Когда одно кредитное бюро наняло компанию Кевина Митника, чтобы проверить свою систему безопасности, он отправился прямиком в ее корпоративный дата-центр. Хакер решил попытаться осуществить физическое проникновение в дата-центр на своих двоих.
Проведя вторую половину девяностых годов в тюрьме за ряд компьютерных преступлений, он не прекратил заниматься хакерством. Легендарный бывший киберпреступник собрал целую команду хакеров, которые взламывали IT-системы различных организаций, используя фирменную комбинацию личного умения мастерски обманывать людей (Митник является мастером социальной инженерии) и технологических эксплойтов, чтобы помочь сотрудникам этих организаций в определении эксплойтов и усовершенствовании систем безопасности.
Выступая на минувшей неделе на сцене лос-анджелеского конференц-центра во время ежегодной конференции Data Center World, Митник в режиме реального времени продемонстрировал в действии множество способов получения проприетарной и личной информации, используя как навыки интернет-поиска, так и сложные технологические эксплоиты. Его целями были как владельцы персональных компьютеров, так и крупные корпоративные сети.
Одним из инструментов, который он использовал, является устройство, которое считывает идентификационный код с бейджей доступа (электронных пропусков) посредством человеко-машинного интерфейса (HID). Такие электронные пропуски активно используются в корпоративных офисах и дата-центрах. Как только код будет считан, бейдж можно будет легко “клонировать”. В результате хакеру будет предоставлен тот же уровень физического доступа, который имеется у владельца оригинала.
Митнику пришлось клонировать два бейджа, чтобы попасть внутрь дата-центра этого конкретного клиента (упомянутое выше кредитное бюро): один он “клонировал”, чтобы попасть в здание, а другой – чтобы попасть в машзал и получить доступ к конфиденциальным данным. Он использовал социальную инженерию (искусство манипулирования людьми для раскрытия ценной информации), чтобы сделать “клон” первого бейджа.
Поскольку дата-центр располагается внутри офисного здания, находящегося под управлением риэлтерской компании, опытный хакер позвонил в эту компанию и назначил встречу с одни из ее продавцов недвижимости, притворившись потенциальным клиентом, заинтересованным в аренде офисных помещений.
Во время осмотра помещений он небрежно спросил, как компания контролирует доступ в здание. В ответ на данный вопрос продавец показал ему свой бейдж. Хакер попросил собеседника передать бейдж ему в руки, чтобы присмотреться. В этот момент Митник приложил электронный пропуск к кожаной попке, внутри которой находилось устройство для считывания данных. Хакеру понадобилась всего лишь одна секунда, чтобы “клонировать” его. Ведь после того как устройство считает информацию с бейджа цели, все, что требуется, – это поднеси к нему пустой электронный пропуск (“заготовку”) для передачи кода. И, вуаля, – “клон” готов.
Чтобы получить фактический доступ в машзал дата-центра, Митнику нужно было “клонировать” бейдж, принадлежавший человеку, который работал в ЦОД. Хакер уже мог свободно ходить внутри офисного здания. Он воспользовался этой возможностью. Митник зашел в мужской туалет, который находился поблизости от дата-центра, и начал ожидать возможности встать рядом с одним из сотрудников дата-центра, держа свою кожаную папку со считывающим устройством в руках. Ему удалось поднести папку к бейджу, висящему на поясе цели.
Разумеется, в конечном счете, электронные пропуски уступят место более совершенным технологиям контроля доступа, таким как биометрическая идентификация и распознавание лиц. Но это произойдет еще очень и очень нескоро. По мнению экспертов, уйдет много времени, прежде чем все устаревшие корпоративные дата-центры модернизируют свои системы физической безопасности с помощью новейших сканеров отпечатков пальцев и диафрагмы. Гораздо быстрее в ЦОД будут развернуты системы аутентификации с поддержкой технологии машинного обучения, которые позволят определять, может ли человек на видеозаписи с камер видеонаблюдения находиться в машзале или другом помещении дата-центра или же нет.
Хотя поиск технологического эксплойта для проникновения в систему – это лишь вопрос времени для искушенных хакеров, сегодня люди по-прежнему остаются самым слабым звеном в любой схеме кибербезопасности. Такое заявление Митник сделал во время выступления на конференции. По его словам, обычно использование “человеческого фактора” – это самый простой способ достижения цели.
Атаки, которые используют “человеческий фактор” (вроде случившейся в марте 2016 года, когда бывший председатель президентской кампании Хилари Клинтон Джон Подеста получил фишинговое письмо, которое в конце концов привело к попаданию электронных писем Клинтон в руки хакеров из WikiLeaks) – излюбленный тип эксплойта киберпреступников.
