Információbiztonság a másik oldalról: hackerek Magyarországon Krasznay Csaba kancellár.hu Kft.
Kik a hackerek? Erre a kérdésre csak elvileg egyszerű válaszolni. A netes világban egyértelműen pozitív megítélésű „csibészek”, a média és hatóságok szemében negatív megítélésű „kiberterroristák”. n Saját szavaimmal: n Olyan szabályokat, határokat el nem fogadó, n jó programozási tudással rendelkező, n tinédzser vagy fiatal felnőtt, n aki jobbító szándékkal vagy a saját maga és társai szórakoztatására n informatikai rendszerekbe hatol be. n Jómagam is csibésznek tartom őket, és élesen elkülöníteném az ilyen fiatalokat a crackerektől, ipari kémektől, stb., akik folyamatosan komoly veszélyt jelentenek az internetezők millióira. n n
A hacker etika n
n n n
n n
A számítógépekhez való hozzáférésnek – és bárminek, ami megtaníthat valamit arról, hogy a világ hogyan működik – korlátlannak és totálisnak kellene lennie. Minden információnak hozzáférhetőnek kellene lennie. Ne bízz a hatóságban – támogasd a decentralizációt! A hackereket az általuk elkövetett tettek alapján kellene megítélni, nem pedig iskolai végzettség, kor, faj, vagy pozíció alapján. Művészetet és szépséget kreálhatsz a számítógépeden. A számítógépek jobbá tehetik az életedet.
Hackerek a médiában Az informatikai bűnözés, a hackerek világának ábrázolása nagyon gyakori hírekben és fikciós világban is. n A hírfogyasztók számára ez még mindig egy eléggé misztikus világ. n Jelentősebb filmek: n Háborús játékok J n Adatrablók J n A rendszer ellensége J n Komputerkémek K n Die Hard 4.0 K n Bízd a hackerre! K n Mátrix L n Kardhal L n A hálózat csapdájában L n
Hackerek (?) a nagyvilágban n
n n n
n
n
A legkomolyabb hacker csoportok Oroszországban, Kínában és Romániában vannak. Ők többnyire a rossz oldalon állnak, rengeteg pusztító támadást intéznek állami és magán rendszerek ellen. Természetesen az USA-ban is tovább él a kultusz, de mióta „terroristaként” kezelik őket, tevékenységük visszaszorult. Egyre kevésbé jellemző, hogy hírnévért tör fel valaki egy rendszert. Előtérbe került az anyagi motiváció, sokan élnek meg abból, hogy tudásukat ipari kémkedésre, vagy botnetek üzemeltetésére használják. Külföldön komoly csábításnak vannak kitéve azok a fiatalok, akikből jó hacker lehetne, mert könnyen bekerülhetnek a szervezett informatikai bűnözésbe!!! Példa erre Kevin Mitnick: A legendás hacker 2. című könyvének 2. fejezete, melynek címe: Amikor terroristának hívnak…
Pénz vagy dicsőség? Nem feltétlenül igaz már az a régi út sem, hogy a kiöregedett hacker alapít egy saját tanácsadó céget, és abból szépen eléldegél. n A mai világban a hacker előtt három út áll: n Megfásult programozó lesz, akiben forr az elégedetlenség, n Belekerül a szervezett alvilágba, ahonnan nem nagyon van kitörés. n Biztonsági tanácsadó lesz, ami viszont a legtöbb (magyar) hackernek nem adatik meg lehetőség és tudás hiányában. n Mindenkinek a harmadik megoldás lenne a legjobb, ehhez viszont sokkal komolyabb közösségek kellenének. n
Hackerek a szociológus szemével n n n
n n
Magyarországon eddig egyetlen alapos tanulmány készült a hackerek világáról. Flammich Mariann „Hackerek” című tanulmánya 2002-ben jelent meg a Médiakutató című újságban. Annak ellenére, hogy a szerző nem él benne ebben a szubkultúrában, nagyon érdekes és hiánypótló ez a mű. http://www.mediakutato.hu/cikk/2002_03_osz/01_hack erek/01.html További kötelező olvasmány Steven Levy: Hackers című alapműve.
Hackerek a szociológus szemével n
n
A szerző akkori kutatása szerint a magyar hackerek általában n 15-24 év közöttiek; n Középiskolások, főiskolások, egyetemisták; n Értelmiségi szülők gyermekei; n Többnyire Budapesten laknak. Az „igazi” hackerek számát 10-20-ra teszi, a téma iránt érdeklődők száma 200 körüli lehet.
A magyar hacker szubkultúra n n n n n n n n
Flammich Mariann becslése nagyjából helytálló. Jelenleg nem lehet magyar hacker társadalomról beszélni, hiszen nagyon kevesen foglalkoznak életvitelszerűen hackeléssel. A fő gond az, hogy a társaság kevéssé szervezett. Van egy elit klub, akik már Flammich kutatása idején is ezt a csoportot alkották, de ők már 5 évvel idősebbek. Gyakorlatilag nincs utánpótlás, aki érdeklődne a téma iránt, nem találhat olyan fórumot, ahol bekerülhetne ebbe a szubkultúrába. A tehetséges fiatalok nagyon könnyen elkallódnak. Vagy feladják a próbálkozást, vagy rossz kezekbe kerülnek. Amennyiben igaz, hogy rablóból lesz a legjobb pandúr, komoly bajban vagyunk…
A Hacktivity konferencia tapasztalatai
n n n n n
Magyarországon jelenleg egyetlen olyan rendezvény van, ahol a hacker szubkultúra iránt érdeklődők szabadon találkozhatnak. 2007-ben negyedszer rendezték meg a Hacktivity konferenciát. Kb. 300 érdeklődőt vonzott az esemény, akik között vegyesen voltak hackerek és főállású biztonsági szakemberek. Az látszik, hogy mindkét csoport érdeklődik a másik iránt, de gyakorlatilag nincs átjárás közöttük. A Hacktivity szervezői nagyon fontosnak tartják egy olyan fórum létrehozását, ahol a hasonló érdeklődésű emberek megismerhetik egymást.
Biztonsági oktatás a magyar felsőoktatásban n n
n
n
Interjú az origo.hu-n Dr. Kovács Lászlóval: „Két éve a Rendőrtiszti Főiskolán végeztem. Szó sem esett ilyesmiről 3 év alatt! Felső körökben nem tervezik, hogy ezt a témát alapképzés keretében oktassák?” Sajnos az információbiztonsági oktatás ott is rengeteget veszített a megszerzett pozícióiból, ahol érdemben foglalkoztak vele. Az országban három helyen van külön szakirány az információbiztonságnak (BME, BMF, ZMNE), máshol jó, ha egy félévet szánnak ennek a témának.
Eötvös Loránd Tudományegyetem n n n n n n
n n
Korábban: Kincses Zoli security specije Jelenleg: Kovács Attila tárgya, a kancellár.hu Kft. támogatásával. Jövőre: talán egy posztgraduális képzés? Egyébként sehol semmi… Tanulság: lehet, hogy csak én tartom kiemelten fontosnak a területet, az egyetemek vezetése nem? Szóljon mellettem az IVSZ egyik feladata: ICT biztonsági és inf. hadviselés oktatás / képzés feltérképezése, ajánlások kidolgozása, Hirsch Gábor (+ Tarján Gábor + Sík Zoltán) Nem fog sokáig tartani ez a feladatuk… Egyébként az FP7 ICT programján belül a Challenge 1 címe Pervasive and trusted network and service infrastructures…
Jó az, ha minél több hackerünk van? n n n
n n n n
n
A válaszom határozottan: IGEN! Az informatikai rendszerek a hétköznapjaink részévé váltak. Minden fontos információ megszerezhető a vállalati vagy állami információs rendszerekből, amiket ezért folyamatosan támadnak, és támadni is fognak. Szakemberek kellenek, akik tudják, hogyan lehet megvédeni a rendszereket. Hiszem, hogy a rablóból lesz a legjobb pandúr. Viszont a mi rablóink a mi felsőoktatásunkban nagyon kicsi eséllyel juthatnak el oda, hogy pandúrokká válhassanak. Akik pedig hivatásos pandúroknak tanulnak, nagyon kicsi eséllyel tanulhatnak meg bármit is azokból a támadásokból, amiket ki kell védeniük. Egy adat: jelenleg 20-30 IT biztonsági állásra várnak jelentkezőket…
Magyar hackerek a nagyvilágban n n n n
Láthattuk, hogy Magyarországon nincs hacker társadalom. Ennek megfelelően nincs olyan underground szakmai élet, tevékenység, amire a (szak)sajtó felkapná a fejét. Nagyon kevés olyan esetet tudnék felhozni, ami miatt Magyarország bekerült az IT biztonsági hírek közé. Jöjjön néhány eset!
A török deface támadás n n n
n
n
Magyarországot is többször elérte a török támadócsoportok deface hulláma. 2003, 2006 és 2007 is hozott jónéhány feltört magyar oldalt. Ezek a valószínűleg automatikus, portálmotorok gyengeségét kihasználó támadások inkább kellemetlenek és látványosak, mint veszélyesek. Felhívják azonban a figyelmet arra, hogy mennyire alacsony szinten van a magyar domének alatti szerverek biztonsági szintje. Jellemző, hogy nem volt visszavágó ezért a támadásért, pedig ez nem ritka.
Az Ericsson-hack n
n n
n
n
Richter Csabát 3 év börtönre ítélték 2005-ben azért, mert feltörte az Ericsson informatikai rendszerét, és az onnan ellopott információkat pénzért akarta eladni a cégnek. A svéd titkosszolgálat tartóztatta le, mert annyira bizalmas adatokhoz fért hozzá, hogy Saját bevallása szerint hozzáfért telefon-szoftverek forráskódjához, radar förmverekhez, a Gripenek radarrendszerének rajzához, valamint adminisztrátori jogosultságot szerzett több rendszerben. Idézet az önéletrajzából: „BME - Budapest University of Technology: Some courses completed. Not finished because of lack of interest and low quality of the courses” Ő úgy érzi, hogy példát statuáltak vele, ezért most nem talál munkát, a múltja, a neve üldözi őt.
A Zafi vírus n n n n n
2004. áprilisában söpört végig Magyarországon, azután Európában is a Zafi névre keresztelt vírus. Hosszú hónapokig a legfertőzőbb kártevők között volt. Nevét erősen politikai töltetű tartalma miatt a Hazafi szóból kapta. A vírus törzse szerint a pécsi SNAF Team készítette a kódot. Én konkrétan egy igen ismert magyar bloggerre gyanakszom…
Összefoglalás n n n n
n n
A világ, így Magyarország informatikai rendszereit folyamatosan támadások érik, de ezek döntően nem Magyarországról jönnek. Az igazi, szó szerint vett hackerek jót tennének országunk informatikai piacának és biztonságának is. Nagyon meg kéne becsülnünk azokat a fiatalokat, akik ennyi energiát fektetnek bele a rendszerek megismerésébe. A felsőoktatásnak mindent meg kéne tennie annak érdekében, hogy a lehető legtöbbet tanulják az egyetemeken, amit aztán az üzleti életben hasznosítani tudnak. A legfontosabb azonban az, hogy meg kell ismerni őket, a nyelvüket, a gondolkodásukat. Egyébként nem jutunk tovább a jelenlegi frusztrált, kiaknázatlan embereknél, és nehezen védhetjük meg magunkat a külső támadásoktól…
Köszönöm szépen!
[email protected] Cégünk honlapja: www.kancellar.hu Saját honlapom: www.krasznay.hu
