‘Bijeli’ haker: Banke u regiji sigurnije od američkih

Razgovarao: Mario Pejović

Etički, takozvani bijeli ili ‘white hat’, haker Leon Juranić javnosti je postao poznat kada je otkrio sigurnosne propuste u američkoj svemirskoj agenciji NASA.

Priznati stručnjak iz Hrvatske za Al Jazeeru govori o hakerima, njihovim mogućnostima, kakvu prijetnju predstavljaju, ali i koliko je Zapadni Balkan siguran od zlonamjernih, ‘black hat’, hakera. 

• Javnost je skoro svakodnevno upozoravana na opasnosti koje vrebaju od hakera. Kako se uopće postaje hakerom? Da li postoje neke obuke, kursevi, škole…?

– Prije 15 godina, kada sam se ja počeo baviti računalnom sigurnošću, odnosno hackingom, na internetu je bilo puno manje materijala o hackingu nego danas. Da bi ušli u svijet hackinga morali ste prvo ovladati programiranjem, zatim sigurnošću popularnih operativnih sustava, mrežnom sigurnošću, aplikativnom sigurnošću, itd.

Danas je to puno jednostavnije. Postoji mnoštvo step-by-step materijala o hackingu na internetu koji će vam u detalje objasniti kako u nešto provaliti. Također, danas je javno dostupno mnoštvo tzv. exploit programa koji se mogu koristiti za provaljivanje u računala.

Tako danas uz pomoć gotovih exploit programa, u računala mogu provaljivati i ljudi bez pravog hackerskog znanja.

Postoje i javno dostupni hacking tečajevi i hacking akademije gdje će vas često i sami hakeri učiti kako se provaljuje u računalne sustave.

• Da li hakeri imaju uvid u neke informacije i znanja koja nisu dostupna “običnom smrtniku”? Postoji li neki vid saradnje u hakerskoj zajednici?

– Da, hackeri često imaju podatke u koje šira javnost nikada ne dobije uvid ili ih sazna tek nekoliko godina nakon hackera.

Hackeri tako npr. imaju uvid u izvorne kodove komercijalnih operativnih sustava, informacije o raznim sigurnosnim propustima za koje šira javnost ne zna – pa se od njih ne može ni štititi, te tzv. 0day exploit programe za provaljivanje u računala.

0day exploit programi su nešto što se posebno cijeni u hackerskim krugovima, jer služe za provaljivanje u  računalne sustave, a od njih zaštite nema.

Hackeri se često udružuju u hackerske grupe radi razmjene informacija o sigurnosnim ranjivostima i novim hackerskim tehnikama.

• Većini ljudi je prva pomisao na riječ “haker” krađa bankovnih podataka te krađa identiteta, odnosno sve što se veže za gubitak novca. Međutim, koje su prijetnje hakera na stvarne, fizičke sisteme? Koliko hakeri mogu biti korišteni kao oružje?

– U današnje vrijeme računala možete pronaći svugdje, u svim oblicima. Računala danas upravljaju industrijskim postrojenjima, elektranama, automobilima, liftovima, semaforima, bankomatima, frižiderima, telefonima, nadzornim kamerama, inzulinskim pumpama, pacemakerima, itd.,itd.

S obzirom  da se računalni sustavi često povezuju u računalne mreže, a na kraju i na internet, sigurnosna prijetnja za sustave upravljane računalima je stvarna.

Provaljivanje u računalni sustav npr. nuklearne elektrane mogao bi imati nesagledive posljedice. Dobar primjer hackerskog napada je slučaj Stuxneta, u kojem je uz pomoć računalnog crva prouzročena stvarna šteta nuklearnom programu jedne (iranske) države.

Zlonamjerni hackeri isto tako mogu reprogramirati inzulinske pumpe ili pacemakere što bi moglo direktno rezultirati smrću pojedinca zbog hackerskog napada.

Razvijene države na Zapadu imaju posebno obučene vojne hackere čija svrha je upravo cyber-ratovanje, a siguran sam da pri tome imaju i raspoloživa sredstva za cyber napade na fizičke sustave.

• Prema Vašim saznanjima, postoje li hakeri u regiji? Ako da, kakva su njihova znanja i sposobnosti?

– U regiji definitivno postoje hackeri, i bijeli i crni. Ima izuzetno sposobnih i talentiranih ljudi u području računalne sigurnosti. Neki od njih su otišli i van regije kako bi radili u području računalne sigurnosti za velike svjetske tvrtke. Također, postoje i oni crni koji se bave hackingom isključivo zbog materijalne koristi.

Prije desetak godina hackerska scena je bila poprilično živa sa nekoliko hackerskih grupa sa područja Hrvatske, BiH te Srbije. Danas je većina tih ljudi u korporativnom svijetu, te direktno zarađuju od svojih znanja i talenata u području računalne sigurnosti.

• Opće mišljenje u regiji je da Zapadni Balkan kaska za ostatkom svijeta na svim poljima. Kako biste ocijenili stanje sigurnosti informatičkih sistema u regiji? Koliko su podaci korisnika u regiji sigurni, odnosno koliko su sigurne banke od vanjskih napada, te kako ocjenjujete informatičku pismenost korisnika iz regije, kada je lična sigurnost u pitanju?

– Da, rekao bih da generalno definitivno kaskamo u IT tehnologijama za zapadnim, razvijenijim državama, no situacija nije posve loša. Sve više kompanija na području ex-YU odlučuje se za ulaganja u računalnu sigurnost, jer su shvatili koliko im je to bitno.

Ta ulaganja mogu biti u rangu od najbanalnijih sigurnosnih rješenja kao što su antivirusni proizvodi, firewallovi pa do kompliciranijih usluga ispitivanja računalne sigurnosti odnosno penetracijskih testova, koje između ostalog za naše klijente radi moja tvrtka DefenseCode.

Naše banke su npr. iznenađujuće bolje sa sigurnosnog aspekta od recimo banaka u Americi. Nude bolju razinu zaštite za krajnjeg korisnika i sve češće se odlučuju za usluge računalne sigurnosti, što znači da definitivno vode računa o tome.

Što se tiče informatičke pismenosti u pogledu računalne sigurnosti (ako gledamo računalno pismene ljude), mislim da su ljudi više-manje u cijelom svijetu isti.

• Postali ste javnosti poznati kada ste otkrili sigurnosne propuste u NASA-i. Kako je došlo do toga da otkrijete ranjivosti američke svemirske agencije?

– Sve je počelo relativno spontano. Pregledavao sam NASA-ine web stranice i shvatio da u svemirskim misijama koriste softvere koje su oni sami interno razvili. Neki od tih softvera bili su dostupni na samim web stranicama NASA-e. Preuzeo sam neke od tih softvera i počeo ih analizirati sa sigurnosnog aspekta.

Otkrio sam da jedan popularan softver naziva NASA-CDF ima u sebi nekoliko sigurnosnih propusta koje bi potencijalni hacker mogao iskoristiti za provaljivanje u računalo.

Kontaktirao sam NASA-u i objasnio im detalje sigurnosnih propusta u njihovom softveru, te kako ih ukloniti. Nakon što su riješili sigurnosne propuste, zamolili su me da nastavimo suradnju te da i dalje tražim ranjivosti u njihovom softveru. To se  protegnulo na suradnju u trajanju od godine dana tijekom koje sam otkrivao i javljao NASA-i sigurnosne propuste, a oni su ih popravljali. Javno su mi se zahvalili na svojoj web stranici.

Sada sam CTO u tvrtki DefenseCode koja se bavi sigurnosnim ispitivanjima računalnih sustava (penetracijskim testovima), te razvojem proizvoda za automatizirano otkrivanje sigurnosnih propusta u računalnim programima, odnosno aplikacijama.

Za naše klijente radimo sigurnosna ispitivanja IT infrastrukture, servera, računalnih mreža, softverskih aplikacija – mobile aplikacija te web aplikacija. Isto tako, bavimo se razvojem sigurnosnog softvera koji otkriva sigurnosne ranjivosti u web aplikacijama, mobile aplikacijama i u izvornom kodu.

• S obzirom na Vaša znanja, kako to da ste se odlučili da budete etički, bijeli haker, kada je znatno unosnije biti ‘black hat,’ maliciozni haker?

– Stvar je prilično jednostavna – nikada nisam bio sklon “brzoj lovi”. Black hat hacking, odnosno ilegalno hackiranje računalnih sustava u svrhu ostvarivanja materijalne koristi, sigurno je unosan “posao” i na tome se vrti strahoviti novac.

Iz etičkih i moralnih načela, ja sam se ipak odlučio za put računalnog stručnjaka odnosno tzv. bijelog hackera  koji pomaže u zaštiti računalnih sustava od zlonamjernih hackera.

• Već ste dokazani stručnjak za otkrivanja propusta. Da li Vam se dešavalo da dobijate neke sumnjive ponude? Kako uspijevate razlučiti koji su zadaci dobronamjerni, a koji maliciozni?

– Sumnjive ponude pristižu stalno. Od sumnjivih molbi za pomoć gdje me ljudi mole da im pomognem vratiti “hackirani” mail ili Facebook account – tako da ja sam provalim u njega, pa do nekih direktnih pitanja da li bi mogao provaliti u nešto za novčanu naknadu. Takve stvari redovito odbijam.

Dobronamjerni zadaci, odnosno ono što svakodnevno radim su penetracijska testiranja – odnosno dogovorena provaljivanja u računalne sustave naših klijenata, kako bi otkrili sigurnosne propuste i pokrpali ih prije nego što ih nađu zlonamjerni hackeri. Tu se obično radi o renomiranim tvrtkama s kojima su stvari sasvim čiste i sve se regulira ugovorima.

Izvor: Al Jazeera