Anglicky se této metodě říká dumpster diving - ponoření se do smetí. Lze se ovšem setkat i s dalšími názvy, jakými jsou např. binning, d-mart, dumpstering, garbaging, garbage picking, garbage gleaning, skip-raiding, skipping nebo trashing.
Její podstata je velmi jednoduchá: prozkoumat kancelářský nebo domácí odpad s cílem najít něco užitečného. V obecné rovině je pod pojmem "užitečného" míněno absolutně cokoliv - jídlo, oblečení, předměty denní potřeby, spotřební elektronika... Zaměření našeho časopisu ovšem napovídá, že spíše než návodům na získání potravin z popelnic stojících za obchodními domy a restauracemi se budeme věnovat metodám a metodikám, jak tyto techniky využít z hlediska počítačových útoků.
Proč vůbec "jít" do odpadkových košů? Co k tomu hackery vede? Rozhodně ne ekonomická nutnost, nýbrž zpravidla příprava půdy pro nadcházející napadení informačního či jiného systému. "Největší hacker světa" Kevin Mitnick na svých školeních o informační bezpečnosti pravidelně provádí následující úkon. Nechá si přinést z několika kanceláří odpadkové koše, vysype jejich obsah na stůl a přebere jej. A to před zraky všech přítomných. Tvrdí, že se mu ještě nikdy nestalo, že by nenašel nějakou zajímavou a neveřejnou informaci.
A přesně o tom to je: hackery do odpadků neženou fyzické věci (i když i ty se zde občas najdou a jsou vlastně jakousi mimořádnou prémií), nýbrž právě informace. Kritikové této metody namítají, že příliš spoléhá na prvek náhody a že není cílená. Že většina informací potřebných pro provedení útoku se dá získat mnohem pohodlněji a jednodušeji pomocí metod sociálního inženýrství.
Zastánci se naopak brání poměrně logickým argumentem, že "vytěžování" odpadků jim umožňuje o útoku uvažovat v mnohem širších souvislostech. Jinými slovy: nejsou odkázáni na nějaké osobní domněnky nebo kusé informace, ale mohou - byť za cenu náhody - získat další informace, které je jednak mohou nasměrovat k cíli a jednak jim mohou hodně napovědět o možných směrech vedení útoků.
Ostatně tuto metodu nepoužívají pouze hackeři. Zcela běžně ji používá policie v rámci vyšetřování, tajné služby, je to regulérní technika průmyslové špionáže...
Mohl by o tom vyprávět třeba Microsoft, který se v roce 2000 stal terčem podobného útoku. Jistá žena pracující pro detektivní kancelář mající blízko k Bílému domu prý nabídla 1 200 dolarů uklízečům ve firmě Association for Competitive Technology za odpadky z jejích kanceláří. Firma přitom byla lobbystické uskupení, hájící tehdy zájmy Microsoftu v jeho soudních sporech s federální vládou, za což jí softwarový gigant platil určité částky. Další okolnosti případu i jeho vývoj pro nás momentálně nejsou podstatné: podstatné je jen to, že prohledávání odpadků není činem zoufalých hackerů, kteří nevědí kudy kam, ale uznávanou metodou získávání informací.
Na rozdíl od obecně zažitých představ špíny a nečistoty spojených s odpadkovými nádobami je procházení kancelářského odpadu poměrně čistou prací. V podstatě se jedná o papírování - přehrabování hromad papírů, vyhozených CD, kancelářských potřeb apod. Jen výjimečně narazíte - na rozdíl od třeba kuchyňského odpadu - na zbytky potravin (maximálně na obaly od sušenek nebo lógr z kávy).
Co vlastně lze všechno v popelnicích najít a co z toho lze získat? Nejzajímavější věcí, kterou odpadky obsahují, jsou podle všech "prolézačů" žluté poznámkové papírky Post-It. Na ně si v rychlosti píšeme vzkazy nebo podstatné informace, než je přepíšeme do počítače, do diáře, kalendáře... Je to taková přirozená lidská vlastnost: když máme nové heslo (do počítačové sítě nebo třeba k alarmu), nové prostředí, nové informace, tak si je nejprve rychle někam a nějak poznačíme, abychom nezapomněli. Až následně se věnujeme jejich třídění, přičemž původní záznam se stává nepotřebným a končí právě v odpadkovém koši. Samozřejmě, že ne každá čmáranice na žlutém papírku je zajímavá nebo užitečná, ale bavme se v trochu širších souvislostech. Z tisíce vzorků v jedné popelnici jich desítky zaručeně obsahovat zajímavé informace budou.
Kromě rukou psaných poznámek s hodnotou zlata najdeme v odpadcích třeba vyhozené diskety (zvláště dříve), CD nebo DVD nosiče (i z těch špatně vypálených může hacker určité informace získat!), manuály, návrhy smluv, špatně vytištěné dokumenty, nepotřebné vytištěné dokumenty (podívejte se, kolik informací může někdy o komunikujících stranách prozradit běžná e-mailová zpráva!), účetní svodky, výpisy, navštívenky... Zvláště devadesátá léta byla pro hackery rájem, když stálo za to vrhat se i do popelnic v obytných zónách, neboť obecné povědomí o bezpečnosti odpadků bylo nižší než dnes a v kontejnerech bylo možné najít výpisy z účtů, expirované kreditní karty, smlouvy a další osobní informace, které následně vedly k odcizování identit.
Dlužno podotknout, že zlatá éra prolézání odpadků už je nejspíše za námi a že nejvíce z ní těžily zvláště první generace hackerů. Je to dáno mnoha okolnostmi. Dnešní firmy jsou více uzavřené než před dvaceti lety, i popelnice stojí uvnitř jejich soukromých areálů, kde je fyzický přístup pochopitelně obtížný. Firmy se chovají ekologičtěji, takže odpadky třídí a nehodí všechno do popelnic před domem. Podstatným faktem je, že vzrostlo povědomí o (ne)bezpečnosti odpadků: dnes je zacházení i s vysloužilými papírovými dokumenty velmi dobře ošetřeno v bezpečnostních směrnicích a prakticky v každé kanceláři stojí jednoduchá skartovačka.
Situace ještě zdaleka není ideální. A to ani u nás. Svědčí o tom s železnou pravidelností se opakující případy vyhození papírové dokumentace: vysloužilé papírové záznamy u lékařských ordinací, životopisy uchazečů o práci u personálních agentur, návrhy smluv u finančních poradců... Každý z nás si určitě vzpomene na nějaký podobný případ ze svého okolí.
Zajímavou otázkou související s návštěvami odpadkových nádob je (i)legálnost takovéhoto počínání. V první řadě záleží na fyzickém umístění popelnice. Pokud je veřejně přístupná, pak je samozřejmě situace jiná, než když musí útočník vstupovat na soukromý pozemek. Stejně tak se liší legislativa stát od státu. V našich zeměpisných šířkách nejsou návštěvy popelnic nijak legislativně upraveny, takže záleží vždy na okolnostech konkrétního případu. Nicméně jinak třeba i v zemích EU panují na tuto otázku diametrálně odlišné názory. Například v Itálii je přímo zákonem přehrabávání odpadků vysloveně dovoleno. Naopak ve Švédsku zákon praví, že odpadky v jakémkoliv koši automaticky patří majiteli nádoby - striktně vzato, kdokoliv jiný je tedy zloděj.
Příběhy, které historie hackingu zaznamenala v souvislosti s využitím vyhozených informací (a někdy i fyzickým předmětů), jsou zajímavé. Asi největším králem v této oblasti je jistý pan Jerry Schneider z USA, který se v roce 1970 stal majoritním vlastníkem společností Electronics Engineering a CSE (obchodovaly v podstatě s jakoukoliv elektronikou). V červnu 1971 získal právě procházením popelnic před sídlem jednoho ze svých zákazníků, společnosti The Pacific Telephone & Telegraph Company, určité dokumenty týkající nákupů a řízení životního cyklu hardwaru.
Přesná povaha těchto dokumentů zůstává dodnes záhadou, nicméně se znalostí těchto interních informací se Schneiderovi podařil vpravdě husarský kousek. Přiměl The Pacific Telephone & Telegraph Company (a následně to dokázal zopakovat i u firmy Western Electric Company) k prodeji nových elektronických zařízení za cenu použitých a vyřazených. Vzápětí tato zařízení příslušné firmě prodal zpět jako nová! (A ona nová opravdu byla!)
Na celý případ by se sotva přišlo, nebýt nespokojeného bývalého zaměstnance společnosti CSE (jak už to tak bývá), který celý případ oznámil policii. Ta provedla v sídle a skladech Schneiderových firem razii a zabavila elektronické vybavení za 8 000 dolarů. Rozborem účetních dokladů se podařilo prokázat, že obratným nákupem nového zařízení coby vysloužilého a jeho následným zpětným prodejem původnímu majiteli se Schneider obohatil o nejméně 125 000 dolarů. Sám Schneider ale později přiznal, že šlo o zhruba osminásobně vyšší částku...
Osmého února 1972 byl uvězněn a patnáctého května téhož roku shledán vinným z krádeže vybavení v hodnotě 5 000 dolarů a odsouzen. V červenci 1972 byl víceméně symbolicky uvězněn na dva měsíce v zařízení s velmi mírným režimem. Po odsezení čtyřiceti dnů a uhrazení pokuty 500 dolarů byl propuštěn. Velký zisk z přeprodeje a naproti tomu relativně mírný trest svědčí o tom, že jeho obchodní model byl postavený na velmi legální (možná neetické, ale legální) bázi a že se obvinění proti Schneiderovi dávalo dohromady jen obtížně. Faktem je, že přesné detaily případu dodnes nebyly zveřejněny - možná i proto, aby nesváděly k následování...
Nicméně nepočítejme s tím, že prolézání popelnic a využívání v nich objevených informací znamená automaticky beztrestnost. Legislativních otázek je celá řada a přesvědčila se o tom společnosti Advance Machine Company v roce 1983, která z popelnic svého konkurenta Tennant Company získala seznamy klientů - které pak pochopitelně oslovila s vlastní nabídkou. Toto jednání nevedlo k potrestání Tennant Company (za neoprávněné zacházení s osobními údaji), ale Advance Machine Company musela zaplatila pokutu půl milionu dolarů za nekalou obchodní soutěž...
Další "popelnicový" příběh se týká počítačové hry Castle Infinity, která díky odpadu přežila svoji smrt. Jde o freewarový projekt americké neziskové organizace Castle Infinity, Inc. Hra běží prakticky na všech platformách Windows, dále na Macintoshi pod virtuálním PC i na Linuxu pod Wine.
První verze hry byla vydána v roce 1996, vyvinul ji programátor Russell Ginns pod hlavičkou společnosti Starware. Tato firma ale byla několikrát prodána a nakonec skončila v Disneyho impériu. Stejně tak se měnila práva ke hře - různé firmy si ji přehazovaly jako horký brambor, protože její ekonomický model nebyl zajímavý a v podstatě neexistovala šance to změnit. Až všechny servery s touto hrou skončily v odpadu, odkud je ovšem zachránil (jistě ne náhodou) programátor Kevin Quitt (náhodou jeden z předních fanoušků hry). Následovalo založení neziskové organizace Castle Infinity, Inc. - a resuscitace hry, která už jednou skončila (nejen obrazně) na smetišti.
Na závěr ještě svědectví od člověka, který si říká Grifter a je sběratelem odpadků i hackerem zároveň. Nejraději prý vzpomíná na jeden obchod s mobilními telefony (kam se ostatně často vrací, protože jej prý nikdy nezklame), kde během půlhodinového průzkumu popelnice našel následující:
n Deset centimetrů tlustý fascikl s informacemi o zákaznících, včetně domácích telefonních čísel, adres a dalších záznamů.
n Dvě krabice náhradních krytů na mobily.
n Disk plný zákaznických dat.
n Interní finanční údaje o firmě - někdo se je vůbec neobtěžoval vybalit z balíčku doručovatelské služby...
n Seznam managementu firmy včetně osobních kontaktních údajů.
n Instalační CD Windows 98 SE včetně CD klíče.
Grifter své zkušenosti před několika lety představil na hackerské konferenci 2600 a ve stručné podobě jsou k přečtení i na webu http://web.
textfiles.com/hacking/dumpster_diving.txt. Najdete zde spoustu zajímavých postřehů, nápadů, tipů a doporučení, po jejichž přečtení vám už nebude nic bránit vydat se do tajuplného světa popelnic...
PŘEDPLATNÉ
ČLÁNKY DO MAILU