Захотелось как-то нашим доблестным безопасникам почитать электронную почту некоторых пользователей. После пары дней различных согласований пришлось мне устроить некрасивую схему: почта стала отсылаться и юзеру, и на ящик безопасников.

Ничто не выдавало русских разведчиков, кроме уведомлений о прочтении, автоматом отправлявшихся их Аутлуком.

Работаю в фирме, помогающей сдавать отчётность через HTTPS с использованием сертификатов безопасности. Сегодня звонит клиентка и говорит, что все сертификаты (корневой, промежуточный, клиентский) стали «с красными крестиками». Раньше такого у неё не было. Ну, это первый признак наличия в системе злобных вирусов. В таком случае стойкость шифра у сертификатов сбрасывается в ноль бит. Сама клиентка проверить это не смогла — отправили меня на выезд.

Приезжаю. Антивирус стоит. Обновлённый. Настораживаюсь. Захожу в «Сертификаты». Действительно, все красные. Смотрю стойкость шифра — как надо, 512 бит. Удивляюсь. После нескольких минут размышлений взглядом цепляюсь за возможную причину неработоспособности сертификатов, которую указывает система: «Срок действия истёк или ещё не наступил».

Всё оказалось до смешного просто. На материнке села батарейка, и комп каждый раз при включении сбрасывал дату на 1 января 2004 года. Вот и отказывались работать сертификаты, выданные на нынешний год.

Как-то справляли с приятелями день админа. Как обычно, начальство праздник не признало и заданий дало выше крыши — нужно было запустить новый внутренний сервер для бухгалтерии. Выход нашли быстро: справляли прямо в серверной. Работа была совмещена с празднованием.

После трёх часов «усердной» работы админ дошёл до ввода пароля и состояния нестояния. Недолго думая, ввёл пароль с последующим подтверждением (!) двумя ударами кулака по клаве.

На следующий день мы застали обхваченную двумя руками похмельную голову админа, в которой со слышимым за версту скрипом перебирались варианты пароля.

Выход подсказал наш электрик дядя Гриша. Доведённому до вчерашнего состояния админу между делом предложили повторить вчерашний трюк. Ввод прошёл на ура! Практику только пришлось прекратить, дабы пожалеть бедную админскую печень.

Командировка. В номере отеля двое — я и замдиректора. Готовимся к завтрашнему выступлению перед Большими Папочками (руководством головного предприятия). Я свой доклад отшлифовал и пью пиво, замдир лихорадочно ищет недостающие документы. Они на рабочем компе. Зам вызванивает секретаршу, благо рабочий день ещё в самом разгаре, и отправляет её к себе в кабинет, чтобы по электронке скинуть то, что нужно. Я краем уха слушаю разговор.

— Так, включай компьютер.

— …

— Отлично, входи под моим логином.

— …

— Пароль «zgblfhfc».

— …

— Английскими буквами.

— …

— Смотри, я тебе сейчас буду русскими буквами диктовать, а ты эти кнопочки нажимай.

— …

— «Я», «п», «и»… Админ! Сука! Уволю!

Пятница, вечер. В конторе все разошлись по домам. Гаснет свет. Бесперебойник даёт серверу прокричать админу и секретарше о данном событии и вырубиться.

Когда свет включается, устаревший UPS не заводится — требуется нажать на кнопочку. Есть охранник, можно попросить ткнуть кнопочку и его. Но надо набрать пароль: на сервере работает какая-то программка, для которой надо войти в систему.

Тут уже варианты. Секрктарша звонит админу — сможет ли он подойти и включить? Увы, админ уже на шашлыках, вечер пятницы всё же. Секретарша тоже уже очень далеко от города — едет на дачу. Находится дежурный водитель фирмы и отправляется в офис. Он приезжает, с трудом, под диктовку действий секретаршей, нажимает кнопочку на UPS.

Объяснение было в следующем стиле: «Там такой небольшой серенький блок стоит с двумя кнопками, одна побольше, а вторая притоплена. Вот ты на большую жми. Так, запищал, помигал лампочками? Щёлкнул, больше не щёлкает и не пищит? Хорошо, теперь включаем сервер. Видишь, телевизор такой рядом с коробкой высокой? Ищи на телевизоре большую кнопку, жми на неё. Так, загорелась лампочка на телевизоре, показалась какая-то надпись? Хорошо, так и должно быть. Теперь ищи рядом высокий такой. Да-да, такой серый, с большой кнопкой спереди. Вот на неё нажми. Что, что-то начало писать на телевизоре? Погас и загорелся синим фоном? Все нормально, ждём. Так, что-то написано? Что, не можешь прочитать? Возьми клавиатуру. Да, это та, что с кучей кнопочек. Нажми одновременно Ctrl+Alt+Del. Что, не можешь найти? Ну, контрол — там на кнопочке написано слово, первая буква, как наша С; альт — там на кнопке три буквы, первая, как наша А; делит — там тоже слово написано, первая буква, как наша Д письменная. Так, что-то написала? Там сверху написано Administrator, а ниже мигает такая палочка? Да, всё нормально. Набираем пароль. … Что, не знаешь английских букв?»

Вот тут, без клавиатуры под рукой, я бы сдался. Но наша секретарша оказалась на высоте. «Так, смотри на кнопки телефона. Видишь там буковки около цифр? Хорошо. Найди на клавиатуре букву, такую же, что на кнопке 3, вторая по счёту. Так, шифт… Ну да, слева на клавиатуре такая кнопочка со стрелкой вверх и словом на буковку, что на цифре 5 третья. Теперь нажми на энтер — да, такая изогнутая большая кнопка».

Пароль был введён, работа конторы продолжилась успешно. На месте админа я бы этой секретарше памятник поставил, а за находчивость и ещё один не пожалел бы. Всем бы админам таких пользователей, как эта секретарша, но, увы, их слишком мало.

Работаю эникейщиком по вызову. Приезжаю к очередному клиенту. Он унылый сидит, говорит:

— Мне тут расхвалили OpenBSD, говорят, она очень безопасная. А я поставил, проверил — такая же, как и все остальные. Никакой безопасности!

— Как проверял?

— Сейчас покажу.

Включает комп с OpenBSD, заходит на Gmail и при мне создаёт новый почтовый ящик. Подтверждает через SMS, как положено.

— А теперь гляди.

Берёт телефон, заходит на Gmail с него, вводит логин с паролем от свежесозданного ящика.

— Видишь, и с телефона зашёл! А говорят — безопасная, безопасная…

За несколько месяцев до появления Висты, когда ещё очень многие верили, что следующая винда будет лучше, быстрее и красивее, я присутствовал на семинаре, где о своей крутости рассказывали мэтры IT-рынка, в частности, представители антивируса на букву «К». Антивирусники рассказывали в том числе о том, что у них очень крутой файрвол, в доказательство приводя табличку с количеством отражённых атак, где их продукт отбил даже больше, чем известный специализированный продукт на букву «O».

Последней строкой в табличке была строка «Брандмауэр Windows» и цифра 0. Представитель компании тогда сказал: «Тут после нас будут коллеги из Microsoft будут рассказывать про свою новую, быструю и безопасную операционную систему, поэтому давайте оставим этот пункт без комментариев».

Решил я от нефиг делать погуглить запрос: «filetype:xls username password». На первой же странице логин на какой-то сайт: непонятное сборище букв и цифр, а пароль — welcome. Добро пожаловать, господа!

Криптозащита, пароли, защищённый доступ… Фуфел это всё, господа. Это вещи полезны только тогда, когда угроза нужна от дурака или дилетанта. Вот вам ряд примеров.

* * *

Суббота, официально выходной день. Начальству позарез понадобилось в один компьютер залезть. А у него пароль на биосе, пароль на входе; то, что надо, тоже на пароле. Ответственное лицо по случаю выходного находится вне зоны действия сети. Чего делать? Пароль с биоса снят, вход в ОС осуществлён собственными силами. Дальше сложнее. Пока вызванные кулхацкеры нагружали процессоры непосильной задачей подборки пароля, начальник СБ вызвонил коллег отдыхающего ответственного лица, пораскинул мозгами и нашёл его на даче, где тот в гамаке пузо грел. Адрес дачи и вероятность нахождения на ней сотрудника, знамо дело, у сослуживцев выяснили.

* * *

Уволившийся сотрудник отдела IT затаил злобу на бывшего работодателя. Ну да, не ценили. Угу, в зарплате обижали. Сволочи, одним словом. А не сменить ли им пароль в хитрой базе данных, которая нужна не каждый день? Сказано — сделано. Сменил, уволился. Думаете, вызывали мегапрограммеров? Ну, вызывали, они даже чего-то там подумали. Основное, до чего они додумались, — кто это сделал, когда и зачем. В принципе, достаточно. Через пару часиков злоумышленник в кабинете генерального просил прощения за «забывчивость». Ну, не предупредил он, что пароль сменил. Всякое бывает.

* * *

Заказали как-то фирмочку небольшую. Заказали в плане срыва деятельности, очернения её честного имени и рисования всяких непристойных картинок на главной странице сайта. В общем, саботаж и крупное хулиганство. Главное, что фирмочка была не простая, а чья-то. А кто-то был выходец откуда-то. И этому кому-то все эти действия в отношении его детища категорически не нравились. Были подключены лучшие кадры — как собственные, так и приглашённые. Стало ясно, что пакостят нам из-за бугра, из мест разных (предусмотрительные оказались, черти) и трудно досягаемых. Интерпол — это только слово такое красивое, на него надежды не больше, чем у импотента на виагру. Выкручиваться надо самим.

Нехитрыми умозаключениями выяснили, кому это было выгодно и кого он мог бы привлечь для пакостей уровня выше среднего. И правда, существенная часть запросов шла из европейского городка на берегу моря, куда некоторое время назад эмигрировал наш соотечественник, шарящий в сфере информационных технологий. Звонить ему и ругаться? Смысл? Хотя смысл был. И был один звонок, в котором его мама, не пожелавшая расстаться с Родиной, просила великовозрастного сыночка не хулиганить. Атаки на сайт ощутимо ослабли.

* * *

Оговорюсь, что ни в одном из перечисленных случаев мер физического воздействия, а также угроз не применялось. Просто просили понять и войти в наше положение.

А как заключение вот вам цитата сотрудника государственных органов: «Если человек, установивший пароль, жив, то и мы его узнаем».

Вчера вернулся из командировки с окраин необъятной — ставили комплексную систему безопасности в региональном филиале крупной фирмы инкассации. Через подобные филиалы ежедневно проходят миллиарды денег; стремление московского офиса усилить безопасность в отделениях вполне понятна. Теория отличная, но на практике…

Задумка такая. В числе прочих систем безопасности на входе делается некое подобие шлюза: две двери, пока не закрыта одна, вторая не откроется ни за какие коврижки. Управление происходит только изнутри, по ночам в обязательном порядке дежурят двое охранников. На всякий случай установлена кодовая панель — пароль сообщен только начальнику службы безопасности. То есть потенциальные налетчики, просочившиеся за вошедшим в первую дверь, оказываются в тамбуре-ловушке под зорким оком двух видеокамер и деться уже никуда не могут: за внутренней дверью выстраиваются свои охранники с «калашами», за наружней в течение двух минут появляется наряд ОМОНа. Делаем, тестируем, развешиваем листочки с этой информацией в тамбуре, проводим инструктаж — всё окей, работает чётко, как в аптеке.

Проходит неделя. Ночью охранникам хочется курить, но если выйти из здания, то обратно уже не войдешь. Поодиночке им курить, видимо, религия не позволяет. Требующий никотина мозг находит выход: «случайно» включается пожарная сигнализация, замки, естественно, отключаются (чтобы люди могли беспрепятственно выбегать из здания в случае реального пожара), мозг охранников получает дозу никотина, и они спокойно возвращаются обратно в открытые двери. Деньги под надежной защитой, ага.

Днём, опять же, всем очень лень ожидать, пока дежурный внутри нажмет кнопку открытия двери, поэтому начальник службы безопасности (!) распечатывает листочек с паролем от кодовой панели и вывешивает в тамбуре на всеобщее обозрение.

Всё, приехали, финиш. Усилили безопасность, называется. Начинаем возмущаться — а кому возмущаться-то? Все эти действия происходят с одобрения начальства, в головном офисе отвечают: «Ну, мы ведь все обычные люди, подумаешь, покурить вышли…» Вы говорите, кнутом и мануалом их учить? Не-е-е, этих людей уже ничем не исправить.