Ak ma niekto pozýva na konferenciu alebo cituje, často napíše, že som „etický hacker“. Kedysi som si to do profilu písal sám, tak sa to kopíruje. V tomto blogu vám vysvetlím, prečo sa za etického hackera nepovažujem.
Hackingu som sa venoval od malička. Najprv som nevedel, že to je hacking. Mal som osembitový počítač a skúšal som, čo dokáže. Potom prišli PCčka, BBSky, internet, Linux, open-source, internetové služby.
V začiatkoch internetu bolo hackovanie veľká sranda. Všetci sa tešili, že ten internet funguje, natoľko, že nikoho ani nenapadlo niečo upgradovať. Neopravuj to ak to funguje. Toto boli časy, ktoré nazývam „deň otvorených dverí“ internetu, a tento stav trval pár rokov.
Ako na internet prišli peniaze, e-commerce a začali sa cez internet riešiť „dôležitejšie“ veci ako debaty o živote, začala sa bezpečnosť na oboch stranách barikády komercionalizovať. Útočníci, spammeri a „black hat“ hackeri na jednej strane, admini, security architekti, penetrační testeri („etickí“ hackeri, aby sa odlíšili od tých „zlých“ hackerov) a auditori na strane druhej. Vznikli skvelé metodiky na pentesty, na ohodnotenie rizík (aj keď teda hlavne s ohodnotením rizík som mal dosť problém, pretože to bola taká placebo bezpečnosť).
Neskôr sa do bezpečnosti a do súkromia začal vŕtať štát a začal ju „riešiť“ – cookie bannery sústavne špatia celý internet, súhlasy so spracovaním osobných údajov, ktoré nikto nečíta, povinné penetračné testy, kedy klienti chcú „dvadsaťdeka bezpečnosti“ – teda papiere v šuflíku, aby ich neotravoval regulátor.
Môj vzťah k IT bezpečnosti
Hacking bol kedysi zábava. Hľadanie dier, sláva v hackerských časopisoch, súťaž kto bol lepší. Skvelé hackerské akcie – doma aj v zahraničí, s množstvom inšpiratívnych ľudí.
Založil som niekoľko firiem, ktoré sa venovali bezpečnosti – staval som servery a serverfarmy tak, aby boli bezpečné, venoval som sa penetračnému testovaniu a prevádzkoval som platformu bug bounty programov.
V poslednej dobe to začala byť menšia zábava. Stále častejšie nešlo o to nájsť dieru a pomôcť ju opraviť, ale splniť nejaké formálne pravidlá. Zákazníci požadujúci vyhodnotenie rizík na základe metodiky, ktorá nedáva žiadny zmysel. A stále častejšia práca so zákazníkmi, ktorým na bezpečnosti v skutočnosti nezáleží – a podľa mňa by im do veľkej miery ani nemalo. Pre veľa firiem proste hack nie je až taký problém. Urobili by lepšie, keby investovali do niečoho iného – marketingu, zlepšeniu produktu, zvýšeniu kvality. Namiesto toho pneuservis pentestuje rezervačný formulár na výmenu pneumatík, lebo preboha, čo ak uniknú telefónne čísla klientov. Jasné, že najlepšie by bolo nezbierať osobné údaje – v mnohých prípadoch k tomu firmy ale núti štát.
Ak si kupujem e-book, jediný dôvod, prečo musím vyplniť meno, adresu a telefónne číslo je ten, že štát po predajcovi chce, aby vystavil správnu faktúru (telefónne číslo je dobré zbierať, lebo je to jeden z dôkazov, ktoré je potrebné si uložiť na dôkaz o správnom vyrúbení DPH, z rovnakého dôvodu sa ukladá aj IP adresa – viac v tomto predpise, článok 24b a 24f). Teda štát nás na jednu stranu podnikateľov obťažuje tým, že nesmú sledovať užívateľov pomocou cookies a potom im nariaďujú sledovať ich tak, že o nich logujú citlivé osobné údaje, ktoré na dodanie služby inak vôbec nepotrebujú – ak niekomu poskytujem ebook, naozaj ma nezaujíma, kde presne býva, nechcem to vedieť, sú to dáta, ktoré musím zbytočne chrániť.
Výsledkom je drobné znechutenie v tom, že som si stále viac uvedomoval, že moja práca nie je niečo, čo by klient naozaj potreboval k tomu, aby bol lepší. Teda stávalo sa to čoraz častejšie – samozrejme, množstvo klientov to naozaj potrebovalo – bezpečnosť vo finančnom sektore, práca s naozaj citlivými osobnými údajmi a podobne.
Zostáva však technický hacking. Napísal som niekoľko kusov softvéru na pentestovanie, ochranu proti denial of service útokmi a podobne. Venoval som sa auditovaniu kryptomenových projektov. Všetko toto bola zábava. Až do momentu, kým sa táto činnosť nestala monotónnou činnosťou nasledujúcou metodiky. V tejto oblasti sa stále dá nájsť veľa dobrej a zábavnej činnosti.
Na hackerské konferencie chodím rád, sadnem si a vypočujem si ako niekto hackol satelit na obežnej dráhe, ktorý prestal fungovať.
Čo sa týka práce, chýba mi tam pozitívna spätná väzba. Kamaráti našli bezpečnostné zraniteľnosti v štátnych systémoch a štát ich vyhejtoval. Namiesto poďakovania a možnosti zlepšiť sa bola reakcia taká, ako keby za chybu v systéme mohli hackeri.
A to ma vedie k poslednému uvedomeniu. Hackovanie už nie je také kreatívne aké bolo, keď som začínal. Uvedomujem si, že chyba je vo mne a že som sa prestal zlepšovať. Stále dokážem oceniť kreativitu iných, ale vrátil som sa naspäť k tvoreniu vecí, ktoré majú dlhodobejší efekt – k programovaniu, písaniu a podobne. Chcem, aby po mne niečo ostalo, niečo, čo sa použije dlhšie ako na záplatu a päť minút slávy z vlastného CVE.
Stroje prevzali moc (úryvok z Krotiteľov Entropie)
Nasledujúca kapitola je úryvok z knihy Krotitelia Entropie, kde sa venujeme tej istej téme v trochu inej forme:
Svoje veci si zbalil s typickou hackerskou nedbanlivosťou – jeho batoh bol len priestorom, ktorý bolo treba zaplniť káblami, konektormi a zariadeniami. Pred stanom sedela Lisa a pozerala na hviezdy, chrbtom opretá o prepravky prázdnych fliaš Club-Mate, ktoré ktosi naukladal do podoby lavičky, alebo aspoň predpokladala, že to bol účel tejto inštalácie. Obloha pôsobila takmer neskutočne – hutná, nezatienená svetlom civilizácie – ktorú akoby mestá už dávno vymazali zo svojej pamäti. Hlboko za hrudnou kosťou v nej ešte doznieval odtlačok koherenčnej seansy – nové, tiché teplo, ktoré tam kedysi nebývalo, oscilujúce na neznámej, sotva uchopiteľnej frekvencii.
Vyšiel zo stanu a uvidel ju tam. Spýtal sa, či sa môže pridať. Prikývla a on zložil batoh a vytiahol bundu, rozložil ju ako podložku na zem, aby si sadli. Zem uvoľňovala denné teplo do chladnúceho vzduchu a chlad sa začínal predierať cez rifle.
„Mením smer,“ povedala Lisa. Prišlo to čisto a isto, ako niečo, o čom bolo jej podvedomie presvedčené, ale bála sa to povedať nahlas. „Bola som príliš hlboko v bezpečnosti. Stratilo to už pre mňa čaro.“
Kemp okolo nich hučal. Vzdialený basový pulz z hlavnej scény, smiech z talianskej village, kde niekto už po tretíkrát vzkriesil disko, infrazvuková vibrácia generátorov poháňajúcich túto dočasnú civilizáciu.
„Je to kreatívne,“ pokračovala. „Ale to, čo vytvoríš, nevydrží. Nájdeš dieru, tú potom opravia. To nové, čo vznikne, je vlastne absencia, zraniteľnosť, ktorá už neexistuje. Jasné, zlepšuje to svet. Ale vždy budú ďalšie diery. Nikdy to neskončí.“
„Ty sa tiež venuješ bezpečnosti…?“ spýtala sa Lisa a zarazila sa, keď slová opustili jej ústa. Nikto tu nehovoril o práci. Hovorili o svojich výtvoroch, obsesiách, veciach, ktoré im nedávajú v noci spať. Zamestnanie bola nálepka z toho druhého sveta.
„Okrajovo.“ Vytrhol steblielko trávy vedľa bundy a krútil ho medzi prstami. „Založil som pár IT bezpečnostných firiem, ale aj mňa to unavilo. Dlho ale nevydržím pri ničom. Vždy potrebujem novú výzvu. Alebo dokonca celú kategóriu výziev, ak vieš, čo myslím.“ Študoval steblielko, akoby obsahovalo informácie. „Ešte mám priestor… Kým by som dosiahol master-level v hackovaní. Ale hacking je stav mysle. Je väčší než akákoľvek jednotlivá disciplína. Rozlúštenie šifrovania DVD je fajn, ale raz do roka na konferencii je to pre mňa práve akurát dávka.“
Lisa prikývla. Syntetizátorové arpeggiá z neďalekého stanu sa rozložili do jedného držaného akordu, ktorý visel vo vzduchu ako hmla. Pokračovala, bolo to ako monológ, ktorý niekto náhodou počul: „Vieš, ako Barlow písal v Deklarácii nezávislosti kyberpriestoru… že je to nový priestor pre myseľ. Neznášam slovo kyberpriestor, ale dobre – je to nekonečný priestor, v ktorom sa myseľ môže rozpínať. To, čo sme dnes v noci zažili, mi ukazuje, že to môže byť takmer doslova pravda. Naše mysle preskúmali spoločne úplne nový priestor. Možno sa s tým ešte pohrám.“
„Je to super téma, ktorej sa oplatí venovať. Myslíš však, že to niekam vedie, alebo je to len ‚kyberdelický‘ zážitok?“
To slovo ešte nikdy predtým nepočula. Možno ho nepočul nikto. Možno ho práve vymyslel, poskladal z dostupných dielov. Ale fungovalo.
„Možno,“ povedala. „Ešte neviem.“ Sledovala vzdialený dron, ako kreslí navigačnými svetlami diagonálu cez tmu, červenou a zelenou. „Ale zároveň nemôžeš len tak vyhlásiť nezávislosť kyberpriestoru. Musíš ho vybudovať. Alebo pomáhať stavať. Je už pomerne vyspelý, ale stále je to do veľkej miery nepopísaný list.“
Zacinkal mu telefón. Pozrel naň a strčil ho späť do vrecka. „Prepáč, nechcem ti prerušiť tok myšlienok. Poďme sa rozprávať za chôdze. Ak máš ešte čas, ktorý by si chcela stráviť so mnou, mám ideálnu vec na zakončenie večera.“ Pauza. „Ale najprv sa budeme musieť osprchovať.“
„Jasné,“ povedala, vstávajúc, stierajúc trávu z riflí. „Som zvedavá.“
Kráčali pozdĺž okraja starej rolovacej dráhy, kde popraskaný betón ešte držal zvyšky denného tepla. Niekto nakreslil kriedou rovnice cez jednu betónovú platňu, pravdepodobne súvisiace s raketovým workshopom o pár villages ďalej. Svetelný smog tábora bol držaný na uzde, opatrný – no aj tak pohlcoval tie najmenej žiarivé hviezdy; tie ostatné svietili o to jasnejšie.
„Takže aké veci by podľa teba bolo treba vytvoriť?“ Urobil úvodzovky vo vzduchu okolo ďalších slov. „Pre ‚kyberpriestor.‘ To slovo tiež neznášam.“ Chôdza pomáhala. Myšlienky sa v pohybe uvoľňovali, menej strážili samy seba. „No… najprv musíme zašifrovať internet. Celý. Je úplne sledovaný spôsobmi, ktoré väčšina ľudí ani nezačala chápať. Vládami, súkromnými subjektmi. Ktokoľvek, kto môže niečo získať z počúvania, počúva, a bude to len horšie. Omnoho horšie. Ak nezašifrujeme všetko.“
Chvíľu bol ticho. V akomkoľvek inom kontexte by to, čo práve povedala, mohlo znieť ako úvod ku konšpiračnej teórii. Alebo ako nadšenkyňa do súkromia, ktorá síce cíti problém, no nerozumie celému systému a vidí špiónov za každým routerom. Oboch typov tu bolo dosť, ľudí s teóriami, ľudí s podozreniami, niektorí z nich mali napoly pravdu a napoly boli paranoidní. Ale boli tu aj ľudia ako Bill Binney, čo strávili desaťročia vnútri aparátu a odišli s dôkazmi. A možno preto, že ich mozgové vlny boli stále trochu zosynchronizované, niečo v jej tóne mu našepkalo, že nie je teoretička ani nadšenkyňa. Nešpekulovala.
„Ty o tom niečo vieš, však?“
„Trochu.“ Prikývla. „Ale nie je to také zaujímavé, ako si ľudia myslia. Byrokracie sú ako stroje. Hlúpe stroje, no obrovské, a živia sa dátami. Ľudia sa boja, čo by sa stalo, keby stroje prevzali moc, ale nechápu, že ju prevzali už dávno.“ Prekročila namaľovanú čiaru na asfalte, nejaký pozostatok bývalého života letiska, navigujúci lietadlá, ktoré už neexistovali, k bránam, ktoré už boli demontované. „Kedysi bol počítač človek. Niekto, kto robil výpočty na papieri. A práve tie výpočty sú tie stroje. Algoritmy zapísané v kráľovských dekrétoch, v zákonoch a nariadeniach. Stalo sa to už dávno. Pred desaťročiami, možno stáročiami. Možno keď prvýkrát začali vynucovať používanie priezvisk, aby výbercovia daní vedeli sledovať, kto im čo dlhuje. Len upgradovali z papiera na kremík. Videla som tie sondy. Ich staršiu verziu.“
Prekvapila sa vlastnou otvorenosťou. Nemohla o tom naozaj s nikým hovoriť. S Kevinom áno. A možno s Jamesom, hoci sa vlastne nerozprávali, len zdieľali to isté poznanie, teda ak pochopil USB kľúč, čo mu dala. Tá myšlienka sa jej dotkla niečoho v hrudi a hneď sa odlepila, ako vták, čo si na okamih sadne na drôt a zasa odletí.
Cítila, ako klesá gravitačná konštanta. Akoby vážila polovicu, ako by sa jej telo chcelo nadľahčiť a odlepiť od zeme – tak, ako sa ráno zdvihol Orville, ten mačací dron: neelegantne, ale triumfálne, stúpajúc na vypožičanej fyzike.
„Sprchy.“ Ukázal na mobilný sprchovací pavilón pred nimi. Takto podvečer tam už nebol žiadny rad. Z odtokových kanálov stúpala ľahká para a Lisa sa potešila, že dokonca zostala aj nejaká teplá voda, malý zázrak dieselu a inštalatérskeho umenia.
„Stretneme sa tu,“ povedal a zabočil doľava k mužskej strane.
Lisa nevedela, prečo trval na sprche. Ale keď jej voda dopadla na ramená a stekala po chrbtici, pochopila to telom skôr než mysľou. Teplo v nej niečo rozpustilo. Prúd vody niesol ťarchu, o ktorej si neuvedomovala, že ju nesie – nie preč, skôr cez ňu, cez kožu, do víru odtoku, pridávajúc sa k odtokovej vode päťtisíc ďalších ľudí, ktorí prišli na toto pole. S každou sekundou sa cítila ľahšia. Odľahčená.
Zatvorila kohútik. Ticho prišlo náhle, no počula v ňom kemp dýchať okolo nej, generátory a hudbu, hlasy a kroky – všetko súčasťou jedného organizmu, dočasného a živého. T.A.Z.
Odteraz bude robiť niečo veľmi inak. Možno pomôže stavať nový priestor pre myseľ.
Záver
Všetkým hackerom držím palce, som vďačný za prácu, ktorú robia. Ale ja som sa už dávno posunul k iným veciam. Hackerské techniky idú aplikovať inde (na život, biohacking, cestovanie, …) – návod na to, ako to robiť som popísal v knihe Hackni sa. A najlepšie, ak k hackovaniu nenúti nejaký regulátor. Aj hackovanie by malo byť dobrovoľné, len vtedy je krásne.
Hack the planet!