżeli, dla przykładu, pracownicy banku zostaną oszukani przez kogoś, kto wygląda, ubiera się i zachowuje jak klient, fałszuje podpis i wybiera pieniądze z konta, posługując się czyimiś dokumentami, to bank, a nie osoba, pod którą podszywa się złodziej, powinien się liczyć z konsekwencjami. Tym, co strona poszkodowana musiałaby zrobić, jest jedynie udowodnienie, że nie była wtedy w banku i nie dokonała żadnej transakcji.

Internet zmienił to wszystko. Zabezpieczenia elektroniczne przesunęły z firmy na klienta odpowiedzialność za zapobieganie oszustwom i wykrywanie ich sprawców. Jeżeli twój login i hasło zostaną wykradzione, bank może uznać, że stało się tak z twojej winy, bo nie zabezpieczyłeś odpowiednio informacji o swoim koncie. Może się też okazać, że szczegóły dotyczące twojej karty bankomatowej zostały skradzione w specjalnie przygotowanym bankomacie wyposażonym w sprytne urządzenia, które są w stanie ściągnąć twój numer PIN. Być może twój login i hasło do bankowości online wyciągnął specjalny program, który wcześniej został zainstalowany przez hakera na twoim komputerze. W każdym z tych przypadków ciężar odpowiedzialności spada na ciebie, jeżeli nie udowodnisz, że to nie twoja wina. Komputery przesunęły ciężar udowadniania swojej niewinności na jednostki w sposób, którego jesteśmy jedynie mgliście świadomi.

Bezpieczeństwo w cyberprzestrzeni było niegdyś problemem o marginalnym znaczeniu, skomplikowanym i nudnym. Teraz jego rola jest o wiele większa, wciąż jednak trudno jest nam zrozumieć, jak to wszystko naprawdę działa. W tej książce próbuję wyjaśnić kwestie związane z bezpieczeństwem naszych komputerów i sieci, za których pomocą łączymy się z innymi komputerami. Tak jak nie trzeba być lekarzem, żeby mieć własną opinię na temat opieki zdrowotnej, i nie trzeba być mechanikiem samochodowym, żeby mieć własny pogląd na korki na drogach, tak nie trzeba być z zawodu informatykiem, żeby zrozumieć, co się liczy w kwestii bezpieczeństwa twojego komputera i innych, z którymi się łączysz.

Jak w medycynie, prawie, polityce i innych dziedzinach, którymi zajmują się profesjonaliści, temat tej książki obfituje w akronimy, określenia techniczne i żargonowe. Czy Wasze firmy zatrudniają pentesterów, którzy za pomocą narzędzi inżynierii społecznej badają Waszą powierzchnię ataku? Może to Was zaskoczy, ale co się stanie, jeśli wynajmiecie prawdziwego, profesjonalnego hakera – biały kapelusz[3], by sprawdzić, czy Wasze zabezpieczenia są tak dobre, jak myślicie? Jeśli będzie on potrafił zaatakować Wasz serwer, będzie to oznaczać, że dowolny cwaniak drogą elektroniczną będzie w stanie ocenić w odpowiedni sposób przechowujecie różne rodzaje informacji.

Książka ta nosi tytuł Oswoić cyberświat, ponieważ takie właśnie jest jej zadanie. Liczne publikacje wyjaśniają w najdrobniejszych szczegółach, jak zbudować i chronić rzekomo bezpieczną sieć komputerową. Porady te przypominają jednak bardziej instrukcje obsługi technicznej dla ślusarzy: są interesujące dla specjalistów, ale bezużyteczne dla laików, a ponieważ pisane są niepotrzebnie skomplikowanym, technicznym językiem, zniechęcają do lektury wiele osób, które wskutek tego nie zdają sobie w pełni sprawy z zagrożeń związanych z technologią komputerową.

Głównym przesłaniem tej książki jest wskazanie, że nasza zależność od komputerów rośnie szybciej niż nasza zdolność do zapobiegania atakom. Kryminaliści, chuligani, aktywiści i wywiady wrogo nastawionych państw nieustannie atakują osoby prywatne, firmy, organizacje oraz rządy; oni wygrywają, my przegrywamy. Dopóki sposób naszego myślenia i zachowanie się nie zmienią, będziemy mniej bezpieczni, mniej wolni, mniej zdrowi i mniej szczęśliwi. Przede wszystkim każdy z nas powinien zrozumieć, że bezpieczeństwo w sieci nie jest zagadnieniem czysto technicznym, tak samo jak ruch drogowy nie polega wyłącznie na inżynierii. Ta książka opowiada o tym, w jaki sposób możemy zmienić nasze zachowanie – jako osoby indywidualne, organizacje i społeczeństwo – aby poradzić sobie z zagrożeniami, jakie czyhają na nas w świecie online. Jest to przede wszystkim książka o ludziach, nie maszynach.

[1] Charlie Chaplin przyznał później, że nie stworzyłby tej komedii, gdyby wiedział o masowym mordowaniu Żydów w czasie wojny.

[2] Film wywołał falę krytyki ze strony Korei Północnej jeszcze zanim go ukończono. Przed jego premierą hakerzy zaatakowali serwery Sony Pictures Entertainment, co sprawiło, że odwołano kinową premierę filmu, ale to z kolei wywołało krytykę w USA – przyp. tłum.

[3] Białe kapelusze [ang. white hat] to określenie hakerów działających legalnie lub też starających się nie wyrządzać szkód. Zgłaszają oni odkryte przez siebie luki w systemach bezpieczeństwa w takiej formie, aby mogły one zostać łatwo załatane przez autorów oprogramowania. Wśród nich często się spotyka audytorów bezpieczeństwa – przyp. tłum.

Opieramy naszą przyszłość na zasobach, których nie nauczyliśmy się jeszcze chronić

George Tenet, dyrektory Centralnej Agencji Wywiadowczej
(rok 1998)

Wstęp

Nxasze wpółczesne życie w znacznym stopniu polega na wymienianiu między sobą – w zaufaniu – danych. Jednak komputery, sieci i systemy, które do tego służą, nie były projektowane z myślą o bezpieczeństwie i niezawodności. Zwykle działają one zaskakująco poprawnie, chociaż za ich błyszczącymi obudowami i efekciarskimi grafikami w oprogramowaniu kryje się chaos improwizacji i recyklingu. Sposób, w jaki dziś funkcjonujemy, zależy od układu kompromisów przypadkowo wypracowanych w ciągu minionej dekady – w czasach, gdy żaden z interesariuszy [świata nowych technologii] nie mógł jeszcze zdawać sobie sprawy ze skutków podejmowanych decyzji.

Odpowiedzialność za ten stan rzeczy spoczywa częściowo także na nas, konsumentach. Pragniemy, by nasze komputery i oprogramowanie były łatwe w użyciu, tanie i dostosowywały się do naszych potrzeb. Chcemy nie tylko, by nadążały za nowinkami, lecz także, by były „wstecznie kompatybilne” – żeby funkcjonowały także w zetknięciu ze starszym oprogramowaniem i sprzętem. Życzymy sobie, aby były skrojone na miarę, a jednak nie poświęcamy wystarczająco dużo czasu na naukę nowych trików i zrozumienie sposobu ich działania. Efektem tego wszystkiego są pewne kompromisy. Każdy z nich ma swoją cenę. Weźmy przykład niezawodności. Nasze wygórowane oczekiwania oznaczają, że system czasem zawiedzie. Albo złożoność. Procesory i programy, które kierują działaniem komputerów, są tak skomplikowane, że większość ludzi nie jest w stanie pojąć, na czym to polega.

Podstawowe zasady są jednak dosyć proste. Może je zrozumieć każdy, kto kiedykolwiek jechał koleją. Komputer jest jak pociąg: bez instrukcji nie ruszy. Ponieważ to maszyna, nie może działać samodzielnie. Tym, co wprawia komputer w ruch, jest oprogramowanie – zestaw reguł zakodowanych w sposób, który dane urządzenie potrafi zrozumieć. Po włączeniu zasilania zapala się lampka, następnie włącza się klawiatura i monitor. Później zaczyna pracę twardy dysk, na którym przechowuje się dane, a dalej komputer postępuje według instrukcji otrzymywanych z procesora. Nawet najbardziej skomplikowane zadania mogą być podzielone na proste instrukcje. Geniusz twórców oprogramowania polega na tym, że komputer dokonuje analizy problemu, który występuje w prawdziwym życiu, i rozwiązuje go za pomocą takich instrukcji, jakie jest w stanie zrozumieć i wykonać.

Oprogramowanie i sprzęt są w zasadzie wymienne. To pierwsze, gdy zostanie stworzone, zostaje zapisane na mikroprocesorze. Dzięki temu sprzęt potrzebuje już niewielu programów, by spełniać swą funkcję. Dobrą analogią może być dziecięca zabawka. Pociągnijcie za sznurek, a wewnętrzny mały komputer odegra dziecięcą rymowankę. Nawet proste mikroprocesory mogą robić rzeczy niezwykłe, jeśli są w nich zakodowane odpowiednie instrukcje i dane. Pierwszym zaprogramowanym komputerem cyfrowym był Colossus zbudowany przez brytyjskich techników w Bletchley Park podczas drugiej wojny światowej, stworzony do łamania niemieckich szyfrów. Był kodowany ręcznie, technicy używali do tego przełączników, wtyczek i kabli. Później oprogramowanie było ładowane do komputera za pomocą taśmy perforowanej, następnie przez nośniki elektromagnetyczne (Czytelnicy z mojego pokolenia zapewne pamiętają gry komputerowe ładowane w prymitywny sposób – przy użyciu kaset magnetofonowych). Następnie na rynku pojawiły się dyskietki, później CD, a teraz najczęściej pliki pobiera się bezpośrednio z internetu. Same programy komputerowe wydają się bardziej skomplikowane, w rzeczywistości wcale tak nie jest.

Swego rodzaju programem jest kolejowy rozkład jazdy. Dzięki niemu wiadomo w najdrobniejszych szczegółach, kto ma co zrobić, kiedy i gdzie. Sygnalizacja zmienia kolor, pociągi zatrzymują się i ruszają, zwrotnice przesuwają się w tę i z powrotem. Jeśli sieć kolejowa jest sprzętem, a rozkład jazdy programem, to trzecim elementem tego systemu jest sam pociąg. Funkcjonowanie kolei polega na przemieszczeniu pociągu wraz z ładunkiem z punktu A do punktu B. W świecie komputerów odpowiednikiem pociągów są dane. Wyobraźcie sobie na przykład, że mamy zrobić zdjęcie aparatem elektronicznym i wysłać je do komputera. Transfer danych to długie ciągi zer i jedynek określające każdą kropkę koloru przechwyconego przez Wasz aparat, która zostanie teraz odwzorowana na ekranie bądź odtworzona w drukarce. W zależności od możliwości Waszego komputera, zainstalowanego oprogramowania i poleceń, jakie mu przekażecie, owo zdjęcie może zostać przesłane do Waszego przyjaciela, opublikowane w internecie bądź przycięte lub obrobione w taki sposób, by wyglądało lepiej. Wiele procesów musi przy tym przebiegać bezproblemowo, by cała procedura się udała. Zdjęcie może zostać zapisane w formacie, który nie jest obsługiwany przez Wasz system. Może również być zapisane na karcie pamięci, z którą Wasz komputer nie będzie sobie w stanie poradzić. Ilość informacji może być zbyt wielka dla małego urządzenia – na przykład telefonu. Dane mogą być „uszkodzone” – to oznacza, że prawdopodobnie gdzieś wystąpił błąd, w samym sprzęcie albo oprogramowaniu, który je zniekształcił. To tak, jakby wsiąść do niewłaściwego pociągu – skutki mogą być błahe lub katastrofalne, zależnie od okoliczności.

Większość tego typu problemów nigdy nie jest ujawniana. Użytkownicy komputerów są przyzwyczajeni do różnych zagadkowych komunikatów o błędach, które pojawiają się i znikają bez ładu i składu. W takich sytuacjach najczęściej po prostu restartuje się urządzenie, licząc na to, że problem się nie powtórzy. Jednak niektóre błędy okazują się tak fundamentalne, że informacje o nich trafiają na czołówki gazet. Przykładem – nagłośnionym we wrześniu 2014 roku jako prawdopodobnie największy błąd w historii komputeryzacji – niech będzie nieprawidłowość odkryta w kluczowej części wszechobecnego systemu operacyjnego UNIX. Większość użytkowników komputerów prawdopodobnie nawet o nim nie słyszała, jest on jednak podstawą największych systemów elektronicznych. W odróżnieniu od oprogramowania sprzedawanego przez Microsoft czy Apple nie ma jednego właściciela, jest systemem bezpłatnym, utrzymywanym i rozwijanym przez wolontariuszy.

Bash, czyli owa część, w której wykryto błąd, jest jak wiadomo kluczowym fragmentem kodu umożliwiającego łączenie się komputerów z oprogramowaniem UNIX z resztą świata. Na przykład pozwala użytkownikom przekazywać polecenia swoim komputerom, a maszynom łączyć się z witrynami w celu ich otrzymania. Bash napisany został w 1989 roku. Okazało się, że miał wadę, która umożliwiała intruzowi przemycenie do komputera fałszywych instrukcji. Robak o nazwie Shellshock nie powstał dzięki pomysłowości hakerów, nie był też efektem niedbalstwa użytkowników komputerów. Jego źródłem była drobna usterka w oprogramowaniu. Fakt jej istnienia sprawił, że wiele milionów użytkowników wystawionych zostało na ogromne ryzyko[1]: ktoś z zewnątrz mógł zawładnąć ich komputerami, nadać sobie każdego rodzaju uprawnienia, wykraść bądź uszkodzić dane itd.

W komputerach obsługiwanych przez ludzi z tym błędem można sobie łatwo poradzić. Nie jest to jednak takie proste w przypadku milionów innych urządzeń z systemem UNIX, takich jak routery – małe mrugające pudełka, które obsługują sieci Wi-Fi w naszych domach i biurach – czy sterowane przez internet termostaty, maszyny przemysłowe i inne urządzenia. Te komputery (bo tym właśnie owe urządzenia są w rzeczywistości) przez większość czasu funkcjonują bez nadzoru człowieka. Aktualizacja ich oprogramowania jest zadaniem skomplikowanym, na które ich właścicielom może po prostu nie wystarczać czasu czy umiejętności. W rezultacie wiele z nich jest wystawionych na atak Shellshocka i nie zmieni się to jeszcze przez wiele lat.

Zostaliśmy przed tym ostrzeżeni. George Tenet, dyrektor CIA, powiedział w 1998 roku: „Opieramy naszą przyszłość na zasobach, których nie nauczyliśmy się jeszcze chronić”[2]. Wówczas jego słowa przeszły bez echa. Dziś jesteśmy jeszcze bardziej zależni od komputerów, a dysproporcja między zręcznością atakujących i umiejętnościami obrońców nie maleje, a wręcz przeciwnie: rośnie.

W czasach, gdy Tenet wypowiadał swoją opinię, większości ataków w internecie dokonywali żartownisie kierujący się ciekawością bądź chęcią zaspokojenia własnego ego. Na walkę z nimi przeznaczano niewielkie środki. Kevin Mitnick, jeden z najbardziej znanych amerykańskich hakerów (i jednocześnie renomowany konsultant ds. bezpieczeństwa w internecie, jako że z powodu swej działalności zaliczył pobyt w więzieniu), zaczynał od opracowywania pomysłów na oszukanie systemu transportu publicznego w Los Angeles. Kupił kasownik, by móc ponownie wykorzystywać zużyte bilety. Był znudzony obowiązującymi przepisami, a zarazem pełen inwencji, zdecydowany i bardzo zainteresowany wyszukiwaniem luk w regulacjach. Jego największym atutem była nie tyle wiedza techniczna, ile umiejętność stosowania sztuczek – nazywana obecnie inżynierią społeczną. Fascynowały go triki wykorzystywane przez magików i zdawał się świetnie rozumieć luki w ludzkiej percepcji. Był biegły w czymś, co nazywało się wówczas hakowaniem telefonów [ang. phone phreaking] – wykorzystywał system sygnałów i kliknięć tak, aby oszukać system telefoniczny i móc wykonywać darmowe połączenia. Najczęściej Mitnick włamywał się do sieci komputerowych, dzwoniąc do centrum sterowania i podając się za technika dokonującego przeglądu sieci. Rzucając podczas przyjaznej pogawędki specjalistyczne hasła i dane techniczne, a w zamian otrzymywał od znudzonych i niezmotywowanych pracowników loginy i hasła. Jego celem nie było wcale wywołanie chaosu lub wzbogacenie się. Po prostu cieszył się tym, że może kogoś przechytrzyć. Czuł dreszczyk emocji towarzyszący naruszaniu zasad. Cennym łupem była wykonywania darmowych połączeń. Miał frajdę, gdy udawało mu się przeprogramować sieć tak, że numer któregoś z jego przyjaciół był rozpoznawany jako jeden z automatów telefonicznych. Zdumiony abonent, próbując nawiązać połączenie, słyszał: wrzuć monetę.

Obecnie ataki hakerskie stały się bronią w wojnie politycznej i dyplomatycznej oraz narzędziem w działalności przestępczej na ogromną skalę. Aktywiści internetowi, dokonując ataków na komputery, prowadzą swoje kampanie – na przykład przeciwko kontrowersyjnej sekcie scjentologów, bądź dają popalić organizacjom, których działalność im się nie podoba. Pewien ekspert w dziedzinie bezpieczeństwa określił atak na Sony jako „bombardowanie od wewnątrz”[3]. Tak jak opisałem to w Rozdziale 5, rząd Chin wszczął szeroko zakrojoną, finansowaną z budżetu państwa akcję kradzieży dóbr własności intelektualnej skierowaną przeciwko firmom zachodnim[4]. Rosja wykrada tajemnice państwowe swoim geopolitycznym przeciwnikom. Oba te kraje, ale nie tylko one, werbują do współpracy całe grupy oraz pojedynczych najemników, tak samo jak w dawnych czasach rządy wynajmowały wolnych strzelców i piratów. Najważniejsze w tym wszystkim jest to, że świat wirtualny bardzo się różni od tego prawdziwego. Nie znamy prostego i niezawodnego sposobu na udowodnienie w sieci, kim jesteśmy; nigdy nie możemy być pewni tego, z kim naprawdę mamy do czynienia. Naszym najsłabszym punktem jest tożsamość cyfrowa: chaotyczna, nierzetelna, łatwa do zapomnienia mieszanka loginów, haseł, pytań zabezpieczających i innych środków używanych do kontrolowania i uwierzytelniania naszej działalności w sieci. Jeszcze kilka lat temu wszystkie te zagadnienia miały niewielki wpływ na nasze życie. Ich znaczenie jednak wzrosło. Dziś, jeśli nie obchodzimy się ostrożnie z naszą elektroniczną tożsamością, możemy ucierpieć w prawdziwym życiu. Zaadresować ten problem możemy tylko, decydując się na radykalne zmiany w sposobie użytkowania przez nas komputerów.

Nasza tożsamość online może wydawać się zabezpieczona tak jak zamknięte drzwi do domów. W rzeczywistości jednak jest otwarta na ataki hakerów. Zapewne nie słyszeliście nigdy zwrotu „nOOds” (od brzmienia angielskiego wyrazu nude, czyli „nagi” – przyp. tłum.). Jeśli jednak jesteście kobietą, a do tego sławną, musicie zdawać sobie sprawę, iż możecie stać się ofiarą ludzi, którzy wykradają, kolekcjonują i wymieniają się roznegliżowanymi zdjęciami znanych osób. Pod koniec 2014 roku opublikowano takie właśnie fotografie z wizerunkiem gwiazdy „Igrzysk śmierci” Jennifer Lawrence, modelki Kate Upton, a także tuzina innych. Zostały one wykradzione ze sprzętów obsługiwanych przez Apple i wystawione na nielegalnej wirtualnej giełdzie. Ten nieco mrożący (i anonimowy) wpis na forum internetowym odsłania kilka szczegółów:

To nie był tylko jeden hak

To nie był tylko jeden leaker[1]

To był nieduży podziemny krąg handlarzy nagich fotek, który istniał od wielu lat

Dlaczego informacje o tym kręgu nie wyszły na jaw wcześniej?

Jedynym sposobem, by się do niego przyłączyć, było wkupienie się oryginalnymi zdjęciami zdobytymi na własną rękę.

Ci ludzie to również banda chciwych sk*********. Gdybyście byli przypuszczalnie jedynymi osobami na świecie posiadającymi rozbierane zdjęcia @jlaw [chodzi o aktora Jude’a Law], to czy naprawdę oddalibyście je właścicielowi? I to za darmo?

Ci ludzie włamują się do prywatnych komputerów celebrytów i używają do tego (jak przypuszczam) inżynierii społecznej oraz (zwłaszcza w przypadku gwiazd z wyższej półki) metod typowo hakerskich

Wymieniają się łupem, by powiększyć swoje kolekcje

Krąg rzadko otwiera się na nowych członków – niewiele osób zdaje sobie sprawę z jego istnienia, a jeszcze mniej ma nagie zdjęcia, którymi mogłoby się wkupić

Z wyjątkiem osób w stylu „bogatego dzieciaka”… Wydaje się, że właśnie ktoś taki kupił kilka zdjęć i rozpowszechnił je, szkodząc tym samym osobom z kręgu

Upatrując w tym swojej szansy i zdając sobie sprawę z tego, że ich działalność wyszła w końcu na jaw, kilka osób z kręgu ujawniło się i zaoferowało część swoich kolekcji w zamian za datki

Łatwo jest sklasyfikować tego typu ludzi jako dziwaków i zboczeńców, ale ich ofiarom wcale nie jest do śmiechu. Nawet najbardziej energiczna i kosztowna reakcja prawna nie jest w stanie spowodować usunięcia tych zdjęć z sieci. Jeśli nie uda Wam się namówić administratora jednej witryny do zablokowania działalności tych ludzi, inny im na to zezwoli. Nigdy nie będziecie mogli mieć pewności, że więcej nie wypłyną. Wystarczy przecież, że ktokolwiek będzie miał je zachowane na swoim komputerze, by mogły powrócić, opublikowane za sprawą kilku kliknięć. Jedną z pierwszych lekcji ery komputerów, jaką odebrali ich użytkownicy, było to, że maszyny mogą się zepsuć. Dlatego wielu zaczęło robić kopie ważnych plików i przechowywać je na innych urządzeniach. Próba uniknięcia jednego problemu stworzyła nowy. Wspomniani celebryci – ofiary ataków opisanych powyżej – nie przechowywali swych zdjęć wyłącznie na urządzeniach (na komputerze lub telefonie). Chcieli mieć wygodę korzystania z nich w dowolnym miejscu i czasie. Ładowanie danych do chmury (wirtualny system udostępniający przestrzeń do przechowywania danych, utrzymywany przez firmy takie jak Google czy Apple) pozwala na to, niezależnie od tego, gdzie się znajdujecie i kiedy tego potrzebujecie.

Wygoda jest prawdziwym atutem architektury chmury, poczucie bezpieczeństwa użytkowników zaś jedynie iluzją. Wykradnięcie zdjęć przez osobę z zewnątrz okazało się bardzo proste, ponieważ Apple – jedna z największych firm komputerowych na świecie – pozwoliła zadziwiająco łatwo włamać się na konta użytkowników. Apple nie czuje się winna. Była „oburzona”, dowiedziawszy się o kradzieży i uznała ją za atak na precyzyjne cele: nazwy użytkowników, hasła i pytania zabezpieczające. Broniła się, że do żadnego z tych włamań nie wykorzystano luki w jakimkolwiek systemie Apple. To prawda. Hakerzy nie musieli stosować żadnych sprytnych technik, by się włamać do sieci Apple. Zamiast tego wykorzystali serię błędów w procedurach bezpieczeństwa firmy. Na pierwszym etapie musieli odgadnąć e-mail ofiary, co nie jest takie trudne, gdy się uwzględni fakt, że można próbować tyle razy, ile się chce. Możecie zarejestrować konto w Apple [Apple ID], używając jakiegokolwiek adresu. Informacja, że dany e-mail jest już „w użytkowaniu”, to pierwsza ważna wiadomość. Dla przykładu, gdyby wielki Humphrey Bogart nadal żył, moglibyście sprawdzić, czy e-mail humphrey.bogart@gmail.com jest zajęty. Moglibyście próbować innych kombinacji, takich jak humphrey.bogart@me.com, humphrey.bogart@yahoo.com itd. Ustaliwszy konkretny adres e-mail (taki, o którym Apple mówi, że jest już w użytkowaniu), macie już namierzony zamek. Brakuje jedynie klucza.

By zalogować się na konto Humphreya Bogarta, używając do tego jego e-maila, który Apple uznało za adres „w użytkowaniu”, wybieracie opcję „zapomniałem hasła”. Apple proponuje dwa warianty. Jednym jest wysłanie na Wasz adres e-mail wiadomości zawierającej link, który po kliknięciu pozwala na reset hasła. To wcale nie jest bezpieczne dla użytkownika, ponieważ wirtualny włamywacz (jak przekonamy się później) może zawładnąć dowolnym kontem e-mail. Druga opcja jest jeszcze łatwiejsza. Jeśli użytkownik nie zastosował dodatkowych środków zabezpieczających, Apple zresetuje hasło online na żądanie każdego, kto poda datę urodzin (łatwo ją ustalić w przypadku osób znanych) lub właściwą odpowiedź na błahe pytanie (na przykład imiona członków rodziny). Każdy, kto korzysta z Wikipedii lub Facebooka, już dawno umieścił gdzieś tego typu informacje. Odrobina zabawy w detektywa w internecie może także wskazać drogę ku innym źródłom. Wirtualny włamywacz po zresetowaniu starego hasła podaje nowe i otrzymuje wgląd w zdjęcia i inne prywatne pliki ofiary[5].

Karanie tych, którzy lubią podglądać i szydzić z osobistego życia innych – ich sfery intymnej – jest praktycznie niemożliwe. Jeśli ktoś zabierze wam klucze do mieszkania i ewentualnie zrobi ich kopię, a później włamie się do Waszego domu i ukradnie zdjęcia z półki, policja może zebrać jego odciski palców, przepytać świadków i pobrać materiał DNA. Wirtualni intruzi w Waszej sypialni raczej nie pozostawią śladów.

Nasza tożsamość chroni o wiele więcej niż tylko prywatne życie. W prawdziwym życiu rzadko się zdarza, że jednocześnie gubimy klucze, paszport, prawo jazdy i portfel. Gdyby nawet ktoś ukradł nam je wszystkie, nieprędko mógłby zrobić z nich użytek, a przede wszystkim nie jednocześnie. Nasza tożsamość elektroniczna łączy w sobie wszystkie te aspekty. Ryzyko, że zostanie nam ukradziona, stanowi więc o wiele większe zagrożenie niż ryzyko utraty jakichkolwiek fizycznych zabezpieczeń – złodziej może bowiem zyskać szybki dostęp do wielu sfer naszego życia jednocześnie. Także konsekwencje mogą być poważniejsze. Łatwo można skopiować jakieś dane i uczynić je stale dostępnymi. Gdy raz zostaną udostępnione, może powstać nieskończenie wiele ich kopii. Wykorzystywane w złej wierze dane mogą stanowić dla nas zagrożenie. Ktoś może za ich pomocą próbować się pod nas podszyć. Może też wystawić innych ludzi na niebezpieczeństwo, nawet tych, z którymi nigdy nie mieliśmy styczności.

Na pierwszy rzut oka wszystko to wydaje się dość skomplikowane. Naszą sytuację pogarsza pewna beztroska i sposób, w jaki traktujemy kwestie bezpieczeństwa. Jeśli zapomnimy zamknąć samochód, może on nam zostać skradziony, jednak stojącym obok autom nie będzie groził ten sam los. Gdy zgubimy klucze do mieszkania, wystawimy na niebezpieczeństwo nasz dom i ludzi, którzy w nim mieszkają, ale już nie naszych sąsiadów. Tymczasem kradzież informacji i danych uwierzytelniających jest potencjalnie znacznie bardziej szkodliwa niż utrata kompletu kluczy. Dzieje się tak, ponieważ nasza tożsamość w internecie różni się od tej prawdziwej. Zawartość czyjejś torebki (kosmetyki, dokumenty, klucze, zdjęcia itp.) nie pomoże nam podszyć się pod jej właścicielkę i oszukać sąsiadów oraz współpracowników. Ludzie ci od razu zorientują się po głosie, twarzy, płci i innych cechach, że nie jesteśmy tymi, za których się podajemy. Jeżeli jednak obrabujemy swą ofiarę z jej loginów i haseł, będziemy w stanie [w sieci] udawać tę osobę w sposób przekonujący, dzięki dostępowi do jej komputera (umożliwi nam to podglądanie, wykradanie danych i wyrządzanie szkód). Będziemy mogli wysyłać e-maile, których rzekomo ta osoba będzie autorem, do jej przyjaciół i znajomych, z załącznikiem lub linkiem, który po kliknięciu okaże się groźny. Będziemy też mogli posłużyć się jej skrzynką e-mailową do rozsyłania niebezpiecznych wiadomości do nieznajomych. Jeżeli adres tej osoby brzmi wiarygodnie, ofiary będą mogły kliknąć na link i otwierać zawartość pułapkę.

Nie trzeba być bogatym i sławnym, żeby stać się ofiarą tego typu ataków. Naoki Hiroshima, programista z Palo Alto (Kalifornia), stał się celem, ponieważ miał krótki chwytliwy pesudonim [ang. handle][2] na Twitterze. Wiadomości w tym serwisie mogą mieć jedynie 140 znaków, więc im krótszy nick, tym więcej miejsca zostaje na tweet. Kiedy popularność Twittera gwałtownie wzrosła do ponad 250 mln aktywnych użytkowników piszących w tym samym czasie, najbardziej pożądane krótkie pseudonimy były już zajęte. Hiroshima był jednym z 26 szczęściarzy używających jednoliterowego nicka – podpisywał się jako N. Ta jedna literka była wiele warta – zaproponowano mu za nią 50 tys. dolarów, ale odrzucił ofertę.

Rozczarowany niedoszły nabywca nie dawał za wygraną. Zaatakował. Przejął kontrolę nad stronami Hiroshimy, jego Facebookiem i innymi sferami jego działalności w sieci, grożąc, że zniszczy mu firmę i zrujnuje życie osobiste, jeżeli ten nie odda mu pseudonimu. Hiroshima się zgodził, ale odzyskawszy kontrolę nad swoim życiem, utracił swoje cenne N[6]. Dopiero po nagłośnieniu tej sprawy Twitter podjął interwencję i przywrócił mu jego własność.

Internetowi podglądacze oraz złodzieje nicków to jedynie mała część znacznie większego problemu. Liczba włamań jest kolosalna. Jeszcze przed ostatnim wielkim zamachem firma Sony – w 2011 roku – dopuściła do tego, że hakerzy przejęli loginy i hasła 100 mln klientów korzystających z PlayStation i sieci Online Entertainment[7]. W połowie 2014 roku eksperci w dziedzinie cyberbezpieczeństwa podali do wiadomości, że gang o nazwie CyberVor („vor” po rosyjsku oznacza złodzieja) wykradł 1,2 mld unikalnych danych uwierzytelniających. Jeśli to prawda, to pod względem liczby poszkodowanych osób było to największe przestępstwo w historii internetu – i świata[8].

Ludzie atakujący nasze komputery i sieci mogą być przestępcami, żartownisiami, mogą być politycznie zmotywowanymi aktywistami lub rządowymi agencjami; mogą też być wszystkimi po trochu. Może to być jedna osoba bądź więcej. Członkowie grup dopuszczających się ataków mogą się zmieniać i nie każdy musi wiedzieć, jaki jest ostateczny cel działań, w które jest włączony. Identyfikowanie tych grup ludzi poprzez np. śledzenie ich rozliczeń jest niemożliwe. Nie proszą przecież o przesłanie im pieniędzy przelewem. Mają do dyspozycji waluty cyfrowe – nowy rodzaj pieniędzy, który istnieje tylko w internecie. Najbardziej znaną spośród nich jest Bitcoin. Waluty te mają wiele wad, nie są jeszcze powszechnie akceptowane. Ich wartość jest zmienna. Oparte są na skomplikowanych matematycznych wzorach, które mogą zawierać nieznane na razie błędy. Mają jednak wielką zaletę: gwarantują, że transakcje są trudne do namierzenia. Jeżeli wysłaliście komuś bitcoiny – co dla osób obeznanych z technologią jest tak proste jak przesłanie e-maila – nikt się nie dowie, kto był nadawcą, a kto odbiorcą. W rezultacie odkrycie, kto stoi za atakami, jest o wiele trudniejsze niż w świecie rzeczywistym, a doprowadzenie sprawców przed wymiar sprawiedliwości prawie niemożliwe.

W większości przypadków sprawcy ataków pozostają anonimowi. Namierzenie ich jest właściwie niemożliwe. Jednak mają oni typowo ludzkie słabości: lubią chwalić się swoimi talentami, oczernianiać swoich wrogów i pomagać przyjaciołom. Daje to śledczym, zarówno agencjom rządowym, jak i niezależnym jednostkom, możliwość ich monitorowania. Jednym z takich samozwańczych tropicieli jest Brian Krebs, amerykański specjalista do spraw bezpieczeństwa. Zidentyfikował on właściciela strony Rescator, na której wystawiono na sprzedaż ukradzione dane z kart kredytowych. Rescator jest szokującym przykładem tego, jak w bezczelny sposób przestępczość internetowa zamienia się w działający legalnie biznes – z zamówieniami online, wyprzedażami sezonowymi i zasadami reklamacji. Karty klasyfikowane są w zależności od kraju, banku, dostawcy i jakości usługi – karta American Express zawierająca pełne dane osobowe, z kompletnym adresem i numerem ubezpieczenia, jest warta więcej niż karta jakiegoś pomniejszego banku.

Ze śledztwa przeprowadzonego przez Krebsa wynika, że właścicielem witryny Rescator jest człowiek o nazwisku Andrey Hodirevski zamieszkały w Odessie na Ukrainie. Należy on do rosyjskiego antyzachodniego gangu specjalizującego się w kradzieżach danych osobowych. Pisze on o tym w swoim internetowym manifeście przetłumaczonym przez Krebsa[9]:

Działanie naszej Republiki, ideologia Lampedusy – w przeciwieństwie do krajów Zachodu, stawia za cel harmonię wszystkich sił na świecie. Po upadku ZSRR utraciliśmy tę kruchą równowagę sił na planecie. My – Senat i najlepsi ludzie Republiki – nie walczymy jedynie o przetrwanie i nasze miejsce na Ziemi, kieruje nami idea! Ta idea, którą każdy z nas nosi w sercu – by przywrócić wszystko, co zostało skradzione przyjaznym nam narodom, ziarenko po ziarenku! Walczymy w dobrej sprawie! Gorąca krew krąży w naszych żyłach, w obywatelach, którzy pragną zmienić sytuację na świecie. Nie ugniemy się przed wolą innych ludzi i ich pragnieniami, damy adekwatną odpowiedź zachodniemu globalizmowi. Musimy zostać wojownikami o sprawiedliwość!

Możliwe, że żyłoby nam się zupełnie inaczej, gdyby plan Allena Dullesa nie istniał i gdyby Stany Zjednoczone nie zainwestowały miliardów dolarów w rozpad ZSRR. Zostaliśmy pozbawieni naszej wspólnej ojczyzny, nikt jednak nie odebrał nam jedności, granic, jesteśmy teraz jeszcze bliżsi jeden drugiemu. Widzieliśmy oczywiste reguły kapitalizmu, gdzie człowiek jest człowiekowi wilkiem. Razem jesteśmy w stanie zrobić wiele, by odzyskać wszystko to, z czego ograbiła nas Ameryka. Zostaniemy wysłuchani! Obywatele Lampedusy – „wolni malarze” gotowi do tworzenia i życia w idei dla dobra naszej Ojczyzny – zegnijmy ich wpół i wsadźmy im jeszcze głębiej!!![10]

Odkrycie prawdziwej tożsamości takiego osobnika wymaga wiele pracy ze strony rządu lub utalentowanego poszukiwacza, jakim jest Krebs. Większość hakerów nie musi się obawiać ujawnienia. Stwarza to swego rodzaju moralną próżnię, z jaką rzadko mamy do czynienia w prawdziwym świecie, gdzie stale trzeba kalkulować ryzyko i zysk, gdzie – gdy kusi nas zło – musimy liczyć się z tym, że nasze niecne postępki mogą zostać odkryte, a wtedy czekają nas poważne konsekwencje, począwszy od krytyki społeczeństwa, a skończywszy na odpowiedzialności karnej.

Jakieś 2,5 tys. lat temu grecki filozof Platon głosił teorię o świecie – który teraz, w dobie internetu, stał się rzeczywistością – w którym można postąpić źle i pozostać niezauważonym. Opisał magiczny token, który nazwał pierścieniem Gygesa – sprawiał on, że nosząca go osoba stawała się niewidzialna. Przed tymi, którzy uważają, że moralność jest przede wszystkim kwestią ryzyka i korzyści, pierścień ów usunąłby wszelkie przeszkody, w tym konsekwencje niemoralnego zachowania.Jesteśmy obecnie w stanie przetestować idee Platona w prawdziwym życiu, ale rezultaty mogą się okazać przygnębiające dla każdego, kto uważa, że moralność jest kwestią instynktu. Użytkownicy internetu są przekonani, że w anonimowym świecie mogą być grubiańscy, mogą komuś grozić czy oszukiwać. Najlepszym tego przykładem jest trolling – bezinteresowne umieszczanie agresywnych lub niestosownych komentarzy w serwisach społecznościowych albo w odpowiedzi na artykuły publikowane online. Nie jest oczywiste, jakie są motywy takiego zachowania. Wyniki badań naukowych wskazują jednak, że przelotność i anonimowość sprzyjają uwalnianiu się skłonności sadystycznych, ekshibicjonizmu i bezduszności[11].

W internecie niewielkim kosztem można osiągnąć duże korzyści. Ataki mogą być zautomatyzowane i powtarzane setki lub tysiące razy. Dzięki temu, że internet jest wszechobecny, nawet mała zdobycz może prowadzić do wielkich łupów. Jeżeli chcecie się przyjrzeć czyjemuś prywatnemu życiu, nie musicie wspinać się na płot, by podglądać go przez okno: wystarczy, że wtargniecie na jego konto Apple, na którym przechowuje on swoje prywatne zdjęcia. Jeśli zamierzacie ukraść pieniądze, nie musicie robić skoku na bank – możecie grabić ludzi przez internet. Jeżeli chcecie zepsuć reputację Waszego rywala, możecie go obsmarować i jesteście w stanie to zrobić, nie wstając od klawiatury. W dobie internetu straciły znaczenie niedogodności wiążące się z rozmiarami przeprowadzanego ataku i odległościami. Malkontent z Singapuru jest w stanie zniszczyć życie śpiewaczki operowej z Ameryki, której nigdy nawet nie poznał. Ten sam trik może być powtarzany w nieskończoność. Jeżeli potraficie przerobić terminal w sklepie tak, by móc wykraść dane z czyjejś karty kredytowej, możecie zyskać dostęp do setek kart. Jeśli wiecie, jak się włamać do bazy danych, by gromadzić prywatne informacje o jakiejś osobie, to jesteście w stanie ograbić ją też ze wszystkiego innego. W czasach przed internetem słabym punktem jednostki był jej dom – dając dostęp do okien i drzwi, a poza tym telefon i poczta. Na atak narażała fizyczna nieobecność ofiary, gdy na przykład robiła zakupy, wyjeżdżała na wakacje czy pracowała poza domem. Powierzchnia ataku, używając terminu z dziedziny bezpieczeństwa cyfrowego, oznaczała dla złoczyńcy (choćby dowcipnisia czy kogoś wścibskiego) ograniczony zakres możliwości i wymagała zwykle zbliżenia się do upatrzonego obiektu. Dziś ofiara robi zakupy, korzysta ze swojego konta bankowego, prowadzi korespondencję i udziela się towarzysko za pomocą komputera. Miliony użytkowników na całym świecie wystawiają na niebezpieczeństwo te same wady w zabezpieczeniach.

Chociaż nie przepadam za terminem cyberprzestępczość (ani za innymi wyrazami z przedrostkiem cyber-, który służy w zasadzie jedynie sprawianiu, że dane słowo wydaje się bardziej mistyczne i urokliwe, za to wcale go nie objaśnia), muszę przyznać, że komputery rzeczywiście przyczyniły się do stworzenia nowej kategorii przestępstw. Zawiera ona element skalowalności i redukuje pojęcie dystansu. Teoretycznie oszust może otworzyć fałszywy bank: może wynająć budynek, zaaranżować go tak, by wyglądał na prawdziwy, postawić wspólników za kontuarem i okradać przybyłych klientów. W rzeczywistości byłoby to mało możliwe: kłopotliwe, ryzykowne i niesamowicie pracochłonne. Zanim upowszechnił się internet, raczej więc fałszowano bankomaty. Po wsunięciu przez ofiarę karty i podaniu kodu PIN na ekranie terminalu pojawiał się komunikat, że wystąpił błąd. Skopiowane dane z karty mogły być użyte do stworzenia fałszywych kart wykorzystywanych do wyczyszczenia konta ofiary. To jednak także było dość trudne do zrealizowania i ryzykowne. Oczywiście znacznie łatwiejsze niż stawianie fałszywego banku. Jednak najprostsza okazała się metoda kradzieży, która nie wymaga wychodzenia z domu czy choćby ruszania się z krzesła.

Ataki na nasze komputery i sieci są trudne do zrozumienia, a debata nad tym, co można zrobić, by im zapobiegać, jest płytka i chaotyczna. Szacowanie kosztów jakiegokolwiek czynu karalnego nie jest proste: przestępstwa dokonywane z wykorzystaniem komputerów i internetu są jeszcze trudniejsze do zdefiniowania. Jaki jest koszt utraconego, przez obawy o bezpieczeństwo, biznesu? Jaka jest cena ochrony naszej prywatności? Większość szkód już wyrządzonych może nie wyjść na jaw jeszcze przez wiele miesięcy czy lat. Jak napisał w ostatnim raporcie amerykański ekspert Richard Danzig, dane dotyczące kosztów internetowej przestępczości są „rozmyte, gromadzone nieregularnie, generowane ze zmieniających się populacji, niekonsekwentnie znakowane i agregowane, nieprawidłowo upowszechniane i najczęściej analizowane przez strony mające w tym swój gospdarczy interes[12].

Podczas gdy firmy zajmujące się bezpieczeństwem mają tendencję do przeszacowywania kosztów cyberprzestępstw, ofiary raczej na ten temat milczą. Część z nich zresztą nie zdaje sobie nawet sprawy z tego, że padły ofiarą ataku. Te, które sobie to uświadamiają, wolą lizać rany w ukryciu. Firmy niechętnie przyznają się do tego, że nie potrafią porządnie zabezpieczyć danych swych pracowników i klientów czy towarów. Przecież akcjonariusze nie byliby zachwyceni, gdyby wiedzieli, że ich spółce grozi ryzyko utraty własności intelektualnej – unikalnych projektów i formuł – albo że w każdej chwili wyciec mogą wrażliwe rynkowo informacje na temat fuzji czy planów wprowadzenia nowych produktów itp. Który bank chciałby przyznać się do tego, że dane jego klientów mogą trafić w niepowołane ręce, a bankomaty mogą zostać przejęte przez złodziei? Firmy wolą milczeć, zamiast narażać się na odpowiedzialność prawną poprzez niepotrzebną otwartość. Nawet więc jeśli chcielibyście bronić swoich firm przed atakami, to nie zawsze wiecie, jak moglibyście to robić. Jak można było przeczytać w rubryce Lex „Financial Times”: „tajność towarzysząca branży bezpieczeństwa cyfrowego działa przeciwko jej ideom. Gdy nie mamy wiedzy o atakach i wyciekach [danych], skąd możemy wiedzieć, czyje oprogramowanie jest najlepsze”[13].

Nawet mimo tych zastrzeżeń liczby są porażające. W raporcie przygotowanym niedawno przez firmę McAfee, zajmującą się systemami ochrony przed włamaniami do sieci komputerowych, oszacowano koszt cyberprzestępczości na świecie na ponad 400 mld dolarów[14]. Ta liczba uwzględnia straty wynikające z nadużyć, których ofiarami stają się banki i instytucje finansowe, a także koszty skradzionej własności intelektualnej (na przykład projektów) skutkujące utratą korzyści, zahamowaniem inwestycji i innowacji. Uwzględnia ona też koszty działań zapobiegawczych i turbulencji wynikających z wpływu ataku na aktywność gospodarczą podmiotu i stan zatrudnienia (według raportów cyberataki kosztowały już Amerykanów 200 tys. miejsc pracy, a Europejczyków 150 tys.). Używając podobnej metody, rząd brytyjski (w raporcie przygotowanym przez producenta oprogramowania zabezpieczającego komputery) oszacował w 2011 roku, że przestępczość w internecie kosztuje Wielką Brytanię 27 mld funtów rocznie[15].

Nawet jeśli przyznamy, że dużo w tych liczbach przechwalania się i że sposób oszacowania jest niejasny, same proporcje zwracają uwagę: firma McAfee twierdzi, że cyfrowa gospodarka generuje rocznie 2 do 3 bln dolarów, a internetowa przestępczość pozbawia jej 15–20 proc. tej kwoty. Podobną wartość ma światowy przemysł lotniczy (2,2 bln dolarów w 2012 roku). Gdyby przestępcy narażali tę branżę na straty sięgające 400 mld dolarów rocznie, porywając samoloty, kradnąc bagaże, fałszując bilety i oszukując na paliwie oraz częściach zamiennych, byłby to skandal. Nawet gdyby kwota ta była dwukrotnie czy czterokrotnie mniejsza, wciąż oznaczałoby to, że olbrzymie środki pochodzące z naszych kieszeni zasilają rynek przestępczy.

Porady, oprogramowanie i gadżety konsultantów bywają przydatne. Zwykle jednak korzystamy z nich w sposób, w jaki na przeziębienie stosujemy maść tygrysią czy inne specyfyki kupowane naprędce w odpowiedzi na nie całkiem zrozumiane zagrożenie.

W rozmowach o produktach bezpieczeństwa często pada wzmianka o „cyfrowym Pearl Harbour” – nieoczekiwanym cyberataku jednego państwa przeciwko drugiemu powodującym dewastującą, w okamgnieniu druzgoczącą katastrofę poprzez zniszczenie elektronicznie zasilanych sieci, systemu bankowego czy jakiegoś innego elementu naszego współczesnego życia. Aby się przed tym ustrzec, teoretycznie należałoby zakupić drogie gadżety i programy, a także wynająć konsultantów. Tego typu ryzyka nie da się oczywiście wykluczyć, jednak to nie ono jest najbardziej prawdopodobne. Dezorientacja co do zakresu i źródeł tych ataków stworzyła biznesową okazję dla wszelkiego rodzaju sprzedawców potrafiących zarabiać na emocjach i żargonie. Łatwiej jest przedstawić zagrożenie w sposób dramatyczny (i często nierealny) niż w ten nudny, lecz bliższy rzeczywistości. O wiele prościej też sprzedać drogi, prosty i bezużyteczny produkt, którego działanie klient może sobie wyobrazić, niż tani, funkcjonalny, lecz niezrozumiały.

Pośród całego tego zamieszania co do jednego rodzaju danych nie ma raczej wątpliwości: koszt ochrony cyberprzestrzeni w 2013 roku wyniósł  67 mld dolarów[16]. Każdego roku rośnie o 8 procent. Szacowano, że w 2015 roku wydatki na ten cel wyniosą 80 mld dolarów. Cena za nieostrożność i chciwość, które stoją za zagrożeniami w bezpieczeństwie cyfrowym, jest więc bardzo wysoka. Jest to wydatek podobny do tego, jaki przemysł lotniczy czyni co roku, by zapobiegać porwaniom samolotów.

Na konieczność płacenia tego rachunku, a także pokrywania kosztów mniej wymiernych szkód, naraża nas sposób, w jaki myślimy o bezpieczeństwie w sieci – pokrętny i przestarzały. Najprościej jest posługiwać się analogią do zamków i kluczy. Bardziej właściwe jednak byłoby porównanie z pojęciami odnoszącymi się do naszego zdrowia, systemu immunologicznego, infekcji i chorób. Znacznie lepiej odnoszą się one do kwestii bezpieczeństwa naszych komputerów i sieci. Kluczowe są tu dwa zjawiska:

• bezpośrednia ofiara nie musi wiedzieć o tym, że została zainfekowana,

• wirus może wyrządzić szkodę nie tyle jej samej, ile [za jej pośrednictwem] innym osobom.

Jeśli więc podejmiecie środki ostrożności, zabezpieczacie nie tylko swój komputer, lecz także sprzęt innych ludzi. Tak jak szczepienie dzieci czy podawanie antybiotyków chroni społeczeństwo przed rozprzestrzenianiem się chorób, tak regularne czyszczenie komputera [z wirusów] i unikanie możliwości bycia wciągniętym w jakiekolwiek aktywności o charakterze przestępczym czyni życie online innych bezpieczniejszym.

Moją książkę postanowiłem zatem poświęcić największemu obecnie bezpośredniemu zagrożeniu, jakie czyha na zwykłych ludzi. Nie stanowią go bynajmniej nadmierna uwaga ze strony wścibskiego rządu (czy też rządu nieprzyjaciela) ani wybryki i wyczyny politycznych aktywistów. Chodzi o gangsterkę, która stworzyła wyrafinowany rynek usług przestępczych, oferowanych i dostarczanych za pośrednictwem internetu. Chodzi o tych, którzy wykradają nasze loginy i hasła. Oni z reguły znają się właśnie na tym, a nie na wykorzystywaniu skradzionych informacji. Podobnie jak w innych biznesach, tu także specjalizacja się opłaca. Złodziej samochodów nie jeździ przecież pojazdem, który ukradł – sprzedaje go komuś, kto potrafi pozbywać się „gorących” aut. Skradziona tożsamość także jest towarem, który można kupić i sprzedać na czarnym rynku. Nawet najpokorniejszy użytkownik komputera wystawiony jest na zagrożenia. Pełne tożsamości – zawierające szczegółowe dane, takie jak numery telefonów, adresy, informacje bankowe itp., są warte najwięcej. Pozwalają na rozwinięcie skomplikowanej działalności przestępczej. Liche tożsamości, zawierające jedynie na przykład adres poczty elektronicznej, mają mniejszą stawkę. Same dane karty kredytowej mogą być warte na czarnym rynku  4 dolary. Dane uwierzytelniające do konta bankowego online, na którym jest 75–150 tys. dolarów, kosztują około 300 dolarów[17]. Olbrzymia liczba skradzionych tożsamości spowodowała spadek ich cen na czarnym rynku. Jednak niepełne informacje o danej tożsamości zawsze są coś na nim [dla kogoś] warte[3]. Niektórzy [przestępcy] nie zadają sobie trudu, by ukrywać te transakcje. Na przykład witryna Rescator, prowadzona przez całkiem pewnego siebie młodego człowieka z Odessy, pozwala klientom pakować do wirtualnego koszyka cokolwiek, co według nich jest warte uwagi. Gdy powstawała ta książka, dane kont europejskich klientów American Express warte były ok. 8 dol. [za jeden rekord].

Podszywanie się pod konkretne osoby za pomocą skradzionych danych pozwala atakującym na przejmowanie kontroli nad komputerami, okradanie i oszukiwanie innych ludzi. Skradzione tożsamości mogą też być platformami bardziej skomplikowanych ataków. Wiele – jeśli nie większość – ofiar nawet nie zdaje sobie sprawy z tego, że ich bezpieczeństwo jest zagrożone. Administratorzy licznych stron, z których zostały skradzione dane osobowe klientów, nie zdają sobie sprawy z tego, że ich zabezpieczenia zostały złamane, a jeśli w ogóle kiedykolwiek się o tym dowiedzą, stanie się to za sprawą osób trzecich, na przykład agencji rządowych. Osoby indywidualne są łatwą zdobyczą dla przestępców, ponieważ ataki na nie mogą być zautomatyzowane i rozprzestrzeniać się niczym infekcja: gdy kontrola nad komputerem ofiary raz zostanie przejęta, można go użyć do zaatakowania każdego z kręgu jej znajomych. Coraz bardziej zwiększa się jednak liczba celowanych ataków, których ofiarą padają organizacje, przedsiębiorstwa oraz rządy. Łupem są wówczas pieniądze bądź informacje. W 2013 roku dwa banki na Bliskim Wschodzie straciły 45 mln dolarów w kilka godzin – zdaniem niektórych komentatorów oznaczało to największy napad na bank w historii[18]. Przestępcy włamali się do komputerów tych instytucji, po czym zmienili ustawienia na niektórych przedpłaconych kartach debetowych, czyli takich, których ludzie z reguły używają na wakacjach, gdy nie chcą zabierać w podróż kart kredytowych. Złodzieje po prostu usunęli limity z tych kart i wysłali dane bankowe do zorganizowanych grup przestępczych w 27 krajach, których członkowie zrobili setki kopii tych kart, i chodząc od bankomatu do bankomatu, wybierali maksymalną dostępną kwotę. Jeden gang odwiedził 2 tys. punktów wypłat w samym Nowym Jorku[19]. Straty te są oczywiście bez porównania mniejsze niż te, jakie poniosła pewna brytyjska firma (bodajże należąca do sektora zaawansowanego technicznie). Jeden cyberatak kosztował ją 1,3 mld dolarów.

Ryzyko związane z hakowaniem komputerów indywidualnych osób to tylko część większego problemu. Ataki na duże systemy informatyczne, które mają ogromne znaczenie dla naszego współczesnego życia, mogą powodować o wiele większe kłopoty. Gdy systemy komputerowe dwóch brytyjskich banków – NatWest oraz RBS – zawiesiły się w czerwcu  2012 roku, około 12 mln ludzi nie było w stanie dokonywać płatności. Niektórzy nie mogli dokończyć przeprowadzki, inni natomiast utknęli za granicą. Jeden człowiek musiał zostać w więzieniu, ponieważ nie mógł wpłacić kaucji.

Ta konkretna sytuacja była (prawdopodobnie) spowodowana zwykłą usterką techniczną. Nasza percepcja szkód wywołanych celowymi atakami jest bardzo powierzchowna. Jednak każdego roku wielkie firmy zajmujące się bezpieczeństwem cyfrowym publikują raporty, z których wynika, że przestępczość w internecie się nasila. Bywa, że dane podawane do publicznej wiadomości są wyolbrzymione; w końcu przedsiębiorstwom tym bardzo zależy na sprzedawaniu swych produktów i usług. Trend wydaje się dość oczywisty. Ataki stają się coraz częstsze, bardziej pomysłowe i jeszcze bardziej szkodliwe.

Granica między światem komputerów (niekiedy uważanym za skomplikowany i nudny, aczkolwiek niegroźny) oraz tym prawdziwym – gdzie są pieniędze, jedzenie, seks oraz podróże – się zaciera. Błędy popełnione online mogą kosztować nas pieniądze, szczęście oraz, w niektórych przypadkach, wolność. Możemy niechcący podzielić się z kimś informacjami z naszego życia osobistego, przyczyniając się do zrujnowania naszych związków z innymi ludźmi bądź wyrządzenia nieodwracalnych szkód naszym karierom. Kradzież danych może doprowadzić firmy do bankructwa lub narazić je na kosztowne, często wyniszczające procesy sądowe. Komputery mogą służyć jako broń w konflikcie między dwoma krajami (wojna cybernetyczna). Zagrożenia, które powoduje nasze uzależnienie od komputerów, mogą mieć związek z najnowocześniejszą technologią na świecie – a ponieważ dotyczą one nas wszystkich, musimy zadbać o to, by osoby z niewielką wiedzą techniczną zrozumiały, dlaczego muszą myśleć i działać inaczej niż do tej pory. Tylko w ten sposób będziemy mogli uniknąć szkód.

Jak zauważył Amerykanin Dan Geer, jeden ze współtwórców internetu, a obecnie myśliciel skupiony na przyszłości sieci, po latach ignorowania bezpieczeństwa cyfrowego zaczyna się je obecnie traktować poważnie. Jednak nie myśli się o nim, martwi się Geer, w sposób „użyteczny, spójny i długoterminowy”[20]. Wiele wysiłku wkłada się w kosztowne działania, które jednak nie poprawiają sytuacji w sposób zasadniczy.

Doświadczenia zdobywane w prawdziwym życiu oraz instynkty[4] nie wystarczają w świecie komputerów i sieci. Każdy, kto jest właścicielem lub korzysta z urządzenia elektronicznego, za którego pośrednictwem może komunikować się z innymi urządzeniami, powinien zwracać uwagę na zagrożenia z tym związane. Jednym kliknięciem możesz zrobić sobie krzywdę (finansową lub innego rodzaju). Możesz także bezwiednie działać na szkodę innych ludzi, osobiście lub poprzez należące do Was urządzenie, nad którym kontrolę przejął (i zdalnie nim kieruje) ktoś inny.

Nie chciałbym, aby książka ta była poradnikiem rozpaczy. Większa rozwaga w naszym zachowaniu w trybie online naprawdę może uczynić nas bezpieczniejszymi. Tak jak może przyczynić się do tego odpowiednia presja płynąca ze środowisk prawniczych, biznesowych czy regulatora. Firmy, które traktują nasze bezpieczeństwo poważnie, będą oczywiście zyskiwać klientów i rozwijać się. Jednak ważniejsze jest, aby wyraźnie zaznaczyć, że ci, którzy tego nie zrobią, będą cierpieć. Stracą swoje biznesy, będą płacić większe składki na ubezpieczenie, a ceny akcji ich spółek spadną – oraz będą musieli stawiać czoła coraz większej liczbie postępowań cywilnych i karnych.

Chcę również podkreślić rolę, jaką [w dziedzinie bezpieczeństwa cyfrowego] odgrywa innowacja. Jestem dumnym posiadaczem jednego z pierwszych na świecie e-dowodów osobistych, oficjalnego rządowego dokumentu, który pozwala na identyfikację mojej osoby oraz na bezpieczne podpisywanie elektronicznych dokumentów gdziekolwiek się znajdują. Nie przeszkadza mi to w zachowaniu anonimowości, gdy mam na to ochotę – jednocześnie dając mi możliwość udowodnienia, kim jestem, jeśli zajdzie taka potrzeba. To obecnie rzadki przywilej, lecz odkąd funkcjonuje program e-dokumentów w krajach takich jak Estonia (wystartował pod koniec  2014 roku), będzie stawał się udziałem coraz większej liczby ludzi.

Problem ten obrazuje znany rysunek z magazynu „The New Yorker”[5]. To, co jest w tym przypadku korzystne dla psów, nie jest takie dla ludzi, którzy chcą wiedzieć, z kim mają do czynienia w internecie.

[1] Od wyrazu leak, po angielsku wyciek – przyp. tłum.

[2] Twitter jest serwisem mikroblogowym, w którym użytkownicy mogą wysyłać, czytać i wymieniać się krótkimi, 140-znakowymi wiadomościami. Im krótszy jest pseudonim, tym więcej miejsca pozostaje na resztę wiadomości. Wpadające w oko nicki również są pożądane, gdyż inni użytkownicy zauważają je prędzej. Większość z nich została „zaklepana” na początku działania serwisu. Moje jest raczej nudne i długie: @edwardlucas.

[3] Skradzione dane mogą zawierać informacje dotyczące klienta (jego adres domowy, dane karty kredytowej itd.) lub informacje przekazywane przez pracowników swojemu pracodawcy lub też dane dotyczące obywateli przechowywane przez rządy. Mogą to być po prostu loginy i hasła do takich rzeczy, jak e-mail, Facebook czy Twitter, z czego wszystkie z nich mają zbyt na czarnym rynku.

[4] Używam w tej książce słowa „prawdziwe” jako retoryczne przeciwieństwo „online”.

[5] Na obrazku tym widać dwa psy, z których jeden siedzi przy klawiaturze komputera. Przyglądającemu mu się ze zdziwieniem kundelkowi pies przy komputerze odpowiada: „Spokojnie. W internecie nikt nie wie, że jesteś psem” – przyp. Kurhaus.

Rozdział 1
Państwo Hakhett

Aby w pełni zobrazować problemy i zagrożenia związane z życiem online, postanowiłem przedstawić Czytelnikom pewną fikcyjną parę, która mogłaby istnieć w rzeczywistości. Chip Hakhett prowadzi firmę szkoleniową, oferuje programy rozwoju osobistego dla menedżerów. Jego żona Pin pracuje w dziale personalnym międzynarodowego wydawnictwa prasowego[1]. Ich niedolę, spowodowaną po części ignorancją i nieroztropnością, a po części pechem, odzwierciedla prawdziwa cena, jaką przyszło im zapłacić w następstwie ataku na komputer i sieć.

Pin i Chip zawsze starają się zapobiegać różnym rodzajom ryzyka związanym z podróżowaniem. Rozglądają się przez ramię, gdy przechodzą na drugą stronę ulicy. Wkładają odzież z elementami odblaskowymi, gdy jeżdżą na rowerach. Dbają o to, by przegląd samochodu był wykonany na czas, ciśnienie w oponach było prawidłowe, a szyby czyste. Zwracają uwagę na kontrolki zapalające się na desce rozdzielczej. Nawet gdy wszystko zdaje się być w porządku – podobnie jak większość ludzi, regularnie serwisują swe auta u fachowców. Kierowców prowadzących pod wpływem alkoholu, tych bez ubezpieczenia lub prawa jazdy, uważają nie tyle za osoby nieodpowiedzialne, ile za zwykłych przestępców. Chip, który często podróżuje, jeździ volvo. Wybrał tę markę, przedkładając bezpieczeństwo ponad inne parametry. Zdał test w Institute of Advanced Motorists, by uzyskać zniżkę na ubezpieczenie. Pin ma małe, tanie auto służące głównie do pokonywania krótkich tras. Nie przepada za autostradami. Żadnemu z nich nie przeszłoby przez myśl wsiąść do samochodu po spożyciu alkoholu. Gdy są za kółkiem, nie muszą martwić się o sprawność swych pojazdów czy własne kompetencje. Trapi ich prawdopodobieństwo spowodowania wypadku przez mniej sumiennych kierowców.

Pin i Chip uwielbiają swoje samochody i wszystkie dobrodziejstwa związane z ich posiadaniem, nie interesuje ich jednak zbytnio to, co się dzieje pod maską. Ciężko by im było wytłumaczyć różnicę między silnikiem benzynowym w aucie Pin a dieslem Chipa. Samochód Pin ma automatyczną skrzynię biegów, lecz jak większość kierowców ani ona, ani jej mąż nie byliby w stanie nakreślić nawet najprostszego planu jej funkcjonowania lub wskazać, czym się ona różni od ręcznej skrzyni biegów w aucie Chipa. Żadne z nich nie ma pojęcia o równaniach matematycznych czy inżynierii, która sprawia, że ich pojazdy jadą płynnie i trzymają się drogi przy dużej prędkości. Bo niby czemu mieliby mieć?

Ważniejsze jest to, co zdają się znać bardzo dobrze: ograniczenia i kompromisy związane z użytkowaniem samochodów przez ludzi. Jeśli zahamujecie za ostro, zaczniecie się ślizgać. We mgle należy zachować wyjątkową ostrożność. Jeśli będziecie jechać za szybko, wzrośnie prawdopodobieństwo wypadku. Przejeżdżając lekkomyślnie przez skrzyżowanie, narażacie się na ryzyko, że wjedzie w Was inny samochód. Jeśli mieszkacie zbyt blisko ruchliwej drogi, możecie, wraz z Waszymi dziećmi, nabawić się problemów z oddychaniem. Pin i Chip wiedzą, jak sobie radzić z innymi kierowcami, potrafią odróżnić niekompetencję na drodze od agresji, ale najważniejsze jest to, że zdają sobie sprawę z tego, że ich zdolność prowadzenia ma wpływ nie tylko na bezpieczeństwo ich samych, ale też innych ludzi.

Prawidłowo oceniają ryzyko związane z transportem drogowym i nie szczędzą środków, aby ich podróże przebiegały pomyślnie. Dla kontrastu, znacznie mniej boją się podróży drogą powietrzną. Po prostu zakładają z góry, że wszystkie samoloty muszą spełniać bardzo wysokie standardy i że międzynarodowe prawo lotnicze jest ściśle przestrzegane, z uwzględnieniem bezpieczeństwa jako priorytetu. Wszystkie te założenia przyjmują niejako mechanicznie. Nie porównują linii lotniczych pod względem bezpieczeństwa pasażerów. Zakładają, że prawo lotnicze w równym stopniu zapewnia je wszystkim.

W mojej książce zamierzam wykazać, że niewłaściwe wykorzystanie komputera (za wiedzą użytkownika lub bez jego wiedzy) może być o wiele bardziej niebezpieczne niż kiepska jazda samochodem czy niedbale wykonywane usługi. Pojedynczy kierowca może spowodować wypadek, w którym ktoś może doznać obrażeń albo może zgniąć kilka, a w najgorszym razie kilkadziesiąt osób. Błąd w lotnictwie może kosztować życie kilkuset ludzi. Natomiast niewłaściwie wykorzystany komputer może się przyczynić do zrujnowania życia niezliczonej liczby ludzi, opróżniając ich konta bankowe, ograbiając ich z ważnych danych lub odcinając im dostęp do usług, bardzo ważnych z perspektywy naszego współczesnego życia. Mimo że komputery mogą być bardziej niebezpieczne [niż samochody i samoloty], wciąż nie nauczyliśmy się ich obsługiwać tak dobrze, jak nasze pojazdy.

Żaden z instynktów czy bezpiecznych zachowań, które wiążą się ze sposobem, w jaki wykorzystujemy samochody i samoloty, nie działa; u Pin i Chipa nie odnosi się do sposobu użytkowania przez nich komputerów. Chip od wielu lat ma ten sam komputer stacjonarny, za słaby, by korzystać na nim z najnowszego oprogramowania, za to działający dobrze ze starą wersją Microsoft Office.Uważa to za dobrodziejstwo, bo nie jest skłonny uczyć się nowych sztuczek. Swą wiedzę na temat sprzętu zdobywał w latach 90. i nie zawracał sobie głowy jej aktualizowaniem. Dopóki może za pomocą komputera drukować listy i sporządzać notatki o klientach, w zupełności mu to wystarcza. Jako loginu i hasła używa swojego e-maila i imienia swojej żony oraz daty urodzenia: Pin1962. By zaoszczędzić sobie czasu, używa go też na wielu portalach: Amazon, Facebook, Twitter – dosłownie wszędzie.

Pin jest świadoma, jak ważne jest bezpieczeństwo sieci komputerowej. W pracy musi zmieniać hasło co trzy miesiące. Wprowadzono u niej tę zasadę cztery lata temu. Obecnie używa: H@khett12, natomiast w następnym miesiącu zmieni je na H@khett13. Zastanawia się, czy nie będzie to dla niej pechowym posunięciem.

Ani Pin, ani Chip nie zastanawiają się nad tym, czy mogą stać się ofiarami hakerów. Bo niby czemu mieliby nimi zostać? Nie są zamożni czy sławni. Nie wzbudzają zainteresowania agencji wywiadowczych ani politycznych aktywistów. Nie znają żadnych sekretów. Są po prostu dwojgiem ludzi z ponad 2 mld użytkowników internetu. Myślą, że skromne, aczkolwiek sensowne zabezpieczenia, które stosują, wystarczą im do prowadzenia cichego życia online, zupełnie takiego samego jak ich prawdziwe życie. Mylą się, i to bardzo. Nasi przyjaciele są o jedno kliknięcie od zostania ofiarami oszustw starannie planowanych przez międzynarodowe zorganizowane grupy przestępcze. Mogą też stać się celem „haktywistów” (politycznie motywowanych hakerów) lub jakiejś agencji wywiadowczej – i to wcale nie dlatego, że coś wiedzą lub coś robią, lecz choćby dlatego, że mogą znać kogoś, kim te instytucje się interesują.

W świecie, w którym państwo Hakhett – oraz większość Czytelników tej książki – dorastali, największym problemem w zakresie bezpieczeństwa były działania przestępcze, których dopuszczali się głównie ludzie niekompetentni i głupi. Pin i Chip mają porządne zamki w drzwiach i oknach, unikają złych dzielnic po zmroku i uważają na to, komu otwierają drzwi. Wiedzą, że zorganizowane grupy przestępcze potrafią być przebiegłe i bezlitosne. Nie prowadzą kasyna ani nie zajmują się transportem dużych sum pieniędzy, więc prawdopodobieństwo, że padną ofiarą tych szajek, wydaje im się odległe. Nie martwią się też o polityczny aktywizm. Wspierają kontrowersyjne pozycje z cienia (Pin miała raka piersi i jest zwolenniczką testów na zwierzętach, Chip natomiast ma poglądy proizraelskie) i nie wydaje im się, by miało to jakikolwiek wpływ na ich bezpieczeństwo. Żadne z nich nie bierze udziału w publicznych debatach czy demonstracjach.

Jeszcze mniej martwi ich bezpieczeństwo narodowe. Chip urodził się w czasach, gdy państwo już dawno zrezygnowało z poborów do wojska. Są w miarę świadomi zmian zachodzących w armii oraz technologii, jednocześnie będąc szczęśliwie nieświadomymi szczegółów z nimi związanych. Szpiegostwo wydaje im się równie odległym światem. Hakhettowie pamiętają historię z 2010 roku o rosyjskich agentach żyjących w Ameryce. W szczególności pamiętają słynną już Anne Chapman. Sama myśl, że jakikolwiek element tego świata mógłby wpłynąć na ich własne życie, wydaje im się absurdalna[2]. Jednak gdy mowa o atakach cyfrowych, owe odległe światy nagle mogą stać się nam bardzo bliskie. Większość złoczyńców, czy to kryminaliści, agencje rządowe czy zwykli chuligani, używa podobnych taktyk. Te same luki w zabezpieczeniach, które pozwalają komuś przejąć kontrolę nad Waszymi komputerami w celach przestępczych, mogą być wykorzystane w bardziej wyrafinowany sposób. Zablokowanie strony internetowej może służyć jako próba wyłudzenia pieniędzy, polityczny protest czy nawet być elementem międzynarodowego sporu. To wszystko odnosi się zresztą nie tylko do naszych komputerów czy laptopów. Zarówno Pin, jak i Chip mają telefony komórkowe (teraz są to smartfony), które same w sobie są praktycznie małymi komputerami. W ich życiu pełno jest urządzeń napędzanych procesorami i oprogramowaniem. Mowa o samochodach, sprzętach gospodarstwa domowego (zmywarki do naczyń, liczniki energii) oraz elementach infrastruktury i wyposażenia biur (klimatyzacja, windy).

Generalnie każdy, kto używa urządzeń elektrycznych lub jest w jakimś stopniu od nich zależny – jak każdy człowiek żyjący we współczesnym świecie – powinien zweryfikować swoje podejście do nich i tego samego oczekiwać od innych. Może się to wydawać niepojęte: jak to możliwe, by jeden komputer miał wyrządzić jakąś wielką szkodę? W większości przypadków oczywiście nie wyrządzi, tak jak samochód z łysymi oponami czy przetartymi klockami hamulcowymi nie musi od razu stać się trumną na kółkach.

Trend jest jednak coraz bardziej wyraźny i złowieszczy. Jeszcze kilkanaście lat temu myśl, że awaria komputera mogłaby spowodować pożar domu, nie miałaby racji bytu. Dziś jest to bardziej niż oczywiste. Dawniej zdawałoby się niemożliwe, by tysiące ludzi mogło stracić pracę tylko dlatego, że ich pracodawca nie zabezpieczył odpowiednio ważnych danych. Dziś się to dzieje. Nortel Networks, jedna z najlepszych kanadyjskich firm technologicznych, upadła w 2009 roku, po tym jak chińscy hakerzy wykradli jej projekty oraz plany biznesowe po niemal dekadzie ataków na jej komputery[3]. Przez to, że nasze życie stało się tak bardzo uzależnione od komputerów (bardziej niż jesteśmy w stanie to zrozumieć), jesteśmy wystawieni na ryzyko zaistnienia zjawiska, które Geer, ekspert w dziedzinie bezpieczeństwa, nazywa „niespodzianką nie do powstrzymania”. Określa on w ten sposób zdarzenie wyrządzające tak wielkie szkody, że trudno je naprawić, jeśli w ogóle jest to możliwe.

Ryzyko wypadku zawsze będzie towarzyszyło branży transportowej. Podobnie komputery zawsze będą zagrożone cyfrowym atakiem. Ich całkowite zabezpieczenie jest niemożliwe. Dostatecznie zdeterminowany przeciwnik znajdzie sposób [na skuteczny atak]. Gdy wszystko inne zawiedzie, może spróbować choćby ataku gumową pałką [rubber hose attack] – co oznacza tortury, np. pałowanie, w celu skłonienia ofiary do współpracy.

Ta prawda dotyczy każdego rodzaju zabezpieczeń. Nie oczekujemy przecież od naszego domu, że będzie w stanie wytrzymać ostrzał artylerii – liczymy po prostu na to, że jest na tyle bezpieczny, by zniechęcić potencjalnego włamywacza. Planujemy nasze bezpieczeństwo w życiu (w dużej mierze instynktownie) na zasadzie prawdopodobieństwa wystąpienia jakichś zdarzeń, ich skutków, a także naszej praktyki. Te same zasady musimy umieć stosować w odniesieniu do komputerów. Życie zmusza nas do ciągłych kompromisów, wyborów pomiędzy wolnością osobistą, bezpieczeństwem a komfortem życia. W stosunku do komputerów powinniśmy postępować podobnie. Fundamentalnym problemem jest dziś fakt przeceniania przez nas swobody oraz udogodnień związanych z ich użytkowaniem. Zarazem zbyt małą wagę przywiązujemy do kwestii naszego bezpieczeństwa. Tego typu postawa daje bardzo szerokie pole do popisu złoczyńcom wszelkiej maści, czy to szpiegom, kryminalistom czy też zwykłym chuliganom.

Należałoby zatem znaleźć odpowiedni sposób na zniechęcenie potencjalnych wrogów, tak by stosunek nakładu ich pracy do rezultatów był dla nich niekorzystny. Fort Knox, w którym Stany Zjednoczone trzymają swoje rezerwy złota, nie jest nie do zdobycia, jednakże napad na takie miejsce wymagałby zmasowanego ataku militarnego, bez realnej szansy na ucieczkę z łupem. Jeżeli zatem warunkiem dobrania się do złota z Fort Knox jest podbicie Ameryki, cel ten nie wydaje się szczególnie wart zachodu. Dla pojedynczego człowieka wynika z tego wniosek, że należałoby zapoznać się z zasadami bezpiecznego użytkowania komputerów, a ze stosowania ich uczynić nawyk. W odniesieniu do firm oznacza to konieczność dokładnego i rzetelnego przemyślenia sposobów przechowywania i przetwarzania danych. Nieroztropność i lekkomyślność mogą mieć bardzo poważne konsekwencje – ze strony firm ubezpieczeniowych, udziałowców, klientów i dostawców usług, aż po wymiar sprawiedliwości.

Każdy użytkownik komputerów powinien mieć w świadomości ryzyko wystąpienia jednego z trzech głównych rodzajów ataków. Przecież wszyscy zdajemy sobie sprawę z tego, że kaszel i katar przyczyniają się do rozprzestrzeniania się chorób oraz że mycie rąk przed przygotowaniem posiłku jest nie tylko przejawem dobrego wychowania, lecz także istotnym elementem dbania o zdrowie tych, dla których ten posiłek gotujemy. Co więc stoi na przeszkodzie, by użytkownicy komputerów zapoznali się z najważniejszymi metodami zapobiegania infekowaniu ich maszyn?

Najprostszym sposobem na zainstalowanie szkodliwego oprogramowania na komputerach innych ludzi jest zmanipulowanie ich, aby sami je sobie zainstalowali. Przytrafiło się to mojej córce w jej dziesiąte urodziny. Kupiłem jej małego, wartego około 100 funtów laptopa, po czym poprosiłem ją, aby ściągnęła sobie z internetu Open Office (darmowy program oferujący większość funkcji o wiele droższego Microsoft Office). Pierwszy wynik w Google skierował ją nie do strony openoffice.org, lecz do innej, z której razem z programem ściągnęła niechciane oprogramowanie wyszukiwarek internetowych. Był to Mindspark wyprodukowany przez firmę działającą wprawdzie legalnie, a jednak budzącą kontrowersje z powodu przyjętych przez nią metod. W przypadku mojej córki program zmodyfikował proces wyszukiwania tak, że każde wyszukiwanie produkowało lawiny niechcianych reklam oraz informacji. Model biznesowy firmy Mindspark polega na dobieraniu użytkowników z ich klientami oraz sprzedawaniu informacji o ich zwyczajach na podstawie wyszukiwanych przez nich rzeczy. Nie ma w tym nic nielegalnego – aczkolwiek nie było to coś, na co ja lub moja córka wyrazilibyśmy zgodę.

I tak się nam upiekło. Mogliśmy przecież zostać wmanewrowani w pobranie czegoś gorszego, jak np. Security Toolbar 7.1 maskujący się jako wyszukiwarka, który nakłaniałby nas do zainstalowania fałszywych (i niebezpiecznych) programów zabezpieczających na naszym komputerze. Ten mały epizod świetnie obrazuje niektóre z zasadniczych niebezpieczeństw związanych z korzystaniem z internetu. Dziecko, wchodząc do sklepu ze słodyczami, może być pewne, że produkty w nim dostępne nie stanowią dla niego bezpośredniego zagrożenia. Od ponad 100 lat istnieją przepisy regulujące jakość oraz bezpieczeństwo produktów spożywczych. W związku z tym sprzedawcy niebezpiecznych bądź wadliwych towarów ryzykują otrzymanie ciężkich kar lub nawet pozbawienie wolności. Dodatkowo każdy sklep handlujący żywnością musi dbać o reputację. Odpowiedzialny sprzedawca nie wyda dziecku czekolady z alkoholem czy wyszukanych, egzotycznych słodyczy z chilli i solą. Jeśli już jednak zdarzy nam się kupić coś niedobrego, wiadomo, co robić: wypluć po pierwszym kęsie. Możemy też kupić proste lekarstwo na dolegliwości żołądkowe oraz udać się do lekarza, gdy niepożądane objawy nie ustępują. Bakteria chorobowa w układzie trawiennym może być dokuczliwa i powodować dyskomfort, wiemy jednak, jak sobie z nią poradzić. Zwykle zresztą nie zagraża naszemu życiu lub zdrowiu. Jeżeli nie jesteśmy w kiepskim stanie, nie powinna nas narażać na żadne poważniejsze problemy zdrowotne.

Gdy mowa o komputerach, sytuacja jest odwrotna. Mamy tu do czynienia z infekcjami, z których możemy sobie nawet nie zdawać sprawy. Nie wiemy, jak sobie z nimi radzić. Ludzie oferujący nam lekarstwo mogą natomiast starać się nas skrzywdzić, zamiast pomagać. Google twierdzi, że nie zezwala na reklamy stron, które próbują zainstalować malware – oprogramowanie stworzone w celu wyrządzania szkód – jednak nie daje nam żadnej możliwości zgłoszenia strony, która stwarza potencjalne zagrożenie dla użytkownika. Oferuje natomiast możliwości zadośćuczynienia swoim prawdziwym klientom: firmom, które uważają, że zostały niesprawiedliwie wykluczone z możliwości umieszczania reklam w jego serwisie. To podkreśla pewien bardzo ważny aspekt: zwykli użytkownicy Google’a nie są „klientami” serwisu. Są produktem, który sprzedaje on firmom wykupującym na jego stronach internetowych (tych, z których tak chętnie korzystamy) reklamy.

Nawet doświadczony użytkownik może paść ofiarą podobnych sztuczek. Jeżeli na Waszym komputerze wyskoczy okienko z powiadomieniem, że Wasz komputer jest zainfekowany i że musicie zainstalować oprogramowanie antywirusowe, naturalnym odruchem będzie zgoda na taką operację. Tak samo, gdy dowiecie się, że Wasze oprogramowanie jest już przestarzałe lub narażone na atak i wymaga aktualizacji, zdecydujecie się na to, tak jak większość osób, bez wahania. Ludzie, którym zależy na zainstalowaniu malware na czyimś komputerze, są wprawieni w manipulacji do tego stopnia, że ich fałszywe programy wydaje się jak najbardziej przyjazne i autentyczne. Mogą używać do tego kolorystyki oraz logo znanych oryginalnych produktów – takich jak np. Flash Player, program do odtwarzania plików wideo wymagany w większości komputerów. W ten sposób starają się rozwiewać podejrzenia.

Innym równie łatwym sposobem, by wymusić na kimś instalację złośliwego oprogramowania, jest nakłonienie go do otworzenia załącznika w e-mailu. To zwykle jakiś plik, np. obrazek lub dokument dołączony do elektronicznego listu lub też link prowadzący do zainfekowanej strony. Ta taktyka jest znana jako phishing (od angielskiego słowa fishing oznaczającego połów). Jej celem jest zarzucenie dostatecznej ilości haczyków, by złapać odpowiednią liczbę nieświadomych niczego ofiar.

Podszywanie się pod czyjś adres e-mail jest dziecinnie proste. Aby sprawdzić ludzką łatwowierność, stworzyłem adres russian.embassy.london@gmail.com i rozesłałem do znajomych oraz współpracowników wiadomości (dołączając kilka logotypów oraz innych materiałów), żeby zobaczyć, czy potraktują je poważnie. Tak właśnie się stało. Żadnemu z nich nawet nie przyszło do głowy pytanie, czemu rosyjska ambasada miałaby używać darmowego serwisu poczty elektronicznej jednego z amerykańskich gigantów technologicznych. Wysłanie e-maila, który naprawdę wygląda, jakby pochodził od kogoś innego, wymaga zaledwie odrobiny finezji. Bardzo niewielu laików zdaje sobie sprawę z tego, że załącznik do wiadomości jest również programem komputerowym. Gdy w niego klikniecie, komputer wykona wszystkie zapisane w nim czynności. Legalny załącznik będzie nieszkodliwy: wyświetli po prostu obrazek o konkretnych rozmiarach na komputerze bądź będzie oznaczał używanie konkretnej czcionki w dokumencie. Natomiast sprytnie zaprojektowane złośliwe oprogramowanie będzie zawierać także inne materiały, które mogą wywołać dramatyczne skutki, na przykład zaatakować Wasz komputer za pomocą ransomware, który blokuje dostęp do komputera, z możliwością odzyskania kontroli tylko po zapłaceniu okupu szantażyście. Skutki mogą też okazać się z pozoru błahe: któregoś dnia możecie po prostu zauważyć, że Wasz komputer działa nieco wolniej niż zwykle lub kompletnie nie zauważyć niczego, co oznaczałoby odejście od normy. Zainfekowany załącznik może mieć niewinną nazwę, jak np. resume.doc. Gdy będziecie próbować go otworzyć, nic się nie będzie działo. Wzruszycie więc ramionami i zapomnicie o nim, nie zdając sobie sprawy z tego, że właśnie oddaliście kontrolę nad Waszym komputerem obcej osobie.

To samo dotyczy trzeciego rodzaju infekcji – linków (odnośników). Kiedy klikacie na link, by załadować stronę internetową, zezwalacie swojej maszynie na wykonywanie instrukcji na niej zawartych. Niektóre linki mogą być całkiem nieszkodliwe: wyświetlenie obrazka, użycie określonej czcionki czy zaimportowanie konkretnych materiałów z innego źródła. Może się też jednak zdarzyć, że link będzie skrywał coś zupełnie innego; jak zaraz się przekonamy, może to być nawet fragment programu malware, który po pewnym czasie połączy się z innymi jego częściami.

Obchodzimy się z naszymi komputerami tak, jak kiedyś traktowaliśmy nasze samochody. Gdy narodził się przemysł motryzacyjny, aut nie otwierało się za pomocą kluczyków. Dopiero potem w samochodach pojawiły się proste zamki, które miały zniechęcać przeciętnego złodzieja, ale już nie stanowiły większego wyzwania dla profesjonalistów. Pamiętam, że gdy byłem dzieckiem, w Oksfordzie w latach 70., mój ojciec wychodził w nocy podmieniać kable prowadzące z dystrybutora do świec zapłonowych, żeby w razie włamania się do naszego auta i odpalenia go „na krótko” (poprzez połączenie ze sobą kabli, po usunięciu zamka ze stacyjki) nie można było nigdzie nim odjechać, mimo iż silnik zaczynał działać.

Obecnie większość użytkowników internetu jest zaledwie na etapie zamykania swoich aut. To sprawia, że pozostają oni wystawieni na najprostsze nawet formy ataku – nie poprzez wyszukane oprogramowa nie pisane przez komputerowych geniuszy, lecz poprzez zwyczajną, fałszywą stronę internetową. Spryt oszusta leży nie w jego narzędziach, tylko w umiejętności manipulowaniu ludźmi, tak by sami odwiedzali jego stronę. Niektórzy użytkownicy są na tyle naiwni, że wchodzą nawet na najbardziej oczywiste niebezpieczne witryny (na przykład takie, które oferują darmową pornografię) i akceptują zaproszenia z najbardziej niewiarygodnych źródeł. Inni są bardziej powściągliwi i odmawiają odpowiedzi na e-maile zapraszające ich na takie strony, jak np. bestxxxporntube.com. Jednak nawet w miarę rozważne osoby mogą paść ofiarą oszustwa i kliknąć link, który udaje, że prowadzi na zupełnie inną stronę. Najbardziej rozpowszechnioną formą tego procederu są wiadomości o tytułach „Świetna fotka ciebie!” bądź „Widziałeś to już?”. Zwykle podany jest w nich niepozorny link – wyprodukowany za pomocą jednego z wielu serwisów skracających linki, takich jak t.co. Ostatnio otrzymałem od prominentnego szwedzkiego polityka e-maila z dopiskiem: „Załączam panu bardzo ważny dokument do analizy”. Zawierał on link do „obejrzenia dokumentu”. Kliknięcie na niego zaprowadziłoby mnie do strony premierimoveisaruja.com.br/inc/ (radzę nie próbować), która miała zainstalować na moim komputerze wirusa Mal/PhishA – a ten z kolei miał wykraść moje dane bankowe. Gdy wniosłem skargę, odpisano mi, że wiadomość nie pochodziła od rzekomego nadawcy. Innym przykładem mogą być e-maile z powiadomieniem, że wygraliśmy na loterii i że należą nam się pieniądze. Zwykle odsyłają nas do strony atakującej wirusami.

Poza instalowaniem na naszych komputerach malware’a – złośliwego oprogramowania – poprzez załączniki, linki i pliki do pobrania, czwartym popularnym sposobem ataku jest nakłanianie użytkowników [komputerów] do dobrowolnego wyjawiania swych loginów i haseł. Te mogą być użyte do celów przestępczych – lub do wykorzystania danej osoby do przeprowadzenia ataku na kogoś innego. Kradzież danych personalnych, jak to się fachowo nazywa, może nie pozostawiać żadnych śladów na komputerze użytkownika – nie instalować żadnego malware’a, którego Wasz antywirus mógłby zauważyć. Przypomina to raczej procedurę kopiowania kluczy do Waszych drzwi do domu. Dopiero z czasem, gdy zdacie sobie sprawę, że zamki w drzwiach zostały zmienione i jacyś nieznajomi ludzie kręcą się w Waszym domu, przeglądając Wasze rzeczy, odkryjecie, co się właściwie stało.

Powściągliwość i rozwaga przy korzystaniu z internetu mogą sprawić, iż takie ataki będą o wiele rzadsze i o wiele mniej szkodliwe. Niestety, nawet najbardziej przezorny użytkownik komputera nie jest w stanie obejść tego podstawowego problemu: internet nie był stworzony z myślą o bezpieczeństwie.

Rozdział 2
Gdy komputery zawodzą

Była godzina 10.30, 29 października 1969 roku. Leonard Kleinrock, profesor informatyki na Uniwersytecie Kalifornijskim w Los Angeles, usiłował połączyć swój komputer – kosztowne furkoczące pudło wielkości dużego zamrażalnika – z jego odpowiednikiem na Uniwersytecie Stanforda. W tym samym czasie student Charley Kline sprawdzał, czy może napisać słowo „login” na swoim komputerze, tak by litery ukazały się na ekranie innego sprzętu znajdującego się w zupełnie innym miejscu. Wśród ogólnej ekscytacji oba ośrodki komunikowały się przez telefon. Kleinrock wspominał później:

Wpisaliśmy L i zapytaliśmy przez telefon: „czy widzicie L?”.

„Tak, widzimy L”, usłyszeliśmy w odpowiedzi.

Wpisaliśmy O. Zapytaliśmy: „czy widzicie O?”.

„Tak, widzimy O”.

Wtedy wpisaliśmy G i cały system wnet padł[1].

Pierwsza wiadomość przesłana przez sieć komputerową była produktem innej epoki. W późnych latach 60. i 70. akademiccy innowatorzy dążyli do stworzenia skutecznej metody dzielenia czasu przy pracy na komputerach, które wówczas miały wiele ograniczeń: były kosztowne i zajmowały dużo miejsca, ponadto wymagały dużej cierpliwości, odpowiedzialności i szczegółowej wiedzy technicznej. Nikt nie myślał o prywatności i ochronie danych. Stabilność była wówczas priorytetem – network-of-networks, czyli sieć wszystkich sieci, była finansowana przez wojsko i zaprojektowana tak, by mogła działać nawet, gdyby część infrastruktury została zniszczona przez wybuch bomby atomowej. Sprawą nadrzędną były eksperymenty i modernizacja. Żadna z osób zajmujących się rozbudową sieci nie przypuszczała, że zaledwie  50 lat później ta sama technologia komunikacji zdalnej, aczkolwiek znacznie ulepszona, będzie służyć do kradzieży intymnych zdjęć z sypialni, ograbiania kont bankowych i „bombardowania” kont e-mailowych kryptoreklamami (tzw. spam). Internet – zarówno kiedyś, jak i dziś – funkcjonuje na podstawie zaufania. Zakładamy z góry dobrą wolę innych użytkowników. Mamy nadzieję, że każdy internauta przedstawia siebie takim, jaki jest w rzeczywistości. Mimo że odgrywanie w sieci różnych ról jest łatwe i bardzo rozpowszechnione, to demaskowanie użytkowników, z racji ich anonimowości, bywa czasami arcytrudne.

Wpisana w naturę internetu anonimowość jest jednocześnie i klątwą, i błogosławieństwem. Jeden użytkownik może posiadać tyle adresów e-mail, ile zapragnie – to samo odnosi się do stron internetowych. Nie istnieje żaden ich ogólny katalog w rodzaju zbioru numerów w książce telefonicznej. Każdy komputer (bądź telefon czy tablet), łącząc się z siecią internetową, musi pozwolić się zidentyfikować, by mógł odbierać i wysyłać informacje. W większości zarządzają tym procesem firmy telekomunikacyjne bądź duże internetowe korporacje, niemniej cały ten system opiera się na zaufaniu. Tworzy to przestrzeń do błędów i nadużyć. W dzisiejszych czasach liczba urządzeń podłączonych do sieci sięga miliardów. Zmiany, w wyniku których wygenerowane zostaną kolejne adresy, sprawią, że urządzeń będą biliony. Dalsze zmiany znacznie skomplikują rzeczywistość – a to nie będzie sprzyjać niezawodności. Tożsamość każdego urządzenia w sieci może zostać zakamuflowana między innymi poprzez wysyłanie wiadomości przez serwery/komputery osób trzecich.

Jednym z wynikających z tego problemów mogą być trudności w ustaleniu tożsamości danego użytkownika. W sieci Chip Hakhett nie potrafi ani dobitnie przekonać [kogoś], kim naprawdę jest, ani nie może być pewny, z kim ma do czynienia. Kłopotliwe może się też okazać poruszanie się [w sieci]. Czy strona, którą odwiedzamy, to rzeczywiście ta, której szukaliśmy? Łatwo trafić na oszustów. Kolejną problematyczną kwestią, głównie w dużych organizacjach, są sieci, których używamy – bardzo często nafaszerowane są wirusami, które mogą zaszkodzić naszym bazom danych. W skrócie: założenia, które leżały u podstaw stworzenia internetu, sprawdzają się w przyjaznym środowisku. Narażają nas jednak na ogromne ryzyko, gdy pojawiają się w nim złoczyńcy. Szczególnie, gdy większość użytkowników nie zdaje sobie sprawy z tego, jaki mogą oni rozwinąć zasięg.

Nasi przyjaciele Hakhettowie – oboje już po pięćdziesiątce – dorastali w czasach, w których rzeczy stale się psuły. Ich dzieciństwo naznaczone było przepalonymi tosterami, awariami pralek, samochodami, które nie chciały ruszyć z miejsca, i telefonami, przez które niejednokrotnie nie udawało się nawiązać połączenia. Rewolucja w organizacji procesów produkcji zmieniła wszystko. Nastanie ery cyfrowych centrali telefonicznych pozwoliło nam pozbyć się kłopotów polegających na wybieraniu złych lub krzyżujących się numerów. Nowoczesne urządzenia gospodarstwa domowego działają bez zarzutu, tylko od czasu do czasu wymagając konserwacji (np. wymiany żarówki). Hakhettowie mają niewielką wiedzę w zakresie technologii. Nie potrzebują kupować części zamiennych. Gdy coś się im popsuje, mogą po prostu wyrzucić niesprawne urządzenie i kupić nowe. Jedyny technik, którego widzą regularnie raz do roku, przyjeżdża do nich, by sprawdzić stan bojlera grzewczego.

Jest jednak pewien wyjątek. Na biurku Chipa stoi maszyna, która nie jest z założenia instrumentem bezpiecznym i niezawodnym. Regularnie się zawiesza, a Chip nie ma pojęcia, czemu tak się dzieje. Sprzęt zachowuje się nieprzewidywalnie, mężczyzna jednak uważa, że zna wystarczający sposób na nawracające problemy – „naprawia” urządzenie, wyłączając je i włączając z powrotem do sieci; lub korzysta ze swojego laptopa. Bywa, że sprzęt wydaje dźwięki oznaczające przeciążenie. Głośny, chłodzący wiatraczek sugeruje, że zużycie mocy niebezpiecznie się zwiększa. Gdyby Chip wiedział, co się naprawdę dzieje wewnątrz tego kapryśnego ustrojstwa, prawdopodobnie bardziej mógłby się tym przejąć. Nie ma jednak o tego typu sprawach pojęcia. Maszyną, o której mowa, jest komputer stacjonarny, a komputery to dziwaczne w obejściu bestie. Jesteście szczęśliwi, gdy działają, a kiedy zaczynają szwankować, staracie się wykorzystać je na tyle, na ile dacie radę. W każdym razie trudno się bez nich obyć. Podłączone do sieci komputery Chipa są sercem jego biznesu. Wysyła z nich e-maile do swoich klientów – ambitnych typów pragnących doskonalić kompetencje swoich ludzi, prowadzi notatki i grafik spotkań, a także zarządza kontami firmy (np. robi przelewy internetowe oraz kupuje książki i inne przedmioty na Amazon.com). Używa Skype’a do rozmów z rodziną i udziela się na stronach społecznościowych typu Facebook oraz Twitter, dzięki czemu utrzymuje kontakt z przyjaciółmi. Lubi w czasie pracy słuchać muzyki, więc pobiera ulubione utwory za pomocą internetowego serwisu iTunes oraz okazjonalnie (Pin nic o tym nie wie) zerka na strony pornograficzne, by się zrelaksować w ciągu dnia.

Pin używa swojego komputera jedynie w celach praktycznych. Przegląda podania o pracę, tworzy krótkie zestawienia, czyta życiorysy, wysyła zaproszenia do kandydatów na rozmowy kwalifikacyjne i prowadzi inne czynności rekrutacyjne. Ma dostęp do systemu płac firmy (gdy nowi ludzie zostają zatrudnieni, umieszcza ich nazwiska w systemie) oraz konta ubezpieczeniowego, w którym widnieją dane jej współpracowników. W jej firmowej bazie znajduje się mnóstwo danych, których ujawnienie mogłoby przyczynić się do zrujnowania życia niektórych ludzi: imiona zatajonych pozamałżeńskich dzieci objętych firmowym ubezpieczeniem, szczegóły dotyczące postępowań dyscyplinarnych za nadużywanie alkoholu i narkotyków oraz postępowań w sprawie wyłudzeń z funduszu reprezentacyjnego. To wszystko mogłoby wyjść na jaw za sprawą jednego kliknięcia.

Uzależnienie Hakhettów od komputerów i internetu przy jednoczesnym braku zainteresowania tym, jakich zasad należałoby przestrzegać podczas korzystania z sieci oraz tym, jak w ogóle ona działa, to zjawisko bardzo typowe. Można je do pewnego stopnia uzasadnić. Problem w tym, że ich postawa może być katastrofalna w skutkach. Dzisiejsze komputery potrafią przetwarzać ogromne ilości danych, z mocą i dokładnością nieosiągalną dla sprzętu poprzednich generacji. Połączone siecią, pozwalają nam zarabiać, dają rozrywkę, ułatwiają kontakty z ludźmi – innymi słowy, wzbogacają życie towarzyskie, rozpowszechniają wiedzę i ułatwiają korzystanie z dóbr kultury. Komputery w dzisiejszych czasach są tak zakotwiczone w naszym sposobie życia, że wielu osobom ciężko byłoby wyobrazić sobie funkcjonowanie bez nich. Internet – sieć sieci komputerowych – stał się ośrodkowym układem nerwowym naszych czasów. Jest niezbędny do prowadzenia życia prywatnego, urzymywania kontaktów z innymi ludźmi, załatwiania spraw finansowych czy planowania podróży. Daje szybki dostęp do informacji o zdrowiu, do rozrywki, ale też (czego większość ludzi nie zauważa) pozwala nadzorować i utrzymywać w dobrym stanie usługi publiczne i infrastrukturę.

Jak większość użytkowników komputerów, Hakhettowie uważają swoje urządzenia za równie niezawodne, co wydajne. Tak też zresztą zwykle bywa. Dziś, pominąwszy może najbiedniejsze części świata, każdy może szybko i tanio uzyskać dostęp do internetu, na przykład przez telefon. Nie trzeba do tego przechodzić żadnych testów, posiadać komputera, umieć czytać ani pisać. Trudno jest cokolwiek cenzurować w sieci. Łatwo jest rozpocząć biznes, prowadzić kampanie czy dzielić się zabawnymi, ciekawymi informacjami. Większość serwisów jest „darmowa” w trakcie użytkowania. (Jak wspomniałem, sformułowanie może być mylące. Serwisy te w rzeczywistości nie są „darmowe”, tak samo jak reklama w telewizji nie jest „darmowa”. Są one opłacane przez rzeczywistego klienta, czyli osobę lub podmiot, który usiłuje sprzedać swój towar. Wy, jako użytkownicy, nie jesteście klientami, tylko produktami. Przedmiotem transakcji jest Wasza uwaga oferowana reklamodawcom właśnie wówczas, gdy jesteście zajęci myśleniem o „darmowych” usługach lub produktach danego serwisu). Internet jest zdecentralizowany: nikt nie jest jego wyłącznym właścicielem. Rządy starają się go regulować, ale nim nie rządzą. Przesył danych może zostać spowolniony, gdy napotka trudności; nie da się jednak go całkowicie zatrzymać. Nawet w Korei Północnej bardzo rzadko się zdarza, że dane przestają przepływać. Istnieje niepokojąca przepaść pomiędzy tym, co Chip i Pin uważają za środki, których podjęcie jest wystarczające z perspektywy bezpieczeństwa cyfrowego, a tym, co tak naprawdę gwarantuje ochronę w sieci. Nasz zainfekowany komputer, który właśnie atakuje maszyny innych ludzi, może sprawiać wrażenie, że działa poprawnie. Druga rzecz, że zupełnie nie rozumiemy zagrożeń, w obliczu których stajemy w sieci.

W stosunku do komputerów i programów, od których jesteśmy uzależnieni, nie mamy tych samych wymagań, co do innych sprzętów. Pin wsiada do windy i liczy na to, że ta nie będzie się zawieszać, nie przegrzeje się i nie doprowadzi do jej śmierci. Chip wsiada do samochodu, przekręca kluczyk w stacyjce i... jakże byłby zaskoczony i zły, gdyby nic się nie stało, bądź gdyby samochód stanął w płomieniach. Jeśli zaprojektujecie maszynę, która często będzie się psuła, ludzie przestaną ją kupować. Jeśli w wyniku awarii dodatkowo kogoś zrani, Wasza firma otrzyma pozew sądowy. W niektórych krajach menedżerowie spółek producentów mogą w takich przypadkach trafić do więzienia. Firma może splajtować. Wszyscy producenci traktują więc bezpieczeństwo swoich towarów bardzo poważnie. Chip i Pin przez lata subskrybowali „Which?”, brytyjski magazyn konsumencki (jego amerykańskim odpowiednikiem jest „Consumer Reports”). Czytają artykuły o tym, jak produkty danych firm radzą sobie z bezpieczeństwem w zmieniających się warunkach, jakie dają możliwości i jaki jest stosunek tego, co oferują, do ceny. Chcą być pewni, że kupują tylko te produkty, które otrzymują w rankingach konsumenckich wysokie noty.

Tymczasem komputery, które bardzo często przecież zawodzą, uważają za część swojego życia. Chip jest przyzwyczajony, że jakiś dokument nie chce się drukować, że pewne strony nie ładują się poprawnie i że na ekranie czasem pojawają się informacje o tajemniczych błędach. Gdy jego komputer się zawiesza, Chip reaguje flegmatycznie. Oczywiście, pewnie mocno by się przejął, gdyby komputer stanął w płomieniach i wywołał pożar domu. Prawdopodobieństwo takiego zdarzenia jest jednak bardzo niewielkie (choć warto dodać, że baterie litowe w jego laptopie mogą mieć moc bomby, gdy nie są używane poprawnie)[1]. Gdyby jakaś mało spektakularna awaria spowodowała wyciek ważnych danych, w efekcie rujnując mu życie lub biznes, Chip pewnie ledwie rozumiałby, co się tak naprawdę stało. Ludziom tak wrażliwym na ataki cyfrowe jak Hakhettowie informatycy przyglądają się ze zniecierpliwieniem: czegóż oni oczekują? Korzystają ze starych komputerów, nieprawidłowo konserwowanych i używają ich do robienia głupich i ryzykownych rzeczy. Oczywiste jest, że prędzej czy później coś się stanie. Ale to podejście nie jest fair w stosunku do zwykych ludzi. Kpiny profesjonalistów powinny być raczej wymierzone w ich kolegów po fachu – ludzi, którzy projektują i sprzedają komputery i oprogramowanie łączące je z siecią. Reklamują oni swoje produkty i usługi jako pewne, twierdząc, że są tak bezpieczne jak lotnictwo czy motoryzacja. W istocie jednak jest to dalekie od prawdy.

Chip i Pin nie zdają sobie sprawy z tego, że komputery, od których są tak uzależnieni, zaprojektowano nie z myślą o bezpieczeństwie i niezawodności, ale o tym, by dało się je produkować możliwie szybko, tanio i efektywnie. Wewnątrz tych maszyn panuje istny bałagan pełen przetworzonych części i improwizowanych rozwiązań będących efektem pośpiechu i słabej komunikacji. Quinn Norton, czołowa ekspert w dziedzinie bezpieczeńtwa, napisała o tym w maju 2014 roku niezapomnianą rozprawę: „ciężkim zadaniem jest wyjaśnianie zwykłym ludziom tego, jak naprawdę źle działa technologia, i w jakim stopniu infrastruktura naszego życia trzymana jest razem swego rodzaju drutem, jakim jest IT. Komputery i informatyka są naprawdę marne”[2].

Jej słowa okazały się prorocze. Kilka miesięcy później, we wrześniu 2014 roku, świat obiegły wiadomości na temat „błędu shellshock” – największego problemu dekady dotyczącego bezpieczeństwa cyfrowego. Związane były z nieprawidłowością w oprogramowaniu powłoki systemów Unix, Linux i w systemie OS X, znanym jako shell. Powłoka ta używana jest jako aplikacja zarządzająca: wysyła ona polecenia do systemu operacyjnego komputera. Systemy operacyjne są podstawowymi programami, które umożliwiają działanie innych aplikacji. Bez nich komputery byłby przydatne jedynie jako przycisk do papieru. Najbardziej znanymi Czytelnikom systemami operacyjnymi są zapewne Microsoft Windows i OS/X Apple. Jest ich jednak o wiele więcej i zwykle używa się ich w specjalistycznym sprzęcie. Każdy system operacyjny wymaga narzędzia, dzięki któremu użytkownik będzie mógł przesyłać do niego polecenia. Może się to dziać automatycznie – jeśli używacie Microsoft Word, Chrome czy innego zainstalowanego w Waszym systemie programu, który bezpośrednio łączy się z danym systemem. Czasami jednak trzeba systemowi „wstukać” komendę. Zwykle robi się to, pisząc: „uruchom” [ang. run] w Windowsie lub używając aplikacji Terminal w systemie Apple. Jest to tak zwany „interfejs wiersza poleceń”. Pozwala on bezpośrednio wydawać komputerowi polecenia. Problem objawił się w małym popularnym programie zwanym bashem, który napisano ponad  20 lat temu, i w którym niechcący pozostawiono pewne błędy. Okazało się, że przez nie właśnie osoby z zewnątrz, w pewnych okolicznościach, mogą przejąć (poprzez internet) kontrolę nad danym urządzeniem – mogą wysyłać mu komendy, a komputer odczyta je jako przesłane przez bezpośredniego użytkownika. Jako że system operacyjny komputera bierze za pewnik wszystko, co bash mu przekazuje, jest to dość prosty, jednak dewastujący błąd – cyfrowi eksperci mówią, że w skali od 1 do 10 szacują zniszczenia wywołane shellshockiem na 11 punktów[3].

Zwykli użytkownicy, tacy jak Hakhettowie, nie są specjalnie narażeni na shellshocka, chyba że prowadzą strony internetowe na swoich domowych komputerach. Ważnym i dużym celem są natomiast serwery – duże komputery – za których pośrednictwem firmy i organizacje zarządzają swoimi witrynami. Po kilku tygodniach od ujawnienia błędu Apple i inni producenci oprogramowania udostępnili łatki [ang. patch] do shellshocka. Badacze specjalizujący się w bezpieczeństwie cyfrowym szybko się zorientowali, że zamachowcy używający shellshocka próbowali uzyskać kontrolę między innymi nad serwerami należącymi do amerykańskiego giganta internetowego Yahoo. Generalnie trudno jest ustalić dokładnie, kto używał shellshocka w przeszłości i do jakich celów[4]. Tak wiele różnych elementów komputera wymaga połączenia z wierszem poleceń, że ciężko jest sprawdzić, czy każda ewentualność została objęta ochroną. Jeszcze w grudniu 2014 roku firma działająca w obszarze bezpieczeństwa cyfrowego znalazła złośliwe oprogramowanie wykorzystywane przez hakerów na urządzeniach do przechowywania danych[5]. Interesującą sprawą jest, że przestępcy ci używali go nie tylko do fałszowania reklam, ale też w celu trzymania innych szkodliwych elementów z dala od zainfekowanego komputera.

Shellshock uosabia wiele problemów z bezpieczeństwem komputerów. Rozmiary szkód powodowanych przez ataki są kolosalne, ale tak naprawdę niewiele wiadomo o ich naturze. Dobrze zaplanowane uderzenie poprzez shellshock pozostawia niewiele śladów. Terapia jest konieczna, ale okazuje się skomplikowana i tylko częściowo skuteczna. Co więcej, nie wiadomo do końca, kto ponosi winę za to, co się dzieje. Bash, oryginalny program, napisany został przez wolontariusza Briana Foxa w roku 1989 i od tego czasu pozostaje w użyciu. A pamiętajmy, że były to lata, gdy internet napędzali prawie wyłącznie entuzjaści. Darmowe oprogramowanie, zwykle dostępne na zasadzie „otwartej licencji” (oznaczającej ograniczoną ochronę praw intelektualnych – kod może być sprawdzany i aktualizowany przez kogokolwiek) było kołem zamachowym rozwoju sieci. Wielu ludzi wspierało takie działania z przyczyn ideologicznych, jako wyjątkowo szlachetne, w odróżnieniu do tej plugawej formy biznesu, za jaką uważali pisanie programów w celu zdobycia majątku. Inni podkreślali zalety praktyczne – błędy w takich programach były lepiej rozpoznawalne i szybko naprawiane, innowacja była premiowana. Do popularnych programów opartych na otwartej licencji zaliczają się Firefox – wyszukiwarka wyprodukowana bezpłatnie przez Mozilla Foundation, oraz Linux – system operacyjny. Ich zalety są trudne do przecenienia. Ale do kogo mieć pretensje, gdy coś przestanie działać?

Jeszcze większym problemem jest złożoność [cyfrowych narzędzi i sieci]. Mikroprocesory, które stoją za logicznymi decyzjami warunkującymi pracę komputerów, i oprogramowanie [ang. software], które określa sposób działania owych mikroprocesorów, są obecnie tak skomplikowane, że praktycznie nikt nie jest w stanie ich zrozumieć. Mój pierwszy zestaw elektroniczny (który wygrałem w konkursie w 1973 roku) składał się z czterech tranzystorów, a każdemu z nich towarzyszył duży kawałek papieru opatrzony jednym schematem okablowania, dzięki czemu można było przyjrzeć się, jak owo urządzenie działa. Moim pierwszym komputerem był natomiast Sinclair ZX81 (the Zilog Z80); jego procesor miał około 8 tys. tranzystorów. Tylko pod potężnym mikroskopem można było zobaczyć, jak są one z sobą powiązane i jak działają. Wszystko to zmieniło się nie do poznania. Najnowsza wersja X-boxa (platforma gier komputerowych) ma 5 mld tranzystorów. Schemat obwodu byłby niemożliwy do wydrukowania w żaden użyteczny sposób.

Programy komputerowe charakteryzują się podobną złożonością. Są to linie kodów, z których każda stanowi jakieś wytyczne. Dobrze jest wyobrazić to sobie, posiłkując się analogią do systemu kolejowego, o czym pisałem już wcześniej. Tory są przewodami komputerowego procesora. Zwrotnice są tranzystorami. Pociągi są zbiorem danych, harmonogram zaś jest programem. Jeśli pociągi podążają ściśle według wytycznych, będą poruszać się płynnie przez całą sieć, a zwrotnice przełączać zgodnie z instrukcją. Każdy zakończy podróż zgodnie z planem. Nie będzie awarii czy kolizji.

Napisanie prostego harmonogramu jest proste. Każdy, kto miał w dzieciństwie elektryczną kolejkę, dobrze o tym wie. W początkowych latach istnienia komputerów umiarkowanie zdolny użytkownik mógł sam napisać prosty kod. Dla przykładu: w czasach przed Windowsem (gdy komputery odpowiadały raczej na polecenia wpisane manualnie niż na kliknięcia myszą) Chip nauczył się poniższej komendy: prompt $t $d$_$p$g. Nakazywała ona komputerowi wyświetlenie daty i godziny w wierszu poleceń (linia na ekranie, gdzie użytkownik wpisywał polecenia). Ten drobny, acz wygodny proces mógł zostać zautomatyzowany. Za każdym razem, gdy komputer zostaje włączony, uruchamia się plik zwany autoexec.bat. Wpisując powyższą linię kodu w ów plik, Chip mógł sprawić, że jego komputer już zawsze będzie podawać mu datę i godzinę po uruchomieniu. W późnych latach 80. i wczesnych 90. nie myślał już nawet o wprowadzaniu tego typu modyfikacji. Czyniłoby go to podobnym do właściciela samochodu z lat 30., który sam czyścił w pojeździe świece zapłonowe i gaźnik.

Właściciele samochodów w owych czasach znali także proste sposoby na „wyłączenie” swych maszyn. W filmie „Dźwięki muzyki” austriackie zakonnice (pomagając w ucieczce przed nazistami rodzinie barona von Trappa) wyjmują kopułkę rozdzielacza z niemieckiego samochodu. Niewielu właścicieli współczesnych aut byłoby w stanie wskazać, gdzie znajduje się ten element. Nie mówiąc już o tym, że nie potrafiliby go wyciągnąć. Wyłączenie komputera jednak jest proste. Trzy proste poniższe linie kodu, dla przykładu, odpowiadają wepchnięciu skarpetki do rury wydechowej pojazdu. Wpisanie ich sprawi, że każdy z rodzajów systemu Windows spowolni, wykorzystując do pracy prawie całe miejsce na swym dysku[2]:

@echo off

copy c:\programs\virus.bat c:\programs

start c:\programs\virus.bat

Współczesne kody są o wiele bardziej skomplikowane. Jeśli nie jesteśmy wyjątkowo czujni, trudno w ogóle wychwycić fakt ich pojawienia się w naszym systemie, a to czyni pracę złoczyńców łatwiejszą do ukrycia. Ich programy – malware – mogą kopiować dane i usuwać je z urządzenia lub sieci. Mogą zastępować je fikcyjnymi danymi w celu zmylenia bądź sabotażu. Mogą przejmować kontrolę nad komputerami i sprawiać, że będą one funkcjonować nieprawidłowo bądź wysłać szkodliwe informacje do mechanizmu, który je kontroluje.

Kolejne kłody rzucane są pod nogi tego, kto się broni. Nawet prosty, maleńki fragment kodu, jak choćby ten zacytowany powyżej, może zepsuć Wasz sprzęt – zmieniając go w przycisk do papieru. Jednak napisanie kodu odpornego na atak (lub choćby takiego, który będzie częściowo odporny) jest sprawą wielce skomplikowaną. Każdy błąd wymaga jakiegoś zabezpieczenia. A niektóre systemy zabezpieczeń kolidują ze sobą. Co gorsza, złośliwe oprogramowanie atakującego nie musi być wcale pojedynczym programem. Może pojawić się w Waszym komputerze pod postacią niewielkich, niewinnie wyglądających elementów, które połączą się ze sobą w celu wyrządzenia szkody, by następnie się rozdzielić. Może ewoluować: zmienić formę w jednej części komputera, zniknąć i powrócić w innym miejscu. Może poruszać się pomiędzy komputerem i innymi urządzeniami: „zajrzeć” do drukarki, zaczaić się w nieodwiedzanym zakątku sieci. Najlepiej jest wyobrazić to sobie niczym biologiczne zagrożenie – na przykład malaria, w której przypadku infekcja potrzebuje trzech czynników: pasożyta malarii, zainfekowanego komara i człowieka z kawałkiem odkrytej skóry, w którą zostanie ukąszony.

Jeśli ujrzycie komara, możecie go rozgnieść. Złośliwe oprogramowanie znacznie trudniej jest zauważyć, ponieważ przypomina grzęzawisko. Pierwsza wersja MS-DOS (oprogramowanie Microsoft, które uczyniło Billa Gatesa miliarderem) składało się z 4 tys. linii kodu. Posiadający odrobinę umiejętności i czasu amator mógł jeszcze jako tako rozeznać się, co dana linia oznacza. Programy, które napędzają współczesne samochody, liczą 100 mln linii kodu – i żaden profesjonalista nie byłby w stanie rozgryźć tego w ciągu całego swego życia. Jeden ze znanych programistów, Steve McConell, stwierdził, że w przypadku systemu z jednym milionem linijek kodu, sama specyfikacja wymagań oprogramowania „musiałaby liczyć ok. 4–5 tys. stron, natomiast dokumentacja projektowa mogłaby być dwa do trzech razy obszerniejsza niż owa specyfikacja. Mało prawdopodobne więc, by przeciętna osoba była w stanie zrozumieć projekt tego rodzaju i tej długości – czy choćby po prostu to przeczytać”[6].

Historia programów z błędami sięga początków ery komputerowej. Obraźliwe sformułowanie „kod spaghetti”, używane do określenia niezrozumiałego i niepotrzebnie zaśmieconego, nad wyraz skomplikowanego programu, zostało ukute już w okolicach 1978 roku[7]. Informatycy szacują, że każdy tysiąc linii kodu – nawet w najlepszych przypadkach – zawiera jakiś błąd (wyjątkiem jest kod napisany przez NASA dla ich promu kosmicznego, gdyż na stworzenie każdej jego linijki przeznaczono o 20 razy więcej funduszy niż na linijkę przeciętnego programu[8]). Większe programy zawierają więcej błędów, bo też więcej jest w ich przypadku sposobności do ich popełniania. Godne szacunku jest to, że częstotliwość występowania błędów jest w ich przypadku tylko czterokrotnie większa niż w przypadku skromnych projektów. Defekty te niekoniecznie muszą nieść ze sobą potencjał katastrofalnych skutków. Nie muszą też czynić sprzętu wyjątkowo wrażliwym na ataki cyberprzestępców. Skoro jednak ci potrafią wykorzystać każdy, nawet najmniejszy fragment kodu dla swej szkodliwej działalności, takie niebezpieczeństwo istnieje. Niektórzy uważają, że przepisy dotyczące tworzenia oprogramowania powinny być znacznie surowsze – i zakładać nawet odpowiedzialność karną dla producentów wadliwego oprogramowania. Nawet gdyby takie środki przedsięwzięto, nie pomogłyby to w naprawieniu programów napisanych do tej pory. A wiele z nich będzie używanych jeszcze przez długi czas.

Podatność [naszych maszyn i sieci] na ataki wciąż wzrasta, nie maleje, a tymczasem na rynku pojawiają się nowe programy i sprzęty. Te produkty stwarzają kolejne zagrożenia, co wynika choćby ze sposobu, w jaki współdziałają z urządzeniami i oprogramowaniem, które zdają się bezpieczne. Złożoność hardware’u i software’u (czyli komputerów i programów, które nimi sterują) stwarza okazję przestępcy, który chce wykorzystać ich podatność na atak – dzięki której może sprawić, że komputer zacznie zachowywać się niewłaściwie – i zachować swe działania w ukryciu. Komputery są o wiele bardziej skomplikowane niż samoloty czy samochody. To, co nazywamy komputerem, jest w istocie pewną liczbą różnych urządzeń. Jak opisała je Quinn, są: „pudełkami w pudełkach, z których każde zawiera komputer pełen małych programów starających się działać w sposób skoordynowany i komunikować się ze sobą”. Nie oddaje to jednak w pełni istoty sprawy. Komputer jest bardziej czymś w rodzaju domu niż pudełka. Jest to dom, co do którego nie jesteście pewni, ile ma okien i drzwi i w jaki sposób są one zabezpieczone. Istnieją w nim tunele, a także przejścia nad ziemią. Nie wiadomo, ile znajduje się w nim pokoi i do czego służą. Nie jesteście jedynymi w swej niewiedzy i ignorancji: nie wiedzą tego nawet ci, którzy stanowią prawo. Architekci także niekoniecznie zdają sobie ze tego sprawę: Wasz dom złożony jest z elementów innych budynków, a każdy z nich ma jakieś wady i skomplikowaną konstrukcję. Ktoś gdzieś mógł spisać pewne szczegóły, gdy trwała budowa. Miało to miejsce prawdopodobnie dekady temu. Czy ta dokumentacja jest gdzieś zachowana i czy może być wciąż aktualna? O tym też się nie dowiecie. Sprawy mają się nawet gorzej: Wasz dom połączony jest z wieloma innymi domami. Nieograniczona liczba osób przemieszcza się pomiędzy nimi. Śledzenie ich kroków jest trudne, a nawet jeśli staracie się prowadzić swego rodzaju rejestr, niemożliwe jest zidentyfikowanie każdej z nich, w tym zwłaszcza złoczyńców.

Nie jesteście w stanie powiedzieć, ile tych domów, z którymi jesteście jeszcze związani, istnieje, gdzie one są i w jaki sposób Wasz dom jest z nimi połączony. One także mają słabe punkty. Ktoś, kto włamie się do jednego z nich, może włamać się też do Was. Ktoś może „zamieszkać” w Waszym domu, a Wy możecie nawet o tym nie wiedzieć; może się po nim poruszać niewidzialny. Nawet gdy będzie się Wam wydawać, że schwytaliście i usunęliście z niego intruza, może nie być to prawdą. Jedynym absolutnie pewnym sposobem, by oczyścić Wasz zainfekowany komputer, jest rozłożenie go na części.

Dostrzeżenie błędu (intencjonalne lub nie) w sprzęcie czy oprogramowaniu nie jest łatwe. Jest wiele miejsc, do których należałoby zajrzeć, a my nie wiemy nawet przecież, czego szukamy[3]. Czasem to, co wydaje się błahe, może okazać się wyjątkowo fatalne w skutkach, zwłaszcza gdy zostaje spotęgowane przez udział osób trzecich. Wada w projekcie procesora (zakładając, że ktoś potrafi w ogóle ją dostrzec) może wydawać się całkiem niegroźna: może być wynikiem pośpiechu, nieuwagi bądź skutkiem kopiowania przestarzałego układu scalonego tranzystorów pozostałych z czasów poprzedniego projektu (około 60 proc. mikroprocesorów powstaje z ponownie wykorzystanych zestawów układów pamięciowo-logicznych)[9]. Błąd w programie komputerowym może wydawać się nieistotny: może wynikać z tego, iż nie przeznacza on wystarczająco dużo mocy do wykonania konkretnej funkcji, a zatem pożycza jej trochę z innego miejsca. Te małe zakłócenia mogą jednak okazać się fatalne w skutkach, gdy zaistnieją w połączeniu z innymi błędami – na przykład niedbale wykonaną częścią procesora. W polu zainteresowania cyberprzestępcy jest zwykle sposób, w jaki dane przepływają przez rejestry procesora. Wiąże się to z koniecznością ich tymczasowego magazynowania, co nazywamy „buforowaniem”. Mogą one stać się łatwą zdobyczą: dane mogą zostać spreparowane w trakcie swojej podróży, a wytyczne, które im tę podróż umożliwiają – zmienione. To stwarza możliwość przejęcia kontroli nad komputerem, kradzieży informacji i rozprzestrzeniania infekcji do innych miejsc.

Większość ludzi, która projektuje komputery i pisze programy, przywykła do myślenia w dwóch wymiarach. Efektom swej pracy przyglądają się pod kątem tego, do czego ma ona służyć, a nie: do jakich celów kto inny mógłby ją wykorzystać. Jeśli Chip zacznie skarżyć się na to, że jego komputer nie pracuje jak należy, standardowym działaniem (oprócz wyłączenia i ponownego włączenia urządzenia) będzie odinstalowanie różnych części oprogramowania dopóki wszystko nie wróci do normy. Jeżeli metoda ta zawiedzie, Chip powinien następnie odinstalować i zainstalować ponownie cały system operacyjny. To już naprawdę powinno wystarczyć. Jednym z powodów, dla których komputery szwankują, jest to, że dane z czasem mogą zostać uszkodzone – oryginalne ustawienia mogą zmienić się z powodu usterki w oprogramowaniu lub w wyniku interakcji pomiędzy różnymi podzespołami komputera. Postawienie od nowa systemu może więc pomóc. Nie zawsze jednak tak będzie. Jeżeli kupicie oprogramowanie, które nie będzie współgrać z Waszym sprzętem (bądź odwrotnie), będziecie mieć ograniczone pole manewru. Ochrona konsumentów w cyfrowym świecie także ma swoje granice. Sprowadza się ona generalnie do tego, że możecie otrzymać zwrot pieniędzy za [wadliwy] towar, który nabyliście. Nikt nie wypłaci Wam jednak odszkodowania za przerwę w działalności Waszego biznesu, utracone dane czy za konieczność zakupu nowych produktów, które sprawią, by starsze działały poprawnie. Takie przepisy hamowałyby innowacje. Producenci mogliby nie chcieć podejmować ryzyka sprzedaży nowych produktów w obawie, że gdy nie będą one działać do końca poprawnie, konsumenci będą ich pozywać.

Dostawcy chcą jednak, by ich klienci byli zadowoleni. Jeżeli dany problem uporczywie powraca, a producent działa sprawnie, zwykle opracowuje on i rozpowszechnia jego rozwiązanie. Jest ono nazywane łatką. To potężne narzędzie. Pobranie łatki oznacza bowiem, że oddajecie kontrolę nad Waszym komputerem zewnętrznemu podmiotowi i zezwalacie mu na wprowadzanie na nim zmian. Mądrzejsi konsumenci używają tych aktualizacji regularnie, czy to poprzez sprawdzanie, czy oprogramowanie wymaga zaktualizowania do najnowszej wersji, czy też poprzez odpowiadanie na automatyczne ostrzeżenia. Te są regularnie wysyłane przez firmy takie jak Apple, Google i Microsoft, a także przez organizacje i grupy non profit, które dbają o rozwijanie programów na otwartej licencji, takie jak przeglądarka Firefox. Chip stale otrzymuje te powiadomienia, lecz świadomie je ignoruje, gdyż miał z nimi niemiłe doświadczenia. Te komunikaty wyskakują w najmniej odpowiednich momentach. Zamykają programy, których akurat używa, a gdy otwiera je na nowo, okazuje się, że ważne dane są utracone. Czasami stary komputer Chipa nie potrafi ich zainstalować, a wówczas gnieżdżą się tam, jakby były zamrożone i wyświetlają informacje, że trzeba czekać. W innych przypadkach nowo zainstalowane oprogramowanie nie działa poprawnie. Chip nie ufa producentom, gdy ci żądają potwierdzenia, czy aktualizacja jest formą zabezpieczenia, czy tylko kwestią zainstalowania kilku nowych dodatków do programu, którego on nie chce i którego nie jest w stanie zrozumieć. Ignoruje więc wszystkie takie komunikaty: ma za dużo pracy, by się tym zajmować. Pin ignoruje je również (mimo że na jej komputerze w pracy instalują się automatycznie). Czuje się też nieco poirytowana faktem, że ich domowy laptop – sprzęt, na który Hakhettowie wyłożyli kilkaset funtów – wymaga stałej konserwacji.

Łatwo jest zrozumieć, czemu konsumenci nie palą się do aktualizowania oprogramowania. Brak działań w tym zakresie nie wiąże się przecież z żadnymi sankcjami karnymi ani społecznym ostracyzmem. Jednak nieaktualizowane programy stanowią prezent dla wirtualnych przestępców. Chip i Pin nigdy nie zostawiliby swoich samochodów z otwartymi drzwiami czy oknami. A nieprawidłowo konserwowane oprogramowanie wystawia ich na znacznie większe ryzyko: to tak, jakby jeździli autem z łysymi oponami, pękniętymi szybami, bez lusterek i z uszkodzonym układem hamowania. Wielu cyberprzestępców pisze szkodliwe programy z myślą o nieaktualizowanym oprogramowaniu. I rozpowszechnia je na dużą skalę.

Jednak przerzucanie na konsumenta kosztów naprawy błędów popełnionych przez producenta nie jest typowe dla innych branż. Jeżeli niebezpieczny element projektu bądź defekt w produkcji zostanie ujawniony w zabawce, przetworzonej żywności, sprzęcie AGD czy w samochodzie, odpowie za to wytwórca. We wrześniu 2014 roku firma General Motors ogłosiła wycofanie ze sprzedaży 220 tys. samochodów celem skorygowania wady układu hamulcowego, która miała być przyczyną zapalenia się pojazdu. Ostatecznie na całym świecie wycofano aż 1,5 mln jej aut[10]. Cena akcji spółki spadła, a zarząd musiał ustąpić. Gdy w styczniu 2013 roku zapalił się akumulator w nowym boeingu dreamlinerze, nadzór lotniczy nakazał wycofanie wszystkich 50 jednostek do czasu, aż błąd zostanie zdiagnozowany i naprawiony[11]. Dostawcy, którzy odkryją, że ich produkt może okazać się niebezpieczny, starają się jak najszybciej powiadomić o tym konsumentów. Umieszczają ogłoszenia w gazetach nakłaniające do tego, by zgłosili się do punktów serwisowych ze swoim sprzętem celem naprawienia go lub wymiany. Klienci oczekują z kolei gwarancji, że towary, które kupują, są bezpiecznie, zawsze i wszędzie. Gdyby Chip kupił nowy samochód, którego silnik gasłby po skręcie w prawo, w trakcie zjeżdżania ze wzniesienia na wolnych obrotach, byłby wściekły. A gdyby producent wzruszył ramionami i oznajmił, że problemu nie da się rozwiązać, i że wobec tego powinien już zawsze skręcać w lewo, szalałby. Pierwszy program komputerowy był jak harmonogram kolejowy. Akceptowalną liczbą wypadków było zero. Dziś natomiast jasne jest, że koegzystencja nowego i starego sprzętu oraz oprogramowania wzmaga tylko ich podatność atak, podzas gdy w innych dziedzinach naszego życia współistnienie nowych i starych technologii jest czymś naturalnym. Mój ojciec jeździ niezwykłym samochodem: Humberem tourerem z otwartym dachem z 1928 roku, nazywanym „Starą Anglią”. Nie ma on żadnego tranzystora, a mimo to współpracuje [na drodze] z najnowszymi samochodami: zachowuje podstawowe funkcje bezpieczeństwa, a więc zatrzymuje się, uruchamia, skręca i jeździ według wskazań. Co kilka lat przechodzi przegląd, który ma na celu ustalenie, czy nadal spełnia wszystkie te warunki. Mimo że jest powolna, głośna i niezbyt przyjemnie pachnie jak na współczesne standardy (a także jest mniej bezpieczna w przypadku kolizji), „Stara Anglia” cieszy się tym samym prawem do użytkowania dróg co inne pojazdy. W lotnictwie sytuacja ma się nieco inaczej: stare jednostki nie są dopuszczane do poruszania się w przestrzeni powietrznej wykorzystywanej przez lotnictwo cywilne, nie mogą też lądować na nowoczesnych lotniskach; nasza definicja zdatności maszyny do lotu oznacza konieczność posiadania różnego rodzaju nowoczesnych urządzeń, takich jak radio i nadajniki radarowe, które są istotne nie tylko z perspektywy bezpieczeństwa tego konkretnego samolotu i jego pasażerów, lecz także pozostałych uczestników przestrzeni powietrznej.

Internet jest o wiele bardziej skomplikowany od lotnictwa, ale jednak o wiele słabiej regulowany. Niemal zasadą jest, że jest dostępny dla każdej, choćby najprostszej i najbardziej staroświeckiej technologii. Komputer z lat 80., w sprawnych rękach, może zostać podłączony online[12]. Nie wynika to z jakiejś szczególnej łaskawości [dla starszych rozwiązań], lecz z konieczności. Internet nie ma żadnego centralnego punktu dowodzenia, który mógłby uznać jakiś rodzaj komputera za zbyt stary bądź nieodpowiednio zabezpieczony i zakazać mu funkcjonowania w trybie online. Jest za to pełen silnych głosów, które domagają się, by ich produkty i usługi były reklamowane na szeroką skalę. Jeśli otworzycie sklep internetowy z produktami przeznaczonymi wyłącznie dla najnowocześniejszych i zaktualizowanych urządzeń i systemów, klienci nie będą zadowoleni.

Można to porównać do MOT – testu na certyfikat oznaczający, że pojazd spełnia normy ochrony środowiska i bezpieczeństwa drogowego wymagane przez prawo w Wielkiej Brytanii. Hakhettowie znają przepisy, więc ich samochody zawsze przechodzą go pozytywnie. Regularnie pozbywają się starych części aut i nie przechowują ich na wszelki wypadek. Chip nie przewiduje, by jego nowe volvo kiedykolwiek miało wymagać wymiany nowych części na stare (np. filtry, uszczelki i amortyzatory ze starszego VW, którego używał w latach 90.). Co więcej, gdyby takie posiadał i zamontował je w swym wozie, ten prawdopodobnie nie przeszedłby testu. Nowe zalecenia i standardy – na przykład wymóg wożenia ze sobą trójkąta ostrzegawczego i apteczki – Chip przyjmuje jako obowiązkowe.

W przypadku komputerów nasze oczekiwania są inne. Chip, jak większość użytkowników z jego pokolenia, uważa, że każde urządzenie lub program z ostatnich 20 lat będzie działać w zestawieniu z jakimkolwiek sprzętem. Ma kilka drukarek – starą Daisywheel (rzadko już używaną) do form wymagających dokładnej kopii, kolorową drukarkę do fotografii i prezentacji, a także drukarkę laserową, której używa do wszystkiego innego. Oczekuje, że każda będzie współpracować z komputerem z 2005 roku, na którym wgranych jest mnóstwo programów pochodzących od różnych producentów (w tym historyczny już system zabezpieczający Norton Commander, do którego Chip przyzwyczajony jest od wczesnych lat 90.). W pewnym sensie wydaje się to rozsądnym korzystaniem z konsumenckich praw i wolności. Konieczność aktualizacji technologii bywa nie tylko irytująca, lecz także może uprzywilejowywać producentów, ułatwiając im wzbogacanie się na „częściach zamiennych”: Chip był wściekły, gdyby musiał kupować do samochodu Pin nie tylko nowe żarówki, lecz całe reflektory. Takie zachowanie [w przypadku sieci] zmniejsza jednak prawdopodobieństwo, że coś pójdzie nie tak.

Sumienne i regularne „łatanie” oznacza, że część usterek w starym oprogramowaniu zostaje wykryta i naprawiona. Ale oczywiście nie wszystkie. Wiele błędów i potencjalnych wad nie zostaje nigdy zauważonych, ponieważ uznawane są za nieistotne. Wirtualnemu przestępcy kombinacja dwóch teoretycznie błahych słabości umożliwia spowodowanie znacznej szkody. Jeśli dodać do tego jeszcze jeden błąd, musimy liczyć się z ryzykiem katastrofy. Tego typu nieznane wady w oprogramowaniu nazywane są dziurami zero-day. Stanowią one z reguły rezultat pojedynczej pomyłki bądź przeoczenia programisty lub projektanta procesora. Najbardziej niebezpieczne błędy są efektem kilku defektów. Aby mogła rozwinąć się gorączka malaryczna, wirus musi zostać przetransportowany przez samicę komara i poprzez ukąszenie przedostać się krwiobiegu człowieka. Aby doszło do poważnego komputerowego błędu, także musi zaistnieć kilka czynników. Dla przykładu, Chip używa starej, uznanej dawno za najmniej bezpieczną[13] wersji przeglądarki Internet Explorer 6. To kiepski pomysł, tym gorszy, gdy używa się jej do odwiedzania zainfekowanych stron. Jeśli milion ludzi obejrzy reklamę pułapkę, za którą czai się złośliwe oprogramowanie, a ok. 1 proc. z nich użyje do tego niezaktualizowanych wersji Flasha (program używany do wyświetlania grafiki), Windowsa i Internet Explorera, w efekcie 10 tys. komputerów może zostać zawirusowanych. Niezły łup dla cyberprzestępców i zła wiadomość dla tych, pod których ktoś się podszyje, którzy zostaną oszukani i upokorzeni.

Problemy ze sprzętem mogą być uciążliwe. Sieć nastręcza jednak więcej zmartwień. Internet – łączący najnowocześniejsze, potężne, bezpieczne i ważne komputery z tymi najsłabiej chronionymi, źle użytkowanymi i groźnymi – nie był przecież stworzony z myślą o bezpieczeństwie. Ponieważ nikt tak naprawdę nie rządzi internetem, proces podejmowania dotyczących go decyzji jest uciążliwy i przewlekły (czasem dokonywanie jakichkolwiek zmian w jego funkcjonowaniu jest niemożliwe). Ten pełen błędów system o marnie zaprojektowanej i mało zrozumiałej technologii, stanowiącej razem jedną sieć, w której poruszanie się wymaga zaufania, jest tylko jednym ze składników nadciągającej katastrofy. Kolejne to pieniądze i władza. Jeżeli potraficie zakłócić funkcjonowanie komputera lub sieci, bądź je zniszczyć, podszyć się pod kogoś, czy wykraść dane, jesteście w posiadaniu potężnej broni. Jednak gdy nasza zależność od komputerów, w przeciwieństwie do wiedzy o nich, zwiększa się w galopującym tempie, to zdolność złoczyńców (przestępców, chuliganów czy szpiegów) do wykorzystywania komputerów celem niszczenia, zaburzania status quo czy kradzieży rośnie szybciej niż nasza zdolność do radzenia sobie z nimi.

W prawdziwym życiu szpiegostwo, przestępczość, wojny i chuligaństwo jedynie czasem splatają się ze sobą. Bywa, że szpieg potrafi otworzyć zamek jak włamywacz, złodziej posługiwać się bronią jak żołnierz, a gang chuliganów mówić wojskowym żargonem. Obszary ich działalności są jednak od siebie oddzielone. Łatwo możemy je odróżnić. W trybie online nie mamy tej możliwości. Ta sama technika za pomocą której przestępca opróżni Wasze konto bankowe może posłużyć do wykradania prywatnych danych Waszych pracowników przez obcy rząd. Taktyka motywowanych politycznie hakerów może przypominać tę z arsenału militarnego państwa. Narzędzia mogą być wyrafinowane i skomplikowane, ale bohaterowie tych wojen wyglądają znajomo: ofiara i sprawca, agresor i ofiara. Ich zachowanie oparte jest na równowadze ryzyka i nagrody. Głupsi przestępcy, szpiedzy, chuligani i wojskowi używają nieudolnych technik dla zdobycia małych nagród. Mądrzejsi korzystają z wyrafinowanych i drogich środków w poszukiwaniu większych łupów (z reguły są też bardziej anonimowi).

Bezpieczeństwo wymaga dogłębnych zmian w naszej postawie. Jak twierdzi Jarno Limnéll, fiński ekspert, adresowanie wyzwań związanych z cyberbezpieczeństwem wymaga mentalnej transformacji o podobnej skali jak wtedy, gdy zdaliśmy sobie sprawę, iż Związek Radziecki, nasz wojenny sojusznik w walce z Hitlerem, stał się wrogiem. Innym przykładem może być budząca się świadomość po atakach 11 września 2001 roku w Nowym Jorku: że oto świat staje w obliczu globalnego, nieuchwytnego zagrożenia ze strony ekstremizmu muzułmańskiego. Wyzwanie ma dwa wymiary: naszego bezpieczeństwa tu i teraz oraz zabezpieczenia od przyszłych ataków. Przestępcy nie ingerują jedynie we współczesne sieci i komputery. Starają się, byśmy nie mogli przygotować się na zagrożenia w przyszłości. Chcą nas pozbawić nie tylko kluczy do domu, ale też odebrać nam możliwość wymiany zamka. Jeżeli nie postawimy nowego domu, będziemy stale zagrożeni.

Typową odpowiedzią na nasze obawy o bezpieczeństwo w sieci były jak dotąd zalecenia zakładania silniejszych haseł, instalowania oprogramowania zabezpieczającego i zaostrzenia przepisów. To tak, jakbyśmy stojąc w obliczu rosnącej liczby włamań, proponowali instalowanie wzmocnionych drzwi z ogromną liczbą zamków. Utrudniłoby to życie domownikom (mogliby w końcu przestać tych drzwi używać), a jednocześnie nie powstrzymało zdeterminowanego włamywacza (zwłaszcza, gdyby okna i dach pozostałyby łatwo dostępne).

Tak jak wyjaśniłem to w Rozdziale 1, analogie pomiędzy fizycznymi i wirtualnymi zabezpieczeniami są jedynie częściowo pomocne. Nie pomogą zabezpieczone drzwi frontowe, jeśli zostawiamy w domu otwarte okna, mamy nieuczciwych sąsiadów bądź udostępniamy obcym swoją piwnicę. Jednak komputery to nie domy, a niebezpieczeństwa czyhające w sieci mają unikalną naturę. Ponieważ są one poważne i tylko częściowo potrafimy je zrozumieć, rozwiązania również nie mogą być oczywiste. Bezpieczeństwo w sieci jest kwestią wagi państwowej, ale nie tylko. Muszą mieć je na względzie dostawcy usług internetowych, a także każdy z nas. Potrzebne są całkowite i dogłębne zmiany, kompromisy w zakresie naszego sposobu myślenia o ludziach i o nas samych. Wciąż mało widoczne, lecz już powszechne ataki na nasz dobrobyt, bezpieczeństwo, na wolność i szczęście, pochodzą z nieznanych nam źródeł i wykorzystują środki, których nie znamy, wyrządzając szkody, których nie umiemy szybko rozpoznać.

[1] By tego dowieść, opiszę sytuację, gdy rozciąłem raz baterię laptopa piłą. Rezultaty były ekscytujące, ale też przerażające. Nie polecam Czytelnikom robienia tego samego. W szczególności odradzam upuszczanie kawałków do wiadra z wodą. Obejrzyjcie filmiki w internecie.

[2] Komenda „@echo off” sprawia, że działanie programu nie jest wyświetlone na ekranie podczas działania komputera. Inaczej rzecz ujmując, szkody, jakie są wyrządzane, nie ukazują się nieszczęsnemu użytkownikowi. Kolejna linia kopiuje program. Trzecia linia włącza go ponownie. W krótkim czasie komputer zostaje całkowicie zapchany: brakuje miejsca na prawdziwe dane.

[3] Kolejną analogią mógłby być przykład z szukaniem myszy – łatwe w więziennej celi, nie tak proste w zakamarkach starego domu. Możecie znaleźć dowody na jej obecność – piski, odgłosy poruszania się i nadgryzione jedzenie. Możecie próbować zastawić pułapkę lub ją otruć. Póki jednak nie rozwalicie domu na kawałki, nie będziecie pewni, czy wyeliminowaliście właściwego szkodnika. Nawet cisza nie oznacza, że pozbyliście się kłopotu: mysz mogła jedynie tymczasowo się wynieść.

Rozdział 3
Złodzieje tożsamości

Największe zagrożenie, z jakim spotykamy się w internecie, dotyczy naszej tożsamości i reputacji, czyli tego wszystkiego, co pozwala nas zidentyfikować. Nasze nazwisko jest najważniejszym atrybutem tożsamości. Kiedy chcecie „odczłowieczyć” swoją ofiarę, nadajecie jej numer. Reputacja to opinia innych o nas – stanowi ona o naszej wartości w społeczeństwie. Bez niej sposób, w jaki funkcjonujemy wśród ludzi byłby uzależniony od stopnia zaufania innych. Zła reputacja sprawia, że Wasze postępki (prawdziwe lub rzekome) będą się kładły cieniem na Waszej przyszłości. Komputery, nie ujmując wcale ich zaletom, doprowadziły do erozji tych wartości.

Nasza fikcyjna para, Hakhettowie, internetowi zawdzięczają fakt, że wciąż są w branży. Gdybyście wpisali w Google hasło „Chip Hakhett”, natychmiast dowiedzielibyście się, że jest on trenerem rozwoju osobistego świadczącym usługi kadrze zarządzającej. Uczy on menedżerów mowy ciała, wystąpień publicznych, tworzenia przemówień oraz prowadzenia rozmów kwalifikacyjnych (jego klientami są raczej ludzie, którzy osiągnęli sukces dzięki zdolnościom analitycznym, a nie sprawności językowej czy biegłości w zagadnieniach HR). Prowadzi też prostą stronę internetową, która stanowi jego wizytówkę, ale nie chwali się swoimi sławnymi klientami. Zależy im na dyskrecji – gdyby wyszło na jaw, że korzystają z tego rodzaju wsparcia, mogłoby to być odebrane jako przejaw ich słabości. Chip spotyka się ze swoimi klientami z dala od ich miejsc pracy, przeważnie w hotelach. Swoją markę zbudował, występując często na konferencjach oraz dzięki temu, że polecają go sobie zadowolone osoby.

Praca Pin także w dużej mierze odbywa się przez internet. Jednym z jej zajęć jest weryfikowanie kandydatów do pracy. Zanim zaprosi ich na rozmowę kwalifikacyjną, czyta ich życiorysy oraz sprawdza w Google, czy to, co mówią, zgadza się z tym, co można o nich wyczytać w sieci. W swojej firmie korzysta z portalu LinkedIn, profesjonalnego serwisu internetowego do wyszukiwania potencjalnych kandydatów na pracowników.

W czasach, gdy nie było jeszcze komputerów, zszarganie czyjegoś dobrego imienia było oczywiście możliwe, ale trudne do wykonania. Niosło też ze sobą stosunkowo duże koszty. Można było napisać parę nieprzyjemnych listów na czyjś temat i rozesłać je do współpracowników, kolegów oraz rodziny albo też przekonać dziennikarza, aby wydrukował zmanipulowany artykuł na temat danej osoby. Władze Związku Radzieckiego mogły zmieniać hasła w encyklopedii (a nawet wycofywać z obiegu wersje, w których dana osoba była chwalona bądź szykanowana). W wolnym społeczeństwie oczywiście byłoby to nie do pomyślenia.

Dziś stosunkowo łatwo jest kogoś oczernić. Załóżmy, że dana osoba ma niezbyt popularne nazwisko (na przykład Chip Hakhett). Wchodzimy na stronę Wikipedii i tworzymy jej dossier lub edytujemy już istniejące, wprowadzając fałszywe, aczkolwiek rzekomo uwiarygodnione informacje: w ubiegłym roku stworzyłem hasło Chip Hakhett i napisałem, że był on pozywany do sądu za oszustwa, jednakże nie udowodniono mu winy; a także, że jego żona pracuje na pół etatu jako kelnerka w barze[1]. Z pewnością takie dossier nie wzbudziłoby zaufania potencjalnego klienta.

Potem kilkakrotnie wstukiwałem w wyszukiwarkę „Chip Hakhett” oraz „szarlatan”. Już po dziesięciu próbach Google w ramach „autouzupełniania zapytań” samo zaczęło dodawać słowo, które wydawało się najbardziej pomocne – „szarlatan”[2]. Na pierwszym miejscu w wynikach wyszukiwania zaczęło pojawiać się hasło z Wikipedii dające pozornie wiarygodny opis osoby. Reputacja Chipa ucierpi, gdy ludzie zaczną o nim czytać to, co podpowie internet, a on sam nie podejmie kroków (dość czasochłonnych i skomplikowanych), by wyprostować sprawy[1]. Ktoś, kto świetnie porusza się w internecie, będzie mógł zorientować się, że wpis w Wikipedii jest zmanipulowany. Jednak mało kto ma takie umiejętności. Większość ludzi przelatuje wzrokiem stronę, nie zastanawiając się nad tym, jak została ona skonstruowana, jakie źródła zostały wykorzystane przez autora, kim on jest i czy w ogóle edytował jakieś inne strony poza tą jedną (a jeżeli tak, to jakie argumenty bądź kontrowersje zawierają, jak dawno temu strona została stworzona itd.). Dobrze jest zaczynać czytanie haseł w Wikipedii od dołu strony – od listy źródeł autora. Warto też zajrzeć na kartę „dyskusji” (znajduje się na samej górze) oraz „historii” wpisu. Informacje te pomogą nam zrozumieć, co właściwie czytamy.

Ataki na czyjąś reputację online to bardzo częsta forma przemocy internetowej. Nie wymagają one rozległej wiedzy technicznej. Jest to po prostu kwestia motywu, chęci oraz możliwości. Jeżeli rozumiecie, w jaki sposób internet kreuje nasze postrzeganie rzeczywistości – poprzez Google’a, Facebooka, Wikipedię oraz inne tego typu strony – możecie wpływać na to, jak ludzie będą myśleć o danej osobie.

Weźmy przykład Leandry Ramm, amerykańskiej śpiewaczki, której życie zostało zrujnowane poprzez ataki internetowe. Opowiadała mi o tym w rozmowach i opisała to w wydanej w 2014 roku książce[2]. Ramm jest piękna, inteligentna i bardzo utalentowana. W 2006 roku, mając 21 lat, padła ofiarą Colina Maka Yew Loonga, Singapurczyka, który przedstawiał się jako jej producent, choć w rzeczywistości zajmował się nielegalnym przemytem broni, za co zresztą został ostatecznie skazany.

Zaczął od wysyłania nieprzyjemnych, a z czasem przerażających e-maili. Bombardował firmy operowe wiadomościami z pogróżkami, twierdząc przy tym, że panna Ramm oszukała go na pieniędze. To skutecznie zablokowało rozwój jej kariery, gdyż nikt nie chciał mieć do czynienia z „dziewczyną będącą w pakiecie z prześladowcą”. Sama śpiewaczka otrzymała od niego łącznie około 5000 e-maili, w większości kierowanych także do członków jej rodziny i znajomych, przedstawiających ją jako „złodziejską dziwkę” bez talentu. Prześladowca wymyślił setki nowych tożsamości, by kusić ją do otwierania wiadomości. Podszywał się także pod nią – na przykład wysłał w jej imieniu list do jej menedżerów, rozwiązując łączący ją z nimi kontrakt. Założył też bloga „Divas gone Wild”, gdzie przedstawiał ją jako „tajną prostytutkę”.

Powołując się na rzekome oświadczenia o naruszeniu praw autorskich, pozwał YouTube’a oraz Google’a, zmuszając je do usunięcia ze swych serwerów materiałów, które Ramm tam zamieściła. To także zaszkodziło jej karierze – nie mogła komunikować o sobie. Firmy te nie mają czasu weryfikować wszystkich zgłoszeń. Łatwiej i taniej jest im spełnić żądania [o zaprzestanie naruszania czyichś praw]. Taka postawa, dominująca w internecie, premiuje ludzi z tupetem. Mak Yew Loong wyśledził rodzinę Ramm, znajomych oraz współpracowników i także ich zaczął prześladować za pomocą telefonu, faksu i  e-maili. Związek śpiewaczki z chłopakiem rozpadł się. Rodzice przestali odbierać telefony. „Wiedział o nas więcej niż my o nim”, wspominała. Wysyłał mrożące krew w żyłach pogróżki do niej i jej najbliższych, strasząc gwałtem, pobiciem, kastracją, oślepieniem, a nawet morderstwem.

Gdyby takie nękanie kogoś miało miejsce w realnym świecie – na przykład na ulicach Nowego Jorku – policja zareagowałaby szybko i konkretnie. Internet pozwala złoczyńcom bezkarnie docierać do swojej ofiary, nawet gdy ta znajduje się na drugim końcu świata. Dla Ramm nie było ratunku. Nikt w Stanach Zjednoczonych nie przejmował się tym, co ktoś umieszcza na serwerach w Singapurze. „Zajmujemy się prawdziwymi morderstwami, nie e-mailami”, powiedział jej agent FBI, gdy poprosiła o pomoc. W Singapurze nikt nie martwi się problemami ludzi z Ameryki. Dopiero gdy zleciłem artykuł o jej sprawie w „The Economist”, coś zaczęło się w tej sprawie dziać[3].

W grudniu 2013 roku Mak został skazany na trzy lata więzienia. Sędzia Mathew Joseph nazwał sprawę „okrutnym przypadkiem międzynarodowego cyberprześladowania”. Wydając wyrok, stwierdził, iż Mak wykorzystał internet jako „broń masowego rażenia przeciw prawdziwemu życiu swoich ofiar”.

Większość ludzi nie jest tak popularna, by ich reputacja mogła być odporna na tego typu działania. Łatwo by było oczernić Chipa, przedstawiając go jako oszusta, a jego żonę jako prostytutkę. Mógłby to być rezultat osobistych porachunków, żartu czy nawet zemsty konkurencji. Są oni również podatni na inną formę ataku: ktoś może się pod nich podszywać. Czy to dla żartu, czy dla bardziej złowrogich celów, podszywanie się pod kogoś jest w internecie zaskakująco proste. Zwykle ufamy ludziom w sieci na podstawie niewielkiej ilości informacji o nich, takich, które bezproblemowo mogą odtworzyć osoby trzecie.

Takie działania nazywamy zwykle „kradzieżą tożsamości”, lecz osobiście nie przepadam za tym terminem. Tożsamość de facto nie zostaje przecież skradziona – wciąż należy ona do osoby, której dotyczy. Nikt nie stanie się Chipem tylko dlatego, że ukradł mu klucze, kartę kredytową, paszport i prawo jazdy. Złodziej nie stanie się też z takich powodów mężem Pin. Rzeczy, które ukradł, pozwolą mu jednak udawać Chipa.

W prawdziwym świecie podszywanie się pod kogoś jest trudne, bo niełatwo się do kogoś upodobnić. Gdy ktoś zobaczy, że do domu Hakhettów wchodzi podejrzanie wyglądający mężczyzna, to nawet jeśli będzie on miał klucz do drzwi, wzbudzi zaniepokojenie obserwatora. Dobry sąsiad zareaguje też, gdy zobaczy mężczyznę odjeżdżającego volvo Chipa. Skradziony paszport zadziała tylko wtedy, gdy nikt nie spojrzy na zdjęcie, a karta kredytowa będzie funkcjonalna tak długo, aż ktoś nie wykona za jej pomocą jakiejś nietypowej transakcji lub jeżeli Chip nie zgłosi jej zaginięcia. Niestety, każde z tych zabezpieczeń da się jakoś obejść. Ciężko jest jednak ominąć je wszystkie naraz, i to przez dłuższy czas.

Wcielenie się w czyjąś rolę (impersonacja) jest o wiele łatwiejsze. Chód Chipa, jego wygląd, głos czy charakter jako jego cechy rozpoznawcze są trudne do podrobienia. W internecie o tym, czy uznajemy kogoś za Chipa, czy nie, decydują bity i bajty – dane cyfrowe składające się z ciągów zer i jedynek. Mogą (jeżeli Chip jest ostrożny) być one zaszyfrowane lub zabezpieczone choćby za pomocą fizycznie istniejącej karty z kodami dostępu albo odpowiedzi na zmyślnie skonstruowane pytania. Aczkolwiek (gdy Chip będzie miał pecha lub stanie się nieroztropny) jeśli zabezpieczenia te będą za słabe (np. login z krótkim hasłem), to każdy, kto potrafi stworzyć właściwy cyfrowy sygnał, będzie mógł podszywać się pod Chipa bez niczyjej wiedzy.

Udane próby podawania się za kogoś to kradzież informacji oraz pewnych przywilejów. Każdy kolejny krok staje się łatwiejszy od poprzedniego. Uzyskanie kontroli nad komputerem Chipa daje dostęp do jego konta e-mailowego. Autentycznie wyglądające wiadomości mogą zostać wykorzystane do zmiany jego adresu (lub przekierowania otrzymywanych e-maili). Haker może wystąpić o wtórniki dokumentów, takich jak prawo jazdy oraz przekierować rachunki na nowy adres. Może wziąć [w imieniu Chipa] pożyczkę lub wystąpić o kartę kredytową. Hakhett może zdać sobie z tego sprawę dopiero wtedy, gdy jego zdolność kredytowa się obniży albo gdy pod jego domem stanie komornik, domagając się zapłaty długów, których nigdy nie zaciągnął.

Wszystko to jest dziś stosunkowo łatwe z powodu naszej zależności od komputerów oraz sieci. Jeszcze niedawno przechwytywanie czyjejś korespondencji wymagało fizycznego udziału. Na początku rozwoju elektroniki założenie podsłuchu było czymś bardzo skomplikowanym oraz wiązało się z dużym ryzykiem; było to ponad możliwości przeciętnego obywatela. Tylko służby specjalne działające na zlecenie rządu i prywatni detektywi dysponowali wiedzą, jak to robić. Ryzyko wykrycia takiej działalności było całkiem spore. Każdy, kto chciałby oszukać czy podsłuchiwać Hakhettów w latach 80., musiałby, przykładowo, przeniknąć do kręgu ich znajomych, spędzić w ich bliskości wiele miesięcy, monitorując ich życie prywatne, być może przechwytywać ich listy, starannie je otwierając i zamykając (nie pozostawiwszy żadnych śladów, by nie wzbudzić podejrzeń) oraz na przykład przeszukiwać ich śmieci w celu przejęcia starej korespondencji. Tylko profesjonalny detektyw lub agencja rządowa byliby w stanie przeprowadzić tak skomplikowane i kosztowne przedsięwzięcie.

Dziś wystarczy spojrzeć na profil Hakhettów na Facebooku, by gołym okiem ujrzeć wszystkich ich znajomych. Facebook ujawnia nam ich biografie, zainteresowania, wiadomości o tym, gdzie byli na urlopie, czy nawet czego nie lubią, nie wspominając już o datach urodzenia, szkołach, do których uczęszczali oraz imionach rodziców oraz rodzeństwa. Często nawet wymienia imiona ich zwierzaków domowych. Informacje mają ogromne znaczenie, gdyż mogą zostać wykorzystane przez kogoś do odgadnięcia hasła czy odpowiedzi na pytanie bezpieczeństwa (zazwyczaj jest to coś w stylu: „podaj imię swojego pierwszego zwierzaka”).

Załóżmy, że Hakhettowie mają konta nie tylko na Facebooka, ale też w LinkedIn – olbrzymim serwisie społecznościowym, z którego korzysta przeszło 300 mln profesjonalistów na całym świecie. Oboje mają w zwyczaju akceptować wszystkie zaproszenia – dla Chipa to potencjalni klienci, dla Pin kandydaci na pracowników. LinkedIn wyświetla informacje o ich poprzednich pracodawcach i ludziach, z którymi kiedyś współpracowali. Chip i Pin – podobnie jak większość spośród milionów innych użytkowników – nie myślą nawet o tym, że ktoś mógłby te dane wykorzystać w złej wierze. Oczywiście nie jest to wina serwisu – to jedynie platforma komunikacji dla jego klientów. LinkedIn nie zajmuje się weryfikowaniem zamieszczanych na jego stronach informacji. Warto zatem pamiętać, że podawanie tego typu danych o sobie nieznajomym może być tak samo ryzykowne jak ślepa wiara we wszystko, co się w takim serwisie [o kimś] wyczyta.

Raport firmy iSight Partners, specjalizującej się w bezpieczeństwie cyfrowym, opublikowany w maju 2014 roku opisuje Newscaster – operację, w ramach której irańscy hakerzy od 2011 roku, używając ponad tuzina zmyślnie wykreowanych tożsamości na takich stronach jak Facebook, Twitter oraz LinkedIn, namierzyli ponad dwa tysiące ofiar, wśród których znaleźli się oficerowie amerykańskiego wojska, dyplomaci, politycy oraz ludzie mediów i proizraelscy lobbyści[4]. Oszuści podawali się w kontaktach z nimi za dziennikarzy, pracowników rządu czy agencji wojskowych. Mieli bardzo starannie „skonstruowane” profile, pełne wiarygodnych, na pierwszy rzut oka, informacji (zawierających m.in. odnośniki do fikcyjnego serwisu wiadomości newsonair.org, w którym trawestowano zawartość autentycznych serwisów, np. BBC)[3]. Te zmyślone, aczkolwiek w pełni uwiarygodnione postaci zaprzyjaźniały się ze swymi ofiarami. W wielu serwisach społecznościowych takich jak Facebook oraz LinkedIn, gdy ktoś doda Was do grona swoich znajomych, otwiera wam dostęp do wielu informacji o sobie – adresu, numeru telefonu aż po dane dotyczące najbliższych czy swoich spraw służbowych. Kolejnym krokiem było wysyłanie do ofiar e-maili mające na celu zhakowanie ich loginów oraz haseł do tych serwisów. Ich maszyny były infekowane wirusami zaprojektowanymi do wykradania danych z ich maszyn. Celem tych ataków – które firma iSight określiła jako „niezwykle skomplikowane, o wielkiej skali i sile rażenia” – mogło być rozpoznanie możliwości wojsk amerykańskich oraz statusu ich relacji z armią Izraela. Być może chodziło o zgromadzenie informacji, które miały dać stronie arabskiej przewagę w negocjacjach dotyczących sankcji gospodarczych czy rozprzestrzeniania broni nuklearnej; może miało to być przygotowanie gruntu pod przyszłe ataki.

Hakhettowie są łatwym łupem dla hakerów. W najlepszym przypadku, akceptując zaproszenie nieznajomego, mogą pomóc właścicielowi fałszywej tożsamości zyskać wiarygodność. Gdy już połączy się on z Chipem [w sieci znajomych], może zacząć przeprowadzać ataki na jego klientów – którzy, tak się składa, są prezesami dużych przedsiębiorstw. Natomiast gdy połączy się z Pin, może rozpracowywać jej współpracowników – ludzi pracujących w wielkim medialnym koncernie, pełnym interesujących osobistości.

Atak Newscaster na LinkedIn, podobnie jak prześladowanie Leandry Ramm przez Colina Maka Yew Loonga z Singapuru, wymagał niewiele poza odwagą. Nie trzeba było dysponować szczegółową wiedzą techniczną ani specjalistycznym oprogramowaniem, aby go przeprowadzić. Głównym narzędziem bowiem okazało się to, co jest największą słabością każdego systemu zabezpieczeń: ludzie.

Pomijając ludzką naiwność i skłonność do kłamstwa, trzeba przyznać, że komputery zmieniły na zawsze sposób, w jaki przetwarzamy oraz pozyskujemy dane osobowe. Adres zamieszkania czy numer telefonu Hakhettów nigdy nie były tak naprawdę w pełni prywatne. Nie zaprzątali sobie głowy tym, by na przykład zastrzec swój numer. Można więc go uzyskać, jeśli zna się ich adres. Ten natomiast można zdobyć choćby z rejestru wyborców. Są współwłaścicielami firmy Chipa, a więc ich adres zamieszkania, będący jednocześnie adresem spółki, znajduje się także w rejestrze przedsiębiorstw.

Teraz wszystkie te informacje są dostępne online – niekiedy za darmo, czasami za niewielką opłatą. Teoretycznie możliwe jest ukrycie części danych – przykładowo można używać adresu księgowego jako adresu korespondencyjnego firmy; można też nie zarejestrować karty telefonicznej[4]. Większość ludzi nie zwraca jednak uwagi na takie szczegóły. Niewielu przejmuje się tym, co wstawia na Facebooka.

Tymczasem powinni przywiązywać do tego wagę. Dostawcy wielu kluczowych dla nas usług, na przykład opieki zdrowotnej, bankowości czy e-commerce, wykorzystują te informacje w celu ustalenia naszej tożsamości. Bardzo często rozpoczynają rozmowę telefoniczną (lub chat internetowy) od pytania o datę urodzenia, nazwisko panieńskie matki, ostatnie cztery cyfry numeru telefonu czy adres. Upubliczniając różne tego typu dane, przy okazji korzystania np. z usług Apple czy innych firm, które często przekładają wygodę klienta ponad jego bezpieczeństwo, Hakhettowie ułatwiają sprawę przestępcom.

Paradoksem internetu jest to, że Hakhettowie udostępniają olbrzymie ilości danych o sobie, otrzymując w zamian bardzo niewiele. Zarówno Chip, jak i Pin są bardzo oszczędni. Korzystają z darmowej poczty elektronicznej oraz innych tego typu usług, bo nie chcą płacić za coś, co można mieć za darmo. Zupełnie nie zdają sobie sprawy, że firmy takie jak Google czy Facebook sprzedają dane, które gromadzą, różnego rodzaju agencjom reklamowym. Jeżeli Chip i Pin wymienią się e-mailami o psach, zaczną otrzymywać reklamy karmy, zabawek oraz innych akcesoriów dla zwierząt. Jeżeli w dyskusji z użytkownikami Facebooka wyrażą chęć wyjazdu na wakacje do Ameryki Łacińskiej, na ich wallu zaczną pojawiać się reklamy biur podróży. Jak już pisałem, użytkownicy „darmowych” serwisów nie są klientami, tylko produktami.

Ludziom to jednak nie przeszkadza. Nikt nie zmusza Hakhettów do korzystania z Google’a czy Facebooka. Istnieją bardziej bezpieczne opcje, aczkolwiek mogą one być dla nich mniej wygodne. Głównym celem tej książki jest wykazanie, że owi fikcyjni Hakhettowie oraz miliony prawdziwych ludzi na całym świecie wchodzą w coś, co można określić mianem kiepskiego układu. W zamian za olbrzymią ilość informacji, jakie dostarczają o sobie, nie otrzymują nic, co mogłoby zagwarantować bezpieczeństwo – a w szczególności nic, co pozwalałoby im identyfikować innych ludzi czy potwierdzać autentyczność udostępnianych przez nich danych. Nie tylko grozi im, że w internecie ktoś się pod nich podszyje, ale także nie mogą być pewni, czy osoby, z którymi mają do czynienia, w ogóle istnieją. To tak, jakbyśmy zyskali prawo do bezpłatnych podróży, oddając w zamian naszą prywatność ludziom, którzy chcą nam coś sprzedać. Poświęcamy w ten sposób nasze osobiste bezpieczeństwo. Gdy jesteśmy młodzi i odważni, podróżowanie autostopem wydaje się świetnym pomysłem. Gdy dorastamy i nabywamy więcej doświadczenia, okazuje się jednak, że zaczynamy preferować bezpieczniejsze środki transportu.

Jest też gorsza wiadomość. Nie dość, że internetowe tożsamości Hakhettów narażone są na atak, to jeszcze okazują się bezużyteczne, gdy trzeba udowodnić, że jest się tym, za kogo się podaje (oraz że osoba, która się za nas podaje, w rzeczywistości jest kim innym). Każdy, kto zyska dostęp do loginu i hasła Chipa, może z łatwością się pod niego podszyć. Tak samo każdy, kto zna dane osobowe jego kolegów i współpracowników, może się za nich podawać.

Internetowa niby-anonimowość potrafi być zdradliwa. Mamy czasem prawo sądzić, że robimy coś, pozostając poza obserwacją innych. Ale to złudne myślenie – w internecie bowiem każde kliknięcie w klawiaturę czy myszkę może być bacznie obserwowane przez kogoś, kto chciałby na nas zarobić. Bywa, że nieświadomie dajemy na to przyzwolenie. Niekiedy podajemy swoje dane osobowe komuś, komu ufamy, nie licząc się z tym, że może on wykazać się niefrasobliwością w kwestii bezpieczeństwa. Ewentualnie przekazujemy komuś ważne dane w nadziei, że je dla nas zachowa, nie zdając sobie sprawy, że on akurat skrupulatnie je usuwa. Sądzimy, że jesteśmy obserwowani, gdy w rzeczywistości tak nie jest.

Tak czy inaczej taka niedopracowana anonimowość bywa zgubna. W prawdziwym życiu rzadko jesteśmy anonimowi – zdarza się to na balach maskowych czy w ciemnych pokojach w klubach dla swingersów. W takich przypadkach z reguły znamy obowiązujące zasady, stosujemy niezbędne środki ostrożności i wiemy, że możemy się wycofać, gdy poczujemy się niekomfortowo. Są to jednak miejsca prywatne, do których idziemy w konkretnym celu. W miejscach publicznych sprawa także jest jasna: nikt nie ma prawa zmusić nas do tego, byśmy się zidentyfikowali, nie licząc wyjątkowych sytuacji. Celowe ukrywanie swojej tożsamości nie jest dobrze widziane. W niektórych krajach nawet prowadzenie samochodu z przyciemnionymi szybami czy protestowanie na ulicach w maskach jest niedozwolone. Niemcy, Dania i Kanada to kraje zakazujące demonstrantom zasłaniania twarzy. Francja natomiast zabrania noszenia islamskich strojów kobiecych (nikabów i burek) w przestrzeni publicznej[5].

Jednak nasza obecność w internecie przypomina bal maskowy, na którym nie jesteśmy w stanie zdjąć własnej maski ani sprawdzić tego, co kryje się pod maskami innych ludzi. Uderza to w koncepcję tożsamości, która leży u podstaw naszego systemu gospodarczego, politycznego i prawnego. Kontrakt społeczny może być realizowany wyłącznie między osobami fizycznymi lub prawnymi. Nie da się pozwać albo skazać kogoś z domniemaną bądź niewidzialną tożsamością. Tylko prawdziwi ludzie mogą głosować oraz być wybierani w wyborach. Internetowe tożsamości są ulotne, różnorodne oraz często niebezpiecznie słabe.

By w pełni zdać sobie sprawę z powagi tego problemu, możemy porównać go do sytuacji na naszych drogach. Żeby móc legalnie prowadzić samochód, potrzebne jest nam prawo jazdy. Do tego pojazd, którym się poruszamy, musi mieć ważne ubezpieczenie, wykonany przegląd oraz być oznaczony numerem rejestracyjnym. Prawo jazdy z innego kraju można łatwo zdobyć, a tablice rejestracyjne podrobić, lecz gdy zostaniecie złapani w trakcie prowadzenia auta, które nie zostało prawidłowo zarejestrowane, nie jest ubezpieczone, a wy w dodatku nie macie ważnego „prawka”, czeka Was rozprawa sądowa, duża kara pieniężna lub nawet więzienie. Na balu maskowym mamy przynajmniej wybór. Możemy także stwierdzić, czy osoby w naszym otoczeniu mają na sobie maski, czy nie. Łatwo jest je zdjąć, przemocą lub za zgodą właściciela. Różnica między prawdziwą twarzą a maską od razu jest zauważalna, poza tym mamy do dyspozycji wiele cech, które ułatwiają identyfikację, takich jak mowa ciała, głos, budowa czy ubiór. Żadna z nich nie okaże się jednak pomocna w procesie potwierdzania czyjejś tożsamości w internecie – przynajmniej na razie. E-mail czy strona WWW zawiera najczęściej tylko jedną cechę: jej adres. Większości użytkowników sieci ciężko jest rozróżnić, czy mają do czynienia z czymś autentycznym, czy z podróbką.

Anonimowość ma wiele zalet. Możliwość przeszukiwania internetu i dzielenia się informacjami bez konieczności ujawniania swej tożsamości to dobrodziejstwo dla tych, którzy kochają wolność, i zarazem przekleństwo dyktatorów. Anonimowość powinna być świadomym wyborem osoby, której dotyczy. Chip powinien mieć prawo do tego, by jedno-znacznie potwierdzić swą tożsamość w sieci (tak jak w prawdziwym życiu). Powinien też móc zidentyfikować ludzi, z którymi robi interesy, tak samo jak podczas spotkania z kimś twarzą w twarz. Dziś jest to bardzo trudne albo wręcz niemożliwe.

Zaczyna się to jednak zmieniać. Niektóre kraje, na przykład Estonia, wprowadziły bezpieczne elektroniczne dowody tożsamości. Zezwalają one na anonimowość wówczas, gdy mamy taką ochotę. Jednak strach przed „Wielkim Bratem” skutecznie zablokował wprowadzenie takiego systemu w Wielkiej Brytanii. A przecież nie musiałby on być obowiązkowy. Wystarczyłoby, by był atrakcyjny. W krajach, w których podobne systemy zostały upowszechnione, uczestnictwo w nich jest zwykle fakultatywne, a i tak większość społeczeństwa z nich korzysta. Stwarzają bowiem możliwość wyboru. Przestajemy być zdani na widzimisię tych, którzy mają nas zaakceptować, lub tych, którzy chcą nam się przedstawić. Za pomocą cyfrowego dowodu możemy skutecznie udowodnić naszą tożsamość – czy to w kontakcie z instytucją rządową, firmą czy po prostu drugą osobą. Ułatwia to nawiązywanie współpracy. Zwalnia od zapamiętywania ogromnej liczby haseł, odpowiedzi na pytania bezpieczeństwa, pilnowania kart z kodami i innych akcesoriów. Gdy zgubimy cyfrowy dowód, możemy go natychmiast zablokować. Działa on za pomocą dwóch kodów PIN: jeden jest przeznaczony do identyfikacji, drugi do autoryzacji. Jeśli zapomnimy haseł, możemy wystąpić z prośbą o nowe – musimy je odebrać osobiście. Jeżeli podejrzewamy, że zostały one złamane, możemy je natychmiast anulować. Kombinacje haseł są niekiedy bardzo skomplikowane.

Obecnie skuteczne potwierdzenie czyjejś tożsamości w internecie jest bardzo trudne. Jeśli ktoś chce podszyć się pod Hakhettów, może iść do kawiarenki internetowej albo kupić smartfona – nowoczesny telefon z dostępem do internetu – i kartę SIM (wszystko to za bardzo niewielką sumę pieniędzy). W niektórych krajach [od połowy 2016 roku także w Polsce – przyp. Kurhaus] przy zakupie karty SIM trzeba okazać dokument tożsamości. Takie bariery można jednak obejść. Gdy złodziej zyska dostęp do komputera, może założyć konto e-mailowe lub nawet (przy odrobinie wysiłku) stworzyć stronę internetową. Każdej związanej z tym płatności może dokonać gotówką lub poprzez kartę upominkową, którą można bez problemu kupić w większości sklepów. Na żadnym etapie, w większości krajów świata, nie będzie on zmuszony do okazania paszportu lub innego dokumentu tożsamości. Zachowując taki poziom anonimowości, żaden człowiek nie mógłby prowadzić pojazdu, wyjechać za granicę czy otworzyć konta w banku. Jednak w internecie – elektronicznym układzie nerwowym całego świata[6]– może robić co mu się podoba.

Obrazuje to uderzający kontrast pomiędzy sektorem cyfrowym a innymi funkcjonującymi globalnie sektorami: transportu wodnego czy powietrznego. Identyfikacja statku lub samolotu poza wodami terytorialnymi danego kraju jest relatywnie łatwa (aczkolwiek znalezienie właściciela statku może być nieco trudniejsze). Kraj, który chce dołączyć do globalnego systemu pocztowego i telekomunikacyjnego albo otworzyć międzynarodowe lotnisko musi spełnić wiele surowych warunków. Musi mieć zdolność rejestrowania wychodzących i przychodzących listów i połączeń, skutecznego prowadzenia kontroli lotów itd. Te zasady stosunkowo łatwo jest egzekwować, ponieważ realizowane są zwykle przez systemy należące do danego kraju. Właściwie każdy numer telefonu przypisany jest do konkretnego państwa – z kilkoma może wyjątkami, takimi jak łączność satelitarna (z własnym numerem kierunkowym).

Nawet na wodach międzynarodowych panują określone zasady mające na celu zapobieganie niebezpiecznym incydentom. Teoretycznie można wypłynąć statkiem pełnym toksycznych odpadów, z niewolnikami na pokładzie i żeglować beztrosko po wodach świata. Trudno jednak będzie zarobić na tym towarze. Wasza łajba nie mogłaby zacumować w porcie żadnego cywilizowanego kraju i korzystać z takich dróg jak Kanał Panamski czy Suez. Mielibyście też problemy z przedostaniem się na wody zarządzane na mocy międzynarodowych traktatów (np. na Morze Czarne). Jeśli zaczęlibyście dokuczać innym statkom, moglibyście zwrócić na siebie uwagę marynarki. To mogłoby mieć nawet śmiertelne konsekwencje. W internecie nie ma organów tego typu – żadnej centralnej władzy. Istnieją jedynie luźnie związane, niekiedy działające przeciw sobie, organizacje non profit o wątpliwym umocowaniu i ograniczonych prerogatywach (zob. Drugi Dodatek). W prawdziwym świecie zwykle wiemy, kiedy zachowujemy się nieodpowiednio i mamy świadomość, że nasza nieostrożność godzi w nas samych. W Rozdziale 4 udowadniam, że nie zdajemy sobie sprawy z tego, jak wielkie szkody może wyrządzić nasz komputer innym. Gubiąc klucze od mieszkania czy torebkę, Pin i Chip dają obcym możliwość wejścia do ich mieszkania. Gdy padną ofiarą złodzieja, to oni poniosą odpowiedzialność. W najgorszym przypadku trochę na tym ucierpią ich goście lub rodziny. Gdy jednak ktoś zaatakuje ich komputery, inni ludzie będą mocno eksponowani na ryzyko.

[1] Kiedyś przeprowadzałem wywiad z jednym z czołowych przedstawicieli agencji rządowej do spraw przestępczości zorganizowanej. Odbywało się to w dość nietypowej atmosferze. Odwracając jego uwagę, wykorzystałem jedną z czarnych sztuczek dziennikarskich – zdolność czytania do góry nogami – aby zobaczyć, co kryje się w dokumentach na jego biurku. Była to kopia mojej strony z Wikipedii sprzed kilku tygodni, z czasu gdy była ona sfałszowana przez moich krytyków. Najwyraźniej uznał ją za prawdziwą i myślał, że ma do czynienia ze świrem. Ja natomiast uznałem, że mam do czynienia z osobą niekompetentną.

[2] Chodzi o e-book pt. „Stalking a diva” – przyp. Kurhuas.

[3] To nie ma nic wspólnego z newsonair.com, uczciwą hinduską stroną.

[4] W Polsce, począwszy od II poł. 2016 roku, obowiązkowa jest rejestracja wszystkich kart pre-paid – przyp. Kurhaus.

Rozdział 4
Utrata zabezpieczeń

Pewnego dnia, będąc w domu, Pin i Chip odebrali telefon od znajomego. Pytał, czy u Pin wszystko w porządku. Zdziwiona Pin odparła, że owszem. Było jasne, że nie znajduje się właśnie jakimś cudem w Penangu, bez grosza przy duszy. Wówczas kolega przeczytał im e-maila, którego rzekomo właśnie od niej otrzymał. Pin natychmiast pobiegła do swojego komputera.

Gdy próbowała zalogować się na swoje konto Gmail, okazało się, że jej hasło zostało zmienione. Postanowiła więc je zmienić – ale wiadomość z linkiem do zmiany hasła, która powinna zostać wysłana na konto Chipa, dziwnym trafem tam nie doszła. Haker zmodyfikował ustawienia konta tak, że e-mail z informacją o zmianie hasła trafił gdzie indziej. Pin nie mogła więc rozesłać do przyjaciół wiadomości z prośbą o ignorowanie fałszywej korespondencji generowanej z jej konta. Teoretycznie mogłaby to zrobić z konta Chipa, niestety większość kontaktów miała zapisanych na swym koncie Gmail. Niektóre z nich miała w telefonie – ten także odmówił jednak posłuszeństwa: został bowiem odcięty od jej konta e-mailowego. Gdy Chip otworzył własną skrzynkę, znalazł w niej taką oto wiadomość.

Piszę do was ze łzami w oczach. Byliśmy w Penang w Malezji na urlopie, kiedy zostaliśmy obrabowani w przyhotelowym parku. Skradziono nam telefony, pieniądze i karty kredytowe. Na szczęście mamy jeszcze nasze paszporty. Byliśmy już w ambasadzie i na policji. Za 3 godziny mamy samolot do domu. Menedżer hotelu nie wymelduje nas jednak, dopóki nie uregulujemy rachunku. Wysyłam tę wiadomość do wszystkich moich znajomych z nadzieją, że pomożecie.

Z poważaniem,

Pin Hakhett

Zdrowy rozsądek podpowiada nam, że to bujda. Nie tylko dlatego, że wiemy, iż gdy e-mail ten został wysłany, Pin w swym domu rozmawiała właśnie przez telefon. Hotele w cywilizowanych krajach nie zabraniają nikomu opuszczenia ośrodka bez opłacenia rachunków (pobierają dane kont bankowych od swoich klientów już przy rejestracji). Liczba szczegółów zawarta w tej wiadomości zdaje się jednak wystarczająca, by mogła być wiarygodna. Jeśli telefon Pin został skradziony, to nie ma sensu do niej dzwonić. Liczba mnoga, którą posłużyła się narratorka, sugeruje, że Chip jest tam razem z nią – zatem z nim także nie będziemy próbować się połączyć. Zdaje się aż nadto oczywiste, że lokalna policja nie jest w takich sytuacjach szczególnie pomocna. Dość formalny podpis pod wiadomością uzasadnia natomiast fakt, iż jest ona kierowana do szerszej grupy ludzi. Jednak każdy, kto pokusi się o odpowiedź, w rzeczywistości napisze do oszusta, który poprosi o szybki transfer środków poprzez Western Union, po czym rozpłynie się z pieniędzmi.

Ten rodzaj przestępczości, zwany scamem, można całkowicie zautomatyzować, co dla złodzieja jest atutem. Może on kupić w internecie dane kont e-mailowych z aktywnymi loginami i hasłami lub włamywać się do nich za pomocą różnego rodzaju oprogramowania, a następnie zacząć rozsyłać wiadomości. Mając dostęp do kilkuset kont i wysyłając tysiące wiadomości dziennie, ma szansę na niezły zarobek, nawet jeśli otrzyma pozytywną odpowiedź raz na tysiąc e-maili.

Pin zastanawiała się, co zrobić. Google daje nam możliwość odzyskania kontroli nad kontem, nawet jeśli praktycznie wszystko zostało zhakowane – trzeba podać swoje poprzednie hasło oraz numer telefonu. Niestety, proces ten jest w założeniu bardzo powolny – gdyby było inaczej, istniałoby ryzyko, że będzie wspierał cyberprzestępców, a nie ich ofiary. Pin zawczasu nie pofatygowała się, by aktywować pewne funkcje zabezpieczeń, które teraz mogłyby okazać się pomocne. Tymczasem gdy ona zaczęła zmagać się z problemem, z którym nigdy dotąd nie miała do czynienia, jej znajomi rozpoczęli wysyłkę pieniędzy poprzez Western Union, by jej pomóc. Gdy uda jej się w końcu odzyskać konto, będzie się musiała gęsto tłumaczyć. W szczególności swojej biednej ciotce, która wysłała, co tylko mogła.

Książka adresowa Pin mogłaby zostać wykorzystana także do innych celów. Można by sprawdzić, czy nie ma w niej cennych kontaktów: do pracodawcy, dostawcy, klientów czy innych kontrahentów. Takie dane można wykorzystać do różnego rodzaju przestępstw. W tym przypadku złodzieje nie odcinają ofiary od jej konta, a jedynie zapewniają sobie stały w nie wgląd oraz możliwość wysyłania i odbierania wiadomości w jej imieniu. Mogą to robić w bardzo dyskretny sposób – usuwając za każdym razem zarówno przychodzące, jak i wychodzące wiadomości.

Rysunek 1: Sposoby wykorzystania zhakowanego komputera – w celu zrujnowania Wam życia.[1]

Nie pojawiłaby się wówczas potrzeba zmiany hasła. W takiej sytuacji Pin mogłaby nawet nie zdawać sobie sprawy, że ktoś się pod nią podszywa[1].

Rysunek 1 został sporządzony przez Briana Krebsa, eksperta ds. bezpieczeństwa cyfrowego, który prowadzi bardzo ciekawego bloga pod tytułem „Krebs on Security”. Diagram ten pokazuje, do jakich celów może posłużyć komputer, który znalazł się pod kontrolą hakera. Widać, że stanowi on zagrożenie nie tylko dla właściciela, ale też dla innych. Krebs pisze: (...) zhakowany komputer czy życie internetowe jego użytkownika praktycznie pod każdym względem może stać się towarem. Jeżeli tylko dane mają jakąś wartość i mogą zostać sprzedane, należy być pewnym, że internetowy światek przestępczy znajdzie sposób, by na nich zarobić... Jeszcze nie spotkałem się z wyjątkiem od tej reguły.

Hakhettowie powinni liczyć się z ryzykiem, że może spotkać ich wszystko to, co znajduje się na obrazku. Jakkolwiek głównym celem złodziei są konta e-mailowe. Konta te nie są bowiem wykorzystywane przez ludzi wyłącznie dla celów przekazywania sobie wiadomości. Dla wielu jest to ich główna metoda prowadzenia życia w sieci. Hasła oraz nazwy użytkowników wykorzystywane we wszelkich serwisach są wysyłane na Wasze konta e-mailowe. W większości przypadków to Wasz adres e-mail jest (niestety) głównym sposobem identyfikacji użytkownika. Zbyt wiele systemów zabezpieczeń, takich jak Apple ID (służący do dokonywania transakcji w iTunes), konto Amazon (również służące do dokonywania zakupów), Facebook, Twitter oraz inne serwisy internetowe, polega przynajmniej częściowo na uwierzytelnianiu poprzez e-mail.

Bardziej wyrafinowaną formą ataku hakerów jest popełnienie przestępstwa w imieniu Hakhettów poprzez wysłanie spamu z ich kont e-mailowych lub kont w serwisach społecznościowych (na Facebooku, LinkedIn lub Twitterze). W wiadomościach takich odbiorcom oferuje się trefne towary czy poleca pobrać zainfekowane oprogramowanie. Wykorzystuje się do tego celu relacje między „nadawcami” wiadomości a osobami z ich książki adresowej. Gdy otrzymujecie wiadomość od kolegi na Facebooku, Twitterze, LinkedIn czy w jakimś innym portalu społecznościowym, zwykle przymykacie oko na niepoprawną składnię czy niezbyt typowe dla nadawcy sformułowania. Prosta wiadomość pod tytułem „musisz to zobaczyć!” z odnośnikiem do konkretnej strony internetowej może wyrządzić nie lada krzywdę ludziom, którzy okażą się na tyle nieroztropni, by w niego kliknąć. Ktoś, kto przejmie kontrolę nad kontem e-mailowym Pin, zyska dostęp nie tylko do jej bieżącej korespondencji, ale też do jej historii. Może przejrzeć starą pocztę, reklamy, które otrzymywała, wiadomości, które wrzuciła do „kosza” i ustalić, co robiła przez ostatnie miesiące czy nawet lata. Uzyskuje dostęp do książki adresowej, która jest znacznie cenniejsza niż jej tradycyjny papierowy odpowiednik. Jeśli bowiem Pin zgubi swój skórzany notes z zabazgranymi w nim adresami i numerami telefonów, narazi ją to tylko na chwilowy dyskomfort. Znalazca czy też ewentualny złodziej niewiele będzie w stanie z takim fantem zrobić: nie będzie z niego wynikać, z jaką częstotliwością Pin pisze lub dzwoni do zapisanych w nim osób. Skórzany notes nie stwarza też możliwości podszycia się pod jego właścicielkę. Utrata kontroli nad kontem e-mailowym oznacza natomiast dla Pin jednocześnie utratę książki adresowej, nieskończonej liczby druków z jej podpisem in blanco oraz całej historii korespondencji z ostatnich miesięcy czy nawet lat. Pin może więc zostać odcięta od swojego konta i zmagać się z koniecznością odzyskania swych danych (co może zakończyć się niepowodzeniem), jednocześnie próbując ostrzec znajomych przed podszywającym się pod nią cyberprzestępcą. Może się też jednak zdarzyć, że będzie obserwowana przez hakera (co bywa jeszcze gorsze w skutkach) – wówczas będzie on zbierał po cichu jak najwięcej informacji o niej i czekał na odpowiedni moment, by osiągnąć optymalny rezultat swoich działań.

Trzeba pamiętać, że wszystkie konta powiązane z danym adresem poczty elektronicznej mają pewną wartość i mogą znaleźć się w obrocie na czarnym rynku. Jak pisze Krebs:

Pewien prominentny handlarz skradzionych danych sprzedaje konta na iTunes po 8 dol., fedex.com, continental.com oraz united.com po  6 dol., Groupon.com po 5 dol., natomiast za 4 dol. oferuje skradzione dane weryfikacyjne do serwisów takich jak godaddy.com, att.com, sprint.com, verizonwireless.com czy tmobile.com. Aktywne profile na Facebooku i Twitterze są warte około 2,50 dol. za sztukę... (...) niektóre sklepy takich przestępców schodzą z cen za skradzione konta jeszcze niżej, licząc sobie pomiędzy 1 a 3 dol. za aktywne profile w ramach dell.com, overstock.com, walmart.com, tesco.com, bestbuy.com oraz target.com. A to tylko kilka przykładów.

Konta Chipa w systemach firm kurierskich – UPS, DHL oraz FedEx – mogą okazać się szczególnie cenne dla złodziei. Istnieje cała branża przestępcza specjalizująca się w kupowaniu bardzo drogich towarów za pomocą skradzionych numerów kart kredytowych. Po zakupie produkty te trafiają do specjalnych jednostek, które zajmują się ich przepakowywaniem i nadają je dalej za pomocą cudzych kont w firmach transportowych. Konto Chipa może zostać użyte do przesłania skradzionego komputera lub narkotyków, powiedzmy z  Danii na Litwę. Gdy kiedyś w tej sprawie zapuka do niego policja, będzie mógł jedynie wyrazić zdziwienie. Przykładem scamu może być też przesłanie komuś, za pomocą konta Chipa w serwisie firmy kurierskiej, fałszywego czeku bankowego z dołączoną instrukcją, by odesłać część pieniędzy do nadawcy. Zadziwiająco dużo ludzi daje się na to nabrać. Wysyłają pieniądze do kompletnie nieznajomej osoby w zamian za czek bez pokrycia, który zostanie odrzucony przez ich bank. W taki oto sposób ofiara zostaje bez pieniędzy, natomiast oszust się wzbogaca. Tak jak w przypadku działania typu „jestem bez grosza przy duszy w Penangu”, ważną cechą tego oszustwa jest możliwość zautomatyzowania procesu. Nawet jeśli prawdopodobieństwo, że ktoś wpadnie w pułapkę, jest niewielkie, skala tego procederu czyni go niezwykle dochodowym.

Większość systemów zabezpieczeń [we wszelkich serwisach] wymaga wysłania wiadomości e-mail w celu potwierdzenia ewentualnych zmian oraz odzyskania utraconych informacji. Na przykład gdy Pin i Chip zapomną swoich loginów lub haseł, otrzymują zwykle e-maila zawierającego nowe hasło bądź link do strony, na której będą je mogli ustalić. Może się to wydawać dobrym rozwiązaniem. Wcale jednak tak nie jest, jeśli wziąć pod uwagę, jak łatwo się włamać na czyjeś konto poczty elektronicznej. Gdy do tego dojdzie, oszust po prostu kliknie w odnośnik, po czym zmieni hasło na własne. W efekcie, gdy Pin będzie chciała odzyskać dostęp do swojego konta na Amazonie, Apple czy gdziekolwiek indziej, jej login i hasło nie zostaną rozpoznane. Co gorsza, złodziej będzie mógł zmienić adres e-mail, pytania pomocnicze czy numer karty kredytowej przypisane do jej konta.

Gdy Hakhettowie stali się ofiarami cyberataku, znaleźli się w kafkowskiej sytuacji: próbowali, bez większych rezultatów, wytłumaczyć wszystkim, że to nie oni byli nadawcami wiadomości z prośbą o pomoc. Gdy udało im się dodzwonić do pomocy technicznej Amazona, nie przeszli pomyślnie testu na weryfikację tożsamości. Gdy zapytano Chipa o cztery ostatnie cyfry jego karty kredytowej, okazało się, że są niezgodne z numerem karty przypisanej do konta (złodziej zmienił ją na inną). W innym serwisie poproszono go o podanie odpowiedzi na pytanie pomocnicze. Również nie trafił (pytanie zostało zmienione). Pin miała natomiast podać cztery ostatnie cyfry jej numeru telefonu. Podała błędne.

To tak, jakby Hakhettowie wrócili do domu i zorientowali się, że ich klucz nie pasuje do zamka, a w środku trwa impreza. Po czym, wezwawszy policję, nie byliby w stanie w żaden sposób udowodnić, że dom w rzeczywistości należy do nich: akt notarialny i inne dokumenty zostałyby sfałszowane, a ludzie bawiący się w środku określaliby ich mianem oszustów (sącząc przy tym ich wino, spożywając ich jedzenie i rujnując wystrój).

Jednak komputery Hakhettów są zagrożone nawet wtedy, gdy mają oni kontrolę nad swymi kontami e-mailowymi. Jedno nieumyślne kliknięcie dzieli ich od stania się współwinnymi przestępstwa, gdy ich komputer trafi do botnetu. Sieć zdalnie sterowanych komputerów – sieć „botów”, od wyrazu „robot” – jest jednym z ważniejszych pojęć w zakresie bezpieczeństwa cyfrowego. Botnety nie zawsze muszą być nielegalne lub czynić szkody. Istnieją sytuacje, w których mogą przynosić korzyść użytkownikom – gdy jakiś zainstalowany program automatycznie pobiera aktualizacje, oznacza to, że komputer staje się częścią botnetu.

W większości przypadków botnety są niestety zmorą internetu, co zwykle umyka uwadze właścicieli zainfekowanych maszyn. Niestety, nie przychodzi mi na myśl żadne dobre porównanie do sytuacji w prawdziwym życiu, które pomogłoby lepiej opisać ten problem. Można w pewnym stopniu odnieść to do sytuacji pasożyta żyjącego w ciele swojej ofiary i opuszczającego je tylko i wyłącznie w celu zarażenia innych. Dobrym przykładem ze świata przyrody może być malaria: jej zarodziec nie przysparza większych problemów komarom, które ją roznoszą. Owady te są po prostu wykorzystywane do transportu pasożyta. Tak jak komary, botnety występują w chmarze. Pojedynczy komputer nie stanowi większego problemu. Ich tysiące czy nawet miliony w botnecie są już poważnym zagrożeniem.

Moglibyśmy też posłużyć się w tym przypadku porównaniem do terrorysty podkładającego bombę w czyimś samochodzie z zamiarem, by samochód ów przewiózł ją do miejsca, w którym znajduje się ofiara. Szczęśliwie takie przypadki częściej zdarzają się w hollywoodzkich filmach niż w rzeczywistości. Wyobraźmy sobie, że ktoś jest w stanie podłożyć jednocześnie bomby w setkach tysięcy czy milionach samochodów należących do Bogu ducha winnych właścicieli. Nie dość, że nigdy się nie zorientują, że je wożą, to jeszcze mogą zostać wykorzystani wielokrotnie. Wyobraźmy sobie także, że te bomby są „zaraźliwe”, że każdy, kto ma taką bombę pod maską, wkrótce sprawi, że jego znajomi oraz bliscy też będą ją mieć.

To jest właśnie botnet: olbrzymia sieć komputerów zombie będąca w stanie zrujnować życie każdemu, po cichu i bez wiedzy ich właścicieli. W swoim zeznaniu złożonym przed amerykańską senacką komisją sprawiedliwości Leslie Caldwell z Departamentu Sprawiedliwości USA bardzo obrazowo przedstawił zagrożenia związane z ich działalnością:

Zagrożenia związane z botnetami – sieciami komputerów nieświadomych ofiar... kontrolowanych przez jedną osobę lub zorganizowaną grupę przestępczą – rosną w ostatnich latach w dramatycznym tempie. Komputery amerykańskich obywateli oraz firmy są, nawet w chwili, gdy o tym rozmawiamy, atakowane przez hakerów i grupy przestępcze przy użyciu supernowoczesnych technik rodem z filmów fantastycznonaukowych[2].

Pierwsze wykorzystanie botnetu na dużą skalę miało na celu zmasowany atak na konkretne osoby. W nieczystym świecie brytyjskich wyborów uzupełniających, w który zanurzyłem się na pewien czas we wczesnych latach 80., stosowano pewien mechanizm blokowania czyjejś kampanii wyborczej. Polegał on na tym, iż w lokalnej gazecie zamieszczano drobne ogłoszenie o sprzedaży dobrego, używanego samochodu za bardzo korzystną cenę. Jako dane kontaktowe podawano numer telefonu ofiary – przeciwnika w wyborach. W owych czasach autora takiego ogłoszenia nie dało się zidentyfikować: transakcja opłacana była gotówką w biurze redakcji. W rezultacie publikacji setki (jeśli nie tysiące) telefonów z odpowiedzią na ofertę – w czasach gdy typowe biuro miało tylko jedną linię telefoniczną – skutecznie blokowały działalność przeciwnika. (Wadą tej taktyki było oczywiście to, że druga strona też mogła ją zastosować).

Atak odmowy dostępu do usługi [ang. denial of service attack] jest jej internetowym odpowiednikiem. Celem nie jest linia telefoniczna, ale dana strona internetowa bądź serwer (komputer prowadzący sieć danych lub urządzeń). Zamiast kilkuset telefonów, miliony trefnych połączeń zalewają cel, sprawiając, że te autentyczne połączenia nie mają szansy się przebić. Może to być częścią kampanii politycznej lub próbą wyłudzenia pieniędzy. Może też stanowić czyjąś rozrywkę. Łatwość przeprowadzenia takiego ataku jest nieproporcjonalna do wysokich kosztów obrony przed nimi. Każdy, kto czytał książkę Daphne du Maurier Ptaki lub oglądał film pod tym tytułem, może sobie wyobrazić efekty tego zjawiska[3]. Jedna wkurzona mewa nie stanowi większego zagrożenia, natomiast cała ich chmara może być śmiertelnie groźna.

W trakcie ataku wykorzystującego odmowę dostępu odwiedzający daną stronę zobaczą ją jako pustą lub wyskoczy im wiadomość, że wystąpił błąd. Potencjalne tego konsekwencje mogą być szerokie: od drobnej niedogodności do katastrofy. Jeden taki zamach, przeprowadzony przez wyłudzaczy pieniędzy, zamknął stronę Code Spaces, serwisu prowadzącego aukcje domen internetowych. Gdy jego właściciele odmówili zapłaty okupu, wyłudzacze zemścili się na nich: następnego dnia na stronie pojawiła się wiadomość: „większość naszych danych, kopii zapasowych oraz ustawień została częściowo lub w całości usunięta”[4]. W rezultacie zostali oni zmuszeni do zakończenia działalności. Wśród ofiar takich ataków wymienić można firmę Freedly, serwis pomagający internautom w gromadzeniu nowinek z ich ulubionych stron internetowych oraz spółkę archiwizującą dane Evernote. Ataki w tym przypadku oznaczały, że klienci portali zostali odcięci od dostępu do danych[5].

Tego typu zachowania to po prostu akty przestępcze. Aczkolwiek mogą one być także motywowane politycznie. W czerwcu 2013 roku przeciwnicy Afrykańskiego Kongresu Narodowego (AFN), partii rządzącej w Republice Południowej Afryki, całkowicie zablokowali rządową sronę internetową przy użyciu tej właśnie metody. Uczynili to, protestując przeciwko politycznemu poparciu AFN dla dyktatora Zimbabwe Roberta Mugabe[6]. W roku 2012 amatorski prześmiewczy film pod tytułem „Innocence of Muslims” [pol. „Niewinność muzułmanów”] wywołał atak blokujący strony internetowe amerykańskich banków. Polityczny protest bardzo łatwo może przemienić się w działalność popieraną przez rząd. Dla danego państwa atak typu odmowa dostępu zakrojony na szeroką skalę może być równoznaczny z wypowiedzeniem wojny. Ofiarą tego typu działań stała się w 2007 roku Estonia (po tym jak postanowiła przenieść sowiecki pomnik z okresu zimnej wojny z centrum Tallina na podmiejski cmentarz). Ataki, do których doszło w następstwie tych działań, wielu dziś nazywa (błędnie) wojną cybernetyczną. Estoński system bankowości internetowej przestał działać, a strony agencji rządowych stały się niedostępne. Telefony alarmowe na policję, straż pożarną i pogotowie także były chwilowo nieosiągalne[7]. Tego typu ataki nie wymagają żadnego wyszukanego oprogramowania czy włamywania się do komputera ofiary. Mogą one natomiast być zorganizowane z bardzo daleka. Ich źródło często jest niemożliwe do namierzenia, jako że atakujący nie posługują się swoimi maszynami. Mogłoby to być dla nich zbyt kosztowne i ryzykowne. Kradną moce obliczeniowe innych komputerów.

By w pełni zobrazować problem, wróćmy do Hakhettów. Ich komputery mogłyby uczestniczyć w takim ataku kompletnie bez ich wiedzy. Ich hasła oraz loginy działałyby jak co dzień, programy funkcjonowałyby bez zarzutu, a dane zdawałyby się nienaruszone. Dzięki botnetom niewidzialny program pracuje bowiem w ukryciu. Jego celem nie jest kradzież pieniędzy Hakhettów czy zablokowanie ich komputera lub jakikolwiek tego typu efekt. Działa on, by wykorzystywać niewielką ilość mocy obliczeniowej ich maszyny oraz łącza internetowego, tak by służyły pozostającemu w cieniu właścicielowi [botnetu].

Zdecydowana większość właścicieli komputerów wykorzystywanych w tego typu działaniach nie jest tego świadoma. Botnet z reguły korzysta w niewielkim stopniu z ich wydajności. Polecenia dla programu – kiedy ma zacząć lub przestać nadawać albo kto ma być celem ataku – trafiają do niego przez internet, w sposób niewidoczny dla użytkownika, często nie pozostawiając żadnych śladów. Nawet jeżeli właściciel zainfekowanej maszyny zostanie zlokalizowany i o tym powiadomiony, zazwyczaj niewiele z tym robi. Dostawcy internetu także niespecjalnie przejmują się infekcjami komputerów ich klientów. Pakiety danych skierowane przeciw Estończykom zajmowały łącza w bardzo niewielkim stopniu.

Wszystkie efektywne sposoby radzenia sobie z takimi atakami wiążą się z wydawaniem pieniędzy na mocniejsze maszyny oraz silniejsze połączenia internetowe (wirtualny odpowiednik instalowania większej liczby linii telefonicznych). Innym rozwiązaniem może być wykupienie specjalistycznego oprogramowania do filtrowania połączeń, które blokować będzie te niepożądane, jednak rachunek za takie usługi zostałby wystawiony ofierze, a nie atakującemu czy jego niezliczonej liczbie nieświadomych pomocników. Ataki przy użyciu botnetów stają się coraz częstsze, silniejsze oraz bardziej skomplikowane. Najnowszą metodą jest porywanie serwerów – potężnych komputerów wykorzystywanych zwykle do obsługi stron internetowych. Mają bardzo dużą moc obliczeniową i mogą wysyłać duże ilości informacji.

Tak jak firmy cały czas ulepszają swoje zabezpieczenia, tak i atakujący stają się coraz przebieglejsi. Skupiając się na słabych punktach stron internetowych, takich jak małe rubryczki do wpisywania haseł czy zapytań i zalewając je informacjami, efektywnie blokują całą witrynę. Inną słabością w architekturze sieci są serwery DNS (system nazw domen). Przy użyciu odpowiednich narzędzi można oszukać je tak, by same zalały sieć olbrzymimi ilościami danych, doprowadzając do zablokowania jej.

Drugim popularnym sposobem wykorzystywania botnetu jest wysyłanie z adresów e-mailowych wiadomości spamowych o innym jeszcze charakterze. E-mail typu „Bez grosza przy duszy w Penangu” rozesłany z przejętego konta Pin to tylko jeden z rodzajów spamu, polegający na podszywaniu się pod konkretną osobę i działaniu z jej prawdziwego konta pocztowego. Jednak ataki te mogą też przybierać formę reklam promujących prawdziwe produkty oraz usługi (takie jak leki normalnie dostępne tylko na receptę) albo nielegalne bądź nieprzyzwoite materiały, takie jak narkotyki czy pornografia. W obu przypadkach produkt może istnieć naprawdę, ale pieniądze przesłane przez nas mogą nigdy nie dotrzeć do właściwego odbiorcy. E-maile te często zawierają odnośniki do stron, po których kliknięciu nasz komputer zostaje zainfekowany wirusem – jest to odpowiednik elektronicznej bomby pocztowej.

Wiadomości mogą być rozsyłane z całkowicie fikcyjnego adresu, wykorzystując jedynie moc oraz połączenie zhakowanych komputerów – a zatem im ich więcej, tym lepiej. Jeżeli potężne serwery w miejscu pracy Pin zostaną zainfekowane w wyniku jej nieostrożności, mogą zostać użyte do wysyłania milionów takich wiadomości, 24 godziny na dobę, 7 dni w tygodniu. Nikt jej na nie nie odpisze, ponieważ podany adres będzie fałszywy, a informacje w nich zawarte nie będą mieć nic wspólnego z jej pracodawcą. Ci, którzy zdecydują się zakupić trefne towary bądź usługi reklamowane w tych e-mailach, jeśli dopisze im szczęście, otrzymają je. Mogą jednak popełnić straszliwy błąd, wystawiając się na niebezpieczeństwo dokonania przestępstwa za pomocą swojego komputera, będącego nieświadomym współwinnym. Pin – oraz grupa informatyków zajmujących się w jej firmie utrzymaniem sieci – może nigdy nie zauważyć, że w jej maszynie pracuje program generujący te listy. Jedyną wskazówką może być to, że zainfekowane komputery pracują nieco wolniej niż powinny. Większość użytkowników nie zwraca jednak na to uwagi. Proceder ciągnie się w nieskończoność, dopóki z jakiegoś powodu sprzęt nie zostanie gruntownie wyczyszczony.

Czyszczenie zainfekowanego komputera może być żmudnym oraz frustrującym zajęciem[8]. Instalowanie i częste aktualizowanie programu antywirusowego to za mało – wirusy często maskują się jako root-kity – to znaczy, że ukrywają swoją aktywność przed komputerem, jednocześnie modyfikując działanie programu próbującego je wykryć. Zainstalowanie firewalla, który powiadamia użytkownika o wszystkich wychodzących bądź przychodzących połączeniach, może pomóc nam zidentyfikować źródło problemu. Niestety, jedynym sensownym sposobem radzenia sobie z tego typu sprawami jest całkowite wyczyszczenie komputera i ponowna instalacja oprogramowania (choć nawet i to może okazać się niewystarczające, gdy mamy do czynienia z bardziej złożonym wirusem). Stuprocentową pewność, że maszyna jest już czysta, dałoby nam natomiast odinstalowanie z niej wszystkich elektronicznych urządzeń (nie tylko komputera, ale też drukarek, modemów, dysków twardych, klawiatury itd.) i rozpoczęcie pracy od zera.

Botnety to coraz większy biznes. Można zarabiać na zarażaniu komputerów albo na pośrednictwie: sieci te można wypożyczać na godziny, za stosowną opłatą, dla jakichkolwiek celów klientów. Mogą rozsyłać spam lub przeprowadzać inne ataki – mogą być też modyfikowane w sposób umożliwiający prowadzenie bardziej skomplikowanych operacji. Starsze wersje programów do zarządzania botnetami bywają dostępne za darmo, natomiast te nowocześniejsze mogą kosztować nawet kilkadziesiąt tysięcy dolarów (w pakiecie razem z obsługą klienta świadczoną przez przestępców, którzy je stworzyli).

Między wrześniem 2011 a majem 2014 roku sieć botnetów o nazwie Gameover Zeus zainfekowała od 500 tys. do 1 mln komputerów i spowodowała ponad 100 mln strat, wliczając w to fałszywy transfer środków bankowych wartych 7 mln dolarów. Atak ten był na tyle szkodliwy i kosztowny, że spowodował przeprowadzenie przez FBI i firmę Microsoft[9] wspólnej operacji na niespotykaną wcześniej skalę. Gameover Zeus był bardzo nietypowym botnetem, ponieważ działał na zasadzie peer-to-peer (P2P), tak jak przykładowo usługa telefoniczno--internetowa Skype. Innymi słowy, przypominał bardziej rój pszczół niż zorganizowaną armię pod konkretnym dowództwem. Zamiast jednego centralnego komputera wydającego polecenia sieć kontrolowało wiele zainfekowanych maszyn. Dzięki wiedzy technicznej Microsoftu odkryto zawiłości systemu, o szczegółach informując użytkowników zarażonych maszyn i pomagając je oczyścić[10]. W czerwcu 2014 roku amerykański Departament Sprawiedliwości zidentyfikował mózg tej operacji. Okazał się nim Rosjanin o nazwisku Jewgienij Bogaczew[11]. W tym czasie był on już na liście ściganych listem gończym FBI, ale nie wyglądało na to, by groziła mu ekstradycja z Rosji.

Komputery były infekowane za pomocą phishingu, czyli e-maili ze specjalnie spreparowanymi załącznikami lub linkami prowadzącymi do zarażonych stron, z którch, bez wiedzy użytkowników, pobierany jest wirus. Tak jak jego poprzednicy, Zeus, program będący szpiegiem klawiatury [ang. key-logger], zapamiętywał loginy i hasła oraz zapytania w wyszukiwarkach na komputerach swoich ofiar, po czym wysyłał je właścicielowi. Gameover Zeus był jednak jeszcze bardziej zaawansowany. Potrafił modyfikować strony wyświetlane na ekranie, tak by podstępnie skłaniać ofiarę do podawania jeszcze większych ilości informacji. Dla przykładu: strony bankowe pytają nas zwykle o pierwszą oraz trzecią [lub inną] literę hasła, a Gameover Zeus tak modyfikował witrynę (metodą zwaną web injects), że żądała ona wpisania całego hasła. Użytkownik mógł sądzić, że bank zmienił swoje procedury uwierzytelniania, i podawał pełne hasło – ułatwiając tym sposobem hakerowi możliwość podszycia się pod niego. Gameover Zeus wykorzystywał także zarażone komputery do przeprowadzania ataków, zamieniając właścicieli urządzeń w nieświadomych wspólników w rujnowaniu życia innym.

Przykładem może też być posłużenie się komputerem ofiary do wyszukiwania słabości stron internetowych należących do innych osób. Tego typu zachowanie zazwyczaj wymaga przeprowadzenia tzw. iniekcji SQL polegającej na tym, że atakujący wpisuje do strony internetowej wrogie instrukcje. Wystarczy wspomnieć choćby majstrowanie przy adresie WWW strony. Za każdym razem, gdy odwiedzacie jakąś stronę internetową, Wasza przeglądarka wysyła jej adres – na przykład edward-lucas.com/contact zaprowadziłby Was do strony z moimi danymi kontaktowymi. Jednak ów adres może służyć nie tylko do otwierania stron – za jego pomocą można też wysłać instrukcje do serwera, do którego jest ona przypisana. Przykładowo adres: https://www.google.com/search?q=sql+injection, każe serwerowi Google wyszukać strony zawierające frazy „sql” oraz „injection”.

Na słabo skonfigurowanej stronie internetowej te instrukcje mogą zostać wykorzystane do wyjawienia informacji, które normalnie nie byłyby dostępne (takie jak nazwy profili oraz hasła do nich) lub wskazać inne potencjalne słabości. Mogą także dołączyć do strony złośliwy kod, który sprawi, że każdy odwiedzający ją komputer zostanie zainfekowany wirusem.

Głównym problemem dla atakującego jest czasochłonność tego procesu. Może być konieczne wypróbowanie dużej liczby kombinacji zanim odkryje się taką, która działa. Do tego przydatne mogą okazać się przejęte komputery – mogą one wykonywać tę prace automatycznie. Botnet, zwany Advanced Power, któremu Brian Krebs przyglądał się w grudniu 2013 roku, prawdopodobnie zaczął działać już kilka miesięcy wcześniej[12]. Zaraził on ponad 12 tys. komputerów, po czym użył ich do skanowania stron internetowych w poszukiwaniu ich słabości, zbierając żniwa z ok. 1,8 tys. stron. Nawyki Pin i Chipa w sposobie korzystania z przeglądarki mogą okazać się przydatne hakerowi. Każda strona, którą odwiedzają, może zostać sprawdzona pod kątem ewentualnych błędów – natomiast raport o nich przesłany do właściciela botnetu. Ani Chip, ani Pin nie dowiedzą się, że ich maszyna została użyta do takich celów. Nie spowoduje to im żadnej szkody – będą oni jednak, choć nieświadomie, pomagać przestępcy. Komputery Hakhettów mogą też zarabiać dla złodzieja pieniądze, jeżeli wykorzysta ich jako rzekomych klientów. Fałszywe kliknięcie [ang. click fraud] to forma internetowego oszustwa, która dla przestępczych celów generuje, zdawałoby się, całkiem legalny ruch w sieci. Odbiorcami ponad jednej trzeciej odsłon reklamowych w internecie nie są ludzie, ale specjalnie w tym celu pisane programy[13]. Innymi słowy, jedna trzecia pieniędzy, jakie płacą właściciele reklam, licząc na dotarcie do nowych klientów, jest wyrzucana w błoto – ląduje w kieszeniach oszustów. Te frukty mogą oni zbierać na różne sposoby. Niektórzy ogłoszeniodawcy płacą administratorowi strony, na której wyświetla się ich reklama, niewielką sumę za każde indywidualne kliknięcie. To z kolei zachęca co mniej uczciwych właścicieli stron do generowania dużej liczby fałszywych kliknięć. Hakhettowie nie będą mieli pojęcia, że ich komputer je wykonuje. Tylko wyjątkowo skrupulatny przegląd ich sprzętu mógłby wykazać istnienie intensywnie pracującego mechanizmu ukrytego w okienku przeglądarki internetowej.

Jeszcze bardziej wyszukaną metodą cyberoszustwa jest klikanie w link, który obciąża naszego konkurenta obowiązkiem zapłaty względem jakiegoś podmiotu. Narzędzie to stosowane jest przez kryminalną grupę o nazwie GoodGoogle (która oczywiście nie ma nic wspólnego z firmą Google)[14]. Wykorzystuje ona sposób, w jaki na stronach serwisu Google wyświetlane są ogłoszenia. Jeżeli wpiszemy dla przykładu: „kup książkę edwarda lucasa”, otrzymamy nie tylko wyniki wyszukiwania wygenerowane przez system Google’a, ale też reklamy różnych księgarni. Ceny produktów mogą być różne. Ogłoszeniodawcy zapłacą wiele, by ich sklep znalazł się na pierwszym miejscu. Klikanie w te reklamy sprawia, że firma, która je tam umieściła, będzie musiała Google’owi zapłacić. Jeżeli zobaczycie więc w internecie reklamę jakiejś firmy lub produktu, za którym nie przepadacie, możecie poprawić sobie humor, klikając w nią wiele razy ze świadomością, że właśnie opróżniacie ich kieszenie.

Rozważni ogłoszeniodawcy często narzucają dzienny limit na swoje wydatki reklamowe, tak by nagła fala odwiedzin nie doprowadziła ich do bankructwa. Przykładowo: Chip mógłby zapłacić za to, by każdy, kto wpisze do wyszukiwarki Google „Chip Hakhett, książka”, ujrzał ogłoszenie sugerujące zakup jego książki z dziedziny psychologii zarządzania zatytułowanej Sunshine in the Boardroom i zapewniał mu prowizję od każdego sprzedanego egzemplarza. Chip musi płacić za każdym razem, gdy ktoś kliknie w jego reklamę – niezależnie od tego, czy zakupi produkt, czy nie. A skoro nie chce ponosić nieograniczonej odpowiedzialności finansowej, ustanawia limit, na przykład na kilka tysięcy kliknięć, po czym jego ogłoszenie przestaje się pojawiać – zobowiązanie do zapłaty znika.

Daje to duże pole do manewru potencjalnemu rywalowi. Poprzez zautomatyzowaną lawinę kliknięć może on szybko wyczerpać budżet Chipa. Pieniądze zostają wówczas wyrzucone w błoto, natomiast klienci idą gdzie indziej. To jest właśnie rodzaj usług oferowanych przez GoodGoogle. Ich (pokrętna) oferta marketingowa brzmi: „Czy macie już dość konkurencji w Google AdWords, która zabiera wam miejsce na reklamę w sieci oraz cennych klientów? Pomożemy wam pozbyć się ich raz na zawsze”. Przedział cenowy waha się od 80 dol. aż do 1000 dol. za usługę, płatne za pomocą niemożliwych do namierzenia cyfrowych walut, takich jak Bitcoin.

Oszustw z wykorzystaniem zautomatyzowanych kliknięć jest pod dostatkiem: szczególnie sprytny jest mechanizm, który sprawia, że tak organizujemy fałszywe kliknięcia, iż wygląda to, jakby zlecił je nasz konkurent, próbując zmanipulować system. Rywal może zostać ukarany za domniemane oszustwo, mimo że nie uczynił niczego złego. Trudno mu będzie wytłumaczyć swoją niewinność: botnety są nie do wykrycia bez pomocy drogiego, specjalistycznego sprzętu (nawet gdy mamy go w posiadaniu, może to być niemożliwe). Sieć zainfekowanych maszyn może zostać wynajęta praktycznie przez każdego. W dziwnym świecie sprawiedliwości cyfrowej winnym staje się często najbardziej prawdopodobny podejrzany.

Główną zaletą tych przekrętów [dla cyberprzestępcy] są ich niskie koszty. Te związane z wygenerowaniem kliknięcia z zainfekowanego komputera są znikome. Przynoszą za to olbrzymi, zwielokrotniony efekt. Aktywność zhakowanych maszyn powoduje, że trudno jest ustalić, co naprawdę się dzieje. Generowanie dużej liczby kliknięć przez jeden konkretny komputer mogłoby być podejrzane. Jednak gdy robią to jednocześnie setki maszyn, sprawia to wrażenie rutynowego działania.

Inną formą zdalnie sterowanego ataku jest użycie komputera ofiary tak, by atakujący pozostał kompletnie anonimowy. Moc obliczeniowa oraz łącze internetowe Waszego sprzętu może zostać użyte do zakamuflowania innego komputera w sieci – to bardzo pożyteczna sprawa przy rozprowadzaniu wszelkiego rodzaju nielegalnych materiałów, pornografii czy dokonywaniu kradzieży[15]. Właściwość tę uruchamia się i wyłącza zdalnie i pozostaje ona bez wpływu na pracę komputera ofiary, gdy ten staje się narzędziem w rękach przestępcy.

Zdalnie kontrolowany komputer może służyć także rozwiązywaniu zagadek. Zarówno Pin, jak i Chip spotkali się już z testem captcha. Służy on do rozróżniania ludzi i maszyn w internecie – po to, by ograniczać możliwości działania oszustów reklamowych, o których mowa była wyżej. Typowy test captcha wygląda tak:

Rysunek 2. Przykładowy test captcha. Źródło: Wikipedia Commons.

Rysunek 3. Unowocześniony test captcha. Źródło: Wikimedia Commons.

Strona, którą odwiedzamy, poprosi nas o wpisanie w okienku liter, które wyświetlają się na ekranie. Człowiekowi odczytanie tego, co widać na Rysunku 2, nie nastręcza problemów: „smwm”. Maszyna [program komputerowy] mogłaby już mieć z tym kłopot. To utrudnia pracę cyberprzestępcom. Jednym ze sposobów obejścia testu jest przejęcie przez hakera kontroli nad czyimś komputerem. Pin i Chip będą mogli to odczuć, ponieważ ich sprzęt zacznie zwalniać w nietypowych momentach, a w okienku pop-up będzie wyświetlało się nagle polecenie wpisania captcha jako „kontrola bezpieczeństwa”. Być może nawet wpiszą poprawny ciąg liter, po czym wrócą do swoich zajęć. Nie musi się to zdarzać często. Nie stanowiąc wielkiego obciążenia dla Hakhettów, będzie to wielką pomocą dla przestępców. Naszych bohaterów zarazem czynić będzie wspólnikami „w zbrodni”, tak jak Wy byście się nimi stali, gdyby ktoś skłoniłby Was do wypróbowywania wszelkich możliwych kombinacji na [cudzym] zamku szyfrowym.

Jeszcze inny rodzaj ataków zakłada kradzież danych uwierzytelniających – takich jak nazwa użytkownika i hasło – których ofiara używa do stron leżących w polu zainteresowania potencjalnego złodzieja.

Pin i Chip mają konta na eBayu dające im zarówno jako kupującym, jak i sprzedającym dostęp do aukcji internetowych. Chip nie używał swojego od lat, jest ono powiązane z nieważną już kartą kredytową. Na pierwszy rzut oka może wydawać się bezwartościowe. Nic bardziej mylnego: może być ono bardzo pożyteczne dla oszusta. Konto Chipa może zostać wykorzystane do przeprowadzania fałszywych aukcji, sprzedaży trefnych towarów i wyłudzania pieniędzy od innych użytkowników serwisu. Dopiero po wpłynięciu kilku skarg eBay je zablokuje, a Chip będzie musiał zacząć się tłumaczyć.

Bardziej zyskowne mogłoby być użycie skradzionych kont eBay z ważnymi kartami kredytowymi do zakupu towarów, które później zostaną odsprzedane. W czerwcu 2014 roku złodzieje, posługując się ponad tysiącem skradzionych kont StubHuba, należącego do eBaya serwisu oferującego bilety na wydarzenia i koncerty, zarobili milion dolarów[16]. Nabyte drogą przestępczą bilety (np. na wielkie imprezy sportowe) sprzedali poprzez koników za gotówkę i zniknęli jak kamfora.

Jeżeli Hakhettowie lub ktokolwiek inny korzystający z ich komputera grają w gry online, informacje zapisane w jego pamięci mogą być bardzo cenne. Siostrzeniec Pin, Roger, jest zapalonym graczem. Gdy ją odwiedza, ma pozwolenie na korzystanie z jej laptopa. Dla własnej wygody nie wylogowuje się z gry. Lecz jeśli komputer Pin zostanie zaatakowany, każda tożsamość na nim „zapamiętana” może paść łupem złodziei. Może zostać wykorzystana na wiele sposobów. Punkty zdobyte przez daną postać w grze mogą zostać sprzedane innemu graczowi. Danymi uwierzytelniającymi do kont na platformach z grami na czarnym rynku hadluje się szeroko: kosztują od 5 dol. do 1000 dol. za pakiet[17]. Także sama strona internetowa Chipa może stać się celem. Publikuje on na niej swoje zdjęcia, teksty i materiały promocyjne. Używa do tego celu protokołu transferu plików – zwanego w żargonie komputerowym FTP. Jest to staromodny i raczej niezbyt bezpieczny sposób przesyłania danych z komputera do komputera przez internet. Jeśli kody dostępu FTP Chipa zostaną skradzione, haker może wysłać złośliwe oprogramowanie na jego stronę bez jego wiedzy. Zdjęcia, filmy oraz inne materiały, które się na niej znajdują, będą wyglądać tak samo, będą jednak mogły skrywać niebezpieczne wirusy. Będziemy wówczas mieć do czynienia ze steganografią – od greckiego słowa oznaczającego ukryte pismo. Obrazek pojawiający się na stronie WWW to w rzeczywistości plik komputerowy – zawierający ciąg poleceń oraz danych określających jego wielkość, kolor i zawartość. Jednak plik ów może zawierać także inne informacje – na przykład polecenie zainstalowania wirusa na komputerze ofiary albo instrukcje, które przekazywane będą do pracujących na danym sprzęcie programów. Przeglądarka internetowa załaduje obrazek, który użytkownik będzie chciał obejrzeć i wszystko będzie wydawać się w porządku. Pewien badacz nazwiskiem Jérôme Segura odkrył tego przykład w lutym 2014 roku: niewinnie wyglądający obraz zachodzącego słońca po załadowaniu na komputerze ofiary wykradał jej bankowe dane uwierzytelniające, a następnie opróżniał konto z pieniędzy[18]. Konkludując, gdy złodziej zyska dostęp do strony internetowej, może podłożyć na niej wirusa – ukrywając go pod postacią grafiki lub jakiegoś innego elementu, na przykład zegara. Sprawia to, że każdy odwiedzający stronę naraża się na infekcję.

Pin i Chip mają na swoich komputerach zainstalowanego Skype’a. Tak jak w przypadku e-maili, może on zostać wykorzystany do wysyłania zautomatyzowanych mailingów do wszystkich kontaktów przypisanych do programu. Wiadomości te – wraz z linkami do stron ze złośliwym oprogramowaniem – potrafią obchodzić filtry spamu, które w dzisiejszych czasach są standardem u dostawców poczty internetowej. Chip skonfigurował swoje konto tak, że może wykonywać połączenia na numery utrzymywane przez telekomy, płacąc za to niewielką sumę raz na kilka miesięcy. Jego konto Skype doładowuje się samo, uzyskując dostęp do konta bankowego Chipa za każdym razem, gdy limit rozmów spadnie do ustalonego poziomu. To tak samo, jakby zostawił gdzieś otwarty portfel. Dla przykładu, zhakowany komputer mógłby posłużyć oszustowi do wykonywania połączeń na drogie infolinie oferujące usługi, w ramach których pieniądze otrzymuje ten, kto odbiera telefon. Rachunek przychodziłby więc do Chipa, a pieniądze wędrowałyby do złodzieja. Komputer Chipa mógłby też zostać użyty do generowania automatycznych połączeń telefonicznych (nazywanych robotelefonami). Służą one do rozpowszechniania informacji o produktach i usługach (często nieistniejących) drogą telefoniczną, najczęściej poprzez nagrane wcześniej wiadomości głosowe – mimo że prawo tego zabrania. Połączenia mogą być kierowane do znajomych Hakhetta lub do przypadkowych osób, co również może okazać się dla niego kosztowne.

Ostatnim typem ataku jest kradzież informacji dotyczących bezpieczeństwa znajdujących się w Waszych komputerach. Może to być dość skomplikowane – zakładając, że większość przeciętnych użytkowników maszyn nie wie, co to są certyfikaty x.509. Zasada generalnie jest prosta. W przypadku każdego kontaktu z siecią internetową musimy być pewni, że dane, które przesyłamy bądź odbieramy, są zaszyfrowane. W przeciwnym razie każdy, kto monitoruje nasze połączenie, mógłby z łatwością je odczytać, dosłownie jak z kartki. Jak wyjaśnię to później, system ustanawiania bezpiecznego kanału komunikacji (wymiany danych) ma wiele wad. Jego działanie sprowadza się do istnienia dwóch kluczy – jednego będącego w posiadaniu strony [którą odwiedzamy] i drugiego będącego w posiadaniu klienta [nas]. Przy użyciu tych kluczy pomiędzy komputerami tworzy się rodzaj bezpiecznego tunelu. Naruszenie zabezpieczeń komputera to kradzież jednego z zestawów kluczy – pozwala złodziejowi swobodnie przyglądać się temu, co robimy w internecie. Może to być furtka do znacznej liczby nadużyć.

Do tej pory tego typu ataki nie rodziły jakichś szczególnych skutków finansowych. Jednak kolejna ich kategoria, oparta na informacjach dotyczących usług finansowych, z których korzystamy, dla rodziny Hakhettów może zwiastować prawdziwe kłopoty. Numery ich kart kredytowych oraz śmiesznie krótki trzycyfrowy kod na odwrocie karty stanowią niezwykle pożyteczną informację [dla złodziei]. W restauracjach lub sklepach, płacąc kartą, musimy wprowadzić numer PIN do czytnika zanim transakcja zostanie zrealizowana (albo podpisać się). Jednak w sieci od Hakhettów żąda się wyłącznie podania trzycyfrowego kodu – to wystarczy do ich identyfikacji. A przecież kod ten można z łatwością ukraść. Przy zakupach przez internet Pin wprowadza dane swojej karty na stronie, która wydaje jej się bezpieczna. Ku jej zdziwieniu strona nagle gaśnie, po czym proces rozpoczyna się od nowa. Pin nie zdaje sobie natomiast sprawy z tego, że jej numer karty oraz PIN, adres fizyczny, a także inne wprowadzone chwilę wcześniej dane właśnie zostały skradzione (dlatego, że jej komputer jest zawirusowany lub dlatego, że strona, na której próbuje dokonać zakupu, jest sfałszowana). To tak, jakby właśnie oddała swoją kartę złodziejowi.

Coraz bardziej zaawansowane procedury uwierzytelniania klientów w sieci skutecznie utrudniają dokonywanie niektórych oszustw. Jeżeli Pin i Chip zamówią coś nietypowego albo zażądają dostarczenia towaru na adres, którego wcześniej nie używali, komputery w ich banku mogą ogłosić alarm. Bank zażąda dodatkowej weryfikacji – na przykład przedstawiając listę adresów i pytając o to, który jest ich poprzednim miejscem zamieszkania. Jego pracownicy mogą dzwonić do nich z zapytaniem, czy rzeczywiście zawarli daną transakcję. Takie zabezpieczenia utrudniają pewne złodziejskie procedery, ale nie wszystkie. Chip nie analizuje wyciągów bankowych tak jak powinien. Pin natomiast nie przywiązuje wagi do niewytłumaczonych opłat tak długo, jak nie są one zbyt wysokie. Tymczasem roczna opłata w wysokości 49,95 dol., pobierana przez tajemniczą stronę z  Florydy z nie jest bynajmniej pozostałością wakacyjnych przygód – opłatą członkowską, z której zrezygnować. To lukratywny interes przynoszący oszustowi, który obciąża w ten sposób tysiące kart kredytowych, furę pieniędzy[19]. Jeśli Pin zgłosi to do swojego banku, z pewnością odzyska pieniądze. Jednak gdy chodzi o niewielkie sumy, mało kto zadaje sobie trud składania reklamacji. Znany jest przypadek, gdy przestępcy z Malezji, mający do dyspozycji zaledwie stodołę, połączenie internetowe oraz dobrą drukarkę, zamieścili w sieci bardzo dobrą ofertę pracy i przyjmowali odpowiedzi na nią, wyłudzając w ten sposób cenne dane osobowe aplikujących. Następnie wykorzystali je do otwierania kont bankowych, zakładania działalności gospodarczych, wysyłania rozliczeń podatkowych i inkasowania zwrotów podatkowych. Zanim zostali złapani w 2012 roku[20], zdążyli zarobić 220 tys. funtów. Spadek wartości towarów w wyniku aktywności przestępców jest olbrzymi. Handlowanie kradzionym towarem jest nielegalne, zatem drogie produkty kupowane są w normalnej cenie przy użyciu skradzionych kart kredytowych, a następnie odsprzedawane na czarnym rynu za połowę ceny lub mniej[21]. Nowojorski gang oskarżony o posługiwanie się skradzionymi kontami klientów w sklepach internetowych zakupił pulę luksusowych produktów w Saks Fifth Avenue (przy udziale kogoś z wewnątrz), po czym zwrócił je, wymieniając na bony zakupowe[22].

Niestety, są to rzadkie przypadki, w których władze były w stanie zorientować się, co się stało. Większość cyberprzestępstw nie zostaje wykryta: banki, wystawcy kart kredytowych czy sprzedawcy, którzy zostali oszukani, po prostu wpisują stracone kwoty w (nieoczekiwane) koszta swojej działalności. Zwykli obywatele cieszą się natomiast z przysługującej im ochrony prawnej (w USA odpowiadają w takich przypadkach własnym majątkiem tylko do kwoty 50 dolarów). Wystawcy kart kredytowych dysponują skomplikowanymi algorytmami do wykrywania nagłych, nietypowych transakcji. Same banki mają natomiast słabsze zabezpieczenia.

Jeżeli ktoś skorzysta z bankowości internetowej Hakhettów do dokonania zakupu, może się okazać, że to oni poniosą koszty. To oczywiście bardzo niesprawiedliwe. Gdyby ktoś założył perukę i poszedł do banku, by wyjąć pieniądze z konta Pin, podrabiając jej podpis, miałaby ona przynajmniej szansę udowodnić, że to nie ona. Gdyby jej alibi się potwierdziło, bank musiałby odpowiedzieć za to, że nie rozpoznał oszusta. Pin odzyskałaby pieniądze. Jeśli jednak coś podobnego wydarzy się w internecie, nie ma ratunku. Banki zrzuciły odpowiedzialność za wychwytywanie tego typu oszustw na klientów – jest to dobry przykład tego, jak komputery unieważniły zasadę, którą kiedyś uznalibyśmy za oczywistą.

Pin padła ofiarą typowego oszustwa internetowego: dostała fałszywy e-mail przypominający do złudzenia te, które normalnie otrzymywała od swojego banku, dobrze napisany, w typowym dla tej instytucji żargonie, z autentycznymi logotypami. Wiadomość brzmiała tak:

Drogi Kliencie Megabanku,

W celu poprawy Twojego bezpieczeństwa w sieci wprowadziliśmy nowy system zabezpieczeń, który pozwala nam na wykrycie nietypowych zachowań związanych z Twoim kontem.

Prosimy zalogować się, by aktywować tę usługę i zaktualizować swoje konto. Prosimy mieć na uwadze, że konta, które nie zaktualizują zabezpieczeń w ciągu 24 godzin, zostaną zamrożone ze względów bezpieczeństwa.

Z poważaniem

Nancy Turner

Dyrektor Działu Obsługi Klienta

Dział Bankowości Internetowej Megabank

Tak jak w przypadku e-maila „bez grosza przy duszy w Penangu”, można tu odnaleźć pewne wskazówki, że coś jest nie tak. Brakuje numeru telefonu do kontaktu. Po wstępnej analizie zorientujemy się też, że wiadomość nie przyszła z adresu no-reply@megabank.com, tylko z zupełnie innego.

Jest ona jednak całkiem dobrze napisana. Przedstawia prawdopodobną historię oraz sprawia wrażenie pilnej. Pin klika na link, po czym pojawia się strona do złudzenia przypominająca witrynę banku. Tymczasem gdyby przyjrzała się jej dokładniej, zauważyłaby, że adres strony jest nieco inny od prawdziwego. Certyfikat autentyczności (gdyby wiedziała, jak go czytać) nie pochodzi z żadnego renomowanego źródła i brakuje w nim niektórych kluczowych danych. Mimo to Pin z ufnością wpisuje nazwę użytkownika i hasło – które od teraz znajdują się w rękach oszustów.

Parę minut później złodzieje okradają jej konto bankowe. To tak, jakby pozwoliła komuś na skopiowanie kluczyków do swojego auta. Katastrofa finansowa czai się tuż za rogiem. Utrata danych uwierzytelniających do konta bankowości internetowej jest gorsza niż zgubienie karty do bankomatu i PIN-u. W tym drugim przypadku złodzieje są ograniczeni dziennym limitem wypłat. Skradziona karta kredytowa może zostać zablokowana, a wszystkie środki utracone od czasu zgłoszenia zostaną zwrócone. Konta bankowości online podlegają słabszej ochronie. Opróżniając je, złodzieje mogą zrujnować zarówno osoby prywatne, jak i firmy. Jeżeli ofiary nie będą w stanie udowodnić, że wina leży po stronie banku, nie odzyskają pieniędzy.

Pin powinna być chroniona jakimś nowym systemem zabezpieczeń, który wysyłałby do niej SMS z kodem do podania na stronie banku za każdym razem, gdy z niego korzysta. Jej bank wprowadził już taką usługę, ale złodzieje są o krok dalej. Gdy logowała się na fałszywej stronie, poproszono ją o podanie numeru telefonu. Gdy to zrobiła, przyszedł do niej SMS z linkiem do strony oraz wiadomością o potrzebie aktualizacji aplikacji bankowości internetowej w jej smartfonie. Ekran telefonu na parę sekund zrobił się czarny, po czym wszystko wróciło do normy[23]. To, co tak naprawdę się stało, będzie mieć katastrofalne skutki. Link, który Pin kliknęła w swoim telefonie, zainstalował na nim wirusa. Przechwytuje on teraz jej wiadomości tekstowe. Te od Chipa, Rogera oraz jej znajomych przychodzą normalnie, więc nie dostrzega ona nic nadzwyczajnego. Natomiast te wysłane do niej z banku trafiają w sidła oszusta, który ma już wszystko, czego mu potrzeba, by opróżnić jej konto bankowe. Najpierw loguje się przy użyciu danych Pin, a następnie zaczyna wydawać jej pieniądze. Mógłby przesłać sobie wszystkie środki na inne konto, które ma pod kontrolą, ale musiałby je wtedy szybko opróżnić – zanim organy ścigania zaczęłyby ich tam szukać. Inną opcją jest kupowanie towarów przez internet i wysyłanie ich na jakiś „bezpieczny” adres. Jednak wiele sklepów internetowych odmawia wysyłania produktów do zagranicznych odbiorców, szczególnie do krajów, które często wykorzystują dla takich celów cyberprzestępcy (dawny Związek Radziecki czy kraje zachodniej Afryki). Na tej praktyce wyrósł już cały przestępczy sektor przemysłowy, z ludźmi przyjmującymi produkty od nieznajomych, przepakowującymi je i odsyłającymi dalej za granicę za drobną opłatą.

Zacny Brian Krebs wyśledził kiedyś (niedziałającą już) rosyjsko-języczną stronę profsoyuz.biz, która świadczyła usługi ludziom chcącym wymieniać skradzione dane osobowe na gotówkę[24]. Zauważył, że karta kredytowa należąca do niejakiej Laury Kowaleski została użyta do zakupu zabawki za 189 dolarów plus 56 dolarów kosztu wysyłki. Kobieta wykryła niechcianą transakcję i właśnie powiadomiła o tym fakcie policję, gdy skontaktował się z nią Krebs. Zabawka – zestaw klocków Lego – została wysłana FedExem do trzydziestoletniego mężczyzny mieszkającego w Los Angeles o nazwisku Oscar Padilla. Człowiek ten twierdził, że pracuje w firmie kurierskiej Transit Air Cargo zlokalizowanej w Kalifornii. Nieco wcześniej odpowiedział na ofertę pracy tej firmy zamieszczoną w internecie. W rzeczywistości działał na zlecenie przestępców prowadzących stronę internetową transitac.com. Prawdziwa nazwa tej witryny to transitair.com. Jakby tego było mało, nie zauważył, że e-maile, które otrzymywał od swojego menedżera, pochodziły z dość nietypowego jak na prawdziwą korporację adresu transitaircargoinc@gmail.com. Obiecano mu tysiąc dolarów za pierwszy miesiąc „pracy”. Polegała ona na naklejaniu opłaconych już naklejek na paczki, które odbierał [tak jak tę z Lego] oraz nadawaniu ich dalej. Jego pensja miała wkrótce wzrosnąć do 2,5 tys. dolarów miesięcznie.

Zanim bank Pin zezwoli na utworzenie nowej płatności w systemie, wysyła jej SMS z kodem do wpisania na stronie serwisu. Zdaniem banku jest to bardzo dobry sposób zabezpieczenia – ponieważ prawdopodobieństwo, że złodziej będzie miał jednocześnie dostęp do danych potrzebnych do zalogowania się na stronie oraz do telefonu klienta, jest niskie. Niestety, taki tok myślenia jest błędny. Rabuś zhakował bowiem telefon Pin, tak że wiadomości z kodem zabezpieczającym do niej nie dochodzą – zamiast tego trafiają do niego, a ten wpisuje je na stronie, gdy zostaje o to poproszony. I bez przeszkód opróżnia konto.

Gdy Pin dowiaduje się, co się stało, jest zrozpaczona. Okradzione zostało bowiem nie tylko jej osobiste konto bankowe, lecz także to, które dzieli z Chipem – oszczędnościowe, otworzone specjalnie dla jej siostrzeńca. W sumie przepadły im dziesiątki tysięcy funtów. Bank natomiast nie wykazał zainteresowania. Transakcje zostały wykonane zgodnie z obowiązującymi zasadami. Jeżeli Pin przekazała komuś swoje dane uwierzytelniające, bank nie będzie za to odpowiadał. Wysyłał przecież poprawne kody zabezpieczające, oczekując właściwych odpowiedzi na nie. Bank – twierdzą jego przedstawiciele – nie jest tu bardziej winny niż urząd pocztowy, gdy ktoś włamuje się do skrzynki na listy pod czyimś domem. Tego typu argumenty nie są do końca uczciwe. Jeżeli książeczka czekowa zostanie skradziona ze skrzynki na listy, klient taki jak Pin – w większości przypadków – nie będzie odpowiedzialny za oszustwa dokonane za jego pomocą. Gdy natomiast oszustwo dokonane zostaje drogą elektroniczną, sprawy mają się inaczej. Naiwność Pin klikającej w sfałszowany link do strony banku może wydawać się drobnym błędem, ale ma on niestety olbrzymie konsekwencje. Ewidentnie zostało popełnione przestępstwo, jednak policja jest mało pomocna – mają już dość tego typu spraw. Mogą wyśledzić jednego z „mułów” używanych przez złodziei – takich jak ów Padilla z Kalifornii. Jednak ludzie zajmujący się przesyłaniem pieniędzy oraz towarów dla złodziei rzadko są karani. Bardzo trudno jest im udowodnić, że wiedzieli o tym, że „firma”, która ich „zatrudniła”, była fałszywa. Właściwie jedyną możliwą karą jest utrata reputacji.

Skuteczniejszym systemem zabezpieczeń konta bankowości internetowej okazują się karty z kodami dostępu w postaci fizycznej. Gdyby Pin była Estonką, byłaby dziś o wiele bogatsza. Szczęśliwi obywatele tego bałtyckiego kraju używają wystawianych przez państwo elektronicznych dowodów do potwierdzania swojej tożsamości w bankowości internetowej oraz do wykonywania przelewów środków z ich kont.

Osobną kategorią ataków są te, które polegają na wykorzystaniu cudzego komputera w celu wyłudzenia czegoś. Do najbardziej podstępnych zaliczają się programy naśladujące antywirusy, zwane czasem scareware lub rogueware. Ich sposób działania można porównać do zachowania przekupionego ślusarza, który niby przychodzi do nas do domu, by naprawić nam zamek w drzwiach (i poprawić nasze bezpieczeństwo), a w rzeczywistości zmienia go tak, by móc nas później okraść lub umożliwić to komuś innemu.

Programy antywirusowe są powszechnie dostępne bez opłaty. Zainstalowane na czystym komputerze oraz regularnie aktualizowane odgrywają ważną rolę: skanują nasze systemy w celu wykrycia niepożądanych elementów. Mogą one uchronić nas przed szkodliwymi instalacjami lub odwieść od otwarcia zainfekowanych wiadomości e-mail (to dwa główne sposoby na złapanie wirusów). By móc poprawnie funkcjonować, programy te uzyskują na naszych komputerech znaczne uprawnienia – tak jak ochroniarz w budynku ma dostęp do wszystkich pomieszczeń.

Zwodnicze oprogramowanie wykorzystuje te uprawnienia do okradania nas lub pozbawienia prywatności. Komputer Chipa pewnego dnia wyświetlił przekonująco wyglądające okienko z ostrzeżeniem, że jego maszyna została zawirusowana dlatego, że oglądał on „materiały pornograficzne”. Komputer zażądał zainstalowania jakiegoś „programu zabezpieczeń”. Zapracowany i nieco naiwny Chip pospiesznie kliknął, gdzie mu kazano, ignorując ostrzeżenia wyświetlone przez system[25].

Był to błąd. Program rogueware zablokował działanie jego antywirusa (który i tak nie był aktualizowany od pewnego czasu, więc nie działał poprawnie). Uniemożliwił mu też uzyskanie pomocy. Nawet gdyby chciał, Chip nie byłby w stanie zainstalować nowego programu zabezpieczającego. Nie mógł natomiast usunąć nowego programu – jego komputer nie pozwalał mu na to. Przyciski, w które klikał Chip, nie działały.

Rysunek 4. Przykład działania rogueware. Źródło: komputerswiat.pl – Kurhaus.

Centralny punkt w modelu biznesowym takiej działalności stanowią ludzie, którzy rozpowszechniają zwodnicze programy. Złodzieje płacą im od instalacji, a także wypłacają prowizję od dochodów pochodzących z kradzieży. Okazuje się, że to całkiem dochodowy interes. Badania sprzed kilku lat pokazują, że osoby trudniące się tym rodzajem przestępstw mogą zarobić nawet 150 tys. dolarów w dziesięć dni. Gdy program znalazł się na komputerze Chipa, od razu zaczął pracę. Jako że Chip nie korzystał z bankowości online, nie spotkało go to, co przytrafiło się jego żonie. Ale cyberprzestępcy zrobili coś równie strasznego.

Chip czuł się winny i zawstydzony, bo prawdą jest, że od czasu do czasu oglądał pornografię – aczkolwiek nie można powiedzieć o jakichkolwiek nielegalnych materiałach. Na swoim komputerze posiadał natomiast wszystko, co było mu niezbędne do prowadzenia działalności gospodarczej: kalendarz, e-maile, listy klientów oraz materiały szkoleniowe, które sporządził przez lata swojej pracy. Nalał sobie szklaneczkę whiskey, po czym zaczął rozważać kolejne kroki. Nie chciał zawiadamiać policji, zakładając, że ktoś lub coś – nie do końca bowiem rozumiał mechanizmy cyberprzestępczości – mógł wgrać coś nielegalnego do jego komputera. Mogłoby to doprowadzić do procesu czy nawet jakiejś kary sądowej. Zadzwonił więc po kolegę. Ten próbował coś zdziałać z komputerem, ale bezskutecznie. Chip wziął więc laptopa Pin, by wyszukać w Google’u treść wiadomości, która pojawiła się na ekranie komputera Chipa. Oczywiste stało się, że padł ofiarą hakerów i że nie odzyska swoich danych, dopóki im nie zapłaci. Wziął więc kartę kredytową, po czym po wielu nieudanych próbach nabył wirtualną walutę o wartości 200 dolarów, które następnie wysłał na podany adres. Po krótkiej chwili otrzymał e-mail napisany łamaną angielszczyzną, zawierający długie hasło: NraAndcnyaBsl1taaCdk1eitWt.

Wpisał je, a komputer wznowił działanie. Odzyskał dostęp do danych. Nalał sobie kolejną szklankę whiskey, po czym westchnął. Upiekło mu się. Ale niestety, zachęcił właśnie swoich oprawców do kontynuowania przestępczej działalności. Gdyby nikt nie płacił haraczu, po jakimś czasie zrezygnowaliby z tego zajęcia.

Najbardziej znanym typem ransomware jest tak zwany Cryptolocker, który blokował dostęp do komputera ofiary, po czym powiadamiał ją, że ma trzy dni na zapłacenie okupu (wypłaconego w niemożliwej do namierzenia cyfrowej walucie, takiej jak Bitcoin) w wysokości od 300 dol. do 750 dolarów. Od połowy 2013 do maja 2014 roku Cryptolocker zaraził ponad 260 tys. komputerów na całym świecie. Ofiarą padł między innymi wydział policji z Massachusetts, który zapłacił około 750 dol., by odzyskać dane wydziału dochodzeń. Firma ubezpieczeniowa w Pittsburghu odmówiła zapłaty, przez co musiała wydać 70 tys. dolarów na specjalistów od odzyskiwania danych. Pewna firma w Karolinie Północnej nie miała tyle szczęścia. Odmówiła zapłaty, po czym straciła wiele kluczowych dla swojej działalności danych (mimo iż zatrudniała firmy świadczącą usługi bezpieczeństwa w sieci). Przyniosło jej to straty rzędu 80 tys. dolarów, co z kolei zmusiło jej szefów do redukcji zatrudnienia[26]. Analiza przygotowana przez firmę Dell, producenta komputerów, pokazuje, że przestępcy, którzy dopuścili się tych ataków, zarobili około 30 mln dolarów w 100 dni[27].

Wcześniejsze wersje Cryptolockera okazały się słabsze. W sierpniu 2014 roku grupa hakerów włamała się do komputerów złodziei i wykradła klucze służące do blokowania maszyn ofiar – był to ciekawy zwrot akcji. Dwie firmy specjalizujące się w bezpieczeństwie cyfrowym oferują dziś darmową pomoc online dla ofiar takich ataków, pomagając odzyskiwać zaszyfrowane pliki[28]. Niestety, nowsze wersje ransomware znów okazują się trudne do złamania. Mogą one zablokować wszystko, co wydaje się cenne dla użytkownika – by wymusić haracz. Zwykła blokada konta e-mail może wystarczyć do wyłudzenia okupu, tym bardziej jeśli towarzyszy jej wiadomość o tym, że w przypadku niezapłacenia w ciągu 24 godzin wszystkie kontakty oraz wiadomości zostaną usunięte. Jest to sytuacja odpowiadająca tej z prawdziwego życia, gdy ktoś włamuje się do naszego domu, wymienia zamki w drzwiach, a następnie macha nam przed oczami nowymi kluczami – grożąc, że jeśli nie zapłacimy, wyrzuci je do rzeki. Gdyby nas to spotkało, z pewnością dzwonilibyśmy po policję. Internet nie stwarza takiej możliwości.

Ataki ransomware są w większości zautomatyzowane. Złodzieje atakują dziesiątki tysięcy maszyn jednocześnie. Jedyne, co muszą zrobić, to wykupić listę adresów e-mailowych w sieci za parę dolarów, po czym załadować otrzymany plik do programu (również łatwo dostępnego) na swoim komputerze. Następnie sporządzić bądź skopiować przekonująco brzmiącą wiadomość (na przykład: „proponowane podwyżki od nowego roku – prośba o komentarz”), po czym w załączniku zamieścić wirusa, nacisnąć „wyślij” i czekać. Komputer roześle miliony e-maili. Może raptem jeden na tysiąc lub na dziesięć tysięcy odbiorców da się nabrać. Jego maszyna momentalnie zastygnie. Po chwili wyświetli się komunikat o konieczności zapłaty okupu. Gdy już zdecyduje się zapłacić, pieniądze pod postacią jednej z niemożliwych do wyśledzenia walut elektronicznych trafią na konto złodziei. Ci muszą już tylko przenieść je w jakieś bezpieczne miejsce. Jeżeli mają chociaż trochę godności, wyślą ofierze kod odblokowujący jej dane.

Ostatni rodzaj ataku dla okupu najbardziej przypomina tradycyjny szantaż. Wymaga przejęcia kontroli nad Waszą kamerką internetową (oraz być może mikrofonem). Większość nowych laptopów ma te urządzenia wbudowane na stałe. Nie istnieje żadna prosta elektroniczna metoda na upewnie się, że kamerka jest wyłączona (dlatego dość prostym sposobem radzenia sobie z tym ryzykiem jest zaklejenie jej taśmą klejącą) Po włamaniu się do kamerki bądź mikrofonu złodziej może próbować uchwycić Was w jakiejś kompromitującej sytuacji (przykładowo wywołanej oglądaniem pornografii). Chip jest bardzo ostrożny, gdy oddaje się tym przyjemnościom. Zanim odda się swoim seksualnym fantazjom, zawsze upewnia się, że jest sam w domu i że firanki są zasłonięte. Aczkolwiek nie zakrywa kamerki w swoim komputerze. Wiadomość e-mail z żądaniem zapłaty i groźbą wysłania do Pin zdjęć, na których Chip uprzyjemnia sobie życie, oglądając pornografię, bardzo szybko skłoniłaby go do wysłania pieniędzy. To dość nieprzyjemna sprawa. Z punktu widzenia przestępcy ma ona także istotną wadę. Nie da się zbytnio zautomatyzować tego procesu. Można wprawdzie włączyć tysiące kamer oraz nagrywać na nich wszystko – ale większość zdobytych w ten sposób materiałów będzie bezużyteczna. Znalezienie czegoś, co może mieć potencjał, oraz znalezienie sposobu wykorzystania tego materiału w celu wyłudzenia pieniędzy, wymaga udziału ludzkiej inteligencji. Dla większości cyberprzestępców cechą udanego biznesu jest możliwość automatyzacji procesów.

Bardziej obiecujące zdaje się wykradanie danych dostępowych do profili w serwisach społecznościowych, takich jak Facebook, LinkedIn oraz Twitter. Cele mogą być różne. Jeden z nich to spam, o którym była mowa wcześniej. Luźny oraz dość nieformalny styl komunikowania się w tych serwisach sprawia, że łatwo można fałszować wiadomości. Tekst: „widziałeś tą fotkę? t.co/qwerty” daje nam niewiele wskazówek na temat autentyczności wiadomości. E-mail oferuje więcej informacji umożliwiających ocenę wiarygodności nadawcy. Innym celem może być próba wyłudzenia pieniędzy. Jeżeli Wasze życie towarzyskie uzależnione jest od Facebooka, możecie być gotowi zapłacić, by odzyskać swe konta [gdy zostaną skardzione]. Możecie też być skłonni zapłacić komuś, by przestał rozsyłać o Was nieprawdziwe informacje. Wasze profile mogą być też wartościowe z innych powodów.

Tak jak wspominałem we Wstępie do tej książki, krótkie, chwytliwe nazwy na Twitterze mogą być wysoko cenione. Naoki Hiroshima ma (albo raczej miał) jedno z ciekawszych: „@N”. Odrzucił ofertę jej sprzedaży za 50 tys. dol., ale złodziej, wykorzystując luki w zabezpieczeniach innych serwisów, zdołał przejąć kontrolę nad jego stronami internetowymi, Facebookiem oraz innymi aspektami życia w sieci. Zagroził, że jeśli Hiroshima nie odda mu swojej nazwy na Twitterze, zniszczy to, nad czym przejął kontrolę. Hiroshima się zgodził[29]. Dopiero po opisaniu tego skandalu w prasie Twitter interweniował i przywrócił mu jego własność. Podobna sytuacja przydarzyła się w 2012 roku dziennikarzowi o nazwisku Mat Honan[30]. Zaledwie w ciągu godziny, jak to opisał, jego „całe życie internetowe zostało zniszczone”:

Moje konto Google zostało przejęte, a potem usunięte. Następnie moje konto na Twitterze zostało przejęte oraz użyte do rozsyłania treści rasistowskich i homofobicznych, a co najgorsze, włamano się także na moje AppleID, po czym hakerzy wykorzystali je do usunięcia wszystkich moich danych na iPhonie, iPadzie oraz MacBooku.

W utraconych plikach były zdjęcia z jego już nieżyjącymi krewnymi oraz fotografie z wczesnego dzieciństwa córki. To nie był przypadkowy akt wandalizmu. Kryminalista chciał się zabawić za pomocą konta Honan na Twitterze. Ten ostatecznie odzyskał część utraconych danych dzięki szybkim i dobrze zorganizowanym środkom zaradczym.

Wartość dla złoczyńców mogą mieć też inne rzeczy przechowywane na Waszych komputerach. Mogą to być między innymi dane dostępowe do kont gier internetowych, o których była mowa wcześniej (postaci w grze generują zwykle jakiś rodzaj punktów, które można sprzedać innemu graczowi) oraz cyfrowe klucze służące do uzyskania dostępu do płatnych programów. Gdy kupicie jakiś program, otrzymacie klucz produktu, który będzie Waszym dowodem zakupu. Może być on nadrukowany na płycie (jeśli w takiej formie go nabyliście). Należy go wpisać do programu, by potwierdzić fakt, że jesteście właścicielami legalnego oprogramowania i macie prawo z niego korzystać na Waszych komputerach. Właśnie z tego też powodu może on być cenny dla kogoś zajmującego się rozpowszechnianiem pirackich programów (programów skopiowanych nielegalnie).

W prawdziwym świecie jesteśmy bardziej ostrożni, postępując zgodnie z procedurami wyuczonymi przez lata, by ograniczyć do minimum swoją ekspozycję na tego typu oszustwa. Ważne transakcje wymagają zaangażowania prawników i notariuszy, którzy mają obowiązek potwierdzić tożsamość osób, z którymi mają do czynienia oraz fakt posiadania przez nie praw własności dóbr, które sprzedają. We wciąż mało bezpiecznym świecie internetu los Wasz i Waszych bliskich wisi na cienkiej lince, którą jest dostęp do Waszych kont e-mail. I jak się przekonacie w dalszej części książki, jest to nie tylko kwestia naszego prywatnego bezpieczeństwa, ale bezpieczeństwa całych państw.

[1] Zawsze są wskazówki: jeżeli jest spostrzegawcza, może zauważyć pasek na samym dole ekranu na stronie jej poczty Gmail mówiący o tym, kiedy ostatni raz ktoś logował się do jej konta. Jeśli kliknie na „szczegóły”, ujrzy stronę z adresami wszystkich urządzeń, które logowały się do jej poczty. Gdy pojawi się tam lokalizacja, której nie rozpoznaje, będzie to znak, że ktoś obcy korzystał z jej konta pocztowego. Niestety, niewielu ludzi podejmuje trud kontrolowania tego.

Rozdział 5
Geopolityka internetu

Sieci komputerowe czynią [niczym śmierć] ludzi doskonale równymi. Złożoność kryteriów wiarygodności, poufałości czy przewidywalności prowadzą do najprostszych binarnych pytań: czy zera i jedynki stoją we właściwych pozycjach, by w odpowiedni sposób kierować pracą tranzystora? Dla przykładu, w latach 80. pewien pomysłowy pasjonat komputerów z Niemiec Zachodnich, pragnąc zdobyć pieniądze na kokainę i wygodne życie, włamał się na zlecenie KGB do strzeżonych najlepiej na świecie sieci komputerowych Stanów Zjednoczonych. Atak ten nazywany jest Kukułczym Jajem[1]. Trzydzieści lat później, przy użyciu bardziej wyrafinowanych narzędzi, jednak wykorzystując podobne słabości systemów, grupa chińskich hakerów wojskowych pod kryptonimem APT1 wywołała olbrzymie zamieszanie, w wyniku którego – jak twierdzą amerykańskie organy ścigania – zagrożona została własność intelektualna o wartości 300 mld dolarów[2].

W prawdziwym świecie każdy z tych wyczynów byłby znacznie trudniejszy do przeprowadzenia. Obrońcy mieliby większą, naturalną przewagę nad atakującymi. Im więcej posiadacie stali, betonu i broni, tym trudniej jest Waszemu napastnikowi przebić się przez Waszą linię obrony. W internecie jednak pieniądze i władza liczą się mniej, zyskują natomiast na znaczeniu inne czynniki. W połowie lat 80. hakerzy z zachodnich Niemiec nie dysponowali wielkimi umiejętnościami technicznymi, a ich działalność nie wymagała dużych kwot pieniędzy. Z pewnością też nie musieli używać siły fizycznej. Ich zasoby, podobnie jak w przypadku chińskich hakerów 30 lat później, stanowiły wytrwałość, pomysłowość, zdolność do pozostawania niewidocznymi, a także pragnienie i ambicja osiągania założonych celów. Współczesnym odpowiednikiem Pierścienia Gygesa – cudownego atrybutu z greckiej opowieści, o którym wspominam we Wstępie, pozwalającego stać się niewidzialnym – jest brak możliwości wymierzenia [złoczyńcom] kary. Platon nie mógł przewidzieć rozwoju internetu, był jednak świadomy, jak kruche podstawy ma ludzka moralność. Do czego bylibyśmy zdolni, myślał, gdybyśmy byli bezkarni? Czy nasz moralny instynkt odwiódłby nas od czynienia zła, nawet gdyby nie czekały nas za to żadne konsekwencje? W prawdziwym świecie kara jest powiązana ze sprawstwem: jeśli zaatakujecie kogoś, może to zostać zauważone i zostaniecie za to ukarani. W internecie trudno ustalić sprawstwo: napastnik może znajdować się na drugiej półkuli, a większość ofiar ataków nawet nie zauważa tego, że się nimi staje. Gdy to sobie uświadamiają, trudno im ustalić, co dokładnie się stało i kto za tym stoi. W przypadku Kukułczego Jaja udało się to dzięki drobnej anomalii zaobserwowanej przez młodego badacza. Rozpoczął on na jej podstawie długie, frustrujące postępowanie, które doprowadziło go do hakerów. Ataki, które udowodnił, uznawane są dziś za pierwsze w świecie komputerowe działania wymierzone przez jeden kraj przeciwko drugiemu. Jednak dopiero gdy amerykański rząd w desperacji postanowił upublicznić fakty z dochodzenia w sprawie chińskich ataków, ludzie z Zachodu zaczęli rozumieć jaka jest skala działań cyberzamachowców wymierzonych przeciwko nim.

Drugą istotną kwestią, jeśli idzie o ataki na sieci i komputery, oczywistą od zarania ery cyfrowej, ale zyskującą na znaczeniu w ostatnich czasach, jest fakt, że sprzęt i oprogramowanie nie zostały zaprojektowane z myślą o bezpieczeństwie. Nikomu nie przyszłoby do głowy budować skarbców ze złotem przy użyciu taniego, kruchego betonu i lichego metalu. Jesteśmy jednak zmuszeni korzystać z tandetnych procesorów i programów o skomplikowanym kodzie źródłowym [ang. spaghetti software] stanowiących cześci ważnych systemów. Dzieje się tak dlatego, że brakuje alternatywy. Sieci instytucji badawczych, którymi hakerzy posłużyli się do ataku na Amerykę, zaprojektowane zostały, by wspierać współpracę naukowców, a nie po to, by strzec strategicznych informacji. Od tego czasu zresztą zaskakująco niewiele się zmieniło w dziedzinie funkcjonowania internetu. To sprawia, że jesteśmy podatni na ataki – silniejsi mają więcej do stracenia niż słabsi. Czynniki te wyrównują pole gry. Pozwalają one słabszym grozić, stawiać wyzwania i okradać silnych i bogatych w sposób, który nie występuje w świecie rzeczywistym. Kraje autokratyczne radzą sobie lepiej niż demokratyczne. Im większymi jesteście oportunistami i mniej macie skrupułów, tym łatwiej Wam używać internetu w atakach na innych. Im bardziej ograniczeni jesteście przez biurokrację, prawo i opinię publiczną, tym trudniej jest postępować w ten sposób.

W ostatnich latach uprzywilejowało to nowe rosnące siły względem dotychczasowych liderów. Zwłaszcza Chiny, które stoją za jedną z największych operacji szpiegowskich w historii, postrzegają szpiegostwo cybernetyczne jako ważny element planu wyprzedzenia Zachodu. W oczach wielu chińskich obywateli ma to swoje uzasadnienie. Według nich Zachód splądrował i skolonizował Chiny, okradając je w minionych stuleciach bez skrupułów również z własności intelektualnej (np. tajemnica produkcji jedwabiu). Nie pociesza to wcale zachodnich firm, które boją się, że zbankrutują wskutek ataków hakerów wykradających ich najbardziej strzeżone tajemnice handlowe.

Góra złota przechowywana w amerykańskim Fort Knox warta jest 300 mld dolarów – jest jednak mało prawdopodobne, że Chiny przypuszczą atak na ten wypełniony złotymi sztabami skarbiec, w którym Stany Zjednoczone przechowują swe rezerwy. Nie stanowi on kuszącego celu. Do jego budowy wykorzystano 453 m^3 granitu,  3,2 tys. m^3 betonu, 750 ton stali zbrojeniowej i 670 ton stali konstrukcyjnej. Wyposażeni w broń strażnicy nie pozwalają osobom z zewnątrz dostać się do środka. Jeżeli nawet komuś udałoby się tam wedrzeć, nie wiedziałby, co robić: złoto jest ciężkie i trudno jest je przenieść. Zbrojna napaść na Fort Knox jest wprost niewyobrażalna i Departament Skarbu Stanów Zjednoczonych, który odpowiada za rezerwy złota, nie musi tym sprawom poświęcać specjalnej uwagi. Do czasu, gdy czołgi wroga wycelowałyby ku niemu lufy, USA miałyby już inne problemy. Departament Skarbu trapią za to ataki na system bankowy. W 2013 roku w ramach ćwiczeń zwanych „Kwantowym Świtem” [„Quantum Dawn”] ministerstwo zorganizowało grę wojenną, w której hakerzy zdołali wykraść sumę stanowiącą równowartość zasobów Fort Knox – przedarli się do strzeżonych sieci banków i agencji rządowych[3]. Podobne ćwiczenia w Wielkiej Brytanii, w tym sztuczne ataki przeprowadzone przez grupę hakerów, zszokowały Bank Anglii. Okazało się, że jego sieci nie były wcale bezpieczne. Projekt „Budzący się Rekin II” [„Waking Shark II”] stanowił w istocie trzydniową akcję mającą zbadać przebieg „celowanych cyberataków wymierzonych w sektor finansowy Wielkiej Brytanii kierowanych przez wrogo nastawione państwo”, których efektem miało być „spowodowanie zakłóceń/przemieszczeń w obrębie całego rynku i wspierającej go infrastruktury”. Ostatni dzień ćwiczeń zbiegał się z tzw. dniem trzech wiedźm[1], kiedy to wygasają kontrakty terminowe na indeks, opcje na indeks oraz opcje na akcje. Neutralny raport słabo oddaje to, co zdołali zaobserwować uczestnicy[4]. System finansowy Wielkiej Brytanii został poddany wszelkim rodzajom cyberataków. Zaliczyć należy do nich DDoS – ataki polegające na zaśmiecaniu, sprawiające, że strony internetowe i systemy korzystające z sieci stają się „niedostępne bądź czasowo dostępne”; ataki podobne do tych wymierzonych w firmę Sony, w ramach których penetruje się firmową sieć w celu „wywołania zakłóceń bądź niszczenia danych”; uszkadzenie danych powodujące zmianę wartości akcji na koniec sesji i wpływające na kalkulacje ryzyka i marży lokat nocnych; zakłócanie procesów rozliczeniowych obligacji, powodujące „istotne skutki dla płynności i możliwości finansowania [systemu]”; a także zaburzanie bankowego systemu płatniczego. Ćwiczenia obnażyły wiele słabości. Jedną z nich było to, że żaden z uczestników nie powiadomił o trwających atakach organów ścigania.

To, czy te ataki w prawdziwym życiu przeprowadzone byłyby przez żartownisiów, przestępców, aktywistów czy rząd Chin, nie ma większego znaczenia. Nie są to zresztą wykluczające się kategorie. Ataki na amerykańskie sieci komputerowe z lat 80. przeprowadzone były przez hakerów, którzy nie byli ani przestępcami, ani ludźmi motywowanymi politycznie – wpadli po prostu na pomysł, który uznali za potencjalne dochodowy i ostatecznie, poprzez Berlin Wschodni, nawiązali kontakt z KGB. Dziś grupa terrorystyczna bądź obcy rząd mogą próbować zakłócić system finansowy USA, wykorzystując do tego przestępców lub aktywistów. Gangsterzy próbujący wykraść pieniądze lub wymusić okup od banków mogą kupić na rynku niezbędne informacje. Ci sami ludzie mogą bowiem pracować w biznesie lub dla rządu, a jednocześnie angażować się w działalność przestępczą. Kukułcze Jajo z 1986 roku – finansowany przez sowietów atak zachodnioniemieckich hakerów na amerykańskie komputery – obnaża wyzwania i słabości, które po 30 latach wydają się takie same. Na wiele sposobów pozycja tych, którzy się bronią, stała się w tym czasie jeszcze trudniejsza. Tak jak wiele współczesnych ataków, Kukułcze Jajo pozostawało przez wiele miesięcy niezauważone. Wykryto je nie wskutek kosztownego dochodzenia, lecz dzięki osobistemu wysiłkowi jednostki.

W sierpniu 1986 roku młody astronom Clifford Stoll zauważył drobną (0,75 dolara) różnicę w naliczaniu opłat za użytkowanie komputera w jego miejscu pracy, Laboratorium Lawrenca Berkeleya w Kalifornii. Te maszyny były wówczas rzadkością i za czas przy nich spędzany trzeba było płacić. Stoll zwrócił uwagę, że cena jest zawyżona – drobnostka, która nie powinna wywoływać ogólnej podejrzliwości. W laboratorium nie prowadzono badań o charakterze tajnym. Stoll nie miał żadnego certyfikatu bezpieczeństwa. Był jednak nieufny wobec działań rządu, wielkiego biznesu i służb specjalnych. Nie chciał, by ktoś obcy wkraczał w zaufany obszar społeczności badaczy. Na swój własny koszt, ku dezaprobacie swych przełożonych i z niewielką pomocą instytucji rządowych, które poprosił o wsparcie, Stoll zorganizował jedno z najbardziej imponujących śledztw detektywistycznych w dziejach komputerów. W ciągu dziesięciu miesięcy udało mu się wyśledzić tajemniczego intruza. Początkowo sądził, że chodzi o jedną osobę. Okazało się, że było ich więcej. Założył też, że sprawcą ataku był dowcipniś chcący za darmo korzystać z komputera lub czerpiacy satysfakcję z łamania zasad. Kimkolwiek był złoczyńca, świetnie radził sobie z zacieraniem śladów. Stoll działał ostrożnie. Nie odciął intruzowi dostępu do komputera; badał jego metody i motywy. Podłączył drukarkę do sieci i wydrukował, wiersz po wierszu, zapisy jego wejść i wyjść. W wiadomościach elektronicznych Stoll nie wspominał o swoim śledztwie – jasne było to, że natręt sprawdza, czy nie został zauważony. Oczywiste stało się również to, że atakujący nie był zwykłym żartownisiem. Nie interesowało go Laboratorium Lawrenca Berkeleya – używał jednak placówki i jej połączenia do poruszania się po świecie; nie tylko po Ameryce, lecz daleko poza jej granicami, np. po bazach wojskowych w Japonii i Niemczech. Jego celem były sieci wojskowe i organizacje zaangażowane w ściśle tajne prace badawcze w dziedzinach takich jak obrona rakietowa.

W ciągu dziesięciu miesięcy Stoll i jego sprzymierzeńcy odkryli, że haker zaatakował około 450 komputerów, z czego udało mu się wedrzeć do 30. Choć był doświadczonym programistą, nie stosował wcale wyrafinowanych narzędzi. Jego metodą było badanie istniejących błędów i dziur w oprogramowaniu i wykorzystywanie ich. Gdy atak na dany cel nie przynosił skutku, haker zmieniał target lub metodę.

Błędy popełniane przez ludzi, którzy używali sieci i zarządzali nimi, a także przez sprzedawców sprzętu sprawiały, że szanse intruza rosły. Na przykład w wielu sieciach można było logować się w trybie użytkownika anonimowego [ang. anonymous] na konto gościa [ang. guest]. Jednak nawet ci, którzy nieco bardziej się zabezpieczali, byli wrażliwi na atak. Pierwszym celem hakera po włamaniu się do danej sieci był bowiem plik zawierający zaszyfrowane hasła. Poprzez atak słownikowy [ang. dictionary attack] ustalał ich brzmienie[2]. Zyskiwał w ten sposób dostęp do każdego zestawu danych logowania używanych w sieci. Nie musiał się więcej włamywać – mógł po prostu podszywać się pod użytkownika.

Śledzenie źródła ataku było jednak trudne. Kimkolwiek intruz był, uzyskiwał dostęp do sieci Lawrenca Berkeleya dzięki przeskakiwaniu pomiędzy systemem telefonicznym a siecią komputerową. W tamtych czasach można było podłączyć dwa komputery za pośrednictwem telefonu, używając do tego modemu. Prędkość była słaba, za to elastyczność znakomita. Modem mógł działać niemal w dowolnym miejscu na ziemi i łączyć się z każdym telefonem. Istotne było to, że większość sieci, które mogły łączyć się z modemem, pozostawiona była bez nadzoru. Zakładano, że jedynie osoby, które znały odpowiednie loginy i hasła, mogły mieć dostęp do sieci poprzez modem. Nie było jednak mechanizmu, który powstrzymałby kogoś dzwoniącego kilkaset lub nawet kilka tysięcy razy i próbującego różnych kombinacji. Gdy raz wdarliście się do systemu, niektóre sieci pozwalały na dalsze łączenie się. I tak na przykład złoczyńcy dostali się do sieci Uniwersytetu w Bremie, a następnie wykorzystali jego połączenie z innymi sieciami komputerowymi, by dotrzeć do dostawcy usług militarnych z siedzibą w Wirginii. Dzięki wielu sprytnym sztuczkom i umiejętności podszywania się, byli w stanie w niewidoczny sposób przekroczyć ocean Atlantycki. Aby ułatwić życie swym klientom, ów usługodawca zezwalał ludziom w swej sieci na wykonywanie połączeń wychodzących z ich modemów do innych modemów na terytorium USA. W żadnej z sieci należącej do tego systemu nie spodziewano się, że ktoś może je wykorzystać: tymczasem intruz zarówno dał sobie stosowne uprawnienia, jak też deaktywował system zabezpieczający, który mógł zwrócić uwagę na jego działalność. Już wtedy Stoll stanął twarzą w twarz z problemem, który stanowi zmorę bezpieczeństwa cyfrowego do dziś: co zrobić, by ludzie zaczęli traktować je poważnie. Władze były zaintrygowane włamaniem, ale nie czuły się zaalarmowane. Materiał w sieciach nie był przecież tajny (w przeciwieństwie do wojskowych urządzeń, którym sieci te służyły). Nie było jasne, jakie przestępstwo popełniono i za co przestępca powinien być karany. Współpraca międzynarodowa w dziedzinie ścigania przestępczości polega na żmudnym biurokratycznym przerzucaniu się papierami. A poza tym czemu niemieckie władze miałyby „zagwintować” telefony tylko dlatego, że z konta amerykańskiego laboratorium zginęło 75 centów? W każdym razie intruz nie spędzał w sieci tak dużo czasu, by mógł być łatwo wyśledzony. Większość uczestników ataku była swej roli nieświadoma, a nawet gdy zostali zaalarmowani, nie wiedzieli, czemu mieliby podjąć jakieś działania. Gdy okazuje się, że Wasz telefon w sposób tajemniczy łączy się z numerami, których nie rozpoznajecie, a koszt tego jest niewielki, mało prawdopodobne jest, że będziecie z tego powodu robić zamieszanie.

Włamywanie się do sieci komputerowej jest teraz o wiele prostsze niż w czasach Kukułczego Jaja. Istnieje więcej komputerów i użytkowników, co oznacza, że wirtualnemu włamywaczowi wystarczy jeden słaby punkt, by mógł działać. Stoll mógł łatwo wyobrazić sobie, jaką drogę obrali intruzi, by połączyć się z jego siecią w laboratorium i z jakimi sieciami mogli się później łączyć – to było jak mapa połączeń kolejowych. Dziś zmapowanie takiego ataku byłoby niezwykle trudne – to tak, jakbyśmy chcieli narysować mapę galaktyki. Połączenia z komputerami i ich sieciami mogą być liczone w dziesiątkach tysięcy, nie w kilku tuzinach. Mogą one otwierać się i zamykać z wielu powodów. Część z nich może być nawiązywanych automatycznie, mogą być ustanawiane dla różnych celów (na przykład w ramach projektu, który został zawieszony, a miał łączyć oddalone od siebie maszyny), również tych od dawna zapomnianych. Wszystko to otwiera przed atakującymi ogromne możliwości, zdecydowanie mniejsze pole manewru pozostawiając tym, którzy się bronią.

Współczesnych złoczyńców – czy to hakerów, aktywistów, szpiegów, czy wszystkich razem wziętych – charakteryzuje podobne podejście. Mają jednak dużo więcej narzędzi. Opisuję je szczegółowo w innym miejscu, w każdym razie zaliczyć można do nich „toksyczne e-maile”, które poprzez załączniki bądź linki infekują komputer odbiorcy (tak jak ten, który usidlił Pin i Chipa Hakhettów) oraz pendrive'y (małe przenoście urządzenia do przechowywania danych), które mogą wprowadzić złośliwe oprogramowanie do maszyny. Tak jak w czasach Kukułczego Jaja, można się dziś wedrzeć do każdej sieci połączonej ze światem zewnętrznym. Kiedyś hakerzy dokonywali pierwszego włamania za pośrednictwem modemu ze słabym hasłem (bądź bez hasła), który dawał im dostęp do sieci. Dziś ta metoda już się nie sprawdza. I nie musi. Inne sposoby wdzierania się do sieci wywołują więcej szkód, a pozostawiają mniej śladów. Podczas gdy w tamtych czasach komputery narażone były głównie na kradzież i niszczenie danych, obecnie maszyny i sieci wystawione są na bardziej wyrafinowane ataki, w tym instalację złośliwego oprogramowania [ang. malware].

Jeżeli komputer będący celem intruza udostępnia miejsce danym, do których dostęp uzyskać można poprzez wyszukiwarkę, może on być podatny na atak iniekcji SQL. Piszę o nim w Rozdziale 4. I na odwrót, komputer może zostać zainfekowany, gdy odwiedzi zawirusowaną stronę, z której nieświadomie pobrany zostanie niewinny obrazek lub diagram z ukrytym oprogramowaniem – tak zwany atak przy wodopoju [ang. watering hole attack]. Nawet maszyny, które niewiele mają wspólnego z człowiekiem – takie jak automaty wykorzystywane w przemyśle – mogą wysyłać fałszywe polecenia zamaskowane w postaci komend. Jeżeli jesteście w stanie uzyskać fizyczny dostęp do komputera, możecie włożyć urządzenie pamięci do gniazda USB i szybko, nie będąc zauważonymi, przekopiować szkodliwe oprogramowanie do komputera. Każdy komputer podłączony do internetu narażony jest na ataki z powodu luk w sprzęcie i oprogramowaniu. Nawet sieci niepodłączone do internetu są narażone – współczesne złośliwe programy mogą się do nich przedostać z zainfekowanego telefonu lub przenośnego urządzenia pamięci. Po wykonaniu swojej pracy mogą one przesyłać te dane do użytkowników.

Metodą preferowaną przez grupę APT1 był spearphishing, czyli wysyłanie skrupulatnie przygotowanych e-maili do określonego celu, na przykład do poszczególnych osób w organizacjach, do których starano się włamać. Te elektroniczne bomby wysłane były poprzez konta Gmail skonfigurowane w sposób, który sugerował, że należą do konkretnych ludzi. W jednym przypadku APT1 wzięło sobie za cel spółkę Mandiant działającą w obszarze bezpieczeństwa cyfrowego. Ta później obnażyła metody działania hakerów. W wysłanym e-mailu do starannie wyselekcjonowanej grupy pracowników, rzekomo od dyrektora naczelnego, czytamy:

Data: Środa, 18 kwietnia 2012 06:31:41 – 0700

Od: Kevin Mandia <kevin.mandia@rocketmail.com>

Temat: Międzynarodowa Dyskusja o Prasie. Publikacja

Dzień dobry, zaplanujcie czas, by spotkać się w przyszłym tygodniu.

Musimy sfinalizować publikację prasową. Szczegóły w załączniku.

Kevin Mandia

Jest to bardziej wyrafinowana metoda ataku niż wysyłanie e-maili do znajomych – co spotkało Pin Hakhett („Bez grosza przy duszy w Penang”). Wiadomość sformułowana została w korporacyjnym stylu, którym posługują się dyrektorzy naczelni. Wiele osób mogło uznać, że Mandia dla wygody użył osobistego e-maila zamiast służbowego. Tak czy siak, lepiej nie zadawać zbyt wielu pytań, gdy dostajecie e-maila od szefa. Każdy, kto kliknął w link zawarty w e-mailu, pobrał automatycznie plik o nazwie Internal_Discussion_Press_Release_In_Next_Week8.zip[3]. Ktoś niezbyt bystry od razu próbowałby rozpakować plik „dyskusja wewnętrzna”, co aktywowałoby działanie wyrafinowanego złośliwego oprogramowania na jego komputerze, zwanego tylnymi drzwiami [ang. backdoor].

W przeciwieństwie do spearphishingu rozsyłanego przez przestępców, wiadomości te przesyłane były z prawdziwych adresów, ludzi, których konta poddane były obserwacji. Gdy ktoś odpisał na taki e-mail, otrzymywał więc uspokajającą odpowiedź. Ktoś napisał: „Nie wiem, czy to jest bezpieczne, więc nie otwierałem pliku”. W odpowiedzi od rzekomego kolegi (tak naprawdę członka APT1) otrzymał informację: „To jest sprawdzone”. Jest to dobry przykład tego, co w języku zabezpieczeń nazywa się „inżynierią społeczną” – lub też nadużywaniem zaufania. Stanowiła ona najważniejszy element ataku Kukułcze Jajo 30 lat temu i w dalszym ciągu odgrywa istotną rolę. Intruz łączy atak elektroniczny z częściowym kontaktem z drugim człowiekiem tak, by skłonić go do podjęcia pewnych czynności. W czasach Kukułczego Jaja pozwalało to hakerom prowadzić bezpłatne rozmowy telefoniczne – by zyskać taką możliwość, wykorzystywali naiwność pracowników central telefonicznych, podając się za inżynierów, którzy zapomnieli kodów. Dziś możliwości są znacznie większe. W ubiegłych latach e-maile były prostymi wiadomościami, takimi jak pocztówki. Nie można było załączyć do nich toksycznego ładunku.

Wraz z pierwszym pobraniem tylne drzwi zainstalowały się [w naszym życiu] na dobre. Złośliwe oprogramowanie nawiązywało kontakt z serwerem zamachowca, który przejmował „dowodzenie i kontrolę”. Ten rodzaj komunikacji pozwalał na obejście większości procedur bezpieczeństwa. Firmy często stawiają elektroniczne zapory [ang. firewalls] wokół swoich sieci w celu powstrzymania działań intruzów czyhających w internecie. Zapory te nie radzą sobie jednak z atakującym, który przedostał się do sieci i który wysyła komunikaty od wewnątrz. Oprogramowanie zabezpieczające założyłoby, że komunikat pochodzi od odpowiedniego źródła – i zezwoliłoby na otrzymanie odpowiedzi. Tylne drzwi są zatem ulubionym narzędziem hakerów. Podstawowe wersje tego programu dostępne są w internecie na przestępczym rynku. Bardziej wyrafinowane, zindywidualizowane odmiany, można zamówić. APT1 używało  42 rodzajów tylnych drzwi[4], począwszy od najprostszych modeli do specjalnie zaprojektowanych. W podstawowej wersji wirus pełni jedną tylko funkcję: otwiera połączenie sieciowe z serwerem atakującego, pobiera plik i uruchamia go. Następnie wchodzi w stan hibernacji (lub sam się kasuje). Bardziej wyrafinowana wersja tylnych drzwi może jednocześnie wypełniać wiele zadań, które odbiera, zmuszając sprzęt na którym jest zainstalowana do odwiedzania konkretnych witryn (gdzie komendy czekają na nią zamaskowane jako zdjęcie lub informacja w dziale komentarzy). To pozwala programowi na obejście wszelkich zabezpieczeń, które zainstalował administrator sieci. Dla każdego, kto śledzi przychodzące i wychodzące dane, wygląda to tak, jakby ktoś po prostu korzystał z internetu. Nawet jeśli jakaś strona wydaje się podrobiona, nie sprawia wrażenia podejrzanej – komendy, które dana strona zawiera, przeznaczone są wyłącznie dla komputerów z zainstalowanymi tylnym drzwiami.

Także właściciel zaatakowanego komputera nie wyczuwa – przynajmniej na początku – że coś jest nie tak. Jego urządzenie na pozór działa normalnie. Zapewne nie zwraca też uwagi na to, że jego sprzęt odwiedza jakąś sfałszowaną stronę, która przekazuje złośliwemu oprogramowaniu wytyczne. Tylne drzwi uruchamiają jednak program, który ładuje i pobiera pliki, tworzy kopie i kasuje foldery z danymi, a także zapisuje i kopiuje wszystko to, co użytkownik pisze na swojej klawiaturze. Może nawet tworzyć zdalny pulpit – co sprawia, że wszystko to, co użytkownik widzi na swoim ekranie, powiedzmy w Kalifornii, jest widoczne również dla podglądacza z APT1 znajdującego się w Szanghaju. Daje mu to też pełną kontrolę nad komputerem, którą może sprawować za pomocą klawiatury i myszki, mimo że pozostaje w oddaleniu.

Większość firm zaatakowanych przez APT1 nie zorientowało się, że coś jest nie gra. Nie poniosły one strat finansowych, które byłyby odczuwalne natychmiast. Celem ataku nie był bowiem sabotaż czy kradzież, lecz szpiegowanie. Chińczyków interesowały patenty, plany biznesowe i inne informacje, które mogły przesądzić o wynikach biznesowej konkurencji w przyszłości. Tego typu działania są szczególnie dotkliwe, gdy ataki obejmują kilka etapów. Jeżeli planujecie atak na spółkę z obszaru nowoczesnych technologii, możecie zacząć od obserwacji jej klienta lub dostawcy, którzy używają słabszych środków ostrożności. To wówczas na scenę wkraczają naiwne ofiary w stylu Hakhettów. Jeżeli będziecie potrafili wysyłać e-maile w ich imieniu, możecie dotrzeć do ludzi, którzy w dobrej wierze klikną w dany link lub załącznik i otworzą zawarty w nich ładunek. Prosty przekaz, np.: „Pomyślałem, że Ci się spodoba” i ciekawe zdjęcie mogą sprawić, że owa wiadomość nie będzie budzić żadnych podejrzeń i odbiorca szybko zapomni, że ją w ogóle otrzymał. Gdy o niej napomknie w bezpośredniej rozmowie, Pin lub Chip mogą wydać się zmieszani, nie będą jednak dochodzić źródeł nieporozumienia. Uznają pewnie, że mają chwilowy zanik pamięci albo że coś się po prostu komuś pomyliło. Zdjęcie może być i zresztą zabawne – sęk w tym, że kliknięcie w nie sprowadza zagrożenie na odbiorcę i wszystkich w jego biznesowym otoczeniu.

Zwrot, który dokonał się od czasów Stolla związany jest właśnie z rozwojem kosztownych i skomplikowanych broni cyfrowych. Są one zaprojektowane, by kraść, niszczyć i uszkadzać dane: dają złoczyńcom możliwość zdalnego zakłócania lub paraliżowania pracy komputerów, a do tego nie pozwalają się wyśledzić. Według standardów pasjonatów internetu, broń ta jest dość droga. Jest ona zarazem znacznie tańsza niż broń konwencjonalna. Dodatkowo nie trzeba jej nabywać od potężnych producentów na drodze skomplikowanych umów i w odniesieniu do przepisów. Kupuje się ją szybko i łatwo.

Niektóre rodzaje tej broni projektowane są wewnątrz rządowych agencji wywiadowczych. Instytucje te ponoszą olbrzymie nakłady na wyszukiwanie luk w oprogramowaniu i sprzęcie, którymi mogłyby posłużyć się do prowadzenia obserwacji i działań wojennych. Inne stanowią dorobek pojedynczych hakerów – to wypadkowa szczęścia i umiejętności. Coraz więcej prywatnych spółek rozwija je jako produkty komercyjne. Zero-day – błąd w programie komputerowym lub w procesorze, którego nikt dotąd nie zauważył (i dla którego nie istnieje jeszcze żadna łatka) – może być sprzedany za setki tysięcy dolarów w zależności od tego, czy okaże się użyteczny[5]. To duża suma pieniędzy dla hakera, który odkrył błąd. Niewielka dla rządu, biorąc pod uwagę poczynione przez niego inwestycje. Jeden pocisk rakietowy, np. BGM 109 Tomahawk, zaprojektowany do wykonywania precyzyjnych misji, kosztował w 2014 roku 1,65 mln dolarów[5]. Broń cybernetyczna, jak często się ją nazywa, oferuje o wiele lepszy wynik za grosze.

Broń cyfrowa może być wykorzystywana zarówno do działań szpiegowskich, jak i do sabotażu. Jest to zgodne z podziałem na działalność wywiadowczą (zdobywanie informacji) i prowadzenie operacji specjalnych (sprawianie, że coś się dzieje: głównie wysadzanie obiektów i zabijanie ludzi), który obserwujemy w prawdziwym życiu. Oba typy pracy wymagają włamywania się do sieci i komputerów innych krajów przy użyciu podobnych technik i metod. Cele są jednak różne. Szpiedzy chcą zdobywać informacje w sposób niezauważony. Sabotażyści chcą zyskać możliwość zakłócania pracy sieci, niszczenia danych bądź blokowania dostępu do sieci ludziom, którzy chcą jej użyć. Intensywne dyskusje toczą się wokół tego, gdzie leży granica pomiędzy sabotażem a wojną cybernetyczną – pojawiają się pytania o definicje i regulacje. Zagadnieniom tym więcej miejsca poświęcam w Rozdziale 6. Szpiegostwu w internecie towarzyszy znacznie mniej kontrowersji. Może to brzmieć jak paradoks, jako że szpiegostwo jest z natury tajne i podszyte skandalem (zwłaszcza gdy pewne szczegóły wychodzą na jaw). Rzeczywistość jest jednak banalna. Prawie każde państwo prowadzi, przynajmniej w pewnym zakresie, działania wywiadowcze. Jeżeli macie tajemnice, zależy Wam, by je zachować. Jeżeli macie wewnętrznych bądź zewnętrznych konkurentów, zależy Wam, by odkryć, co robią. Wywiad sygnałów – tworzenie kodów do ukrywania własnych tajemnic i łamanie cudzych – to zjawisko znane od czasów starożytnych. Internet zmienił jednak nasz sposób myślenia o obu tych dziedzinach: szpiegowaniu i identyfikowaniu szpiegów, choćby dlatego, że umożliwił szpiegom korzystanie z tych samych narzędzi, których używają przestępcy.

Tego rodzaju internetowemu szpiegostwu blisko już do działań wojennych. Przygotowuje ono grunt pod przyszłe konflikty i przesądza o ich wynikach w sposób, który nie pozwala ofierze zorientować się, że tak się dzieje. Jeżeli uda Wam się dobrze poznać uwarunkowania życia politycznego przeciwnika, a także jego otoczenie gospodarcze, z łatwością możecie dostrzec czułe punkty, a wiedzę o nich wykorzystać. Zyskujecie przewagę militarną, dyplomatyczną, polityczną i ekonomiczną, gdy Wasz przeciwnik ją traci.

W przeszłości na tym polegało konwencjonalne szpiegostwo – w odpowiednim miejscu rozlokowywało się agentów, którzy zbierali sygnały radiowe celem zdobycia możliwości łamania kodów i ich analizy. Jednak ten rodzaj szpiegostwa ma swoje ograniczenia. Jeżeli jesteście obserwowani w konwencjonalny sposób, macie pewne szanse, by to odkryć. Możecie zwrócić uwagę, że jakiś funkcjonariusz zachowuje się dziwnie, możecie zacząć śledzić jego ruchy, zobaczyć, z kim się spotyka i zacząć sprawdzać tych ludzi. Możecie wpaść na kolejne tropy. Fakt, że macie jakieś szanse przeciwko atakującym, stanowi pewien komfort w tej sytuacji. Trudniej jest wykorzystywać zasoby ludzkie, za to łatwiej je namierzyć w świecie, w którym z każdym ruchem pozostawiamy w przestrzeni swój cyfrowy ślad – poddający się analizie i badaniu.

Odległym następcą Kukułczego Jaja była wyrafinowana operacja zwana Dragonfly, odkryta w czerwcu 2014[6] przez firmę Symantec działającą w obszarze bezpieczeństwa danych. Hakerzy obrali sobie za cel kilkadziesiąt firm z istotnych branż, głównie energetycznej i farmaceutycznej. W ramach tej operacji także posłużono się fałszywymi e-mailami i stronami internetowymi zawierającymi złośliwe oprogramowanie ładujące się na komputerach ofiar – tak, by sprzęty te mogły być wykorzystane zarówno do szpiegowania, jak i działań sabotażowych. Uważa się, że grupa stojąca za atakiem, znana również pod nazwą Energetyczny Niedźwiedź [Energetic Bear], była finansowana przez Rosję. Już wcześniej atakowała przedsiębiorstwa zbrojeniowe i firmy lotnicze zarejestrowane w USA.

Jeszcze bardziej niepokojące zdawały się informacje o ataku Uruboros, które pojawiły się w połowie 2014 roku. W 2007 roku przypuszczono podobny atak na NATO i ministerstwa spraw zagranicznych różnych krajów (ówczesna nazwa: agent. btz). Uroboros daje się wykryć wyłącznie najlepszym specjalistom od bezpieczeństwa cyfrowego. Złoczyńcy pozwala natomiast na zdalne kontrolowanie maszyn i okradanie ich zasobów[7].

Wcześniej, w styczniu 2013 roku, światem zatrzęsły wieści o serii ataków Czerwony Październik (Red October), które także zdawały się być finansowane przez jeden z rządów[8]. Firma Kaspersky, producent oprogramowania antywirusowego, która odkryła atak, uznała, że jego korzenie sięgają błędu Top of Form z 2007 roku. Ofiarami padły „placówki dyplomatyczne i rządowe” oraz „instytucje badawcze, firmy energetyczne, w tym z obszaru energii jądrowej, oraz obiekty handlowe i te z branży kosmicznej”. Atakujący opracowali unikalnego i wyjątkowo złożonego wirusa o nazwie Rocra, który przemieszczał się od sieci do sieci posługując się skradzioną tożsamością ofiary, by zyskać dostęp do kolejnych celów. Operację prowadzono z Niemiec i Rosji – co nie oznacza, że sprawcy stojący za tym atakiem tam przebywali. Program wykradł dla hakerów wiele dokumentów, miał zdolność docierania do zakodowanych plików stworzonych za pomocą specjalnego francuskiego systemu używanego w NATO i Unii Europejskiej – „Acid Cryptofiler”. Grupa Czerwonego Października wykorzystała wiele technik oraz błędów opisanych w tej książce. Źródem infekcji był spearphishing – nieszkodliwie wyglądający e-mail przesłany ofierze, zawierający ukryty toksyczny ładunek. W celu uzyskania dostępu do jej komputera i do sieci, do której jest podłączony, eksploatowano błędy w bardzo popularnym programie Microsoft Office (należy do niego wiele programów, takich jak Word, PowerPoint i Excel). Kaspersky odkrył setki infekcji systemu, głównie we wschodniej Europie i północnej Ameryce. Wirus okazał się wyjątkowo odporny – gdy dane urządzenie zostało oczyszczone, a system zaktualizowany, uruchamiał się moduł wznowienia [ang. resurrection] i szkodnik zaszywał się w innych programach Microsoftu, w tym w powszechnie używanym Adobe Readerze. Dochodziło do ponownego zainfekowania maszyny. Wirus wykradał też dane z telefonów komórkowych i potrafił odzyskać skasowane pliki z dysków zewnętrznych podłączanych do maszyny. Prawdopodobne jest, że nazwa Czerwony Październik pochodzi od rosyjskojęzycznych zamachowców – być może finansowanych przez Kreml – próbujących zebrać jak najwięcej informacji o działaniach Amerykanów w Europie bądź o Amerykanach próbujących dowiedzieć się czegoś o działaniach Rosjan na kontynencie.

Czerwony Październik pojawił się w okresie, gdy przeprowadzono atak na stronę Council of Foreign Relations (CFR)[9]. CFR jest najbardziej renomowaną amerykańską niezależną instytucją zajmującą się doradztwem w zakresie spraw międzynarodowych, założoną po I wojnie światowej, by wesprzeć odpowiedzialne działania amerykańskiego rządu wynikające ze światowego przywództwa USA. Porównywany jest z brytyjskim Royal Institute for International Affairs – Chatham House w Londynie. Strona CFR jest największym źródłem informacji dla każdego, kto – posługując się językiem angielskim – chce dowiedzieć się, o czym dyskutują i co czytają amerykańskie elity. Atak ten nie był skierowany przeciwko komentatorom i myślicielom CFR, a przeciwko tym, którzy mogą być ową witryną zainteresowani. Był to atak u wodopoju [ang. watering hole attack] wykorzystujący nieznane wcześniej słabości nieustannie podatnej na hacking przeglądarki Internet Explorer (czyli programu używanego do odwiedzania stron internetowych) firmy Microsoft. Działania złoczyńców polegały na umieszczeniu na stronie CFR niewidzialnych programów komputerowych. Miały one za zadanie weryfikowanie, jakiej wersji Internet Explorera używał dany gość. Sprawdzały też, czy na jego komputerze zainstalowany był równie dziurawy jak Explorer program Adobe Flash. Następnie ustalały, jakiego języka używała dana maszyna. Celami były chiński (zarówno jego kontynentalna, uproszczona wersja, jak i bardziej skomplikowany wariant z Tajwanu) amerykański angielski, rosyjski, japoński i koreański. Gdy ktoś nie spełniał choćby jednego z tych kryteriów, lądował na pustej stronie. Komputery przyszłych ofiar były natomiast infekowane szkodliwym kodem, który umożliwiał kradzież danych i doprowadzał do występowania błędów. Niewielu użytkownikom sieci udało się zorientować, co się dzieje. Bo niby czemu ktoś miałby się czuć się zaniepokojony? Odwiedzana strona miała swą renomę, a komputery pobierały z niej sprawdzone treści. Nie trzeba było instalować żadnego nowego programu. Nikt też nie dostrzegł nieprawidłowości w działaniu swego komputera. Jednak wszyscy użytkownicy stanęli twarzą w twarz z zagrożeniem. A wraz z nimi ci, którzy utrzymywali z nimi kontakt.

Opisane ataki rzucają światło na główny problem stojący dziś przed tymi, którzy muszą się bronić: ustalenie sprawstwa ataku. Załóżmy, że uświadomiliście sobie, iż ktoś włamał się do Waszej sieci (większość ofiar tego nie zauważa). Przyjmijmy też, że zidentyfikowaliście szkody, które wywołał intruz – skradzione dokumenty, złośliwe oprogramowanie, którym się posłużył (podobnie większość ofiar nie jest do tego zdolna). Uznajmy także, że rozpracowaliście ścieżkę, po której skradzione dane opuściły Waszą sieć (również mało prawdopodobne).

Niestety, niewiele Wam to pomoże. Jeżeli jesteście Amerykanami, możecie pomyśleć, że atakującym może być ktoś z Iranu, Chin lub Rosji. Co jednak dalej? Wszystkie te kraje mają interes w osłabianiu USA. Handlowe i państwowe interesy pokrywają się. Ci sami hakerzy mogą pracować dla różnych klientów. Być może osoba, która zaatakowała Wasz komputer, jest przedstawicielem firmy mającej siedzibę w Chinach, pracującej jednak dla Rosji lub odwrotnie. Wszelkie tropy, na które wpadną ci, którzy się bronią, mogą okazać się zwodnicze. Obserwując pracę złośliwych programów, możemy sformułować pewne hipotezy co do pochodzenia ich autorów. Programiści zwykle zostawiają znaczniki czasu w swoich produktach. Pokazują one, kiedy dane linie kodu zostały napisane. Czasem zapominają usuwać te znaczniki. Jeśli zaobserwujecie, że dany haker zwykle nie pracował w piątki, może to sugerować, że jest muzułmaninem. Jeżeli nowe linie kodu nie pojawiały się w soboty – że jest Izraelczykiem. Gdy natomiast tworzone były w godzinach pracy chińskich korporacji, również może to stanowić wskazówkę. Ponadto w tekstach mogą pozostać jakieś słowa, sugerujące pochodzenie hakera (na przykład napisane cyrylicą, co by znaczyło, że zamachowiec posługuje się językiem rosyjskim). Wszystkie te wskazówki mają jedynie charakter przesłanek, nie stanowią dowodów. Łatwo jest sprawić wrażenie, że jest się Rosjaninem. Jeżeli rzeczywiście się nim jest, równie łatwo jest usunąć jakiekolwiek ślady, które by na to wskazywały. Atak na Sony Pictures był powszechnie łączony (nie tylko przez amerykańskie władze) z hakerami pracującymi dla reżimu w Korei Północnej. Specjaliści ds. bezpieczeństwa cyfrowego nie byli jednak przekonani[10]. Ludzie, którzy twierdzili, że są odpowiedzialni za atak, nie wspomnieli pierwotnie o komedii przedstawiającej zamach na lidera północnej Korei. Zastosowane techniki – w szczególności wykorzystanie mediów społecznościowych oraz zebranie licznych informacji poza sieciami Sony – zdawały się zbyt wyrafinowane jak na północnokoreańskich hakerów.

Nawet w przypadku Kukułczego Jaja przełom nastąpił przez przypadek. Stoll stworzył coś, co obecnie nazywamy garnkiem miodu [ang. honeypot] – fałszywy komplet dokumentów zawierający materiały potencjalnie interesujące dla obcych służb wywiadowczych. Celem było zwabienie intruza i utrzymanie jego połączenia na tyle długo, by można było przynajmniej w części je wyśledzić. Przygotował jeszcze jedną pułapkę: wśród owych dokumentów, na które składały się nic nie znaczące treści okraszone żargonem, znalazł się list od fikcyjnej sekretarki Barbary Sherwin. Wyjaśniała ona, że ze względu na rozmiar niektórych dokumentów mogą one być wysłane tylko na życzenie. Ku zaskoczeniu Stolla kilka tygodni później wpłynął list zaadresowany do panny Sherwin z prośbą o podanie ceny dokumentów. Nadawcą listu był Laszlo Balogh, węgierskiego pochodzenia Amerykanin z Pittsburgha. Gdy FBI przeprowadziło dochodzenie, okazało się, że Balogh pracował dla agencji wywiadowczej jednego z krajów byłego bloku radzieckiego. Na tym etapie sprawy znacznie przyspieszyły. Niemieckie władze wytropiły miejsce ataku – firmę komputerową w Hamburgu i prywatne mieszkanie. Zatrzymano członków grupy niemieckich hakerów o nazwie Chaos Computer Club. Pierwotnie motywowały ich anarchistyczne przekonania i sprzeciw wobec wysokich kosztów połączeń internetowych w Niemczech. Gdy zdali sobie sprawę, jak wielkie luki mają amerykańskie sieci wojskowe, zaproponowali swoje usługi KGB w zamian za pieniądze i kokainę.

Stoll powrócił do astronomii. Jego historia opisana w książce Kukułcze Jajo pozostaje jednym z najciekawszych i najbogatszych w informacje świadectw dot. bezpieczeństwa cyfrowego. Okazała się ona niezwykle cenną lekcją. Być może najgroźniejszym elementem każdej sieci jest to, że można przejąć nad nią kontrolę. We współczesnym żargonie informatyków mówi się o tym root. Gdy zdobędziecie dostęp do roota, możecie nie tylko wykradać i niszczyć dane, lecz także zacierać ślady. Możecie wyłączać lub wprowadzać zmiany w systemach, które normalnie powinny się wczytać i monitorować drogę, po której dane poruszają się po sieci. Możecie nadać sobie przywileje. W skrócie: możecie zmieniać zasady, by nie było widać, że je łamiecie.

Z perspektywy wszystkich dużych inwestycji w bezpieczeństwo cyfrowe, których dokonano od czasów Kukułczego Jaja, owa słabość sieci wciąż pozostaje kluczowym wyzwaniem. Anonimowość, którą oferuje internet, komplikuje sytuację obrońców i ułatwia sprawę napastnikom. Komputery i sieci pozwalają na prowadzenie wyjątkowo precyzyjnych i wyrafinowanych działań wywiadowczych. Doskonale sprzyjają zwodzeniu, kamuflażowi i wyczynom, które są domeną szpiegów. Nie ułatwiają jednak życia tym, którzy szpiegów ścigają.

Z oczywistych względów państwa nie lubią mówić o wywiadzie. Niepowodzenia są krępujące, a ogłaszanie sukcesów może utrudnić ich osiąganie w przyszłości. Z coraz większą irytacją od kilku lat amerykańscy, brytyjscy i inni zachodni urzędnicy skarżą się na szpiegostwo Chin. Biuro amerykańskiego Dyrektora Krajowego Kontrwywiadu (National Counterintelligence Executive) opublikowało w 2011 roku, w którym szczególnie Chiny krytykowano za szpiegostwo przemysłowe[11]. Kilka szczegółów wyszło na jaw w 2013 roku, kiedy to specjalizująca się w bezpieczeństwie cyfrowym firma o nazwie Mandiant[6] opublikowała sensacyjny raport o chińskich atakach na zachodnie firmy i organizacje[12]. Okazało się, że nie były to sztuczki godne pospolitych przestępców, lecz „zaawansowane zagrożenia o trwałym charakterze” lub ataki typu APT – jak w żargonie określa się napaści podejmowane na zlecenie rządów. Mandiant zidentyfikował grupę zwaną APT1, która, jak sądzono, była jedną z przynajmniej 20 tego typu grup działających w Chinach od 2006 roku. Prześledzono ich ataki na prawie 150 osób – przyznając jednocześnie, że to prawdopodobnie wierzchołek góry lodowej. Jeśli chodzi o ilość wykradzionych informacji, Mandiant uznał APT1 za jedną z najskuteczniejszych grup szpiegostwa internetowego na świecie.

Nie chodziło przy tym o garstkę studentów wyprawiających hece w internecie. Zachowanie APT1, jej rozmiar i siła przebicia nie pozostawiały wątpliwości, że było to Drugie Biuro III Departamentu Sztabu Generalnego Chińskiej Armii Ludowo-Wyzwoleńczej, znane także pod stosowaną wewnętrznie nazwą Jednostka 61398.

Historia, którą podał Mandiant, była szokująca. Zespół programistów Jednostki 61398 należało liczyć w setkach, a być może w tysiącach. Dysponowała światłowodowymi kablami, w które jej budynek zaopatrzył China Telecom. Wykradła setki terabajtów danych – „tajnych planów rozwoju technologii, szczegółów procesów produkcyjnych, wyników badań, biznesplanów, dokumentów handlowych, umów partnerskich, e-maili i list kontaktowych” – z przynajmniej 141 organizacji w 20 kluczowych branżach. Chodziło głównie o te z krajów anglojęzycznych, zaangażowanych w obszarach gospodarczych, które Chiny uznały za strategicznie istotne. Kradzieże te miały charakter cykliczny. Zwykle APT1 dysponowała dostępem do ofiar przez 365 dni w roku. W jednym przypadku atak trwał cztery lata i dziesięć miesięcy. Grupa nie uderzała z chińskich serwerów – często zmieniała lokalizacje, zanim przystępowała do działania. Centrum ataku z reguły znajdowało się na terenie USA – dana sieć wykorzystywana była wyłącznie do przestępczych działań, które z pozoru wyglądały niczym normalny ruch w sieci.

Pod wieloma względami zabezpieczenia sieci przestały być dobrym narzędziem wykrywania złoczyńców – a było tak jeszcze za czasów Stolla. By haker nie domyślił się, że został wykryty, Stoll skonfigurował dość prymitywne, ale funkcjonalne połączenie komputera z drukarką przy użyciu domowej roboty okablowania. Zapis kroków, które wykonywał w sieci intruz, linia po linii wypełniał kolejne kartki, które ostatecznie złożyły się na kilka pudeł dokumentów. Dziś już nie byłoby to możliwe. Współczesne drukarki są zbyt wrażliwe i skomplikowane, by używać ich w ten sposób. Ryzyko, że intruz zorientuje się, iż jest obserwowany, jest dziś dużo większe niż kiedyś. Wyzwaniem dla Stolla było zrównoważanie korzyści z wykrywania działalności hakera z rozmiarem szkód z niej wynikających. Gdy dostrzeżecie intruza w swojej sieci, odcięcie mu dostępu może nie być najmądrzejszym posunięciem. Możecie nie mieć drugiej szansy na dojrzenie go. Nie będziecie mieć pojęcia o jego motywach i metodach. Jeśli jednak pozwolicie mu wędrować po sieci, może wykraść coś ważnego. To niepokoiło Stolla. Wpadł jednak na pomysł, jak ograniczyć szkody: gdy haker zbliżał się do ważnych danych, Stoll zaczynał dzwonić swoimi kluczami na całej długości odkrytych przewodów łączących drukarkę z siecią. W rezultacie terkot rozpraszał hakera. W tamtych czasach hałaśliwe połączenia między komputerami były faktem. Intruz sądził, że problemy z połączeniem wynikają po prostu z pecha. Teraz taka operacja byłaby o wiele trudniejsza. Podobnie rzecz się ma z utrzymywaniem obserwacji w tajemnicy. Stoll potrafił spowolnić działania złoczyńców, wprowadzając ich na fałszywe tropy. Była to świetna taktyka – jednak wiele osób musiało wiedzieć o tym i jednocześnie nigdy o tym nie wspomnieć. Przecież intruz mógł śledzić organizację bardzo głęboko i przeglądać wszystkie wiadomości przesyłane przez jej członków. Gdyby natknął się na jakąkolwiek wzmiankę o ukrywaniu katalogów, mógłby domyślić się, że jest obserwowany. Stoll komunikował się więc ze współpracownikami, używając budki telefonicznej bądź twarzą w twarz. To również jest dziś mało prawdopodobne. Jeżeli stoicie w obliczu zagrożenia, jakim jest wykwalifikowany haker, narażone na wyciek jest wszystko, co dzieje się w Waszym biurze – intruz może podsłuchiwać Wasze rozmowy, dostać się do systemu telefonicznego, by sprawdzać, do kogo dzwonicie czy nawet słuchać tych rozmów. Operacja antyszpiegowska, którą tak genialnie przeprowadził Stoll, miałaby dziś znacznie mniejsze szanse powodzenia. Mogłaby przynieść więcej szkody niż pożytku.

Ekscytacja szpiegostwem KGB wymierzonym w amerykańskie sieci opadła szybko. Trudno było zrozumieć znaczenie Kukułczego Jaja. W tym czasie Związek Radziecki już się sypał, a pięć lat później przestał istnieć. Badania, którym przyglądali się hakerzy, były interesujące – jednak Ameryka budowała w tym czasie system antyrakietowy w ramach wielkiego programu „Gwiezdne Wojny”. Było to marzenie Ronalda Regana i jednocześnie strapienie Kremla. Konkurowanie na tym polu okazało się dla Rosjan zbyt drogie i zbyt skomplikowane. Wprawdzie dzięki szpiegom decydenci są lepiej poinformowani, nie oznacza to jednak, że dzięki temu podejmują dobre decyzje albo że te decyzje będą przynosić im korzyści.

Rozważania o chińskim szpiegostwie i APT1 zniknęły z pierwszych stron gazet wkrótce po publikacji raportu Mandiant. Jednym z powodów były informacje ujawnione przez Edwarda Snowdena, współpracownika amerykańskiej Agencji Bezpieczeństwa Narodowego (NSA), obecnie uciekiniera przebywającego w Rosji. Pracując na Hawajach, w Centrum Operacji Bezpieczeństwa Regionalnego, miał dostęp do poufnych informacji, strzeżonych rzekomo za pomocą niezwykłych wręcz środków bezpieczeństwa – elektronicznych i fizycznych. Każdy, kto próbował włamać się do jednostki, ryzykował śmierć. Praca Snowdena polegała na przenoszeniu tajnych materiałów z jednej sieci do innej – idealna sprawa dla kogoś, kogo celem jest kradzież tajemnic[13]. Ujawnienie przez Snowdena tajnych danych w 2013 roku zwróciło uwagę opinii publicznej na rzekome nadużycia popełniane przez NSA i GCHQ. Uznano to za bardziej interesujące niż na ataki Chin (i Rosji) na kraje Zachodu. Dopiero w 2014 roku historia APT1 odżyła – FBI wydało nakazy aresztowania pięciu chińskich urzędników, którzy, jak sądzono, stali za atakami na zachodnie firmy[14]. Prowadzone dochodzenie potwierdziło ustalenia słynnego raportu. Z aktów oskarżenia wynikało, że FBI rozpoczęła pracę w 2006 roku. SolarWorld, jedna z zaatakowanych firm, otrzymała w 2012 roku ostrzeżenie, że dzieje się coś złego. Hakerzy wykradali dane, które mogły pomóc chińskim konkurentom wypchnąć spółkę z rynku. Szczególnie interesowali się dokumentami dotyczącymi sporu handlowego o rosnącą liczbę tanich chińskich paneli słonecznych – SolarWorld udostępniała je swoim prawnikom. W związku ze sporem firma miała dostarczyć Departamentowi Handlu szczegółowe informacje o kosztach i swych klientach. To było bardzo dla Chińczyków ciekawe.

Zachodni urzędnicy liczą na to, że ich działania na rzecz zwalczania chińskiego szpiegostwa wróciły na właściwą ścieżkę. Podkreślają, że tym, co odróżnia zachodnie szpiegostwo od chińskiego, są cele. Wielka Brytania, Stany i ich sojusznicy zbierają oczywiście informacje o firmach z innych krajów, np. o rosyjskim gigancie Gazpromie. Robią to z uwagi na rację stanu, nie z powodów komercyjnych. Gazprom, teoretycznie prywatny, stanowi broń Rosji. Używa ona bowiem gazu jako środka nagradzania sojuszników i karania wrogów. Gazprom finansuje tamtejszy reżim i dostarcza surowiec po zaniżonej cenie konsumentom oraz przemysłowi. Trudno wyobrazić sobie cenniejszy cel do szpiegowania.

Ameryka przyznaje się też do szpiegowania zagranicznych firm, które dają łapówki. Przedsiębiorstwa z USA przyłapane na korupcji ponoszą olbrzymie kary, ale nie chcą być na przegranej pozycji w walce z europejskimi i innymi podmiotami, które łamią zasady. W obszernym komentarzu „Dlaczego szpiegujemy naszych sojuszników” w „Wall Street Journal” z marca 2000 roku James Woolsey, poprzedni szef CIA, wyjaśnił tę kwestię z godną podziwu szczerością: „Tak, moi przyjaciele z kontynentalnej Europy, szpiegowaliśmy Was. Prawdą jest też, że używaliśmy komputerów w celu przeszukiwania danych przy użytciu słów-kluczy. Czy zastanawialiście się już nad tym, czego szukaliśmy?[15]”.

Zdaniem Woolseya europejskie firmy zwykle dostają kontrakty na drodze przekupstwa. W większości przypadków ich produkty są zbyt zacofane i drogie, by móc wygrać w inny sposób. Podnosząc kwestię łapownictwa i wyrażając swój sprzeciw, amerykański rząd wyrównuje pole walki. Woolsey dodał również, że Ameryka szpieguje transfer technologii podwójnego zastosowania z Europy do wrogich reżimów. Nadmienił, że także Francja praktykuje szpiegostwo przemysłowe[16].

Największa różnica tkwi jednak w sposobie, w jaki prowadzone są działania wywiadowcze. Krytycy brytyjskiego i amerykańskiego wywiadu twierdzą, że NSA i GCHQ śledzą handlowych rywali, by zapewnić przewagę własnym firmom. Jeśli tak jest, nie może być tu mowy o moralnym uzasadnieniu tych działań. USA nie skarży się na inne rodzaje szpiegostwa Chin – polityczne i militarne. Stany również obserwują władze w Pekinie. Gdy szpiedzy zostają złapani, aresztuje się ich, więzi lub deportuje. Te same zasady obowiązują obie strony.

Zarówno dowody jak i logika wskazują, że Brytyjczycy i Amerykanie mówią prawdę. Choćby z praktycznych względów. W społeczeństwie zamkniętym, w którym biznes i rząd współpracują ze sobą blisko, można sobie wyobrazić, w jaki sposób państwowa agencja szpiegowska przekazuje tajne informacje handlowe o zagranicznych podmiotach celem faworyzowania własnych firm – spółek skarbu państwa czy podmiotów prowadzonych przez „kolesi”. Trudno byłoby o to w konkurencyjnym i szanującym prawo społeczeństwie, takim jak amerykańskie. Załóżmy, że NSA naprawdę śledziło chińskich producentów paneli słonecznych i zyskało poufne dane. Jak miałoby je upowszechnić? Iść do SolarWorks, czy do jej konkurencji? Dostęp jednej prywatnej firmy do informacji zgromadzonych na koszt podatnika oznaczałby nieuczciwą przewagę nad amerykańskimi kolegami. Sprzeciw byłby głośny.

Teoretycznie można by sobie wyobrazić działającą niezgodnie z prawem brytyjską lub amerykańską agencję dzielącą strzępy informacji między uprzywilejowane firmy działającą na tyle dyskretnie, by pozostać w cieniu. Nie da się udowodnić, że tak nie jest. Ludzie wrogo nastawieni do GCHQ i NSA nigdy nie uwierzą, że nie są to marionetki państwa korporacyjnego. Zwraca jednak uwagę, że żadna tego typu sugestia nie pojawiła się nigdy w mediach, a żaden ważny menedżer nie uczynił choćby aluzji na ten temat. Rozstrzygającym jest fakt, że nie wskazuje na to ani jeden dokument z niezliczonych tomów akt opublikowanyh przez Snowdena. A przecież dla człowieka, którego celem jest eksponowanie bezprawności i złych praktyk w szeregach amerykańskiego wywiadu jakakolwiek oznaka zmowy dla uzyskania przewagi rynkowej byłaby na wagę złota. Zwolennicy takiej hipotezy mogliby bić na alarm, że zachodni wywiad jest poza kontrolą. Snowden przetrzebił komputery NSA w poszukiwaniu jakiegokolwiek przejawu świadomego łamania prawa i dowodów przestępczej aktywności, jednak rezultat był mierny. Nagłośnił nieliczne przypadki nadużywania przez ludzi swych pozycji w celu utrzymywania romansów, a także jeden, w którym oficerowie wywiadu rozważali (a ostatecznie odrzucili) pomysł zdyskredytowania niektórych propagatorów radykalnego islamu poprzez ujawnienie ich skłonności do pornografii i dewiacji seksualnych. Nie był w stanie wskazać żadnego śladu działania, który pozwoliłby jego sympatykom jednoznacznie stwierdzić, że NSA i GCHQ są narzędziami wielkiego biznesu. Wykrył dowody szpiegowania przez USA Gazpromu i tego typu spółek. Nie potwierdził jednak faktu wykorzystywania służb do ochrony interesów amerykańskich firm naftowych i gazowych.

Skargi na chińskie szpiegostwo alarmują nie tylko ofiary, lecz również napastników, którzy mogą próbować innych metod. Podobne dylematy nękały Stolla w czasie jego walki z Kukułczym Jajem. W środowisku, w którym znajduje się wiele osób, trudno być szczerym i otwartym w sytuacji zagrożenia. Gdy odkryjecie rażącą lukę w zabezpieczeniach, nagłaśnianie tego może nie być dobrym pomysłem. Na początku musicie zapobiec panice. Co ważne: nie każdy posłucha Waszej rady. Za to złoczyńcy uczynią to chętnie. Wyobraźcie sobie, że dostrzegacie, iż dana marka samochodu posiada zamek dający się łatwo otworzyć prostym sposobem – na przykład poprzez przesunięcie metalowej linijki pomiędzy oknem a ramą drzwi. Miną tygodnie a nawet miesiące zanim wszyscy właściciele aut pojadą do warsztatów, by wzmocnić zabezpieczenia. Tymczasem złodzieje będą działać.

Kolejnym dylematem stojącym przed tymi, którzy się bronią, jest to, czy lepiej kopiować techniki napastników, czy je obnażać. Kiedy Stoll zaczął wyjaśniać pracownikom NSA, co się dzieje, ich reakcja go zaniepokoiła. Agencja, która odpowiadała wówczas i odpowiada dziś za amerykańskie bezpieczeństwo i wywiad, była zafascynowała metodami hakerów. Z pytań, które zadawali jej przedstawiciele, wynikało, że ciekawiło ich, w jaki sposób sami mogą ich użyć przeciwko innym krajom. Stoll postrzegał to jako naruszenie zaufania. Liczył, że wartości panujące w sieci: dobra wiara, otwartość, współpraca odzwierciedlają te z prawdziwego życia. Nawet naciągnięcie kogoś na 75 centów uważał za gorszące i godne potępienia – to tak, jakby kolega próbował ukraść pieniądze z pudełka stojącego obok puszki z herbatnikami. Nie podobał mu się pomysł, by jego kraj miał kopiować działania hakera i dopiero później udaremniać jego plany. Z punktu widzenia organizacji szpiegowskich dostęp do sieci lub komputera jest moralnie neutralny. Jeżeli uważacie, że Wasz kraj jest siłą dobra na świecie i że polecenia pochodzą od legalnej władzy, można otwierać zamki, kraść i oszukiwać z czystym sumieniem. Efektem jest zderzenie dwóch priorytetów. Podstawowym obowiązkiem rządu jest ochrona obywateli. Z tego punktu widzenia, jeśli widzicie, że ściągają oni na siebie w sposób nieświadomy niebezpieczeństwo, należy im o tym powiedzieć. Załóżmy jednak, że to obywatele wrogiego narodu ściągają na siebie nieświadomie zagrożenie – czy to oznacza, że można je szpiegować? Internet czyni ten dylemat jeszcze ostrzejszym – osiągnięcie kompromisu jest trudniejsze, odległość wielka, a zagrożenie wszechobecne. Ataki da się skalować – jeśli mierzycie w jeden komputer, możecie też celować w tysiące lub miliony innych.

Aby wykazać różnicę, przyjrzyjmy się, w jaki sposób szpiedzy posługują się wytrychami, fałszywkami, wcielają się w role i zwodzą, robiąc to, co w prawdziwym życiu uznaje się za haniebne. Zasady łamią raz. Gdy agencja wywiadowcza prowadzi operację rozpracowywania grupy przestępczej czy siatki szpiegowskiej i agent musi usunąć blokadę drzwi frontowych, założyć pluskwę, podsłuchać rozmowę czy podszyć się pod kogoś – robi to jednorazowo. To jeden konkretny zamek jest złamany, jedna konkretna osoba zostaje oszukana.

Na szpiegostwo internetowe narażony jest dosłownie każdy. Jeśli odkryjecie, że kombinacja sprzętu i oprogramowania w pewnych okolicznościach pozwala Wam przejąć kontrolę nad inną maszyną, oznacza to, że problem ma nie tylko Wasza „ofiara”, ale każdy, kto korzysta z narzędzi o podobnej konfiguracji. Nie wiecie jednak, czy ktoś inny nie odkrył już tej luki – i do czego można ją wykorzystać. Ta sama technika, której możecie użyć, by włamać się do sieci jako cichy szpieg, może być wykorzystana przez kogoś innego w celu dokonania zniszczeń lub ataku terrorystycznego. To właśnie drugi wymiar zagrożenia – ataki na sieci i komputery w celu przeprowadzenia sabotażu. Wypracowanie zasad i priorytetów w działaniach wojennych to jeszcze większe wyzwanie dla decydentów niż komputerowe szpiegostwo.

[1] Ang. triple witching day to używane przez pracowników sektora finansowego określenie trzeciego piątku każdego trzeciego miesiąca kwartału. W tych dniach na rynkach obserwuje się największą zmienność [ang. volatility] – przyp. Kurhaus.

[2] Jeżeli Waszym hasłem jest „Wednesday”, może być ono przechowywane w zaszyfrowanej formie, powiedzmy jako 5xGk71y92. Jeżeli intruz zdoła włamać się do sieci, może wykraść hasła i program szyfrujący. Wystarczy wówczas, że umieści każde skopiowane hasło w specjalnym słowniku i przyjrzy się rezultatom. Jeżeli będzie mu zależeć na złamaniu Waszego hasła, sprawdzi 5xGk71y92 i dowie się, że oznacza ono „Wednesday” – a następnie użyje go razem z Waszym loginem w innym miejscu. Bez problemu sprawdzi w słowniku wszystkie słowa, a także ich cyfrowe odmiany, takie jak „Wednesd@y” czy „Wednesd@yo1”. Radzę więc, abyście nigdy, przenigdy nie używali haseł opartych na pojedynczym słowie ze słownika albo jego zmienionej formie czy też czegokolwiek, co znajduje się na jakiejś liście dostępej internecie (jak kod pocztowy). Nigdy też nie używajcie tego samego hasła na różnych stronach.

[3] Pliki zip są sposobem kompresji dużych agregatów danych dla celów ich wygodnego przesyłania, np. w e-mailu. Ich format jest dość zdradliwy. Może oznaczać bowiem kompresję czegokolwiek: obrazka, dokumentu czy programu. Inne nazwy plików, których używało APT1, wyglądały następująco: 2012ChinaUSAviationSymposium.zip, Employee-Benefit-and-Overhead-Adjustment-Keys.zip, New_Technology_For_FPGA_And_Its_Developing_Trend.zip, North_Korean_launch.zip, Oil-Field-Services-Analysis-And-Outlook.zip, POWER_GEN_2012.zip, Proactive_Investors_One2One_Energy_Investor_Forum.zip, South_China_Sea_Security_Assessment_Report.zip, Telephonics_Supplier_Manual_v3.zip, Updated_Offi ce_Contact_v1.zip, Welfare_Reform_and_Benefi ts_Development_Plan.zip.

[4] Wersję malware, która w 80 proc. składa się z tego samego kodu, uznaje się za należącą do „rodziny”.

[5] Zero-day – błąd, który nie został jeszcze podany do wiadomości, co oznacza, że nie istnieje jeszcze żadna jego poprawka: będzie więc pojawiał się stale. Gdy producent uświadamia sobie fakt istnienia „dziury” w oprogramowaniu lub sprzęcie i zaczyna szukać rozwiązania, wskazówki zegara zaczynają odliczać czas. Błąd naraża bowiem na wystąpienie zmasowanego ataku – nawet jeśli tylko garstka użytkowników stanie się jego celem, ich eksploatacja może przynieść dobry łup.

[6] Mandiant został kupiony przez inną firmę działającą w obszarze bezpieczeństwa cyfrowego, FireEye.

Rozdział 6
Szpiedzy kontra wirtualni wojownicy

Szpiegostwo jest z natury nielegalne. Nie podlega przepisom prawa międzynarodowego czy traktatom. Chodzi w nim o wykonywanie poleceń od politycznych mocodawców i dokładanie starań, by pozostać w cieniu. Otwarta wojna to co innego. Konflikty zbrojne pomiędzy krajami są regulowane odpowiednimi prawami, a wszczynanie wojny i agresja są zakazane. Żołnierze są traktowani inaczej niż cywile. Podejmując decyzję o użyciu siły militarnej, trzeba wziąć pod uwagę potencjalne ofiary cywilne. Posiadanie pewnych rodzajów broni – biologicznej, chemicznej czy danej kategorii min – jest zabronione. Cywilizowane kraje czasem oszukują twierdząc, że takich nie posiadają. Widać, nie chcą całkowicie z nich zrezygnować.

W przypadku wojny – bądź chęci zastraszenia przeciwnika – broń cyfrowa oferuje wiele użytecznych zastosowań. Ataki na komputery oraz sieć mogą sparaliżować system finansowy wroga, uszkodzić krytyczną infrastrukturę, wywołać panikę w społeczeństwie, sparaliżować transport czy nawet złamać ducha politycznego przywództwa. Sabotażyści ujawniają swoją tożsamość, gdy tylko wykorzystają swe narzędzia. Szpiedzy natomiast zawsze starają się pozostać w cieniu.

Strach przed katastrofalnym w skutkach atakiem na kluczowe elementy systemów komputerowych – zwany też Cyfrowym Pearl Harbor – uczynił firmy specjalizujące się w bezpieczeństwie cyfrowym bogatymi. Warto zaznaczyć, że taki atak nigdy jeszcze nie miał miejsca. Międzynarodowe konflikty przy użyciu internetu do tej pory miały charakter ograniczonego w skutkach sabotażu. Przykładem tego może być wywołane przez Izraelczyków i Amerykanów zakłócenie programu nuklearnego Iranu (przy użyciu malware o nazwie Stuxnet, o czym będzie mowa później) lub rosyjskie ataki na Estonię.

Broń cyfrowa zmienia oblicze międzynarodowych konfliktów, w ten sam sposób, w jaki uczynił to proch strzelniczy w średniowiecznej Europie. Możliwość zadawania śmiertelnych obrażeń z dużej odległości zmieniła nie tylko typ wojny, ale też społeczeństwo. Tylko że w przypadku prochu rozpowszechnienie jego użycia zajęło około 200 lat, a w przypadku internetu odbyło się to w ciągu dwóch dekad.

Stratedzy wojskowi muszą teraz radzić sobie na nowym polu bitwy, pełnym nieprzewidywalnych w skutkach możliwości. Wszystkie problemy, z jakimi borykają się Pin i Chip Hakhett, stanowią jednocześnie wyzwania bezpieczeństwa narodowego. Komputery rządowe są podatne na ataki odmowy dostępu oraz toksyczne mailingi. Jedno włamanie może być katastrofalne w skutkach, jeśli wewnętrzne zabezpieczenia okażą się za słabe: raz zhakowana maszyna Chipa daje złodziejom obraz całego jego „życia internetowego”.

Przykładem podatności wielkich systemów na włamanie jest upublicznienie przez współpracownika amerykańskiej NSA Edwarda Snowdena skradzionych danych (wspomniałem o tym w Rozdziale 5). Już wcześniej jednak pewne wydarzenia rzuciły światło na luki w zabezpieczeniach amerykańskich sieci wojskowych. Rozczarowany pracą w wywiadzie wojskowym analityk Bradley (obecnie Chelsea) Manning zdołał wykraść z sieci 700 tys. poufnych dokumentów, kopiując je po prostu na płytę CD, którą następnie opisał „Lady Gaga”. Stało się to, gdy pracował bez nadzoru w biurze w Iraku w 2010 roku. Pliki zawierały między innymi film wideo, na którym widać jak Amerykanie ostrzeliwują z powietrza cywilny konwój w Bagdadzie. Piloci śmigłowca uznali prawdopodobnie kamery reporterów za broń. Opublikowane później przez WikiLeaks dane wywołały komentarze na całym świecie. Manning został skazany w czerwcu 2013 roku na  35 lat pozbawienia wolności. Dokumenty zawierały także zapisy dziesiątków tysięcy tajnych rozmów prowadzonych przez amerykańskich dyplomatów z ich kontaktami w różnych krajach. WikiLeaks nie dbała o ich losy. Takie ataki cechuje asymetria: jednostki, rządy i korporacje są w gorszym położeniu. Atakującemu może poszczęścić się tylko raz. Tym, którzy się bronią, szczęście potrzebne jest na każdym kroku. Co więcej, napastnik, jeśli los mu sprzyja, może przypuścić wiele zautomatyzowanych ataków naraz. Pozwala mu to zoptymalizować koszty. Broniący się – którzy mają o wiele więcej do stracenia – nie mogą zautomatyzować procesu odpierania napaści, co czyni ich działania kosztochłonnymi i czasochłonnym. Złoczyńcy mogą zrobić rozeznanie swoich celów. Ofiary natomiast nie wiedzą, czego konkretnie powinny bronić, przez co trudno im zrozumieć motyw ataku oraz sposób jego wykonania. Często nie zdają sobie nawet sprawy z tego, że są atakowane. Jak zauważył w raporcie „Surviving on a Diet of Poisoned Fruit” (pol. Przetrwać na diecie z trujących owoców) Richard Danzig, amerykański doradca rządowy, wszystko to wywołuje szok wśród strategów obrony, którzy przywykli do pracy w warunkach niekwestionowanej hegemonii technologicznej USA, dającego się skalkulować ryzyka i wrogów, których taktyki można dogłębnie przestudiować. Nikt nigdy nie kwestionował faktu, że USA są technologicznym liderem w „wojnie z terrorem”. Konieczność stawiania czoła wrogom w internecie przypomniało Amerykanom dawno zapomniane uczucie bycia gorszym – które to znają z czasów, gdy dźwięki Sputnika dały im świadomość zagrożeń wynikających z przegranej w wyścigu o zdobycie kosmosu. Stany Zjednoczone poradziły sobie ze Związkiem Radzieckim, aczkolwiek był to tylko konkretny, widoczny przeciwnik. Teraz jest ich więcej niż można zliczyć, a ich możliwości są „płynne, dostępne dla wszystkich, rozproszone i zmieniają się dynamicznie”[1].

Potęgi militarne nie są jednak bezsilne. W przeciwieństwie do Pin i Chipa mają do dyspozycji olbrzymie ilości pieniędzy. Mają także dyscyplinę wojskową niezbędną do wyegzekwowania procedur bezpieczeństwa. W kulturze, w której posiadanie brudnej broni jest wykroczeniem podlegającym karze, stosunkowo łatwo jest wymusić stosowanie zasad „higieny” w kontakcie z komputerami. Żołnierze mogą prowadzić gry wojenne, tworząc własne grupy hakerskie do testowania swych zabezpieczeń – na tych samych zasadach, na jakich szkolą się na poligonach. Amerykańska Agencja Zaawansowanych Projektów Badawczych ds. Obronności (America’s Defence Advanced Research Projects Agency, DARPA) dokonała wraz z firmą Microsoft i paroma innymi pewnych istotnych technologicznych przełomów. Sieci są coraz częściej projektowane z założeniem, że zostaną zaatakowane. Wyposaża sie je więc w dość wewnętrznych zabezpieczeń, by skutecznie utrudnić życie hakerom (więcej o tym w jednym z kolejnych rozdziałów). Dla intruza oznacza to, że będzie musiał wyjątkowo się napracować – wynajdując właściwe kombinacje luk w zabezpieczeniach i sposoby ich wykorzystania.

Niestety wciąż jest to nierówna walka. Jak odnotowuje w swoim raporcie Richard Danzig: „Liczba błędów rośnie szybciej niż nasza zdolność do ich naprawiania”. Jednym z tego powodów jest miniaturyzacja, której więcej miejsca poświęcam w Rozdziale 9. Na drodze ewolucji nauczyliśmy się postępować z bronią, którą jesteśmy w stanie rozpoznać, ale nie z tą, która jest zbyt mała, by ją dostrzec. Inną sprawą jest, że walki w internecie nie zawsze dotyczą celów będących pod nadzorem wojska: jeżeli możecie uszkodzić systemy finansowe przeciwnika (kasując ich dane) bądź zniszczyć jego sieci energetyczne, to prawdopodobnie wygraliście wojnę zanim padną pierwsze strzały (jeśli w ogóle padną).

Broń cyfrową stosuje się już w działaniach o charakterze sabotażowym. Stuxnet, pomysłowy wirus komputerowy stworzony przez rządy USA i Izraela uruchomiony w 2010 roku, zniszczył kilkaset irańskich wirówek służących do wzbogacania uranu. W rezultacie cofnęło to program nuklearny tego kraju o kilkanaście lat – do tamtej pory byłoby to możliwe wyłącznie na drodze zbrojnej interwencji na dużą skalę. Funkcje Stuxnetu w pełni ilustrują sposoby, w jakie kraje mogą toczyć wojnę za pomocą komputerów i sieci. Na początku wirus zaatakował maszyny, które nie były podłączone do internetu. W żargonie programistów określa się taki stan byciem w szczelinie powietrznej [ang. air-gapped] – nie istniało żadne elektroniczne połączenie nimi a maszynami podłączonymi do internetu[2].

Prawdopodobnie Stuxnet dotarł do swoich ofiar poprzez dyski USB podłączone przez sabotażystów lub podrzucone ludziom chcącym ich użyć na tych maszynach. Była to pierwsza faza ataku. Drugą było przemieszczanie się wirusa malware – zwanego robakiem – z jednego komputera na do drugiego. Robił to niepostrzeżenie, wykorzystując tzw. zero-days (nieznane wcześniej luki w zabezpieczeniach systemów operacyjnych i programów), np. skradzionego certyfikatu – najważniejszego i jednocześnie najbardziej wrażliwego elementu bezpieczeństwa komputera. Certyfikaty są wydawane przez firmy specjalizujące się w bezpieczeństwie komputerowym. Dają one gwarancję, że dany program bądź aplikacja są oryginalne. Stuxnet był w stanie zmienić konfiguracje zarażonego komputera, używając dwóch autentycznych, aczkolwiek skradzionych, certyfikatów. Dało mu to kontrolę nad root-kitem maszyn – mógł kierować nimi tak, jakby to robił uprawniony użytkownik. Ale to nie te komputery, z oprogramowaniem Microsoft Windows, były celem wirusa, tylko maszyny pracujące na specjalistycznym sofcie zwanym „Programowalnym sterownikiem logicznym”. Stosuje się go w urządzeniach, które muszą pracować wedle określonej formuły. Może to być wszystko, od kolejki w wesołym miasteczku po automatyczne wirówki.

Na komputerze, który nie korzystał z tego wyprodukowanego przez niemiecką firmę Siemens oprogramowania, wirus nie robił nic. Natomiast gdy pożądane oprogramowanie zostało wykryte, Stuxnet ulegał kolejnej przemianie. Gdy tylko wykrył wirówkę pracującą przy określonej prędkości, wkraczał do akcji, drastycznie zmieniając prędkość rotacji między szybkimi i wolnymi obrotami. Wyłączał także system monitorowania, który mógłby powiadomić operatorów, że coś jest nie tak. Takie działanie – poprzez ustawienie w maszynach złej prędkości i nieodpowiednich obrotów – zniszczyło podobno 1 tys. z 5 tys. drogich, superprecyzyjnych irańskich wirówek w fabryce nuklearnej w Natanz.

Ameryka pochwaliła się swoją rolą w sukcesie Stuxnetu poprzez przeciek „z zaufanego źródła” do dziennikarzy „New York Timesa”. Wywołał on (bezskuteczne) dochodzenie oburzonych tym specjalistów ds. bezpieczeństwa narodowego[3]. Gary Samore, będący w tym czasie urzędnikiem w Białym Domu wyznaczonym do spraw związanych z irańskim programem nuklearnym, komentował: „Cieszymy się, że [Irańczycy] mają problemy ze swoimi wirówkami i że my – Stany Zjednoczone oraz nasi sojusznicy – robimy wszystko, co w naszej mocy, by jeszcze bardziej skomplikować im sprawy”[4]. Kolejny przeciek (dla wielu pracowników wywiadu był to szokujący przykład samogloryfikacji polityków) doprowadził do publikacji w „New York Times” w 2012 roku artykułu, w którym napisano, że Stuxnet był częścią programu o nazwie „Operacja Gry Olimpijskie” (Operation Olympic Games) zapoczątkowanego w czasie administracji prezydenta George’a W. Busha. Jeden z komentatorów stwierdził, że był to największy przełom w prowadzeniu wojny cybernetycznej od czasu złamania kodu niemieckiej Enigmy w czasie II wojny światowej[5].

W pewnym sensie Stuxnet (oraz podobny do niego program o nazwie Flame)[6] ilustruje zalety wykorzystywania programów komputerowych jako broni. Nikt nie został zabity ani nie został narażony na ryzyko. Bardzo możliwe, że przenośny dysk USB został podłączony do danego komputera przez kogoś, kto kompletnie nie miał pojęcia o tym, co się na nim znajduje. Irański program nuklearny został cofnięty w rozwoju o kilkanaście lat. Sukces operacji osłabił presję Izraela na przeprowadzenie interwencji zbrojnej w Iranie – ta byłaby bardzo niebezpieczna i kosztowałaby wiele istnień ludzkich.

Użycie Stuxnetu było ryzykowne ze względu na jego możliwości rozprzestrzeniania się. Nie było jego celem pojawienie się w internecie (w rzeczywistości to właśnie przyczyniło się do jego odkrycia). Ponadto miał wpływać wyłącznie na działanie przemysłowych systemów kontrolnych. Według Eugene'a Kaspersky'ego, rosyjskiego eksperta do spraw bezpieczeństwa komputerowego, ostatecznie wykryto go nie tylko elektrowniach atomowych, a nawet na międzynarodowej stacji kosmicznej – aczkolwiek bez żadnych szkodliwych dla nich skutków[7].

W efekcie przestał on być tajemnicą. Irańczycy wiedzieli, że ich wirówki psuły się, ale nie rozumieli dlaczego. Dyskusja publiczna na temat Stuxnetu wprawdzie poprawiała ego amerykańskich oraz izraelskich specjalistów komputerowych zaangażowanych w sprawę, lecz sprawiła również, że ciężko by było przeprowadzić podobną operację w przyszłości.

Program Flame, który aktywował mikrofony i kamerki internetowe, kopiował każde kliknięcie na klawiaturze ofiary oraz zawartość monitora, a także używał połączenia bezprzewodowego Bluetooth do atakowania innych urządzeń, był wyjątkowo potężnym wirusem – do czasu, aż Irańczycy odkryli go w trakcie dochodzenia prowadzonego w sprawie izraelskiego ataku na maszyny ich rafinerii. Co gorsza, Flame był zamaskowany jako aktualizacja oprogramowania Microsoft, co w rezultacie sprawiło, że wielu ludzi przestało ufać tym ważnym z perspektywy działania systemu łatkom. Wzbudziło to podejrzenia (prawdopodobnie nieuzasadnione; firma bardzo im zaprzeczała), że Microsoft współpracował z hakerami, przekładając interes rządu nad interesy swoich udziałowców i klientów[8].

Odwet nastąpił bardzo szybko. Niedługo po odkryciu Stuxnetu operacja o nazwie Shamoon wyczyściła dane z dziesiątek tysięcy komputerów saudyjskiego koncernu petrochemicznego Aramco. Jeśli kiedykolwiek istniało tabu związane z użyciem broni cyfrowej do przeprowadzania ataków na inne kraje, to właśnie zostało one złamane.

Pojawia się pytanie, kiedy atak na komputery innego kraju staje się aktem wojny. Nie ma na nie prostej odpowiedzi. We współczesnych konfliktach zbrojnych próżno szukać aktów wypowiedzenia wojny i następujących po nich ataków, kontrataków, eskalacji konfliktu, rozwijania drugich i trzecich frontów, następnie zawieszenia broni i traktatów pokojowych. Dziś wojna jest bezkształtna. Trudno stwierdzić, kiedy się zaczyna, a kiedy kończy. Ciężko też określić moment, w którym konkurencja gospodarcza i propaganda przechodzą w prawdziwą wrogość.

Internet doskonale się w to wpisuje. Jānis Bērziņš, litewski ekspert ds. obronności, pisze w swej pracy poświęconej konfliktowi rosyjsko-ukraińskiemu, że działania wojenne nowej generacji mają na celu osłabienie siły woli oraz zdolności do podejmowania decyzji wroga zanim zostaną zaangażowane bardziej tradycyjne zasoby: ładunki wybuchowe oraz stal i paliwo do rakiet[9]. Precyzyjnie wykorzystana bomba informacyjna, użyta we właściwym miejscu i we właściwym czasie – szerząca panikę poprzez pogłoski – może wyrządzić o wiele więcej szkód niż pocisk balistyczny.

W świecie broni cyfrowej nie wiadomo, kiedy prawdziwa wojna się zaczyna i kiedy kończy. Rodzi to pytania o definicję żołnierza. W wojnie uprawnione jest bombardowanie infrastruktury wroga. Ale czy to znaczy, że wolno atakować komputery kontrolujące ją? A cywilów, którzy je obsługują? Jeśli tak, to za pomocą jakich środków? Jakie prawa i normy odnoszą się do takiej sytuacji? Zamieszanie wokół tego tematu jest niepokojące i rodzi wiele niebezpieczeństw.

Wyobraźmy sobie, że ktoś włamał się do sieci energetycznej i podłożył w komputerach kontrolujących ją wirusa. Teoretycznie, gdy zostanie on aktywowany, uszkodzenia mogą doprowadzić np. do dużych przerw w dostawie prądu, powodując straty dla gospodarki, społeczne niepokoje, a nawet ludzkie cierpienie. Czy jest to akt wojny? Tak – ponieważ gdyby jakiś kraj zbombardował elektrownię innego kraju w celu osiągnięcia tych samych rezultatów, byłby to akt agresji.

Zamachom na komputery bliżej jest do terroryzmu niż konfliktów zbrojnych. Możecie tylko zgadywać, kim jest atakujący – w niektórych przypadkach może nawet istnieć tylko jeden prawdopodobny winowajca. Jeśli jednak nie przyznaje się do winy, to co wtedy? Stany Zjednoczone ogłosiły, że będą odpowiadać na ataki cyfrowe „kinetycznymi” (prawdziwymi) atakami. Jest to skuteczny środek odstraszający. Usprawiedliwiałby on (w teorii) wyłapywanie i zabijanie hakerów na drugim końcu świata.

W praktyce jest to natomiast bardzo trudne do realizowania. We wrześniu 2011 roku amerykański dron zabił dwóch obywateli USA – Anwara al-Awlaki oraz Samira Khan – żyjących w Yemenie. Khan był redaktorem magazynu „Inspire”, wydawanym przez Al-Ka'idę. Redagowanie magazynu – nawet tak okropnego i podżegającego do przemocy – jest dalekie od tego, co większość ludzi nazwałaby działaniami wojennymi. Poza tym, jaką można mieć pewność, że trafiona została ta osoba, co trzeba? Jeśli wysyłamy samoloty bezzałogowe do walki z hakerami, nawet takimi, którzy wyrządzili wiele szkód w imię wrogiego rządu, to jaka liczba niewinnych ofiar może być akceptowalna? Przez ostatnie kilkaset lat wyrobiliśmy sobie opinię na temat tego, co jest akceptowalne, a co nie, na tradycyjnym polu bitwy. Nawet w średniowieczu, gdy tortury i gwałt były dość powszechne, istniały zasady obchodzenia się z jeńcami wojennymi (przynajmniej wśród arystokracji). Konwencje haska, genewska oraz wiedeńska stworzyły instytucję prawa humanitarnego, które od tego czasu stało się wyznacznikiem zachowań w konfliktach zbrojnych. Nawet gdy prawa są łamane, wciąż pozostają w grze – choćby poprzez działalność Międzynarodowego Komitetu Czerwonego Krzyża, neutralnej organizacji z siedzibą w Szwajcarii, będącej strażnikiem konwencji genewskiej.

Wszystko to stanowi pewne wytyczne: kiedy wypowiedzenie wojny jest uzasadnione oraz jak ją prowadzić: na przykład co odróżnia żołnierzy od osób nie będących w armii oraz jakie cele są niedozwolone. W interesie obu stron jest dobre traktowanie jeńców. W trakcie II wojny niemieckie Luftwaffe broniły alianckich pilotów przed Gestapo, ponieważ życzyły sobie, by godnie potraktowano niemieckich pilotów zestrzelonych nad Anglią. Obie strony konfliktu w czasie wojny starają się ze względów moralnych unikać atakowania szpitali. Symbol Czerwonego Krzyża jest chroniony prawem międzynarodowym – używanie go (przykładowo w celu zamaskowania obiektu wojskowego) jest zbrodnią wojenną. Szpiegostwo natomiast jest pozbawione regulacji prawnych. Szpiedzy są stawiani przed sądem w czasie pokoju, zaś w czasie wojny zostają straceni. By wykazać, że nie jest się szpiegiem, trzeba nosić mundur, gdy jest się na (albo nad) terytorium wroga. Ale kto jest żołnierzem w wojnie, która toczy się przeciwko komputerom i sieciom. Czego nie wolno robić? Jak zastosować jakąkolwiek formę kontroli? Pewien wstępny zestaw odpowiedzi na te pytania znajduje się w podręczniku wydanym przez powiązane z NATO centrum doskonalenia z Tallina, stolicy Estonii. Proponuje on 94 zasady zaczerpnięte z międzynarodowych praw człowieka i sugeruje, że mógłby służyć za przewodnik w prowadzeniu wojny przeciwko oraz przy użyciu komputerów i sieci (tak zwana wojna cybernetyczna)[10]. Zakłada się w nim, że atak z jednego komputera na drugi jest w zasadzie tym samym, co każda inna forma agresji: kraj przeprowadzający takie działania podlega prawom międzynarodowym, natomiast atakowany ma prawo odpowiednio zareagować – włącznie z dokonaniem odwetu za pomocą maszyn lub innych proporcjonalnych środków. Innymi słowy, mają tu zastosowanie podstawowe zasady konieczności oraz proporcjonalności, właściwe dla dotychczas znanych konfliktów.

Jedną z wielu istotnych kwestii poruszonych w podręczniku jest odpowiedzialność: komputery i sieci znajdujące się na terytorium danego kraju podlegają jego jurysdykcji. Gdy zatem zostaną wykorzystane do zaatakowania innego kraju, ludzie za tym stojący mogą być pociągnięci do odpowiedzialności. Jeżeli kraj staje się siedliskiem terrorystów oraz piratów i nic z tym nie robi, może zostać zaatakowany. A także – ci, którzy prowadzą wojny za pomocą komputerów, mogą zostać oskarżeni o zbrodnie wojenne jeśli celowo atakować będą obiekty cywilne.

Kim jest osoba nie będąca w armii? To dość delikatna kwestia. Wedle konwencji genewskiej żołnierz musi spełniać cztery kryteria: musi być pod czyimś dowództwem, nosić mundur dający się rozpoznać z daleka, w widoczny sposób nosić broń oraz stosować się do przepisów regulujących konflikty zbrojne. Każdy, kto nie spełnia tych warunków jest tylko „nieuprzywilejowanym bojownikiem” i ryzykuje możliwość uznania go za kryminalistę (może zostać zabity jako szpieg). Ustalenie, w jaki sposób prawa te odnoszą sie do ludzi uczestniczących w cyberatakch jest dość trudne. Co się stanie, gdy jakiś kraj wyśle jednostki specjalne do przeprowadzenia ataku na firmę komputerową w innym kraju, zajmującą się rozprzestrzenianiem malware? Czy jej pracownicy – prawdopodobnie w żaden sposób nieuzbrojeni – będą traktowani jako żołnierze? Co się z nimi stanie, gdy postanowią się poddać?

Poradnik z Tallina nie rości sobie praw do bycia rozstrzygającym. Jego autorzy przyznają, że trudno byłoby realizować w praktyce proponowane w nim zasady. Do jakiego bowiem stopnia państwo musiałoby przymykać oko na działalność hakerów, by uznać je za odpowiedzialne za ataki z jego terytorium? A co z państwami, które mają tylko częściową możliwość kontrolowania tego, co się dzieje – bo przykład kable, którymi przemieszczają się wirusy lub skradzione dane, leżą w jego granicach? Nie jest jasne, co konkretnie rozumie się przez zaangażowanie w tego typu działalność. Jeżeli kraj przypadkowo przyczyni się do jakiejś katastrofy na obcym terytorium – przykładowo w wyniku nieudolnie prowadzonej operacji szpiegowskiej – to czy daje to ofierze prawo do dokonania odwetu, tak jak by to było w przypadku działania umyślnego?

W pewnym sensie z podobnymi problemami borykamy się od dawna. Każdy nowy rodzaj broni rodzi pytania co do zasad jego użycia w konflikcie zbrojnym. Strzelanie do cywilów na polu bitwy jest zakazane. Dozwala się jednak, by ginęli oni w wyniku nalotów bombowych. Broń cyfrowa jest jednak nową jakością w zbrojeniu się. Jej rozwój jest ściśle związany z działalnością kryminalną. Jeśli nawet zorganizowane grupy przestępcze korzystają ze sprzętu wojskowego, wiadomo przecież, że nie został on wyprodukowany z myślą o nich; rządy mogą być spokojne, że istnieje zaledwie niewielkie prawdopodobieństwo, że w ręce gangsterów trafi nowy model czołgu. Sumienie tego, kto wymyśla kolejne rodzaje broni jest czyste: poszukuje on nowych sposobów walki z wrogiem, ale nie czyni przez to swych współobywateli bardziej narażonymi na niebezpieczeństwo. Jeżeli nie będzie w stanie opracować nic nowatorskiego, a zrobią to przeciwnicy, znajdzie się na słabszej (i zagrożonej) pozycji. „Skacząca bomba”, która pozwoliła Królewskim Siłom Powietrznym (RAF) zniszczyć niemieckie tamy na rzekach w Zagłębiu Ruhry w maju  1943 roku, nie wpłynęła na zasobność portfela rodziny Barnesa Wallisa [jej wynalazcy], ani na jego zdolność do zamykania drzwi do domu na noc.

Współczesna broń cyfrowa nie przypomina jednak „skaczącej bomby”. Odbija się ona bowiem w naszą stronę. Każda broń cyfrowa wykorzystuje słabości w działaniu komputerów. Musicie obejść systemy bezpieczeństwa, by podłożyć Wasz program w maszynie wroga. Następnie musicie pokonać jeszcze więcej zabezpieczeń, by dotrzeć z nim do miejsca przeznaczenia, w którym ma dokonać pożądanych zniszczeń. Program powinien, jeśli to możliwe, zacierać po sobie ślady na każdym kroku, co oznacza konieczność uchodzenia kolejnym warstwom ochronnym. Wówczas może zdobyć niezbędne uprawnienia, które pozwolą mu kasować dane wroga, niszczyć jego sieć energetyczną lub wprawiać wirówki jądrowe w fabrykach w niekontrolowany ruch, aż do ich uszkodzenia – wszystko to, czyniąc jednocześnie wysiłki, by pozostać niewidzialnym.

Dla ludzi zajmujących się działaniami wojennymi, szpiegostwem oraz bezpieczeństwem stwarza to potrójny dylemat. Jeżeli napotkacie lukę w sprzęcie bądź oprogramowaniu, możecie zrobić jedną z trzech rzeczy: wykorzystać ją w celach wywiadowczych, zmagazynować, by wykorzystać z czasem w charakterze broni cyfrowej lub powiadomić o niej producenta, który dla dobra publicznego naprawi wadę.

Gdyby bezpieczeństwo komputerowe było naszym priorytetem, każdy mieszkaniec świata, który odkryłby dziurę zero-day w danym programie, natychmiast zgłaszałby ten fakt producentowi. Można to porównać do naszego wyobrażania o zdrowiu publicznym: gdy opłacany z rządowych środków naukowiec odkryje nowego wirusa, który wywołuje ciężkie choroby u mieszkańców krajów Trzeciego Świata, nie zaczyna przecież zastanawiać się jak wykorzystać go w charakterze broni biologicznej. Odpowiedzialnym zachowaniem jest w tym przypadku przebadanie wirusa pod kątem możliwości wyprodukowania szczepionki przeciwko niemu bądź opracowanie sposobu leczenia, a także ustalenie jakie inne środki bezpieczeństwa należałoby podjąć, by ograniczyć jego rozprzestrzenianie się.

W przypadku broni cyfrowej władze mają dwa znoszące się priorytety. Jednym z nich jest ochrona obywateli. To sprawia, że w interesie rządu jest, by wszystkie luki w sprzęcie i programach były jak najszybciej wykrywane i naprawiane. Drugim natomiast jest konieczność zyskiwania przewagi nad wrogami.

Próbując realizować je oba, rządy polegają zwykle na metodzie określanej jako „bezpieczeństwo poprzez chaos”. Polega ona na tym, by wynajdywać wystarczająco rzadkie wady systemowe i łączyć je w unikalny sposób w trakcie ataku. Pozwala to zagrozić wrogowi a jednocześnie pozostać względnie bezpiecznym. Rozwiązanie wydaje się dość komfortowe, aczkolwiek mało realistyczne. Po pierwsze, nie wiemy, jak długo owe luki i ich kombinacja pozostaną poza zasięgiem przeciwnika. Po drugie, mogą powstać inne kombinacje częściowo oparte na wykrytych przez nas i połączone z nowymi, których sami nie znamy.

Broń cyfrowa jest zatem obecnie bardziej niebezpieczna od broni biologicznej. Jeśli wyhodujecie niebezpieczną bakterię w celu użycia jej przeciwko wrogom, możecie jednocześnie opracować i trzymać w gotowości szczepionkę dla swych obywateli (choć oczywiście będziecie tym zachowaniem łamać międzynarodowe traktaty zabraniające użycia broni tego typu). Nie da się jednak opracować szczepionki na broń cyfrową. Gdy tylko użyjecie danego rodzaju broni, druga strona od razu się o tym dowie i także zacznie go używać.

Kolejna sprawa, że nigdy nie możecie być pewni, czy Wasza broń będzie sprawna w momencie przeprowadzenia ataku. Na etapie produkcji może ona jeszcze działać perfekcyjnie (a wróg nie będzie miał o niej pojęcia). Ale jak długo to potrwa? Jeżeli kupiliście wiedzę o jakiejś wadzie systemu, którą można wykorzystać, nigdy nie możecie mieć pewności, że haker, który ją Wam sprzedał, utrzyma ją w tajemnicy. Natomiast jeżeli odkryliście ją sami, nie możecie być pewni, że ktoś inny nie odkryje tego samego. Większość zaawansowanych broni cyfrowych wykorzystuje jednocześnie kilka luk w systemie – jedną w celu wprowadzenia wirusa, drugą w celu zamaskowania go, trzecią, by umożliwić mu rozprzestrzenianie się, czwartą do dokonywania zniszczeń oraz piątą w celu wygenerowania sprawozdania z przebiegu operacji. Gdy jeden element zawodzi, wszystkie inne stają się bezużyteczne.

To czyni sytuację trwale niestabilną. Jeśli wynajdziecie nowy rodzaj broni cyfrowej, lepiej wykorzystajcie ją jak najszybciej, gdyż jest ona najsilniejsza w tym właśnie momencie, w którym zostaje odkryta. Każdy dzień zwłoki może sprawić, że stanie się bezużyteczna. Ta zasada nie ma zastosowania do żadnego innego rodzaju uzbrojenia. Konwencjonalna broń także się starzeje – aczkolwiek jest to bardzo powolny proces. Rzadko kiedy tracą funkcjonalność wszystkie dostępne rodzaje broni konwencjonalnej naraz; nawet jeśli przeciwnik posiada środki obrony. W najgorszym przypadku trzeba zwiększyć ilość uzbrojenia, tak by można było przedrzeć się na terytorium wroga i osiągnąć cel.

Prawdziwa broń ma także inne zalety. Przede wszystkim groźnie się prezentuje. Zamiast atakować obce mocarstwo, można więc nastraszyć je, przeprowadzając testy rakiet balistycznych czy manewry wojskowe niedaleko granicy. Można też zorganizować paradę sprzętu artyleryjskiego w święto narodowe, tak jak to robi Rosja na Placu Czerwonym w maju każdego roku.

Broń cyfrowa to co innego. Gdy zdradzimy chociażby najmniejszy aspekt jej funkcjonowania, drastycznie zmniejszamy jej szanse na bycie efektywną. Przykładowo: jeżeli nasz wirus wykorzystuje Internet Explorer, przeciwnik przerzuci się na inną przeglądarkę. Jeśli wirus zagnieżdża się w konkretnym podzespole, przeciwnik wymieni oprogramowanie lub sprzęt na konkurencyjny do marki, którą posiada. Uprawnione jest natomiast czynienie aluzji do naszego rozbudowanego arsenału broni cyfrowej. Kraje takie jak Wielka Brytania, która bardzo mało mówiła na temat swoich możliwości ofensywnych na tym polu, dziś z przyjemnością głosi, że nieustannie trwają prace nad poszerzaniem ich. Możecie zapowiadać, że Wasz cyfrowy arsenał sparaliżuje komunikację wroga, unieszkodliwi jego sieć energetyczną bądź zablokuje systemy bankowe. Trudno przewidzieć efekty tego typu oświadczeń. Wasi wrogowie mogą pomyśleć, że blefujecie lub przestraszyć się na tyle, by podjąć działania, które mogą istotnie Wam zagrozić.

To znacząco utrudnia kontrolę zbrojeń. Przez ostatnich kilkadziesiąt lat wszystkie kraje doskonale radzą sobie z konwencjonalnym uzbrojeniem. Mamy systemy weryfikacji, inspekcje (niezapowiedziane oraz ogłaszane) oraz listę kategorii służącą od określenia, jaką rolę pełni dany rodzaj broni w całym arsenale. Mamy również traktaty zakazujące używania bądź przeprowadzania testów broni nuklearnej oraz jesteśmy blisko wypracowania zasad dotyczących używania broni w kosmosie – np. satelitów, które mogą niszczyć inne satelity (lub bezpośrednio atakować cele naziemne). Nie ma to jednak zastosowania w przypadku broni cyfrowej. Tak jak nie mamy pojęcia, co jest sprawiedliwe, a co nie, nie jesteśmy też w stanie sprawdzić, czy dysponujemy przewagą nad naszym wrogiem. Nie mamy możliwości przetestowania naszej broni, gdyż mogłoby to drastycznie zmniejszyć jej szanse na bycie użyteczną w prawdziwym ataku. Możemy oczywiście próbować wykorzystać do tego zasoby ludzkie (np. wysyłać „staromodnych” szpiegów w celu infiltracji cyfrowego arsenału przeciwnika), ale nawet ich działania prawdopodobnie nie dadzą nam jednoznacznej odpowiedzi na nasze wątpliwości. W czasach, gdy rywalizujące z sobą kraje myślą o sobie w najgorszych kategoriach, jest to bardzo niebezpieczna sytuacja. Jak pisze Martin Libicki z Rand Corporation:

Ludzka intuicja na temat tego, jak co działa w fizycznym świecie nie zawsze przekłada się na ten wirtualny. Zrozumienie efektów cyberoperacji, czy nawet stwierdzenie faktu, że jest ona przeprowadzana, może być trudne. Źródło ataku może nie być do końca oczywiste: atakujący musi przyznać się do niego lub obrońca sam musi go komuś przypisać.

Nawet jeśli fakty są oczywiste, ich interpretacje mogą nie być jasne: jeśli natomiast jedne i drugie są dość oczywiste, nie oznacza to, że decydenci potrafią je dobrze zrozumieć[11].

Jeśli myślicie, że jesteście słabsi od Waszego przeciwnika, możecie zdecydować się na wyprodukowanie broni cyfrowej o wyjątkowo wielkiej niszczącej mocy – na przykład wypracowując nowe możliwości ataku na cywilną infrastrukturę. Możecie też myśleć, że lepiej by było wykonać silny atak z zaskoczenia teraz, niż czekać aż zostaniecie zaatakowani z przeważającą siłą. Ciężko jest odczytać intencje wroga. Badanie możliwości obronnych przeciwnika może zostać odczytane jako zbyt odważny rekonesans lub nawet akt wypowiedzenia wojny. Granica pomiędzy działaniami wywiadowczymi a prowadzeniem wojny jest całkowicie rozmyta. Czy Wasz przeciwnik próbuje przechwycić Waszą komunikację, czy przygotowuje się do sabotażu? Libicki dodaje:

Być może częstotliwość oraz wymiar eksploatacji przekracza jakieś niejasne granice, lub hakerzy po prostu popełniają błąd, dobierając się do systemów w celu sprawdzenia, jak funkcjonują, przypadkowo coś psując.

Dodajmy do tego kolejny problem, o którym wspomnieliśmy wcześniej: przypisywanie winy. Możecie być świadomi (jeśli macie wystarczająco dużo szczęścia), że komputery w Waszym kraju oraz sieci są poddane obcej ingerencji. Trudno Wam jednak będzie ustalić, czy chodzi o szpiegostwo, czy działanie o charakterze wojennym, a także kto jest winowajcą. Źródłem takiej operacji może być komputer w kraju, który uważacie za wroga – ale nie możecie do końca mieć pewności, czy rząd tego kraju ma z tym cokolwiek wspólnego. Być może po prostu atakujący po prostu przejął kontrolę nad maszyną w danym państwie.

Radzenie sobie z tego typu sytuacją może być trudne. Żądania przejrzystości w działaniach oraz powstrzymania się od agresji mogą w rezultacie być kierowane do niewłaściwej osoby. W październiku 1962 roku prezydent John F. Kennedy wiedział, że sowieckie okręty bojowe płyną w kierunku Kuby. Nie było cienia wątpliwości, iż nie są to chińskie statki. Kennedy mógł więc porozmawiać z Kremlem i poprzez negocjacje oraz groźby zapobiec eskalacji. W przypadku wojny prowadzonej przez komputery jest to o wiele trudniejsze. Być może Rosjanie wynajęli chińskich hakerów lub Chińczycy rosyjskich, ale równie dobrze to Irańczycy mogli skorzystać z usług obu grup. Kto wie?

Rozwaga działa w obie strony. Z jednej strony byłoby nierozważnie nie zareagować na intruza – nie zwiększyć środków ostrożności lub nie przeprowadzić dochodzenia. Jeśli jednak druga strona raz źle odczytała nasze intencje, nasze zachowanie może wydać jej się kolejnym aktem agresji, i potwierdzić jej podejrzenia. Natomiast jeśli nie zareagujemy dostatecznie szybko, wystawimy się na wielkie ryzyko: załóżmy, że wykryte działanie intruza jest pierwszym stadium prawdziwego ataku. Możemy mieć tylko minuty na reakcję zanim będzie za późno.

Martin Libicki daje siedem rekomendacji. Po pierwsze, należy upewnić się, czy dany atak jest aktem wojny. Jak słusznie zauważa, chodzi o „decyzję, a nie o konstatację”. Gdy postanowimy, że jesteśmy w stanie wojny, eskalacja konfliktu jest nieunikniona. Nie wszystkie ataki przeprowadzone z terenu innego kraju mają charakter militarny. Jak już wspomnieliśmy, granica między działaniami wywiadowczymi a atakiem wojskowym jest rozmyta. Szpiegostwo jest nierozłączną częścią rywalizacji gospodarczej i handlowej. Może służyć kradzieży własności intelektualnej, by zabezpieczyć przewagę konkurencyjną spółek działających w danym kraju, lub też pozyskiwaniu wiedzy o procesie decyzyjnym w kwestiach finansowych, np. polityki monetarnej. Nawet jeśli efekty ataku na komputery oraz sieć mają realne, fizyczne skutki, nie są one koniecznie aktem wojny. Zakłócenie pracy komputerów może sprawić, że życie w mieście stanie się niemożliwe, jednak nie jest ono równoznaczne z okupacją wojskową, nie ma mocy obalania rządów i nie zabija ludzi. Skuteczną odpowiedzią na tego typu działanie byłoby wyłapanie luk w zabezpieczeniach, z jakich korzystał napastnik, i naprawienie ich. Jeżeli Wasza sieć energetyczna, telekomunikacyjna oraz systemy komunikacji rządowej są dostatecznie odporne bądź łatwe do naprawienia, broń przeciwnika staje się bezużyteczna. Normalne życie toczy się dalej. W tym sensie atak przeprowadzony na sieci komputerowe jest czymś zupełnie innym niż taki, który zakłada użycie materiałów wybuchowych i hartowanej stali. Taki, w którym fizyczne zniszczenia i ofiary w ludziach są wręcz nieuniknione.

Decyzja o tym, czy jesteśmy w stanie wojny, nie jest więc łatwa do podjęcia. Kraje mają do niej prawo nawet jeśli nie oddany został jeszcze pierwszy strzał: za akt agresji uznaje się już blokadę portu czy rozlokowanie min w wodach przybrzeżnych, a także zakłócanie radarów obrony powietrznej innego kraju. Sęk w tym, że decydenci mają prawo wyboru – mogą odpowiedzieć na prowokację lub nie.

Ważne jest, by nie podejmować takich decyzji zbyt pochopnie. Teoretycznie już pierwszy atak cyfrowy może być totalnie wyniszczający. Lecz jest to tak naprawdę bardzo mało prawdopodobne. Nie jest to przecież broń atomowa, której użycie mogłoby całkowicie uniemożliwić kontratak. Obrona przed atakiem jądrowym jest bardzo kosztowna i skomplikowana. Nawet jeśli wybudujemy schrony dla całej populacji, zniszczenia spowodowane wybuchem będą straszne. Natomiast obrona przed cyberatakami jest wyłącznie kwestią organizacji oraz dyscypliny. Bardzo wytrzymały i dobrze zabezpieczony system sieci komputerowej może być drogi oraz niewygodny w utrzymaniu, nie oznacza jednak wyrzucania pieniędzy w błoto (w przeciwieństwie do utrzymywania schronów nuklearnych). Nie mówiąc już o tym, że będzie chronił kraj również przed aktami chuligaństwa i działalnością zorganizowanych grup przestępczych.

Tego rodzaju działania wojenne, jak pisze Libicki, wymagają umiejętności budowania odpowiedniej narracji. Musicie umieć wytłumaczyć swoim obywatelom, co się dzieje, jednocześnie przedstawiając to tak, by właściwie Was zrozumiano. Czasem wymaga to pewnego poziomu dyskrecji (np. co do natury własnego arsenału cyfrowego lub uznawanych za najskuteczniejsze strategii ataku). Ważne jest, by widzieć – oraz wyjaśnić – co chcecie osiągnąć, oraz o co toczy się gra. Czy, przykładowo, obawiacie się pierwszego ataku, czy (co bardziej prawdopodobne) tego, co może nastąpić po nim?

Jeżeli ktoś próbuje wybadać komputery Waszej sieci energetycznej, jest to co najmniej irytujące. Lecz gdy zorientuje się on, że Wasze zabezpieczenia są silne, jest to dla niego ważna informacja. Może to zniechęcić do przeprowadzania kolejnych działań. Wstępny atak może też być dobrą lekcją dla Waszych obywateli. Na pewno wezmą Wasze ostrzeżenia serio, gdy zobaczą, ile kosztuje ich nieostrożność.

Rządy krajowe muszą zdecydować, jak bardzo chcą nagłaśniać każdą aferę. Jeżeli potraktujemy atak jako narodową katastrofę, spowoduje to, że obywatele będą oczekiwać w odpowiedzi odwetu: duma narodowa oraz wiarygodność będą zagrożone. Bardziej sensownym wyjściem może więc okazać się uznanie działań hakerów za zwykłą uciążliwość oraz oznakę słabości – oczywiście wroga. Silny kraj może radzić sobie z atakami na swoje systemy komputerowe tak samo, jak radzi sobie z konkurencją ekonomiczną oraz polityczną.

Dobrze zaplanowane przedstawienie sytuacji pomaga kształtować jej przebieg oraz skutki. Rządy muszą wytłumaczyć, dlaczego atak miał miejsce – czy było to działanie jakiejś grupy przestępczej, czy też kraju, który ma pewną agendę polityczną, a może chodziło o jakieś porachunki? Być może był to rezultat błędnej oceny sytuacji? Oferowanie atakującemu możliwości wycofania się z jego działań z godnością może okazać się mądrzejsze niż odwet z użyciem prawdziwej broni.

Zasady określające działania wojenne za pomocą komputerów stale powstają, lecz najbardziej pożyteczne konwencje dotyczą zapobiegania eskalacjom. Budują one zaufanie i poprawiają relacje – tak jak w przypadku trwającej od czasów zimnej wojny współpracy Wschodu z Zachodem nad system weryfikacji oraz ograniczaniem arsenału nuklearnego. Na tej samej zasadzie, celowa byłaby kooperacja w zakresie prowadzenia dochodzeń oraz ścigania przestępstw w internecie. Dzięki temu łatwiej byłoby określać, czy to, co postrzegamy jako atak, było aktywnie finansowane przez oddziały zbrojne wroga, czy zostało przeprowadzone przez niezależny podmiot – aczkolwiek przy cichej aprobacie rządu wrogiego kraju, czy też stanowiło po prostu wybryk jednostki bez wsparcia z jakiejkolwiek strony.

Kraj, który świadomie udziela azylu przestępcom, jest o wiele mniej godny zaufania niż taki, który ich ściga.

Krokiem w dobrą stronę byłoby porozumienie o nie prowadzeniu działań wywiadowczych wewnątrz publicznej infrastruktury, takiej jak gaz, elektryczność, wodociągi czy systemy kanalizacyjne. Wszystkie one są potencjalnymi celami wojskowymi. Włamywanie się do sieci oraz komputerów zarządzających nimi w celu przygotowania gruntu pod przyszły atak mogłoby – nawet przypadkowo – uszkodzić ich sposób działania lub stworzyć luki wykorzystane później przez przestępców i chuliganów.

Dla komputerowych działań wojennych charakterystyczne jest, że skutki aktywności hakera, to, co wydaje mu się, że zrobił, oraz to, co ofiara sądzi, że się stało, mogą nie mieć z sobą nic wspólnego. Podobnie, gdy broniący się uważa, iż działa w odwecie, atakujący może mieć zupełnie inne zdanie. Libicki twierdzi, że obrońca może sądzić, iż na karygodną próbę ataku odpowiedział w mało inwazyjny sposób. Atakujący tymczasem może uważać, że odpowiedź była nieproporcjonalnie ostra do jego delikatnego działania.

Wyobraźcie sobie, że jesteście, przykładowo, odpowiedzialni za obronę narodową Rosji i właśnie odkryliście, że ktoś włamał się do jednej z najważniejszych sieci w kraju – choćby tej, która jest odpowiedzialna za komunikację z arsenałem nuklearnym mocarstwa. Intruz majstrował przy programach służących do ich użycia w sposób nie do końca zrozumiały. Natomiast Wasze dochodzenie prowadzi do wniosku, że podłożył on wirusa, który będzie sabotować cały system w przypadku kryzysu. Jesteście wściekli. Zakładacie oczywiście, że to robota Amerykanów. Uruchamiacie procedury alarmowe, przełączając całą kontrolę nad arsenałem na bardziej prosty, aczkolwiek bezpieczniejszy system. Daje on Wam mniejsze pole manewru, ale możecie na nim polegać. Jednocześnie odpowiadacie agresywnie, sondując systemy przeciwnika oraz wykonując kilka mniejszych ataków, by pokazać mu, że możesz zrobić to samo.

Amerykanie jednak nie widzą tego w ten sposób. Ich dowódcy wojskowi są zdumieni Waszym zachowaniem. Tak naprawdę bowiem to amerykańscy szpiedzy – pracujący niezależnie od wojska – podłożyli coś w Waszym systemie kontroli broni nuklearnej. To sekretny mechanizm wczesnego ostrzegania, który ma ich poinformować, gdy Twoja broń jądrowa przejdzie w stan gotowości bojowej. W oczach Amerykanów to zupełnie normalny element pracy szpiegowskiej – nie groźniejszy niż podłożenie mikrofonu w bunkrze pod Kremlem.

Co więcej, amerykańska operacja szpiegowska na rosyjskiej sieci okazuje się być tak utajniona, że praktycznie nikt z dowództwa wojskowego nie ma o niej pojęcia. Amerykańscy generałowie są wściekli. Martwi ich niesprowokowany atak na ich komputery oraz nagła zmiana rosyjskiego systemu kontroli broni jądrowej na taki, którego nie mogą monitorować. Na pierwszy rzut oka wygląda to jak przygotowania do przeprowadzenia ataku nuklearnego na Stany Zjednoczone. Odpowiadają więc postawieniem swoich wojsk w stan gotowości – nie chcą wszakże stać się łatwym celem potencjalnego rosyjskiego ataku.

Z rosyjskiego punktu widzenia jest to kolejny przejaw agresji. Najpierw Amerykanie włamują się do kluczowej dla bezpieczeństwa kraju sieci wojskowej w celu przeprowadzenia sabotażu. Potem stawiają swoje wojsko w stan gotowości. Najlepszym wyjściem dla Rosji zdaje się więc podobna odpowiedź – a być może nawet, na wszelki wypadek, przeprowadzenie testu rakietowego.

Łatwo dostrzec, jak zwykłe nieporozumienie może zaowocować eskalacją konfliktu. W czasach staromodnej „kinetycznej” (prawdziwej) broni takie sytuacje również się zdarzały, aczkolwiek złożona sieć środków budujących zaufanie w postaci porozumień, bezpośrednich kanałów komunikacji oraz obserwatorów pomagała redukować liczbę spięć. W przypadku broni cyfrowej – tej wystrzeliwanej oraz celowanej w komputery oraz sieci – należy postarać się o coś podobnego.

Wskazówką może być to, w jaki sposób wypracowywane są prawa międzynarodowe. Z pewnością priorytetem powinno być ustalenie norm – czyli ogólnie akceptowalnych zachowań – związanych ze stosowaniem tego nowego środka w arsenale bojowym. Jednakże nie tylko relacje międzynarodowe muszą dostosować się do potencjalnych możliwości nowych technologii. Przede wszystkim powinniśmy zacząć od naszego codziennego życia. Jak napisał w 1926 roku fizyk oraz wybitny wizjoner Nikola Tesla:

Gdy sieć bezprzewodowa osiągnie swój pełny potencjał, cały świat zamieni się w jeden wielki mózg... natomiast instrumenty, które nam do tego celu posłużą, będą zdumiewająco proste w porównaniu ze współczesnym telefonem. Każdy człowiek będzie w stanie nosić jeden taki w kieszeni marynarki[12].

Aczkolwiek owe kieszonkowe urządzenia, choć służą między innymi naszej wygodzie, nie są jedynie dobrodziejstwem. Są też istnym koszmarem, jeśli chodzi o nasze bezpieczeństwo.

Rozdział 7
Kieszonkowy szpieg

T xelefony komórkowe pozwalają prawdopodobnie na najbardziej wyszukane i masowe ataki na prywatność i anonimowość, jakie można sobie wyobrazić. Największe korzyści przynoszą rządom. Jeżeli możecie z mocy prawa zyskać dostęp do rejestrów firm telekomunikacyjnych, Wasze telefoniczne cele stają się wręcz sygnałami nawigacyjnymi wskazującymi dokładnie swą lokalizację. Za pomocą kilku prostych usprawnień telefon może stać się też przekazującym rozmowy mikrofonem, a przy zastosowaniu bardziej wyrafinowanych środków może być źródłem infekcji innego urządzenia (takiego, z którym ma styczność). Przy czym nie ma znaczenia, czy telefon ofiary jest włączony, czy nie. Ważne, żeby miał baterię[1].

John Bayliss, były urzędnik wyższego szczebla w GCHQ (brytyjskie służby specjalne zajmujące się zbieraniem i oceną informacji), który jest obecnie konsultantem ds. bezpieczeństwa, w swych pasjonujących prezentacjach na konferencjach przedstawia zastosowania produktów dostępnych na rynku. Zwykle na początku demonstruje, w jaki sposób telefon, nie dając żadnego znaku, może nagle stać się aktywnym mikrofonem, a do tego przesłać rozmowę poprzez połączenie lub (w przypadku niektórych urządzeń) zapisać ją i wysłać potajemnie e-mailem do zleceniodawcy. Podczas jednej z prezentacji w Londynie przyglądałem się występowi tego sympatycznego człowieka, nieco przy kości, z niesforną kępą siwych włosów. Bayliss przekazał telefon jednemu z uczestników spotkania. Poprosił go, by upewnił się, że urządzenie jest wyłączone, a następnie by cicho do niego przemówił. Głos tego człowieka rozległ się w głośnikach ustawionych na scenie. Następnie Bayliss zaprezentował, jak może śledzić ruchy swojej żony za pomocą dostępnego na rynku produktu zaprojektowanego do namierzania skradzionych aparatów. Zainstalował program na urządzeniu małżonki, ale wyłączył funkcję, która informowałaby ją o tym, że jest on wgrany na jej urządzeniu. Kobieta sądzi, że z jej telefonem nie dzieje się nic złego. Bayliss może jednak podglądać jej ruchy na swoim komputerze, kiedy tylko zechce. Taki program wymaga regularnej autoryzacji, realizowanej poprzez SMS. Jednak żona Baylissa nie otrzymuje wiadomości z systemu. Jej mąż wgrał bowiem jeszcze inny program, który sprawia, że SMS-y kierowane na numer małżonki przychodzą najpierw do niego. To on decyduje, czy je do niej odesłać, czy nie. Ma też wgląd w jej SMS-y wychodzące. Małżonka Baylissa nie wie także tego. No, może czasem zwraca uwagę na opóźnienie wynikające z tego, że Bayliss zapomni odesłać wiadomość. Winą za to obarcza jednak operatora. Nikt z nas nie oczekuje przecież, że nasze urządzenia elektroniczne będą działały bez zarzutu. Bayliss zainstalował jeszcze jedną funkcję – za każdym razem, gdy jego żona wykonuje połączenie bądź je odbiera, on otrzymuje SMS powiadamiający go o tym.

Bayliss kończy swoje prezentacje wyjaśniając, że oczywiście nie śledzi swojej żony. Zwraca jednak uwagę na fakt, że żadna z jego sztuczek nie wymaga posiadania tajnego i zaawansowanego oprogramowania, do którego dostęp mógłby zawdzięczać wyłącznie byłemu pracodawcy, GCHQ. Wszystko to da się zrobić przy użyciu dostępnych od ręki produktów. Jedynym wyzwaniem stojącym na drodze tego, kto atakuje, jest instalacja oprogramowania w telefonie ofiary. Okazuje się, że może być ono dostarczone w przesłanym zdjęciu lub nawet w odpowiednio przygotowanej wiadomości tekstowej. Najprostszym rozwiązaniem jest uzyskanie na kilka minut dostępu do telefonu [ofiary] pod jakimś pretekstem i ściągnięcie programu z internetu. Zastanówcie się więc dobrze, gdy następnym razem ktoś opowie Wam rzewną historyjkę i poprosi o możliwość skorzystania z Waszego aparatu. Telefony mogą być używane nie tylko do przechwytywania wiadomości, lecz także do sprawiania, by ważne wiadomości nigdy nie docierały do celu. Przypomnijcie sobie, w jaki sposób obrabowano konto Pin Hakhett. Roztropnie uzgodniła ona ze swoim bankiem, że poza podaniem hasła do konta bankowości elektronicznej, będzie też otrzymywać kody SMS do autoryzowania każdej transakcji – jest to „uwierzytelnienie dwuetapowe”. Haker sobie z tym poradził, infekując jej komputer i telefon – przesłał na jej numer fałszywą wiadomość od banku z żądaniem kliknięcia w link, pod którym znajdowało się rzekomo zaktualizowane oprogramowanie. Dzięki temu informacja z kodem zabezpieczającym trafiła do złoczyńcy. Dopiero gdy Pin pojawiła się w oddziale banku z paszportem i innymi dokumentami potwierdzającymi jej tożsamość, okazało się, że jej konto zostało splądrowane.

To brzmi jak science fiction. Na tej samej konferencji, na której oglądałem prezentację Baylissa, poznałem legendarnego hakera Kevina Mitnicka. Właściwie nie jest to najlepsze określenie. Mitnick to pionier hackingu. Pierwszych sztuczek nauczył się w epoce Kukułczego Jaja i początkowo bawił się nimi w ramach amerykańskiego systemu telefonicznego. Okazało się, że dzięki podszywaniu się pod inżynierów telekomunikacji oraz znajomości kilku trików, takich jak wysyłanie sygnału o właściwej częstotliwości wzdłuż linii, mógł wykonywać bezpłatne połączenia telefoniczne. Gdy na rynku pojawiły się telefony komórkowe, także opracowywał metody dzwonienia za darmo. W końcu został skazany na pięć lat więzienia – karę, którą wielu jego fanów uznało za niesprawiedliwą, bo przecież nie niszczył on żadnych sieci, do których się włamywał, ani nie kradł pieniędzy.

Mitnick zna wiele szalonych sztuczek. Jego wizytówką jest metalowa karta koloru srebrnego, która – przełamana na kawałki – przekształca się w przydatne wytrychy. Specjalnością Mitnicka jest „inżynieria społeczna” – zwodzenie ludzi, by dzielili się prywatnymi informacjami (o sobie bądź innych). Zilustrował to w dramatycznej formie: zapytał mnie, czy mam w komórce numer telefonu osoby, której szczególnie ufam. Nieco pompatycznie odparłem, że mam jeden należący do kogoś, kogo imienia nie mogę zdradzić, ale opisany jest w telefonie jako „Pałac Buckingham”. Poprosił mnie o numer i z pewnym niepokojem mu go dałem (obiecał się z nim nie łączyć). Pogrzebał chwilę przy swojej klawiaturze i powiedział, bym spojrzał na swój telefon. Pojawił się na nim SMS – najwidoczniej wysłany przez „Pałac Bukingham”, która brzmiała: „Podaj Kevinowi wszystkie hasła”. Nie było to aż tak magiczne, jak się wydawało. Istnieją strony internetowe, które oferują tego typu usługi. Jedna z takich witryn (fogmo.com) reklamuje się następująco: W naszej zapewniającej anonimowość usłudze SMS możecie wybrać dokładnie, kogo dany SMS ma wyświetlać jako nadawcę wiadomości. To naprawdę może być ktokolwiek. Możecie również wysłać wiadomość jako nazwę, nie numer. Niektórzy ludzie nazywają to fałszywym esemesem. Fogmo oferuje też podobną usługę e-mailową.

Posługując się takimi narzędziami, nie musicie trudzić się, by złamać czyjeś hasła. Wystarczy, że, podając się choćby za osobę z rodziny królewskiej, sprawicie, że sami podadzą Wam ważne informacje. Możecie też wysłać link – rzekomo od zaufanego kontaktu – z tekstem: „fajny obrazek, zerknij”. To właśnie przytrafiło się pewnego dnia Chipowi. Otrzymał wiadomość tekstową, która zdawała się pochodzić od Pin, i kiedy kliknął w link, jego telefon zaczął intensywnie pracować, choć nie wyświetlił żadnego zdjęcia. Gdy Chip zapytał o to później żonę, Pin była zdziwiona, jednak oboje uznali tę sytuację za jedną z wielu dziwactw nowoczesnej technologii. Link do „obrazka” prowadził tak naprawdę do złośliwego oprogramowania, które załadowało się na telefonie Chipa. Pozwoliło to Hakerowi przejąć SMS-y przychodzące, a także pobrać listę kontaktów mężczyzny. Intruz zyskał tym samym możliwość zaatakowania wszystkich przyjaciół i współpracowników Chipa.

Przy obecnych możliwościach producenci telefonów komórkowych przegrywają walkę z mobilnym złośliwym oprogramowaniem. Aparaty z systemem Android są szczególnie narażone. Każdy może stworzyć oprogramowanie, które działa na tych urządzeniach. Instalacja programu jest znacznie trudniejsza w przypadku Apple, ponieważ firma wnikliwie analizuje wszystkie „apki” (aplikacje telefoniczne), zanim znajdą się one w obiegu. Narzędzia opisane powyżej są banalne w porównaniu z tymi wykorzystywanymi przez bardziej podstępnych hakerów. W ataku odkrytym przez firmę FireEye we wrześniu  2014 roku, za pomocą malware o nazwie Korbanker[1] z 96 urządzeń – telefonów z systemem Android – przechwycono 10 tys. wiadomości. SMS-y te zawierały właśnie kody uwierzytelniające. Złośliwe oprogramowanie zwane AndroRAT może dać osobie z zewnątrz kontrolę nad smartfonem z oprogramowaniem Android – użytkownik może nie zdawać sobie sprawy, że padł ofiarą hakera, póki nie odkryje, że jego konto bankowe zostało opróżnione i nie zobaczy komornika, którzy zapuka do niego w sprawie długów. Jeżeli telefon w Waszej kieszeni może przysporzyć takich problemów, to przenośne urządzenie pamięci może zaszkodzić Wam w inny sposób. Wygoda, jak się okazuje, wygrywa w rywalizacji z bezpieczeństwem. Nasze pierwsze lata użytkowania komputerów osobistych (PC) charakteryzowały się tym, że trudno było skomunikować jedną maszynę z inną. Trzeba było instalować w nich specjalne fragmenty programów (sterowniki) i narzędzia do optymalizacji działania systemu. Gdy komputer zaczął w końcu pracować z jakimś urządzeniem – powiedzmy drukarką – często zawieszał pracę z innymi. Dzisiejsze czasy to już era „podłącz i baw się” – użytkownicy współczesnych maszyn oczekują, że będą mogli podpiąć do komputera wszystko, a co więcej, że każde urządzenie będzie działać niemal natychmiast, i do tego sprawnie. Kluczem jest złącze USB – zaprojektowane tak, by było łatwe w obsłudze i przyjazne dla użytkownika. Komputery są tak skonfigurowane, by akceptować USB nawet, gdy zachowuje się w sposób dziwny, ponieważ urządzenia z tym złączem często mają wiele funkcji: na przykład kamera czy zestaw słuchawkowy mogą mieć wbudowany mikrofon. Komputer stara się sobie z tym radzić i dostosowuje się, przyjmując tyle urządzeń USB, ile życzy sobie użytkownik. Port USB (lub Universal Serial Bus) jest standardowym złączem komunikacyjnym dla różnego rodzaju urządzeń peryferyjnych wymagających niewielkiej mocy. Dzięki USB możecie połączyć do komputera mysz i klawiaturę, a także wiele innych sprzętów, od banalnych (czytniki kart pamięci) po egzotyczne czy wręcz dziwaczne (wiatraki, gadżety pulpitu, a nawet małe zamrażarki i podgrzewacze do kubków z kawą). Wielu ludzi korzysta z USB, by ładować swe urządzenia przenośne, takie jak odtwarzacze muzyki i telefony (robią to z grzeczności, gdy ich ktoś poprosi) – to prawdopodobnie najmniej bezpieczne zastosowanie. Odpowiednikiem USB w świecie rzeczywistym (zwłaszcza w czasach, gdy palenie było bardziej powszechne) mogłaby być zapalniczka – także występująca w zróżnicowanych rozmiarach i formach, od praktycznych po wymyślne. Z punktu widzenia technologii mamy np. stare Zippo, z kamieniem i benzyną, oraz nowoczesne zapalniczki wypełnione gazem. Wszystkie je łączy fakt, że są (bez sentymentów) wymienne. Gdy korzystamy z zapalniczki znajomego, nie boimy się, że się czymś zarazimy albo że zapalniczka wybuchnie nam w twarz. Wiele osób okazuje podobną beztroskę, gdy są proszone o podłączenie na kilka minut do komputera telefonu znajomego celem podładowania baterii.

Jak wykazali w trakcie konferencji Black Hat w Los Angeles w 2014 roku eksperci z Security Labs Research (niemiecka firma specjalizująca się w bezpieczeństwie cyfrowym), port USB jest jedną z istotniejszych dziur w bezpieczeństwie komputerowym[2]. Oznacza to, że ochrona typu air-gap – polegająca na tym, iż komputer bądź sieć są odizolowane od internetu – nie stanowi już idealnego zabezpieczenia. Nie jest to jedynie wina USB: kompetentny złoczyńa może posłużyć się jakimkolwiek odpowiednio spreparowanym telefonem komórkowym do przeprowadzenia ataku na komputer, który nie jest podłączony do sieci. Zresztą każda maszyna wymaga podłączenia do sieci od czasu do czasu, choćy po to, by zaktualizować oprogramowanie czy pobrać dane potrzebne do pracy. Tworzy to automatycznie przestrzeń dla przestępców. Jeśli widzicie, że ktoś regularnie podłącza przenośne urządzenie pamięci do komputera, Waszym celem staje się owo urządzenie, a nie sam komputer. Zaczynacie zastanawiać się, czy możecie przechwycić dysk USB, a gdy nie macie do niego dostępu, to chociaż ten drugi komputer, do którego bywa on podłączany.

Lepiej poinformowani użytkownicy mają świadomość, że powinni wykonywać skan urządzenia USB, zanim go użyją. To jednak nie wystarcza. Programy antywirusowe mogą próbować przeszukać USB, nie mogą jednak skanować jego wbudowanego oprogramowania (firmware) zapewniającego podstawowe procedury obsługi urządzenia (np. myszki, klawiatury, kamerki internetowej itd.). W trakcie konferencji Black Hat naukowcy pokazali, jak można przejąć kontrolę nad komputerem, używając do tego urządzenia pamięci, pozornie zupełnie pustego – nic nie było tam wgrane. Zagrożenie czaiło się w oprogramowaniu własnym. Gdy przebiegłe USB zmienia swe oblicze, stając się złośliwe, jedyne, co możemy zaobserwować, to pojawiające się okienko informujące, że zostało zainstalowane nowe urządzenie. Większość uzna to za przejaw normalnej pracy komputera w trakcie podłączania sprzętu. Nowe urządzenie może jednak wywołać spustoszenie. Hakerzy zwykle zaczynają od kupowania urządzeń dostępnych od ręki i modyfikowania ich w złośliwy program ukryty pod maską aktualizacji. To urządzenie-pułapka może sprawiać wrażenie, że zachowuje się normalnie na podstawowym poziomie, a jednocześnie czynić wielkie szkody za kulisami. Do ataku wykorzystywani są często sprzątaczka bądź pracownik administracyjny – przekupuje się ich, by sprawdzili na przykład, jakiego rodzaju klawiatury używa potencjalna ofiara. Złoczyńca podmienia ją wówczas na inną, pozornie identyczną, mającą jednak zainstalowany mikroprocesor ze złośliwym oprogramowaniem.

Tego typu ataki są powszechne – metoda polegająca na rozrzucaniu dysków USB w pobliżu budynku będącego celem, uważana jest za opracowaną przez rosyjski wywiad rozpracowujący członków NATO (w czasach gdy rozprzestrzeniono malware o nazwie agent.btz). Podmienianie klawiatury jest natomiast ulubioną taktyką brytyjskiego GCHQ. Amerykańska NSA przechwytuje z kolei sprzęt komputerowy od producentów w celu sfałszowania go. Ataki za pośrednictwem USB są trudne do powstrzymania. Każdy dysk przenośny pamięci [ang. pendrive] podłączony do zainfekowanej maszyny również zostaje zainfekowany – a wówczas przenosi złośliwe oprogramowanie do kolejnej, z którą ma styczność. To zaleta z punktu widzenia atakującego. Może on dotrzeć do komputerów nie podłączonych do internetu.

Zainfekowany pendrive może przejąć dostęp do komputerowej sieci (podszywając się pod kartę sieciową). Może zmienić ustawienia DNS (Domain Name Server) – a rezultacie adres komputera w internecie – i przekierować gdzieś ruch bądź wyrządzić inne szkody. Może przekierować [do fałszywej witryny] sesję bankowości online tak, by haker zyskał dostęp do danych bankowych ofiary. Może pomóc wykradać hasła, nawet jeżeli nie są one wpisywane za pośrednictwem fizycznej klawiatury, lecz na przykład tej ekranowej. Urządzenie USB może również poczekać, aż wykryje rozruch komputera i wpuścić małego wirusa do płyty głównej, jeszcze przed sekwencją boot, gdy uruchamiają się programy. Może przeprogramować Wasz komputer tak, że zastąpi podstawowy system wejścia-wyjścia czy też BIOS – czyli zestaw reguł, które odpowiadają za pracę komputera.

Oczyszczenie tak zainfekowanego komputera jest praktycznie niemożliwe. Nic nie da czyszczenie dysku i przeinstalowywanie programu operacyjnego (czyli podstawowego oprogramowania, np. Microsoft Windows) kierującego maszyną. Złośliwe urządzenie wciąż przecież będzie podłączone. A nawet jeśli go już nie ma, zdążyło przecież do tej pory przeprogramować wszystkie inne urządzenia peryferyjne – klawiaturę, myszkę, kamerkę internetową, mikrofon, głośniki, słuchawki a nawet komponenty USB w komputerze. Eksperci twierdzą, że: „raz zainfekowanemu komputerowi i jego peryferyjnym urządzeniom USB nie można ufać”[3].

Stosowanie środków ostrożności, nawet przez ludzi świadomych zagrożeń, jest trudne. Urządzenia USB nie mają unikalnych numerów seryjnych, ciężko jest więc sprawdzić ich autentyczność w centralnym rejestrze. Firmware, czyli wbudowane oprogramowanie własne, które odpowiada za jego pracę, nie daje się przeskanować programom instalowanym w zwykłych komputerach. Teoretycznie w przyszłości możliwe jest wdrożenie surowszych standardów korzystania z urządzeń USB, aby utrudnić pracę hakerom. Na przykład aktualizacje do nich mogłyby być zabezpieczane kryptograficznie. Nie zmieni to jednak zasadniczo sytuacji, jeśli miliardy urządzeń USB wciąż będą w użytku. Praktyczną formą obrony w tym przypadku powinno być traktowanie urządzenia USB jak kluczy do domu: dokładne rejestrowanie tego, kto ma do niego dostęp, kto go użytkował, kto i co z nim robił oraz kiedy go zwrócił. Organizacje, którym zależy na bezpieczeństwie, mogą ograniczyć liczbę komputerów z portami USB. Mogą wyłączyć (w miarę możliwości) w maszynach pobieranie automatycznych aktualizacji. Mogą też zabronić korzystania podczas pracy z komputerem z jakichkolwiek innych urządzeń. Kiedy dawałem odczyt w brytyjskim GCHQ, musiałem przekazać do depozytu każde urządzenie elektryczne, pendrive, kartę i inny sprzęt zanim pozwolono mi wejść do zabezpieczonego obszaru. Tego typu środki ostrożności można przedsięwziąć w organizacjach, dla których bezpieczeństwo jest priorytetem. Jednak to mało możliwe, by stosował je przeciętny użytkownik komputera. Jesteśmy jak nałogowi palacze, którzy nagle uświadamiają sobie, że zapalniczka obcej osoby może wyrządzić nam szkody. Ale czy jesteśmy pewni własnej?

Jeżeli urządzenie, które trzymacie w kieszeniach, jest niebezpieczne, to to, które stoi w Waszym domu, powinno jeszcze bardziej niepokoić. Dan Geer, jeden z ojców założycieli internetu, wyraził zaniepokojenie inteligentnymi sieciami elektroenergetycznymi [ang. smart grid]. Tak w cyfrowym żargonie określa się wykorzystanie komputerów do wymieniania danych dotyczących podaży i popytu na energię elektryczną. Szczerze mówiąc, inteligentne sieci są wspaniałym pomysłem – mogą obniżyć zużycie energii i emisję dwutlenku węgla oraz znacznie zwiększyć odporność sieci na awarie i katastrofy naturalne. Urządzenia w inteligentnych sieciach nie wyłączają i włączają się tak po prostu. Konsumują energię w sposób efektywny, komunikując się ze sobą: piec elektryczny daje znać zmywarce, by przestała na chwilę grzać wodę, lodówka używa kompresora wówczas, gdy klimatyzacja odpoczywa, natomiast wielka pompa kanalizacyjna włącza się, gdy popyt na energię elektryczną jest mały, a cena niska. Pin i Chip korzystają już w pewnym stopniu z inteligentnych sieci. Na dachu zainstalowali panele słoneczne. Akumulatory ładują się, gdy świeci słońce, co przynosi oszczędności. System ciepłej wody ustawili tak, by wykorzystywał tanią energię. Termostat centralnego ogrzewania podłączyli do internetu, więc Chip, który ma nieregularne godziny pracy, może włączyć ciepło zanim wróci do domu. Zainstalowali również inteligentny czytnik na żądanie dostawcy energii. Monitoruje on zużycie – a więc nikt nie nachodzi Pin i Chipa, by sprawdzać stan licznika.

Potencjał sabotażu i incydentów w inteligentnej sieci jest ogromny. Jeśli jedno urządzenie może wyłączyć inne w celu oszczędzenia mocy, może również zostać zaprogramowane do czynienia szkód. Żywność może zgnić w lodówkach, a windy i drzwi się zaciąć. Pompy kanalizacyjne – które pracują w interwałach i potrzebują dużo energii – mogą się wyłączyć nie po to, by zarejestrować zużycie prądu, tylko w celu wywołania zagrożenia dla zdrowia publicznego. Inteligentne sieci są tylko zapowiedzią jeszcze głębszych zmian. Internet to już nie tylko sposób na łączenie z sobą ludzi, ale przede wszystkim platforma do komunikowania się z sobą maszyn. Internet rzeczy oznacza rewolucję w sposobie, w jaki sieci komputerowe organizują nasze współczesne życie – pozwoli to nam skupić się na sprawach, które lubimy. Mało prawdopodobne jest, by Hakhettowie kupili lodówkę, która zamawia mleko automatycznie, ale byliby bardzo zadowoleni z faktu posiadania termostatu, który włącza się, gdy samochód Chipa zbliża się do domu – byłoby to o wiele bardziej wygodne niż włączanie go podczas jazdy. Obowiązuje tu ta sama zasada, która stanowi zaletę inteligentnej sieci: sieć elektryczna może poinformować odbiorcę energii, by zmniejszył moc klimatyzacji lub ogrzewania podczas skoku zasilania i uniknął wysokich kosztów wykorzystywania zapasów. Internet rzeczy rozwija się dynamicznie. W połowie 2014 roku oferował ok. 1,9 mld gadżetów online, a dziś mamy już do dyspozycji tyle urządzeń, ile jest komputerów w starym stylu. Do 2018 roku, oferując ok. 9 mld narzędzi, będzie składał się z większej liczby urządzeń niż komputery, tablety i telefony razem wzięte[4]. Ich zastosowania w ramach sieci rosną w zawrotnym tempie. W przyszłości, dla przykładu, żarówki nie będą posiadały jedynie skromnego włókna żarowego w próżni (LED), tylko złożony szereg diod elektroluminescencyjnych. Będą one zaopatrzone w czujniki dymu, tlenku węgla czy drżenia ziemi – a dodatkowo połączone z siecią, dzięki czemu będziecie mogli lepiej zarządzać zasilaniem w domu. Już teraz dostępne są połączone siecią urządzenia, które zarządzają odpadami powstającymi w gospodarstwach domowych i wspierają recykling (tzw. taryfy ostrzegające „płać, gdy wyrzucasz”) i zapobiegają wyciekom wody (poprzez podpinanie pomp do czujników).

Niezliczone drobne urządzenia – w domowej lodówce, w samochodzie, w skrzynce bezpieczników czy systemie grzewczym oraz takie, które zarządzają energią, wodą i ściekami – stanowią niebezpieczną monokulturę. Złożoność współczesnego internetu sprawia mylne wrażenie bioróżnorodności. W królestwie natury im większa jest pula genów w danym gatunku, tym mniejsze prawdopodobieństwo, że jego członkowie ciężko zachorują. Jednak sposób, w jaki rozwijają się komputery i sieci, przypomina raczej rolnictwo przemysłowe, gdzie dany rodzaj upraw zaczyna dominować, stając się jednocześnie bardziej podatnym na szkodniki lub zarazę. Geer twierdzi: Jako że społeczeństwo staje się bardziej zaawansowane technologicznie, nawet przyziemne sprawy zaczynają zależeć od sfery cyfrowej, wciąż odległej od doskonałości[5].

Jeśli urządzenia nie działają sprawnie i efektywnie, nie chcemy ich. Jednak, podobnie jak komputery, gdy czynią nasze życie bardziej komfortowym, jednocześnie narażają nas na problemy – ze względu na niedbałe projekty i pospieszne wykonanie.

Bruce Shneier, guru ds. zabezpieczeń, twierdzi, że permanentna niepewność w dziedzinie bezpieczeństwa komputerów, mająca swe źródła w sposobie, w jaki w latach 90. zostały zaprojektowane, zmniejsza się nieco, ponieważ producenci oprogramowania starają się je naprawiać i aktualizować[6]. Jednak nowa generacja urządzeń jest znacznie bardziej rozpowszechniona niż komputery. I mniej rzuca się w oczy (Hakhettowie byliby zaskoczeni, gdybyście poprosili ich o wyjaśnienie, w jaki sposób fukcjonuje ich sieć, w której znajduje się termostat, liczniki energii itd.). Te sprzęty nie są stworzone do podlegania nadzorowi ludzi. Jeżeli oprogramowanie w Waszym komputerze jest nieaktualne, Microsoft lub Apple wyślą Wam informację ostrzegawczą i zasugerują zaktualizowanie systemu. Ale jak postępować z tą malutką puszką w rogu, która mruga tajemniczym światełkiem, sprytnie optymalizując Wasze zużycie energii? Czy urządzenie to jest solidne i zapewnia do siebie zdalny dostęp, by w przypadku jakiejś niemiłej niespodzianki – takiej jak wirus Shellshock opisany wcześniej – można było za jego pomocą naprawić wszystkie sprzęty? Doświadczenie uczy, że tak nie jest.

Na konferencji Black Hat w Las Vegas w 2014 roku eksperci ds. bezpieczeństwa pokazali wiele przykładów ataków na monokulturę – urządzenia trudne do ochrony i łatwe do spenetrowania. Badacze z firmy Qualy pokazali, jak skanery wykorzystywane przez rząd amerykański do prześwietlania ubrań i rzeczy pasażerów w punktach kontroli na lotniskach mogą zostać zaatakowane poprzez wbudowaną przez ich producenta funkcję mającą zapewnić ich lepszą konserwację[7]. Kluczem było wbudowane konto z hasłem domyślnym, którego nie dało się zmienić. Niektóre z tych skanerów są połączone z internetem, co oznacza, że intruz może przejąć nad nimi kontrolę i zacząć wydawać im polecenia. Może to na przykład pomóc terrorystom zmylić ochronę lotniska i wnieść ładunek wybuchowy do samolotu. Badacze przedstawili też sposób na przekształcenie w ciągu zaledwie 15 sekund domowego termostatu w urządzenie szpiegujące[8]. Chodzi o urządzenie zwane gniazdem [ang. nest]. Zapamiętuje ono dobowe nawyki domownika i opracowuje dopasowany system ogrzewania. Dzięki niemu można zresztą zarządzać ogrzewaniem domu zdalnie – tak byście mogli, jeśli pracujecie do późna (i mieszkacie sami), zaoszczędzić na opale. Jednak urządzenie to może być wykorzystane do innych rzeczy; może nawet stać się częścią botnetu i służyć w nim do rozsyłania spamu oraz prowadzenia innych ataków. Można go użyć do przechwycenia informacji o funkcjonowaniu domowej sieci albo kradzieży danych bankowych i haseł do różnego rodzaju serwisów online. Nikt nie będzie już wówczas potrzebował włamywać się do Waszego domu. Haker potrzebowałby jedynie dostępu do urządzenia w okresie między jego produkcją a instalacją. Biorąc pod uwagę szybkość, z jaką zabezpieczenia mogą być złamane, wystarczyłoby mu zaledwie 10 sekund – musiałby tylko przytrzymać przycisk mocy i włożyć pendrive zawierający malware. Dobrze zorganizowany złoczyńca mógłby sam zorganizować dostawę i czekać tylko na sygnał, że złośliwy program został już zainstalowany.

Internet rzeczy zdążył przysporzyć wielu problemów, zanim osiągnął pełny potencjał. Według badaczy, którzy odkryli słabe punkty termostatu, ponad 750 tys. e-maili o charakterze spamu i phishingu (zawierających malware lub linki do zainfekowanych stron) zostało już rozesłanych z niewinnie wyglądających urządzeń, takich jak lodówki i telewizory. Internet rzeczy rodzi też poważne pytania dotyczące prywatności. Pierwszymi pochodzącymi z „prawdziwego życia” celami hakerów były kamery monitoringu, te wykorzystywane do wykrywania intruzów (mogą one również nagrywać osoby przebywające w domu), jak i te stosowane do pilnowania dzieci. Gdy wykorzystują połączenia bezprzewodowe, są narażone na atak. Marc i Laura Gilbertowie z Houston w Teksasie zauważyli, że podglądacz zhakował system monitorowania ich dwuletniej córki. Poprzez kamerę prezentował przed dzieckiem obsceniczne zachowania[9]. Ten niezidentyfikowany mężczyzna wykrzykiwał do małej przekleństwa w stylu: „ty pieprzona kretynko” albo „obudź się, ty mała dziwko” (dziewczynka zresztą okazała się głuchoniema). Prezentacja Sergeya Shekyana i Artema Harutyunyana, badaczy bezpieczeństwa sieci cyfrowej, ukazała, jak skromna, bezprzewodowa kamera może zostać wykorzystana do zainfekowania komputera właciciela i wyrządzenia szkód użytkowników, gdy zostanie zaatakowana i przeprogramowana[10]. Jeszcze bardziej niepokojący przykład przedstawił Jesús Molina, ekspert, który opowiedział o swym pobycie w hotelu w chińskiej prowincji Shenzhen[11]. Hotel zaopatruje gości w iPady (komputerowe tablety), które stają się „cyfrowymi kamerdynerami”: służą do zamawiania posiłków, kontrolowania rolet w pokoju, zmian oświetlenia, ogrzewania itd. Molina odkrył jednak, że jego tablet może zrobić o wiele więcej: pomajstrował przy nim odrobinę, dzięki czemu uzyskał dostęp do tych samych usług w każdym hotelowym pokoju (ograniczył się jednak do włączania i wyłączania sygnalizacji „nie przeszkadzać”). Gdyby tylko chciał, mógłby mieć dostęp do tych funkcji z zewnątrz. Gdyby wpuścił do sieci malware, mógłby to wszystko robić z innej części świata.

W lutym 2014 roku amerykański zespół rządowy do reagowania na naruszenia bezpieczeństwa w sieciach (Computer Emergency Response Team, CERT), wystosował oficjalne ostrzeżenie do Belkina, producenta jednego z najpopularniejszych automatycznych systemów sterowania domem (ma ponad 500 tys. użytkowników w USA[12]). Ma on w swej ofercie m.in. kontrolowane za pomocą Wi-Fi gniazdka elektryczne, które można włączać i wyłączać zdalnie. Badacz Daniel Buentello najpierw włamał się do przełącznika i wywołał efekt stroboskopu, uruchamiając i wyłączając, oczywiście zdalnie, lampkę na biurku brata. Wybitnie zabawny żart, pod warunkiem że ten, komu robimy dowcip, nie cierpi na epilepsję. Już mniej śmieszne byłoby włączenie wszystkich grzejników w domu bądź zraszaczy przeciwpożarowych[13]. (Belkin odpowiedział, że te błędy zostały już naprawione, i że użytkownicy powinni zaktualizować oprogramowanie w swoich urządzeniach).

We wrześniu 2014 roku Heatmister, ważny producent bezprzewodowych termostatów, zalecił swoim klientom wyłączanie funkcji Wi-Fi (dla której kupili ten towar), gdy okazało się, że ktoś z zewnątrz sieci może sterować urządzeniami zdalnie, używając hasła „1234”[14]. Badacz bezpieczeństwa Andrew Tierney, który odkrył problem, znalazł za pomocą funkcji prostego wyszukiwania ponad 7 tys. narażonych termostatów podłączonych do internetu[15].

Jak wskazuje Geer, istniejąca monokultura routerów (małe migające pudełka, dzięki którym można łączyć się bezprzewodowo z internetem) używanych w domach i małych firmach stanowi poważne zagrożenie bezpieczeństwa, porównywalne do „wycieku benzyny w zamkniętych centrach handlowych”. Routery pracują na połączeniu internetowym dostarczanym przez firmę telekomunikacyjną lub telewizję kablową. Sprawiają, że internet staje się użyteczną usługą dla wielu komputerów, zwykle poprzez połączenie bezprzewodowe. Zdecydowana większość internautów nie wchodzi w interakcje z routerami. Mogą, jeżeli są skrupulatni, zainstalować dodatkowe hasła w ramach większej ochrony, co jest odpowiednikiem zasuwania rolet w oknach, tak aby wścibscy przechodnie przez nie nie zaglądali. Co kilka lat trzeba wymienić routery na nowsze i lepsze modele. W większości przypadków urządzenia te są cichymi operatorami naszych codziennych rejsów po cyberprzestrzeni. Być może powinniśmy poświęcać im więcej uwagi. Routery zaprojektowano z myślą o niskich kosztach utrzymania. Nikt nie jest w pełni odpowiedzialny za to, czy są bezpieczne, czy nie. Do ich tworzenia używa się oprogramowania dostępnego od ręki i najtańszego sprzętu. Tak długo, jak spełniają swoją główną funkcję, nikt nie zastanawia się nad tym, do czego jeszcze mogą być przydatne. Schneier zauważa: Żadna jednostka nie ma motywacji, wiedzy, a nawet możliwości ulepszania oprogramowania już po jego wejściu na rynek. Producenci procesorów zajęci są wysyłaniem kolejnych wersji... twórcy projektów – poprawianiem ich tak, by mogły pracować z kolejną wersją procesora. Dbanie o wcześniejsze chipy i produkty nie jest priorytetem. Geer ubolewa, że większość dostępnych routerów jest „nieaktualna od lat i nie istnieją do nich żadne łatki. Routery mogą być przejęte zdalnie i... nie potrzeba do tego dużych umiejętności. Gdy zostaną zhakowane, ich przydatność nie spada, a użytkownicy nie odczuwają, że coś jest nie tak. Przejętych routerów można użyć natychmiast... bądź zachować jako broń na przyszłość”. Routery były tematem konkursu dla hakerów podczas konferencji Black Hat. Jego wyniki mroziły krew w żyłach. Pięć popularnych modeli zostało przejętych dzięki piętnastu odkrytym dziurom. Gdyby hakerzy byli naprawdę złośliwi, mogliby użyć ich do przeprowadzenia ataków na ludzi – rozprzestrzenić spam i malware. Co ciekawe, część owych wad w routerach jest znana od dawna. Jeden z dziennikarzy skonstatował: „tylko cztery spośród zgłoszonych dziur są zupełnie nowe. Słabości w pozostałych modelach zostały odkryte i były już naprawiane w przeszłości, jednak dostawcy nie poprawili jednostek wyselekcjonowanych do tej konkurencji”[16].

Atakujący zdążyli już dostrzec potencjał tych prostych, ważnych, nieaktualnych, źle konserwowanych, niepozornych i wszechobecnych maszyn. Schneier podał niedawno trzy przykłady. Już w 2008 roku złośliwy program o nazwie DNSChanger atakował domowe routery i komputery[17]. Przekierowywał połączenia internetowe, by umożliwić grupie hakerów działających z Estonii pod nazwą Rove Digital, umieszczanie fałszywych reklam w ładujących się stronach (zanim zostali aresztowani nakazem amerykańskiego sądu federalnego, zdążyli zarobić na oszustwie 15 mln dolarów)[18].

W Polsce hakerzy przejęli kontrolę nad routerami użytkowników komputerów, by wykradać dane bankowe[19]. Użytkownikom wydawało się, że logują się do banku, a w rzeczywistości logowali się do upozorowanej przez oszustów fałszywej strony. Od oryginalnej odróżniało ją to, że jej adres nie zaczynał się od „https” i ikonki małej kłódki. W Brazylii natomiast hakerzy zainfekowali 4,5 mln routerów DSL w celu nakłonienia użytkowników do pobrania złośliwego oprogramowania (zamaskowanego jako legalne „wtyczki” bezpieczeństwa) podczas prób wejścia na znane strony, takie jak Google i Facebook. Fabio Assolini, naukowiec z Kaskersky Labs, który odkrył ten przekręt, natknął się też na chat, na którym hakerzy rozprawiali o pieniądzach, jakie zdołali zarobić. Jeden z nich chwalił się, że wydał  50 tys. dolarów na prostytutki w Rio[20]. Mimo że oszustwo zostało wykryte, właściciele routerów zostali pozostawieni z maszynami, do których nie mieli dostępu – hakerzy zmienili hasła.

Inne jeszcze złośliwe oprogramowanie wycelowane w routery, a także w kamery i podobne urządzenia, zostało odkryte w 2013 roku. Jego zasięg był ograniczony. Działało tylko z konkretną wersją mikroprocesorów. Dziura w oprogramowaniu – napisanym w Linuksie jako projekt o otwartym źródle – doczekała się swojej łatki. Ile jednak osób ma chęci i wiedzę, by zaktualizować oprogramowanie Linuksa w maleńkim pudełku, które zarządza domowym Wi-Fi[21]? Przykładem tego, jak przejęte routery mogą być wykorzystywane w cyberatakach, jest moon worm[22]. Przeskakuje on pomiędzy routerami wyprodukowanymi przez firmę LinkSys, choć nie wiadomo dokładnie, z jakiego powodu. Użytkownicy komputerów, którzy korzystają z szerokopasmowego dostępu do internetu w swoich domach lub biurach, nie fatygują się zwykle, by zmieniać ustawienia zabezpieczające. Jedno z takich ustawień pozwala na przejęcie zdalnej kontroli nad routerem – użyteczna funkcja dla kogoś, kto chce naprawić problem, a nie chce wzywać technika. Jednak także złoczyńca może zyskać kontrolę nad takim routerem i na przykład posłużyć się nim do przekierowania użytkowników na fałszywe strony bankowe, na których będą oni podawać swoje loginy i hasła[23]. Router może również być wykorzystany do sterowania komputerami (botnet) i przeprowadzania ataków. Właściciel komputera może zainstalować tyle programów zabezpieczających, ile zechce, ale nie zdoła temu zapobiec. Przeciwnik nie porusza się w sieci, lecz poza nią. Sprawa wygląda mniej więcej tak, jakbyście mieli dobrze zabezpieczone drzwi frontowe, ale złośliwy niewidoczny demon na ganku przeszukiwałby Was podczas wejścia i wyjścia, do tego wysyłałby listy oraz wykonywał połączenia w Waszym imieniu. Jacob Holcomb, badacz bezpieczeństwa, pionier w dziedzinie badań nad dziurami routerów[24], zwrócił uwagę na kolejne monokulturowe zagrożenie: podłączone do sieci urządzenia pamięci masowej. Zwykli użytkownicy raczej nie mieli z nimi styczności w swoich domach, urządzenia te są jednak powszechne w biurach, gdzie używane są jako główne banki pamięci i gdzie magazynowane są duże ilości informacji. Jest to o wiele bardziej wygodne – i teoretycznie bezpieczniejsze – niż przechowywanie ważnych danych na poszczególnych komputerach. Holcomb odkrył jednak wiele niebezpiecznych luk[25]. Nie znalazłem nawet jednego urządzenia, nad którym nie mógłbym przejąć kontroli, powiedział po przetestowaniu urządzeń od dziesięciu producentów. Wynik przejęcia kontroli nad urządzeniem pamięci różni się od przejęcia kontroli nad routerem. Routery kontrolują (i mogą zerwać lub przejąć) połączenie między siecią a internetem. Urządzenia pamięci przechowują dane. W przypadku przejęcia dane mogą zostać skopiowane, zmienione bądź nieodwracalnie usunięte. Czym innym jest wykorzystanie ransomware do odczytania zaszyfrowanych danych biznesowych[26]. Czym innym jest natomiast wykorzystanie pamięci masowej podłączonej do cudzych komputerów w celu wygenerowania 600 tys. dolarów w cyfrowej walucie[27] – chodzi o środek płatniczy, który nie istnieje w fizycznej formie, biorący się z udostępniania mocy obliczeniowej komputera do rozwiązywania problemów kryptograficznych.Wydobywanie [ang. mining] waluty cyfrowej polega na rozwiązywaniu nowych problemów, co wymaga ogromnych ilości mocy obliczeniowej. U zarania walut cyfrowych obliczenia mogły jeszcze być wykonywane na zwykłym komputerze. Dziś proces ten wymaga bardziej wydajnych maszyn, co oznacza, że złodzieje szukają zapasowych mocy, nad którymi mogą przejąć kontrolę, by zarobić pieniądze.

Opisane ataki – na telefony, porty USB i podłączone do internetu urządzenia – są przykładem zagrożenia, które Geer nazywa zagrożeniem wynikającym z monokultury. Owo pojęcie, znane z biologii, nabiera coraz większego znaczenia w dziedzinie bezpieczeństwa cyfrowego.

[1] Możliwe jest przerobienie baterii telefonu tak, by zawierała malutką pluskwę lub sygnał namierzający.

Rozdział 8
Zagrożenia płynące z monokultury

Internet roi się od monokultur. Pojęcie to oznacza oprogramowanie bądź technologie, które używane są na szeroką skalę dla wygody bądź dla pieniędzy. Tym samym niosą one dla użytkowników wiele niebezpieczeństw. Zwłaszcza gdy ci ściągną na siebie uwagę przestępców. To trochę tak, jakbyśmy żyli w świecie, w którym każde drzwi, w każdym budynku miałyby ten sam zamek. Gdy raz nauczycie się ten zamek otwierać, możecie dostać się wszędzie. Najgorszym rodzajem monokultury jest taka, której nie widać. Jeśli sądzicie, że jesteście bezpieczni, bo dysponujecie więcej niż jednym ważnym narzędziem – kilkoma samochodami, kontami bankowymi, telefonami – mylicie się. Ofiarami ataku możecie paść mimo to. Cóż Wam po kilku samochodach, gdy zabraknie benzyny (rower będzie wówczas dobrodziejstwem). Kilka kont bankowych nie uratuje Was podczas kryzysu finansowego (posiadanie żywej gotówki w domu już owszem). Telefony, nawet jeśli jest ich wiele, będą działać tak długo, jak długo działa sieć (posiadanie radia może okazać się wówczas zbawienne).

Dan Geer, jeden z najważniejszych myślicieli specjalizujących się w rozwoju internetu, dobrze opisał ów problem[1]. Według niego internet został stworzony w taki sposób, by był odporny na przypadkowe usterki, a nie na ukierunkowane ataki. Innymi słowy, internet jest niezwykle wytrzymały, gdy idzie o sytuacje nagłe, przypadki niekompetencji, awarie wynikające z niedbalstwa bądź problemy technologiczne. Jednak te same cechy, które chronią go przed przypadkowymi zagrożeniami, sprawiają, że jest on podatny na celowe ataki. Owa słabość ma wiele źródeł. Jednym z nich jest fakt, że komputery i programy, których używamy, są skomplikowane i połączone z sobą systemami, których nikt nie może w pełni przejrzeć. Ta niezwykła złożoność internetu ma jednak swe źródła naszej skłonności do prostoty i komfortu. Nerwowi, pędzący wiecznie za pieniędzmi biznesmeni wolą użytkować narzędzia, które łatwo zainstalować i są stosunkowo tanie w utrzymaniu (nawet jeśli są podatne na mało prawdopodobne katastrofy) niż rzeczy skomplikowane i drogie, acz bezpieczne i wytrzymałe. Krótko mówiąc, jeszcze nikt nie spłonął dlatego, że kupił sobie zwykły komputer ze standardowym oprogramowaniem – na przykład maszynę Della z wgranym Microsoftem. Jeśli jednak wszyscy zaczynamy korzystać z prostych rozwiązań, tworzy się niebezpieczna monokultura. Natura ceni różnorodność, która krótkoterminowo bywa mało wydajna, za to jest bezpieczna w długiej perspektywie. Tę zasadę widać w rolnictwie. Ambitni rolnicy i gospodarswta ujednolicają nasiona, by uzyskać maksymalną efektywność. Przynosi to zyski w krótkiej perspektywie, ale staje się koszmarem, gdy pojawiają się problemy, np. pasożyty. Drapieżniki – mogą być to insekty, grzyby czy cokolwiek – tak długo będą żerować na monokulturze, aż zabraknie im pożywienia albo pojawi się inny drapieżnik.

Microsoft Windows jest prawdopodobnie najlepiej znaną monokulturą: jeżeli znajdziecie dziurę w danej wersji Windowsa, zyskujecie dostęp do każdego komputera, który go używa. Dobrym przykładem jest oryginalna przeglądarka Microsoftu, Internet Explorer (IE). Według mnie IE nie była gorsza od większości programów używanych w latach 90. Ponieważ jednak była wszechobecna, stała się idealnym celem dla hakerów. Przeanalizowali oni IE pod kątem występowania różnych rodzajów dziur i szybko je znaleźli. IE mogła być użyta do przejęcia kontroli nad maszyną, pobrania złośliwego oprogramowania, eksportowania danych itp. Nawet gdy Microsoft zaczął aktualizować IE, by naprawić błędy i rozsyłać łatki do instalowania na zagrożonych maszynach, złoczyńcy nie zaniechali swych działań. Nie każdy użytkownik aktualizuje swój komputer od razu. Wiele wersji długo pozostawało niezałatanych. A poza tym, za każdym razem, gdy wypuszczano nową łatkę, w programie pojawiała się także nowa dziura.

Jak zauważa Geer, guru bezpieczeństwa, Microsoft Windows przestał być najgroźniejszą monokulturą. Jednym z powodów jest fakt, że Microsoft dziś o wiele lepiej sobie radzi z naprawianiem i aktualizowaniem swych programów (choć daleko mu do doskonałości). A poza tym pojawiają się nowe zagrożenia.

Jednym z nich, uważanym przez jakiś czas za najważniejsze, był błąd Heartbleed – dotyczył 500 tys. stron internetowych. Centralną kwestią były tu najpowszechniejsze narzędzia bezpiecznego komunikowania się komputerów, zwane protokołami Secure Socket Layer lub SSL. Upraszaczając: gdy widzicie kłódkę na początku adresu internetowego, tuż przed literami „https”, oznacza to, że jesteście połączeni z innym komputerem wykorzystującym SSL[1]. Nie trzeba dokładnie rozumieć ich działania (a także istoty ich rozszerzonej wersji, zwanej TSL), można natomiast wyobrazić je sobie jako tunel stworzony, za porozumieniem, pomiędzy dwoma maszynami, przez który mogą one bezpiecznie przesyłać prywatne komunikaty. Tworzenie tego tunelu wymaga wielu wzajemnych „gestów”, w ramach których strony wzajemnie potwierdzają, że są godne zaufania i ustalają szyfr, dzięki któremu informacje w tunelu będą bezpieczne i pozostaną poza zasięgiem zewnętrznych podmiotów.

Heartbleed nie jest oprogramowaniem złośliwym – nie powstał ze złych intencji. Jest luką w tej części oprogramowania, która odpowiada za bezpieczeństwo w tunelu. Na początku każdej sesji dwa komputery przystępują do „wirtualnego powitania” i ustalają, że dana strona internetowa jest wiarygodna (lub że dany klient jest tym, za kogo się podaje). Do tego potrzebne jest oprogramowanie zwane Open SSL o długiej i powszechnie znanej historii. Nie zostało ono napisane dla potrzeb komercyjnych – opracowali je entuzjaści w ramach szczytnego, motywowanego interesem społecznym celu stworzenia otwartego oprogramowania [ang. open source], którego kod byłby całkowicie jawny i możliwy do przejrzenia. Taki software ma swoje zalety w porównaniu np. do produktów Microsoft. Na przykład taką, że jest bezpłatny i demonopolizuje rynek. Dzięki niemu użytkownicy nie są uzależnieni od drogich programów, takich jak Microsoft Word. Dostępny jest przecież darmowy OpenOffice, który jest prawie tak samo dobry.

Dla działających w sztywnych strukturach firm, takich jak Microsoft, tworzenie dużych projektów w dziedzinie oprogramowania jest wyzwaniem. Trzeba pogodzić ego wielu osób, trzymać się budżetu i przyjętych zasad – to często koliduje z dążeniem do najlepszych rozwiązań. Okazuje się, że często armia ochotników potrafi wykonać lepiej tę robotę: szybciej i sprawniej. Koszty finansowane są z darowizn albo z przychodów za konsultacje, które grupy te świadczą podmiotom chcącym wykorzystać oprogramowanie. Bardzo wiele programów zawdzięcza swe istnienie takim dobrowolnym staraniom: wśród nich przeglądarka Firefox i systemem operacyjny Linux. Są one, podobnie jak Open SSL, regularne aktualizowane. Większość użytkowników instaluje aktualizacje automatycznie. Jednak w 2011 roku niemiecki programista komputerowy Robin Seggelmann, późniejszy doktorant na Uniwersytecie Duisburg i Essen, przypadkowo wprowadził błąd do Open SSL, co miało katastrofalne skutki.

Oto, jak to wyglądało. Aby utrzymać cyfrowy tunel otwarty, wymienia się wiadomości testowe. Zostawianie otwartego połączenia, gdy nie jest ono niezbędne, byłoby jednak niebezpieczne i oznaczałoby marnowanie zasobów. Niektórzy użytkownicy zamykają okna swoich przeglądarek od razu, gdy kończą bezpieczne połączenie. Inni jednak nie przejmują się tym. „Układ krążenia” w Open SSL polega na przesłaniu z komputera użytkownika drobnego zapytania do serwera celem ustalenia, czy uzyska poprawną odpowiedź. Zakładając, że szyfrowanie działa i oba końce są ze sobą połączone, nic się nie dzieje. Błąd w Open SSL polegał na tym, że zamiast odesłania drobnej odpowiedzi, serwer zostawał zwiedziony i wysyłał zbyt wiele danych: 500 ostatnich znaków historii komputera. To tak, jakbyście witając się z kimś, zajrzeli mu również do kieszeni lub torby.

Dane te mogły – potencjalnie – zawierać „klejnoty koronne” każdego systemu bezpieczeństwa: kryptograficzne klucze używane do dekodowania wiadomości przesłanych przez zewnętrzne podmioty (o głównych zasadach szyfrowania czytajcie w Trzecim Dodatku). Jeżeli Wasz komputer właśnie dekoduje jakieś zaszyfrowane dane (na przykład dlatego, że zalogowaliście się na swoje konto bankowe), informacje dotyczące klucza są zachowane w najświeższej pamięci. Intruz używający wirusa heartbleed może je pozyskać. Może to również doprowadzić do utraty ciasteczek [ang. cookies] – małych zbitek danych, które identyfikują komputer z siecią i oznaczają, że zalogowaliście się niedawno do internetu z odpowiednim hasłem i loginem, co może ułatwiać komuś podszycie się pod Was. Heartbleed może także dać komuś obcemu dostęp do Waszych e-maili, danych bankowych lub dokumentacji medycznej, a także narażać Was na ataki dywersyjne poprzez szyfrowanie danych lub wysyłanie fałszywych wytycznych i wprowadzenie wielu innych form chaosu.

Luka w Open SSL odkryta została zupełnie przypadkowo przez badaczy zabezpieczeń. Niejasne jest, czy ktoś wiedział o niej wcześniej i czy posługiwał się nią do niecnych celów. Jedyną potwierdzoną sytuacją, w której została ona wykorzystana, było wykradnięcie z rządowego komputera 9 tys. numerów ubezpieczenia społecznego. Jednak szacowanie wpływu [danego błędu na otoczenie] wyłącznie na podstawie szkód, o których istnieniu wiemy, jest co najmniej mylące. Dziesiątki milionów ludzi musiało zmienić swoje hasła. Jest to jeden z problemów wynikających z cyberataków: często nie pozostawiają żadnych śladów i trudno jest stwierdzić, czy w ich wyniku jakieś dane zostały skopiowane bądź użyte w złych celach. W tym przypadku, gdy tylko informacje o błędzie wyszły na jaw, duże firmy komputerowe wezwały swoich klientów do zmiany haseł.

Ukazuje to, jak słabe jest bezpieczeństwo w internecie. Uzbrojony w „prywatny klucz” złoczyńca może złamać kod szyfrowanego przepływu informacji w każdej chwili. W dobrze prowadzonym systemie bezpieczeństwa, używając techniki „doskonale utajnionego przekazywania” [ang. perfect forward secrecy, PFS], ryzyko to można ograniczyć: każdy cyfrowy tunel posiada jednorazowy zestaw haseł, tak więc zawartość pozostaje zakodowana, nawet jeśli atakujący ma dostęp do kluczy jednej ze stron. Jednakże doskonałe utajnione przekazywanie jest dość skomplikowane i niewielu ludzi gotowych jest podjąć ten wysiłek. Heartbleed mógł okazać się znacznie bardziej szkodliwy. Nie dawał on atakującemu prawa do wydawania komend maszynom, a jedynie umożliwiał kradzież danych. Nie wykradał haseł ani innych tajnych informacji od ludzi wchodzących na jakieś na strony internetowe, tylko od organizacji i firm, które te strony utrzymywały. Zdobycze były też bardziej losowe niż zamierzone.

Jednakże zarówno heartbleed, jak i shellshock (który objawił się później i był o wiele poważniejszy) ilustrują trzy główne i poważne wady w sposobie pracy naszych komputerów i sieci. Jedną z nich jest złożoność. Jak wspominałem, wszystko opiera się na oprogramowaniu lub sprzęcie, które są tak skomplikowane, że w zasadzie nikt nie jest w stanie pojąć, jak działają. To zjawisko potęguje się w miarę upływu czasu. Nawet jeżeli w trakcie pisania danego programu programista wie, jak działa jego produkt, kolejne generacje programistów już nie będą miały tej wiedzy. Błędy typu shellshock pojawiły się już przed rokiem 1992. Nie jest więc to tylko kwestia posługiwania się skomplikowanym kodem źródłowym (spaghetti). Trzeba rozumieć, w jaki sposb funkcjonuje dwudziestoletnie oprogramowanie tego typu.

Inną kwestią jest skąpstwo. Internet został zaprojektowany przez naukowców i amatorów, bez wielkich nakładów finansowych. Być może to jest sedno sprawy. Z tego powodu nikt wystarczająco nie dba o bezpieczeństwo sieci i nikt nie chce brać odpowiedzialności za poprawianie go. Zarówno heartbleed, jak i shellshock były błędami w darmowym oprogramowaniu – napisanym przez entuzjastów i dostępnym dla wszystkich. Ludzie, którzy zajmują się tymi programami i rozwijają je, to w większości wolontariusze. Ich tryb pracy sprzyja innowacji, ale nie bezpieczeństwu. Opiera się na idei, według której łatać dziury i naprawiać problemy da się na drodze bezinteresownej pomocy. Tymczasem każdy chce się zajmować sprawami interesującymi i ekscytującymi, nie trudnymi i nudnymi. Oczywiście prawdą jest, że shellshock został odkryty przez motywowanego poczuciem odpowiedzialności obywatelskiej badacza Stéphane’a Chazelasa, a programiści z ruchu otwartych źródeł zorganizowali się i stworzyli łatki do różnego typu dotkniętych tym błędem programów. Prawdą jest również, że osoby piszące programy dla zysku mogą niechętnie ogłaszać informacje o błędach, które odkrywają. Jednak żaden z tych argumentów nie jest pocieszeniem dla osób, które są zagrożone.

Prowadzi nas to do trzeciego i największego zagadnienia: nieodpowiedzialności. Jeśli jestem szefem linii lotniczych, to za złe obsługiwanie połączeń i niedbałe utrzymywanie maszyn mogę stracić pracę (a nawet wolność). Ale jak to jest w cyberprzestrzeni? Organy nadzoru nie dysponują przecież budżetem, który pozwoliłby wprowadzać im zalecenia w życie. Uczesnicy rynkowej gry mogą oczywiście robić pewne rzeczy dla dobra publicznego, ale dbają przede wszystkim o swoje zyski, nie o bezpieczeństwo ludzi, którzy w dodatku nie muszą być ich klientami czy dostawcami. Rządy państw natomiast mogą zadać pytanie, dlaczego miałyby poświęcać pieniądze podatników na poprawę światowego bezpieczeństwa cyfrowego.

W skrócie, jeśli nikt nie dostaje pieniędzy za naprawianie błędów w internecie, oczywiste jest, że nikt go nie nadzoruje. Instytucje typu non-profit, jak choćby Internet Corporation for Assigned Names and Numbers (ICANN) zajmująca się internetowym systemem adresowania czy Internet Engineering Task Force (IETF) pilnująca aktualności standardów technicznych i zakresu ich obowiązywania, nie mogą zmusić ludzi do zmiany nawyków. Rządy nie rządzą internetem – i nawet w krajach, w których mają dużą siłę przebicia, nie są zainteresowane natychmiastowym naprawianiem błędów. Bardziej kusi je możliwość wykorzystania konkretnych luk. Brak odpowiedzialności jest szczególnie rażący w dziedzine certyfikatów bezpieczeństwa, które leżą u podstaw każdej uważanej za bezpieczną transakcji w internecie. Większość ludzi, która się nimi posługuje, nie ma zielonego pojęcia, jak funkcjonują, tak jak nie wie, na czym polega działanie elektroniki w ich samochodach. Bezpieczne połączenia były kiedyś stosowane głównie przez sklepy internetowe i biznes. Chodziło o to, by zabezpieczyć płatności online. Służą one temu, by odwiedzający daną stronę miał pewność, że to, co widzi na swoim ekranie, jest miejscem docelowym, do którego zmierzał. Właściciel strony kupuje certyfikat od dostawcy certyfikatów, który weryfikuje autentyczność witryny. Każdy odwiedzający bezpieczną stronę może przeczytać certyfikat i sprawdzić go u podmiotu, który go wystawił. Jeśli wszystko jest w porządku, przed prefiksem https:// w polu adresu w przeglądarce wyświetla się mała kłódeczka. Osoba odwiedzająca stronę może wówczas być pewna, że znalazła się w tym miejscu, którego szukała i że przesył danych między jej komputerem a stroną jest odpowiednio zaszyfrowany.

System ten jest jednak pełen luk. Dla właścicieli witryn instalacja i konserwacja certyfikatów jest uciążliwym zadaniem. Popełniają przy tym wiele błędów. Co gorsza, podmiotom wydającym te certyfikaty też zdarza się mylić. Mam na myśli między innymi skandal z 2011 roku z holenderską firmą DigiNotar w roli głównej. Pozwoliła ona, by hakerzy, działający prawdopodobnie na zlecenie rządu irańskiego, wystawili ok. 500 fałszywych certyfikatów w jej imieniu[2]. Sprawa była bardzo skomplikowana. Efekty nadania fałszywych certyfikatów były natomiast, mówiąc w skrócie, katastrofalne. Wiele holenderskich serwisów internetowych przestało okresowo działać, a rząd dał do zrozumienia, że nie potrafi zagwarantować bezpieczeństwa własnych witryn. Okazało się, że zabezpieczenia DigiNotar były żałosne. System oparty był jedynie na haśle, które mogło być złamane siłą. Na najważniejszych komputerach firmowych zainstalowane było nieaktualne oprogramowanie. Prawdziwym koszmarem było poinformowanie ok. 17 mln ludzi, że powinni wrócić do ręcznego notowania najważniejszych informacji. Dla osób, które pracowały w DigiNotar, smutnym skutkiem tej afery było natychmiastowe ogłoszenie bankructwa. Dla wielu Irańczyków natomiast najgorsza była utrata zaufania do kont Gmail w serwisie Google'a, jako że często służyły im one do prowadzenia działalności opozycyjnej. Zaatakowanych zostało około 300 tys. ich kont Gmail. Raport opracowany przez Trend Micro, firmę specjalizującą się w bezpieczeństwie cyfrowym, ujawnił, że niewłaściwe wykorzystanie certyfikatów bezpieczeństwa aktywowało atak typu „człowiek-w-środku” skierowany na Irańczyków wysyłających zaszyfrowane wiadomości. „Specjalne antycenzorskie oprogramowanie powinno ich chronić. W rzeczywistości umożliwiło ono postronnemu podmiotowi śledzenie wszystkich zaszyfrowanych wiadomości”[3]. Środowiska opozycyjne wpadły w rozpacz. „Jest to największa tragedia, jaka mogła przydarzyć się użytkownikom internetu, zwłaszcza irańskim”, napisał jeden z blogerów[4].

Półsłówka i tajemnice wokół zaniedbań w DigiNotar są typowe dla branży bezpieczeństwa komputerowego w sytuacji, gdy wydarzy się coś złego. Firma bankrut kłamała co do zakresu zakresu naruszeń. Zaprzeczała, by słabości wykorzystane przez hakerów naprawdę istniały. Władze holenderskie także początkowo twierdziły, że nic złego się nie działo z systemami e-administracji. Nikt nie był chętny do naprawienia podstawowych problemów. Zbyt wiele podmiotów jest uprawnionych do wydawania certyfikatów zabezpieczeń. Systemy nadzoru i kontroli są pełne błędów. (Rok wcześniej podobna sytuacja miała miejsce w największej firmie bezpieczeństwa cyfrowego, Comodo. Włoski partner firmy został zaatakowany, a certyfikaty zostały skradzione).

Aby zrozumieć, jak słaby jest system, możemy przypomnieć sobie wcześniejsze porównanie z lotnictwem. Międzynarodowe standardy dotyczące bezpieczeństwa samolotów, zarówno przewozu ludzi, jak i parametrów technicznych lotu, są sztywne. Piloci muszą być odpowiednio przeszkoleni. Surowe zasady regulują funkcjonowanie lotnisk – pasy muszą mieć odpowiednią długość w zależności od typu samolotu, musi istnieć określona zdolność do pracy we mgle, w nocy itd. Powody są oczywiste: lotnictwo ma zasadnicze znaczenie dla współczesnego życia. Ludzie mają wysokie wymagania w zakresie bezpieczeństwa. Gdy pojawiają się problemy, są rejestrowane i analizowane. Oczekuje się, że producenci będą skrupulatnie badać swoje produkty pod kątem defektów, które mogą sprawić, że maszyna będzie działać niewłaściwie, nie mówiąc już o spowodowaniu większej katastrofy. Jeżeli coś jest nie tak, wszystkie samoloty muszą być posadzone na ziemi i badane dokładnie, dopóki nie ustali się przyczyn i nie usunie błędu.

Internet jest tak samo istotny we współczesnym życiu. Jednakże nie istnieją zasady, które mogłyby pomóc zapewnić jego bezpieczeństwo i niezawodność lub kazałyby go badać pod kątem prawdopodobieństwa wystąpienia błędów. Żaden międzynarodowy inspektorat nie przygląda się procedurom bezpieczeństwa przy wystawianiu certyfikatów ani nie sprawdza swojego personelu. Niektóre podmioty wydające certyfikaty mają ścisłe powiązania ze służbami wywiadowczymi kraju gospodarza, inne mogą być prześwietlane przez zorganizowaną przestępczość lub „haktywistów”.

Takie problemy w zakresie współpracy międzynarodowej i egzekwowania prawa nie są rzadkością. Jesteśmy przyzwyczajeni do radzenia sobie z krajami, które mają skorumpowane lub upolitycznione oddziały policji czy rejestry morskie. Dostosowujemy nasze działania do sytuacji – prośbę o współpracę od rosyjskiej policji traktujemy inaczej niż tę od policji szwajcarskiej. Wiemy, że istnieją kraje, w których prawo jazdy bardzo łatwo nabyć nielegalnie.

Jesteśmy przyzwyczajeni do stosowania się do licznych międzynarodowych standardów uczciwości. Jeżeli nie spełniacie międzynarodowych norm lotniczych (odnoszących się do konserwacji, poziomu dźwięku itd.), nie dostaniecie zezwolenia na lądowanie Waszą maszyną na lotniskach w krajach rozwiniętych. Wydzielający niepokojący zapach lub wyglądający podejrzanie statek handlowy nie będzie mógł wpłynąć do żadnego cywilizowanego portu. Jednak w innych sprawach jesteśmy znacznie bardziej tolerancyjni. Gdy wjedziecie do Wielkiej Brytanii z obcym prawem jazdy, możecie używać go przez rok – nawet jeśli zdobyliście je nielegalnie i nigdy nie zdaliście egzaminu[5]. Ryzyko polegające na tym, że zagraniczny kiepski kierowca spowoduje wypadek i zrani kogoś bądź zabije, jest równoważone przez korzyści, które generują owe zagraniczne prawa jazdy (turystyka, przychody gospodarki). Jednak potencjalne szkody wynikające z tego, że źle serwisowany samolot rozbije się na międzynarodowym lotnisku czy zdezelowany statek zatonie w ważnym kanale żeglugowym, są ogromne.

Jak szkodliwe może być wydanie fałszywego certyfikatu bezpieczeństwa? Pozwala to hakerowi, groźnemu obcemu rządowi czy przestępcy podszyć się pod zaufane witryny, zazwyczaj poprzez atak typu człowiek-w-środku, polegający na tym, iż wymiana danych od i do strony internetowej jest analizowana przez obcy podmiot. Trudno jest wyobrazić sobie bardziej szkodliwą wadę w całej strukturze internetu czy znaleźć analogię do niej w świecie rzeczywistym.

W pewnym sensie można by to porównać do rządu, który wystawia fałszywe paszporty lub zezwala przestępcom na otwieranie spółek i kont bankowych. Jednak przykład ten nie oddaje w stu procentach opisywanego zjawiska. Fałszywy paszport może spowodować szkody tylko wówczas, gdy ktoś postanowi uznać, że jest prawdziwy. Firma zarejestrowana w prawnej czarnej dziurze raczej nigdy nie będzie zdolna do prowadzenia prawdziwego biznesu. Jednak fałszywy certyfikat bezpieczeństwa pozostaje zarówno godny zaufania, jak i niewidoczny. Może być też skopiowany setki tysięcy razy. W internecie panuje przekonanie, że certyfikatowi bezpieczeństwa można zaufać. Jednak czyniąca wiele dobrego organizacja Electronic Frontier Foundation z Waszyngtonu zauważa, iż: „https jest godne zaufania w takim stopniu, w jakim godne zaufania są praktyki najmniej wiarygodnego wystawcy certyfikatów”[6]. Nowa organizacja o nazwie Internet Security Research Group (ISRG), wspomagana przez inne podmioty typu non profit, takie jak EFF, Mozilla (która obsługuje przeglądarkę Firefox) i Cisco (producent urządzeń sieciowych) postawiła sobie za cel wprowadzenie w połowie 2015 roku nowego programu oferującego bezpłatne, zbadane i stale monitorowane certyfikaty zabezpieczeń[7].

Być może rozwiąże to w końcu problem. Do tej pory jednak nawet sceptyczni i świadomi technologicznie użytkownicy (to wciąż wyjątki) komputerów nie znaleźli sposobu na weryfikowanie autentyczności indywidualnych certyfikatów. Wydają je dosłownie tysiące podmiotów (nikt tak naprawdę tego nie liczy, niektóre jednostki nie przekazują żadnych informacji). Niektóre mają do tego tytuł, jako że są częścią większej organizacji, na przykład uniwersytetu czy firmy telekomunikacyjnej. Najprościej sprawdzić ich wiarygodność poprzez przeglądarkę. Firmy takie jak Google (Chrome), Apple (Safari) i Microsoft (Internet Explorer) wkładają dużo trudu w dopracowanie oprogramowania tak, by potrafiło zwrócić uwagę na wadliwy, nieaktualny lub podejrzany certyfikat bezpieczeństwa. Użytkownicy mogą od czasu do czasu napotykać ostrzeżenia mówiące o tym, że strona, na którą wchodzą, ma nieaktualny, niedopasowany lub niepełny certyfikat bezpieczeństwa. Lepsze to niż nic, jednak nie jest to system niezawodny. Choćby dlatego, że rządowe organy wydające certyfikaty w krajach takich jak Turcja czy Zjednoczone Emiraty Arabskie wykorzystują wszelkie powody, by łamać system. Należy pamiętać o tym, że certyfikaty bezpieczeństwa pozwalają użytkownikom na stworzenie tunelu, w którym bezpiecznie można wymieniać się prywatnymi danymi. Dla rządu autorytarnego (lub wyjątkowo dociekliwego) posiadanie łatwego dostępu do takich tuneli jest wielce kuszące. Przypuszczają więc one ataki typu człowiek-w-środku, o których już wspomniałem. Na obu krańcach tunelu wszystko wydaje się w porządku, jednak gdzieś pośrodku intruz obserwuje i kopiuje dane. Mimo że szczegóły takiego ataku są bardzo skomplikowane, zasada jest prosta. Chodzi o to, by zyskać dostęp do certyfikatu bezpieczeństwa, co pozwala dostać się pomiędzy „witające się komputery”[8].

Kolejnym problemem jest nieostrożność. Wiele renomowanych witryn nie aktualizuje swoich certyfikatów na bieżąco bądź utrzymuje strony z nieco innym adresem niż ten określony w certyfikacie (na przykład certyfikat został wystawiony dla strony ze starego typu prefiksem www, jednak serwer pozwala użytkownikom na otwieranie strony bez tego prefiksu).

Niektóre podmioty wydające certyfikaty cedują swoje uprawnienia na inne. Główny certyfikat nie wzbudza żadnych podejrzeń w przeglądarkach, a reszta podległych certyfikatów również nie budzi zastrzeżeń. Nie wiemy jednak, jak wiele tych certyfikatów istnieje: nie ma żadnego obowiązku podawania do publicznej wiadomości informacji o ludziach, którzy je wydają. Jeżeli ktoś wyśle zapytanie do komputera, czy certyfikat jest ważny, czy nie, otrzyma odpowiedź: tak lub nie. To, czy certyfikat istotnie został wydany prawomocnie, jest już inną sprawą. Sytuacja jest tym bardziej skomplikowana, że podmiot wydający certyfikaty może wystawiać je dla każdej domeny, znajdującej się w dowolnym punkcie na świecie. Załóżmy więc, że chcę oszukać mojego pracodawcę. Tworzę stronę o nazwie economist-subscriptions.com, aby ograbić go z pieniędzy subskrybentów. Certyfikat mogę zdobyć u dowolnego podmiotu, na przykład znajdującego się w innym kraju, a do tego nieanglojęzycznym. Może on nie zauważyć moich złych intencji. Certyfikaty nie tylko nie są dokładnie sprawdzane, ale są również wydawane z zadziwiającą łatwością[9]. Przebiegałoby to tak: wykradłbym listę subskrybentów (włamując się do sieci komputerów „The Economist” bądź przekupując czy oszukując pracownika), po czym wysłałbym wyłudzające informacje e-maile do tysięcy byłych i obecnych klientów, oferując przekonująco brzmiącą ofertę dostępną na stronie. Skopiowałbym logo „The Economist” i tekst, słowo w słowo. Tym, co różniłoby mój mailing od mailingu „The Economist”, byłyby dane kart kredytowych i szczegóły płatności. Jedyną słabością planu byłby fakt, iż mojej stronie brakowałoby prefiksu https i małej kłódki, przez co wyglądałaby na niezabezpieczoną. Symbole te uspokajają klientów, wskazując, że mają oni do czynienia z renomowanym dostawcą. Jednak dzięki wadliwemu systemowi wystawiania certyfikatów, mógłbym taki nabyć, i to w legalny sposób.

Innymi słowy, słabość w systemie ukazująca się w jednym miejscu szybko może stać się powszechna, nie ze względu na działania podejmowane przez napastnika, lecz przez to, jak ten system jest zbudowany. Wyobraźmy sobie niedbale zaprojektowany zamek, który ma wadę: przy celnym uderzeniu młotkiem otwiera się. Każdy, kto ma zainstalowany zamek tego typu, stoi w obliczu zagrożenia, jednak póki sztuczka z młotkiem nie wyjdzie na jaw, może spać w miarę spokojnie. Gdy jednak wada się ujawni, zagrożenie staje się ogromne.

Kolejne zagrożenie płynące z monokultury ma swe źródło w jeszcze bardziej powszechnym niż SSL elemencie technologii komputerowej – w punkcie sprzedaży [ang. point of sale, POS], czyli terminalu używanym do przetwarzania danych karty płatniczej. Karty płatnicze są narażone na ataki praktycznie od chwili, gdy je wymyślono. W połączeniu ze źle zaprojektowanymi i źle zabezpieczanymi terminalami, którymi dysponują sprzedawcy, niebezpieczeństwo z nimi związane rośnie[10].

Dwa niedawne ataki w Australii ukazują skalę problemu. Zorganizowana rumuńska organizacja przestępcza – której członkowie nigdy nawet nie postawili stopy w Australii – wykradła dane 500 tys. kart kredytowych poprzez włamywanie się do terminali POS w 93 małych firmach. Dane tych kart dały im dostęp do ponad 400 mln funtów (700 mln dolarów). Prawdziwy zysk dała im możliwość sprzedawania danych i tworzenia fałszywych kart. 30 tys. z nich zostało wykorzystanych w oszustwach, przynosząc przestępcom 16 mln funtów (28 mln dolarów). Sklepy UPS – które oferują usługi transportowe, wybór skrzynek na listy i materiały do pakowania przesyłek – w sierpniu 2014 roku ze wstydem przyznały, że od stycznia tego roku, posługując się złośliwym oprogramowaniem o nazwie backoff (niewidzialnym dla programów antywirusowych), hakerzy przejęli dane z terminali w 51 placówkach franczyzowych. Pracownicy UPS przyznali, że odkryli atak tylko dlatego, iż zostali zaalarmowani przez rząd, oraz że nie mają wystarczających informacji, by stwierdzić, czyje dane zostały skradzione[11]. Atakując amerykańską sieć sprzedaży detalicznej Target w grudniu  2013 roku, hakerzy wykradli dane kart 40 mln klientów. Ich cena na czarnym rynku wahała się między 18 a 35,70 dolarów za sztukę. Dane ok. 2 mln kart zostały sprzedane, co przyniosło hakerom przychód w wysokości 54 mln dolarów. Koszt wznowienia kart w bankach wynosił 200 mln dolarów. Target dodatkowo wydał 100 mln dolarów na nowe środki bezpieczeństwa (prawdopodobnie bezużyteczne)[12]. Firma stanęła w obliczu pozwów sądowych, a jej prezes, Gregg Steinhafel, ustąpił ze stanowiska. W sierpniu 2014 roku pojawiły się wiadomości o kolejnym ataku – przeprowadzonym prawdopodobnie przez tę samą grupę – tym razem na sieć Home Depot[13].

Niedawny raport brytyjskiego organu odpowiedzialnego za poprawę bezpieczeństwa cyfrowego ujawnił wiele słabych punktów systemu – możliwości manipulowania sprzętem, wykorzystywania luk w oprogramowaniu i przechwytywania bezprzewodowej transmisji danych[14]. Ataki cyfrowe przybierają najróżniejsze formy – od najbardziej topornych (ustanowienie fałszywego sprzętu jako nadrzędnego w stosunku do sprzętu legalnego) po takie, które wymagają wysokich kompetencji hakerskich. Modus operandi polega na gromadzeniu dużych ilości danych, które następnie mogą być przedmiotem obrotu na czarnym rynku, co opisałem już wcześniej. Niektóre z narzędzi ataku wymagają fizycznego dostępu do terminali: złodzieje włamują się w tym celu do sklepów lub ukrywają się w nich na noc. Korzystają też z możliwości zbliżenia się do terminalu w ciągu dnia – i wówczas podmieniają go na podrobiony. Mogą na przykład podejść do nieczynnej kasy, zdekoncentrować osobę z ochrony czy podać się za pracownika technicznego i wręcz podmienić terminal na oczach obsługi sklepu. Ewentualnie mogą wysłać sfałszowany terminal z adresu producenta na adres sklepu, z dopiskiem, że powinien on natychmiast zastąpić obecny, jako że zawiera nowsze oprogramowania zabezpieczające. Przestępcy szczególnie lubią terminale, które pozostają bez nadzoru i są w ciągłym użyciu – choćby w parkomatach. Istnieje niewielkie ryzyko, że haker zostanie przyłapany w trakcie podmieniania sprzętu na sfałszowany. Potencjalne żniwa są zaś wyjątkowo owocne.

Środki bezpieczeństwa stosowane do ochrony terminali POS są niepokojąco słabe. Aby sprawdzić, czy maszyna jest oryginalna, właściciele sklepów po prostu sprawdzają naklejkę na spodzie terminala. Tymczasem powinni też sprawdzać kable (ponieważ urządzenia do wykradania danych mogą być umiejscowione we wtyczce). Warto także, aby zwracali uwagę, czy na suficie ich sklepu nie zostały zainstalowane maleńkie kamery, które mogłyby rejestrować numery PIN wprowadzane przez klientów. Trudno jest sobie wyobrazić, by przeciętny sprzedawca czy kasjer na stacji benzynowej potrafił dostrzec subtelne zmiany w działaniu sprzętu, które mogą być wynikiem ataku hakerskiego na terminal. Tymczasem te niedbale zaprojektowane, łatwe do podrobienia urządzenia znajdują się na froncie wojny podmiotów systemu finansowego z napastnikami.

Dzięki ewolucji potrafimy dawać sobie radę z przeciwnościami losu, które spotykały nas w przeszłości. Nie jesteśmy jednak przygotowani na zagrożenia czyhające w świecie, w którym żyjemy obecnie.

[1] Bardziej zaawansowani technicznie użytkownicy powinni mi wybaczyć to uproszczenie, jestem świadomy tego, że „https” i SSL nie są synonimami.

Rozdział 9
Przeczesując dżunglę

Posiadamy naturalną umiejętność interpretowania elementów naszego otoczenia. Ostry kij jest niebezpieczny, gdy zbliża się do oczu. Gruby kij może służyć jako pałka. Jaskinia może być zarówno dobrym schronieniem, jak również miejscem pełnym niebezpiecznych bestii. Dzięki współpracy jesteśmy skuteczniejsi w dziedzinach takich jak łowiectwo i rolnictwo. Stajemy się jednak samolubnymi oszustami, gdy przychodzi okres godowy. Instynkty służą nam także w nowoczesnym świecie. Zdajemy sobie sprawę z tego, że noże i pistolety są niebezpieczne, i że choć zaciśnięta pięść w kontekście politycznym (wśród rewolucjonistów) może stanowić przyjazny gest, to bywa też oznaką gotowości do walki (zwłaszcza w trakcie sporu). Wierzymy, że potrafimy rozpoznawać prawdziwą naturę rzeczy, zjawisk i ludzi.

Pin i Chip uważają, że w takim właśnie świecie żyją, jednak ich instynkty i reakcje stanowią już pewien anachronizm. Miniaturyzacja i rozwój technologii w dziedzinie akumulatorów sprawiły, że dziś niezwykle trudno jest odróżnić niebezpieczeństwo od tego, co bezpieczne – zarówno w życiu prywatnym, jak i zawodowym. Ich ulubione filmy z Jamesem Bondem są najlepszą ilustracją zmian, które zaszły. W „Pozdrowieniach z Rosji” Agent 007 miał ukryty w kamerze szpulowy magnetofon. Mniejsze od kasety urządzenie nagrywające zdawało się w tamtych czasach cudem inżynierii. Sprzęt naprowadzający w „Goldfingerze” ukryty został w obcasie buta Bonda. Zegarek w „Szpiegu, który mnie kochał” zawierał malutki dalekopis (urządzenie kompletnie już zapomniane, młodsi Czytelnicy mogą spróbować sobie wyobrazić małą, słabej jakości drukarkę podłączoną do telefonu). Jednak gdyby nawet MI6 z lat 60. i 70. posiłkowało się pomysłami z Hollywood, nie mogło wyprodukować nic, co dałoby się porównać do urządzeń, które obecnie można kupić w każdym sklepie elektronicznym. Główną słabością gadżetów z tamtych lat były źródła mocy: akumulatory musiały być stale ładowane – trzeba to było robić w ukryciu, wykorzystując fortel. KGB podsłuchiwało amerykańską ambasadę w Moskwie za pomocą pluskiew zamocowanych do stalowych żerdzi, kupionych lekkomyślnie od radzieckich dostawców. Urządzenia do podsłuchu były zasilane zdalnie za pomocą mikrofal emitowanych z okolicznych budynków, co miało negatywny wpływ na zdrowie dyplomatów i pracujących pomiędzy nimi szpiegów. Dziś jest o wiele łatwiej sprawować dyskretny nadzór. Zaniechany projekt Google Glass dał nam już przedsmak przyszłości. Te urządzenia (przestano je produkować w styczniu 2015 roku) zaprojektowane przez firmę, która stworzyła wyszukiwarkę, pozwalały użytkownikowi na skanowanie otoczenia i przechowywanie o nim danych, i jednoczesne wyświetlanie ich na ekranie stanowiącym szkło niezgrabnych okularów. Ten pomysł z pewnością będzie kontynuowany. Zapowiada się jako niezwykle użyteczny. Gdy będziecie szukać jakichś informacji, nie będziecie potrzebować komputera i klawiatury. Wystarczy, że zwrócicie głowy w odpowiednim kierunku i dotknięcie brzegu okularów, powiecie komendę lub do nich mrugnięcie. Dla chirurgów w salach operacyjnych, dla ludzi, którzy muszą poruszać się po nieznanych lokalizacjach, a także dla wszystkich tych, którzy będą choćby chcieli móc dopasować daną twarz do nazwiska, takie urządzenie będzie bezcenne.

Gadżet wyglądający jak zwykła para okularów może być w istocie ukrytą kamerą. Czy będziecie w stanie zauważyć, gdy ktoś noszący tego typu niepozorne urządzenie odwiedzi Wasze biuro, stanie obok Waszych biurek i nagra moment, w którym wpisujecie swoje hasła do systemu? A jeśli będzie widział wszystko, co znajduje się na Waszych ekranach lub przejrzy papiery leżące na stole? Załóżmy, że ujrzy Wasze klucze – co jeśli będzie potrafił wydrukować je na drukarce 3D? Telefony komórkowe stają się coraz mniejsze. Model Boss X6 jest najmniejszym obecnie dostępnym w sprzedaży telefonem. Choć bez wątpienia stworzony został wyłącznie dla wygody, doceniają go więźniowie. Boss X6 może zostać przemycony wewnątrz ciała (zawinięty w folię samoprzylegającą lub plastikową torebkę). Można go ładować za pomocą czegokolwiek – adaptera sieciowego, komputera, panelu słonecznego, które zresztą mogą być wykorzystywane do zasilania Kindle’a czy innego czytnika e-booków. Zakłady penitencjarne przegrywają wojnę o zakaz posiadania z telefonów komórkowych.

Poza konsumenckim rynkiem urządzeń elektronicznych znaczenie miniaturyzacji wydaje się jeszcze bardziej widoczne. Większość przenośnych sprzętów ma wbudowaną funkcję Bluetooth, która pozwala bez zakłóceń przekazywać dane, np. wysłać zdjęcie z telefonu komórkowego do laptopa. Ci, którzy opracowali tę technologię, nie brali pod uwagę bezpieczeństwa. Teoretycznie zanim dane urządzenie uzyska dostęp do Waszego telefonu, komputera czy tabletu, konieczne będzie przejście procesu tzw. parowania urządzeń. Hakerzy jednak znają metody na obejście tego wymogu. Niewinnie wyglądający zegarek na rękę, broszka, spinka do mankietu lub klamra paska mogą zawierać Bluetooth, który sonduje bliskie otoczenie w poszukiwaniu innego urządzenia, w którym można umieścić dane lub coś z niego wykraść. Miniaturowe aparaty mogą być noszone przez jedną osobę, a sterowane przez inną. Wyobraźmy sobie, że próbuję wykraść czyjeś hasło i login. Mówię mojej wspólniczce, by zajęła miejsce blisko ofiary w samolocie czy pociągu i czekam, aż nieszczęśnik otworzy swój komputer lub smartfon. Kolczyki mojej wspólniczki mogą zawierać małą, zdalnie sterowaną (przeze mnie) kamerkę lub mikrofon, albo też urządzenie przechwytujące promieniowanie z ekranu ofiary, i przetransferować dane wprost do mojego komputera znajdującego się w innej lokalizacji. Większość osób jest nieświadoma tego, jak wiele informacji zdolne są oddać ich urządzenia, gdy są w użyciu. Klawiatura emituje akustyczne i elektromagnetyczne sygnały, tak samo jak wyświetlacz. Nieważne, czy jest podłączone do internetu czy nie, połączenie bezprzewodowe może być przechwycone i zniekształcone. Pamięć USB nie wygląda już jak przenośne urządzenie pamięci. Może być rozmiarów paznokcia, znajdować w sztuce biżuterii lub innym niewinnie wyglądającym przedmiocie, takim jak guzik czy okulary.

To nie jest futurystyczna wizja. Tego typu przedmioty dostępne są już w internecie i to za niewygórowaną cenę. Są to na przykład spinki do mankietów z Wi-Fi zawierające dwa terabajty pamięci[1]. Obsługa tego typu miniaturowych urządzeń nie wymaga specjalistycznej wiedzy. Jeśli umiecie wkręcić żarówkę, oznacza to, że potraficie też zaaplikować wirusa. Technologia jest znacznie lepiej rozwinięta niż procedury bezpieczeństwa, dzięki którym możemy radzić sobie z zagrożeniami. W miejscach, w których stosuje się zaostrzone środki ostrożności (np. w ambasadach), standardowo prosi się gości, by odłożyli swoje telefony komórkowe do specjalnych sejfów, zanim wejdą do budynku. Maszyna rentgenowska sprawdza, czy ktoś nie złamał tej zasady – dokładnie w ten sam sposób w jaki weryfkuje, czy ktoś nie ma przy sobie pistoletu lub noża. Miniaturyzacja utrudnia ten proces. Nie da się całkowicie przeszukać każdego, kto wchodzi do tego typu placówki. Nie można też wymagać, by wszyscy pozbyli się biżuterii, pasków oraz wszelkich części garderoby posiadających klamry czy guziki. W wyjątkowych przypadkach można zbadać za pomocą fali elektromagnetycznej, czy ktoś nie ma przy sobie urządzenia reagującego na takie promieniowanie. Rzadko jednak ktoś decyduje się na niedogodności i koszty z tym związane.

Ewolucja zawodzi nas także w dziedzinie atrybucji. Jak dotąd zawsze potrafiliśmy wskazać, kto stoi za atakiem na nas. Idea napaści z zaskoczenia jest tak stara jak dzieje konfliktów między ludźmi. Zwykle jednak następował po niej etap, w którym wróg stawał z nami twarzą w twarz. Ewolucja uczyniła nas skłonnymi do dostrzegania pewnych wzorców w obserwowanych wydarzeniach (czasami fałszywych). Nie jesteśmy jednak przygotowani na uporczywe ataki ze strony niewidzialnego antagonisty, których doświadczamy w internecie.

W przypadku cyberataków dokonywanych przez przestępców mamy przynajmniej kilka wskazówek. Jeżeli skradziono pieniądze, to musiały dokądś trafić. Poszukiwanie ich może być pracochłonne, lecz policja jest w stanie wyśledzić, gdzie trafiły. Jeśli znajdują się na koncie bankowym, można sprawdzić, kto je otworzył, kto wypłacił pieniądze bądź je przetransferował. W przypadku innych ataków, takich jak te dokonywane w celu sabotażu czy szpiegostwa, możemy nie natrafić na żaden ślad. Psychologia bezpieczeństwa cyberprzestrzeni staje się bliższa zasadom panującym w dziedzinie wywiadu międzynarodowego i operacji specjalnych. Mniej ma wspólnego z informatyką.

Jednym z najprostszych i najbardziej skutecznych narzędzi w pracy wywiadowczej jest fałszywa flaga [ang. false flag]. Termin ten wywodzi się z marynarki wojennej i oznaczał atak statku pod inną flagą – wroga bądź neutralną. W czasach, gdy flagi były jedynym znakiem identyfikacji statku na odległość, ta taktyka miała sens. Dziś jest powszechnie stosowana w żargonie szpiegowskim. Gdyby KGB z czasów zimnej wojny chciało zwerbować patriotycznego, konserwatywnego urzędnika pracującego w zachodnim kraju, z pewnością nie odniosłoby sukcesu, gdyby próbowało odwołać się do jego komunistycznych sympatii. Mogłoby próbować przymusu, pochlebstw lub przekupstwa, jednak najlepszym rozwiązaniem byłoby sprawienie wrażenia, że człowiek ów będzie pracował dla innego kraju – na przykład dla Republiki Południowej Afryki (RPA). Gdyby ten urzędnik był Żydem, KGB mogłoby (i robiło to) udawać, że pracuje dla Mossadu, izraelskiej służby wywiadowczej.

Działania pod fałszywą flagą oferują bardzo wiele. Mogą być dostrojone tak, by idealnie adresowały mocne i słabe strony obranego celu. Nie jest trudne wyselekcjonowanie oficera wywiadu do udawania kogoś z RPA lub Izraela – ludność każdego z tych krajów jest zróżnicowana pod kątem pochodzenia. Rekrutujący mogą wykorzystać łatwowierność ofiary, jej ego, chciwość i inne słabości, przekonując jednocześnie o wielkiej korzyści, jaką jej działania przyniosą krajowi, z którego podszywająca się osoba rzekomo pochodzi. Operacje pod fałszywą flagą są bardzo łatwe do przeprowadzenia w internecie. Jak już zauważyliśmy, założenie fałszywego adresu e-mail bądź strony internetowej jest banalnie proste. Łatwo tworzy się tożsamości w mediach społecznościowych – na Facebooku, Twitterze itp. – i sprawia, że ludzie uznają wymyśloną postać za prawdziwą oraz chcą się z nią komunikować (można np. zamieścić zdjęcia ładnej dziewczyny i wysyłać zaproszenia do młodych mężczyzn).

Jeszcze trudniejsze od identyfikacji źródła ataku jest dziś określenie jego beneficjenta. Gdy Wasz biznes zostanie poddany atakowi DDoS – sieć zostanie tak zaśmiecona, że klienci nie będą mogli do Was dotrzeć, a Wy nie będziecie w stanie przetwarzać ich zamówień – będziecie mieć niewielkie szanse na odkrycie, kto stoi za nawałnicą rujnujących Was botów. Trudno też będzie Wam się dowiedzieć, dlaczego padliście ofiarami tego ataku. Czy to działania konkurencji, zorganizowanej grupy przestępczej albo jakiegoś dowcipnisia? A może po prostu ktoś chciał komuś zaimponować, dając pokaz swoich umiejętności? W jaki więc sposób powinniśmy zmienić nasz sposób myślenia? Najważniejsze jest zrozumienie natury pułapek i wdrożenie środków bezpieczeństwa, które od lat stosowane są w świecie wywiadu. Jeżeli jesteście odpowiedzialni za sieć komputerową, to powinniście poznać metody działania i możliwości hakerów. Wiele firm zatrudnia teraz pentesterów, czyli profesjonalnych hakerów, którzy za odpowiednią opłatą badają użyteczność stosowanych przez nie zabezpieczeń. Richard Bejtlich z firmy Mandiant wspomina klienta, który z niecierpliwością pytał go, kiedy wreszcie firma zacznie pracować nad tym projektem. „Już skończyliśmy”, odparł spokojnie Bejtlich. „A gdzie raport?”, zagadnął klient. „Na ekranie pańskiego komputera”, odparł Bejtlich. Włamanie się do sieci jest proste – a kiedy już dostaniecie się do środka, przeniesienie pliku z komputera do komputera nie stanowi problemu. Testowanie sieci to coś więcej niż technicze pokazy magiczne. Najsłabszym ogniwem w każdym systemie zabezpieczeń jest człowiek. Ludzie poddają się inżynierii społecznej lub pozwalają oszukać za pomocą sztuczek (np. gdy ktoś podmieni ich urządzenie na inne). Pentesterzy przebierają się więc za pracowników obsługi technicznej lub ludzi od bezpieczeństwa pożarowego w celu uzyskania dostępu do lokalu klienta. Dowiadują się, w jaki sposób wydawane są dane uwierzytelniające, a następnie wyłudzają je. Jedna z prostszych metod polega na tym, że – podając się za wysokiego rangą menedżera – dzwonią oni do centrali firmy i proszą o połączenie z recepcją, a następnie informują, że pojawił się pewien problem, który naprawić może osoba zmierzająca właśnie w stronę firmy. Instruują oni, że gość powinien dostać przepustkę i zostać odprowadzony do samego celu, na przykład do pomieszczenia z komputerami. Recepcjoniści posłusznie słuchają poleceń, a „gość” może skupić się na swoim zadaniu.

Tego rodzaju sztuczki wykorzystywane są przez szpiegów, a organizacje starające się przed nimi bronić powinny zacząć myśleć w sposób, w jaki myślą oficerowie kontrwywiadu. Wymaga to refleksji nad potencjalnymi słabymi punktami i ewentualnymi wrogami. Należy zastanowić się, jak dostrzegać je na czas i powstrzymywać. Wasza własność intelektualna, dane finansowe, a także dane Waszych klientów czy konta w sieciach społecznościowych także mogą być celem ataku. Nie dowiecie się o tym, dopóki nie zaczniecie o tym myśleć. Hakerowi nie musi chodzić o Was. Może on poprzez Was chcieć zaatakować kogoś innego. Większość dyskusji na temat bezpieczeństwa w sieci nie wyczerpuje tematu. Informatycy nie mają zbyt dużej wiedzy o mrocznej stronie wywiadu. W rezultacie zbyt wiele uwagi poświęca się aspektom technicznym, wprowadzaniu nowych warstw szyfrowania, ochronie za pomocą haseł itp. Zagadnienia te są ciekawe od strony poznawczej, jednak w praktyce nie mają znaczenia. Gdy uparty przeciwnik będzie chciał zdobyć Wasze cyfrowe dane, zrobi to bez względu na poziom szyfrowania i inne stosowane przez Was środki ostrożności. Jeżeli chcecie, by Wasze dane były bezpieczne – nie przechowujcie ich w cyfrowej formie. Polegając na komputerach pamiętajcie, że zwykle dodatkowe zabezpieczenia mają po prostu uczynić atak bardziej koszto- i energochłonnym. Powodują jednak i Wasz dyskomfort. Dobrze jest przypomnieć sobie porównanie do Fortu Knox. Jeżeli Wasze „cyfrowe złoto” jest tak dobrze strzeżone, że jedynym sposobem zdobycia go jest porwanie, przekupstwo lub napad – większość ludzi uzna, że ryzyko jest na rozsądnym poziomie. Jeśli jednak wiecie, że istnieje możliwość włamania się do Waszej sieci, musicie ustalić, co dalej. Chodzi o tzw. obronę wgłąb: by, dostawszy się do sieci, haker zaczął napotykać coraz większe przeszkody i trudności. Najważniejsze przywileje, takie jak root – dający uprawnienia do wydawania i zmieniania komend – powinny być ściśle strzeżone. Nie powinna istnieć szansa zyskania dostępu do nich za pomocą klawiatury. Najlepiej, by było to możliwe tylko w trakcie spotkania twarzą w twarz, a poza tym na krótki okres i dla konkretnego celu. Technologia oferuje pewne narzędzia pomocy: możecie umieścić „sygnały alarmowe” w poufnych plikach. Ostrzegą Was one, gdy pliki będą przenoszone poza sieć. Im ważniejsze dane, tym trudniej powinno się uzyskiwać ich tekstowy opis. W ramach poprawnie utrzymywanej sieci nie powinno się korzystać jedynie z haseł, lecz także z innych form identyfikacji. Jeśli ważny plik jest szyfrowany, klucze nie powinny być przechowydane w sieci, tylko na papierze (i trzymane w sejfie).

Można stworzyć fikcyjne pliki, które przyciągną uwagę intruzów, ale nie będą w żaden sposób dla nich użyteczne. Tak właśnie zrobił Clifford Stoll przy okazji Kukułczego Jaja. Stworzył on katalog plików zawierających ciekawie wyglądające, lecz fałszywe dokumenty. Gdy haker zajrzał do środka, odsłonił się. Tego typu pliki nazywane są garnkami miodu – miejscami w sieci, które zwracają uwagę intruzów i jednocześnie ujawniają ich obecność. Większa liczba garnków miodu tworzy miodową sieć [ang. honeynet]. Korporacyjni specjaliści ds. bezpieczeństwa nie przepadają za takimi działaniami, podobnie jak niepokoi ich testowanie penetracyjne. Celowe oszustwa są bliższe światu magii, teatru czy wywiadu. Jeśli jednak pomagają wykryć intruza, któż się im przeciwstawi[1]? Specjalista ds. bezpieczeństwa Roger Grimes także sugeruje wprowadzenie do sieci odrobiny pomysłowości i przebiegłości[2]. Wiemy, że typowym sposobem zyskania kontroli nad urządzeniem jest zalogowanie się jako „admin” i podanie hasła. To źle, że większość użytkowników nie zmienia hasła. Jeszcze gorzej, że nie zmieniają oni także loginu. Posługiwanie się loginem „admin” jest niczym posiadanie dużego i dobrze wyeksponowanego zamka w drzwiach frontowych. Większość ataków jest zautomatyzowanych. Gdy namierzone zostaje podatne urządzenie, kolejnym etapem jest wyszukanie konta administratora. Jeśli takie nie istnieje, bot idzie gdzie indziej. Dlaczego posługujemy się zwykle jednym kontem, dającym dostęp do całej sieci? Bo ludzie, którzy używają sieci, cenią sobie wygodę. Niestety, tego rodzaju kompromis pomiędzy wydajnością a bezpieczeństwem premiuje napastników kosztem ofiar. Gdy atakujący zyska dostęp do roota – i możliwość wydawania komend poprzez sieć – będzie mógł poczynić nieopisane szkody. Grimes przywołuje przypadek pewnej amerykańskiej firmy (nie podaje nazwy, ale twierdzi, że jest to jedyna firma z listy „Fortune 500”, która nie doznała uszczerbku w wyniku ataków), która ograniczyła uprawnienia sieciowe wszystkim pracownikom. Nikt, nawet osoba na najwyższym szczeblu, nie ma pełnych przywilejów. Dodanie jakiegoś nazwiska do grupy uprzywilejowanej wywołuje automatyczny mailing do innych jej członków, a ci muszą zatwierdzić nową osobę poprzez rozmowę telefoniczną bądź spotkanie twarzą w twarz[3].

Być może największa zmiana naszego sposobu myślenia powinna dotyczyć anonimowości i prywatności. Dawniej były one z sobą powiązane. Nie jest łatwo chronić swoją prywatność, gdy mieszka się na wsi (nie da się też być anonimowym). Jako obcy stajecie się widoczni i rozpoznawalni. Urbanizacja stwarza warunki do zachowania anonimowości. Gdy Chip lub Pin jadą do dużego miasta, wiedzą, że wtopią się w tłum. Nie tylko nikt ich nie rozpozna, ale też nikt nie będzie wiedział, jakie mają zamiary. Nie dlatego, że będą się maskować. Po prostu szanse na bycie rozpoznanym będą znikome. Ludzki mózg nie jest w stanie przetworzyć wszystkiego, co ogarnia oko. Niektórzy szczęściarze mają pamięć do twarzy. Policja i służby korzystają z ich pomocy przy identyfikowaniu podejrzanych w ogromnych bazach danych. Większość jednak nie jest w stanie rozpoznać człowieka w tłumie. Po co męczyć się z instalowaniem przyciemnianych szyb w aucie, skoro pojazdy są do siebie podobne? Anonimowość zapewnia prywatność. Jeżeli jesteście w stanie znieść pewne niedogodności, możecie płacić za transport i pobyt w hotelu gotówką, a telefon komórkowy zostawić w domu. Wasze działania będą nie do wykrycia, chyba że ktoś postanowi posłać za Wami detektywa.

W skrócie, zakładamy, że gwarantem naszej prywatności jest fakt pozostawania niezauważonym. Najlepszym sposobem na zachowanie anonimowości jest więc powstrzymanie się od rozmów z innymi ludźmi i samotność. Opisywane pojęcia w sieci nie stanowią jednak dwóch stron tego samego medalu – wszystko przez ślad cyfrowy. Nawet jeżeli nasz telefon nie jest na podsłuchu, zdradza pewnie informacje o naszych poczynaniach, na przykład gdy próbuje łączyć się z Wi-Fi innych osób. Korzystanie z kart płatniczych daje niemal pełny obraz naszych zakupowych nawyków i wskazuje naszą lokalizację. Każda osoba z aparatem może odczytać tablice rejestracyjne i sprawdzić je w publicznej bazie danych. Każde nazwisko może być sprawdzone pod kątem zdolności kredytowej. Każda fotografia może być odwrotnie wyszukana w internecie – wystarczy wkleić ją w Google, a wyszukiwarka wskaże, gdzie dane zdjęcie czy obrazek pojawiały się wcześniej. Metadane to techniczny termin na określenie tego typu informacji o naszych działaniach. Generowanie ich nie stanowi bezpośredniego naruszenia naszej prywatności, jakim byłoby podsłuchiwanie rozmów, podłożenie pluskwy w pokoju czy otworzenie listu. Jednoczesne dokonywanie takich pośrednich naruszeń prywatności może jednak przynieść równie fatalne skutki. Jeśli Chip wyśle do Pin w porze obiadu SMS-a o tym, że znajduje się w danym miejscu, a metadane jego połączenia pokażą, że zamiast w restauracji w rzeczywistości przebywa w hotelu, Pin nie będzie zadowolona. Szczególnym rodzajem metadanych jest cyfrowy odcisk pozostawiany przez każdy komputer. Ludzie zakładają, że ich maszyny są praktycznie takie same i że jedna przeglądarka stron WWW nie różni się zbytnio od innych. Do pewnego stopnia jest to prawda. Jednak nie do końca. Gdy odwiedzacie jakąś stronę, otrzymuje ona o Was wiele różnych informacji: o wersji oprogramowania, którego używacie, o czcionkach, którymi się posługujecie, o Waszej lokalizacji itd. Jak tłumaczy Electronic Frontier Foundation (EFF) z Waszyngtonu, prowadząca kampanię na rzecz prywatności w sieci, każdy komputer wysyła pozornie bełkotliwy ciąg informacji, który można odczytać na przykład w ten sposób: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-GB; rv:1.8.1.6)/ Gecko/20070725 Firefox/2.0.0.6

Te informacje pomagają prawidłowo wyświetlić stronę internetową, ale sprawiają jednocześnie, że bardzo łatwo zidentyfikować nas w sieci. Odwiedźcie stronę EFF o adresie panopticlick.eff.org i wykonajcie test. Program znajdujący się w witrynie przeanalizuje dane przesyłane z Waszego komputera i powie Wam, czy jesteście unikalni w internecie. Kombinacja oprogramowania, czcionek i reguł na podstawie których działa mój MacBook Air była unikalna w próbie badawczej 4 mln urządzeń. Innymi słowy, każda strona, którą odwiedzałem, wiedziała, że ten konkretny komputer, w tej strefie czasowej i z tą konfiguracją połączył się z nią, a następnie ją opuścił. Nie musiałaby śledzić mnie poprzez umieszczanie „ciasteczek” (zbitki kodu komputerowego, które pozwalają stronom monitorować naszą aktywność w internecie) w moim komputerze. Jest to wielka zmiana w dziedzinie bezpieczeństwa cyfrowego. Dziesięć lat temu większość komputerów była zupełnie anonimowa, jak twarze w tłumie. Jeżeli chcieliście zidentyfikować konkretny komputer, musieliście sprawić, by użytkownik podał Wam jakieś informacje o nim lub umieścić w nim kod. Wyobraźcie sobie, że osoba skanująca tłum ma zdolność do rozpoznawania i zapamiętywania twarzy. Może widzieć Was tylko raz w roku, a jednak jest w stanie od razu przypomnieć sobie czas i miejsce, w którym widziała Was ostatnio oraz to, co robiliście. Właśnie ten efekt osiągnęliśmy dzięki cyfrowym odciskom przeglądarek. Za każdym razem, gdy odwiedzacie stronę lub włączacie komputer o konkretnej konfiguracji, zostawiacie cyfrowy odcisk, który da się powiązać z każdym wcześniejszym wejściem na tę stronę.

Amerykańska dziennikarka Julia Angwin napisała fascynującą książkę pt. Dragnet Nation o tym, jakich problemów nastręcza chęć bycia anonimowym w internecie[4]. Słusznie zwraca ona uwagę na ilość danych generowanych przez nasze codziennie interakcje. Google, Facebook, YouTube i inne duże spółki internetowe, a także operatorzy telefonii komórkowej i dostawcy kart kredytowych wiedzą o nas bardzo dużo: gdzie jesteśmy, z kim jesteśmy, co kupujemy i sprzedajemy, jakie są nasze hobby i zainteresowania itd. Angwin była zdumiona, gdy dowiedziała się, że Google ma w pamięci wszystko, co kiedykolwiek wyszukiwała. Nasze zwyczaje zakupowe są analizowane przez programy, które następnie umieszczają nam na ekranach reklamy dostosowane do naszych rzekomych potrzeb. Niektóre firmy nawet ustalają ceny w odniesieniu do konkretnego klienta. Angwin próbowała stworzyć alternatywną tożsamość (całkiem legalnie), by robić zakupy niepołączone z jej nazwiskiem. Nie wyszło to dobrze. Życie staje się o wiele bardziej kłopotliwe, gdy staramy się zachować naszą anonimowość. To, co dla niej było szokujące, dla mnie jest oczywistością. Handlowy „nadzór” (posługując się jej określeniem) jest istotnie potężnym narzędziem biznesowym. Przedsiębiorcy lubią wiedzieć o klientach tyle, ile tylko się da. Niektórzy są bardziej inwazyjni od innych. Amerykańskie przepisy dotyczące ochrony danych osobowych są słabe w porównaniu z europejskimi: nie ma ogólnych przepisów, które pozwoliłyby ludziom dowiadywać się, jakie informacje o nich są przetwarzane.

Jednym z ważniejszych wątków poruszonych w książce Julii Angwin jest to, że użytkownicy „darmowych” serwisów, takich jak te oferowane przez Google (głównie przeglądarka i poczta) czy sieci społecznościowe (Facebook, Twitter), nie powinni sądzić, iż są klientami. Są bowiem produktem. Nie ma w tym nic złego. Światowi giganci inwestują w sprzęt i oprogramowanie, by uszczęśliwić użytkowników. Serwisy te działają świetnie: pozwalają w ciągu minuty udostępnić światu świeżo nagrany w telefonie filmik, dają dostęp do skarbców informacji i bogactwa kulturowego. Możecie wymyślać nowe biznesy, docierać do klientów, nawiązywać romanse i pozostawać w kontakcie z przyjaciółmi i rodziną – wszystko to za darmo. W zamian za to pozwalacie tym firmom sprzedać wiedzę o tym, co rejestrują Wasze oczy. Może się Wam wydawać, że wasza uwaga i determinowana nią chęć nabywania dóbr nie są szczególnie cenne. Jeśli jednak są wystarczająco łatwo dostępne, zawsze znajdzie się ktoś, kto będzie gotów za nie zapłacić. Nie trzeba jednak być pasywnym produktem. Macie do dyspozycji kilka sztuczek, które pozwolą Wam ograniczyć liczbę danych, które generujecie [dla klientów tych serwisów]. Możecie też dokonać zmiany radykalnej, niewygodnej i kosztownej – i stać się klientem. To zależy od Was. Nikt nie musi przecież korzystać z usług Google. Macie alternatywę. Możecie używać innej wyszukiwarki (ja korzystam z DuckDuckGo, która jest wolniejsza i gorzej dopasowana, ale nie przechowuje danych o użytkownikach). Możecie używać płatnych kont e-mail. Nie musicie robić zakupów w Amazonie. Możecie używać różnych kart do różnych celów. Nie musicie podawać swojego adresu domowego i numeru telefonu. Jeżeli firma wymaga podania prywatnych informacji, nie musicie kupować u niej. Możecie również zainstalować „rozszerzenia” w przeglądarkach, które znacznie poprawią Waszą prywatność i bezpieczeństwo. Jestem wielkim fanem Adblocka, który uniemożliwia ładowanie się reklam (i dzięki temu przyspiesza działanie stron internetowych). Używam również Ghostery, który powiadamia, jakie ciasteczka są instalowane na moim komputerze. Jeżeli chcecie być jeszcze bardziej ostrożni, możecie używać Scriptsage, który uniemożliwia stronom automatyczne uruchamianie kodu. Korzystam także z Calomel, który ocenia siłę certyfikatów na odwiedzanych przeze mnie stronach. Tego typu udoskonalenia mogą czasem spowalniać działanie sprzętu (na przykład żądać zezwolenia przed uruchomieniem filmiku), dają jednak Wam, użytkownikom, pewną kontrolę nad tym, co się dzieje. W swej książce Angwin zdaje się nie docenić faktu, że normy życia w internecie szybko się zmieniają. Ostatnia dekada była fatalna dla prywatności w sieci: ludzie działali nieostrożnie i byli źle przygotowani. Pozbawione skrupułów firmy z łatwością pozyskiwały dane o osobach korzystających z witryn internetowych. Rozwój technologii sprawił, że nawet ci użytkownicy sieci, którzy mają dużą wiedzę technologiczną, przestali rozumieć to, co się dzieje. Nie są to nieodwracalne zmiany. Można przecież zrezygnować z odrobiny wygody na rzecz prywatności. Wszystko wskazuje na to, że tak się właśnie stanie. Jednak prywatność nie przychodzi za darmo. Dla przykładu: administratorzy niektórych stron skarżą się na Adblocka, ponieważ pozbawia on ich części dochodów. Serwis randkowy o nazwie OK Cupid pobiera od użytkowników z zainstalowanym Adblockiem opłatę w wysokości  5 dolarów. Jest to niewygodne dla obu stron, ale oznacza wybór: albo wstawiacie tego typu stronę na „białą listę” i oglądacie wszystkie reklamy, albo płacicie abonament wyłącznie za usługę, z której chcecie korzystać[5].

Główną ofiarą w sieci staje się anonimowość. Połączenie dużej ilości metadanych i danych z mocą obliczeniową komputerów sprawia, że bycie niezauważonym jest niezwykle trudne. Mimo że zagrożenia płynące z wykorzystania do niecnych celów sprzętów i sieci są dziś bardziej realne niż kiedykolwiek, również możliwości zachowania prywatności w internecie nigdy nie były większe. Jeżeli jesteście gotowi na utratę odrobiny komfortu, możecie wysyłać doskonale zaszyfrowane e-maile i dokumenty lub chatować online w sposób tak bezpieczny, jak nigdy wcześniej. To dobrodziejstwo dla tych, którym zależy na prywatności. Zarazem jest to niepokojące dla przedstawicieli organów ścigania. Chcieliby oni dysponować lepszymi narzędziami dekodowania zaszyfrowanych wiadomości. Obawiają się, że możliwości zachowania prywatności będą wykorzystywane przez szpiegów, terrorystów, przestępców i zboczeńców. Ich obiekcje nie mają oczywiście sensu. Bezpieczne szyfrowanie nigdy nie wyjdzie z użycia. Nie istnieje możliwość regulowania tych kwestii. Jeśli rząd będzie chciał pozyskać informacje o Was, znajdzie na to sposób. Prywatność ma znaczenie, jednak z biegiem czasu obsesyjne dążenie do prywatności staje się zauważalne. Jeśli przy ulicy stoi jeden dom z ogromnym murem i stalowymi okiennicami, a jego gospodarze nie wystawiają śmieci do odbioru, za to jeżdżą z dużą prędkością nieoznakowanymi samochodami o przyciemnianych szybach, to oczywiście udaje im się zachowywać duży zakres prywatności. Z pewnością jednak ich sąsiedzi im się przyglądają. Jeżeli dom jest podobny do twierdzy, może nawet stać się obiektem zainteresowania policji. Podobnie jest z obsesyjnym dbaniem o prywatność online. Mimo że władzom trudno jest przeniknąć zaszyfrowane komunikaty z przeszłości, stosunkowo łatwo jest im ustalić, kto je przesyłał. Jeżeli ktoś konsekwentnie zaciera za sobą ślady w internecie (na przykład płacąc Bitcoinem i korzystając z wolnej, lecz bardzo dobrze zabezpieczonej przeglądarki Tor), a nie ma ku temu żadnego oczywistego powodu, inni będą zastanawiać nad motywami jego postępowania.

Jeżeli jesteście funkcjonariuszami organów ścigania i tropicie na przykład grupę osób rozpowszechniającą pornografię dziecięcą, powinniście skupić się na komputerach, które wysyłają i odbierają duże zaszyfrowane pliki wideo. Jeżeli polujecie na ludzi piorących brudne pieniądze czy na handlarzy bronią, pomóc mogą Wam stosowane przez nich skomplikowane systemy szyfrujące cyfrowe pieniądze (według jednej z plotek skomplikowany Bitcoin zawiera pewną cechę, dzięki której amerykańska Agencja Bezpieczeństwa Narodowego może śledzić wszystkich jego użytkowników oraz ich transakcje. Informacja prawdopodobnie jest fałszywa, jednak większość ludzi posługujących się kryptowalutą nie może mieć co do tego pewności). Nie daje to jednak przewagi śledczym. Choć systematyczne stosowanie zaawansowanego szyfrowania da się zaobserwować, okazjonalnego posługiwania się szyfrem już nie. Jeśli potraficie ukryć zaszyfrowane dane w dużym pliku (np. wideo czy obrazku), macie szansę przez pierwszych kilka razy pozostać w cieniu. W internecie istnieje tak wiele losowych interakcji, że indywidualna aktywność jest prawie niemożliwa do wykrycia. Tym, co sprawia, że zostaje wychwycona, jest wzorzec (w skrócie: wciąż zachowujemy anonimowość i prywatność dla jednorazowych działań w internecie, lecz gdy stają się one powtarzalne, możemy zostać namierzeni i tracimy najpierw anonimowość, a później, gdy organy ścigania dostatecznie się nami zainteresują, także prywatność). Komputery umożliwiają również łączenie innych wątków na podstawie dostępnych publicznie informacji. Jeśli nie znacie czyjegoś nazwiska, ale wiecie jakiej jest płci, kiedy się urodził i gdzie mieszka (choćby orientacyjnie), możecie go zidentyfikować. Każda z osobna informacja nie zawęzi obszaru poszukiwań, jednak połączone z sobą mogą okazać się znaczące[6]. Gdy znacie model komputera, wersję oprogramowania, używane w nim czcionki, strefę czasową, w której się znajduje i kilka innych szczegółów, możecie zawęzić wyszukiwanie do punktu, w którym istnieje tylko jedna taka kombinacja. Nie powie nam to, kto tego komputera używa, ale pozwoli nam śledzić jego aktywność na stronie.

Prawdziwa anonimowość w internecie – taka jak wśród ludzi na zatłoczonej ulicy – staje się coraz mniej możliwa. Ktoś zainteresowany, posiadający wystarczającą moc obliczeniową i duży zasób danych bez problemu może do Was dotrzeć. Nasila się natomiast zjawisko „niepełnej” anonimowości. Ludzie mają problem z udowodnieniem, kim są, gdy tego potrzebują. Nie mają natomiast pewności, z kim mają do czynienia w sieci. Zachowaliśmy wszakże, choć ograniczoną, zdolność do zachowania prywatności. Jest ona ważna i chroni nas przed atakami (może poza tymi najbardziej przebiegłymi). Jeżeli duża agencja rządowa zechce dowiedzieć się, co robicie na swoim komputerze, poświęci na to wystarczająco dużo czasu i pieniędzy podatników. Jednak Wasze słabości odsłonią się tylko gdy ktoś będzie nimi bardzo zainteresowany. Istnieją dziś możliwości szyfrowania komunikatów, wobec których bezsilni są nawet rządowi łamacze kodów. Wasza obrona może być tak silna, jak silna będzie Wasza wola. No, chyba że oprzecie się na najsłabszym rodzaju zabezpieczenia: na haśle.

[1] Innym dobrym podejściem, lecz zdecydowanie technicznym, jest unikanie korzystania z portów domyślnych. Większość mikroprocesorów łączy się ze światem zewnętrznym poprzez szereg różnych portów – będących korytarzami prowadzącymi do świata zewnętrznego. Niektóre łączą się z internetem, inne z monitorem i klawiaturą. Typową techniką ataku jest „skanowanie portu”, obserwacja komputera poprzez internet w celu sprawdzenia, czy porty są „otwarte”. Innymi słowy, czy zareagują na wytyczne. Przypomina to włamywacza, który bada, czy drzwi i okna są zamknięte, i w jaki sposób. Skanery są zwykle ustawiane tak, by obserwowały porty w ich typowej konfiguracji. Jeżeli zmieniacie swoje porty domyślne, oprogramowanie intruza tego nie wykryje. To tak, jakbyście zamaskowali drzwi jako biblioteczkę – wejściu nadal grozi, że zostanie sforsowane, jednak intruz najpierw musi je odkryć.

Rozdział 10
Rozszyfrowywanie haseł

K xlucze i zamki są dobrze nam znanymi i wygodnymi narzędziami zabezpieczeń. Wiadomo jednak, że stanowią zaledwie podstawowy sposób ochrony. Tak jak każde hasło może zostać skradzione [w sieci], tak klucz może zostać powielony, a zamek otwarty [w prawdziwym życiu]. Jeżeli zatrzaśniecie drzwi do domu, możecie wezwać ślusarza. Ten zwykle poprosi, byście spojrzeli w inną stronę, gdy będzie je bez trudu otwierał. Drogie zamki są trudniejsze do sforsowania, jednak nie istnieje taki, którego nie da się ostatecznie pokonać. Klucz przesuwa metalowy bolec lub zasuwkę, aż trafi do rowka we framudze; ewentualnie przekręca cylinder. Jest do tego najlepszym narzędziem, aczkolwiek jeśli dokładnie wiecie, jak pracuje ten mechanizm, możecie użyć wytrycha czy nawet improwizować z niewinnie wyglądającymi przedmiotami codziennego użytku.

Teoretycznie powinno to być powodem do zmartwień: w końcu profesjonalny ślusarz przestępca może włamać się do każdego domu, nieprawdaż? Okazuje się jednak, że niewiele osób zarywa z tego powodu noce. Ludzie raczej zakładają, że używanie wytrychów jest rzadką umiejętnością, a ci, którzy ją posiedli, mają w głowie ważniejsze sprawy niż włamywanie się. To optymistyczna filozofia. Tymczasem otwieranie zamków nie jest wcale trudną sztuką. Wystarczy zamówić małe metalowe urządzenie z internetu, dzięki któremu, po upływie krótkiego czasu spędzonego na majsterkowaniu, każdy będzie potrafił otworzyć większość najprostszych zamków. To samo można zresztą osiągnąć używając kawałka drutu i metalowej klamry długopisu. Jest to zabawna sztuczka i może się okazać przydatna. Jednak ci, którzy ją opanowali niekoniecznie będą wykorzystywać swe umiejętności w celu włamywania się do domów.

Słabości mają znaczenie tylko wtedy, gdy ktoś jest zdecydowany je wykorzystać. Fakt, że ludzie są zdolni sforsować zamki w drzwiach, nie oznacza, że wszyscy to robią. Pomimo możliwości zgarnięcia łupów, ryzyko i ludzka moralność odstrasza od tego typu działań. Dla złodziei, którzy włamują się do domów, liczy się finał przedsięwzięcia. Jeżeli ktoś rzeczywiście chce się do Was wkraść, nie zniechęci go solidny zamek w drzwiach. Może przecież spróbować zdobyć klucze.

Najważniejszy jest kontekst. Jeśli stracicie klucz, może on zostać powielony lub podmieniony. Gdy zgubicie klucz razem z danymi adresowymi, sytuacja się pogarsza. Rabusie mogą przecież od razu skierować się w stronę Waszego domu. To odpowiedni moment na telefon alarmowy do ślusarza z prośbą o wymianę zamka (bądź cylindra). Ten, wraz z nowymi kluczami, przekaże Wam spory rachunek za swoje usługi. Odnosząc to do internetu: jeśli zgubicie kartkę z zapisanym hasłem, nie będzie to miało większego znaczenia. Nawet jeśli będzie na niej i login, i hasło, także nie spowoduje to większych konsekwencji. Złodziej nie będzie wiedział, w jakim serwisie mógłby je wykorzystać. Jeżeli jednak na kartce znajdzie się adnotacja „bank”, sytuacja zacznie się zagęszczać – złodziej może spróbować zalogować się w krótkim czasie do kilku brytyjskich banków. Jeśli na kartce będzie napisane „Amazon” lub „e-Bay”, zgubienie jej może oznaczać spore kłopoty.

Hasła są często porównywane do kluczy. Jest to uzasadnione tylko do pewnego stopnia. Powielenie klucza bez fizycznego dostępu do niego jest trudne – a przynajmniej było tak do niedawna (obecnie zdjęcie klucza, nawet wykonane z dystansu, może wystarczyć do odtworzenia go w drukarce 3D). Jeżeli zgubicie hasło, zwykle łatwo jest zastąpić je nowym – wystarczy kliknąć w „Zapomniałem hasła”, by e-mail z nowym hasłem został przesłany na Waszą pocztę; ewentualnie otrzymacie link, po kliknięciu którego będziecie proszeni o wpisanie nowego hasła. Klucz również może być skopiowany, wymaga to jednak więcej zachodu. Musicie udać się do ślusarza, który nie wie, gdzie mieszkacie i nie musi Was z reguły identyfikować. Niektóre klucze mogą mieć oznaczenie „nie powielać”. Są one lepiej chronione. W takim wypadku trzeba okazać ślusarzowi swój dowód lub inny dokument tożsamości, zanim zgodzi się na powielenie klucza. Hasło natomiast może być kopiowane stale. Poniżej przykład hasła o ogromnej sile:

L1EHIJtwyljx1SIgBMunT1e9XpgRZoQfkbRmqszu1dKJUgQq-

FAeax6bm5IGq

Na pierwszy rzut oka wydaje się ono o wiele bezpieczniejsze od fizycznego klucza. Liczba możliwych kombinacji tego hasła o 60 znakach to 8,3 x 10^81, czyli więcej niż liczba atomów w widzialnym wszechświecie (około 10^80). Bezpieczeństwo jest jednak złudne[1]. Hasła mogą być łamane na inne sposoby niż próbowanie wszystkich kombinacji (tzw. atak brutalnej siły[1]). Co więcej, w przeciwieństwie do fizycznych kluczy, mogą one być wielokrotnie kopiowane, i to bezkosztowo. Mogą zostać natychmiast rozesłane po całym świecie. Każdy, kto trzyma w rękach egzemplarz tej książki, może powielić podane wyżej hasło. Każdy, kto zyska dostęp do komputera, na którym piszę tę książkę, może je ukraść. Zdobycie dostępu do czyjegoś komputera jest o wiele łatwiejsze, niż się to wielu ludziom wydaje.

Jeszcze większą słabością niż samo hasło jest witryna internetowa, na której się nim posługujecie. Fizycznego klucza używacie zawsze do konkretnego zamka. Pomysłowy włamywacz mógłby, teoretycznie, prześwietlić zamek, by dorobić sobie klucz – jeżeli jest zdolny do takich rzeczy, to i tak dostanie się do Waszego domu. Posługując się hasłem, za każdym razem gdy gdzieś je wpisujecie, powierzacie je komuś obcemu. Wyobraźcie sobie, że codziennie mielibyście zostawiać w jakimś sklepie klucze do mieszkania. Przecież mogłyby zostać skopiowane! Ktoś mógłby pozyskać wiedzę o ich kształcie. Liczycie na to, że hasła są przechowywane w bezpieczny sposób, ale nie możecie być tego pewni. Wręcz przeciwnie: Wasze dane uwierzytelniające, takie jak hasła i loginy, bywają przechowywane w sposób nieodpowiedzialny. Co do zasady powinny być zaszyfrowane – w żargonie komputerowym określa się to pojęciem hashed – tak by hakerzy, którzy je ukradną, mogli odczytać jedynie bełkotliwe treści. Dobrze utrzymywany portal powinien gwarantować, że dane użytkownika są nie tylko hashed, lecz także posolone [ang. salted], czyli okraszone dodatkowymi danymi. Tak, by złoczyńca atakujący stronę internetową nie mógł w żaden sposób wykorzystać zaszyfrowanych materiałów, ani nie mógł zestawić zaszyfrowanych haseł z kluczami z bazy danych. Powinna to być standardowa praktyka, jednak wiele firm i organizacji tak nie działa. Choć „mieszanie” i „solenie” brzmi skomplikowanie, można porównać je do zasad panujących w tradycyjnym hotelu, w którym klucze (czyli hasła) przechowywane są na recepcji[2]. Hotele, podobnie jak strony internetowe, są miejscami, gdzie jest tłoczno, a goście stale przybywają i wybywają. Trzeba więc zabezpieczyć pokoje przed intruzami, jednocześnie umożliwiając dostęp do nich pracownikom i gościom. Należy stworzyć system zabezpieczeń, który pozwala na zarządzanie tożsamością gościa, jego kluczami (i ich kopiami) oraz dostępem do pomieszczeń. Niebezpieczeństwem jest to, że ktoś może ukraść klucz i wykorzystać go do złych celów. Niemądrym rozwiązaniem byłoby zarządzanie systemem w sposób polegający na tym, że wszystkie klucze wraz z nazwiskami gości wiszą na ścianie. Oznaczałoby to, że każdy, kto przechodzi obok stanowiska recepcji ma wgląd w dane gości i – jeśli ukradnie odpowiedni klucz – może okraść konkretną osobę. Byłoby to odpowiednikiem przechowywania danych uwierzytelniających w komputerze w postaci niezaszyfrowanych plików. Nawet średnio zdolny wirtualny złodziej potrafi dostać się do cudzej sieci, odnaleźć plik z hasłami i loginami klientów oraz go skopiować. Niewiele lepszym rozwiązaniem byłoby, gdyby lista gości wynajmujących pokoje była tylko częściowo jawna. Dla intruza, który zna się na otwieraniu zamków, stanowi to tylko wsparcie. Zamiast otwierać zamki losowo, mógłby po prostu dowiedzieć się, kto zamieszkuje dany pokój i sforsować konkretne zabezpieczenie. Odpowiednikiem tego rozwiązania w świecie komputerów byłoby przechowywanie niezaszyfrowanego dokumentu o nazwie „loginy klientów”. To sposób nieco tylko bezpieczniejszy niż trzymanie danych uwierzytelniających w zwykłym tekstowym pliku. Gdy atakujący pozna login, jedyne, co musi zrobić, to domyślić się hasła – a jak już zdążyliśmy się przekonać, większość z nich jest bardzo łatwa do rozszyfrowania dzięki sztuczkom matematycznym i innym. Dużo rozsądniejsze byłoby przypisanie danego klucza do numeru pokoju i utrzymywanie oddzielnego rejestru gości, w którym do numeru pokoju przypisane byłoby nazwisko. To łagodna forma kodowania. W rzeczywistości stanowi ona standardową praktykę w wielu hotelach. Gdy zaglądacie do recepcji, możecie dowiedzieć się, że pokój 319 to apartament na trzecim piętrze. Jeśli nawet uda się Wam ukraść klucz, nie będziecie wiedzieć do kogo należy .

Jeszcze bardziej bezpieczny system polegałby na kodowaniu numerów pokojów, na przykład poprzez zamianę cyfry na literę. Jest to tzw. haszowanie: pokój CAI oznacza pokój 319 (dziecinnie prosty kod, w którym A jest odpowiednikiem 1, C – 3, a D – 4 itd.). Jeżeli intruz nie zna kodu, ma ograniczone możliwości włamania się. Może zobaczyć klucze, ale nie wie, co oznaczają litery. Włamujący się do bazy danych może te dane ukraść, ale nie ma możliwości wyciągnięcia żadnych wniosków dopóki nie rozszyfruje kodu. Jeżeli atakujący złamie szyfr, hotel będzie na przegranej pozycji: ten, kto ukradł klucze, będzie mógł przyporządkować je do gości dzięki programowi łamiącemu hasła. Zyska tym samym dostęp do każdego pokoju. Bardzo dobrze zarządzany system wymagałby wobec tego lepszego zabezpieczenia. Dodawanie losowych znaków gdzieś w środku numeru klucza – nazywa się to soleniem – sprawia, że kody stają się trudniejsze do złamania. Złodziej włamujący się do recepcji widziałby zestawy kluczy o czteroliterowych kombinacjach – CAIX czy XCAI. Bez wiedzy o tym, że jeden znak został dodany losowo, jego umiejętność łamania kodów okazałaby się bezużyteczna. Niestety, procedury stosowane przez administratorów stron internetowych, na których używa się loginów i haseł, bywają bardzo niedbałe. Czytelnicy, którzy znajdą swój adres e-mail na stronie haveibeenpwnd.com („pwnd” w żargonie hakerów oznacza: „przejęty”, „zawładnięty”) powinni czuć się zaniepokojeni. Oznacza to, że hakerzy upublicznili ich loginy i hasła, skradzione w ramach jednego z 30 największych ataków na portale. Mój własny adres e-mail edwardlucas@economist.com oraz hasła wyciekły w wyniku ataków na trzy serwisy. Najgorszy z nich został przypuszczony na Adobe Acrobat – firmę, która produkuje oprogramowanie do odczytywania i tworzenia dokumentów. W październiku 2013 roku złoczyńcy wykradli dane 153 mln kont, w tym identyfikatory, loginy, e-maile, zaszyfrowane hasła i wskazówki dotyczące haseł. Był to szokujący atak na spółkę, której ufają setki milionów ludzi (nie musicie być zarejestrowani w Adobe, by korzystać z programu umożliwiającego odczyt plików PDF, rejestracja jest jednak wymagana do korzystania z innych serwisów, np. umożliwiających tworzenie dokumentów i – o ironio – dodawanie zabezpieczeń). Byłem też zarejestrowany na Forbes.com, stronie amerykańskiego koncernu medialnego, która została zaatakowana w lutym 2014 roku i straciła ponad 1 mln kont użytkowników. Uznano, że napastnikami są członkowie proreżimowej grupy Syryjska Armia Elektroniczna (Syrian Electronic Army), pragnący zemścić się za komentarze „Forbesa” dot. polityki międzynarodowej. Być może jednak najbardziej upokarzającym atakiem był ten skierowany w Stratfor, prywatną agencję analityczno-wywiadowczą. Ośrodek ten prawdopodobnie nieroztropnie stworzył wokół swojej działalności oraz swych informatorów aurę tajemniczości. Niektórzy zaczęli sądzić, że jest przykrywką Centralnej Agencji Wywiadowczej (CIA). W grudniu 2011 roku zgraja walczących o wolność hakerów pod nazwą Anonymous, która atakowała różne grupy, w tym scjentologów, złamała zabezpieczenia Stratfora (okazały się śmiesznie słabe) i upubliczniła setki gigabajtów danych z adresami e-mail oraz numerami kart kredytowych służących do dokonywania płatności i przekazywania darowizn. Na szczęście nie byłem płatnym subskryberem ośrodka Stratfor. Wyciekło również 860 tys. danych kont użytkowników z kompletnymi e-mailami i zhaszowanymi lecz nieposolonymi hasłami.

Takie ataki mają ograniczone skutki dla użytkowników, którzy używają unikalnej kombinacji loginu i hasła dla każdej strony. Większość osób jednak używa takich samych, słabych, haseł na wielu stronach – to taka sama lekkomyślność mogąca przynieść fatalne skutki, jak seks bez zabezpieczenia. Przyczyna tego jest oczywista: trudno zapamiętać wiele haseł jednocześnie. A przecież mało kto chciałby zatrzymać się w hotelu, w którym jeden klucz pasuje do każdych drzwi, również tych prowadzących do pokoju, w którym już kiedyś mieszkali. Nikt nie zgodziłby się podawać pełnych danych karty kredytowej za każdym razem, gdy chciałby zapłacić.

Im więcej informacji o kimś zostanie przechwyconych, tym łatwiej będzie się pod niego podszyć. Gdy poznacie czyjś dawny i obecny adres, nazwiska i daty urodzenia wszystkich członków jego rodziny, wakacyjne lokalizacje, tytuły ulubionych filmów i książek, a także dowiecie się, czy ma on zwierzęta, będziecie mogli wrzucić wszystkie te dane do programu, który zacznie odgadywać jego hasła. Gdy wpadniecie na jedno hasło, łatwo będzie Wam odgadnąć kolejne: ludzie, którzy proszeni są o zmienianie hasła co miesiąc, zwykle robią to tak: Economist01, Economist02, Economist03, Economist04 itd.[3]. Niechlujne szyfrowanie sprawia, że gdy dane hasło zostanie raz złamane, zaczyna stanowić zagrożenie w wielu miejscach naraz – nawet jeśli posługują się nim różne osoby. W szczególności hasłem nie powinien być nigdy wyraz znajdujący się w słowniku – nawet wzbogacony o dodatkowe znaki.

Do tej pory banki i inne instytucje w odpowiedzi na zagrożenia nie zaproponowały nowej koncepcji utrzymywania relacji z klientami. Jedyne, na co było je stać, to zaostrzenie i tak już uciążliwych zasad dotyczących stosowania kluczy. Od klientów oczekuje się, by posługiwali się jakimś łatwym do zapamiętania słowem, numerem kontrahenta, numerem PIN oraz żeby byli w stanie zapamiętać je wszystkie w prawidłowej kolejności, stosowali różne konfiguracje w kilkunastu różnych portalach i zmieniali je regularnie. Ta istna choroba hasłowa jest receptą na katastrofę – stworzyliśmy system, w którym spodziewamy się, że ludzie będą używać haseł trudnych do zapamiętania, jednak łatwych do odgadnięcia przez komputery. Czas przestać polegać na hasłach – w Rozdziale 11 przedstawiam sposoby, które nas do tego doprowadzą.

Tymczasem istnieje wiele środków ostrożności, jakie zwykli użytkownicy mogą zastosować, by chronić (przynajmniej częściowo) swoje dane uwierzytelniające. Ważne jest, by nie używać tego samego hasła na różnych kontach. Uchroni Was to przed niebezpieczeństwem, że atakujący zdobywszy jedno hasło (na przykład do Waszego e-maila), zresetuje pozostałe – przejmie Gmail, a następnie Yahoo lub odwrotnie. Dobrze jest mieć jedno konto e-mail do odzyskiwania haseł i nie używać go do niczego innego. Zmniejszy to prawdopodobieństwo, że intruz dowie się, jakie konto zhakować. Zapobiegnie to szkodliwej działalności hakera.

Możecie też użyć menedżera haseł, takiego jak Lastpass. Tworzy on oddzielne, losowe hasła do każdej platformy, w której się logujecie – inne dla konta e-mail, inne dla bankowości online, jeszcze inne dla Skype'a, Facebooka itd. Te hasła przechowywane są w zaszyfrowanej formie w Waszej przeglądarce (nie na stronie Lastpass). Chronicie je za pomocą bardzo silnego hasła czy frazy. Fraza składa się z czterech lub pięciu losowych słów, które łatwo jest zapamiętać i tworzy hasło zapobiegające atakowi typu brutalna siła. Indywidualny użytkownik może zrobić najwyżej tyle. Największy udział w zapewnieniu bezpieczeństwa haseł powinna mieć nie osoba, do której hasło należy, lecz osoba, która o nie prosi. Nie jest to jedynie kwestia haszowania i solenia haseł, lecz ograniczania liczby aktywności, w ramach których stosowane jest jednoetapowe uwierzytelnienie.

Wiele stron internetowych wymaga więcej niż haseł, zadając np. pytania zabezpieczające (szczególnie przed udostępnieniem ważniejszych informacji). Są to prośby o podanie daty urodzenia, nazwiska panieńskiego matki, nazwy ulubionej drużyny sportowej czy części adresu. To bezużyteczne. Odpowiedzi na te pytania są łatwe do wyszukania przez hakerów – daty urodzenia czy numery ubezpieczenia społecznego i adresy domowe nie są przecież tajnymi informacjami.

Moją własną datę urodzenia i nazwisko panieńskie matki można znaleźć na stronie Wikipedii, a mój adres domowy jest podany do publicznej wiadomości, ponieważ jestem dyrektorem firmy – jednak mój bank nalega na traktowanie tych informacji jako „pytania bezpieczeństwa”.

Nawet odpowiedzi na pytania w rodzaju „Imię pierwszego zwierzaka?” czy „Kto był Waszym ulubionym nauczycielem?” są łatwe do odgadnięcia dla wścibskiego intruza.

O wiele lepsze byłoby pytanie oparte na fałszywych informacjach.

Dzięki podejmowanym przez nas przez 20 lat staraniom ludzie wreszcie używają haseł, które trudno jest zapamiętać, za to łatwo rozszyfrować (przez maszyny).

Rysunek 1. Skopiowane ze strony xkcd.

Niektóre brytyjskie banki sprawdzają karty debetowe przy transakcjach online, wymieniając listę adresów i pytając: „pod jakim adresem nigdy nie mieszkaliście?”. Bywa, że tylko jeden adres jest fałszywy. Czasem jest ich więcej. Odnalezienie odpowiedzi na tak postawione pytanie to już wyzwanie dla podszywającego się. Proszenie ludzi o podanie prawdziwych informacji może być dobrym narzędziem zabezpieczającym, jednak proszenie ludzi o weryfikowanie fałszywych stwierdzeń jest bardziej niezawodne.

Mocnym zabezpieczeniem jest również żądanie, by dana osoba siedząca przy komputerze posiadała fizyczny przedmiot, taki jak karta czy klucz sprzętowy (jak np. klucz zbliżeniowy) z mikroprocesorem generującym numer, który należy wpisać do komputera. Jest to kolejna warstwa bezpieczeństwa. Czym innym jest zdobycie hasła, a czym innym grzebanie w czyjejś kieszeni. Klucze sprzętowe cierpią z powodu problemu monokultury: jeżeli jesteście w stanie zaatakować firmę, która je wystawia, macie duże szanse na rozszyfrowanie zabezpieczeń w nich zawartych. Urządzenia te generują liczby w odniesieniu do pory dnia, używając algorytmu i losowo wybranych cyfr, które są „zaszczepiane” w nich w czasie produkcji. Jeżeli zgadniecie losowy numer i algorytm, możecie znaleźć numer wygenerowany w danym momencie. RSA, amerykańska firma z branży bezpieczeństwa cyfrowego, która wystawia tokeny SecurID, musiała wymienić 40 mln tych narzędzi w 2011 roku w wyniku tego, co zostało opisane jako wysoce wyrafinowany cyberatak, który doprowadził do włamu w zabezpieczeniach jednego z ich najważniejszych klientów – koncernu zbrojeniowego Lockheed Martin[2].

Ta sama technologia może zostać zainstalowana na telefonie komórkowym. Na przykład Google Authenticator jest sprytnym oprogramowaniem, które może być pobrane na dowolny smartfon. Gdy loguję się do Google z innej lokalizacji, prosi mnie o podanie sześciu cyfr numeru, który pojawia się na moim telefonie. Zakładając, że Google bardziej niż RSA dba o bezpieczeństwo, tylko ktoś podglądający przez ramię wyświetlacz mojego telefonu może poznać ten numer (chyba że jest ekspertem Agencji Ochrony Rządu, jednak w tym wypadku bardziej będzie mnie martwić co innego). Ten rodzaj dwuskładnikowego uwierzytelniania jest o wiele bezpieczniejszy niż kody wysyłane za pomocą wiadomości tekstowej. Mimo że tworzy to dodatkowe trudności dla atakującego, nie jest nie do pokonania. Używając odpowiedniego złośliwego oprogramowania (szczegółowo opisuję je w Rozdziale 7), wiadomości można przechwycić i skasować zdalnie.

Możliwe jest także korzystanie z zabezpieczeń biometrycznych. Może się to wiązać ze skanowaniem siatkówki, odcisków palców, analizą rytmu serca, oddechu, postawy lub chodu. Żadne z tych rozwiązań nie jest niezawodne. Da się je obejść, używając zamiast odcisków palców żelatynowych słodyczy, takich jak galaretki dziecięce. Jeżeli urządzenie, które pobiera dane biometryczne jest źle zaprojektowane i marnie utrzymywane, dane uwierzytelniające można wprowadzić do niego bezpośrednio: komputer będzie myślał, że podano mu linie papilarne, a w rzeczywistości otrzyma tylko cyfrowy odpowiednik skradzionego wcześniej odcisku palca.

Te systemy jednak są coraz lepiej projektowane. Nie pytają o cały obraz, tylko o jeden jego element. Na przykład komputer wysyła do czytnika zapytanie, czy palec ma konkretny wzór, a czytnik odpowiada: tak lub nie. Najbardziej wyszukane biometryczne systemy zabezpieczeń są również najmniej inwazyjne. Analizują sposób, w jaki siedzicie na krześle, jak wyglądacie, w jaki sposób oddychacie i piszecie. Może się okazać, że nie przejdziecie weryfikacji – może to dotyczyć np. kobiety w ciąży, która skaleczyła sobie palec i cierpi z powodu kataru siennego. Wówczas w grę wchodzić będzie jeszcze inne zabezpieczenie. Ewentualnie znajomy tej kobiety zostanie poproszony o potwierdzenie jej tożsamości. Najbardziej zaawansowane techniki biometryczne chronią nawet przed tzw. atakiem gumową pałką [ang. rubber hose], w ramach którego ofiara zmuszana jest przemocą do złamania zasad bezpieczeństwa. W dobrze zabezpieczonym otoczeniu komputer zauważy stres – szybsze bicie serca, oddech czy temperaturę skóry – i zasygnalizuje to, wszczynając alarm.

Innym sposobem myślenia jest oczekiwanie pewnej naturalnej racjonalności w internetowych kontaktach z przyjaciółmi, klientami, dostawcami i współpracownikami. Specjalista ds. bezpieczeństwa w sieci Roger Grimes stworzył użyteczną listę rzeczy, których „nie zrobiłby prawdziwy ja”. Dla przykładu: nie kupiłby produktu i nie wysłałby go do innego kraju. Jeżeli więc zamówi cokolwiek, co ma być wysłane w miejsce inne niż jego adres domowy, firma powinna do niego zadzwonić – i to nie na niedawno podany numer, tylko na ten, który ma od lat. Gdy oszuści zyskują dostęp do jakiejś części Waszej tożsamości, używają jej zwykle do zmiany innych danych uwierzytelniających, i to z reguły natychmiast. Później posługują się nowymi danymi, by kraść. Grimes sformułował więc ogólne ostrzeżenie: „nigdy nie zmienię adresu mojej poczty, numeru telefonu ani adresu e-mail, nie prześlę również wszystkich pieniędzy do innego banku jednego dnia, a tym bardziej podczas tej samej sesji”. Grimes uprzedził swój bank, by ten nigdy nie opróżniał (na jego rzekome polecenie) konta i nie księgował przelewów bez potwierdzenia sformułowanego w trakcie połączenia z telefonu używanego przez niego od lat. Zastrzegł u doradcy finansowego, że nie wolno mu nigdy sprzedać wszystkich aktywów z jego portfela tego samego dnia, ze stratą, i przesłać pieniędzy do obcego banku. Ludziom, którzy nadzorują procesy odzyskiwania haseł, przekazał, że nie będzie nigdy próbował zresetować haseł, nie posiadając wielu szczegółowych danych służących weryfikacji, takich jak np. informacje o ostatniej transakcji, data ostatnich zakupów, lokalizacja itp. Przyjaciołom powiedział zaś, że nigdy nie wyśle im e-maila mówiącego o tym, że utknął bez grosza w jakimś obcym kraju. Nie wyśle im również e-maila zachęcającego do zainstalowania jakiegoś oprogramowania; nie będzie prosił ich o hasła oraz nie zaoferuje im dziwnych usług finansowych itd.

Brzmi to sensownie, jednak wdrożenie takich zastrzeżeń musiałoby się wiązać ze zmianą paradygmatu w obsłudze klienta online. Firmy przyzwyczaiły się do tego, że uwierzytelnienie przeprowadzają w sposób możliwie tani i zautomatyzowany. Jeżeli klient posiada hasło i login, wystarczy to do przeprowadzenia transakcji. Te środki bezpieczeństwa działały jednak tylko do czasu, gdy przestępcy zorientowali się, na czym one polegają. Hasła to już nic więcej niż klucze do skrzynek depozytowych w banku. Jeżeli posiadacie klucz, macie dostęp do zawartości. Lepiej więc tego klucza pilnować. Kosztowności natomiast najlepiej trzymać w jakimś innym, bardziej bezpiecznym miejscu.

[1] Gdy z bazy Linkedln w 2012 roku wyciekło 6,5 mln haseł, Jeremi Gosney ze Structure Consulting Group, używając łatwo dostępnych narzędzi, był w stanie złamać 1,3 mln z nich w 30 sekund, a ponad połowę w zaledwie dwie godziny. W ciągu dnia złamał 4 mln haseł.

[2] W prawdziwym świecie używamy zwykle różniących się od siebie kluczy. Gdy korzystamy z komputerów, korzystamy często z jednego, tego samego hasła, narażając się w ten sposób na niebezpieczeństwo.

[3] Oczywiście to fikcyjny przykład.

Rozdział 11
Polityka tożsamości

Nasze myślenie o tożsamości to istny mętlik pojęć. Skupiamy się głównie na dwóch przysługujących nam prawach: do bycia anonimowym i do zachowania prywatności. Oba są istotne (choć podkreślam, że przesadna dbałość o prywatność może przyciągnąć czyjąś uwagę, utrudniając zachowanie anonimowości). O wiele mniej uwagi poświęcamy natomiast prawom do potwierdzenia swej tożsamości oraz do uzyskiwania wiedzy o tym, w jaki sposób dotyczące nas dane przechowywane są przez różne podmioty. Tymczasem bez tych praw naszemu życiu online zupełnie brakowałoby równowagi.

W prawdziwym życiu konieczność identyfikacji bywa uciążliwa. Wierzymy jednak, że stanowi ona też nasze prawo. Kraje odmawiające wystawienia dokumentów tożsamości pewnej części populacji słusznie uznawane są za łamiące prawa człowieka. Wielu Beduinów w krajach arabskich, Kurdów w Syrii, muzułmanów Rohingya w Birmie oraz małych dziewczynek w krajach islamskich nigdy ich nie otrzymuje. Brak odpowiednich papierów czyni nielegalnych imigrantów w Stanach Zjednoczonych podatnymi na oszustwa i napaści. To dość powszechne.

Dla nas, będących w uprzywilejowanej pozycji, mających możliwość zidentyfikowania się w codziennym życiu, myśl o tym, że moglibyśmy nie być do tego zdolni, wydaje się irytująca, a nawet przerażająca. Gdy otrzymujemy paszport, prawo jazdy czy akt urodzenia, spodziewamy się, że będziemy traktowani poważnie i że nasze życiowe decyzje będą wiążące. Prawdą jest, że wyrabianie większości dokumentów jest dobrowolne. Nie musimy przecież zdawać egzaminu na prawo jazdy, jeśli nie chcemy prowadzić auta. Nie musimy podróżować poza granice kraju. Nie musimy mieć konta w banku, ani posiadać nieruchomości. Możemy nawet (będąc na przykład mnichem czy zakonnicą) nie płacić podatków. Jeżeli chcemy, możemy zupełnie wycofać się z życia społecznego, lecz nawet wówczas zachowamy przynajmniej szczątkową tożsamość. Zgodnie z prawem każdy, kto urodził się w Wielkiej Brytanii, musi zostać zarejestrowany, uzyskać akt urodzenia, a w wieku lat szestastu – numer ubezpieczenia społecznego (jego odpowiednikiem w USA jest American Social Security Number, ASSN). Trzeba zostać zarejestrowanym w spisie wyborców, nawet jeśli ktoś nie zamierza głosować. W niektórych państwach przepisy są jeszcze bardziej surowe. W Niemczech, tak jak w wielu krajach na kontynencie europejskim, istnieje Ausweispflicht: każdy mieszkaniec Niemiec (obywatel lub przyjezdny) ma obowiązek prawny zidentyfikować się, gdy państwo o to prosi. Rezydenci muszą także wskazać miejsce swojego zamieszkania (Meldepflicht) oraz poinformować władze, gdy będą opuszczać kraj.

W różnych kulturach panują trochę inne zasady, generalnie jednak zgadzamy się co do tego, że nasza tożsamość powinna poddawać się obiektywnej weryfikacji. Posiadanie świadectwa urodzenia, numeru identyfikacji podatkowej czy ubezpieczenia społecznego nie wydaje się nas przytłaczać. Gdy wyjeżdżamy autem na ulicę, jest prawie pewne, że mamy z sobą prawo jazdy, a samochód ma tablice rejestracyjne. Anonimowość w dziejach rozwoju internetu stanowi więc uderzające odstępstwo od normy. Gdyby trzydzieści lat temu polityczni decydenci zastanawiali się, jak najlepiej wykorzystać wzrost mocy obliczeniowych i rozwój łączności, to czy uznaliby, że ludzie i organizacje mogą mieć w sieci tyle tożsamości, ile zapragną? Nawet jeśli miałoby to uniemożliwić weryfikację tożsamości w sieci? To całkiem prawdopodobne. Architekci internetu są zadowoleni ze sposobu, w jaki sieć się rozwinęła. Owa anarchiczna wolność panująca w tym świecie ma jednak cenę. Ataki nasilają się, a my płacimy za to naszym bezpieczeństwem i wolnością.

Co ważniejsze, oczekujemy również, że będziemy mogli potwierdzić [przed kimś] naszą własną tożsamość, gdy zaistnieje taka potrzeba. Bylibyśmy wściekli, gdyby na przykład w supermarkecie odmówiono nam sprzedaży alkoholu po okazaniu prawa jazdy lub paszportu potwierdzającego naszą pełnoletniość. Spodziewamy się, że nasze dokumenty będą ważne nie tylko podczas przekraczania granic kraju, ale także na jego terytorium. Kiedyś funkcjonowały specjalne międzynarodowe prawa jazdy; obecnie oczekujemy, że nasze krajowe prawo jazdy będzie obowiązywać tam, dokąd pojedziemy. Sprzeciwiamy się wszelkim próbom pozbawienia nas narodowości lub odebrania dokumentów, nie chcąc być Beduinami we własnym kraju.

W internecie sprawy wyglądają jednak inaczej. Jesteśmy cyfrowymi Beduinami, uzależnionymi od zaufania i dobrej woli innych, poddającymi się narzucanym przez nich w sposób arbitralnym zasadom i ograniczeniom. Nie istnieje żaden uniwersalny sposób na potwierdzenie własnej tożsamości w sieci – nawet względem kogoś, kto do tego dąży. Prowadząc z kimś interesy online, nie możecie być go do końca pewni. Jak już się przekonaliśmy, w sieci ciężko jest ustalić czy mamy do czynienia z właściwą firmą (certyfikaty bezpieczeństwa SSL używane do tworzenia bezpiecznych połączeń w e-handlu są znacznie mniej wiarygodne niż wynikałoby to z powszechności ich użycia). Kontakty za pośrednictwem e-maili, mediów społecznościowych czy innych form komunikacji, można porównać do idei balu maskowego w Wenecji.

Sprawy mają się jeszcze gorzej: swoją tożsamość musimy potwierdzać według zasad narzuconych przez innych ludzi, nawet jeśli są bzdurne lub uciążliwe. Dlaczego niby mamy podawać obcej osobie naszą datę urodzenia, nazwisko panieńskie matki, adres domowy, dane konta bankowego, karty kredytowej i wiele innych szczegółów? Liczne badania prowadzone w ostatnich latach pokazują, że nie warto ufać osobom trzecim, gdy idzie o nasze prywatne sprawy. Po co wymyślać hasło i login (według głupich, uciążliwych zasad odnoszących się do liczby znaków, cyfr, dużych liter, znaków specjalnych, spacji itd.)? Wiemy przecież, że firmy i rządy nie przechowują ich w sposób bezpieczny. Jeżeli pozwolą hakerowi wykraść Wasz login i hasło, ktoś może się pod Was podszyć, działając na konkretnych stronach internetowych. Jak pisałem w Rozdziale 10, hasła stają się coraz bardziej bezsensownym środkiem bezpieczeństwa. Problem ów próbuje się rozwiązać na wiele różnych sposobów. Niektóre serwisy zezwalają na logowanie się za pomocą kont Google’a, Facebooka czy Twittera. Ma to pewne zalety. Podstawą Waszej identyfikacji są dane, które podaliście już wcześniej. Jest to w zupełni wystarczające, gdy idzie np.  o pisanie komentarzy na forach. Facebook ma 1,3 mld aktywnych użytkowników miesięcznie, Twitter – 250 milionów. Jeżeli w kontach mediów społecznościowych podaliście dane kart kredytowych, możecie także robić zakupy online. Zainteresowana firma będzie znała Wasz login i bank, za pośrednictwem którego dokonujecie przelewów. Może również zidentyfikować Was po danych Waszej przeglądarki (ustawień języka itp.) i ciasteczek, które zaakceptowaliście na swoim komputerze. Na tej podstawie będzie oferować Wam różne produkty i usługi (oraz dopasowywać ich cenę). To, co w przypadku drobnych transakcji sprawdza się to doskonale, nie może jednak być podstawą naprawdę ważnych operacji. Przecież każdy może założyć konto na Twitterze, Google’u czy Facebooku – albo we wszystkich tych portalach, a zainteresowane firmy nie czynią żadnego wysiłku, by weryfikować informacje. Możecie kupić kartę przedpłaconą i doładować ją, gdy skończą się Wam pieniądze. Z punktu widzenia dostawcy nie ma to znaczenia. Dla poszczególnych użytkowników nieco kłopotliwy, ale łatwy sposób robienia zakupów w internecie jest lepszy niż nic lub niż proces uciążliwy i skomplikowany.

Te kwestie mają jednak znaczenie dla społeczeństw. Chaos ma wysoką cenę. Według badań przeprowadzonych przez brytyjski rząd, koszty zmagania się z problemem cyfrowych tożsamości sięgają w tym kraju 3,3 mld funtów – z czego połowę stanowią wydatki organizacji, a reszta mierzona jest nakładem czasu użytkowników. System, którym rządzi przypadkowość, ułatwia życie hakerom. Gdy wykradniecie z Facebooka tożsamość Chipa lub Pin, możecie zyskać kontrolę nad resztą ich życia. Łatwo jest podszywać się pod ludzi i organizacje – co stanowi kluczowy element oszustw takich jak spear-phishing (toksyczne e-maile) czy watering hole attack (toksyczne strony internetowe). W jaki sposób jednostka może dowiedzieć się, z kim tak naprawdę ma do czynienia w internecie? I jak zabezpieczyć aktywności, które są naprawdę ważne, takie jak głosowanie w wyborach, współpraca z agencjami rządowymi czy podpisywanie dokumentów?

Jednym z rozwiązań są cyfrowe dowody tożsamości wydawane przez rządy państw. W krajach takich jak Wielka Brytania czy Stany Zjednoczone nie są one jednak popularne. Ludzie nie chcą, by rząd wiedział, co robią, jakich dokonują transakcji w swoim banku, jakie przeglądają strony internetowe i do kogo wysyłają e-maile. Uważają, że byłaby to ingerencja w ich prywatność.

Inną opcją są identyfikatory. Przedsiębiorstwa z reguły wydają swym pracownikom specjalne karty umożliwiające wchodzenie i wychodzenie z ich budynków. Bywa, że są one wykorzystywane także jako karty dostępu do komputerów i sieci. Jednak posługiwanie się takimi kartami (czy innymi narzędziami) poza pracą jest rzadkością. Firmy nie chcą wydawać identyfikatorów osobom trzecim, pracownicy natomiast z pewnością nie czuliby się komfortowo, gdyby życie prywatne miało im się kojarzyć z pracą. Zresztą nie chodzi tylko o kwestię ochrony prywatności. Gdybyście używali firmowego identyfikatora do wysyłania e-maili, potwierdzania swej tożsamości przy okazji operacji płatniczych czy podpisywania elektronicznych dokumentów, z pewnością okazałoby się to problemem, gdy zechcielibyście zmienić pracę.

W USA pracodawcy są głównymi dostawcami usług ubezpieczenia zdrowotnego. Sprzyja to zjawisku tzw. unieruchomienia w pracy [ang. job lock]. Porzucenie niezadowalającej posady i szukanie innej ma sens tylko wtedy, gdy koszt utraconych świadczeń nie przekracza wartości kilkutygodniowego wynagrodzenia. Jeżeli natomiast miałoby to oznaczać utratę ubezpieczenia zdrowotnego dla rodziny, byłoby nieakceptowalnym ryzykiem[1]. Właśnie teraz, gdy reforma systemu opieki zdrowotnej Baracka Obamy niweluje zjawisko unieruchomienia w pracy, nie warto ograniczać mobilności pracowników, wprowadzając barierę polegającą na tym, że zmianie miejsca zatrudnienia towarzyszyłyby uciążliwe lub ryzykowne zmiany w tożsamości online.

Lepszym pomysłem wydaje się zatem identyfikowanie się za pomocą loginu bankowego czy numeru karty kredytowej. Robiąc zakupy w internecie, tuż po podaniu danych dotyczących transakcji, możecie zostać przeniesieni na stronę, na której Wasz bank lub wystawca karty kredytowej poprosi o wprowadzenie dodatkowych informacji, na przykład kolejnego hasła czy odpowiedzi na pytanie bezpieczeństwa. Z pewnością zwiększa to bezpieczeństwo obu stron transakcji, nie ma jednak szerszego zastosowania. Nie możecie, na przykład, używać loginu bankowego do płacenia podatków online.

Niezależni dostawcy tożsamości (komercyjni i niekomercyjni) starają się wypełnić tę lukę. Na przykład miiCard oferuje różne sposoby uwierzytelniania, w zależności od tego, jakie informacje jesteście gotowi podać. Może zidentyfikować Was przez komputer, a później poprzez adres, z którego wysyłacie i odbieracie dane w internecie. Może sprawdzić Wasz adres w spisie wyborców (jeżeli jesteście Brytyjczykami), a także zweryfikować szczegóły Waszego konta bankowego.

Zaopatrzy Was w kartę ID z takim dwuwymiarowym kodem:

Poproszeni o zidentyfikowanie się, pokazujecie ten kod, a podmiot próbujący potwierdzić Waszą tożsamość skanuje kartę i sprawdza informacje dostarczone przez miiCard. Ma to dobre i złe strony. Skąd możecie wiedzieć, czy miiCard przechowuje Wasze dane w bezpieczny sposób? Gdy zarejestrowałem się w usłudze, zauważyłem, że muszę wpisać pełne dane dostępowe konta bankowego – dotąd nawet mój bank o to nie prosił (bank pyta o losowo wybrane znaki z hasła, a nie o pełne jego brzmienie)[1].

Istotną zasadą bezpieczeństwa jest przekazywanie jak najmniejszej ilości danch w trakcie danej opercji. Dzięki temu w przypadku ewentualnego ataku szkody są niewielkie. Dobry system weryfikacji przedziału wiekowego, w którym znajduje się internauta nie pyta o datę urodzenia, by porównać ją z informacjami z bazie danych, lecz zadaje pytanie w rodzaju: „czy ta osoba ma więcej niż 65 lat?”. Odpowiedzią jest „tak” lub „nie”. Inną wersję tego typu usług oferuje francuskie https card. Podejście jest podobne: szesnaśnie możliwych poziomów weryfikacji, poczynając od komputera, poprzez sprawdzenie numeru telefonu, e-maila, po dane biometryczne (odcisk palca lub skan siatkówki) i DNA (na żądanie). Za najwyższy poziom ochrony subskrybenci muszą płacić znaczne sumy (249 euro czyli ok. 200 funtów lub 340 dolarów). Serwis mógłby wzbudzić więcej entuzjazmu, gdyby – pośród innych dziwactw – nie żądał opłaty za rok z góry (sic!).

Nieprawdą byłoby twierdzenie, że opisane sposoby [potwierdzania tożsamości w sieci] mają powszechne zastosowanie. Bardziej obiecujące wydają się próby podejmowane przez międzynarodowe stowarzyszenie operatorów telefonii komórkowej, by urządzenia pełniły rolę podstawowego identyfikatora. Telefony mobilne (znane jako telefony komórkowe w USA i kilku innych krajach) nie są już egzotyczne i drogie. To małe komputery, które umożliwiają surfowanie w internecie i które trwale związane są z kwestią uwierzytelniania danych oraz z systemami płatniczymi. Przecież aby odpowiednio skierować połączenie, system musi zidentyfikować urządzenia na obu krańcach. „Komórka” musi również wiedzieć, kto za nie płaci. Co więcej, wiele osób używa dziś swoich telefonów jak wirtualnych portfeli. Chcąc uregulować należność można zarówno wysłać wiadomość tekstową, jak również posłużyć się sprzętem, by dotrzeć do systemu płatniczego (takiego jak PayPal). Można także zażądać, by koszt danego towaru czy usługi doliczony został do rachunku za telefon. Telefon może wyświetlić dwuwymiarowy kod, który sprzedawca może zeskanować.

Choć koncepcja jednej, wszechobecnej cyfrowej tożsamości nie została jeszcze zrealizowana, dużo pracy włożono, by można było rozpoznawać już istniejące tożsamości. Szczególnie obiecujące są prace nad architekturą rozproszonego uwierzytelnienia (OpenID Connect), zapoczątkowane w 2014 roku. Dzięki nim ludzie będą mogli prowadzić strony internetowe bez konieczności kosztownego i wiążącego się z pewnym ryzykiem przechowywania haseł i innych danych użytkowników. Ci, zamiast tworzyć nowe identyfikatory, będą mogli korzystać z jednego, stałego. Będzie to cyfrowy odpowienik paszportu – dokumentu umożliwiającego międzynarodowe podróże w [prawdziwym] świecie. Wyobraźcie sobie, że musielibyście wyrabiać osobne dokumenty do każdego kraju, jaki chcielibyście odwiedzić. Chcąc pojechać np. do Japonii, potrzebowalibyście jednego paszportu na lot tranzytowy do Niemiec i drugiego, by dotrzeć do celu Waszej podróży. Musielibyście podać w każdym z dokumentów wiele istotnych prywatnych danych, ale miałyby one jednorazowe zastosowanie. Co gorsza, wyobraźcie sobie, że ów paszport można by z łatwością skopiować. Ktoś mógłby go powielić i zacząć podszywać się pod Was. Stworzenie dokumentu, którego nie da się podrobić, wymagałoby uczynienia go bardzo skomplikowanym (wyobraźcie sobie na przykład papierowy paszport, który musiałby przybrać formę konkretnej figurki origami, by mógł być uznany za ważny). Byłoby to odpowiednikiem procesu tworzenia (i zapamiętywania) złożonego hasła. Pierwszym etapem budowy lepszego systemu byłoby uznanie przez kolejne kraje ważności dokumentów podróży wystawianych przez dane państwo. Dokumentem zezwalającym na odwiedzenie Japonii, moglibyście wówczas posłużyć się także wjeżdżając do Niemiec. Oczywiście, nie rozwiązywałoby to elementarnego problemu: że paszporty są kłopotliwe, łatwe do powielenia i zawierają zbyt wiele wrażliwych danych. Z pewnością obniżyłoby to jednak liczbę potrzebnych Wam dokumentów. Ta metoda [identyfikacji] rozwija się już w sieci dzięki Twitterowi i Facebookowi – posługując się utworzonymi dla ich potrzeb identyfikatorami, możecie logować się w różnych serwisach. Usługi takie jak OpenID Connect są odpowiednikiem uniwersalnych czytników paszportów. Jeżeli pojawicie się na danej stronie, ta przekieruje Was do serwisu OpenID z żądaniem ujawnienia określonych danych uwierzytelniających. Jeśli otrzyma te, których potrzebuje, pozwoli Wam się zalogować. Operatorzy mogą wymagać bardzo szczegółowej identyfikacji – na przykład danych z dowodu osobistego, z jakiegoś dokumentu wystawionego przez bank lub z karty kredytowej. Równie dobrze mogą zadowolić się danymi, które pozwolą im powiązać Waszą aktywność na stronie danego dnia z tym, co robiliście dzień wcześniej lub tym, co planujecie zrobić.

Łatwiej jest posługiwać się elektronicznymi paszportami, niezależnie od tego, ile ich mamy. Wciąż jednak nie rozwiązuje to zasadniczego problemu: że nie są one dobre. Krajem, któremu ów problem udało się z sukcesem rozwiązać jest Estonia[2]. W odróżnieniu od obywateli innych krajów, Estończycy, dzięki dobrym wyborom i odrobinie szczęścia, mogą korzystać dziś z bezpiecznej wygodnej cyfrowej tożsamości (cyfrowe ID), ciesząc się prywatnością chronioną na najwyższym poziomie i wyrażając poparcie społeczne dla tego konceptu.

Najczęstszą reakcją wielu ludzi na pomysł, by dowód osobisty wydany przez organy władzy danego kraju zawierał najważniejsze informacje dotyczące ich życia, jest lęk. Przywołuje to koszmarne myśli o wszechwiedzącym Wielkim Bracie. Koncepcja, by policja mogła weryfikować naszą dokumentację medyczną i saldo rozliczeń z urzędem podatkowym, mieć wgląd do naszej bankowości internetowej oraz dostęp do wysyłanych i odbieranych przez nas e-maili, przypomina jakiś upiorny panoptykon. Jednak taki sposób myślenia o bezpieczeństwie jest błędny. Tak bowiem, jak możecie potwierdzić Waszą tożsamość w wielu miejscach na świecie za pomocą paszportu, tak możecie w różny sposób posługiwać się bezpiecznym cyfrowym ID w sieci. Możecie przecież użyć paszportu w trakcie procesu identyfikacji w banku, a następnie udać się do notariusza z tym samym dokumentem, by udowodnić, że jesteście właśnie tą osobą, która za chwilę podpisze dokumenty. Następnie możecie przedłożyć ów paszport w urzędzie stanu cywilnego, by zarejestrować się jako świadek na ślubie, a także w sklepie monopolowym, by udowodnić, że jesteście pełnoletni i możecie nabyć alkohol. Na lotnisku natomiast możecie posłużyć się paszportem przed wejściem na pokład samolotu. Fakt, iż wylegitymowaliście się nim we wszystkich tych miejscach nie będzie wcale oznaczał, że biuro paszportowe zyska szczegółową wiedzę, o tym, co robiliście w każdym z nich. Tak samo będzie w przypadku Waszej działalności w sieci, jeśli tylko system uwierzytelniania zostanie zaprojektowany we właściwy sposób. Będziecie używać swojej karty tożsamości by zidentyfikować się w kontakcie z bankiem, by podpisać dokument albo stwierdzać fakt podpisania go, by udowodnić swój wiek oraz by kupić bilet samolotowy.

Oczywiście, wścibski rząd, chcący kontrolować życie swoich obywateli, może wykorzystać do tego cyfrowego dowody tożsamości. Wówczas jednak to charakter władz, a nie fakt istnienia kart tożsamości, stanowi prawdziwy problem mieszkańców.

W systemie estońskim obywatel ewidencjonowany jest już od dnia narodzin. Bezpieczna cyfrowa tożsamość jest prawem każdego dziecka urodzonego w tym kraju. Jeszcze zanim nowo narodzony Estończyk opuści szpital, zostaje zarejestrowany w systemie ubezpieczenia zdrowotnego. O fakcie narodzin dziecka rodzice informują poprzez internet organy podatkowe i otrzymują za pomocą elektronicznego przelewu bankowego zasiłek macierzyński. Filarem tego systemu jest cyfrowy dowód osobisty, który każdy mieszkaniec Estonii otrzymuje w wieku piętnastu lat. Kartą tą posługiwać się można, umieszczając ją w specjalnym czytniku kart. Urządzenia te są łatwo dostępne i niedrogie. Stanowią domyślne wyposażenie większości komputerów w Estonii. Można również kupić nieskomplikowany gadżet, który jako czytnik kart może być noszony na breloczku. (Najnowocześniejszy wariant systemu, jak przekonamy się później, redukuje konieczność posiadania fizycznej karty, zastępując ją opcją w telefonie komórkowym).

Identyfikator jest przydatny tylko w takim zakresie, w jakim dany podmiot go akceptuje. Kolejnym ważnym elementem systemu estońskiego jest platforma „X-road” – sieć sieci, poprzez które komunikują się z sobą wszystkie agencje rządowe kraju. Stanowi ona w istocie system operacyjny państwa. Nie ma to nic wspólnego z Wielkim Bratem. O wiele lepiej jest patrzeć na to w inny sposób: państwo wystawia paszport, który jest tak bezpieczny i ma tak szerokie zaastosowanie, że nie potrzeba już loginów, haseł, narzędzi autoryzacji czy SMS-ów wysyłanych z zawodnych telefonów komórkowych. Estońska cyfrowa tożsamość polega na karcie i dwóch kodach. Jeden wykorzystuje się do identyfikacji (odpowiada na pytanie: „Kim jest ta osoba?”), a drugi do podpisywania się („Czy ta osoba zgodziła się na dane działanie?”). Karta, dla większości Estończyków, to po prostu mały kawałek plastiku. Zawiera ona kryptograficzny klucz publiczny, utworzony na podstawie nazwiska i daty urodzenia, oraz zaszyfrowany klucz prywatny.

Karta nie będzie przydatna nikomu innemu poza właścicielem. Jeżeli ten ją zgubi, otrzyma nową. Jeśli zapomni dwóch kodów do identyfikowania się i podpisywania się, otrzyma zapieczętowaną kopertę zawierającą wygenerowane komputerowo nowe kody – z banku lub z urzędu. Najważniejszą kwestią w przypadku estońskich kart tożsamości jest to, że ułatwiają one i czynią bezpiecznymi wszelkie interakcje obywateli z rządem, z innymi ludźmi i z kontrahentami. Każdego ranka możecie za jej pomocą zalogować się na konto Waszego banku i opłacić rachunki. W drodze do pracy, możecie posłużyć się nią, by zapłacić za przejazd środkami transportu. Możecie podpisywać dzięki niej dokumenty i e-maile przesyłane z biura – w tym wysyłać zaszyfrowane dokumenty, które odczytać będzie mógł tylko konkretny odbiorca. Możecie również użyć karty tożsamości, by zalogować się do jakiegokolwiek serwisu internetowego w Estonii (wymagającego identyfikacji). Możecie odebrać elektroniczną receptę i zamówić wizytę lekarza, zalogować się na stronę uczelni i przekazać esej bądź odebrać wytyczne do napisania pracy. Możecie także zapłacić podatki (co w Estonii zajmuje mniej niż pół godziny; zwroty są przetwarzane w dwie doby lub nawet krócej). Możecie zagłosować w wyborach, otworzyć firmę (w ciągu kilku minut), podpisać wiążącą prawnie umowę, tak samo i nieodwracalnie, jakbyście użyli wiecznego pióra i podpisali się atramentem na papierze. Możecie kupować, sprzedawać, inwestować i podróżować bez poświęcania zbytniej uwagi kwestiom bezpieczeństwa. W trakcie podejmowania wszystkich tych aktywności nie musicie nikomu udzielać prywatnych informacji, takich jak nazwisko panieńskie matki, Wasz adres czy imię pierwszego zwierzaka. Nie musicie również zapamiętywać wielu różnych haseł i loginów. Urok systemu estońskiego polega na tym, że rząd daje Wam, jako obywatelom Estonii, światowej klasy tożsamość cyfrową. Korzysta ona z najsilniejszego dostępnego systemu szyfrowania – złamanie go przy użyciu brutalnej siły wymagałoby wieloletniej pracy superkomputera. Może się nią posługiwać każdy. Wystarczy, że będzie pamiętać swe kody PIN: czterocyfrowy do uwierzytelniania dokumentów i pięciocyfrowy do podpisywania ich. To wszystko. Należy podkreślić, że choć wszystkie te operacje mają miejsce przy współpracy z rządem, nie wnika on w szczegóły. Gdy Estończyk wstaje rano i loguje się do swojego konta bankowości elektronicznej, rząd nie ma do niego wglądu. Jedynie serwer banku rejestruje próbę logowania się do niego przez kogoś, kto używa szyfrowanego połączenia, określonego identyfikatora i PIN-u. Komputer banku analizuje daną kombinację, sprawdzając czy długi skomplikowany kod odpowiada informacjom w rejestrze. Ten z kolei odpowiada, czy identyfikator jest poprawny. Gdybyśmy porównali to do odprawy paszportowej, można powiedzieć, że centralny rejestr potwierdza, iż dany dokument jest ważny, a wygląd osoby legitymującej się paszportem odpowiada temu, jaki widnieje na zdjęciu w dokumencie. W teorii, jeżeli daną osobą zainteresowałyby się władze, estońska policja czy inne służby bezpieczeństwa, mogłyby one wydać nakaz monitorowania metadanych zdradzających jej aktywność w danym okresie przy wykorzystaniu karty tożsamości: to, gdzie jej użyła i do jakich celów. Jednak jej ruchy można by też śledzić w świecie rzeczywistym: podsłuchując jej rozmowy telefoniczne, przeszukując dom pod jej nieobecność i sprawdzając pocztę. W nowoczesnym społeczeństwie policja i inne organy ścigania mogą podsłuchiwać i „węszyć” z reguły za zgodą sądu lub niezależnego nadzorcy. Państwo nie dysponuje jednak kluczem do rozszyfrowywania dokumentów obywateli. Fenomenem estońskiego systemu jest to, że zapewnia minimum informacji rządowi, jednocześnie dając maksymalną wygodę jednostce. System ten zaprojektowany został głównie z myślą o komforcie. Prawo zabrania instytucjom państwowym pytania o dane, które znajdują się już w systemie. To ogromna różnica względem doświadczeń przeciętnego obywatela jakiegokowiek innego kraju, który w kontaktach z państwem musi przy byle okazji podawać dane takie jak: adres, data urodzenia, login, hasło, numer ubezpieczenia społecznego.

Taavi Kotka, kierujący rozwojem usług cyfrowych Estonii – właściwie dyrektor ds. technologii kraju – twierdzi, że ludzie zdają sobie sprawę z faktu, że aby zyskać komfort, trzeba oddać odrobinę prywatności. W większości zależy im jednak na wygodzie. Podoba im się również myśl, że są częścią nowatorskiego eksperymentu, dzięki któremu życie w ich kraju staje się prostsze i przyjemniejsze niż gdzie indziej. „Czujemy się jak piloci testujący nowy pojazd, a nie jak laboratoryjne króliki”, przekonuje Kotka. Warto wspomnieć o tym, że choć estońskie karty tożsamości wydawane są każdemu mieszkańcowi (podobnie jak świadectwa urodzenia czy numery ubezpieczeniowe, o czym wspominałem wyżej), korzystanie z nich nie jest obowiązkowe. Jeśli chcecie, możecie w każdej sprawie udać się do biura czy urzędu i wypełnić dokumenty ręcznie (nawet przy użyciu pióra i atramentu domowej roboty, jeśli to dla Was ważne). Możecie isć się do banku i osobiście złożyć dyspozycję przelewu (możecie też zrezygnować z posiadania konta bankowego i trzymać pieniądze w gotówce lub sztabkach złota, monetach czy bydle). Nikt Was przed tym nie powstrzyma. Możecie nadawać na poczcie zaszyfrowane po swojemu i zapieczętowane woskiem listy. Nikt nie może Wam niczego narzucać. Jednak niewielu ludzi decyduje się na taki dyskomfort.

Dlaczego Estonii udało się stworzyć taki system, a innym krajom nie? Najprostszą odpowiedzią jest odwołanie się do jej rozmiarów. Estonia jest malutka. Można pomyśleć, że w takim kraju łatwo jest wprowadzać czyny w życie. Jednak po głębszej refleksji okazuje się, że to nie do końca prawda. W małych krajach koszty zmian są większe względem wielkości populacji niż w dużych społeczeństwach. Do tego ich gospodarki nie są aż tak rozwinięte. Być może więc powodem jest mentalność Estończyków, tego niewielkiego narodu, który w 1991 roku wybił się na niepodległość po 50 latach okupacji. Rozumieją oni, że aby być konkurencyjnym, trzeba być sprytnym i elastycznym. Estończycy są entuzjastami postępu technicznego, prędko adaptują nowe rozwiązania i są bardzo zmotywowani.

Najważniejszym powodem popularności systemu cyfrowej tożsamości Estonii jest to, że działa on dobrze. Oszczędza on czas i siły. Podczas gdy obywatele innych krajów stoją w kolejkach w bankach i urzędach, odwiedzają notariuszy, by podpisywać i potwierdzać ważność dokumentów, oczekują na linii w trakcie połączenia telefonicznego, by uzyskać pomoc w jakiejś sprawie, lub podejmują trud zapamiętywania haseł i loginów do niezliczonych stron internetowych, Estończycy mogą robić to, co lubią: śpiewać, odwiedzać saunę i cieszyć się krajobrazem.

Prosta a zarazem silna kryptografia klucza publicznego to najważniejszy element estońskiego systemu [cyfrowej tożsamości]. Jego drugim filarem jest porządna architektura wymiany informacji X-road. Posiada ona trzy podstawowe funkcje. Po pierwsze umożliwia wzajemną komunikację ministerstw i instytucji rządowych. Po drugie, pozwala podmiotom zewnętrznym – za zgodą jednostki – na weryfikowanie informacji. Jeśli więc chcecie użyć swojej karty tożsamości do podpisania listu – by dowieść, że to właśnie Wy jesteście nadawcami – lub do zaszyfrowania go (by tylko konkretny odbiorca mógł odczytać wiadomość), możecie skorzystać z usług świadczonych przez państwo. Przypomina to korzystanie z (darmowych) usług państwowej poczty: daje Wam gwarancję, iż list trafi w odpowiednie miejsce, choć nie oznacza wcale, że urzędnicy będą mogli poznać jego treść. Można też użyć porównania do systemu skrytek sejfowych oferowanych przez państwo. Jeśli potrzebujecie pewności, że Wasze rzeczy będą bezpieczne, możecie umieścić je w dobrym sejfie, którego operatorem jest państwo. Tylko Wy i Wasi zaufani przyjaciele będziecie mieć do niego klucz.

Bezpieczeństwo sejfu również jest istotne. Rząd estoński używa systemów z najwyższej półki. Żadna metoda szyfrowania nie jest idealna (choćby dlatego, że jest podatna na atak gumową pałką lub ze względu na opisane już wcześniej słabości urządzeń końcowych), jednak system estoński jest dużo bezpieczniejszy niż jakiekolwiek metody stosowane przez nas w życiu codziennym. Jeżeli zgubicie kartę, otrzymujecie nową. Jeżeli zgubicie i kartę, i swoje kody, możecie mieć problem, tak samo jak wówczas, gdy zgubicie portfel, paszport, klucze do domu i telefon – możecie jednak zablokować Waszą kartę tożsamości, wykonując jedno połączenie telefoniczne.

Ważną cechą estońskiego systemu jest to, że wszystkie dane są archiwizowane [ang. back up] za granicą. Taavi Kotka rozwija sieć cyfrowych ambasad, stanowiących tzw. bezpieczne porty dla krajowych danych. Dzięki temu jeśli platforma X-road Estonii przestanie działać (na przykład w wyniku ataku DDoS) lub jeśli dane zostaną uszkodzone przez hakerów, system zostanie przywrócony na podstawie aktualnej bazy znajdującej się w innej lokalizacji. To mądra, niestety rzadko stosowana, taktyka regularnego tworzenia kopii zapasowych zawartości komputerów i przesyłania ich do bezpiecznej lokacji. Najnowsza wersja systemu posiada dodatkową funkcjonalność zapewniającą jeszcze większą wygodę: nie polega już bowiem na osobnej fizycznej karcie, a na karcie SIM znajdującej się w telefonie użytkownika, identyfikującej dany telefon z siecią. Karta SIM to tak naprawdę potężny komputer, zdolny do radzenia sobie ze skomplikowanym szyfrowaniem, a telefony komórkowe oferują o wiele więcej możliwości niż te, które obecnie wykorzystujemy. Oprogramowanie estońskich kart tożsamości można wgrać na kartę SIM. Zamiast więc nosić swoje cyfrowe ID w portfelu, Estończyk może trzymać je bezpiecznie w telefonie. Tak jak w przypadku plastikowej karty, dalej będzie korzystał z dwóch kodów PIN: jednego do zidentyfikowania się, a drugiego do składania podpisu (np. prowadzenia transakcji).

Te elementy systemu oferują dodatkową wygodę. Trzecia największa funkcja architektury wymiany informacji wiąże się z fundamentalną zasadą: Estończycy są właścicielami swoich danych. Nie należą one do rządu, a osoby prywatne mają prawo decydować, w jaki sposób trzeba nimi zarządzać. Mają też prawo wiedzieć, co się z nimi dzieje. Nadużycie danych przez urzędnika jest w Estonii traktowane jak poważne przestępstwo. Jeżeli wykorzysta on dostęp do państwowych baz, by węszyć w życiu prywatnych osób – na przykład celebrytów – zostanie zwolniony z pracy i postawiony w stan oskarżenia. Może trafić do więzienia. Tylko za wyraźną zgodą odpowiedniej instytucji (np. wskutek postanowienia sądu lub wydania nakazu rewizji) przedstawiciele organów ścigania czy instytucji bezpieczeństwa państwa mogą zyskać dostęp do danych obywatela. Jednak nawet w takiej sytuacji ich prawo wglądu w te informacje wydaje się wątpliwe. No, może z wyjątkiem spraw związanych z działalnością kontrwywiadu – ale jest ich niewiele. Wszystko to pozostaje w rażącym kontraście z godnymi pożałowania rządowymi systemami tożsamości cyfrowej wdrażanymi w większości krajów rozwiniętych. Zazwyczaj są one drogie, niepopularne i nieefektywne.

Tym bardziej interesujący jest fakt, że Estonia czyni swój system dostępnym dla obcokrajowców. Ustawa, która weszła w życie w 2014 roku, pozwala cudzoziemcom wystąpić o wydanie estońskiej karty tożsamości. Muszą oni spełniać te same wymagania co Estończycy, czyli dostarczyć dane biometrycznye (skan siatkówki i odciski palców) oraz paszport. Można to zrobić w czasie wizyty w Estonii lub – od 2015 roku – w estońskim konsulacie za granicą. Koszt wynosi 50 euro. Pomysł ten może się wydawać ambarasujący. Po cóż obcokrajowcowi dowód tożsamości wystawiony przez inne państwo? Do czego miałby mu się przydać? Jeśli mieszkacie w Londynie, Berlinie czy San Francisco i nie jesteście Estończykami, czemu miałaby służyć estońska tożsamość cyfrowa? Więcej: czy umożliwianie obcokrajowcom udziału w narodowym skarbie opłaca się w ogóle Estonii? Najprościej jest odpowiedzieć na ostatnie z tych pytań: Estonia potrzebuje przyjaciół. Jest to niewielki kraj o populacji wynoszącej nieco ponad 1 milion. Sąsiaduje on z Rosją, którą zamieszkują 143 miliony ludzi. Rosja okupowała i kolonizowała Estonię, a świadkami tego było wielu żyjących wciąż Estończyków[3]. Kraj musi sprostać presji ekonomicznej i kremlowskiej propagandzie, która opisuje Estonię jako faszystowskie piekło, a także jako polityczną i gospodarczą porażkę. Zatem, jak twierdzi Kotka, rejestrowanie obcokrajowców jako „estońskich satelitów” ma sens. Zamierza on wydać ok. 10 mln kart z cyfrowymi tożsamościami. Większość cyfrowych ekspatów stanowić mają obywatele państw, które już dziś umożliwiają bezwizowy wjazd na terytorium Estonii. Możliwe więc, że zechcą ją odwiedzić. W przypadku tych, którzy wciąż potrzebują wizy, przesłanie aplikacji o estońskie ID będzie równoznaczne z dostarczeniem władzom większości danych niezbędnych do przyznania wizy. Estońskie ID cyfrowemoże także zwiększyć wymianę handlową i inwestycje. W Estonii bardzo łatwo jest założyć firmę. Obywatelowi tego kraju zajmuje to kilka minut. Obecnie z tego przywileju mogą też korzystać obcokrajowcy. Estonia jest członkiem UE, zatem zarejestrowana firma może konkurować w dowolnym miejscu na jednolitym rynku. Dla Amerykanina chcącego robić interesy w Unii Europejskiej oznacza to, że po uzyskaniu estońskiej tożsamości, nie postawiwszy nogi w tym kraju (dokumenty składa np. w konsulacie Estonii w Nowym Jorku), może założyć estońską firmę i konto bankowe, a następnie rozkręcić biznes, sprzedając produkty i usługi. Może zarejestrować własność intelektualną, podpisywać umowy za pośrednictwem cyfrowego podpisu i, gdy przyjdzie na to pora, płacić podatki przez internet.

Wielu ludzi dostrzega tę zaletę. A to dopiero początek. Estońska karta tożsamości obowiązuje także poza tym krajem. Zgodnie z unijnymi przepisami każde państwo musi respektować cyfrowy dowód tożsamości wystawiony przez inny kraj należący do Wspólnoty. Gdziekolwiek więc prowadzicie działalność gospodarczą: we Francji, w Niemczech, w Wielkiej Brytanii czy w Grecji, możecie posługiwać się swoją estońską tożsamością cyfrową i robić przy jej użyciu wszystko to, co mogą robić w sieci ludzie posiadający lokalny dokument tożsamości. W niektórych krajach standardy korzystania z cyfrowych tożsamości mogą być na niskim poziomie. Można jednak się nimi posługiwać. Nie chodzi zresztą tylko o sprawy dotyczące kontaktu z instytucjami państwa. Posiadanie bezpiecznej cyfrowej tożsamości opartej na inteligentnej karcie (bądź telefonie komórkowym) powinno również pozwolić „estońskim satelitom” otwierać konta bankowe w krajach UE czy logować się do serwisów internetowych opartych na systemie inteligentnych kart. Estońskie cyfrowe ID zostało zaprojektowane tak, by współpracować z najnowocześniejszymi rozwiązaniami, takimi jak OpenID Connect – „uniwersalny czytnik paszportów”, o którym wspominam na poprzednich stronach.

Jestem pierwszym „estońskim satelitą”. 2 grudnia 2014 roku w trakcie uroczystości w Tallinie otrzymałem kartę e-rezydenta o numerze N0100001, z osobistym identyfikatorem 36205030034. Przyznano mi adres e-mail: edward.lucas@eesti.ee, z którego mogę wysyłać podpisane e-maile. Jest bezpieczniejszy niż moje prywatne i służbowe konta, polegające jedynie na haśle. Mój telefon komórkowy jest narażony na działanie szpiegów, key-loggerów oraz skutki nieostrożności właściciela. Bezpieczeństwu mojego estońskiego e-maila cokolwiek zagrozić może dopiero wtedy, gdy ktoś ukradnie mi kartę i numery PIN. Pierwszą rzeczą którą zrobiłem za pomocą mojej karty tożsamości tuż po sprawdzeniu bezpiecznej skrzynki e-mailowej było podpisanie dokumentu – dotyczył on kosztów podróży służbowej. Zrobiłem to poprzez wpisanie mojego drugiego PIN-u w małe okienko na ekranie laptopa. Następnie wcisnąłem OK. Było to tak samo wiążące, jak gdybym podpisał papierową umowę wiecznym piórem. Przedstawicielka instytucji, która mnie gościła, zalogowała się do swojego konta bankowego – używając cyfrowego ID – i natychmiast przesłała mi pieniądze. Kolejną rzeczą, którą zrobiłem, było wysłanie do tej osoby zaszyfrowanego dokumentu (w pole szyfrowania wpisałem jej prywatny kod). Tylko ona i ja byliśmy w stanie odczytać wiadomość (no, może udałoby się to jeszcze którejś rządowej agencji wywiadowczej w ramach wyrafinowanego ataku). Brzmiała ona: „Dzięki”.

Ci, którzy orientują się w nowych technologiach, mogą cieszyć się już takim poziomem zabezpieczeń. Możecie pobrać program uwierzytelniający i szyfrujący, i klikać przycisk „Podpisz”, który da się wpiąć gdzieś w opcje Waszych kont pocztowych. Jednak ustawienia szyfrowania mogą okazać się wyzwaniem. Będziecie musieli stworzyć swój własny klucz publiczny (odpowiednik zamykanego pudełka, które każdy może zatrzasnąć) i własny klucz prywatny (umożliwiający otwarcie pudełka). Jestem w tych sprawach bardziej biegły niż przeciętni użytkownicy, jednak konfigurowanie tego wszystkiego zajęło mi kilka wieczorów pełnych frustracji. Ostatecznie okazało się, że system ten działa znacznie gorzej niż to, co rząd Estonii oferuje bezpłatnie. Poza tym, że służy podpisywaniu e-maili, bezpieczna cyfrowa tożsamość pozwala także szyfrować wiadomości – tak, by tylko konkretny odbiorca mógł je odczytać. Możecie to robić za pomocą klucza publicznego odbiorcy. Stanowi on odpowiednik zamka do pudełka, który odbiorca Wam dostarczył. W celu odszyfrowania wiadomości posłuży się on swoim prywatnym kluczem.

Warto zadać pytanie, czy ludzie, którzy nie będą chcieli skorzystać z systemów cyfrowej tożsamości oferowanych przez ich rządy, będą uprawnieni do ubiegania się o estońskie ID. Przez ponad dziesięć lat funkcjonowania, w systemie estońskim nie odnotowano ani jednego naruszenia bezpieczeństwa danych i żadnej poważnej awarii. Jest on dość tani, działa sprawnie, a ludzie, którzy nim zarządzają są godni zaufania i w minimalnym stopniu interesują się tym, co planuje cudzoziemiec. Mam swoje powody, by nie ufać rządowi Wielkiej Brytanii i postępuję ostrożnie z moimi danymi. Wolę znosić liczne niedogodności niż powierzyć je komuś, kogo kompetencje i rzetelność są wątpliwe. Wolę zaufać bezinteresownemu podmiotowi, którego system nigdy nie zawiódł. Porównajmy to do karty kredytowej. Zanim American Express zmieniła rzeczywistość podróży zagranicznych, wiązały się one z koniecznością wożenia z sobą czeków podróżnych, weksli bankowych, gotówki bądź wysyłania (za pomocą teleksu) uciążliwych i kosztownych wniosków o środki (wypłacane po okazaniu paszportu). Pamiętam to aż nazbyt dobrze z czasów, gdy mieszkałem za żelazną kurtyną w komunistycznej Czechosłowacji. Tylko jeden bank w Niemczech Zachodnich, KKB, wypłacał gotówkę na kartę Visa. By ją podjąć, ekspaci mieszkający w Pradze na zmianę odbywali trzygodzinne podróże do leżącego najbliżej granicy miasta Weiden, wożąc z sobą karty i spisy PIN-ów przyjaciół. Było to bardzo uciążliwe, lecz wciąż lepsze niż oczekiwanie na przekaz z Zachodu. Estońskie ID i inne konkurencyjne systemy, których niewątpliwe przybędzie w następnych latach, zrobią dla życia w internecie to, co American Express uczyniła dla świata podróży. Kłopotliwe i podatne na błędy systemy zastąpione zostaną przez kawałek plastiku i podpis (w czasach American Express był to fizyczny podpis, dziś został zastąpiony kodem PIN). Tak jak American Express, pierwotnie zaprojektowana dla Amerykanów, szybko rozprzestrzeniła się na cały świat, tak „Estonian Express” szybko może stać się światowym standardem. Gdy kończyłem pracę nad tą książką, zespół ekspertów z Singapuru odwiedzał właśnie Tallin. Chcieli skorzystać z doświadczeń tego kraju. Oni także przygotowywali się do wprowadzenia systemu dowodów tożsamości dla cudzoziemców niebędących rezydentami. Z własnym schematem tożsamości cyfrowej (gov.uk verify) startuje rząd brytyjski. Miałem przyjemność uczestniczyć w testach. Proces przebiegał błyskawicznie i polegał na łączeniu moich danych z urzędu paszportowego oraz instytucji wydającej prawo jazdy, z tymi dotyczącymi zdolności kredytowej. Uzyskałem cyfrową tożsamość na tyle mocną, by uprawniała mnie do otrzymania zwrotu z podatku. Nie zakładała ona jednak weryfikacji biometrycznej i nie dawała możliwości podpisywania i kodowania dokumentów. Trudno będzie brytyjskiemu systemowi osiągnąć niezawodność i prostotę systemu estońskiego.

Jednak nawet upowszechnienie się cyfrowych dowodów tożsamości nie ochroni nas przed największym problemem: naszą zależnością od sieci, którymi w nieprawidłowy sposób zarządzają inni.

[1] Po zakończeniu rejestracji od razu zmieniłem hasło bankowe, zastanawiając się, czy nie popełniłem strasznej głupoty.

Rozdział 12
Odwrócenie sytuacji

Jak odzyskać przewagę w radzeniu sobie z atakami na nasze komputery i sieci? Nawiązując do aforyzmu H.L. Menckena, według którego dla każdego skomplikowanego problemu istnieją trzy możliwe rozwiązania: proste, oczywiste lub złe, Dan Geer opracował cztery zasady, które powinny być wyryte na biurku każdej osoby zajmującej się bezpieczeństwem cyfrowym:

Najważniejsze pomysły są najmniej interesujące.

Najbardziej interesujące pomysły są najmniej istotne.

Nie każdy problem ma dobre rozwiązanie.

Każde rozwiązanie problemu ma swoje skutki uboczne.

Wraz z publicznym niezadowoleniem oraz rosnącymi kosztami związanymi z brakiem bezpieczeństwa, pojawia się potrzeba wypracowania szybkich i efektywnych rozwiązań. Będą się do niej odwoływać zwłaszcza ci, którzy będą chcieli zarobić na oferowaniu prostych sztuczek. Trosce opinii publicznej powinien więc towarzyszyć sceptycyzm.

Po pierwsze, twierdzenie, że jakiekolwiek oprogramowanie jest „nie do złamania”, jest bezpodstawne oraz niebezpieczne. Teoretycznie dany program może być pozbawiony wad, jednak może funkcjonować na sprzęcie, który nie jest od nich wolny. Może też działać we współpracy z innym oprogramowaniem, które jest dziurawe. Albo być udostępniany przez jednostki podatne na socjotechnikę (np. wykorzystywanie ich naiwności). Sprzedawanie „niezniszczalnego” oprogramowania jest jak sprzedawanie właścicielom domów „niemożliwych do sforsowania” zamków do drzwi. Wzbudza to fałszywe poczucie bezpieczeństwa, jednocześnie nie spełniając swojej funkcji.

Pokora względem atakującego jest naszą pierwszą linią obrony. Drugą jest lekka paranoja.

Podobnym błędem jest założenie, że kompleksowa kryptografia działa lepiej od prostszych metod kodowania. Jest to podejście na zasadzie „moja prawda jest bardziej prawdziwa”. Odzwierciedla ono strukturę demograficzną branży bezpieczeństwa cyfrowego: z wyraźną przewagą mężczyzn. Prawdą jest, że system oparty na wielkich liczbach pierwszych będzie trudniejszy do złamania od tego opartego na mniejszych. Aczkolwiek powyżej pewnego poziomu długość „klucza” – a więc liczb pierwszych w kodzie – staje się nieistotna. Nawet prosty klucz nie może zostać zaatakowany przy użyciu brutalnej siły – sprawdzania każdej możliwej kombinacji. Jeżeli jest on za długi na tego typu atak, napastnik po prostu zastosuje inną metodę – na przykład spróbuje zainfekować maszynę, by dowiedzieć się, co jest wystukiwane na klawiaturze lub wyświetlane na ekranie. Długie klucze są niewygodne w użyciu. Każdy, kto proponowałby zabezpieczenie drzwi frontowych za pomocą narzędzia, do użycia którego potrzeba by było dwojga ludzi, zostałby wyśmian. To samo powinno mieć zastosowanie do sprzedawców superdobrych metod szyfrowania danych.

Równie bezsensownym twierdzeniem jest to, że niezawodne są programy antywirusowe i zapory sieciowe. To prawda, że regularnie aktualizowany antywirus pomaga się zabezpieczyć: zaalarmuje nas za każdym razem, gdy będziemy próbowali zainstalować znanego mu już wirusa, oraz pomoże uchronić nasz system przed powszechnie znanymi infekcjami. Zbyt czuły program antywirusowy będzie jednak postrzegał wiele elementów jako potencjalne zagrożenia, z kolei program niezbyt czujny zezwoli na przeniknięcie do sieci i sprzętu różnym podejrzanym plikom. Ponadto nie obroni on nas przed nowymi zagrożeniami. Hakerzy, którzy projektują nowe wirusy komputerowe, zaczynają swą pracę od testowania ich na najpopularniejszych programach antywirusowych. Tylko te, które nie zostaną wykryte, będą przez nich wykorzystane. Tu również mamy do czynienia z pewnym kompromisem pomiędzy wygodą i bezpieczeństwem. Śledzenie na bieżąco nowych wersji wirusów jest niezwykle trudne. Producenci programów antywirusowych dzielą się więc swoją wiedzą na ten temat. Jednak wykrywanie nowych wirusów zajmuje im sporo czasu, a wypracowanie sposobu zwalczania ich w sposób, który nie uszkodzi maszyn i zainfekowanych sieci, to bardzo skomplikowany proces. Adaptacyjny malware – zmieniający swoje działanie w zależności od środowiska, do którego trafia – jest trudny do wykrycia. Podobnie jest z atakami pochodzącymi jednocześnie z kilku źródeł – np. z telefonu komórkowego, otwartego portu oraz metody u wodopoju. Producenci programów antywirusowych nie dają więc gwarancji niezawodności i mają ku temu dobre powody. Zapory sieciowe były swego czasu wyjątkowo gorącym tematem w świecie zabezpieczeń. Mają one za zadanie blokowanie podejrzanego ruchu w sieci, zarówno połączeń przychodzących, jak i wychodzących. Wykonują kawał dobrej roboty tak długo, jak atakujący ma ochotę informować, że właśnie wkracza do sieci lub z niej wychodzi. Hakerzy są jednak przebiegli i potrafią znaleźć sposób na obejście zapory przy wejściu do sieci (i przy wyjściu z niej). Dobrym tego przykładem jest heartbleed. Najlepszym sposobem ucieczki z więzienia jest przebranie się za strażnika. Zarazem najlepszą metodą eksfiltracji danych z sieci jest zamaskowanie ich tak, by wyglądały wiarygodnie. Blokowanie wszelkich form dostępu do sieci może zmniejszyć ryzyko ataku – ale też sprawi, że stanie się ona bezużyteczna. Jak wspominałem już wcześniej, internet jest z natury słabo zabezpieczony. Budowanie wielkich murów dookoła pewnych elementów nie zmieni tego faktu.

Krótko mówiąc, programy antywirusowe oraz zapory sieciowe są dla bezpieczeństwa cyfrowego tym, czym była Linia Maginota dla francuskiej obrony przed nazistowskimi Niemcami: doskonałą formą obrony przed zagrożeniami z przeszłości, ale nie przed tym, co czyha w przyszłości. Inną analogią może być używanie prezerwatywy. Może ona chronić Was przed niektórymi chorobami przenoszonymi drogą płciową – lecz nie daje nam przyzwolenia do pozbawionej wszelkiego ryzyka rozwiązłości. Gdyby programy antywirusowe i zapory sieciowe działały, używałby ich każdy, a nasze problemy przestałyby istnieć – twierdzi Grimes.

Prawdziwą plagą programów mających wykrywać naruszenia bezpieczeństwa sieci są fałszywe alarmy, znane w slangu jako fałszywe pozytywy. To wspaniały pomysł (patrz poniżej), by każde podejrzane zachowanie natychmiast uruchamiało alarm oraz blokowało komputer, na którym je zaobserwowano. Jednak program dostatecznie wrażliwy, by wykrywać wszystkie przypadki złowrogich zachowań, będzie jednocześnie wykrywał te, które wcale nie stanowią zagrożenia. Oczywiście nie nazwiemy go z tego powodu bezużytecznym, jednak wszelkie zapewnienia o jego nieomylności powinny być traktowane z dużą dozą ostrożności.

Jak zwraca uwagę Grimes, prawdziwym rozwiązaniem problemu bezpieczeństwa komputerów jest analizowanie aktywności hakerów i podejmowanie prób ich powstrzymania. Tak jak to bywa w życiu, nie ma tu prostych odpowiedzi, jest za to mnóstwo skomplikowanych[1]. Większość udoskonaleń wymaga chodzenia na kompromisy: za nasze bezpieczeństwo prędzej czy później zapłacimy gotówką lub utratą części prywatności. Bywa, że poświęcenia, których wymagają, okazują się banalne, biorąc pod uwagę korzyści, które przynoszą. Pierwszym krokiem powinno być zastosowanie podstawowych środków ostrożności, takich jak zamykanie okien przed wyjściem z domu czy przestrzeganie podstawowych zasad zasad higieny osobistej. Większość przestępców jest głupia i leniwa. Prędzej pójdzie za łatwiejszym celem niż tym wymagającym większego wysiłku. Brytyjskie Centrum Ochrony Narodowej Infrastruktury (Centre for the Protection of National Infrastructure, CPNI) sformułowało dziesięć prostych rekomendacji. Stosowanie się do nich powinno powinno zapobiec 80 proc. naruszeń bezpieczeństwa w internecie. Powinny one stać się częścią naszej kultury, dokładnie tak jak przeniknęły do niej zasady ruchu drogowego. Najważniejszym z nich poświęcam miejsce w Drugim Dodatku[2].

Problemem z tego typu list jest to, że nie każdy się do nich stosuje. Jak długo tylko – powiedzmy – 90 proc. użytkowników komputerów będzie stosować rekomendowane środki ostrożności, tak długo atakujący – w szczególności ci, którzy posługują się zautomatyzowanymi formami ataku, takimi jak spam, e-maile czy skanowanie sieci w poszukiwaniu istotnych, acz słabo chronionych urządzeń – będą mieli co robić. Hakerzy znają dobrze rekomendacje udzielane użytkownikom i swoje metody dostosowują, by obejść istniejące już zabezpieczenia.

W myśleniu o bezpieczeństwie cyfrowym bardziej przydatne zdają się pojęcia z zakresu zdrowia publicznego niż dziedziny zamków i kluczy. Na nasz poziom zdrowia mają wpływ normy zachowania. Chrząkanie i kasłanie bez zasłaniania ust jest w złym tonie. Ręce należy myć przed przygotowaniem i spożyciem posiłku. Od partnera seksualnego oczekuje się, że będzie się zabezpieczał. Za pomocą podobnych norm można by utrzymywać w odpowiednim stanie nasze życie wirtualne – poprzez dobre praktyki związane z ustanawianiem haseł, skrupulatne sprawdzanie adresów stron internetowych, które odwiedzamy, powstrzymywanie się od kilkania w linki przesyłane przez nieznajomych oraz przeprowadzanie częstych aktualizacji i używanie programu antywirusowego. Jak pisze Geer, gdy zostajecie przyjęci do szpitala, konkretne przepisy regulują sposób przetwarzania Waszych prywatnych danych. Macie wysokie oczekiwania co do zasad prywatności oraz jakości świadczonych usług. Wiecie, że nikt nie zaserwuje Wam terapii, na którą nie wyrazicie zgody, a także nie zostaniecie zmuszeni do przedstawienia historii Waszej choroby, jeśli nie będziecie mieć na to ochoty. Aczkolwiek jeżeli będziecie zdradzać objawy poważnego zakażenia, na przykład tyfusem czy wirusem ebola lub jeśli okaże się, że cierpicie na zaburzenia psychiczne mogące powodować zagrożenie dla zdrowia Waszego i innych osób, możecie spodziewać się ograniczenia praw. Zdrowie publiczne stoi zawsze ponad prywatnością i wolnością jednostki. Oznacza to, że możecie zostać zatrzymani wbrew swojej woli w szpitalu oraz poddani terapii. Aby zapewnić bezpieczeństwo całej społeczności, będziecie pozostawać pod nadzorem. Te zasady nie obowiązują tylko w Europie: w każdym z 50 stanów Ameryki mamy przepisy definiujące „choroby podlegające obowiązkowi zgłaszania” i określające kroki, jakie władze zobowiązane są podjąć w przypadku ich stwierdzenia, by wyeliminować zagrożenie dla społeczeństwa.

Generalnie nie uznajemy ich za szczególnie kontrowersyjne. Pewne kwestie mogą oczywiście być dyskutowane (np. które stadium zaawansowania choroby psychicznej uzasadnia ograniczenie czyjejś wolności), jednak nawet najbardziej zagorzały liberał nie da przyzwolenia na to, by ludzie mogli zarażać się nawzajem śmiertelnymi chorobami. Warto zastosować ten sam tok myślenia w odniesieniu do internetu. Co by się stało, gdybyśmy skłonili do stosowania tych zasad właścicieli zainfekowanych komputerów? Odkrycie złośliwego wirusa w Waszym systemie oznaczałoby, że musicie to zgłosić – tak samo, jak zgłosilibyście groźną chorobę zakaźną. Co, gdybyście tego nie zrobili? Ofiary wirusa rozprzestrzeniającego się za pomocą Waszego sprzętu mogłyby dochodzić od Was odszkodowania. Gdybyście natomiast byli właścicielami spółki notowanej na giełdzie, być może powinniście być obowiązani podawać do wiadomości publicznej wszelkie informacje o cyberatakach, jakich doświadczyła firma. Przecież gdy spółka naftowa robi odwiert, to niezależnie od tego, czy coś tam znajdzie, czy nie, musi informować o postępach prac. Niewypełnienie obowiązku raportowania mogłoby stworzyć sytuację, w której pewni ludzie nabywaliby bądź sprzedawaliby akcje w oparciu o niedostępne dla innych dane pochodzące ze środka firmy. Czy byłoby to nierozsądne, by podobne zasady stosować tam, gdzie wchodzi w grę naruszenie bezpieczeństwa cyfrowego? Być może ludzie, którzy lekkomyślnie narażają na szkodę innych, używając zawirusowanych maszyn czy nie reagując na problemy, które wymagają pilnego działania, powinni być nawet stawiani przed sądem.

Tym sposobem wykraczamy poza odniesienia do zagadnień zdrowia publicznego. W 48 stanach Ameryki przestępstwem jest świadome niezgłoszenie molestowania seksualnego dzieci. Wedłuug odpowiednich przepisów przestępstwem jest też niezgłoszanie zachowań o charakterze korupcyjnym. Prawo antymonopolowe przewiduje kary za działania firm prowadzące do ograniczenia handlu. Amerykański kodeks karny zakłada, że przestępstwem jest niezgłoszenie zbrodni, o której dokonaniu miało się jakąkolwiek wiedzę. Już 46 stanów wymaga obowiązkowego zgłaszania przypadków kradzieży danych. Nie jest to do końca to samo, co w przypadku innych przestępstw, jako że zainfekowanej maszynie pozwala się dalej działać – jednak analogia jest wyraźna[3].

Stosowanie tych zasad w praktyce wymagałoby podejmowania dość trudnych decyzji. Co byście zrobili, gdybyście odkryli, że Wasz komputer został przejęty i wykorzystany w botnecie? Może właśnie rozsyłacie jakiś spam, e-maile lub przeprowadzacie atak na uczciwą stronę internetową, utrzymywaną przez kogoś na drugim końcu świata... Jak szybko powinniście zareagować? Czy Wasi informatycy powinni pracować dniami i nocami, również w weekendy, by pozbyć się problemu, czy też może jest to tylko kwestia rutynowej „dezynsekcji”, jak pozbywanie się szczurów z piwnicy budynku? Gdy już zgłosicie taki przypadek, to jak wiele szczegółów musicie zdradzić? Czy musicie wyjaśnić, w jaki sposób zdaliście sobie sprawę z zaistniałej sytuacji? Co z osobami trzecimi? Powiedzmy, że zauważyliście, iż zarażona jest maszyna Waszego klienta. Czy jego także musicie zaraportować, narażając na szwank biznesową relację? Co, jeśli go ostrzeżecie, a on to zlekceważy? Co wtedy? Czy bylibyście zadowoleni, gdyby Wasz dostawca usług komputerowych – na przykład dostawca internetu lub firma zajmująca się przechowywaniem danych w „chmurze” – monitorował Waszą aktywność i raportował o niej komuś bez Waszej wiedzy? Powiedzmy, że ktoś zainfekuje Waszą stronę internetową tak, że niewinne wyglądająca grafika zainstaluje wirusa na maszynie odwiedzającego ją użytkownika? Możecie zostać objęci internetowym odpowiednikiem kwarantanny, tracąc przy tym klientów i reputację. Kto powinien decydować, czy tego typu izolacja jest proporcjonalna do zagrożenia wynikającego z możliwości rozprzestrzenienia się infekcji? Czy uznalibyśmy to za nieuczciwe, gdybyśmy zostali zmuszeni do położenia się w szpitalu z powodu zapalenia płuc? Jeśli jesteśmy nosicielami wirusa jakiejś wysoce zakaźnej choroby, to jest to zupełnie inna kwestia: wówczas to lekarz podejmuje decyzje o przedsięwzięciu konkretnych środków. Robi to po zasięgnięciu opinii prawnej i po konsultacjach ze specjalistami w danej dziedzinie. A kto powinien decydować o tym, czy wirus w naszym komputerze to sprawa osobista czy kwestia zbiorowego bezpieczeństwa? W prawdziwym życiu uprawnienia tego typu mają np. amerykańskie Centra Kontroli i Prewencji Chorób (Centres for Disease Control, CDC). Prawo wymaga, jak wiemy, by choroby zakaźne były zgłaszane. Centra natomiast dysponują danymi oraz zasobami wiedzy, które pozwalają zgłoszenia te prawidłowo interpretować. W dziedzinie cyberbezpieczeństwa zdecydowanie brakuje takiej instytucji. Podział mikrobów na wirusy, bakterie oraz pasożyty jest względnie prosty. Można je zbadać pod mikroskopem, a ich DNA może zostać wyizolowane oraz sekwencjonowane.

W przypadku malware jest to o wiele trudniejsze. Czy rodzaje złośliwego oprogramowania powinniśmy klasyfikować według tego, jakie przynoszą skutki, czy też według tego, jak działają? A może ze względu na tych, którzy za nimi stoją lub ze względu na rodzaj ataku, którego są częścią? Każda z opcji jest możliwa, ale też w każdym przypadku kategorie będą nieostre. Wirus, który działa w określony sposób w konkretnych okolicznościach, w innych może zachowywać się inaczej. Te same fragmenty kodu mogą znajdować się w różnych wirusach. Pod tym względem walka z nimi może przypominać zmagania z producentami nielegalnych leków, którzy modyfikują swoje produkty molekuła po molekule, by osiągnąć pożądany efekt narkotyczny, a jednocześnie uzyskać specyfik dozwolony przez prawo. Nie powołano jeszcze CDC dla złośliwych programów. Richard Danzig, amerykański ekspert ds. bezpieczeństwa cyfrowego, w raporcie zatytułowanym „Surviving on a Diet of Poisoned Fruit” sugeruje skorzystanie z modelu funkcjonującego w lotnictwie. Załogi samolotów zachęca się do raportowania każdej sytuacji, która mogła skończyć się katastrofą[4]. Poszczególne linie lotnicze nie lubią informować o swoich błędach: może to niszczyć zaufanie do ich marki. Ogólnie jednak wszyscy czerpią korzyści ze stosowania dobrych praktyk, co pomaga identyfikować zagrożenia zanim spowodują one wypadek. Myślenie zapożyczone z dziedziny zdrowia publicznego ma swoje ograniczenia. W świecie zawirusowanych komputerów nie istnieje odpowiednik lekarza. W świecie prawdziwych chorób wybuch epidemii przyciąga uwagę profesjonalistów, z których każdy posiada kilkudziesięcioletnie doświadczenie. Mamy do dyspozycji – przynajmniej w bogatszych częściach świata – liczne procedury, instytucje i inne zasoby. Bezpieczeństwo cyfrowe to raczej domena amatorów. Ludzie użytkujący komputery osobiste często nie mają doświadczenia w obchodzeniu się z nimi. Tymczasem złośliwe oprogramowanie, z którym mogą mieć do czynienia, jest produkowane przez specjalistów z całego świata. Epidemie chorób wybuchają zwykle w danym kraju. Jeśli to konieczne, tak jak w przypadku epidemii eboli w zachodniej Afryce w 2014 roku, władze mogą poddawać szczegółowej kontroli podróżujących albo nawet zamknąć granice. Istotne jest, że choroba jest przejawem losowości w środowisku, które jest przewidywalne. Nasz przeciwnik nie jest istotą wrażliwą. No, chyba że mowa o zagrożeniu wojną z użyciem broni biologicznej. Na drodze ewolucji może oczywiście powstać bakteria odporna na antybiotyki. Nikt jednak nie stara się ich celowo rozmnażać. W cyfrowym świecie za atakiem zawsze stoi człowiek – do tego bardzo zdeterminowany.

W prawdziwym świecie istnieją reguły, które pomagają nam utrzymywać w równowadze odchylenia od normy, prywatność oraz autonomię. W cyfrowej rzeczywistości zdecydowanie ich brakuje. Jeśli ujrzymy na naszej posesji intruza, z pewnością wezwiemy policję. Widząc kogoś obcego w ogródku sąsiada, zadamy sobie pytanie, czy jest on tylko gościem domowników, czy złodziejem. Nawyki myślowe pozwalają nam podejmować decyzje na podstawie naszych doświadczeń. Czy zdarzały się ostatnio jakieś włamania w okolicy? Jak wyglądał włamywacz? Możemy zbliżyć się do obcego, zadać mu jakieś pytanie i dokonać oceny na podstawie uzyskanej odpowiedzi. Podejmowanie decyzji nie zawsze jest proste. Postawa polegająca na wycofaniu się na z góry upatrzone pozycje i ignorowaniu wszystkiego, co dzieje się w okolicy, nie jest jednak powszechnie akceptowana. Krzyki, dźwięk tłuczonego szkła i strzały z broni palnej pobudzą do działania nawet najbardziej antyspołecznego sąsiada: wszak może on stać się następnym celem. Tak więc oprócz respektowania zasad „higieny osobistej” oraz wykazywania pewnej czujności w trakcie użytkowania komputerów, potrzebujemy norm, których musiałyby się trzymać instytucje. Presja klientów lub akcjonariuszy może okazać się pomocna. Jeszcze lepsze byłyby sankcje za niedbałość w podejściu tych instytucji do kwestii bezpieczeństwa cyfrowego. Być może ci, którzy lekkomyślnie narażają bezpieczeństwo innych, dopuszczając do zawirusowania swych komputerów lub zwlekając z rozwiązywaniem problemów, powinni być postawieni w stan oskarżenia. Prowadzenie samochodu czy samolotu będącego w złym stanie technicznym stanowi wykroczenie. Czemu w przypadku komputerów, których stan zagraża innym, miałoby być inaczej?

Paul Venezia, autor specjalizujący się w tematyce bezpieczeństwa, w swym artykule z 2011 roku trafił w dziesiątkę twierdząc, że źle napisany kod programu powinien być traktowany jak zbrodnia[5]. Odpowiedzialność karna może okazać się najlepszą odpowiedzią na całkowity brak rozsądku, aczkolwiek nawet odwołanie się do odpowiedzialności cywilnej może przynieść pozytywny efekt. Przecież jeśli zbudujecie most, nie będziecie zatrzymywać każdego, kto chce na niego wjechać, by podpisał dokument, w którym zrzeka się ewentualnych roszczeń na wypadek, gdyby miał z niego spaść. Tymczasem do tego właśnie jesteśmy zmuszani za każdym razem, gdy klikamy przycisk „Akceptuję” pod długimi, skomplikowanymi i rzadko przez nas czytanymi regulaminami serwisów, z których stale korzystamy w sieci.

Jak zauważa Venezia: Firmy oraz pracownicy odpowiedzialni za stworzenie słabych kodów, na podstawie których dany program przechowuje praktycznie niezabezpieczone hasła i loginy milionów użytkowników (co czyni je łatwym łupem hakerów), powinni w najlepszym przypadku być karani wysoką grzywną. Część tych pieniędzy powinna trafić bezpośrednio do każdego użytkownika, którego dobra naruszono. Reszta natomiast powinna zostać przeznaczona na poszukiwanie rozwiązań problemów związanych z bezpieczeństwem danych osobowych, które mogą pojawić się w przyszłości. Gdyby zależało to ode mnie, za doprowadzenie do sytuacji, w której dane osobowe zostałyby skradzione, groziłaby utrata pracy i ograniczenie wolności.

Ostatecznie, gdyby ktoś, pisząc program, celowo stworzył lukę w  jego zabezpieczeniach, by móc wykradać hasła użytkowników, mógłby spodziewać się zwolnienia z pracy lub konieczności stawienia się przed sądem. Jednak jeśli utrata danych należących do niewinnych ludzi – mająca dla nich rujnujące skutki – jest kwestią nieszczęśliwego wypadku, to czy eksperci ds. bezpieczeństwa cyfrowego mają rację, gdy wzruszają ramionami i twierdzą, że niewiele w tej sprawie da się zrobić?

Firmy prezentują bardzo różne postawy w kwestii prywatności ich klientów. Podobnie zresztą jest w innych sprawach. Niektóre są bardzo skrupulatne i kierują się wysoką etyką, w ten sposób budując zaufanie. Inne chodzą na skróty, a nawet dopuszczają się pewnych oszustw, by zapewnić sobie szybki zarobek. Jeśli trzymają się przepisów, mają do tego prawo. Władze odgrywają istotną rolę w promowaniu tzw. dobrych praktyk. Do nadużywania prawa najbardziej jednak zniechęcają sankcje karne, odpowiedzialność cywilna oraz utrata reputacji. Wszystko to ewoluuje. Należałoby przyglądać się tym sprawom z osobna, z pewną ostrożnością, z dala od paniki. Niestety, to wciąż mało. Jak wykazałem w tej książce, elementarne problemy [bezpieczeństwa cyfrowego] wynikają z tego, w jaki sposób stworzono internet oraz w jaki sposób z niego korzystamy. Stosowanie mocniejszch haseł, poświęcanie większej uwagi bezpieczeństwu naszych kont e-mail, ostrożność przy klikaniu w linki i otwieraniu załączników do wiadomości, większy profesjonalizm w projektowaniu sieci, regularne aktualizowanie programów antywirusowych – wszystkie te aktywności odpowiadają zamykaniu drzwi frontowych i okien do naszych domów czy niepozostawianiu wartościowych rzeczy na widoku w naszych samochodach. Co bardziej wyrafinowani złodzieje wciąż będą dysponować sporym zestawem narzędzi i chętnie będą je wykorzystywać przeciwko trudniejszym do zdobycia, choć opłacalnym celom. By w pełni zdać sobie sprawę z sytuacji, dobrze jest wyobrazić sobie siebie w pozycji atakującego. Co próbujemy ochronić oraz przed kim? Większość firm nie zdaje sobie sprawy, jak skomplikowana może być odpowiedź na to pytanie. Jak już wspomniałem, możecie stać się istotnym celem dla atakującego nie z powodu tego, kim jesteście, ale przez to, kogo znacie lub z kim robicie interesy. Wasze myślenie na temat potencjalnych zagrożeń musi uwzględniać także Waszych klientów, dostawców usług oraz Wasze uczestnictwo w życiu społecznym. Możecie sądzić, że jesteście tylko skromnymi producentami mało ciekawego, niszowego produktu, ale jeśli Wasz klient Wam ufa, będzie odbierać e-maile od Was bez żadnych podejrzeń. Jeśli wysyłacie mu regularnie wiadomości – być może zatytułowane „faktura” bądź „sprawozdanie”, stajecie się swego rodzaju kuszącą bramą wjazdową do jego sieci. Możliwość wysłania jednego autentycznie wyglądającego e-maila z Waszego konta, zawierającego w załączniku malware (albo chociaż fragment wirusa, który można później połączyć z innymi elementami, by powstał z tego malware), daje dużą przewagę atakującemu.

Dan Geer, jeden z ojców współczesnego internetu, w trakcie swego wystąpienia zatytułowanego „Cybersecurity as Realpolitik”[6] podczas konferencji Black Hat w 2014 roku, zaproponował współczesne „Dziesięć przykazań”. Dobrze byłoby przeczytać je w całości. Być może najważniejsze z nich brzmi: „siła jest po to, by jej używać”. Wielu ludzi internetu jest przekonanych, że każda manifestacja władzy jest z założenia podejrzana, a sieć jest sferą wolną od polityki, gdzie problemy rozwiązuje się dzięki eleganckiej współpracy sprzętu z oprogramowaniem, dla dobra wszystkich. To czysta fantazja. Absolutne bezpieczeństwo oraz idealny porządek są niemożliwe do osiągnięcia. Poszukując najmniej szkodliwych rozwiązań, użytkownicy internetu powinni zdać sobie sprawę z tego, iż wartości związane z wczesną fazą rozwoju sieci (anarchizm, zaufanie, idealizm) są nieaktualne w czasach, gdy sieć stała się centralnym układem nerwowym całego świata. Jeśli posiadacie moc, ale jej nie używacie, prędzej czy później skorzysta z niej ktoś inny. Uczciwemu podejściu do kwestii siły powinna jednak towarzyszyć pokora. Przy czym nie chodzi tu, jak przekonuje Geer, o nieśmiałość, lecz o gotowość do pogodzenia się z tym, że fakty przeczą naszym tezom.

Inna wielka zmiana zachodzi w obszarze odpowiedzialności firm, które zarabiają na dostarczaniu społeczeństwi usług komputerowych. Wśród nich pierwszą kategorię stanowią te oferujące fizyczną infrastrukturę internetu – kable oraz routery. Od lat trwa zagorzała dyskusja na temat „neutralności sieci”. Krótko mówiąc, pytanie brzmi, czy internet powinien funkcjonować jak zwykły system pocztowy, w którym każda paczka bez względu na jej zawartość jest traktowana jednakowo. Dostawcy internetu zachowują się absurdalnie. Mocno sprzeciwiają się żądaniom, by monitorowali działania swoich klientów, a jeszcze bardziej temu, że mieliby być odpowiedzialni za skutki wykorzystania sieci przez przestępców. Jednocześnie chcieliby zachować prawo premiowania pewnego rodzaju ruchu w internecie – zwłaszcza tego, który napędzają ich klienci. Ci, którzy zapłaciliby więcej, otrzymaliby superszybką usługę premium. Inni musieliby zdać się na los. Geer proponuje genialne rozwiązanie tego problemu: niech dostawcy internetu dokonają wyboru. Niech staną się zwykłymi operatorami logistycznymi, jak poczta czy kolej, i nie ponoszą odpowiedzialności za to, co przesyła się za ich pośrednictwem, a jednocześnie zobowiążą się do traktowania wszystkich klientów jednakowo. Albo też niech proponują usługi szyte na miarę i wyceniane w zróżnicowany sposób, zarazem zobowiązując się do monitorowania ruchu na swych stronach.

Kolejną kwestią jest odpowiedzialność twórców programów. Jak już wspomniałem, programy pisane są tak, by były tanie, funkcjonalne i odpowiadały potrzebom użytkowników. Definicja „funkcjonalności” zaczyna jednak ewoluować. To, co było tolerowane w czasach, gdy internet był domen ludzi nauki, dzielących się za jego pomocą rezultatami swych badań (lub też hobbystów i entuzjastów komputeryzacji), jest nie do przyjęcia współcześnie, gdy sieć stanowi esencję życia. W jednym z poprzednich rozdziałów posłużyłem się analogią transportową: owszem, pociągom zdarza się zderzyć, od linii kolejowych oczekujemy jednak, że rozkład jazdy oraz harmongramy zostaną stworzone w sposób, który ograniczy prawdopodobienstwo wypadku. Jeśli już do niego dojdzie, okoliczności zdarzenia zostaną dokładnie zbadane, by podobna sytuacja nie miała miejsca w przyszłości. Gdy ludzie powierzają Wam swoje życie, beztroska prowadzi na salę sądową, do redukcji zatrudnienia, bankructwa albo nawet więzienia.

Myśl, że bezpieczeństwo cyfrowe można by zagwarantować dzięki wymiarowi sprawiedliwości, byłaby kusząca. Niestety, jest to tak szeroki temat, że zasługuje na osobną książkę. Ludzie pracujący w policji czy sądownictwie z reguły nie są ekspertami w dziedzinie technologii cyfrowych. W ich mniemaniu przestępca to ktoś, kto używa przemocy względem niewinnych, kradnie bądź sprzedaje nielegalne towary. W krajach Zachodu, może z wyjątkiem Stanów Zjednoczonych, tzw. przestępstwa białych kołnierzyków – nawet gdy stanowią rażące przykłady nadużycia zaufania współpracowników, klientów czy udziałowców – wciąż bardzo rzadko znajdują finał w sądzie. Coraz częściej dochodzi jednak do przełomów. W 2012 roku FBI zdołała przeniknąć do teoretycznie nietykalnej grupy Anonymous odpowiadającej za potężne ataki hakerskie, takie jak ten na ośrodek Stratfor, za pomocą staromodnych policyjnych metod: werbując na swego informatora jednego z liderów tej organizacji o pseudonimie „Sabu” (jego prawdziwe imię to Hector Xavier Monsegur)[7]. Mimo że Monsegur przeprowadził ponad 250 ataków hakerskich, które naraziły ofiary na koszty sięgające 50 mln dolarów, nie musiał odsiedzieć kary 26 lat pozbawienia wolności, którą mógł mu wymierzyć sąd. Zamiast tego wyszedł z sali rozpraw wolny, a sędzia pochwalił go za „doskonałą współpracę” z FBI, dzięki której sześcioro innych członków grupy trafiło do więzienia[8]. Tak długo jednak, jak przestępcy będą znajdować schronienie pod jurysdykcjami, gdzie prawo stosuje się w sposób wątpliwy lub tak długo, jak będą otrzymywać ciche bądź oficjalne wsparcie od krajów takich jak Chiny czy Rosja, łatwiej będzie motywować obrońców niż straszyć agresorów. Rozważając kwestie odpowiedzialności Geer odwołuje się do wczesnych technologii. Według Kodeksu Hammurabiego z 1750 roku p.n.e., gdy murarz zbuduje dom, który zawali się powodując śmierć właściciela, będzie musiał zostać zabity. Oprogramowanie to jedyny produkt, którego użytkownik zrzeka się wszelkich ewentualnych roszczeń, niezależnie od tego, jak ów produkt go zawiedzie (Geer sugeruje, że podobną kategorią jest religia). Nowe zasady odpowiedzialności mogłyby kształtować się następująco: odpowiedzialność producenta mogłaby być ograniczona do konieczności zwrotu poniesionych przez klienta kosztów zakupów, jeśli jego program zostałby napisany i opisany w sposób umożliwiający klientowi zrozumienie tego, w jaki sposób działa (np. poprzez podanie „kodu źródłowego”) oraz wyłączenie niepożądanych funkcji. Można to porównać do zamówienia obiadu w restauracji – z opcją pozwalającą nam na wybór tych części danej potrawy, które mamy ochotę zjeść. Jeśli nie lubicie masła czosnkowego na steku, możecie poprosić kelnera, by go nie dodawano. Wydaje się to proste, jednak krótkoterminowo byłoby bardzo niekorzystne dla dostawców oprogramowania. Natychmiast ogłosiliby oni koniec ery taniego, łatwo dostępnego oprogramowania. I mieliby rację. Zarazem byłby to koniec ery konsumpcji żywności nafaszerowanej ukrytymi składnikami, bez możliwości pozywania producenta w przypadku zatrucia. O przewadze konkurencyjnej w modelu biznesowym dostawców oprogramowania decyduje zwykle unikalny (i ściśle strzeżony) kod. Jest on odpowiednikiem opartej na mieszance ziół i przypraw receptury Coca-Coli, która sprawia, że ten gazowany napój sprzedaje się z takim sukcesem.

Czwarte przykazanie Geera dotyczy odwetu. To najbardziej pogmatwana spośród wszystkich jego zasad. Jakie są Wasze prawa jako osób prywatnych bądź prawnych względem kogoś, kto atakuje Wasz komputer lub sieć? Przepisy odnoszące się do fizycznej samoobrony mają tu ograniczone zastosowanie. Mało prawdopodobne jest, byście wiedzieli, kto Was atakuje. Wiadomo natomiast, że próbując mu oddać, możecie wyrządzić szkody innym. Wyobraźcie sobie na przykład, że Wasza firma jest atakowana przez botnet za pomocą ataku typu DDoS (typy ataków opisałem w Rozdziale 4 oraz w Słowniczku). Załóżmy, że zidentyfikowaliście komputer, który jest odpowiedzialny za przebieg całej operacji. Teoretycznie moglibyście podać właściciela do sądu lub zadzwonić na policję, ale to raczej w niczym nie pomoże. Komputer nadzorujący atak mógł zostać przejęty, co oznaczałoby, że oskarżycie nieświadomego właściciela maszyny za niedbałość w jego obsłudze. On mógłby co najwyżej spróbować ścigać osobę, która stoi za przejęciem kontroli nad jego sprzętem. Życzę powodzenia, jeśli komputer znajduje się w Rosji czy w Chinach. Wyobraźcie więc sobie, że dysponujecie jakimś rodzajem bomby komputerowej – czymś, co moglibyście wysłać do komputera hakera, by uszkodzić go bądź deaktywować. Byłoby to całkiem kuszące. W większości systemów prawnych domownicy zachowują prawo do użycia siły przeciwko intruzom. Kusząca jest też argumentacja, iż każdy, kto jest na tyle nieostrożny, by pozwolił zhakować swój komputer, zasługuje na karę. Problemem są jednak skutki uboczne. Załóżmy, że botnet jest zarządzany z przejętego komputera, który jednocześnie kieruje pracą szpitala. Jeśli go zniszczycie, narazicie życie wszystkich pacjentów. Porywacz uczynił sobie z nich bowiem żywe tarcze.

Człowiekowi trudno jest sobie wyobrazić system prawny bądź moralny, w którym odwet byłby dopuszczalną praktyką. Inaczej myślą rządy. Działalność agencji wywiadowczych i wojskowych ma dwie zalety: są one w stanie skierować swą aktywność ku precyzyjnie określonym celom, a także są dostatecznie wyposażone, by minimalizować negatywe skutki uboczne tej aktywności (mogą na przykład ostrzec właścicieli komputerów o potencjalnym ataku). Geer przewiduje coraz ściślejszą współpracę rządów i prywatnych przedsiębiorstw, zwłaszcza w kwestii najgroźniejszego złośliwego oprogramowania, jakim jest Gamover Zeus – uciążliwy ransomware opisany w Rozdziale 4.

Kolejnym wielkim problemem są systemy wbudowane [ang. embedded systems] – a dokładnie kod, który kieruje pracą urządzeń w większości niewidocznych dla przeciętnego użytkownika. Jak już wspomniałem, bardzo gwałtownie rozwija się internet rzeczy. Jest on pełen urządzeń, które zostały zaprojektowane i wprowadzone do obrotu dla wygody użytkowników, a nie ze względu na bezpieczeństwo. Routery stanowią szczególnie niebezpieczną monokulturę opartą na tanim, podatnym na uszkodzania oprogramowaniu i mikroprocesorach. Jest zatem całkiem prawdopodobne, że powstanie złośliwy kod, który będzie przejmował kontrolę nad wieloma routerami i wyrządzał nieodwracalne szkody. Nawet jeśli konsumenci będą skłonni płacić więcej za bardziej niezawodne routery, jeśli będą przestrzegać zasad bezpieczeństwa i pobierać aktualizacje sprzętu, na świecie wciąż pozostawać będą miliony starych urządzeń. Żadne rozwiązanie nie jest doskonałe. Urządzenia, które mogą być sterowane zdalnie, zawsze będą narażone na ryzyko przejęcia w skali masowej. Te, którymi nie da się zarządzać zdalnie, trudno z kolei zabezpieczyć przed innymi atakami – takimi jak wspomniany atak na termostat firmy Nest, do którego haker potrzebował zaledwie 15-sekundowego dostępu. Geer sugeruje, że producenci powinni obligatoryjnie instalować w sprzęcie „śmiertelny” kod – taki, który po pewnym czasie trwale go deaktywuje. No, chyba że sprzęt ten będzie zarządzany zdalnie.

Ludzie ślepo wierzą, że większość życiowych problemów da się rozwiązać za pomocą pieniędzy i że zasada ta ma zastosowanie także w dziedzinie bezpieczeństwa cyfrowego. Jednak tak jak pierwsi hakerzy byli motywowani głównie pragnieniem wykazania swojej skuteczności, a nie chęcią czynienia szkód, manifestowania poglądów politycznych czy wyłudzania pieniędzy, tak wynajdowanie luk w oprogramowaniu było domeną tych, którzy chcieli się wprawiać w technicznych sztuczkach, a nie robić na tym karierę. Powoli zaczęło się to zmieniać. Dziś można dużo zarobić, wskazując dostawcom oprogramowania dziury w kodzie. Stanowi to pewien impuls, ale nie sprawia, że jesteśmy bezpieczniejsi. Rynek jest pełen tajemnic: wysokość wynagrodzeń przewidzianych za ujawnienie luk nie jest podawana do wiadomości publicznej. Te same informacje o dziurach mogą być sprzedawane wielokrotnie – najpierw firmom, które chcą chronić swoje sieci, później ich konkurentom. Nie istnieje serwis posprzedażowy w przypadku zero-days: jeśli chcecie wykorzystać dziurę zero-day, podczas gdy ona została już załatana, macie po prostu pecha. Gdy w trakcie łatania luki stajecie się podatni na atak zorganizowany według innej metody, to również macie niefart. W skrócie, zdarza się, że firmy przepłacają za to, co kupują, bądź też płacą za mało. To zresztą problem ich udziałowców. Z punktu widzenia społecznego martwi fakt, że nie wiemy, jak wiele takich dziur istnieje. Nie wiemy, czy ich liczba jest „aż gęsta czy raczej niewielka”[9], jak to określił w artykule z maja 2014 roku Bruce Schneier, ekspert ds. bezpieczeństwa, o którym pisałem w Rozdziale 11. Jeżeli istnieje zaledwie kilka słabych punktów, sensowne byłoby, aby rządy kupiły informacje o nich i podały je do publicznej wiadomości. Jeżeli jest ich wiele, byłaby to strata czasu: nie uczyniłoby to życia bezpieczniejszym, a tylko pogłębiło wiedzę przestępców. Lepiej, by rządy zainteresowane wojną z cyberprzestępczością kupowały wiedzę o lukach i stosowały ją w praktyce (albo ją gromadziły).

Geer zwraca uwagę, że amerykański rząd jest aktywny na rynku programów wykorzystujących nieznane dotąd luki w oprogramowaniu – czyli rynku tzw. exploitów zero-day. Skupuje je, często nawet przepłacając, a następnie podaje do publicznej wiadomości. Przynosi to różnego rodzaju korzyści. Nagradzanie za zgłaszanie dziur wywołałoby wzrost liczby osób starających się wynaleźć luki. Publikowanie informacji o nich obniża rynkową cenę tych informacji. Przestępcy i wrogie rządy stają się mniej skłonne płacić za exploity, mając świadomość, że lada chwila dany błąd może zostać upubliczniony i naprawiony. To podejście dałoby świetne efekty, gdyby liczba luk była rzeczywiście „niewielka”. Co jednak, jeśli założymy, że jest od nich „aż gęsto”? Będzie to oznaczać narodziny zupełnie nowego przemysłu i ogromne koszty dla podatnika. Wzrost bezpieczeństwa byłby natomiast żaden. Geer twierdzi, że dziur jest na tyle niewiele, by można było działać – zwłaszcza jeśli proces ich poszukiwania da się zautomatyzować. Być może jedynym sposobem, aby dowiedzieć się, kto ma rację, jest sprawdzenie jego teorii. Z pewnością byłoby to tańsze, niż wydawanie wielkich sum na podrobione oprogramowanie zabezpieczające i pokrywanie strat w boju z przestępcami.

Im bardziej martwimy się o bezpieczeństwo w internecie, tym bliżej nam – nawet amatorom – do świata wywiadu, jego podstępów, mistyfikacji, kłamstw, podsłuchów, uników, niedozwolonych chwytów, antyinwigilacyjnych działań oraz trudnej do zrozumienia troski o zaufanie i wiarygodność. Internet zabił dystans – ktoś może Was śledzić z drugiej strony świata. Wasza cyfrowa smuga [ang. digital exhaust], a więc ślad informacji, które Wy i Wasz komputer zostawiacie za sobą, surfując w sieci, celowo lub przez przypadek, jest bogta w dane, które mogą odczytać osoby trzecie. Cyfrowi podglądacze mogą porównać te dane z informacjami dotyczącymi innych ludzi, co wydawało się nieprawdopodobne jeszcze kilka lat temu. Dziś nawet niewielka anomalia w zachowaniu zwraca uwagę. Jak zauważa Geer, „zakres prywatności był proporcjonalny do ilości danych, których nie dało się zaobserwować, bądź tych, które można było zaobserwować, lecz nie dało się rozpoznać”. Jednak wartości te skurczyły się. Być może rozwiązaniem byłoby zaostrzenie przepisów dotyczących sposobu, w jaki przechowywane są dane osobowe. Miałoby to pewien sens, ponieważ zniechęcałoby ludzi szanujących prawo do ulegania pokusie bycia wścibskimi lub nierozsądnymi. Nie pomogłoby to jednak powstrzymać tych, którzy czują pogardę dla prawa (np. przestępców) bądź czują się spod niego wyjęci (np. agencje wywiadowcze i agencje bezpieczeństwa). Innym rozwiązaniem mogłoby zatem być lepsze szyfrowanie oraz posługiwanie się wieloma tożsamościami, co Geer nazywa „efektywną zdolnością do fałszywego przedstawienia siebie”. Podejście to zastosowała uwrażliwiona na kwestie prywatności dziennikarka Julia Angwin, tworząc postać Idy Tarbell (która swe nazwisko zawdzięcza słynnej publicystce ery międzywojennej), wyrabiając na nią kartę kredytową i dokonując rezerwacji w restauracji. Odpowiada to praktyce przyjętej w świecie agencji wywiadowczych, polegającej na tworzeniu „legend” – przykrywek dla oficerów wywiadu. Paradoksalnie, mimo że nigdy nie było łatwiej stworzyć fałszywej tożsamości (wystarczy otwarcie konta o tej samej nazwie w serwisach: Facebook, Linkedln czy Gmail), stworzenie niezawodnej tożsamości, która wytrzymałaby długotrwałą kontrolę, nigdy nie było takim wyzwaniem. Amerykański standard FCCX stara się naśladować system estoński opisany w Rozdziale 11, tworząc „ekosystem tożsamości”, w którym każda osoba, organizacja, komputer i sieć mogą być uwierzytelnione. Wybór jest trudny. Ludzie zwykle chcą płacić słabą walutą, ale zarabiać w silnej. Chcemy mieć prawo do jednoznacznego zidentyfikowania się, gdy będzie nam to potrzebne oraz możliwość potwierdzenia tożsamości osób, z którymi prowadzimy interesy. Zarazem chcemy mieć prawo do pozostawania w cieniu. Takie podejście wymaga, by inni ludzie byli skłonni akceptować nasze słabe i niejednoznaczne tożsamości – Geer nazywa to „prawem do zakamuflowania się” – nawet jeśli my nie będziemy akceptować ich u innych.

W tej kwestii nie zgadzam się jednak z Geerem. Uważam, że cyfrowe życie będzie ewoluować, tak jak zmienia się prawdziwe życie. Jeżeli chcecie zjeść posiłek w restauracji, macie kilka możliwości wyboru. Możecie pojawić się w niej osobiście i zapłacić gotówką. Możecie też zadzwonić i zarezerwować stolik, podając fałszywe nazwisko, co oszczędzi Wam ewentualnych kosztów, jeśli ostatecznie się tam nie stawicie (jedynym kosztem będą wyrzuty sumienia). Rezerwując stolik możecie podać nie tylko fałszywe nazwisko, ale też fałszywy numer telefonu. Grozi to anulowaniem rezerwacji – w przypadku, gdy pracownik lokalu będzie próbował dodzwonić się do Was, by potwierdzić godzinę. Możecie jednak podać fałszywe nazwisko ale właściwy numer telefonu. Dzięki temu będziecie mogli potwierdzić rezerwację. Jeśli jednak nie pójdziecie do restauracji, a do tego okażecie się zbyt leniwi, by anulować rezerwację, będziecie musieli się tłumaczyć, gdy pracownik lokalu zadzwoni z pretensjami. Restauracja może również ściągnąć pieniądze z Waszej karty kredytowej i pobrać opłatę, jeśli się nie stawicie. Możecie podać fałszywy numer karty kredytowej (co graniczy z przestępstwem), a nawet podjąć trud założenia specjalnego konta bankowego dla celów dokonywania rezerwacji w restauracjach. W każdym z tych przypadków żonglujecie wygodą, bezpieczeństwem i anonimowością. Jeżeli w ogóle nie pozostawicie za sobą śladów, ryzykujecie nieotrzymanie posiłku. Jeżeli zachowacie się według surowych standardów, będziecie musieli stawić się w restauracji albo zapłacić za posiłek, którego nie zjedliście. Możecie również zrezygnować z pomysłu z restauracją. Domyślam się, że sprawy mają się podobnie w internecie. Jeżeli prowadzicie restaurację, macie system rezerwacji online, w którym klienci muszą zidentyfikować się za pomocą cyfrowych tożsamości i wpłacić bezzwrotny depozyt. Ma to sens, jeżeli Wasza restauracja jest wykwintna i bardzo oblegana. Jest to niepotrzebne, gdy Wasza knajpka jest miejscem tanim. Lokale, które zbyt wiele wymagają od swoich klientów, mogą zbankrutować. Klienci, którzy strzegą swojej prywatności, mogą wybrać lekki głód.

Stosowanie się do sugestii Geera z pewnością wiąże się z licznymi trudnościami. Jedna z nich dotyczyłaby zahamowania innowacji do czasu uzyskania pewności, że wprowadzane na rynek systemy są prawidłowo zabezpieczone. Zdało to egzamin w przypadku Microsoftu. Firma zaprzestała wprowadzania na rynek dziurawych wersji Windowsa. Dużo czasu i wysiłku włożono w testowanie nowych wersji, by upewnić się, czy są odpowiednio bezpieczne. Ta decyzja biznesowa okazała się mieć pozytywne długofalowe skutki. Spółka, która była pośmiewiskiem wśród ekspertów ds. cyberbezpieczeństwa, jest dziś szanowana.

Czekanie ma więc wiele zalet. Zamiast ścigać się w tworzeniu nieodwracalnego uzależnienia od maszyn i systemów, których nie jesteśmy w stanie zrozumieć i których nie zbudowaliśmy z myślą o bezpieczeństwie, moglibyśmy po prostu zatrzymać się na chwilę i poczekać, aż poprawią się standardy. Nie chcielibyśmy przecież znaleźć się na pokładzie eksperymentalnego samolotu, zatem nie powinniśmy powierzać naszego bezpieczeństwa i szczęścia temu, co jest w istocie eksperymentalną siecią komputerową. W wielu dziedzinach życia akceptujemy intensywną kontrolę jako cenę bezpieczeństwa. Nowe samoloty przechodzą szczegółowy proces certyfikacji, podobnie jak nowe leki. Czy tego samego możemy spodziewać się w cyfrowym świecie? Teoretycznie, w odniesieniu do internetu powinniśmy być nawet bardziej skłonni do akceptowania opóźnień, utrudnień i kosztów, ponieważ cyberataki pochodzą od czujnych przeciwników. Możemy martwić się efektem długofalowego promieniowania kosmicznego na elektronikę kokpitu lub rozwojem nowych bakterii odpornych na antybiotyki, wiemy jednak, że w przeważającej części mamy tu do czynienia z siłami natury, a nie z przestępcami. To, co sprawia, że ataki na komputery są tak niebezpieczne, to prawdziwi ludzie, którzy za nimi stoją. Wkładają oni wiele wysiłku i pomysłów w wyszukiwanie słabych punktów w naszych systemach. Ostrożność jest uzasadniona z technicznego punktu widzenia, trudno jednak znaleźć dla niej polityczne wy tłumaczenie. Wygoda, jaką daje internet, wciąż jest przedkładana nad troskę o bezpieczeństwo, kreując zarazem coraz większe oczekiwania, a także nawyki, z których trudno jest zrezygnować. Większe wykorzystanie internetu oferuje nie tylko rosnącą satysfakcję konsumentów i niższe koszty, ale też inne korzyści, choćby w postaci efektywności energetycznej. Ci, którzy chcą zaoszczędzić pieniądze i ratować naszą planetę poprzez instalowanie inteligentnych sieci mających zmniejszyć konsumpcję energii, mogą nie być entuzjastami hamowania postępu.

Jeszcze inną opcją mogłaby być zmiana zasad obowiązujących w internecie na takie, które uniemożliwiłyby zdalne ataki. Moglibyśmy nalegać na poprawienie standardów autoryzacji we wzajemnym akceptowaniu się przez urządzenia – chodzi o zasady zachowania poufności znane jako LANGSEC [ang. language theoretic security][10]. Jak zauważył Geer, wymagałoby to jednak całkowitej zmiany paradygmatu w naszym myśleniu o sieci. Jednocześnie pomogłoby to nam sprostać największym wyzwaniom z nią związanym: tym dotyczącym zaufania, domniemania dobrej woli itd. Kolejnym pomysłem mogłoby być przyspieszenie tempa ewolucji, co pozwoliłoby nam – ofiarom – udoskonalić metody obrony przed napastnikami. Może się to wydawać trudne: wymagałoby to bowiem istnienia centralnego, zdalnie zarządzanego urządzenia, które pozwalałoby identyfikować i naprawiać potencjalne błędy w każdej maszynie. Dla wielu urządzeń byłoby to niemożliwe. Produkujemy gadżety i sprzęty, których nie da się konserwować i aktualizować. To tak, jakby odkryto rodzaj żarówki powodujący zagrożenie pożarowe dla wszystkich ludzi w sąsiedztwie. Jedynym sposobem, by zapobiec tragedii, byłoby pukanie do każdego, inspekcja wszystkich mieszkań i wymiana żarówek jedna po drugiej. W przypadku internetu rzeczy byłoby to wyjątkowo trudne. W przyszłości wiele urządzeń trudno będzie znaleźć. Inne będą dla nas niedostępne. Aby sobie to wyobrazić, spróbujcie wyłączyć wszystkie urządzenia w domu tak, by licznik zużycia energii się zatrzymał. Dość prosto jest sprawić, by zużycie energii spadło niemal do zera. Jednak namierzenie każdego domowego urządzenia pobierającego moc może stanowić wyzwanie. Nawet jeśli wyłączycie światło, ogrzewanie, kuchenkę, sprzęt RTV i odłączycie sprzęty z gniazdek – może okazać się, że wciąż pobierana jest niewielka strużka mocy (gdy próbowałem zrobić to u siebie w domu, okazało się, że prąd pożerał panel sterowania alarmu przeciwwłamaniowego). W dobie wszechobecnej elektroniki problem ten będzie narastał. Powstaną przecież domy z wbudowanymi urządzeniami do utrzymywania stałego poziomu ciepła, wysokiego poziomu bezpieczeństwa i wydajności. Gospodarz nie będzie miał pojęcia, gdzie te urządzenia będą się faktycznie znajdować. Nie będzie też wiedział, ile mikroprocesorów znajduje się w jego samochodzie.

Jest to wyścig z czasem, w którym zwyciężają złoczyńcy. Geer zauważa z niepokojem, że „dłuższy żywot urządzenia oznacza wzrost prawdopodobieństwa, że zostanie ono wrogo przejęte, zanim przestanie działać”. Porównuje bezmyślne instalowanie urządzeń sieciowych do zanieczyszczania kosmosu, z czym będą się musiały uporać przyszłe pokolenia. Lub też do inflacji – „niekończącej się cichej kradzieży”, którą przegłosowują kolejni prawodawcy.

Pierwszy Dodatek

Kto rządzi internetem?

Ponieważ internet nie podlega jednej krajowej jurysdykcji, zasady nim rządzące są niejasne. Internetem nie zarządza żaden organ, a panujące w nim zasady i standardy ustanawiane są przez pewną grupę organizacji non-profit, które podejmują decyzje na drodze konsensusu, lecz mają ograniczone możliwości wprowadzania ich w czyn. Do organizacji tych zaliczamy między innymi Internet Society. Dołączyć do niej może każdy, a członkostwo jest darmowe i polega na odbywaniu licznych nasiadówek dla celu czynienia ogólnego dobra. Wymienić też należy Internet Engineering Task Force (IETF), koordynującą prace nad normami technicznymi i starającą się zapewnić codzienne działanie sieci. Kolejną organizacją non-profit jest The Internet Corporation for Assigned Names and Numbers (ICANN). Zajmuje się ona utrzymywaniem systemów adresowych. To dzięki nim po wpisaniu np. edwardlucas.com traficie na moją stronę. ICANN jest miejscem, w którym kontrowersje ścierają się z nauką o komputerach. Stany Zjednoczone próbowały ograniczyć działanie ICANN, tworząc przyrostek .xxx dla biznesów z przemysłu erotycznego. Organizację pozywały ofiary ataków terrorystycznych, chcąc eprzejąć przyrostki .ir (Iran), .sy (Syria) i .KP (Korea Północna)[1]. ICANN ma niewielu przyjaciół, jest postrzegana jako organizacja skryta, zdominowana przez zachodnich inżynierów, głównie mężczyzn, którym zdarza się popełniać podstawowe błędy w dziedzinie bezpieczeństwa. Jeden taki błąd objawił się w 2014 roku, gdy hakerzy zdołali uzyskać dostęp do serwerów kierujących ruchem w internecie[2].

ICANN stara się zachować kontrolę nad systemem adresowym, wynikającą z wieloletniej relacji z amerykańskim rządem. Łącząca ją z administracją umowa jest jednak reliktem epoki początków internetu, gdy służył on tylko pracownikom resortu obrony i amerykańskich uniwersytetów. Kontrakt ICANN wygasł pod koniec 2015 roku, a amerykańska administracja, świadoma obaw dotyczących nadzoru i aktywności służb wywiadowczych, pragnie przekazać kontrolę nad adresami jakiemuś neutralnemu gremium, aby osłabić nawoływania Chin i innych autorytarnych krajów do poddania internetu międzynarodowej kontroli.

Drugi Dodatek

Elementy Kryptografii

Kryptografia spełnia dwie funkcje w internecie: koduje wiadomości, aby mogły mieć prywatny charakter oraz pozwala zidentyfikować nadawcę. Stoi za tym solidna dawka matematyki. Wystarczająco silny szyfr sprawia, że kod staje się nie do złamania, a tożsamość nie do zakwestionowania.

Może to brzmieć onieśmielająco, jednak podstawowa zasada jest prosta: jeśli pomnożysz coś przez większą liczbę, wynikiem będzie jeszcze większa liczba, jednak osoba, która będzie widzieć ową większą liczbę, nie będzie potrafiła się domyślić, jaka była liczba początkowa. Każde dziecko wie, że mnożenie jest łatwiejsze niż dzielenie. Tworzenie dużej liczby poprzez mnożenie mniejszych jest proste, jednak złamanie większej liczby na mniejsze poprzez dzielenie nastręcza wiele problemów. Weźmy, dla przykładu, sumę poniżej:

2 x 3 x 4 x 5 x 6 x 7 x 8 x 9 = 362880

Posiłkując się podstawową wiedzą matematyczną, możemy ustalić, że liczba 362880 jest podzielna przez 10. Przy odrobinie wysiłku możemy również dojść do tego, że owa liczba jest także podzielna przez 2 i 3. Przy pomocy papieru i ołówka można rozpracować inne czynniki. Wyobraźcie sobie liczbę 362.881. Jest ona równa 19 x 71 x 269. Te trzy „czynniki pierwsze” nie są podzielne przez jakąkolwiek inną liczbę. Jednak dowodzenie tego jest trudne: większość ludzi nie jest w stanie zrobić tego w myślach. Wyobraźcie sobie teraz liczbę 1.299.827. Jest to liczba pierwsza – podzielna tylko przez siebie i 1. Potrzebowalibyście jednak kalkulatora i kilku minut, aby się o tym przekonać. Gdy dojdziecie do liczby 982.451.653 (która jest pięćdziesięciomilionową liczbą pierwszą), będziecie potrzebować dobrej maszyny.

Będzie pomocna przy tworzeniu kodu. Wyobraźcie sobie, że chciałbym zaszyfrować mój numer telefonu do biura: 75761180. Mnożę go za pomocą mojego „klucza”: powiedzmy liczby pierwszej 269. Rezultatem jest 20379757420. Mogę to zrobić za pomocą kalkulatora lub nawet przy użyciu pióra i kartki papieru. Teraz pomyślcie, że chcecie złamać ten kod. Jak to zrobić? Być może z pomocą kalkulatora udałoby się to Wam w 10 czy 15 minut. Weźcie jednak pod uwagę, że „klucz”, którym się posłużyłem mógłby brzmieć nie 169 tylko 982.451.653. Złamanie kodu byłoby niezwykle trudnym zadaniem, możliwym do wykonania tylko przez matematyków.

Owa idea „funkcji jednokierunkowej” – tworzenie kodu jest łatwe, jednak łamanie go trudne – jest fundamentem współczesnej kryptografii. Był czas, gdy tylko rządy mogły dokonywać tego skutecznie. Wyszukanie i mnożenie bardzo dużych liczb wymagało potężnych komputerów. Dziś można to robić nawet przy użyciu telefonu komórkowego. Możecie też generować „klucz”, poruszając kilkakrotnie kursorem myszy – jego losowy ruch na ekranie utworzy w efekcie coś, co będzie bardzo dużą liczbą. Takie „klucze” nie muszą być liczbami pierwszymi – będą po prostu bardzo duże. Możecie ich użyć do szyfrowania e-maili, dokumentów czy połączeń telefonicznych. Tylko osoba, która dysponuje tym samym kluczem będzie mogła zrozumieć wiadomość od Was.

Szczególnie interesującą sprawą jest to, że możecie mieć też klucz publiczny, którego każdy będzie mógł użyć do wysłania Wam zaszyfrowanej wiadomości. Będziecie mogli odkodować ją za pomocą Waszego prywatnego klucza. Paradoksalnie jego funkcjonowanie jest łatwe do zrozumienia: to jak skrzynka na listy (każdy może nadać list, ale tylko konkretny odbiorca może go odebrać) lub drzwi z zatrzaskiem, które mogę być zamknięte przez każdego, jednak tylko Wy macie możliwość je otworzyć.

Istnieją trzy sposoby łamania szyfrów. Jednym z nich jest „brutalna siła”. Jeśli ktoś dysponuje odpowiednio potężnym komputerem i ma dużo czasu, może złamać każdy kod. Potrzebny do tego czas może oczywiście okazać się dłuższy niż życie wszechświata. Złamanie kodu moze też wymagać zużycia całej energii na planecie. Teoretycznie jednak jest możliwe. Co ważniejsze, nowe osiągnięcia w dziedzinie informatyki umożliwiły to, co wydawało się nie do przebrnięcia w przeszłości. Współczesne komputery łamią kody, które zaledwie kilka dekad temu wydawały się niezniszczalne.

Ten wyścig jest jednak nierówny. Luka pomiędzy mocą obliczeniową, jaką dysponują ci, którzy chcą szyfrować wiadomości, a mocą, którą posiadają dekodujący, zmniejsza się. Łamanie kodu wymaga komputera o wiele potężniejszego od tego, jaki potrzebny jest do zaszyfrowania wiadomości. Nawet rządowe agencje wywiadowcze nie są w stanie złamać każdego kodu za pomocą „brutalnej siły”. Nie mogą tego zrobić zwłaszcza wtedy, gdy nie są w stanie na bieżąco ingerować w działania tego, kto szyfruje.

Dobrym tego przykładem jest sytuacja z 2014 roku. Niemieckie władze aresztowały wówczas urzędnika, którego podejrzewano o szpiegostwo na rzecz Stanów Zjednoczonych. Komunikował się ze swoimi przełożonymi, jak uważali Niemcy, odwiedzając stronę internetową, która oferowała informacje o pogodzie w Nowym Jorku. W jednym z wideo na stronie ukryte było zaawansowane oprogramowanie szyfrujące, które pozwalało mu na przesyłanie danych z jego komputera i odbieranie wytycznych. Zawartość komputera podejrzanego, gdy niemiecki kontrwywiad go zarekwirował, okazała się zaszyfrowana. Człowiek ten odmówił podania hasła, a funkcjonariusze nie byli w stanie – nawet przy użyciu wszystkich zasobów niemieckiego wywiadu elektronicznego – złamać kodu. Gdyby wcześniej wiedzieli, że będą potrzebować zawartości laptopa, mogliby wykorzystać podatność szyfrowania na podstęp. Jeżeli możecie coś przeczytać, zaglądając komuś przez ramię, fakt, iż otrzymał on jakąś wiadomość w tajemnicy przestaje mieć znaczenie. Najbardziej zaawansowane narzędzia do przechwytywania komunikacji nie opierają się na łamaniu kodów, lecz na czytaniu wiadomości zanim zostaną one zakodowane lub tuż po ich odkodowaniu. Nazywa się to „słabościami urządzeń końcowych”. W pewnych okolicznościach może to polegać na umieszczeniu kamer w takich miejscach, w których da się przeczytać coś na ekranie komputera. Nowoczesny sprzęt szpiegowski wymaga zaledwie małego otworu i pozostaje właściwie niewidoczny. Ekrany komputerowe promieniują, więc starannie umieszczona pluskwa może odebrać sygnał elektroniczny i wysłać go do „wtyczki”. Kolejną linię ataku stanowią klawiatury. Oferują one szpiegującym wiele możliwości. Każdy klawisz wydaje nieco inny dźwięk, a czuły mikrofon może to wychwycić. Klawiatura emituje promieniowanie elektromagnetyczne, gdy ktoś na niej pisze. Te sygnały mogą zostać odebrane przez odpowiedni rodzaj pluskwy – a nawet przez telefon komórkowy umiejscowiony blisko klawiatury. Najbardziej wysublikowane ataki na urządzenia końcowe obejmują implementowanie szpiegującego oprogramowania na docelowym komputerze. Key-logger zarejestruje wszystko, co jest wpisywane na klawiaturze, następnie zaszyfruje i prześle dane dalej w sposób niewidoczny dla właściciela (nie potrzeba do tego połączenia z internetem: dane mogą być wyprowadzone poprzez szczelinę w sieci za pomocą urządzenia pamięci USB lub innymi fizycznymi sposobami). Key-loggery są szczególnie silną formą ataku. Nie ma znaczenia jak długie i silne jest Wasze hasło, skoro wpisujecie je wielokrotnie, gdy jest to potrzebne. Aby udaremnić działania key-loggerów, niektóre programy proszą użytkowników o wpisanie klucza nie za pośrednictwem fizycznej klawiatury, lecz poprzez obrysowanie kursorem myszki liter wyświetlonych na ekranie. Wydaje się to o wiele bardziej bezpieczne, okazać się jednak może, że atakujący korzystają też z przechwytywacza obrazu [ang. screen grabber]. Program robi regularnie kopie tego, co znajduje na ekranie i przesyła je dalej. Programy typu key logger i screen grabber zaprojektowane są tak, by być niewidocznymi i wykorzystują niewielkie ilości mocy. Nie dają więc możliwości zauważenia, że wyprowadzają z komputera jakieś dane. Ukrywają się w trudnych do przeszukania zakamarkach sprzętu. Gdy się je usunie, trudno jest zyskać pewność, że zniknęły całkowicie – mogą zostawić maleńką szczelinę w zabezpieczeniach komputera, by umożliwić sobie ponowną inwazję, nawet jeśli maszyna została gruntownie przeczyszona. Tego typu „węszące” programy są dziecinnie proste do zainstalowania. Najłatwiejszym sposobem jest sprawienie, by ofiara zrobiła to sama, wchodząc na zainfekowane strony internetowe czy otwierając zawirusowanego e-maila. Można zainstalować je ręcznie – wkładając do portu USB komputera ofiary dysk przenośny i uruchamiając sprzęt. Osoba sprzątająca biuro lub pracownik administracji może zostać przekupiony, by wpuścić hakera do miejsca, do którego próbuje on dotrzeć. O ile Wasz komputer nie jest zamknięty w bezpiecznym miejscu i wyłączony – jest podatny na atak. Podstępy mogą dotyczyć zwykłych ludzkich słabości. Ktoś może zadzwonić do Was i podać się za pracownika działu IT, prosząc o pilne zainstalowanie aktualizacji programu antywirusowego. Czy nie postąpilibyście zgodnie z jego instrukcjami? Prawdopodobnie posłusznie odwiedzilibyście stronę internetową, taką jak na przykład security-update.net, która wyglądałaby całkiem przekonująco, po czym wcisnęlibyście przycisk „Aktualizuj”. Wasz komputer zacząłby lekko szumieć i sapać, a po chwili na ekranie pojawiłoby się pytanie, czy chcecie pobrać i zainstalować oprogramowanie. Wcisnęlibyście przycisk „Tak”. Po kilku minutach wszystko byłoby gotowe. Osoba podająca się za pracownika działu IT podziękowałaby Wam za współpracę. W ten sposób ściągnęlibyście sobie złośliwe oprogramowanie, które mogłoby zamienić Wasz komputer w urządzenie podsłuchowe, czyniąc całe oprogramowanie zabezpieczające i szyfrowanie bezużytecznym. Ten rodzaj podstępu nazywany jest przez komputerowców inżynierią społeczną. Można się nim posługiwać, by dostarczyć do celu dowolny rodzaj złośliwego oprogramowania. Ponieważ jednak jest to metoda czasochłonna dla hakera i wymaga sprawnej organizacji, stosuje się ją niemal wyłącznie wobec szczególnie ważnych celów.

Trzecim sposobem radzenia sobie z silnym szyfrem jest wspomniany już atak gumową pałką. Polega on na atakowaniu ludzi, nie komputerów. Oznacza użycie siły fizycznej (jak właśnie uderzenie kogoś gumową pałką). Może też polegać na szantażowaniu i stosowaniu innych form nacisku psychologicznego. Najlepsze szyfrowanie na świecie nie podoła ludzkim słabościom.

Owe trzy wymienione słabości są poważne. Eksploatowanie ich wymaga jednak od atakującego zaangażowania czasu i energii. Jeśli gang przestępców, rządowa agencja wywiadowcza lub grupa politycznie zmotywowanych cyfrowych speców (haktywistów) będzie zdeterminowana, by zaatakować Wasz komputer i odczytać zaszyfrowane wiadomości, znajdą na to sposób. Będą jednak musieli włożyć w to dużo pracy.

Trzeci Dodatek

Rekomendacje od brytyjskiej Centrali Łączności Rządowej (GCHQ)

Brytyjski wywiad i służby bezpieczeństwa cieszą się doskonałą renomą nie tylko dzięki książkom Johna le Carré i filmom o Jamesie Bondzie według Iana Fleminga. Jeżeli MI6 (pod tą upowszechnioną nazwą kryje się Tajna Służba Wywiadowcza) miałaby wydać obywatelom brytyjskim życiowe triki, czyli wynikające z doświadczenia w sztuce szpiegowskiej – stanowiącej mieszankę gładkiej mowy i walki wręcz – rekomendacje, ludzie z pewnością usiedliby i słuchali. Dziwi więc nieco, że Brytyjskie Centrum Ochrony Narodowej Infrastruktury (CPNI), przekazując porady dotyczące bezpieczeństwa komputerów i sieci, nie potrafi przyciągnąć należnej mu uwagi.

Pomogłoby pewnie użycie prostego języka. Postanowiłem więc w tym miejscu przedstawić tłumaczenie tych rekomendacji, przystępne dla rozgarniętych lecz technicznie niezaawansowanych użytkowników sieci, takich jak Hakhettowie. Po pierwsze, powinniście dowiedzieć się, kto zarządza Waszą siecią i komputerami i jakie istnieją w niej zagrożenia. Jakie informacje chcecie chronić? Kto mógłby chcieć je ukraść? Kto może wprowadzać zasady dotyczące bezpieczeństwa Waszych komputerów i sieci, i w jaki sposób jego wytyczne mogą być Wam przekazywane? Gdy zaczynacie i kończycie projekty, w jaki sposób upewniacie się, że kwestie bezpieczeństwa cyfrowego są adresowane w sposób prawidłowy? Dyscyplina dotycząca informacji w dziedzinie zarządzania ryzykiem, choć brzmi to szumnie, stanowi zaledwie fundament.

Po drugie, zaproponujcie pewne zasady dotyczące użytkowania komputerów i innych urządzeń w Waszej firmie. Kto może połączyć się z Waszą siecią i jak długo może w niej pozostawać? Testujcie Waszą sieć regularnie, by widzieć, ile czasu trwa wykrywanie nowego urządzenia. Jakie są zasady dotyczące aktualizacji oprogramowania? Co się dzieje z osobami, które złamią te zasady? Kto może instalować nowe oprogramowanie na komputerach w firmie? Jaki rodzaj zapisu dotyczący tych spraw należy stosować i kto może mieć do niego dostęp? Jest to znane jako „bezpieczna konfiguracja”.

Po trzecie, zastanówcie się, co robicie, by zabezpieczyć Waszą sieć? Czy macie ustawione zapory uniemożliwiające atak przez internet? Co się stanie, gdy ktoś złamie zaporę? Powinniście archiwizować zapisy wszystkich aktywności w Waszej sieci, tak abyście w przypadku ataku wiedzieli, kto był w danym miejscu i co robił. Testujcie zabezpieczenia Waszej sieci, zalecając ludziom, by próbowali ją atakować, łącząc swe kompetencje cyfrowe i intuicje.

Po czwarte, rozważcie, jaka jest Wasza polityka dotyczące tego, co komu wolno. (W żargonie komputerowym określa się to mianem uprawnień użytkownika). Upewnijcie się, że ludzie nie mają większych uprawnień niż powinni. Zastanówcie się, czy ci, którzy mają zwiększone uprawnienia, powinni dysponować nimi przez cały czas, czy tylko do określonych zadań? Prawdopodobnie nikt nie powinien mieć prawa do robienia wszystkiego w Waszej sieci. Upewnijcie się, że ważne decyzje – np. o wystawieniu listów uwierzytelniających – wymagają nie tylko kliknięcia w odpowiednie pole na ekranie, ale także dyskusji w czetery oczy. Przyglądajcie się temu, kto i w jaki sposób wykorzystuje swoje prawa i przywileje. Sprawdzajcie to regularnie.

Po piąte, upewnijcie się, że wszyscy są odpowiednio wyszkoleni. Co się dzieje z nowymi pracownikami, pracownikami tymczasowymi, praktykantami i innymi osobami, które korzystają z Waszej sieci? Jakie mają prawa? Upewnijcie się, że gdy opuszczą firmę, utracą też dostęp do systemów, a ich autoryzacje wygasną.

Po szóste, miejcie plan na wypadek, gdyby coś poszło nie tak. Upewnijcie się, że osoba za to odpowiedzialna ma wystarczające kompetencje do podejmowania właściwych decyzji. Rozważcie wcześniej różne możliwości. Proste „wyciągnięcie wtyczki” w Waszej firmowej sieci może okazać się złym pomysłem w przypadku włamu. Jeśli celem atakującego będzie zdezorganizowanie Waszej pracy – w ten sposób odniesie sukces.

Po siódme, bądźcie gotowi na działanie złośliwego oprogramowania. Do jakich zasad stosujecie się w prowadzeniu e-korespondencji pełnej linków i załączników? W jaki sposób Wasi współpracownicy mogą szybko sprawdzić, czy coś im grozi? Im ważniejszy jest dany komputer, tym trudniej powinno być go zainfekować. Upewnijcie się, że w Waszej firmie obowiązuje równowaga pomiędzy bezpieczeństwem a wygodą.

Po ósme, zastanówcie się nad polityką użytkowania gadżetów i urządzeń pamięci masowej, szczególnie w kontekście podłączania ich do portów USB komputerów. Czy macie więcej portów USB niż potrzebujecie? (Nie każdy komputer potrzebuje takich portów). Czy każda maszyna koniecznie musi być wyposażona w nagrywarkę CD? Upewnijcie się, że każdy komputer, który może przyjąć pendrive, ma aktualne oprogramowanie, które może zeskanować USB w poszukiwaniu złośliwego oprogramowania. Upewnijcie się również, czy Wasi współpracownicy są świadomi ryzyka związanego z włączaniem czegokolwiek do sieci.

Po dziewiąte, przemyślcie Wasze zasady dotyczące monitorowania ruchu w sieci (także ruchu wychodzącego). Czy Wasi pracownicy są świadomi zasad prywatności? Czego poszukujecie na zewnątrz? Upewnijcie się, że gdy stanie się coś niezwykłego (na przykład gdy dane opuszczą komputer firmowy poza normalnymi godzinami pracy), zostaniecie zaalarmowani.

Po dziesiąte, zweryfikujcie zasady dotyczące zdalnej pracy ludzi. Musicie wiedzieć, jakie urządzenia są do tego wykorzystywane i gdzie przechowywane są dane.

Żadne z powyższych zaleceń nie przypomina prostej recepty. Jednak stosowane łącznie, owe środki bezpieczeństwa okażą się bardzo pomocne w walce z codziennymi zagrożeniami Waszych komputerów i sieci – a na pewno w walce z tymi opisanymi w mojej książce.

Pozwoli nam to skupić się na naprawdę istotnych zagrożeniach – na które wciąż nie potrafimy odpowiedzieć.

Słowniczek

Adres IP: numer rejestracyjny każdego łączącego się z siecią komputera lub urządzenia dostarczający informacje o jego adresie, nazwie i ścieżce dostępu.

Air-gapped: komputer lub sieć utrzymywane w fizycznej izolacji od jakiegokolwiek zewnętrznego systemu[1]. Osiągnąć to jest znacznie trudniej niż się wydaje, zwłaszcza w dobie miniaturyzacji, gdy każde elektroniczne urządzenie znajdujące się w pobliżu komputera próbuje nawiązać z nim połączenie.

APT: zaawansowane ciągłe zagrożenia (ang. advanced persistant threat), czyli celowe i wyrafinowane cyberataki organizowane (zwykle) przez agencje wywiadowcze państw przeciwko ich wrogom bądź rywalom.

Atak DDoS (ang. distributed denial of service): rodzaj ataku hakerskiego polegający na zaśmieceniu danego komputera – na przykład serwera, który obsługuje stronę internetową – wielokrotnie powtarzanymi żądaniami połączenia[2]. Atak ma na celu wykorzystanie całej dostępnej przepustowości systemu i w rezultacie uniemożliwienie uprawnionym użytkownikom korzystanie z niego.

Atak drive-by: sposób infekowania komputera, który polega na wykorzystywaniu do tego nawyków użytkowników stron internetowych.

Atak gumową pałką (ang. rubber hose attack): używanie siły fizycznej w celu wydobycia hasła [do komputera, urządzenia lub programu].

Atak przy wodopoju (ang. watering hole attack): wstawianie złośliwego oprogramowania na stronę internetową celem zainfekowania konkretnej kategorii odwiedzających (zob. atak drive-by).

Atak SQL (ang. Structured Query Language attack): sposób na infekowanie komputera za pośrednictwem strony internetowej, z której korzysta jego użytkownik.

Bitcoin: rodzaj kryptowaluty czy też cyfrowych pieniędzy; rozwiązanie to pozwala na dokonywanie w internecie trudnych do namierzenia transakcji za pomocą wyjątkowo skomplikowanych operacji matematycznych na sumach[3].

Botnet: sterowana z zewnątrz sieć komputerów, których właściciele nie mają świadomości, że coś jest nie tak[4].

Captcha (kod weryfikacyjny): prosty test używany do rozróżniania ludzi i maszyn [w internecie], który polega na tym, by właściwie przepisać losowo wybrane, zniekształcone litery. Łatwy dla ludzi, trudny dla komputerów.

Chipy: mikroprocesory, które znajdują się w sercu każdego elektronicznego urządzenia. Jeżeli wyobrazimy sobie, że dane to pędzące w sieci kolejowej pociągi, mikroprocesory można uznać za zwrotnice.

Chmura (ang. cloud): wielka sieć komputerowa obsługiwana przez kogoś z zewnątrz – bardzo przydaje się do przechowywania danych, dopóki działa.

Cyber-: przedrostek, którego używa się dla wskazywania luźnego związku danej rzeczy/zjawiska z komputerami i siecią; na przykład: cyberwojna, cyberguru, cyberszum, cyberbzdura.

Dane: informacje przechowywane i przetwarzane przez komputery i sieci. Jeśli komputer porównamy do linii kolejowej, dane to kursujące w niej pociągi.

Dwustopniowe uwierzytelnianie (ang. two-factor authentication): sposób potwierdzania tożsamości, który wymaga od użytkownika nie tylko wpisania hasła, lecz również podania dodatkowej informacji, takiej jak kod wysłany na telefon lub wygenerowany na innym urządzeniu.

Dyskietki (ang. floppy disks): staroświeckie przenośne narzędzie do przechowywania danych –  czyli „miękki” dysk lub materiał elektromagnetyczny w plastikowym opakowaniu.

HTTPS, protokół: szyfrowany protokół przesyłania dokumentów hipertekstowych – czyli sposób na bezpieczne komunikowanie się komputera ze stroną internetową. Zwykle można go rozpoznać po kłódce widocznej obok adresu WWW.

Heartbleed: błąd w systemie szyfrującym SSL [bezpieczeństwa] umożliwiający odczyt krytycznych danych [przez osoby nieupoważnione].

Inżynieria społeczna: wykorzystywanie pewnych ludzkich właściwości, takich jak próżność, altruizm czy podatność na zastraszanie, celem uzyskania dostępu do komputera lub sieci.

Kryptografia: gałąź matematyki, która zajmuje się szyfrowaniem opartym – zwykle – na wyjątkowych właściwościach liczb pierwszych. Kodowanie jest łatwe, proces odwrotny natomiast o wiele trudniejszy.

Linki: adresy, które kierują na stronę internetową, takie jak na przykład http://www.edwardlucas.com/contact. Można je skracać za pomocą systemów skracających adresy internetowe, takich jak t.co lub is.gd. Stają się wówczas łatwiejsze do zapamiętania, np. is.gd/elucas.

Łatka (ang. patch): poprawka wadliwego programu (lub sprzętu), którą użytkownicy mogą pobrać z sieci, by lepiej chronić się przed atakami. Może też pobierać się i instalować automatycznie.

Malware[5]: złośliwe oprogramowanie wykorzystywane do ataków na komputery i sieci.

Malvertising[6]: reklamy zawierające złośliwe oprogramowanie, których wysyłka ma na celu infekowanie komputerów, na których są wyświetlane.

Oprogramowanie (ang. software): zestaw reguł, według których działa komputer. Posiłkując się analogią do kolei – jest dla sprzętu (hardware) tym samym, czym rozkład jazdy dla pociągów i linii kolejowych.

Otwarte oprogramowanie (ang. open-source): programy pisane i utrzymywane zwykle przez wolontariuszy, do których prawa autorskie nie podlegają ochronie lub też podlegają jej w ograniczonym stopniu.

P2P (od ang. peer-to-peer): zdecentralizowany model [komunikacji w sieci], w ramach którego to użytkownicy, a nie jeden centralny element, przechowują dane, podejmują ryzyko lub dostarczają moc obliczeniową. Służy on do obchodzenia ograniczeń związanych z ochroną praw autorskich udostępnianych plików, z prawem telekomunikacyjnym (np. Skype) i z przepisami regulującymi usługi pośrednictwa finansowego (Zopa, Lending Club, Bondora).

Pamięć USB: małe urządzenie pamięci masowej, zwane często thumbdrive lub pendrive, które wykorzystuje się do przenoszenia danych lub programów między komputerami.

Phishing: wysyłanie wiadomości elektronicznych (e-maili) zawierających linki lub załączniki, które po otwarciu mogą zainfekować komputer ofiary[7].

Pobranie (ang. download): program lub dane skopiowane do komputera z sieci.

Powierzchnia ataku (ang. attack surface): miejsca, w których nieautoryzowany użytkownik (haker) może zyskać dostęp do celu, np. sieci komputerowej podłączonej do internetu.

Protokół SSL (Secure Socket Layer): szeroko stosowana metoda bezpiecznego komunikowania się ze sobą komputerów polegająca na szyfrowaniu transmitowanego strumienia danych określonym algorytmem.

Przeglądarka (ang. browser): program wykorzystywany w większości komputerów do odwiedzania stron internetowych.

Shellshock: błąd bezpieczeństwa w oprogramowaniu powłoki systemów Unix, Linux i w systemie OS X (w tzw. bashu) – pozwala zewnętrznemu użytkownikowi na uruchomienie własnego kodu w atakowanym systemie komputerowym.

Sprzęt komputerowy (ang. hardware): układy scalone (ang. chips), urządzenia i obwody, z których składa się komputer. Są odpowiednikiem torów, stacji i zwrotnic w systemie kolejowym.

Szpieg klawiatury (ang. key-logger): złośliwe oprogramowanie, które [po zainstalowaniu] rejestruje każde naciśnięcie klawisza w komputerowej klawiaturze. Wykorzystywane do wykradania haseł[8].

Ransomware: złośliwe oprogramowanie, które uniemożliwia dostęp do plików na komputerze dopóki [hakerowi] nie zostanie wpłacony okup.

Rogueware: złośliwe oprogramowanie sprawiające wrażenie legalnego.

Root-kit: podstępne oprogramowanie, które ukrywa niebezpieczne pliki i procesy, a także swoje istnienie, przed programami antywirusowymi i innymi, które mogłyby je wykryć.

Scareware: złośliwe oprogramowanie (zob. malware) udające program chroniący komputer.

Serwer: komputer, który zarządza bazą danych, stroną internetową lub innymi zasobami i reaguje na żądania klientów/użytkowników.

Terabajt: pamięć w komputerach liczona jest w bajtach. Jeden bajt oznacza osiem „bitów” informacji – czyli jedynek i zer. Jeden kilobajt oznacza tysiąc bajtów, megabajt równy jest milionowi, gigabajt (amerykański) miliardowi, a terabajt trylionowi bajtów. Musielibyśmy zużyć 50 tys. drzew, by wyprodukować taką ilość papieru, na której dałoby się wydrukować jeden terabajt informacji. Ta sama ilość danych zmieściłaby się na 150 płytach DVD.

Tor[9]: przeglądarka i sieć komputerowa, która pozwala na ukrywanie tożsamości użytkownika poprzez przekazywanie jego połączenia przez wiele serwerów[10]. Wykorzystywana przez ludzi chcących uniknąć nadzoru państwa.

Twarde dyski (ang. hard disks): sposób przechowywania dużej ilości informacji, używany w większości komputerów; informacje przechowuje się na prędko obracających się dyskach ulokowanych w sztywnej obudowie.

Zdalny pulpit (ang. remote desktop software): w zamyśle oprogramowanie stworzone, by umożliwić pomocy technicznej naprawę błędów na komputerze klienta na odległość, stanowiące gratkę dla złodziei. Pozwala użytkownikowi danego komputera podglądać, co dzieje się na ekranie innego komputera – oraz umożliwia przejmowanie kontroli nad podglądanym urządzeniem.

Zero-day: „dziura” w oprogramowaniu lub sprzęcie, niepodana do publicznej wiadomości, dla której nie istnieje jeszcze żadna poprawka.

[1] Komputery mogą funkcjonować np. w sieciach niepodłączonych do internetu – przyp. Kurhaus.

[2] Zazwyczaj realizuje się ów atak z wielu komputerów jednocześnie – przyp. Kurhaus.

[3] Chodzi o kwoty, których końcówki złożone są z wielu miejsc po przecinku – przyp. Kurhaus.

[4] Komputery funkcjonujące w takiej sieci potocznie zwane są komputerami „zombie”. Administrator botnetu rozsyła za ich pomocą spam lub w inny sposób atakuje swe cele. Szacuje się, że około 30 proc. komputerów na świecie może pełnić rolę komputerów „zombie” – przyp. Kurhuas.

[5] Nazwa powstała z połączenia słów: malicious software, które w języku polskim oznaczają dosłownie złośliwe oprogramowanie – przyp. Kurhaus.

[6] Nazwa powstała z połączenia słów malicious advertising, które w języku polskim oznaczają szkodliwe/złośliwe działania reklamowe/promocyjne – przyp. Kurhaus.

[7] Phishing uważany jest przez wielu za formę inżynierii społecznej, ponieważ jego skuteczność oparta jest głównie na naiwności użytkowników i poziomie ich uznania dla autorytetu – przyp. Kurhaus.

[8] Złośliwy program wysyła raporty z użycia klawiatury na danym komputerze (logi) do właściciela wirusa – przyp. Kurhaus.

[9] Sieć wykorzystuje tzw. trasowanie cebulowe. Stąd jej nazwa Tor: od ang. the onion router – przyp. Kurhaus.

[10] Polega to na tym, że gdy np. użytkownik sieci chce wejść na stronę kurhauspublishing.com, to zamiast docierać na nią bezpośrednio, przechodzi przez wiele serwerów (komputerów, które tworzą sieć Tor) i dopiero za ich pośrednictwem wchodzi na kurhauspublishing.com – przyp. Kurhaus.

Przypisy

PRZEDMOWA AUTORA

1. „Charlie Chaplin made Hitler cry”. Dostępny w internecie: https://medium.com/war-is-boring/charlie-chaplin-made-hitler-cryx17f8c7d611f9 [dostęp: 30.06.2016].

2. „Internet Usage Statistics”. Dostępny w internecie: http://www.internetworldstats.com/stats.htm i „Kluczowe wskaźniki ICT dla krajów rozwiniętych i rozwijających się”, Międzynarodowy Związek Telekomunikacji, Genewa, Szwajcaria. Dostępny w internecie: https://www.itu.int/en/Pages/default.aspx [dostęp po zalogowaniu się].

3. Grupa Radicati, e-mail Market Report. Dostępny w internecie: http://www.radicati.com/wp/wp-content/uploads/2014/10/Email-Marketx2014x2018-Executive-Summary.pdf [dostęp: 30.06.2016].

4. W 2013 r. przesłano łącznie 340 mld listów. „Development of Postal Services 2013”, Światowy Związek Pocztowy, Berno, Szwajcaria: https://www.itu.int/en/Pages/default.aspx [dostęp po zalogowaniu się].

5. „What do 12 Terabytes of information look like?”, Alex Santoso, Tuesday, Neatorama, 8 lipca 2008 r. Dostępny w internecie: http://www.neatorama.com/2008/07/08/terabyte/ [dostęp: 30.06.2016].

6. „First of the Leaks”, przez Risk Based Security of Richmond, Wirginia. Dostępny w internecie: https://www.riskbasedsecurity.com/2014/12/a-breakdown-and-analysis-of-the-decemberx2014-sony-hack/ [dostęp: 30.06.2016].

7. „New Clues In Sony Hack Point To Insiders, Away from DPRK”. Dostępny w internecie: https://securityledger.com/2014/12/new-clues-in-sony-hack-point-to-insiders-away-from-dprk/ [dostęp: 30.06.2016].

WSTĘP

1. Jonathan Hall, „Shellshock: The Ninja Turtles Aren’t The Only Ones Who Felt The Hurt”. Dostępny w internecie: http://www.futuresouth.us/wordpress/wp-content/uploads/2014/10/Shellshock.pdf [dostęp: 30.06.2016].

2. George Tenet, „Information Security Risks, Opportunities, and the Bottom Line” (Sam Nunn, Forum Narodowej Polityki Bankowej, Atlanta, 6 kwietnia 1998 r.). Dostępny w internecie: https://www.cia.gov/news-information/speeches-testimony/1998/dcI_speech_040698.html. [dostęp: 30.06.2016]. Cytowany w: Richard Danzig, „Surviving on a Diet of Poisoned Fruit: Reducing the National Security Risks of America’s Cyber Dependencies”, CNAS, lipiec 2014 r. Dostępny w internecie: http://www.cnas.org/sites/default/files/publications-pdf/CNAS_PoisonedFruit_Danzig_0.pdf [dostęp: 30.06.2016].

3. Kurt Stamberger, Norse speaking w CBS News, 23 grudnia 2014 r. Dostępny w internecie: http://www.cbsnews.com/news/did-the-fbi-get-it-wrong-on-north- korea/ [dostęp: 30.06.2016].

Zostało to upublicznione w bezprecedensowym raporcie firmy bezpieczeństwa Mandiant, Dan McWhorter, „Mandiant obnaża APT1 – Jednej z chińskich jednostek szpiegowskich”, 18 lutego 2013 r. Dostępny w internecie: https://www.mandiant.com/blog/mandiant-exposes-apt1-chinas-cyber-espionage-units-releasesx3000-indicators/ [dostęp: 30.06.2016].

4. Zostało to podane do wiadomości publicznej.

5. Ben Lovejoy, „After the celebrity hacks, the vulnerability that still exists and what needs to be done”, 9to5mac.com,  3 września 2014 r. Dostępny w internecie: http://9to5mac.com/2014/09/03/opinion-after-the-celebrity-hacks-the-vulnerability-that-still-exists-and-what-needs-to-be-done/ [dostęp: 30.06.2016].

6. Naoki Hiroshima, „How I Lost My $50,000 Twitter Username”, Medium, 29 stycznia 2014 r. Dostępny w internecie: https://medium.com/@N/how-i-lost-myx50x000-twitter-usernamex24eb09e026dd#.3gojoye9w [dostęp: 30.06.2016].

7. Warwick Ashford „Sony data breach: 100m reasons to beef up security”, 3 maja 2011 r. Dostępny w internecie: http://www.computerweekly.com/news/1280097348/Sony-data-breachx100m-reasons-to-beef-up-security [dostęp: 30.06.2016].

8. Dane są dość mętne, a firma, która ujawniła atak, ściągnęła na siebie krytykę za naliczanie opłat od ludzi, którzy chcieli sprawdzić, czy ich tożsamość była zagrożona. Ogłoszenie firmy znajduje się pod linkiem: http://www.holdsecurity.com/news/cybervor-breach/. Graham Clulely „Gang hakerów Cyber-Vor kradnie 1,2 mld loginów i haseł”,  6 sierpnia 2014 r. Dostępny w internecie: http://www.welivesecurity.com/2014/08/06/cybervor-hacking-gang/ [dostęp: 30.06.2016]. Dla nieco przyjaźniejszego odbioru przeczytaj „Pytania i odpowiedzi do raportu o kradzieży  1,2 mld kont e-mail”, Brian Krebs, 14 sierpnia 2014 r. Dostępny w internecie: https://krebsonsecurity.com/2014/08/qa-on-the-reported-theft-ofx1–2b-email-accounts/ [dostęp: 30.06.2016]. Statystyki dotyczące tego typu włamań są oparte na znanych incydentach, tak więc na pewno będą niedomówienia. Rejestrowana liczba gwałtownie rośnie, stała się prawie dwukrotnie większa od 2011 r. Według firmy zabezpieczeń Symantec 8 naruszeń w 2013 r. obnażyło więcej niż 10 mln tożsamości w każdym z nich. Jestem wdzięczny podsumowaniu „Najlepsze raporty na temat zagrożeń dla bezpieczeństwa informacji z 2014 roku” Kelly White z dieselcafe.com. Dostępny w internecie: https://docs.google.com/file/d/0B_GoF8uQ95lGWnFKWHBsdmlnTVk/edit [dostęp: 30.06.2016].

9. „Who’s selling credit cards from Target”, 13 grudnia 2013 r. Dostępny w internecie: http://krebsonsecurity.com/2013/12/whos-selling-credit-cards-from-target/ [dostęp: 30.06.2016].

10. Brain Krebs, „Home Depot Hit By Same Malware as Target”. 9 września 2014 r. Dostępny w internecie: https://krebsonsecurity.com/2014/09/home-depot-hit-by-same-malware-as-target/ [dostęp: 30.06.2016].

11. Jonathan Bishop, „Wpływ deindywiduacji w internetowym trollingu na karną procedurę realizacji: Wywiad z haterem”. „Międzynarodowy Dziennik Cyber Kryminologii”, Vol 7, wydanie 1, styczeń–czerwiec 2013 r. Dostępny w internecie: http://www.cybercrimejournal.com/Bishop2013janijcc.pdf [dostęp: 30.06.2016].

12. Danzig, „Poisoned Fruit”.

13. „Cyber security: first mover disadvantage”, Lex, „Financial Times”, 12 września 2014 r. Dostępny w internecie: http://www.ft.com/cms/s/3/803ea71ex3948–11e4–9ccex00144feabdc0.html [dostęp: 30.06.2016].

14. „Straty netto: Szacowanie globalnych kosztów cyberprzestępczości”, Mcafee, the Center for Strategic and International Studies (CSIS) and Intel, Waszyngton, DC, 2014 r. Dostępny w internecie: http://www.mcafee.com/ca/resources/reports/rp-economic-impact-cybercrime2.pdf [dostęp: 30.06.2016].

15. „The Cost of Cybercrime” UK Cabinet Office, Londyn 2011 r. Dostępny w internecie: https://www.gov.uk/government/uploads/system/uploads/attachment_data/fi le/60943/the-cost-of-cyber-crime-full-report.pdf [dostęp: 30.06.2016].

16. Jestem wdzięczny mojemu koledze Martinowi Gilesowi, którego raport specjalny na temat cyberbezpieczeństwa dla „The Economist” jest znakomicie opracowany, zawiera mnóstwo informacji i podejmuje kwestie, z którymi mierzę się w mojej książce. Można go znaleźć pod linkiem: http://www.economist.com/news/special-report/21606416-companies-markets-and-countries-are-increasingly-under-attack-cyber-criminals [dostęp: 30.06.2016].

17. Lee Matthews, „Excess of stolen identities leads to massive price cuts, US ID costs just $25”, geek.com, 21 listopada 2014 r. Dostępny w internecie: http://www.geek.com/news/excess-of-stolen-identities-leads-to-massive-price-cuts-us-id-costs-justx25–1577923/ [dostęp: 30.06.2016].

18. Khristen Foss, „Hackers Arrested In Biggest Bank Robbery In World History”, Ananova, 4 marca 2014 r. Dostępny w internecie: http://www.ananova.com/hackers-arrested-in-biggest-bank-robbery-in-world-history/ [dostęp: 30.06.2016].

19. Sąd Dystryktowy Stanów Zjednoczonych dla Wschodniego Dystryktu Nowego Jorku, akt oskarżenia CR13–0259. Dostępny w internecie: http://online.wsj.com/public/resources/documents/hackindict0509.pdf [dostęp: 30.06.2016].

20. Cyberbezpieczeństwo jako Realpolitik, motyw przewodni przemówienia Black Hat, 6 sierpnia 2014 r. Dostępny w internecie: http://geer.tinho.net/geer.blackhat.6viii14.txt [dostęp: 30.06.2016].

Rozdział 1: Państwo Hakhett

1. Ewentualne podobieństwo państwa Hakhettów do jakichkolwiek osób publicznych, w tym ludzi biznesu, żyjących lub zmarłych, jest przypadkowe.

2. Podjąłem ten temat w mojej książce Podstęp. O szpiegach, kłamstwach i o tym, jak Rosja kiwa Zachód (Kurhaus, 2014).

3. „Nortel hit by suspected Chinese cyber-attacks for a decade”, CBC News, 14 lutego 2012 r. Dostępny w internecie: http://www.cbc.ca/news/business/nortel-collapse-linked-to-chinese-hackersx1.1260591 [dostęp: 30.06.2016].

Rozdział 2: Gdy komputery zawodzą

1. Gregory Gromov, „Roads and Crossroads of the Internet History”, opublikowane samodzielnie. Dostępny w internecie: http://www.netvalley.com/cgi-bin/intval/net_history.pl?chapter=1 [dostęp: 30.06.2016].

2. Quinn Norton, „Everything is broken”, 20 maja 2014 r. Dostępny w internecie: https://medium.com/message/81e5f33a24e1 [dostęp: 30.06.2016].

3. Dave Lee, „Shellshock: »Deadly serious« new vulnerability found”, Technology reporter, BBC News, 25 września 2014 r. Dostępny w internecie: http://www.bbc.co.uk/news/technologyx29361794 [dostęp: 30.06.2016].

4. Michael Lin i Larry Seltzer, „The Shellshock FAQ: Here’s what you need to know”, Zero Day, 1 października  2014 r. Dostępny w internecie: http://www.zdnet.com/article/the-shellshock-faq-heres-what-you-need-to-know/ [dostęp: 30.06.2016].

5. Michael Mimoso, Shellshock Worm wykorzystuje niespatchowane urządzenia QNAP NAS ThreatPost, 15 grudnia 2014 r. Dostępny w internecie: https://threatpost.com/shellshock-worm-exploiting-unpatched-qnap-nas-devices/109870 [dostęp: 30.06.2016].

6. Steve McConnell, Code Complete, wyd. II (Redmond, WA: Microsoft Press, 2004). Dostępny w internecie: http://testa.roberta.free.fr/My Books/Computer programming/Java/Code Complete Second Edition By Steve Mcconnell (Microsoft Press 2004).pdf [dostęp: 30.06.2016], cytowany w: Richard Danzig, „Surviving on a Diet of Poisoned Fruit: Reducing the National Security Risks of America’s Cyber Dependencies”, CNAS, lipiec 2014 r. Dostępny w internecie: http://www.cnas.org/surviving-diet-poisoned-fruit#.V7w2qpiLTIU [dostęp: 30.06.2016].

7. Dostępny w internecie: http://en.wikipedia.org/wiki/Spaghetti_code [dostęp: 30.06.2016].

8. Oprogramowanie miało utajony wskaźnik awaryjności wynoszący zaledwie 0,11 błędów na 1000 linii kodu. Dostępny w internecie: http://history.nasa.gov/sts1/pages/computer.html [dostęp: 30.06.2016]. Zobacz także: Edward Joyce, „Is Error-Free Software Achievable?”, Datamation, 15 lutego 1989 r., pp. 53–6; B. G. Kolkhorst i A. J. Macina, „Developing Error-Free Software”, IEEE AES Magazine (listopad 1988), pp. 25–31; and A. J. Macina, „Independent Verification and Validation Testing of the Space Shuttle Primary Flight Software System” (Houston, Texas: IBM, 28 kwietnia 1980 r.).

9. Ron Pollett i Dorian Pyle, „What happens when chip-design complexity outpaces development productivity?”, McKinsey on Semiconductors, Autumn 2013. Dostępny w internecie: http://www.mckinsey.com/~/media/mckinsey/dotcom/client_service/semiconductors/issue 3 autumn 2013/pdfs/4_chipdesign.ashx [dostęp: 30.06.2016].

10. „GM wycofuje 220 tys. samochodów przez defekt hamulca”, BBC News, 21 września 2014 r. Dostępny w internecie: http://www.bbc.com/news/businessx29304282 [dostęp: 30.06.2016] i „General Motors wycofuje 7,6 mln modeli pojazdów od 1997–2014”. Kliknij na: Detroit (anonymous) 6 sierpnia 2014 r. Dostępny w internecie: http://www.clickondetroit.com/consumer/automotive/general-motors-recallingx76-million-vehicles-fromx19972014-model-years/26729110 [dostęp: 30.06.2016].

11. James Topham i Alwyn Scott, „U.S., others ground Boeing Dreamliner indefinitely”, Reuters, 16 stycznia 2013 r. Dostępny w internecie: http://www.reuters.com/article/2013/01/17/us-boeing-dreamliner-idUSBRE90F1N820130117 [dostęp: 30.06.2016].

12. Zaprezentowany na: https://www.youtube.com/watch?v=3WPMq80wYFY [dostęp: 30.06.2016].

13. Dan Tynan, „The 25 Worst Tech Products of All Time”, PCWorld , 26 maja 2006 r. Dostępny w internecie: http://www.pcworld.com/article/125772/worst_products_ever.html?page=3 [dostęp: 30.06.2016].

Rozdział 3: Złodzieje tożsamości

1. W trakcie powstawania tej książki (styczeń 2015 r.) kopia dostępna była na: http://speedydeletion.wikia.com/wiki/Blackett_Janeiro [dostęp: 30.06.2016].

2. Chris [nie podano nazwiska], „Jak zmanipulować Google Suggest”, 21 marca 2011 r. Dostępny w internecie: https://moz.com/blog/how-googles-search-suggest-instant-works-whiteboard-friday [dostęp: 30.06.2016].

3. Leandra Ramm i Lisa Della Rocca, Stalking a Diva (Black Diamond Books, 2012).

4. Zob.: http://bits.blogs.nytimes.com/2014/05/29/cyberespionage-attacks-tied-to-hackers-in-iran/?_php=true&_type=blogs&_r=0 oraz http://www.isightpartners.com/2014/05/newscaster-iranian-threat-inside-social-media/ [dostęp: 30.06.2016].

5. Kim Willsher, „France’s burqa ban upheld by human rights court”, „Guardian”, 1 lipca 2014 r. Dostępny w internecie: http://www.theguardian.com/world/2014/jul/01/france-burqa-ban-upheld-human-rights-court [dostęp: 30.06.2016].

6. Jedynym drobnym ograniczeniem dla każdego tworzącego stronę internetową jest wymóg zarejestrowania jej adresu. Ktoś gdzieś na świecie będzie prowadził tę stronę na swoim komputerze – znanym jako serwer. Dla komputerów, które poruszają się po internecie, adres takiej strony powinien być łatwy do znalezienia dzięki użytecznemu adresowi. W teorii ten, kto prowadzi stroną internetową, powinien zostawiać jakieś ślady, system jednak czyni anonimowość prostą. Serwis taki jak whois.net może podać imię, adres domowy czy telefon osoby, która stoi za stroną internetową, tylko wtedy, gdy ta osoba na to pozwoli. Każda osoba, która chce ukryć swoją tożsamość, może podać fikcyjne dane lub użyć danych osoby z innej firmy. Spędziłem dużo czasu na badaniu stron, które podejrzewałem o powiązania z rosyjskim szpiegostwem i przepływem informacji, takie jak nieistniejące już axis-globe.com i icdiss.org. Niezmiennie podane informacje okazywały się fikcyjne lub zbyt niekompletne, by zrobić z nich użytek. Zbadałem ICDISS, „Covering Tracks”, 3 sierpnia 2006 r. Dostępny w internecie: http://www.economist.com/node/7258534 [dostęp: 30.06.2016]. Więcej o tym w mojej książce pt. Podstęp (Kurhaus 2014)

Rozdział 4: Utrata zabezpieczeń

1. Brian Krebs prowadzi świetnego bloga: krebsonsecurity.com. Grafika dostępna pod linkiem: https://krebsonsecurity.com/2012/10/the-scrap-value-of-a-hacked-pc-revisited/ [dostęp: 30.06.2016].

2. Dla lepszego zrozumienia warto zapoznać się z zeznaniami Leslie Caldwell, zastępcy prokuratora generalnego, wydział kryminalny amerykańskiego Departamentu Sprawiedliwości przed senacką podkomisją sprawiedliwości ds. przestępczości i terroryzmu z 15 lipca 2014 r. Dostępny w internecie: https://www.justice.gov/opa/speech/assistant-attorney-general-leslie-r-caldwell-testifies-senate-committee-judiciary [dostęp: 30.06.2016].

3. Opublikowane w The Apple Tree (Gollancz, 1952).

4. Komunikat pożegnalny firmy znajdował się w internecie pod linkiem: http://www.codespaces.com/ [strona niedostępna]. Atak opisany jest na: http://www.welivesecurity.com/2014/06/21/ internet-firm-ddos-extortion-attack/ [dostęp: 30.06.2016].

5. Atak evernote jest dobrze opisany przez znakomitego Grahama Clulelya na jego blogu „Evernote? Ever not! Cloud service brought down by denial-of-service attack”, 11 czerwca 2014 r. Dostępny w internecie: http://grahamcluley.com/2014/06/evernote-attack/ [dostęp: 30.06.2016].

6. „Computer says no”, „The Economist”, 22 czerwca 2013 r. Dostępny w internecie: http://www.economist.com/news/international/21579816-denial-service-attacks-over-internet-are-growing-easier-and-more-powerful-their [dostęp: 30.06.2016].

7. Z zewnątrz trudno dostrzec, o co było tyle zamieszania. Pomnik – przy ruchliwym skrzyżowaniu blisko przystanku autobusowego – przyciągał niepożądaną uwagę grup eksternistycznych. Rosyjscy nacjonaliści uznali go za sekretny symbol „wyzwolenia” Estonii z rządów nazistów. Wielu Estończyków widziało go jako afront i coś paskudnego: dla nich porażka Hitlera oznaczała koniec jednej męki i początek następnej w rękach Stalina. Skrajnie prawicowe grupy estońskie zagroziły wzięciem spraw w swoje ręce. Jednak decyzja rządu, aby przenieść statuę na spokojny, wojskowy cmentarz, gdzie honorowani są zmarli z innych krajów, zmieniła niewielki problem w zagrożenie bezpieczeństwa narodowego. Kremlowska maszyna propagandy uznała pośpieszne usunięcie posągu za bluźnierczy atak na ofiary minionych pokoleń. W Tallinie rozpoczęły się zamieszki. Zakłócenia w sieciach komputerowych okazały się o wiele bardziej znaczące. Firma zabezpieczeń Arbor Networks obliczyła co najmniej 128 osobnych ataków na dziewięć różnych stron w kraju, wliczając w to 35 ataków wymierzonych w estońską policję, kolejne 35 na Ministerstwo Finansów i 36 na estoński parlament, premiera, a także na inne internetowe instytucje rządowe. Dzięki dobrej pracy wywiadu Estończycy (i NATO) ustalili, że ataki były dziełem działaczy prokremlowskich finansowanych przez władze rosyjskie. Sergei Markov, sławny propagandzista reżimu, przyznał (lub chwalił się), że ataki zostały przeprowadzone przez jego asystenta. Pierwszych tego dowodów dostarczyła obserwacja czatów, na których ludzie zaangażowani w ataki beztrosko o nich rozprawiali. Okazały się one jedynymi dowodami. Dan Holden, „Estonia sześć lat później”, 16 maja 2013 r. Dostępny w internecie: https://www.arbornetworks.com/asert/2013/05/estonia-six-years-later/ [dostęp: 30.06.2016]. Prezentacja Gadi Evrona dostępna jest na konferencji Defcon: https://www.youtube.com/watch?v=YNt1LRCkamY [dostęp: 30.06.2016].

8. „8 Signs Your PC Might Be A Zombie”, Zonealarm, 28 maja 2014 r. Dostępny w internecie: http://www.zonealarm.com/blog/2014/05/8-signs-your-pc-might-be-a-zombie/ [dostęp: 30.06.2016].

9. Kane Fulton, „Microsoft and FBI team up to take down GameOver Zeus botnet”. Techradar Pro, 3 czerwca 2014 r. Dostępny w internecie: www.techradar.com/us/news/ internet/web/microsoft-and-fbi-team-up-to-take-down-gameover-zeus-botnetx1251609 [dostęp: 30.06.2016].

10. „Microsoft helps FBI in GameOver Zeus botnet cleanup”, 2 czerwca 2014 r. Dostępny w internecie: http://blogs.microsoft.com/blog/2014/06/02/microsoft-helps-fbi-in-gameover-zeus-botnet-cleanup/ [dostęp: 30.06.2016].

11. Dokumenty dostępne na: http://www.justice.gov/opa/gameover-zeus.html [dostęp: 30.06.2016].

12. „Botnet Enlists Firefox Users to Hack Web Sites”, 13 grudnia 2013 r. Dostępny w internecie: https://krebsonsecurity.com/2013/12/botnet-enlists-firefox-users-to-hack-web-sites/ [dostęp: 30.06.2016].

13. Ernie Smith, „Ad Association Takes On Click Fraud With New Coalition”, 16 lipca 2014 r. Dostępny w internecie: http://associationsnow.com/2014/07/ad-association-takes-click-fraud-new-coalition/ [dostęp: 30.06.2016].

14. Brian Krebs, „Service Drains Competitors’ Online Ad Budget”, Krebs o bezpieczeństwie, 25 lipca 2014 r. Dostępny w internecie: https://krebsonsecurity.com/2014/07/service-drains-competitors-online-ad-budget/ [dostęp: 30.06.2016].

15. Dancho Danchev, „New service converts malware-infected hosts into anonymization proxies”, Webroot Threat Blog, 2 marca 2012 r. Dostępny w internecie: http://www.webroot.com/blog/2012/03/02/new-service-converts-malware-infected-hosts-into-anonymization-proxies/ [dostęp: 30.06.2016].

16. Nicole Kobie, „StubHub fraud: how hackers stole $1m using tickets”, PCPro, 24 lipca 2014 r. Dostępny w internecie: http://www.pcpro.co.uk/news/389965/stubhub-fraud-how-hackers-stolex1m-using-tickets [dostęp: 30.06.2016].

17. Elizabeth Clarke, „Hakerzy sprzedają poświadczenia ubezpieczeń zdrowotnych, konta bankowe, SSN i podrobione dokumenty za ponad 1000 dolarów za dokument”, 15 lipca 2013 r., Dell Secureworks. Dostępny w internecie: http://www.secureworks.com/resources/blog/general-hackers-sell-health-insurance-credentials-bank-accounts-ssns-and-counterfeit-documents/#sthash.6NgMEfy8.dpuf oraz http://www.secureworks.com/resources/blog/general-hackers-sell-health-insurance-credentials-bank-accounts-ssns-and-counterfeit-documents/ [dostęp: 30.06.2016].

18. Jérôme Segura, „Hiding in plain sight: a story about a sneaky banking Trojan”, Malwarebytes Unpacked, 17 lutego 2014 r. Dostępny w internecie: https://blog.malwarebytes.org/security-threat/2014/02/hiding-in-plain-sight-a-story-about-a-sneaky-banking-trojan/ [dostęp: 30.06.2016].

19. Szczegółowe wyjaśnienie natury tych oszustw: http://krebsonsecurity.com/2014/09/whos-behind-the-bogusx49x95-charges/ [dostęp: 30.06.2016].

20. Keith Moor, „Australian Federal Police foil Russian crime gang’s $570m cyber theft bid as nation loses $4.6 billion-a-year to computer crime”, Herald Sun, 23 lipca 2014 r. Dostępny w internecie: http://www.heraldsun.com.au/news/law-order/australian-federal-police-foil-russian-crime-gangsx570m-cyber-theft-bid-as-nation-losesx46-billionayear-to-computer-crime/story-fni0ffnkx1226999310954?nk=010e299055b71f00a3a7c2ead3d99663 [dostęp: 30.06.2016].

21. Mike Sutton, „How Prolific Thieves Sell Stolen Goods”, Internet Journal of Criminology, 2008. Dostępny w internecie: http://www.internetjournalofcriminology.com/Sutton - How Prolific Thieves Sell Stolen Goods.pdf [dostęp: 30.06.2016].

22. „HSI investigation leads to 5 arrests, indictments in identity-theft ring” Departament Bezpieczeństwa Wewnętrznego, 9 października 2014 r. Dostępny w internecie: https://www.ice.gov/news/releases/hsi-investigation-leadsx5-arrests-indictments-identity-theft-ring [dostęp: 30.06.2016].

23. „Banks shouldn’t use text messages for two-factor authentication”, Jeremy Kirk, PCWorld , 12 grudnia 2013 r. Dostępny w internecie: http://www.pcworld.com/article/2079620/banks-shouldnt-rely-on-mobile-sms-passcodes-security-firm-says.html [dostęp: 30.06.2016].

24. Brian Krebs, „Turning Hot Credit Cards into Hot Stuff”, Krebs o bezpieczeństwie, 11 października 2014 r. Dostępny w internecie: http://krebsonsecurity.com/2011/10/turning-hot-credit-cards-into-hot-stuff/ [dostęp: 30.06.2016].

25. Artykuł zawiera film pokazujący sposób, w jaki fałszywy program antywirusowy próbuje zainstalować się na komputerze. Dan Goodin, „What a fake antivirus attack on a trusted website looks like”, Ars Technica, 2 lutego 2014 r. Dostępny w internecie: http://arstechnica.com/security/2014/02/what-a-fake-antivirus-attack-on-a-trusted-website-looks-like/ [dostęp: 30.06.2016].

26. Zeznania Caldwella, s. 6.

27. Keith Jarvis, „CryptoLocker Ransomware”, Dell SecureWorks Counter Threat Unit Threat Intelligence, 18 grudnia 2013 r. Dostępny w internecie: https://www.secureworks.com/research/cryptowall-ransomware [dostęp: 30.06.2016] i http://www.geek.com/news/cryptolocker-malware-masterminds-make-aroundx30-million-in-ransom-inx100-daysx1580168/ [dostęp: 30.06.2016], a także Lee Mathews, „Cryptolocker malware masterminds make around $30 million in ransom in 100 days”, geek.com, 19 grudnia 2013 r.

28. Graham Cluley, „How to recover files from a CryptoLocker attack – for free!”, 6 sierpnia 2014 r. Dostępny w internecie: http://grahamcluley.com/2014/08/fix-cryptolocker-files-free/ [dostęp: 30.06.2016]. Usługa deszyfrująca dostępna jest na: decryptcryptolocker.com

29. Naoki Hiroshima, „How I Lost My $50,000 Twitter Username,” Medium, 29 stycznia 2014 r. Dostępny w internecie: https://medium.com/@N/how-i-lost-myx50x000-twitter-usernamex24eb09e026dd#.92rikrmf5 [dostęp: 30.06.2016].

30. Mat Honan, „How Apple and Amazon Security Flaws Led to My Epic Hacking”, Wired, 6 sierpnia 2012 r. Dostępny w internecie: http://www.wired.com/2012/08/apple-amazon-mat-honan-hacking/ [dostęp: 30.06.2016]. Honan ostatecznie odzyskał większość swoich danych po zapłaceniu równowartości 1000 funtów specjalistycznej firmie, która pracowała na jego laptopie. Dostępny w internecie: http://www.wired.com/2012/08/mat-honan-data-recovery/all [dostęp: 30.06.2016].

Rozdział 5: Geopolityka internetu

1. Clifford Stoll, „The Cuckoo’s Egg: Tracking a Spy Through the Maze of Computer Espionage” (Doubleday, 1989). Cliff ord Stoll, „Stalking The Wily Hacker”, Communication of the ACM , Vol. 31. No. 5 maja 1988 r. Dostępny w internecie: http://pdf.textfiles.com/academics/wilyhacker.pdf [dostęp: 30.06.2016]. Dla wyjaśnienia, jak opiekun pingwinów w zoo wymyślił tytuł dla książek, zobacz „Cuckoo’s Egg”, Booknotes, 3 grudnia 1989 r. Dostępny w Internecie: http://www.booknotes.org/Watch/10122–1/Clifford+Stoll.aspx [dostęp: 30.06.2016].

2. Szczegółowa relacja z chińskiego szpiegostwa, zob. „Crouching Tiger, Hidden Dragon, Stolen Data” (Context Information Security, 2012 r.). Dostępny w internecie: http://www.contextis.com/documents/8/Crouching_tiger_hidden_dragon.pdf [dostęp: 30.06.2016].

3. Richard Nieva, „Big banks stage mega-cyberattack drill”, @CNNTech, 18 lipca 2013 r. Dostępny w internecie: http://money.cnn.com/2013/07/18/technology/security/bank-cyberattack/ [dostęp: 30.06.2016].

4. „Waking Shark II Desktop Cyber Exercise: Report to participants”, 12 listopada 2013 r. Dostępny w internecie: http://www.bankofengland.co.uk/financialstability/fsc/Documents/wakingshark2report.pdf [dostęp: 30.06.2016].

5. „Department of Defense Fiscal year 2015 budget request, program acquisition cost by weapons system”, marzec 2014 r. Dostępny w internecie: http://comptroller.defense.gov/Portals/45/documents/defbudget/fy2015/fy2015_Weapons.pdf#page=65 [dostęp: 30.06.2016].

6. „Dragonfly: Cyberespionage Attacks Against Energy Suppliers” Symantec Security Response White Paper, 17 lipca 2014 r. Dostępny w internecie: http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/Dragonfly_Threat_Against_Western_Energy_Suppliers.pdf [dostęp: 30.06.2016].

7. „Uroburos: Highly complex espionage software with Russian roots”, G Data SecurityLabs, luty 2014 r. Dostępny w internecie: https://public.gdatasoftware.com/Web/Content/INT/Blog/2014/02_2014/documents/GData_Uroburos_RedPaper_EN_v1.pdf [dostęp: 30.06.2016].

8. „Kaspersky Lab Identifies Operation „Red October” an Advanced Cyber-Espionage Campaign Targeting Diplomatic and Government Institutions Worldwide”, 14 stycznia 2013 r. Dostępny w internecie: http://www.kaspersky.com/about/news/virus/2013/Kaspersky_Lab_Identifies_Operation_Red_October_an_Advanced_Cyber_Espionage_Campaign_Targeting_Diplomatic_and_Government_Institutions_Worldwide i http://securelist.com/analysis/publications/36740/red-october-diplomatic-cyber-attacks-investigation/ [dostęp: 30.06.2016].

9. „Internet Explorer Zero-Day Used in Watering Hole Attack”, 31 grudnia 2012 r. Dostępny w internecie: http://www.symantec.com/connect/blogs/internet-explorer-zero-day-used-watering-hole-attack-qa [dostęp: 30.06.2016].

10. Kim Zetter, „The Evidence That North Korea Hacked Sony Is Flimsy”, „Wired”, 17 grudnia 2014 r. http://www.wired.com/2014/12/evidence-of-north-korea-hack-is-thin/ [dostęp: 30.06.2016].

11. „Foreign Spies stealing US economic secrets in Cyberspace: Report to Congress on Foreign Economic Collection and Industrial Espionage, 2009–2011”. Dostępny w internecie: https://www.ncsc.gov/publications/reports/fecie_all/Foreign_Economic_Collection_2011.pdf [dostęp: 30.06.2016].

12. Dan Mcwhorter, „Mandiant Exposes APT1 – One of China’s Cyber Espionage Units”, 18 lutego 2013 r. Dostępny w internecie: https://www.mandiant.com/blog/mandiant-exposes-apt1-chinas-cyber-espionage- units-releasesx3000-indicators/ [dostęp: 30.06.2016].

13. Napisałem o tym w mojej książce Operacja Snowden (Kurhaus, 2014).

14. Shane Harris, „Inside the FBI’s Fight Against Chinese Cyber- Espionage”, Foreign Policy, 27 maja 2014 r. Dostępny w internecie: http://www.foreignpolicy.com/ articles/2014/05/27/exclusive_inside_the_fbi_s_fight_against_chinese_cyber_espionage [dostęp: 30.06.2016].

15. Dostępny w internecie: http://online.wsj.com/article/SB95326824311657269.html [dostęp: 30.06.2016].

16. Francuski wywiad elektroniczny jest potężny i posługuje się środkami, które niektórzy uważają za niewłaściwie nadzorowane. Dostępny w internecie: http://www.nytimes.com/2013/12/15/world/europe/france-broadens-its-surveillance-power.html?_r=0 [dostęp: 30.06.2016].

Rozdział 6: Szpiedzy kontra wirtualni wojownicy

1. Richard Danzig, „Surviving on a Diet of Poisoned Fruit: Reducing the National Security Risks of America’s Cyber Dependencies”, CNAS, lipiec 2014 r. Dostępny w internecie: http://www.cnas.org/sites/default/files/publications-pdf/CNAS_PoisonedFruit_Danzig_0.pdf [dostęp: 30.06.2016].

2. David Sanger, „Obama Order Sped Up Wave of Cyberattacks Against Iran”, „New York Times”, 1 czerwca 2012 r. Marc Ambinder, „Did America’s Cyber Attack on Iran Make Us More Vulnerable?”, The Atlantic, 5 czerwca 2012 r. Dostępny w internecie: http://www.theatlantic.com/national/archive/2012/06/did-americas-cyber-attack-on-iran-make-us-more-vulnerable/258120/. Steve Coll, „The Rewards (and Risks) of Cyber War”, „The New Yorker”, 7 czerwca 2012 r. Dostępny w internecie: http://www.newyorker.com/online/blogs/comment/2012/06/the-rewards-and-risks-of-cyberwar.html. David Sanger, Confront and Conceal: Obama’s Secret Wars and Surprising Use of American Power (Crown, czerwiec 2012 r.), ISBN 978–0307718020.

3. Pete Yost, „Report: Retired general target of leaks probe” Associated Press, 28 czerwca 2013 r. Dostępny w internecie: http://bigstory.ap.org/article/reports-retired-general-target-leaks-probe [dostęp: 30.06.2016].

4. Rozmowa na ten temat w programie PBS. Dostępny w internecie: http://www.pbs.org/wnet/need-to-know/security/video-cracking-the-code-defending-against-the-superweapons-of-thex21st-century-cyberwar/9456/ (czwarta minuta od startu) [dostęp: 30.06.2016].

5. Marc Ambinder, „Did America’s Cyber Attack on Iran Make Us More Vulnerable?”, Atlantic Monthly, 5 czerwca 2012 r. Dostępny w internecie: http://www.theatlantic.com/national/archive/2012/06/did-americas-cyber-attack-on-iran-make-us-more-vulnerable/258120/ [dostęp: 30.06.2016]. Nieporozumienia na temat maszyny Enigma zawarte w krótkim odniesieniu w artykule są zbyt liczne i przygnębiające, by opisać je tutaj.

6. Ellen Nakashima, „U.S., Israel developed Flame computer virus to slow Iranian nuclear efforts, officials say”, „Washington Post”, 19 czerwca 2012 r. Dostępny w internecie: http://www.washingtonpost.com/world/national-security/us-israel-developed-computer-virus-to-slow-iranian-nuclear-eff orts-officials-say/2012/06/19/gJQA6xBPoV_story.html [dostęp: 30.06.2016].

7. David Shamah, „Stuxnet, gone rogue, hit Russian nuke plant, space station”, „Times of Israel”, 11 listopada  2013 r. Dostępny w internecie: http://www.timesofi srael.com/stuxnet-gone-rogue-hit-russian-nuke-plant-space-station/ [dostęp: 30.06.2016].

8. Ellen Nakashima, Greg Miller i Julie Tate, „U.S., Israel developed Flame computer virus to slow Iranian nuclear efforts, officials say”, „Washington Post”, 19 czerwca 2012 r. Dostępny w internecie: http://www.washingtonpost.com/world/national-security/us-israel-developed-computer-virus-to-slow-iranian-nuclear-efforts- officials-say/2012/06/19/gJQA6xBPoV_story.html [dostęp: 30.06.2016].

9. Jānis Bērziņš, „Russia’s new generation warfare in Ukraine: Implications for Latvian defence policy”, Akademia Obrony Narodowej Łotwy, Centrum Badań Strategicznych i Bezpieczeństwa, kwiecień 2014. Dostępny w internecie: http://www.naa.mil.lv/~/media/NAA/AZPC/Publikacijas/PP 02x2014.ashx [dostęp: 30.06.2016].

10. Michael Schmitt (ed.), Tallinn Manual on the International Law Applicable to Cyber Warfare (Cambridge University Press, 2013). Elektroniczna wersja podręcznika była dostępna pod linkiem: http://nuclearenergy.ir/wp-content/uploads/2013/11/tallinn_manual.pdf.

11. Martin Libicki, „Cyberwar Fears Pose Dangers of Unnecessary Escalation”, Rand Review Summer 2013. Dostępny w internecie: http://www.rand.org/pubs/periodicals/rand-review/issues/2013/summer/cyberwar-fears-pose-dangers-of-unnecessary-escalation.html [dostęp: 30.06.2016].

12. John Kennedy, „When Woman is Boss”, wywiad „Colliers Magazine”, 26 stycznia 1926 r. Dostępny w internecie: http://www.tfcbooks.com/tesla/1926–01–30.htm [dostęp: 30.06.2016].

Rozdział 7: Kieszonkowy szpieg

1. Hitesh Dharmdasani, „We Steal SMS: An insight into Android.KorBanker Operations”, FireEye, 3 września 2014 r. Dostępny w internecie: http://www.fireeye.com/blog/technical/2014/09/we-steal-sms-an-insight-into-android-korbanker-operations.html [dostęp: 30.06.2016].

2. Zob.: srlabs.de/badusb i Karsten Nohl, Sascha Krißler i Jakob Lell, „BadUSB – On accessories that turn evil”. Dostępny w internecie: https://radetskiy.files.wordpress.com/2014/08/srlabs-badusb-blackhat-v1.pdf [dostęp: 30.06.2016].

3. Zob.: Nohl, Krißler i Lell, op. cit.

4. Emily Adler, „The «Internet Of Things» Will Be Bigger Than The Smartphone, Tablet, And PC Markets Combined”, „Business Insider”, 21 lipca 2014 r. Dostępny w internecie: http://www.businessinsider.com/growth-in-the-internet-of-things-marketx2–2014– [dostęp: 30.06.2016].

5. Dan Geer, „We Are All Intelligence Officers Now”, 28 lutego 2014 r. Dostępny w internecie: http://geer.tinho.net/geer.rsa.28ii14.txt [dostęp: 30.06.2016].

6. Bruce Schneier, „The Internet of Things Is Wildly Insecure – And Often Unpatchable”, „Wired”, 6 stycznia 2014 r. Dostępny w internecie: https://www.schneier.com/essays/archives/2014/01/the_internet_of_thin.html [dostęp: 30.06.2016].

7. Fahmida Rashid, „Airport Scanners Have Account Backdoors, Default Passwords”, PCMag, 10 sierpnia 2014 r. Dostępny w internecie: http://securitywatch.pcmag.com/travel/326265-airport-scanners-have-account-backdoors-default-passwords [dostęp: 30.06.2016].

8. Grant Hernandez, Orlando Arias, Daniel Buentello i Yier Jin, „Smart Nest Thermostat – A Smart Spy in Your Home”. Dostępny w internecie: https://www.blackhat.com/docs/usx14/materials/usx14-Jin-Smart-Nest-Thermostat-A-Smart-Spy-In-Your-Home.pdf [dostęp: 30.06.2016].

9. Alana Abramson, „Baby Monitor Hacking Alarms Houston Parents”, 13 sierpnia 2013 r. Dostępny w internecie: http://abcnews.go.com/blogs/headlines/2013/08/baby-monitor-hacking-alarms-houston-parents/

[dostęp: 30.06.2016].

10. „To Watch or be Watched”: http://conference.hitb.org/hitbsecconf2013ams/.

11. Kim Zetter, „Here’s How Easy It Could Be for Hackers to Control Your Hotel Room”, 17 lipca 2014 r. Dostępny w Internecie: http://www.wired.com/2014/07/hacking-hotel-room-controls/ [dostęp: 30.06.2016].

12. CERT: http://www.kb.cert.org/vuls/id/656302. [dostęp: 30.06.2016]. Historia została opisana tutaj: Pani Smith (pseudonim), „500,000M users could be hacked; CERT issues advisory”, Network World, 14 lutego 2014 r., www.networkworld.com/community/blog/half-million-belkin-wemo-users-could-be-hacked-cert-issues-advisory. Raport IOActive na temat słabości zobacz: http://www.ioactive.com/pdfs/IOActive_Belkin-advisory-lite.pdf. Ze swojej strony Belkin wydał oświadczenie: http://www.belkin.com/us/pressreleases/8800681821244/ [dostęp: 30.06.2016].

13. „Weaponising your Coffee Pot”. Dostępny w internecie: http://danielbuentell0.blogspot.com/2013/07/toorcon-seattlex2013-weaponizing-your.html [dostęp: 30.06.2016].

14. John Leyden, „Heatmiser digital thermostat users: For pity’s sake, DON’T SWITCH ON the WI-FI!”, „The Register”, 24 września 2014 r. Dostępny w internecie: http://www.theregister.co.uk/2014/09/24/heatmiser_digital_thermostat_insecure/ [dostęp: 30.06.2016].

15. „Heatmiser WiFi thermostat vulnerabilities”. Dostępny w internecie: http://cybergibbons.com/securityx2/heatmiser-wifi-thermostat-vulnerabilities/ [dostęp: 30.06.2016].

16. Lucian Constantin, „Fifteen new vulnerabilities reported during router hacking contest”, IDG News Service,  12 sierpnia 2014 r. Dostępny w internecie: http://www.cio.com/article/2464301/fifteen-new-vulnerabilities-reported-during-router-hacking-contest.html?linkId=9235577 [dostęp: 30.06.2016].

17. Elinor Mills, „New DNSChanger Trojan variant targets routers”, 17 czerwca 2008 r. Dostępny w internecie:

http://www.cnet.com/news/new-dnschanger-trojan-variant-targets-routers/ [dostęp: 30.06.2016].

18. Tim Conneally, „Estonian company Rove Digital taken down in massive clickjacking fraud sting”, Betanews, 10 listopada 2011 r. Dostępny w internecie: http://betanews.com/2011/11/10/estonian-company-rove-digital-taken-down-in-massive-clickjacking-fraud-sting/. Dokument FBI w sprawie ataków DNSchanger można znaleźć pod linkiem: http://www.fbi.gov/news/stories/2011/november/malware_110911/DNS-changer-malware.pdf [dostęp: 30.06.2016].

19. „Large-scale DNS redirection on home routers for financial theft”. Dostępny w internecie: http://www.cert.pl//news/8019/langswitch_lang/en [dostęp: 30.06.2016].

20. Graham Cluley. „How millions of DSL modems were hacked in Brazil, to pay for Rio prostitutes”, Naked Security, 1 października 2012 r. Dostępny w internecie: http://nakedsecurity.sophos.com/2012/10/01/hacked-routers-brazil-vb2012/ i Fabio Assolini, „The Tale of One Thousand and One DSL Modems”, Securelist, 1 października 2012 r.: http://securelist.com/blog/research/57776/the-tale-of-one- thousand-and-one-dsl-modems/ [dostęp: 30.06.2016].

21. Dan Goodin, „New Linux worm targets routers, cameras, «Internet Of Things» devices”, Ars Technica, 27 listopada 2013 r. Dostępny w internecie: http://arstechnica.com/security/2013/11/new-linux-worm-targets-routers-cameras-internet-of-things-devices/ [dostęp: 30.06.2016].

22. Lucian Constantin, „There’s now an exploit for TheMoon” worm targeting Linksys routers”, Computerworld,  17 lutego 2014 r. Dostępny w internecie: http://www.computerworld.com/s/article/9246392/There_s_now_an_exploit_for_TheMoon_worm_targeting_Linksys_routers [dostęp: 30.06.2016].

23. Lucian Constantin, „Cybercriminals compromise home routers to attack online banking users”, Computerworld,  7 lutego 2014 r. Dostępny w internecie: http://www.pcworld.com/article/2095860/cybercriminals-compromise-home-routers-to-attack-online-banking-users.html [dostęp: 30.06.2016].

24. „SOHO Network Equipment… and the implications of a rich service set”,

Independent Security Evaluators, 26 lipca 2013 r. Dostępny w internecie: https://securityevaluators.com/knowledge/case_studies/routers/soho_techreport.pdf [dostęp: 30.06.2016].

25. Lucian Constantin, „NAS boxes more vulnerable than routers, researcher finds”, „PC World” , 7 sierpnia 2014 r. Dostępny w internecie: http://www.pcworld.com/article/2462600/networkattached-storage-devices-more-vulnerable-than-routers-researcher-finds.html [dostęp: 30.06.2016].

26. John Dunn, „Synology users told to update DiskStation NAS drives after »SynoLocker« ransom attack”, Techworld, 5 sierpnia 2014 r. Dostępny w internecie: http://news.techworld.com/security/3534684/synology-users-told-to-update-diskstation-nas-drives-after-synolocker-ransom-attack/ [dostęp: 30.06.2016].

27. Pat Litke, „Hacker Hijacks Synology NAS Boxes for Dogecoin Mining Operation, Reaping Half Million Dollars in Two Months”, Dell Secureworks, 13 czerwca 2014 r. Dostępny w internecie: http://www.secureworks.com/resources/blog/hacker-hijacks-synology-nas-boxes-for-dogecoin-mining-operation-reaping-half-million-dollars-in-two-months/ [dostęp: 30.06.2016].

Rozdział 8: Zagrożenia płynące z monokultury

1. Dan Geer, „Heartbleed as Metaphor”, Lawfare blog, 21 kwietnia 2014 r. Dostępny w internecie: http://www.lawfareblog.com/2014/04/heartbleed-as-metaphor/. Obejrzyj również jego przemowę w NSA: „APT in a World of Rising Interdependence”, 26 marca 2014 r. pod linkiem: http://geer.tinho.net/geer.nsa.26iii14.txt [dostęp: 30.06.2016].

2. Więcej szczegółów zob. Robert Charette, „DigiNotar Certificate Authority Breach Crashes e-Government in the Netherlands”, IEEE Spectrum, 9 września 2011 r.: http://spectrum.ieee.org/riskfactor/telecom/security/diginotar-certificate-authority-breach-crashes-egovernment-in-the-netherlands. Raport sponsorowany przez rząd dotyczący naruszenia: „Black Tulip Report of the investigation into the DigiNotar Certificate Authority breach” Hansa Hoogstraatena (lidera zespołu), 13 sierpnia 2012 r. Dostępny w internecie: http://www.rijksoverheid.nl/bestanden/documenten-en-publicaties/rapporten/2012/08/13/black-tulip-update/black-tulip-update.pdf [dostęp: 30.06.2016].

3. Feike Hacquebord, „DigiNotar: Iranians – The Real Target” Trend Labs security intelligence blog, 5 września 2011 r. Dostępny w internecie: http://blog.trendmicro.com/trendlabs-security-intelligence/diginotar-iranians-the-real-target/ [dostęp: 30.06.2016].

4. Anonymous, „DigiNotar Debacle and Internet Security”, „News About Iran”, 6 września 2011 r. Dostępny w internecie: https://iransnews.wordpress.com/2011/09/06/diginotar-debacle-and-internet-security/ [dostęp: 30.06.2016].

5. Zasady znajdują się pod linkiem: https://www.gov.uk/driving-nongb-licence/y/a-visitor-to-great-britain/any-other-country [dostęp: 30.06.2016].

6. Dostępny w internecie: https://www.eff .org/observatory [dostęp: 30.06.2016].

7. Chris Brook, „EFF, others, plan to make encrypting the web easier in 2015”, 18 listopada 2014 r. Dostępny w internecie: https://threatpost.com/eff-others-plan-to-make-encrypting-the-web-easier-inx2015/109451 [dostęp: 30.06.2016].

8. Szczegółowe informacje na temat ataków „człowieka w środku” i ich wykorzystania przez rządy autorytarne, zobacz: http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1591033 [dostęp: 30.06.2016].

9. Więcej szczegółów pod linkiem: http://www.freedom-to-tinker.com/blog/felten/web-certification-fail-bad-assumptions-lead-bad-technology [dostęp: 30.06.2016].

10. Lillian Ablon, Martin Libicki i Andrea Golay, „Markets for Cybercrime Tools and Stolen Data: Hackers’ Bazaar”, Rand Corporation National Security Research Division, 2014 r. Dostępny w internecie: https://www.rand.org/content/dam/rand/pubs/research_reports/RR600/RR610./RAND_RR610.pdf [dostęp: 30.06.2016].

11. Data Security Incident Information (bez daty): http://www.theupsstore.com/security/Pages/default.aspx [strona niedostępna].

12. Brian Krebs, „What Target and Co aren’t telling you: your credit card data is still out there”, „Guardian”, 6 maja 2014 r. Dostęp w internecie: http://www.theguardian.com/commentisfree/2014/may/06/target-creditcard-data-hackers-retail-industry [dostęp: 30.06.2016].

13. John Leyden, „Target, Home Depot and UPS attacks: Dude, you need to rethink point-of-sale security”, 12 listopada 2014 r. Dostępny w internecie: http://www.theregister.co.uk/2014/11/12/pos_malware_attacks_should_prompt_security_rethink_report/. Pełen raport zobacz: Marion Marschalek, Paul Kimayong i Fengmin Gong Cyphort, „POS Malware Revisited – Look What We Found Inside Your Cashdesk”, listopad 2014 r.: http://www.cyphort.com/wp-content/uploads/2014/11/POS-Malware-Report-WEB.pdf [dostęp: 30.06.2016].

14. „Skimming Prevention: Best Practices for Merchants”, Payment Card Industry Security Standards Council, wrzesień 2014 r. Dostępny w internecie: https://www.pcisecuritystandards.org/documents/Skimming Prevention BP for Merchants Sept2014.pdf [dostęp: 30.06.2016].

Rozdział 9: Przeczesując dżunglę

1. Dostępny w internecie: http://www.firebox.com/product/5012/WiFi-USB-Flash-Drive-Cufflinks?aff=512&awc =550_1399733081_E281a2d9a694e-f07b097545d76713999 [dostęp: 30.06.2016].

2. „10 crazy IT security tricks that actually work” Infoworld Security Central, 9 lipca 2012 r. Dostępny w internecie: http://www.infoworld.com/d/security/10-crazy-it-security-tricks-actually-workx196864 [dostęp: 30.06.2016].

3. Roger Grimes, „The One Company that wasn’t Hacked”, Infoworld, 29 maja 2012 r. Dostęp w internecie: http://www.infoworld.com/d/security/the-one-company-wasnt-hackedx194184?page=0,0 [dostęp: 30.06.2016].

4. Julia Angwin, Dragnet Nation: A Quest for Privacy, Security, and Freedom in a World of Relentless Surveillance (Times Books, 2014 r.).

5. Dyskusja na ten temat: „Why Ad Blocking is devastating to the sites you love”, Ken Fisher, Ars Technica, 6 marca 2010 r. pod linkiem: http://arstechnica.com/business/2010/03/why-ad-blocking-is-devastating-to-the-sites-you-love/ [dostęp: 30.06.2016].

6. Więcej szczegółów pod linkiem: https://www.eff.org/deeplinks/2010/01/primer-information-theory-and-privacy [dostęp: 30.06.2016].

Rozdział 10: Rozszyfrowywanie haseł

1. Dan Goodin, „Why passwords have never been weaker – and crackers have never been stronger: Thanks to real-world data, the keys to your digital kingdom are under assault”, Ars Technica, 21 sierpnia 2012 r. Dostępny w internecie: http://arstechnica.com/security/2012/08/passwords-under-assault/ [dostęp: 30.06.2016].

2. Peter Bright, „RSA fi nally comes clean: SecurID is compromised”, Ars Technica, 7 czerwca 2011 r. Dostępny w internecie: http://arstechnica.com/security/2011/06/rsa-finally-comes-clean-securid-is-compromised/ [dostęp: 30.06.2016].

Rozdział 11: Polityka tożsamości

1. Jonathan Gruber, „Health Insurance and the Labor Market”, in A. J. Kuyler and Joseph P. Newhouse (eds), Handbook of Health Economics, Vol. I (Amsterdam: Elsevier Science, 2000), pp. 654–5.

2. Więcej na temat e-serwisów w Estonii: eServices in Estonia: a success story: A Secure Identity Alliance Visit Report, czerwiec 2014 r.: https://secureidentityalliance.org/index.php/blog/item/16-eservices-in-estonia-a-success-story-a-secure-identity-alliance-visit-report/16-eservices-in-estonia-a-success-story-a-secure-identity-alliance-visit-report [dostęp: 30.06.2016].

3. Opisuję obszernie historię Estonii w moich dwóch poprzednich książkach: Nowa zimna wojna (Kurhaus, 2015) i Podstęp (Kurhaus, 2014).

Rozdział 12: Odwrócenie sytuacji

1. Grimes wymienia niektóre usługi typu placebo: „Security-vendor snake oil: 7 promises that don’t deliver”, Roger Grimes, Infoworld Security Central, 12 maja 2014 r. Dostępny w internecie: http://www.infoworld.com/d/security/security-vendor-snake-oilx7-promises-dont-deliverx242138?page=0,0 [dostęp: 30.06.2016].

2. Wiele ciekawych porad pod linkiem: https://www.cpni.gov.uk/advice/cyber/ [dostęp: 30.06.2016].

3. Dan Geer, „We Are All Intelligence Officers Now”, 28 lutego 2014 r. Dostępny w internecie: http://geer.tinho.net/geer.rsa.28ii14.txt [dostęp: 30.06.2016].

4. Richard Danzig, „Surviving on a Diet of Poisoned Fruit: Reducing the National Security Risks of America’s Cyber Dependencies”, CNAS, lipiec 2014 r. Dostępny w internecie: http://www.cnas.org/sites/default/files/publications-pdf/CNAS_PoisonedFruit_Danzig_0.pdf [dostęp: 30.06.2016].

5. Paul Venezia, „It’s time to make poor coding a felony”, Infoworld, 11 lipca 2011 r. Dostępny w internecie: http://www.infoworld.com/d/data-center/it-might-be-time-make-poor-coding-felonyx417 [dostęp: 30.06.2016].

6. Dan Geer, „Cybersecurity as Realpolitik”, 6 sierpnia 2014 r. Dostępny w internecie: http://geer.tinho.net/geer.blackhat.6viii14.txt [dostęp: 30.06.2016].

7. Mark Mazzetti, „FBI informant is tied to cyber-attacks abroad”, „New York Times” , 23 kwietnia 2014 r. Dostępny w internecie: http://www.nytimes.com/2014/04/24/world/fbi-informant-is-tied-to-cyberattacks-abroad.html?_r=0 [dostęp: 30.06.2016].

8. Ed Pilkington, „LulzSec hacker »Sabu« released after »extraordinary« FBI cooperation”, „Guardian” , 27 maja  2014 r. Dostępny w internecie: http://www.theguardian.com/ technology/2014/may/27/hacker-sabu-walks-free-sentenced-time-served [dostęp: 30.06.2016].

9. „Should U.S. Hackers Fix Cybersecurity Holes or Exploit Them?”, Atlantic Monthly, 19 maja 2014 r. Dostępny w internecie: http://www.theatlantic.com/technology/archive/2014/05/should-hackers-fix-cybersecurity-holes-or-exploit-them/371197/?single_page=true [dostęp: 30.06.2016].

10. Więcej informacji o LANGSEC, zob.: http://spw14.langsec.org/ i http://langsec.org/ [dostęp: 30.06.2016].

PIERWSZY DODATEK: KTO RZĄDZI INTERNETEM

1. Paul Rosenzweig, „The Fight to Seize Iran’s Domain Name Continues”, 30 lipca 2014 r. Dostępny w internecie: https://www.lawfareblog.com/2014/07/true-lawfare-the-fight-to-seize-irans-domain-name-continues/ [dostęp: 30.06.2016].

2. Kieren McCarthy, „ICANN Hacked: Intruders poke around global DNS innards”, The Register , 17 grudnia  2014 r. Dostępny w internecie: http://www.theregister.co.uk/2014/12/17/icann_hacked_admin_access_to_zone_files/ [dostęp: 30.06.2016].

Bibliografia

Dwa blogi są nie do przecenienia: krebsonsecurity.com należący do Briana Krebsa, ważnego amerykańskiego eksperta w dziedzinie cyberprzestępczości, oraz: lawfare.org finansowany przez Brookings Institution pod redakcją Benjamina Wittesa. Polecam też strony internetowe wymienione w przypisach, przede wszystkim tę należącą do Dana Geer’a: geer.tinho.net. Raporty roczne firm specjalizujących się w bezpieczeństwie cyfrowym zawierają mnóstwo ciekawych danych na temat cyberataków. Polecam w szczególności raporty FireEye (jest to firma, która kupiła w 2014 roku Mandiant).

FABUŁA

Doctorow, Cory, Mały brat, wyd. ang. Little brother, Harper Voyager, 2008 r.

Gibson, William, Neuromancer, Harper Voyager, 1995 r.

OGÓLNE

Anderson Ross, Security Economics: A Personal Perspective, University of Cambridge Computer Laboratory, 2012 r.

Brangetto P., Maybaum M. and Stinissen J. (eds),  6th International Conference on Cyber Conflict , NATO CCD COE Publications, 2014 r.

Cornish Paul, Livingstone David, Clement Dave i Yorke Clare, Cyber Security and the UK’s Critical National Infrastructure, Chatham House, 2011 r.

Podins K., Stinissen J. i Maybaum M. (eds), 5th International Conference on Cyber Conflict, NATO CCD COE, 2013 r.

Tendulkar Rohini, „Cyber-crime, securities markets and systemic risk”, OICU-IOSCO, 2013 r.

O RZĄDOWYCH CYBERATAKACH I WOJNIE CYBERNETYCZNEJ

„APT1: Exposing One of China’s Cyber Espionage Units”, Mandiant, 2013 r.

Atlantic Council of Canada, „NATO Going Forward: Boots on the Ground to Wireless Warfare”, The Atlantic Council of Canada, 2013 r.

Brenner Susan W., Cyberthreats: The Emerging Fault Lines of the Nation, State, Oxford University Press, 2009 r.

Clarke Richard A. i Knake Robert K., Cyber War: The Next Threat to National Security and What to Do About It, HarperCollins, 2010 r.

Deibert Ronald J., Black Code: Inside the Battle for Cyberspace, McClelland & Stewart, 2013 r. Hagestad II, William T., 21st Century Chinese Cyberwarfare, IT Governance Publishing, 2012 r.

Harris Shane, @war: The Rise of Cyber Warfare, Headline, 2013 r.

Healey Jason, „A Fierce Domain: Conflict in Cyberspace 1986 to 2012” [w:] „Cyber Conflict Studies Association”, 2013 r.

Rid Thomas, Cyber War Will Not Take Place, C. Hurst & Co. Publishers Ltd., 2013 r.

Sanger David, Confront and Conceal: Obama’s Secret Wars and Surprising Use of American Power, Broadway Books, 2013 r.

Schmitt, Michael N. (ed.), Tallinn Manual on the International Law Applicable to Cyber Warfare, Cambridge University Press, 2013 r.

Singer P. W., Wired for War: The Robotics Revolution and Conflict in the 21st Century, Penguin Books, 2009 r.

––, i  Friedman, Allan, Cybersecurity and Cyberwar: What Everyone Needs to Know, Oxford University Press, 2014 r.

Stoll Clifford, The Cuckoo’s Egg: Tracking a Spy Through the Maze of Computer Espionage , Doubleday, 1989 r.

Zetter Kim, Countdown to Zero Day: Stuxnet and the Launch of the World’s First Digital Weapon, Crown Business, 2014 r.

PRAKTYCZNE PORADY DOT. ŚRODKÓW OSTROŻNOŚCI

Anderson Ross, Security Engineering: A Guide to Building Dependable Distributed Systems, John Wiley & Sons, 2008 r.

Baker Stewart, Skating on Stilts: Why We Aren’t Stopping Tomorrow’s Terrorism, Hoover Institution Press, 2010 r.

Bejtlich, Richard, The Practice of Network Security Monitoring, William Pollock, 2013 r.

Engebretson Patrick i Broad James, The Basics of Hacking and Penetration Testing: Ethical Hacking and Penetration Testing Made Easy, Syngress, 2011 r.

Schneir Bruce, Carry On: Sound Advice from Schneier on Security, John Wiley & Sons, 2014 r.

NADZÓR I PRYWATNOŚĆ

Angwin Julia, Dragnet Nation: A Quest for Privacy, Security, and Freedom in a World of Relentless Surveillance, Times Books, 2014 r.

Greenberg Andy, This Machine Kills Secrets: Julian Assange, the Cypherpunks, and Their Fight to Empower Whistleblowers, Penguin Books, 2012 r.

Greenwald Glenn, No Place to Hide: Edward Snowden, the NSA and the Surveillance State, Penguin Books, 2014 r.

Harding Luke, The Snowden Files: The Inside Story of the World’s Most Wanted Man, Guardian Books, 2014 r.

Schneier Bruce, Liars and Outliers: Enabling the Trust That Society Needs to Thrive, John Wiley & Sons, 2012 r.

SPOŁECZEŃSTWO I INTERNET

Goldsmith Jack i Wu Tim, Who Controls the Internet? Illusions of a Borderless World, Oxford University Press, 2006 r.

Hammersly Ben, Now for Then: How To Face The Digital Future Without Fear, Hodder & Stoughton, 2012 r.

Lanier Jaron, Who Owns The Future?, Allen Lane, 2013 r.

Mayer-Schonberger Viktor i Cukier Kenneth, Big Data: A Revolution That Will Transform How We Live, Work and Think, John Murray, 2013 r.

McChesney Robert W., Digital Disconnect: How Capitalism Is Turning the Internet Against Democracy, The New Press, 2013 r.

Morozov Evgeny, The Net Delusion: How Not to Liberate the World, Penguin Books, 2012 r.

––, To Save Everything Click Here , Allen Lane, 2013 r.

Raymond Mark i Smith, Gordon (red.), Organised Chaos: Reimagining the Internet, CIGI, 2014 r.

Wu Tim, The Master Switch: the Rise and Fall of Information Empires, Atlantic Books, 2012 r.

KRYMINALNE

Anderson Nate, The Internet Police, W. W. Norton & Company, 2013 r.

Bartlett Jamie, The Dark Net: Inside the Digital Underworld, William Heinemann, 2014 r.

Coleman Gabriella, Hacker, Hoaxer, Whistleblower, Spy: The Many Faces of Anonymous, Verso Books, 2014 r.

Glenny Misha, Dark Market: Cyberthieves, Cybercops and You, Bodley Head, 2013 r.

Krebs Brian, Spam Nation: The Inside Story of Organized Cybercrime: From Global Epidemic to Your Front Door, Sourcebooks, 2014 r.

Libicki Martin C., Senty David i Pollak Julia, Hackers Wanted: An Examination of the Cybersecurity Labor Market, Rand Corporation, 2014 r.

Mitnick Kevin i Simon William L., Ghost in the Wires, Back Bay, 2012 r.

Podziękowania Autora

Dziękuję Richardowi Bejtlichowi i Jen Weedon z FireEye (obecnie Mandiant), Jasonowi Healeyowi z Atlantic Council, Benjaminowi Wittesowi z Brookings (redaktorowi bloga Lawfare) oraz Brianowi Krebsowi.

Moja książka powstawała przy wsparciu wielu Estończyków, w tym Luukasa Ilvesa i jego ojca [prezydenta Toomasa Hendrika Ilvesa – przyp. Kurhaus], organizatorów Tallinn Cyberconference i pracowników NATO Centre of Excellence. Bardzo pomogła mi Heli Tirmaa-Klaar.

Jestem wdzięczny moim londyńskim przyjaciołom: Keirowi Gilesowi, który dzielił się ze mną swoją wiedzą o rosyjskim sposobie myślenia w kwestii prowadzenia wojny cybernetycznej, Thomasowi Ridowi, Davidowi Clemente’owi oraz Rossowi Andersonowi. Jeśli w książce znalazły się jakieś błędy, tylko ja jestem za nie odpowiedzialny.

Podziękowania kieruję także do mojej rodziny, w szczególności do żony Cristiny, która musiała znosić moją nieobecność i roztargnienie wynikające z pracy nad tą książką. Moi najbliżsi inspirowali mnie i pomagali mi w poszukiwaniu materiałów. Jestem wdzięczny moim synom za ich cenne uwagi na temat cyberbezpieczeństwa oraz mediów społecznościowych, szczególnie zaś Johnny’emu za jego pomoc w opracowaniu bibliografii.

W latach 80. XX w. mój ojciec, John Lucas, był jednym z pierwszych ludzi w Oksfordzie korzystających z komputera personalnego. Dziękuję mu za mnóstwo krytycznych uwag pod adresem zabezpieczeń stosowanych przez banki i sektor usług finansowych. W latach 70. moja matka Morar pozwoliła mi uczyć się pisać na swojej maszynie do pisania. Jednak pierwszy kontakt z urządzeniem elektronicznym zawdzięczam mojej ciotce, Sarah. W 1971 roku pokazała mi bowiem gadżet zwany kieszonkowym elektronicznym kalkulatorem. Tę książkę dedykuję jej właśnie oraz wszystkim tym, którzy są otwarci na nowe technologie.

Mecenas wydania

Bank Handlowy w Warszawie S.A.

Bank, który łączy doświadczenie i najlepsze tradycje polskiej bankowości z nowoczesnym modelem prowadzenia finansów. Citi Handlowy powstał w 2001 roku z połączenia Banku Handlowego w Warszawie S.A. – najstarszego komercyjnego banku w Polsce – oraz Citibank (Poland) S.A.

Bank stanowi integralną część grupy Citi – wiodącej globalnej instytucji finansowej prowadzącej około 200 milionów rachunków i działającej na seściu kontynentach, łącząc 1000 miast, 160 państw i miliony ludzi na całym świecie. Citi Handlowy obsługuje Klientów indywidualnych, korporacyjnych, rządowych i instytucjonalnych, zapewniając im bogaty wachlarz produktów i usług finansowych w zakresie bankowości detalicznej, korporacyjnej i inwestycyjnej, usług maklerskich, bankowości transakcyjnej oraz zarządzania majątkiem.

Wśród innych banków wyróżnia się innowacyjnością, stosowaniem najnowszych technologii, a także rozwiązaniami dopasowanymi do indywidualnych potrzeb Klienta – posiada 16 oddziałów SMART, w których można założyć konto w rekordowo krótkim czasie.

Więcej na: www.citihandlowy.pl