Google для хакера: поисковик Shodan поможет получить контроль над электростанцией
На свое 34-летие Марк Гилберт получил ужасный сюрприз от какого-то незнакомца. После того как празднование дня рождения закончилось, житель Хьюстона услышал незнакомый голос в детской, где спала его двухлетняя дочка. «Просыпайся, маленькая шлюшка!» Вбежав в комнату, Гилберт обнаружил, что источник звука — радионяня, а человек, получивший контроль над этим устройством, также мог манипулировать видеокамерой. Гилберт незамедлительно отключил радионяню, но хакер успел обозвать его дебилом.
Еще за несколько месяцев до скандального события специалисты по безопасности производителя устройства — китайской фирмы Foscam — обнаружили изъяны в программном обеспечении радионяни: хакеры, используя банальное имя пользователя 'admin', могли получить удаленный доступ к устройству и взять под контроль передаваемые данные. Foscam исправила недостатки радионяни, но ничего не сообщила покупателям устройств со «старой прошивкой». Когда Гилберт проверил свой аккаунт в Foscam, то обнаружил, что хакер внес туда собственное имя пользователя Root и получил возможность подключаться к радионяне в любой момент. Теперь Гилберт готовит групповой иск против Foscam. Он смог найти других истцов, благодаря поисковику Shodan. И похоже, что этим же поисковиком воспользовался хакер-извращенец, чтобы найти Гилберта.
Shodan — не типичный поисковый сервис. Он не ищет веб-страницы, а прочесывает интернет в поисках различных устройств, многие из которых запрограммированы на ответ. Поисковик уже находит автомобили, кардиомониторы, системы кондиционирования и освещения в офисных зданиях, установки для очистки сточных вод, системы управления электростанциями, светофоры и глюкометры. Запрос на поиск радионянь модели, как у Гилбертов, показывает, что более 40 000 людей используют IP-камеры и могут оказаться легкой добычей для хакеров. Shodan не может похвастаться интерфейсом Google: чтобы найти определенное устройство, вам нужно знать его некоторые характеристики, а результаты выдачи содержат язык интернет-протокола, который может быть не понятен обычному пользователю.
«Google ищет сайты, а я ищу устройства», — объясняет Джон Мазерли, высокий 29-летний программист, выпустивший в 2009 году Shodan. Он назвал свою систему именем искусственного интеллекта — злодея из видеоигры System Shock: «Хакеры и нерды сразу поймут, о чем речь».
Мазерли надеялся, что Shodan будут использовать такие сетевые гиганты, как Cisco, Juniper и Microsoft, чтобы обыскивать весь мир в поисках продуктов, произведенных их конкурентами. Вместо этого система стала важнейшим инструментом для специалистов по безопасности, ученых, силовых структур и хакеров. Все они ищут устройства, которые не должны быть подключены к интернету или могут оказаться уязвимыми для взлома.
Shodan уже использовали для обнаружения видеокамер наблюдения со слабой системой защиты: достаточно набрать их IP-адрес в браузере, чтобы получить возможность подглядывать за тем, что происходит в домах у людей, в офисах полиции, в операционных больниц, в детских садах и даже у наркодилеров. Дэн Тентлер, специалист по вопросам безопасности, консультировавший Twitter, создал программу под названием Eagleeye, которая обнаруживает камеры со слабой защитой при помощи Shodan, подключается к ним и делает скриншоты. Тентлер нашел почти миллион уязвимых камер. «Это как крэк для вуайеристов», — говорит он.
После обнаружения «дыр» в программном обеспечении управления зданиями специалист по безопасности Cylance Билли Риос, используя Shodan и еще одну программу, нашел офисы банков, жилые дома и даже штаб-квартиру Google в Австралии, чьи системы безопасности, освещения и кондиционирования мог легко взять под контроль хакер извне. «Прямо сейчас вы можете найти в интернете около 2000 зданий и получить контроль над ними, достаточно лишь угадать или узнать их IP-адрес», — рассказывает Риос. Ранее в этом году Министерство национальной безопасности США сообщило, что хакеры уже воспользовались слабой защитой и в 2012 году взломали системы управления отоплением в одном из «правительственных учреждений», сделав температуру там «необычайно теплой».
В отраслевом отчете производителя электроники Ericsson говорится, что к 2020 году примерно 50 млрд устройств будут иметь подключение к сети и вместе они образуют «интернет для устройств» (Internet of Things). «Я не думаю, что моя система вызывает страх, — говорит Мазерли. — Куда страшнее то, что электростанции подключены к интернету».
Мазерли вырос в Швейцарии. В 17 лет он бросил школу, переехал в США и стал жить в Сан-Диего у своей тети, работавшей стюардессой. Сначала Мазерли работал в книжном магазине, затем поступил в муниципальный колледж, а еще позже получил диплом по биоинформатике в Университете Калифорнии. Недолго проработав в стартапе и создав сайт для газеты U-T San Diego, Мазерли начал работу над Shodan.
Поисковик использует freemium-модель. Бесплатный поисковый запрос выдаст вам только 10 результатов. Около 10 000 пользователей выкладывают до $20 за один запрос, показывающий 10 000 результатов. Десятки корпоративных пользователей — это фирмы, занимающиеся компьютерной безопасностью, — платят каждый год пятизначную сумму за доступ ко всей базе данных Мазерли, куда занесено 1,5 миллиарда устройств, подключенных к сети.
Федералы могут осложнить жизнь Мазерли, если они захотят применить к нему закон о компьютерном мошенничестве, запрещающий несанкционированный доступ к компьютерным системам. «Я даже не пытаюсь получить доступ к серверам и не делаю ничего такого, что можно расценить как взлом», — рассказывает Мазерли.
Конечно, его нужно не преследовать, а наградить за то, что он привлек внимание к невероятно глупым ошибкам, совершенным компаниями, выпускающими гаджеты, и указал на невнимательность пользователей к безопасности приобретаемых продуктов. Все устройства, которые подключаются к сети, должны быть защищены паролями, но большинство людей забывают об этом, используют слишком простые пароли или пару логин — пароль по умолчанию. В прошлом году анонимный пользователь взял под свой контроль более 400 000 подключенных к интернету устройств, использовав для этого всего лишь четыре пароля по умолчанию. «Все говорят о высококлассных эксплойтах и кибервойнах, — написал этот хакер. — Но четыре простых и глупых пароля для Telnet могут дать вам доступ к сотням тысяч потребителей и к десяткам тысяч промышленных устройств по всему миру».
Мазерли надеется, что создание Shodan обеспечит большую прозрачность и общественное порицание тех компаний, которые продают уязвимые системы, но при этом он не испытывает особого оптимизма. «Хотим мы этого или нет, но все оказывается в интернете», — говорит Мазерли.