Безопасность

В подъезде временно отключили кодовый замок в связи с малярными работами. Один мальчуган решил покрасоваться перед подругой. Говорит: «Сейчас я домофон взломаю». Достаёт телефон, направляет на кодовую панель, для вида долго кнопки на мобильнике нажимает. Телефон издаёт трель морзянкой (это мелодия там такая записана). Пацан дёргает за дверь, и она поддаётся.

Подруга в восторге. А на скамейке сидит участковый. Он всё видел. Он юмора не понял. Он решил, что мальчишка вправду взломал кодовый замок телефоном. Схватил «кулхацкера» за ухо — и в детскую комнату.

У инспекторши по делам несовершеннолетних глаза округлились. Адрес подъезда спросила. А когда узнала, говорит:

— Да я там живу, там малярные работы идут, замок отключили, чтобы малярам ходить удобнее было. Отпустите мальчишку. Никакой он не кулхацкер, а Петросян малолетний.

Пришлось отпустить.

Пришло задание проверить на устойчивость и неповалимость свеженаписанный сервер.

Сперва попробовал типичный DDoS. Десять компов завалили линию на 1 Гб/с запросами, ещё один вёл работу. Всё время вёл, по отдельной сетевой. Сервак справился.

Попробовал пошалить с буферами — отправлять слишком длинные запросы. Сервак проглотил запросы на гигабайт и не поперхнулся.

Попытался пройти без авторизации — сервер на фиг послал. Ладно, думаю, будем ломать.

Написал простой прокси-сниффер, сохраняющий всю историю запросов-ответов. Посмотрел, что шлётся. Много-много повтыкал в экран, понял, по какому принципу формируются коды запросов, и написал клиент, который будет слать нестандартные коды. И — хопа! — сервак помахал ручкой и выключился.

Довольный, иду к разрабам, говорю:

— Вот по этому коду сервер ложится.

Программист смотрит на хексы, совершает перевод в инты, смотрит на другую бумажку:

— Слушай, это код выключения сервера. Доступен только для админа и только внутри нашей локалки. Давай мы тебя в
правах понизим, а?

Захотелось как-то нашим доблестным безопасникам почитать электронную почту некоторых пользователей. После пары дней различных согласований пришлось мне устроить некрасивую схему: почта стала отсылаться и юзеру, и на ящик безопасников.

Ничто не выдавало русских разведчиков, кроме уведомлений о прочтении, автоматом отправлявшихся их Аутлуком.

Работаю в фирме, помогающей сдавать отчётность через HTTPS с использованием сертификатов безопасности. Сегодня звонит клиентка и говорит, что все сертификаты (корневой, промежуточный, клиентский) стали «с красными крестиками». Раньше такого у неё не было. Ну, это первый признак наличия в системе злобных вирусов. В таком случае стойкость шифра у сертификатов сбрасывается в ноль бит. Сама клиентка проверить это не смогла — отправили меня на выезд.

Приезжаю. Антивирус стоит. Обновлённый. Настораживаюсь. Захожу в «Сертификаты». Действительно, все красные. Смотрю стойкость шифра — как надо, 512 бит. Удивляюсь. После нескольких минут размышлений взглядом цепляюсь за возможную причину неработоспособности сертификатов, которую указывает система: «Срок действия истёк или ещё не наступил».

Всё оказалось до смешного просто. На материнке села батарейка, и комп каждый раз при включении сбрасывал дату на 1 января 2004 года. Вот и отказывались работать сертификаты, выданные на нынешний год.

Как-то справляли с приятелями день админа. Как обычно, начальство праздник не признало и заданий дало выше крыши — нужно было запустить новый внутренний сервер для бухгалтерии. Выход нашли быстро: справляли прямо в серверной. Работа была совмещена с празднованием.

После трёх часов «усердной» работы админ дошёл до ввода пароля и состояния нестояния. Недолго думая, ввёл пароль с последующим подтверждением (!) двумя ударами кулака по клаве.

На следующий день мы застали обхваченную двумя руками похмельную голову админа, в которой со слышимым за версту скрипом перебирались варианты пароля.

Выход подсказал наш электрик дядя Гриша. Доведённому до вчерашнего состояния админу между делом предложили повторить вчерашний трюк. Ввод прошёл на ура! Практику только пришлось прекратить, дабы пожалеть бедную админскую печень.

Командировка. В номере отеля двое — я и замдиректора. Готовимся к завтрашнему выступлению перед Большими Папочками (руководством головного предприятия). Я свой доклад отшлифовал и пью пиво, замдир лихорадочно ищет недостающие документы. Они на рабочем компе. Зам вызванивает секретаршу, благо рабочий день ещё в самом разгаре, и отправляет её к себе в кабинет, чтобы по электронке скинуть то, что нужно. Я краем уха слушаю разговор.

— Так, включай компьютер.
— …
— Отлично, входи под моим логином.
— …
— Пароль «zgblfhfc».
— …
— Английскими буквами.
— …
— Смотри, я тебе сейчас буду русскими буквами диктовать, а ты эти кнопочки нажимай.
— …
— «Я», «п», «и»… Админ! Сука! Уволю!

Пятница, вечер. В конторе все разошлись по домам. Гаснет свет. Бесперебойник даёт серверу прокричать админу и секретарше о данном событии и вырубиться.

Когда свет включается, устаревший UPS не заводится — требуется нажать на кнопочку. Есть охранник, можно попросить ткнуть кнопочку и его. Но надо набрать пароль: на сервере работает какая-то программка, для которой надо войти в систему.

Тут уже варианты. Секрктарша звонит админу — сможет ли он подойти и включить? Увы, админ уже на шашлыках, вечер пятницы всё же. Секретарша тоже уже очень далеко от города — едет на дачу. Находится дежурный водитель фирмы и отправляется в офис. Он приезжает, с трудом, под диктовку действий секретаршей, нажимает кнопочку на UPS.

Объяснение было в следующем стиле: «Там такой небольшой серенький блок стоит с двумя кнопками, одна побольше, а вторая притоплена. Вот ты на большую жми. Так, запищал, помигал лампочками? Щёлкнул, больше не щёлкает и не пищит? Хорошо, теперь включаем сервер. Видишь, телевизор такой рядом с коробкой высокой? Ищи на телевизоре большую кнопку, жми на неё. Так, загорелась лампочка на телевизоре, показалась какая-то надпись? Хорошо, так и должно быть. Теперь ищи рядом высокий такой. Да-да, такой серый, с большой кнопкой спереди. Вот на неё нажми. Что, что-то начало писать на телевизоре? Погас и загорелся синим фоном? Все нормально, ждём. Так, что-то написано? Что, не можешь прочитать? Возьми клавиатуру. Да, это та, что с кучей кнопочек. Нажми одновременно Ctrl+Alt+Del. Что, не можешь найти? Ну, контрол — там на кнопочке написано слово, первая буква, как наша С; альт — там на кнопке три буквы, первая, как наша А; делит — там тоже слово написано, первая буква, как наша Д письменная. Так, что-то написала? Там сверху написано Administrator, а ниже мигает такая палочка? Да, всё нормально. Набираем пароль. … Что, не знаешь английских букв?»

Вот тут, без клавиатуры под рукой, я бы сдался. Но наша секретарша оказалась на высоте. «Так, смотри на кнопки телефона. Видишь там буковки около цифр? Хорошо. Найди на клавиатуре букву, такую же, что на кнопке 3, вторая по счёту. Так, шифт… Ну да, слева на клавиатуре такая кнопочка со стрелкой вверх и словом на буковку, что на цифре 5 третья. Теперь нажми на энтер — да, такая изогнутая большая кнопка».

Пароль был введён, работа конторы продолжилась успешно. На месте админа я бы этой секретарше памятник поставил, а за находчивость и ещё один не пожалел бы. Всем бы админам таких пользователей, как эта секретарша, но, увы, их слишком мало.

Работаю эникейщиком по вызову. Приезжаю к очередному клиенту. Он унылый сидит, говорит:

— Мне тут расхвалили OpenBSD, говорят, она очень безопасная. А я поставил, проверил — такая же, как и все остальные. Никакой безопасности!
— Как проверял?
— Сейчас покажу.

Включает комп с OpenBSD, заходит на Gmail и при мне создаёт новый почтовый ящик. Подтверждает через SMS, как положено.

— А теперь гляди.

Берёт телефон, заходит на Gmail с него, вводит логин с паролем от свежесозданного ящика.

— Видишь, и с телефона зашёл! А говорят — безопасная, безопасная…

За несколько месяцев до появления Висты, когда ещё очень многие верили, что следующая винда будет лучше, быстрее и красивее, я присутствовал на семинаре, где о своей крутости рассказывали мэтры IT-рынка, в частности, представители антивируса на букву «К». Антивирусники рассказывали в том числе о том, что у них очень крутой файрвол, в доказательство приводя табличку с количеством отражённых атак, где их продукт отбил даже больше, чем известный специализированный продукт на букву «O».

Последней строкой в табличке была строка «Брандмауэр Windows» и цифра 0. Представитель компании тогда сказал: «Тут после нас будут коллеги из Microsoft будут рассказывать про свою новую, быструю и безопасную операционную систему, поэтому давайте оставим этот пункт без комментариев».