Βιομηχανία, Κράτη και Κληρονομημένη Εμπιστοσύνη (2000–2021)

Ενότητα 3 του Retro Hacking Museum της Offensive Academy

Η θέση αυτής της ενότητας

Η Ενότητα 2 έδειξε τους αμυνόμενους να αποκτούν θεσμούς: ομάδες περιστατικών, νομική
υπεράσπιση, κανόνες αποκάλυψης, κοινό λεξιλόγιο.

Αυτή η ενότητα δείχνει δύο πράγματα να συμβαίνουν ταυτόχρονα:

Το δεύτερο είναι το σοβαρότερο. Επί δεκαετίες η άμυνα οργανωνόταν γύρω από μια γραμμή: μέσα και
έξω, έμπιστο και μη έμπιστο. Μεταξύ 2007 και 2020 αυτή η γραμμή διαλύθηκε — και οι
περισσότεροι οργανισμοί συνέχισαν να υπερασπίζονται ένα σχήμα που δεν περιέγραφε πια τίποτα.

Ισχύουν οι ίδιες επισημάνσεις: ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ · ◐ ΜΑΡΤΥΡΙΑ ·
⚠ ΑΜΦΙΣΒΗΤΟΥΜΕΝΟ · ✕ ΜΥΘΟΣ.

Μια διαφορά από τις προηγούμενες ενότητες, που πρέπει να δηλωθεί

Οι Ενότητες 1 και 2 περιγράφουν περιόδους που έχουν κλείσει. Τα γεγονότα τους έχουν
δικαστικά έγγραφα, αρχεία και απόσταση. Γι’ αυτό φέρουν πυκνές επισημάνσεις τεκμηρίωσης: υπάρχει
τι να τεκμηριωθεί.

Αυτή η ενότητα είναι διαφορετική, και όχι επειδή ερευνήθηκε λιγότερο.

Πρακτικά αυτό σημαίνει ότι η ενότητα κάνει λιγότερους ιστορικούς ισχυρισμούς και περισσότερες
ρητές κρίσεις. Οι κρίσεις είναι σημειωμένες ως τέτοιες στο κείμενο. Όπου υπάρχει γεγονός,
φέρει ένδειξη· όπου υπάρχει ανάγνωση, το λέμε.

Είναι η ίδια πειθαρχία που ζητά το L22 §5 από τον αναλυτή: «ανώμαλο» είναι κρίση ως προς
προσδοκία, και χωρίς δηλωμένη προσδοκία είναι εντύπωση. Η ιστορία που γράφεται από μέσα έχει
το ίδιο πρόβλημα, και η μόνη τίμια απάντηση είναι να το πεις.

Εποχή Η΄ — Το έγκλημα γίνεται βιομηχανία (2003–2016)

Τι άλλαξε

Μέχρι τις αρχές της δεκαετίας του 2000, το κακόβουλο λογισμικό ήταν κυρίως επίδειξη:
διαδιδόταν, εμφάνιζε κάτι, προκαλούσε χάος. Δεν έβγαζε χρήματα.

Η μετάβαση σε κερδοφόρα δραστηριότητα άλλαξε τα πάντα — και το άλλαξε με τον τρόπο που
αλλάζει κάθε δραστηριότητα όταν γίνεται επιχείρηση: με καταμερισμό εργασίας.

Κανένας δεν χρειάζεται να ξέρει τα πάντα. Είναι ακριβώς η δομή που κάνει μια βιομηχανία
ανθεκτική: η σύλληψη ενός ρόλου δεν σταματά την αλυσίδα.

Οι δύο μηχανές του κέρδους

Η κλοπή διαπιστευτηρίων για άμεση οικονομική εκμετάλλευση. Το κακόβουλο λογισμικό παύει να
θέλει θέαμα και θέλει να μη γίνει αντιληπτό — γιατί η αξία του είναι η διάρκεια.

Ο εξαναγκασμός. Η κρυπτογράφηση δεδομένων με απαίτηση πληρωμής μετέτρεψε κάθε οργανισμό
σε δυνητικό θύμα, ανεξάρτητα από το τι είχε. Δεν χρειάζεται να αξίζουν τα δεδομένα σου σε
κάποιον άλλον — αρκεί να αξίζουν σε σένα.

Το αμυντικό μάθημα

Η αντοχή έγινε το ζητούμενο, όχι η αποτροπή. Αντίγραφα ασφαλείας που δοκιμάζονται,
διαχωρισμός δικτύου, σχέδιο ανάκτησης. Είναι ο λόγος που το L06 επιμένει ότι το snapshot
είναι μέτρο ανάκτησης — η ίδια λογική, στο μικρό.

Και το πρακτικό, για την ίδια τη δουλειά σου: η απογραφή έγινε προϋπόθεση. Δεν μπορείς να
ανακτήσεις ό,τι δεν ήξερες ότι είχες (L12 §3, L23 §6).

Εποχή Θ΄ — Τα κράτη στο φως (2010–2021)

Η στιγμή

Το 2010 εντοπίστηκε κακόβουλο λογισμικό σχεδιασμένο να επηρεάσει βιομηχανικό εξοπλισμό,
όχι δεδομένα ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ. Ήταν εξαιρετικά στοχευμένο και τεχνικά πολύ πάνω από ό,τι
κυκλοφορούσε.

Δεν αποδίδεται εδώ σε κανένα κράτος. Υπάρχουν εκτενείς δημοσιογραφικές αναφορές και
δηλώσεις αξιωματούχων· δεν υπάρχει επίσημη ανάληψη ευθύνης ⚠ ΑΜΦΙΣΒΗΤΟΥΜΕΝΟ. Η
Ακαδημία δεν αποδίδει επιχειρήσεις σε κράτη χωρίς επίσημη επιβεβαίωση, και αυτό ισχύει και εδώ.

Τι άλλαξε πραγματικά — ανεξάρτητα από το ποιος το έκανε

Το λογισμικό έγινε μέσο με φυσική επίπτωση. Μέχρι τότε, η ζημιά ήταν δεδομένα, χρήματα,
διαθεσιμότητα. Από εκεί και μετά, μπορούσε να είναι μηχανήματα.

Το εύρος του δυνατού αντιπάλου διευρύνθηκε. Ένας οργανισμός που μοντελοποιεί απειλές
αναγκάζεται να συμπεριλάβει αντιπάλους με πόρους κράτους: χρόνο, χρήμα, πρόσβαση σε
πληροφορία που κανείς άλλος δεν έχει.

Και εδώ χρειάζεται ειλικρίνεια. Απέναντι σε τέτοιον αντίπαλο, η στοχευμένη άμυνα ενός
μεσαίου οργανισμού δεν είναι ρεαλιστικός σκοπός. Ο ρεαλιστικός σκοπός είναι να μην πέσεις
από τα ίδια πράγματα που ρίχνουν όλους τους άλλους.

Η απόδοση ως πειθαρχία

Η περίοδος γέννησε επίσης ένα ολόκληρο αντικείμενο: πώς αποδίδεις μια επιχείρηση σε δράστη.

Και μαζί του, τα όριά του. Η απόδοση στηρίζεται σε συνδυασμό τεχνικών δεικτών, μοτίβων
συμπεριφοράς, χρονισμού και συμφραζομένων — όλα πλαστογραφήσιμα σε κάποιον βαθμό.

Είναι, δομικά, το ίδιο πρόβλημα που έχεις όταν γράφεις εύρημα: πόσο αντέχει ο ισχυρισμός σου,
και τι ακριβώς τον στηρίζει (L22 §4, L15 §10). Η διαφορά είναι μόνο η κλίμακα των
συνεπειών.

Εποχή Ι΄ — Το σύνορο διαλύεται (2007–2020)

Η σημαντικότερη αλλαγή της περιόδου δεν ήταν επίθεση. Ήταν αρχιτεκτονική.

Τι το διέλυσε

Η αντικατάσταση

Αν το σύνορο δεν είναι πια η τοποθεσία, τι είναι;

Ένα διαπιστευτήριο δεν είναι πλέον «ένα βήμα προς την επιφάνεια». Είναι η επιφάνεια. Το
L12 §2 το λέει ως παρατήρηση για το σήμερα· εδώ φαίνεται από πού ήρθε.

Και η δεύτερη συνέπεια, που άργησε να γίνει αποδεκτή: το «είμαι μέσα στο δίκτυο» έπαψε να
είναι απόδειξη οτιδήποτε. Η αρχή που προέκυψε — να μην τεκμαίρεται εμπιστοσύνη από τη
θέση — είναι απλή να διατυπωθεί και δύσκολη να εφαρμοστεί, γιατί απαιτεί να ξέρεις τι
υπάρχει πριν αποφασίσεις ποιος το φτάνει.

Γι’ αυτό η απογραφή επανέρχεται σε κάθε ενότητα αυτού του μουσείου.

Η τεχνική αρχή: το ίδιο λάθος, ένα επίπεδο ψηλότερα

Κάθε ενότητα του μουσείου έχει το αγκυροβόλιό της, και είναι το ίδιο λάθος κάθε φορά.

Η κληρονομημένη εμπιστοσύνη

Ένας οργανισμός ελέγχει τα δικά του συστήματα. Και μετά εγκαθιστά ενημερώσεις από
προμηθευτή, φορτώνει βιβλιοθήκες που έγραψαν άγνωστοι, δίνει πρόσβαση σε συνεργάτες,
εμπιστεύεται πιστοποιητικά που εξέδωσε τρίτος.

Καμία από αυτές τις σχέσεις δεν ελέγχεται με την αυστηρότητα που ελέγχει τα δικά του.

Η επίθεση εφοδιαστικής αλυσίδας δεν παραβιάζει τον στόχο. Παραβιάζει κάποιον που ο στόχος
έχει ήδη αποφασίσει να εμπιστεύεται, και μπαίνει από την πόρτα που είναι ήδη ανοιχτή —
συχνά με έγκυρη υπογραφή.

Η άμυνα είναι, ξανά, η ίδια: διαχώρισε. Ελάχιστα δικαιώματα για κάθε σχέση εμπιστοσύνης,
επαλήθευση ανεξάρτητη από την πηγή, και απογραφή του τι εμπιστεύεσαι — που σχεδόν κανείς
δεν έχει.

Το L12 §2 το ονομάζει «εφοδιαστική επιφάνεια» και σημειώνει ότι δεν εμφανίζεται σε κανένα
μητρώο. Τώρα ξέρεις γιατί αυτό είναι δομικό και όχι αμέλεια.

Εποχή Κ΄ — Η αποκάλυψη βρίσκει αγορά (2010–)

Η Ενότητα 2 άφησε τη διαμάχη της αποκάλυψης ανοιχτή: δημοσίευσε τα πάντα αμέσως, ή
περίμενε τον κατασκευαστή που ίσως δεν απαντήσει ποτέ.

Η λύση που επικράτησε δεν ήταν επιχείρημα. Ήταν κίνητρο.

Τα προγράμματα αμοιβής για ευρήματα υπήρχαν από τα μέσα της δεκαετίας του ’90
✓ ΤΕΚΜΗΡΙΩΜΕΝΟ, αλλά έγιναν κανονικότητα μετά το 2010, όταν μεγάλες εταιρείες τα υιοθέτησαν
συστηματικά ✓ ΤΕΚΜΗΡΙΩΜΕΝΟ.

Τι έλυσαν: έδωσαν δίαυλο και λόγο να τον χρησιμοποιήσεις. Ο ερευνητής παίρνει
αναγνώριση και πληρωμή· ο κατασκευαστής μαθαίνει πριν το μάθει κάποιος άλλος.

Τι δεν έλυσαν:

• Καλύπτουν όσους έχουν πρόγραμμα. Οι περισσότεροι οργανισμοί δεν έχουν
• Η συμμετοχή δεν είναι εξουσιοδότηση για τα πάντα — έχουν εύρος, και εκτός εύρους είσαι
  εκτεθειμένος όπως πάντα (L02)
• Δεν αντικαθιστούν ελέγχους με δηλωμένη κάλυψη (L18 §4) — πληρώνουν για ό,τι βρέθηκε,
  όχι για ό,τι εξετάστηκε
• Η αγορά αποτιμά τις ευπάθειες, και υπάρχουν αγοραστές που δεν τις αναφέρουν
  [ΑΜΦΙΣΒΗΤΟΥΜΕΝΟ ως προς την έκταση]

Χρονολόγιο

Οι ακριβείς ημερομηνίες και ονομασίες τεκμηριώνονται στο χρονολόγιο κακόβουλου λογισμικού της
Ακαδημίας, όπου κάθε εγγραφή έχει τις δικές της πηγές.

Μύθοι και παρανοήσεις

Τι σημαίνουν οι τρεις ενότητες μαζί

Το μουσείο δεν είναι χρονολόγιο. Είναι ένα επιχείρημα σε τρεις κινήσεις, και εδώ κλείνει.

Τρία πράγματα που προκύπτουν για τη δουλειά σου

Η ερώτηση της Ενότητας 1 δεν παλιώνει. Κάθε φορά που συναντάς άγνωστο σύστημα —υπολογιστικό
υπόστρωμα που δεν υπήρχε όταν γράφτηκε αυτό το κείμενο, συμπεριλαμβανομένου— η παραγωγικότερη
ερώτηση παραμένει: πού ανακατεύονται εδώ αυτό που δίνει ο χρήστης με αυτό που καθορίζει τι
γίνεται;

Οι κανόνες σου έχουν συγγραφείς. Το RoE, η προθεσμία αποκάλυψης, η δήλωση κάλυψης — κανένα
δεν είναι αυτονόητο. Γράφτηκαν από ανθρώπους που διαφωνούσαν, μετά από περιστατικά που κόστισαν.
Όταν σου φαίνονται γραφειοκρατία, θυμήσου ότι κάθε ένα από αυτά είναι απάντηση σε κάτι που
πήγε στραβά.

Η απογραφή είναι το επαναλαμβανόμενο συμπέρασμα. Εμφανίζεται και στις τρεις ενότητες, από
διαφορετική κατεύθυνση κάθε φορά: δεν μπορείς να προστατεύσεις, να ανακτήσεις, ούτε να
εμπιστευτείς ό,τι δεν ξέρεις ότι έχεις. Είναι το βαρετότερο εύρημα που θα παραδώσεις ποτέ σε
πελάτη, και συνήθως το πολυτιμότερο.

Και ένα που δεν προκύπτει

Το μουσείο δεν δείχνει πρόοδο προς την ασφάλεια. Δείχνει το ίδιο λάθος να ανεβαίνει επίπεδα
και τους θεσμούς να τρέχουν από πίσω του.

Αυτό δεν είναι απαισιοδοξία — είναι περιγραφή θέσης εργασίας. Αν το αντικείμενο είχε λυθεί,
δεν θα υπήρχε το επάγγελμα.

Τι θα δείτε στην αίθουσα

Τρία μη λειτουργικά εκθέματα. Κανένα δεν συνδέεται σε δίκτυο, κανένα δεν εκτελεί εντολές, και
κανένα δεν περιέχει ζωντανό κακόβουλο δείγμα.

• Ο πίνακας ρόλων. Το οργανόγραμμα της §2 σε φυσικό μέγεθος, με τα βέλη πληρωμής. Ο
  επισκέπτης βλέπει ότι κοιτάζει οργανόγραμμα επιχείρησης — και αυτό είναι όλο το έκθεμα.

• Οι δύο χάρτες. Αριστερά, το δίκτυο ενός οργανισμού του 2005: κτήριο, σύνορο, μέσα και
  έξω. Δεξιά, ο ίδιος οργανισμός το 2020: νέφος, φορητά, τρίτοι, εργαζόμενοι σε τρεις χώρες.
  Ίδια εταιρεία. Το σύνορο του πρώτου χάρτη είναι σχεδιασμένο με έντονη γραμμή· στον
  δεύτερο, η ίδια γραμμή είναι σχεδιασμένη και δεν περικλείει τίποτα.

• Η αλυσίδα εμπιστοσύνης. Μια φυσική αλυσίδα με ετικέτες: ο κώδικάς μου · η βιβλιοθήκη ·
  ο προμηθευτής της · ο διακομιστής ενημερώσεων · το πιστοποιητικό. Ο επισκέπτης καλείται να
  δείξει ποιον κρίκο έχει ελέγξει ο ίδιος. Οι περισσότεροι δείχνουν τον πρώτο.

Ερωτήσεις κατανόησης

1. Η μετάβαση από «ποιος θέλει τα δεδομένα μου;» σε «πόσο θα πονούσε αν δεν τα είχα;» άλλαξε
   ποιοι οργανισμοί θεωρούνται στόχοι. Ποιος μπήκε στον κατάλογο που πριν ήταν εκτός;
2. Το μουσείο δείχνει το ίδιο δομικό λάθος σε τρία επίπεδα. Διατύπωσέ το με μία πρόταση
   που ισχύει και στα τρία.
3. Γιατί η «κληρονομημένη εμπιστοσύνη» δεν λύνεται με το να ελέγχεις καλύτερα τα δικά σου
   συστήματα;
4. Ένα πρόγραμμα αμοιβής και ένας έλεγχος με δηλωμένη κάλυψη παράγουν διαφορετικά παραδοτέα.
   Ποιο από τα δύο μπορεί να πει σε πελάτη τι δεν εξετάστηκε, και γιατί έχει σημασία;
5. Η λέξη «εξελιγμένη» εμφανίζεται σχεδόν πάντα σε ανακοινώσεις μετά από περιστατικό. Ποια
   λειτουργία επιτελεί, και τι θα έψαχνες εσύ για να την επαληθεύσεις;
6. Αν το σύνορο είναι πλέον η ταυτότητα, ποιο κεφάλαιο του προγράμματος σπουδών γίνεται το
   σημαντικότερο — και γιατί αυτό είναι δυσάρεστο συμπέρασμα για έναν οργανισμό;