Σκουλήκια, Έφοδοι και Αποκάλυψη (1986–2000)

Ενότητα 2 του Retro Hacking Museum της Offensive Academy

Γιατί αυτή η ενότητα δεν είναι «η συνέχεια»

Η Ενότητα 1 τελείωσε το 1986, με τον νόμο που έκανε τη μη εξουσιοδοτημένη πρόσβαση
ομοσπονδιακό αδίκημα. Το θέμα της ήταν ένα τεχνικό λάθος που επαναλαμβάνεται — η
σηματοδοσία μέσα στο κανάλι δεδομένων, πρόγονος κάθε ευπάθειας έγχυσης.

Αυτή η ενότητα έχει διαφορετικό θέμα:

Ο λόγος που τη διαβάζει ένας operator του 2026 δεν είναι ιστορικός. Είναι ότι σχεδόν κάθε
επαγγελματικός κανόνας που ακολουθεί σήμερα —πώς αναφέρει ένα εύρημα, σε ποιον, πόσο περιμένει,
τι κάνει αν τον αγνοήσουν— γράφτηκε σε αυτή τη δεκαετία, από ανθρώπους που διαφωνούσαν έντονα.

Ισχύει το ίδιο σύστημα επισημάνσεων αξιοπιστίας με την Ενότητα 1:
✓ ΤΕΚΜΗΡΙΩΜΕΝΟ · ◐ ΜΑΡΤΥΡΙΑ · ⚠ ΑΜΦΙΣΒΗΤΟΥΜΕΝΟ · ✕ ΜΥΘΟΣ.

Εποχή Δ΄ — Το σκουλήκι που γέννησε τον θεσμό (1988)

Τι συνέβη

Στις 2 Νοεμβρίου 1988, ένα αυτοδιαδιδόμενο πρόγραμμα κυκλοφόρησε στο ARPANET
✓ ΤΕΚΜΗΡΙΩΜΕΝΟ. Γράφτηκε από τον Robert Tappan Morris, μεταπτυχιακό φοιτητή στο
Cornell ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Το πρόγραμμα δεν είχε καταστροφικό ωφέλιμο φορτίο. Ο δηλωμένος σκοπός του, όπως προβλήθηκε στη
δίκη, ήταν να μετρήσει το μέγεθος του δικτύου ◐ ΜΑΡΤΥΡΙΑ.

Το ελάττωμα ήταν στη λογική επαναμόλυνσης: αντί να σταματά όταν έβρισκε ήδη μολυσμένο μηχάνημα,
επαναλάμβανε τη διαδικασία με πιθανότητα. Το αποτέλεσμα ήταν δεκάδες αντίγραφα ανά μηχάνημα και
πλήρης εξάντληση πόρων ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Ο αριθμός των πληγέντων μηχανημάτων αναφέρεται συνήθως ως περίπου 6.000, ποσοστό γύρω στο
10 % των τότε συνδεδεμένων. ⚠ ΑΜΦΙΣΒΗΤΟΥΜΕΝΟ — η εκτίμηση προέρχεται από σύγχρονες
δημοσιεύσεις και δεν στηρίζεται σε μέτρηση· το ίδιο το μέγεθος του δικτύου ήταν αντικείμενο
εκτίμησης.

Η νομική συνέπεια

Ο Morris καταδικάστηκε βάσει του Computer Fraud and Abuse Act — του νόμου με τον οποίο
έκλεισε η Ενότητα 1 ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ. Ήταν από τις πρώτες καταδίκες υπό αυτόν.

Ο νόμος του 1986 βρήκε το πρώτο του μεγάλο αντικείμενο δύο χρόνια αργότερα. Η Ενότητα 1
τελείωσε με τη θέσπιση· εδώ βλέπουμε την εφαρμογή.

Η θεσμική συνέπεια — αυτή είναι που μένει

Μέσα σε ημέρες, η DARPA χρηματοδότησε τη δημιουργία μιας μόνιμης ομάδας συντονισμού
περιστατικών στο Carnegie Mellon: το CERT Coordination Center, τον Νοέμβριο του 1988
✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Το αμυντικό μάθημα

Δύο, και ισχύουν αυτούσια:

Η πρόθεση δεν περιορίζει την επίπτωση. Ο συγγραφέας δεν σκόπευε να ρίξει τίποτα. Ένα
σφάλμα σε μία γραμμή λογικής μετέτρεψε ένα πείραμα σε άρνηση υπηρεσίας πανεθνικής κλίμακας.
Είναι ο λόγος που το L14 επιμένει τόσο στον χρονισμό και το L20 στην ενεργητική σάρωση:
η ενέργεια που «απλώς μετρά» παράγει φορτίο, και το φορτίο δεν ρωτά τι σκόπευες.

Η αυτοδιάδοση είναι κατηγορία, όχι τεχνική. Το ίδιο μοτίβο —διάδοση χωρίς ανθρώπινη
ενέργεια— επανεμφανίζεται σε κάθε δεκαετία, με άλλο μέσο. Το χρονολόγιο κακόβουλου λογισμικού
της Ακαδημίας το παρακολουθεί ρητά.

Εποχή Ε΄ — Οι έφοδοι, και η δίκη που έθεσε το όριο (1990)

Το πλαίσιο

Στα τέλη της δεκαετίας του ’80 η υπόγεια κουλτούρα είχε δικά της μέσα: το 2600: The Hacker
Quarterly από το 1984 και το ηλεκτρονικό Phrack από το 1985 ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ. Οι
πίνακες ανακοινώσεων (BBS) ήταν ο τόπος συνάντησης.

Οι αρχές έβλεπαν ένα δίκτυο εγκλήματος. Οι συμμετέχοντες έβλεπαν έναν τόπο συζήτησης. Και οι
δύο είχαν εν μέρει δίκιο, και αυτή η αμφισημία είναι όλη η ιστορία της εποχής.

Η Επιχείρηση Sundevil

Τον Μάιο του 1990, η Μυστική Υπηρεσία των ΗΠΑ εκτέλεσε συντονισμένες έφοδο σε πολλές
πολιτείες, με κατασχέσεις υπολογιστών και συστημάτων BBS ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Ο αριθμός των διώξεων που προέκυψαν ήταν δυσανάλογα μικρός σε σχέση με την έκταση των
κατασχέσεων ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ. Πολλά μηχανήματα κρατήθηκαν για μεγάλα διαστήματα χωρίς να
απαγγελθούν κατηγορίες στους κατόχους τους.

Η υπόθεση Steve Jackson Games

Η υπόθεση που έχει σημασία δεν είναι η μεγαλύτερη — είναι αυτή που έθεσε όριο.

Τον Μάρτιο του 1990, η Μυστική Υπηρεσία εκτέλεσε έρευνα στα γραφεία της Steve Jackson
Games, μιας εκδοτικής εταιρείας επιτραπέζιων παιχνιδιών, και κατέσχεσε υπολογιστές
✓ ΤΕΚΜΗΡΙΩΜΕΝΟ. Ανάμεσά τους ήταν το μηχάνημα που εξυπηρετούσε το BBS της εταιρείας, με
την ιδιωτική αλληλογραφία των χρηστών του.

Η εταιρεία δεν ήταν στόχος έρευνας για δικό της αδίκημα. Το υπό έκδοση βιβλίο που φέρεται να
προκάλεσε το ενδιαφέρον ήταν εγχειρίδιο παιχνιδιού ρόλων ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Η εταιρεία προσέφυγε. Το 1993 το δικαστήριο έκρινε υπέρ της, με σκεπτικό που αφορούσε την
προστασία της ηλεκτρονικής αλληλογραφίας και την προστασία του εκδοτικού υλικού
✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Η γέννηση της νομικής υπεράσπισης

Τον Ιούλιο του 1990 ιδρύθηκε το Electronic Frontier Foundation από τους Mitch Kapor,
John Perry Barlow και John Gilmore ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ. Η αφορμή ήταν ακριβώς αυτό το
κύμα ερευνών ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Δεύτερος θεσμός, μέσα σε δύο χρόνια από τον πρώτο. Ο πρώτος ήταν για την άμυνα των
συστημάτων· ο δεύτερος για την άμυνα των ανθρώπων.

Εποχή ΣΤ΄ — Η αποκάλυψη γίνεται πρόβλημα (1993–2000)

Εδώ βρίσκεται το πρακτικά χρησιμότερο μέρος αυτής της ενότητας.

Το ερώτημα

Βρίσκεις ευπάθεια σε λογισμικό που χρησιμοποιούν χιλιάδες. Τι κάνεις;

Στις αρχές της δεκαετίας του ’90 η απάντηση ήταν: το λες στον κατασκευαστή και περιμένεις. Η
εμπειρία πολλών ήταν ότι δεν συνέβαινε τίποτα — καμία απάντηση, καμία διόρθωση, και σε
ορισμένες περιπτώσεις νομικές απειλές αντί για ευχαριστίες ◐ ΜΑΡΤΥΡΙΑ.

Η απάντηση: πλήρης αποκάλυψη

Το 1993 ξεκίνησε η λίστα αλληλογραφίας Bugtraq ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ. Η αρχή της ήταν
απλή και ριζοσπαστική: δημοσίευσε τα πάντα, δημόσια, αμέσως.

Το επιχείρημα δεν ήταν η ανευθυνότητα. Ήταν ότι:

• Ο κατασκευαστής διορθώνει μόνο υπό πίεση
• Ο διαχειριστής χρειάζεται να ξέρει, ώστε να αμυνθεί μόνος του
• Η μυστικότητα ευνοεί όποιον έχει ήδη την πληροφορία — και κάποιος πάντα την έχει

Το αντεπιχείρημα ήταν εξίσου σοβαρό: η δημοσίευση οπλίζει και όσους δεν είχαν την ικανότητα
να τη βρουν μόνοι τους, μέσα σε ένα παράθυρο όπου δεν υπάρχει διόρθωση.

Και η διαμάχη δεν έχει λήξει: κάθε φορά που λήγει μια προθεσμία χωρίς διόρθωση, ξαναγίνεται
από την αρχή.

Η γνώση γίνεται μεταδόσιμη

Το 1996 δημοσιεύτηκε στο Phrack το κείμενο «Smashing the Stack for Fun and Profit» του
Aleph One ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Η σημασία του δεν είναι ότι ανακάλυψε την τεχνική — δεν την ανακάλυψε. Είναι ότι την εξήγησε
τόσο καθαρά ώστε να γίνει διδακτέα. Πριν από αυτό, η γνώση μεταδιδόταν από άτομο σε άτομο.
Μετά, διαβαζόταν.

Είναι το ίδιο πράγμα που κάνει το υλικό που διαβάζεις τώρα — και ο λόγος που η Ακαδημία
επιμένει τόσο στο ερώτημα «τι διδάσκουμε και σε ποιον».

Το κοινό λεξιλόγιο

Το 1999 το MITRE παρουσίασε τον κατάλογο CVE ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Το πρόβλημα που έλυνε ήταν ταπεινό και τεράστιο: δύο εργαλεία ονόμαζαν το ίδιο σφάλμα
διαφορετικά, και κανείς δεν μπορούσε να πει αν μιλούσαν για το ίδιο πράγμα.

Οι hackers στη Γερουσία

Στις 19 Μαΐου 1998, επτά μέλη της ομάδας L0pht κατέθεσαν ενώπιον επιτροπής της
Γερουσίας των ΗΠΑ, με τα ψευδώνυμά τους ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Δήλωσαν ότι θα μπορούσαν να καταστήσουν το Internet μη λειτουργικό μέσα σε περίπου 30 λεπτά
[ΤΕΚΜΗΡΙΩΜΕΝΟ ως δήλωση]. Το κατά πόσο ήταν τεχνικά ακριβές παραμένει
⚠ ΑΜΦΙΣΒΗΤΟΥΜΕΝΟ — αναφερόταν σε αδυναμίες πρωτοκόλλων δρομολόγησης της εποχής, και δεν
δοκιμάστηκε ποτέ.

Η σημασία δεν είναι ο ισχυρισμός. Είναι ότι το κράτος κάλεσε αυτούς τους ανθρώπους ως
εμπειρογνώμονες — οκτώ χρόνια μετά τις έφοδοι της §3.

Η τεχνική αρχή: το ίδιο λάθος, σε άλλο υλικό

Εδώ η Ενότητα 2 συναντά την Ενότητα 1, και δεν είναι σύμπτωση.

Η Ενότητα 1 έδειξε το in-band signalling: οι εντολές ελέγχου ταξίδευαν στο ίδιο κανάλι με
τα δεδομένα του χρήστη, οπότε ό,τι μπορούσε να παραγάγει δεδομένα μπορούσε να διατάξει το
σύστημα.

Η υπερχείλιση μνήμης είναι η ίδια ακριβώς αστοχία, μέσα σε ένα πρόγραμμα.

Ένα πρόγραμμα κρατά σε γειτονικές θέσεις μνήμης δύο πράγματα διαφορετικής φύσης: τα δεδομένα
που επεξεργάζεται, και την πληροφορία ελέγχου που λέει πού θα συνεχίσει η εκτέλεση όταν
τελειώσει η τρέχουσα εργασία.

Αν το πρόγραμμα αντιγράψει δεδομένα χωρίς να ελέγξει το μέγεθός τους, τα δεδομένα περνούν
πάνω από το όριό τους και φτάνουν εκεί όπου φυλάσσεται η πληροφορία ελέγχου.

Το ίδιο σφάλμα, τρίτη φορά, θα το δεις στο L17 §4Α: η είσοδος του χρήστη καταλήγει κάπου
που την εκτελεί αντί να την αποθηκεύσει.

Και η άμυνα είναι η ίδια και στις τρεις: διαχώρισε τα κανάλια. Ξεχωριστό δίκτυο
σηματοδοσίας· έλεγχος ορίων και μηχανισμοί που κάνουν τη ροή ελέγχου μη εγγράψιμη·
παραμετροποιημένα ερωτήματα.

Αν κρατήσεις ένα πράγμα από ολόκληρο το μουσείο, κράτα αυτό: το ίδιο δομικό λάθος έχει
επανεμφανιστεί σε κάθε νέο υπόστρωμα υπολογισμού που εφευρέθηκε, και θα επανεμφανιστεί στο
επόμενο. Η ερώτηση «πού ανακατεύονται εδώ τα δεδομένα με τον έλεγχο;» είναι η πιο παραγωγική
που μπορείς να κάνεις σε άγνωστο σύστημα.

Εποχή Ζ΄ — Η ασφάλεια γίνεται προϊόν (1994–2000)

Τι άλλαξε

Μέχρι τις αρχές της δεκαετίας του ’90, η ασφάλεια ήταν δραστηριότητα: κάτι που έκανε ένας
διαχειριστής με τα εργαλεία που είχε. Μέσα σε λίγα χρόνια έγινε αγορά.

Τρία πράγματα το προκάλεσαν, και τα τρία είναι ακόμη ορατά στη δουλειά σου:

Το εμπορικό Internet. Όταν οι επιχειρήσεις άρχισαν να συνδέονται, απέκτησαν κάτι που
μπορούσε να χαθεί. Η ζήτηση δεν ήταν για γνώση — ήταν για προϊόν που να αγοράζεται.

Το τείχος προστασίας ως αντικείμενο. Η ιδέα του ελεγχόμενου σημείου διέλευσης έγινε
συσκευή με τιμοκατάλογο. Είναι η πρώτη φορά που η ασφάλεια αποκτά θέση στον προϋπολογισμό.

Ο αυτόματος σαρωτής. Εργαλεία που απαριθμούσαν συστηματικά αδυναμίες εμφανίστηκαν στα μέσα
της δεκαετίας και προκάλεσαν αμέσως τη διαμάχη που δεν έχει λήξει: το ίδιο εργαλείο
χρησιμεύει και στις δύο πλευρές, και η διαθεσιμότητά του θεωρήθηκε από πολλούς
ανευθυνότητα ◐ ΜΑΡΤΥΡΙΑ.

Το δίδαγμα που κουβαλάς

Η εμπορευματοποίηση έφερε πραγματικά καλά: χρηματοδότηση, επαγγελματικές διαδρομές, το γεγονός
ότι υπάρχει δουλειά να κάνεις.

Έφερε και μια στρέβλωση που θα συναντήσεις σε κάθε ανάθεση: τα μέτρα που αγοράζονται
προηγούνται των μέτρων που απλώς πρέπει να γίνουν. Το L12 §6 το λέει με αριθμούς — η
αφαίρεση αχρησιμοποίητης επιφάνειας αποδίδει περισσότερο από κάθε συσκευή, και δεν πουλά
τίποτα σε κανέναν.

Χρονολόγιο

Μύθοι και παρανοήσεις

Τι θα δείτε στην αίθουσα

Τρία μη λειτουργικά εκθέματα. Κανένα δεν συνδέεται σε δίκτυο και κανένα δεν εκτελεί
πραγματικές εντολές.

• Ο πίνακας ανακοινώσεων. Αναπαράσταση συνόδου BBS με modem 2400 baud: το μενού, οι
  περιοχές μηνυμάτων, ο χρόνος αναμονής. Ο επισκέπτης βλέπει γιατί αυτά τα μέρη ένωναν
  ανθρώπους — και γιατί η κατάσχεση ενός τέτοιου μηχανήματος έπαιρνε μαζί της την
  αλληλογραφία δεκάδων αγνώστων (§3).

• Το ράφι των εντύπων. Αντίγραφα τευχών της εποχής, ανοιχτά σε σελίδες τεχνικής
  εξήγησης, όχι οδηγιών. Δίπλα, το ερώτημα που όρισε τη δεκαετία, τυπωμένο: «Βρήκες κάτι.
  Σε ποιον το λες, και πόσο περιμένεις;»

• Ο τοίχος της αποκάλυψης. Δύο στήλες, τα δύο επιχειρήματα της §4, με τα δυνατά σημεία
  και των δύο. Χωρίς συμπέρασμα στο κάτω μέρος — γιατί δεν υπάρχει, και η προσποίηση ότι
  υπάρχει θα ήταν κακή διδασκαλία.

Ερωτήσεις κατανόησης

1. Ο συγγραφέας του σκουληκιού του 1988 δεν σκόπευε να προκαλέσει ζημιά. Γιατί αυτό δεν
   αλλάζει τη νομική του θέση, και ποια σύγχρονη ενέργεια της δουλειάς σου έχει το ίδιο
   χαρακτηριστικό;
2. Η υπόθεση Steve Jackson Games αφορούσε δεδομένα τρίτων μέσα σε κατασχεμένο μηχάνημα.
   Ποιος κανόνας του L24 προκύπτει από την ίδια αρχή;
3. Διατύπωσε το ισχυρότερο επιχείρημα υπέρ της πλήρους αποκάλυψης, και το ισχυρότερο
   εναντίον της. Ποιο μισό κράτησε ο σημερινός κανόνας;
4. Το CVE γεννήθηκε ως λύση σε πρόβλημα ονοματοδοσίας. Πώς οδηγεί αυτό στην παρανόηση που
   διορθώνει το L23 §2;
5. Σε οκτώ χρόνια, οι ίδιοι άνθρωποι πέρασαν από στόχοι ερευνών σε μάρτυρες εμπειρογνώμονες.
   Τι άλλαξε — αυτοί, ή το τι χρειαζόταν το κράτος;
6. Η υπερχείλιση μνήμης και η σηματοδοσία μέσα στο κανάλι είναι το ίδιο δομικό λάθος.
   Διατύπωσέ το με μία πρόταση που ισχύει και για τα δύο, και βρες ένα τρίτο παράδειγμα
   από τη δική σου εμπειρία.
7. Η σύγχυση μεταξύ σάρωσης και ελέγχου διείσδυσης γεννήθηκε ως εμπορικό μήνυμα (§5). Γιατί
   επιβιώνει τριάντα χρόνια μετά, και ποιος έχει συμφέρον να επιβιώνει;