Błędy w cyberbezpieczeństwie w Nakatomi

W przerwie świątecznej wiele rodzin wspólnie ogląda ulubione filmy, w wielu przypadkach te same co roku, jako element tradycji w Święta Bożego Narodzenia. Niektórzy uwielbiają świąteczne komedie, inni wolą melodramaty. Jeśli chodzi o mnie, w święta zawsze leci Szklana pułapka. W końcu John McClane w 60% przypadków spotyka się z terrorystami w Wigilię, a ja raczej nie jestem jedyną osobą, która kojarzy tę klasykę akcji z przerwą świąteczną.

W przypadku filmu Szklana pułapka 4.0 fabuła skupia się na cyberbezpieczeństwie infrastruktury krytycznej. Jednak gdy przyjrzymy się bliżej, mnóstwo przykładów — zarówno dobrych, jak i szokujących — z dziedziny cyberbezpieczeństwa dostrzeżemy również w pierwszym filmie z serii.

W firmie Nakatomi Corporation używane są najnowsze technologie: komputer klasy mainframe, który synchronizuje się z serwerami zlokalizowanymi w Tokio, skomputeryzowany zamek w sejfie, a nawet dotykowy terminal informacyjny w lobby (nie zapominajmy, że był to rok 1988).

Bezpieczeństwo fizyczne w budynku Nakatomi Plaza

Problemy z bezpieczeństwem pojawiają się już na początku. Nasz bohater, John McClane, wchodzi do budynku i mówi pracownikowi ochrony tylko nazwisko swojej żony, z którą przybył się zobaczyć. Nie mówi swojego nazwiska ani nie pokazuje dowodu osobistego. Jednak okazuje się, że podanie nazwiska swojej żony to nieskuteczna przepustka; ich małżeństwo wisi na włosku, a kobieta zaczęła używać w pracy do swojego nazwiska panieńskiego.

Zamiast rzucić wyzwanie intruzowi, nieostrożny strażnik zwyczajnie wskazuje mu kierunek terminala informacyjnego, a następnie windy. Zatem wychodzi na to, że do budynku może wejść w zasadzie każdy. Co więcej, w miarę rozwoju akcji pojawiają się komputery niechronione hasłem, podatne na ataki złej pokojówki.

Uzyskiwanie dostępu do systemów inżynieryjnych

Nie minęło wiele czasu, a do budynku weszli przestępcy, którzy zabili strażników (w Wigilię dyżur pełniło tylko dwóch), a następnie przejęli kontrolę nad budynkiem. Oczywiście wszystkie systemy inżynieryjne w Nakatomi Plaza są sterowane z poziomu jednego komputera, który znajduje się w pomieszczeniu ochrony, zlokalizowanym tuż obok wejścia.

Jedyny haker wśród terrorystów, Theo, uderza w kilka klawiszy i sprawia, że windy i ruchome schody przestają działać, a garaż zostaje zablokowany. Komputer jest włączony (chociaż w pokoju nikogo nie ma), lecz nie ma ochrony przed nieautoryzowanym dostępem — nawet ekran nie jest zablokowany! Opuszczenie komputera przez pracownika firmy (z działu bezpieczeństwa) bez zablokowania ekranu jest niewybaczalne.

Ochrona sieci

Najpierw terroryści żądają od prezesa Nakatomi Trading hasła do firmowego komputera mainframe. Takagi myśli, że złoczyńcy szukają informacji, i mimochodem przekazuje im ciekawostkę na temat stosowanych w firmie praktyk w zakresie bezpieczeństwa: gdy przyjedziecie rano do Tokio, wszelkie dane, do których uzyskacie dostęp, zostaną zmienione, co udaremni próby szantażu. Można stąd wyciągnąć dwa wnioski:

1. Systemy informacyjne w firmie Nakatomi w Tokio śledzą, kto uzyskuje dostęp i do czego. To dość dobrze zaimplementowany system bezpieczeństwa (oczywiście możliwe także że pan Takagi blefuje).
2. Wygląda na to, że Takagi absolutnie nie ma pojęcia o strefach czasowych. W Los Angeles właśnie zapadła noc (intruzi weszli do budynku o zmierzchu, a podczas wspomnianej rozmowy za oknem jest ciemno). Wobec tego w Tokio musi być przynajmniej 10:30 następnego ranka.

Bezpieczeństwo stacji roboczych w Nakatomi

Gangsterzy wyjaśniają, że tak naprawdę nie są terrorystami oraz że interesuje ich dostęp do sejfu, a nie do informacji. Takagi odmawia podania im kodu, i sugeruje im, aby spróbowali swojego szczęścia w Tokio, za co ginie.

Pomijając kwestię morderstwa, warto zwrócić tu uwagę na inny ciekawy wątek. Po bliższym przyjrzeniu się należącej do Takagi stacji roboczej można zauważyć, że system operacyjny, Nakatomi Socrates BSD 9.2 (fikcyjny potomek systemu Berkeley Software Distribution), wymaga podania dwóch haseł: Ultra-Gate Key i Daily Cypher.

Pierwsze jest statyczne, a drugie ulega zmianie każdego dnia. To doskonały przykład autoryzacji dwuetapowej, przynajmniej jak na standardy 1988 roku.

Dostęp do sejfu

Sejf jest chroniony przez siedem zamków. Pierwszy jest skomputeryzowany, pięć ma naturę mechaniczną, a ostatni jest elektromagnetyczny. Haker Theo twierdzi, że potrzebuje pół godziny, aby złamać kod pierwszego zamka, a także dwie do dwóch i pół godzin na rozwiercenie tych mechanicznych. W tym miejscu dochodzi do automatycznej aktywacji siódmego zamka, jednak jego obwodów nie można odciąć lokalnie.

Pozostawiając na boku wysoce wątpliwy aspekt (może fizycznie jestem nie do pokonania, ale prąd zwykle jest dostarczany poprzez kable, które zawsze można przeciąć), przejdźmy do kolejnego rażącego zaniedbania: jeśli system zabezpieczający sejf może wysłać sygnał aktywujący zamek, dlaczego nie może poinformować policji o próbie nieautoryzowanego wejścia? Albo przynajmniej uruchomić alarmu? Oczywiście złoczyńcy przecinają linie telefoniczne, lecz alarm przeciwpożarowy zdążył już przesłać sygnał na numer 911.

Dość ciekawy jest tu sposób, w jaki Theo łamie kod. Nie jest wytłumaczone, jak robi to na pierwszym komputerze, aby uzyskać dostęp do pliku osobistego (bezimiennego) prezesa grupy inwestycyjnej, w tym informacji o jego służbie wojskowej. Pamiętajmy, że w 1988 roku internet, jaki znamy, nie istniał, więc informacja najprawdopodobniej była przechowywania w sieci wewnętrznej firmy Nakatomi, w folderze współdzielonym.

Według informacji zawartych w pliku ten bezimienny wojskowy służył w 1940 roku w Akagi (istniejący naprawdę japoński lotniskowiec) i uczestniczył w kilku operacjach wojskowych, w tym w ataku na Pearl Harbor. Dlaczego takie informacje były przechowywane publicznie w sieci firmowej? To dziwne — szczególnie dlatego, że lotniskowiec ten był także wskazówką do hasła w sejfie!

Ten sam komputer tłumaczy Akagi na język angielski jako Red Castle, a takie właśnie jest hasło. Być może Theo odrobił pracę domową i miał szczęście, jednak proces ten ewidentnie odbył się zbyt szybko. Nie wiadomo, skąd mężczyzna wcześniej wiedział, że zajmie mu to pół godziny.

Tu scenarzyści musieli zapomnieć o Daily Cypher, czyli regularnie zmienianym, więc jeszcze ciekawszym, drugim haśle. Blokada otwiera się bez konieczności podania go.

Socjotechnika

Przestępcy przypadkowo stosują socjotechnikę na strażnikach, straży pożarnej i policji. Patrząc z perspektywy cyberbezpieczeństwa, warto przeanalizować telefon pod numer 911: McClane uruchamia alarm przeciwpożarowy, ale intruzi zapobiegawczo odwołują akcję u służb ratowniczych, przedstawiając się jako strażnicy.

Chwilę później na ekranie komputera należącego do służb ratunkowych pojawiają się numery telefonów i kod służący prawdopodobnie do anulowania alarmu pożarowego, związane z budynkiem Nakatomi Plaza. Skoro atakującym udało się odwołać ekipę strażacką, musieli mieć skądś ten kod. Strażnicy byli już martwi, więc musiał on być zapisany i przechowywany gdzieś w pobliżu (sądząc po tempie, w jakim udało się odwołać alarm). Nie jest to zalecana praktyka.

Praktyczne wnioski

• Nie wpuszczaj osób obcych, nawet w Wigilię, zwłaszcza jeśli w budynku jest wiele komputerów przechowujących cenne informacje.
• Co jakiś czas przypominaj pracownikom, aby blokowali swoje komputery. Najlepiej także ustaw systemy tak, aby blokowały się automatycznie po krótkim okresie bezczynności. Doskonałym pomysłem jest również przeprowadzenie kursu zwiększającego wiedzę i umiejętności w zakresie cyberbezpieczeństwa.
• Nie udostępniaj dokumentów zawierających podpowiedzi do haseł ani nie przechowuj ich w przestrzeniach wspólnych.
• Używaj losowo generowanych, trudnych do odgadnięcia haseł chroniących dostęp do najcenniejszych danych.
• Przechowuj hasła (i kody anulujące alarm) w bezpiecznej postaci, a nie na kartkach.

Dopisek

Początkowo mieliśmy zamiar przeanalizować oba świąteczne filmy z tej serii, ale po ponownym obejrzeniu Szklanej pułapki 2 doszliśmy do wniosku, że tak naprawdę w tym filmie fundamentalny błąd jest związany z architekturą infrastruktury informacyjnej lotniska. Terroryści wykopali przewody rurowe biegnące pod pobliskim kościołem i przejęli kontrolę nad wszystkimi systemami na lotnisku, w tym nad wieżą kontrolną. W 1990 roku część takich systemów w ogóle nie była skomputeryzowana. Niestety nie można poznać sedna sprawy bez szczegółowego wyjaśnienia filmu, ale dziś nikt nie ma na to czasu.