Начальство каким-то образом узнало пароль от моей личной почты. А пароль этот представляет собой совершенно рандомную комбинацию букв и цифр — давным-давно заученный наизусть код активации старой игры, коробка от диска которой постоянно терялась.

Начальство обнаглело и спросило, что это буквоциферное безобразие означает. После двух ответов «ничего не означает» плюнул и сказал, как есть.

И что вы думаете? Сегодня получил требование (!) сменить пароль от моего личного (!!) почтового ящика, потому что он «не соответствует духу компании и связан с компьютерными играми, а на работе любые игры должны быть под запретом».

Вы когда-нибудь сталкивались с настолько феерической наглостью? Вот сейчас думаю: увольняться сразу или послать требование к чёрту и сначала поцапаться?

Нет, я всё понимаю — безопасность, туда-сюда, но брандмауэр, который предлагает победить процесс winlogon, потому что он зело подозрительный, — это перебор.

Как раз в этот момент я набирал текст. Когда появилось очередное окошко о подозрительном winlogon, успел нажать Enter… Ну, вы поняли.

Сидел всю ночь, производил «аудит безопасности веб-интерфейсов», как это модно говорить, а на самом деле рутал серваки. Почти не спал, утром к девяти в универ.

Захожу в автобус, достаю проездной — в автобусе опущены рога АСКП. Прохожу в салон, а в голове одна мысль: «Обход авторизации».

Дальше ещё интересней. В вузе подхожу к кофеварке — монетки не принимаются, а вываливаются в сдачу. «Задефейсили морду, данные с формы сливаются в лог».

Явно надо что-то менять. А как менять, если ночь для нас — рабочее время, потому что на серваках админов нет?

Систему охраны я, конечно, не вскрывал, но подобная история тоже однажды была.

В Москве есть очень хороший книжный магазин. Книг там много-много, и для удобства посетителей в залах через каждый десяток метров стоят терминалы с каталогом. Есть поиск, описания книг, обложки, указаны цены, можно распечатать маленький чек с указанием зала, стеллажа и полки, где находится книга.

То ли сделано это всё великолепие в какой-то самописной программе, то ли просто открыт локальный сайт, но факт остаётся фактом: в качестве движка используется стандартный виндовый TWebBrowser, причём далеко не самой последней версии. Стоп-стоп. В описании книги, как я уже сказал, есть обложка. Обложка — это картинка. Если навести курсор на картинку (ткнуть в тачскрин), то появляется маленькая панелька инструментов: сохранить как, распечатать, послать по почте, открыть «Мои картинки».

Откроем «картинки», вверх-вверх-вверх, «Мой компьютер». Зайдём в «Сеть», откроем какой-нибудь комп… Ой, фильмы, игры, какие-то бэкапы! Диск C:, Windows, командная строка, экранная клавиатура — полетели!

Впрочем, проделав это, почти сразу же от терминала я отошёл — на меня уже начали коситься работники магазина. А на экране остались висеть открытыми командная строка и клавиатура.

В 1983 году админил я ЕС-1035. Материалы на ней обрабатывались разные, в том числе и с грифом «не для всех». И тут верхнему начальству показалось мало системного программиста и системного инженера с соответствующими формами допуска. Ввели должность инженера по безопасности, причём на полставки. То есть в смену он не ходил, а работал с 9 до 18 с перерывом на обед, как белый человек. Назначили мужичка, далёкого от вычислительной техники; выделили ему терминал, на котором постоянно крутилась его программа, и показали, где «птички» ставить. Мужичок сразу и поставил, руководствуясь принципом: «чем больше, тем безопаснее».

Системщики взвыли в первую же ночь. Этот деятель, кроме всего прочего, запретил запись на магнитную ленту (суточный бэкап сделать не удалось) и вывод на перфоленту (накрылось срочное задание, связанное с оборонкой). И если ленту удалось сделать днём, под чутким надзором этого деятеля, то бэкап можно было делать только ночью.

Уговоры и даже жалобы руководству не помогли. Мужик стоял насмерть. Пришлось копать глубже. Выяснилось, что за блокировку отвечает всего один байт. Запускаем программу «Око» (официально — разработка Горьковского пединститута, на самом деле — американская программа Eye), правим, работаем… Главное, не забыть вернуть обратно.

Спокойно жили месяц. Потом кто-то проболтался. Заставили «Око» стереть. Ночью восстановили с ленты. Сделали бэкап, стёрли. И так каждую ночь. Через месяц опять кто-то проболтался. Стёрли с ленты.

Ну что ж, если начальство так настаивает… Перестали бэкапиться. Через неделю система упала — а восстанавливать-то не с чего. Получили люлей, конечно, но плавно перевели стрелки на безопасника. Управление перешло обратно к сисадмину.

Доводилось как-то «вскрывать» ради любопытства систему охраны по просьбе знакомого охранника. Да и молодой был, хотелось силы проверить.

Приводов нет, диспетчер задач действительно заблокирован. На весь экран — охранная программа. Программное отключение USB-порта? В моём случае просто был выключен автостарт. Возможности вызвать «Пуск» не было. Так как стояла «хрюшка», альт-табнуться на пустое окно, как в «семёрке», не удавалось. Выключать компьютер запрещалось, а если что — загрузка с других устройств запрещена.

И всё равно «защита» пала. Охранник ещё полгода смотрел фильмы, а обслужка, зная это, чесала репу и ничего понять не могла. Потом, сдавшись, у меня и узнали.

Собственно, решение: «Справка → О программе». В конце текста — ссылка на сайт разработчика. Кликаем — открывается IE. В строку «D:» — а вот уже и флешка появилась.

Разработчики, будьте скромнее!

Самый большой финт ушами от безопасников мне достался в одной телеком-конторе. После очередного «усиления информационной безопасности» внезапно обнаружилось, что у меня, программиста, имеющего доступ ко всем рабочим серверам и базам данных компании, нет прав, чтобы… перетащить ярлык из меню «Пуск» на панель быстрого доступа.

Поржали с коллегами, ярлык перенесли другим методом, но вопрос остался: «Что это было, Пух?»

За то время, что я считаюсь опытным пользователем, я повидал много любопытных и не очень решений в области безопасности. Сегодня меня порадовала отечественная социальная сеть, которая не устаёт подчёркивать, как сильно она заботится о защищённости учётных записей своих пользователей: даже ввела привязку к номеру мобильного телефона, чтобы владелец всегда мог вернуть себе аккаунт, даже если тот был похищен злобными хакерами.

Я зашёл к себе на страницу через мобильный браузер. Меня встретили надписью:

Вы пытаетесь зайти под именем <такого-то> из необычного места. Чтобы подтвердить, что вы действительно являетесь владельцем страницы, пожалуйста, укажите последние четыре цифры номера мобильного телефона…

А дальше — не верю своим глазам:

…В случае, если вы по какой-либо причине не можете вспомнить номер, к которому привязана ваша страница, вы можете сменить этот номер. Для этого нажмите сюда.

Нажимаю — действительно, открывается текстовое поле и кнопка «Сменить номер». Браво, товарищи разработчики! С нетерпением жду появления аналогичной страницы в форме логина:

Вы ввели неправильный пароль. В случае, если вы по какой-либо причине не можете вспомнить пароль к вашей странице, вы можете сменить этот пароль. Для этого нажмите сюда.

В детстве меня, как и многих из вас, родители хотели оградить от вредного влияния компьютера. Но компьютерной грамотности для установки пароля на BIOS им не хватило, и они решили действовать более грубыми методами. Сейфов и дипломатов с кодовым замком в нашем доме не имелось, зато имелась запирающаяся на замок комната с окном, выходящим на длинную лоджию. В комнате и стоял P-166 с вожделенными третьими «Героями».

Скилл аккуратного отковыривания штапиков, съёма стёкол и очень быстрого стекления рамы до первоначального состояния я и потом не раз использовал для проникновения в помещения без следов.

Я тот самый программист банкоматов, упоминаемый в недавней истории. Постараюсь вкратце ответить на некоторые вопросы, волнующие автора.

Для начала давайте подумаем: что самое главное в работе банкомата? Красивый и удобный интерфейс? Нет. Последовательность выдачи денег, карты и чека? Нет. Сложная интеллектуальная система подсказок с постоянным обращением в процессиноговый центр? Опять нет.

Самое главное в работе банкомата — безопасность. Как находящихся внутри сейфа денег, так и карт клиентов. И если деньги банк ещё может застраховать, то от считывания скиммером карту застраховать не получится. Поэтому часто можно встретить накладку на картридере, которая медленно, будто умирающий лебедь, захватывает и возвращает вашу карту. Это не банкомат тормозит, это вас защищают от потенциальных мошенников.

Почему на пин-клавиатуре не работает кнопка Enter, а подтверждение происходит по нажатии боковой кнопки? Да потому, что пин-клавиатура и боковая кнопка — это разные устройства, подключённые к разным контроллерам, и назначение у них разное. Если клавиатуру вырвут с корнем из корпуса (такое бывало) и вставят в фейковый банкомат, то пин-код с помощью неё ввести не получится — для того и сделано отдельное подтверждение.

Пункты в меню не работают? Опять тут «виновата» безопасность. Чем сложнее система, тем проще найти в ней уязвимость. Поэтому вместо красивых, интерактивных и интеллектуальных меню выбора суммы с подсказкой используются простые статические картинки.

У «П***-банка» тормознутые и медленные банкоматы? А вы пробовали сообщать об этом в сам банк? Большинство проблем со скоростью работы банкомата непосредственно связаны с находящимся внутри банкомата системным блоком типа «компьютер», который очень часто работает на всем известной ОС от дяди Билла. Иногда банальное увеличение ОЗУ приводит к многократному увеличению скорости работы железного ящика. Обратитесь в техподдержку банка, и через какое-то время, вполне вероятно, ваш банкомат будет летать со скоростью света.

И пока у банков на первом месте будет безопасность средств клиентов, вы не сможете поиграть в «косынку» на банкомате, как это делают на богомерзких платёжных терминалах, с вашей карты не украдут ни рубля, а запрошенная сумма будет всегда выдаваться в полном объёме и без сбоев. Удачи!