– Mit csinál a hacker a börtönben?
– Letölti a büntetését.

Lázár Marcellnek, alias Guccifernek 52 hónap áll majd rendelkezésére, hogy elgondolkodjon, miként is indítsa újra életét, ha kiengedik az amerikai börtönből. A hírhedt román hackert, aki 2012 és 2014 között számos befolyásos amerikai politikusnak törte föl a számítógépét – így ismerte meg a világ George W. Bush naiv festészetét, Colin Powell egykori külügyér hűtlenségét, valamint Bill és Hillary Clinton kétes levelezését –, a héten ítélték több mint 4 év szabadságvesztésre. Éppen most, amikor Guccifer 2.0 néven a demokraták szerverét feltörő, és kampánylevelezésüket a WikiLeaks által július 22-én nyilvánosságra hozó, szintén román hacker ellen folyik a nagyerejű hajsza. Az amerikaiak leginkább az orosz titkosszolgálatot tekintik esetében elkövetőnek, amely a gyanú szerint a korábbi esetből kreált magának fedősztorit, illetve személyiséget. Ezt sejteti például, hogy a hatóságokkal levelező hacker töri román anyanyelvét. Guccifer 2.0 persze tagad, a héten a The Wall Street Journalnak küldött üzenetében nevetségesnek tartotta az orosz kapcsolatot, valamint az igazság kiderítését, „a fény elhozását” jelölte meg tette mozgatórugójaként, nem pedig Donald Trump helyzetbe hozását.

Öt perc

Ennyi időre lenne szüksége egy hackernek, hogy egy átlag felhasználó számítógépét feltörje. Legalábbis akkor, ha előzetes tájékozódás alapján rendelkezésére állnak bizonyos információk, úgymint: a számítógép fajtája, a rajta futó szoftverek milyensége, hogy hol található pontosan a feltörni kívánt egység, illetve milyen módszerrel hatolhat be a programjaiba. Még ha napra készen letölti is a frissítéseket az ember és nagyon erős jelszavakat használ a levelezési vagy az általa látogatott közösségi oldalakon – nos, akkor is gyerekjáték feltörni a gépét, csak kicsivel több időbe telik – vázolja a lehetőségeket Pék Gábor adat- és rendszerbiztonsággal foglalkozó informatikus szakember.

Ha mindehhez hozzávesszük, hogy a támadónak az akcióhoz még a kisujját sem kell megmozdítani – elég hozzá a kéz többi ujja –, akkor nem tévedünk nagyot. Az egyes sérülékenységek feltárása ugyanis versenyszerűen zajlik hackerkörökben, mi több, ezek első publikálási joga felér egy-egy győzelemmel, sőt anyagi hasznot is eredményez, hiszen legális cégek kereskednek a sérülékenységek definiálásával és a belőlük írt úgynevezett támadókódokkal.

Dr. Bencsáth Boldizsár, a Budapesti Műszaki Egyetem (BME) Hálózati Rendszerek és Szolgáltatások Tanszékén működő CrySyS Lab (Adat- és Rendszerbiztonsági Laboratórium) kutatója elmondása szerint ezek a kódtörők óriási összegekért cserélnek gazdát, az egyes nemzetbiztonsági szervezeteknek is külön kasszát biztosítanak az államok a megvásárlásuk érdekében. Egy-egy operációs rendszer támadókódját 1 millió dollárért árusítják a piacvezető kereskedőcégek. Akik – teszi hozzá – a mostanság szigorodó európai szabályzások következtében egyszerűen az unió övezetén kívülre helyezik át a székhelyüket. Azt már Pék Gábor árulja el, hogy ezért az összegért olyan felhasználóbarát képernyőfelületet kap a vásárló, amin csak a menüben kell kattintgatnia egy másik gép vagy hálózat megtámadása során.

Hackerdilemma

A legális és az illegális kódfeltörő piac működése kapcsán persze felmerül a hackerkedés etikai vetülete is. „Az IT-biztonság is mindig kétélű fegyver, a kést használhatod kenyérszeletelésre, de emberek ellen is. Amíg egy hacker a sérülékenységek feltárására, javítására alkalmazza a tudását, mert érdekli a feladat, élvezetét leli a szakmai kihívásban, nem pedig támadó célra, addig etikusan jár el. Offenzív használatra illik a kérést visszautasítani” – fogalmaz Pék Gábor. „A hallgatóinkat mindenesetre a védekező technikákra oktatjuk – toldja hozzá Bencsáth Boldizsár –, amit ugyanakkor lehetne támadásra is alkalmazni, de azt a törvény is tiltja, és akár állami felkérésre is lehet nemet mondani. Az persze elgondolkodtató, hogy a világ egyes részeiről mindig érkeznek olyan hírek, hogy lekapcsoltak hackereket, akik aztán rejtélyes körülmények folytán nem kerülnek börtönbe.”

A felhasználás módja tehát nagyban függ a hacker lelkiismeretétől – a jó hackerek védelmezői funkcióját már réges-rég felismerték a kiberháborúban részt vevő államok, így amelyik érdekelt abban, hogy adatait, rendszereit biztonságban tudja, rengeteg pénzt áldoz a hackerek képzésébe. „Nem véletlen, hogy jelenleg egy dél-koreai srác a világ legjobb hackere – jegyzi meg Pék Gábor –, az ország jelentős pénzt fordított arra, hogy kiépítse az IT biztonsági védelmi-offenzív rendszerét.”

Mindig vannak kiskapuk

A képzésre mi, magyarok sem panaszkodhatunk, a BME hackercsapata idén augusztus elején már másodjára vett részt a Las Vegas-i DefCon számítástechnikai biztonsági konferencia hackerversenyén, ami ezen rangadók non plus ultrájának számít. A !SpamAndHex névre hallgató, 13 tagú magyar team a CrySys Lab diákönképzőköréből verbuválódott, és a 14 világelső csapat között a 13. helyet szerezték meg maguknak. A Pék Gábor által 2013-ban alapított hallgatói kör hobbiszinten foglalkozik adat- és rendszerbiztonsági kérdésekkel, míg a nevadai találkozón a résztvevők közül sokan – akár az ausztrál, akár az izraeli csapatot nézzük – főállásban foglalkoznak az IT-biztonsággal.

A Capture The Flag! (azaz Szerezd meg a zászlót!) viadalon a csapat tagjainak nemcsak egy új kódnyelvet kellett elsajátítaniuk, hogy kommunikálni tudjanak a programjaikkal, de a beépített hibákat is meg kellett találniuk, kijavítaniuk, úgy hogy közben a többi csapat támadásait is el kellett hárítaniuk. A háromnapos kódtörő versenyen nem kevés furfangra is szükségük volt a programozói ismeretek mellett, mivel a stratégiákba belefért a közkinccsé tehető „segítségnyújtó” kódokba ágyazott úgynevezett backdoorok (kiskapuk) telepítése is, amiken keresztül aztán az ellenfelek programjait lehetett megtorpedózni. „Büszke vagyok rá, hogy sikerült kiszűrnünk a backdoorral terhelt kódokat, a döntő után más versenyzők is megdicsértek emiatt bennünket, hogy nem ugrottunk be, valamint arra, hogy tudtunk olyan kódot írni, mellyel néhány körön át minden csapatot sikeresen támadtunk” – meséli a csapat alapítója, Pék Gábor.

Az egyik legújabb kihívás azonban nem emberi féltől érkezett, hanem egy Mayhem nevű szuperszámítógéptől, ami a tudáspróba egyetlen gépi versenyzőjeként szállt ringbe, miután a gépek selejtezőjén maga mögé utasított hat másik automatizált hackert.

Gépek csatája

„A világtörténetben most először történt meg, hogy (szinte) emberi beavatkozás nélkül volt képes egy gép automatikusan meghozni olyan döntéseket, amelyek egy rendszer sérülékenységét korrigálták” – mutat rá a történés jelentőségére Pék Gábor, még ha a Mayhem az utolsó helyen is végzett a humánokkal közös versenyben.

Kétségtelenül az automatizált kódfeltörő szoftvereké a jövő, amik különböző algoritmusokon keresztül keresnek sérüléseket, kijavítják azokat, majd továbblépve: ki is használják előnyüket a feltörésekkel szemben.

„Megteremtődött annak a lehetősége, hogy az ember szerepe a gépek felügyeletére szűküljön. A gép maga választja ki a szoftvereket, ami mellett a tanulási képességét is beveti – vetíti előre a jövőt Pék Gábor. – Hiszen az ember nem minden esetben tud hipergyorsan reagálni, ha gép támad egy rendszert, arra csak egy másik gép tud megfelelően reagálni.”

Ám mielőtt még a Terminátor-filmek öntudatra ébredt mesterséges intelligenciáját vizionálnánk és a ludditákhoz csatlakoznánk, sietve jegyezzük meg: a szakemberek elmondása alapján a mai hackergépek még nem tudják felülbírálni az emberi döntéseket. A Mayhem is csak bizonyos biztonsági problémák megoldását képes elvégezni. Bencsáth Boldizsár szerint jelenlegi szintjén leginkább egy vírusirtóhoz mérhető, aminek lehetséges választásai egy adott adatbázisból történik, így mindig determinisztikus.

Már előfizethet a Vasárnapi Hírekre, kattintson!