Хактивизм в современной жизни

В декабре 2010 г. почти три тысячи активистов движения Operation Payback атаковали системы PayPal, MasterCard и Visa, отключив на короткое время их сайты и попытавшись воспрепятствовать доступу клиентов к электронным банковским услугам. Хакеры нанесли удар по этим компаниям из-за введения ими санкций против сайта WikiLeaks, на котором были размещены секретные документы Государственного департамента США и других правительственных агентств. Девять месяцев спустя больше десятка человек, большинству из которых было от 19 до 24 лет, были арестованы за причастность к атакам, нацеленным на отказ в обслуживании (denial of service, DoS). А между  тем  на корпоративные, военные и правительственные сайты обрушились новые атаки.

Проявления электронной бдительности

Первые упоминания о хактивизме -- использовании цифровых технологий в политических целях -- прозвучали в 1999 г., когда члены хакерской сети «Культ мертвой коровы» сформировали группу Hacktivismo, выступавшую за свободу распространения информации и разработавшую специальные программы для обхода цензуры в Интернете. Позднее под этим термином стали понимать протесты против деятельности конкретных организаций, правительств и правоохранительных структур. Тактика хакеров предусматривала проведение DoS-атак и организацию утечки конфиденциальных файлов. Последствия  таких  атак затронули миллионы людей.
«Похоже, поколение, выросшее в эпоху Интернета, считает совершение электронных атак вполне естественным способом выражения своего мнения, так же как мы привыкли выражать свое отношение к окружающей действительности, выходя на демонстрации, -- заметил научный директор компании F-Secure Микко Хиппонен. --  Но  в отличие от электронных  атак,  общественные демонстрации не являются нарушением закона. Впрочем, этих ребят такое положение дел, похоже, не останавливает».
«Если ваши ресурсы открыты для публичного обращения извне, вы легко можете подвергнуться атаке -- независимо от того, исходит ли она от хактивиста или от  киберпреступника",  -- подчеркнул вице-президент и генеральный менеджер компании GFI Software по вопросам безопасности программного обеспечения Алекс Эккельберри.
«Многие организации, подвергшиеся атакам, предпринимали определенные меры безопасности, но так и не сумели устоять перед протестующими, -- сообщил Дэйв Маркус, директор компании McAfee по вопросам исследования технологий безопасности и связям с общественностью. -- Я полагаю, потребителям следует поинтересоваться у организаций, отвечающих за хранение их данных, уровнем реальной надежности защиты информации».

Побочный ущерб

 В наши дни  хактивизм способен породить серьезные осложнения. «Ситуация выходит из-под контроля и переносится в публичную плоскость, -- отметил Эккельберри. -- Рост опасности обусловлен не только тем, что атаке подвергаются целые организации, но и тем, что побочный ущерб наносится невинным жертвам».
В ходе акций протеста, направленных против полицейского подразделения, которое обеспечивает безопасность системы скоростных электропоездов Bay Area Rapid Transit в Сан-Франциско, неизвестные лица разместили в открытом доступе имена, адреса и номера сотовых телефонов примерно двух тысяч подписчиков сервиса MyBART. Затем атакующие опубликовали имена и адреса 102 полицейских BART. Виртуальные атаки сопровождались физическими акциями протеста на станциях BART.
Еще один пример хактивизма связан с компанией Sony. В 2010 г. юный исследователь Джордж Хотц методом обратного проектирования получил значение секретного ключа PlayStation 3 и опубликовал его в Сети. В  результате  любой желающий мог переписать встроенное программное обеспечение и, объявив себя разработчиком программ для сети Sony, получить бесплатный доступ к сетевым играм. Sony направила против Хотца судебный иск. После этого компания подверглась  DoS-атакам,  в ее системе защиты данных были обнаружены  бреши  и 12 млн. номеров клиентских кредитных карт  также  оказались в Сети. Свои убытки Sony оценила в 173 млн. долл.
Ряд брешей в системах защиты данных породил настоящую революцию. Сайт WikiLeaks и хакерская группа Anonymous с децентрализованной структурой создали среду, в которой были опубликованы государственные секреты, подлившие масла в огонь протестов на Ближнем Востоке и ставшие катализатором  «арабской весны». 
Отделившаяся от Anonymous группа Lulz Security (или LulzSec), атаковавшая, по слухам, отделение ФБР, которое занималось расследованием дела Anonymous, впоследствии нанесла удар по департаменту общественной безопасности штата Аризона в знак протеста против проводимой  там  иммиграционной политики. Затем группа снова разделилась, для того чтобы атаковать компанию Руперта Мердока News International, протестуя таким образом против нашумевшего прослушивания сотовых телефонов.

Хактивизм -- это зло

Ни один из экспертов по безопасности, с которыми нам довелось побеседовать, не высказал в адрес хактивистов ни одного слова одобрения. Раскрытие случайным образом выбранной конфиденциальной информации ставит под угрозу человеческие жизни. За бреши в системе безопасности нам приходится платить слишком высокую цену. В этом году на общедоступных сайтах появились тысячи страниц конфиденциальных документов и информации личного характера. Правоохранительные органы пытаются ловить нарушителей закона, но государственная машина работает слишком медленно и неповоротливо. Один из бывших членов Anonymous уже выразил сожаление по поводу своего участия в деятельности группы. В интервью изданию Cisco Security хакер, действовавший под псевдонимом SparkyBlaze, заявил, что «ему надоело выкладывать в Сеть конфиденциальную информацию других людей и провозглашать себя великим героем». «Собирая файлы и публикуя их в WikiLeaks, мы наносим ущерб правительствам, -- добавил он. -- Но… размещать информацию о людях, за которых, собственно, и было  решено  вступить в борьбу, это неправильно».

Mozilla устраняет ошибки, приводившие к аварийному завершению работы браузера

В последней версии Firefox многие недочеты устранены. Компании Adobe и Apple также выпустили обновления своего программного обеспечения.
Если вы еще не установили последние обновления Mozilla, Adobe и Apple, самое время сделать это. Компании выпустили версии, ликвидирующие серьезные бреши в системе безопасности.

Похищенные сертификаты SSL компрометируют Google и другие компании

В конце августа голландская компания, выпускающая цифровые сертификаты для аутентификации сайтов, признала, что Google и  несколько  десятков других сайтов пострадали в результате выявленной бреши в системе безопасности. Компания DigiNotar, имеющая звание уполномоченного центра сертификации, продает легитимным пользователям сайтов сертификаты SSL (Secure Sockets Layer) и EVSSL (Extended Validation). Взломав электронную почту DigiNotar, хакеры сумели получить доступ к сертификатам для домена google.com.
 О  попытке использования мошеннических сертификатов в  Иране представители Google сообщили 29 августа.  К счастью, средствами обеспечения безопасности браузера Chrome фальшивый сертификат был своевременно выявлен, а пользователи  были  предупреждены.
Центр  сертификации DigiNotar, входящий в состав компании Vasco Data Security International, опубликовал  19 июля  заявление об обнаружении бреши. Директор Vasco по корпоративным связям Йохем Бинст сообщил, что атакующим удалось нелегально получить сертификаты для нескольких десятков сайтов. Большинство из них после проведения расследования были аннулированы. Однако сертификат для google.com, выпущенный 10 июля,  все  еще оставался в  силе 28 августа.  Компания Vasco получила от группы Dutch Computer Emergency Response Team уведомление, в котором говорилось, что сертификат до сих пор  не отозван, а аннулирован он был только  29  августа.
Пока неизвестно, каким образом хакеры проникли в инфраструктуру, обеспечивающую выпуск сертификатов, и в течение какого времени они имели к ней доступ, но проверки в этом направлении уже проводятся. Компания DigiNotar, поставлявшая сертификаты главным образом голландским клиентам, приостановила продажи до завершения расследования. В заявлении Vasco  сказано,  что доходы ее подразделения от продажи сертификатов за первую половину текущего года не превысили 100 тыс. евро.