SECURITATE / Hackersblog, spaima site-urilor

În 7 zile, “hacker”-ul Unu a demonstrat lumii întregi vulnerabilităţi ale site-urilor deţinute de marii producători de soluţii de securitate informatică. Toate acţiunile sunt dezvăluite pe site-ul românesc Hackersblog.org. Am stat de vorbă cu unul dintre membrii acestei comunităţi, care ţine să precizeze aspectele pozitive ale activităţilor grupării.

Să spargi un site, să furi baza de date (cu tot ce presupune asta) este deja un “business” global de milioane şi milioane de euro. Aceşti cyber-infractori mai sunt cunoscuţi şi ca “blackhats”. Dar există şi băieţi inteligenţi pentru care găsirea vulnerabilităţilor unui site este un hobby, o pasiune născută din dorinţa de a trage un semnal de alarmă. Ei sunt “whitehats”, iar activitatea lor este undeva la limita legii. Poate cea mai cunoscută echipă de acest gen, prin acţiunile din ultimul timp, este hackersblog.org:

6 membri cu vârste cuprinse între 18 şi 35 de ani. Unii dintre ei sunt programatori web, iar acest “hobby” îi ajută să-şi extindă cunoştinţele din domeniul Securităţii pentru a putea, la rândul lor, să protejeze cât mai eficient aplicaţiile web pe care le dezvoltă.

“Deja o mică parte (dar reprezentativă) a comunităţii blackhat din România începe să ne ajute prin împărtăşirea micilor secrete. Din clipa în care expunem metodele lor publicului larg, efectele unor atacuri din domeniul IT vor scădea simţitor sau vor putea fi prevenite. Avem mult de muncă până vom reuşi să convingem o parte din membrii comunităţillor blackhat că şi etica poate aduce recunoaşterea pe care şi-o doresc”, ne-a declarat “Tocsixu”, unul dintre membrii echipei Hackersblog.org.

NON-PROFIT
“Nu răspundem la cereri de nici un fel, nici măcar la cererile de testare. În general alegem domenii la întâmplare, dar le preferăm pe cele mai cunoscute, pentru a avea un impact mai mare în mintea oamenilor”, spune Tocsixu. I s-a întâmplat totuşi să i se ceară detalii picante în privinţa concurenţilor, cerere venită din partea unei firme-gigant din afară. Singurele lucruri care i-au oprit să vândă vulnerabilităţile găsite sau să se folosească de informaţiile obţinute au fost etica şi frica de repercusiuni. În cazul hackersblog.org, etica îşi spune cuvântul. “Încercăm să promovăm metodele legale de hacking, iar faptul că îi anunţăm pe administratorii domeniilor dovedeşte că intenţiile noastre sunt bune. Noi nu salvăm datele confidenţiale ale oamenilor, aflate în site-urile vulnerabile. Este ilegal, iar dacă vom avea ocazia să îi demascăm pe cei care extrag bazele de date din site-uri sparte şi le vând sau le folosesc, o vom face fără ezitare.”

Potrivit lui Tocsixu, activităţile ilegale (frauda) vor exista întotdeauna, indiferent de ţară şi de nivelul de trai. Firea umană este şi va fi ghidată de dorinţa de a face bani cât mai mulţi, indiferent de naţie. Adrenalina, satisfacţia de a păcali lumea, gândul că la vară îţi poţi lua o supermaşină din banii furaţi pot avea la rândul lor o contribuţie importantă în privinţa acestui subiect. Comunităţile “whitehat” există de foarte mulţi ani şi în România, dar din păcate acţiunile lor sunt băgate în aceeaşi categorie în care se află şi activităţile ilegale pe internet. “Atât timp cât prezentatorul X va continua să spună la televizor că “un hacker a spart site-ul cutare” şi “un hacker a furat banii oamenilor folosindu-se de metode phishing”, nici un om cu cunoştinţe IT minime nu va face diferenţa între ce înseamnă Securitate şi ce înseamnă fraudă. De aici şi până la a condamna orice acţiune, fie ea şi whitehat, nu este cale lungă. Deja se întâmplă, din păcate, şi ne-am lovit de habarnismul românilor, care ne spuneau că suntem hoţi şi facem o reclamă negativă ţării noastre, în timp ce site-urile mari din afară ne dedicau articole pozitive şi încurajatoare”, spune Tocsixu. Potrivit acestuia, românii când aud de hacking se gândesc doar la puştani care folosesc diferite scripturi publice pentru a sparge şi a provoca pagube. Realitatea este că tocmai din cauza acestor idei preconcepute lumea ignoră faptul că există oameni care chiar ştiu să capete acces în anumite sisteme sau la anumite informaţii, prin metode care nu sunt la dispoziţia publicului larg.

SFATURI ŞI AVERTISMENTE
Tester-ii de la hackersblog lansează şi o serie de sfaturi la adresa proprietarilor şi dezvoltatorilor de site-uri. “A te zgârci la bani când este vorba de securitatea afacerii tale denotă lipsă de profesionalism. Principalii vinovaţi pe care mereu îi vom arăta cu degetul vor fi proprietarii domeniilor care nu investesc destul pentru testele de securitate”, avertizează Tocsixu. În ritmul în care se mişcă lucrurile, cel puţin în România, “ne e groază când ne gândim la ce se va întâmpla, când shopurile online vor introduce opţiunea de plată prin cărţi de credit şi proprietarii acestor magazine online se vor ocupa de procesarea şi stocarea datelor de pe cardurile clienţilor şi vor ţine pe serverele lor asemenea date. E imposibil ca măcar o mică parte dintre ele să nu fie vulnerabile. Iar când ne uităm la situaţia actuală a securităţii IT din România totul devine extrem de îngrijoră-tor”. “În încheiere, dorim să spunem câte ceva şi tehnicienilor. A scrie un cod vulnerabil nu înseamnă neapărat că nu eşti un bun programator sau coder. A avea la dispoziţie timpul necesar pentru a-ţi testa munca şi totuşi să lansezi pe piaţă ceva vulnerabil e de neiertat”, a concluzionat Tocsixu.