Soluţii - PC Magazine Romania, Decembrie  2002

Motto: "- Dumnealui este dl. Davis, de la FBI... dl. Crane, de la CIA... detectivul Morgan, de la N.Y.P.D... Şi mai este acolo, în spate, un domn ...
- Da, eu sunt... de la o Altă Agenţie..." (Dintr-un film poliţist)

De Crăciun ne-am luat raţia de Libertate

Răzvan Sandu

La ora la care scriu aceste rânduri, situl www.linuxwill.go.ro , dedicat de mine utilizatorilor de Linux din România, a fost "spart" de către un cracker. El a adăugat o animaţie Flash, pe fundal negru, înaintea paginii principale, lăsând restul neatins. Dincolo de faptul că vreau să îi mulţumesc - niciodată acest sit nu s-a bucurat de atâţia vizitatori ca acum - promit să nu mai folosesc niciodată parole slabe.
Astăzi vom vorbi, aşadar, despre libertate. Şi despre ceea ce vrem - sau nu vrem - să devină internetul.

Cine eşti dumneata, domnule root?
Pentru aceia dintre Dvs. care nu ştiu încă, voi începe prin a spune ce se înţelege prin securitatea unei maşini sau a unei reţele. Fără a încerca o definiţie precisă, un sistem este numit "sigur" dacă:

• permite utilizatorilor să citească şi/sau să modifice numai acele informaţii pe care sunt autorizaţi să o facă (confidenţialitate, integritate);
  
• nu permite nimănui ca, prin vreo acţiune asupra sistemului, să interzică utilizatorilor legali accesul la datele stocate - denial of service - (disponibilitate)
  

Desigur, persoana care are - şi trebuie să aibă - drepturi "de viaţă şi de moarte" asupra întregii maşini este administratorul, utilizatorul root. De aceea, majoritatea atentatelor la securitate sunt încercări de obţinere a accesului cu drepturi de root asupra sistemului în cauză.

Nu uitaţi, însă, că asigurarea securităţii unui sistem este o armă cu două tăişuri. Cu cât un sistem este mai sigur, o parte din funcţionalitatea sa se pierde. În glumă, un calculator perfect sigur este unul oprit, nelegat la nici o reţea şi încuiat în safe-ul unei bănci. La celălalt capăt al scalei se găseşte un sistem conectat în mai multe reţele publice, pe care nu s-au luat nici un fel de măsuri de limitare a accesului. Acestea sunt cele două extreme între care trebuie să alegeţi "poziţia" maşinii Dvs., adică compromisul între siguranţă şi funcţionalitate.

În stabilirea soluţiei de asigurare a securităţii, trebuie să ţineţi seama de câteva aspecte importante:

• costul schemei alese trebuie să fie proporţional cu valoarea datelor stocate - nu cred că doriţi să plătiţi unui expert câteva mii de dolari doar pentru a vă proteja e-mail-urile de ochii indiscreţi ai colegilor, nu ?
  
• datele pot fi atacate atât prin intermediul reţelei la care este conectat computerul, cât şi direct, de la consola acestuia (securitate de la distanţă, locală şi fizică). La ce vor servi nişte programe firewall puternice, dacă un cracker interesat poate accesa sistemul direct de la tastatura Dvs. sau îi poate demonta carcasa, furând hard disk-ul? Vă amintiţi poate că, pe vremea MS-DOS, grupuri întregi de programatori se chinuiau să inventeze programe impenetrabile care cereau o parolă la pornirea calculatorului, când maşina putea boota de pe o simplă dischetă sistem, oferind acces 100% la toate discurile fixe ...
  
• sistemele Windows 95, 98, Millenium, 2000 Professional şi XP sunt, prin definiţie, sisteme "client" - adică maşini care "primesc" serviciile oferite de o reţea. Asta le face mai puţin susceptibile la atacurile venite dinspre aceasta, fiindcă ele nu rulează deloc procese care ar putea oferi "porţi ascunse de intrare". În schimb, securitatea lor locală este destul de slabă, fiindcă Windows îşi are rădăcinile în vechile sisteme de operare Microsoft, proiectate pentru acces neîngrădit din partea unui singur utilizator. Prin contrast, sistemele Linux/Unix sunt puncte-cheie în majoritatea siturilor internet sau reţelelor mari şi oferă zeci de servicii tip sever, destinate să fie accesate de la distanţă.
  
• sursele programelor ce alcătuiesc Linux sunt mereu disponibile. Asta permite "băieţilor răi" să le studieze şi să exploateze diferitele greşeli de programare, dar şi "băieţilor buni" să identifice foarte rapid soluţia problemelor apărute.

Internetul - teatru de război
Toate cele spuse mai sus vi se par doar o teorie plictisitoare, nu ? Ei bine, haideţi să ne jucăm un pic:

O cutie de carton conţinând cereale pentru copii vi se pare o armă mortală ? Nuuuuuu ... ! Ba da. Un tip numit John T. Draper a deschis o astfel de cutie şi a găsit în ea o jucărie-surpriză destinată celor mici: un fluier din plastic. El a aflat că fluierul producea un ton cu frecvenţa de exact 2600 Hz, frecvenţă folosită de companiile telefonice pentru comanda trunchiurilor de linii. Ceea ce a urmat a fost un adevărat război de "păcălire" a sistemelor, de rerutări de numere de apel, de utilizare gratuită a unor linii scumpe, etc. Piratul telefonic nu avea corabie, dar şi-a luat un nume de luptător: Captain Crunch, după numele cerealelor de la care pornise întreaga aventură ...

La www.webcrunchers.com puteţi găsi povestea, spusă chiar de Căpitanul Crunch.
Eiiiii, Kevin Poulsen era obosit, aşa că s-a gândit că nu ar trebui să mai meargă pe jos. Norocul i-a surâs în ziua în care a câştigat un superb Porsche 944, oferit ca premiu la un concurs radiodifuzat. Totul ar fi fost chiar o poveste frumoasă despre şansă şi despre norocul începătorilor, dacă apelul său n-ar fi ieşit câştigător în urma manipulării liniilor telefonice ale companiei Pacific Bell ... Despre Poulsen şi nevinovata sa pasiune pentru telefonie puteţi citi la www.kevinpoulsen.com.

Tsutomu Shimomura. Numele japonez are o rezonanţă războinică, dar cel care îl poartă nu este un sensei, ci un expert în securitatea reţelelor de la San Diego Supercomputer Center. Pe 25 decembrie 1994, el cădea victimă unui alt cracker legendar, Kevin Mitnik. Acesta a folosit o tehnică de imitare a adreselor IP (IP spoofing) pentru a exploata relaţia de încredere existentă între două maşini ale Centrului. În acest fel, Mitnik a reuşit să obţină acces privilegiat fără a avea nevoie de parole şi a furat un număr de utilitare de securitate existente în acel sistem, utilitare proiectate de Shimomura. De altfel, Mitnik este un vechi pirat al sistemelor de calcul, poate cel mai celebru - câteva dintre păţaniile sale le puteţi afla la www.takedown.com/bio/mitnick1.html

1988. Studentul Robert Morris Jr., fiul unui expert ce lucra pentru NSA (National Security Agency, poreclită şi No Such Agency din cauza nivelului ei secret) lansează în Internet viermele Christmas Tree ("Pomul de Crăciun"). Încercând să facă o glumă unui prieten de la Harvard, Morris comite o eroare de programare, iar desenul Pomului de Crăciun se răspândeşte rapid până în Europa, infectând mii de maşini. Tânărul furnizează autorităţilor metoda de contracarare a viermelui şi este arestat de FBI.

"Cutiile colorate" (red box, blue box, mauve box, aqua box s.a.) sunt circuite electronice ce au fost folosite mult timp pentru "înşelarea" sistemelor telefonice. Câteva referinţe la ele puteţi găsi la www.fc.net/ phrack.html, iar schemele sunt disponibile şi azi în internet. Desigur, multe dintre ele sunt acum depăşite datorită utilizării aparaturii telefonice digitale. Programe specializate, cum ar fi BlueBeep, realizau funcţii asemănătoare de phreaking (piraterie telefonică) prin metode software. Ca exemplu, cutia roşie reuşea să imite zgomotul monedelor introduse într-un telefon public, ceea ce permitea accesul neautorizat - şi gratuit - la linie. Lista exemplelor ar putea continua - pentru doritori, detaliile vă aşteaptă la www.underground.org sau la Electronic Frontier Foundation www.eff.org

Un vis devenit realitate
OK, veţi spune, dar ce legătură directă există între toate astea şi Linux ? "Unealta este jumătate din meşter" spune un proverb din bătrâni. Dintre toate sistemele de operare disponibile pentru PC-uri, Linux este atât preferatul profesioniştilor în reţele, cât şi al celor care se ocupă de activităţi ilegale. Aceasta fiindcă el "coboară" în birourile oricăruia dintre noi puterea sistemelor Unix "adevărate" şi a staţiilor de lucru ce costă zeci de mii de dolari ... O implementare robustă a setului de protocoale TCP/IP - ca şi a altora - şi existenţa unui set de "scule" de analiză a reţelei, iată ce este definitoriu pentru Linux !

Pentru începători, să pornim prin a ne imagina "un zid" construit la interfaţa între computerul nostru şi reţeaua din care face parte. Ducând analogia mai departe, dacă în acest zid există orificii numerotate, acestea ar putea fi porturile TCP/IP. Programele daemon ce rulează pe sistem "ascultă" cereri de conectare, fiecare la portul care i-a fost alocat. Porturile servesc, deci, ca "puncte de întâlnire" predefinite între serverele TCP/IP ale maşinii şi clienţii de reţea ce folosesc aceste servicii.

Cea mai mare parte a atacurilor venite din reţea se desfăşoară după un scenariu devenit aproape banal pentru mulţi administratori:

• analiza de la distanţă a maşinii-victimă, folosind diverse utilitare, în scopul de a afla cât mai multe informaţii despre ea (tipul şi versiunea sistemului de operare, detalii despre utilizatori şi root, detalii hardware, etc.);
  
• scanarea porturilor TCP/IP, pentru a stabili care dintre acestea sunt "deschise", ce servicii rulează pe ele şi care sunt eventualele puncte vulnerabile ce pot fi exploatate (erori de programare existente în software-ul server);
  
• pătrunderea neautorizată în sistem
  
• sustragerea fişierului cu parole /etc/passwd (în scopul prelucrării şi obţinerii parolelor de root în clar), provocarea altor pagube sau furtul unor informaţii esenţiale.

Dacă vă mai amintiţi discuţia noastră din numărul trecut, era vorba acolo despre criptarea informaţiilor folosind algoritmi cu chei asimetrice. Pe un sistem Linux, fişierul de parole /etc/passwd este protejat folosind acelaşi mecanism: parolele nu sunt stocate în clar, ci în formă criptată. Funcţiile matematice ce realizează criptarea nu admit funcţie inversă, adică este imposibil să se obţină parola pornindu-se de la textul cifrat. Din nefericire, marea majoritate a utilizatorilor nu îşi stabilesc parole puternice (cu lungime suficientă, cu combinaţii de cifre şi litere mari si mici), ci simple cuvinte din limba română sau engleză. Dacă o persoană rău intenţionată dispune de un dicţionar (lista de cuvinte) şi de un program capabil să "încerce" aceste parole cu suficientă viteză, probabilitatea de a găsi "combinaţia" care permite accesul este destul de mare ...

Pentru crackeri, Linux este "un vis devenit realitate", fiindcă aici există (sau se pot implementa uşor) toate programele necesare: scannere de porturi TCP/IP, utilitare de "spargere" a parolelor, instrumente sofisticate de analiză a reţelei... Câteva dintre ele merită o atenţie specială.

Armament greu
Iată o prezentare succintă a câtorva utilitare valoroase. Precizez că rareori autorii acestora sunt crackeri sau persoane rău intenţionate - utilitarele în cauză au fost proiectate ca mijloace de cunoaştere a reţelei, pentru îmbunătăţirea securităţii ei.

SATAN (System Administrator's Tool for Analyzing Networks) este un scanner de porturi care caută vulnerabilităţi cunoscute pe maşinile-ţintă, cum ar fi cele ale severelor FTP, NFS, NIS si rsh. Scris de celebrii hackeri (şi experţi mondiali în securitate) Dan Farmer şi Vietse Venema, SATAN se distinge prin interfaţa sa Web intuitivă şi uşor de folosit. Implementarea sa pe un sistem Linux nu este tocmai facilă, dar poate fi făcută aplicând un patch destinat acestui sistem de operare şi recompilând sursele. Scannerul este disponibil la www.fish.com, iar fişierul-patch la www.sunsite.unc.edu.

XSCAN este un scanner de porturi specializat în identificarea punctelor slabe din serverul grafic X ce rulează pe maşina-ţintă. Ceea ce îl face deosebit este faptul că, în cazul în care identifică o "portiţă de intrare" în sistem, înregistrează tastele apăsate de utilizator.

ethereal este un program de analiză a traficului de reţea, cu o interfaţă grafică deosebit de prietenoasă. El vă poate ajuta să identificaţi rapid maşini, adrese IP şi MAC şi alte detalii din reţeaua Dvs. Pentru aceasta, ethereal "ascultă" reţeaua pentru un timp determinat şi apoi vă prezintă, într-o formă intuitivă, datele descoperite. Programul face parte din distribuţia Red Hat Linux, unde îl găsiţi sub formă de pachet .rpm.

Jakal este tot un scanner de porturi, din clasa celor invizibile (stealth). Se distinge în mod deosebit prin capacitatea sa de a scana domenii aflate în spatele unor dispozitive firewall, fără a lăsa urme în jurnalele acestora. Îl puteţi obtine de la adresa www.giga.or.at.

Moş Crăciun cu plete dalbe ...
În discuţia noastră despre protejarea propriei maşini, să nu pierdem din vedere şi micile "daruri" pe care le puteţi primi pe o dischetă sau ca ataşament la un e-mail.
În lumea Linux există două "bariere naturale" puternice împotriva răspândirii viruşilor:

• programele executabile .EXE şi .COM din mediile Microsoft nu rulează pe un sistem Unix/Linux (fie ele programe "normale" sau viruşi). Aşa cum probabil aţi descoperit deja, pentru a rula un executabil DOS pe Linux este nevoie de emulatoare ca dosemu, WABI sau wine, care "traduc" apelurile de sistem. De aceea, este practic imposibil să primiţi un virus pe această cale. Excepţie fac viruşii scrişi în limbaje cu abilităţi cross-platform, cum ar fi Java sau Perl.
  
• Într-un mediu Unix, execuţia oricărui program se desfăşoară după reguli stricte, sub controlul absolut al kernel-ului sistemului de operare. În fiecare moment, este limpede ce drepturi de acces la resurse are un anumit proces, în funcţie şi de drepturile asignate utilizatorului care a lansat procesul. Nici un program nu are acces direct la hardware, ceea ce împiedică majoritatea acţiunilor neautorizate pe care le execută viruşii.

În cazul în care, totuşi, un program ilegal exploatează o vulnerabilitate existentă în sistem (un bug), platforma Linux este celebră prin viteza cu care apar patch-urile de corecţie - timpii sunt de ordinul orelor. Comunitatea utilizatorilor Linux fiind "coagulată" în internet, soluţiile de corecţie oferite de programatori apar foarte repede pe forumurile de discuţii - mult mai repede decât în cazul oricărui sistem comercial.

Fac ce vreau, dar ştiu ce fac ...
În presa TI şi în afara ei, ca şi în audiovizual, la nivelul marelui public, se menţine confuzia între termenii de hacker şi cracker. M-am întrebat întotdeauna dacă de vină este ignoranţa unora sau rea-voinţa lor. Apoi mi-am amintit că omul se teme întotdeauna de ceea ce nu cunoaşte şi că există şi multe interese comerciale pentru menţinerea acestei "spaime" - ca de exemplu, vânzarea de soluţii şi pseudo-soluţii de securitate, de antiviruşi, etc.

Pe scurt, un hacker este o persoană care posedă cunoştinţe avansate în domeniul TI, al sistemelor de operare, al hardware-ului, etc. - de cele mai multe ori, un autodidact, unul care "sapă" în fiecare zi printre aceste detalii, din pasiune. De cele mai multe ori, hackerii sunt şi programatori talentaţi. În ciuda faptului că aceşti oameni nu sunt implicaţi în nici un fel de activitate ilegală, asupra lor pluteşte întotdeauna suspiciunea managerilor, a publicului sau a ... părinţilor J - în general, a tuturor acelora care nu le împărtăşesc pasiunea. Cu toate acestea, hackerii aduc servicii enorme comunităţii mondiale TI, inclusiv prin lupta împotriva ilegalităţilor: este de ajuns să-i amintesc pe Dennis Ritchie, Linus Torvalds, Paul Baran, Richard Stallman... Şi, de ce nu, pe dl. Bill Gates.

Dimpotrivă, crackerii sunt "îngerii decăzuţi" ai TI-ului. La origine, unii au fost hackeri, alţii nu. Caracteristica activităţii lor este implicarea în operaţii ilegale, motivate fie de bani, fie de dorinţa de a obţine celebritate. Plaja infracţiunilor ce se pot săvârşi cu ajutorul computerului este foarte largă, de la penetrarea sistemului informatic al unei bănci în scop de furt sau folosirea cărţilor de credit false la pirateria software sau distrugerea unor situri Internet. Desigur, cei mai mulţi crackeri sunt şi programatori foarte buni, atraşi de faţa întunecată a scrierii de software. Uneori, însă, de "faima neagră" a crackerilor se bucură şi oameni care o doresc, dar nu o merită - prea des unii sunt tentaţi să creadă că orice vânzător de CD-uri pirat este şi un programator genial, un Kevin Mitnick ...

Şi totuşi, cum ne putem proteja ?
Aceasta este întrebarea pe care mi-o veţi pune, mai devreme sau mai târziu, referitor la sistemul Linux pe care l-aţi instalat. Aici merită făcute câteva observaţii.
Mai ales printre utilizatorii de Windows, securitatea este un subiect la modă. Şi, ca în orice subiect mult dezbătut, amatorismul îşi face loc uşor. Zece programe antivirus şi trei variante de firewall, instalate pe un Windows care serveşte ca maşină de scris, vor duce la un sistem supraîncărcat, greoi şi, de multe ori, nefuncţional.

Fie-mi îngăduit să spun că organizarea corectă a securităţii unui sistem porneşte de la "igiena" sa, de la lucruri simple:

• Alegeţi o parolă bună. Ca cracker, nu trebuie să fii un geniu în TI ca să încerci "să potriveşti în broască" parole conţinând numele utilizatorului, data naşterii, numele soţiei, numărul maşinii ... O parolă corect aleasă conţine un număr mai mare de caractere, alternează cifre, litere mari şi mici care nu se repetă şi nu foloseşte cuvinte din dicţionare;
  
• Menţineti la minim numărul serviciilor pornite pe maşina Dvs. Linux, adică numai acele servicii de care aveţi într-adevăr nevoie. "Clienţi" potenţiali pentru "găuri" de securitate sunt, în special "comenzile r" (rhosts, rusers, rsh, rlogin), finger, sendmail, telnet, NIS, FTP ... Fişierul /etc/services şi utilitare cum ar fi ntsysv vă permit să controlaţi exact daemonii care sunt lansaţi în fundal în momentul bootării. Dacă aceste servicii vă sunt necesare, asiguraţi-vă că aţi citit buletinele de securitate de pe Internet (situri cum ar fi www. cert.org) şi că aţi aplicat patch-urile pentru bug-urile ce au fost descoperite.
  
• Nu permiteţi accesul fizic la consola computerului decât acelor persoane care au într-adevăr nevoie să o facă. Nu rămâneţi logat în calculator atunci când plecaţi în pauză de masă J :
  
• Nu instalaţi decât programe din surse sigure şi a căror comportare o cunoaşteţi în detaliu;
  
• Folosiţi utilitare de autentificare, cum ar fi tripwire;
  
• În fine, cea mai bună metodă de apărare este atacul: rulaţi periodic scannere de porturi împotriva propriei maşini, încercând să-i descoperiţi punctele slabe.
  

La Mulţi Ani !
Înainte de a-mi lua "La revedere !" de la Dvs. pentru ultima dată în acest an şi de a vă ura "Sărbători Fericite !", vreau să vă fac un mic cadou: câteva adrese Internet unde veţi găsi materiale interesante legate de Linux, de securitatea sistemelor şi de intimitate pe Internet:

www.lopht.com
www.infonexus.com
www.defcon.org
www.cs.purdue.edu
www.raptor.com
www.epic.org

Vă aştept în 2003 pentru noi incursiuni în lumea Linux !