что может делать хакер
Этичный хакинг: как взламывать системы и при этом зарабатывать легально
Кто такой хакер? Большинство людей, которые далеки от программирования, представляют перед собой злостного преступника, взламывающего системы безопасности банков, чтобы украсть деньги. Что-то вроде героя Хью Джекмана из фильма «Пароль —“Рыба-меч”», который взламывает шифр Вернама, чтобы украсть из правительственного фонда 9,5 млрд. долларов.
Хакером можно быть и легально. Таких специалистов называют пентестеры, или «этичные хакеры». Вот только нужно хорошо знать, что можно делать во время тестирования системы на проникновение, а что — нельзя. Иначе можно получить вполне реальные проблемы с законом. Совсем недавно мы запустили курс «Этичный хакер», и в этой статье мы поговорим, как заниматься хакингом, зарабатывать на этом неплохие деньги и при этом не иметь проблем с законом. Поехали.
Что грозит хакеру по закону РФ
Для начала поговорим о проблемах, которые могут свалиться на хакера. Практически все правонарушения, связанные со взломом систем и получения доступа к ним, касаются трех законов:
Согласно ст. 13. КоАП РФ (Административные правонарушения в области связи и информации), за разглашение информации с ограниченным доступом, нарушение порядка хранения, использования и распространения персональных данных может грозить штраф от 300 до 20 000 рублей. Это для физических лиц. Для юридических лиц размер штрафа гораздо больше.
В основном она касается людей, которые имеют доступ к подобной информации, и организаций, которые собирают персональные данные клиентов.
К примеру, интернет-магазин собирает клиентскую базу с именами, номерами телефонов и email-ами. А ушлый менеджер решает собрать базу и скопировать ее для дальнейшей продажи на сторону.
Если подобное действие не стало причиной серьезного ущерба, а на менеджера не поступило жалоб в правоохранительные органы, то правонарушение может быть квалифицировано по ст. 13.11 п. 8 КоАП РФ. Наказание за него — штраф в размере от 30 000 до 60 000 рублей.
Что касается уголовного законодательства, то хакеру-злоумышленнику в большинстве случаев грозят следующие статьи УК РФ:
Небольшое отступление. Пентестеры также используют сторонние программы для взлома систем безопасности и получения доступа к закрытой информации. Легальных программ для взлома не существует, поэтому компания, которая заказывает пентестинг, должна в письменной форме дать добровольное согласие на использование сторонних программ. Также пентестеры обычно подписывают соглашение о неразглашении сведений, полученных в ходе атак.
Пентестер: отличия от хакера
Пентестер — это хакер, который работает полностью легально и в рамках закона. Суть его работы — поиск уязвимостей в системах безопасности.
Но есть несколько серьезных отличий:
Пентестер работает исключительно по программам Bug Bounty или после заключения контракта с компанией. Из-за того, что сам процесс пентестинга связан со взломом защиты, процедура очень формализованная.
Нельзя просто найти уязвимость в системе защиты и указать на нее владельцу. Потому что за это можно получить вполне реальное обвинение.
В 2017 году 18-летний хакер нашел уязвимость в системе безопасности венгерской транспортной компании BKK. Баг был простой — с помощью инструментов для разработчика в браузере парень изменил исходный код страницы, вписав свою цену на билет (20 центов вместо 30 евро). Валидация цены не проводилась ни на сервере, ни на стороне клиента, поэтому хакер смог купить билет за эту цену.
После этого он обратился к представителям компании, раскрыв всю информацию об уязвимости. Но получил не благодарность, а уголовное дело. Транспортная компания «обиделась» и подала на него в суд. Парня арестовали.
История закончилась хорошо. Она получила большой резонанс в СМИ, пользователи просто обрушили рейтинг компании в Facebook. А с учетом того, что компания якобы тратила свыше миллиона долларов на защиту данных каждый год, обнаружение такого глупого бага, которым мог воспользоваться любой человек, просто уничтожило ее репутацию.
У парня были благородные намерения — он хотел указать на дыру в системе продаж билетов, наглядно продемонстрировав ее. Но при этом его действия все равно можно квалифицировать как взлом системы безопасности. А это уголовное дело.
Формально компания была полностью права, выдвигая ему обвинения. Какими бы ни были намерения парня, он нарушил закон. И от реального срока его спас только общественный резонанс.
Bug Bounty: как участвовать правильно
Большинство крупных компаний ведут Bug Bounty — специальные программы, в которой компании-разработчики ПО или сайтов предлагают вознаграждение за найденные уязвимости. Компаниям выгоднее платить за найденные ошибки, чем разбираться с последствиями, к которым могут привести эксплойты и уязвимости.
Большинство таких программ размещены на сайтах HackerOne и BugCrowd.
К примеру, вот программы Bug Bounty от Google API, Nginx, PayPal, GitHub, Valve. Средний размер премии за каждый найденный баг в этих программах — 1000 долларов. Есть огромное количество компаний поменьше, которые предлагают 50-100 долларов за ошибку.
Даже Пентагон запускал Bug Bounty! Это же просто мечта для хакера — взломать систему защиты Пентагона, да еще и получить деньги за это от правительства США.
Но даже опубликованная Bug Bounty не означает, что можно ломать и искать дырки где попало. В описании программы владельцы прописывают, какие именно уязвимости будут рассматриваться.
К примеру, Uber дает очень подробное объяснение, что входит в их программу Bug Bounty, а что — нет.
Компания хочет найти уязвимости в системах доступа и хранения данных, возможностей фишинга, оплаты и счетов, несанкционированных действий со стороны пользователя и сотрудников компании. Но в программу не входят общие баги приложения, отчеты о мошенничестве, баги в работе с соцсетями и email-рассылкой.
Впрочем, с чувством юмора у них все нормально. Потому что среди неоплаченных действий есть и следующее:
Entering the Uber offices, throwing crisps everywhere, unleashing a bunch of hungry raccoons, and hijacking an abandoned terminal on an unlocked workstation while staff are distracted
Входить в офис Uber, разбрасывая везде чипсы, выпуская кучу голодных енотов и захват свободного терминала или рабочего места, пока сотрудники сбиты с толку.
Чем подробнее описана Bug bounty, тем проще пентестеру понять, что можно «пробовать на зуб», а чего делать не стоит.
При этом есть общие правила, которые нарушать нельзя. К примеру, при обнаружении уязвимостей в базах данных пользователей нельзя пытаться скачать какие-либо личные данные. Даже при участии в программе это может быть расценено как нарушение закона. Потому что здесь нарушаются права именно пользователей, к которым Bug bounty не имеет никакого отношения.
Российский рынок пентестинга тоже активно развивается. На нем уже есть ряд крупных игроков, которые работают с большими корпорациями. К примеру, Digital Security, НТЦ «Вулкан», Group-IB, BI.ZONE, «Лаборатория Касперского». Но конкуренция на рынке еще довольно невысокая, так что можно вполне комфортно работать и индивидуально.
Некоторые крупные компании вроде «Газпрома» или банковских организаций создают отдельные внутренние подразделения пентестеров, чтобы не раскрывать конфиденциальные данные сторонним организациям.
Поэтому для пентестера есть несколько возможностей:
Чтобы подстраховаться от нечестных компаний, рекомендуем работать через сайты HackerOne и BugCrowd. Просто зарегистрируйтесь и подавайте заявки с обнаруженными багами через них.
Единственное правило — очень детально читать описание программы. Если компания пишет, что платит за уязвимости баз данных, то искать нужно только там. Даже если вы найдете баг где-нибудь еще, то за него не заплатят. Даже наоборот — могут начаться проблемы.
Уэсли Вайнберг в 2015 году нашел одну из самых серьезных брешей в защите Instagram. В ходе пентестинга он обнаружил Ruby-уязвимость, которая позволила ему запустить удаленное воспроизведение произвольного кода.
Это позволило ему прочитать файлы конфигурации, которые содержали доступы к базе PostgreSQL. Там были 60 аккаунтов сотрудников Instagram и Facebook. Как утверждает Вайнберг, взломать их не составило труда — большинство паролей были крайне слабыми — вроде «password» или «instagram».
Далее он получил доступ к нескольким ключам Amazon Web Services, которые ассоциировались с 82 бакетами S3. И в этих бакетах было настоящее сокровище для хакера: исходные коды Instagram, SSL-сертификаты, API-ключи, данные email-сервера, ключи подписей для приложений iOS и Android. Можно сказать, что пентестер получил полный доступ ко всем секретным материалам Instagram.
Он честно сообщил об этой находке представителям Facebook. За один баг ему действительно выплатили 2500 долларов. Но также он получил обвинение в несанкционированном доступе к аккаунтам сотрудников, бан в программе Bug bounty от Facebook и угрозу уголовного преследования. Хотя уголовное дело не было возбуждено, нервы пентестеру потрепали изрядно.
Так что следование прописанным пунктам Bug bounty — это просто обязательно. Иначе можно получить не премию, а обвинение.
Что должен уметь пентестер
Пентестер — это одновременно «универсальный солдат» и узконаправленный специалист. Ему нужно обладать широкими знаниями во многих отраслях программирования и при этом глубокими навыками в одной или нескольких сферах.
В целом считается, что Junior-пентестер должен обладать следующими знаниями:
Также нужно научиться использовать программы для пентестинга вроде BurpSuite, SqlMap, Nmap, IP Tools и Acunetix.
Собственно, именно поэтому в пентестинг рекомендуют идти тем специалистам, у которых уже есть определенный бэкграунд в разработке или тестировании. Потому что даже для уровня Junior количество необходимых знаний просто огромно.
Где учиться на пентестера
И напоследок мы собрали несколько популярных ресурсов, на которых можно получить всю необходимую информацию для профессии пентестера:
Если вы хотите стать пентестером — путь открыт. Но вот стать хорошим пентестером, который зарабатывает десятки тысяч долларов в месяц, намного сложнее. Это уже больше похоже на искусство, а не на ремесло. Готовы к такому? Тогда вперед!
А промокод HABR даст вам получить дополнительные 10% к скидке указанной на баннере.
Интервью хакера: «Взломать можно кого угодно»
Хакеры условно делятся на «белых» и «черных»: первые легально проверяют ИТ-системы, а вторые вламываются в них для кражи информации. О жизни «белого» хакера Forbes рассказала Пола Янушкевич, создавшая свою компанию по информационной безопасности CQURE.
Как вы живете? Приходите в офис каждый день и работаете до вечера? Или вы можете выбирать время и место для работы?
Я бы хотела выбирать место для работы, но не могу. Технически это возможно, но моя роль в компании требует присутствия на территории заказчиков. Поэтому я всегда в поездках, посещаю разные страны. Чтобы провести внутренний пентест, приходится приезжать к заказчикам. Внешний можно проводить хоть на пляже.
Как вы проводите пентесты (тест защищенности ИТ-систем от несанкционированных проникновений)? Вы выбираете подходящее время для кибератаки? Или вы можете тестировать компании в любое время и в любом месте, и тестирование — исключительно технический вопрос?
В итоге все сводится к технике, но есть нюансы. Например, если клиент не работает ночью, лучше провести тест в это время. Когда мы делаем [дневные] пентесты для компаний из США, то можем работать всю их ночь, находясь в Европе, и это нормально. Но, как правило, предпочитаем обычный рабочий день — так проще и все счастливы. Нам не нравится работать всю ночь, но такое случается.
Часто мы тестируем копию сайта или сервиса. Например, недавно мы делали пентест пользовательских приложений для одного банка. Пришлось работать с копией системы, потому что на сайте был огромный трафик. А если при выполнении теста возникнут проблемы, это негативно повлияет на имидж банка.
У вас есть заказчики, которые просят делать настоящие пентесты в режиме реального времени?
Да, разумеется. Иногда мы делаем это в обычный рабочий день. Они предупреждены об этом, они находятся «в режиме ожидания». Если что-то случается, они сразу на связи, они ждут от нас звонка, чтобы разобраться с ситуацией. Однажды при тестировании в реальном времени мы «уронили» сайт, потому что сервис не мог справиться с таким количеством запросов. Между прочим, это была одна из компаний, сотрудничающих с российскими предприятиями нефтяной отрасли. Это шокировало заказчика, они целый день разбирались, как такое могло случиться. Все может произойти, но у нас нет цели «сломать» сайт, наша задача — показать слабые точки для атаки.
В любом случае, нужно проводить оба теста, внутренний и внешний?
Зависит от обстоятельств. Некоторые заказчики не хотят делать тест на проникновение изнутри компании: «Нет, нет, потому что, когда вы будете это делать, вы можете нас взломать». И мы думаем: «Бог мой, и зачем тогда делать пентест?» В таких случаях делаем только внешний тест. Лично мне не кажется это правильным: почему бы не сделать внутренний тест, если делаем внешний? Мы стараемся объяснить, но…
Как стать хакером
Вы начинали с хакерства или всегда были инженером информационной безопасности (ИБ)? Как правильно назвать вашу сферу?
Делала ли я что-то незаконное? Да, но было ли это правонарушением, если никто об этом не знает? А может, ничего такого вообще не было.
Когда у вас появился интерес к этой профессии?
Я всегда работала в сфере безопасности. В технологии я погружалась постепенно. Отвечала за безопасность школьной сети. Тогда мне было 17, я не очень в этом разбиралась, но очень хотела заниматься ИБ. Я искала свой путь. Понимаете, в 17 лет сложно понять, что стоит делать, а что — нет. Есть только то, что хочешь делать: это классно, я хочу этим заниматься. Но хорошо ли это для будущего — я не знала.
И мы не знаем, что с нами будет завтра.
Какую первую операционную систему вы взломали? ОК, протестировали на уязвимость.
Их две было — Windows и Linux.
«Windows была первой системой, которую я взломала». Хороший был бы заголовок…
В то время Windows и Linux использовали разные системы безопасности. Это было время «NT4.0» (операционная система Windows, вышедшая в 1996 году — Forbes). Тогда все знали, что, если не изменить определенный параметр, компьютер взломают. Находить уязвимости было проще. Сейчас хакерские атаки научили нас защищаться, поэтому мы сейчас в несколько лучшем положении.
Какая из ОС лучше и безопаснее: Windows, MacOS, Linux?
В итоге важно, что системы значат для бизнеса. Наиболее используемая операционная система — это Windows, мы все это знаем. Для Mac и Linux тоже существуют программы-вымогатели. Просто они по-другому попадают в систему. Разница есть и в доступности решений. Вопрос в том, есть ли компании и сколько их, которые могут обезопасить вашу систему. Не обязательно создавать реальную угрозу информационной безопасности, но проверка защитной инфраструктуры улучшит эту безопасность и минимизирует риск проникновения в ваши системы.
Что скажете об уровне безопасности B2B-систем в мире? Они готовы к кибератакам?
Абсолютно каждый раз, делая пентест, мы проникаем в систему. Давайте я так это скажу. Взломать можно кого угодно, каждый раз у нас получается их взломать.
И это неудивительно. Потому что есть много вещей, о которых им никто не рассказал. Приемлемого обучения для специалистов по безопасности просто не существует. Разумеется, есть некоторые курсы, тренинги и так далее, но даже если вы платите за университет или обучаетесь бесплатно, как-то еще учитесь, то к кибербезопасности нет прямой дороги. К тому же не все могут позволить себе учиться, а как вы можете стать хорошим специалистом в сфере безопасности, если не можете эту учебу оплатить?
Но никто не будет давать вам образование бесплатно, потому что это очень специфические знания. Это такая естественная ниша. Financial Times предсказывает, что к 2019 году в мире будет потребность в 6 млн специалистов по информационной безопасности, но с современными темпами развития, на рынке будет доступно примерно 4 – 5 млн. Так что для ребят, которые будут на рынке, ситуация замечательная. Все в них нуждаются. И будут нуждаться еще больше, но это, конечно, нездоровый рынок. Есть проблема обучения специалистов по безопасности.
Инженер по кибербезопасности — профессия будущего?
Тогда какой наилучший способ получить ее, если университеты не готовят к ней в должной мере? Онлайн-курсы?
Существует множество бесплатных ресурсов, но предпочтительны, конечно, систематизированные знания. В интернете есть много разных курсов. Они стоят недорого. Можно приобрести такой курс и систематизировать свои знания. Но проблема этих курсов в том, что они больше рассказывают о приемах взлома. И это так называемые «дешевые приемы взлома». И к тому же они тренируются на не очень реалистичных средах. На мой взгляд, лучший способ — самостоятельно обучать специалистов. И это, например, то, что делает наша команда.
Мы делаем это, потому что у нас есть нехватка сотрудников. Появляется все больше проектов, и мы их откладываем, откладываем, потому что времени нет. Мы нанимаем людей с хорошим подходом к работе. Этого достаточно, чтобы получать потрясающие результаты. Все остальное приложится. Мы тестируем их в разных направлениях, отправляем их к нашим инженерам, часто берем на наши мастер-классы, а затем опять проводим тесты — они должны развиваться. У таких студентов есть возможность путешествовать. Или, например, когда мы проводим пятидневный мастер-класс, новый сотрудник может стать дополнительным участником.
Хороший вариант для молодых людей — устроиться в компанию вроде нашей. Но в сфере безопасности надо сделать серьезные вложения, чтобы потом предоставлять фантастический сервис. Поэтому оплата может выглядеть по-разному, но она должна быть. Мы обучаем на контрактной основе, с гарантийным взносом. Позднее деньги за обучение вам вернутся, но зато у вас будет возможность в течение 2-3 лет работать в хорошей команде, проходить тренинги, получать полезные инструменты, знания, видеть реальные среды, по возможности помогать команде. В то же время, мы берем залог за обучение. И это единственный возможный вариант, на мой взгляд.
Мы не можем инвестировать в сотрудника, чтобы потом он сказал: «Ладно, спасибо, до свидания». Чтобы удержать человека в компании, обучите его, помогите ему сформировать ценные навыки и сделайте, чтобы он остался. Но это лишь мое мнение.
Кто такой хакер и что он делает
Здравствуйте, уважаемые читатели блога KtoNaNovenkogo.ru. В очередной раз стараюсь рассказать о сложных компьютерных терминах простым языком.
Сегодня поговорим о хакерах: уверен, вы не раз слышали это слово и ассоциировали его с компьютерными гениями, решившими нарушить закон.
А что если я скажу, что изначально этот термин считался уважительным? Если вы всегда хотели поговорить на эту тему и восполнить пробел в знаниях, предлагаю узнать, кто такой хакер и чем он занимается.
Хакер — кто это
Термин происходит от английского слова «to hack», что на русский переводится как «обтесывать, делать зарубы».
В современном понимании хакер — это человек, занимающийся разными видами компьютерного мошенничества: цифровым взломом, выводом из строя оборудования, кражей, подменой, удалением данных.
Чаще всего хакерами движет не спортивный интерес, а возможность быстрого обогащения. Конфиденциальные данные, к которым компьютерный умелец получил доступ, можно выгодно продать заинтересованным в их получении лицам.
К примеру, взломав данные компании А, злодей может выгодно продать их конкуренту и тем самым поможет им вытеснить соперников из бизнеса.
Спросом пользуется и компромат. Хакеры не раз взламывали личные переписки и электронные почтовые ящики звезд шоу-бизнеса, получая доступ к фото и видео интимного характера.
В этом случае обычно действуют так: либо требуют выкуп у жертвы, либо продают информацию желтой прессе.
Всегда ли хакеры были взломщиками
Термин «хакер» появился вместе с первыми компьютерами. В то время так называли гиков, которые могли улучшить работу операционной системы путем создания кода для части ядра.
Им под силу было то, чего не могли многие — например, сбросить пароль администраторской учетной записи. Они находили нестандартный подход к решению сложных задач, за что их уважали в кругах разработчиков.
Спустя время некоторые компьютерные гении стали использовать свои знания в целях быстрого обогащения. Поэтому сегодня под термином «хакер» подразумеваются взломщики, которые нарушают закон своими действиями.
Они стараются найти уязвимости в работе программ, чтобы использовать их для обхода защиты и получения конфиденциальных данных.
Виды хакеров
Как и большинство IT-специалистов, каждый хакер имеет узкую специализацию и не способен взламывать защиту программного обеспечения всеми возможными способами.
Вот несколько наиболее распространенных разновидностей хакеров:
Например, вместо vkontakte.ru мошенники могут использовать схожее по написанию, но отличающееся на одну букву название —vkontahte.ru.
Некоторые вирусы выводят из строя аппаратную часть ПК (это что?), другие — помогают злоумышленникам получить интересующую их информацию, а с помощью третьих у владельцев зараженных устройств вымогаются деньги.
Чем опасны хакеры
По большому счету, хакеры — это умные мошенники, которые используют свои знания с целью обмана доверчивых людей.
Они взламывают:
Кроме огромного ущерба физическим лицам и организациям, хакеры способны стать причиной настоящей катастрофы. Проникнув в систему энергоснабжения, можно оставить весь город без света.
Но если замахнуться на более серьезные вещи вроде получения доступа на управление атомной электростанции, то плачевных последствий не избежать.
Самое интересное в том, что хакеры за свои деяния хотят получать оплату в криптовалюте (это как?), так как такие транзакции (это что?) крайне сложно отследить.
Кто такие белые хакеры
Но не все так плохо, как может казаться. Например, один программист обнаружил уязвимость в системе защиты платежной системы PayPal и… сообщил об этом напрямую в компанию. Понимая, какой ущерб смог предотвратить бдительный айтишник, в PayPal решили поощрить его чеком на 70 000$.
Это пример белого хакера — специалиста, который занимается взломом для повышения безопасности систем защиты.
Если им удается найти уязвимости, они передают эти данные разработчикам и предлагают рекомендации по их устранению. Такие хакеры не занимаются кражей денег, а работают либо на добровольной основе, либо по найму.
А как стать хакером? Для этого нужно долго и упорно учиться, знать иностранные языки, обладать нестандартным мышлением. В университетах этому не учат, так что все тонкости «профессии» придется постигать самому.
В этой статье я постарался простыми словами объяснить, кто такой хакер и что он делает. Надеюсь, что после прочтения статьи у вас не останется вопросов. В любом случае вы можете спуститься в комментарии и вступить в дискуссию с другими читателями блога KtoNaNovenkogo.ru.
Не забудьте посмотреть видео по теме:
Удачи вам! До скорых встреч на страницах блога KtoNaNovenkogo.ru
Эта статья относится к рубрикам:
Комментарии и отзывы (3)
Не знаю, может ли хакер взять под контроль системы атомной станции, вряд ли управление реактором имеет доступ в интернет. Ну а в сети напороться на этих деятелей ничего не стоит, особенно что касается фишинга, наверно это самый простой способ, который позволяет без особых усилий заполучить логин с паролем.
Ещё нельзя при регистрации на разных ресурсах использовать одни и те же логин с паролем, ведь администраторы этих ресурсов имеют к ним прямой доступ и им ничего не стоит попробовать ввести эти данные в почтовые сервисы или социальные сети, где вы можете быть зарегистрированы.
Конечно, к хакерам отношусь отрицательно, но надо отдать должное их смелости и умению взламывать сайты компаний, которые, казалось бы, просто невозможно взломать.
Ну, правильно, элемент романтизма тут имеется. Не даром же существует журнал Хакер, который весьма популярен у людей близких к программированию.