TIP: Přetáhni ikonu na hlavní panel pro připnutí webu
Ruský hacker, známý jako Bit, měl na prodej jednu cenu - našel chybu ve webovém prohlížeči Internet Explorer (:)), která činila produkt zranitelným - nic nového. Ale on přišel na to, jak této chyby využít. V chatovací místnosti navštěvované autory virů přišel Bit s nabídkou. V inzerátu vyvěšeném 16. července na adrese http://forum.web-hack.ru stálo: "Prodám návod na využití chyby v IE z nulového dne. Cena: 300 dolarů."
Je spousta míst, kde Bit své zboží může propagovat. Web-hack.ru je jen jedna výloha obrovského podzemního obchodu s počítačovou gramotností - s trhlinami v softwaru, jež zákeřní hackeři velice rádi využívají. Bezpečnostní analytikové uvádějí, že organizovaný zločin velmi dobře platí za informace, které mu pomáhají pronikat do podnikových databází a vykrádat osobní údaje lidí. Dat je velké množství. Stovky hackerů jako Bit si vyměňují tipy na již zmíněném portálu na to, jak rozlousknout Windows XP pro operační systém Symbian používaných v milionech mobilních telefonů.
Podplácení?
Nový trend je na počátku. Hrstka firem z oboru počítačové bezpečnosti vytváří zákonné trhy pro tajné informace hackerů a chce kupovat tipy právě od lidí, kteří je trápí. Jsou to diskutabilní trhy, protože hackeři jsou na nich odměňováni za objevování počítačových skulin a nezasvěceným se to jeví jako placení výpalného. Avšak bezpečnostní firmy prohlašují, že toto pojetí volného trhu jim přinese velmi důležité informace, aby mohli posilovat ochranu pro své klienty.
V srpnu spustila bezpečnostní firma TipingPoint svůj trh v oblasti zranitelnosti pod vázvem "iniacitiva nulového dne" (Zero Day Iniative - ZDI). Termín "nulového dne"se týká cíle některých hackerů využít trhlin v softwaru ještě předtím, než výrobce softwaru dostane upozornění, aby je opravil. Jako součást programu bude TippingPoint nabízet hackerům obdobu bonusů, jaké nabízejí aerolinie zákazníkům, kteří s nimi často létají. Opakovanými příspěvky je možné nastřádat body až do hodnoty 20 tisíc dolarů. "Když informace přijdou od někoho, kdo by jinak prodal na černém trhu, bude to vynikající," říká Marc Willebeek-LeMair, technický ředitel společnosti 3com, která firmu TippingPoint vlastní, "Taková je cesta do budoucnosti."
Všechno je to součástí nového úsilí technologického průmyslu poprat se s hackery. Prostředky technologické obrany samy o sobě nemůžou zastavit rostoucí příval počítačových virů, průniků a podvodů. Některé technologické společnosti se proto snaží vytvářet styky s hackerským společenstvím. Cílem je zajistit si pomoc odpovědných hackerů známých jako "White Hats" (bílé klobouky neboli "klaďasové") a odrážet útoky zákeřných Black Hats (černých klobouků, neboli "záporňáků") a získat si na svou stranu ty, kteří stojí mezi nimi. "Porozumět lidem, kteří sedí u klávesnice a myši a píší kódy je pro zmírňování jejich útoků důležité." tvrdí Daniel J. Larkin, šéf centra FBI pro stížnosti na internetovou kriminalitu.
Důležitost styků s hackery se výrazně ukázala nedávno u Microsoftu. Z důvodu monopolu Windows a historie zastrašování soupeřů je tento obr oblíbeným terčem hackerů a dlouho se na ně díval s opovržením. Teď se však firma aktivně uchází o přízeň jejich společenství. Microsoft uspořádal večírek v pompézním nočním klubem Pure v hotelovém komplexu Caesars Palace a otevřel bar pro více než 450 badatelů z oboru bezpečnosti a sólových hackerů. "Jedna možnost je chovat se příkře. Jiná je uznat, že tito lidé jsou zažraní do bezpečnosti," konstantuje Kevin Kean, ředitel Microsoft pro bezpečností odezvu, "Večírek je upřímným pokusem o to, abychom si tuto komunitu získali."
Čarovná odezva
To je jen jedna část čarovné ofenzivy od Microsoftu. Firma z washingtonského Redmondu hostila dvoudenní "summit modrých klobouků" (v názvu akce se odráží modrý emblém Microsotu). Setkání umožnilo hackerům, aby si kamarádsky popovídali s vysoce postavenými vedoucími pracovníky, jako je šéf skupiny Windows, James E. Allchin. Další summit se má konat tento měsíc.
Zdá se, že taktika společností z oboru si získává přízeň některých adresátů. Dan Kaminsky, šestadvacetiletý samozvaný hacker, který ze svého domova v Seattlu řídí vlastní bezpečnostní firmu DoxPara Research, uvádí, že bylo typické, že takové společnosti jako Microsoft se jemu a jeho hackerským přátelům vyhýbaly. V březnu byl však vyzván, aby promluvili na "summitu modrých klobouků". V současnosti je zaujatý "iniacitivou nulového dne". Říká, že hackerské společenství je plné naděje, že ZDI uloví některé z nejnebezpečnějších kódů v temných zákoutích sítě. Nejlepší cestou, jak se vypořádat s bezpečnostním problémem, je podle Kaminského zjistit, jak se zapisuje: "Musíte dostat vývojáře dovnitř hradeb."
Program je sestaven tak, aby vypadal jako program aerolinií pro pasažéry, kteří s nimi často létají. Existují čtyři stupně výhod: bronzový, stříbrný, zlatý a platinový. Kromě bonusu 20 tisíc dolarů mohou hackeři na platinovém stupni získat trojnásobný počet bodů za každou novou trhlinu, kterou v tom roce objeví. Úvodního večírku ZDI se zúčastnilo 750 lidí. První doklady naznačují, že takové trhy mohou přinášet plody. Bezpečnostní firma iDEFENSE z virginského Restonu, která v roce 2002 razila cestu placení za tipy na mezery v bezpečnosti, uvádí, že 200 hackerů ve 30 zemích zatím odhalilo 1100 bezpečnostních trhlin.
Placení výkupného za tipy přesto dráždí mnoho lidí působících v oboru bezpečnosti. Trápí je to, že by plodem této praxe mohlo být ještě víc zákeřných hackerů chtivých peněz a že by se softwarové slabiny mohly odhalovat rychleji, než jsou technologické firmy schopné odstraňovat.
