Исчерпывающий гид по хакерству: по обе стороны баррикад

Главный герой фильма "Матрица" — Томас Андерсен — днем казался добропорядочным гражданином, а ночью взламывал сети под ником "Нео". Пожалуй, такой стереотипный образ хакера сложился в популярной культуре: хакер — это талантливый программист, который борется с неидеальной системой, совершая дерзкие преступления.

В реальности все менее драматично. Есть черные хакеры — киберпреступники, ворующие чужую интеллектуальную собственность. И есть белые хакеры — специалисты в сфере кибербезопасности, которые вполне легально работают на благо бизнеса и пользователей, получая "белую" зарплату.

Хакерство: терминология

Хакерство — это несанкционированное вторжение в компьютер или сеть. А еще это любой "взлом системы". Например, growth hacker ("хакер роста") — специалист, который находит нестандартные подходы к маркетингу, разработке продукта, развитию команды, стратегиям продаж.

В арсенале "компьютерных" хакеров — подбор паролей, перехват данных, получение доступа к веб-камере устройства, запоминание всех вводимых при помощи клавиатуры символов, кража файлов, внедрение вредоносного ПО и другие механизмы взлома.

Хакеры могут получить доступ к информации на устройстве удаленно или же взломать пароль на украденном или утерянном устройстве. Например, в 2012 году в NASA заявили, что сотрудники агентства потеряли несколько рабочих ноутбуков с важной незашифрованной информацией (часть кода для управления Международной космической станцией). Поэтому обеспечить секьюрность гаджетов, которые хранят личную или коммерческую информацию — критически важно.

"Чтобы защитить персональную информацию на телефоне или планшете, советую хранить ее в запароленных папках. Большинство современных смартфонов имеют такую функцию, но если ее нет, можно воспользоваться приложениями типа Best Secret Folder или Secret Calculator. Защитить телефон от разблокировки поможет надежный пароль или настройка доступа по отпечатку пальца.

Чтобы не потерять контроль над утерянным девайсом, установите приложение для отслеживания геолокации и удаленного управления. Есть бесплатные варианты вроде Find My iPhone (Apple) или Find My Mobile (Samsung), которые предустановлены на устройствах, а есть платные, с более широким функционалом. Например, приложение mySafety для телефона работает даже при отключенном интернете", — рекомендует Сергей Власко, СЕО компании по защите личных вещей "mySafety Украина".

Самые известные хакеры в истории

Технологические журналы и комьюнити хакеров составляют многочисленные рейтинги самых известных взломщиков. Имена в таких списках меняются от издания к изданию, но некоторые хакеры почти всегда занимают место в топе.

Кевин Митник

Он удостоился звания самого разыскиваемого компьютерного преступника в истории США "по версии" Министерства юстиции Соединенных Штатов. История Кевина настолько нетривиальна, что легла в основу сценария фильма TakeDown (в русскоязычном прокате — "Взлом").

Митник отбыл годовое заключение в тюрьме после взлома сети Digital Equipment Corporation, после чего был освобожден под надзор на 3 года. Под конец срока надзора он сбежал и был замечен при взломе системы предупреждения национальной обороны Америки. В конечном итоге Митника поймали и дали 5 лет лишения свободы. После выхода из тюрьмы экс-хакер стал популярным спикером на конференциях, посвященных компьютерной безопасности, и основал свой бизнес — Mitnick Security Consulting.

Джонатан Джеймс

Трагическая история хакера под ником c0mrade еще раз показывает, что черное хакерство — разрушительно для всех участников взлома. Еще подростком Джонатан начал взламывать коммерческие и правительственные сети, например, сеть NASA. Юный хакер скачал несколько файлов, включая исходный код Международной орбитальной станции. В наказание за это Джеймс был отправлен за решетку в возрасте 16 лет. После выхода на свободу в 2007 году он вновь попал под подозрение во взломе нескольких сетей крупных частных компаний. Однако Джеймс отрицал свою причастность к этим преступлениям.

По официальным сведениям, Джонатан Джеймс покончил с собой 18 мая 2008 года, полагая, что вновь попадет за решетку в наказание за преступления, которые, по его словам, он не совершал. По другой версии, самоубийство — фальсификация, а на самом деле Джеймс был убит государственными структурами.

Кевин Поульсен

Хакер под никнеймом Dark Dante (Темный Данте) славился своими умениями взламывать и прослушивать телефонные сети. Однажды ради забавы он хакнул телефонную сеть радиостанции и объявил себя победителем конкурса, который получит в качестве приза новенький Porsche.

После взлома федеральных систем и кражи информации о прослушках Поульсен попал в розыск ФБР. Кевин был приговорен к 51 месяцу тюремного заключения и штрафу. После освобождения из тюрьмы в 1995 году бывший хакер перешел на светлую сторону силы: он стал главным редактором журнала Wired, а в 2006 году даже помог правоохранительным органам выявить 744 сексуальных преступника в соцсети MySpace.

" Есть две основные причины, почему многие хакеры становятся черными. Первая — больше денег. Как blackhat вы можете продавать все: доступ к веб-сайтам (shell, rdp, cpanel и т. д.), уязвимости и эксплойты, базы данных сайтов, информацию о банковских счетах и так далее. Несмотря на то, что белые хакеры могут получить доступ к тем же данным, мы рассматриваем это как грязный рынок и грязные деньги, потому что blackhats занимаются кражей. Вторая причина — больше свободы. Черные хакеры склонны думать, что они круче белых: никто не знает их реальной личности; они не ограничены областью действия или политикой программы; получив доступ к системам или сетям, они сохраняют его до тех пор, пока не извлекут максимальную выгоду.

Я рассказал о "клевой" стороне черного хакерства, но есть и обратная сторона.

Как черный хакер, вы не можете публиковать какие-либо записи, выступать на публичных конференциях и иметь резюме, чтобы упомянуть достижения. Будучи белым хакером, вы можете сообщить [о найденной уязвимости] на веб-сайт и получить деньги в соответствии с их программой бонусов.

Вы также можете получить CVE-номер и иметь внушительное резюме со ссылкой на ваши успехи. Возможно, это поможет найти работу в высокотехнологичной компании. Если вы хотите работать в Google, вас обязательно спросят об опыте работы. Как черный хакер, вы не можете упоминать ни один референс, иначе окажетесь в тюрьме. Как белый хакер, вы можете опубликовать свое исследование, стать спикером на конференциях или звездой ток-шоу", — говорит этичный хакер и старший консультант Deloitte Ибрагим Хегази.

Он отмечает, что благодаря белому хакерству можно даже стать миллионером.

Благодаря публикациям Марку предложили работу в Oath — компании, которая владеет Yahoo, AOL, TechCrunch и другими брендами.

"Вы можете последовать примеру Марка, участвуя в баг-баунти программах Google, Facebook, Twitter, Uber и других компаний. Google платит $7500 за простую уязвимость XSS. Еще вы можете присоединяться к платформам с бонусами, таким как Hackerone.com, Bugcrowed.com, Synack.com, Hackenproof.com, и начать зарабатывать деньги", — рекомендует Хегази.

Светлая сторона силы

Может показаться, что хакерство — однозначное зло. На самом же деле, умение обходить компьютерную защиту — это только навык, который можно использовать и в благих намерениях.

Белые хакеры — профессионалы в области кибербезопасности, которые обладают тем же набором знаний и умений, что и хакеры-злоумышленники, но, в отличие от последних, используют их, чтобы искать уязвимости компьютерных систем и помогать в их отладке.

Полученную в ходе "ответственного взлома" информацию они передают отделу безопасности, чтобы устранить лазейки, которыми могли бы воспользоваться взломщики-злоумышленники. Белых (или этичных) хакеров также называют "хакерами в белых шляпах" (white hat hackers). Судя по всему, такая аналогия происходит из фильмов о Диком Западе, в которых хорошие парни носили белые шляпы, а плохие парни одевались в черное.

Сегодня белые хакеры стали самым сильным оружием в борьбе с киберпреступниками. Ведь они знают, как проникнуть в безопасность онлайн-инфраструктуры, и используют те же уязвимости, что и "хакеры в черных шляпах". Этичные хакеры — неотъемлемой часть сообщества кибербезопасности.

Как зарабатывают белые хакеры

Черные хакеры обычно зарабатывают на кражах, мошенничестве и вымогательствах. Этичные хакеры используют свои навыки, чтобы оказывать услуги подразделениям безопасности крупных организаций. Они знают, как работают злоумышленники, что помогает предотвратить атаки.

Другой способ, с помощью которого этические хакеры могут заработать себе на жизнь, — участие в легальном поиске уязвимостей во время "bug bounty".

Так "хакеры в белых шляпах" получают значительные суммы, а бизнес устраняет уязвимость, прежде чем ею воспользуются киберпреступники.

Но организация собственной bug-bounty-программы — это довольно сложно. Чтобы сэкономить ресурсы, компании часто прибегаю к помощи специальных bug-bounty-платформ.

"За несколько лет работы в кибербезопасности я не видел ни одной компании, у которой не было бы уязвимостей. Это могут быть ошибки в собственном коде, уязвимости в ПО сторонних разработчиков, которое использует компания, или ошибки в бизнес-логике. И когда руководство понимает эти риски — это признак зрелости компании.

Чтобы защитить свои продукты и клиентов, нужно найти и устранить баги раньше, чем о них узнают черные хакеры. Для этого стоит привлечь на свою сторону белых хакеров: либо нанять собственный отдел security researchers (самый дорогой вариант), либо через bug bounty программы или платформы.

Bug bounty переводится как "охота на баги": вы назначаете вознаграждение за каждую найденную уязвимость, регламентируете процесс и получаете от белых хакеров помощь в поиске ошибок. Собственные bug bounty программы по силам только компаниям-гигантам, но вот платформы вроде HackenProof доступны почти всем. Их преимущество в том, что вам не придется тратить много ресурсов на организацию процесса, поиск этичных хакеров и другие рутинные моменты. Сотни надежных специалистов со всего мира уже есть на платформе", — объясняет CEO компании в сфере кибербезопасности Hacken Дмитрий Будорин.

Сегодня угроза кибератак — острая как никогда. Поэтому каждой компании и организации, каждому министерству и государственному органу нужно быть начеку, проверить свою безопасность. И этичное хакерство один из лучших способов найти уязвимости в компьютерных системах. Такое сотрудничество помогает бизнесу защитить себя и своих клиентов, а талантливым хакерам дает возможность легального заработка.

Не пропустите самые важные новости и интересную аналитику. Подпишитесь на Delo.ua в Telegram